Quản lý theo rủi ro thay vì một bộ quy tắc cho tất cả
Dự thảo Luật An ninh dữ liệu là đề xuất thiết lập cơ chế quản lý dựa trên mức độ rủi ro, gắn trách nhiệm bảo vệ dữ liệu với khả năng xảy ra sự cố và thiệt hại tiềm tàng thay vì áp dụng cùng một yêu cầu cho mọi hoạt động xử lý. Đây là thay đổi đáng chú ý: an ninh dữ liệu không còn được nhìn như một bộ thủ tục đồng nhất, mà là nghĩa vụ phải tương xứng với hậu quả nếu dữ liệu bị lộ, mất hoặc bị khai thác trái phép. Dự thảo do Bộ Công an chủ trì soạn thảo gồm 6 chương, 29 điều, quy định trách nhiệm của Nhà nước, cơ quan, tổ chức, doanh nghiệp và cá nhân. Cấp độ rủi ro dữ liệu đi từ cấp 1, thấp nhất, đến cấp 5, cao nhất; cấp càng cao, yêu cầu bảo vệ và trách nhiệm quản lý càng chặt.
Cách phân loại này không đồng nghĩa với việc thay thế phân loại dữ liệu theo pháp luật về dữ liệu, cũng không tự làm thay đổi quyền sở hữu, quản lý, khai thác hay sử dụng dữ liệu. Nó là một lớp đánh giá khác, nhằm xác định mức độ bảo vệ cần thiết. Phân biệt hai khái niệm giúp doanh nghiệp tránh một nhầm lẫn quan trọng: biết dữ liệu thuộc loại nào chưa đủ để quyết định hệ thống và quy trình bảo vệ cần nghiêm ngặt đến đâu.
Năm cấp độ kéo theo nghĩa vụ khác nhau
Theo đề xuất, cấp 1 có rủi ro thấp, thường gồm dữ liệu công khai; cấp 2 có rủi ro trung bình, có thể gồm dữ liệu lưu hành nội bộ, dữ liệu kinh doanh và dữ liệu cá nhân chưa thuộc cấp cao hơn. Cấp 3 là rủi ro cao, có thể bao gồm dữ liệu quan trọng và dữ liệu cá nhân nhạy cảm được xử lý trên quy mô lớn. Cấp 4 là rủi ro rất cao, còn cấp 5 dành cho trường hợp hậu quả đặc biệt nghiêm trọng, có thể trực tiếp ảnh hưởng an ninh quốc gia. Những ví dụ này cho thấy lượng dữ liệu, độ nhạy cảm và hậu quả tiềm tàng đều quan trọng; không thể chỉ nhìn tên gọi của dữ liệu để xếp mức.
Nghĩa vụ tăng theo cấp. Cấp 1 và 2 được định hướng không phát sinh thủ tục theo luật khi chuyển dữ liệu ra nước ngoài; cấp 3 trở lên phải đánh giá tác động và kiểm toán an ninh dữ liệu định kỳ. Với cấp 4 và 5, hệ thống xử lý còn phải được thẩm định theo quy định, đồng thời việc chuyển dữ liệu ra nước ngoài cần được cơ quan có thẩm quyền đánh giá, chấp thuận. Cấp 3 áp dụng cơ chế tự đánh giá và lưu hồ sơ. Thiết kế này hợp lý hơn một ngưỡng chung, nhưng chỉ khi tiêu chí phân loại đủ rõ để các đơn vị không tự đánh giá thấp rủi ro.
Chủ quản dữ liệu phải chịu trách nhiệm từ đầu đến cuối
Dự thảo đặt việc xác định cấp độ lên chủ quản dữ liệu: cơ quan, tổ chức và doanh nghiệp phải tự phân loại, triển khai biện pháp tương ứng và chịu trách nhiệm trước pháp luật về kết quả bảo vệ. Đây là lựa chọn thực tế vì đơn vị quản lý hiểu rõ mục đích sử dụng, nơi lưu trữ, người được truy cập và hệ thống xử lý hơn cơ quan quản lý nhà nước. Cơ chế hậu kiểm có thể hạn chế thủ tục không cần thiết; tiền kiểm tập trung hơn vào dữ liệu và hệ thống rủi ro cao. Tuy vậy, tự đánh giá không thể chỉ là thao tác trên giấy: nếu phân loại sai, biện pháp bảo vệ và quyết định chuyển dữ liệu cũng có thể sai theo.
Bảo vệ dữ liệu phải xuyên suốt vòng đời, từ thu thập, lưu trữ, xử lý và truyền đưa đến tiêu hủy, thay vì chỉ gia cố nơi lưu trữ hoặc chờ đến khi xảy ra sự cố. Doanh nghiệp có thể bắt đầu bằng việc kiểm kê dữ liệu, làm rõ mục đích sử dụng, vị trí lưu trữ, quyền truy cập và hệ thống có khả năng xử lý. Sau đó cần rà soát quyền, mã hóa phù hợp, giữ bản sao lưu an toàn, thử khả năng phục hồi và chuẩn bị quy trình ứng phó khi dữ liệu mất, rò rỉ hoặc bị truy cập trái phép. Với hộ kinh doanh và doanh nghiệp nhỏ, định hướng áp dụng biện pháp cơ bản theo hướng dẫn chung giúp tránh biến tuân thủ thành gánh nặng đồng loạt.
Hiệu quả phụ thuộc vào cách thực thi
Giá trị lớn nhất của dự thảo là buộc tổ chức xem bảo vệ dữ liệu như một chuỗi quyết định xuyên suốt, không phải một lần mua công cụ hay hoàn thành hồ sơ. Kiểm toán định kỳ từ cấp 3 và kiểm soát chặt hơn với cấp 4, 5 có thể giúp phát hiện điểm yếu trước khi thành sự cố; phân tầng nghĩa vụ cũng tránh áp cùng mức thủ tục cho dữ liệu ít rủi ro và dữ liệu có thể gây hậu quả nghiêm trọng. Nhưng mô hình chỉ đáng tin nếu tiêu chí xếp cấp minh bạch, việc tự đánh giá có thể kiểm chứng và hướng dẫn đủ thực tế cho đơn vị nhỏ.
Vì vậy, tổ chức không nên chờ quy định hoàn tất mới rà soát dữ liệu. Lập danh mục, xác định luồng chia sẻ và phân quyền ngay từ bây giờ vừa giúp chuẩn bị cho Luật An ninh dữ liệu, vừa làm rõ nơi rủi ro có thể phát sinh. Kết luận cốt lõi là trách nhiệm bảo vệ sẽ không giống nhau cho mọi chủ thể, nhưng trách nhiệm đánh giá đúng và bảo vệ đúng vẫn thuộc về đơn vị quản lý dữ liệu ở mọi cấp độ.
