Theo Luật An ninh mạng 2025, đơn vị cấp nước dùng đồng hồ thông minh cần bảo đảm những gì?

Dữ liệu tiêu thụ nước theo giờ cho biết nhà có người hay không. Hệ thống cấp nước cũng là hạ tầng mà sự cố ảnh hưởng tới hàng vạn hộ dân.

Đồng hồ nước thông minh đọc chỉ số từ xa, phát hiện rò rỉ, cảnh báo tiêu thụ bất thường. Không cần nhân viên tới nhà ghi số, hóa đơn chính xác hơn, khách hàng biết mình dùng bao nhiêu theo thời gian thực. Nhưng dữ liệu tiêu thụ nước theo giờ nói lên nhiều điều về đời sống trong một ngôi nhà.

Dữ liệu tiêu thụ nước tiết lộ gì

Biểu đồ tiêu thụ theo giờ của một hộ gia đình cho biết:

• Nhà có người hay không — mức tiêu thụ gần bằng không nghĩa là đi vắng;
• Giờ thức dậy, giờ đi ngủ;
• Số người trong nhà, qua mức tiêu thụ nền;
• Thay đổi bất thường — có thêm người ở, hoặc có người rời đi.

Nhóm thông tin thứ nhất là rủi ro an ninh thật: dữ liệu cho biết chính xác nhà nào đang không có người, trong bao lâu.

Đây là lý do dữ liệu tiêu thụ tiện ích cần được bảo vệ ở mức cao hơn nhiều so với cảm nhận thông thường về "hóa đơn nước".

Nghĩa vụ bảo vệ dữ liệu

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Bảy biện pháp:

• Chỉ thu thập ở tần suất cần thiết — đọc chỉ số theo ngày đủ cho việc tính hóa đơn; đọc theo phút tạo ra dữ liệu chi tiết hơn nhiều so với nhu cầu;
• Phân quyền chặt — nhân viên tính hóa đơn cần chỉ số tổng, không cần biểu đồ theo giờ;
• Ghi nhật ký mọi lần tra cứu dữ liệu chi tiết;
• Không cung cấp thông tin về việc một hộ có đang dùng nước hay không cho người hỏi;
• Thời hạn lưu dữ liệu chi tiết ngắn, chỉ giữ số liệu tổng hợp lâu dài;
• Khách hàng xem được dữ liệu của mình;
• Không chia sẻ cho bên thứ ba.

Điểm thứ nhất là biện pháp thiết kế quan trọng nhất: giảm tần suất thu thập là cách giảm rủi ro hiệu quả nhất mà không mất chức năng.

Điểm thứ tư là tình huống thực tế: người hỏi có thể là hàng xóm, chủ nhà cũ, hoặc bất kỳ ai muốn biết một căn nhà có người ở hay không.

Hạ tầng thiết yếu — an ninh ở mức khác

Điều 16 Luật 116/2025/QH15 quy định về các hoạt động bảo vệ an ninh mạng. Điều 26 quy định các nội dung bảo đảm an ninh dữ liệu.

Điều 10 Luật 71/2025/QH15 quy định: Cơ quan, tổ chức, cá nhân tham gia hoặc có liên quan đến hoạt động công nghiệp công nghệ số phải tuân thủ quy định của pháp luật về an toàn thông tin mạng, an ninh mạng, pháp luật về dữ liệu, dữ liệu cá nhân và pháp luật khác có liên quan.

Hệ thống cấp nước có đặc thù: đây là hạ tầng thiết yếu, và sự cố ảnh hưởng trực tiếp tới sức khỏe cộng đồng. Nếu hệ thống thuộc diện hệ thống thông tin quan trọng về an ninh quốc gia, sẽ có thêm nghĩa vụ theo quy định riêng — doanh nghiệp cần rà soát điểm này.

Ba nhóm hệ thống cần bảo vệ ở mức khác nhau:

Hệ thống điều khiển xử lý nước — mức cao nhất. Can thiệp vào đây có thể ảnh hưởng chất lượng nước cấp cho hàng vạn người. Phải tách hoàn toàn khỏi internet.

Hệ thống quan trắc chất lượng — dữ liệu phải trung thực, không sửa được, có cảnh báo khi cảm biến ngừng hoạt động.

Hệ thống đọc chỉ số và tính hóa đơn — mức thông thường nhưng vẫn cần bảo vệ dữ liệu khách hàng.

Bốn biện pháp cốt lõi cho nhóm thứ nhất:

• Tách mạng hoàn toàn — không kết nối internet, không dùng chung thiết bị mạng với hệ thống văn phòng;
• Kiểm soát thiết bị di động — khóa cổng USB, kiểm tra máy tính của nhà thầu;
• Kết nối bảo trì từ xa theo yêu cầu, không thường trực;
• Giám sát bất thường trong lưu lượng mạng điều khiển.

Phương án khi hệ thống sự cố

Với hạ tầng thiết yếu, phương án dự phòng không phải tùy chọn. Sáu nội dung:

• Ai quyết định chuyển sang vận hành thủ công;
• Quy trình vận hành thủ công, in ra giấy;
• Cách bảo đảm chất lượng nước khi mất hệ thống quan trắc tự động;
• Thông báo cho người dân — qua kênh nào khi hệ thống thông tin cũng bị ảnh hưởng;
• Phối hợp với cơ quan chức năng;
• Bảo toàn dấu vết để điều tra.

Điểm thứ tư đáng lưu ý: nếu sự cố ảnh hưởng cả hệ thống thông tin, thông báo qua ứng dụng hoặc trang web sẽ không tới được người dân. Cần kênh dự phòng.

Đồng hồ thông minh — thiết bị tại nhà dân

Hàng chục nghìn thiết bị đặt tại nhà dân, kết nối mạng, khó cập nhật đồng loạt. Năm biện pháp:

• Không dùng chung một mật khẩu cho toàn bộ đội thiết bị;
• Cơ chế cập nhật từ xa an toàn, có xác thực;
• Thiết bị không mở cổng cho kết nối từ ngoài vào;
• Cảnh báo khi thiết bị bị can thiệp vật lý;
• Danh sách theo dõi phiên bản phần mềm từng thiết bị.

Điểm thứ nhất là bài học từ nhiều sự cố thiết bị kết nối: mật khẩu chung nghĩa là lộ một thiết bị là lộ tất cả.

Minh bạch với khách hàng

Năm nội dung nên công khai:

• Đồng hồ thông minh thu thập gì, tần suất nào;
• Dữ liệu dùng vào việc gì;
• Ai xem được, lưu bao lâu;
• Khách hàng xem dữ liệu của mình ở đâu;
• Có phương án cho người không muốn lắp đồng hồ thông minh không.

Điểm cuối cần cân nhắc thực tế: việc thay đồng hồ là quyết định của đơn vị cấp nước, nhưng nên giải thích rõ và có kênh tiếp nhận ý kiến.

Cảnh báo rò rỉ — tính năng có giá trị

Đây là lợi ích rõ nhất của đồng hồ thông minh với khách hàng: phát hiện rò rỉ sớm, tránh hóa đơn tăng đột biến.

Ba nguyên tắc để tính năng này thực sự hữu ích: cảnh báo kịp thời qua kênh khách hàng chọn; giải thích rõ căn cứ cảnh báo; và không dùng cảnh báo làm cớ để tiếp thị dịch vụ sửa chữa của đơn vị liên kết mà không nói rõ.

Danh sách kiểm tra

• Đồng hồ thu thập dữ liệu ở tần suất nào? Có cần chi tiết tới vậy không?
• Nhân viên có xem được biểu đồ tiêu thụ theo giờ của từng hộ không?
• Có quy trình từ chối yêu cầu tra cứu từ người không có thẩm quyền không?
• Hệ thống điều khiển xử lý nước có tách hoàn toàn khỏi internet không?
• Các đồng hồ có dùng chung mật khẩu không?
• Có kênh thông báo dự phòng khi hệ thống thông tin gặp sự cố không?
• Quy trình vận hành thủ công có in ra giấy không?

Đọc thêm cùng chủ đề

• Doanh nghiệp kho lạnh thực phẩm bảo vệ dữ liệu vận hành thế nào?
• Đơn vị cung cấp dịch vụ chứng thực chữ ký số có trách nhiệm gì?
• Doanh nghiệp cung cấp dịch vụ lưu trữ website có trách nhiệm gì?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 16
• Luật 116/2025/QH15 Điều 26
• Luật 148/2025/QH15 Điều 27
• Luật 71/2025/QH15 Điều 10

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.