Quản lý rủi ro, bảo vệ tài nguyên dữ liệu quốc gia

Phân tầng rủi ro, chủ động bảo vệ dữ liệu

Trình bày Tờ trình, Bộ trưởng Bộ Công an, Đại tướng Lương Tam Quang cho biết, dự án Luật nhằm xác lập cơ sở pháp lý để Nhà nước quản lý, bảo vệ dữ liệu thuộc quyền tài phán của Việt Nam; bảo vệ quyền, lợi ích hợp pháp của tổ chức, cá nhân; tạo điều kiện phát triển kinh tế dữ liệu.

Dự thảo Luật được xây dựng trên quan điểm bảo đảm an ninh quốc gia là yêu cầu xuyên suốt; quản lý theo mức độ rủi ro, không áp đặt đồng loạt nghĩa vụ, dữ liệu rủi ro thấp không phát sinh thủ tục; thống nhất với Luật An ninh mạng, Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân, kế thừa phân loại dữ liệu quan trọng, dữ liệu cốt lõi theo Luật Dữ liệu; không thành lập tổ chức, bộ máy mới; tham khảo có chọn lọc kinh nghiệm quốc tế.

Dự thảo gồm 6 chương, 29 điều, thể chế hóa 6 nhóm chính sách lớn, tập trung vào hoàn thiện thể chế quản lý tài nguyên dữ liệu và xác lập chủ quyền dữ liệu quốc gia; bảo đảm an ninh dữ liệu theo cấp độ rủi ro và xuyên suốt vòng đời dữ liệu; bảo vệ dữ liệu trong lưu trữ, chuyển giao xuyên biên giới, ứng dụng trí tuệ nhân tạo và công nghệ mới; phát triển kinh tế dữ liệu, tự chủ công nghệ; đa dạng hóa nguồn lực, phát triển nhân lực và hợp tác quốc tế.

Dự thảo quy định 5 cấp độ rủi ro an ninh dữ liệu; chủ quản dữ liệu tự xác định cấp độ, áp dụng biện pháp bảo vệ tương ứng và chịu trách nhiệm về kết quả xác định theo cơ chế hậu kiểm là chủ yếu. Đối với dữ liệu từ cấp độ 3 trở lên, chủ quản dữ liệu phải đánh giá tác động, kiểm toán an ninh dữ liệu định kỳ. Hệ thống xử lý dữ liệu cấp độ 4, cấp độ 5 phải được thẩm định theo quy định. Các biện pháp bảo vệ được triển khai xuyên suốt, từ khâu thiết kế hệ thống đến khi tiêu hủy dữ liệu.

Dự thảo đồng thời bổ sung các quy định bảo vệ dữ liệu trong chuyển đổi số và ứng dụng trí tuệ nhân tạo; kiểm soát nguồn gốc, tính toàn vẹn của dữ liệu huấn luyện, phòng ngừa hành vi đầu độc dữ liệu, trích xuất dữ liệu trái phép.

Với hoạt động chuyển dữ liệu xuyên biên giới, dự thảo quy định các yêu cầu quản lý tương ứng với từng cấp độ rủi ro, trong đó dữ liệu cấp độ 4, cấp độ 5 phải được cơ quan có thẩm quyền thẩm định, chấp thuận trước khi chuyển ra nước ngoài.

Bên cạnh đó, dự thảo thiết lập cơ chế cảnh báo sớm, ứng phó sự cố an ninh dữ liệu; quy định trách nhiệm quản lý nhà nước, trong đó Bộ Công an giữ vai trò chủ trì, đồng thời phân định trách nhiệm đối với dữ liệu quân sự và hệ thống thông tin cơ yếu. Các quy định cũng hướng tới đơn giản hóa thủ tục hành chính, hạn chế chồng chéo pháp luật, phát triển nguồn nhân lực và hỗ trợ doanh nghiệp an ninh dữ liệu.

Kiểm soát chặt chẽ, phân định rõ thẩm quyền

Trình bày Báo cáo thẩm tra, Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại, Thượng tướng Lê Tấn Tới cho biết, Ủy ban nhất trí về sự cần thiết ban hành Luật An ninh dữ liệu nhằm thể chế hóa kịp thời các chủ trương, quan điểm chỉ đạo của Đảng về bảo đảm an ninh mạng, an ninh dữ liệu, chủ quyền số, chủ quyền dữ liệu và các nghị quyết, chỉ thị, kết luận khác của Ban Chấp hành Trung ương, Bộ Chính trị, Ban Bí thư.

Đồng thời, khắc phục tình trạng quy định về an ninh dữ liệu còn phân tán tại một số luật chuyên ngành; thiết lập khung pháp lý quản lý rủi ro, xác định trách nhiệm đối với bản thân dữ liệu và chủ quản dữ liệu, chủ động bảo vệ tài nguyên dữ liệu quốc gia từ sớm, từ xa trước các nguy cơ tấn công, rủi ro lộ lọt dữ liệu, sự cố dữ liệu tài chính, năng lượng, viễn thông và đe dọa từ điện toán lượng tử.

Ủy ban cơ bản tán thành cách tiếp cận quản lý theo 5 cấp độ rủi ro an ninh dữ liệu, phân định trách nhiệm giữa chủ quản dữ liệu, bên xử lý dữ liệu và bên cung cấp sản phẩm, dịch vụ; đồng thời nhất trí với cơ chế kiểm soát chuyển dữ liệu xuyên biên giới, định hướng chuyển đổi mật mã kháng lượng tử và các quy định bảo vệ dữ liệu trong ứng dụng trí tuệ nhân tạo, công nghệ mới.

Ủy ban đề nghị tiếp tục hoàn thiện dự thảo, làm rõ ranh giới giữa an ninh dữ liệu với an ninh mạng, an ninh thông tin và bảo vệ dữ liệu cá nhân; nghiên cứu cơ chế xác định chặt chẽ hơn đối với dữ liệu cấp độ 5. Đồng thời, cần quy định cụ thể hơn về điều kiện, thẩm quyền áp dụng các biện pháp hạn chế quyền; kiểm soát việc chuyển dữ liệu cấp độ cao ra nước ngoài; phân định thẩm quyền quản lý mật mã an ninh và bảo đảm tính thống nhất với các luật liên quan.

Đối với công tác ứng phó sự cố, Ủy ban đề nghị bổ sung quy định về diễn tập ứng phó sự cố đối với hệ thống dữ liệu cấp độ 4, cấp độ 5; làm rõ thẩm quyền, trình tự và cơ chế bồi hoàn khi huy động lực lượng, phương tiện của tổ chức, cá nhân. Đồng thời, tiếp tục rà soát kỹ thuật lập pháp, thống nhất thuật ngữ và các quy định liên quan, bảo đảm tính khả thi, đồng bộ của dự thảo Luật.