Rủi ro dữ liệu không phân bổ đồng đều. Một tổ chức xử lý dữ liệu sức khỏe và sinh trắc học có điểm cần bảo vệ khác một nền tảng theo dõi vị trí và hành vi số; doanh nghiệp FDI còn phải chú ý luồng chuyển dữ liệu xuyên biên giới. Vì vậy, lộ trình tuân thủ không nên bắt đầu bằng một bộ việc giống nhau cho mọi ngành. Bước đầu hữu ích hơn là lập ma trận gồm ngành, loại dữ liệu, quy mô bản ghi, luồng chia sẻ và kiểm soát ưu tiên. Ma trận này giúp chuyển các yêu cầu của Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP thành quyết định gắn với thực tế vận hành.
Bốn yếu tố quyết định mức độ ưu tiên
Loại dữ liệu là lớp đầu tiên. Sức khỏe, sinh trắc học, tài chính, vị trí, hành vi số, dữ liệu trẻ em và đời sống riêng tư đều được nguồn xác định là các nhóm cần chú ý. Mỗi nhóm tạo hậu quả khác nhau khi bị truy cập hoặc sử dụng ngoài phạm vi. Vì vậy, chỉ đếm số hệ thống chưa đủ để hiểu mức độ rủi ro.
Ba lớp tiếp theo là quy mô bản ghi, luồng chia sẻ và khả năng chuyển xuyên biên giới. Cùng một loại dữ liệu nhưng quy mô lớn hơn hoặc được chia sẻ qua nhiều bên sẽ tạo bề mặt kiểm soát rộng hơn. Khi dữ liệu có thể đi ra ngoài Việt Nam, doanh nghiệp cần nhìn rõ nơi lưu trữ, bên nhận và mục đích xử lý trong toàn bộ hành trình.
- Loại dữ liệu: dữ liệu nào có tính nhạy cảm hoặc gắn sâu với đời sống cá nhân.
- Quy mô: có bao nhiêu bản ghi nằm trong cùng hoạt động xử lý.
- Chia sẻ: dữ liệu đi qua bao nhiêu hệ thống, bộ phận hoặc đối tác.
- Xuyên biên giới: dữ liệu có khả năng được lưu hoặc xử lý ngoài Việt Nam hay không.
Năm nhóm ngành, năm điểm xuất phát khác nhau
Ngân hàng nổi bật với dữ liệu tài chính và sinh trắc học; y tế xử lý dữ liệu sức khỏe; cơ sở thẩm mỹ kết hợp hình ảnh khuôn mặt với hồ sơ dịch vụ; thương mại điện tử có dữ liệu vị trí và hành vi số; doanh nghiệp FDI có thể phát sinh luồng chuyển xuyên biên giới. Đây không phải bảng xếp hạng tuyệt đối, mà là cách nhận diện loại tài sản dữ liệu cần ưu tiên ở từng bối cảnh.
Một doanh nghiệp có thể đồng thời thuộc nhiều lát cắt. Nền tảng thương mại điện tử có hoạt động thanh toán sẽ chạm tới dữ liệu tài chính; doanh nghiệp FDI có ứng dụng khách hàng có thể xử lý thêm vị trí và hành vi số. Ma trận vì vậy nên được xây từ hoạt động thực tế, không chỉ từ tên ngành trên giấy đăng ký.
Kiểm kê là đầu vào của lộ trình, không phải đích đến
Kiểm kê dữ liệu giúp tổ chức biết mình đang có gì và dữ liệu đi đâu. Nhưng danh mục chỉ hữu ích khi dẫn đến quyết định: luồng nào cần giới hạn chia sẻ, hệ thống nào cần tăng kiểm soát kỹ thuật, hoạt động nào cần rà hồ sơ pháp lý và điểm nào cần theo dõi thường xuyên. Không có bước chuyển này, bảng kiểm kê dễ trở thành tài liệu tĩnh.
Nguồn bài viết nhấn mạnh tuân thủ phải gắn với năng lực kỹ thuật. Điều đó có nghĩa hồ sơ pháp lý và kiểm soát hệ thống cần mô tả cùng một thực tế. Nếu tài liệu ghi dữ liệu chỉ dùng nội bộ nhưng luồng kỹ thuật đang chuyển qua nhiều đối tác, khoảng cách đó chính là một ưu tiên cần xử lý.
Cách dùng ma trận để ra quyết định
Tổ chức có thể bắt đầu bằng một hàng cho mỗi hoạt động xử lý quan trọng. Các cột ghi loại dữ liệu, quy mô bản ghi, nơi chia sẻ, khả năng chuyển xuyên biên giới, biện pháp pháp lý và biện pháp kỹ thuật hiện có. Sau đó, đội phụ trách đánh dấu những hàng tập trung nhiều dữ liệu nhạy cảm nhưng thiếu bằng chứng kiểm soát.
ICS đề xuất dùng kết quả này để sắp xếp lộ trình theo rủi ro thực tế. Ngành sở hữu dữ liệu nhạy cảm ở quy mô lớn có thể chịu hậu quả lớn hơn khi xảy ra sự cố, nhưng mức ưu tiên cuối cùng vẫn phụ thuộc luồng cụ thể. Một ma trận được cập nhật khi hệ thống hoặc đối tác thay đổi sẽ giúp doanh nghiệp tránh áp dụng cùng một checklist cho mọi đơn vị mà không xét bối cảnh.
- Chọn các hoạt động xử lý quan trọng thay vì liệt kê phần mềm rời rạc.
- Gắn từng hoạt động với loại dữ liệu và quy mô bản ghi.
- Mô tả đầy đủ luồng nội bộ, bên thứ ba và chuyển xuyên biên giới.
- Đối chiếu kiểm soát pháp lý với biện pháp kỹ thuật đang vận hành.
- Ưu tiên nơi có dữ liệu nhạy cảm lớn nhưng thiếu bằng chứng bảo vệ.