Cảnh báo rò rỉ phải đi cùng hướng dẫn hành động
Lộ dữ liệu cá nhân là tình trạng thông tin nhận diện hoặc dữ liệu gắn với một người bị tiết lộ, truy cập hay sử dụng ngoài dự kiến, khiến tài khoản và giao dịch số có thể gặp rủi ro. Đây không còn là vấn đề riêng của đơn vị quản lý hệ thống: người dùng cần được báo sớm và chỉ dẫn rõ cách hạn chế thiệt hại.
Sáng 4.11, Quốc hội thảo luận tại hội trường về dự án Luật An ninh dữ liệu và Luật Định danh, xác thực điện tử. Đại biểu Nguyễn Vũ Trung đề nghị bổ sung nghĩa vụ thông báo kịp thời cho cá nhân bị ảnh hưởng, nêu dữ liệu nào có thể bị lộ, nguy cơ phát sinh và hướng dẫn các biện pháp như khóa tài khoản, đổi mật khẩu, chặn giao dịch. Đề xuất này đặt người bị ảnh hưởng vào trung tâm ứng phó, thay vì để họ tự đoán chuyện gì đã xảy ra.
Một cảnh báo chỉ nói “đã có sự cố” là chưa đủ. Nếu thiếu thông tin về phạm vi rò rỉ và việc cần làm, người dùng khó đánh giá tài khoản nào cần ưu tiên bảo vệ. Trách nhiệm thông báo vì vậy phải đi liền với hướng dẫn dễ hiểu, kịp thời và phù hợp với mức độ rủi ro.
Càng nhiều điểm giao dịch, nguy cơ càng rộng
Chuyển đổi số giúp người dân giao dịch và liên lạc thuận tiện hơn, nhưng mỗi nền tảng cũng có thể trở thành một điểm phơi lộ thông tin. Trung tướng Tào Đức Thắng nhận định rằng khi người dân giao dịch, tương tác trên nhiều nền tảng số, nguy cơ lộ và mất an toàn thông tin, dữ liệu cá nhân càng tăng. Bởi vậy, bảo vệ dữ liệu khách hàng cần được xem là yêu cầu cấp thiết, không phải phần việc có thể tính sau.
Mức độ tổn hại không giống nhau giữa mọi loại dữ liệu hay giao dịch. Đại biểu Thạch Phước Bình nêu ví dụ: đặt lịch khám trực tuyến khác với truy cập hồ sơ bệnh án; tra cứu thông tin ngân hàng khác với chuyển khoản giá trị lớn. Cách xác thực và biện pháp bảo vệ nên phân biệt theo rủi ro, thay vì buộc mọi thao tác phải qua cùng một quy trình.
Cách tiếp cận theo cấp độ rủi ro cũng được ông Thắng đề xuất đối với các biện pháp bảo đảm an ninh dữ liệu, để quy định có thể theo kịp công nghệ biến đổi liên tục. Đây là hướng hợp lý: bảo vệ chặt nơi rủi ro cao, đồng thời tránh khiến các giao dịch thông thường trở nên quá khó tiếp cận.
Phản ứng khi nhận cảnh báo: cần làm rõ phạm vi và đầu mối hỗ trợ
Khi nhận thông báo có thể bị lộ dữ liệu, người dùng nên đọc kỹ nội dung để xác định loại thông tin liên quan và tài khoản có nguy cơ. Nếu cảnh báo nêu tài khoản hoặc giao dịch bị ảnh hưởng, cần liên hệ đơn vị cung cấp dịch vụ qua kênh chính thức để hỏi về việc khóa tài khoản, đổi mật khẩu hoặc chặn giao dịch. Không nên suy đoán rằng mọi dịch vụ đều bị xâm nhập khi chưa có căn cứ.
Đề xuất của đại biểu Nguyễn Vũ Trung nhấn mạnh chính những chỉ dẫn này: thông báo cần làm rõ nguy cơ và hướng dẫn biện pháp bảo vệ, thay vì chỉ báo tin chung chung. Đơn vị phát cảnh báo cũng nên nêu cách xác minh thông báo để người dân tránh bị lợi dụng bởi tin nhắn giả mạo. Đây là yêu cầu thực tế của một quy trình ứng phó có trách nhiệm, dù người dùng vẫn cần theo dõi thông tin từ nhà cung cấp dịch vụ.
Hỗ trợ phải tính đến người cao tuổi, người khuyết tật và người chưa quen thiết bị số. Đại biểu Thạch Phước Bình đề nghị nhà cung cấp dịch vụ hỗ trợ hoặc áp dụng cách xác minh phù hợp với những nhóm gặp khó khăn khi dùng phương tiện điện tử. Nếu hướng dẫn chỉ có trên ứng dụng hoặc viết bằng thuật ngữ khó hiểu, những người cần giúp đỡ nhất có thể bị bỏ lại.
Luật cần biến trách nhiệm thành quy trình rõ ràng
Đề nghị về thời hạn báo cáo sự cố cho thấy tốc độ phản ứng có ý nghĩa thiết thực: sự cố an ninh dữ liệu từ cấp 3 trở lên được đề xuất phải báo cáo chậm nhất 24 giờ kể từ khi phát hiện; nguy cơ đặc biệt nghiêm trọng cần báo ngay. Nhưng báo cáo giữa các cơ quan chưa đủ nếu cá nhân chịu ảnh hưởng vẫn không nhận được thông tin để bảo vệ tài khoản.
Cần quy định rõ ai thông báo, thông báo những gì và người dân có thể nhận hỗ trợ qua đâu. Cùng lúc, biện pháp kỹ thuật của tổ chức phải tương xứng với rủi ro. Dự thảo luật đã liệt kê các giải pháp như mã hóa, quản lý truy cập, sao lưu và phục hồi dữ liệu, kiểm tra an toàn; song năng lực bảo vệ của hệ thống cần đi cùng quy trình ứng phó dễ hiểu với người dùng.
Thông điệp cốt lõi là rõ ràng: khi dữ liệu bị lộ, người dân không thể bị bỏ mặc tự xử lý. Thông báo kịp thời, hướng dẫn khóa tài khoản, đổi mật khẩu và chặn giao dịch sẽ giúp họ hành động đúng lúc; quy định pháp luật nên bảo đảm những việc ấy trở thành nghĩa vụ cụ thể, không chỉ là khuyến nghị.
