Chủ quyền dữ liệu (Data Sovereignty) là gì? Hiểu để thực hiện đúng

Trong bối cảnh dữ liệu được lưu trữ và xử lý trên nhiều nền tảng cloud, doanh nghiệp cần hiểu rõ chủ quyền dữ liệu là gì để bảo đảm tuân thủ pháp luật và duy trì quyền kiểm soát thông tin. Bài viết sẽ làm rõ khái niệm Data Sovereignty, cách thức hoạt động và những yếu tố cần lưu ý khi triển khai.

Chủ quyền dữ liệu (Data Sovereignty) là gì?

Chủ quyền dữ liệu, hay Data Sovereignty, là nguyên tắc quy định dữ liệu phải chịu sự điều chỉnh của pháp luật tại quốc gia hoặc khu vực pháp lý nơi dữ liệu được lưu trữ, xử lý hoặc truyền qua.

Theo IAPP, khoảng 79% dân số thế giới hiện đang sinh sống tại các khu vực áp dụng một hình thức luật bảo vệ quyền riêng tư dữ liệu. Điều này cho thấy chủ quyền dữ liệu và bảo vệ dữ liệu đã trở thành những nội dung quan trọng trong hoạt động quản trị cloud hiện nay.

Để hiểu đầy đủ về phạm vi quản lý dữ liệu trên cloud, quản trị viên cần phân biệt ba khái niệm chính:

• Chủ quyền dữ liệu – Data Sovereignty: Dữ liệu phải tuân theo pháp luật và quy định của quốc gia hoặc khu vực pháp lý nơi dữ liệu được lưu trữ, xử lý hoặc truyền qua.
• Bản địa hóa dữ liệu – Data Localization: Dữ liệu bắt buộc phải được lưu trữ và xử lý trong phạm vi biên giới của một quốc gia cụ thể.
• Lưu trú của dữ liệu – Data Residency: Doanh nghiệp lựa chọn lưu trữ dữ liệu tại một địa điểm nhất định nhằm đáp ứng các yêu cầu về pháp lý, bảo mật hoặc quản trị.

Việc hiểu rõ các khái niệm này là nền tảng để doanh nghiệp xây dựng hệ thống quản lý chủ quyền dữ liệu hiệu quả, bảo đảm tuân thủ quy định và giảm thiểu rủi ro khi vận hành trong môi trường cloud.

Chủ quyền dữ liệu hoạt động như thế nào?

Để bảo đảm chủ quyền dữ liệu, doanh nghiệp cần kết hợp ba yếu tố: chủ quyền dữ liệu, chủ quyền vận hành và chủ quyền số. Đây là những thành phần quan trọng của hạ tầng đám mây có chủ quyền.

Chủ quyền vận hành

Chủ quyền vận hành giúp hạ tầng quan trọng luôn hoạt động và có thể truy cập khi cần. Doanh nghiệp cũng có thể kiểm soát quy trình vận hành, phát hiện điểm kém hiệu quả và duy trì khả năng phục hồi khi xảy ra sự cố.

Các kế hoạch thường được áp dụng gồm BCDR, DRaaS và phương án hạ tầng đáp ứng quy định tại khu vực triển khai cloud.

Chủ quyền số

Chủ quyền số thể hiện khả năng kiểm soát của doanh nghiệp đối với dữ liệu, phần mềm, nội dung và hạ tầng số.

Doanh nghiệp cần xác định rõ quyền truy cập, giới hạn người dùng và áp dụng chính sách nhất quán, chẳng hạn thông qua Policy as Code. Đồng thời, hệ thống phải có khả năng kiểm tra và đánh giá các quy trình vận hành để bảo đảm tính minh bạch.

Lựa chọn mô hình Cloud

Doanh nghiệp có thể triển khai chủ quyền dữ liệu trên public cloud, multicloud hoặc đám mây phân tán.

Public cloud và multicloud phù hợp khi doanh nghiệp muốn triển khai workload trên cloud nhưng vẫn kiểm soát dữ liệu theo khu vực. Trong khi đó, đám mây phân tán hoặc hạ tầng tại chỗ phù hợp với tổ chức cần quyền kiểm soát cao hơn đối với dữ liệu và nền tảng.

Đám mây chủ quyền (Sovereign Cloud)

Sovereign Cloud, hay đám mây chủ quyền, là mô hình điện toán đám mây được thiết kế để giúp tổ chức lưu trữ, xử lý và quản lý dữ liệu theo các quy định pháp luật của từng quốc gia hoặc khu vực. Mô hình này đặc biệt quan trọng với doanh nghiệp phải tuân thủ nghiêm ngặt các yêu cầu về quyền riêng tư, bảo mật và vị trí lưu trữ dữ liệu khách hàng.

Sovereign Cloud thường bao gồm ba yếu tố chính: chủ quyền dữ liệu (data sovereignty), chủ quyền vận hành (data sovereignty) và chủ quyền số (digital sovereignty). Trong đó, dữ liệu cần được quản lý theo pháp luật tại khu vực nơi dữ liệu được tạo ra, lưu trữ hoặc xử lý. Đồng thời, doanh nghiệp cũng phải kiểm soát được ai có quyền truy cập, vận hành và quản trị hạ tầng cloud.

Chủ quyền dữ liệu hoạt động như thế nào?

Chủ quyền dữ liệu không chỉ liên quan đến vị trí lưu trữ dữ liệu hoặc hệ thống pháp luật áp dụng. Để triển khai hiệu quả, doanh nghiệp cần đồng thời bảo đảm chủ quyền dữ liệu, chủ quyền vận hành và chủ quyền số. Đây là ba thành phần quan trọng trong hạ tầng đám mây có chủ quyền. 

Chủ quyền vận hành (Operational sovereignty)

Chủ quyền vận hành bảo đảm hạ tầng phục vụ các ứng dụng sử dụng nhiều dữ liệu luôn hoạt động ổn định và có thể truy cập. Đồng thời, doanh nghiệp có thể kiểm soát rõ hơn các quy trình vận hành, duy trì tính minh bạch và phát hiện những điểm chưa hiệu quả.

Một chiến lược chủ quyền vận hành phù hợp còn giúp hạ tầng duy trì khả năng phục hồi khi một khu vực gặp thiên tai hoặc sự cố. Vì vậy, doanh nghiệp thường kết hợp các kế hoạch như:

• Duy trì hoạt động kinh doanh và khôi phục sau thảm họa, hay BCDR.
• Khôi phục sau thảm họa dưới dạng dịch vụ, hay DRaaS.
• Xây dựng hạ tầng đáp ứng các quy định tại khu vực triển khai cloud.

Chủ quyền số (Digital sovereignty)

Chủ quyền số thể hiện mức độ kiểm soát của tổ chức đối với các tài sản kỹ thuật số, bao gồm:

• Dữ liệu.
• Phần mềm.
• Nội dung số.
• Hạ tầng kỹ thuật số.

Trong mô hình đám mây có chủ quyền, chủ quyền số đặc biệt quan trọng đối với hoạt động quản trị và tính minh bạch.

Doanh nghiệp cần xác định rõ quyền truy cập, giới hạn người dùng và áp dụng chính sách nhất quán, chẳng hạn thông qua Policy as Code. Đồng thời, hệ thống phải có khả năng kiểm tra và đánh giá các quy trình vận hành để bảo đảm tính minh bạch.

Lựa chọn mô hình cloud

Doanh nghiệp có thể triển khai chủ quyền dữ liệu trên public cloud, multicloud hoặc đám mây phân tán.

• Tại nhiều quốc gia, mô hình public cloud hoặc multicloud cho phép doanh nghiệp triển khai các khối lượng công việc trên cloud nhưng vẫn duy trì quyền kiểm soát dữ liệu trong một khu vực cụ thể. 
• Trong khi đó, Đám mây phân tán có thể được triển khai thông qua hạ tầng của nhà cung cấp trong nước hoặc trung tâm dữ liệu tại chỗ. Mô hình này phù hợp với các doanh nghiệp cần mức độ kiểm soát cao hơn đối với dữ liệu và hạ tầng. Doanh nghiệp có thể lựa chọn nơi triển khai nền tảng và khối lượng công việc dựa trên yêu cầu vận hành, quản trị và kiểm soát dữ liệu.

Chủ quyền dữ liệu được xác định như thế nào?

Chủ quyền dữ liệu được xác định dựa trên hệ thống pháp luật áp dụng tại quốc gia hoặc khu vực nơi dữ liệu được thu thập, lưu trữ, xử lý hoặc chuyển giao. Khi một quốc gia có chủ quyền đối với dữ liệu, cơ quan có thẩm quyền của quốc gia đó có quyền quy định dữ liệu được sử dụng như thế nào, ai được phép truy cập và những điều kiện cần đáp ứng khi chuyển dữ liệu sang lãnh thổ khác.

Việc xác định chủ quyền dữ liệu không chỉ phụ thuộc vào vị trí đặt máy chủ. Doanh nghiệp còn phải xem xét nơi dữ liệu được thu thập, quốc tịch hoặc nơi cư trú của chủ thể dữ liệu, loại dữ liệu, lĩnh vực hoạt động và vị trí của các bên tham gia xử lý.

Nếu dữ liệu được thu thập tại một quốc gia nhưng lưu trữ hoặc xử lý tại quốc gia khác, dữ liệu có thể đồng thời chịu sự điều chỉnh của nhiều hệ thống pháp luật. Khi đó, doanh nghiệp cần xác định rõ luồng dữ liệu, trách nhiệm của từng bên, điều kiện chuyển dữ liệu xuyên biên giới và các biện pháp bảo vệ phù hợp.

Theo quy định pháp luật hiện hành, chủ quyền dữ liệu tại Việt Nam chủ yếu được thể hiện qua các quy định về bảo vệ dữ liệu cá nhân và yêu cầu bản địa hóa (lưu trữ) dữ liệu. Hai văn bản nền tảng điều chỉnh vấn đề này là Nghị định 13/2023/NĐ-CP (về bảo vệ dữ liệu cá nhân) và Luật An ninh mạng 2018 (cùng Nghị định 53/2022/NĐ-CP hướng dẫn thi hành).

Doanh nghiệp cần lưu ý gì khi xây dựng chủ quyền dữ liệu?

Để bảo đảm chủ quyền dữ liệu, doanh nghiệp cần lựa chọn nhà cung cấp cloud có chiến lược phù hợp với quy định tại quốc gia hoặc khu vực hoạt động. Một số tiêu chí quan trọng gồm:

• Khả năng quản trị dữ liệu: Có chính sách, quy trình kiểm soát dữ liệu nhạy cảm và thực hiện kiểm toán định kỳ.
• Cam kết SLA rõ ràng: SLA cần quy định cụ thể về quyền kiểm soát cloud, tính sẵn sàng và hiệu suất dịch vụ.
• Khả năng tuân thủ pháp luật: Nhà cung cấp phải am hiểu luật dữ liệu tại từng khu vực và thường xuyên cập nhật quy định mới.
• Mã hóa dữ liệu: Sử dụng thuật toán và khóa mã hóa để bảo vệ dữ liệu, đồng thời kiểm soát ai được truy cập và truy cập khi nào.
• Khả năng phục hồi: Hệ thống cần tích hợp cơ chế sao lưu, khôi phục và chuyển đổi dự phòng khi xảy ra sự cố.
• Năng lực giảm thiểu rủi ro: Có phương án ứng phó với tấn công mạng, thiên tai và gián đoạn dịch vụ.

Lựa chọn đúng nhà cung cấp sẽ giúp doanh nghiệp vừa duy trì quyền kiểm soát dữ liệu, vừa đáp ứng yêu cầu bảo mật, tuân thủ và chuyển đổi số.

Hiểu rõ chủ quyền dữ liệu là gì giúp doanh nghiệp lựa chọn mô hình cloud phù hợp, kiểm soát quyền truy cập và giảm rủi ro pháp lý. Đồng thời, doanh nghiệp nên ưu tiên nhà cung cấp có hạ tầng an toàn, khả năng phục hồi cao và đáp ứng các quy định về dữ liệu tại Việt Nam.