Lấy người dân làm trung tâm trong bảo vệ an ninh dữ liệu

Sáng 4/11, dưới sự chủ trì của Chủ tịch Quốc hội Trần Thanh Mẫn, Quốc hội thảo luận ở hội trường về dự án Luật An ninh dữ liệu, dự án Luật Định danh và xác thực điện tử. Góp ý vào dự thảo Luật An ninh dữ liệu, các đại biểu đánh giá cao sự tiếp thu, chỉnh lý của cơ quan soạn thảo, đồng thời cho rằng dự thảo mới nhất đã đặt nền móng cho việc quản lý theo cấp độ rủi ro và bảo vệ dữ liệu trong toàn bộ vòng đời.

Hướng tới mục tiêu ngăn chặn các hành vi lợi dụng dữ liệu để lừa đảo

Nêu quan điểm, đại biểu Nguyễn Vũ Trung (Đoàn TP Hồ Chí Minh) cho rằng, an ninh dữ liệu không phải chuyện riêng của máy chủ hay cơ quan quản lý mà gắn trực tiếp với tiền trong tài khoản, hồ sơ bệnh án, danh tính và sự an tâm của mỗi người dân. Vì vậy, việc hoàn thiện các quy định của dự thảo luật cần hướng tới mục tiêu ngăn chặn các hành vi lợi dụng dữ liệu để lừa đảo, bảo vệ quyền lợi của người dân và tạo điều kiện thuận lợi cho doanh nghiệp tuân thủ pháp luật.

Góp ý về Điều 9 quy định phân loại và bảo vệ an ninh dữ liệu theo cấp độ rủi ro, đại biểu Nguyễn Vũ Trung cho rằng cần làm rõ ranh giới giữa việc chủ quản tự xác định cấp độ rủi ro và quyền kiểm tra của cơ quan nhà nước.

Theo đại biểu, nếu khoản 1 đã phân loại dữ liệu thành các cấp độ cụ thể nhưng khoản 2 lại giao chủ quản tự xác định mà không quy định rõ tiêu chí, hồ sơ chứng minh và cơ chế hậu kiểm thì có thể phát sinh cách hiểu rằng chủ quản được tự lựa chọn cấp độ. Khi đó, cùng một loại dữ liệu có thể bị xếp vào những cấp độ khác nhau. Chủ quản có thể xếp cấp độ thấp hơn để giảm nghĩa vụ, trong khi cơ quan quản lý thiếu căn cứ thống nhất để yêu cầu điều chỉnh.

Đại biểu đề nghị sửa khoản 2 theo hướng quy định cơ quan, tổ chức, cá nhân chủ quản hệ thống dữ liệu có trách nhiệm tổ chức đánh giá, xác định cấp độ rủi ro an ninh dữ liệu đối với dữ liệu và hệ thống dữ liệu thuộc phạm vi quản lý theo tiêu chí tại khoản 1 Điều này và quy định của Chính phủ; lập, lưu giữ hồ sơ về căn cứ xác định cấp độ và áp dụng đầy đủ yêu cầu bảo đảm an ninh dữ liệu tương ứng. Đặc biệt, việc tự đánh giá, xác định cấp độ không loại trừ trách nhiệm kiểm tra, yêu cầu điều chỉnh cấp độ của cơ quan nhà nước có thẩm quyền.

Đại biểu Nguyễn Vũ Trung đề nghị, dự thảo luật cần hướng tới mục tiêu ngăn chặn các hành vi lợi dụng dữ liệu để lừa đảo, bảo vệ quyền lợi của người dân.

Đối với Điều 19 về bảo vệ an ninh dữ liệu trong chuyển và xử lý dữ liệu xuyên biên giới, đại biểu đề nghị quy định ngay trong luật ba cơ chế: rủi ro thấp thì tự đánh giá và hậu kiểm; rủi ro trung bình thì thông báo; rủi ro cao mới phải xin chấp thuận trước.

Đối với các luồng dữ liệu được chuyển định kỳ, nếu mục đích, bên nhận và biện pháp bảo vệ không thay đổi thì không phải xin chấp thuận lại. Cơ quan có thẩm quyền cần có thời hạn xử lý rõ ràng; trường hợp từ chối phải nêu lý do và bảo đảm quyền khiếu nại.

Đại biểu phân tích, nếu thiếu những quy định này, bệnh viện, cơ sở nghiên cứu và doanh nghiệp sử dụng điện toán đám mây có thể phải gánh thêm thủ tục, trong khi việc đó chưa chắc ngăn được các đối tượng lừa đảo hoạt động bên ngoài hệ thống.

Ứng phó sự cố phải hướng tới bảo vệ người bị ảnh hưởng

Một vấn đề khác được đại biểu Nguyễn Vũ Trung quan tâm là quy định tại Điều 22 về theo dõi, cảnh báo và ứng phó sự cố an ninh dữ liệu. Đại biểu cho rằng cần đặt người bị ảnh hưởng vào vị trí trung tâm của quá trình ứng phó sự cố.

Theo đó, đại biểu đề nghị sửa điểm a khoản 6 theo hướng sự cố từ cấp độ 3 trở lên phải được báo cáo sớm, chậm nhất 24 giờ kể từ khi phát hiện; trường hợp có nguy cơ đặc biệt nghiêm trọng phải báo cáo ngay. Báo cáo được cập nhật khi có kết quả xác minh.

Phó Chủ tịch Quốc hội Nguyễn Thị Thanh điều hành phiên họp.

Đồng thời, cần bổ sung nghĩa vụ thông báo không chậm trễ cho cá nhân bị ảnh hưởng, trong đó nêu rõ dữ liệu nào có thể bị lộ, nguy cơ gì có thể xảy ra, người dân cần làm gì để khóa tài khoản, đổi mật khẩu hoặc chặn giao dịch và liên hệ ở đâu để được hỗ trợ.

Cơ quan đầu mối phải có quy trình phối hợp với ngân hàng, viễn thông và các nền tảng số để cảnh báo, ngăn chặn nguy cơ tiếp diễn.

Đối với Điều 23 về biện pháp kỹ thuật khẩn cấp, đại biểu đề nghị bổ sung nguyên tắc phải bảo đảm chống lạm dụng và giảm thiệt hại cho người dân, doanh nghiệp, cơ quan, tổ chức.

Quyết định áp dụng các biện pháp kỹ thuật khẩn cấp phải ghi rõ căn cứ, phạm vi, thời hạn và phương án khôi phục; chỉ áp dụng biện pháp cần thiết, ít hạn chế nhất. Việc gia hạn phải được rà soát độc lập.

Đặc biệt, trước khi đình chỉ hệ thống có ảnh hưởng đến bệnh viện, điện, nước, thanh toán và các dịch vụ thiết yếu, cần đánh giá tác động, ưu tiên cô lập phần bị xâm nhập hoặc bị ảnh hưởng nếu khả thi. “Bảo đảm an ninh dữ liệu nhưng không làm tê liệt chính dịch vụ thiết yếu mà người dân, cơ quan, tổ chức đang cần”, đại biểu Nguyễn Vũ Trung nhấn mạnh.

Từ những phân tích trên, đại biểu đề nghị Chính phủ tiếp tục hoàn thiện dự thảo luật theo hướng luật phải giúp ngăn chặn kẻ gian lợi dụng dữ liệu để lừa đảo, cảnh báo sớm cho người dân khi dữ liệu bị xâm phạm và tạo điều kiện để doanh nghiệp tuân thủ mà không phải làm đi làm lại thủ tục. Khi dữ liệu được bảo vệ an toàn và phục vụ nhu cầu phát triển, luật mới thật sự đi vào cuộc sống.

Chú trọng nhân sự chuyên trách, đào tạo và giám sát người tiếp cận dữ liệu

Cùng quan tâm đến yêu cầu bảo đảm an ninh dữ liệu, đại biểu Đoàn Hùng Vũ (Đoàn Đồng Tháp) cho rằng dự thảo luật đã quy định nhiều biện pháp bảo đảm ba thuộc tính của dữ liệu gồm tính nguyên vẹn, tính bảo mật và tính khả dụng; đồng thời đánh giá cao cách tiếp cận quản lý theo cấp độ rủi ro và các biện pháp phòng ngừa.

Tuy nhiên, đại biểu nhấn mạnh cần quy định rõ hơn một số vấn đề then chốt, đặc biệt là yếu tố con người trong bảo đảm an ninh dữ liệu.

Đại biểu Đoàn Hùng Vũ đánh giá cao cách tiếp cận quản lý theo cấp độ rủi ro và các biện pháp phòng ngừa trong dự thảo luật.

Theo đại biểu, thực tiễn cho thấy nhiều sự cố về an ninh thông tin không bắt đầu từ giải pháp kỹ thuật yếu kém mà có thể xuất phát từ một tài khoản bị lừa lấy mất mật khẩu, một tài khoản sử dụng mật khẩu đơn giản bị dò quét, một quản trị viên được cấp quyền quá rộng, một cán bộ sao chép dữ liệu ra ngoài hoặc một nhân viên của bên thứ ba không được giám sát.

Từ thực tế đó, đại biểu đề nghị, quy định nhân sự bảo vệ an ninh dữ liệu trong cơ quan nhà nước được bố trí theo chế độ kiêm nhiệm hoặc chuyên trách để không làm phát sinh tổ chức, bộ máy mới, phù hợp với chủ trương tinh gọn tổ chức, giảm đầu mối.

"Tuy nhiên, cần xem xét riêng đối với dữ liệu cấp độ 5, bởi đây là loại dữ liệu không nhiều nhưng liên quan trực tiếp đến vấn đề sống còn của đất nước nên cần được quan tâm đặc biệt", đại biểu nêu và đề quy định riêng về nhân sự phụ trách an ninh dữ liệu tại hệ thống dữ liệu cấp độ 5. Theo đó, hệ thống dữ liệu cấp độ 5 phải có nhân sự chuyên trách, có trình độ và chứng chỉ chuyên môn phù hợp về an ninh thông tin.

Về đào tạo, sát hạch và tổ chức diễn tập an ninh dữ liệu, đại biểu đề nghị bổ sung quy định theo hướng chủ quản dữ liệu cấp độ 5 có trách nhiệm tổ chức đào tạo, sát hạch toàn bộ những người tham gia xử lý, khai thác dữ liệu; người chưa đạt yêu cầu sát hạch không được giao quyền thu thập dữ liệu; đồng thời phải tổ chức diễn tập bảo vệ dữ liệu định kỳ hằng năm. Nội dung diễn tập cần bao gồm cả ứng phó sự cố do điểm yếu của hệ thống và sự cố do yếu tố con người.

Các đại biểu dự phiên họp.

Về nhân lực của bên thứ ba cung cấp dịch vụ an ninh dữ liệu, đại biểu nhận định dự thảo đã quy định khá chặt chẽ trách nhiệm của bên cung cấp dịch vụ như giám sát, cập nhật, thu hồi quyền ngay khi có sự cố. Tuy nhiên, dự thảo chưa đề cập cụ thể đến cá nhân thuộc bên cung cấp dịch vụ trực tiếp tiếp cận dữ liệu và đề nghị quy định bên cung cấp dịch vụ phải lập danh sách nhân sự được phép tiếp cận dữ liệu của khách hàng và cung cấp cho chủ quản dữ liệu khi có yêu cầu. Các nhân sự này phải ký cam kết bảo mật và chịu trách nhiệm trực tiếp theo quy định của pháp luật.

Về bảo vệ người yếu thế khi xảy ra sự cố an ninh dữ liệu, đại biểu Đoàn Hùng Vũ cho rằng người cao tuổi, người khuyết tật, đồng bào dân tộc thiểu số, người dân vùng sâu, vùng xa và người có thu nhập thấp là những nhóm dễ bị tổn thương nhất khi hệ thống gặp sự cố. Do đó, đại biểu đề nghị bổ sung quy định việc thông báo sự cố phải được thực hiện qua nhiều kênh thông tin, có hình thức hỗ trợ người khuyết tật và bằng ngôn ngữ dân tộc ở những nơi cần thiết.

Nhấn mạnh vai trò của yếu tố con người, đại biểu Đoàn Hùng Vũ khẳng định: “Công nghệ có thể thay đổi liên tục nhưng con người vẫn luôn là mắt xích đầu tiên và cũng là mắt xích cuối cùng trong vấn đề an ninh dữ liệu”.

Theo đại biểu, việc bổ sung các quy định liên quan đến con người trong bảo vệ an ninh dữ liệu là hết sức quan trọng. Luật An ninh dữ liệu khi được ban hành sẽ góp phần hoàn thiện khung pháp lý về hệ sinh thái số, tạo cơ sở vững chắc để Việt Nam vừa bảo đảm an ninh, chủ quyền dữ liệu quốc gia, vừa tạo niềm tin để người dân, doanh nghiệp yên tâm ứng dụng công nghệ số, tạo ra giá trị gia tăng từ dữ liệu.