Sáng 4/11, tiếp tục chương trình Kỳ họp thứ 2, Quốc hội khóa XVI thảo luận ở hội trường về dự án Luật An ninh dữ liệu. Các đại biểu Quốc hội thống nhất sự cần thiết ban hành Luật, đồng thời góp ý về tiêu chí phân cấp dữ liệu, ranh giới các ngoại lệ chuyển dữ liệu xuyên biên giới và yếu tố con người trong bảo vệ dữ liệu.
Tách bạch rủi ro của dữ liệu với yêu cầu bảo vệ hệ thống
Đại biểu Nguyễn Thị Việt Nga (Phó Trưởng đoàn đại biểu Quốc hội TP. Hải Phòng) đánh giá, khoản 1 Điều 9 mô tả năm cấp độ thông qua hậu quả khi dữ liệu bị sự cố hoặc bị xâm phạm là hướng tiếp cận phù hợp. Song tại cấp độ 3, 4 và 5, dự thảo tiếp tục gắn dữ liệu với cấp độ của hệ thống thông tin lưu trữ, xử lý dữ liệu.
Đại biểu Nguyễn Thị Việt Nga (Phó Trưởng đoàn đại biểu Quốc hội TP. Hải Phòng).
Theo đại biểu, hai nội dung này có quan hệ mật thiết, nhưng cần phân định rõ trong luật: Đâu là tiêu chí xác định rủi ro của dữ liệu, đâu là yêu cầu bảo vệ đối với hệ thống?
Dẫn chứng một hệ thống có thể xử lý đồng thời dữ liệu công khai và dữ liệu nhạy cảm, đại biểu đề nghị khoản 1 Điều 9 chỉ quy định tiêu chí phân biệt năm cấp độ theo tính chất dữ liệu và hậu quả có thể xảy ra.
Quy định về cấp độ tối thiểu, biện pháp bảo vệ của hệ thống nên tách thành khoản riêng, áp dụng sau khi cấp độ dữ liệu đã được xác định và thống nhất với pháp luật về an ninh mạng.
Luật cũng cần xác lập nguyên tắc sử dụng kết quả phân loại dữ liệu quan trọng, dữ liệu cốt lõi theo Luật Dữ liệu, để chủ quản dữ liệu biết kết quả đã có được kế thừa đến đâu và khi nào phải đánh giá bổ sung.
Cần ranh giới rõ với dữ liệu cấp độ 5
Về chuyển, xử lý dữ liệu xuyên biên giới, đại biểu Nguyễn Thị Việt Nga chỉ ra, điểm c khoản 2 Điều 19 quy định "một số dữ liệu thuộc cấp độ 5" không được chuyển, trừ trường hợp đặc biệt do Thủ tướng Chính phủ quyết định. Trong khi đó, dự thảo chưa chỉ rõ dữ liệu nào trong cấp độ này bị cấm chuyển và vì sao phần còn lại có thể được chuyển theo cơ chế khác.
Đại biểu đề nghị quyết định rõ ngay trong Luật: hoặc xác định nguyên tắc không chuyển dữ liệu cấp độ 5, trừ trường hợp đặc biệt do Thủ tướng quyết định; hoặc nếu chỉ cấm một nhóm, phải quy định tiêu chí nhận diện nhóm bị cấm và cơ chế áp dụng với phần còn lại.
Cùng với đó, khoản 5 Điều 19 chỉ nên giao Chính phủ quy định chi tiết trình tự, hồ sơ, tiêu chuẩn bảo vệ và việc kiểm chứng điều kiện đã được Luật xác lập.
Với khoản 3 Điều 19, nội dung loại trừ việc xử lý công việc nội bộ, giao dịch thông thường hoặc sử dụng dịch vụ số, đại biểu cho rằng, cách diễn đạt hiện nay dựa vào tên hoạt động, chưa dựa vào dữ liệu nào được chuyển và ai thực sự có quyền tiếp cận.
Do đó, ngoại lệ cần được giới hạn bằng các điều kiện kiểm chứng được: loại và cấp độ dữ liệu; mục đích, phạm vi xử lý; quyền tiếp cận của bên ở nước ngoài; khả năng quản lý khóa giải mã và duy trì kiểm soát của chủ quản dữ liệu.
Con người là một phần của cấu trúc phòng vệ
Cùng thảo luận, đại biểu Ngô Sĩ Cường (Đoàn đại biểu Quốc hội tỉnh Vĩnh Long) cho rằng, dữ liệu là tài nguyên chiến lược cần được bảo vệ, đồng thời với khai thác, phát huy giá trị kinh tế. Việc ban hành Luật An ninh dữ liệu là cần thiết để thiết lập khuôn khổ pháp lý quản lý rủi ro, khắc phục tình trạng quy định về an ninh dữ liệu phân tán ở nhiều luật như Luật Giao dịch điện tử, Luật An ninh mạng, Luật Bảo vệ dữ liệu cá nhân.
Đại biểu Ngô Sĩ Cường (Đoàn đại biểu Quốc hội tỉnh Vĩnh Long).
Đại biểu kỳ vọng Luật đáp ứng một số thông điệp, trong đó có yêu cầu "không đánh đổi an ninh dữ liệu lấy tiện lợi hoặc tốc độ"; mọi hệ thống số, cơ sở dữ liệu, nền tảng số phải được thiết kế theo yêu cầu an toàn, an ninh mạng ngay từ khâu đầu tiên…
Theo đại biểu, dự thảo đã có nội dung về lực lượng bảo vệ an ninh dữ liệu tại Điều 24 và chính sách huy động nguồn lực tại Điều 25. Tuy nhiên, cần nhận diện con người là một phần của cấu trúc phòng vệ. "Sai sót phân quyền, nhân sự có đặc quyền truy cập hoặc sự thỏa hiệp của một cá nhân có thể làm vô hiệu hóa nhiều biện pháp kỹ thuật", đại biểu nêu.
Đại biểu đề nghị bổ sung vào Điều 24: nhân sự trực tiếp quản trị, vận hành, quản lý khóa mật mã hoặc có quyền truy cập đặc biệt đối với dữ liệu quốc gia từ cấp độ 3, cấp độ 4 phải đáp ứng tiêu chuẩn về phẩm chất, đạo đức nghề nghiệp, năng lực chuyên môn và yêu cầu bảo mật phù hợp vị trí; được đào tạo, kiểm tra năng lực, giám sát việc sử dụng quyền truy cập.
Việc bố trí nhân sự phải bảo đảm phân tách nhiệm vụ, kiểm soát chéo, không dồn toàn bộ quyền quyết định và quyền thao tác vào một cá nhân. Đồng thời, việc rà soát, kiểm tra nhân sự phải đúng thẩm quyền.
Về thiết kế an toàn, đại biểu Ngô Sĩ Cường đề nghị bổ sung vào Điều 9: chủ quản dữ liệu, chủ quản hệ thống thông tin và tổ chức phát triển hệ thống phải tích hợp yêu cầu an ninh dữ liệu từ khâu lập đề án, thiết kế kiến trúc, lựa chọn công nghệ đến vận hành, nâng cấp và chấm dứt xử lý dữ liệu. Mọi thay đổi trọng yếu làm gia tăng rủi ro phải được đánh giá lại trước khi triển khai.
