Trong kỷ nguyên chuyển đổi số, dữ liệu không còn đơn thuần là thông tin được lưu trữ, xử lý mà đã trở thành một loại tư liệu sản xuất đặc biệt, một tài sản chiến lược quyết định năng lực cạnh tranh, sự ổn định kinh tế và an ninh của mỗi quốc gia. Chủ quyền quốc gia trên không gian số không chỉ dừng lại ở việc bảo vệ hạ tầng mạng mà còn mở rộng sang quyền quản lý, kiểm soát và bảo vệ dữ liệu. Trước những nguy cơ, thách thức ngày càng gia tăng đối với an ninh dữ liệu, việc xây dựng, ban hành Luật An ninh dữ liệu là yêu cầu cấp thiết nhằm hoàn thiện hệ thống pháp luật, bảo vệ chủ quyền dữ liệu quốc gia, bảo đảm quyền, lợi ích hợp pháp của tổ chức, cá nhân và tạo nền tảng cho phát triển kinh tế số bền vững.
Thực tiễn công tác bảo đảm an ninh mạng, an ninh dữ liệu tại Việt Nam thời gian qua cho thấy mức độ rủi ro ngày càng gia tăng cả về quy mô lẫn tính chất. Số vụ tấn công mạng có chủ đích, trong đó phần lớn nhằm trực tiếp vào dữ liệu, có xu hướng tăng nhanh qua từng năm. Đáng chú ý, đã xuất hiện sự chuyển dịch rõ rệt từ các đợt tấn công dàn trải sang những chiến dịch tấn công có chủ đích, kéo dài, xâm nhập sâu và âm thầm thu thập dữ liệu trong thời gian dài trước khi bị phát hiện.
Cùng với đó, tình trạng dữ liệu cá nhân bị rao bán trái phép trên các diễn đàn ngầm diễn ra ở quy mô lớn; thiệt hại kinh tế do lừa đảo trực tuyến, mã độc tống tiền gây ra là rất đáng kể. Các nguy cơ, thách thức đối với an ninh dữ liệu không chỉ tác động đến hoạt động của cơ quan, tổ chức, doanh nghiệp mà còn trực tiếp ảnh hưởng đến quyền, lợi ích hợp pháp của người dân, trật tự, an toàn xã hội và an ninh quốc gia.
Quy mô và tốc độ gia tăng của rủi ro an ninh dữ liệu đang vượt xa năng lực ứng phó hiện có. Nếu không có một thể chế đủ mạnh để quản lý rủi ro ngay từ gốc, nguy cơ bị động, lúng túng trong ứng phó sự cố sẽ ngày càng lớn, gây thiệt hại cho cơ quan, tổ chức, cá nhân, thậm chí ảnh hưởng nghiêm trọng đến an ninh quốc gia.
Thực tiễn đó đòi hỏi phải có một khung pháp lý đủ mạnh, toàn diện và thống nhất, cho phép chủ động nhận diện, phòng ngừa, kiểm soát các nguy cơ mất an ninh dữ liệu ngay từ đầu, thay vì chỉ tập trung xử lý, khắc phục hậu quả sau khi sự cố đã xảy ra.
Ngày 26/10/2026, tại phiên toàn thể Kỳ họp thứ 2, Quốc hội khóa XVI, Bộ trưởng Bộ Công an
Lương Tam Quang đã thừa ủy quyền của Thủ tướng Chính phủ trình bày Tờ trình về dự án
Luật An ninh dữ liệu. Về dự án Luật An ninh dữ liệu, dự thảo luật gồm 6 chương, 29 điều, quy định nguyên tắc, biện pháp bảo vệ an ninh dữ liệu; quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân và nội dung quản lý nhà nước về an ninh dữ liệu. Luật áp dụng đối với cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam; tổ chức, cá nhân nước ngoài ở ngoài lãnh thổ Việt Nam có hoạt động xử lý dữ liệu thuộc quyền tài phán của Việt Nam hoặc có hành vi xâm phạm an ninh dữ liệu của Việt Nam.
Dự thảo luật quy định 5 cấp độ rủi ro an ninh dữ liệu; chủ quản dữ liệu tự xác định cấp độ, áp dụng biện pháp bảo vệ tương xứng và chịu trách nhiệm về kết quả xác định, theo cơ chế hậu kiểm là chủ yếu. Chủ quản dữ liệu từ Cấp độ 3 trở lên có trách nhiệm đánh giá tác động, kiểm toán an ninh dữ liệu định kỳ; hệ thống xử lý dữ liệu Cấp độ 4, Cấp độ 5 phải được thẩm định theo quy định. Các biện pháp bảo vệ được áp dụng xuyên suốt từ khâu thiết kế hệ thống đến khi tiêu hủy dữ liệu.
Dự thảo luật quy định trách nhiệm bảo vệ an ninh dữ liệu đối với hạ tầng số, hạ tầng dữ liệu quốc gia trọng yếu, hệ thống vật lý - số, hoạt động xử lý dữ liệu quy mô lớn và chuỗi cung ứng sản phẩm, dịch vụ dữ liệu. Đối với hoạt động nghiên cứu, phát triển, ứng dụng trí tuệ nhân tạo, dự thảo luật yêu cầu kiểm soát nguồn gốc, bảo đảm tính nguyên vẹn của dữ liệu huấn luyện và dữ liệu dẫn xuất; phòng, chống hành vi đầu độc dữ liệu, trích xuất dữ liệu trái phép; bảo đảm con người có khả năng can thiệp, kiểm soát đối với hoạt động ra quyết định tự động theo quy định của pháp luật.
Dự thảo luật cũng quy định Bộ Công an chủ trì thực hiện quản lý nhà nước về an ninh dữ liệu; Bộ Quốc phòng quản lý đối với dữ liệu, hệ thống thông tin quân sự; hệ thống thông tin cơ yếu do Ban Cơ yếu Chính phủ quản lý. Lực lượng bảo vệ an ninh dữ liệu được bố trí trên cơ sở tổ chức, biên chế hiện có, không hình thành tổ chức, bộ máy mới; quy định nguyên tắc một bộ hồ sơ, một thủ tục, một đầu mối đối với các nội dung trùng lặp giữa các luật có liên quan; công nhận kết quả đã thực hiện hợp pháp theo pháp luật khác; tích hợp hoạt động thẩm định, báo cáo qua hệ thống điện tử thống nhất. Nhà nước có chính sách phát triển công nghiệp an ninh dữ liệu, phát triển nguồn nhân lực và hỗ trợ doanh nghiệp.
Những điểm mới đáng chú ý 1. Chủ quản dữ liệu phải chủ động nhận diện và chịu trách nhiệm về rủi ro Một điểm mới đáng chú ý khác là dự thảo đề cao trách nhiệm chủ động của chủ quản dữ liệu. Theo hướng đề xuất, chủ quản dữ liệu có trách nhiệm tự xác định cấp độ rủi ro an ninh dữ liệu, lựa chọn và áp dụng các biện pháp bảo vệ tương ứng, đồng thời chịu trách nhiệm về kết quả xác định của mình. Cơ quan quản lý nhà nước chuyển mạnh từ tư duy tiền kiểm sang
hậu kiểm là chủ yếu, tập trung kiểm tra, giám sát đối với những dữ liệu và hệ thống có mức độ rủi ro cao. Cách tiếp cận này vừa nâng cao trách nhiệm tự quản của cơ quan, tổ chức, doanh nghiệp, vừa hạn chế phát sinh các thủ tục hành chính không cần thiết đối với những dữ liệu thông thường. Điều đó cũng đặt ra yêu cầu các cơ quan, doanh nghiệp không thể chỉ chờ cơ quan chức năng kiểm tra mà phải tự mình thường xuyên rà soát, đánh giá nguy cơ và chủ động triển khai các biện pháp bảo vệ dữ liệu.
2. Bảo vệ dữ liệu trong toàn bộ vòng đời, từ khi hình thành đến khi tiêu hủy
Dự thảo Luật An ninh dữ liệu tiếp cận vấn đề bảo vệ dữ liệu theo toàn bộ vòng đời của dữ liệu, thay vì chỉ tập trung vào thời điểm xảy ra sự cố hoặc bị tấn công mạng. Theo đó, dữ liệu cần được bảo đảm an ninh từ quá trình thu thập, lưu trữ, xử lý, truyền đưa, chia sẻ, khai thác cho đến khi tiêu hủy. Cách tiếp cận này có ý nghĩa rất quan trọng bởi trên thực tế, dữ liệu không chỉ bị xâm phạm thông qua các cuộc tấn công mạng mà còn có thể bị lộ lọt từ những sơ hở trong quá trình quản lý, phân quyền truy cập, sử dụng thiết bị, thuê dịch vụ công nghệ, sao lưu hoặc chia sẻ cho bên thứ ba. Vì vậy, bảo vệ dữ liệu phải được thực hiện liên tục trong suốt quá trình dữ liệu tồn tại và được sử dụng, qua đó chuyển trọng tâm từ xử lý hậu quả sang chủ động phòng ngừa nguy cơ ngay từ đầu.
3. Tăng cường kiểm soát rủi ro đối với dữ liệu xuyên biên giới
Trong nền kinh tế số, dữ liệu có thể được lưu trữ, xử lý và truyền đưa qua nhiều quốc gia, đặc biệt thông qua điện toán đám mây, thương mại điện tử, nền tảng số và các dịch vụ xuyên biên giới. Dự thảo Luật An ninh dữ liệu đặt ra cơ chế quản lý đối với hoạt động chuyển và xử lý dữ liệu xuyên biên giới trên cơ sở mức độ rủi ro. Theo đó, dữ liệu có mức độ rủi ro thấp được tạo điều kiện cho việc lưu chuyển, phục vụ hoạt động sản xuất, kinh doanh và hội nhập quốc tế; trong khi dữ liệu có mức độ rủi ro cao phải chịu các yêu cầu kiểm soát chặt chẽ hơn. Cách tiếp cận này nhằm hài hòa giữa yêu cầu bảo đảm chủ quyền, an ninh dữ liệu quốc gia với nhu cầu lưu chuyển dữ liệu hợp pháp trong môi trường kinh tế số và hội nhập quốc tế. Đặc biệt, đối với những dữ liệu nếu bị mất kiểm soát có thể ảnh hưởng đến quốc phòng, an ninh hoặc lợi ích quốc gia, yêu cầu bảo vệ và kiểm soát sẽ được đặt ở mức cao hơn.
4. Chủ động bảo đảm an ninh dữ liệu trong ứng dụng trí tuệ nhân tạo
Một trong những nội dung thể hiện tính cập nhật của dự thảo là đã tính đến những nguy cơ mới phát sinh từ sự phát triển nhanh chóng của trí tuệ nhân tạo. Đối với các hệ thống AI xử lý dữ liệu có mức độ rủi ro cao, vấn đề bảo đảm nguồn gốc, tính chính xác và toàn vẹn của dữ liệu đầu vào, dữ liệu huấn luyện trở nên đặc biệt quan trọng. Dự thảo đặt ra yêu cầu phòng ngừa các nguy cơ như “đầu độc dữ liệu”, trích xuất dữ liệu trái phép hoặc lợi dụng hệ thống AI để làm lộ, sai lệch dữ liệu; đồng thời bảo đảm khả năng con người can thiệp, kiểm soát đối với các hoạt động ra quyết định tự động có rủi ro cao. Điều này cho thấy pháp luật đang từng bước thích ứng với những nguy cơ an ninh mới của thời đại AI, trong đó dữ liệu không chỉ là nguyên liệu đầu vào của trí tuệ nhân tạo mà còn là đối tượng cần được bảo vệ trong chính quá trình AI hoạt động.
5. Bảo vệ dữ liệu trong toàn bộ chuỗi cung ứng
Dữ liệu của một cơ quan, tổ chức, doanh nghiệp không chỉ có nguy cơ bị xâm phạm từ hệ thống nội bộ mà còn có thể bị ảnh hưởng thông qua các nhà cung cấp phần mềm, dịch vụ điện toán đám mây, đơn vị bảo trì, đối tác công nghệ hoặc các bên thứ ba có quyền truy cập vào hệ thống. Vì vậy, dự thảo đặt vấn đề bảo đảm an ninh dữ liệu trong toàn bộ chuỗi cung ứng. Chủ quản dữ liệu cần đánh giá rủi ro đối với các đối tác, kiểm soát phạm vi và thời gian truy cập, quy định rõ trách nhiệm bảo vệ dữ liệu trong hợp đồng, giám sát hoạt động truy cập và kịp thời thu hồi quyền truy cập khi không còn cần thiết hoặc khi phát hiện nguy cơ. Điều này đặt ra yêu cầu mới đối với các cơ quan, doanh nghiệp: bảo vệ dữ liệu không còn là nhiệm vụ riêng của bộ phận công nghệ thông tin mà phải trở thành trách nhiệm của toàn bộ tổ chức và các chủ thể tham gia vào quá trình cung cấp, quản lý và xử lý dữ liệu.
Trọng Vọng – Phòng An ninh mạng
Đánh giá bài viết: