Bảy nhóm nội dung, trong đó có hai nhóm ít gặp ở các quy định khác: kiểm soát chặt chẽ nhân sự trực tiếp xử lý dữ liệu, và kiểm tra đánh giá việc chuyển dữ liệu xuyên biên giới.
An ninh dữ liệu là một trong ba khái niệm nền được Luật An ninh mạng 116/2025/QH15 định nghĩa tại Điều 2, và Điều 26 là nơi biến khái niệm đó thành danh mục công việc cụ thể.
Định nghĩa hai lớp
Khoản 3 Điều 2 Luật 116/2025/QH15 định nghĩa an ninh dữ liệu là sự bảo đảm chất lượng dữ liệu và các hoạt động xử lý, sử dụng dữ liệu trên không gian mạng phục vụ phát triển kinh tế - xã hội, chuyển đổi số quốc gia, tránh bị truy cập, sử dụng, tiết lộ, sửa đổi trái phép, phá hoại hoặc hành vi khác đe dọa hoặc gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội.
Khoản 1 Điều 26 bổ sung góc nhìn hành động: bảo đảm an ninh dữ liệu là tổng thể các biện pháp kỹ thuật, tổ chức và pháp lý nhằm bảo vệ dữ liệu, phòng chống xâm phạm an ninh dữ liệu.
Ba loại biện pháp, không chỉ kỹ thuật
Cụm "kỹ thuật, tổ chức và pháp lý" đáng chú ý. Nó nói rõ rằng bảo đảm an ninh dữ liệu không phải chuyện riêng của bộ phận công nghệ thông tin:
- Kỹ thuật — mã hóa, kiểm soát truy cập, sao lưu, giám sát;
- Tổ chức — phân công trách nhiệm, quy trình, đào tạo, kiểm soát nhân sự;
- Pháp lý — hợp đồng với nhà cung cấp, cam kết bảo mật với nhân sự, tuân thủ quy định.
Một tổ chức đầu tư mạnh vào kỹ thuật nhưng bỏ trống hai mảng còn lại vẫn chưa đáp ứng yêu cầu của Điều 26.
Bảy nhóm nội dung bảo đảm an ninh dữ liệu
Khoản 2 Điều 26 liệt kê:
- Xây dựng chính sách, thiết lập quy trình về bảo đảm an ninh dữ liệu;
- Áp dụng biện pháp, tiêu chuẩn, quy chuẩn kỹ thuật theo quy định của pháp luật về an ninh mạng;
- Sử dụng mật mã cơ yếu, mật mã dân sự để bảo đảm an ninh dữ liệu;
- Triển khai cơ chế kiểm soát chặt chẽ nhân sự trực tiếp tham gia xử lý dữ liệu;
- Kiểm tra, đánh giá rủi ro định kỳ nhằm phát hiện, ngăn chặn và xử lý kịp thời các nguy cơ đe dọa an ninh dữ liệu;
- Kiểm tra, đánh giá việc chuyển dữ liệu xuyên biên giới; điều kiện bảo đảm an ninh dữ liệu trong hệ thống thông tin quan trọng về an ninh quốc gia, các cơ sở dữ liệu, trung tâm dữ liệu, hệ thống lưu trữ dữ liệu;
- Các nội dung khác theo quy định của pháp luật.
Nhóm thứ tư — kiểm soát nhân sự
Điểm d khoản 2 Điều 26 là quy định ít gặp trong các văn bản kỹ thuật: triển khai cơ chế kiểm soát chặt chẽ nhân sự trực tiếp tham gia xử lý dữ liệu.
Đây là thừa nhận thẳng thắn rằng rủi ro lớn nhất với dữ liệu thường đến từ bên trong chứ không phải bên ngoài. Trong thực tế, cơ chế kiểm soát nhân sự bao gồm:
- Xác định rõ ai được tiếp cận loại dữ liệu nào, ghi thành văn bản;
- Ký cam kết bảo mật với người trực tiếp xử lý dữ liệu;
- Ghi nhật ký truy cập và trích xuất, đặc biệt với thao tác xuất dữ liệu hàng loạt;
- Thu hồi quyền ngay khi nhân sự chuyển vị trí hoặc nghỉ việc;
- Rà soát định kỳ danh sách người có quyền — danh sách này luôn có xu hướng phình ra theo thời gian.
Việc cuối cùng đơn giản nhưng hiệu quả bậc nhất. Phần lớn tổ chức khi rà lại đều phát hiện có người vẫn còn quyền truy cập dù đã đổi công việc từ lâu.
Nhóm thứ sáu — chuyển dữ liệu xuyên biên giới
Điểm e khoản 2 Điều 26 yêu cầu kiểm tra, đánh giá việc chuyển dữ liệu xuyên biên giới, cùng với điều kiện bảo đảm an ninh dữ liệu trong hệ thống thông tin quan trọng về an ninh quốc gia, các cơ sở dữ liệu, trung tâm dữ liệu, hệ thống lưu trữ dữ liệu.
Với doanh nghiệp dùng dịch vụ đám mây nước ngoài, dịch vụ thư điện tử nước ngoài, hoặc công cụ phân tích đặt máy chủ ngoài lãnh thổ, đây là nghĩa vụ có liên quan trực tiếp. Cần lưu ý nghĩa vụ này song song và không thay thế các quy định về chuyển dữ liệu cá nhân xuyên biên giới trong pháp luật về bảo vệ dữ liệu cá nhân.
Nhóm thứ ba — sử dụng mật mã
Điểm c khoản 2 Điều 26 phân biệt hai loại: mật mã cơ yếu và mật mã dân sự. Mật mã cơ yếu thuộc phạm vi quản lý riêng theo pháp luật về cơ yếu; mật mã dân sự là loại doanh nghiệp thông thường sử dụng.
Đáng chú ý là sản phẩm mật mã dân sự cũng nằm trong danh mục sản phẩm an ninh mạng theo điểm a khoản 1 Điều 28, và dịch vụ mật mã dân sự nằm trong danh mục dịch vụ an ninh mạng theo điểm c khoản 2 Điều 28.
Ai quy định chi tiết
Khoản 3 Điều 26 giao Chính phủ quy định chi tiết khoản 2 Điều này và quy định trách nhiệm bảo đảm an ninh dữ liệu.
Nghĩa là bảy nhóm nội dung trên là khung, còn yêu cầu cụ thể cho từng nhóm chủ thể sẽ nằm ở nghị định. Doanh nghiệp nên theo dõi văn bản này vì nó xác định mức độ chi tiết phải làm.
Liên hệ với tiêu chuẩn, quy chuẩn kỹ thuật
Điểm b khoản 2 Điều 26 dẫn tới Điều 27 về tiêu chuẩn, quy chuẩn kỹ thuật an ninh mạng.
Khoản 1 Điều 27 xác định phạm vi áp dụng khá rộng: tiêu chuẩn và quy chuẩn kỹ thuật an ninh mạng được áp dụng đối với hệ thống thông tin, phần cứng, phần mềm, hệ thống quản lý, vận hành an ninh mạng, sản phẩm, dịch vụ an ninh mạng, công nghệ thông tin và thiết bị kết nối mạng.
Khoản 5 Điều 27 quy định Bộ trưởng Bộ Công an ban hành quy chuẩn kỹ thuật quốc gia về an ninh mạng. Điểm a khoản 4 giao Bộ Công an xây dựng dự thảo tiêu chuẩn quốc gia về an ninh mạng.
Khoản 3 Điều 27 có quy định riêng cho hệ thống trọng yếu: việc đánh giá hợp chuẩn, hợp quy về an ninh mạng phục vụ hệ thống thông tin quan trọng về an ninh quốc gia và phục vụ hoạt động quản lý nhà nước về an ninh mạng được thực hiện tại tổ chức chứng nhận hợp chuẩn, hợp quy do Bộ trưởng Bộ Công an chỉ định.
Bắt đầu từ đâu
Với doanh nghiệp chưa có gì, thứ tự hợp lý là làm nhóm thứ nhất và thứ tư trước, vì hai nhóm này không cần đầu tư kỹ thuật lớn:
- Viết chính sách an ninh dữ liệu — ngắn cũng được, miễn nói rõ dữ liệu nào quan trọng, ai được tiếp cận, xử lý ra sao khi có sự cố;
- Lập danh sách người có quyền truy cập từng loại dữ liệu và rà lại lần đầu;
- Ký cam kết bảo mật với nhóm trực tiếp xử lý dữ liệu;
- Đặt lịch kiểm tra, đánh giá rủi ro định kỳ theo điểm đ khoản 2 Điều 26.
Bốn việc này làm được trong vài buổi và tạo nền cho các nhóm còn lại vốn cần đầu tư kỹ thuật hơn.
Đọc thêm cùng chủ đề
- Doanh nghiệp nhỏ và hộ kinh doanh được hỗ trợ chuyển đổi số ra sao?
- Tài sản số được pháp luật công nhận như thế nào?
- Chữ ký điện tử có mấy loại và loại nào tương đương chữ ký tay?
Căn cứ pháp lý
- Luật 116/2025/QH15 Điều 26
- Luật 116/2025/QH15 Điều 2
- Luật 116/2025/QH15 Điều 27
Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.