Cần tiêu chí rõ ràng, thống nhất khi phân loại rủi ro an ninh dữ liệu

Thảo luận về dự án Luật An ninh dữ liệu, nhiều đại biểu Quốc hội đề nghị làm rõ tiêu chí, phương pháp đánh giá và trách nhiệm phân loại rủi ro, bảo đảm việc áp dụng thống nhất, tránh tình trạng cùng một loại dữ liệu nhưng được xác định ở các cấp độ khác nhau.

Hôm nay 4/11, Quốc hội làm việc về Luật An ninh dữ liệu, Luật Định danh và xác thực điện tử Quốc hội thảo luận giải pháp ngăn chặn thông đồng và bỏ cọc trong đấu giá tài sản Đại biểu Quốc hội: Bảo đảm tính minh bạch và công bằng trong trưng mua, trưng dụng tài sản

Sáng 4/11, tiếp tục chương trình Kỳ họp thứ 2, Quốc hội khóa XVI, dưới sự chủ trì của Chủ tịch Quốc hội Trần Thanh Mẫn và điều hành của Phó Chủ tịch Quốc hội Nguyễn Thị Thanh, Quốc hội thảo luận ở hội trường về dự án Luật An ninh dữ liệu. Các đại biểu cho rằng, phân loại cấp độ rủi ro là công cụ quan trọng để xác định mức độ bảo vệ phù hợp. Do đó, đề nghị Ban soạn thảo quy định rõ tiêu chí phân loại rủi ro an ninh dữ liệu, phương pháp đánh giá và chủ thể chịu trách nhiệm, tiêu chí phân cấp phải rõ, kiểm chứng được và áp dụng thống nhất.

Qua thảo luận, các đại biểu cơ bản nhất trí cao với sự cần thiết ban hành Luật An ninh dữ liệu; đồng thời, đánh giá cao Cơ quan soạn thảo đã tiếp thu rất nhiều ý kiến và dự thảo mới nhất đã đặt nền móng cho quản lý theo cấp độ rủi ro và bảo vệ dữ liệu trong toàn bộ vòng đời.

Phân loại rủi ro an ninh dữ liệu: Cần tiêu chí rõ ràng, thống nhất

Đại biểu Lê Thị Thanh Lam, đoàn ĐBQH thành phố Cần Thơ phát biểu.

Làm rõ tiêu chí, phương pháp đánh giá rủi ro

Nhiều ý kiến tham gia góp ý vào cấp độ rủi ro an ninh dữ liệu quy định tại Điều 8 của dự thảo Luật. Đại biểu Lê Thị Thanh Lam, đoàn ĐBQH thành phố Cần Thơ cho rằng, phân loại cấp độ rủi ro là công cụ quan trọng để xác định mức độ bảo vệ phù hợp. Tuy nhiên, rủi ro dữ liệu không chỉ phụ thuộc vào loại dữ liệu mà còn phụ thuộc vào khối lượng, khả năng liên kết, mục đích sử dụng, mức độ tập trung và khả năng gây hậu quả khi bị xâm phạm.

More from WVR
Từ hiệu ứng concert đến phát triển công nghiệp văn hóa bền vững

“Một bộ dữ liệu riêng lẻ có thể không nhạy cảm nhưng khi liên kết với nhiều nguồn khác có thể làm phát sinh nguy cơ nhận diện, suy luận thông tin hoặc gây ảnh hưởng lớn đến cá nhân và tổ chức. Vì vậy, nếu tiêu chí phân loại không cụ thể, việc đánh giá có thể thiếu thống nhất giữa các cơ quan và doanh nghiệp”, đại biểu Thanh Lam nêu quan điểm.

Vì vậy, đại biểu Lê Thị Thanh Lam đề nghị Ban soạn thảo quy định rõ tiêu chí phân loại rủi ro, phương pháp đánh giá, chủ thể chịu trách nhiệm và chu kỳ rà soát lại cấp độ. Cần xem xét khả năng xảy ra sự cố, mức độ thiệt hại, quy mô dữ liệu, mức độ nhạy cảm, khả năng liên kết và mức độ phụ thuộc của hoạt động thiết yếu vào dữ liệu.

Đặc biệt, cần cho phép điều chỉnh cấp độ rủi ro khi mục đích xử lý, quy mô dữ liệu hoặc công nghệ thay đổi; đồng thời thiết lập cơ chế kiểm tra, giải trình khi có bất đồng về kết quả phân loại. Đại biểu Lê Thị Thanh Lam nhận thấy, cách tiếp cận này giúp tập trung nguồn lực vào những hệ thống có nguy cơ cao, thay vì phân bổ chi phí đồng đều cho mọi loại dữ liệu.

Đại biểu Sùng A Lềnh, đoàn ĐBQH tỉnh Lào Cai phát biểu.

Tán thành sự cần thiết ban hành Luật An ninh dữ liệu, đại biểu Sùng A Lềnh, đoàn ĐBQH tỉnh Lào Cai đề nghị hoàn thiện khoản 1, khoản 12 Điều 8 theo hướng tiêu chí phân cấp phải rõ, kiểm chứng được và áp dụng thống nhất. Việc phân cấp quyết định chủ thể phải đánh giá tác động, kiểm toán hay thẩm định, nên mỗi thay đổi cấp độ đều kéo theo trách nhiệm và chi phí.

Đại biểu Sùng A Lềnh nhận thấy, nếu tiêu chí còn định tính, cùng một loại dữ liệu có thể được xác định khác nhau, nơi bảo vệ chưa đủ, nơi lại chịu yêu cầu vượt mức cần thiết. Tiêu chí cần đánh giá đầy đủ hậu quả khi dữ liệu bị lộ, bị làm sai lệch hoặc không thể truy cập đúng thời điểm.

“Chẳng hạn, thông tin cảnh báo thiên tai được công khai, nhưng nếu bị sửa đổi trái phép vẫn có thể gây hậu quả nghiêm trọng. Ngược lại, dung lượng lớn chưa đủ để kết luận dữ liệu có rủi ro cao. Với địa phương miền núi, biên giới, cần phân biệt rõ dữ liệu phục vụ cung cấp thông tin cho người dân với dữ liệu điều khiển công trình hoặc dữ liệu liên quan trực tiếp đến quốc phòng, an ninh”, đại biểu Sùng A Lềnh nêu dẫn chứng.

Vì vậy, đại biểu đoàn Lào Cai đề nghị Luật xác định các tiêu chí nền tảng về tính chất, độ nhạy cảm, phạm vi ảnh hưởng và hậu quả khi bị xâm phạm, và giao Chính phủ cụ thể hóa các ngưỡng định lượng, phương pháp đánh giá và tình huống hướng dẫn. Việc tích tụ, liên kết làm phát sinh nguy cơ mới phải được phân biệt với việc chỉ tăng số lượng bản ghi. Có như vậy chủ quản dữ liệu mới tự xác định được nghĩa vụ và cơ quan kiểm tra có căn cứ để thống nhất.

Đại biểu Phạm Thu Xanh, đoàn ĐBQH thành phố Hải Phòng phát biểu.

Phân loại dữ liệu theo mức độ rủi ro thực tế

Đồng tình với các ý kiến nêu trên, từ thực tế ngành y tế, đại biểu Phạm Thu Xanh, đoàn ĐBQH thành phố Hải Phòng đề nghị cần phân loại dữ liệu và xác định về cấp độ an ninh trên cơ sở mức độ rủi ro về thực chất.

Tại khoản 3 Điều 8 đã xác định dữ liệu cốt lõi, trong đó có dữ liệu về sinh trắc học, dữ liệu về di truyền học. Khoản 2 Điều 12 quy định việc xác định về cấp độ hệ thống căn cứ vào dữ liệu có mức độ rủi ro cao nhất, trừ trường hợp được phân vùng, cách ly.

Đại biểu Phạm Thu Xanh cho rằng, cần phân biệt dữ liệu di truyền gắn trực tiếp với danh tính cá nhân, dữ liệu đã mã hóa và dữ liệu đã được khử nhận dạng, không thể tái nhận dạng.

“Nếu chỉ cần một phân hệ chứa dữ liệu nhạy cảm mà toàn bộ hệ thống bệnh viện phải áp dụng vào cấp độ an ninh cao nhất thì sẽ làm tăng đáng kể chi phí tuân thủ, nhất là đối với các cơ sở y tế công lập”, đại biểu nêu rõ.

Do đó, đại biểu Phạm Thu Xanh đề nghị làm rõ các điều khoản liên quan đến Điều 8 theo hướng xử lý việc xác định dữ liệu cốt lõi phải căn cứ vào tính chất, quy mô, khả năng gây thiệt hại và ngưỡng rủi ro của chính tập dữ liệu, đồng thời hướng dẫn cụ thể việc phân vùng, cách ly hệ thống theo khoản 2 Điều 12.

Góp ý vào Điều 9 về phân loại và bảo vệ an ninh dữ liệu theo cấp độ rủi ro an ninh dữ liệu, đại biểu Nguyễn Vũ Trung, đoàn ĐBQH Thành phố Hồ Chí Minh cho rằng, điểm cần làm rõ là ranh giới giữa việc tự xác định cấp độ rủi ro an ninh dữ liệu và quyền kiểm tra của cơ quan Nhà nước.

Các đại biểu tham dự phiên họp.

“Khoản 1 đã phân loại dữ liệu thành cấp độ cụ thể, nhưng khoản 2 lại giao cho chủ quản tự xác định mà không nêu tiêu chí, hồ sơ chứng minh và cơ chế hậu kiểm. Điều này có thể phát sinh cách hiểu rằng, chủ quản được tự chọn cấp độ, khi đó cùng một loại dữ liệu có thể bị xếp thành các cấp độ khác nhau. Chủ quản có thể xếp thấp hơn để giảm nghĩa vụ, còn cơ quan quản lý thiếu căn cứ thống nhất để yêu cầu điều chỉnh”, đại biểu Trung phân tích.

Do đó, đại biểu Nguyễn Vũ Trung đề nghị sửa khoản 2 như sau: Cơ quan, tổ chức, cá nhân, chủ quản hệ thống dữ liệu có trách nhiệm tổ chức đánh giá, xác định cấp độ rủi ro an ninh dữ liệu đối với dữ liệu và hệ thống dữ liệu thuộc phạm vi quản lý theo tiêu chí quy định tại khoản 1 Điều này và quy định của Chính phủ. Lập, lưu giữ hồ sơ về căn cứ xác định cấp độ và áp dụng đầy đủ yêu cầu bảo đảm an ninh dữ liệu tương ứng. Việc tự đánh giá, xác định cấp độ không loại trừ trách nhiệm kiểm tra, yêu cầu điều chỉnh cấp độ của cơ quan Nhà nước có thẩm quyền.