Bài 3: Xây dựng “lá chắn số” cho chuyển đổi số bền vững

Khi chuyển đổi số đang làm thay đổi căn bản cách vận hành của xã hội, không gian mạng cũng dần trở thành “không gian sống mới” của quốc gia. Từ dữ liệu dân cư, dịch vụ công, tài chính-ngân hàng đến các hoạt động kinh tế, truyền thông, quản trị…, mọi lĩnh vực đều ngày càng phụ thuộc vào môi trường số. Trong bối cảnh đó, an ninh mạng không còn là vấn đề kỹ thuật đơn thuần, mà trở thành một bộ phận cấu thành của chiến lược phát triển quốc gia. Điều này đặt ra yêu cầu cấp thiết phải hoàn thiện thể chế, phát triển hệ sinh thái an ninh mạng, nâng cao chất lượng nguồn nhân lực và hình thành “lá chắn số” bắt đầu từ chính con người.

Chuyển đổi số càng phát triển sâu rộng thì dữ liệu càng trở thành tài sản chiến lược của quốc gia. Không chỉ phục vụ quản lý, điều hành hay phát triển kinh tế số, dữ liệu ngày nay còn gắn trực tiếp với hoạt động của xã hội và đời sống người dân. Điều đó cũng đồng nghĩa, nếu thiếu cơ chế bảo vệ phù hợp, dữ liệu có thể trở thành điểm yếu lớn nhất trong môi trường số.

Tuy nhiên, thách thức hiện nay không chỉ nằm ở nguy cơ bị tấn công mạng, mà còn ở tư duy quản trị dữ liệu còn chậm thay đổi so với tốc độ phát triển của không gian số. Nhiều cơ quan, tổ chức đầu tư mạnh cho chuyển đổi số nhưng chưa thực sự nắm rõ mình đang sở hữu những loại dữ liệu nào, dữ liệu được lưu trữ ở đâu, ai có quyền truy cập và quy trình kiểm soát ra sao. Khi dữ liệu được thu thập, chia sẻ và khai thác với quy mô ngày càng lớn, chỉ một lỗ hổng nhỏ cũng có thể kéo theo nguy cơ rò rỉ thông tin trên diện rộng.

Thực tế cho thấy, không gian mạng hiện nay không còn đứng tách biệt, mà đang dần trở thành không gian vận hành của xã hội hiện đại. Từ thanh toán điện tử, dịch vụ công trực tuyến, y tế số, giáo dục số cho tới các hoạt động quản trị, điều hành…, mọi lĩnh vực đều ngày càng phụ thuộc vào dữ liệu và các nền tảng số. Trong bối cảnh đó, yêu cầu đặt ra là phải xây dựng được hành lang pháp lý đồng bộ, đủ khả năng bảo vệ dữ liệu, kiểm soát rủi ro và tạo niềm tin cho xã hội.

Kinh nghiệm quốc tế cho thấy, các quốc gia đi đầu về chuyển đổi số đều đặc biệt coi trọng hoàn thiện thể chế về bảo vệ dữ liệu và an ninh mạng. Liên minh châu Âu với Quy định bảo vệ dữ liệu chung (GDPR) đã thiết lập các tiêu chuẩn nghiêm ngặt về trách nhiệm xử lý dữ liệu, minh bạch thông tin và bảo vệ quyền riêng tư của người dùng.

Đối với Việt Nam, việc từng bước hoàn thiện các quy định liên quan đến an ninh mạng và bảo vệ dữ liệu cá nhân là bước đi quan trọng nhằm tạo nền tảng pháp lý cho phát triển kinh tế số. Tuy nhiên, yêu cầu hiện nay không chỉ là có quy định, mà quan trọng hơn là các quy định phải đủ rõ ràng, khả thi và có thể thực thi hiệu quả trong thực tế.

Việc bảo vệ dữ liệu phải được thực hiện trên toàn bộ vòng đời xử lý dữ liệu, từ thu thập, lưu trữ, xử lý đến chia sẻ và khai thác. Chỉ một sơ suất nhỏ cũng có thể tạo ra nguy cơ xâm phạm dữ liệu cá nhân.

Thượng tá Nguyễn Đình Đỗ Thi, Phó Trưởng phòng Tham mưu, Cục An ninh mạng và Phòng chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an

Một lỗ hổng dữ liệu hôm nay có thể kéo theo hệ lụy không chỉ về kinh tế, mà còn làm suy giảm niềm tin xã hội, ảnh hưởng tới uy tín tổ chức và thậm chí tác động tới an ninh quốc gia. Vì vậy, hoàn thiện thể chế không chỉ nhằm kiểm soát vi phạm, mà sâu xa hơn là hình thành năng lực quản trị dữ liệu phù hợp với môi trường số hiện đại.

Từ góc độ quản lý và thực thi, Thượng tá Nguyễn Đình Đỗ Thi, Phó Trưởng phòng Tham mưu, Cục An ninh mạng và Phòng chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an cho rằng, các cơ quan, tổ chức, doanh nghiệp cần rà soát toàn bộ hoạt động để đánh giá hiện trạng tuân thủ pháp lý cũng như các biện pháp bảo vệ dữ liệu đang áp dụng. Trên cơ sở đó xây dựng chương trình, kế hoạch cụ thể để triển khai tuân thủ theo quy định của luật và các nghị định hướng dẫn.

Theo Thượng tá Nguyễn Đình Đỗ Thi, việc bảo vệ dữ liệu phải được thực hiện trên toàn bộ vòng đời xử lý dữ liệu, từ thu thập, lưu trữ, xử lý đến chia sẻ và khai thác. Chỉ một sơ suất nhỏ cũng có thể tạo ra nguy cơ xâm phạm dữ liệu cá nhân. Đồng thời, các tổ chức cần có bộ phận chuyên trách về bảo vệ dữ liệu hoặc sử dụng dịch vụ từ các đơn vị chuyên nghiệp nhằm bảo đảm năng lực quản trị và kiểm soát dữ liệu.

Trong môi trường số hiện đại, không một cơ quan hay tổ chức nào có thể tự bảo vệ mình một cách độc lập. Các hệ thống ngày càng liên thông, dữ liệu ngày càng chia sẻ sâu rộng, trong khi các mối đe dọa mạng lại có tính xuyên biên giới và biến đổi rất nhanh. Điều đó khiến tư duy phòng thủ đơn lẻ dần trở nên lỗi thời.

Một cuộc tấn công mạng hiện nay có thể không bắt đầu từ chính hệ thống mục tiêu, mà xuất phát từ một nhà cung cấp dịch vụ, một phần mềm trung gian hoặc thậm chí một tài khoản người dùng có mức bảo mật yếu hơn. Khi các nền tảng số ngày càng kết nối sâu, rủi ro cũng có xu hướng lan rộng theo chuỗi liên kết đó.

Điểm đáng lo hiện nay không phải chỉ là số lượng các cuộc tấn công gia tăng, mà là việc nhiều hệ thống không phát hiện được mình đã bị xâm nhập từ trước đó. Có những cuộc tấn công âm thầm tồn tại trong hệ thống nhiều tuần, nhiều tháng để đánh cắp dữ liệu trước khi kích hoạt mã hóa hoặc phá hoại.

Thực tiễn quốc tế cho thấy, hợp tác công-tư trong an ninh mạng đang trở thành xu hướng chủ đạo nhằm tăng cường chia sẻ thông tin, phối hợp ứng cứu sự cố và nâng cao năng lực phòng vệ trước các nguy cơ tấn công mạng mang tính hệ thống. Nhiều quốc gia, tổ chức quốc tế và doanh nghiệp công nghệ đang thúc đẩy các cơ chế phối hợp đa tầng giữa Nhà nước, doanh nghiệp và cộng đồng để xây dựng không gian số an toàn, tin cậy hơn.

Tại Việt Nam, việc hình thành các nền tảng chia sẻ thông tin cảnh báo sớm, kết nối các trung tâm điều hành an ninh mạng và tăng cường phối hợp giữa cơ quan chức năng với doanh nghiệp công nghệ là bước đi cần thiết nhằm nâng cao năng lực phòng thủ ở quy mô quốc gia.

Ở góc độ doanh nghiệp, ông Nguyễn Hùng Sơn, Phó Chủ tịch Hội đồng quản trị FSI cho rằng, thách thức lớn nhất trong bảo vệ dữ liệu hiện nay không nằm ở công nghệ, mà xuất phát từ nhận thức của lãnh đạo. Theo ông, khi người đứng đầu hiểu đúng và đầy đủ về vai trò của bảo vệ dữ liệu, việc lựa chọn giải pháp và tổ chức triển khai mới có thể thực hiện đồng bộ trong toàn hệ thống. “Khi cấp quản lý cao nhất hiểu đúng và đầy đủ, việc lựa chọn giải pháp cũng như tổ chức triển khai sẽ trở nên rõ ràng, đồng thời tạo sự tuân thủ đồng bộ trong toàn bộ hệ thống. Ngược lại, nếu thiếu định hướng từ lãnh đạo, các chính sách bảo vệ dữ liệu khó đi vào thực tế”, ông Sơn nói.

Điều đó cho thấy, hệ thống bảo mật yếu nhiều khi không phải vì thiếu công nghệ, mà vì thiếu sự ưu tiên ở cấp quản trị. Khi an ninh mạng vẫn bị xem là “việc của bộ phận kỹ thuật”, các giải pháp thường chỉ mang tính đối phó. Ngược lại, khi được nhìn nhận như yếu tố sống còn của hệ thống, an ninh mạng sẽ trở thành một phần trong chiến lược phát triển của tổ chức.

Ông Nguyễn Hùng Sơn cũng cảnh báo nhiều doanh nghiệp hiện nay đang ứng dụng AI nhưng chưa kiểm soát chặt chẽ dữ liệu đầu vào, dẫn tới nguy cơ vô tình làm lộ các thông tin nhạy cảm. Theo ông, doanh nghiệp cần tăng cường đào tạo nhân sự để xây dựng và vận hành hiệu quả các chính sách bảo vệ dữ liệu; đồng thời tận dụng các quy định cho phép xử lý, ẩn danh hoặc khử dữ liệu cá nhân nhằm giảm thiểu nguy cơ rò rỉ thông tin.

Mặt khác, theo ông Sơn, việc thiếu kiểm soát dữ liệu không chỉ làm gia tăng rủi ro rò rỉ, mà còn tạo kẽ hở cho hoạt động mua bán dữ liệu cá nhân trái phép. Để thị trường giải pháp phát triển bền vững, cần có vai trò rõ ràng hơn từ cơ quan quản lý nhà nước, đặc biệt trong việc ban hành các quy chuẩn, tiêu chuẩn kỹ thuật đối với thiết bị và giải pháp an toàn thông tin. Đồng thời, cần tăng cường sự phối hợp giữa cơ quan quản lý, doanh nghiệp và các hiệp hội nghề nghiệp để xây dựng hệ sinh thái bảo vệ dữ liệu. Chỉ khi có sự liên kết và chia sẻ giữa các bên, khả năng phòng thủ mới có thể được nâng lên ở quy mô quốc gia.

Nếu thể chế tạo ra “đường ray” cho không gian số, công nghệ tạo ra lớp phòng vệ, thì con người mới là yếu tố quyết định độ bền của “lá chắn số”. Thực tế cho thấy, phần lớn các sự cố an toàn thông tin hiện nay vẫn bắt nguồn từ yếu tố con người. Những hành vi tưởng chừng đơn giản như nhấp vào đường link giả mạo, sử dụng mật khẩu yếu, chia sẻ mã OTP hay thiếu cảnh giác trước các cuộc gọi lừa đảo… đều có thể trở thành “cửa ngõ” để tin tặc xâm nhập hệ thống.

Điểm nguy hiểm nằm ở chỗ, nhiều cuộc tấn công mạng hiện nay không còn chủ yếu khai thác lỗ hổng kỹ thuật, mà tập trung khai thác tâm lý và thói quen của người dùng. Một hệ thống có thể được đầu tư công nghệ hiện đại, nhưng chỉ cần một thao tác bất cẩn cũng có thể khiến toàn bộ lớp bảo vệ bị vô hiệu hóa.

Nhiều doanh nghiệp hiện nay vẫn chưa nắm rõ bức tranh tổng thể về dữ liệu mình đang quản lý: không biết đang sở hữu loại dữ liệu nào, lưu trữ ở đâu, ai có quyền truy cập và quy trình xử lý ra sao.

Luật sư Lưu Xuân Vĩnh, Giám đốc điều hành Asia Legal

Luật sư Lưu Xuân Vĩnh, Giám đốc điều hành Asia Legal cho rằng, nhiều doanh nghiệp hiện nay vẫn chưa nắm rõ bức tranh tổng thể về dữ liệu mình đang quản lý: không biết đang sở hữu loại dữ liệu nào, lưu trữ ở đâu, ai có quyền truy cập và quy trình xử lý ra sao. Một vấn đề đáng chú ý khác là sự thiếu hụt nhân sự chuyên trách trong quản trị và kiểm soát dữ liệu. Khi không có bộ phận phụ trách, dữ liệu dễ bị phân tán, thiếu kiểm soát và kéo theo rủi ro pháp lý.

Theo ông Vĩnh, để đáp ứng yêu cầu pháp luật, doanh nghiệp cần chuyển từ tư duy vận hành sang tư duy quản trị dữ liệu mang tính chiến lược; rà soát toàn bộ nguồn dữ liệu, làm rõ quy trình thu thập, lưu trữ, xử lý và đặc biệt là việc chia sẻ dữ liệu với bên thứ ba đã bảo đảm an toàn hay chưa. Chỉ khi hiểu rõ hiện trạng, doanh nghiệp mới có thể xây dựng quy trình bảo mật phù hợp.

Trong điều kiện nguồn lực hạn chế, doanh nghiệp có thể hoàn thiện quy trình nội bộ hoặc tìm đến đơn vị tư vấn chuyên nghiệp để hỗ trợ thiết lập hệ thống quản trị dữ liệu. Tuy nhiên, xây dựng quy trình mới chỉ là bước khởi đầu. Điều quan trọng hơn là bảo đảm các quy trình đó được thực thi đúng trong thực tế.

Trong môi trường số, công nghệ có thể được mua, quy trình có thể được xây dựng, nhưng nhận thức và kỷ luật số phải được hình thành bằng quá trình lâu dài. Đây cũng là “lá chắn mềm” nhưng bền vững nhất của an ninh mạng.

Bên cạnh yếu tố con người, việc làm chủ công nghệ an ninh mạng cũng đang trở thành yêu cầu mang tính chiến lược trong bối cảnh các cuộc tấn công mạng ngày càng tinh vi và có yếu tố xuyên quốc gia. Theo Cisco – doanh nghiệp công nghệ hàng đầu thế giới trong lĩnh vực mạng và an ninh mạng, các quốc gia có năng lực tự chủ về công nghệ an ninh mạng sẽ có khả năng phát hiện và ứng phó sự cố nhanh hơn, giảm phụ thuộc vào bên ngoài.

Đối với Việt Nam, phát triển các sản phẩm và nền tảng “Make in Vietnam” trong lĩnh vực an ninh mạng không chỉ giúp nâng cao năng lực phòng thủ, mà còn tạo động lực cho ngành công nghiệp công nghệ số phát triển. Việc nghiên cứu, ứng dụng AI trong phát hiện tấn công, phân tích bất thường và tự động hóa phòng thủ sẽ là xu hướng quan trọng trong thời gian tới.