Đề nghị bảo đảm điều kiện thực hiện ở cấp cơ sở và cụ thể hóa cơ chế bảo vệ trên hạ tầng dùng chung, đại biểu Sùng A Lềnh (Đoàn ĐBQH tỉnh Lào Cai) cho biết: Khoản 2 Điều 10 đã cho phép thể hiện phương án bảo vệ dữ liệu Cấp độ 2 trong quy chế, hồ sơ đã có; khoản 4 Điều 12 cho phép sử dụng hạ tầng chung đạt yêu cầu mà không phải đầu tư riêng.
“Tôi tán thành, nhưng đề nghị làm rõ đơn vị sử dụng hệ thống chung được áp dụng phương án của chủ quản hệ thống đến đâu. Nếu mỗi xã, trường học, trạm y tế vẫn phải lập lại nội dung kỹ thuật đã được bảo đảm ở cấp hệ thống thì hồ sơ tăng, trong khi hiệu quả bảo vệ chưa chắc được nâng lên”, đại biểu Sùng A lềnh phát biểu.
Đề nghị bổ sung tại khoản 2 Điều 10 và Điều 12, đại biểu Sùng A Lềnh cho biết, đối với dữ liệu Cấp độ 2 xử lý trên hệ thống dùng chung đáp ứng yêu cầu, đơn vị sử dụng được áp dụng phần phương án bảo vệ chung tương ứng; chỉ bổ sung nội dung về dữ liệu, thiết bị hoặc rủi ro riêng. Trách nhiệm phải được phân định rõ: đơn vị vận hành bảo đảm an ninh hạ tầng, giám sát, sao lưu và hỗ trợ ứng cứu; đơn vị sử dụng quản lý tài khoản, phân quyền và xử lý dữ liệu đúng mục đích. Giảm hồ sơ phải đi cùng trách nhiệm cụ thể ở từng khâu.
Cùng quan điểm này, đại biểu Quốc hội Nguyễn Thị Việt Nga (Đoàn TP Hải Phòng) tập trung phân tích về Điều 9 quy định phân loại và bảo vệ an ninh dữ liệu theo cấp độ rủi ro. Cụ thể, Khoản 1 Điều 9 mô tả 5 cấp độ thông qua hậu quả khi dữ liệu bị sự cố hoặc bị xâm phạm.
Theo bà Nga, đây là hướng tiếp cận phù hợp. Tuy nhiên, ngay trong các điểm quy định cấp độ 3, cấp độ 4 và cấp độ 5, dự thảo tiếp tục gắn dữ liệu với cấp độ của hệ thống thông tin lưu trữ, xử lý dữ liệu. Hai nội dung này có quan hệ mật thiết, nhưng cần phân định rõ trong luật: đâu là tiêu chí xác định rủi ro của dữ liệu, đâu là yêu cầu bảo vệ đối với hệ thống sau khi đã xác định rủi ro ấy.
“Dữ liệu có rủi ro cao không thể được xử lý trên một hệ thống thiếu an toàn”, bà Nga nói và băn khoăn nếu đặt cả hai quy tắc trong cùng định nghĩa cấp độ dữ liệu, người áp dụng có thể hiểu cấp độ của hệ thống là một điều kiện để nhận diện cấp độ của dữ liệu. Khi đó, cùng một tập dữ liệu có thể bị đánh giá khác nhau tùy nơi lưu trữ, trong khi hậu quả nếu dữ liệu bị lộ, bị sửa đổi hoặc bị mất không nhất thiết thay đổi theo nơi lưu trữ.
Bà Nga đưa ra phân tích rằng, một hệ thống có thể xử lý đồng thời dữ liệu công khai và dữ liệu nhạy cảm. Không vì chúng cùng nằm trên một hệ thống mà mọi dữ liệu đều có cùng mức rủi ro. Ngược lại, một tập dữ liệu nhỏ nhưng có khả năng gây tổn hại nghiêm trọng đến quyền của con người hoặc an ninh quốc gia vẫn cần được nhận diện đúng, dù hệ thống đang xử lý chưa được xếp ở cấp độ tương ứng.
Từ đó, bà Nga đề nghị chỉnh lý khoản 1 Điều 9 chỉ để quy định tiêu chí phân biệt 5 cấp độ theo tính chất dữ liệu và hậu quả có thể xảy ra khi dữ liệu bị xâm phạm. Quy định về cấp độ tối thiểu, biện pháp bảo vệ của hệ thống xử lý nên tách thành một khoản riêng và được áp dụng sau khi cấp độ dữ liệu đã được xác định, đồng thời bảo đảm thống nhất với pháp luật về an ninh mạng.
Về nhân lực, khoản 2 Điều 24 bố trí trên cơ sở nhân sự hiện có; khoản 2 Điều 25 ưu tiên phát triển nguồn nhân lực. Từ góc độ một tỉnh miền núi, biên giới như Lào Cai, đại biểu Sùng A Lềnh đề nghị bổ sung cơ chế hỗ trợ kỹ thuật, đào tạo đầu mối và dịch vụ bảo vệ dùng chung cho cơ sở; xác định trách nhiệm tổ chức, kinh phí theo phân cấp và đầu mối hỗ trợ khi có sự cố. Cần đánh giá năng lực thực hiện trước khi xác định lộ trình; tránh giao trách nhiệm chung nhưng chưa có hướng dẫn và điều kiện bảo đảm.
Đề nghị rà soát điểm a, điểm b khoản 1 Điều 29 để tách rõ mốc xác định cấp độ, kiểm toán và hoàn thành khắc phục. Đối với hệ thống đang vận hành, điểm a cho hoàn thành xác định cấp độ và khắc phục trong 24 tháng, doanh nghiệp nhỏ và vừa là 36 tháng; điểm b yêu cầu kiểm toán lần đầu đối với Cấp độ 4, Cấp độ 5 trong 12 tháng. Cần làm rõ việc xác định đối tượng kiểm toán trước thời hạn này, kế thừa kết quả hợp pháp đã có và công bố sớm hướng dẫn để địa phương chuẩn bị.
Phân tích an ninh dữ liệu không phải chuyện riêng của máy chủ hay cơ quan quản lý, đại biểu Quốc hội Nguyễn Vũ Trung (Đoàn TP Hồ Chí Minh): Dự thảo mới nhất đã đặt nền móng cho quản lý theo cấp độ rủi ro và bảo vệ dữ liệu trong toàn bộ vòng đời. Liên quan đến điều 9 về phân loại và bảo vệ an ninh dữ liệu theo cấp độ rủi ro an ninh dữ liệu, ông Trung cho hay, điểm cần làm rõ ranh giới giữa việc tự xác định và quyền kiểm tra của cơ quan nhà nước. Nếu Khoản 1 đã phân loại dữ liệu thành cấp độ cụ thể, nhưng Khoản 2 lại giao chủ quản tự xác định mà không nêu tiêu chí, hồ sơ chứng minh và cơ chế hậu kiểm.
Theo ông Trung, điều này có thể phát sinh cách hiểu rằng, chủ quản được tự chọn cấp độ. Khi đó, cùng một loại dữ liệu có thể bị xếp thành các cấp độ khác nhau. Chủ quản có thể xếp thấp hơn để giảm nghĩa vụ, còn cơ quan quản lý thiếu căn cứ thống nhất để yêu cầu điều chỉnh.
Do đó, ông Trung đề nghị sửa khoản 2 theo hướng: “Cơ quan, tổ chức, cá nhân chủ quản hệ thống dữ liệu có trách nhiệm tổ chức đánh giá, xác định cấp độ rủi ro an ninh dữ liệu đối với dữ liệu và hệ thống dữ liệu thuộc phạm vi quản lý theo tiêu chí quy định tại khoản 1 Điều này và quy định của Chính phủ; lập, lưu giữ hồ sơ về căn cứ xác định cấp độ và áp dụng đầy đủ yêu cầu bảo đảm an ninh dữ liệu tương ứng. Việc tự đánh giá, xác định cấp độ không loại trừ trách nhiệm kiểm tra, yêu cầu điều chỉnh cấp độ của cơ quan nhà nước có thẩm quyền”.
