Quản lý an ninh dữ liệu theo các mức rủi ro, bảo đảm chủ quyền quốc gia trên không gian mạng

Bảo đảm chủ quyền quốc gia trên không gian mạng và an ninh dữ liệu là điều kiện tiên quyết, không thể tách rời trong tiến trình chuyển đổi số - Ảnh: TTXVN

Thể chế hóa thành luật chuyên ngành, toàn diện

Nghị quyết số 57-NQ/TW ngày 22/12/2024 của Bộ Chính trị về đột phá phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia xác định bảo đảm chủ quyền quốc gia trên không gian mạng và an ninh dữ liệu là điều kiện tiên quyết, không thể tách rời trong tiến trình chuyển đổi số. Trong khi đó, hệ thống pháp luật hiện hành của Việt Nam đã có Luật An ninh mạng, Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân, Luật Trí tuệ nhân tạo, song mỗi luật chỉ điều chỉnh một khía cạnh riêng. Thực tế này đặt ra yêu cầu phải sớm thể chế hóa thành luật chuyên ngành, toàn diện về an ninh dữ liệu, thay vì tiếp tục xử lý vấn đề này bằng các quy định tản mạn, nằm rải rác trong nhiều văn bản khác nhau.

Trước thực tiễn này, Dự thảo Luật An ninh dữ liệu đang được trình Quốc hội tại Kỳ họp thứ 2, Quốc hội khóa XVI với bố cục 6 chương, 29 điều. Phát biểu về dự án Luật An ninh dữ liệu, ĐBQH Phạm Công Nguyên (Thanh Hóa) cho rằng, hiện nay dữ liệu như là một nguồn năng lượng mới, chiếm tỉ trọng không nhỏ trong nền kinh tế Việt Nam hiện nay, do đó, cần phải hoàn thiện thể chế về an ninh dữ liệu, và đây chính là nội hàm trong vấn đề an ninh mạng. Do đó ĐBQH bày tỏ quan điểm hoàn toàn tán thành với cách thức tiếp cận và xây dựng thẩm quyền quản lý nhà nước về an ninh dữ liệu và xử lý vi phạm về an ninh dữ liệu. Nội dung này đã được cơ quan chủ trì soạn thảo xây dựng và quy định rất chặt chẽ và phù hợp tại khoản 3 điều 26 và khoản 6 điều 26 về thẩm quyền quản lý nhà nước. Các nội dung dự thảo đã bám vào quy định của Luật An ninh mạng đã được Quốc hội thông qua; các văn bản dưới luật cũng đã hướng dẫn triển khai thực hiện Luật An ninh mạng nên rất rõ ràng và thống nhất với Luật An ninh mạng.

Đặc biệt, ĐBQH Lê Nhật Thành (TP. Hà Nội) cho rằng, mối quan tâm lớn nhất của cộng đồng doanh nghiệp và cử tri khi theo dõi dự thảo luật này là liệu có phát sinh thêm gánh nặng tuân thủ hay không. Qua nghiên cứu hồ sơ, đại biểu ghi nhận dự thảo Luật An ninh dữ liệu đã được thiết kế nghĩa vụ theo đúng nguyên tắc tương xứng với 5 cấp độ rủi ro, và phần lớn các tổ chức, doanh nghiệp sẽ không phải gánh thêm thủ tục mới, chỉ một số ít cơ quan, tổ chức xử lý dữ liệu có rủi ro cao nhất từ Cấp độ 4, Cấp độ 5 trở lên (đa số thuộc các cơ sở dữ liệu chuyên ngành quan trọng của các cơ quan, tổ chức của Ban, Bộ, ngành) mới phải tuân thủ các nghĩa vụ chặt chẽ, cao hơn; điều này hoàn toàn hợp lý nhằm bảo vệ an ninh, quốc phòng và bảo đảm chủ quyền dữ liệu quốc gia. Đây chính là minh chứng rõ nét cho tinh thần "quản lý theo rủi ro, không quản lý cào bằng" mà dự thảo Luật theo đuổi.

Các ĐBQH thảo luận về Dự thảo Luật An ninh dữ liệu - Ảnh: Quochoi.vn

Rõ việc, rõ thời hạn, rõ đầu mối

Để nâng cao hiệu lực thực thi, ĐBQH Lê Nhật Thành đề nghị cơ quan chủ trì soạn thảo tính toán hoàn thiện dự thảo luật theo hướng gắn quy định cụ thể nghĩa vụ, trách nhiệm đối với từng nhóm chủ thể liên quan bảo đảm thống nhất, đồng bộ, dễ hình dung, dễ áp dụng. Cơ chế này vừa mang tính bắt buộc, vừa khuyến khích tự nguyện tuân thủ; đồng thời bảo đảm công bằng, bình đẳng giữa doanh nghiệp trong nước và doanh nghiệp nước ngoài cung cấp dịch vụ tại Việt Nam. Nhờ phương châm “rõ việc, rõ thời hạn, rõ đầu mối”, luật sẽ tạo cơ sở nâng cao hiệu lực quản lý nhà nước, khắc phục tình trạng né tránh trách nhiệm, nhất là với các nền tảng xuyên biên giới. Đồng thời, cần bổ sung quy định mang tính nguyên tắc nhằm bảo đảm thống nhất áp dụng pháp luật với Luật An ninh mạng, Luật Dữ liệu và các quy định về bảo vệ dữ liệu cá nhân, tránh tạo quy trình song hành không cần thiết.

Bên cạnh đó, ĐBQH Đỗ Đức Hồng nêu thực tế, nguy cơ xung đột thể chế và làm suy giảm giá trị pháp lý của Danh mục dữ liệu cốt lõi khi Luật Dữ liệu quy định "dữ liệu cốt lõi" là dữ liệu quan trọng trực tiếp tác động đến quốc phòng, an ninh, đối ngoại, kinh tế vĩ mô, ổn định xã hội, sức khỏe và an toàn cộng đồng thuộc Danh mục do Thủ tướng Chính phủ ban hành nhưng dự thảo Luật An ninh dữ liệu lại phân tán dữ liệu cốt lõi vào cả 3 cấp độ (Cấp độ 3, 4 và 5), điều này dẫn đến tình trạng: cùng một tập dữ liệu đã được Thủ tướng Chính phủ định danh là dữ liệu cốt lõi, nhưng sang luật này lại bị coi là Cấp độ 3, gây lúng túng trong việc xác định chuẩn bảo vệ. Đồng thời quy định còn thiếu cơ chế bảo đảm thủ tục khi cơ quan chuyên trách đơn phương áp đặt cấp độ rủi ro. Theo đại biểu, việc bị cơ quan chuyên trách nâng cấp độ hành chính (đặc biệt từ Cấp độ 3 lên Cấp độ 4 hoặc 5) lập tức kích hoạt hàng loạt nghĩa vụ can thiệp sâu: bắt buộc thẩm định thiết kế hệ thống trước khi vận hành, kiểm thử xâm nhập định kỳ, xin chấp thuận trước khi chuyển dữ liệu xuyên biên giới. Nếu áp đặt không chính xác, doanh nghiệp vừa gánh chi phí khổng lồ, vừa đối mặt nguy cơ đình trệ dòng chảy dữ liệu kinh doanh mà không có cơ chế bù đắp kịp thời.

Từ những phân tích trên, ĐBQH Đỗ Đức Hồng đề nghị quy định rõ về tiêu chí phân loại cấp độ rủi ro và cơ chế đảm bảo thủ tục khi áp đặt cấp độ rủi ro; dữ liệu thuộc Danh mục dữ liệu cốt lõi do Thủ tướng Chính phủ ban hành theo quy định của Luật Dữ liệu phải được bảo đảm an ninh tương xứng từ Cấp độ 4 trở lên.

Cơ bản đồng tình với việc xác định năm cấp độ rủi ro, song ĐBQH Nguyễn Thị Bích Đào (Ninh Bình) đề nghị tiếp tục hoàn thiện các tiêu chí để bảo đảm tính khoa học, thống nhất và khả thi trong thực tiễn; làm rõ tiêu chí xác định cấp độ rủi ro; đánh giá đầy đủ hậu quả khi các thuộc tính bảo mật, toàn vẹn và khả dụng của dữ liệu bị xâm phạm; cần có cơ chế bảo vệ phù hợp đối với dữ liệu cá nhân nhạy cảm; cần cụ thể hóa tiêu chí phân cấp để bảo đảm áp dụng thống nhất, tránh phát sinh chi phí tuân thủ không cần thiết; cần quy định rõ nguyên tắc phân cấp đối với tập dữ liệu có nhiều thành phần với mức độ rủi ro khác nhau. Việc phân cấp cần chủ yếu căn cứ vào tính chất, mức độ quan trọng của dữ liệu và hậu quả tiềm tàng khi bị xâm phạm. Khả năng xảy ra sự cố nên được xem xét trong quá trình đánh giá, quản trị rủi ro để lựa chọn biện pháp bảo vệ phù hợp, không nên làm thay đổi cấp độ dữ liệu chỉ vì điều kiện bảo vệ của hệ thống tốt hơn hoặc kém đi.

Bên cạnh đó, ĐBQH Nguyễn Thị Bích Đào cũng cho rằng, dữ liệu công khai vẫn có thể gây hậu quả nghiêm trọng nếu bị sửa đổi trái phép; tương tự, dữ liệu phục vụ các dịch vụ thiết yếu nếu không thể truy cập, sử dụng đúng thời điểm cũng có thể ảnh hưởng lớn đến hoạt động quản lý và đời sống xã hội. Vì vậy, tiêu chí phân cấp cần xem xét hậu quả khi bất kỳ thuộc tính nào trong ba thuộc tính này bị xâm phạm, thay vì chỉ chú trọng nguy cơ lộ lọt thông tin. Việc hoàn thiện Điều 8 dự thảo Luật cần bảo đảm đồng thời hai yêu cầu: dữ liệu có nguy cơ gây hậu quả nghiêm trọng khi bị xâm phạm phải được bảo vệ đầy đủ; đồng thời, không tạo ra nghĩa vụ bảo vệ vượt quá mức cần thiết đối với dữ liệu có rủi ro thấp. Các tiêu chí phân cấp cần rõ ràng, có khả năng kiểm chứng và áp dụng thống nhất, qua đó nâng cao hiệu quả bảo vệ an ninh dữ liệu, bảo đảm quyền, lợi ích hợp pháp của người dân, doanh nghiệp và thúc đẩy chuyển đổi số quốc gia.