Nguy cơ vi phạm pháp luật về an ninh mạng đối với doanh nghiệp, hộ kinh doanh

Hiện nay, phần lớn doanh nghiệp, hộ kinh doanh đã xây dựng website, sử dụng mạng xã hội, triển khai các nền tảng thương mại điện tử, thanh toán trực tuyến và lưu trữ dữ liệu trên môi trường số. Tuy nhiên, cùng với quá trình chuyển đổi số, nguy cơ tấn công mạng, lừa đảo trực tuyến, đánh cắp dữ liệu và các hành vi lợi dụng không gian mạng để thực hiện hoạt động vi phạm pháp luật.

Thực tiễn công tác quản lý nhà nước về an ninh mạng cho thấy nhiều vụ việc không xuất phát từ hành vi cố ý vi phạm mà bắt nguồn từ sự chủ quan, thiếu hiểu biết hoặc chưa quan tâm đúng mức đến các yêu cầu pháp lý trong quá trình vận hành hệ thống thông tin. Bên cạnh đó, hệ thống văn bản quy phạm pháp luật liên quan đến an ninh mạng, dữ liệu cá nhân và hoạt động trên môi trường số đã có nhiều thay đổi trong thời gian gần đây.

Để phòng ngừa vi phạm pháp luật về an ninh mạng trong quá trình chuyển đổi số, cơ quan Công an đề nghị doanh nghiệp, hộ kinh doanh thực hiện một số nội dung sau:

Thứ nhất, chỉ thu thập dữ liệu thực sự cần thiết và phải có căn cứ pháp lý. Trước khi thu thập thông tin khách hàng, doanh nghiệp phải thông báo rõ mục đích, phạm vi sử dụng, thời hạn lưu trữ và tạo điều kiện để khách hàng thể hiện sự đồng ý. Việc chia sẻ, tiết lộ hoặc chuyển giao thông tin cho bên thứ ba cũng được coi là sử dụng thông tin và phải tuân thủ đúng mục đích, phạm vi đã thông báo. Đây là trách nhiệm được quy định tại các Điều 15, 16, 17 và 18 Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15.

Thứ hai, không được “khoán trắng” trách nhiệm bảo mật cho đơn vị công nghệ. Trường hợp thuê bên thứ ba xây dựng website, quản lý phần mềm, lưu trữ dữ liệu hoặc chăm sóc khách hàng, doanh nghiệp vẫn phải kiểm soát việc xử lý dữ liệu. Việc thuê, ủy quyền phải được lập thành văn bản, xác định rõ phạm vi tiếp cận dữ liệu, trách nhiệm bảo mật, trách nhiệm thông báo và khắc phục khi xảy ra sự cố. Khoản 2 Điều 15 Luật Bảo vệ quyền lợi người tiêu dùng quy định việc thuê bên thứ ba phải được sự đồng ý của người tiêu dùng và phải có văn bản xác định rõ trách nhiệm của mỗi bên.

Thứ ba, triển khai các biện pháp bảo vệ tương xứng với mức độ nhạy cảm của dữ liệu. Doanh nghiệp cần phân quyền truy cập theo vị trí việc làm; áp dụng mật khẩu mạnh và xác thực đa yếu tố; mã hóa dữ liệu; thường xuyên cập nhật bản vá; sao lưu độc lập; thu hồi ngay tài khoản của nhân viên nghỉ việc; kiểm tra định kỳ website, máy chủ và phần mềm quản lý. Điều 19 Luật Bảo vệ quyền lợi người tiêu dùng yêu cầu tổ chức, cá nhân kinh doanh phải có biện pháp ngăn ngừa việc đánh cắp, tiếp cận, sử dụng, chỉnh sửa hoặc hủy bỏ trái phép thông tin của khách hàng.

Thứ tư, không che giấu hoặc tự ý xóa dấu vết khi xảy ra sự cố. Ngay khi phát hiện dấu hiệu dữ liệu bị truy cập, sao chép hoặc phát tán trái phép, doanh nghiệp phải cô lập thiết bị, bảo toàn dữ liệu, nhật ký truy cập, thư điện tử, tin nhắn và các dấu vết điện tử; đồng thời thay đổi thông tin xác thực của tài khoản có nguy cơ bị lộ và phối hợp với cơ quan Công an để xử lý theo quy định.