Chuyển đổi số khu vực công đang chuyển từ giai đoạn số hóa quy trình sang xây dựng một nền quản trị dựa trên dữ liệu. Khi dữ liệu dân cư, đất đai, thuế, bảo hiểm, y tế, giáo dục và hàng loạt dữ liệu chuyên ngành được kết nối, chia sẻ để phục vụ người dân, doanh nghiệp và công tác điều hành, yêu cầu bảo vệ dữ liệu không còn là một “lớp kỹ thuật” bổ sung sau cùng. Đó phải là nguyên tắc được tích hợp ngay từ khâu thiết kế kiến trúc, tổ chức dữ liệu và vận hành hệ thống. Kinh nghiệm từ tiến trình xây dựng chính quyền số cho thấy: kết nối càng sâu, yêu cầu an toàn càng cao; dữ liệu càng có giá trị, trách nhiệm bảo vệ càng phải rõ ràng.
Từ số hóa thủ tục đến tái cấu trúc phương thức quản trị
Một trong những thay đổi căn bản của chuyển đổi số khu vực công hiện nay là dữ liệu đang dần trở thành một cấu phần của năng lực quản trị, thay vì chỉ là “đầu vào” cho các phần mềm nghiệp vụ. Nếu giai đoạn đầu của Chính phủ điện tử tập trung đưa hồ sơ, biểu mẫu và quy trình hành chính lên môi trường điện tử, thì giai đoạn mới đòi hỏi phải tái cấu trúc chính phương thức vận hành của cơ quan nhà nước trên nền dữ liệu được chuẩn hóa, liên thông và có khả năng khai thác.
Đây cũng là tinh thần nổi bật được đặt ra tại Hội thảo “Chuyển đổi số trong khu vực công: Kiến tạo hạ tầng bền vững và bảo đảm an ninh dữ liệu hướng đến mục tiêu tăng trưởng quốc gia” ngày 24/8/2026. Các chuyên gia cho rằng chuyển đổi số không thể dừng ở việc thay giấy bằng hồ sơ điện tử, mà phải tạo ra phương thức quản trị hiệu quả hơn, minh bạch hơn và lấy dữ liệu làm nền tảng.
Thực tiễn vận hành chính quyền địa phương hai cấp càng làm nổi bật yêu cầu này. Khi tổ chức bộ máy và địa giới hành chính thay đổi, dữ liệu cũng phải được chuẩn hóa, làm sạch, cập nhật và tổ chức lại theo mô hình mới, đồng thời bảo đảm tính kế thừa, liên tục và không làm gián đoạn các dịch vụ công. Đây không đơn thuần là bài toán kỹ thuật di chuyển dữ liệu từ hệ thống này sang hệ thống khác, mà là quá trình tái cấu trúc “bộ nhớ” của nền hành chính.
Theo định hướng được nêu tại hội thảo, mục tiêu đến năm 2030 là số hóa toàn bộ hồ sơ, kết quả giải quyết thủ tục hành chính; sử dụng thống nhất các nền tảng số dùng chung; chuẩn hóa, kết nối các cơ sở dữ liệu để sẵn sàng khai thác cho trí tuệ nhân tạo. Tuy nhiên, thực tế vẫn tồn tại tình trạng dữ liệu phân tán, chất lượng không đồng đều và mức độ liên thông giữa các hệ thống chưa cao.
Đây chính là điểm cần nhìn nhận sâu hơn: không thể xây dựng chính quyền số chỉ bằng cách kết nối ngày càng nhiều hệ thống. Kết nối mà không chuẩn hóa có thể làm lan truyền dữ liệu sai; chia sẻ mà không phân quyền có thể làm gia tăng rủi ro lộ lọt; tích hợp mà không xác định rõ trách nhiệm có thể tạo ra những “khoảng trống” trong quản trị.
Kinh nghiệm từ Đề án 06 đã cho thấy giá trị của việc tổ chức dữ liệu theo hướng dùng chung. Dữ liệu dân cư, định danh và xác thực điện tử trở thành một hạ tầng quan trọng để thúc đẩy dịch vụ công trực tuyến và giảm yêu cầu người dân phải cung cấp lặp lại những thông tin mà cơ quan nhà nước đã có. Đến năm 2025, nhiều nhóm dữ liệu như hộ tịch, cán bộ, thuế, bảo hiểm, đất đai... đã được đẩy mạnh số hóa, làm sạch và kết nối.
Nhưng dữ liệu càng được dùng chung thì yêu cầu bảo vệ càng phải được nâng lên tương ứng. Luật Dữ liệu số 60/2024/QH15, có hiệu lực từ ngày 1/7/2025, tạo thêm một nền tảng pháp lý quan trọng cho việc quản trị dữ liệu trong giai đoạn mới. Trong khi đó, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 1/1/2026, đặt yêu cầu bảo vệ dữ liệu cá nhân trong một khuôn khổ pháp lý mới.
Như vậy, bài toán chuyển đổi số khu vực công hiện nay không còn là “có dữ liệu hay không”, mà là dữ liệu được tạo lập như thế nào, ai được quyền tiếp cận, sử dụng vào mục đích gì, được lưu trữ ở đâu, bảo vệ ra sao và có thể khôi phục thế nào khi xảy ra sự cố. Đó chính là bước chuyển từ tư duy “số hóa” sang tư duy “quản trị dữ liệu”.
Bảo mật phải đi trước một bước, không chạy theo sự cố
Một bài học quan trọng được đặt ra từ thực tiễn là không thể coi an toàn dữ liệu như một lớp “áo giáp” được mặc thêm cho hệ thống sau khi hệ thống đã hoàn thành.
Tại hội thảo, các chuyên gia an ninh mạng cảnh báo rằng quá trình chuyển dịch từ hạ tầng vật lý lên điện toán đám mây khiến nhiều cơ quan phải vận hành đồng thời hệ thống cũ và mới, tạo ra kiến trúc phức tạp trong khi nguồn nhân lực chuyên trách an toàn thông tin còn hạn chế. Nguy cơ cũng không chỉ xuất hiện tại thời điểm bị tấn công; đối tượng xấu có thể âm thầm nằm vùng trong hệ thống, tìm cách leo thang đặc quyền trước khi tiến hành hành vi phá hoại hoặc đánh cắp dữ liệu.
Điều đáng chú ý là với khu vực công, hậu quả của một sự cố dữ liệu không chỉ được đo bằng thiệt hại tài chính. Một cuộc tấn công làm gián đoạn hệ thống giải quyết thủ tục hành chính, đăng ký hộ tịch, bảo hiểm, thuế, đất đai hay các dịch vụ thiết yếu có thể trực tiếp ảnh hưởng đến quyền lợi của người dân và hoạt động của doanh nghiệp.
Vì thế, yêu cầu bảo vệ dữ liệu phải được đặt ngay từ thiết kế.
“Bảo mật ngay từ thiết kế” cần được hiểu theo nghĩa rộng hơn việc cài đặt phần mềm diệt mã độc hay xây dựng tường lửa. Đó là cách tiếp cận trong đó yếu tố an toàn được tích hợp xuyên suốt vòng đời dữ liệu: từ thu thập, phân loại, lưu trữ, xử lý, chia sẻ, khai thác đến sao lưu và hủy bỏ.
Trước hết, mỗi cơ quan cần xác định rõ đâu là tài sản số quan trọng. Không phải mọi dữ liệu đều có mức độ nhạy cảm giống nhau, cũng không phải mọi người dùng đều cần quyền truy cập như nhau. Phân loại dữ liệu phải đi cùng phân loại mức độ rủi ro và xây dựng các tầng bảo vệ tương ứng.
Thứ hai là quản trị quyền truy cập. Trong môi trường số, nguyên tắc “biết đến đâu, truy cập đến đó” cần được cụ thể hóa bằng cơ chế phân quyền, xác thực mạnh, giám sát nhật ký truy cập và rà soát quyền định kỳ. Một tài khoản có quyền quá rộng hoặc một quyền truy cập không được thu hồi đúng lúc có thể trở thành điểm yếu lớn hơn cả một lỗ hổng phần mềm.
Thứ ba là giám sát liên tục. Một hệ thống an toàn không đồng nghĩa với một hệ thống “không bao giờ bị tấn công”. Năng lực thực sự nằm ở khả năng phát hiện sớm, cô lập nhanh, hạn chế phạm vi ảnh hưởng và khôi phục hoạt động.
Đặc biệt, bài toán sao lưu cần được nhìn nhận lại. Nếu bản sao lưu vẫn luôn kết nối với hệ thống chính, trong một số kịch bản tấn công, kẻ xấu có thể tiếp cận và mã hóa hoặc phá hủy cả dữ liệu dự phòng. Chuyên gia tại hội thảo vì vậy nhấn mạnh các giải pháp như “Air-gap”, tách hệ thống sao lưu khỏi mạng khi không cần thiết hoặc khi phát hiện dấu hiệu bất thường.
Từ góc độ quản trị nhà nước, đây là kinh nghiệm rất đáng chú ý: an toàn dữ liệu không chỉ là khả năng ngăn chặn mà còn là năng lực phục hồi.
Một chính quyền số trưởng thành không thể chỉ trả lời câu hỏi “làm thế nào để không bị tấn công?”, mà phải trả lời được những câu hỏi khó hơn: Nếu hệ thống bị tấn công thì dịch vụ nào phải duy trì? Dữ liệu nào phải được phục hồi trước? Ai có quyền kích hoạt phương án khẩn cấp? Thời gian khôi phục chấp nhận được là bao lâu? Và bằng cách nào xác minh dữ liệu sau khôi phục vẫn toàn vẹn?
Đây là tư duy quản trị rủi ro thay vì tư duy ứng phó sự cố. Nhìn rộng hơn, những hạn chế từng được chỉ ra trong quá trình triển khai Đề án 06 cũng là một kinh nghiệm đáng tham khảo. Thủ tướng từng lưu ý tình trạng nhiều hệ thống thông tin, cơ sở dữ liệu được đầu tư từ lâu còn rời rạc, manh mún, thiếu đồng bộ và chưa đáp ứng yêu cầu an toàn thông tin, an ninh mạng, qua đó cản trở việc số hóa, kết nối và chia sẻ dữ liệu.
Điều đó cho thấy nếu an toàn không được đặt vào kiến trúc ngay từ đầu, chi phí khắc phục về sau sẽ lớn hơn nhiều so với chi phí phòng ngừa.
Từ kinh nghiệm thực tiễn đến mô hình chính quyền số “an toàn mặc định”
Kinh nghiệm quan trọng nhất có thể rút ra là chuyển đổi số khu vực công cần đồng thời giải quyết ba bài toán: dữ liệu đúng – kết nối thông suốt – bảo vệ xuyên suốt.
Trong đó, dữ liệu đúng phải được đặt lên trước dữ liệu nhiều. Một cơ sở dữ liệu lớn nhưng sai lệch, trùng lặp hoặc thiếu trường thông tin chuẩn hóa sẽ không tạo ra giá trị quản trị tương xứng. Ngược lại, dữ liệu được chuẩn hóa, có định danh thống nhất và được cập nhật thường xuyên có thể trở thành nền tảng cho nhiều dịch vụ khác nhau.
Đây cũng là lý do quá trình “làm sạch dữ liệu” phải được coi là một nhiệm vụ quản trị, chứ không chỉ là nhiệm vụ kỹ thuật. Khi địa giới, mô hình tổ chức và quy trình hành chính thay đổi, việc đồng bộ dữ liệu phải đi cùng việc xác định cơ quan chịu trách nhiệm về chất lượng dữ liệu. Mỗi bộ dữ liệu quan trọng cần có “chủ sở hữu”, người chịu trách nhiệm cập nhật, quy trình kiểm tra và cơ chế xử lý khi dữ liệu sai.
Tiếp đó là kết nối thông suốt nhưng có kiểm soát. Chính quyền số không thể phát triển theo mô hình mỗi cơ quan sở hữu một “ốc đảo dữ liệu”. Nhưng mở dữ liệu không đồng nghĩa với mở vô điều kiện. Chia sẻ phải dựa trên mục đích, thẩm quyền, mức độ cần thiết và khả năng kiểm soát.
Ở đây, tư duy “Zero Trust” có thể được tham khảo ở góc độ quản trị: không mặc nhiên tin cậy một người dùng, thiết bị hay hệ thống chỉ vì họ đang ở bên trong mạng nội bộ; mọi yêu cầu truy cập cần được xác thực, đánh giá quyền và giám sát phù hợp.
Quan trọng hơn cả, cần hình thành một kiến trúc an toàn thống nhất cho khu vực công, thay vì để từng đơn vị tự giải quyết bài toán an ninh theo cách riêng. Điều này đặc biệt cần thiết khi các cơ quan nhà nước ngày càng sử dụng nền tảng điện toán đám mây, tích hợp nhiều hệ thống và chia sẻ dữ liệu qua nhiều tầng trung gian.
Cùng với hạ tầng, nhân lực phải được xem là một cấu phần của an toàn dữ liệu. Không thể xây dựng hệ thống hiện đại nếu đội ngũ vận hành thiếu kỹ năng nhận diện rủi ro, quản lý quyền truy cập, xử lý sự cố và phục hồi dữ liệu. Chuyển đổi số vì vậy phải đi cùng chuyển đổi năng lực của cán bộ, công chức.
Một vấn đề khác cần được chú trọng là diễn tập. Không ít tổ chức chỉ kiểm tra hệ thống khi chưa có sự cố, nhưng lại chưa thực sự biết mình sẽ vận hành thế nào trong tình huống hệ thống bị gián đoạn. Các cơ quan công quyền cần định kỳ diễn tập những kịch bản cụ thể: mất dữ liệu, mã hóa dữ liệu, chiếm quyền quản trị, gián đoạn dịch vụ, rò rỉ thông tin và mất kết nối giữa các hệ thống.
Thông qua diễn tập, cơ quan quản lý có thể xác định khoảng cách giữa “quy trình trên giấy” và năng lực ứng phó thực tế.
Từ góc độ chính sách, cần chuyển từ yêu cầu “tuân thủ an toàn thông tin” sang yêu cầu đo lường được khả năng chống chịu số. Một hệ thống tốt không chỉ được đánh giá bằng số lượng giải pháp bảo mật đã đầu tư, mà bằng thời gian phát hiện sự cố, thời gian cô lập, thời gian phục hồi, tỷ lệ dữ liệu khôi phục thành công và mức độ duy trì dịch vụ thiết yếu.
Đây là một hướng tiếp cận đặc biệt có ý nghĩa khi Việt Nam bước sâu hơn vào nền kinh tế dữ liệu và trí tuệ nhân tạo. AI chỉ có thể tạo ra giá trị khi dữ liệu đầu vào đủ chất lượng, có nguồn gốc rõ ràng, được quản trị và bảo vệ phù hợp. Nếu dữ liệu công vừa thiếu chuẩn hóa vừa thiếu cơ chế kiểm soát, việc đưa AI vào quản trị nhà nước có thể làm gia tăng cả sai sót lẫn rủi ro.
Ngược lại, nếu dữ liệu được tổ chức tốt, bảo vệ tốt và chia sẻ đúng thẩm quyền, AI có thể trở thành công cụ nâng cao năng lực dự báo, hỗ trợ ra quyết định và cung cấp dịch vụ công chủ động hơn.
Định hướng phát triển Chính phủ số, chính quyền số trong giai đoạn tới cũng đặt trọng tâm vào việc nâng cao chất lượng dữ liệu, hạ tầng và nhân lực. Các mục tiêu chuyển đổi số quốc gia đến năm 2030 tiếp tục nhấn mạnh những đột phá về thể chế số, hạ tầng số và nhân lực số, gắn với phương thức quản trị dựa trên dữ liệu kết nối và quản trị thông minh.
Vì vậy, bảo vệ dữ liệu ngay từ thiết kế không nên được xem như một khẩu hiệu kỹ thuật. Đó phải trở thành một nguyên tắc của quản trị công hiện đại.
Một nền hành chính số hiệu quả là nền hành chính mà người dân không phải cung cấp đi cung cấp lại thông tin Nhà nước đã có; doanh nghiệp được phục vụ nhanh hơn nhờ dữ liệu được kết nối; cơ quan quản lý ra quyết định dựa trên dữ liệu tin cậy; nhưng đồng thời người dân có thể yên tâm rằng dữ liệu của mình được sử dụng đúng mục đích, đúng thẩm quyền và được bảo vệ trong suốt vòng đời.
Từ những kinh nghiệm của Đề án 06, quá trình tổ chức chính quyền địa phương hai cấp và yêu cầu ngày càng cao về quản trị dữ liệu, có thể thấy một nguyên tắc đang trở nên rõ ràng: chuyển đổi số càng đi xa thì quản trị dữ liệu càng phải đi trước một bước.
Khi dữ liệu trở thành hạ tầng của chính quyền số, bảo vệ dữ liệu cũng phải trở thành một phần của hạ tầng đó. Không thể chờ đến khi xảy ra sự cố mới xây dựng phương án bảo vệ; không thể chỉ đầu tư cho khả năng kết nối mà xem nhẹ khả năng kiểm soát; và càng không thể coi an ninh dữ liệu là công việc riêng của bộ phận công nghệ thông tin.
Đó là trách nhiệm của toàn bộ hệ thống quản trị. Và xét đến cùng, mức độ an toàn của dữ liệu công cũng chính là một thước đo về mức độ trưởng thành của chính quyền số.
ThS Bùi Nam Giang
Tài liệu tham khảo:
- Báo Điện tử Chính phủ, Chuyển đổi số khu vực công: Dữ liệu phải được bảo vệ ngay từ thiết kế, ngày 24/8/2026.
- Quốc hội, Luật Dữ liệu số 60/2024/QH15, ban hành ngày 30/11/2024, có hiệu lực từ 1/7/2025.
- Quốc hội, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, ban hành ngày 26/6/2025, có hiệu lực từ 1/1/2026.
- Chính phủ, Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.
- Cổng Thông tin điện tử Chính phủ, các tài liệu và thông tin về triển khai Đề án 06, phát triển dữ liệu dân cư, định danh và xác thực điện tử phục vụ chuyển đổi số quốc gia.
- Văn phòng Chính phủ, Thông báo số 329/TB-VPCP ngày 24/6/2026 về kết luận phiên họp chuyên đề của Ban Chỉ đạo của Chính phủ về phát triển khoa học, công nghệ, đổi mới sáng tạo, chuyển đổi số và Đề án 06.
