Projekt ustawy o cyberbezpieczeństwie kładzie kres łatwemu gromadzeniu danych

(Dan Tri) - Projekt ustawy o cyberbezpieczeństwie 2025 stanowi ważny punkt zwrotny w prawie, gdyż po raz pierwszy definiuje „bezpieczeństwo danych” jako istotny element bezpieczeństwa narodowego.

Zmiana ta nie tylko wypełnia luki prawne, ale także wprowadza surowe bariery techniczne, wymaga od szefów organizacji posiadania certyfikatów z zakresu cyberbezpieczeństwa i kończy erę „łatwego” gromadzenia danych przez firmy.

Dane stają się kwestią przetrwania narodu

Podczas seminarium „Prawo cyberbezpieczeństwa 2025: Krok naprzód w ochronie bezpieczeństwa danych”, zorganizowanego przez Krajowe Stowarzyszenie Cyberbezpieczeństwa po południu 24 listopada, eksperci jednogłośnie zgodzili się, że stare ramy prawne spełniły swoje pierwotne zadanie, ale nie są wystarczająco kompleksowe, aby sprostać obecnemu tempu transformacji cyfrowej.

Podpułkownik Nguyen Dinh Do Thi, zastępca szefa Departamentu Cyberbezpieczeństwa (Departament Cyberbezpieczeństwa i Zapobiegania Przestępczości z Wykorzystaniem Zaawansowanych Technologii oraz Kontroli - Ministerstwo Bezpieczeństwa Publicznego ) podkreślił zmianę w myśleniu o zarządzaniu państwem, gdy dane są traktowane jako „krew” cyfrowej gospodarki, a także gdy identyfikowane są kluczowe polityki państwa dotyczące zapewnienia cyberbezpieczeństwa i bezpieczeństwa danych.

Po pierwsze, należy nadać priorytet cyberbezpieczeństwu w obszarze obrony narodowej, bezpieczeństwa, gospodarki społecznej, nauki i technologii oraz spraw zagranicznych. Po drugie, należy budować bezpieczną cyberprzestrzeń, która nie zagraża bezpieczeństwu narodowemu ani porządkowi społecznemu.

Po trzecie, należy skoncentrować zasoby na budowaniu wyspecjalizowanych sił, rozwijaniu wysokiej jakości zasobów ludzkich oraz promowaniu badań i rozwoju technologii cyberbezpieczeństwa. Po czwarte, należy zachęcać organizacje i osoby prywatne do udziału w zarządzaniu ryzykiem i koordynacji z właściwymi organami. Po piąte, należy priorytetowo traktować wykorzystanie produktów i usług wietnamskiego sektora cyberbezpieczeństwa. Po szóste, należy wzmocnić współpracę międzynarodową w celu ochrony cyberbezpieczeństwa.

Podpułkownik Nguyen Dinh Do Thi, zastępca szefa departamentu bezpieczeństwa cybernetycznego, Departament bezpieczeństwa cybernetycznego i zapobiegania przestępczości z wykorzystaniem zaawansowanych technologii (zdjęcie: NCA).

Pilna potrzeba wprowadzenia przepisów dotyczących bezpieczeństwa danych wynika z faktu, że ryzyko braku bezpieczeństwa danych staje się coraz poważniejsze.

Pułkownik Thi podkreślił, że tylko w 2024 roku Wietnam odnotował ponad 600 000 ataków cybernetycznych, z czego dziesiątki tysięcy były wymierzone w systemy agencji państwowych.

Ponadto ataki ransomware zmusiły wiele wietnamskich firm do zapłacenia milionów dolarów okupu za dane, podobnie jak w USA, gdzie koszty sięgały nawet 40 milionów dolarów. Kupno i sprzedaż danych odbywa się jawnie, a w lutym doszło do rozbicia grupy podmiotów, które nielegalnie kupowały i sprzedawały do ​​6 milionów danych osobowych.

Podzielając ten pogląd, pan Vu Ngoc Son – kierownik Departamentu Badań, Doradztwa, Rozwoju Technologii i Współpracy Międzynarodowej (Krajowe Stowarzyszenie Cyberbezpieczeństwa) ocenił, że dodanie koncepcji „bezpieczeństwa danych” jest wielkim sukcesem projektu ustawy, stawiającego dane w centrum działań związanych z bezpieczeństwem.

Pan Vu Ngoc Son, szef badań, doradztwa, rozwoju technologii i współpracy międzynarodowej, National Cyber ​​Security Association (zdjęcie: NCA).

Według pana Sona nowe przepisy wprowadzą rygorystyczny proces kontroli, dzieląc rynek na dwie odrębne grupy: jednostki „prawdziwe” i jednostki „fałszywe”.

Wcześniej podmioty mogły swobodnie gromadzić i przechowywać dane bez inwestowania w bezpieczeństwo. Oczekuje się jednak, że ustawa położy kres tej sytuacji. Podmioty, które nie zapewnią infrastruktury i rozwiązań z zakresu cyberbezpieczeństwa, nie będą mogły gromadzić ani przechowywać danych.

Pan Son porównał dane do pieniędzy – ludzie wpłacają pieniądze tylko do banków, które spełniają standardy ochrony, i podobnie nie udostępniają danych organizacjom, które nie są w stanie zapewnić im bezpieczeństwa.

Ta zmiana pobudzi powstanie nowego sektora gospodarki: branży danych, obok branży cyberbezpieczeństwa. Firmy, które nie są w stanie samodzielnie chronić swoich danych, będą musiały przestawić się na zakup usług, łączenie się z krajowymi bazami danych lub uczestnictwo w renomowanych giełdach danych zamiast samodzielnego ich gromadzenia.

„Pomaga to zoptymalizować zasoby społeczne, obniżyć koszty zdecentralizowanych inwestycji i ograniczyć ryzyko wycieku” – dodał pan Son.

Uwierzytelnianie twarzy nie wystarczy do walki z deepfake’ami

Pan Tran Cong Quynh Lan, zastępca dyrektora generalnego Wietnamskiego Banku Handlowego ds. Przemysłu i Handlu (Vietinbank), powiedział, że obecnie 99% transakcji w tym banku odbywa się za pośrednictwem kanałów cyfrowych.

Aby sprostać nowym wymaganiom, VietinBank wdrożył wielowarstwowy model bezpieczeństwa, wykorzystując obecnie stosowane 4-warstwowe uwierzytelnianie:

Warstwa 1 i 2: nazwa użytkownika/hasło i kod OTP.

Klasa 3: Biometria (twarz).

Warstwa 4: Uwierzytelnianie za pomocą dowodu osobistego z chipem, z wykorzystaniem technologii NFC (technologia komunikacji bezprzewodowej krótkiego zasięgu).

Pan Lan podkreślił rolę czwartej warstwy ochrony w walce z oszustwami tożsamościowymi (Deepfake). Na przykład, przy przelewach pieniężnych o wartości ponad 1 miliarda VND, system wymaga od użytkowników zeskanowania ich kart identyfikacyjnych z chipem w celu weryfikacji, zamiast polegać wyłącznie na ich twarzy.

W dyskusji wziął udział zastępca dyrektora generalnego VietinBank, Tran Cong Quynh Lan (zdjęcie: NCA).

Warto zauważyć, że gdy klienci zmieniają telefony – co jest zachowaniem wysoce ryzykownym – bank stosuje również uwierzytelnianie NFC w celu zapewnienia autentyczności transakcji.

Oprócz rozwiązania technicznego pan Lan wskazał na główne wyzwania operacyjne, jakie niesie ze sobą projekt ustawy:

Klasyfikacja danych: Banki muszą codziennie klasyfikować i oznaczać dane dla milionów transakcji. Dane biometryczne, dane finansowe i dane behawioralne muszą mieć różne mechanizmy ochrony i autoryzacje dostępu.

Zgłaszanie incydentów w ciągu 24 godzin: Wymaganie zgłaszania incydentów związanych z bezpieczeństwem cybernetycznym w ciągu 24 godzin wraz z planem reagowania stanowi ogromne obciążenie dla procesu reagowania.

„Nie ufaj nikomu” to najpewniejsza ochrona

Mówiąc o infrastrukturze sieciowej, pan Le Cong Trung, szef działu bezpieczeństwa sieci w MobiFone, przedstawił zastosowanie architektury Zero Trust – braku zaufania do kogokolwiek – w celu spełnienia nowych standardów bezpieczeństwa sieci.

Ten model opiera się na 5 filarach: tożsamości, urządzeniu, sieci, aplikacji i danych. Każdy dostęp musi być stale uwierzytelniany.

Kolejnym kluczowym punktem jest kontrola ryzyka w łańcuchu dostaw.

„MobiFone promuje swoją strategię autonomii technologicznej, samodzielnie produkując urządzenia zabezpieczające sieć, takie jak zapory sieciowe i rozwiązania identyfikacyjne „Make in Vietnam”, aby uniknąć zależności od podmiotów zewnętrznych” – powiedział Trung.

Przedstawiciel MobiFone docenił również fakt, że ustawa o cyberbezpieczeństwie ściśle opiera się na normach TCVN 11423 dotyczących cyberbezpieczeństwa, pomagając przedsiębiorstwom w stosowaniu konkretnych środków ilościowych (15 wymogów dla systemów agencji państwowych, 18 wymogów dla ważnych systemów krajowych) w celu wdrażania rozwiązań technicznych.

Pan Le Cong Trung, szef działu cyberbezpieczeństwa MobiFone (zdjęcie: NCA).

Nowym przełomowym punktem w ustawie o cyberbezpieczeństwie na rok 2025, na który szczególnie zwrócił uwagę pan Vu Ngoc Son, jest wymóg dotyczący lidera.

W przeciwieństwie do starego prawa, które określało jedynie ogólne obowiązki, projekt ustawy wymaga od szefa organizacji posiadania wiedzy i certyfikatów w zakresie zarządzania cyberbezpieczeństwem. Pan Son powiedział, że to ważny krok w kierunku zmiany kultury organizacyjnej, ponieważ jeśli lider tego nie rozumie, nie może podejmować skutecznych decyzji inwestycyjnych.

„Użytkownicy internetu muszą również zmienić swoje nastawienie z „przyjemności” na „odpowiedzialność”. Nierozważne i niekontrolowane udostępnianie danych osobowych to jak pozostawianie aktywów bez ochrony, co pośrednio sprzyja działaniom przestępczym” – dodał pan Son.

Dzieląc się międzynarodowym doświadczeniem, pan Son przytoczył przykład Korei Południowej – kraju, który niegdyś był najbardziej narażony na cyberataki na świecie. Korea Południowa stworzyła uniwersalny system certyfikacji w zakresie cyberbezpieczeństwa, obejmujący zarówno szkołę podstawową, jak i studia podyplomowe.

„Dzięki temu gruntownemu szkoleniu Koreańczycy i personel mają bardzo dobre umiejętności obronne, co pozwala im stworzyć solidną „tarczę” dla kraju, gdy wszystkie strony dysponują wiedzą i inwestują w cyberbezpieczeństwo” – powiedział pan Son.

Source: https://dantri.com.vn/cong-nghe/du-thao-luat-an-ninh-mang-cham-dut-tinh-trang-thu-thap-du-lieu-de-dai-20251124225636608.htm