Theo Luật An ninh mạng 2025, nhà máy nhiệt điện số hoá vận hành cần bảo đảm những gì?

Nhà máy điện là hạ tầng trọng yếu với rủi ro an toàn cao. Bài viết bàn về tách biệt hệ thống và quan trắc phát thải trung thực.

Nhà máy nhiệt điện kết hợp ba loại rủi ro ở mức cao: an toàn công nghiệp với nồi hơi áp suất cao và nhiệt độ lớn; an ninh hạ tầng vì là nguồn cung điện cho lưới quốc gia; và môi trường với lượng phát thải lớn ảnh hưởng tới cộng đồng.

Lưu ý trước: hoạt động điện lực chịu điều chỉnh của pháp luật chuyên ngành. Nhà máy điện có thể thuộc diện hệ thống thông tin quan trọng về an ninh quốc gia, với nghĩa vụ theo quy định riêng cần tra kỹ. Bài viết bàn về nguyên tắc chung.

Tách biệt hệ thống điều khiển

Điều 16 Luật 116/2025/QH15 quy định về các hoạt động bảo vệ an ninh mạng.

Mười một biện pháp:

• Tách vật lý hệ thống điều khiển phân tán khỏi mạng hành chính và internet;
• Hệ thống dừng khẩn cấp hoàn toàn độc lập với hệ thống điều khiển quá trình;
• Cơ cấu an toàn cơ khí — van an toàn nồi hơi hoạt động không qua phần mềm;
• Giới hạn cứng ở lớp thiết bị cho áp suất, nhiệt độ, tốc độ tua bin;
• Không truy cập từ xa vào hệ thống điều khiển vận hành;
• Kiểm soát nghiêm thiết bị nhà thầu, cấm máy tính cá nhân;
• Kiểm soát cổng USB — đường lây nhiễm chính vào hệ thống tách mạng;
• Xác thực lệnh, không chấp nhận lệnh không rõ nguồn;
• Nhật ký mọi thao tác, không sửa được;
• Cảnh báo thay đổi thông số quan trọng;
• Vận hành thủ công sẵn sàng, có diễn tập.

Điểm thứ hai tới thứ tư là nguyên tắc an toàn nền tảng: các lớp bảo vệ tính mạng phải hoạt động độc lập và bằng cơ khí, để dù toàn bộ hệ thống số bị chiếm quyền thì nồi hơi vẫn không nổ.

Điểm thứ bảy là bài học từ các vụ tấn công vào hệ thống công nghiệp trên thế giới: mạng tách biệt không phải là bất khả xâm phạm khi có thiết bị lưu trữ di động mang mã độc vào.

Điểm thứ mười một là lớp phòng vệ cuối: kỹ năng vận hành thủ công cần được duy trì bằng diễn tập, không chỉ tồn tại trên quy trình.

Quan trắc phát thải

Đây là vấn đề có tác động lớn nhất tới cộng đồng xung quanh và cũng chịu áp lực gian lận lớn nhất.

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Mười hai yêu cầu:

• Bảo vệ thiết bị quan trắc, có niêm phong và camera giám sát;
• Không sửa được số liệu tại nguồn;
• Không có chức năng tạm dừng ghi, truyền mà không để lại dấu vết;
• Ghi nhận đầy đủ mọi khoảng thời gian thiết bị không hoạt động, kèm lý do;
• Cảnh báo khi thiết bị ngừng gửi;
• Không có đường xả tránh điểm quan trắc;
• Giám sát hệ thống xử lý khí thải — ghi nhận khi nó ngừng hoạt động;
• Đối chiếu lượng nhiên liệu tiêu thụ với phát thải tính toán;
• Đối chiếu với đo thủ công định kỳ;
• Hiệu chuẩn định kỳ có ghi nhận;
• Truyền dữ liệu về cơ quan quản lý theo quy định;
• Công khai số liệu theo thời gian thực cho cộng đồng.

Điểm thứ bảy và thứ tám là hai cơ chế phát hiện gian lận quan trọng: tắt hệ thống lọc bụi để tiết kiệm điện là hành vi có động cơ kinh tế rõ ràng, và việc đối chiếu nhiên liệu với phát thải cho thấy con số có hợp lý hay không.

Điểm thứ ba và thứ tư cần khẳng định dứt khoát: thiết bị quan trắc chuyển sang chế độ hiệu chuẩn đúng vào lúc phát thải cao là thủ đoạn đã được ghi nhận, và việc ghi nhận đầy đủ mọi khoảng trống dữ liệu là cách phát hiện.

Điểm thứ mười hai là lựa chọn có lợi cho chính doanh nghiệp: minh bạch chủ động giảm xung đột với cộng đồng và bảo vệ doanh nghiệp làm đúng khỏi bị đánh đồng.

Dữ liệu vận hành và tính sẵn sàng

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu, gồm bảo đảm tính sẵn sàng.

Bảy yêu cầu: hệ thống điều khiển có dự phòng nóng; nguồn điện tự dùng dự phòng nhiều lớp; sao lưu cấu hình và chương trình điều khiển; quy trình dừng an toàn có trình tự; không cập nhật phần mềm khi tổ máy đang vận hành; kiểm thử đầy đủ trước mọi thay đổi; và phối hợp với đơn vị điều độ hệ thống điện.

Điểm thứ hai đáng nhấn mạnh: mất điện tự dùng khi tổ máy đang chạy là tình huống nguy hiểm nhất về an toàn, vì bơm nước cấp và hệ thống làm mát ngừng hoạt động.

Hồ sơ kỹ thuật và bảo trì

Khoản 1 Điều 19 Luật 20/2023/QH15 quy định:

Nội dung của thông điệp dữ liệu được bảo đảm toàn vẹn khi nội dung đó chưa bị thay đổi, trừ những thay đổi về hình thức phát sinh trong quá trình gửi, lưu trữ hoặc hiển thị thông điệp dữ liệu.

Bảy yêu cầu: hồ sơ bảo trì số hoá, nhật ký không sửa được; gắn định danh người thực hiện và người kiểm tra; ghi nhận đầy đủ kết quả kiểm tra, kể cả phát hiện bất thường; ảnh hiện trường có dấu thời gian; cảnh báo tới hạn bảo trì, kiểm định; chặn vận hành thiết bị quá hạn kiểm định; và lưu trữ dài hạn.

Điểm thứ ba là điểm quyết định về an toàn: bỏ qua một phát hiện bất thường vì áp lực phát điện là nguyên nhân của nhiều sự cố nghiêm trọng, và việc ghi nhận bắt buộc khiến quyết định đó phải được cân nhắc.

An toàn người lao động

Bảy nguyên tắc: quan trắc môi trường lao động, số liệu không sửa được; ghi nhận phơi nhiễm theo vị trí; hồ sơ sức khỏe lưu dài hạn; người lao động tiếp cận được hồ sơ kể cả sau khi nghỉ; kênh báo cáo nguy cơ mất an toàn mà không sợ bị phạt; ghi nhận và phân tích các tình huống suýt xảy ra sự cố; và không dùng dữ liệu sức khỏe để phân biệt đối xử.

Điểm thứ năm và thứ sáu là nền tảng của văn hóa an toàn: người vận hành phát hiện dấu hiệu bất thường phải báo được ngay, và tổ chức phải coi đó là đóng góp chứ không phải rắc rối.

Quan hệ với cộng đồng

Sáu nội dung: công khai số liệu quan trắc; kênh tiếp nhận phản ánh về bụi, tiếng ồn, nước thải; phản hồi nghiêm túc và kịp thời; thông báo khi có sự cố ảnh hưởng ra ngoài; hệ thống cảnh báo cho khu dân cư lân cận; và đối thoại định kỳ.

Điểm thứ tư là nghĩa vụ không thể né tránh: sự cố phát tán bụi, khí ra khu dân cư cần được thông báo ngay để người dân có biện pháp bảo vệ, không phải chờ tới khi có kết luận đầy đủ.

Nhà thầu và chuỗi cung ứng

Sáu nguyên tắc: kiểm tra bảo mật thiết bị trước khi đưa vào hệ thống; đổi toàn bộ mật khẩu mặc định; kiểm soát quyền truy cập nhà thầu, cấp theo thời hạn và thu hồi khi kết thúc; đổi mật khẩu khi thay nhà thầu; yêu cầu công bố lỗ hổng từ nhà cung cấp; và đánh giá rủi ro với thiết bị có kết nối về nhà sản xuất ở nước ngoài.

Danh sách kiểm tra

• Hệ thống dừng khẩn cấp có độc lập hoàn toàn không?
• Có kiểm soát cổng USB trong khu vực điều khiển không?
• Thiết bị quan trắc có chức năng tạm dừng không để lại dấu vết không?
• Có ghi nhận khi hệ thống xử lý khí thải ngừng hoạt động không?
• Có đối chiếu nhiên liệu tiêu thụ với phát thải không?
• Có công khai số liệu quan trắc theo thời gian thực không?
• Người vận hành có kênh báo cáo nguy cơ mà không sợ bị phạt không?

Đọc thêm cùng chủ đề

• Bãi đỗ xe sân bay ứng dụng nhận diện biển số cần tuân thủ gì?
• Trung tâm dữ liệu cho thuê chỗ đặt máy chủ có nghĩa vụ gì?
• Đơn vị tổ chức giải thể thao điện tử xử lý dữ liệu người chơi ra sao?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 16
• Luật 116/2025/QH15 Điều 26
• Luật 148/2025/QH15 Điều 27
• Luật 20/2023/QH15 Điều 19

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.