Theo Luật An ninh mạng 2025, sân bay địa phương số hoá vận hành cần bảo đảm những gì?

Sân bay nhỏ có nguồn lực hạn chế nhưng yêu cầu an ninh không thấp hơn. Bài viết bàn về ưu tiên đầu tư và phương án dự phòng.

Cảng hàng không địa phương đối mặt với một nghịch lý: yêu cầu về an ninh hàng không không thấp hơn sân bay lớn, trong khi nguồn lực về nhân sự và ngân sách hạn chế hơn nhiều. Điều này đòi hỏi cách tiếp cận thực tế về ưu tiên.

Lưu ý trước: hoạt động hàng không chịu điều chỉnh của pháp luật chuyên ngành với quy định nghiêm ngặt về an ninh hàng không. Hệ thống có thể thuộc diện hệ thống thông tin quan trọng về an ninh quốc gia. Bài viết bàn về nguyên tắc chung.

Ưu tiên bảo vệ hệ thống trọng yếu

Điều 16 Luật 116/2025/QH15 quy định về các hoạt động bảo vệ an ninh mạng.

Với nguồn lực hạn chế, việc xác định đúng thứ tự ưu tiên quan trọng hơn là làm mọi thứ ở mức trung bình. Bốn nhóm theo mức ưu tiên:

Nhóm một — không thỏa hiệp: hệ thống liên quan trực tiếp an toàn bay; hệ thống soi chiếu an ninh; kiểm soát ra vào khu vực hạn chế; và liên lạc khẩn cấp.

Nhóm hai — rất quan trọng: hệ thống làm thủ tục hành khách; dữ liệu hành khách; hệ thống xử lý hành lý.

Nhóm ba: hệ thống hành chính, bán vé, thông tin công cộng.

Nhóm bốn: wifi công cộng, màn hình quảng cáo.

Chín biện pháp cho nhóm một và hai:

• Tách mạng hoàn toàn giữa các nhóm;
• Wifi công cộng tách biệt tuyệt đối, không có đường nào tới hệ thống nghiệp vụ;
• Không truy cập từ xa vào hệ thống nhóm một;
• Tài khoản riêng cho từng nhân viên, không dùng chung theo ca;
• Xác thực nhiều lớp;
• Tự động khóa màn hình khi rời quầy;
• Kiểm soát thiết bị mang vào khu vực hạn chế;
• Nhật ký mọi thao tác, không sửa được;
• Thu hồi quyền và thẻ ngay trong ngày cuối làm việc.

Điểm thứ hai là lỗi cấu hình nguy hiểm và không tốn kém để khắc phục: wifi cho hành khách dùng chung hạ tầng với mạng nghiệp vụ là rủi ro nghiêm trọng mà nhiều sân bay nhỏ mắc phải vì tiết kiệm chi phí.

Điểm thứ tư đáng nhấn mạnh: dùng chung tài khoản theo ca là thói quen phổ biến ở nơi ít nhân sự, và nó làm mất hoàn toàn khả năng quy trách nhiệm.

Phương án dự phòng thủ công

Đây là điểm mà sân bay nhỏ có lợi thế: quy mô nhỏ khiến việc vận hành thủ công khả thi hơn.

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu, gồm bảo đảm tính sẵn sàng.

Tám nội dung: quy trình làm thủ tục thủ công, có mẫu in sẵn; danh sách hành khách in ra hoặc tải về thiết bị ngoại tuyến; quy trình kiểm soát an ninh không phụ thuộc hệ thống; liên lạc dự phòng bằng bộ đàm; nguồn điện dự phòng cho khu vực trọng yếu; phân công nhân sự tăng cường; đối chiếu sau khi khôi phục; và diễn tập định kỳ.

Điểm thứ hai có mặt trái cần xử lý: danh sách in ra chứa thông tin hành khách, phải được kiểm soát chặt và hủy sau chuyến bay.

Điểm thứ ba là ranh giới không thỏa hiệp: hệ thống sự cố không bao giờ là lý do để giảm mức kiểm tra an ninh.

Dữ liệu hành khách

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Chín nguyên tắc: nhân viên chỉ truy cập chuyến bay đang phục vụ; ghi nhật ký mọi lần tra cứu; giám sát tra cứu bất thường — đặc biệt tra tên người nổi tiếng; không tiết lộ một người có trên chuyến bay hay không; không đọc to thông tin nhạy cảm tại quầy; màn hình không hướng ra ngoài; không chụp màn hình; bảo mật thông tin về yêu cầu đặc biệt — hỗ trợ xe lăn, suất ăn theo tôn giáo; và xóa dữ liệu sau thời hạn.

Điểm thứ ba và thứ tư đặc biệt quan trọng ở sân bay địa phương: cộng đồng nhỏ, nhiều người quen biết nhau, và việc một nhân viên tra cứu rồi kể lại chuyến đi của người quen là vi phạm dễ xảy ra.

Điểm thứ tám là dữ liệu nhạy cảm: yêu cầu hỗ trợ xe lăn tiết lộ tình trạng sức khỏe, và suất ăn đặc biệt có thể tiết lộ tôn giáo.

Camera và ghi hình

Điều 15 Luật 116/2025/QH15 liệt kê các hành vi xâm phạm bí mật cá nhân, bí mật gia đình và đời sống riêng tư trên không gian mạng.

Sáu nguyên tắc: camera phục vụ an ninh hàng không, có cơ sở rõ ràng; không lắp ở khu vực riêng tư; quy trình trích xuất chặt chẽ, có phê duyệt và ghi nhận; không cung cấp cho người không có thẩm quyền; không đăng hình ảnh lên mạng; và bảo mật hệ thống camera.

Điểm thứ năm cần được nhấn mạnh với nhân sự: hình ảnh hành khách gây rối, người nổi tiếng đi qua sân bay bị nhân viên đăng lên mạng là vi phạm nghiêm trọng.

Nhân sự — mắt xích quyết định

Sân bay nhỏ có ít nhân sự, mỗi người kiêm nhiều việc, và mối quan hệ cá nhân trong cộng đồng nhỏ chặt chẽ hơn. Tám biện pháp:

• Xác minh lý lịch theo quy định về an ninh hàng không;
• Đào tạo về an ninh và bảo mật, cập nhật định kỳ;
• Cam kết bảo mật có chế tài, hiệu lực sau khi nghỉ;
• Kiểm soát thẻ ra vào khu vực hạn chế;
• Không nể nang trong kiểm tra an ninh với người quen;
• Kênh báo cáo khi phát hiện bất thường hoặc bị nhờ vả;
• Bảo vệ người báo cáo;
• Thu hồi toàn bộ khi nghỉ việc.

Điểm thứ năm và thứ sáu là thách thức đặc thù của môi trường cộng đồng nhỏ: áp lực từ quan hệ quen biết khiến việc thực thi quy định nghiêm túc trở nên khó khăn về mặt xã hội, và tổ chức cần có cơ chế bảo vệ nhân viên làm đúng.

Nhà thầu và đơn vị phục vụ

Sáu nguyên tắc: xác minh nhân sự nhà thầu như nhân sự nội bộ; ràng buộc bảo mật trong hợp đồng; kiểm soát quyền truy cập theo phạm vi công việc; kiểm soát thiết bị mang vào; thu hồi thẻ và quyền ngay khi kết thúc; và đổi mã khóa khi thay nhà thầu.

Ứng phó sự cố

Sáu nội dung: kế hoạch ứng phó cho nhiều kịch bản; diễn tập có sự tham gia của lực lượng chức năng địa phương; danh sách liên lạc khẩn cấp cập nhật; quy trình báo cáo; phối hợp với sân bay lớn khi cần hỗ trợ; và rà soát sau mỗi sự cố.

Danh sách kiểm tra

• Wifi công cộng có tách tuyệt đối khỏi mạng nghiệp vụ không?
• Có dùng tài khoản chung theo ca không?
• Có giám sát tra cứu bất thường thông tin hành khách không?
• Có quy trình thủ công đã diễn tập khi hệ thống sự cố không?
• Danh sách hành khách in ra có được hủy sau chuyến không?
• Nhân viên có kênh báo cáo khi bị nhờ vả không?
• Có thu hồi thẻ và quyền ngay khi nhân sự nghỉ không?

Đọc thêm cùng chủ đề

• Đơn vị quản lý ký túc xá sinh viên số hoá cần lưu ý những gì?
• Trung tâm huấn luyện thể thao xử lý dữ liệu vận động viên ra sao?
• Đơn vị bảo trì điện mặt trời áp mái cần lưu ý những gì?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 16
• Luật 116/2025/QH15 Điều 26
• Luật 148/2025/QH15 Điều 27
• Luật 116/2025/QH15 Điều 15

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.