Kiến trúc số quốc gia: Đặt nền móng cho một hạ tầng 'liên thông – an toàn – bền vững'

“Đường cao tốc số” cần luật chơi chung

Việt Nam đã có ba trụ cột pháp lý để bứt tốc chuyển đổi số: Luật Giao dịch điện tử 2023 có hiệu lực từ 1/7/2024, cho phép giao dịch điện tử rộng hơn trước; Nghị định 13/2023 về bảo vệ dữ liệu cá nhân lần đầu đặt ra nguyên tắc, quyền và trách nhiệm rõ ràng; và Nghị định 69/2024 về định danh, xác thực điện tử cùng căn cước điện tử có hiệu lực từ 1/7/2024.

Ba “điểm tựa” này là nền để thiết kế mọi quy trình số, từ cách người dân đăng nhập đến cách cơ quan Nhà nước chia sẻ dữ liệu một cách hợp pháp và an toàn.

Đường cao tốc số. Ảnh minh họa

Bên cạnh pháp lý, thế giới cũng đã chốt các “chuẩn chơi” về an ninh và vận hành. NIST SP 800-207 định nghĩa Zero Trust Architecture (ZTA) – không tự động tin cậy bất kỳ thiết bị hay người dùng nào, mọi truy cập đều phải được xác minh liên tục; NIST SP 1800-35 công bố năm 2025 đưa ra 19 mô hình triển khai tham khảo để các tổ chức có thể làm theo; còn NIST CSF 2.0 ra mắt 2/2024 bổ sung hàm Govern để đưa an ninh mạng lên thành rủi ro cấp điều hành. Những mốc này định hướng kỹ thuật rất cụ thể cho một kiến trúc số quốc gia an toàn.

Nhận diện số thống nhất và “chợ API” giúp chạy nhanh, chạy xa – Bài học từ Singapore

Kinh nghiệm Singapore cho thấy, một hệ sinh thái định danh số trưởng thành sẽ kéo theo dịch vụ công trực tuyến sâu và rộng. Singpass hiện được 4,2 triệu người dùng, tích hợp 2.700 dịch vụ, xử lý trung bình 41 triệu giao dịch mỗi tháng (cập nhật 10/4/2025). Từ 1/11/2021, tất cả cơ quan Chính phủ Singapore chấp nhận Digital IC trên ứng dụng Singpass cho giao dịch trực tiếp, giúp người dân “khỏi quên mang thẻ”.

Đi cùng định danh là “chợ API” APEX, nền tảng chia sẻ API và dữ liệu dùng chung toàn Chính phủ.

APEX đang xử lý hơn 100 triệu lượt gọi API mỗi tháng, tập hợp khoảng 2.400 API chức năng từ 31 cơ quan, với dashboard giám sát tình trạng, phân tích lưu lượng, và mô hình tự phục vụ cho các bên phát triển.

APEX cũng có APEX Marketplace để cơ quan xuất bản API, quản lý khóa, và theo dõi thống kê truy cập; và APEX Cloud với chỉ số SLA 99,9%. Các nền tảng này giúp dịch vụ công lắp ghép nhanh, giảm trùng lặp, và đo lường được chất lượng liên thông.

Làm sao “liên thông” mà vẫn “an toàn” và “tôn trọng quyền riêng tư”?

Một là, liên thông dữ liệu không đồng nghĩa “đổ dữ liệu về một chỗ”. Mô hình X-Road của Estonia cho thấy cách kết nối các hệ thống tại nguồn qua security server, mọi gói tin đều được ký số, mã hóa, đóng dấu thời gian và ghi log để đảm bảo tính không chối bỏ. Kiến trúc phân tán này tránh điểm nghẽn và giảm rủi ro rò rỉ dữ liệu tập trung.

Hai là, quyền riêng tư và an toàn dữ liệu phải được “cài” vào quy trình ngay từ thiết kế. Nghị định 13/2023 yêu cầu xử lý dữ liệu có mục đích, có đồng ý, thông báo vi phạm trong 72 giờ, và áp dụng Privacy by Design. Khi ghép vào nền tảng định danh theo Nghị định 69/2024, ta có đầy đủ “hộp số” pháp lý để kiểm soát truy cập dữ liệu công – tư theo nguyên tắc tối thiểu cần thiết.

Ba là, an ninh hệ thống ở quy mô quốc gia cần Zero Trust làm nguyên tắc mặc định: không ngầm tin cậy theo vùng mạng; xác minh liên tục danh tính, thiết bị, trạng thái phiên; thi hành chính sách theo bối cảnh; và giám sát liên tục. SP 800-207 nêu khái niệm và mô hình chung; SP 1800-35 chỉ cách lắp ghép các công nghệ sẵn có thành 19 phương án triển khai điển hình.

Bốn nhóm giải pháp: đi từ “thiết kế đẹp” đến “vận hành tốt”

1. DPI + API Exchange – hạ tầng công cộng số như đường điện, đường nước

Một là, định nghĩa rõ Digital Public Infrastructure (DPI) của Việt Nam gồm ba lớp cốt lõi: định danh – dữ liệu – trao đổi/ thanh toán/ liên thông. Trên đó, xây API Exchange quốc gia như một “chợ API” đặt trong nền tảng tích hợp, chia sẻ dữ liệu quốc gia, đóng vai trò quản trị vòng đời API: công bố, cấp quyền, giám sát SLA, phân tích lưu lượng, phiên bản hóa. Mô hình APEX cho thấy lợi ích: dùng chung hạ tầng, tự phục vụ, có số liệu giám sát minh bạch, giúp cơ quan “lắp ghép” dịch vụ nhanh.

Digital Public Infrastructure. Ảnh minh họa

Hai là, công bố catalog tiêu chuẩn kỹ thuật bắt buộc cho DPI: định dạng dữ liệu, chuẩn log và telemetry, bảo mật đường truyền, ký số, định danh tổ chức, và cơ chế đánh giá phù hợp/chứng nhận để tránh “mỗi nơi một kiểu”.

2. Zero Trust mặc định: an ninh là tính năng, không phải “phụ kiện”

Một là, nâng ZTA thành nguyên tắc bắt buộc trong khung kiến trúc: từ phân tách vai trò policy decision và enforcement, tới xác minh liên tục và kiểm soát truy cập theo bối cảnh.

Nguyên tắc Zero Trust

Hai là, lập SOC Chính phủ thu thập log/telemetry chuẩn hóa, săn tìm mối đe dọa liên ngành, thử thách định kỳ bằng red-team. Ba là, bắt đầu lộ trình mật mã hậu lượng tử (PQC) cho các dịch vụ chủ chốt như định danh, ký số. Lộ trình này có thể bám theo tài liệu và khuyến nghị của NIST, giảm nguy cơ “vỡ chuẩn” khi PQC được chuẩn hóa rộng rãi.

3. Liên thông kiểu X-Road + phương pháp “building blocks” của GovStack

Một là, chọn triết lý “dữ liệu ở nguyên nguồn, chia sẻ qua trung gian an toàn” như X-Road: cơ quan muốn cấp/nhận dịch vụ phải có chứng thư số, kết nối qua security server, mọi giao dịch ký số, mã hóa, ghi log và đóng dấu thời gian để bảo đảm tính toàn vẹn và không chối bỏ. Hai là, dùng phương pháp GovStack để chuẩn hóa các building blocks – mô-đun phần mềm có thể lắp ghép lại để tạo dịch vụ, ví dụ Information Mediator, Identification & Authentication, Payments, Registries. Cách làm “khối ghép” này giúp giảm phụ thuộc nhà thầu, triển khai nhanh các “khoảnh khắc cuộc đời” như khai sinh, đi học, khám chữa bệnh.

Phần mềm GovStack và máy chủ X-Road nối với nhau qua đường hầm mã hóa

Ba là, dựng sandbox liên thông để bộ, ngành và doanh nghiệp thử nghiệm API/kịch bản nghiệp vụ trước khi đưa vào môi trường thật, giảm rủi ro gián đoạn.

4. Đo lường bằng CSF 2.0: có KPI thì mới cải tiến được

Một là, ban hành KPI cấp quốc gia dễ hiểu, dễ đo, gắn với trải nghiệm công dân và hiệu quả hệ thống: tỷ lệ dịch vụ công dùng định danh điện tử; tỷ lệ API liên ngành có SLA và giám sát; MTTR khi có sự cố an ninh; số lần tái sử dụng data products.

Hai là, kiểm định theo NIST CSF 2.0 mỗi năm, áp dụng Profiles/Tiers, kèm thử nghiệm đỏ và diễn tập xử lý sự cố liên ngành. Cách làm này tạo nhịp cải tiến liên tục và có chuẩn quốc tế để so sánh.

Lộ trình gợi ý 2025 – 2028: đi từng bước chắc chắn

Năm 2025–2026, hoàn thiện khung DPI và kiến trúc tham chiếu, ban hành quy định Zero Trust bắt buộc cho nền tảng dùng chung, đưa API Exchange vào vận hành phiên bản đầu, công bố danh mục dữ liệu ưu tiên và Top-50 data products dùng chung.

Song song, hoàn tất chuẩn kỹ thuật cho họp trực tuyến, không gian làm việc số, và Cloud dùng chung trong Trung tâm dữ liệu quốc gia.

Năm 2027, mở rộng liên thông công – tư qua API Exchange có SLA, triển khai DR đa vùng cho NCDC, chạy thí điểm PQC cho định danh/ký số, và dựng sandbox GovStack cho một số nhóm dịch vụ ưu tiên.

Năm 2028, chuẩn hóa vận hành theo tư duy SRE khu vực công: tự động hóa giám sát, đo lường, ngân sách theo FinOps; kiểm toán độc lập tuân thủ ZTA/DPI; và cập nhật định kỳ KPI/Profiles CSF 2.0 để khóa chặt vòng cải tiến.

Rủi ro và cách giảm thiểu: nói trước để tránh “chữa cháy”

Một là, rủi ro phân mảnh tiêu chuẩn giữa các bộ ngành. Cách giảm thiểu là ràng buộc qua API Exchange với catalog và conformance testing bắt buộc; vận dụng GovStack để thống nhất “khối ghép” kỹ thuật và quy tắc liên thông.

Hai là, rủi ro an ninh chuỗi cung ứng và đa đám mây. ZTA giúp kiểm soát truy cập theo bối cảnh, xác minh liên tục, và yêu cầu attestation với thành phần phần mềm; SOC tập trung giúp săn tìm mối đe dọa sớm.

Ba là, rủi ro quyền riêng tư khi chia sẻ dữ liệu. Kết hợp Nghị định 13/2023 với Nghị định 69/2024 để thiết kế cơ chế đồng ý rõ ràng, giấu danh khi cần, và truy vết truy cập; mọi dự án dữ liệu lớn cần đánh giá tác động quyền riêng tư (PIA) ngay từ đầu.

Bốn là, thiếu nhân lực số. Cần chương trình đào tạo thực hành về ZTA, API security, SRE, FinOps, kèm cơ chế luân chuyển cán bộ kỹ thuật giữa cơ quan và doanh nghiệp công nghệ, và hợp đồng dịch vụ có KPI/Penalty để bảo đảm chất lượng chuyển giao.

Mô hình khái quát khung kiến trúc tổng thể quốc gia số

Kết luận: từ “có nền tảng” đến “có niềm tin”

Khung kiến trúc tổng thể quốc gia số sẽ chỉ thật sự “sống” khi người dân tin vào sự tiện lợi và an toàn, doanh nghiệp tin vào tính ổn định và công bằng, còn cơ quan nhà nước tin vào khả năng kiểm soát rủi ro. Để làm được điều đó, cách tiếp cận hợp lý là: một là coi DPI + API Exchange như hạ tầng công cộng số, đo lường được; hai là đưa Zero Trust thành điều kiện mặc định; ba là dùng X-Road và GovStack để ràng buộc cách thức liên thông; bốn là đo lường – kiểm chứng định kỳ bằng CSF 2.0. Đây đều là những thực hành đã được kiểm chứng ở quy mô lớn, có tài liệu sơ cấp để làm theo ngay và đánh giá được kết quả.

Đào Trung Thành