An ninh mạng

Theo Luật An ninh mạng 2025, lưu dữ liệu trên đám mây nước ngoài cần lưu ý gì?

01/08/2026
1 lượt xem
0 bình luận

Điểm e khoản 2 Điều 26 Luật 116/2025 nêu rõ việc kiểm tra, đánh giá chuyển dữ liệu xuyên biên giới là một nội dung bảo đảm an ninh dữ liệu.

Phần lớn doanh nghiệp Việt Nam hiện dùng dịch vụ điện toán đám mây của nhà cung cấp nước ngoài. Đây là lựa chọn hợp lý về chi phí và năng lực, nhưng có những điểm cần rà soát theo khung pháp lý mới.

Bảo đảm an ninh dữ liệu — Điều 26 Luật 116/2025/QH15

Khoản 1 Điều 26 định nghĩa: bảo đảm an ninh dữ liệu là tổng thể các biện pháp kỹ thuật, tổ chức và pháp lý nhằm bảo vệ dữ liệu, phòng, chống xâm phạm an ninh dữ liệu.

Khoản 2 Điều 26 nêu bảy nội dung:

Điểm a — xây dựng chính sách, thiết lập quy trình về bảo đảm an ninh dữ liệu;
Điểm b — áp dụng biện pháp, tiêu chuẩn, quy chuẩn kỹ thuật theo quy định của pháp luật về an ninh mạng;
Điểm c — sử dụng mật mã cơ yếu, mật mã dân sự để bảo đảm an ninh dữ liệu;
Điểm d — triển khai cơ chế kiểm soát chặt chẽ nhân sự trực tiếp tham gia xử lý dữ liệu;
Điểm đ — kiểm tra, đánh giá rủi ro định kỳ nhằm phát hiện, ngăn chặn và xử lý kịp thời các nguy cơ đe dọa an ninh dữ liệu;
Điểm e — kiểm tra, đánh giá việc chuyển dữ liệu xuyên biên giới; điều kiện bảo đảm an ninh dữ liệu trong hệ thống thông tin quan trọng về an ninh quốc gia, các cơ sở dữ liệu, trung tâm dữ liệu, hệ thống lưu trữ dữ liệu;
Điểm g — các nội dung khác theo quy định của pháp luật.

Khoản 3 Điều 26 giao Chính phủ quy định chi tiết khoản 2 và quy định trách nhiệm bảo đảm an ninh dữ liệu.

Điểm e — chuyển dữ liệu xuyên biên giới

Đây là điểm liên quan trực tiếp nhất tới việc dùng dịch vụ đám mây nước ngoài. Việc lưu dữ liệu trên máy chủ đặt ngoài lãnh thổ Việt Nam là chuyển dữ liệu xuyên biên giới.

Điều 26 đặt yêu cầu kiểm tra, đánh giá — tức doanh nghiệp cần biết dữ liệu của mình đi đâu và đánh giá rủi ro của việc đó, chứ không phải mặc nhiên bị cấm.

Các điều kiện cụ thể về chuyển dữ liệu xuyên biên giới còn phụ thuộc pháp luật về dữ liệu và pháp luật về bảo vệ dữ liệu cá nhân — doanh nghiệp cần đối chiếu cả các văn bản đó.

Điểm c — mã hóa dữ liệu

Với dữ liệu lưu ở bên thứ ba, mã hóa là biện pháp bảo vệ căn bản. Điểm cần lưu ý về kỹ thuật: nếu nhà cung cấp giữ khóa mã hóa thì mức bảo vệ thấp hơn nhiều so với việc doanh nghiệp tự quản lý khóa.

Điểm d — kiểm soát nhân sự

Với mô hình đám mây, cần kiểm soát ở hai lớp: nhân sự của doanh nghiệp có quyền truy cập, và nhân sự của nhà cung cấp. Lớp thứ hai được xử lý qua điều khoản hợp đồng và các chứng nhận độc lập của nhà cung cấp.

Yêu cầu về sao lưu và phục hồi

Khoản 4 Điều 8 Luật Chuyển đổi số 148/2025/QH15 quy định: dữ liệu được xử lý bởi hệ thống số phải được lưu trữ, sao lưu, bảo vệ và phục hồi theo phương án bảo đảm tính toàn vẹn, tính sẵn sàng và khả năng chống chịu sự cố; tuân thủ quy định về bảo vệ dữ liệu cá nhân và dữ liệu quan trọng, dữ liệu cốt lõi.

Điểm đ khoản 2 Điều 10 Luật 116/2025/QH15 cũng nêu tổ chức triển khai các biện pháp lưu trữ, sao lưu bảo vệ an ninh thông tin mạng là một trong tám biện pháp bảo vệ an ninh mạng.

Một sai lầm phổ biến với mô hình đám mây: cho rằng nhà cung cấp đã sao lưu nên doanh nghiệp không cần làm gì. Thực tế, nhiều dịch vụ chỉ sao lưu ở mức hạ tầng — nếu dữ liệu bị xóa nhầm hoặc bị mã hóa bởi phần mềm tống tiền, bản sao lưu của nhà cung cấp có thể không giúp khôi phục được.

Nguyên tắc thực dụng: giữ ít nhất một bản sao lưu độc lập, ở nơi khác, và kiểm thử khôi phục ít nhất một lần. Khả năng phục hồi phải chứng minh được, không phải giả định.

Khả năng rời khỏi nhà cung cấp

Khoản 2 Điều 26 Luật Công nghiệp công nghệ số 71/2025/QH15 quy định: tổ chức, doanh nghiệp, cá nhân cung cấp sản phẩm, dịch vụ công nghệ số không được áp đặt, gây trở ngại thương mại, kỹ thuật và biện pháp khác nhằm ngăn cản khách hàng thực hiện lưu trữ dữ liệu số được tạo ra khi sử dụng sản phẩm, dịch vụ công nghệ số hoặc chuyển sang sử dụng trên sản phẩm, dịch vụ công nghệ số của tổ chức, doanh nghiệp, cá nhân khác.

Đây là căn cứ để doanh nghiệp yêu cầu nhà cung cấp bảo đảm quyền lấy dữ liệu ra và chuyển sang bên khác.

Điều khoản nên có trong hợp đồng dịch vụ đám mây:

Quyền xuất toàn bộ dữ liệu bất kỳ lúc nào, ở định dạng mở hoặc có công bố cấu trúc;
Chi phí xuất dữ liệu — nêu rõ, tránh phí bất ngờ khi muốn rời đi;
Thời gian chuyển tiếp sau khi chấm dứt hợp đồng trước khi dữ liệu bị xóa;
Khẳng định quyền sở hữu dữ liệu thuộc về khách hàng;
Cam kết về vị trí lưu trữ dữ liệu và thông báo khi thay đổi;
Nghĩa vụ thông báo sự cố và thời hạn thông báo;
Quyền kiểm tra hoặc nhận báo cáo kiểm toán độc lập về an ninh của nhà cung cấp.

Định hướng chính sách về đám mây trong nước

Khoản 3 Điều 23 Luật 148/2025/QH15 quy định Bộ, ngành, địa phương có trách nhiệm đánh giá, ưu tiên xem xét phương án lựa chọn mô hình triển khai trên điện toán đám mây trong các hoạt động đầu tư, mua sắm, thuê dịch vụ phục vụ hoạt động chuyển đổi số.

Khoản 1 và khoản 2 Điều 23 còn có các biện pháp thúc đẩy phát triển trung tâm dữ liệu trong nước: bảo đảm nguồn điện xanh, sạch, dự phòng cho các trung tâm dữ liệu, và bố trí quỹ đất cho các dự án trung tâm dữ liệu.

Với doanh nghiệp, điều này nghĩa là năng lực hạ tầng đám mây trong nước dự kiến sẽ cải thiện — một yếu tố cần theo dõi khi cân nhắc lựa chọn nhà cung cấp cho các chu kỳ hợp đồng tiếp theo.

Danh mục rà soát

Lập bản đồ dữ liệu — dữ liệu nào đang ở đâu, ai có quyền truy cập, thuộc loại nào;
Xác định dữ liệu nào là dữ liệu cá nhân, và trong đó dữ liệu nào thuộc nhóm nhạy cảm;
Đối chiếu điều kiện chuyển dữ liệu xuyên biên giới theo pháp luật về dữ liệu và bảo vệ dữ liệu cá nhân;
Kiểm tra cơ chế mã hóa và quản lý khóa;
Rà soát quyền truy cập — thu hồi quyền của nhân sự đã nghỉ hoặc chuyển vị trí;
Thiết lập sao lưu độc lập và kiểm thử khôi phục;
Rà soát hợp đồng theo danh mục điều khoản nêu trên;
Đưa việc kiểm tra, đánh giá rủi ro định kỳ vào lịch công tác theo điểm đ khoản 2 Điều 26.

Trong thực tế, việc lập bản đồ dữ liệu là bước tốn công nhất nhưng cũng cho giá trị lớn nhất — phần lớn doanh nghiệp phát hiện có nhiều nơi lưu dữ liệu hơn mình nghĩ, kể cả các công cụ do từng bộ phận tự đăng ký sử dụng.