Chuyển đổi số đang làm thay đổi sâu sắc phương thức quản trị và hoạt động xã hội, trong đó dữ liệu trở thành nguồn lực chiến lược, góp phần nâng cao năng lực quản trị, cạnh tranh và đổi mới sáng tạo của quốc gia. Nghị quyết số 57-NQ/TW ngày 22/12/2024 của Bộ Chính trị[1] xác định dữ liệu cùng với thể chế, nhân lực, hạ tầng và công nghệ chiến lược là những yếu tố cốt lõi của quá trình phát triển, đồng thời nhấn mạnh yêu cầu bảo đảm an ninh mạng, an ninh dữ liệu và an toàn thông tin. Vì vậy, bảo mật dữ liệu cá nhân và dữ liệu công vụ không chỉ là vấn đề kỹ thuật mà còn là yêu cầu về quản trị, pháp lý, đạo đức công vụ và an ninh quốc gia, gắn trực tiếp với quyền, lợi ích hợp pháp của người dân.

Nghị quyết số 57-NQ/TW của Bộ Chính trị về đột phá phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia đã xác định rõ vị trí, vai trò của dữ liệu là một trong những yếu tố cốt lõi của phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số; đồng thời nhấn mạnh yêu cầu bảo đảm chủ quyền quốc gia trên không gian mạng, an ninh mạng, an ninh dữ liệu và an toàn thông tin của tổ chức, cá nhân. Cùng với Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân và Nghị định số 356/2025/NĐ-CP[2] có hiệu lực từ năm 2026, Việt Nam đang từng bước hoàn thiện hành lang pháp lý về quản trị và bảo vệ dữ liệu. Bảo mật dữ liệu vì thế phải được coi là cấu phần thiết yếu của chuyển đổi số, bảo đảm quá trình này diễn ra an toàn, thực chất và bền vững.

1. Dữ liệu - từ nguồn thông tin trở thành nguồn lực chiến lược

Một trong những điểm có ý nghĩa chiến lược của Nghị quyết số 57-NQ/TW của Bộ Chính trị là nhấn mạnh yêu cầu “làm giàu, khai thác tối đa tiềm năng của dữ liệu”, phát triển cơ sở dữ liệu lớn, công nghiệp dữ liệu và kinh tế dữ liệu. Điều này cho thấy dữ liệu không còn chỉ được xem là sản phẩm của hoạt động quản lý, mà ngày càng trở thành nguồn lực quan trọng, có khả năng tạo ra giá trị kinh tế, quản trị và tri thức.

Trong môi trường số, dữ liệu có thể được thu thập, kết nối, phân tích và tái sử dụng với quy mô lớn, góp phần nâng cao chất lượng hoạch định chính sách, quản trị nhà nước, nghiên cứu khoa học và hoạt động sản xuất, kinh doanh. Tuy nhiên, giá trị càng lớn thì nguy cơ dữ liệu bị đánh cắp, rò rỉ, giả mạo, sửa đổi hoặc sử dụng trái phép càng cao. Đặc biệt, đối với dữ liệu cá nhân, dữ liệu công vụ và những dữ liệu có tính chất nhạy cảm, sự cố mất an toàn có thể gây thiệt hại cho cá nhân, tổ chức, ảnh hưởng đến hoạt động quản lý và làm suy giảm niềm tin xã hội.

Vì vậy, khai thác và bảo vệ dữ liệu phải được thực hiện đồng thời. Bảo vệ quá mức có thể làm hạn chế khả năng chia sẻ, kết nối và phát huy giá trị dữ liệu; ngược lại, khai thác thiếu kiểm soát sẽ gia tăng nguy cơ xâm phạm quyền và lợi ích hợp pháp. Quản trị dữ liệu trong môi trường số cần dựa trên nguyên tắc phân loại dữ liệu, kiểm soát quyền truy cập, bảo đảm an toàn kỹ thuật và xác định rõ trách nhiệm của chủ thể quản lý, sử dụng dữ liệu.

Do đó, yêu cầu đặt ra là khai thác có trách nhiệm, chia sẻ có kiểm soát và bảo vệ tương xứng với giá trị, tính chất của dữ liệu. Đây là điều kiện quan trọng để dữ liệu thực sự trở thành nguồn lực thúc đẩy khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia.

2. Dữ liệu cá nhân, dữ liệu công vụ

Dữ liệu cá nhân

Khái niệm dữ liệu cá nhân lần đầu tiên được đưa ra trong Hướng dẫn bảo vệ quyền riêng tư và dịch chuyển dữ liệu cá nhân xuyên biên giới của Tổ chức Hợp tác và Phát triển kinh tế (OECD) vào năm 1980 và Hiệp định bảo vệ cá nhân liên quan đến việc xử lý tự động dữ liệu cá nhân năm 1981 của Hội đồng Châu Âu. Theo OECD, dữ liệu cá nhân là bất kỳ thông tin nào có liên quan đến một cá nhân cụ thể hoặc có thể xác định được.

Theo Quy định chung về bảo vệ dữ liệu (General Data Protection Regulation - GDPR) của Liên minh Châu Âu (EU), dữ liệu cá nhân là “bất kỳ thông tin nào liên quan đến một thể nhân (data subject) đã được nhận định danh tính, hoặc có thể được nhận định danh tính, dù trực tiếp hay gián tiếp, cụ thể là bằng cách chỉ ra một định danh như: tên, số định danh, dữ liệu vị trí, định danh trên mạng, hay một hoặc nhiều yếu tố chỉ định danh tính của một cá nhân mang tính vật lý, sinh lý, di truyền, tâm lý, kinh tế, văn hoá, hoặc xã hội”[3].

Dữ liệu cá nhân gắn trực tiếp với mỗi cá nhân, có khả năng phản ánh nhiều phương diện của đời sống và ngày càng trở thành một bộ phận quan trọng của quản trị số. Trong quá trình chuyển đổi số, thông tin từ căn cước, y tế, giáo dục, tài chính, dịch vụ công, giao dịch trực tuyến và mạng xã hội khi được kết nối có thể hình thành một “hồ sơ số” tương đối toàn diện về mỗi người. Điều này tạo điều kiện nâng cao hiệu quả quản trị, cung cấp dịch vụ công và thúc đẩy đổi mới sáng tạo, nhưng đồng thời làm gia tăng nguy cơ xâm phạm quyền riêng tư, đánh cắp hoặc sử dụng dữ liệu sai mục đích.

Quyền bảo vệ dữ liệu bắt nguồn từ quyền riêng tư của con người, là công cụ để bảo tồn, thúc đẩy các giá trị và quyền cơ bản của con người, là cơ sở để thực hiện các quyền tự do khác, chẳng hạn như quyền tự do ngôn luận, quyền tiếp cận thông tin, quyền hội họp của công dân. Do đó, đời sống riêng tư của cá nhân được đặt ở vị trí ưu tiên và cần được bảo vệ để đảm bảo cá nhân có quyền toàn vẹn đối với đời sống chính mình. Vì thế, trong khuôn khổ pháp luật của EU và nhiều quốc gia, bảo vệ dữ liệu được xem là một quyền cơ bản của con người[4].

Nhận thức rõ tầm quan trọng của việc bảo vệ dữ liệu cá nhân trong quá trình chuyển đổi số, Chính phủ đã ban hành Nghị định số 13/2023/NĐ-CP, tạo cơ sở pháp lý quan trọng cho hoạt động thu thập, xử lý, quản lý và bảo vệ dữ liệu cá nhân. Nghị định quy định các nguyên tắc xử lý dữ liệu, trách nhiệm của các cơ quan, tổ chức, cá nhân có liên quan, cũng như các biện pháp bảo đảm an toàn, bảo mật dữ liệu và quyền của chủ thể dữ liệu. Đây là một bước tiến quan trọng trong việc từng bước hoàn thiện hành lang pháp lý về bảo vệ dữ liệu cá nhân ở Việt Nam. Tuy nhiên, thực tiễn triển khai cho thấy vẫn còn những vấn đề cần tiếp tục nghiên cứu, hoàn thiện, nhất là về tính thống nhất, khả năng thực thi và cơ chế kiểm soát, xử lý vi phạm. Do đó, việc đánh giá những kết quả đạt được, đồng thời nhận diện các hạn chế và thách thức trong quá trình thực hiện Nghị định là cần thiết, qua đó góp phần hoàn thiện cơ chế bảo vệ dữ liệu cá nhân trong môi trường số[5].

Theo Bộ Công an, cho đến năm 2024, mặc dù Việt Nam đã có 69 văn bản quy phạm pháp luật liên quan trực tiếp đến bảo vệ dữ liệu cá nhân, nhưng các quy định còn thiếu thống nhất về khái niệm và nội hàm, trong khi Nghị định 13/2023/NĐ-CP chưa đủ vai trò là văn bản pháp luật gốc, thống nhất và có tính nguyên tắc. Trong bối cảnh dữ liệu cá nhân ngày càng được khai thác cho phát triển kinh tế nhưng cũng gia tăng tình trạng lộ, mất, chiếm đoạt, mua bán và sử dụng dữ liệu sai mục đích, việc ban hành Luật Bảo vệ dữ liệu cá nhân là cấp thiết nhằm hoàn thiện hành lang pháp lý, bảo đảm quyền đối với dữ liệu cá nhân, nâng cao trách nhiệm của các cơ quan, tổ chức, doanh nghiệp và cá nhân, đồng thời tạo cơ chế “bảo vệ để phát triển”, cho phép khai thác dữ liệu phục vụ kinh doanh, đổi mới sáng tạo và phát triển kinh tế - xã hội trên cơ sở tuân thủ pháp luật và bảo đảm an toàn dữ liệu[6].

Ngày 12/5/2025, Quốc hội đã thảo luận về dự án Luật Bảo vệ dữ liệu cá nhân. Các đại biểu thống nhất cao về sự cần thiết ban hành Luật Bảo vệ dữ liệu cá nhân, nhấn mạnh dữ liệu cá nhân không chỉ liên quan đến quyền riêng tư mà còn là nguồn lực chiến lược, gắn với quyền con người, quyền công dân, an ninh quốc gia và phát triển kinh tế số. Việc hoàn thiện pháp luật được xem là cần thiết nhằm bảo vệ quyền công dân, củng cố niềm tin và xây dựng môi trường số an toàn, đồng thời góp phần bảo đảm chủ quyền số quốc gia.

Việc ban hành Nghị định số 13/2023/NĐ-CP[7] và Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15[8] cho thấy Việt Nam đang từng bước hoàn thiện cơ sở pháp lý về bảo vệ dữ liệu. Tuy nhiên, hiệu quả bảo vệ không chỉ phụ thuộc vào quy định pháp luật mà còn vào ý thức và trách nhiệm của các chủ thể xử lý dữ liệu. Trong môi trường số, những sơ suất tưởng như nhỏ như gửi nhầm tệp, sử dụng chung tài khoản, chia sẻ mật khẩu hoặc đưa dữ liệu lên nền tảng không được phép đều có thể dẫn đến hậu quả nghiêm trọng. Vì vậy, cần thực hiện nghiêm nguyên tắc tối thiểu hóa dữ liệu và quyền truy cập, bảo đảm dữ liệu được thu thập, sử dụng và chia sẻ đúng mục đích, đúng thẩm quyền, có kiểm soát và có khả năng truy vết. Bảo vệ dữ liệu cá nhân vì thế không chỉ là yêu cầu kỹ thuật mà còn là biểu hiện của văn hóa pháp quyền và trách nhiệm trong môi trường số.

Dữ liệu công vụ

Trong pháp luật Việt Nam hiện hành, “dữ liệu công vụ” chưa được xác lập như một thuật ngữ pháp lý độc lập với một định nghĩa thống nhất. Luật Dữ liệu năm 2024 quy định về dữ liệu số và thiết lập các nhóm phân loại như dữ liệu dùng chung, dữ liệu dùng riêng, dữ liệu mở, dữ liệu quan trọng và dữ liệu cốt lõi; đồng thời quy định việc tạo lập, quản trị, lưu trữ, truy cập, kết nối, chia sẻ và bảo vệ dữ liệu trong các cơ quan nhà nước. Trên cơ sở đó, trong nghiên cứu này có thể sử dụng “dữ liệu công vụ” như một khái niệm thao tác để chỉ tập hợp dữ liệu được tạo lập, tiếp nhận, xử lý, lưu trữ, khai thác và trao đổi trong quá trình cơ quan, tổ chức và người thực thi công vụ thực hiện chức năng, nhiệm vụ, quyền hạn được giao.

Theo cách hiểu này, dữ liệu công vụ là một phạm trù được xác định chủ yếu từ bối cảnh hình thành, mục đích sử dụng và mối quan hệ với hoạt động công vụ. Dữ liệu công vụ có thể tồn tại dưới dạng văn bản, hồ sơ, tài liệu lưu trữ, dữ liệu số, cơ sở dữ liệu hoặc dữ liệu được trao đổi trên các hệ thống thông tin phục vụ hoạt động của cơ quan. Trong đó, một bộ phận dữ liệu công vụ có thể đồng thời là dữ liệu cá nhân, dữ liệu dùng riêng, dữ liệu quan trọng hoặc dữ liệu thuộc phạm vi bí mật nhà nước và vì vậy chịu sự điều chỉnh đồng thời của các quy định pháp luật tương ứng.

Do đó, bảo vệ dữ liệu công vụ trong môi trường số phải được tiếp cận theo hướng quản trị tổng thể: bảo đảm tính chính xác, toàn vẹn, xác thực, an toàn, khả năng truy cập và kiểm soát quyền sử dụng dữ liệu; đồng thời bảo đảm các yêu cầu riêng về bảo vệ dữ liệu cá nhân, bảo vệ bí mật nhà nước, an ninh mạng, văn thư, lưu trữ và quyền tiếp cận thông tin. Cách tiếp cận này phù hợp hơn với cấu trúc pháp luật hiện hành so với việc coi “dữ liệu công vụ” là một phạm trù pháp lý biệt lập.

Cần phân biệt dữ liệu công vụ với bí mật nhà nước. Luật Bảo vệ bí mật nhà nước số 117/2025/QH15[9] của Quốc hội; Nghị định số 63/2026/NĐ-CP^[10] của Chính phủ đã quy định chi tiết một số điều và biện pháp thi hành Luật này quy định, không phải mọi thông tin được tạo lập, lưu trữ hoặc xử lý trong cơ quan nhà nước đều là bí mật nhà nước. Việc xác định một thông tin thuộc phạm vi bí mật nhà nước phải căn cứ vào tiêu chí, danh mục và trình tự, thủ tục do pháp luật quy định. Ngược lại, một dữ liệu thuộc bí mật nhà nước có thể đồng thời được sử dụng trong hoạt động công vụ và phải chịu chế độ bảo vệ đặc biệt.

Dữ liệu công vụ cũng có thể chứa dữ liệu cá nhân, chẳng hạn thông tin về cán bộ, công chức, viên chức, người dân hoặc các chủ thể có quan hệ với cơ quan nhà nước. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã tạo khuôn khổ pháp lý mới cho việc bảo vệ dữ liệu cá nhân trong quá trình xử lý dữ liệu. Do đó, việc một dữ liệu được sử dụng cho mục đích công vụ không đồng nghĩa với việc mọi chủ thể trong cơ quan đều có quyền tiếp cận. Quyền truy cập cần gắn với chức năng, nhiệm vụ, thẩm quyền và nhu cầu sử dụng thực tế, đồng thời tuân thủ các yêu cầu về bảo vệ dữ liệu cá nhân.

Mặt khác, bảo vệ dữ liệu công vụ phải được đặt trong quan hệ với quyền tiếp cận thông tin theo Luật Tiếp cận thông tin số 01/2026/QH16^[11]. Mặt khác, bảo vệ dữ liệu công vụ phải được đặt trong quan hệ với quyền tiếp cận thông tin theo Luật Tiếp cận thông tin số 01/2026/QH16.  Điều này đòi hỏi cơ quan nhà nước phải phân định rõ dữ liệu nào phải công khai, dữ liệu nào được cung cấp có điều kiện và dữ liệu nào phải hạn chế hoặc không được tiếp cận. Vì vậy, “bảo mật” không thể được sử dụng như một lý do chung để hạn chế việc tiếp cận mọi dữ liệu của cơ quan nhà nước.

Bảo vệ dữ liệu công vụ cũng gắn chặt với quản trị hồ sơ và lưu trữ. Luật Lưu trữ số 33/2024/QH15[12] và Văn bản hợp nhất số 34/VBHN-VPQH[13] tạo cơ sở pháp lý cho việc quản lý tài liệu và dữ liệu lưu trữ điện tử. Vì vậy, bảo vệ dữ liệu không chỉ nhằm ngăn chặn truy cập trái phép mà còn phải bảo đảm tính xác thực, toàn vẹn, an toàn và khả năng truy cập của dữ liệu trong suốt thời gian cần thiết. Một dữ liệu có giá trị pháp lý, quản lý hoặc lịch sử nếu bị sửa đổi, mất mát hoặc không thể phục hồi cũng đồng nghĩa với việc suy giảm giá trị của chính hồ sơ và tài liệu.

Trong môi trường số, do dữ liệu có thể được sao chép, đồng bộ và chia sẻ trên nhiều hệ thống, yêu cầu bảo vệ càng phải gắn với quản trị toàn bộ vòng đời dữ liệu: từ tạo lập, tiếp nhận, phân loại, xác thực, xử lý, khai thác, chia sẻ, lưu trữ đến chuyển giao hoặc hủy bỏ theo quy định. Luật An ninh mạng số 116/2025/QH15[14] có hiệu lực từ ngày 1/7/2026, là một trong những cơ sở pháp lý quan trọng đối với yêu cầu bảo đảm an ninh, an toàn trong môi trường số.

Như vậy, bảo vệ dữ liệu công vụ cần được tiếp cận theo hướng quản trị tổng thể, dựa trên phân loại dữ liệu và đánh giá rủi ro, thay vì coi tất cả dữ liệu trong cơ quan nhà nước là dữ liệu mật hoặc áp dụng một cơ chế bảo vệ giống nhau. Chuyển đổi số vì thế không chỉ là “số hóa tài liệu”, mà phải chuyển sang “quản trị vòng đời dữ liệu”, trong đó bảo đảm đồng thời tính chính xác, toàn vẹn, xác thực, an toàn, khả năng truy cập và kiểm soát quyền sử dụng. Cách tiếp cận này cho phép hài hòa giữa yêu cầu bảo vệ dữ liệu với yêu cầu kết nối, chia sẻ, khai thác và tiếp cận thông tin, qua đó góp phần xây dựng nền hành chính số an toàn, minh bạch, có trách nhiệm và bền vững.

3. Vấn đề bảo mật dữ liệu, bảo mật cá nhân trong thời đại chuyển đổi số

Sai lầm lớn nhất là coi bảo mật dữ liệu chỉ là việc của bộ phận công nghệ thông tin

Một hệ thống dù được trang bị tường lửa, phần mềm chống mã độc và các giải pháp mã hóa hiện đại vẫn có thể bị xâm nhập nếu người sử dụng thiếu ý thức bảo mật. Rủi ro nhiều khi bắt nguồn từ những hành vi rất thông thường như sử dụng mật khẩu yếu hoặc lặp lại mật khẩu, mở tệp đáng ngờ, nhấp vào đường dẫn giả mạo, dùng thiết bị cá nhân để lưu trữ dữ liệu công vụ, gửi nhầm email, sử dụng dịch vụ lưu trữ không được phép hoặc chia sẻ tài khoản. Những sơ suất tưởng như nhỏ này có thể tạo ra “điểm yếu” cho toàn bộ hệ thống. Vì vậy, bảo mật dữ liệu không thể chỉ được xem là nhiệm vụ của bộ phận công nghệ thông tin, mà phải trở thành trách nhiệm chung của mọi cán bộ, công chức, viên chức và người lao động trong cơ quan.

Nghị quyết số 57-NQ/TW của Bộ Chính trị nhấn mạnh yêu cầu nâng cao nhận thức, trách nhiệm của cấp ủy, tổ chức đảng, cán bộ, đảng viên đối với chuyển đổi số, đồng thời đề cao vai trò, trách nhiệm trực tiếp của người đứng đầu. Đối với bảo mật dữ liệu, đây là yêu cầu có ý nghĩa đặc biệt quan trọng. Nếu người đứng đầu chỉ coi an toàn dữ liệu là vấn đề kỹ thuật, tổ chức khó hình thành được văn hóa bảo mật bền vững. Ngược lại, khi bảo mật được tích hợp vào quản trị, quy trình nghiệp vụ, đánh giá rủi ro và trách nhiệm cá nhân, mỗi cán bộ sẽ nhận thức rõ rằng một thao tác bất cẩn cũng có thể gây ra sự cố cho cả cơ quan. Do đó, cần chuyển từ tư duy “bảo mật bằng công nghệ” sang “bảo mật bằng con người, quy trình và công nghệ”, trong đó ba yếu tố phải được tổ chức đồng bộ và kiểm soát thường xuyên.

Bảo mật phải được thiết kế ngay từ đầu, không phải “vá lỗi” sau khi hệ thống đã vận hành

Tư duy phổ biến trong xây dựng hệ thống số là ưu tiên tốc độ triển khai, sau đó mới bổ sung các giải pháp bảo mật. Cách tiếp cận này tiềm ẩn nhiều rủi ro và có thể làm gia tăng chi phí khắc phục khi sự cố xảy ra. Nghị quyết số 57-NQ/TW của Bộ Chính trị yêu cầu phát triển hạ tầng số theo nguyên tắc “hiện đại, đồng bộ, an ninh, an toàn, hiệu quả, tránh lãng phí”. Chỉ thị số 57-CT/TW[15] của Ban Bí thư cũng nhấn mạnh yêu cầu bảo đảm an ninh mạng, an ninh dữ liệu ngay từ khâu quy hoạch, thiết kế, xây dựng và vận hành hệ thống.

Vì vậy, cần chuyển từ tư duy “security after development” (bảo mật sau giai đoạn phát triển) sang “security by design” (thiết kế có tính đến bảo mật ngay từ đầu), coi bảo mật là một cấu phần ngay từ đầu của mỗi dự án chuyển đổi số. Ngay khi xác định yêu cầu, lựa chọn công nghệ và xây dựng kiến trúc hệ thống, cơ quan cần đánh giá các nguy cơ về bảo mật và quyền riêng tư; xác định loại dữ liệu thu thập, nơi lưu trữ, quyền truy cập, phạm vi chia sẻ, thời gian lưu giữ, phương án sao lưu và phục hồi, cũng như quy trình xử lý sự cố. Một hệ thống số hiệu quả không phải là hệ thống có nhiều chức năng nhất, mà là hệ thống đáp ứng yêu cầu nghiệp vụ đồng thời kiểm soát được rủi ro.

Từ năm 2025, việc vận hành chính quyền địa phương hai cấp đã đặt ra yêu cầu cấp thiết về chuẩn hóa, làm sạch, kết nối và tổ chức lại dữ liệu, đồng thời bảo đảm tính liên tục của các dịch vụ công. Trong bối cảnh hệ thống số ngày càng phức tạp và nguy cơ tấn công mạng gia tăng, bảo vệ dữ liệu phải được thực hiện ngay từ khâu thiết kế, với các giải pháp kiểm soát quyền truy cập, giám sát vòng đời dữ liệu, sao lưu an toàn, diễn tập và bảo đảm khả năng phục hồi khi xảy ra sự cố. Vì vậy, chuyển đổi số khu vực công phải giải quyết đồng thời yêu cầu mở để kết nối, chia sẻ, khai thác dữ liệu và an toàn để bảo vệ, kiểm soát, phục hồi dữ liệu, qua đó tạo nền tảng cho chính quyền số và nền quản trị dựa trên dữ liệu phát triển bền vững[16].

Xây dựng cơ chế quản trị dữ liệu theo nguyên tắc “đúng người - đúng quyền - đúng mục đích”

Một trong những giải pháp căn bản để bảo mật dữ liệu là kiểm soát chặt chẽ quyền truy cập. Không thể mặc định rằng mọi cán bộ trong một cơ quan đều có quyền tiếp cận toàn bộ dữ liệu chỉ vì được cấp tài khoản. Quyền truy cập cần được xác định theo vị trí, chức năng và nhiệm vụ; mỗi người chỉ được tiếp cận những dữ liệu thực sự cần thiết cho công việc. Khi thay đổi vị trí hoặc thôi nhiệm vụ, quyền truy cập phải được điều chỉnh, thu hồi kịp thời. Cùng với đó, cần tăng cường xác thực đa yếu tố, mã hóa dữ liệu, ghi nhật ký truy cập, giám sát bất thường và kiểm tra định kỳ.

Trong môi trường làm việc từ xa, điện toán đám mây, thiết bị di động và các hệ thống liên thông ngày càng phổ biến, ranh giới giữa “bên trong” và “bên ngoài” hệ thống không còn tuyệt đối. Vì vậy, cần áp dụng nguyên tắc “không tin cậy mặc định”, theo đó mọi yêu cầu truy cập đều phải được xác thực dựa trên danh tính, thiết bị, thời điểm, vai trò và ngữ cảnh. Quan trọng hơn, mọi hoạt động truy cập, sao chép hoặc tải xuống dữ liệu quan trọng phải có khả năng truy vết và giải trình. Hệ thống cần xác định được ai thực hiện, vào thời điểm nào, từ thiết bị nào và trong phạm vi quyền hạn nào, qua đó nâng cao khả năng phát hiện, xử lý và quy trách nhiệm khi xảy ra sự cố.

Trí tuệ nhân tạo (AI) mở ra cơ hội mới nhưng đồng thời tạo thêm tầng rủi ro mới

Một vấn đề đáng chú ý trong chuyển đổi số hiện nay là ứng dụng trí tuệ nhân tạo trong cơ quan, tổ chức. AI có khả năng hỗ trợ tổng hợp tài liệu, phân tích dữ liệu, dịch thuật, xử lý văn bản và nâng cao năng suất lao động. Tuy nhiên, việc đưa dữ liệu công vụ, dữ liệu cá nhân hoặc tài liệu chưa công bố vào các hệ thống AI thiếu kiểm soát có thể làm gia tăng nguy cơ rò rỉ thông tin. Vì vậy, hiệu quả ứng dụng AI phải gắn với yêu cầu bảo mật. Các cơ quan, tổ chức cần ban hành quy chế sử dụng AI, xác định rõ loại dữ liệu được phép hoặc không được phép xử lý, công cụ được sử dụng, quyền truy cập và trách nhiệm của người dùng. Đồng thời, cần chú trọng ẩn danh, mã hóa, kiểm soát lưu trữ và kiểm chứng kết quả. Đổi mới công nghệ phải đi đôi với quản trị rủi ro, bảo đảm an toàn và chủ quyền dữ liệu.

Từ bảo vệ bị động sang phòng thủ chủ động

Một điểm đáng chú ý trong định hướng bảo mật dữ liệu hiện nay là chuyển từ tư duy “chờ sự cố rồi xử lý” sang “nhận diện và ngăn chặn rủi ro từ sớm”. Chỉ thị số 57-CT/TW nhấn mạnh yêu cầu chuyển từ “phòng thủ bị động” sang “phòng thủ chủ động”, chủ động nhận diện, xử lý nguy cơ từ sớm, từ xa và bảo đảm an ninh dữ liệu trong toàn bộ vòng đời hệ thống. Vì vậy, cơ quan, tổ chức cần xây dựng cơ chế cảnh báo sớm, thường xuyên đánh giá lỗ hổng, kiểm thử an ninh, diễn tập ứng phó và chuẩn bị phương án khôi phục dữ liệu. Bảo mật cần được triển khai đồng bộ qua bốn lớp: phòng ngừa, phát hiện, ứng phó và phục hồi. Một hệ thống an toàn không phải là hệ thống không bao giờ xảy ra sự cố, mà là hệ thống có khả năng giảm rủi ro, hạn chế thiệt hại và phục hồi nhanh khi sự cố xảy ra.

Hoàn thiện thể chế phải đi cùng nâng cao trách nhiệm giải trình

Nghị quyết số 57-NQ/TW của Bộ Chính trị xác định thể chế là điều kiện tiên quyết, yêu cầu hoàn thiện thể chế phải đi trước một bước. Đối với quản trị và bảo vệ dữ liệu, yêu cầu này càng có ý nghĩa rõ nét. Cần xác định cụ thể chủ thể quản lý, người được quyền xử lý, mục đích sử dụng, phạm vi chia sẻ, thời hạn lưu giữ và trách nhiệm khi xảy ra vi phạm. Luật Dữ liệu số 60/2024/QH15[17], Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP đã tạo cơ sở pháp lý quan trọng cho việc quản trị dữ liệu. Tuy nhiên, pháp luật chỉ tạo khuôn khổ; hiệu quả phụ thuộc vào tổ chức thực hiện, đặc biệt là trách nhiệm giải trình. Cần chuyển từ “tuân thủ trên giấy tờ” sang “quản trị có bằng chứng”, trong đó mỗi cơ quan phải chứng minh được các biện pháp bảo vệ dữ liệu đã được thực hiện đầy đủ và hiệu quả.

Bảo mật dữ liệu phải trở thành một tiêu chí của chuyển đổi số

Một chương trình chuyển đổi số không nên chỉ được đánh giá qua số lượng dịch vụ trực tuyến, hồ sơ được số hóa hay mức độ liên thông dữ liệu. Một hệ thống càng số hóa sâu nhưng thiếu an toàn càng có thể tạo ra rủi ro lớn. Vì vậy, cần bổ sung các tiêu chí về mức độ an toàn của hệ thống; khả năng phát hiện, xử lý và phục hồi sau sự cố; tỷ lệ hệ thống được kiểm tra, đánh giá an ninh; mức độ phân loại và phân quyền dữ liệu; năng lực sao lưu, phục hồi; số lượng sự cố và thời gian khắc phục; mức độ đào tạo kỹ năng bảo mật cho cán bộ. Bảo mật phải trở thành một tiêu chí đánh giá chất lượng hoạt động của cơ quan, đơn vị, không chỉ là nhiệm vụ của bộ phận công nghệ thông tin. Chỉ thị số 57-CT/TW nhấn mạnh trách nhiệm trực tiếp, toàn diện của người đứng đầu về an ninh mạng, an ninh dữ liệu và bảo vệ bí mật nhà nước. Đây là yêu cầu cần được cụ thể hóa trong đánh giá tổ chức và cán bộ.

Hình thành “văn hóa dữ liệu” trong cơ quan nhà nước

Công nghệ có thể thay đổi nhanh chóng, nhưng thói quen của con người thường thay đổi chậm hơn. Vì vậy, yêu cầu cốt lõi của bảo mật dữ liệu không chỉ nằm ở việc xây dựng hệ thống kỹ thuật, mà còn ở việc hình thành văn hóa dữ liệu trong mỗi cơ quan, tổ chức. Văn hóa đó bắt đầu từ những nguyên tắc cụ thể: không chia sẻ tài khoản, không sử dụng mật khẩu công vụ cho tài khoản cá nhân, không tự ý đưa dữ liệu công vụ lên nền tảng bên ngoài, không gửi tài liệu nhạy cảm qua kênh không được phép, không cài đặt phần mềm không rõ nguồn gốc và không sử dụng dữ liệu cá nhân ngoài mục đích công vụ. Đồng thời, cần xây dựng môi trường khuyến khích cán bộ chủ động phát hiện, báo cáo nguy cơ và sự cố bảo mật. Một văn hóa bảo mật hiệu quả không dựa trên sự sợ hãi, mà phải được xây dựng trên nền tảng trách nhiệm, chủ động, kỷ luật và minh bạch.

4. Một số giải pháp trọng tâm thực hiện trong các cơ quan, đơn vị

Từ tinh thần Nghị quyết số 57-NQ/TW của Bộ Chính trị và yêu cầu của pháp luật hiện hành, bảo mật dữ liệu cần được triển khai đồng bộ trên cả phương diện quản trị, con người và công nghệ, thay vì chỉ tập trung vào các giải pháp kỹ thuật. Trước hết, mỗi cơ quan, tổ chức cần xây dựng chiến lược quản trị dữ liệu gắn với chiến lược chuyển đổi số, trong đó xác định rõ dữ liệu đang có, dữ liệu quan trọng, dữ liệu nhạy cảm, nhu cầu liên thông và mục đích khai thác. Trên cơ sở đó, cần phân loại dữ liệu và xác định rõ chủ thể chịu trách nhiệm quản lý, gắn từng loại dữ liệu với quy trình cụ thể về thu thập, truy cập, sử dụng, chia sẻ, lưu trữ và hủy bỏ. Việc quản trị phải tuân thủ nguyên tắc quyền tối thiểu, bảo đảm mỗi cán bộ chỉ được tiếp cận những dữ liệu cần thiết cho nhiệm vụ; quyền truy cập phải được kiểm tra, điều chỉnh hoặc thu hồi kịp thời khi thay đổi vị trí công tác.

Cùng với các giải pháp quản trị, cần tăng cường bảo mật kỹ thuật thông qua mã hóa dữ liệu, xác thực đa yếu tố, phân đoạn mạng, quản lý thiết bị đầu cuối, sao lưu, giám sát nhật ký, phát hiện bất thường và cập nhật bản vá. Mỗi hệ thống phải có phương án ứng phó và phục hồi sự cố, xác định rõ đầu mối chỉ huy, trách nhiệm xử lý kỹ thuật, cơ chế thông báo, đánh giá thiệt hại và khôi phục hoạt động. Đặc biệt, trong bối cảnh AI và các nền tảng số bên ngoài phát triển nhanh, cần kiểm soát chặt việc đưa dữ liệu công vụ, dữ liệu cá nhân và tài liệu chưa công bố vào các công cụ này; đồng thời quy định rõ công cụ được phép sử dụng, phạm vi dữ liệu, yêu cầu ẩn danh, bảo vệ thông tin và trách nhiệm kiểm chứng kết quả. Bên cạnh đó, đào tạo bảo mật phải trở thành hoạt động thường xuyên, gắn với các tình huống thực tế như nhận diện thư giả mạo, xử lý tệp đáng ngờ, bảo vệ tài khoản và báo cáo sự cố. Về lâu dài, cần phát triển năng lực tự chủ về công nghệ, giải pháp và nhân lực an ninh mạng, từng bước giảm sự phụ thuộc, nâng cao khả năng kiểm soát hạ tầng và bảo đảm chủ quyền số. Chỉ khi các giải pháp về thể chế, quản trị, con người và công nghệ được triển khai thống nhất, bảo mật dữ liệu mới trở thành một bộ phận thực chất của quản trị số và là nền tảng bảo đảm chuyển đổi số an toàn, bền vững.

Kết luận

Nghị quyết số 57-NQ/TW của Bộ Chính trị không chỉ xác định định hướng phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số, mà còn đặt ra yêu cầu xây dựng môi trường số an toàn, tin cậy, trong đó dữ liệu phải được quản lý và bảo vệ tương xứng với giá trị của nó. Bảo mật dữ liệu cá nhân và dữ liệu công vụ vì thế không nên được xem là phần việc phát sinh sau khi hệ thống đã được xây dựng, càng không phải là khoản chi phí có thể cắt giảm. Đó là một bộ phận của chính quá trình chuyển đổi số. Số hóa càng sâu, dữ liệu càng tập trung và kết nối rộng thì yêu cầu bảo vệ dữ liệu càng trở nên cấp thiết. Một cơ sở dữ liệu có quy mô lớn nhưng thiếu phân quyền, giám sát và trách nhiệm giải trình có thể trở thành điểm yếu của cả hệ thống. Tương tự, công nghệ hiện đại sẽ không phát huy đầy đủ giá trị nếu người sử dụng thiếu kiến thức và kỷ luật bảo mật.

Vì vậy, cần thay đổi cách tiếp cận, bảo mật phải được tính đến ngay từ khâu thiết kế, được duy trì trong toàn bộ vòng đời dữ liệu và gắn với trách nhiệm cụ thể của từng chủ thể, trước hết là người đứng đầu. Trong bối cảnh hệ thống pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân và an ninh mạng tiếp tục được hoàn thiện, vấn đề quan trọng không chỉ là ban hành quy định mà còn là tổ chức thực hiện, kiểm tra và nâng cao trách nhiệm giải trình. Làm tốt những yêu cầu này sẽ góp phần tạo dựng niềm tin số - yếu tố có ý nghĩa quyết định đối với quá trình chuyển đổi số. Người dân chỉ sẵn sàng cung cấp dữ liệu khi tin rằng dữ liệu được sử dụng đúng mục đích và được bảo vệ; cơ quan, tổ chức chỉ có thể mạnh dạn ứng dụng công nghệ mới khi có cơ chế kiểm soát rủi ro phù hợp. Suy cho cùng, bảo mật dữ liệu không chỉ là bảo vệ thông tin, mà còn là bảo vệ quyền và lợi ích hợp pháp của người dân, năng lực quản trị của Nhà nước, tài sản trí tuệ và lợi ích quốc gia - dân tộc; ở tầm rộng hơn, đó là một thành tố của bảo đảm chủ quyền quốc gia trong không gian số.