Dữ liệu cá nhân bị rao bán trái phép diễn ra với quy mô lớn
Thời gian qua, công tác bảo đảm an ninh mạng, an ninh dữ liệu tại Việt Nam cho thấy mức độ rủi ro ngày càng gia tăng cả về quy mô lẫn tính chất. Số vụ tấn công mạng có chủ đích, phần lớn nhằm thẳng vào dữ liệu, có xu hướng tăng nhanh qua từng năm; xuất hiện sự chuyển dịch rõ rệt từ các đợt tấn công dàn trải sang những chiến dịch tấn công có chủ đích, kéo dài, xâm nhập sâu và âm thầm thu thập dữ liệu trong thời gian dài trước khi bị phát hiện.
Tình trạng dữ liệu cá nhân bị rao bán trái phép trên các diễn đàn ngầm diễn ra ở quy mô lớn; thiệt hại kinh tế do lừa đảo trực tuyến, mã độc tống tiền gây ra là rất đáng kể. Quy mô và tốc độ gia tăng của rủi ro an ninh dữ liệu đang vượt xa năng lực ứng phó hiện có; nếu không có một thể chế đủ mạnh để quản lý rủi ro ngay từ gốc, nguy cơ bị động, lúng túng trong ứng phó sự cố sẽ ngày càng lớn, không chỉ gây thiệt hại về kinh tế mà còn ảnh hưởng nghiêm trọng đến an ninh quốc gia.
Mặc dù hệ thống pháp luật hiện hành của Việt Nam đã có Luật An ninh mạng, Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân, Luật Trí tuệ nhân tạo, song mỗi luật chỉ điều chỉnh một khía cạnh riêng, chưa có luật nào quy định toàn diện việc bảo vệ an ninh của chính dữ liệu, xuyên suốt từ khâu thu thập, tạo lập, lưu trữ, xử lý, truyền đưa, chia sẻ cho đến khi tiêu hủy. Khoảng trống này khiến nhiều hoạt động xử lý dữ liệu có nguy cơ cao - như xử lý dữ liệu quy mô lớn, huấn luyện trí tuệ nhân tạo bằng dữ liệu nhạy cảm, chuyển dữ liệu xuyên biên giới - chưa có cơ chế quản lý rủi ro tương xứng…Do đó việc ban hành Luật An ninh dữ liệu trong thời điểm này là yêu cầu cấp thiết.
Hình thành hệ thống biện pháp bảo vệ an ninh dữ liệu toàn diện
Dự thảo Luật An ninh dữ liệu gồm 6 chương, 29 điều, quy định 5 cấp độ rủi ro an ninh dữ liệu (từ 1-5), xác định dựa trên khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra. Toàn bộ nghĩa vụ cụ thể được phân bổ bám sát cấp độ này, áp dụng xuyên suốt từ hoạt động chuyển đổi số, hạ tầng số, xử lý dữ liệu quy mô lớn, công nghệ mới và trí tuệ nhân tạo cho đến hoạt động xuyên biên giới.
Về trách nhiệm của Nhà nước, cơ quan, tổ chức, doanh nghiệp và cá nhân, trên nền tảng cơ chế quản lý theo cấp độ rủi ro, dự thảo Luật phân định rõ trách nhiệm của từng chủ thể. Đối với cá nhân, dự thảo Luật tiếp cận theo hai tư cách: với tư cách chủ thể dữ liệu, quyền và lợi ích hợp pháp tiếp tục được bảo vệ theo pháp luật về bảo vệ dữ liệu cá nhân, đồng thời được hưởng thêm lớp bảo vệ an ninh bổ sung theo cấp độ rủi ro khi dữ liệu được xử lý trong hệ thống có mức độ rủi ro cao; với tư cách nhân sự phụ trách an ninh dữ liệu hoặc chuyên gia hoạt động độc lập, dự thảo khuyến khích cá nhân chủ động phát hiện, kiểm thử, thông báo lỗ hổng an ninh dữ liệu với thiện chí, được bảo vệ danh tính, quyền, lợi ích hợp pháp và loại trừ trách nhiệm pháp lý tương ứng.
Về hệ thống biện pháp bảo vệ an ninh dữ liệu, dự thảo Luật cụ thể hóa thành một hệ thống biện pháp bảo vệ bao quát toàn diện, tổ chức thành các nhóm: biện pháp quản lý; biện pháp kỹ thuật; bảo vệ an ninh vật lý đối với thiết bị, hạ tầng lưu trữ; đánh giá sự phù hợp, chứng nhận theo tiêu chuẩn kỹ thuật; ứng phó, khắc phục sự cố; đào tạo, tuyên truyền; ngăn chặn, vô hiệu hóa dữ liệu độc hại; và xử lý vi phạm pháp luật. Các biện pháp này được áp dụng xuyên suốt vòng đời dữ liệu - từ thiết kế, thu thập, lưu trữ, xử lý, truyền đưa cho đến khi tiêu hủy - và khi cần thiết được bổ sung bằng biện pháp kỹ thuật khẩn cấp đối với sự cố đặc biệt nghiêm trọng, đi kèm nguyên tắc áp dụng biện pháp ít hạn chế quyền nhất, có thời hạn rõ ràng và bảo đảm quyền khiếu nại, bồi thường của tổ chức, cá nhân bị áp dụng trái pháp luật.
Về bảo vệ an ninh dữ liệu đối với công nghệ mới và trí tuệ nhân tạo, Dự thảo Luật xác lập định hướng bảo vệ an ninh dữ liệu đối với công nghệ mới và trí tuệ nhân tạo, gắn với xu thế phát triển công nghệ hiện nay. Tổ chức, cá nhân nghiên cứu, phát triển, triển khai công nghệ mới, hệ thống trí tuệ nhân tạo xử lý dữ liệu có mức độ rủi ro cao có trách nhiệm tích hợp biện pháp bảo vệ an ninh ngay từ khâu thiết kế, bảo đảm nguồn gốc hợp pháp và tính nguyên vẹn của dữ liệu được sử dụng.
Có thể nói, việc xây dựng, ban hành Luật An ninh dữ liệu không đơn thuần là hoàn thiện một mảnh ghép còn thiếu trong hệ thống pháp luật, mà là một bước đi tất yếu, có tính chiến lược, nhằm chuyển dịch mô hình quản trị quốc gia về dữ liệu từ trạng thái bị động, ứng phó sau sự cố sang chủ động phòng ngừa, kiểm soát rủi ro ngay từ đầu; bảo vệ vững chắc chủ quyền dữ liệu quốc gia trong tiến trình chuyển đổi số; đồng thời tạo nền tảng niềm tin và không gian phát triển để người dân, doanh nghiệp, ngành công nghiệp bảo vệ dữ liệu trong nước yên tâm tham gia, đóng góp vào nền kinh tế số của đất nước.
