Khung pháp lý về dữ liệu còn nhiều khoảng trống

Chia sẻ tại Hội thảo “Tuân thủ pháp luật về bảo vệ dữ liệu cá nhân trong lĩnh vực chứng khoán” do Hiệp hội An ninh mạng quốc gia (NCA) phối hợp với Hiệp hội Kinh doanh Chứng khoán Việt Nam (VASB) tổ chức vào sáng 21/4, ông Nguyễn Hữu Hiệu - Tổng Giám đốc FiinGroup cho rằng, dữ liệu không phải “sự thật” tuyệt đối, mà chỉ là lăng kính phản chiếu thực tại.

Sai lệch giữa dữ liệu và thực tế vì vậy trở thành nguồn gốc rủi ro, đặc biệt trong lĩnh vực chứng khoán - nơi mọi quyết định đầu tư đều dựa trên thông tin. Theo ông Hiệu, bản chất của ngành chứng khoán là kinh doanh thông tin, từ dữ liệu định danh, tài chính, hành vi giao dịch đến các mô hình dự báo. Do đó, năng lực kiểm soát và khai thác dữ liệu đúng thời điểm trở thành lợi thế cạnh tranh cốt lõi.

Dù vậy, nghịch lý đang xuất hiện khi hệ thống giao dịch đã được số hóa gần như hoàn toàn, nhưng cách thức giám sát và vận hành vẫn chủ yếu dựa trên các quy tắc cứng (rule-based).

Trong khi đó, dữ liệu ngày càng phức tạp hơn, với nhiều nguồn mới như dữ liệu thay thế, mạng xã hội, IoT; hệ thống xử lý cũng đa tầng hơn, từ core, CRM đến cloud; và trí tuệ nhân tạo ngày càng tham gia sâu vào quá trình ra quyết định. Khoảng cách giữa năng lực công nghệ và cơ chế đảm bảo niềm tin vì vậy ngày càng nới rộng.

Một điểm đáng chú ý là rủi ro dữ liệu hiện nay không còn nằm chủ yếu ở lớp bảo mật bên ngoài, mà xuất hiện trong chính dòng chảy và cách sử dụng dữ liệu.

Các tình huống như truy cập hợp lệ nhưng sử dụng sai mục đích, dữ liệu di chuyển ngang giữa các hệ thống, rò rỉ qua API hoặc cloud, hay khoảng cách giữa sự đồng thuận của khách hàng và cách dữ liệu thực sự được khai thác đang trở thành những điểm rủi ro phổ biến.

Điều này cho thấy mô hình bảo mật truyền thống vốn tập trung vào “tường lửa” không còn đủ để đảm bảo an toàn trong môi trường số hóa hiện nay.

Dữ liệu trở thành “điểm nghẽn” trong vận hành và cạnh tranh

Theo Tổng Giám đốc FiinGroup, ở cấp độ vận hành, quản trị dữ liệu trong ngành chứng khoán đang đối mặt với nhiều điểm nghẽn. Trước hết là thiếu một khung phân loại dữ liệu rõ ràng, khiến mọi dữ liệu bị đối xử như nhau, dẫn đến hoặc kiểm soát quá mức, hoặc bỏ sót rủi ro.

Thứ hai là thiếu khả năng quan sát toàn bộ dòng chảy dữ liệu giữa các chủ thể trong hệ thống, từ công ty chứng khoán, ngân hàng lưu ký đến các đối tác công nghệ. Bên cạnh đó là tình trạng lệch giữa “consent” (sự đồng ý) và “usage” (cách sử dụng), khi dữ liệu được sử dụng vượt ra ngoài mục đích mà khách hàng đồng ý.

Cuối cùng là bài toán đánh đổi giữa bảo mật và tăng trưởng, khi chi phí tuân thủ cao có thể tạo ra ma sát trong vận hành .

Những hạn chế này phản ánh một khoảng trống lớn hơn: thiếu một “lớp niềm tin” trong hệ thống dữ liệu. Bảo mật dữ liệu (data security) và quyền riêng tư (data privacy) là điều kiện cần, nhưng chưa đủ.

Điều thị trường cần là “data trust” - tức đảm bảo dữ liệu được sử dụng đúng cách, đúng mục đích và có thể kiểm chứng. Khi thiếu lớp niềm tin này, rủi ro không chỉ dừng ở cấp độ cá nhân như tài khoản bị xâm phạm, mà có thể lan sang hành vi thị trường, sai lệch mô hình AI, thậm chí gây ra rủi ro hệ thống nếu các nhà cung cấp dữ liệu bị tấn công.

Trong bối cảnh đó, một chuyển dịch tư duy đang được đặt ra. Thay vì tiếp cận theo mô hình rule-based với các quy tắc cứng, hệ thống cần chuyển sang mô hình risk-based, trong đó việc sử dụng dữ liệu được đánh giá dựa trên mức độ rủi ro và ngữ cảnh cụ thể.

"Thay vì chỉ tập trung “phòng thủ”, doanh nghiệp cần chuyển sang “thiết kế”, tức là xây dựng hệ thống dữ liệu ngay từ đầu để đảm bảo vừa an toàn, vừa tạo ra giá trị", ông Hiệu đưa ra quan điểm. Khi đó, dữ liệu không chỉ được thu thập và lưu trữ, mà được chuyển hóa thành insight, quyết định và cuối cùng là giá trị kinh doanh.

Để hiện thực hóa cách tiếp cận này, ông Nguyễn Hữu Hiệu đề xuất khung quản trị dữ liệu toàn diện gồm 5 lớp: nguyên tắc, chính sách, quy trình, tổ chức và công nghệ.

Lộ trình triển khai bắt đầu từ nền tảng trong 6 - 12 tháng như phân loại dữ liệu, kiểm soát truy cập theo mục đích, xác định rõ trách nhiệm; sau đó mở rộng sang giai đoạn 12 - 24 tháng với giám sát liên tục, quản trị chia sẻ dữ liệu và kiểm soát mô hình AI. Theo đó, doanh nghiệp không cần chờ hệ thống hoàn hảo mà cần triển khai theo hướng đo lường và điều chỉnh liên tục.

Khi dữ liệu trở thành hạ tầng của kinh tế số, thì niềm tin chính là hạ tầng của thị trường vốn. Việc đầu tư vào bảo vệ và quản trị dữ liệu không chỉ nhằm giảm thiểu rủi ro, mà còn là cách xây dựng lợi thế cạnh tranh dài hạn, đặc biệt trong bối cảnh Việt Nam đang hướng tới thu hút dòng vốn quốc tế.