Xây dựng khung khổ pháp lý thúc đẩy một môi trường số an toàn, bảo mật có ý nghĩa then chốt

Để đánh giá yếu tố pháp lý trong xếp hạng Chỉ số GCI 2020, báo cáo GCI dựa trên việc các nước ban hành các luật và quy định về an ninh mạng, tội phạm mạng; Quy định bảo vệ dữ liệu và các quy định về bảo vệ hạ tầng trọng yếu. Yếu tố pháp lý cũng được đánh giá dựa trên việc lập kế hoạch cho các can thiệp ứng phó an ninh mạng trong tương lai.

Nói về yếu tố pháp lý trong Chỉ số GCI 2020, bà Doreen Bogdan-Martin, Giám đốc Văn phòng Phát triển Viễn thông ITU (ITU-T) cho biết: Báo cáo GCI năm 2020 cho thấy nhiều quốc gia đã ban hành luật và quy định mới về an ninh mạng, nhằm giải quyết các vấn đề như quyền riêng tư, truy cập trái phép và an toàn trực tuyến. Báo cáo cũng nhấn mạnh sự cần thiết phải thiết lập các chiến lược và cơ chế để xây dựng năng lực, giúp các chính phủ và doanh nghiệp (DN) chuẩn bị tốt hơn và giảm thiểu các rủi ro an ninh mạng ngày càng tăng. Hơn một nửa số quốc gia trên thế giới hiện có nhóm/đội ứng phó sự cố máy tính (CIRT) và gần 2/3 các nước có chiến lược an ninh mạng quốc gia hướng dẫn tổng thể về thực hiện an ninh mạng.

GCI 2020 cho thấy an ninh mạng thực sự là một vấn đề mang tính phát triển và cần phải giải quyết khoảng cách ngày càng gia tăng về năng lực mạng giữa các nước phát triển và đang phát triển bằng cách bồi dưỡng kiến thức, nâng cao kỹ năng và xây dựng năng lực. Chúng ta cần thu hẹp khoảng cách này bằng cách đi sâu vào gốc rễ và xây dựng năng lực về hạ tầng số, kỹ năng số và tài nguyên trong thế giới đang phát triển.

Theo báo cáo GCI 2020, nhiều thách thức hiện nay đã làm suy giảm niềm tin trực tuyến và hạn chế các tiềm năng của xã hội số. Ví dụ, thiệt hại toàn cầu do tội phạm mạng được ước tính từ mức thấp nhất là 1.000 tỷ USD vào năm 2020, lên tới 6.000 tỷ USD vào năm 2021.

“Việc xây dựng các khung khổ pháp lý và quy định để bảo vệ xã hội và thúc đẩy một môi trường số an toàn, bảo mật là then chốt và cần có ngay từ đầu trong bất kỳ nỗ lực đảm bảo an ninh mạng quốc gia nào”, báo cáo nhấn mạnh.

Việt Nam nỗ lực cải thiện khuôn khổ pháp lý an toàn thông tin (ATTT)

Với những nỗ lực hoàn thiện khung pháp lý về ATTT của Việt Nam, trao đổi với PV Tạp chí TT&TT, bà Genie Sugene Gan, Trưởng Bộ phận Đối ngoại và Quan hệ Chính phủ, Kaspersky châu Á - Thái Bình Dương cho biết thứ hạng 25 trên bảng xếp hạng GCI 2020 và điểm tuyệt đối về trụ cột pháp lý minh chứng cho những nỗ lực của Việt Nam trong việc cải thiện khuôn khổ pháp lý trong những năm qua, giúp tăng thứ hạng trong Chỉ số GCI 2020, đặc biệt khi Việt Nam gặp phải rất nhiều cuộc tấn công trong suốt đại dịch Covid-19.

Cũng theo bà Genie Sugene Gan, Việt Nam đã phát triển khung pháp lý về ATTT và bảo mật với nhiều bộ luật quan trọng, đặc biệt là Luật ATTT mạng vào năm 2015, Luật An ninh mạng năm 2018 và nhiều quy định sau đó. Những bộ luật này tạo nền tảng quan trọng cho các hoạt động bảo mật và an ninh thông tin, đưa ra quyền lợi và nghĩa vụ của các tổ chức, công ty và cá nhân trong việc đảm bảo an ninh mạng, các tiêu chuẩn và điều luật về kỹ thuật trên môi trường bảo mật cũng như phát triển tài nguyên nhân lực cho an ninh mạng. Việt Nam cũng đang trong tiến trình thiết lập bộ luật bảo vệ dữ liệu cá nhân việc thông qua xây dựng một nghị định về bảo vệ dữ liệu cá nhân, dự kiến sẽ hoàn thành vào cuối năm nay.

Bên cạnh đó, bà cũng đánh giá cao Việt Nam đã ban hành hàng loạt văn bản quy phạm pháp luật trong lĩnh vực chính phủ điện tử, thương mại điện tử, giao dịch điện tử, hoạt động kinh tế chia sẻ,... tạo cơ sở pháp lý để quản lý, điều chỉnh các khía cạnh và hoạt động của nền kinh tế số, xã hội số, chính phủ số. Theo đó, bà Genie Sugene Gan tin tưởng Việt Nam đang đi đúng hướng trong việc đảm bảo an ninh mạng khi thực hiện chuyển đổi số (CĐS).

Hệ thống pháp lý về ATTT ngày càng hoàn thiện đáp ứng Chiến lược CĐS, phát triển chính phủ số của Việt Nam

Tại Việt Nam, Luật ATTT mạng được ban hành ngày 19/11/2015, có hiệu lực từ 01/7/2016 đã hình thành nên khung pháp lý về ATTT của Việt Nam. Kể từ thời điểm Luật ATTT mạng được ban hành, Bộ TT&TT và các Bộ nghành liên quan đã triển khai xây dựng, trình Chính phủ ban hành các Nghị định quy định chi tiết với mục tiêu hoàn thiện hệ thống pháp luật về ATTT mạng, có thể kể đến: Nghị định 108/2016/NĐ-CP ngày 01/7/2016 quy định chi tiết điều kiện kinh doanh sản phẩm, dịch vụ ATTT mạng; Nghị định 85/2016/NĐ-CP ngày 01/7/2016 về bảo đảm an toàn hệ thống thông tin theo cấp độ; Nghị định 58/2016/NĐ-CP ngày 01/7/2016 quy định chi tiết về kinh doanh sản phẩm, dịch vụ mật mã dân sự và xuất khẩu, nhập khẩu sản phẩm mật mã dân sự; Nghị định 142/2016/NĐ-CP ngày 14/10/2016 về ngăn chặn xung đột thông tin trên mạng…

Cùng với đó, Bộ TT&TT đã phối hợp với các Bộ ngành thực hiện xây dựng và trình Chính phủ ban hành các quy định pháp luật sửa đổi bổ sung trong nhiều lĩnh vực, nhằm hoàn thiện các quy định còn thiếu có liên quan tới pháp luật về ATTT mạng.

Việc triển khai áp dụng các quy định pháp luật về ATTT mạng vào thực tiễn đời sống, kinh tế, xã hội của Việt Nam, theo Cục ATTT, đã được cụ thể hóa thông qua nhiều văn bản hướng dẫn được ban hành: Thông tư 03/2017/TT-BTTTT ngày 24/04/2017 quy định chi tiết và hướng dẫn một số điều của Nghị định 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ; Thông tư 19/2017/TT-BTTTT ngày 12/9/2017 quy định công tác bảo vệ bí mật nhà nước trong ngành TT&TT; Thông tư 20/2017/TT-BTTTT ngày 12/9/2017 quy định về điều phối, ứng cứu sự cố ATTT mạng trên toàn quốc; Thông tư 31/2017/TT-BTTTT ngày 15/11/2017 quy định hoạt động giám sát an toàn hệ thống thông tin; Thông tư 13/2018/TT-BTTTT ngày 15/10/2018 quy định về danh mục sản phẩm ATTT mạng nhập khẩu theo giấy phép và trình tự, thủ tục, hồ sơ cấp Giấy phép nhập khẩu sản phẩm ATTT mạng…

  Trung tâm Giám sát an toàn không gian mạng quốc gia (National Cyber Security Center - NCSC)

Trao đổi với PV Tạp chí TT&TT, đại diện Cục ATTT cũng cho biết: Tại các lĩnh vực chuyên ngành, trên cơ sở thực hiện Luật ATTT mạng, các Bộ ngành cũng đã ban hành các hướng dẫn cụ thể đối với từng chuyên ngành cụ thể. Có thể thấy, hệ thống pháp lý về ATTT của Việt Nam đang ngày càng hoàn thiện và đã hình thành khung pháp lý cơ bản góp phần bảo đảm an toàn không gian mạng quốc gia.

Trong những năm trở lại đây, vấn đề bảo đảm ATTT, dữ liệu cá nhân đang được Chính phủ đặc biệt quan tâm. Thông tin, dữ liệu cá nhân đã trở thành nguồn tài nguyên quan trọng của quốc gia, là đối tượng cần được bảo vệ để đảm bảo chủ quyền quốc gia trong thời đại công nghệ số. Luật ATTT mạng đã có một mục quy định về bảo vệ thông tin cá nhân tại Chương II gồm 5 Điều (từ Điều 16 đến Điều 20).

Chương trình CĐS quốc gia đã được Thủ tướng Chính phủ phê duyệt với tầm nhìn 10 năm sẽ thay đổi toàn diện đất nước. Bộ TT&TT đưa ra 4 vấn đề chính: Thứ nhất, vấn đề làm chủ hạ tầng số; thứ hai, vấn đề làm chủ các nền tảng số; thứ ba, vấn đề làm chủ không gian mạng quốc gia hướng tới phát triển không gian mạng quốc gia an toàn, lành mạnh, nhân văn và rộng khắp; thứ tư, vấn đề làm chủ công nghệ sản xuất “Make in Viet Nam”, hướng tới mục tiêu hình thành các DN công nghệ số Việt Nam có năng lực đi ra toàn cầu.

  Trung tâm ATTT của Tập đoàn VNPT

Đại diện Cục ATTT cho biết: Các quy định pháp luật về ATTT đã tham gia đóng góp trực tiếp trong việc tạo cơ sở pháp lý đối với các hoạt động đảm bảo ATTT cho hệ thống cơ sở hạ tầng, bảo vệ các nền tảng. Đây là cấu trúc cốt lõi của CĐS thành công và bền vững.

Bên cạnh đó, hệ thống pháp luật về ATTT cũng tạo hành lang pháp lý cho việc phát triển thị trường kinh doanh sản phẩm, dịch vụ ATTT mạng. Đây là một lĩnh vực có nhiều tiềm năng, tại thị trường này, các DN Việt Nam đã dần chiếm ưu thế, làm chủ công nghệ sản xuất, phát triển các sản phẩm bảo vệ ATTT cho các nền tảng của Việt Nam.

Với tốc độ phát triển công nghệ nhanh chóng và tính chất phức tạp của việc bảo vệ thông tin, dữ liệu cá nhân như hiện nay, Cục ATTT cũng cho biết Việt Nam cần có những quy định hướng dẫn chi tiết, cụ thể hơn nữa để hoàn thiện hành lang pháp lý với vấn đề này, song song với việc cập nhật, bổ sung các quy định pháp luật về ATTT mạng nói chung.

Một số đề xuất giúp đảm bảo ATTT trong tình hình mới và duy trì thứ hạng GCI

Theo bà Genie Sugene Gan, báo cáo GCI 2020 cũng cho thấy sự cải thiện của các quốc gia khác trong khu vực châu Á và ASEAN, có nghĩa là để duy trì thứ hạng của mình, Việt Nam cần tiếp tục và tăng cường nỗ lực về an ninh mạng.

“Ngoài việc tiếp tục các biện pháp kỹ thuật và pháp lý, tôi nghĩ Việt Nam nên chú trọng hơn đến việc nâng cao nhận thức và năng lực. Cần tiến hành thêm các hoạt động nâng cao nhận thức về bảo mật, tương tự như rà soát và bóc gỡ mã độc mà Việt Nam đã thực hiện năm ngoái và Kaspersky đã đóng góp với tư cách là đối tác tư nhân, để huy động nỗ lực chung của cả chính phủ và khu vực tư nhân trong việc làm sạch không gian mạng và trang bị kiến thức, kỹ năng tự bảo vệ mình trên mạng cho người dân Việt Nam”, bà Genie Sugene Gan cho hay.

Bà Genie Sugene Gan tin rằng bằng cách thực hiện tốt Kế hoạch tổng thể về “Tuyên truyền và phổ biến kiến thức về ATTT giai đoạn 2021-2025”, Việt Nam có thể đạt được mục tiêu nâng cao nhận thức và kỹ năng của xã hội về ATTT. Bên cạnh đó, “Việt Nam cũng cần chú trọng phát triển đội ngũ chuyên gia giỏi để nâng cao năng lực an ninh mạng. Để làm được như vậy, Việt Nam được khuyến nghị tăng cường hợp tác với các nước trong khu vực cũng như tăng cường sự tham gia của mình với cộng đồng an ninh mạng và các công ty tư nhân trong lĩnh vực này”.

Cũng theo vị chuyên gia này, Việt Nam cần chú ý tới các xu hướng an ninh mạng hàng đầu ở Việt Nam và khắp Đông Nam Á là vi phạm dữ liệu, tấn công ransomware và đào tiền mã hóa. “Chúng tôi đã chứng kiến những trường hợp nổi tiếng về sự cố vi phạm dữ liệu và chúng tôi dự đoán nó sẽ tiếp tục xảy ra khi chúng ta thay đổi nhiều khía cạnh của cuộc sống trực tuyến hơn. Tính đến năm 2020, cuộc khảo sát của chúng tôi tiết lộ rằng một vi phạm dữ liệu khiến tập đoàn tiêu tốn 1,09 triệu đô la và một DN nhỏ và vừa (SMB) 101.000 USD, so với lần lượt 1,41 triệu USD và 108.000 USD vào năm 2019. Việc tiếp tục số hóa và làm việc từ xa cũng ảnh hưởng đến cơ sở hạ tầng CNTT của cả khu vực công và khu vực tư nhân, dẫn đến bề mặt tấn công rộng hơn cho tội phạm mạng”, bà Genie Sugene Gan nhấn mạnh.

Về phần mềm tống tiền, bà Genie Sugene Gan cho biết từ năm ngoái, chúng tôi đã báo động về ransomware có mục tiêu hay còn gọi là Ransomware 2.0. Chúng tôi đã chia sẻ rằng các nhóm ransomware này, đặc biệt chú ý đến các công ty lớn, đang hoạt động ở châu Á - Thái Bình Dương, chẳng hạn như REvil và JSWorm.

“Các tập đoàn và DN Việt Nam nên tăng cường khả năng phòng thủ trước cuộc tấn công này, bởi nó gây thiệt hại không chỉ về tài chính mà còn cả danh tiếng. Cuối cùng, Việt Nam đã bắt đầu đón nhận tiền điện tử. Khi giá trị và sự phổ biến của nó vẫn có xu hướng tăng lên, chúng tôi dự đoán tội phạm mạng sẽ cố gắng chiếm lấy và lây nhiễm nhiều thiết bị hơn để khai thác các loại tiền ảo này một cách bất hợp pháp”.