An ninh dữ liệu nhìn từ kinh nghiệm quốc tế: Bảo vệ dữ liệu bằng cách nhận diện đúng rủi ro

Phân loại dữ liệu theo mức độ rủi ro (xanh là dữ liệu rủi ro thấp nhất, đỏ là mức cao nhất) giúp xác định biện pháp bảo vệ tương ứng. Ảnh minh họa tạo bằng AI.

Phân loại để bảo vệ có trọng tâm

Trung Quốc đặt nền tảng cho cách tiếp cận này trong Luật An ninh dữ liệunăm 2021. Điều 21 xác lập cơ chế phân loại, phân cấp dựa trên tầm quan trọng của dữ liệu đối với phát triển kinh tế, xã hội và mức độ thiệt hại khi dữ liệu bị sửa đổi, phá hoại, tiết lộ, thu thập hoặc sử dụng trái phép. Các lợi ích được xem xét bao gồm an ninh quốc gia, lợi ích công cộng và quyền, lợi ích hợp pháp của cá nhân, tổ chức.

Cách thiết kế này đưa hậu quả của sự cố vào trung tâm quyết định bảo vệ. Chẳng hạn, thông tin sản phẩm đã công bố và dữ liệu điều khiển một nhà máy điện có thể cùng nằm trên hạ tầng số, nhưng việc bị sửa đổi sẽ dẫn đến những hệ quả khác nhau. Cơ chế bảo vệ cần phản ánh sự khác biệt ấy.

EU tiếp cận vấn đề từ an ninh hệ thống và tính liên tục của dịch vụ. Chỉ thị NIS2 của EU năm 2022 là khung pháp lý toàn diện về an ninh mạng của Liên minh châu Âu, thiết lập khuôn khổ chung trong 18 lĩnh vực quan trọng, bao gồm năng lượng, vận tải, y tế và hạ tầng số. Phạm vi điều chỉnh gắn với vai trò của chủ thể trong nền kinh tế, xã hội; theo nguyên tắc chung, các tổ chức quy mô vừa và lớn thuộc những lĩnh vực này phải thực hiện nghĩa vụ quản trị rủi ro.

Điều 21 của NIS2 yêu cầu các biện pháp kỹ thuật, vận hành và tổ chức phải phù hợp, tương xứng. Khi xác định mức độ tương xứng, cần xem xét khả năng phơi nhiễm trước rủi ro, quy mô tổ chức, xác suất xảy ra sự cố và mức độ nghiêm trọng, kể cả tác động kinh tế, xã hội. Chi phí triển khai cũng là một yếu tố được tính đến.

Trung Quốc chú trọng phân loại dữ liệu; EU đồng thời chú trọng vai trò của tổ chức và dịch vụ cần bảo vệ. Hai hướng tiếp cận gợi mở việc kết hợp nhiều tiêu chí: dữ liệu có tính chất gì, được sử dụng trong hoạt động nào và sự cố có thể ảnh hưởng đến bao nhiêu người.

Với Việt Nam, đây là cơ sở để cân nhắc thiết kế nghĩa vụ theo từng mức rủi ro. Một cơ sở kinh doanh nhỏ và một đơn vị vận hành hạ tầng thiết yếu cần những yêu cầu phù hợp với hoạt động, năng lực và hậu quả có thể phát sinh.

Danh mục rõ, nghĩa vụ mới rõ

Phân loại chỉ phát huy tác dụng khi tổ chức, doanh nghiệp xác định được mình đang nắm giữ dữ liệu thuộc nhóm nào. Tiêu chí quá rộng có thể khiến doanh nghiệp thận trọng quá mức, kéo dài thủ tục và hạn chế chia sẻ; tiêu chí thiếu cụ thể lại tạo khoảng trống bảo vệ.

Quy định quản lý an ninh dữ liệu mạng của Trung Quốc, có hiệu lực từ ngày 1/1/2025, cụ thể hóa vấn đề này. Điều 29 yêu cầu xây dựng danh mục dữ liệu quan trọng theo địa phương, ngành và lĩnh vực. Khi dữ liệu được xác định là quan trọng, cơ quan liên quan phải thông báo cho bên xử lý hoặc công bố công khai. Điều 30 yêu cầu bên xử lý dữ liệu quan trọng xác định người phụ trách và bộ phận quản lý an ninh dữ liệu; người phụ trách phải thuộc cấp quản lý, có kiến thức chuyên môn và kinh nghiệm phù hợp.

Như vậy, xác định đối tượng bảo vệ được gắn với trách nhiệm tổ chức thực hiện. Doanh nghiệp cần biết dữ liệu nào thuộc diện quản lý đặc biệt; cơ quan quản lý cần cung cấp căn cứ đủ rõ để doanh nghiệp nhận diện và tuân thủ.

Tuy nhiên, danh mục cũng cần khả năng cập nhật. Một bộ dữ liệu có thể thay đổi mức độ rủi ro khi được kết nối với nguồn khác, mở rộng quy mô hoặc đưa vào một hệ thống phục vụ đông đảo người dân. Vì vậy, khi tham khảo kinh nghiệm quốc tế, cần xem xét cả thủ tục rà soát, điều chỉnh và giải thích việc phân loại.

Singapore cung cấp thêm góc nhìn về bối cảnh sử dụng. Theo Cơ quan An ninh mạng Singapore, pháp luật cho phép xác định những hệ thống có rủi ro cao trong một thời gian nhất định, như hệ thống hỗ trợ bầu cử hoặc phân phối vaccine trong đại dịch. Các quy định liên quan bắt đầu có hiệu lực từ ngày 31/10/2025.

Kinh nghiệm này cho thấy nhu cầu bảo vệ có thể tăng lên theo thời điểm và chức năng hệ thống đảm nhiệm. Đối với Việt Nam, cơ chế xác định mức bảo vệ vì thế cần có căn cứ, đầu mối hướng dẫn và khả năng điều chỉnh khi điều kiện vận hành thay đổi.

Đánh giá thực chất, giảm kiểm tra nguy cơ chồng chéo

Một bước triển khai mới đáng chú ý là Biện pháp đánh giá rủi ro an ninh dữ liệu mạng của Trung Quốc, có hiệu lực từ ngày 20/8/2026. Văn bản yêu cầu bên xử lý dữ liệu quan trọng đánh giá rủi ro hằng năm; với dữ liệu thông thường, đánh giá ít nhất ba năm một lần được đặt dưới hình thức khuyến khích. Điều 4 yêu cầu phối hợp kế hoạch để tránh kiểm tra không cần thiết, chồng chéo; Điều 17 không cho phép yêu cầu lặp lại việc thuê tổ chức đánh giá đối với cùng một sự cố hoặc rủi ro. Đây là chi tiết đáng tham khảo trong tổ chức thực thi. Khi nhiều cơ quan cùng có thẩm quyền, hiệu quả quản lý phụ thuộc đáng kể vào khả năng chia sẻ thông tin, phối hợp kiểm tra và sử dụng kết quả đã có.

Hướng dẫn thực hiện do cơ quan quản lý Trung Quốc công bố tháng 8/2026 còn làm rõ đầu mối nhận báo cáo, theo đó, nếu cơ quan chủ quản chưa được xác định, bên xử lý dữ liệu quan trọng gửi báo cáo đến cơ quan quản lý không gian mạng cấp tỉnh hoặc trung ương. Một quy định về nơi tiếp nhận giúp nghĩa vụ có thể được thực hiện ngay trong tình huống chưa rõ thẩm quyền.

Một khuôn khổ bảo vệ hiệu quả cần nối được ba khâu: nhận diện đúng dữ liệu, xác lập nghĩa vụ phù hợp và kiểm chứng việc thực hiện. Khi mỗi nhóm dữ liệu có yêu cầu dễ hiểu, mỗi trách nhiệm có địa chỉ và mỗi cuộc đánh giá dẫn đến biện pháp khắc phục, pháp luật sẽ tạo nền tảng tin cậy để dữ liệu được khai thác an toàn.