Từ phát hiện sớm đến ứng cứu có điều phối
An ninh dữ liệu là việc bảo vệ dữ liệu khỏi nguy cơ bị xâm phạm, sai lệch hoặc khai thác trái phép trong suốt quá trình thu thập, lưu trữ, xử lý, truyền đưa và tiêu hủy. Điểm đáng chú ý của dự thảo là chuyển trọng tâm từ xử lý hậu quả sang theo dõi nguy cơ, cảnh báo sớm và phối hợp hành động khi sự cố xảy ra.
Sáng 26/10, tại Kỳ họp thứ 2, Quốc hội khóa XVI, Bộ trưởng Công an, Đại tướng Lương Tam Quang, thừa ủy quyền của Thủ tướng Chính phủ, trình bày tờ trình dự án Luật An ninh dữ liệu. Dự thảo đề xuất cơ chế theo dõi, cảnh báo sớm sự cố, đồng thời quy định việc báo cáo và điều phối ứng cứu sự cố an ninh dữ liệu. Đây là lựa chọn đúng hướng: cảnh báo chỉ có giá trị nếu thông tin đến được đúng đầu mối và kích hoạt được hành động phối hợp, thay vì để từng đơn vị tự xoay xở sau khi thiệt hại đã lan rộng.
Dự thảo gồm 6 chương, 29 điều và hướng tới khắc phục tình trạng quy định an ninh dữ liệu còn phân tán ở các luật chuyên ngành. Cơ sở pháp lý chung có thể giúp việc ứng cứu sự cố bớt chắp vá, nhưng hiệu quả cuối cùng sẽ phụ thuộc vào quy trình báo cáo rõ ràng và khả năng phối hợp thực tế.
Năm cấp độ để nghĩa vụ đi theo rủi ro
Dự thảo chọn cách quản lý rủi ro theo năm cấp độ, từ cấp độ 1 thấp nhất đến cấp độ 5 cao nhất; việc xếp cấp dựa trên khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra. Đây là hướng hợp lý hơn một bộ nghĩa vụ đồng loạt: dữ liệu ít rủi ro không nên phải gánh cùng mức kiểm soát với hệ thống có thể gây tổn hại lớn cho xã hội hoặc quyền lợi của người dân.
Chủ quản dữ liệu tự xác định cấp độ, áp dụng biện pháp bảo vệ tương ứng và chịu trách nhiệm về kết quả, với cơ chế hậu kiểm là chủ yếu. Dữ liệu cấp độ 1 và 2 gần như không phát sinh thủ tục hành chính; từ cấp độ 3, chủ quản phải đánh giá tác động và kiểm toán định kỳ; hệ thống cấp độ 4 và 5 phải được thẩm định theo quy định. Cách phân tầng này có ý nghĩa thiết thực với tổ chức và doanh nghiệp, đồng thời gián tiếp bảo vệ người dùng khỏi gánh nặng tuân thủ không cần thiết.
Điều đáng theo dõi là chất lượng tự đánh giá và hậu kiểm. Nếu tiêu chí không đủ rõ hoặc việc kiểm tra thiếu nhất quán, phân cấp có thể trở thành hình thức; nếu làm tốt, nguồn lực giám sát sẽ tập trung hơn vào nơi rủi ro cao.
Phòng ngừa xuyên suốt, ứng phó có giới hạn
Dự thảo đặt bảo vệ an ninh dữ liệu trong toàn bộ vòng đời dữ liệu, thay vì chỉ bắt đầu khi có dấu hiệu tấn công. Cách tiếp cận này gắn quản lý rủi ro với phòng ngừa, theo dõi và ứng phó sự cố. Khi biện pháp bảo vệ được tính từ khâu thiết kế hệ thống đến lúc tiêu hủy dữ liệu, cơ quan và doanh nghiệp có cơ hội phát hiện điểm yếu sớm hơn, thay vì chỉ khắc phục khi sự cố đã gây hậu quả.
Một nguyên tắc quan trọng là biện pháp kỹ thuật khẩn cấp cần ưu tiên phương án ít hạn chế quyền nhất. Đây là giới hạn cần thiết: ứng cứu nhanh không nên trở thành lý do để áp dụng biện pháp rộng hơn mức cần thiết. Tính tương xứng phải được thể hiện trong lựa chọn công cụ, phạm vi tác động và thời gian áp dụng, nhất là khi hoạt động xử lý dữ liệu liên quan trực tiếp đến quyền và lợi ích hợp pháp của cá nhân, tổ chức.
Dự thảo được xây dựng nhằm tạo cơ sở pháp lý để Nhà nước bảo vệ dữ liệu thuộc quyền tài phán của Việt Nam, bảo vệ quyền lợi hợp pháp và tạo điều kiện phát triển kinh tế dữ liệu. Vì vậy, cơ chế cảnh báo và ứng cứu chỉ thuyết phục khi vừa bảo vệ được dữ liệu, vừa tránh can thiệp quá mức.
Triển khai theo lộ trình, không kiểm soát đồng loạt
Tư duy phân tầng còn thể hiện ở việc hạn chế thủ tục trùng lặp giữa các quy định liên quan. Dự thảo nêu nguyên tắc một đối tượng, một nội dung rủi ro chỉ được đánh giá, thẩm định, kiểm tra một lần; cách phân định này nhằm giảm việc tổ chức, doanh nghiệp phải làm lại thủ tục cho cùng một nội dung. Với dữ liệu cấp độ thấp, gần như không phát sinh thủ tục hành chính, nên hoạt động thông thường có thể được duy trì thuận lợi hơn.
Các bước tiếp theo cũng được định hướng theo lộ trình thay vì áp dụng đồng loạt. Mật mã an ninh bảo vệ bí mật nhà nước trước mắt được sử dụng trong lực lượng Công an nhân dân, sau đó đánh giá hiệu quả trước khi xem xét mở rộng; việc chuyển đổi sang mật mã kháng lượng tử hoặc mật mã lượng tử cũng phụ thuộc năng lực công nghệ và điều kiện thực tế.
Kết luận, dự thảo đưa ra một khuôn khổ có logic: cảnh báo sớm để chủ động, điều phối để ứng cứu thống nhất và phân cấp để nghĩa vụ tương xứng nguy cơ. Giá trị của luật sẽ không nằm ở số lượng quy định, mà ở việc thực thi minh bạch, kiểm soát được quyền lực và bảo vệ dữ liệu mà không tạo thêm rào cản cho những hoạt động rủi ro thấp.
