Luật An ninh mạng là gì?

Luật An ninh mạng là gì?

Luật An ninh mạng (tên tiếng Anh: Cybersecurity Law) là văn bản pháp luật quan trọng được Quốc hội nước Cộng hòa xã hội chủ nghĩa Việt Nam thông qua ngày 12 tháng 6 năm 2018 (Luật số 24/2018/QH14) và có hiệu lực thi hành từ ngày 01 tháng 01 năm 2019. Đây là cơ sở pháp lý cao nhất trong lĩnh vực bảo vệ an ninh quốc gia trên không gian mạng, quy định toàn diện về nguyên tắc, biện pháp và tổ chức thực hiện các hoạt động bảo vệ an ninh mạng, đồng thời là công cụ pháp lý để bảo vệ chủ quyền, lợi ích và trật tự an toàn xã hội trong môi trường số. Luật ra đời trong bối cảnh các cuộc tấn công mạng ngày càng tinh vi, các hoạt động lợi dụng không gian mạng để xâm phạm an ninh quốc gia gia tăng đáng kể, đặt ra yêu cầu cấp thiết phải có một khung pháp lý chuyên biệt.

Luật An ninh mạng gồm 7 chương với 43 điều, bao quát nhiều nội dung cốt lõi như: các hành vi bị nghiêm cấm trên không gian mạng (Điều 8-17), hệ thống giám sát an ninh mạng xã hội, tiêu chuẩn kỹ thuật cho hệ thống thông tin quan trọng về an ninh quốc gia, các biện pháp phòng ngừa, ứng phó và khắc phục sự cố an ninh mạng, cũng như trách nhiệm của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an. Bên cạnh đó, Luật còn quy định rõ quyền hạn và nghĩa vụ của các doanh nghiệp viễn thông, công nghệ thông tin, các tổ chức cung cấp dịch vụ trên không gian mạng trong việc phối hợp với cơ quan chức năng.

Trong bối cảnh ngành ngân hàng Việt Nam đang trên đà chuyển đổi số mạnh mẽ với hơn 95% giao dịch được thực hiện trên kênh số, Luật An ninh mạng có ý nghĩa đặc biệt quan trọng. Các tổ chức tín dụng (TCTD) phải tuân thủ nghiêm ngặt các quy định về bảo vệ dữ liệu khách hàng, đặt máy chủ tại Việt Nam, phối hợp xử lý sự cố an ninh mạng và thực hiện nghĩa vụ lưu trữ dữ liệu theo quy định tại Điều 17 và Điều 26 của Luật. Điều này đòi hỏi mỗi ngân hàng phải xây dựng hệ thống kiểm soát nội bộ chặt chẽ, đầu tư hạ tầng kỹ thuật đạt chuẩn và thường xuyên rà soát, cập nhật các biện pháp bảo mật.

Thuật ngữ tiếng Anh: Cybersecurity Law Lĩnh vực: Thuế & Pháp luật

Đặc điểm và phân loại

Cấu trúc tổng thể của Luật An ninh mạng

Các nhóm hành vi bị nghiêm cấm chính

• Hành vi chống Nhà nước: Tổ chức, chỉ đạo, cưỡng ép, mua chuộc, lừa gạt, xúi giục người khác thực hiện hoạt động xâm phạm an ninh quốc gia; phát tán thông tin có nội dung tuyên truyền chống phá Nhà nước.
• Hành vi gây rối trật tự: Đăng tải thông tin sai sự thật gây hoang mang dư luận, kích động bạo lực, gây rối trật tự công cộng.
• Hành vi xâm phạm an ninh, trật tự: Tấn công mạng, phá hoại hệ thống thông tin, đánh cắp dữ liệu, lừa đảo trực tuyến.
• Hành vi vi phạm quyền, lợi ích: Thu thập, sử dụng, phát tán trái phép thông tin cá nhân; quấy rối, đe dọa trên không gian mạng.

Đặc điểm nhận biết so với các văn bản pháp luật khác

Ví dụ thực tế trong ngành ngân hàng

Ví dụ 1: Sự cố tấn công mạng vào hệ thống ngân hàng điện tử

Vào năm 2023, Ngân hàng A - một trong những ngân hàng thương mại cổ phần lớn tại Việt Nam - đối mặt với sự cố tấn công DDoS (Distributed Denial-of-Service) vào hệ thống ngân hàng điện tử, khiến hơn 2 triệu giao dịch bị gián đoạn trong vòng 6 giờ. Ngay khi phát hiện sự cố, Ngân hàng A đã tuân thủ quy trình ứng phó sự cố an ninh mạng theo Điều 26, 27 Luật An ninh mạng, cụ thể: (1) kích hoạt hệ thống dự phòng (DR site - Disaster Recovery Site) trong vòng 30 phút; (2) thông báo khẩn cấp đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05 - Bộ Công an), Ngân hàng Nhà nước và khách hàng; (3) phối hợp với các đơn vị chức năng truy vết nguồn tấn công. Tổng chi phí ứng phó và khắc phục sự cố lên tới khoảng 15 tỷ đồng, đồng thời Ngân hàng A phải chịu áp lực lớn về uy tín với tỷ lệ khách hàng rút tiền tăng 12% trong tuần tiếp theo.

Ví dụ 2: Quy định về đặt máy chủ và lưu trữ dữ liệu tại Việt Nam

Ngân hàng B - ngân hàng có vốn đầu tư nước ngoài (100% vốn Singapore) - khi triển khai dịch vụ eKYC (electronic Know Your Customer) đã phải điều chỉnh lại toàn bộ kiến trúc hệ thống để tuân thủ Điều 17 Luật An ninh mạng. Theo đó, mọi dữ liệu sinh trắc học (vân tay, khuôn mặt) và thông tin xác thực danh tính của hơn 5 triệu khách hàng phải được lưu trữ trên máy chủ đặt tại Việt Nam. Ngân hàng đã đầu tư xây dựng hai Data Center tại Hà Nội và TP. HCM với tổng vốn khoảng 800 tỷ đồng, đạt chuẩn Tier III theo tiêu chuẩn quốc tế Uptime Institute, đảm bảo uptime 99,982%. Trước đó, hệ thống xử lý eKYC được đặt tại Singapore, gây ra nhiều lo ngại về chủ quyền dữ liệu và rủi ro giám sát.

Ví dụ 3: Phối hợp phòng chống gian lận và rửa tiền qua không gian mạng

Một ngân hàng quốc doanh (Ngân hàng C) trong quá trình giám sát giao dịch đã phát hiện đường dây money mule (chuyển tiền rửa tiền) hoạt động tinh vi với hơn 200 tài khoản "ngủm" (sleeping accounts) trên hệ thống. Tổng giá trị giao dịch đáng ngờ lên tới 320 tỷ đồng chỉ trong 3 tháng. Ngân hàng C đã kích hoạt quy trình phối hợp liên ngành theo Điều 37 Luật An ninh mạng, cung cấp dữ liệu giám sát cho A05 - Bộ Công an và Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC). Hệ quả là đường dây bị triệt phá, 18 đối tượng bị khởi tố, đồng thời Ngân hàng C thiết lập hệ thống AI Fraud Detection với ngân sách 45 tỷ đồng, giúp giảm 67% số vụ gian lận trong năm tiếp theo.

Ví dụ 4: Nghĩa vụ phối hợp với cơ quan chức năng khi điều tra

Trong một vụ án điều tra về hoạt động phishing (lừa đảo trực tuyến) với thiệt hại ước tính 50 tỷ đồng, các ngân hàng trong hệ thống đã phối hợp với Cơ quan điều tra cung cấp logs truy cập, lịch sử giao dịch, địa chỉ IP của các tài khoản nghi vấn theo yêu cầu tại Điều 38 Luật An ninh mạng. Thời gian phản hồi trung bình của các ngân hàng dưới 24 giờ, đáp ứng yêu cầu pháp lý và giúp cơ quan chức năng khoanh vùng, bắt giữ các đối tượng trong thời gian ngắn.

Luật An ninh mạng trong các ngôn ngữ khác

Câu hỏi thường gặp

Luật An ninh mạng khác gì Luật An toàn thông tin mạng?

Luật An ninh mạng (2018) tập trung vào bảo vệ an ninh quốc gia, trật tự an toàn xã hội trên không gian mạng, do Bộ Công an là cơ quan chủ trì thực thi. Trong khi đó, Luật An toàn thông tin mạng (2015) điều chỉnh các vấn đề về kỹ thuật, phòng chống sự cố an toàn thông tin, do Bộ Thông tin và Truyền thông chịu trách nhiệm chính. Nói cách khác, An ninh mạng nhìn từ góc độ an ninh - quốc phòng, còn An toàn thông tin mạng nhìn từ góc độ kỹ thuật - công nghệ. Trong ngân hàng, hai luật này bổ trợ cho nhau: An toàn thông tin mạng quy định tiêu chuẩn kỹ thuật (như chuẩn PCI DSS, ISO 27001), còn An ninh mạng quy định nghĩa vụ phối hợp với lực lượng chức năng khi xảy ra sự cố.

Khi nào cần biết về Luật An ninh mạng trong công việc ngân hàng?

Người làm trong ngành ngân hàng cần nắm vững Luật An ninh mạng trong các tình huống sau: (1) Xây dựng hệ thống Core Banking, Internet Banking, Mobile Banking phải đảm bảo máy chủ đặt tại Việt Nam; (2) Khi xảy ra sự cố rò rỉ dữ liệu khách hàng, cần thông báo cho cơ quan chức năng trong vòng 24-48 giờ; (3) Triển khai các dự án chuyển đổi số có sử dụng dịch vụ cloud computing (điện toán đám mây) từ nhà cung cấp nước ngoài cần đánh giá rủi ro theo Luật; (4) Đào tạo nhân viên về nhận diện tấn công social engineering (kỹ thuật xã hội) và phishing. Đặc biệt, đối với ứng viên thi tuyển vào ngân hàng, kiến thức về Luật An ninh mạng là lợi thế cạnh tranh trong các vòng phỏng vấn về compliance (tuân thủ pháp luật) và risk management (quản trị rủi ro).

Luật An ninh mạng ảnh hưởng thế nào đến khách hàng ngân hàng?

Đối với khách hàng, Luật An ninh mạng mang lại nhiều tác động tích cực: (1) Dữ liệu cá nhân, tài khoản, lịch sử giao dịch được bảo vệ chặt chẽ hơn nhờ quy định máy chủ phải đặt tại Việt Nam; (2) Ngân hàng phải xây dựng hệ thống giám sát 24/7, phát hiện sớm các giao dịch bất thường giúp giảm thiểu rủi ro bị lừa đảo; (3) Khi xảy ra sự cố, khách hàng được bảo vệ quyền lợi nhờ cơ chế phối hợp giữa ngân hàng và lực lượng chức năng. Tuy nhiên, một số quy định cũng có thể tạo ra bất tiện như: yêu cầu xác thực sinh trắc học khi chuyển tiền lớn theo Quyết định 2345/QĐ-NHNN (có hiệu lực từ 01/7/2024), yêu cầu cập nhật thông tin sinh trắc học khi mở tài khoản thanh toán mới.

Tổng kết

Luật An ninh mạng năm 2018 là một trong những văn bản pháp luật quan trọng nhất trong lĩnh vực công nghệ thông tin và an ninh quốc gia tại Việt Nam hiện nay. Đối với ngành ngân hàng - vốn sở hữu lượng dữ liệu khách hàng khổng lồ và phụ thuộc ngày càng nhiều vào hạ tầng số - Luật đóng vai trò là "lá chắn pháp lý" giúp các tổ chức tín dụng vận hành an toàn, đồng thời bảo vệ chủ quyền dữ liệu quốc gia. Người học và ôn thi vào ngân hàng cần nắm vững cấu trúc 7 chương 43 điều, các hành vi bị nghiêm cấm, đặc biệt là các quy định liên quan đến đặt máy chủ, lưu trữ dữ liệu tại Việt Nam, nghĩa vụ phối hợp với cơ quan chức năng, cùng mối liên hệ với Luật An toàn thông tin mạng (2015), Luật Bảo vệ dữ liệu cá nhân (2023), Luật các Tổ chức tín dụng (2024) và các Thông tư hướng dẫn của Ngân hàng Nhà nước. Việc hiểu rõ khung pháp lý này không chỉ giúp đạt kết quả cao trong kỳ thi tuyển dụng mà còn là nền tảng cho sự nghiệp lâu dài trong lĩnh vực ngân hàng số đang phát triển mạnh mẽ tại Việt Nam.