An toàn thông tin dưới góc độ pháp luật gồm những gì?

Dưới góc độ pháp luật, an toàn thông tin không chỉ là yêu cầu kỹ thuật nhằm ngăn chặn tấn công mạng. Đối tượng được bảo vệ bao gồm thông tin, dữ liệu và hệ thống thông tin, đồng thời gắn với trách nhiệm của cơ quan, tổ chức, cá nhân trong quá trình thu thập, xử lý, lưu trữ, truyền đưa và khai thác thông tin.

Một điểm cần lưu ý khi nghiên cứu pháp luật tại thời điểm hiện nay là khung pháp lý đã có thay đổi đáng kể. Từ 01/07/2026, Luật An ninh mạng số 116/2025/QH15 có hiệu lực và làm hết hiệu lực Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018. Luật mới tiếp cận theo hướng hợp nhất, điều chỉnh hoạt động bảo đảm an ninh mạng và trách nhiệm bảo vệ hệ thống thông tin.

Song song với đó, các yêu cầu về dữ liệu vẫn được điều chỉnh bởi những đạo luật chuyên ngành. Luật Dữ liệu số 60/2024/QH15 có hiệu lực từ 01/07/2025 và điều chỉnh việc xây dựng, phát triển, bảo vệ, quản trị, xử lý và sử dụng dữ liệu số.

Đặc biệt, đối với dữ liệu cá nhân, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ 01/01/2026, đặt ra một lớp yêu cầu riêng về cơ sở xử lý, quyền của chủ thể dữ liệu, biện pháp bảo vệ, đánh giá tác động và xử lý vi phạm.

Vì vậy, có thể hiểu an toàn thông tin dưới góc độ pháp luật là một hệ thống yêu cầu bao phủ cả thông tin được bảo vệ, cách thức xử lý thông tin và điều kiện an toàn của hệ thống dùng để xử lý thông tin.

Yêu cầu pháp lý đối với thông tin và dữ liệu là gì?

Trước hết, pháp luật đặt yêu cầu phải xác định thông tin nào được bảo vệ và phạm vi sử dụng thông tin đó. Không phải mọi dữ liệu đều có cùng mức độ bảo vệ; tùy tính chất, dữ liệu có thể chịu các chế độ pháp lý khác nhau như dữ liệu cá nhân, dữ liệu quan trọng hoặc thông tin thuộc phạm vi bí mật cần được bảo vệ theo quy định chuyên ngành.

Đối với dữ liệu cá nhân, Luật Bảo vệ dữ liệu cá nhân yêu cầu việc thu thập và xử lý phải đúng phạm vi, mục đích cụ thể, rõ ràng và phù hợp pháp luật; dữ liệu phải được bảo đảm tính chính xác, được cập nhật khi cần thiết và chỉ lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý, trừ trường hợp pháp luật có quy định khác. Luật cũng yêu cầu kết hợp các biện pháp về thể chế, kỹ thuật và con người để bảo vệ dữ liệu cá nhân.

Một yêu cầu quan trọng khác là kiểm soát cơ sở pháp lý của việc xử lý dữ liệu. Khi việc xử lý dựa trên sự đồng ý, sự đồng ý phải được đưa ra tự nguyện, sau khi chủ thể dữ liệu biết loại dữ liệu, mục đích xử lý và bên xử lý; sự đồng ý phải thể hiện rõ cho từng mục đích và sự im lặng không được mặc nhiên coi là đồng ý.

Pháp luật cũng đặt ra yêu cầu về thời hạn lưu trữ và xử lý sau khi không còn mục đích. Chẳng hạn, trong một số trường hợp liên quan đến tuyển dụng và quản lý người lao động, dữ liệu phải được lưu trữ theo thời hạn luật định hoặc thỏa thuận và phải xóa, hủy khi chấm dứt quan hệ lao động nếu không thuộc trường hợp được phép tiếp tục lưu giữ.

Như vậy, yêu cầu pháp lý đối với thông tin không dừng ở câu hỏi “có bảo mật hay không”, mà còn bao gồm có được thu thập không, thu thập để làm gì, ai được sử dụng, lưu giữ bao lâu, khi nào phải xóa và phải bảo vệ bằng phương thức nào.

Yêu cầu pháp lý đối với hệ thống thông tin gồm những gì?

Đối với hệ thống, trọng tâm pháp lý chuyển từ việc bảo vệ bản thân thông tin sang bảo đảm hệ thống có đủ điều kiện để thông tin được bảo vệ trong suốt quá trình vận hành.

Luật An ninh mạng 2025 xác định hệ thống thông tin là tập hợp phần cứng, phần mềm và dữ liệu phục vụ việc tạo lập, cung cấp, truyền đưa, thu thập, xử lý, lưu trữ và trao đổi thông tin trên không gian mạng. Chủ quản hệ thống thông tin là cơ quan, tổ chức hoặc cá nhân có thẩm quyền quản lý trực tiếp hệ thống.

Đối với chủ quản hệ thống, pháp luật đặt ra các nhóm trách nhiệm như:

·         Bảo vệ hệ thống thông tin theo quy định pháp luật

·         Kiểm tra nhằm phát hiện mã độc, phần cứng độc hại, điểm yếu và lỗ hổng bảo mật

·         Phòng ngừa, phát hiện và xử lý hành vi xâm nhập bất hợp pháp

·         Áp dụng biện pháp quản lý và kỹ thuật để bảo vệ thông tin thuộc phạm vi bí mật và đời sống riêng tư

·         Thực hiện giám sát an ninh mạng

·         Ứng phó và khắc phục sự cố

·         Báo cáo sự cố theo quy định áp dụng đối với hệ thống

Điều này cho thấy yêu cầu pháp lý đối với hệ thống có tính vòng đời: không chỉ kiểm tra khi hệ thống xảy ra sự cố mà phải đưa yêu cầu bảo vệ vào quá trình thiết lập, mở rộng, nâng cấp và vận hành.

Đối với hệ thống thông tin quan trọng về an ninh quốc gia, mức yêu cầu còn cao hơn. Chủ quản phải thực hiện kiểm tra trước khi đưa hệ thống vào vận hành khi thiết lập, mở rộng hoặc nâng cấp; định kỳ tự kiểm tra, giám sát, xây dựng cơ chế cảnh báo và phương án ứng phó, khắc phục sự cố.

Pháp luật yêu cầu quản trị rủi ro, ứng phó sự cố và kiểm soát truy cập như thế nào?

Một hệ thống được coi là đáp ứng yêu cầu pháp lý không chỉ khi có phần mềm bảo mật mà còn phải có cơ chế quản trị và kiểm soát rủi ro.

Luật Dữ liệu quy định bảo đảm an ninh dữ liệu bao gồm các biện pháp kỹ thuật, tổ chức và pháp lý. Trong đó có yêu cầu xây dựng chính sách và quy trình bảo đảm an ninh dữ liệu, áp dụng tiêu chuẩn và quy chuẩn kỹ thuật phù hợp, kiểm soát nhân sự trực tiếp xử lý dữ liệu, kiểm tra và đánh giá rủi ro định kỳ, cũng như đánh giá điều kiện bảo đảm an ninh đối với các hệ thống, cơ sở dữ liệu, trung tâm dữ liệu và hệ thống lưu trữ dữ liệu.

Từ góc độ thực thi, điều này dẫn đến một số yêu cầu quản trị cơ bản:

·         Xác định người hoặc bộ phận chịu trách nhiệm

·         Phân quyền truy cập theo chức năng và nhu cầu thực tế

·         Kiểm soát việc sử dụng tài khoản và quyền quản trị

·         Phát hiện, xử lý điểm yếu và lỗ hổng

·         Giám sát hoạt động bất thường

·         Có phương án sao lưu và khôi phục phù hợp

·         Có quy trình ứng phó, khắc phục khi xảy ra sự cố

·         Ghi nhận và báo cáo sự cố theo nghĩa vụ pháp lý tương ứng

Đặc biệt, sự cố an toàn hoặc an ninh thông tin không chỉ là vấn đề kỹ thuật nội bộ. Khi sự cố thuộc trường hợp luật định, tổ chức có thể phát sinh nghĩa vụ thông báo hoặc báo cáo với cơ quan có thẩm quyền.

Đối với vi phạm quy định về bảo vệ dữ liệu cá nhân có khả năng gây tổn hại đến quốc phòng, an ninh, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, Luật Bảo vệ dữ liệu cá nhân quy định thời hạn thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện vi phạm.

Dữ liệu cá nhân tạo ra những yêu cầu pháp lý riêng nào?

Dữ liệu cá nhân là một trong những điểm giao nhau rõ nhất giữa an toàn thông tin, bảo vệ quyền riêng tư và trách nhiệm pháp lý.

Luật Bảo vệ dữ liệu cá nhân trao cho chủ thể dữ liệu nhiều quyền, trong đó có quyền được biết về hoạt động xử lý, đồng ý hoặc rút lại sự đồng ý, yêu cầu xem và chỉnh sửa dữ liệu, yêu cầu xóa hoặc hạn chế xử lý, phản đối xử lý và yêu cầu thực hiện các biện pháp bảo vệ dữ liệu.

Ở phía tổ chức xử lý dữ liệu, yêu cầu pháp lý không chỉ là thiết lập hệ thống bảo mật mà còn phải chứng minh quá trình xử lý dữ liệu được tổ chức có kiểm soát.

Một yêu cầu đáng chú ý là đánh giá tác động xử lý dữ liệu cá nhân. Theo Luật, bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân phải lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi hồ sơ theo quy định; hồ sơ được cập nhật trong quá trình hoạt động khi thuộc trường hợp luật định.

Nghị định 356/2025/NĐ-CP, có hiệu lực từ 01/01/2026, quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, qua đó cụ thể hóa thêm cơ chế thực hiện các nghĩa vụ về bảo vệ dữ liệu.

Vì vậy, nếu một doanh nghiệp thu thập dữ liệu khách hàng, nhân viên hoặc người dùng, việc “có firewall và mã hóa” chưa đủ để kết luận đã đáp ứng yêu cầu pháp luật. Cần xem xét đồng thời mục đích xử lý, cơ sở xử lý, quyền của chủ thể dữ liệu, thời hạn lưu giữ, phân quyền, biện pháp bảo vệ, hồ sơ đánh giá tác động và quy trình xử lý vi phạm.

Doanh nghiệp nên hiểu yêu cầu pháp lý về an toàn thông tin theo cách nào?

Có thể quy về một chuỗi kiểm soát xuyên suốt:

Thông tin → mục đích sử dụng → quyền truy cập → biện pháp bảo vệ → giám sát → ứng phó sự cố → lưu giữ/xóa → trách nhiệm pháp lý

Trong đó, có bốn câu hỏi quan trọng cần trả lời.

Thứ nhất, tổ chức đang bảo vệ loại thông tin nào?

Cần phân loại dữ liệu và xác định loại thông tin chịu yêu cầu pháp lý đặc thù, đặc biệt là dữ liệu cá nhân, dữ liệu có tính chất quan trọng hoặc thông tin thuộc chế độ bảo mật riêng

Thứ hai, hệ thống đang xử lý thông tin đó có thuộc diện phải đáp ứng yêu cầu đặc biệt không?

Cần xác định vai trò của tổ chức là chủ quản, bên kiểm soát, bên xử lý hay bên thứ ba; đồng thời xác định tính chất và cấp độ quan trọng của hệ thống

Thứ ba, tổ chức có chứng minh được việc kiểm soát rủi ro không?

Không chỉ cần giải pháp kỹ thuật mà còn cần chính sách, quy trình, phân công trách nhiệm, đánh giá rủi ro, kiểm soát truy cập, giám sát và phương án ứng phó

Thứ tư, khi xảy ra vi phạm thì tổ chức phải làm gì?

Cần xác định trước cơ chế phát hiện, ghi nhận, khắc phục, thông báo và báo cáo để không bỏ lỡ nghĩa vụ pháp lý có thời hạn

Điểm quan trọng là không nên đồng nhất “an toàn thông tin” với một danh sách công nghệ bảo mật. Về pháp lý, đây là vấn đề quản trị trách nhiệm đối với cả thông tin và hệ thống.

Có thể khái quát rằng an toàn thông tin dưới góc độ pháp luật đặt ra ba tầng yêu cầu chính: bảo vệ thông tin và dữ liệu, bảo đảm an toàn cho hệ thống xử lý thông tin, và thiết lập cơ chế quản trị, giám sát, ứng phó và chịu trách nhiệm khi có rủi ro hoặc vi phạm. Từ ngày 01/07/2026, cần đặc biệt lưu ý Luật An ninh mạng 116/2025/QH15 là khung pháp lý mới thay thế Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018; đồng thời các yêu cầu riêng về dữ liệu cá nhân và dữ liệu số tiếp tục được điều chỉnh bởi Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Luật Dữ liệu 60/2024/QH15.

Nếu áp dụng vào thực tế doanh nghiệp, tiêu chí quan trọng không phải chỉ là “hệ thống có an toàn không?”, mà là “tổ chức có xác định đúng thông tin cần bảo vệ, có cơ sở pháp lý cho việc xử lý, có biện pháp bảo vệ tương xứng, có khả năng chứng minh việc tuân thủ và có quy trình xử lý khi xảy ra sự cố hay không?”