Thiết lập cơ chế theo dõi, cảnh báo sớm và điều phối ứng cứu sự cố an ninh dữ liệu

Quản lý an ninh dữ liệu theo 5 cấp độ rủi ro

Sáng 26/10, tại Kỳ họp thứ 2, Quốc hội khóa XVI, Bộ trưởng Công an, Đại tướng Lương Tam Quang, thừa ủy quyền của Thủ tướng Chính phủ trình bày tờ trình dự án Luật An ninh dữ liệu.

Tờ trình nêu rõ, việc xây dựng Luật nhằm xác lập cơ sở pháp lý để Nhà nước quản lý, bảo vệ dữ liệu thuộc quyền tài phán của Việt Nam; bảo vệ quyền, lợi ích hợp pháp của tổ chức, cá nhân; tạo điều kiện phát triển kinh tế dữ liệu.

Yêu cầu xuyên suốt là bảo đảm an ninh quốc gia; quản lý theo mức độ rủi ro, không áp đặt đồng loạt nghĩa vụ, dữ liệu rủi ro thấp không phát sinh thủ tục; thống nhất với Luật An ninh mạng, Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân; không thành lập tổ chức, bộ máy mới...

Dự thảo được thiết kế gồm 6 chương, 29 điều, quy định về nguyên tắc, biện pháp bảo vệ an ninh dữ liệu; quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân và nội dung quản lý nhà nước về an ninh dữ liệu.

Đối tượng áp dụng là cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam; tổ chức, cá nhân nước ngoài ở ngoài lãnh thổ Việt Nam có hoạt động xử lý dữ liệu thuộc quyền tài phán của Việt Nam hoặc có hành vi xâm phạm an ninh dữ liệu của Việt Nam.

Về bảo vệ an ninh dữ liệu, dự thảo Luật quy định 5 cấp độ rủi ro an ninh dữ liệu, từ Cấp độ 1 (thấp nhất) đến Cấp độ 5 (cao nhất), xác định dựa trên khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra. Chủ quản dữ liệu tự xác định cấp độ, áp dụng biện pháp bảo vệ tương xứng và chịu trách nhiệm về kết quả xác định, theo cơ chế hậu kiểm là chủ yếu.

Chủ quản dữ liệu từ Cấp độ 3 trở lên có trách nhiệm đánh giá tác động, kiểm toán an ninh dữ liệu định kỳ; hệ thống xử lý dữ liệu Cấp độ 4, Cấp độ 5 phải được thẩm định theo quy định. Các biện pháp bảo vệ được áp dụng xuyên suốt từ khâu thiết kế hệ thống đến khi tiêu hủy dữ liệu.

Bên cạnh đó, dự thảo Luật quy định trách nhiệm bảo vệ an ninh dữ liệu đối với hạ tầng số, hạ tầng dữ liệu quốc gia trọng yếu, hệ thống vật lý-số, hoạt động xử lý dữ liệu quy mô lớn và chuỗi cung ứng sản phẩm, dịch vụ dữ liệu.

Đối với hoạt động nghiên cứu, phát triển, ứng dụng trí tuệ nhân tạo, dự thảo yêu cầu kiểm soát nguồn gốc, bảo đảm tính nguyên vẹn của dữ liệu huấn luyện và dữ liệu dẫn xuất; phòng, chống hành vi đầu độc dữ liệu, trích xuất dữ liệu trái phép; bảo đảm con người có khả năng can thiệp, kiểm soát đối với hoạt động ra quyết định tự động theo quy định của pháp luật.

Về mật mã bảo vệ dữ liệu, dự thảo Luật quy định mật mã an ninh do Bộ Công an thống nhất quản lý, sử dụng để bảo vệ dữ liệu và bí mật nhà nước. Việc sử dụng mật mã an ninh để bảo vệ bí mật nhà nước được thực hiện có lộ trình: trước mắt áp dụng trong lực lượng Công an nhân dân, sau đó đánh giá hiệu quả trước khi mở rộng phạm vi áp dụng. Nhà nước khuyến khích nghiên cứu, phát triển mật mã kháng lượng tử, mật mã lượng tử; việc chuyển đổi thực hiện theo lộ trình phù hợp năng lực công nghệ, không áp dụng đồng loạt khi chưa đủ điều kiện.

Liên quan chuyển, xử lý dữ liệu xuyên biên giới, dự thảo quy định dữ liệu Cấp độ 1, Cấp độ 2 không phải thực hiện thủ tục theo Luật này khi chuyển ra nước ngoài; dữ liệu Cấp độ 3 do chủ quản dữ liệu tự đánh giá và lưu giữ hồ sơ; dữ liệu Cấp độ 4, Cấp độ 5 phải được cơ quan có thẩm quyền thẩm định, chấp thuận trước khi chuyển.

Dự thảo Luật đồng thời quy định việc cung cấp dữ liệu theo yêu cầu của nước ngoài, trách nhiệm của bên cung cấp dịch vụ xuyên biên giới, và việc tích hợp đánh giá an ninh dữ liệu trong thủ tục đầu tư, chuyển giao công nghệ hiện hành.

Về ứng phó sự cố và biện pháp khẩn cấp, dự thảo thiết lập cơ chế theo dõi, cảnh báo sớm, báo cáo và điều phối ứng cứu sự cố an ninh dữ liệu. Căn cứ, thẩm quyền, phạm vi và thời hạn áp dụng biện pháp kỹ thuật khẩn cấp được quy định cụ thể ngay trong Luật; việc áp dụng ưu tiên biện pháp ít hạn chế quyền nhất và phải chấm dứt ngay khi căn cứ áp dụng không còn. Tổ chức, cá nhân bị áp dụng biện pháp được bảo đảm quyền khiếu nại, khởi kiện và được bồi thường thiệt hại theo quy định của pháp luật.

Đề nghị quy định chặt chẽ hơn đối với dữ liệu sinh trắc học, dữ liệu gene

Nêu quan điểm thẩm tra, Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội Lê Tấn Tới nhấn mạnh, Ủy ban nhất trí về sự cần thiết ban hành Luật An ninh dữ liệu nhằm thể chế hóa kịp thời các chủ trương, quan điểm chỉ đạo của Đảng về bảo đảm an ninh mạng, an ninh dữ liệu, chủ quyền số, chủ quyền dữ liệu; khắc phục tình trạng quy định về an ninh dữ liệu còn phân tán tại một số luật chuyên ngành.

Đồng thời, thiết lập khung pháp lý quản lý rủi ro, xác định trách nhiệm đối với bản thân dữ liệu và chủ quản dữ liệu, chủ động bảo vệ tài nguyên dữ liệu quốc gia từ sớm, từ xa trước các nguy cơ tấn công, rủi ro lộ lọt dữ liệu, sự cố dữ liệu tài chính, năng lượng, viễn thông và đe dọa từ điện toán lượng tử.

Về cấp độ rủi ro an ninh dữ liệu, cơ quan thẩm tra nhất trí với việc quản lý theo 5 cấp độ rủi ro tương ứng với 5 cấp độ hệ thống thông tin theo Luật An ninh mạng, đồng thời tích hợp kết quả phân loại dữ liệu theo Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân.

Tuy nhiên, có ý kiến đề nghị bổ sung quy định cơ quan chuyên trách thường xuyên rà soát, cập nhật; thiết lập cơ chế xác định dữ liệu Cấp độ 5 chặt chẽ hơn (không để chủ quản dữ liệu tự xác định); bổ sung nguyên tắc cấp độ dữ liệu là căn cứ xác định yêu cầu bảo vệ đối với hệ thống xử lý dữ liệu đó, không nên dùng cấp độ hệ thống thông tin để xác định cấp độ dữ liệu; quy định chặt chẽ hơn đối với dữ liệu sinh trắc học, dữ liệu gene.

Về trách nhiệm của các chủ thể, thẩm định an ninh dữ liệu và bảo vệ an ninh dữ liệu đối với hạ tầng số, Ủy ban Quốc phòng, An ninh và Đối ngoại nhất trí với quy định phân định trách nhiệm giữa chủ quản dữ liệu, bên xử lý dữ liệu và bên cung cấp sản phẩm, dịch vụ; quy định thẩm định an ninh dữ liệu thực hiện một lần, đồng thời với thẩm định an ninh mạng, không yêu cầu bàn giao mã nguồn, trọng số mô hình; quy định về hạ tầng số, trung tâm dữ liệu, điện toán đám mây.

Có ý kiến đề nghị phân định trách nhiệm gắn với quyền quyết định đối với dữ liệu và phạm vi kiểm soát của từng chủ thể, việc thuê ngoài không làm chuyển giao trách nhiệm pháp lý; thống nhất khái niệm “chủ quản dữ liệu” với Luật Dữ liệu; bổ sung trình tự, thời hạn thẩm định đối với hệ thống Cấp độ 4, Cấp độ 5 không thuộc diện thẩm định an ninh mạng; quy định thời hạn tối đa giải quyết thủ tục chấp thuận chuyển dữ liệu Cấp độ 4 và trách nhiệm của cơ quan có thẩm quyền khi không trả lời đúng hạn.

Bên cạnh đó, Ủy ban đồng tình với cơ chế phân luồng chuyển dữ liệu ra nước ngoài theo cấp độ rủi ro, không đặt yêu cầu lưu trữ dữ liệu tại Việt Nam mà tập trung kiểm soát khóa giải mã; cơ chế xử lý yêu cầu cung cấp dữ liệu trực tiếp của cơ quan nước ngoài; giới hạn thời hạn áp dụng biện pháp kỹ thuật đối với dịch vụ xuyên biên giới không quá 90 ngày.

Tuy nhiên, có ý kiến đề nghị quy định rõ trong Luật dữ liệu Cấp độ 5 không được chuyển ra nước ngoài, trừ trường hợp Thủ tướng Chính phủ quyết định; bổ sung khóa giải mã, tham số mật mã của hệ thống Cấp độ 4, Cấp độ 5 vào phạm vi không được chuyển; xác định rõ chủ thể có thẩm quyền quyết định biện pháp hạn chế, tạm dừng dịch vụ xuyên biên giới tại khoản 3 Điều 20.

Cùng với đó, bổ sung cơ chế thông báo khi thay đổi quyền kiểm soát đối với doanh nghiệp quản lý dữ liệu từ Cấp độ 4 trở lên và rà soát Điều 21 để bảo đảm phù hợp với pháp luật về đầu tư, cạnh tranh, doanh nghiệp, cam kết quốc tế về đầu tư.