Trình Quốc hội đề xuất chia dữ liệu thành 5 cấp độ rủi ro để bảo vệ

Sáng 26/10, Bộ trưởng Bộ Công an Lương Tam Quang thừa ủy quyền Thủ tướng, trình Quốc hội dự án Luật An ninh dữ liệu. 

Theo tờ trình của Chính phủ, các quy định hiện còn phân tán, chưa có cơ chế thống nhất bảo vệ bản thân dữ liệu xuyên suốt vòng đời. Dự thảo đề xuất quản lý theo mức độ rủi ro, không áp đặt đồng loạt nghĩa vụ với mọi loại dữ liệu.

Chính phủ cho biết năm 2025, các hệ thống thông tin tại Việt Nam ghi nhận khoảng 552.000 cuộc tấn công mạng, 5.230 cơ quan, doanh nghiệp chịu tổn hại. Khoảng 60-70% số vụ lộ, lọt dữ liệu bắt nguồn từ nhân sự nội bộ. 

Phân cấp theo khả năng xảy ra sự cố và thiệt hại

Điều 8 dự thảo luật xác định 5 cấp độ rủi ro dựa trên khả năng xảy ra sự cố và mức độ thiệt hại đối với quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân.

Cấp độ 1 có khả năng xảy ra sự cố và hậu quả thấp, bao gồm dữ liệu công khai, dữ liệu mở. Cấp độ 2 có mức rủi ro trung bình, bao gồm dữ liệu lưu hành nội bộ, dữ liệu kinh doanh và dữ liệu cá nhân không thuộc nhóm được quy định ở Cấp độ 3.

Cấp độ 3 có mức rủi ro cao, bao gồm dữ liệu quan trọng không thuộc dữ liệu cốt lõi, một số dữ liệu cốt lõi chỉ do đạt ngưỡng số lượng và dữ liệu cá nhân nhạy cảm được xử lý đạt ngưỡng quy mô lớn.

Cấp độ 4 có mức rủi ro rất cao, bao gồm dữ liệu cốt lõi, trừ các trường hợp thuộc Cấp độ 3 hoặc 5. Cấp độ 5 có hậu quả đặc biệt nghiêm trọng, trực tiếp xâm phạm an ninh quốc gia, bao gồm dữ liệu cốt lõi thuộc quốc phòng, an ninh và dữ liệu cốt lõi về vận hành, điều khiển công trình quan trọng đặc biệt liên quan đến an ninh quốc gia.

Việc phân cấp không thay thế phân loại dữ liệu theo pháp luật về dữ liệu, không làm thay đổi quyền sở hữu, quản lý, khai thác và sử dụng dữ liệu. Chính phủ sẽ quy định chi tiết tiêu chí, phương pháp xác định cấp độ. 

Rủi ro cao phải tăng kiểm toán, kiểm soát truy cập

Theo dự thảo, chủ quản dữ liệu Cấp độ 1 không phải lập hồ sơ, thực hiện thủ tục hành chính về an ninh dữ liệu theo luật này, trừ nghĩa vụ liên quan đến sự cố được quy định.

Với Cấp độ 2, chủ quản xây dựng phương án bảo vệ theo mẫu rút gọn, tích hợp trong quy chế hoặc hồ sơ đã có và lưu giữ phục vụ thanh tra, kiểm tra. Hộ kinh doanh, doanh nghiệp siêu nhỏ, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp sáng tạo được miễn lập phương án này, nhưng phải áp dụng biện pháp bảo vệ cơ bản.

Từ Cấp độ 3 trở lên, chủ quản phải thiết lập danh mục dữ liệu, đánh giá tác động và kiểm toán định kỳ theo cấp độ rủi ro; kiểm soát quyền truy cập, lưu nhật ký và thu hồi quyền ngay khi nhân sự đổi nhiệm vụ hoặc chấm dứt quan hệ công tác.

Hệ thống xử lý dữ liệu Cấp độ 4, 5 phải được thẩm định theo quy định. Kiểm toán phải có kiểm thử xâm nhập; nhân sự được cấp quyền truy cập đặc quyền phải được đánh giá độ tin cậy. Riêng Cấp độ 5, thao tác trọng yếu phải có cơ chế nhiều người có thẩm quyền cùng xác nhận.

Chuyển dữ liệu xuyên biên giới cũng được phân luồng: Cấp độ 1, 2 không phát sinh thủ tục theo luật này; Cấp độ 3 tự đánh giá, lưu hồ sơ; Cấp độ 4, 5 không thuộc diện cấm phải được thẩm định, chấp thuận.

Đề nghị xác định chặt dữ liệu có rủi ro cao nhất

Chủ quản dữ liệu tự xác định cấp độ và chịu trách nhiệm trước pháp luật. Khi thay đổi quy mô, mục đích, công nghệ xử lý hoặc việc tích tụ, liên kết, suy diễn làm dữ liệu đáp ứng tiêu chí cấp độ khác, chủ quản phải đánh giá lại.

Thẩm tra dự án luật, Ủy ban Quốc phòng, An ninh và Đối ngoại nhất trí quản lý theo 5 cấp độ. Tuy nhiên, có ý kiến đề nghị thiết lập cơ chế xác định dữ liệu Cấp độ 5 chặt chẽ hơn, không để chủ quản dữ liệu tự xác định; bổ sung nguyên tắc cấp độ dữ liệu là căn cứ xác định yêu cầu bảo vệ đối với hệ thống xử lý dữ liệu đó, không nên dùng cấp độ hệ thống thông tin để xác định cấp độ dữ liệu; quy định chặt chẽ hơn đối với dữ liệu sinh trắc học, dữ liệu gen.

Có ý kiến cũng đề nghị lấy cấp độ dữ liệu làm căn cứ xác định yêu cầu bảo vệ hệ thống xử lý, thay vì dùng cấp độ hệ thống để xác định cấp độ dữ liệu.