Luật An ninh dữ liệu - 'tường lửa' trong kỷ nguyên số

Quang cảnh phiên họp Hội đồng thẩm định hồ sơ chính sách dự án Luật An ninh dữ liệu. (Ảnh: TƯỜNG MINH)

Việt Nam đang bước vào giai đoạn bùng nổ của tiến trình chuyển đổi số quốc gia, nơi dữ liệu được xác định là nguồn tài nguyên chiến lược, là “mạch máu” nuôi dưỡng Chính phủ số, kinh tế số và xã hội số. Tuy nhiên, việc phát triển hạ tầng thần tốc nhưng thiếu một đạo luật thống nhất về an ninh dữ liệu có thể dẫn đến rủi ro và hệ lụy lâu dài.

Cần cơ chế quản trị rủi ro

Đánh giá về vai trò của dữ liệu, chuyên gia an ninh mạng Ngô Minh Hiếu nhận định, việc xây dựng một đạo luật về an ninh dữ liệu trong bối cảnh hiện nay là một bước hoàn thiện hệ thống pháp luật, đồng thời là cách giải quyết các “khoảng tối” và “khoảng trống” mà các luật hiện hành chưa bao quát hết.

Thực tiễn cho thấy, mặc dù chúng ta đã có các Luật An ninh mạng, Bảo vệ dữ liệu cá nhân, Dữ liệu, nhưng các quy định về an ninh dữ liệu vẫn nằm tản mát, thiếu tính hệ thống và nhiều khoảng trống pháp lý. Chưa có quy định về cơ chế quản lý an ninh đối với hệ thống trí tuệ nhân tạo (AI) và công nghệ số mới, dẫn đến việc hoàn toàn thiếu vắng các chế định kiểm soát tính hợp pháp của nguồn dữ liệu huấn luyện, thẩm định tính minh bạch của các cấu trúc thuật toán.

Báo cáo của Bộ Công an cho thấy, các quy định chủ yếu ở việc bảo vệ hạ tầng kỹ thuật (vỏ hệ thống), trong khi nội dung dữ liệu bên trong (lõi dữ liệu) chưa được bảo vệ xuyên suốt vòng đời. Minh chứng là vụ rò rỉ hàng triệu hồ sơ ngành giáo dục năm 2022 và các đợt lộ, lọt dữ liệu ngành y tế năm 2024. Khoảng 80% dữ liệu điện toán đám mây của các doanh nghiệp nội địa vẫn đang được lưu trữ trên nền tảng xuyên biên giới của các tập đoàn đa quốc gia như AWS, Google Cloud hay Azure. Theo Bộ Công an, điều này dẫn đến hệ lụy trực tiếp về quyền tài phán là việc thực thi các quy trình kiểm soát luồng dữ liệu xuyên biên giới gặp nhiều trở ngại pháp lý.

Bên cạnh đó, báo cáo cũng chỉ ra hoạt động mua bán thông tin, dữ liệu cá nhân diễn ra phức tạp trên các diễn đàn, hội nhóm, phát hiện 300 vụ rao bán với tổng số hơn 1,7 triệu bản ghi dữ liệu trên các lĩnh vực, như: Y tế, giáo dục, dịch vụ công, ngân hàng, điện lực, bảo hiểm, chứng khoán, căn cước công dân, vận chuyển, viễn thông...; trong năm 2025, các hệ thống thông tin dữ liệu của Việt Nam đối mặt khoảng 552.000 cuộc tấn công mạng, trong đó có hơn 5.000 cơ quan, doanh nghiệp chịu ảnh hưởng. “Bảo đảm an ninh mạng, an ninh dữ liệu là lá chắn vững chắc để đất nước phát triển nhanh, bền vững trong kỷ nguyên số”, Trung tướng Trần Đức Thuận, Phó Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội nhận định.

Thiết lập "biên giới số" bảo vệ dữ liệu

Theo Phó Tổng Thư ký kiêm Chánh Văn phòng Hiệp hội An ninh mạng quốc gia Vũ Duy Hiền, năng lực bảo vệ dữ liệu, cơ chế định danh đáng tin cậy và trách nhiệm quản trị rõ ràng của các tổ chức, doanh nghiệp chính là cơ chế bảo đảm cho niềm tin số của người dân. Kinh tế số chỉ có thể phát triển bền vững khi dữ liệu được bảo vệ.

Đại tá Nguyễn Hồng Quân, Phó Cục trưởng Cục An ninh mạng và Phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an cho biết, việc xây dựng dự án Luật An ninh dữ liệu nhằm xác lập chủ quyền số quốc gia: Khẳng định quyền tối cao, bất khả xâm phạm của Nhà nước đối với tài nguyên dữ liệu quốc gia, thiết lập “Biên giới số” và hệ thống mật mã tiên tiến, độc lập để bảo vệ lợi ích dân tộc trong kỷ nguyên số, kỷ nguyên trí tuệ nhân tạo; hoàn thiện hành lang pháp lý an ninh phi truyền thống, lấp đầy các khoảng trống pháp lý về quản trị thuật toán, AI và lưu thông dữ liệu xuyên biên giới…; bảo vệ quyền và các lợi ích hợp pháp của tổ chức, cá nhân; tạo ra môi trường số tin cậy; thúc đẩy kinh tế số tự chủ chiến lược, tự cường công nghệ...

Với dự án luật, Bộ Công an đề xuất phân loại dữ liệu theo cấp độ rủi ro an ninh thành bốn cấp độ, gồm dữ liệu “thông thường”, “nội bộ”, “quan trọng” và “cốt lõi”. Đây là căn cứ tiêu chuẩn để các luật chuyên ngành như tài chính, y tế, ngân hàng soi chiếu và ban hành dữ liệu đặc thù. Dữ liệu thuộc cấp độ thấp hơn khi tích tụ đạt ngưỡng quy mô lớn, làm thay đổi bản chất rủi ro tác động thì được áp dụng cấp độ bảo vệ cao hơn tương ứng.

Cơ quan, tổ chức vận hành hệ thống thông tin lưu trữ, xử lý dữ liệu phải thiết lập hệ thống công nghệ tự động giám sát, phát hiện và cảnh báo khi tổng quy mô tích tụ dữ liệu đạt hoặc vượt ngưỡng quy định. Dự luật cũng chú trọng xác lập nghĩa vụ và trách nhiệm của các thực thể nước ngoài, nhất là các doanh nghiệp cung cấp dịch vụ viễn thông và internet xuyên biên giới có hoạt động tại Việt Nam.

Chủ trì phiên thẩm định hồ sơ chính sách dự án Luật An ninh dữ liệu, Cục trưởng Cục Pháp luật hình sự-hành chính và Quản lý xử lý vi phạm hành chính, Bộ Tư pháp Nguyễn Thị Hạnh nhấn mạnh, việc nghiên cứu, xây dựng dự án luật này là cần thiết nhằm hoàn thiện hành lang pháp lý về bảo vệ dữ liệu, bảo đảm an ninh quốc gia, trật tự an toàn xã hội trong môi trường số; góp phần cụ thể hóa chủ trương của Đảng để xác lập và bảo vệ chủ quyền dữ liệu quốc gia, bảo đảm an ninh dữ liệu hướng tới sự an toàn, bền vững nhằm kiến tạo hệ sinh thái an ninh dữ liệu quốc gia.

Bộ Công an trong quá trình xây dựng dự thảo Luật An ninh dữ liệu tiếp tục rà soát kỹ lưỡng để bảo đảm tính thống nhất, đồng bộ của hệ thống pháp luật; nhất là với các quy định của các Luật Cơ yếu, An ninh mạng, Dữ liệu, Giao dịch điện tử... và các quy định pháp luật có liên quan về bảo vệ bí mật nhà nước, bảo vệ hạ tầng thông tin quan trọng, an toàn thông tin mạng và bảo vệ dữ liệu. Cùng với đó, cơ quan chủ trì soạn thảo cần nghiên cứu cơ chế phối hợp, phân công trách nhiệm rõ ràng giữa các cơ quan quản lý nhà nước trong công tác quản lý, bảo vệ dữ liệu và bảo đảm an ninh dữ liệu nhằm bảo đảm tính thống nhất, hiệu quả, tránh chồng chéo trong tổ chức thực hiện.

HƯƠNG NGUYÊN