Những cuốn sổ tay chứa 'bí mật quốc gia'

Lằn ranh ký ức

Trong tư duy an ninh truyền thống, thông tin mật được đặt trong một cấu trúc kiểm soát gần như khép kín: phân loại chặt chẽ, lưu trữ nhiều tầng và chỉ lưu chuyển trong phạm vi những chủ thể đã được thẩm định. Ở đó, ranh giới giữa bí mật và công khai, giữa được phép và bị cấm được xác lập rõ ràng và có thể kiểm soát bằng quy trình. Tuy nhiên, thực tiễn gần đây cho thấy một chuyển động đáng chú ý: bí mật không còn nằm yên trong hồ sơ hay hệ thống, mà bắt đầu dịch chuyển theo con người, len vào các không gian phi chính thức như ghi chép cá nhân, thư điện tử riêng hay thiết bị ngoài kiểm soát.

Vụ việc liên quan đến John Bolton, cựu Cố vấn An ninh quốc gia của Tổng thống Mỹ Donald Trump là một minh chứng điển hình cho xu hướng này. Điểm cốt lõi không nằm ở một cuộc tấn công từ bên ngoài hay hành vi đánh cắp dữ liệu theo cách truyền thống, mà nằm ngay trong quá trình hình thành, lưu giữ và luân chuyển thông tin. Tại tòa án liên bang, ông Bolton đã nhận tội xử lý sai thông tin mật và đối mặt với mức án có thể lên tới 5 năm tù.

Cựu Cố vấn An ninh quốc gia Nhà Trắng John Bolton đến Tòa án quận ở Greenbelt, Maryland, Hoa Kỳ. Ảnh: Reuters

Theo hồ sơ công tố, ở tuổi 77, ông bị cáo buộc đã chia sẻ hơn 1.000 trang ghi chép chứa nội dung nhạy cảm, bao gồm các cuộc họp giao ban tình báo và các cuộc tiếp xúc cấp cao, với hai cá nhân thân cận nhằm phục vụ việc hoàn thiện cuốn hồi ký “The Room Where It Happened” (Căn phòng nơi mọi chuyện xảy ra). Đáng chú ý, những thông tin này không xuất phát từ một hành vi xâm nhập hay rò rỉ có chủ đích, mà khởi nguồn từ chính các ghi chép cá nhân, dạng nhật ký ký ức được tích lũy trong quá trình công tác.

Theo hồ sơ công tố, hơn 1.000 trang ghi chép dạng nhật ký đã được chia sẻ; trước đó, ông không nhận tội đối với các cáo buộc hình sự liên quan. Ảnh: Reuters

Ông Bolton chấp nhận thỏa thuận với công tố viên, đối diện khung hình phạt dao động từ án treo đến tối đa 5 năm tù, kèm theo khoản tiền phạt 2,25 triệu USD, nghĩa vụ phục vụ cộng đồng và việc bị tước quyền hưởng lương hưu chính phủ. Phiên tuyên án dự kiến diễn ra vào cuối tháng 10.

Tại phiên điều trần, ông thừa nhận sai sót và bày tỏ sự hối tiếc; trong khi đó, phía công tố nhấn mạnh mức độ rủi ro khi thông tin mật bị đưa ra khỏi các kênh kiểm soát chính thức, đặc biệt thông qua các tài khoản cá nhân. Trên thực tế, email cá nhân của ông từng bị tin tặc xâm nhập, cho thấy một nghịch lý trong cấu trúc an ninh hiện đại: khi các hệ thống bảo mật tập trung ngày càng được gia cố, thì chính “vùng xám” nằm ngoài hệ thống lại trở thành mắt xích dễ tổn thương nhất.

Và chính tại điểm giao thoa giữa ký ức và bảo mật ấy, lằn ranh bắt đầu trở nên khó xác định: khi một cuốn nhật ký vừa là sản phẩm cá nhân, vừa chứa đựng dữ liệu an ninh, trách nhiệm sẽ được định vị ở đâu, trong hệ thống kiểm soát, hay trong chính con người mang theo ký ức đó?

Vòng đời kéo dài

Sự dịch chuyển sang môi trường số không chỉ làm gia tăng tốc độ lan truyền thông tin, mà còn kéo dài vòng đời của dữ liệu nhạy cảm theo cách vượt ngoài các cơ chế kiểm soát truyền thống. Nếu như trước đây, một tài liệu mật thường gắn với không gian lưu trữ hữu hạn có thể thu hồi, niêm phong hoặc tiêu hủy theo quy trình thì trong không gian số, thông tin gần như không còn điểm kết thúc rõ ràng. Một khi đã được sao chép, chuyển tiếp hoặc lưu trữ trên nhiều nền tảng, dữ liệu bắt đầu tồn tại song song ở nhiều phiên bản, phân tán và khó truy vết.

Chính đặc tính này khiến mỗi hành vi xử lý thông tin, dù nhỏ, đều mang theo hệ quả dài hạn. Một email gửi nhầm, một bản sao lưu tạm thời hay một lần chuyển dữ liệu qua thiết bị cá nhân đều có thể tạo ra những bản sao thứ cấp, những điểm rò rỉ tiềm ẩn mà về sau gần như không thể thu hồi hoàn toàn. Trong cấu trúc đó, khái niệm “kết thúc” của một tài liệu mật dần trở nên mơ hồ. Các nghiên cứu an ninh mạng từ lâu đã chỉ ra một thực tế nhất quán: con người luôn là mắt xích dễ tổn thương nhất trong hệ thống bảo mật. Những kỹ thuật tấn công phổ biến như lừa đảo qua email không nhất thiết nhằm phá vỡ hạ tầng kỹ thuật, mà khai thác trực tiếp thói quen, tâm lý và sự chủ quan của người sử dụng. Điều này lý giải vì sao ngay cả những hệ thống được đầu tư công nghệ hiện đại vẫn có thể bị vô hiệu hóa từ bên trong, nếu hành vi của người vận hành không được kiểm soát tương xứng.

Các chuyên gia an ninh cho rằng tư duy bảo mật cần chuyển từ bảo vệ hệ thống sang kiểm soát toàn bộ vòng đời thông tin, bao gồm cả dữ liệu lưu trữ dưới dạng cá nhân. Ảnh: Reuters

Trong bối cảnh đó, tư duy bảo mật buộc phải dịch chuyển: từ tập trung vào bảo vệ hệ thống sang kiểm soát toàn bộ vòng đời của thông tin. Điều này bao gồm mọi giai đoạn, từ khởi tạo, lưu trữ, xử lý, chia sẻ cho đến loại bỏ. Chỉ khi mỗi mắt xích đều được giám sát, rủi ro mới có thể được nhận diện sớm và khoanh vùng trước khi lan rộng. Trước hết, cần thiết lập nguyên tắc trách nhiệm cá nhân đối với từng đơn vị thông tin. Mỗi tài liệu, mỗi ghi chép phát sinh trong quá trình công vụ phải gắn với một chủ thể chịu trách nhiệm rõ ràng, không chỉ về nội dung mà cả về cách thức lưu giữ và sử dụng.

Song song, cần siết chặt kỷ luật đối với thiết bị và kênh lưu trữ. Thực tế cho thấy nhiều rủi ro bắt nguồn từ việc sử dụng email cá nhân, thiết bị riêng hoặc các nền tảng liên lạc ngoài hệ thống. Do vậy, cần xác lập nguyên tắc rõ ràng: mọi thông tin liên quan đến công vụ phải được xử lý trong môi trường được kiểm soát, với tiêu chuẩn bảo mật cụ thể. Mọi ngoại lệ phải được phê duyệt và giám sát, thay vì trở thành khoảng linh hoạt khó kiểm soát. Trong môi trường số, việc kiểm tra hậu kiểm không còn đủ sức ngăn chặn hậu quả. Thay vào đó, cần triển khai các cơ chế giám sát chủ động, có khả năng phát hiện sớm các hành vi bất thường như truy cập trái phép, sao chép dữ liệu quy mô lớn hay truyền thông tin ra ngoài hệ thống. Khả năng phát hiện sớm đồng nghĩa với việc rủi ro có thể được cô lập ngay từ giai đoạn khởi phát.

Trong môi trường số, dữ liệu có thể được sao chép, phân tán và tái tạo gần như vô hạn, khiến “tuổi thọ” của thông tin vượt khỏi giới hạn không gian và thời điểm phát sinh. Ảnh: Reuters

Tuy nhiên, yếu tố quyết định vẫn nằm ở nhận thức và kỷ luật. Không ít vi phạm xuất phát từ sự chủ quan hoặc thiếu ý thức đầy đủ về hệ quả, hơn là từ động cơ cố ý. Vì vậy, đào tạo bảo mật không thể chỉ dừng ở hình thức, mà phải trở thành yêu cầu thường trực, gắn với thực tiễn công việc. Người làm việc trong môi trường nhạy cảm cần nhận thức rõ: mỗi thao tác xử lý thông tin đều có thể trở thành một mắt xích trong chuỗi rủi ro lớn hơn.

Đồng thời, các hoạt động mang tính cá nhân như viết hồi ký, nghiên cứu hay lưu trữ tư liệu cũng cần được đặt trong khuôn khổ kiểm soát rõ ràng. Đây là nhu cầu chính đáng, nhưng không thể trở thành vỏ bọc cho việc lưu giữ hoặc tái sử dụng thông tin nhạy cảm. Những nội dung liên quan đến quá trình ra quyết định, dữ liệu chưa công bố hoặc thông tin mật cần được thẩm định trước khi sử dụng, nhằm ngăn chặn việc cá nhân hóa dữ liệu an ninh.

Ở bình diện rộng hơn, yêu cầu đặt ra đối với hệ thống pháp lý không còn dừng ở năng lực xử lý vi phạm, mà phải chuyển dịch sang tư duy phòng ngừa rủi ro ngay từ đầu. Các chế tài nghiêm khắc vẫn giữ vai trò răn đe cần thiết, nhưng chỉ phát huy hiệu quả thực chất khi được đặt trong một cấu trúc kiểm soát chủ động: quy trình quản lý dữ liệu được chuẩn hóa, tiêu chuẩn lưu trữ và truyền tải thông tin được thiết lập bắt buộc, cùng với đó là các cơ chế kiểm tra độc lập, vận hành định kỳ và có tính phát hiện sớm.

Thực tế cho thấy, khi bảo mật chỉ được nhìn nhận như một yêu cầu kỹ thuật thuần túy, nó dễ bị nới lỏng trong những tình huống được viện dẫn là cần linh hoạt. Ngược lại, khi bảo mật được nâng lên thành chuẩn mực hành vi, gắn trực tiếp với trách nhiệm cá nhân và được duy trì như một kỷ luật nghề nghiệp, nó mới thực sự thẩm thấu vào toàn bộ hệ thống vận hành, từ quy trình đến con người.

Trong bối cảnh dữ liệu có thể được sao chép, phân tán và tái tạo gần như vô hạn, “tuổi thọ” của thông tin không còn bị giới hạn bởi không gian vật lý hay thời điểm phát sinh. Một quyết định xử lý thông tin ở hiện tại có thể tạo ra chuỗi hệ quả kéo dài trong tương lai, thậm chí vượt khỏi khả năng kiểm soát của chính chủ thể tạo ra nó. Vì vậy, vấn đề cốt lõi nằm ở năng lực duy trì kiểm soát xuyên suốt toàn bộ vòng đời dữ liệu. Và khi thông tin đã rời khỏi hệ thống, dịch chuyển cùng cá nhân, thách thức không chỉ là bảo vệ, mà còn là định vị trách nhiệm: liệu các cơ chế hiện hành còn đủ khả năng xác lập ranh giới rõ ràng giữa cá nhân và hệ thống, trong một thực tế mà hai phạm vi này ngày càng chồng lấn và khó tách bạch?