Bảo vệ “thông tin cần được bảo vệ” bằng cách nào?

ĐBQH Huỳnh Thành Đạt (TP Hồ Chí Minh): Qua nghiên cứu cho thấy có 24/75 điều của Dự thảo Luật An toàn thông tin liên quan đến cấp phép, giấy chứng nhận thuộc các lĩnh vực sản xuất, tiêu thụ, sử dụng mật mã dân sự và kinh doanh trong lĩnh vực an toàn thông tin. Như vậy, có khoảng 30% điều luật của Dự thảo Luật này quy định về cấp phép và chứng nhận. Theo tôi, tỷ lệ này không hợp lý, trong đó một số điều có thể nói là khó thực hiện đối với cá nhân và đơn vị xin cấp phép.

ĐBQH Lê Việt Trường (An Giang): Nếu ban hành Luật An toàn thông tin thì phải tính toán mục tiêu ban hành Luật này có nhằm bảo vệ an ninh quốc gia không? Vì tất cả những thông tin liên quan đến yêu cầu bảo vệ an ninh quốc gia đã được chế định trong Luật An ninh quốc gia, Pháp lệnh Bảo vệ bí mật Nhà nước và Luật Cơ yếu.

Nghiên cứu Dự thảo Luật An toàn thông tin, đa số ĐBQH đều khẳng định việc xây dựng và ban hành Luật này mang tính cấp thiết. Dự thảo Luật được chuẩn bị kỹ, bao phủ các yếu tố quan trọng và chi tiết hóa tới mức có thể. Đáng chú ý, Dự thảo Luật đã xác định hành lang pháp lý để Chính phủ có thể kiểm soát tới từng gói tinđược trao đổi thông qua kiểm soát mật mã dân sự. Các đại biểu cũng ghi nhận sự cung cấp thông tin nhanh chóng, chủ động của Bộ Thông tin và Truyền thông, cơ quan được giao chủ trì soạn thảo Dự án Luật, đối với một số nội dung có liên quan ĐBQH quan tâm trong quá trình thảo luận. Trước thực trạng phát tán thông tin cá nhân quá dễ dàng trên mạng gây bức xúc trong dư luận xã hội, Dự thảo Luật đã có các quy định về trách nhiệm của tổ chức, doanh nghiệp trong bảo vệ thông tin cá nhân của người sử dụng.

Dẫu vậy, trong lần trình đầu tiên này, do hoạt động an toàn thông tin có tính chất đa dạng, phức tạp, nên Dự thảo Luật cũng còn những thiếu khuyết cần được tiếp tục nghiên cứu, bổ sung để bảo đảm tính khả thi cũng như hiệu quả của từng điều luật.

Một trong những thiếu khuyết đó bắt nguồn từ phương pháp tiếp cận vấn đề của Dự án Luật. Do đặc trưng của phát triển là cạnh tranh cũng như xu thế toàn cầu hóa, nên thông tin đang trở thành chìa khóa cho mọi toan tính của quốc gia, tổ chức và cá nhân. Những vụ xâm phạm về thông tin trong năm 2014 ở nước ta đã cho thấy rõ xu hướng này. Đó là gần 6.000 trang web bị tấn công chiếm quyền quản trị chỉnh sửa nội dung và hơn 400 trang bị tin tặc nước ngoài chèn các nội dung xuyên tạc trong dịp Quốc khánh 2.9. Hay đợt tấn công từ chối dịch vụ DDOS vào trung tâm dữ liệu của VCCorp khiến nhiều tờ báo mà công ty này vận hành kỹ thuật như Dân trí, Người lao động, VnEconomy... bị tê liệt. Hiện trạng nêu trên cho thấy đã đến lúc cần quy hoạch tổng thể chi tiết, gồm cả chiến lược, cách tiếp cận các quy trình chuẩn mực nguồn lực... về quản trị thông tin.

Quản trị thông tin đúng cách mới bảo đảm an toàn thông tin. Nhưng bảo đảm an toàn thông tin chưa thể giúp quản trị thông tin ổn thỏa và vì thế sẽ lại xảy ra mất an toàn thông tin. Với lập luận như vậy, ĐB Nguyễn Phi Thường (TP Hà Nội) cho rằng, trong nỗ lực tiệm cận với mục tiêu quản trị thông tin, Dự án Luật An toàn thông tin trình QH tại Kỳ họp này tiếp cận theo một góc độ hẹp hơn là: bảo đảm an toàn cho các nội dung thông tin trên internet và trên máy tính. Do vậy, Dự án Luật chưa định nghĩa được chính xác, đầy đủ các dạng thông tin cần phải bảo đảm an toàn, để từ đó xây dựng hệ thống phòng thủ đủ mạnh, bao trùm hết các mắt xích có thể hình thành rủi ro thông tin. Bằng chứng là phần lớn nội dung của Dự án Luật mới là các vấn đề kỹ thuật để hỗ trợ quá trình truyền tải thông tin trên mạng. Nói cách khác, đọc toàn bộ Dự thảo Luật cũng chưa thể hiểu là cuối cùng thì những thông tin cần được bảo vệ sẽ được bảo vệ bằng cách nào? Và tại sao làm như thế thì an toàn?

Đây cũng là băn khoăn chung của nhiều ĐBQH. Đơn cử, một chủ đề đang rất thời sự và được coi là điểm đột phá của Dự án Luật An toàn thông tin là bảo vệ thông tin cá nhân trên mạng. Nội dung này được thể hiện tại 5 điều, từ Điều 28 đến Điều 32 (tại Chương III), tập trung quy định về thông tin cá nhân trên mạng, phục vụ thương mại, kinh doanh, nhưng chưa nêu rõ cách bảo đảm an toàn đối với rủi ro cụ thể nào. Những trường hợp xảy ra khá phổ biến trên thực tế hiện nay như mất an toàn thông tin tài khoản cá nhân khi giao dịch qua mạng, giả mạo hợp đồng điện tử, giả mạo tài khoản thư tín điện tử cá nhân tại giao dịch... sẽ được xử lý, điều chỉnh trong Dự án Luật này ra sao? Theo ĐB Nguyễn Thanh Hải (Hòa Bình), các nội dung về bảo vệ thông tin cá nhân trên mạng trong 5 điều này chưa thực sự đầy đủ cũng như chưa bao quát hết. Cũng cùng quan điểm, ĐB Hoàng Thị Hoa (Bắc Giang) chỉ rõ còn bên thứ ba là doanh nghiệp cung cấp dịch vụ viễn thông, nói cách khác là nhà mạng chịu trách nhiệm gì trước việc phát tán thông tin cá nhân trên mạng?

Tiếp cận Dự án Luật dưới góc độ phải cụ thể hóa được quy định của Hiến pháp về quyền được bảo đảm an toàn đối với thông tin về cá nhân tại Điều 21, ĐB Ma Thị Thúy (Tuyên Quang) nêu rõ, phạm vi thông tin theo Hiến pháp cần được pháp luật bảo đảm an toàn rất rộng và phức tạp. Do vậy, việc chỉ có 5 điều quy định về bảo vệ an toàn thông tin cá nhân một cách chung chung, chưa có sự phân biệt trong thu thập xử lý, sử dụng các thông tin do cá nhân thực hiện khai báo theo yêu cầu của tổ chức cung cấp dịch vụ; hay các thông tin cá nhân do cá nhân chủ động đưa lên mạng như tên tuổi, địa chỉ, số điện thoại, hình ảnh... Đấy là chưa kể khoản 1, Điều 28, Dự thảo Luật quy định cá nhân có trách nhiệm tự bảo vệ thông tin cá nhân nếu quy định như vậy làm sao có thể tất cả cá nhân đều hiểu hết về công nghệ thông tin để tự bảo vệ thông tin cá nhân trên mạng. ĐB Ma Thị Thúy đề nghị cơ quan soạn thảo bổ sung chặt chẽ hơn các quy định về bảo vệ thông tin cá nhân trên mạng, quy định rõ hơn các hành vi bị nghiêm cấm cũng như chế tài xử lý vi phạm để khi ban hành Luật sẽ đi vào cuộc sống, dễ thực hiện và khả thi hơn.

Tiếp cận tổng thể và hệ thống hơn

Dự thảo Luật không nên để trong tổng số 56 điều có tới 11 điều khoản sử dụng cụm từ “theo quy định của pháp luật”, 9 điều khoản giao Chính phủ quy định cụ thể, 5 điều khoản giao cho Bộ Thông tin và Truyền thông quy định hoặc chủ trì phối hợp với các cơ quan khác quy định.

Ban hành luật về an toàn thông tin là nhu cầu cấp thiết của thực tiễn cuộc sống. Tác hại của việc mất an toàn thông tin, trong đó có thông tin cá nhân trên mạng có lẽ không cần phân tích hay dẫn chứng thêm. Hàng ngày, hầu hết các cá nhân đều phải nhận hàng chục tin nhắn rác, thư rác, tin nhắn lừa đảo... Còn ở tầm vĩ mô cũng đặt ra nhiều thách thức về bảo vệ an ninh quốc gia, nguy cơ chiến tranh mạng, tội phạm mạng...

Với Dự án Luật An toàn thông tin, khi được thông qua, sẽ là văn bản pháp quy cao nhất, thống nhất điều chỉnh toàn diện công tác bảo đảm an toàn thông tin trên mạng. Đương nhiên, như ý kiến của các ĐBQH tại phiên thảo luận sáng qua, để các quy định của luật khả thi, tạo cơ sở pháp lý bảo đảm môi trường mạng thật sự an toàn, phục vụ sự nghiệp phát triển kinh tế - xã hội, bảo vệ Tổ quốc, thì Dự thảo Luật cần công phu, cụ thể hơn.

Dự thảo Luật không nên để trong tổng số 56 điều có tới 11 điều khoản sử dụng cụm từ “theo quy định của pháp luật”, 9 điều khoản giao Chính phủ quy định cụ thể, 5 điều khoản giao cho Bộ Thông tin và Truyền thông quy định hoặc chủ trì phối hợp với các cơ quan khác quy định. Và việc có nên đổi thuật ngữ mật mã dân sự trong Dự thảo Luật thành bổ sung khái niệm và quy gọn lại là sản phẩm mật mã sử dụng trong thương mại cần được cân nhắc kỹ, không nên tiếp thu một cách vội vàng - ý kiến của ĐB Lê Việt Trường (An Giang). Đây là một luật rất khó, từ khái niệm cơ bản nhất về thông tin mạng, an ninh thông tin, an ninh mạng... Cho nên, phải xử lý được 2 cặp quan hệ rất quan trọng: một là giữa an ninh thông tin và vấn đề phát triển; hai là giữa an ninh thông tin và quyền con người, quyền tự do cá nhân trong bối cảnh công nghệ thông tin phát triển rất nhanh, phức tạp... - ĐB Hà Huy Thông (Thừa Thiên Huế) lưu ý. Hay, phạm vi điều chỉnh của Dự án Luật nên là an toàn thông tin, hay phải là an toàn và an ninh thông tin?... Điều quan trọng nhất là Dự án Luật An toàn thông tin cần phương pháp tiếp cận tổng thể và hệ thống hơn - ĐB Nguyễn Phi Thường khẳng định - cơ quan soạn thảo cần giải được bài toán làm cách nào để quản trị thông tin và xây dựng đầy đủ các module quản lý như đã nêu ở trên. Như vậy, hình thức có thể phải là một bộ luật về quản trị thông tin, thay vì luật về an toàn thông tin. Và cách làm là xác định được thông tin cần quản lý và bảo đảm an toàn thông tin của cá nhân, tổ chức, quốc gia cũng như các rủi ro làm mất an toàn thông tin, nguyên nhân và các cấp độ an toàn thông tin để xây dựng giải pháp xử lý tương ứng bằng các công nghệ kỹ thuật hoặc ứng xử hành chính...

Xin chưa đề cập đến tính hợp lý của đề nghị nên ban hành bộ luật về quản trị thông tin hay luật về an toàn thông tin. Nhưng rõ ràng, dù là hình thức nào, bộ luật hay luật thì yêu cầu trước tiên là các điều luật phải bảo đảm tính khả thi, đáp ứng được đòi hỏi của một lĩnh vực đang xếp hàng chờ luật. Đó là phải bảo đảm được an toàn, an ninh thông tin, bảo vệ quyền và lợi ích hợp pháp của tổ chức, cá nhân tham gia hoạt động an toàn thông tin, đáp ứng yêu cầu phát triển kinh tế - xã hội, quốc phòng - an ninh quốc gia.

Người đại biểu nhân dân