Hưng Yên siết chia sẻ dữ liệu và an ninh mạng trong khối chính quyền

UBND tỉnh Hưng Yên ban hành Quy chế quản lý, vận hành, khai thác, chia sẻ dữ liệu và bảo đảm an ninh mạng đối với các hệ thống thông tin, nền tảng số của tỉnh thuộc khối chính quyền, do Phó Chủ tịch UBND tỉnh Lê Quang Hòa ký thay Chủ tịch. Văn bản gồm 5 chương với 25 điều, được xây dựng theo đề nghị của Giám đốc Công an tỉnh tại Tờ trình số 7794/TTr-CAT-PV01 ngày 29/9/2026, dựa trên Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân, Luật An ninh mạng cùng loạt nghị định hướng dẫn về kết nối, chia sẻ dữ liệu bắt buộc giữa các cơ quan thuộc hệ thống chính trị.

Ảnh Sở KH&CN Hưng Yên

Đối tượng chịu sự điều chỉnh gồm các sở, ban, ngành tỉnh, Ủy ban nhân dân các xã, phường, đơn vị sự nghiệp công lập thuộc UBND tỉnh, đơn vị thuộc sở cùng cán bộ, công chức, viên chức, người lao động được cấp quyền khai thác dữ liệu dùng chung. Cơ quan Trung ương tổ chức theo ngành dọc đóng trên địa bàn cũng phải tuân thủ khi tham gia kết nối, chia sẻ dữ liệu với tỉnh, còn cơ quan Đảng, Ủy ban Mặt trận Tổ quốc Việt Nam và các tổ chức chính trị xã hội cấp tỉnh được áp dụng trên cơ sở thống nhất với cơ quan có thẩm quyền. Quy chế nhắm vào dữ liệu không chứa bí mật nhà nước, song danh mục hành vi bị cấm, trách nhiệm rà soát, phân loại trước khi chia sẻ dữ liệu và nghĩa vụ báo cáo sự cố khẩn cấp vẫn áp dụng với cả dữ liệu mật để giữ an ninh mạng chung cho toàn bộ hệ thống của tỉnh.

Mỗi loại dữ liệu chỉ có một đơn vị chủ quản

Quy chế xác định dữ liệu phát sinh từ hoạt động của cơ quan nhà nước là tài nguyên của tỉnh, mỗi loại dữ liệu chỉ có một đơn vị chủ quản, tránh phân tán, trùng lặp và cát cứ. Nguyên tắc xuyên suốt là “mở mặc định, bảo vệ đặc biệt”. Theo đó, các cơ quan có trách nhiệm chia sẻ dữ liệu theo chuẩn thống nhất trong phạm vi quản lý, còn dữ liệu cá nhân, dữ liệu quan trọng và dữ liệu cốt lõi chỉ được chia sẻ khi đáp ứng đủ điều kiện.

Dữ liệu được thu thập một lần, cập nhật tại nguồn và tái sử dụng nhiều lần. Vì vậy, cơ quan giải quyết thủ tục hành chính phải chủ động khai thác thông tin trong kho dữ liệu dùng chung, không yêu cầu người dân nộp lại giấy tờ đã có. Quy chế cũng khẳng định an ninh, an toàn dữ liệu không thể đánh đổi để lấy tiến độ hay sự thuận tiện, đồng thời ưu tiên cơ chế chia sẻ thường xuyên, tự động và có phân quyền thay cho việc đề nghị cung cấp dữ liệu theo từng vụ việc.

Dữ liệu của tỉnh được rà soát và xếp vào 7 nhóm danh mục gồm dữ liệu gốc, dữ liệu chủ, dữ liệu tham chiếu, dữ liệu chủ chuyên ngành, dữ liệu dùng chung, dữ liệu mở và dữ liệu chia sẻ có điều kiện. Đơn vị chủ quản lập danh mục gửi Sở Khoa học và Công nghệ rà soát chuẩn kỹ thuật, Công an tỉnh cho ý kiến với phần dữ liệu có yếu tố cá nhân, quan trọng, cốt lõi hoặc liên quan an ninh trật tự, sau đó UBND tỉnh ban hành, công bố trên Cổng thông tin điện tử tỉnh và rà soát ít nhất mỗi năm một lần. Dữ liệu chứa bí mật nhà nước tuyệt đối không được đưa vào danh mục dữ liệu dùng chung hay danh mục dữ liệu mở.

Dữ liệu dùng chung phải đạt 6 tiêu chí đúng, đủ, sạch, sống, thống nhất và dùng chung, được kiểm tra qua ba lớp, từ đầu vào tại đơn vị chủ quản, trong quá trình truyền tải cho tới kiểm tra chéo sau khi đồng bộ về kho chung. Khi nhận phản ánh dữ liệu sai lệch, thiếu hoặc trùng lặp, đơn vị chủ quản phải hiệu chỉnh tại nguồn trong 5 ngày làm việc, trường hợp phức tạp không quá 15 ngày làm việc, đồng thời lưu vết giá trị trước và sau khi sửa. Kết quả tự đánh giá chất lượng dữ liệu được gửi Công an tỉnh tổng hợp và dùng để chấm chỉ số chuyển đổi số, thi đua, khen thưởng, xếp loại cơ quan. Mỗi hệ thống thông tin, nền tảng số phải hoạt động liên tục, ổn định tối thiểu 99% thời gian.

Hạn cuối kết nối, chia sẻ dữ liệu là 31/12/2026

Việc kết nối, chia sẻ dữ liệu đi qua hệ thống trung gian theo thứ tự ưu tiên, trước hết là Nền tảng chia sẻ, điều phối dữ liệu của Trung tâm dữ liệu quốc gia, tiếp đến Nền tảng tích hợp, chia sẻ dữ liệu quốc gia, sau cùng là nền tảng tích hợp, chia sẻ dữ liệu của tỉnh (LGSP) do Sở Khoa học và Công nghệ quản lý, vận hành. Kết nối trực tiếp giữa hai hệ thống chỉ được thực hiện khi không thể đi qua trung gian và có chấp thuận của cấp có thẩm quyền. Chậm nhất ngày 31/12/2026, các cơ quan, đơn vị phải hoàn thành chuẩn hóa và kết nối, chia sẻ dữ liệu bắt buộc qua Nền tảng chia sẻ, điều phối dữ liệu theo Nghị định 278/2025/NĐ-CP.

Muốn gắn vào nền tảng chia sẻ dữ liệu của tỉnh, hệ thống phải có hồ sơ đề xuất cấp độ an toàn được phê duyệt, riêng hệ thống đồng bộ dữ liệu về Trung tâm dữ liệu quốc gia phải đạt cấp độ 3 trở lên. Trước khi vận hành chính thức, hệ thống phải qua kiểm thử xâm nhập thực tế, khắc phục toàn bộ lỗ hổng ở mức nghiêm trọng và có văn bản xác nhận an toàn của cơ quan chuyên trách an ninh mạng, đồng thời dùng mạng truyền số liệu chuyên dùng hoặc kênh truyền an toàn tương đương.

Cơ quan cần khai thác dữ liệu gửi văn bản đề nghị tới đơn vị chủ quản, đồng gửi Sở Khoa học và Công nghệ. Trong 7 ngày làm việc kể từ khi nhận đủ hồ sơ, đơn vị chủ quản phải phê duyệt hoặc trình cấp có thẩm quyền, trường hợp liên quan nhiều cơ quan không quá 15 ngày làm việc, rồi có thêm 10 ngày làm việc để thiết lập kết nối, cấp quyền và kiểm thử. Việc từ chối chia sẻ dữ liệu chỉ được phép trong 4 trường hợp, gồm pháp luật không cho phép, đề nghị không phù hợp chức năng, hệ thống tiếp nhận không đủ điều kiện hoặc dữ liệu không thuộc phạm vi quản lý, và phải trả lời bằng văn bản nêu rõ lý do, căn cứ pháp lý. Các cơ quan khai thác dữ liệu dùng chung của tỉnh không phải trả phí, trừ khi pháp luật quy định khác.

Quy chế dành riêng các quy định cho việc ứng dụng trí tuệ nhân tạo (AI). Khi sử dụng dữ liệu dùng chung để vận hành AI, xây dựng mô hình dự báo hoặc bảng điều khiển, cơ quan phải xác định rõ nguồn dữ liệu, các trường dữ liệu dùng để huấn luyện, biện pháp ẩn danh hóa, mã hóa và cơ chế kiểm tra kết quả đầu ra.

Các cơ quan không được đưa dữ liệu cá nhân, dữ liệu quan trọng, dữ liệu cốt lõi hoặc dữ liệu chứa bí mật nhà nước lên hệ thống AI, dịch vụ điện toán đám mây hay nền tảng công cộng bên ngoài khi chưa được phê duyệt. Kết quả do AI tạo ra chỉ có giá trị tham khảo, không thay thế trách nhiệm xem xét và quyết định của người có thẩm quyền.

Quy chế cũng cấm sử dụng AI, kỹ thuật giả mạo deepfake, công cụ tự động hoặc mã độc để bóp méo dữ liệu của cơ quan nhà nước. Hành vi tạo cửa sau (backdoor) hoặc mở cổng truy cập từ xa thiếu an toàn cho bên thứ ba cũng thuộc danh mục bị cấm.

Mọi truy cập, khai thác dữ liệu phải qua tài khoản định danh cho từng cá nhân theo nguyên tắc quyền tối thiểu cần thiết, nghiêm cấm dùng chung tài khoản. Tài khoản quản trị và tài khoản truy cập dữ liệu cá nhân nhạy cảm, dữ liệu quan trọng, dữ liệu cốt lõi phải xác thực nhiều yếu tố, danh sách người được cấp quyền rà soát tối thiểu 6 tháng một lần. Người chuyển công tác hay thôi việc bị thu hồi quyền truy cập ngay, phải bàn giao tài khoản, khóa truy cập và xóa dữ liệu còn lưu trên thiết bị cá nhân, trong khi dữ liệu đã trích xuất không được lưu trên thiết bị cá nhân, tài khoản cá nhân hay dịch vụ lưu trữ công cộng.

Nhật ký truy cập phải ghi đủ tài khoản, thời điểm, thiết bị, loại thao tác, phạm vi dữ liệu tác động và giá trị trước, sau khi thay đổi, lưu tối thiểu 12 tháng, riêng hệ thống dùng chung, dữ liệu cá nhân nhạy cảm, dữ liệu quan trọng, dữ liệu cốt lõi lưu tối thiểu 24 tháng. Dữ liệu dùng chung của tỉnh phải đặt trên hạ tầng tại Việt Nam, việc lưu trữ trên điện toán đám mây do tổ chức nước ngoài cung cấp chỉ được làm khi có phê duyệt sau ý kiến của Công an tỉnh và Sở Khoa học và Công nghệ. Phương án sao lưu phải được thử nghiệm phục hồi ít nhất mỗi năm một lần.

Khi phát hiện sự cố, cơ quan phải báo đơn vị chủ quản, Sở Khoa học và Công nghệ và Công an tỉnh trong không quá 24 giờ. Với sự cố an ninh mạng nghiêm trọng như mã hóa dữ liệu tống tiền (ransomware), tấn công phá hoại, rò rỉ dữ liệu quy mô lớn hay lộ lọt bí mật nhà nước, cơ quan phải báo ngay qua đường dây nóng và gửi thông báo cho Công an tỉnh trong không quá 2 giờ. Quy chế yêu cầu đơn vị vận hành chỉ ngắt kết nối Internet, mạng nội bộ để cô lập hệ thống, tuyệt đối không tắt nguồn máy chủ, không khởi động lại, không cài lại hệ điều hành hay định dạng ổ đĩa khi chưa có hướng dẫn của lực lượng chuyên trách an ninh mạng thuộc Công an tỉnh, nhằm giữ chứng cứ truy tìm thủ phạm. Dịch vụ kết nối, chia sẻ dữ liệu phải khôi phục trong tối đa 1 ngày làm việc, quá hạn phải báo UBND tỉnh phương án xử lý.

Nếu dữ liệu cá nhân bị lộ, cơ quan phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện và báo cho người bị ảnh hưởng chậm nhất 72 giờ kể từ khi xác định được phạm vi, qua thư điện tử, tin nhắn, văn bản hoặc ứng dụng định danh điện tử. Trường hợp không xác định đủ người bị ảnh hưởng hoặc phạm vi lớn, thông báo phải đăng công khai trên Cổng thông tin điện tử tỉnh. Với sự cố lộ lọt nghiêm trọng, người đứng đầu cơ quan phải tổ chức xin lỗi, cải chính công khai, việc bồi thường thực hiện theo quy định của pháp luật.

Nhà thầu không được dùng dữ liệu thật để kiểm thử

Mọi dự án, gói mua sắm hay thuê dịch vụ có xây dựng cơ sở dữ liệu, nền tảng chia sẻ dữ liệu hoặc xử lý dữ liệu nhạy cảm phải lấy ý kiến Sở Khoa học và Công nghệ về kiến trúc và ý kiến Công an tỉnh về an ninh mạng trước khi phê duyệt. Nhà thầu phải ký cam kết bảo mật, không được sao chép, thương mại hóa hay dùng dữ liệu của tỉnh để huấn luyện mô hình AI ngoài phạm vi hợp đồng, và không được nhận dữ liệu thật để lập trình, kiểm thử tính năng mà chỉ dùng dữ liệu giả lập hoặc đã ẩn danh hóa trên môi trường riêng. Khi hợp đồng kết thúc, đơn vị chủ trì thu hồi đầy đủ dữ liệu, tài khoản, mã nguồn và yêu cầu bên cung cấp xóa toàn bộ dữ liệu của tỉnh, có xác nhận bằng văn bản.

Công an tỉnh được giao chủ trì hướng dẫn, kiểm tra toàn bộ phần an ninh mạng và an ninh dữ liệu, có quyền yêu cầu tạm dừng, ngắt kết nối hoặc đình chỉ vận hành hệ thống vi phạm nghiêm trọng quy chuẩn kỹ thuật, có nguy cơ gây hậu quả đặc biệt nghiêm trọng đến an ninh quốc gia. Sở Khoa học và Công nghệ giữ vai trò đầu mối chuyên môn, kỹ thuật về kết nối, chia sẻ dữ liệu và điều phối xử lý sự cố kỹ thuật trên hệ thống dùng chung.

Các cơ quan, đơn vị phải gửi báo cáo hợp nhất hằng năm trước ngày 15/12 cho Công an tỉnh và Sở Khoa học và Công nghệ. Hệ thống, kết nối và thỏa thuận chia sẻ dữ liệu đã có trước ngày quy chế có hiệu lực được dùng tiếp, nhưng trong 12 tháng phải rà soát, điều chỉnh cho phù hợp, nếu không điều chỉnh được thì chấm dứt. Tổ chức, cá nhân làm sai quy chế, tùy mức độ, có thể bị kỷ luật, xử phạt hành chính hoặc truy cứu trách nhiệm hình sự, kết quả thực hiện được tính vào xếp loại hoàn thành nhiệm vụ và thi đua hằng năm.