Theo Luật An ninh mạng 2025, công ty cho thuê máy móc xây dựng gắn thiết bị giám sát cần lưu ý gì?

Chức năng khóa máy từ xa vừa chống mất tài sản vừa tạo rủi ro an toàn. Bài viết chỉ ra ranh giới thiết kế và sử dụng.

Doanh nghiệp cho thuê máy xúc, cần cẩu, máy phát điện ngày càng gắn thiết bị giám sát từ xa: định vị, đo giờ máy chạy, cảnh báo bảo dưỡng, và ở nhiều hệ thống có cả chức năng khóa máy từ xa khi khách chậm trả tiền. Chức năng cuối cùng là nơi công nghệ chạm vào ranh giới nguy hiểm.

Khóa máy từ xa — rủi ro an toàn nghiêm trọng

Đây là vấn đề cần đặt lên đầu. Một chiếc cần cẩu đang nâng tải, một máy xúc đang làm việc trên mái dốc, một máy phát điện đang cấp điện cho thiết bị y tế tại công trường — dừng đột ngột trong các tình huống này gây nguy hiểm tính mạng.

Điều 16 Luật 116/2025/QH15 quy định về các hoạt động bảo vệ an ninh mạng.

Tám nguyên tắc thiết kế:

• Không dừng thiết bị đang vận hành trong mọi trường hợp;
• Nếu có chức năng vô hiệu hóa, chỉ ngăn khởi động lần sau, không tác động khi máy đang chạy;
• Cảnh báo cho người vận hành trước nhiều bước, đủ để họ đưa máy về vị trí an toàn;
• Không tác động tới hệ thống phanh, thủy lực giữ tải, cơ cấu an toàn;
• Xác thực mạnh cho lệnh vô hiệu hóa, cần phê duyệt nhiều cấp;
• Ghi nhật ký đầy đủ ai ra lệnh, khi nào, lý do;
• Cơ chế mở khóa khẩn cấp hoạt động liên tục;
• Thông báo rõ trong hợp đồng về sự tồn tại và cách thức của chức năng này.

Điểm thứ nhất và thứ tư là giới hạn không được vượt qua. Tranh chấp về tiền thuê là vấn đề dân sự, và không có khoản nợ nào biện minh được cho việc tạo ra nguy cơ tai nạn lao động.

Điểm thứ tám là yêu cầu về minh bạch: khách hàng có quyền biết thiết bị họ thuê có thể bị vô hiệu hóa từ xa, để họ có phương án cho các công việc quan trọng.

Cũng cần lưu ý an ninh: nếu hệ thống có chức năng vô hiệu hóa từ xa, thì kẻ tấn công chiếm được hệ thống có thể vô hiệu hóa hàng loạt thiết bị. Đây là lý do mạnh để cân nhắc không xây dựng chức năng này.

Dữ liệu giám sát và quyền của khách thuê

Thiết bị giám sát ghi nhận: vị trí, giờ máy chạy, tải trọng, tiêu hao nhiên liệu, đôi khi cả hành vi vận hành. Dữ liệu này tiết lộ tiến độ và cách làm việc của khách hàng.

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Bảy nguyên tắc:

• Thông báo rõ thiết bị thu thập những gì;
• Chỉ dùng cho mục đích đã nêu — bảo vệ tài sản, tính phí theo giờ máy, lịch bảo dưỡng;
• Không phân tích tiến độ thi công của khách để dùng vào việc khác;
• Không tiết lộ vị trí, hoạt động của khách này cho khách khác;
• Khách xem được dữ liệu thiết bị mình thuê;
• Xóa dữ liệu sau khi kết thúc hợp đồng và hết thời hạn đối soát;
• Không thu thập hình ảnh, âm thanh trong cabin nếu không có cơ sở rõ ràng.

Điểm thứ ba đáng lưu ý: dữ liệu giờ máy và vị trí cho biết chính xác một nhà thầu đang triển khai dự án nào, tiến độ ra sao — thông tin có giá trị cạnh tranh nếu công ty cho thuê cũng tham gia thi công.

Dữ liệu người vận hành

Nhiều hệ thống ghi nhận hành vi lái: phanh gấp, quá tốc độ, tải quá mức. Người vận hành là nhân sự của khách thuê, không phải của công ty cho thuê.

Năm nguyên tắc: chỉ chia sẻ cho khách thuê dữ liệu liên quan an toàn và bảo vệ thiết bị; khách thuê có trách nhiệm thông báo cho người vận hành của họ; không dùng dữ liệu để đánh giá cá nhân người vận hành khi chưa có thông báo; có quy trình khiếu nại vì cảm biến có sai số; và không lưu dữ liệu định danh người vận hành lâu hơn cần thiết.

Khoản 5 Điều 41 Luật 148/2025/QH15 quy định người dùng không bị áp đặt điều kiện bất hợp lý hoặc bị phân biệt đối xử khi sử dụng sản phẩm, dịch vụ số.

An ninh thiết bị kết nối

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Bảy biện pháp:

• Đổi mật khẩu mặc định trên mọi thiết bị giám sát;
• Không dùng mật khẩu chung cho cả đội máy;
• Mã hóa kênh truyền;
• Xác thực hai chiều giữa thiết bị và máy chủ;
• Cập nhật phần mềm thiết bị có ký số;
• Bảo vệ vật lý hộp thiết bị, có cảm biến báo tháo gỡ;
• Cảnh báo khi thiết bị ngừng gửi dữ liệu.

Điểm cuối có hai ý nghĩa: thiết bị hỏng, hoặc có người cố tình tháo để che giấu việc sử dụng máy sai mục đích.

Hợp đồng thuê và chứng cứ

Sáu nguyên tắc: biên bản bàn giao có ảnh tình trạng máy, dấu thời gian; số giờ máy ghi nhận tự động, không sửa được; công thức tính phí minh bạch; khách đối chiếu được số liệu; quy trình xử lý khi thiết bị đo lỗi; và lưu chứng cứ đầy đủ cho việc giải quyết tranh chấp.

Điểm thứ hai và thứ năm quan trọng: giờ máy là căn cứ tính tiền, nên nó phải chính xác và không bị nghi ngờ về khả năng can thiệp từ phía nào.

Bảo dưỡng và an toàn thiết bị

Năm yêu cầu: hồ sơ bảo dưỡng số hoá, nhật ký không sửa được; gắn định danh kỹ thuật viên; cảnh báo tới hạn kiểm định; không cho thuê thiết bị quá hạn kiểm định; và lưu hồ sơ theo thời hạn quy định.

Điểm thứ tư là ràng buộc mà hệ thống nên thực thi bằng kỹ thuật, không chỉ bằng quy trình: chặn tạo hợp đồng cho thiết bị đã hết hạn kiểm định.

Danh sách kiểm tra

• Hệ thống có thể dừng máy đang vận hành không?
• Chức năng vô hiệu hóa có tác động tới cơ cấu an toàn không?
• Khách hàng có được thông báo trong hợp đồng về chức năng này không?
• Có cơ chế mở khóa khẩn cấp hoạt động liên tục không?
• Có phân tích tiến độ thi công của khách không?
• Thiết bị giám sát có mật khẩu chung cho cả đội máy không?
• Có cảnh báo khi thiết bị ngừng gửi dữ liệu không?

Đọc thêm cùng chủ đề

• Doanh nghiệp nhỏ và hộ kinh doanh được hỗ trợ chuyển đổi số ra sao?
• Tài sản số được pháp luật công nhận như thế nào?
• Chữ ký điện tử có mấy loại và loại nào tương đương chữ ký tay?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 16
• Luật 148/2025/QH15 Điều 27
• Luật 116/2025/QH15 Điều 26
• Luật 148/2025/QH15 Điều 41

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.