Bảo đảm khả năng duy trì hoạt động thiết yếu khi dữ liệu bị gián đoạn

Đánh giá nguy cơ tác động dây chuyền giữa các hệ thống dữ liệu

Tán thành sự cần thiết ban hành Luật An ninh dữ liệu, đại biểu Ngô Nam Cường ghi nhận cơ quan soạn thảo đã tiếp thu, cập nhật các ý kiến thảo luận tổ trong dự thảo ngày 2/11/2026. Từ yêu cầu bảo vệ nguồn lực dữ liệu chiến lược quốc gia, nâng cao năng lực quốc phòng, an ninh và sức chống chịu của đất nước, đại biểu đề xuất hoàn thiện các quy định về đánh giá rủi ro tại Điều 9 và khả năng kiểm soát, tiếp tục khai thác dữ liệu tại Điều 18.

Theo đại biểu, dữ liệu đã trở thành nguồn lực chiến lược phục vụ sản xuất, quản trị và đổi mới sáng tạo. Trong lĩnh vực quốc phòng, an ninh, dữ liệu còn hỗ trợ công tác dự báo, quản lý, chỉ huy, điều hành và bảo đảm thực hiện nhiệm vụ. Vì vậy, an ninh dữ liệu không chỉ dừng ở việc bảo vệ sự an toàn của từng tập dữ liệu mà còn phải góp phần bảo vệ khả năng vận hành của đất nước.

Đối với đánh giá rủi ro tại khoản 1 Điều 9, dự thảo Luật quy định 5 cấp độ rủi ro căn cứ vào tính chất và hậu quả khi dữ liệu bị xâm phạm. Tuy nhiên, đại biểu cho rằng, cần làm rõ cách đánh giá hậu quả trong trường hợp nhiều hệ thống cùng phụ thuộc vào một hạ tầng, nền tảng hoặc nhà cung cấp dịch vụ. Một cơ sở dữ liệu riêng lẻ có thể không đặc biệt nhạy cảm, nhưng nếu là đầu vào chung của nhiều dịch vụ thiết yếu, sự gián đoạn hoặc sai lệch dữ liệu có thể gây tác động dây chuyền.

Vấn đề này đặc biệt đáng lưu ý đối với các lĩnh vực giao thông, năng lượng, viễn thông và logistics. Đây là những lĩnh vực vừa phục vụ phát triển kinh tế, đời sống dân sinh, vừa có vai trò bảo đảm nguồn lực cho quốc phòng, an ninh. Trong tình huống khẩn cấp, sự gián đoạn ở một mắt xích dữ liệu dân sự có thể ảnh hưởng đến việc huy động, phối hợp và duy trì các hoạt động cần thiết. Tuy nhiên, đại biểu lưu ý không vì vậy mà mặc nhiên xếp dữ liệu lưỡng dụng vào cấp độ rủi ro cao, mà cần đánh giá đúng hậu quả thực tế.

Từ những phân tích trên, đại biểu đề nghị bổ sung vào khoản 1 Điều 9 quy định: “Việc xác định mức độ tác động, hậu quả phải tính đến khả năng lan truyền, tác động cộng gộp giữa các cơ sở dữ liệu, hệ thống, ngành, lĩnh vực và sự phụ thuộc chung vào hạ tầng, nền tảng, nhà cung cấp dịch vụ”.

Đồng thời, đề nghị giao Chính phủ quy định phương pháp đánh giá cụ thể, tích hợp trong hồ sơ hiện có. Việc kết nối, chia sẻ dữ liệu không đương nhiên làm tăng cấp độ rủi ro, tránh phát sinh nghĩa vụ vượt mức cần thiết.

“

Bên lề phiên thảo luận về dự án Luật An ninh dữ liệu sáng 4/11, Thiếu tướng Ngô Nam Cường, Phó Tư lệnh Quân khu 4, ĐBQH tỉnh Nghệ An dẫn chứng thêm về sự cố công nghệ thông tin toàn cầu ngày 19/7/2024. Theo đó, một bản cập nhật lỗi của công ty an ninh mạng CrowdStrike đã khiến khoảng 8,5 triệu thiết bị Windows trên toàn cầu bị ảnh hưởng, nhiều máy xuất hiện lỗi màn hình xanh, làm gián đoạn hoạt động hàng không và nhiều dịch vụ khác.
Theo đại biểu, dù không phải một cuộc tấn công mạng, sự cố vẫn cho thấy nguy cơ tác động dây chuyền khi nhiều hệ thống cùng phụ thuộc vào một nền tảng công nghệ... Đây là yếu tố cần được tính đến khi đánh giá rủi ro an ninh dữ liệu, nhất là đối với các hệ thống phục vụ hoạt động thiết yếu.

Bàn giao dữ liệu phải bảo đảm khả năng tiếp tục sử dụng

Góp ý Điều 18 về khả năng kiểm soát và tiếp tục khai thác dữ liệu, đại biểu Ngô Nam Cường cho biết: khoản 5 đã đề cập việc đánh giá rủi ro đối với nhà cung cấp; điểm b khoản 7 đề cập việc bàn giao hoặc tiêu hủy dữ liệu khi kết thúc hợp đồng.

Tuy nhiên, bàn giao được dữ liệu chưa đồng nghĩa với việc có thể tiếp tục sử dụng dữ liệu. Nếu dữ liệu nhận lại thiếu cấu trúc, định dạng phù hợp hoặc thông tin kỹ thuật cần thiết, chủ quản vẫn có thể phụ thuộc vào nền tảng cũ. “Quyền quản lý hợp pháp chưa đồng nghĩa năng lực làm chủ thực tế”, đại biểu nhấn mạnh.

Từ đó, đại biểu đề nghị chỉnh lý điểm b khoản 7 Điều 18 theo hướng khi kết thúc hợp đồng, nhà cung cấp phải bàn giao dữ liệu mà chủ quản có quyền nhận lại hợp pháp, theo định dạng có thể đọc bằng máy và tiếp tục sử dụng, kèm theo thông tin kỹ thuật cần thiết. Việc bàn giao phải được xác nhận trước khi tiêu hủy dữ liệu, trừ trường hợp có yêu cầu xóa hợp pháp hoặc pháp luật quy định khác.

Đại biểu lưu ý, quy định này không đồng nghĩa với yêu cầu chuyển giao mã nguồn, bí mật kinh doanh hoặc tài sản trí tuệ ngoài phạm vi quyền hợp pháp của chủ quản.

Bên cạnh đó, đại biểu đề nghị bổ sung tại khoản 5 Điều 18 quy định đối với trường hợp thuê lưu trữ, xử lý dữ liệu cấp độ 4, cấp độ 5, chủ quản phải có phương án nhận lại, chuyển đổi hoặc khôi phục dữ liệu khi dịch vụ gián đoạn nghiêm trọng hoặc chấm dứt. Khả năng thực hiện phương án cần được kiểm chứng thông qua hoạt động kiểm toán, diễn tập đã có; nhà cung cấp phối hợp theo nghĩa vụ được xác lập.

Đại biểu nhấn mạnh, yêu cầu này không đồng nghĩa với việc bắt buộc mọi đơn vị phải đầu tư hai hệ thống hoặc thuê nhiều nhà cung cấp. Mục tiêu là nâng cao sức chống chịu, đồng thời bảo đảm chi phí tương xứng với mức độ rủi ro.

Đối với các hệ thống phục vụ nhiệm vụ quốc phòng, an ninh, việc triển khai phải tuân thủ chế độ bảo vệ bí mật nhà nước, thẩm quyền và các quy định chuyên ngành. Đặc biệt, những hệ thống hỗ trợ nhiệm vụ quốc phòng cần có phương án duy trì khả năng sử dụng dữ liệu khi hạ tầng dân sự liên quan bị gián đoạn. Theo đại biểu, mục tiêu là tăng khả năng duy trì nhiệm vụ, không mở rộng cơ chế quản lý riêng một cách không cần thiết.

Hai nhóm kiến nghị tại Điều 9 và Điều 18 cùng hướng tới yêu cầu gắn bảo vệ dữ liệu với khả năng tiếp tục khai thác và duy trì hoạt động thiết yếu khi xảy ra biến động. Theo đại biểu Ngô Nam Cường, thực hiện tốt yêu cầu này sẽ góp phần bảo vệ nguồn lực chiến lược, tăng năng lực tự chủ, sức chống chịu của nền kinh tế, xã hội và nền tảng quốc phòng, an ninh quốc gia.

Diệp Anh