Đưa luật vào từng tài khoản, thiết bị

Quy định pháp luật chỉ phát huy hiệu quả khi được thực hiện trong từng cơ quan, doanh nghiệp. Mỗi đơn vị cần kiểm soát người được truy cập dữ liệu, thu hồi tài khoản khi nhân sự nghỉ việc, thay đổi mật khẩu sau bảo trì, cảnh báo hoạt động tải thông tin bất thường và xác định rõ trách nhiệm khi xảy ra lộ lọt.

Đây cũng là trọng tâm của hội nghị phổ biến, hướng dẫn Luật An ninh mạng và Luật Bảo vệ dữ liệu cá nhân do Bộ Công an phối hợp với Hiệp hội An ninh mạng Quốc gia tổ chức ngày 21/8 tại Hà Nội, với gần 800 đại biểu trong và ngoài nước tham dự. Trung tướng Lê Xuân Minh, Cục trưởng Cục An ninh mạng và Phòng, chống tội phạm sử dụng công nghệ cao, khẳng định việc ban hành các quy định mới là “cột mốc có ý nghĩa chiến lược đặc biệt quan trọng”, tạo nền tảng pháp lý thống nhất để bảo đảm an ninh mạng, bảo vệ dữ liệu cá nhân, quyền con người cùng quyền và lợi ích hợp pháp của cơ quan, tổ chức trên không gian mạng.

Luật An ninh mạng và Luật Bảo vệ dữ liệu cá nhân có quan hệ chặt chẽ, bổ trợ cho nhau trong quá trình thực hiện. Theo Trung tướng Lê Xuân Minh: “Bảo đảm an ninh mạng hệ thống là điều kiện kỹ thuật của bảo vệ dữ liệu cá nhân. Bảo vệ dữ liệu cá nhân là bảo vệ phần dữ liệu cốt lõi trong mỗi hệ thống”. Một hệ thống vẫn hoạt động không có nghĩa dữ liệu bên trong đã an toàn nếu tài khoản, thiết bị và quy trình vận hành còn lỗ hổng.

Có hiệu lực từ ngày 1/7/2026, Luật An ninh mạng 2025 gồm 8 chương, 45 điều, hướng tới thống nhất đầu mối quản lý, khắc phục sự chồng chéo và ứng phó với tấn công, gián điệp mạng, lộ lọt dữ liệu, thông tin xấu độc và tội phạm công nghệ cao xuyên biên giới.

Theo Thượng tá Triệu Mạnh Tùng, Phó Cục trưởng Cục An ninh mạng và Phòng, chống tội phạm sử dụng công nghệ cao, luật lần đầu quy định độc lập về an ninh dữ liệu, coi dữ liệu là tài nguyên chiến lược. Hệ thống thông tin được phân thành 5 cấp độ theo mức độ thiệt hại; chủ quản phải xác định cấp độ, quản lý rủi ro, giám sát truy cập, sao lưu, kiểm tra và ứng phó sự cố trong suốt vòng đời hệ thống.

Từ yêu cầu đó, cơ quan, doanh nghiệp cần thu hồi tài khoản khi nhân sự nghỉ việc, thay đổi mật khẩu sau bảo trì, chấm dứt quyền quản trị của kỹ thuật viên sau bàn giao; hệ thống cần ghi nhận và cảnh báo khi xuất hiện hoạt động tải dữ liệu với lượng lớn bất thường. Nếu những “cánh cửa” này không được kiểm soát, hệ thống vẫn có thể bị mở từ bên trong.

Luật cũng nghiêm cấm thu thập, mua bán, sử dụng trái phép thông tin; cấm lợi dụng AI, deepfake để giả mạo hình ảnh, giọng nói nhằm lừa đảo, vu khống hoặc tống tiền. Doanh nghiệp cung cấp dịch vụ trên không gian mạng phải phối hợp ngăn chặn, gỡ bỏ thông tin vi phạm theo yêu cầu của cơ quan có thẩm quyền.

Trong khi đó, Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 1/1/2026, gồm 5 chương, 39 điều, điều chỉnh quá trình thu thập, lưu trữ, chia sẻ, chuyển giao, công khai, xóa hoặc hủy dữ liệu. Người dân có quyền biết thông tin được thu thập vì mục đích gì, do ai xử lý; có quyền từ chối, rút lại sự đồng ý, chỉnh sửa, yêu cầu xóa, khiếu nại, khởi kiện và yêu cầu bồi thường. Sự im lặng không được coi là đồng ý; doanh nghiệp không được buộc khách hàng cung cấp thông tin vượt mức cần thiết.

Thượng tá Nguyễn Đình Đỗ Thi, Phó trưởng Phòng 1, Cục An ninh mạng và Phòng, chống tội phạm sử dụng công nghệ cao, cho biết các tệp bị mua bán “chứa hàng triệu thông tin chi tiết, trải dài từ họ tên, số điện thoại cho đến các dữ liệu tài chính và nhiều thông tin giá trị cao khác”. Trong 6 tháng đầu năm 2026, lực lượng chuyên trách phát hiện khoảng 2 triệu cảnh báo tấn công mạng, khoảng một nửa có sự can thiệp của AI. Riêng năm 2025, cơ quan chức năng phát hiện hơn 40 vụ mua bán dữ liệu cá nhân, liên quan khoảng 160 triệu bản ghi.

AI đang giúp các đối tượng tự động hóa việc dò quét, tìm lỗ hổng và xâm nhập hệ thống. Nguy cơ không chỉ đến từ người dùng tùy tiện công khai thông tin mà còn do một số cơ quan, doanh nghiệp chưa thực hiện đầy đủ biện pháp bảo vệ, quy trình quản lý lỏng lẻo; nhân sự có quyền truy cập có thể lợi dụng vị trí đưa dữ liệu ra ngoài.

Doanh nghiệp vì thế phải rà soát toàn bộ vòng đời dữ liệu, lập hồ sơ đánh giá tác động, kiểm soát việc chuyển dữ liệu ra nước ngoài, bố trí nhân sự chuyên trách và thông báo khi xảy ra vi phạm. Hành vi mua bán dữ liệu cá nhân có thể bị phạt tối đa bằng 10 lần khoản thu có được; vi phạm quy định về chuyển dữ liệu xuyên biên giới có thể bị phạt tối đa 5% doanh thu của năm trước liền kề.

Thượng tá Nguyễn Đình Đỗ Thi cho rằng: “Dữ liệu vừa được coi là nguyên liệu, vừa là tài sản. Các cơ quan, tổ chức, doanh nghiệp có trách nhiệm tuân thủ quy định về bảo vệ dữ liệu. Nếu xem bảo vệ dữ liệu cá nhân là văn hóa của doanh nghiệp, chắc chắn sẽ bảo vệ được dữ liệu cá nhân của khách hàng, công nhân viên, bảo vệ uy tín, thương hiệu, đồng thời tạo điều kiện để tham gia chuỗi cung ứng quốc tế”.

Những yêu cầu ấy không chỉ nằm trên giấy, các vụ án được phát hiện thời gian qua cho thấy chỉ một tài khoản không được thu hồi hoặc một quyền truy cập bị buông lỏng cũng có thể khiến hàng triệu thông tin bị đưa ra ngoài.

Dữ liệu bị lấy từ chính người từng được tin tưởng

Thực tế cho thấy, “cánh cửa” vào kho thông tin nhiều khi được mở bằng tài khoản cấp cho nhân viên, kỹ thuật viên. Vụ án được Tòa án nhân dân TP Hà Nội xét xử tháng 9/2025 cho thấy dữ liệu từ sổ liên lạc điện tử, hệ thống quản lý doanh nghiệp và ngành điện đã bị người có quyền tiếp cận sao chép để thu lợi.

Cụ thể, Vũ Thanh Tùng, cựu nhân viên Công ty Onesms, lợi dụng tài khoản quản trị hệ thống sổ liên lạc điện tử để sao chép khoảng 15.000 tên, số điện thoại phụ huynh học sinh. Sau khi nghỉ việc, Tùng lập tài khoản Facebook “Vũ Data” chào bán thông tin, thực hiện hơn 520 giao dịch trong giai đoạn 2018-2021, thu lợi trên 759 triệu đồng.

Tương tự, Nguyễn Mạnh Linh, nhân viên kỹ thuật bảo trì thiết bị tại Sở Kế hoạch và Đầu tư Hà Nội, biết mật khẩu hệ thống quản lý doanh nghiệp nên trích xuất 21,99 Gb dữ liệu, gồm tên, địa chỉ, số điện thoại, người đại diện, mã số thuế, số tài khoản của doanh nghiệp và hộ kinh doanh. Linh dùng tài khoản ẩn danh tham gia nhóm “Data khách hàng tiềm năng”, thực hiện hơn 60 giao dịch, thu lợi trên 110 triệu đồng.

Từ những vụ án trên cho thấy, nếu tài khoản không được thu hồi khi nhân sự nghỉ việc, mật khẩu không được thay đổi hoặc quyền truy cập được cấp quá rộng, hàng nghìn bản ghi có thể bị lấy đi mà đơn vị quản lý không kịp phát hiện.

Từ những giao dịch nhỏ lẻ, mua bán dữ liệu đã phát triển thành thị trường ngầm, có người thu thập, đóng gói và che giấu dòng tiền. Vụ việc được Công an tỉnh Nghệ An phát hiện tháng 6/2026 cho thấy quy mô đã lên tới hàng chục triệu thông tin.

Ngày 23/6/2026, Công an tỉnh Nghệ An triệu tập Phùng Xuân Đường, sinh năm 1980, trú tại Phú Thọ (được xác định là người cầm đầu) cùng N.V.D, sinh năm 2005, trú tại Nghệ An, để làm rõ hành vi mua, bán trái phép dữ liệu cá nhân.

Theo điều tra ban đầu, các đối tượng lập tài khoản ảo, quảng cáo trên Facebook rồi trao đổi qua Telegram. Dữ liệu được thu thập từ nhiều nguồn, dùng phần mềm chỉnh sửa thành từng “gói hàng”. Tiền giao dịch được chuyển qua ví tiền ảo hoặc tài khoản ngân hàng không chính chủ; các đối tượng thường xuyên thay đổi nơi cư trú.

Từ tháng 6/2025 đến khi bị phát hiện, 2 đối tượng bị xác định thu lợi hơn 1 tỷ đồng. Vụ việc có yếu tố nước ngoài và đang được mở rộng điều tra.

Khi họ tên, số điện thoại, nghề nghiệp, địa chỉ và thông tin tài chính được ghép nối, đối tượng có thể dựng kịch bản lừa đảo sát hoàn cảnh từng người. Dữ liệu sau khi lọt ra ngoài còn có thể được sao chép, ghép với nguồn khác rồi bán lại nhiều lần.

Vụ camera tại Đà Nẵng cho thấy chỉ một tài khoản không được thu hồi cũng có thể khiến một gia đình bị theo dõi, tống tiền.

Cuối năm 2022, Nguyễn Quốc Việt, nhân viên một công ty công nghệ tại Đà Nẵng, được giao lắp 6 camera tại nhà chị L.L.H. Việt đưa tài khoản quản trị vào điện thoại cá nhân, khiến “chìa khóa” vào không gian riêng tư vẫn nằm trong tay Việt sau khi công việc hoàn thành.

Do đầu tư tiền ảo thua lỗ, đầu tháng 9/2023, Việt truy cập camera trong phòng ngủ, ghi lại 2 clip nhạy cảm rồi yêu cầu gia chủ chuyển 130 triệu đồng để xóa dữ liệu. Sau khi giảm xuống 110 triệu đồng và nhận trước 20 triệu đồng, Việt tiếp tục đòi số còn lại, nếu không đáp ứng theo yêu cầu, đối tượng đe dọa bán hoặc phát tán clip...

Những vụ việc đó đã tạo thành một chuỗi cảnh báo, dữ liệu bị người có quyền truy cập sao chép, tập hợp thành hàng hóa rồi trở thành công cụ lừa đảo, xâm phạm đời tư hoặc cưỡng đoạt tài sản. Một khi đã phát tán, dữ liệu gần như không thể thu hồi hoàn toàn. “Lá chắn số”, vì thế, phải được dựng từ khi thông tin được thu thập và duy trì trong suốt quá trình lưu giữ, sử dụng, chia sẻ đến khi xóa bỏ.