Đại biểu Nguyễn Thị Việt Nga, Đoàn ĐBQH TP Hải Phòng. Ảnh: Media Quốc hội.

Sáng 4/11, tiếp tục chương trình kỳ họp thứ 2, Quốc hội khóa XVI thảo luận tại hội trường về dự án Luật An ninh dữ liệu. Các ý kiến tập trung làm rõ tiêu chí phân cấp rủi ro, cơ chế chuyển dữ liệu xuyên biên giới và trách nhiệm của từng chủ thể khi xảy ra sự cố.

Một yêu cầu xuyên suốt được các đại biểu đặt ra là bảo vệ dữ liệu phải gắn với quyền lợi của người dân: thông tin bị lộ phải được cảnh báo kịp thời, trách nhiệm xử lý phải rõ ràng và các biện pháp ứng phó cần bảo đảm khả năng duy trì những dịch vụ thiết yếu.

Phân loại đúng rủi ro, tạo thuận lợi cho dữ liệu lưu chuyển

Góp ý dự thảo, đại biểu Nguyễn Thị Việt Nga, Đoàn ĐBQH TP Hải Phòng, đánh giá việc phân chia dữ liệu thành 5 cấp độ dựa trên hậu quả có thể xảy ra khi bị xâm phạm là hướng tiếp cận phù hợp. Tuy nhiên, cần phân định rõ tiêu chí xác định rủi ro của dữ liệu với yêu cầu bảo vệ hệ thống lưu trữ, xử lý.

Theo đại biểu, một hệ thống có thể đồng thời chứa thông tin công khai và dữ liệu nhạy cảm, nên không thể mặc nhiên xác định tất cả dữ liệu trên hệ thống có cùng mức độ rủi ro. Ngược lại, một tập dữ liệu nhỏ vẫn có thể gây hậu quả nghiêm trọng nếu bị xâm phạm.

Từ đó, bà Nga đề nghị xác định cấp độ dựa trên tính chất dữ liệu và hậu quả có thể xảy ra, sau đó mới đặt ra yêu cầu bảo vệ hệ thống tương ứng.

Với chuyển dữ liệu xuyên biên giới, đại biểu đề nghị làm rõ nhóm dữ liệu cấp độ 5 bị hạn chế và điều kiện áp dụng ngoại lệ. Việc xem xét ngoại lệ đối với hoạt động nội bộ, giao dịch thông thường hay sử dụng dịch vụ số cần căn cứ vào loại dữ liệu, quyền tiếp cận của bên nước ngoài và khả năng duy trì kiểm soát của chủ quản.

Cùng quan tâm đến tính minh bạch trong phân cấp, đại biểu Nguyễn Vũ Trung, Đoàn ĐBQH TP HCM, đề nghị quy định rõ trách nhiệm tự đánh giá, lập và lưu giữ hồ sơ chứng minh căn cứ xác định cấp độ. Việc tự xác định phải đi cùng thực hiện đầy đủ biện pháp bảo vệ, đồng thời chịu sự kiểm tra, yêu cầu điều chỉnh của cơ quan có thẩm quyền.

Đối với chuyển và xử lý dữ liệu xuyên biên giới, đại biểu Trung kiến nghị luật hóa ba cơ chế: rủi ro thấp được tự đánh giá và hậu kiểm; rủi ro trung bình thực hiện thông báo; rủi ro cao mới phải xin chấp thuận trước.

Với luồng dữ liệu chuyển định kỳ, nếu mục đích, bên nhận và biện pháp bảo vệ không thay đổi thì không phải xin chấp thuận lại. Cơ quan giải quyết cần có thời hạn xử lý rõ ràng, nêu lý do khi từ chối và bảo đảm quyền khiếu nại. Theo đại biểu, thiếu những quy định này có thể khiến bệnh viện, cơ sở nghiên cứu và doanh nghiệp sử dụng điện toán đám mây phải gánh thêm thủ tục.

Cảnh báo sớm cho người bị lộ dữ liệu, hạn chế gián đoạn dịch vụ

Về ứng phó sự cố, đại biểu Nguyễn Vũ Trung đề nghị sự cố từ cấp độ 3 trở lên phải được báo cáo chậm nhất 24 giờ kể từ khi phát hiện; trường hợp có nguy cơ đặc biệt nghiêm trọng phải báo ngay.

Cùng với báo cáo cơ quan quản lý, cá nhân bị ảnh hưởng cần được thông báo kịp thời về dữ liệu có thể bị lộ, nguy cơ phát sinh và biện pháp tự bảo vệ như khóa tài khoản, đổi mật khẩu, chặn giao dịch. Thông báo cần giúp người dân biết phải làm gì và liên hệ với đầu mối nào để được hỗ trợ.

Đối với biện pháp kỹ thuật khẩn cấp, đại biểu đề nghị quyết định áp dụng phải nêu rõ căn cứ, phạm vi, thời hạn và phương án khôi phục; lựa chọn biện pháp cần thiết, ít hạn chế nhất. Việc gia hạn cần được rà soát độc lập.

Trước khi đình chỉ hệ thống có ảnh hưởng đến bệnh viện, điện, nước, thanh toán và các dịch vụ thiết yếu, cần đánh giá tác động, ưu tiên cô lập phần bị xâm nhập nếu khả thi. Theo đại biểu, việc xử lý nguy cơ an ninh dữ liệu phải đồng thời hạn chế thiệt hại cho người dân, doanh nghiệp và duy trì các dịch vụ đang phục vụ đời sống.

Đại biểu Nguyễn Vũ Trung, Đoàn ĐBQH TP HCM. Ảnh: Media Quốc hội.

Ở góc độ phân công trách nhiệm, đại biểu Trịnh Ngọc Phương, Đoàn ĐBQH tỉnh Tây Ninh, lưu ý một cơ quan có thể trực tiếp thu thập, khai thác dữ liệu, nhưng máy chủ và giải pháp kỹ thuật lại do đơn vị khác quản lý. Vì vậy, trách nhiệm cần được xác định theo quyền hạn, năng lực và khả năng kiểm soát thực tế.

Đại biểu đề nghị chủ quản chịu trách nhiệm về mục đích, phạm vi, tính hợp pháp của việc khai thác; đơn vị vận hành và nhà cung cấp chịu trách nhiệm về an toàn hệ thống, giải pháp kỹ thuật thuộc phạm vi quản lý.

Trong mô hình chính quyền địa phương hai cấp, cấp xã giải quyết nhiều thủ tục về dân cư, đất đai, an sinh, trong khi hạ tầng có thể được quản lý tập trung ở cấp tỉnh. Luật cần làm rõ trách nhiệm từng bên trong phát hiện, báo cáo và xử lý sự cố, tránh quy trách nhiệm cho cấp xã đối với vấn đề ngoài khả năng kiểm soát.

Bộ trưởng Công an, Đại tướng Lương Tam Quang. Ảnh: Media Quốc hội.

Rủi ro càng thấp, thủ tục càng đơn giản

Giải trình tại phiên thảo luận, Bộ trưởng Công an, Đại tướng Lương Tam Quang nhấn mạnh, cơ chế phân cấp rủi ro an ninh dữ liệu là trụ cột của dự thảo luật. Việc xác định đúng mức độ nguy hại khi dữ liệu bị xâm phạm là căn cứ để đặt ra nghĩa vụ bảo vệ tương xứng, tránh bảo vệ dàn trải ở nơi rủi ro thấp nhưng lại bỏ ngỏ ở nơi rủi ro cao.

Theo Bộ trưởng, dự thảo thiết kế 5 cấp độ rủi ro, tương thích với 5 cấp độ hệ thống thông tin theo Luật An ninh mạng. Để tránh một hệ thống phải đánh giá hai lần, dự thảo cho phép sử dụng kết quả xác định cấp độ đã thực hiện theo pháp luật về an ninh mạng.

Bộ trưởng đồng thời làm rõ, phân cấp rủi ro không thay thế việc phân loại dữ liệu cốt lõi, dữ liệu quan trọng theo Luật Dữ liệu và không làm phát sinh danh mục mới. Đây là căn cứ để lựa chọn biện pháp bảo vệ phù hợp với mức độ rủi ro của dữ liệu.

Trên cơ sở đó, nghĩa vụ được thiết kế theo hướng rủi ro càng thấp, thủ tục càng đơn giản. Cụ thể, dữ liệu cấp độ 1 không phát sinh thủ tục; cấp độ 2 chỉ cần lập phương án bảo vệ rút gọn, trong đó hộ kinh doanh, doanh nghiệp siêu nhỏ, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp sáng tạo được miễn lập phương án này. Từ cấp độ 3 trở lên mới phải đánh giá tác động và kiểm toán; việc thẩm định chỉ áp dụng đối với cấp độ 4 và cấp độ 5.

Đối với đề nghị quy định ngay trong luật bảng tương ứng giữa hai hệ thống cấp độ, Bộ trưởng đề nghị giữ phương án giao Chính phủ quy định chi tiết. Lý do là tiêu chuẩn kỹ thuật thay đổi nhanh; nếu quy định cứng trong luật, mỗi lần điều chỉnh sẽ phải sửa luật.

Khi xây dựng nghị định, Chính phủ sẽ quy định bộ tiêu chí định lượng, định tính có thể kiểm chứng, giúp doanh nghiệp, nhất là doanh nghiệp nhỏ và vừa, tự xác định đúng cấp độ rủi ro, tránh bị đặt ra nghĩa vụ vượt mức cần thiết.

Về phân định trách nhiệm quản lý Nhà nước giữa Bộ Công an và Bộ Quốc phòng, Bộ trưởng cho biết, dự thảo thể chế hóa Chỉ thị 57 của Ban Bí thư, bảo đảm nguyên tắc một việc có một cơ quan chủ trì và chịu trách nhiệm chính.

Bộ Công an giúp Chính phủ chủ trì quản lý Nhà nước về an ninh mạng, bảo mật thông tin và an ninh dữ liệu; Bộ Quốc phòng chủ trì quản lý hệ thống thông tin, cơ sở dữ liệu quân sự và cơ yếu thuộc phạm vi quốc phòng. Tiêu chí phân định là tính chất của dữ liệu, không phải tính chất của doanh nghiệp, qua đó không làm thay đổi quyền, trách nhiệm của hai Bộ trong bảo đảm an ninh dữ liệu.

Đối với mật mã an ninh, Bộ trưởng làm rõ đây là lớp bảo vệ bổ sung, độc lập về kỹ thuật, không thay thế mật mã cơ yếu. Việc xây dựng mật mã an ninh và mật mã kháng lượng tử nhằm chủ động đáp ứng yêu cầu bảo vệ dữ liệu trước những nguy cơ từ sự phát triển của công nghệ.