Vai trò pháp lý của việc lưu vết sự cố an toàn thông tin

Giá trị của các dấu vết này không dừng ở việc giúp đội kỹ thuật tìm nguyên nhân. Khi xảy ra tranh chấp, kiểm tra, điều tra hoặc yêu cầu giải trình, chúng có thể trở thành nguồn dữ liệu giúp trả lời những câu hỏi pháp lý quan trọng: sự kiện nào thực sự xảy ra, xảy ra khi nào, tài khoản hay hệ thống nào liên quan, tổ chức đã phát hiện và phản ứng ra sao, nghĩa vụ bảo vệ hệ thống có được thực hiện hay không.

Pháp luật hiện hành cũng ngày càng gắn việc quản lý nhật ký với hoạt động bảo đảm an ninh mạng. Nghị định 333/2026/NĐ-CP quy định việc ghi, quản lý và lưu trữ nhật ký hoạt động của hệ thống thông tin, người sử dụng, lỗi phát sinh và sự cố an ninh mạng; đối với nhóm doanh nghiệp cung cấp dịch vụ thuộc phạm vi điều chỉnh, nhật ký còn phục vụ quản lý nhà nước và xử lý hành vi vi phạm pháp luật.

Lưu vết giúp tái dựng sự cố bằng dữ liệu thay vì lời khai

Trong một sự cố an toàn thông tin, tranh luận về trách nhiệm thường bắt đầu từ tranh luận về sự thật: tài khoản nào đăng nhập, quyền nào được sử dụng, dữ liệu bị truy cập lúc nào, cấu hình nào đã thay đổi và tổ chức phản ứng vào thời điểm nào.

Nếu không có dấu vết, nhiều tình tiết chỉ còn được xác định qua lời trình bày của những người liên quan. Một hệ thống nhật ký đầy đủ cho phép đặt các sự kiện vào cùng một dòng thời gian và đối chiếu giữa nhiều nguồn.

Ví dụ, log xác thực có thể cho biết một tài khoản đăng nhập lúc 02:14; nhật ký quản trị cho thấy quyền truy cập được thay đổi lúc 02:17; hệ thống giám sát phát cảnh báo lúc 02:20; đến 02:31 tài khoản bị khóa. Chuỗi dữ liệu này có giá trị hơn nhiều so với một nhận định chung rằng “hệ thống đã bị truy cập trái phép”.

Chính khả năng tái dựng đó làm cho lưu vết có ý nghĩa pháp lý. Nó tạo cơ sở khách quan để cơ quan, doanh nghiệp hoặc cơ quan có thẩm quyền kiểm tra một lời giải thích thay vì chỉ phải chấp nhận lời giải thích đó.

Nghị định 333/2026/NĐ-CP hiện yêu cầu nhật ký của nhóm doanh nghiệp cung cấp dịch vụ thuộc phạm vi điều chỉnh phải có tối thiểu những thông tin nhất định như tài khoản người sử dụng, thời gian đăng nhập và đăng xuất, địa chỉ IP, cổng nguồn và nhật ký xử lý thông tin được đăng tải.

Nhật ký giúp phân định trách nhiệm giữa con người, hệ thống và tổ chức

Một sự cố xảy ra không đồng nghĩa người sở hữu một tài khoản chắc chắn là người có lỗi. Tương tự, phát hiện một thao tác nguy hiểm trên hệ thống cũng chưa đủ để kết luận tổ chức đã thiếu trách nhiệm.

Lưu vết có vai trò phân tách những khả năng này.

Xác định hành vi gắn với tài khoản và quyền truy cập

Nhật ký có thể cho thấy tài khoản nào thực hiện thao tác, quyền nào được sử dụng, thiết bị hoặc địa chỉ mạng nào liên quan và hoạt động đó diễn ra trong khoảng thời gian nào.

Thông tin này hỗ trợ việc xác định chủ thể cần được kiểm tra tiếp. Tuy nhiên, tài khoản không đồng nghĩa tuyệt đối với con người. Tài khoản có thể bị chiếm đoạt, thông tin xác thực có thể bị lộ hoặc phiên đăng nhập có thể bị lợi dụng.

Vì vậy, một bản ghi “user A thực hiện thao tác X” là dấu vết quan trọng nhưng chưa tự động chứng minh rằng cá nhân A trực tiếp thực hiện hành vi.

Xác định trách nhiệm quản trị của tổ chức

Các dấu vết còn phản ánh cách tổ chức vận hành hệ thống: quyền quản trị được cấp ra sao, cảnh báo có được tiếp nhận hay không, sự cố được phát hiện lúc nào, tài khoản nguy hiểm bị khóa khi nào và các bước cô lập, khắc phục được triển khai như thế nào.

Đây là lớp thông tin đặc biệt quan trọng khi cần đánh giá tổ chức có thực hiện các biện pháp bảo vệ phù hợp hay đã để một rủi ro được biết trước tiếp tục tồn tại.

Khung pháp lý an ninh mạng hiện hành yêu cầu các biện pháp như kiểm soát tài khoản, phân quyền, kiểm soát truy cập và ghi, quản lý, lưu trữ nhật ký hoạt động của hệ thống, người sử dụng, lỗi phát sinh và sự cố.

Do đó, lưu vết vừa có khả năng chỉ ra hành vi của cá nhân, vừa có thể cho thấy chất lượng quản trị và phản ứng của chính tổ chức.

Lưu vết là cơ sở chứng minh tổ chức đã thực hiện nghĩa vụ ứng phó

Khi trách nhiệm pháp lý được xem xét, câu hỏi không chỉ là “ai gây ra sự cố?” mà còn có thể là “sau khi phát hiện sự cố, tổ chức đã làm gì?”.

Hồ sơ sự cố có thể ghi nhận thời điểm phát hiện, người tiếp nhận cảnh báo, đánh giá ban đầu, quyết định cô lập, các thay đổi cấu hình, hoạt động bảo toàn dữ liệu, thông báo nội bộ, báo cáo cơ quan có thẩm quyền và quá trình phục hồi hệ thống.

Một chuỗi hồ sơ nhất quán có thể giúp chứng minh rằng tổ chức không bỏ mặc sự cố mà đã phát hiện, kiểm soát và xử lý theo quy trình.

Điều này đặc biệt đáng chú ý trong bối cảnh pháp luật hiện hành coi việc bảo vệ hiện trường, thu thập và bảo quản thông tin, dữ liệu, tài liệu, chứng cứ liên quan là một thành phần của hoạt động ứng phó, khắc phục sự cố an ninh mạng đối với hệ thống thông tin thuộc trường hợp được điều chỉnh. Nghị định 333/2026/NĐ-CP cũng mô tả hoạt động ứng phó gồm phát hiện sự cố, bảo vệ hiện trường, thu thập và bảo quản chứng cứ, xác minh nguyên nhân và truy tìm nguồn gốc.

Vì vậy, hồ sơ ứng cứu không nên chỉ ghi kết quả cuối cùng. Dòng thời gian về quyết định và hành động thực tế có thể là yếu tố giúp chứng minh tổ chức đã thực hiện trách nhiệm của mình như thế nào.

Dấu vết điện tử có thể hỗ trợ chứng cứ nhưng không mặc nhiên là chứng cứ quyết định

Điểm dễ hiểu sai nhất là cho rằng “có log” đồng nghĩa “đã có chứng cứ pháp lý chắc chắn”.

Không phải như vậy.

Pháp luật Việt Nam thừa nhận dữ liệu điện tử trong hoạt động chứng minh. Trong tố tụng hình sự, dữ liệu điện tử được xác định là một trong các nguồn chứng cứ; đồng thời, những gì có thật nhưng không được thu thập theo đúng trình tự, thủ tục luật định có thể không có giá trị pháp lý để giải quyết vụ án.

Luật Giao dịch điện tử 20/2023/QH15, có hiệu lực từ ngày 1/7/2024, tiếp tục tạo nền tảng pháp lý cho việc công nhận giá trị của thông tin dưới dạng điện tử.

Điều đó dẫn đến một nguyên tắc thực tế: giá trị chứng minh của dấu vết không chỉ phụ thuộc vào nội dung của file log mà còn phụ thuộc vào khả năng giải thích nguồn gốc và độ tin cậy của dữ liệu.

Một bản ghi sẽ đáng tin cậy hơn khi có thể xác định được:

·         Hệ thống nào tạo ra bản ghi

·         Thời điểm được ghi nhận dựa trên nguồn thời gian nào

·         Ai có quyền sửa hoặc xóa nhật ký

·         Nhật ký có được bảo vệ khỏi chỉnh sửa hay không

·         Dữ liệu được trích xuất bằng phương thức nào

·         Bản gốc được bảo quản ở đâu

·         Từ lúc thu thập đến khi sử dụng, dữ liệu đã được chuyển giao cho những ai

Nếu log có thể bị quản trị viên tùy ý sửa mà không để lại dấu vết, thời gian giữa các máy chủ lệch nhau hoặc file được sao chép nhiều lần nhưng không kiểm soát nguồn gốc, khả năng dùng dữ liệu để bảo vệ một kết luận pháp lý sẽ yếu đi đáng kể.

Tính toàn vẹn quyết định sức nặng của dấu vết

Một hệ thống lưu rất nhiều log chưa chắc tạo được hồ sơ pháp lý tốt. Điều quan trọng là phải có khả năng chứng minh log được bảo vệ khỏi việc giả mạo, sửa đổi hoặc phá hủy trái phép.

Đây cũng là lý do các quy chế an toàn thông tin thực tế yêu cầu bảo vệ chức năng ghi nhật ký và thông tin nhật ký trước hành vi sửa đổi, phá hủy hoặc truy cập trái phép.

Về mặt vận hành, tổ chức nên bảo đảm ít nhất ba đặc tính.

Thứ nhất là tính đầy đủ: các hệ thống quan trọng phải ghi lại đủ loại sự kiện cần thiết để tái dựng sự cố.

Thứ hai là tính nhất quán về thời gian: nếu máy chủ, firewall và hệ thống xác thực sử dụng các mốc thời gian khác nhau, việc xây dựng dòng thời gian có thể trở nên sai lệch.

Thứ ba là khả năng chứng minh tính toàn vẹn: quyền truy cập kho log phải được kiểm soát, các thao tác quản trị phải được theo dõi và dữ liệu quan trọng cần được bảo quản theo cách giảm khả năng chỉnh sửa mà không bị phát hiện.

Khi ba yếu tố này được bảo đảm, log không chỉ giải thích “đã xảy ra chuyện gì” mà còn có cơ sở đáng tin hơn để trả lời “dữ liệu mô tả sự kiện đó có đáng tin hay không”.

Thời hạn lưu log phải xác định theo đúng đối tượng pháp lý

Không nên áp dụng một con số lưu trữ duy nhất cho mọi hệ thống.

Từ ngày 19/8/2026, Nghị định 333/2026/NĐ-CP quy định đối với doanh nghiệp trong nước và doanh nghiệp nước ngoài cung cấp các dịch vụ thuộc phạm vi quy định rằng nhật ký hệ thống phải bảo đảm có thể truy xuất dữ liệu ít nhất 12 tháng, phục vụ yêu cầu xác minh, điều tra và xử lý hành vi vi phạm pháp luật.

Đây là một ngưỡng pháp lý đáng chú ý nhưng không có nghĩa tất cả tổ chức và tất cả hệ thống tại Việt Nam đều mặc nhiên chịu cùng thời hạn 12 tháng.

Thời hạn thực tế còn phải được xác định từ tư cách của tổ chức, loại hệ thống, lĩnh vực hoạt động, cấp độ hoặc tính chất của hệ thống thông tin, quy định chuyên ngành và nghĩa vụ pháp lý cụ thể đang áp dụng.

Vì vậy, chính sách lưu trữ log nên ghi rõ căn cứ của từng thời hạn thay vì đặt một thời gian chung chỉ dựa trên thói quen kỹ thuật.

Muốn dùng dấu vết để chứng minh trách nhiệm cần lưu cả log và hồ sơ xử lý

Chỉ thu thập nhật ký máy chủ thường chưa đủ để phản ánh đầy đủ trách nhiệm pháp lý.

Một hồ sơ sự cố có sức chứng minh tốt hơn khi kết nối được dữ liệu kỹ thuật với quá trình ra quyết định và xử lý.

Các thành phần cần được quản lý nhất quán có thể gồm:

·         Nhật ký hệ thống, ứng dụng, xác thực, mạng và thiết bị bảo mật

·         Cảnh báo của hệ thống giám sát

·         Thời điểm phát hiện và phân loại sự cố

·         Tài khoản và quyền liên quan

·         Các thay đổi cấu hình trong thời gian xảy ra sự cố

·         Quyết định cô lập hoặc khóa tài khoản

·         Dữ liệu được thu thập để phân tích

·         Người thực hiện từng hoạt động ứng cứu

·         Các lần bàn giao bản sao dữ liệu

·         Báo cáo sự cố và kết quả khắc phục

Giá trị nằm ở mối liên hệ giữa chúng. Một log cho thấy malware hoạt động lúc 10:00; cảnh báo cho thấy SOC phát hiện lúc 10:03; phiếu xử lý ghi nhận quyết định cô lập lúc 10:07; firewall xác nhận kết nối bị chặn lúc 10:09. Chuỗi đó cho phép đánh giá trách nhiệm rõ hơn nhiều so với một báo cáo được viết lại sau sự cố chỉ nói rằng “đã xử lý kịp thời”.

Lưu vết tốt giúp bảo vệ cả bên bị thiệt hại và bên bị quy trách nhiệm

Lưu vết không phải công cụ chỉ nhằm tìm người vi phạm.

Trong nhiều trường hợp, nó còn bảo vệ người hoặc tổ chức đang bị nghi ngờ.

Một nhân viên có thể chứng minh tài khoản của mình bị truy cập từ nguồn bất thường. Bộ phận vận hành có thể chứng minh cảnh báo đã được chuyển đúng thời điểm. Doanh nghiệp có thể chứng minh biện pháp cô lập được thực hiện ngay sau khi sự cố được xác định. Ngược lại, log cũng có thể chỉ ra rằng cảnh báo đã tồn tại nhiều giờ nhưng không được xử lý hoặc một tài khoản quản trị vẫn được sử dụng sau thời điểm đáng lẽ phải bị khóa.

Bởi vậy, giá trị pháp lý của việc lưu vết nằm ở khả năng làm giảm khoảng trống giữa sự kiện thực tế và điều mà các bên có thể chứng minh sau này.

Khi dữ liệu được ghi nhận đầy đủ, bảo vệ tính toàn vẹn và bảo quản đúng quy trình, việc xác định trách nhiệm có thể dựa nhiều hơn vào chuỗi sự kiện khách quan thay vì chỉ dựa vào lời khai hoặc suy đoán.

Lưu vết sự cố an toàn thông tin vì thế vừa là biện pháp kỹ thuật, vừa là một cơ chế quản trị chứng cứ và trách nhiệm. Nhật ký hệ thống có thể giúp tái dựng sự kiện; hồ sơ ứng cứu chứng minh tổ chức đã phản ứng ra sao; dữ liệu điện tử hỗ trợ xác định chủ thể, hành vi và thời điểm liên quan.

Tuy nhiên, log không tự động chứng minh một cá nhân có lỗi và cũng không mặc nhiên có giá trị quyết định chỉ vì được tạo bởi máy tính. Sức nặng pháp lý phụ thuộc vào nguồn gốc, tính toàn vẹn, khả năng truy xuất, cách thu thập và mối liên hệ của dữ liệu với các chứng cứ khác.

Do đó, mục tiêu đúng của lưu vết sự cố an toàn thông tin không phải là “lưu càng nhiều càng tốt”, mà là tạo được một chuỗi dữ liệu đủ đầy và đáng tin để khi cần có thể chứng minh chính xác: chuyện gì đã xảy ra, ai hoặc hệ thống nào liên quan, tổ chức đã làm gì và trách nhiệm nên được xác định trên cơ sở nào.