Toàn cảnh buổi làm việc.

Yêu cầu cấp bách cần phải hoàn thiện pháp luật trong lĩnh vực an ninh mạng

Báo cáo về sự cần thiết xây dựng dự án Luật An ninh mạng, đại diện Bộ Công an cho biết, thực tiễn Việt Nam cho thấy, công tác bảo vệ an ninh mạng thời gian qua đang phải đối mặt với nhiều nguy cơ, thách thức mới, ngày càng đan xen, phức tạp, chi phối trực tiếp đến an ninh quốc gia, trật tự an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân, tác động trực tiếp tới cả hoạt động bảo đảm an ninh mạng và bảo đảm an toàn thông tin mạng như:

Thứ nhất, hoạt động tấn công mạng, gián điệp mạng và lộ bí mật nhà nước tại Việt Nam diễn ra ngày càng phức tạp, ảnh hưởng nghiêm trọng đến an ninh quốc gia. Tin tặc sử dụng nhiều thủ đoạn tinh vi, không ngừng nâng cấp, cải tiến các dòng mã độc để tiến hành các chiến dịch tấn công mạng nhằm vào các cơ quan, tổ chức, doanh nghiệp của Việt Nam. Mục tiêu chủ yếu nhằm vào hệ thống mạng thông tin của các cơ quan Trung ương và các tập đoàn, doanh nghiệp quan trọng. Mục tiêu tấn công không chỉ nhằm thu thập thông tin tình báo, bí mật nhà nước, đặc biệt là các chủ trương, chính sách đối ngoại, an ninh, quốc phòng của Việt Nam mà còn chuẩn bị sẵn để tiến hành các hành động tình báo, phát động các cuộc tấn công phá hoại khi cần thiết. Hàng năm, Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) phát hiện trên 2.600 trang/cổng Thông tin điện tử của Việt Nam (có tên miền “.vn”) bị tin tặc tấn công, thay đổi giao diện hoặc chèn tập tin; hàng chục vụ lộ tài liệu bí mật nhà nước với hàng trăm đầu tài liệu; hàng trăm Terabyte dữ liệu của các bộ, ban, ngành, địa phương bị tin tặc chiếm đoạt, trong đó có nhiều tài liệu bí mật nhà nước. Một số cơ quan, đơn vị mặc dù đã được kiểm tra, cảnh báo về các nguy cơ gây mất an ninh mạng, lộ mất bí mật nhà nước, nhưng vấn đề xảy ra tình trạng tiếp diễn.

Thứ hai, việc kiểm soát, quản trị và bảo vệ dữ liệu chưa tương xứng với giá trị và mức độ khai thác, sử dụng dữ liệu trong nền kinh tế số, xã hội số. Dữ liệu cá nhân đang được khai thác, sử dụng, tạo ra giá trị thặng dư một cách tự do, thiếu nguyên tắc và sự quản lý, dẫn tới thực trạng lộ, lọt, mua bán, xâm phạm dữ liệu cá nhân diễn ra phổ biến, ngày càng nghiêm trọng, kéo theo gia tăng các loại tội phạm mạng, tội phạm lừa đảo chiếm đoạt tài sản.

Thứ ba, hoạt động phá hoại tư tưởng, chống đối trong nước nhằm từng bước chuyển hóa chế độ chính trị ở nước ta diễn ra mạnh mẽ. Hàng năm, A05 rà soát, phát hiện hơn 7.500 nguồn khởi phát thông tin xấu độc, thu hút hơn 83 triệu lượt tiếp cận, tương tác thông tin, tập trung công kích, chống phá. Các hội nhóm “trái chiều”, bảo hiểm, bất động sản bị các tổ chức phản động lưu vong kích động, đã tổ chức tập trung đông người “đòi quyền lợi” và hoạt động chống phá nhân các sự kiện, ngày lễ lớn của đất nước.

Đại diện Bộ Công an phát biểu tại buổi làm việc.

Thứ tư, hoạt động sử dụng công nghệ cao để thực hiện hành vi phạm tội, xâm phạm trật tự, an toàn xã hội diễn ra ngày càng phức tạp, gây bức xúc trong xã hội, gây thiệt hại lớn về tài sản cho người dân, nhất là hoạt động lừa đảo, chiếm đoạt tài sản, đánh bạc và tổ chức đánh bạc, truyền bá văn hóa phẩm đồi trụy, mua bán vũ khí, vật liệu nổ, ma túy, bằng cấp giả. Đặc biệt, các nhóm tội phạm người nước ngoài có xu hướng dịch chuyển sang địa bàn Việt Nam để thực hiện hành vi phạm tội với nhiều thủ đoạn hoạt động mới tinh vi hơn, tập trung ở các tỉnh, thành phố lớn, khu du lịch, vùng ven biển có vị trí chiến lược, thiết yếu về an ninh quốc phòng như Thành phố Hồ Chí Minh, Hải Phòng, Quảng Ninh, Nha Trang, Đà Nẵng... Một số đối tượng người Trung Quốc còn móc nối, cấu kết với đối tượng người Việt Nam để lừa đảo, lôi kéo người Việt Nam sang Campuchia phạm tội sử dụng công nghệ cao, dưới hình thức giới thiệu “việc nhẹ, lương cao”.

Thực tế, trong 06 tháng đầu năm 2025, A05 phát hiện 25 vụ việc liên quan hệ thống thông tin của một số cơ quan, đơn vị tồn tại điểm yếu, lỗ hổng bảo mật nghiêm trọng, xảy ra tình trạng lây nhiễm mã độc; lộ mất tài khoản quản trị, tài khoản người dùng; 56 vụ việc liên quan hoạt động quảng cáo, rao bán thông tin, dữ liệu cá nhân trên các diễn đàn hội nhóm, trang mạng tin tặc với gần 110 triệu bản ghi. Triển khai Đề án 06 của Chính phủ, A05 tiến hành kiểm tra, đánh giá an ninh mạng hệ thống tin tại 07 ban, bộ, ngành, địa phương kết nối Cơ sở dữ liệu quốc gia về dân cư và hệ thống định danh xác thực điện tử VNeID, phát hiện 1.315 lỗ hổng bảo mật mức độ nghiêm trọng, 4.095 lỗ hổng bảo mật mức độ cao tại các máy chủ hệ thống. Một trong những nguyên nhân dẫn đến thực trạng trên là do sự bất cập, thiếu đồng bộ trong hệ thống chính sách, pháp luật về lĩnh vực an ninh mạng.

Bối cảnh và tình hình trên đã đặt ra yêu cầu cấp bách là tiếp tục nhanh chóng hoàn thiện thể chế, chính sách pháp luật làm nền tảng vững chắc để thực hiện công tác quản lý nhà nước trên lĩnh vực an ninh mạng, đấu tranh phòng, chống tội phạm mạng, tội phạm sử dụng công nghệ cao, tội phạm xâm phạm dữ liệu cá nhân. Đặc biệt, theo tinh thần Nghị quyết số 18-NQ/TW ngày 25/10/2017 của Hội nghị lần thứ sáu Ban Chấp hành Trung ương Đảng khóa XII về một số vấn đề tiếp tục đổi mới, sắp xếp tổ chức bộ máy của hệ thống chính trị tinh gọn, hoạt động hiệu lực, hiệu quả và thực hiện Đề án tiếp nhận chức năng, nhiệm vụ bảo đảm an toàn thông tin mạng từ Bộ Thông tin và Truyền thông về Bộ Công an, công tác rà soát, đồng bộ hệ thống chính sách pháp luật trong lĩnh vực an ninh mạng, an toàn thông tin mạng là hết sức cần thiết để ổn định hoạt động của bộ máy bảo đảm thông suốt, không gián đoạn, góp phần bảo vệ an ninh mạng hiệu quả, toàn diện, thống nhất. Vì vậy, theo đại diện Bộ Công an, việc hợp nhất Luật An ninh mạng năm 2018 và Luật An toàn thông tin mạng năm 2015 (sửa đổi, bổ sung năm 2018) thành Luật An ninh mạng năm 2025 là hoàn toàn chính xác, kịp thời và khả thi. Dự thảo Luật An ninh mạng 2025 gồm 07 chương với 45 điều.

Hoàn thiện Luật An ninh mạng để phòng ngừa tội phạm và bảo vệ người dân

Đại diện Bộ Khoa học và Công nghệ (phải) phát biểu tại buổi làm việc.

Đại diện Bộ Khoa học và Công nghệ nêu ra ba vấn đề chính đề nghị cơ quan chủ trì soạn thảo cần cân nhắc tiếp thu gồm: (i) Phạm vi áp dụng của dự thảo Luật, đặc biệt là với các nền tảng xuyên biên giới như các nền tảng thương mại điện tử Shopee, Lazada… dù máy chủ đặt ở nước ngoài nhưng lại có tác động lớn đến người dùng Việt Nam. Hiện tại, quyền hạn của Việt Nam để xử lý các vấn đề phát sinh từ các nền tảng này vẫn chưa rõ ràng, do đó đại biểu đề nghị cần quy định rõ hơn về thẩm quyền nhằm bảo đảm cơ sở pháp lý vững chắc khi kiểm tra hoặc xử lý vi phạm; (ii) Liên quan đến bảo vệ dữ liệu, đại biểu đề xuất cần quy định bắt buộc việc sao lưu dữ liệu, đặc biệt là đối với các dữ liệu quốc gia và dân cư vì việc có dữ liệu dự phòng sẽ bảo đảm hoạt động liên tục ngay cả khi hệ thống chính bị tấn công hoặc sự cố; (iii) Đối với các đối tượng cần được bảo vệ trên không gian mạng, đại biểu đề nghị mở rộng đối tượng bảo vệ vì ngoài trẻ em, cần xem xét bảo vệ cả những người yếu thế khác như người già và phụ nữ, những người đang bị lừa đảo, đồng thời, đại biểu cũng đặt vấn đề về việc “tạo vắc-xin” cho người dân bằng cách phổ biến pháp luật, giúp họ tự phòng vệ trước những chiêu trò lừa đảo trực tuyến.

Đại diện Cục Pháp chế, Bộ Quốc phòng (trái) phát biểu tại buổi làm việc.

Cũng tại buổi làm việc, đại diện Cục Pháp chế, Bộ Quốc phòng đề nghị bổ sung từ “quốc phòng” vào khoản 2 Điều 4 dự thảo Luật, trước cụm từ “an ninh quốc gia” nhằm tạo cơ sở pháp lý vững chắc hơn cho chính sách bảo vệ Tổ quốc. Về phân loại cấp độ hệ thống thông tin tại Điều 10 dự thảo Luật, đại biểu nhấn mạnh rằng việc xác định thiệt hại đối với quốc phòng và an ninh quốc gia là vô cùng quan trọng. Theo quy định hiện hành, các cấp độ từ 03 đến 05 được xác định dựa trên mức độ “tổn hại” hoặc “tổn hại nghiêm trọng” tới quốc phòng, an ninh quốc gia. Tuy nhiên, đối với hệ thống thông tin quan trọng về an ninh quốc gia, chỉ có cấp độ 5 được xác định cứng hoặc các hệ thống cấp độ 3, 4 gây tổn hại hoặc tổn hại nghiêm trọng. Đại biểu nhận thấy, việc xác định định tính hay định lượng về thiệt hại cần phải căn cứ vào “khách thể được bảo vệ”. Đối với quốc phòng và an ninh quốc gia, khách thể này là vô cùng quan trọng. Do đó, đại biểu kiến nghị, chỉ cần “tổn hại” ở cấp độ 3 cũng phải được xác định là hệ thống thông tin quan trọng về an ninh quốc gia, vì tính chất đặc biệt quan trọng của khách thể bảo vệ là quốc phòng và an ninh.

Về khoản 2 Điều 11 dự thảo Luật, quy định Thủ tướng Chính phủ ban hành và sửa đổi, bổ sung Danh mục hệ thống thông tin quan trọng quốc gia. Đại biểu đề nghị Bộ Quốc phòng và Ban Cơ yếu Chính phủ nên là cơ quan chủ trì, phối hợp với Bộ Công an và các ngành liên quan để lập danh mục và đề nghị Thủ tướng ban hành đối với các lĩnh vực quân sự và cơ yếu nhằm thể hiện tính độc lập, vai trò và thẩm quyền quản lý nhà nước của Bộ Quốc phòng và Ban Cơ yếu Chính phủ trong lĩnh vực chuyên trách của mình.

Ngoài ra, đại biểu cũng bày tỏ băn khoăn về việc sử dụng cụm từ “phương tiện điện tử” khi nói về tội phạm mạng hoặc gián điệp mạng. Đại biểu nhấn mạnh, việc sử dụng, xâm nhập hay kiểm soát các phương tiện điện tử này phải có liên quan đến không gian mạng thì mới được coi là tội phạm mạng hay gián điệp mạng. Vì vậy, đại biểu đề nghị cơ quan chủ trì soạn thảo làm rõ mối liên hệ này trong các quy định của dự thảo Luật.

Đại diện Tập đoàn Công nghiệp - Viễn thông Quân đội Viettel (trái) phát biểu tại buổi làm việc.

Trao đổi tại buổi làm việc, đại diện Tập đoàn Công nghiệp - Viễn thông Quân đội Viettel cho rằng định nghĩa “nhà cung cấp dịch vụ trên không gian mạng” trong dự thảo Luật hiện tại đang quá rộng, cụ thể là doanh nghiệp, tổ chức đang cung cấp các loại sản phẩm dịch vụ khác trên không gian mạng. Điều này có nghĩa là phạm vi điều chỉnh của dự thảo Luật có thể bao gồm từ các doanh nghiệp lớn đến các doanh nghiệp nhỏ, thậm chí cả những hộ kinh doanh cá thể có cung cấp dịch vụ trên mạng đều có thể bị chi phối bởi dự thảo Luật. Việc định nghĩa rộng như vậy sẽ dẫn đến khó khăn trong việc thi hành và làm tăng chi phí tuân thủ cho các doanh nghiệp.

Đối với quy định doanh nghiệp cung cấp dịch vụ trên mạng phải cung cấp thông tin người dùng cho lực lượng chuyên trách của Bộ Công an trong vòng tối đa 24 giờ, và 03 giờ trong trường hợp khẩn cấp, đại biểu cho rằng: (i) Hình thức cung cấp thông tin chấp nhận các hình thức như thư điện tử hay điện thoại từ phía lực lượng chuyên trách, điều này có thể thiếu tính pháp lý hoặc bảo mật; (ii) Định nghĩa “tình trạng khẩn cấp” đang mở và chưa được quy định rõ ràng; (iii) Thời gian đáp ứng rất khó để đáp dụng trên thực tế. Đối với một doanh nghiệp cá thể nhỏ có thể nhanh chóng cung cấp thông tin, nhưng với một tổ chức lớn, lượng thông tin cần cung cấp có thể nằm ở nhiều nơi và việc thu thập trong thời gian cố định như vậy sẽ tăng đáng kể chi phí tuân thủ.

Ngoài ra, đại biểu lo ngại rằng việc tất cả dữ liệu của doanh nghiệp được đưa về tập trung tại một vị trí do lực lượng chuyên trách quản lý có thể biến vị trí đó thành mục tiêu hấp dẫn cho các cuộc tấn công của hacker hoặc tình báo nước ngoài, đặc biệt khi mục đích cuối cùng và loại dữ liệu cụ thể cần tập trung chưa rõ ràng.

Đại diện Bộ Tài chính cho rằng dự thảo Luật cần thống nhất và tập trung giải thích từ ngữ rõ ràng, bảo đảm tường minh, đặc biệt là các khái niệm “an ninh mạng”, “an ninh thông tin”, “an ninh dữ liệu”; bổ sung báo cáo đánh giá tác động đối với ngân sách nhà nước, quy định tiêu chí xác định hệ thống thông tin quan trọng về an ninh quốc gia.

Đồng chí Đặng Hoàng Oanh, Thứ trưởng Bộ Tư pháp phát biểu kết luận buổi làm việc.

Kết luận buổi làm việc, đồng chí Đặng Hoàng Oanh, Thứ trưởng Bộ Tư pháp đánh giá cao Bộ Công an đã chủ động hợp nhất hai Luật An ninh mạng năm 2018 và Luật An toàn thông tin mạng năm 2015 (sửa đổi, bổ sung năm 2018) sau khi tiếp nhận chức năng, nhiệm vụ từ Bộ Thông tin và Truyền thông. Thứ trưởng cho rằng đây là hướng đi phù hợp xu thế và kinh nghiệm quốc tế, đáp ứng tình hình quản lý mới tại Việt Nam trong bối cảnh hiện nay, góp phần nâng cao hiệu quả quản lý, giảm chồng chéo và tăng khả năng ứng phó với thách thức mới. Tuy nhiên, quá trình xây dựng Luật cần bảo đảm tính minh bạch, khoa học, hiệu quả; bên cạnh đó phải rõ nội dung trùng lặp giữa hai Luật, đồng thời xác định rõ phần kế thừa, phần lược bỏ và phần bổ sung mới.

Về nội dung dự thảo Luật, đối với các điều về hành vi bị nghiêm cấm về an ninh mạng và phòng ngừa, xử lý hành vi xâm phạm trên không gian mạng, Thứ trưởng đề nghị Bộ Công an rà soát kỹ lưỡng để tránh trùng lặp và phối hợp với Cục Kiểm tra văn bản và Quản lý xử lý vi phạm hành chính, Bộ Tư pháp để xây dựng dự thảo Nghị định về xử phạt trong lĩnh vực an ninh mạng.

Thứ trưởng cũng đề nghị cơ quan chủ trì soạn thảo tiếp tục hoàn thiện hồ sơ; rà soát kỹ tính khả thi, tham khảo kinh nghiệm quốc tế để bảo đảm phù hợp với điều kiện của Việt Nam và thống nhất, đồng bộ với các luật liên quan; cân nhắc quy định cấp chứng chỉ kiến thức, kỹ năng an ninh mạng cho người đứng đầu cơ quan, tổ chức; bổ sung quy định phân quyền, phân cấp rõ ràng giữa Trung ương và địa phương, xác định thẩm quyền của từng cấp.

Ngoài ra, theo Thứ trưởng, danh mục hệ thống thông tin quan trọng quốc gia, quy định bảo vệ an ninh mạng khi phát triển trí tuệ nhân tạo, việc thành lập trung tâm dữ liệu AI và cấp phép liên quan cần cân nhắc thẩm quyền, tính cần thiết và phù hợp pháp luật hiện hành; điều khoản chuyển tiếp phải rõ ràng, khả thi./.