An ninh dữ liệu - nhìn từ kinh nghiệm quốc tếMật mã hậu lượng tử - bảo vệ dữ liệu hôm nay trước nguy cơ công nghệ tương lai

Hãy hình dung một bệnh viện lưu giữ hồ sơ điều trị, thông tin di truyền của hàng nghìn bệnh nhân. Kẻ tấn công sao chép được dữ liệu nhưng chưa thể giải mã. Bệnh viện khắc phục lỗ hổng, thay đổi hệ thống bảo vệ, song bản sao bị lấy đi vẫn nằm ngoài quyền kiểm soát. Nhiều năm sau, nếu công nghệ cho phép phá vỡ lớp mã hóa cũ, những thông tin riêng tư ấy có thể bị phơi bày.

Một doanh nghiệp cũng có thể đối mặt với tình huống tương tự khi thiết kế sản phẩm hoặc kết quả nghiên cứu bị thu thập dưới dạng mã hóa. Thiệt hại chưa xuất hiện ngay, nhưng thời gian lại trở thành lợi thế của bên nắm giữ bản sao.

Đó là nguy cơ thường được gọi là “thu thập trước, giải mã sau”. Nó khiến việc bảo vệ dữ liệu phải tính đến cả thời gian thông tin cần được giữ bí mật và sức chống chịu của công nghệ đang sử dụng.

Khi lớp bảo vệ có thể mất tác dụng

Mật mã hiện diện trong nhiều hoạt động quen thuộc: kết nối ngân hàng trực tuyến, trao đổi hồ sơ y tế, ký hợp đồng điện tử hay cập nhật phần mềm. Các cơ chế này bảo vệ nội dung, xác thực chủ thể và giúp phát hiện thông tin bị thay đổi.

Theo Viện Tiêu chuẩn và Công nghệ quốc gia Mỹ (NIST), máy tính lượng tử đủ mạnh trong tương lai có thể phá vỡ nhiều cơ chế mật mã khóa công khai hiện hành. Tuy nhiên, thời điểm xuất hiện năng lực ấy vẫn chưa được xác định; giới nghiên cứu còn phải vượt qua nhiều trở ngại kỹ thuật.

Trong lĩnh vực ngân hàng, nguy cơ vì thế vượt ra ngoài việc lộ thông tin tài khoản. Nếu cơ chế chữ ký số bị phá vỡ, khả năng xác thực người ký và tính toàn vẹn của giao dịch cũng có thể bị ảnh hưởng.

Tại sự kiện do Europol tổ chức ngày 7/2/2025, Diễn đàn Tài chính An toàn Lượng tử (QSFF) kêu gọi các tổ chức tài chính và nhà hoạch định chính sách ưu tiên chuyển đổi. Tài liệu của diễn đàn xác định những rủi ro đối với bảo mật thông tin khách hàng, liên lạc giữa các bên, quy trình xác thực và niềm tin vào chữ ký số.

Tính cấp thiết đến từ sự chênh lệch giữa tốc độ phát triển công nghệ và thời gian thay đổi hệ thống. Một thiết bị có thể được sử dụng hơn mười năm; một kho dữ liệu cần bảo mật lâu hơn nữa. Trong khi đó, chuyển đổi nền tảng mật mã liên quan đến phần mềm, thiết bị, chứng thư số và nhiều nhà cung cấp.

Mật mã hậu lượng tử, thường được gọi tắt là PQC, gồm những thuật toán được thiết kế để chống lại các cuộc tấn công bằng cả máy tính thông thường và máy tính lượng tử tương lai. Đây là hướng chuẩn bị trước nguy cơ, với việc lựa chọn và triển khai phải tiếp tục dựa trên kiểm chứng chuyên môn.

Sự chuẩn bị về khuôn khổ pháp lý

Mỹ cho thấy sự cấp thiết khi ban hành Luật Sẵn sàng an ninh mạng trước điện toán lượng tử, được ban hành ngày 21/12/2022. Luật hướng tới chuyển đổi hệ thống công nghệ thông tin của Chính phủ liên bang, yêu cầu xây dựng hướng dẫn về kiểm kê, ưu tiên chuyển đổi và đánh giá nguồn lực. Luật đồng thời nhấn mạnh khả năng cập nhật linh hoạt các thành phần mật mã. Đây là bước chuyển quan trọng, đó là bảo vệ dữ liệu trước nguy cơ lượng tử được gắn với công việc quản trị có thể phân công và theo dõi.

Sắc lệnh ngày 22/6/2026 của Mỹ tiếp tục cụ thể hóa trách nhiệm. Văn bản yêu cầu xác định đầu mối chuyển đổi tại các cơ quan; đặt mốc cuối năm 2030 cho chuyển đổi cơ chế thiết lập khóa và cuối năm 2031 cho chữ ký số đối với nhóm tài sản giá trị cao, hệ thống có mức tác động cao thuộc phạm vi quy định, loại trừ các hệ thống an ninh quốc gia được quản lý riêng.

Ở cấp kỹ thuật, ngày 13/8/2024, Mỹ công bố ba tiêu chuẩn FIPS đầu tiên cho PQC. FIPS 203 quy định cơ chế đóng gói khóa; FIPS 204 và FIPS 205 quy định các cơ chế chữ ký số. Việc phân biệt chức năng này giúp tổ chức lựa chọn giải pháp phù hợp với từng nhu cầu bảo vệ.

Anh lựa chọn lộ trình theo giai đoạn. Hướng dẫn của Trung tâm An ninh mạng quốc gia Anh (NCSC) xác định mốc năm 2028 cho kiểm kê và lập kế hoạch ban đầu; năm 2031 cho những chuyển đổi ưu tiên cao; năm 2035 cho hoàn tất chuyển đổi. Hướng dẫn chủ yếu dành cho tổ chức lớn, hạ tầng thiết yếu và hệ thống công nghệ chuyên biệt.

EU cũng công bố lộ trình phối hợp chuyển đổi tháng 6/2025, nhằm đồng bộ hoạt động giữa các quốc gia thành viên và nâng nhận thức của những bên liên quan. Đây là khuôn khổ khuyến nghị, cần được phân biệt với nghĩa vụ pháp lý cụ thể trong luật quốc gia.

Bắt đầu từ dữ liệu cần bảo vệ lâu dài

Kinh nghiệm quốc tế cho thấy, chuyển đổi cần bắt đầu bằng việc hiểu rõ hệ thống đang vận hành. Một tổ chức khó xác định chi phí hoặc thời hạn nếu chưa biết mật mã được sử dụng ở đâu, thiết bị nào có thể nâng cấp và dịch vụ nào phụ thuộc vào đối tác.

NIST khuyến nghị kiểm kê hệ thống, ứng dụng và dữ liệu; nhận diện thông tin nhạy cảm; trao đổi với nhà cung cấp về khả năng hỗ trợ PQC. Yêu cầu này cũng cần được đưa vào quyết định mua sắm, hiện đại hóa công nghệ.

Đối với Việt Nam, bước chuẩn bị có thể tập trung trước vào dữ liệu cần giữ bí mật lâu dài và các dịch vụ thiết yếu. Cùng với đánh giá kỹ thuật, cần xác định đầu mối chịu trách nhiệm, nguồn kinh phí và cơ chế phối hợp giữa đơn vị sử dụng với nhà cung cấp.

Các hợp đồng công nghệ nên làm rõ khả năng cập nhật thuật toán, thời hạn hỗ trợ và điều kiện thay thế thiết bị. Những yêu cầu ấy giúp hạn chế nguy cơ đầu tư vào hệ thống khó chuyển đổi khi tiêu chuẩn thay đổi.

Ở cấp độ luật pháp, có thể xác lập trách nhiệm rà soát rủi ro và cơ chế cập nhật yêu cầu bảo vệ; các thông số kỹ thuật cần được điều chỉnh theo kết quả nghiên cứu, kiểm chứng. Quá trình triển khai cũng cần thử nghiệm để bảo đảm tính tương thích và duy trì dịch vụ.

Một hồ sơ bệnh án hay bí mật công nghệ được tạo lập hôm nay có thể còn giá trị sau nhiều thập niên. Bảo vệ chúng đòi hỏi những quyết định sớm về thời gian lưu giữ, công nghệ và nguồn lực chuyển đổi. Sự chuẩn bị ấy tạo nền tảng để dữ liệu tiếp tục được an toàn khi năng lực tính toán đã thay đổi.