Đánh giá rủi ro trong hồ sơ dữ liệu cá nhân: viết sao cho có căn cứ?

Đánh giá rủi ro trong hồ sơ dữ liệu cá nhân: viết sao cho đúng?

Phần đánh giá rủi ro cần giải thích tình huống có thể xảy ra, người bị ảnh hưởng, hậu quả và hiệu quả của biện pháp bảo vệ. Bài viết đưa ra cách nối dữ kiện với kết luận, một ma trận minh họa và cách ghi rủi ro còn lại mà không biến thang điểm nội bộ thành yêu cầu pháp luật.

Đánh giá rủi ro có căn cứ phải đi từ hoạt động thực tế, xác định tình huống và nguyên nhân, phân tích hậu quả rồi kiểm tra biện pháp có thể giảm được rủi ro nào. Mỗi nhận định quan trọng cần đối chiếu được với tài liệu hoặc thông tin đã xác minh. Các câu như “có nguy cơ lộ dữ liệu” hoặc “đã bảo mật bằng công nghệ hiện đại” chưa giải thích đủ phạm vi ảnh hưởng và hiệu quả bảo vệ. Điểm số giúp sắp xếp ưu tiên nếu có thuyết minh, nhưng không thay cho việc phân tích hoặc hợp pháp hóa hoạt động chưa đủ điều kiện.

Phần đánh giá trong Mẫu số 10 yêu cầu những nội dung nào?

Điểm g khoản 3 Điều 19 Nghị định 356/2025/NĐ-CP yêu cầu đánh giá mức độ ảnh hưởng, rủi ro, hậu quả, thiệt hại không mong muốn có khả năng xảy ra và biện pháp giảm thiểu hoặc loại bỏ. Phần A.III Mẫu số 10 tiếp tục yêu cầu mô tả thực trạng, phân tích yêu cầu, tình huống, nguyên nhân và giải pháp; xem xét tác động tích cực, tiêu cực của giải pháp để kiến nghị lựa chọn. Mẫu nêu phương pháp định lượng và định tính, vì vậy một bảng điểm không có giải thích sẽ chưa phản ánh đầy đủ nội dung cần làm. Điều 19 và Mẫu số 10 Nghị định 356.

Cần đọc riêng từng phần tác động. Mục A.III.2.1 tập trung quyền và lợi ích của chủ thể dữ liệu; mục A.III.2.2 xét an ninh, an toàn thông tin hệ thống. Mục A.III.2.3 yêu cầu đánh giá tác động đến an ninh quốc gia, trật tự an toàn xã hội khi xử lý dữ liệu cơ bản của trên 100.000 chủ thể hoặc dữ liệu nhạy cảm của trên 10.000 chủ thể. Đây là điều kiện của mục đánh giá đó, không phải ngưỡng miễn toàn bộ hồ sơ và không nên đổi chữ “trên” thành “từ”. Phần A.III Mẫu số 10.

Với doanh nghiệp thuộc diện lập hồ sơ, phần đánh giá cần phản ánh cả kết quả và những việc còn phải xử lý. Điều 37 Luật Bảo vệ dữ liệu cá nhân quy định trách nhiệm về biện pháp quản lý, kỹ thuật, quyền của chủ thể và quan hệ với bên xử lý. Do đó, báo cáo cần gắn biện pháp với người có khả năng thực hiện, kiểm tra và duy trì chúng. Điều 37 Luật số 91/2025/QH15.

Bắt đầu từ dữ kiện nào để tránh viết chung chung?

Nên chọn từng luồng hoặc hoạt động thay vì liệt kê một danh sách rủi ro giống nhau cho toàn doanh nghiệp. Với mỗi hoạt động, ghi loại dữ liệu, nhóm chủ thể, số lượng theo thời điểm khảo sát, mục đích, hệ thống, người tiếp cận, bên nhận và thời gian lưu. Các nội dung này là đầu vào để hiểu ai có thể bị ảnh hưởng và bằng cách nào.

Sau đó mô tả kịch bản đủ cụ thể. Ví dụ, “nhân viên hỗ trợ có quyền xuất toàn bộ thông tin khách hàng dù chỉ được giao một nhóm” chỉ ra quyền truy cập và phần việc có thể kiểm tra. “Mất an toàn dữ liệu” chưa chỉ ra được nguyên nhân hoặc phạm vi. Bảng mô tả luồng, ma trận quyền và xác nhận của bộ phận nghiệp vụ giúp xác định điều này.

Chứng cứ có thể là hợp đồng, biểu mẫu thu thập, cấu hình được trích xuất, danh sách quyền, nhật ký, biên bản rà soát hoặc kết quả kiểm tra trong phạm vi cụ thể. Ghi rõ ngày, hệ thống và người cung cấp. Một chứng nhận của nhà cung cấp không tự chứng minh khách hàng đã cấu hình đúng quyền; cũng không thay cho kiểm tra mục đích sử dụng dữ liệu.

Nếu chưa có chứng cứ về vị trí lưu hoặc quyền của nhà cung cấp, nên ghi kết luận đang cần xác minh và giao người làm rõ. Không phát hiện sự cố trong tài liệu được xem chưa đủ chứng minh khả năng xảy ra thấp. Việc đánh giá phải phân biệt “đã kiểm tra và có kết quả” với “chưa biết”.

Đánh giá hậu quả đối với con người và hệ thống thế nào?

Ở phần tác động đến chủ thể, cần giải thích thông tin bị tiếp cận hoặc sử dụng sai có thể dẫn đến điều gì: bị liên hệ ngoài mục đích, bị lừa đảo dựa trên thông tin cá nhân, bị tiết lộ hoàn cảnh riêng, bị đánh giá bất lợi hoặc gặp khó khăn khi thực hiện quyền. Chọn hậu quả phù hợp với dữ liệu và tình huống đang xét; không đưa mọi hậu quả nghiêm trọng vào một hoạt động chỉ để tăng điểm rủi ro.

Ở phần hệ thống, xem khả năng lộ hoặc truy cập trái phép, thay đổi dữ liệu, gián đoạn và hiệu quả biện pháp hiện có. Kết quả kỹ thuật cần được nối với ảnh hưởng thực tế. Chẳng hạn, một quyền tải quá rộng có thể làm tăng số người bị ảnh hưởng nếu tài khoản bị sử dụng sai, dù cơ chế đăng nhập vẫn hoạt động tốt. Mẫu số 10 có cả hai phần đánh giá, nên không bỏ nội dung kỹ thuật cũng không chỉ tính thiệt hại của doanh nghiệp. Mục A.III.2.1, A.III.2.2 Mẫu số 10.

Phân tích sự phù hợp của hoạt động cần được thực hiện cùng với đánh giá rủi ro. Nếu một mục đích chưa có căn cứ hoặc dữ liệu được thu vượt phạm vi cần thiết, phải xem xét việc điều chỉnh hoạt động. Mức điểm thấp hay chữ ký chấp nhận rủi ro của lãnh đạo không thay thế điều kiện pháp luật. Nguyên tắc bảo vệ và quyền của chủ thể cần đối chiếu Điều 3, Điều 4 Luật. Luật Bảo vệ dữ liệu cá nhân.

Một cách lập ma trận rủi ro để sử dụng nội bộ

Thang dưới đây là đề xuất minh họa của bài viết, không phải thang điểm do Nghị định 356 quy định. Doanh nghiệp cần thống nhất tiêu chí trước khi chấm, ghi lý do cho từng mức và bổ sung dữ liệu định lượng có thể kiểm chứng. Không diễn giải điểm 2 hoặc điểm 3 thành tỷ lệ phần trăm xác suất khi chưa có phương pháp phù hợp.

Có thể tính R = L × I để sắp xếp công việc: 1 đến 2 là thấp, 3 đến 4 là trung bình, 6 đến 9 là cao theo quy ước này. Đây là thang thứ bậc phục vụ quản lý, không phải công thức tính thiệt hại hoặc điều kiện cơ quan nhà nước công nhận hồ sơ đạt. Người đánh giá cần viết lý do và nêu trường hợp buộc phải xử lý vì yêu cầu pháp luật dù điểm thấp.

Phần định lượng nên có thông tin hữu ích hơn một tích số. Ví dụ: số chủ thể trong phạm vi bị truy cập, số tài khoản được quyền xuất, số tài khoản không còn nhu cầu nhưng chưa khóa, tỷ lệ yêu cầu đã được kiểm tra kết quả hoặc thời gian thu hồi quyền đo được. Những số chưa có dữ liệu phải để ở trạng thái cần xác minh, không điền 0 để hoàn thành bảng.

Ma trận minh họa và cách thuyết minh từng dòng

Tình huống giả định: Công ty A cung cấp dịch vụ bảo trì, lưu thông tin liên hệ của 6.000 khách hàng trong CRM. Khảo sát giả định cho thấy có 12 tài khoản nhân viên được xuất dữ liệu; 2 tài khoản thuộc người đã đổi công việc nhưng quyền chưa được rà lại. A thuê C hỗ trợ liên hệ theo chỉ dẫn; hợp đồng và cách dùng danh sách cần được đối chiếu thêm. Các số dưới đây được đặt cho ví dụ, không phải thống kê về doanh nghiệp thật.

Điểm hiện trạng đã tính đến biện pháp thực sự có trong giả định. “Rủi ro còn lại” ở phần sau chỉ được kết luận sau khi biện pháp mới đã được thực hiện và kiểm tra; mức dự kiến không được đưa vào cột kết quả hiện tại.

Ở R01, không nên chỉ kết luận “đã có xác thực nhiều yếu tố nên rủi ro thấp”. Biện pháp đó giúp bảo vệ việc đăng nhập; quyền xuất của một người dùng hợp lệ vẫn cần giới hạn theo công việc. A cần rà vai trò, điều chỉnh quyền và kiểm tra bằng tài khoản đại diện cho từng nhóm. Chứng cứ phải cho thấy phần quyền đã thay đổi, không chỉ là văn bản đề nghị kỹ thuật thực hiện.

Với R02, việc chưa đủ dữ kiện là một kết quả cần quản lý. Đầu mối hợp đồng làm rõ trách nhiệm với C; bộ phận vận hành xác nhận cách giao việc và nhận lại kết quả; kỹ thuật xác minh quyền truy cập. Sau đó mới có cơ sở đánh giá khả năng, phạm vi ảnh hưởng và biện pháp. Một điều khoản bảo mật chung không tự trả lời đủ việc C được làm gì với danh sách. Khoản 1, khoản 2 Điều 37 Luật.

Chọn biện pháp và đánh giá rủi ro còn lại

Biện pháp cần xử lý đúng nguyên nhân. Hạn chế quyền xuất giải quyết khả năng sao chép rộng; quản lý tệp giúp kiểm soát bản đã xuất; hợp đồng và kiểm tra bên nhận xử lý trách nhiệm ngoài doanh nghiệp. Đào tạo có thể hỗ trợ, nhưng không nên là biện pháp duy nhất khi một quyền kỹ thuật vượt nhu cầu vẫn được duy trì.

Mẫu số 10 còn yêu cầu xem xét hiệu quả và tác động của giải pháp. Ví dụ, khóa toàn bộ chức năng xuất có thể giảm sao chép nhưng cũng làm bộ phận nghiệp vụ không lập được báo cáo cần thiết. Có thể so sánh với phương án xuất theo trường dữ liệu, phê duyệt từng lần và giới hạn người nhận. Cần lựa chọn trên dữ kiện và khả năng vận hành, không mặc định biện pháp gây nhiều cản trở nhất là tốt nhất. Mục A.III.2 Mẫu số 10.

Lịch hoàn thành cần do doanh nghiệp xác định theo mức khẩn cấp, khả năng và nghĩa vụ áp dụng. Bảng nội bộ nên thêm ngày giao, hạn hoàn thành và người kiểm tra độc lập với người thực hiện khi phù hợp. Bài viết không đặt một thời gian pháp lý chung để khắc phục mọi rủi ro.

Người có thẩm quyền cần biết việc nào chưa hoàn tất, rủi ro nào còn lại và nguồn lực cần bố trí. Việc chấp nhận rủi ro theo quy chế nội bộ chỉ có ý nghĩa trong phạm vi lựa chọn hợp pháp; không thay thế nghĩa vụ bảo vệ dữ liệu, yêu cầu của cơ quan có thẩm quyền hoặc quyền của chủ thể.

Câu hỏi thường gặp

Có bắt buộc dùng ma trận 3 × 3 hoặc 5 × 5 không?

Các nội dung đã đối chiếu tại Điều 19 và Mẫu số 10 không ấn định hai thang này. Doanh nghiệp cần đáp ứng nội dung đánh giá, nêu phương pháp và thuyết minh. Thang điểm phải phù hợp dữ liệu có thể kiểm tra, không được giới thiệu như biểu mẫu bắt buộc của cơ quan nhà nước.

Có thể ghi rủi ro bằng 0 vì chưa từng bị lộ dữ liệu không?

Chưa ghi nhận sự cố không đồng nghĩa không có đường phát sinh. Cần xem quyền truy cập, phạm vi chia sẻ, dữ liệu, thời gian lưu và hiệu quả biện pháp. Nếu dữ kiện chưa đủ, ghi rõ điểm cần xác minh thay vì dùng số 0 như kết luận chắc chắn.

Đã có báo cáo kiểm thử thì dùng thế nào?

Dùng các phát hiện và kết quả kiểm tra đúng phạm vi làm chứng cứ đầu vào. Cần phân tích thêm hậu quả đối với chủ thể, căn cứ xử lý, vai trò các bên và biện pháp quản lý. Bài đánh giá tác động dữ liệu cá nhân khác đánh giá an toàn thông tin thế nào giải thích kỹ hơn quan hệ giữa hai công việc.

Biện pháp mới có kế hoạch triển khai có được ghi là đã giảm rủi ro không?

Nên tách hiện trạng, kế hoạch và kết quả sau kiểm tra. Có thể nêu mức dự kiến kèm điều kiện, nhưng chỉ ghi đã triển khai khi có bằng chứng. Cần thể hiện cả giới hạn còn lại và người tiếp tục theo dõi, tránh dùng điểm mục tiêu làm kết quả thực tế.

Justix hỗ trợ đánh giá và hoàn thiện hồ sơ

Doanh nghiệp có thể trao đổi với Justix khi đã có danh mục dữ liệu nhưng phần đánh giá còn chung chung hoặc chưa nối được phát hiện kỹ thuật với nghĩa vụ pháp lý. Trong dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, phạm vi khảo sát, đánh giá rủi ro, soạn hồ sơ và hỗ trợ thủ tục được xác định theo tình trạng tài liệu. Nên chuẩn bị luồng dữ liệu, hợp đồng, ma trận quyền, kết quả kiểm tra và kế hoạch đang làm; gửi mô tả ban đầu qua trang liên hệ Justix để trao đổi phạm vi phù hợp.