Tóm tắt sách: Tìm hiểu về Luật An ninh mạng (hiện hành)Nội dung sách được cấu trúc thành 5 phần chính, đi sâu vào từng khía cạnh của Luật An ninh mạng 2018.

Lời Nhà xuất bản

Cuốn sách được xuất bản bởi Nhà xuất bản Chính trị quốc gia Sự thật, nhằm giới thiệu và tạo điều kiện cho việc tìm hiểu, áp dụng Luật An ninh mạng. Bối cảnh ban hành Luật là cuộc cách mạng công nghiệp 4.0 đang diễn ra mạnh mẽ, mang lại nhiều lợi ích nhưng cũng tiềm ẩn nguy cơ lớn đối với an ninh quốc gia và trật tự xã hội trên không gian mạng Việt Nam. Luật An ninh mạng, gồm 7 chương và 43 điều, đã được Quốc hội khóa XIV thông qua ngày 12/6/2018, tạo cơ sở pháp lý quan trọng để bảo vệ chủ quyền, an ninh, trật tự và xây dựng không gian mạng an toàn, lành mạnh.

Phần I: Tổng quan về Luật An ninh mạng năm 2018

I. Sự cần thiết ban hành Luật

Bối cảnh thế giới: Cách mạng công nghiệp 4.0 với sự bùng nổ của khoa học – công nghệ đã biến không gian mạng thành động lực phát triển kinh tế – xã hội, nhưng cũng đặt ra những thách thức, nguy cơ lớn đối với chủ quyền, an ninh quốc gia, trật tự, an toàn xã hội.
Tình hình Việt Nam: Việt Nam có tốc độ phát triển công nghệ thông tin nhanh nhất thế giới nhưng luôn nằm trong nhóm các quốc gia có chỉ số an ninh mạng thấp nhất. Không gian mạng nước ta xuất hiện nhiều nguy cơ, thách thức lớn như:
- Tiềm lực quốc gia về an ninh mạng chưa đủ mạnh (hệ thống pháp luật chưa hoàn thiện, hạ tầng kỹ thuật yếu, nhân lực hạn chế, hợp tác quốc tế chưa sâu).
- Các thế lực thù địch lợi dụng không gian mạng để chống phá chế độ, kích động biểu tình, bạo loạn, “cách mạng màu”, đăng tải tin giả, tin xấu độc.
- Nhiều cuộc tấn công mạng quy mô lớn, cường độ cao nhằm vào các hệ thống thông tin trọng yếu của Đảng, Nhà nước, doanh nghiệp.
- Tình trạng lộ, lọt bí mật nhà nước qua không gian mạng đáng lo ngại do nhận thức và ý thức bảo mật còn hạn chế.
- Tội phạm mạng và các hành vi vi phạm pháp luật trên không gian mạng gia tăng (lừa đảo, cờ bạc trực tuyến).
Yêu cầu cấp thiết: Bảo đảm Hiến pháp 2013 và bảo vệ Tổ quốc, Luật An ninh mạng là cơ sở pháp lý quan trọng để phòng ngừa, đấu tranh, xử lý vi phạm, bảo vệ quyền và lợi ích hợp pháp của tổ chức, cá nhân, nâng cao năng lực bảo vệ hệ thống thông tin quan trọng.

II. Mục tiêu, Quan điểm khi xây dựng Luật

1. Về mục tiêu: Hoàn thiện cơ sở pháp lý ổn định về an ninh mạng; phát huy nguồn lực quốc gia; bảo vệ chủ quyền, lợi ích, an ninh quốc gia, quyền và lợi ích hợp pháp của tổ chức, cá nhân; triển khai công tác an ninh mạng trên phạm vi toàn quốc; nâng cao năng lực tự chủ về an ninh mạng; mở rộng hợp tác quốc tế.
2. Về quan điểm chỉ đạo: Thể chế hóa đầy đủ chủ trương của Đảng, Nhà nước; bảo đảm phù hợp với Hiến pháp 2013; đồng bộ, thống nhất với hệ thống pháp luật; kế thừa các quy định hiện hành còn phù hợp; tham khảo có chọn lọc kinh nghiệm quốc tế.

III. Quá trình xây dựng Luật

Quá trình xây dựng Luật An ninh mạng bắt đầu từ tháng 01/2016 (Bộ Công an đề xuất) và được Quốc hội thông qua ngày 12/6/2018. Quá trình này diễn ra công phu, kỹ lưỡng, bao gồm rà soát, tổng kết, đánh giá các văn bản pháp luật hiện hành, nghiên cứu khoa học, tham khảo kinh nghiệm quốc tế (Hoa Kỳ, Đức, Anh, Nhật Bản, Trung Quốc…). Dự án Luật đã được lấy ý kiến rộng rãi từ các bộ, ngành, địa phương, doanh nghiệp (kể cả Facebook, Google) và toàn xã hội. Mặc dù có nhiều ý kiến phản biện và lo ngại từ một số doanh nghiệp nước ngoài và một bộ phận người dân do thông tin sai lệch, Đảng và Nhà nước vẫn kiên định với quan điểm vừa bảo đảm quản lý nhà nước vừa không cản trở phát triển kinh tế - xã hội, bảo vệ quyền lợi của nhân dân.

IV. Bố cục của Luật

Luật An ninh mạng năm 2018 gồm 7 chương, 43 điều, quy định về hoạt động bảo vệ an ninh mạng và trách nhiệm của các cơ quan, tổ chức, cá nhân:

Chương I: Những quy định chung (Điều 1-9) quy định về phạm vi điều chỉnh, giải thích từ ngữ, chính sách, nguyên tắc, biện pháp bảo vệ an ninh mạng, hợp tác quốc tế, các hành vi bị nghiêm cấm và xử lý vi phạm.
Chương II: Bảo vệ an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia (Điều 10-15) quy định về các hệ thống này, thẩm định, đánh giá điều kiện, kiểm tra, giám sát, ứng phó và khắc phục sự cố an ninh mạng.
Chương III: Phòng ngừa, xử lý hành vi xâm phạm an ninh mạng (Điều 16-22) quy định về phòng ngừa, xử lý thông tin xấu độc, gián điệp mạng, bảo vệ bí mật nhà nước, chống hành vi sử dụng không gian mạng vi phạm pháp luật, tấn công mạng, khủng bố mạng, tình huống nguy hiểm và đấu tranh bảo vệ an ninh mạng.
Chương IV: Hoạt động bảo vệ an ninh mạng (Điều 23-29) quy định việc triển khai trong cơ quan nhà nước, tổ chức chính trị, kiểm tra hệ thống thông tin không quan trọng, bảo vệ hạ tầng không gian mạng quốc gia, cổng kết nối quốc tế, đảm bảo an ninh thông tin, nghiên cứu phát triển, nâng cao tự chủ và bảo vệ trẻ em trên không gian mạng.
Chương V: Bảo đảm hoạt động bảo vệ an ninh mạng (Điều 30-35) quy định về lực lượng, nguồn nhân lực, tuyển chọn, đào tạo, giáo dục, phổ biến kiến thức và kinh phí bảo vệ an ninh mạng.
Chương VI: Trách nhiệm của cơ quan, tổ chức, cá nhân (Điều 36-42) quy định trách nhiệm của Bộ Công an, Bộ Quốc phòng, Bộ Thông tin và Truyền thông, Ban Cơ yếu Chính phủ, các bộ, ngành, UBND cấp tỉnh, doanh nghiệp cung cấp dịch vụ và người sử dụng không gian mạng.
Chương VII: Điều khoản thi hành (Điều 43) quy định hiệu lực thi hành từ ngày 01/01/2019 và các điều khoản chuyển tiếp.

Phần II: Những nội dung cơ bản của Luật An ninh mạng năm 2018

I. Những quy định chung

1. Phạm vi điều chỉnh: Luật quy định về hoạt động bảo vệ an ninh quốc gia và bảo đảm trật tự, an toàn xã hội trên không gian mạng; trách nhiệm của các cơ quan, tổ chức, cá nhân liên quan.
2. Giải thích từ ngữ: Luật lần đầu tiên định nghĩa 14 thuật ngữ quan trọng như “An ninh mạng”, “Không gian mạng”, “Hệ thống thông tin quan trọng về an ninh quốc gia”, “Tấn công mạng”, “Tội phạm mạng”, “Khủng bố mạng”, “Gián điệp mạng”, “Tài khoản số”, v.v.
3. Chính sách của Nhà nước về an ninh mạng: Ưu tiên bảo vệ an ninh mạng trong quốc phòng, an ninh, kinh tế-xã hội; xây dựng không gian mạng lành mạnh; ưu tiên nguồn lực cho lực lượng chuyên trách và nghiên cứu phát triển; khuyến khích tổ chức, cá nhân tham gia; tăng cường hợp tác quốc tế.
4. Nguyên tắc bảo vệ an ninh mạng: Tuân thủ Hiến pháp và pháp luật, đặt dưới sự lãnh đạo của Đảng và quản lý thống nhất của Nhà nước; kết hợp chặt chẽ với phát triển kinh tế-xã hội, bảo đảm quyền con người; chủ động phòng ngừa, đấu tranh; triển khai hoạt động bảo vệ đối với hạ tầng không gian mạng quốc gia; thẩm định, chứng nhận hệ thống thông tin quan trọng; xử lý kịp thời, nghiêm minh mọi hành vi vi phạm.
5. Biện pháp bảo vệ an ninh mạng: Bao gồm 12 biện pháp cụ thể như thẩm định, đánh giá điều kiện, kiểm tra, giám sát an ninh mạng; ứng phó, khắc phục sự cố; đấu tranh, bảo vệ; sử dụng mật mã; ngăn chặn, yêu cầu tạm ngừng/ngừng cung cấp thông tin/dịch vụ; xóa bỏ thông tin trái pháp luật; phong tỏa, hạn chế hoạt động hệ thống thông tin; khởi tố, điều tra, truy tố, xét xử; và các biện pháp khác theo quy định pháp luật.
6. Hợp tác quốc tế về an ninh mạng: Thực hiện trên cơ sở tôn trọng độc lập, chủ quyền, bình đẳng, cùng có lợi, không can thiệp vào công việc nội bộ. Bộ Công an chủ trì, phối hợp với Bộ Quốc phòng và Bộ Ngoại giao để thực hiện các hoạt động hợp tác quốc tế.
7. Các hành vi bị nghiêm cấm về an ninh mạng: Điều 8 liệt kê cụ thể các hành vi bị cấm, chủ yếu là các hành vi đã được quy định là vi phạm pháp luật trong Bộ luật Hình sự và các văn bản khác. Các hành vi này bao gồm tuyên truyền chống Nhà nước, kích động bạo loạn, xuyên tạc lịch sử, phát tán thông tin sai sự thật, hoạt động mại dâm, tội phạm mạng, tấn công mạng, gián điệp mạng, khủng bố mạng, cản trở lực lượng an ninh mạng, lạm dụng hoạt động an ninh mạng để trục lợi. Luật khẳng định không cấm Facebook, Google hay quyền tự do ngôn luận, quyền sử dụng dịch vụ mạng xã hội của công dân.
8. Xử lý vi phạm pháp luật về an ninh mạng: Cá nhân, tổ chức vi phạm sẽ bị xử lý kỷ luật, hành chính hoặc hình sự, và phải bồi thường thiệt hại theo quy định.

II. Bảo vệ an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia

1. Hệ thống thông tin quan trọng về an ninh quốc gia (Điều 10): Là các hệ thống thông tin mà khi bị sự cố, xâm nhập, phá hoại sẽ xâm phạm nghiêm trọng an ninh mạng. Được xác định trong các lĩnh vực quân sự, an ninh, ngoại giao, cơ yếu, bí mật nhà nước, cơ sở vật chất quan trọng, năng lượng, tài chính, ngân hàng, viễn thông, giao thông vận tải, y tế, báo chí, v.v. Thủ tướng Chính phủ sẽ ban hành Danh mục cụ thể.
2. Thẩm định an ninh mạng (Điều 11): Là hoạt động xem xét, đánh giá về an ninh mạng trước khi xây dựng hoặc nâng cấp hệ thống thông tin quan trọng. Lực lượng chuyên trách (Bộ Công an, Bộ Quốc phòng, Ban Cơ yếu Chính phủ) có thẩm quyền thực hiện.
3. Đánh giá điều kiện an ninh mạng (Điều 12): Là hoạt động xem xét sự đáp ứng về an ninh mạng của hệ thống trước khi đưa vào vận hành, sử dụng. Bao gồm quy định, quy trình bảo đảm an ninh mạng, nhân sự, trang thiết bị, biện pháp kỹ thuật, an ninh vật lý. Hệ thống phải được chứng nhận đủ điều kiện an ninh mạng.
4. Kiểm tra an ninh mạng (Điều 13): Thực hiện khi đưa thiết bị/dịch vụ mới vào sử dụng, khi có thay đổi hiện trạng hệ thống, kiểm tra định kỳ hàng năm và kiểm tra đột xuất khi có sự cố, yêu cầu quản lý nhà nước. Chủ quản hệ thống tự kiểm tra và báo cáo; lực lượng chuyên trách kiểm tra đột xuất.
5. Giám sát an ninh mạng (Điều 14): Là hoạt động thu thập, phân tích tình hình để xác định nguy cơ, sự cố, lỗ hổng bảo mật nhằm cảnh báo, khắc phục, xử lý. Chủ quản hệ thống và lực lượng chuyên trách phối hợp thực hiện.
6. Ứng phó, khắc phục sự cố an ninh mạng (Điều 15): Bao gồm các hoạt động từ phát hiện, xác định sự cố, bảo vệ hiện trường, phong tỏa, giới hạn phạm vi, đến xác minh nguyên nhân, điều tra, xử lý. Lực lượng chuyên trách có thẩm quyền điều phối, chủ quản hệ thống thực hiện biện pháp cần thiết.

III. Phòng ngừa, xử lý hành vi xâm phạm an ninh mạng

1. Phòng ngừa, xử lý thông tin trên không gian mạng có nội dung tuyên truyền chống Nhà nước; kích động gây bạo loạn; làm nhục, vu khống; xâm phạm trật tự quản lý kinh tế (Điều 16): Luật quy định rõ các loại thông tin bị cấm (tuyên truyền chống phá, kích động bạo lực, vu khống, thông tin sai sự thật về kinh tế, gây hoang mang dư luận). Lực lượng chuyên trách và cơ quan có thẩm quyền được áp dụng các biện pháp ngăn chặn, yêu cầu xóa bỏ, đình chỉ hoạt động hệ thống thông tin. Các doanh nghiệp cung cấp dịch vụ và cá nhân có trách nhiệm phối hợp và gỡ bỏ thông tin vi phạm.
2. Phòng, chống gián điệp mạng; bảo vệ bí mật nhà nước, bí mật công tác, bí mật kinh doanh, bí mật cá nhân, gia đình và đời sống riêng tư (Điều 17): Các hành vi gián điệp mạng (chiếm đoạt, mua bán, làm lộ, xóa, thay đổi bí mật nhà nước, công tác, kinh doanh, cá nhân, gia đình) bị cấm. Chủ quản hệ thống thông tin có trách nhiệm kiểm tra, triển khai biện pháp quản lý, kỹ thuật. Bộ Công an, Bộ Quốc phòng, Ban Cơ yếu Chính phủ có trách nhiệm chuyên môn trong phòng, chống gián điệp mạng và bảo vệ bí mật.
3. Phòng, chống hành vi sử dụng không gian mạng để vi phạm pháp luật về an ninh quốc gia, trật tự, an toàn xã hội (Điều 18): Bao gồm các hành vi đăng tải thông tin vi phạm Điều 16 và 17; chiếm đoạt tài sản, cờ bạc trực tuyến, trộm cắp cước viễn thông, vi phạm bản quyền, giả mạo trang thông tin điện tử, trộm cắp thông tin thẻ tín dụng/tài khoản ngân hàng, quảng cáo/mua bán hàng cấm, hướng dẫn vi phạm pháp luật. Lực lượng chuyên trách có trách nhiệm phòng, chống.
4. Phòng, chống tấn công mạng (Điều 19): Các hành vi tấn công mạng (phát tán mã độc, gây cản trở, xâm nhập, chiếm đoạt dữ liệu, khai thác lỗ hổng bảo mật, sản xuất/mua bán công cụ tấn công) bị cấm. Chủ quản hệ thống có trách nhiệm áp dụng biện pháp kỹ thuật. Khi xảy ra tấn công nghiêm trọng, lực lượng chuyên trách chủ trì xác định nguồn gốc, thu thập chứng cứ và yêu cầu doanh nghiệp chặn lọc thông tin.
5. Phòng, chống khủng bố mạng (Điều 20): Khủng bố mạng là việc sử dụng không gian mạng để thực hiện hành vi khủng bố, tài trợ khủng bố. Cơ quan nhà nước có thẩm quyền áp dụng các biện pháp vô hiệu hóa nguồn internet khủng bố. Chủ quản hệ thống phải thường xuyên rà soát, kiểm tra, và báo cáo khi phát hiện dấu hiệu. Bộ Công an, Bộ Quốc phòng, Ban Cơ yếu Chính phủ có trách nhiệm chủ trì phòng, chống.
6. Phòng ngừa, xử lý tình huống nguy hiểm về an ninh mạng (Điều 21): Các tình huống nguy hiểm bao gồm xuất hiện thông tin kích động bạo loạn, tấn công vào hệ thống thông tin quan trọng, tấn công quy mô lớn, tấn công phá hủy công trình quan trọng, tấn công xâm phạm nghiêm trọng chủ quyền, lợi ích quốc gia. Lực lượng chuyên trách và các doanh nghiệp viễn thông/internet có trách nhiệm phối hợp phòng ngừa, xử lý. Thủ tướng Chính phủ quyết định các biện pháp xử lý tình huống nguy hiểm.
7. Đấu tranh bảo vệ an ninh mạng (Điều 22): Là hoạt động có tổ chức của lực lượng chuyên trách nhằm bảo vệ an ninh quốc gia và trật tự, an toàn xã hội. Nội dung bao gồm nắm tình hình, phòng chống tấn công, làm tê liệt hoạt động gây phương hại an ninh quốc gia, chủ động tấn công vô hiệu hóa mục tiêu trên không gian mạng. Bộ Công an chủ trì thực hiện.

IV. Hoạt động bảo vệ an ninh mạng

1. Triển khai hoạt động bảo vệ an ninh mạng trong cơ quan nhà nước, tổ chức chính trị (Điều 23): Bao gồm xây dựng quy định nội bộ, phương án bảo đảm và ứng phó sự cố; ứng dụng công nghệ bảo vệ; bồi dưỡng kiến thức an ninh mạng cho cán bộ; bảo vệ an ninh mạng trong cung cấp dịch vụ công; đầu tư hạ tầng vật chất; kiểm tra, phòng chống vi phạm.
2. Kiểm tra an ninh mạng đối với hệ thống thông tin không thuộc Danh mục hệ thống thông tin quan trọng về an ninh quốc gia (Điều 24): Thực hiện khi có hành vi vi phạm pháp luật nghiêm trọng hoặc khi chủ quản hệ thống đề nghị. Đối tượng kiểm tra bao gồm phần cứng, phần mềm, thiết bị số, thông tin lưu trữ, biện pháp bảo vệ bí mật nhà nước. Lực lượng chuyên trách Bộ Công an thực hiện, kết quả được bảo mật.
3. Bảo vệ an ninh mạng đối với cơ sở hạ tầng không gian mạng quốc gia, cổng kết nối mạng quốc tế (Điều 25): Phải kết hợp chặt chẽ với yêu cầu phát triển kinh tế-xã hội, khuyến khích đặt cổng kết nối quốc tế trên lãnh thổ Việt Nam và đầu tư xây dựng hạ tầng. Cơ quan, tổ chức, cá nhân quản lý, khai thác có trách nhiệm bảo vệ, chịu sự quản lý, thanh tra, kiểm tra và tạo điều kiện cho lực lượng chuyên trách.
4. Bảo đảm an ninh thông tin trên không gian mạng (Điều 26):
- Trang thông tin điện tử, mạng xã hội không được đăng tải thông tin vi phạm Điều 16 (chống Nhà nước, kích động, vu khống, v.v.).
- Doanh nghiệp cung cấp dịch vụ (trong và ngoài nước):
  - Xác thực thông tin tài khoản số, bảo mật thông tin người dùng. Chỉ cung cấp thông tin người dùng cho Bộ Công an khi có yêu cầu bằng văn bản để điều tra, xử lý vi phạm pháp luật.
  - Ngăn chặn, xóa bỏ thông tin vi phạm Điều 16 trong vòng 24 giờ khi có yêu cầu của Bộ Công an hoặc Bộ Thông tin và Truyền thông, và lưu nhật ký hệ thống.
  - Không cung cấp hoặc ngừng cung cấp dịch vụ cho tổ chức, cá nhân đăng tải thông tin vi phạm.
- Lưu trữ dữ liệu và đặt chi nhánh/văn phòng đại diện: Doanh nghiệp trong và ngoài nước cung cấp dịch vụ có hoạt động thu thập, khai thác, phân tích, xử lý dữ liệu về thông tin cá nhân, dữ liệu về mối quan hệ của người dùng, dữ liệu do người dùng Việt Nam tạo ra phải lưu trữ dữ liệu này tại Việt Nam trong thời gian theo quy định của Chính phủ. Doanh nghiệp nước ngoài còn phải đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam.
- Lưu ý: Quy định này được lý giải là không cản trở tự do kinh doanh hay lưu thông dữ liệu số, phù hợp với thông lệ quốc tế và nhằm bảo vệ an ninh quốc gia, lợi ích người dân, thúc đẩy kinh tế số.
5. Nghiên cứu, phát triển an ninh mạng (Điều 27): Nội dung bao gồm xây dựng phần mềm, trang thiết bị; phương pháp thẩm định, kiểm tra, bảo vệ bí mật; xác định nguồn gốc thông tin; giải quyết nguy cơ; xây dựng thao trường mạng; dự báo an ninh mạng; nghiên cứu lý luận. Mọi tổ chức, cá nhân đều có quyền nghiên cứu, phát triển an ninh mạng.
6. Nâng cao năng lực tự chủ về an ninh mạng (Điều 28): Nhà nước khuyến khích, tạo điều kiện cho tổ chức, cá nhân nâng cao năng lực tự chủ; thúc đẩy chuyển giao, làm chủ, phát triển công nghệ, sản phẩm, dịch vụ an ninh mạng; đào tạo nhân lực; cải thiện môi trường kinh doanh.
7. Bảo vệ trẻ em trên không gian mạng (Điều 29): Trẻ em (dưới 16 tuổi) có quyền được bảo vệ, tiếp cận thông tin, tham gia hoạt động xã hội, vui chơi, giữ bí mật cá nhân và quyền khác trên không gian mạng. Chủ quản hệ thống thông tin, doanh nghiệp cung cấp dịch vụ, tổ chức, cá nhân và cha mẹ, giáo viên có trách nhiệm kiểm soát nội dung, ngăn chặn thông tin gây hại, và phối hợp với lực lượng chuyên trách để bảo vệ trẻ em.

V. Bảo đảm hoạt động bảo vệ an ninh mạng

1. Lực lượng bảo vệ an ninh mạng (Điều 30): Bao gồm lực lượng chuyên trách (Bộ Công an, Bộ Quốc phòng), lực lượng bảo vệ an ninh mạng tại các bộ/ngành/địa phương và tổ chức, cá nhân được huy động tham gia.
2. Bảo đảm nguồn nhân lực bảo vệ an ninh mạng (Điều 31): Công dân Việt Nam có kiến thức về an ninh mạng là nguồn lực cơ bản. Nhà nước có chương trình phát triển nguồn nhân lực, và cơ quan nhà nước có thẩm quyền có thể huy động nhân lực khi xảy ra tình huống nguy hiểm về an ninh mạng.
3. Tuyển chọn, đào tạo, phát triển lực lượng bảo vệ an ninh mạng (Điều 32): Ưu tiên đào tạo chất lượng cao, phát triển cơ sở đào tạo đạt chuẩn quốc tế, khuyến khích liên kết công – tư.
4. Giáo dục, bồi dưỡng kiến thức, nghiệp vụ an ninh mạng (Điều 33): Kiến thức an ninh mạng được đưa vào môn học giáo dục quốc phòng và an ninh trong nhà trường. Bộ Công an (chủ trì) và Bộ Quốc phòng, Ban Cơ yếu Chính phủ tổ chức bồi dưỡng nghiệp vụ cho lực lượng thuộc phạm vi quản lý.
5. Phổ biến kiến thức về an ninh mạng (Điều 34): Nhà nước có chính sách phổ biến kiến thức, khuyến khích hợp tác công – tư. Các bộ, ngành, địa phương có trách nhiệm xây dựng và triển khai hoạt động phổ biến kiến thức cho cán bộ và nhân dân.
6. Kinh phí bảo vệ an ninh mạng (Điều 35): Kinh phí của cơ quan nhà nước, tổ chức chính trị do ngân sách nhà nước bảo đảm. Các hệ thống thông tin khác tự bảo đảm kinh phí.

VI. Trách nhiệm của cơ quan, tổ chức, cá nhân

1. Trách nhiệm của Bộ Công an (Điều 36): Chịu trách nhiệm quản lý nhà nước về an ninh mạng, ban hành văn bản pháp luật, đề xuất chiến lược, phòng ngừa/đấu tranh tội phạm mạng, bảo đảm an ninh thông tin, cảnh báo nguy cơ, tổ chức diễn tập, kiểm tra/thanh tra, giải quyết khiếu nại/tố cáo.
2. Trách nhiệm của Bộ Quốc phòng (Điều 37): Thực hiện quản lý nhà nước về an ninh mạng trong phạm vi quản lý quân sự, với các nhiệm vụ tương tự Bộ Công an nhưng tập trung vào lĩnh vực quân sự.
3. Trách nhiệm của Bộ Thông tin và Truyền thông (Điều 38): Phối hợp với Bộ Công an, Bộ Quốc phòng; tổ chức tuyên truyền, phản bác thông tin chống Nhà nước; yêu cầu doanh nghiệp loại bỏ thông tin vi phạm pháp luật về an ninh mạng.
4. Trách nhiệm của Ban Cơ yếu Chính phủ (Điều 39): Tham mưu cho Bộ trưởng Bộ Quốc phòng về mật mã bảo vệ an ninh mạng; bảo vệ an ninh mạng đối với hệ thống thông tin cơ yếu và sản phẩm mật mã; thống nhất quản lý nghiên cứu, sản xuất, sử dụng mật mã.
5. Trách nhiệm của bộ, ngành, Ủy ban nhân dân cấp tỉnh (Điều 40): Thực hiện công tác bảo vệ an ninh mạng đối với thông tin, hệ thống thông tin thuộc phạm vi quản lý; phối hợp với Bộ Công an.
6. Trách nhiệm của doanh nghiệp cung cấp dịch vụ trên không gian mạng (Điều 41): Cảnh báo nguy cơ mất an ninh mạng, hướng dẫn phòng ngừa; xây dựng phương án phản ứng nhanh với sự cố, xử lý lỗ hổng bảo mật; áp dụng giải pháp kỹ thuật bảo mật dữ liệu, thông báo sự cố lộ lọt dữ liệu; phối hợp, tạo điều kiện cho lực lượng chuyên trách.
7. Trách nhiệm của cơ quan, tổ chức, cá nhân sử dụng không gian mạng (Điều 42): Tuân thủ pháp luật; cung cấp thông tin liên quan đến an ninh mạng cho cơ quan có thẩm quyền; thực hiện yêu cầu và hướng dẫn của cơ quan có thẩm quyền.

VII. Điều khoản thi hành (Điều 43)

Luật An ninh mạng 2018 có hiệu lực thi hành từ ngày 01/01/2019. Chủ quản hệ thống thông tin đang vận hành thuộc Danh mục hệ thống thông tin quan trọng phải đảm bảo đủ điều kiện an ninh mạng và được đánh giá trong vòng 12 tháng kể từ ngày Luật có hiệu lực hoặc từ ngày được bổ sung vào Danh mục.

Phần III: Trách nhiệm của các cá nhân, tổ chức trong bảo vệ an ninh mạng

Phần này khái quát lại các trách nhiệm cụ thể của cá nhân và tổ chức trong việc bảo vệ an ninh mạng, nhấn mạnh sự chung tay xây dựng không gian mạng lành mạnh. Các trách nhiệm chính bao gồm:

Chủ quản hệ thống thông tin quan trọng về an ninh quốc gia phải rà soát, lập hồ sơ đề nghị đưa hệ thống vào danh mục, và tuân thủ các quy định về thẩm định, đánh giá, kiểm tra, giám sát, ứng phó sự cố an ninh mạng.
Lực lượng chuyên trách (Bộ Công an, Bộ Quốc phòng, Ban Cơ yếu Chính phủ) có trách nhiệm chủ trì hoặc phối hợp thực hiện thẩm định, đánh giá, kiểm tra, giám sát, ứng phó, khắc phục sự cố, cũng như phòng ngừa, đấu tranh chống các hành vi xâm phạm an ninh mạng (thông tin xấu độc, gián điệp, tấn công, khủng bố).
Các tổ chức, cá nhân liên quan có trách nhiệm phối hợp, thực hiện yêu cầu của lực lượng chuyên trách trong việc xử lý thông tin vi phạm pháp luật, bảo vệ bí mật nhà nước, cá nhân, gia đình.
Doanh nghiệp cung cấp dịch vụ trên không gian mạng có trách nhiệm xác thực thông tin tài khoản, bảo mật dữ liệu người dùng, cung cấp thông tin khi có yêu cầu bằng văn bản để điều tra, chặn lọc/xóa bỏ thông tin vi phạm, lưu trữ nhật ký, và đối với doanh nghiệp nước ngoài có hoạt động thu thập dữ liệu người dùng Việt Nam, phải lưu trữ dữ liệu tại Việt Nam và đặt chi nhánh/văn phòng đại diện.
Cá nhân sử dụng không gian mạng có trách nhiệm tuân thủ pháp luật, cung cấp thông tin về nguy cơ/vi phạm cho cơ quan chức năng, và phối hợp thực hiện các biện pháp bảo vệ an ninh mạng.

Phần IV: Một số nội dung Nhân dân, doanh nghiệp quan tâm trong Luật An ninh mạng năm 2018

1. Về hành vi bị nghiêm cấm

Luật An ninh mạng 2018 chỉ nghiêm cấm các hành vi đã vi phạm pháp luật theo Bộ luật Hình sự, Bộ luật Dân sự và các văn bản khác. Các hành vi này bao gồm chống Nhà nước, xuyên tạc lịch sử, phát tán thông tin gây hại, xâm phạm trật tự, an toàn xã hội (mại dâm, tệ nạn, thông tin dâm ô), tấn công/gián điệp/khủng bố mạng, và lợi dụng quyền hạn để trục lợi. Luật không cấm Facebook, Google, quyền tự do ngôn luận, sử dụng mạng xã hội hoặc hoạt động kinh doanh hợp pháp. Việc này nhằm đảm bảo tính thống nhất pháp luật, có tác dụng phòng ngừa, xây dựng không gian mạng lành mạnh và góp phần vào an ninh mạng toàn cầu.

2. Về việc kiểm soát thông tin cá nhân của công dân

Luật yêu cầu doanh nghiệp xác thực và bảo mật thông tin tài khoản của người dùng. Thông tin người dùng chỉ được cung cấp cho lực lượng chuyên trách Bộ Công an khi có yêu cầu bằng văn bản phục vụ điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng. Điều này là cần thiết để chống tội phạm mạng và bảo vệ pháp luật, không phải là yêu cầu cung cấp toàn bộ thông tin cá nhân hay thông tin riêng tư một cách vô cớ.

3. Các thông tin trên không gian mạng bị coi là vi phạm pháp luật và bị xử lý

Luật quy định 5 nhóm thông tin bị coi là vi phạm pháp luật, bao gồm: tuyên truyền chống Nhà nước, kích động bạo loạn/gây rối, làm nhục/vu khống, xâm phạm trật tự quản lý kinh tế, và thông tin sai sự thật gây hoang mang/thiệt hại.

4. Về quản lý hoạt động kinh doanh của doanh nghiệp cung cấp dịch vụ trên không gian mạng

Hoạt động kinh doanh của doanh nghiệp không thuộc phạm vi điều chỉnh của Luật An ninh mạng, mà thuộc các luật chuyên ngành khác. Luật này chỉ điều chỉnh khi dịch vụ của doanh nghiệp bị lợi dụng vào mục đích vi phạm pháp luật (như xử lý thông tin xấu độc, chống tấn công mạng, phòng ngừa tình huống nguy hiểm, bảo đảm an ninh thông tin, bảo vệ trẻ em). Luật không quy định “giấy phép con” hay hạn chế hoạt động kinh doanh hợp pháp, khởi nghiệp, xuất nhập khẩu thiết bị.

5. Hoạt động thẩm định an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia không liên quan tới doanh nghiệp cung cấp dịch vụ trên không gian mạng

Hoạt động thẩm định an ninh mạng chỉ áp dụng cho các hệ thống thông tin quan trọng của nhà nước, không phải toàn bộ hệ thống thông tin của nước ta hay các doanh nghiệp cung cấp dịch vụ trên không gian mạng. Doanh nghiệp muốn cung cấp thiết bị, sản phẩm cho các hệ thống này chỉ cần đáp ứng tiêu chuẩn chất lượng theo yêu cầu của chủ quản hệ thống, không phải yêu cầu trực tiếp từ lực lượng chuyên trách.

6. Về quy định “giấy phép con” đối với các doanh nghiệp cung cấp dịch vụ trên không gian mạng

Trong Luật An ninh mạng 2018, không có quy định nào yêu cầu các doanh nghiệp cung cấp dịch vụ trên không gian mạng phải có “giấy phép con” để hoạt động. Chỉ có trách nhiệm phối hợp xử lý vi phạm pháp luật và các nghĩa vụ cụ thể khác (cảnh báo, khắc phục sự cố, bảo vệ dữ liệu) được quy định rõ tại Điều 41, không liên quan đến hoạt động kinh doanh cốt lõi.

7. Về quy định về lưu trữ dữ liệu trong nước (Điều 26.3)

7.1. Doanh nghiệp thuộc diện điều chỉnh: Áp dụng cho doanh nghiệp trong và ngoài nước cung cấp dịch vụ trên không gian mạng tại Việt Nam có hoạt động thu thập, khai thác, phân tích, xử lý dữ liệu người dùng Việt Nam. Không phải tất cả doanh nghiệp.
7.2. Dữ liệu phải lưu trữ ở Việt Nam: Chỉ bao gồm thông tin cá nhân người dùng, dữ liệu về mối quan hệ của người dùng, và dữ liệu do người dùng Việt Nam tạo ra. Không phải toàn bộ dữ liệu truyền đưa trên không gian mạng phải lưu trữ tại Việt Nam, do đó không ảnh hưởng đến lưu thông dữ liệu số.
7.3. Quy định lưu trữ dữ liệu trong nước của các quốc gia trên thế giới: Hiện có ít nhất 18 quốc gia trên thế giới có quy định tương tự về lưu trữ dữ liệu trong nước (ví dụ: Hoa Kỳ, Nga, Trung Quốc, Đức). Việt Nam không phải là quốc gia đầu tiên hay duy nhất áp dụng chính sách này.
7.4. Các cam kết quốc tế mà Việt Nam tham gia: Quy định lưu trữ dữ liệu trong nước không trái với các cam kết quốc tế (WTO, CPTPP, GATT, GATS, TRIPS) do các hiệp định này đều có quy định về “ngoại lệ an ninh”, cho phép các quốc gia thực hiện hành động cần thiết để bảo vệ lợi ích an ninh thiết yếu của mình.
7.5. Quy định các doanh nghiệp nước ngoài phải cung cấp thông tin người dùng cho lực lượng chuyên trách: Đây là yêu cầu phổ biến ở các quốc gia khác, chỉ áp dụng trong trường hợp phục vụ điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng, với yêu cầu bằng văn bản và thông tin cung cấp liên quan trực tiếp đến hành vi vi phạm.
7.6. Tác động của quy định lưu trữ dữ liệu, đặt văn phòng đại diện đối với hoạt động của các doanh nghiệp (Facebook, Google…): Không cản trở hoạt động của các doanh nghiệp này. Google và Facebook đã thuê máy chủ tại Việt Nam và có văn phòng/data center ở nhiều quốc gia, bao gồm cả Đông Nam Á (Singapore, Indonesia, Malaysia). Quy định này giúp tiết kiệm chi phí, tăng tốc độ truy cập, nâng cao chất lượng dịch vụ, tạo cơ hội việc làm và phát triển ngành công nghiệp công nghệ thông tin trong nước, đồng thời đảm bảo công bằng trong kinh doanh và chống thất thu thuế.

8. Về hệ thống thông tin quan trọng về an ninh quốc gia (Điều 10)

Luật định nghĩa và xác định các tiêu chí cho hệ thống thông tin quan trọng về an ninh quốc gia (quân sự, an ninh, ngoại giao, cơ yếu, bí mật nhà nước, cơ sở hạ tầng trọng yếu, các lĩnh vực năng lượng, tài chính, viễn thông, v.v.). Việc bảo vệ các hệ thống này được giao cho lực lượng chuyên trách, và Chính phủ quy định cụ thể cơ chế phối hợp giữa các bộ, ngành.

9. Trách nhiệm và quyền lợi của cá nhân theo quy định của Luật An ninh mạng năm 2018

Trách nhiệm: Không thực hiện các hành vi bị cấm (Điều 8), kịp thời cung cấp thông tin về nguy cơ/vi phạm cho cơ quan chức năng, phối hợp với lực lượng chuyên trách.
Quyền lợi: Được bảo vệ khỏi thông tin xấu độc, tấn công mạng, gián điệp mạng, tội phạm mạng; được hưởng các chính sách về nghiên cứu, phát triển, giáo dục an ninh mạng; có công cụ pháp lý rõ ràng để bảo vệ quyền và lợi ích hợp pháp của mình (yêu cầu gỡ bỏ thông tin vi phạm, bảo vệ thông tin cá nhân, chống tội phạm mạng); trẻ em được bảo vệ đặc biệt trên không gian mạng; được lực lượng chuyên trách bảo vệ hiệu quả hơn; đảm bảo mọi công dân bình đẳng trước pháp luật.

10. Trách nhiệm và quyền lợi của doanh nghiệp theo quy định của Luật An ninh mạng năm 2018

Trách nhiệm: Phối hợp xử lý thông tin chống Nhà nước, tấn công mạng, tình huống nguy hiểm; xác thực thông tin, bảo mật tài khoản người dùng, cung cấp thông tin khi có yêu cầu điều tra; ngăn chặn, xóa bỏ nội dung vi phạm; lưu trữ dữ liệu, đặt chi nhánh/văn phòng đại diện (đối với doanh nghiệp nước ngoài theo điều kiện cụ thể); cảnh báo nguy cơ, khắc phục sự cố, phối hợp với lực lượng chuyên trách. Các quy định này là trách nhiệm pháp lý, không nhằm cản trở hoạt động kinh doanh hợp pháp.
Quyền lợi: Được bảo vệ tốt hơn khỏi các hành vi vi phạm pháp luật trên không gian mạng ảnh hưởng đến kinh doanh (tin giả về sản phẩm, cạnh tranh không lành mạnh, xâm phạm sở hữu trí tuệ, tấn công mạng); tạo môi trường kinh doanh bình đẳng hơn giữa doanh nghiệp trong nước và nước ngoài; chống độc quyền, thao túng giá; tạo cơ hội việc làm và thu nhập cho người Việt Nam; thúc đẩy sự phát triển của các doanh nghiệp công nghệ thông tin, viễn thông và an ninh mạng trong nước; nâng cao uy tín cho doanh nghiệp nước ngoài tuân thủ pháp luật.

11. Quy định về bảo vệ thông tin cá nhân theo quy định của Luật An ninh mạng năm 2018

Điều 17 Luật An ninh mạng quy định chi tiết về việc bảo vệ bí mật kinh doanh, bí mật cá nhân, bí mật gia đình và đời sống riêng tư trên không gian mạng. Các hành vi chiếm đoạt, mua bán, làm lộ, xóa, thay đổi thông tin bí mật mà chưa được phép hoặc trái quy định pháp luật sẽ bị xử lý. Lực lượng chuyên trách chỉ được phép tiếp cận thông tin cá nhân của người sử dụng có hoạt động vi phạm pháp luật, với trình tự, thủ tục nghiêm ngặt bằng văn bản và được cấp có thẩm quyền phê duyệt. Điều này nhằm bảo vệ thông tin cá nhân của người dân, chống lạm dụng dữ liệu.

12. Quy định về thẩm định an ninh mạng theo quy định của Luật An ninh mạng năm 2018 đối với hệ thống thông tin trong nước

Hoạt động thẩm định an ninh mạng tại Điều 11 chỉ áp dụng đối với các hệ thống thông tin quan trọng về an ninh quốc gia (là các hệ thống của cơ quan nhà nước), không phải toàn bộ hệ thống thông tin trong nước. Các doanh nghiệp cung cấp thiết bị, sản phẩm cho các hệ thống này chỉ cần đáp ứng tiêu chuẩn chất lượng theo đề nghị của chủ quản hệ thống, không phải yêu cầu từ lực lượng chuyên trách.

13. Quy định phòng, chống tấn công mạng trong Luật An ninh mạng năm 2018

Luật An ninh mạng 2018 là đạo luật đầu tiên quy định khái niệm “tấn công mạng” và các nhóm hành vi liên quan. Luật cũng quy định các giải pháp phòng, chống cụ thể và trách nhiệm của các cơ quan chức năng (Bộ Công an, Bộ Quốc phòng, Ban Cơ yếu Chính phủ). Điều này giúp bảo vệ hệ thống thông tin của cơ quan, tổ chức, cá nhân, đặc biệt là các hệ thống quan trọng về an ninh quốc gia, trước các hoạt động tấn công mạng.

Phần V: Một số vấn đề đặt ra khi triển khai thi hành Luật An ninh mạng năm 2018 trong cơ quan, tổ chức

Thứ nhất, nâng cao nhận thức và kiến thức bảo vệ an ninh mạng

“Thế giới ảo” tác động trực tiếp đến quyền lợi quốc gia, tổ chức và cá nhân. Do đó, cần xác định sự an toàn, an ninh và ý thức bảo vệ quyền lợi là ưu tiên hàng đầu. Lãnh đạo các cấp, cán bộ, công chức, viên chức và người lao động cần được nâng cao nhận thức về an ninh mạng. Lực lượng bảo vệ an ninh mạng cần nâng cao kiến thức, kỹ năng xử lý sự cố. Người đứng đầu cơ quan nhà nước phải chịu trách nhiệm về công tác bảo vệ hệ thống thông tin của mình. Chính phủ đang xây dựng Nghị định về bảo vệ dữ liệu cá nhân.

Thứ hai, công tác tuyên truyền, phổ biến quy định của pháp luật về an ninh mạng tới mọi tầng lớp nhân dân

Việt Nam có tỷ lệ người sử dụng internet cao nhưng ý thức, nhận thức và kỹ năng tự bảo vệ trên không gian mạng còn hạn chế. Người dân vô tư đăng tải thông tin cá nhân, tổ chức/doanh nghiệp chưa bảo vệ tốt dữ liệu khách hàng, dẫn đến lộ lọt thông tin. Khả năng ứng phó với thông tin xấu độc còn yếu, trong khi các thế lực thù địch phát tán thông tin sai sự thật mạnh mẽ. Các bộ, ngành cần phổ biến rộng rãi Luật An ninh mạng, chủ động thông tin chính thống để bác bỏ tin xấu độc.

Thứ ba, tăng cường công tác bảo vệ hệ thống thông tin

Nhiều hệ thống thông tin trong nước chưa chú trọng áp dụng biện pháp bảo vệ, thiết kế chưa theo tiêu chuẩn, dẫn đến khả năng bị tấn công, xâm nhập cao. Luật An ninh mạng đã quy định cụ thể các biện pháp bảo vệ hệ thống thông tin, đặc biệt là đối với các hệ thống thông tin quan trọng về an ninh quốc gia. Các cơ quan, tổ chức, doanh nghiệp nhà nước cần nghiên cứu kỹ, vận dụng linh hoạt để chủ động phòng ngừa, khắc phục sự cố.

Thứ tư, phòng ngừa, xử lý hành vi vi phạm pháp luật trên không gian mạng

Về trách nhiệm tham gia, phối hợp của các cơ quan, doanh nghiệp trong nước: Hành vi phạm tội trên không gian mạng ngày càng tinh vi, phức tạp, đòi hỏi sự phối hợp chặt chẽ giữa các cơ quan chức năng, doanh nghiệp (viễn thông, internet, ứng dụng công nghệ thông tin) để thu thập dấu vết, chứng cứ.
Về trách nhiệm của các doanh nghiệp cung cấp dịch vụ xuyên biên giới vào Việt Nam: Một số doanh nghiệp này chưa chấp hành tốt quy định pháp luật Việt Nam, dịch vụ của họ trở thành môi trường cho tội phạm. Chính phủ đang triển khai nhiều biện pháp quyết liệt (Nghị quyết 35-NQ/TW, chỉ đạo của Thủ tướng, yêu cầu của Bộ TTTT, triển khai của Bộ Công an) để yêu cầu các doanh nghiệp này tuân thủ pháp luật Việt Nam (lưu trữ dữ liệu, đặt chi nhánh/văn phòng đại diện), góp phần bảo vệ chủ quyền, lợi ích, an ninh quốc gia, chống thất thu thuế và bảo vệ dữ liệu cá nhân.

Thứ năm, về xây dựng không gian mạng lành mạnh

Luật An ninh mạng 2018 cung cấp các quy định cần thiết để xây dựng không gian mạng lành mạnh, bao gồm: nghiêm cấm các hành vi vi phạm pháp luật; trao công cụ pháp lý để người dân bảo vệ quyền lợi; bảo vệ đặc biệt trẻ em; xây dựng lực lượng chuyên trách; đảm bảo sự bình đẳng về quyền, nghĩa vụ và trách nhiệm giữa các tổ chức, doanh nghiệp; tăng cường trách nhiệm cộng đồng trong việc phát hiện, tố giác tội phạm. Mỗi người dân cần chung tay bảo vệ và xây dựng để không gian mạng an toàn, lành mạnh.

Mục lục