Theo công bố của VNISA, Tiêu chuẩn dịch vụ kiểm tra, đánh giá an toàn thông tin mạng “TCCS 02: 2020/VNISA” áp dụng cho các thành viên VNISA được xây dựng trên cơ sở thực tiễn triển khai dịch vụ kiểm tra, đánh giá an toàn thông tin mạng tại Việt Nam, có tham khảo tiêu chuẩn quốc tế.

Dịch vụ kiểm tra, đánh giá an toàn thông tin mạng là dịch vụ rà quét, kiểm tra, phân tích cấu hình, hiện trạng, dữ liệu nhật ký của hệ thống thông tin; phát hiện lỗ hổng, điểm yếu; đưa ra đánh giá rủi ro mất an toàn thông tin.

Tiêu chuẩn “TCCS 02: 2020/VNISA” mới được VNISA ban hành quy định các yêu cầu cơ bản đối với dịch vụ kiểm tra, đánh giá an toàn thông tin mạng, bao gồm 3 nhóm: Yêu cầu về quản lý và kỹ thuật; Yêu cầu về tổ chức; Yêu cầu về nhân sự.

Trong đó, nhóm yêu cầu về quản lý và kỹ thuật là cơ sở để các tổ chức cung cấp dịch vụ xây dựng quy trình, nội dung thực hiện nhiệm vụ kiểm tra, đánh giá. Nhóm yêu cầu về tổ chức, nhân sự là cơ sở để các đơn vị hoàn thiện năng lực về tổ chức, tài chính và nhân sự của mình.

Nhấn mạnh các yêu cầu nêu trong Tiêu chuẩn này là yêu cầu cơ bản với việc cung cấp dịch vụ kiểm tra, đánh giá an toàn thông tin mạng, VNISA khuyến khích các tổ chức, doanh nghiệp bổ sung thêm những yêu cầu ở cấp độ cao hơn để nâng chất lượng dịch vụ.

Bên cạnh đó, Tiêu chuẩn “TCCS 02: 2020/VNISA” cũng có thể được sử dụng bởi các cơ quan, tổ chức có nhu cầu thuê dịch vụ kiểm tra, đánh giá an toàn thông tin mạng nhằm đánh giá, lựa chọn đơn vị cung cấp dịch vụ.

Trao đổi với ICTnews, ông Khổng Huy Hùng, Phó Chủ tịch VNISA, Chủ nhiệm Câu lạc bộ Kiểm tra, đánh giá và kiểm định an toàn thông tin Việt Nam (VSAC) - đơn vị trực tiếp soạn thảo Tiêu chuẩn “TCCS 02: 2020/VNISA” cho biết, thị trường dịch vụ kiểm tra, đánh giá an toàn thông tin mạng của nước ta đang có tiềm năng phát triển lớn, với mức độ tăng trưởng hàng năm ngày một tăng.

“Việc ban hành một tiêu chuẩn cơ sở sẽ giúp người dùng có căn cứ để nhận định, lựa chọn sử dụng dịch vụ kiểm tra, đánh giá an toàn thông tin mạng uy tín, chất lượng đảm bảo. Các tổ chức cung cấp dịch vụ có thể tự áp dụng. Với Tiêu chuẩn này, sai sót khi thực hiện kiểm định an toàn thông tin mạng sẽ được giảm bớt, góp phần nâng cao mặt bằng chung chất lượng dịch vụ của Việt Nam”, ông Hùng chia sẻ.

Với việc Tiêu chuẩn dịch vụ kiểm tra, đánh giá an toàn thông tin mạng “TCCS 02: 2020/VNISA” được ban hành, các doanh nghiệp là thành viên của VNISA đang cung cấp dịch vụ kiểm tra, đánh giá an toàn thông tin có thể nộp hồ sơ đề nghị Hiệp hội đánh giá, chứng nhận chất lượng của giải pháp phù hợp với bộ tiêu chuẩn cơ sở.

Trước đó, tại Chỉ thị 14 ngày 7/6/2019 về việc tăng cường đảm bảo an toàn, an ninh mạng nhằm cải thiện chỉ số xếp hạng của Việt Nam, một trong những giải pháp Thủ tướng Chính phủ yêu cầu các cơ quan, tổ chức, doanh nghiệp nhà nước thực hiện là lựa chọn tổ chức, doanh nghiệp độc lập với tổ chức, doanh nghiệp giám sát, bảo vệ để định kỳ kiểm tra, đánh giá an toàn thông tin mạng đối với hệ thống thông tin cấp độ 3 trở lên thuộc thẩm quyền quản lý hoặc kiểm tra, đánh giá đột xuất khi có yêu cầu theo quy định của pháp luật.

Cụ thể, với các hệ thống thông tin cấp độ 3 và cấp độ 4, Thủ tướng Chính phủ yêu cầu, phải định kỳ hàng năm kiểm tra, đánh giá và báo cáo Bộ TT&TT trước ngày 14/12 để tổng hợp, báo cáo Thủ tướng Chính phủ. Đối với hệ thống thông thông tin quan trọng quốc gia (cấp độ 5), định kỳ 6 tháng một lần thực hiện kiểm tra, đánh giá và báo cáo Bộ TT&TT trước ngày 14/6 và ngày 14/12 hàng năm để tổng hợp, báo cáo Thủ tướng Chính phủ. 

M.T

Hơn 43% bộ, tỉnh đã bảo đảm an toàn thông tin theo mô hình 4 lớp

Theo Cục An toàn thông tin, Bộ TT&TT, tính đến hết tháng 7/2020, tỷ lệ bộ, tỉnh triển khai bảo đảm an toàn thông tin theo mô hình 4 lớp đạt hơn 43%, tăng 2,2 lần so với hồi cuối tháng 6.

Trong trường hợp bình thường, người dùng có thể xem lịch sử duyệt web của họ khi sử dụng các nền tảng trực tuyến như công cụ tìm kiếm, phương tiện truyền thông xã hội và các trang web video, nhưng đồng thời, nền tảng cũng sẽ thu thập và sử dụng những dữ liệu này để cải thiện dịch vụ và thực hiện quảng cáo chính xác hơn.

Hiện tại, hầu hết các ứng dụng (app) và nền tảng mạng đều ghi lại lịch sử duyệt web của người dùng và phác họa chân dung của người dùng dựa trên dữ liệu này. Từ đó đưa ra đề xuất nội dung và vị trí quảng cáo chính xác hơn.

Trên thực tế, tất cả các nền tảng trực tuyến lớn sẽ nêu rõ trong quy tắc bảo mật về cách thu thập và sử dụng lịch sử duyệt web của người dùng và các thông tin khác.

Thông tin cá nhân hay quyền riêng tư?

Các nền tảng Internet thường sử dụng cookie máy tính để theo dõi hành vi của người dùng, ghi lại và lấy thông tin truy cập của người dùng, bao gồm cả lịch sử duyệt web. Các nền tảng thường thu thập và sử dụng dữ liệu để cải thiện trải nghiệm người dùng và phạm vi tiếp cận quảng cáo.

Vì lịch sử duyệt web và các dữ liệu khác được tạo ra khi người dùng sử dụng dịch vụ Internet có giá trị thương mại và lợi ích cá nhân đáng kể, dữ liệu này có thuộc thông tin cá nhân của người dùng và cần được pháp luật bảo vệ không?

Quy định chung về bảo vệ dữ liệu của Liên minh Châu Âu (GDPR) chính thức được thực hiện vào năm 2018 được gọi là “đạo luật bảo vệ dữ liệu nghiêm ngặt nhất trong lịch sử”. GDPR quy định rằng khi dữ liệu có thể được sử dụng để xác định trực tiếp hoặc gián tiếp các thể nhân, thì đó là dữ liệu/ thông tin cá nhân. Nếu dấu vết cookie trên Internet có thể tạo ra ảnh chân dung hoặc tệp cá nhân để xác định các thể nhân cụ thể, thì những dấu vết này sẽ có thể nhận dạng được.

Điều này có nghĩa là nếu lịch sử duyệt web của người dùng có thể xác định một thể nhân cụ thể trực tiếp hoặc kết hợp với các thông tin khác, thì lịch sử duyệt web cũng thuộc về dữ liệu cá nhân.

Khoản 3, điều 26, chương IV (quy định về Bảo đảm an ninh thông tin trên không gian mạng) của Luật An Ninh Mạng có hiệu lực từ ngày 1/1/2019 đề cập đến việc các nền tảng thu thập, khai thác, phân tích, xử lý dữ liệu về thông tin cá nhân, dữ liệu về mối quan hệ của người sử dụng dịch vụ, dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra phải lưu trữ dữ liệu này tại Việt Nam trong thời gian theo quy định của Chính phủ.

Tuy nhiên, các nội dung quy định lại chưa định nghĩa cụ thể về thông tin cá nhân, chỉ diễn giải chung về tài khoản số.

Cần được bảo vệ?

Người dùng mới thường cần nhấp chuột để đồng ý với thỏa thuận người dùng hoặc quy tắc bảo mật trước khi sử dụng các dịch vụ sản phẩm mạng, nếu không họ có thể không sử dụng được tất cả các chức năng. Khi đồng ý với các điều khoản trên, có nghĩa là người dùng đồng ý ủy quyền cho nền tảng thu thập và sử dụng thông tin cá nhân, bao gồm cả lịch sử duyệt web.

Sau khi đồng ý với chính sách bảo mật của nền tảng, trong quá trình sử dụng, người dùng cũng có quyền tạm dừng việc thu thập và sử dụng thông tin cá nhân của mình bởi nền tảng. Dù nhiều người vẫn có thói quen xóa dữ liệu duyệt web, tuy nhiên các dữ liệu trong History (lịch sử duyệt web) vẫn sẽ được các nền tảng lưu trữ lại. 

Nhưng trên thực tế, nhiều nền tảng hiện nay không cung cấp chức năng hủy đăng ký bằng một lần bấm ở vị trí nổi bật, và cần nhấp chuột để thực hiện các thao tác nhiều bước để hủy đăng ký.

Theo quan điểm này, việc thu thập và sử dụng hồ sơ duyệt web của người dùng và các dữ liệu khác của nền tảng phải tuân theo các nguyên tắc có được sự đồng ý của người dùng trước và bảo vệ quyền lựa chọn và thoát ra của người dùng, nhưng vẫn có ngoại lệ.

Theo quy định về quyền riêng tư của một số nền tảng trực tuyến, nếu liên quan trực tiếp đến an ninh quốc gia, lợi ích công cộng, hoạt động điều tra, truy tố, xét xử và phán quyết tội phạm thì nền tảng này không cần phải được sự đồng ý và cho phép của người dùng đối với việc thu thập và sử dụng thông tin cá nhân. Việc thu thập và sử dụng thông tin này là để lưu giữ bằng chứng và các nhu cầu khác.

Những năm gần đây, nhiều quốc gia đã đặt ra các yêu cầu rõ ràng đối với việc thu thập và sử dụng lịch sử duyệt web của người dùng và các dữ liệu theo dõi mạng khác của các nhà khai thác dịch vụ mạng, nhưng nhiều nền tảng vẫn vướng vào các tranh chấp vi phạm tương tự.

Trong khi đó tại Việt Nam, cả thông tin cá nhân nói chung và dữ liệu duyệt web của người dùng nói riêng vẫn còn là vấn đề bỏ ngỏ, chưa có những quy định pháp lý cụ thể trên không gian mạng.

Điệp Lưu

Cuộc chiến chống Covid-19 đã thay đổi quyền riêng tư

Khi chính phủ các nước đang phủ rộng công nghệ để ứng phó với đại dịch Covid-19 thì đâu là sự cân bằng giữa quyền riêng tư và vấn đề an ninh?