Ảnh minh họa
 

    Cách tiếp cận này thay đổi căn bản tư duy đầu tư dự án công nghệ, chuyển đổi số theo kiểu “xây xong rồi mới vá”. Thực tiễn cho thấy phần lớn sự cố an ninh mạng, an toàn thông tin nghiêm trọng đều xuất phát từ việc hệ thống thông tin được triển khai nhanh nhưng thiếu cấu phần bảo mật, bảo đảm an toàn thông tin tương xứng, dẫn tới bị tấn công, lộ lọt dữ liệu, gián đoạn dịch vụ, bị chiếm quyền điều khiển hoặc bị lợi dụng để tấn công các hệ thống thông tin khác. Đây là lần đầu tiên pháp luật định lượng nguồn lực tài chính tối thiểu dành cho bảo đảm an ninh mạng; qua đó, khắc phục triệt để tình trạng coi nhẹ hoặc cắt giảm chi phí bảo mật khi cân đối ngân sách, đồng thời tạo cơ sở pháp lý để tiến hành thẩm định, kiểm tra và quy trách nhiệm trong quá trình chuẩn bị, phê duyệt, triển khai dự án.

    Thứ nhất, luật quy định tỷ lệ kinh phí tối thiểu, biến “an ninh mạng” thành hạng mục bắt buộc trong dự toán. Khoản 1 Điều 38 quy định về kinh phí bảo vệ an ninh mạng nêu rõ: “Cơ quan, tổ chức, doanh nghiệp nhà nước, tổ chức chính trị, tổ chức chính trị - xã hội và các đơn vị sự nghiệp công lập do ngân sách nhà nước bảo đảm phải bố trí kinh phí bảo vệ an ninh mạng trong dự toán chi thực hiện nhiệm vụ chuyển đổi số, ứng dụng công nghệ thông tin hàng năm của cơ quan, tổ chức, đơn vị mình; bố trí tối thiểu 15% tổng kinh phí thực hiện chương trình, đề án, dự án đầu tư chuyển đổi số, ứng dụng công nghệ thông tin để bảo vệ an ninh mạng”. Quy định này có ý nghĩa ở giai đoạn tiền dự án, xác định vai trò, vị trí đặc biệt quan trọng của an ninh mạng. An ninh mạng hiện nay không còn là khoản chi “tùy nghi” hay “phát sinh” mà trở thành một cấu phần “bắt buộc” ngay khi lập dự toán. Đây là cơ sở pháp lý quan trọng để chủ đầu tư xây dựng dự án, đồng thời là căn cứ pháp lý để cơ quan thẩm định yêu cầu chủ đầu tư giải trình, điều chỉnh, hoàn thiện dự toán; từ đó, hạn chế tình trạng cắt giảm hạng mục bảo mật để ưu tiên hạng mục chức năng, tiến độ hoặc hình thức.

    Thứ hai, bảo đảm đầu tư đồng bộ theo toàn bộ vòng đời của dự án, bao gồm mua sắm thiết bị, dịch vụ và con người. Nguồn kinh phí bảo đảm an ninh mạng có thể dành cho đầu tư trang thiết bị kỹ thuật, mua sắm giải pháp bảo mật chuyên sâu, thuê dịch vụ giám sát, ứng cứu sự cố, cũng như đào tạo, bồi dưỡng nhân lực chuyên trách. An ninh mạng là bài toán “tam giác” công nghệ – quy trình – con người, nếu chỉ mua thiết bị mà không có đội vận hành, không có giám sát 24/7, không có diễn tập và quy trình ứng phó, thì hệ thống vẫn dễ bị tấn công hoặc xử lý chậm khi xảy ra sự cố. Việc quy định danh mục chi tiêu giúp khắc phục tình trạng đầu tư hình thức, manh mún; đồng thời, tạo cơ sở để triển khai các giải pháp theo hướng “bảo vệ theo rủi ro” như giám sát tập trung, quản trị lỗ hổng, quản trị truy cập đặc quyền, sao lưu phục hồi, ứng cứu sự cố… ngay từ đầu.

    Thứ ba, tạo nền tảng tài chính cho tính bền vững của chuyển đổi số và hiệu quả hoạt động đầu tư công. Luật quy định tỷ lệ tối thiểu 15% không chỉ bảo vệ hệ thống trước rủi ro kỹ thuật, mà còn có giá trị như một cơ chế “bảo hiểm chính sách” cho dự án số, dự án ứng dụng công nghệ thông tin. Kệ thống được bảo vệ đầy đủ sẽ vận hành ổn định, giảm nguy cơ gián đoạn dịch vụ công, giảm thiệt hại do lộ lọt dữ liệu, giảm chi phí khắc phục sau sự cố và hạn chế nguy cơ thất thoát, lãng phí nguồn lực. Đồng thời, khi an ninh mạng được tích hợp ngay từ thiết kế, dự án sẽ có khả năng mở rộng và tích hợp tốt hơn trong tương lai, tránh và khắc phục triệt để tình trạng “nợ kỹ thuật”, “nợ chấp hành” bảo mật và tránh phải “đập đi làm lại” khi yêu cầu an ninh tăng lên.

    Thứ tư, tăng tính minh bạch và trách nhiệm giải trình của người đứng đầu cơ quan, đơn vị, nâng chất lượng quản trị dự án số, dự án ứng dụng công nghệ thông tin. Khi tỷ lệ chi cho an ninh mạng đã được luật định, các bộ, ngành, địa phương và chủ đầu tư có cơ sở rõ ràng để lập, thẩm định, phê duyệt dự toán; đồng thời cơ quan kiểm tra, thanh tra, kiểm toán cũng có căn cứ để đánh giá mức độ tuân thủ của chủ đầu tư. Điều này góp phần nâng cao trách nhiệm của người đứng đầu đơn vị trong việc bảo đảm nguồn lực cho an ninh mạng, hạn chế tư duy “khoán trắng cho đơn vị kỹ thuật” và thúc đẩy quản trị dự án số, dự án ứng dụng công nghệ thông tin theo hướng chuyên nghiệp, như: có đánh giá rủi ro, có kế hoạch bảo mật, có phương án ứng cứu và có nguồn lực quản trị, vận hành lâu dài, chuyên nghiệp...

    Luật An ninh mạng năm 2025 hình thành khung pháp lý tương đối đầy đủ về an ninh dữ liệu; thiết lập một hành lang pháp lý tương đối toàn diện, buộc các chủ thể liên quan cùng tham gia trách nhiệm bảo vệ trẻ em và các nhóm yếu thế trên không gian mạng; trang bị cho lực lượng chức năng khuôn khổ pháp lý để mở rộng phạm vi đấu tranh, phòng ngừa và xử lý tội phạm mạng trong bối cảnh hội nhập sâu rộng. Đồng thời, tạo cơ sở pháp lý để các bộ, ngành, địa phương và chủ đầu tư cứ lập, thẩm định và phê duyệt dự toán kinh phí; nâng cao trách nhiệm người đứng đầu cơ quan, tổ chức trong việc bảo đảm nguồn lực cho công tác an ninh mạng, góp phần triển khai hiệu quả các mục tiêu chuyển đổi số quốc gia./.

Nguyễn Văn Đương