Theo Luật An ninh mạng 2025, đơn vị vận hành trạm xăng dầu số hoá cần bảo đảm những gì?

Cột bơm điện tử là nơi gian lận đo lường xảy ra phổ biến. Bài viết bàn về chống can thiệp và an toàn hệ thống.

Trạm xăng dầu kết hợp hai loại rủi ro: gian lận đo lường ảnh hưởng tới hàng nghìn người mỗi ngày với số tiền nhỏ mà không ai phát hiện được; và nguy cơ cháy nổ với hậu quả thảm khốc.

Lưu ý trước: kinh doanh xăng dầu là ngành nghề có điều kiện, chịu điều chỉnh của pháp luật chuyên ngành về kinh doanh xăng dầu, đo lường, phòng cháy chữa cháy. Bài viết bàn về khía cạnh dữ liệu và hệ thống.

Chống gian lận đo lường

Đây là vấn đề trọng tâm và cũng là nơi công nghệ vừa tạo ra vấn đề vừa giải quyết được vấn đề.

Khoản 1 Điều 19 Luật 20/2023/QH15 quy định:

Nội dung của thông điệp dữ liệu được bảo đảm toàn vẹn khi nội dung đó chưa bị thay đổi, trừ những thay đổi về hình thức phát sinh trong quá trình gửi, lưu trữ hoặc hiển thị thông điệp dữ liệu.

Mười ba yêu cầu:

• Niêm phong bộ phận đo lường và mạch điều khiển;
• Cảm biến báo mở vỏ cột bơm, cảnh báo tức thì;
• Không có chức năng ẩn điều chỉnh hệ số đo;
• Không có chế độ bí mật kích hoạt bằng tổ hợp phím hoặc điều khiển từ xa;
• Phần mềm cột bơm được ký số, chống thay thế;
• Bộ đếm không xóa được tổng lượng đã bơm;
• Ghi nhật ký mọi lần mở, hiệu chỉnh, thay linh kiện;
• Số liệu truyền về hệ thống trung tâm theo thời gian thực;
• Không sửa được dữ liệu giao dịch;
• Cân đối tồn kho — lượng nhập, lượng bán, lượng tồn phải khớp;
• Cảnh báo chênh lệch bất thường;
• Đo bể ngầm tự động, đối chiếu với lượng bán;
• Hóa đơn ghi rõ số lượng, đơn giá, thành tiền.

Điểm thứ ba và thứ tư là ranh giới tuyệt đối: thiết bị điều khiển từ xa cho phép thay đổi lượng bơm là công cụ gian lận có chủ đích, và việc lắp đặt nó là hành vi vi phạm nghiêm trọng.

Điểm thứ mười và thứ mười hai là cơ chế phát hiện hiệu quả nhất: nếu lượng xăng bán ra theo cột bơm lớn hơn lượng thực tế rút khỏi bể, phần chênh lệch chính là phần khách hàng bị đong thiếu.

Điểm thứ hai đáng lưu ý: can thiệp vào cột bơm đòi hỏi mở vỏ, và một cảm biến báo mở gửi cảnh báo ngay khiến việc này khó thực hiện âm thầm.

An toàn cháy nổ

Điều 16 Luật 116/2025/QH15 quy định về các hoạt động bảo vệ an ninh mạng.

Chín biện pháp: hệ thống ngắt khẩn cấp hoạt động cơ khí, độc lập hoàn toàn; van ngắt tự động khi có sự cố; cảm biến rò rỉ hơi xăng, cảnh báo tức thì; hệ thống chữa cháy tự động, kiểm tra định kỳ có ghi nhận; không cho phép phần mềm vô hiệu hóa các lớp bảo vệ; tách mạng hệ thống điều khiển khỏi internet và wifi khách; đổi mật khẩu mặc định; kiểm soát truy cập từ xa; và diễn tập định kỳ.

Điểm thứ nhất và thứ năm là nguyên tắc an toàn nền tảng: nút dừng khẩn phải cắt được nguồn và dòng chảy bằng cơ chế vật lý, không phụ thuộc vào bất kỳ phần mềm nào còn hoạt động hay không.

Điểm thứ sáu là lỗ hổng cần rà soát: hệ thống quản lý trạm nối chung mạng với wifi cho khách hàng là rủi ro nghiêm trọng.

Đo bể ngầm và bảo vệ môi trường

Bảy yêu cầu: hệ thống đo mức bể tự động; cảnh báo khi phát hiện thất thoát bất thường — dấu hiệu rò rỉ bể ngầm; ghi nhận liên tục, không sửa được; đối chiếu định kỳ giữa lượng đo và lượng bán; kiểm tra độ kín bể theo quy định, có ghi nhận; quan trắc nước ngầm nếu quy định yêu cầu; và báo cáo ngay khi phát hiện rò rỉ.

Điểm thứ hai có ý nghĩa môi trường lớn: rò rỉ bể ngầm gây ô nhiễm nguồn nước ngầm kéo dài nhiều chục năm và rất khó khắc phục, trong khi phát hiện sớm qua chênh lệch số liệu là hoàn toàn khả thi.

Dữ liệu khách hàng

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Sáu nguyên tắc: chỉ thu thập thông tin cần cho việc bán hàng và xuất hóa đơn; không bắt buộc định danh để mua xăng; nếu có nhận diện biển số, không lập hồ sơ lịch sử đi lại; không bán dữ liệu; camera phục vụ an ninh, thời hạn lưu ngắn; và không lưu thông tin thẻ.

Điểm thứ ba đáng lưu ý: dữ liệu biển số kết hợp thời gian và địa điểm đổ xăng cho biết khá nhiều về lộ trình di chuyển của một người.

Minh bạch với khách hàng

Bảy nguyên tắc: niêm yết giá rõ ràng, cập nhật đúng thời điểm; cột bơm hiển thị số về không trước khi bơm; khách nhìn thấy được màn hình; hóa đơn đầy đủ khi khách yêu cầu; kênh khiếu nại về đo lường; ghi nhận và xử lý nghiêm túc; và công khai kết quả kiểm định gần nhất.

Điểm thứ hai và thứ ba là biện pháp cơ bản chống gian lận thủ công: nhân viên không đưa số về không, hoặc che màn hình, là thủ đoạn đơn giản mà khách khó phát hiện.

Điểm thứ bảy tạo niềm tin: dán kết quả kiểm định và thời hạn ngay tại cột bơm cho phép khách tự kiểm tra.

Nhân sự

Sáu biện pháp: đào tạo về an toàn cháy nổ; quy trình xử lý sự cố dán tại chỗ; cấm dùng điện thoại tại khu vực bơm; kênh báo cáo khi phát hiện can thiệp thiết bị; bảo vệ người báo cáo; và ghi nhận đầy đủ ca trực, giao ca.

Điểm thứ tư và thứ năm là biện pháp chống gian lận từ bên trong: nhân viên thường là người biết rõ nhất khi có can thiệp vào cột bơm, và họ chỉ báo cáo khi có kênh an toàn.

An ninh hệ thống

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Năm biện pháp: tài khoản riêng cho từng nhân viên; xác thực nhiều lớp cho quyền điều chỉnh; nhật ký không sửa được; sao lưu dữ liệu giao dịch; và phương án ghi chép thủ công khi hệ thống sự cố.

Danh sách kiểm tra

• Cột bơm có cảm biến báo mở vỏ không?
• Có thiết bị điều khiển từ xa can thiệp lượng bơm không?
• Có cân đối tồn kho giữa lượng nhập, bán, tồn không?
• Có cảnh báo thất thoát bể ngầm không?
• Nút dừng khẩn có hoạt động cơ khí độc lập không?
• Hệ thống trạm có tách khỏi wifi khách không?
• Nhân viên có kênh báo cáo an toàn khi phát hiện can thiệp không?

Đọc thêm cùng chủ đề

• Trại giống thủy sản số hoá quản lý cần tuân thủ những gì?
• Công ty dịch vụ bảo vệ số hoá quản lý cần tuân thủ những gì?
• Doanh nghiệp sản xuất thiết bị chiếu sáng thông minh cần lưu ý gì?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 16
• Luật 20/2023/QH15 Điều 19
• Luật 148/2025/QH15 Điều 27
• Luật 116/2025/QH15 Điều 26

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.