Luật An ninh mạng năm 2025 - Quyền được bảo vệ và trách nhiệm của mỗi người

Không gian mạng an toàn được tạo nên từ pháp luật, công nghệ và cách ứng xử có trách nhiệm của từng người dùng

Một người dân bất ngờ nhận được cuộc gọi từ bạn bè hỏi về khoản tiền vừa vay qua mạng. Kiểm tra lại, người này phát hiện hình ảnh, tên tuổi và giọng nói của mình đã bị đối tượng xấu sử dụng để tạo tài khoản giả, gọi điện vay tiền những người quen.

Ở một trường hợp khác, số điện thoại, địa chỉ, thông tin công việc và lịch sử mua hàng của một khách hàng bị rao bán trên mạng. Sau đó, người này liên tục nhận các cuộc gọi mạo danh ngân hàng, cơ quan nhà nước và đơn vị giao hàng.

Khi gặp những tình huống như vậy, nhiều người đặt câu hỏi: “Pháp luật bảo vệ tôi như thế nào?”, “Nền tảng mạng có trách nhiệm gì?”, “Người sử dụng mạng phải tuân thủ những quy định nào?”.

Luật An ninh mạng số 116/2025/QH15 đã tạo cơ sở pháp lý thống nhất để giải quyết những vấn đề đó. Luật được Quốc hội thông qua ngày 10/12/2025, có hiệu lực từ ngày 01/7/2026, gồm 8 chương, 45 điều; kế thừa, hợp nhất và hoàn thiện các quy định phù hợp của Luật An ninh mạng năm 2018 và Luật An toàn thông tin mạng năm 2015.

Luật không chỉ hướng đến bảo vệ hệ thống thông tin quan trọng hay phòng, chống các cuộc tấn công mạng quy mô lớn. Những quy định mới còn gắn trực tiếp với tài khoản, dữ liệu, danh tính số và quyền, lợi ích hợp pháp của mỗi người dân, cơ quan, tổ chức, doanh nghiệp.

Vì sao cần một đạo luật phù hợp với thời đại AI?

Không gian mạng đã thay đổi rất nhanh. Trước đây, nguy cơ thường được nhắc đến là virus máy tính, mất mật khẩu hoặc website bị tấn công. Hiện nay, chỉ từ một bức ảnh, đoạn ghi âm hoặc vài thông tin công khai, đối tượng xấu có thể sử dụng trí tuệ nhân tạo để tạo ra video giả, giọng nói giả hoặc một danh tính gần như hoàn chỉnh.

Dữ liệu cá nhân trở thành “nguyên liệu” để xây dựng kịch bản lừa đảo. Tài khoản mạng xã hội bị chiếm quyền có thể được sử dụng để lừa cả danh bạ. Một tệp tin tưởng như quen thuộc có thể chứa mã độc; một mã QR có thể dẫn đến trang web giả; một tài khoản ngân hàng hoặc ví điện tử cho thuê có thể trở thành công cụ luân chuyển tiền phạm tội.

Đối với doanh nghiệp, nguy cơ không chỉ là mất dữ liệu. Một cuộc tấn công mã hóa dữ liệu có thể làm ngưng trệ hoạt động sản xuất, gián đoạn dịch vụ, mất uy tín với khách hàng và kéo theo những thiệt hại khó khắc phục.

Luật An ninh mạng năm 2025 được xây dựng trong bối cảnh đó. Luật bổ sung cách tiếp cận toàn diện hơn, bao gồm bảo vệ hệ thống thông tin, bảo vệ dữ liệu và bảo vệ hoạt động hợp pháp của con người trên không gian mạng. Khái niệm “an ninh dữ liệu” cũng được quy định rõ hơn, cho thấy dữ liệu không còn là vấn đề riêng của bộ phận công nghệ mà là tài sản cần được quản trị, bảo vệ trong suốt quá trình thu thập, lưu trữ, sử dụng và truyền đưa.

Quyền được bảo vệ trên không gian mạng

Mỗi người có quyền sử dụng internet để học tập, làm việc, giao tiếp, kinh doanh, bày tỏ ý kiến và tiếp cận thông tin theo quy định của pháp luật. Đồng thời, danh dự, nhân phẩm, uy tín, tài sản, dữ liệu và các quyền, lợi ích hợp pháp khác của cá nhân cũng cần được bảo vệ trước những hành vi xâm phạm trên không gian mạng.

Luật An ninh mạng năm 2025 tạo cơ sở để phòng ngừa, phát hiện và xử lý nhiều hành vi nguy hiểm, trong đó có:

- Sử dụng trí tuệ nhân tạo hoặc công nghệ mới để tạo dựng trái pháp luật video, hình ảnh hoặc giọng nói giả mạo người khác;

- Thu thập, khai thác, sử dụng, phát tán, trao đổi hoặc kinh doanh trái pháp luật thông tin, dữ liệu cá nhân;

- Sử dụng danh tính, giấy tờ giả để mở tài khoản ngân hàng, tài khoản số hoặc tạo “tài khoản rác” phục vụ hành vi phạm tội;

- Đưa thông tin sai sự thật trong các lĩnh vực tài chính, ngân hàng, thương mại điện tử, chứng khoán, trái phiếu hoặc kinh doanh đa cấp, gây hoang mang và thiệt hại cho xã hội;

- Phát tán mã độc, xâm nhập, phá hoại, cản trở hoặc làm gián đoạn hoạt động của hệ thống thông tin.

Như vậy, khi một người bị giả mạo bằng deepfake, bị đánh cắp danh tính, bị chiếm tài khoản hoặc bị sử dụng dữ liệu trái phép, đó không đơn thuần là “chuyện trên mạng”. Hành vi có thể xâm phạm trực tiếp đến quyền, tài sản và sự an toàn của nạn nhân, đồng thời có thể bị xử lý theo tính chất, mức độ và hậu quả gây ra.

Tuy nhiên, quyền được bảo vệ không có nghĩa là mọi ý kiến khác biệt, mọi lời phê bình hay tranh luận trên mạng đều bị coi là vi phạm. Việc đánh giá phải căn cứ vào nội dung, mục đích, hành vi cụ thể và quy định pháp luật. Tự do sử dụng internet luôn đi cùng nghĩa vụ tôn trọng quyền của người khác, lợi ích của Nhà nước và trật tự, an toàn xã hội.

Nền tảng số cũng phải có trách nhiệm

Người sử dụng không phải là chủ thể duy nhất có trách nhiệm bảo đảm an ninh mạng. Doanh nghiệp cung cấp dịch vụ viễn thông, internet, nền tảng số và các dịch vụ trên không gian mạng phải chủ động áp dụng biện pháp kỹ thuật, quản lý để phát hiện, ngăn chặn và xử lý nội dung vi phạm thuộc phạm vi trách nhiệm của mình.

Theo nội dung giới thiệu chính thức về Luật, khi nhận được yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an, doanh nghiệp có trách nhiệm ngăn chặn việc chia sẻ, xóa bỏ thông tin hoặc gỡ bỏ dịch vụ, ứng dụng vi phạm trong thời hạn không quá 24 giờ; trường hợp khẩn cấp, thời hạn không quá 6 giờ.

Cần hiểu đúng rằng đây là trách nhiệm thực hiện yêu cầu hợp pháp của cơ quan có thẩm quyền, không đồng nghĩa với việc mọi nội dung do người dùng phản ánh điều mặc nhiên phải được gỡ bỏ trong 24 giờ. Khi phát hiện tài khoản giả mạo, nội dung lừa đảo hoặc thông tin xâm phạm quyền lợi, người dân vẫn nên sử dụng công cụ báo cáo của nền tảng, lưu giữ chứng cứ và trình báo cơ quan chức năng.

Trách nhiệm bắt đầu từ mỗi tài khoản

Pháp luật và công nghệ có thể tạo ra hàng rào bảo vệ, nhưng tài khoản của mỗi người vẫn là một “cánh cửa” quan trọng. Nếu người dùng tự cung cấp mật khẩu, mã OTP, cài đặt ứng dụng không rõ nguồn gốc hoặc chuyển tiền theo yêu cầu chưa được kiểm chứng, nhiều biện pháp bảo vệ có thể bị vô hiệu hóa.

Sử dụng không gian mạng có trách nhiệm trước hết là không thực hiện và không tiếp tay cho hành vi vi phạm. Mỗi người cần:

1. Bảo vệ danh tính và tài khoản

Sử dụng mật khẩu mạnh, riêng biệt cho từng tài khoản quan trọng; bật xác thực hai lớp; không cung cấp mật khẩu, mã OTP, mã khôi phục hoặc quyền điều khiển thiết bị cho người khác.

Không cho thuê, cho mượn tài khoản ngân hàng, ví điện tử, SIM điện thoại, tài khoản mạng xã hội hoặc giấy tờ tùy thân. Khi các phương tiện này bị sử dụng để lừa đảo hoặc luân chuyển tiền phạm tội, người đứng tên có thể phải giải trình và đối mặt với hậu quả pháp lý.

2. Tôn trọng dữ liệu cá nhân của người khác

Không tự ý đăng tải số điện thoại, địa chỉ, giấy tờ tùy thân, hồ sơ bệnh án, hình ảnh riêng tư hoặc thông tin gia đình của người khác. Việc đã nhận được một thông tin không có nghĩa là được quyền phát tán thông tin đó.

Trước khi đưa hình ảnh hoặc dữ liệu của người khác vào công cụ AI, cần xem xét sự đồng ý của người có liên quan, mục đích sử dụng, điều khoản của dịch vụ và nguy cơ dữ liệu bị lưu trữ hoặc khai thác ngoài mong muốn.

3. Kiểm chứng trước khi đăng và chia sẻ

Không vội tin thông tin chỉ vì có hình ảnh, video, giọng nói hoặc logo của cơ quan, doanh nghiệp. Công nghệ AI có thể tạo ra nội dung giả rất thuyết phục.

Đối với thông tin liên quan đến thiên tai, dịch bệnh, tài chính, ngân hàng, chính sách hoặc hoạt động của cơ quan nhà nước, cần kiểm tra từ nguồn chính thức. Không chia sẻ với suy nghĩ “đăng để mọi người cảnh giác” khi bản thân chưa xác minh, bởi chính việc lan truyền có thể làm thông tin giả tiếp cận thêm nhiều nạn nhân.

4. Không tiếp tay cho hành vi xâm phạm

Không tham gia các hội nhóm mua bán dữ liệu, công cụ đánh cắp tài khoản, phần mềm phá hoại, dịch vụ tạo giấy tờ giả hoặc deepfake nhằm bôi nhọ, lừa đảo.

Khi nhận được hình ảnh riêng tư của một nạn nhân, không tiếp tục tải xuống, bình luận chế giễu hoặc gửi cho người khác. Mỗi lượt chia sẻ có thể làm tổn thương nạn nhân thêm một lần và khiến việc kiểm soát thông tin trở nên khó khăn hơn.

Trẻ em và người dễ bị tổn thương cần được bảo vệ tốt hơn

Trẻ em có thể sử dụng thiết bị rất thành thạo nhưng chưa đủ khả năng nhận diện mọi thủ đoạn thao túng, dụ dỗ hoặc đe dọa. Các em có thể bị lừa nạp tiền trong game, bị yêu cầu gửi hình ảnh riêng tư, bị dụ bấm vào liên kết lạ hoặc bị đối tượng xấu đe dọa phải giữ bí mật với gia đình.

Luật An ninh mạng năm 2025 nhấn mạnh trách nhiệm bảo vệ trẻ em và các nhóm dễ bị tổn thương trên không gian mạng. Cha mẹ, người giám hộ có trách nhiệm quản lý, giám sát phù hợp việc trẻ tiếp cận và sử dụng mạng. Theo nội dung giải thích chính thức, đối với dịch vụ yêu cầu đăng ký tài khoản, cha mẹ hoặc người giám hộ phải thực hiện việc đăng ký và chịu trách nhiệm theo quy định; doanh nghiệp cung cấp dịch vụ cũng phải có công cụ để tiếp nhận phản ánh về nội dung gây hại cho trẻ em.

Giám sát không có nghĩa là cấm đoán hoàn toàn hoặc bí mật kiểm tra mọi cuộc trò chuyện của trẻ. Điều cần thiết hơn là thống nhất quy tắc sử dụng thiết bị, hướng dẫn trẻ nhận biết dấu hiệu nguy hiểm và tạo niềm tin để trẻ có thể kể lại khi gặp sự cố mà không sợ bị trách phạt.

Người cao tuổi và người gặp khó khăn trong nhận thức, làm chủ hành vi cũng cần được hỗ trợ cài đặt bảo mật, kiểm tra cuộc gọi bất thường và xác minh trước khi thực hiện giao dịch.

Cơ quan, doanh nghiệp không thể giao toàn bộ trách nhiệm cho bộ phận công nghệ

Một sự cố an ninh mạng có thể bắt đầu từ hành động rất nhỏ: nhân viên mở tệp đính kèm giả mạo, sử dụng chung mật khẩu, gửi tài liệu nội bộ lên công cụ AI công cộng hoặc bỏ qua cảnh báo cập nhật phần mềm.

Luật quy định hệ thống thông tin được phân loại theo 5 cấp độ an ninh mạng để áp dụng yêu cầu bảo vệ tương ứng. Tùy thuộc cấp độ, tính chất hệ thống và vai trò cung cấp dịch vụ, cơ quan, tổ chức, doanh nghiệp phải xây dựng quy định nội bộ, áp dụng tiêu chuẩn kỹ thuật, kiểm soát truy cập, sao lưu dữ liệu, giám sát nguy cơ và chuẩn bị phương án ứng phó sự cố.

Đối với doanh nghiệp nhỏ, bảo đảm an ninh mạng không nhất thiết phải bắt đầu bằng hệ thống quá phức tạp. Có thể bắt đầu từ những việc thiết thực:

- Xác định dữ liệu nào là quan trọng và ai được quyền truy cập;

- Bật xác thực nhiều lớp cho thư điện tử, tài khoản quản trị và dịch vụ tài chính;

- Sao lưu dữ liệu định kỳ, có ít nhất một bản sao tách khỏi hệ thống đang sử dụng;

- Cập nhật phần mềm, thiết bị mạng và chương trình bảo vệ;

- Ban hành quy trình sử dụng USB, thư điện tử, dịch vụ lưu trữ đám mây và công cụ AI;

- Hướng dẫn nhân viên nhận biết thư giả mạo, yêu cầu chuyển tiền bất thường và dấu hiệu thiết bị nhiễm mã độc;

- Chuẩn bị người phụ trách, kênh liên lạc và phương án duy trì hoạt động khi xảy ra sự cố.

An ninh mạng không phải nhiệm vụ riêng của nhân viên kỹ thuật. Người quản lý phải quyết định mức đầu tư và phương án ứng phó; bộ phận nhân sự quản lý vòng đời tài khoản; bộ phận nghiệp vụ bảo vệ dữ liệu khách hàng; còn mỗi nhân viên phải tuân thủ quy trình an toàn.

Khi quyền lợi bị xâm phạm, cần làm gì?

Khi phát hiện bị giả mạo, chiếm tài khoản, lừa chuyển tiền hoặc phát tán dữ liệu trái phép, nạn nhân cần bình tĩnh và thực hiện theo thứ tự ưu tiên:

Thứ nhất, dừng tương tác và hạn chế thiệt hại. Không tiếp tục chuyển tiền, không cung cấp thêm thông tin và không làm theo yêu cầu cài đặt ứng dụng hoặc chia sẻ màn hình.

Thứ hai, bảo vệ tài khoản. Từ một thiết bị an toàn, thay đổi mật khẩu, đăng xuất khỏi các phiên đăng nhập lạ, bật xác thực hai lớp và kiểm tra email, số điện thoại khôi phục.

Thứ ba, liên hệ đơn vị liên quan. Nếu có giao dịch tài chính, cần thông báo ngay cho ngân hàng hoặc tổ chức trung gian thanh toán để được hướng dẫn xử lý. Nếu tài khoản mạng xã hội bị chiếm, sử dụng chức năng khôi phục và báo cáo tài khoản.

Thứ tư, lưu giữ chứng cứ. Chụp màn hình cuộc trò chuyện, lưu đường dẫn, tên tài khoản, số điện thoại, thời gian liên lạc, nội dung chuyển khoản và thông tin giao dịch. Không chỉnh sửa dữ liệu gốc nếu chưa cần thiết.

Thứ năm, trình báo cơ quan Công an nơi gần nhất. Cung cấp thông tin trung thực, đầy đủ và phối hợp theo hướng dẫn. Không tự hẹn gặp, đe dọa hoặc tìm cách “gài bẫy” đối tượng, vì có thể làm tăng nguy hiểm và ảnh hưởng đến quá trình xác minh.

Khi cảnh báo người thân, chỉ nên cung cấp thông tin đủ để nhận diện thủ đoạn. Không đăng công khai căn cước, số tài khoản đầy đủ, hình ảnh riêng tư hoặc toàn bộ hồ sơ chứng cứ của nạn nhân.

Bốn cách hiểu chưa đúng về Luật An ninh mạng

“Luật An ninh mạng chỉ dành cho cơ quan nhà nước và doanh nghiệp công nghệ.”

Không đúng. Nhiều quy định liên quan trực tiếp đến dữ liệu cá nhân, tài khoản số, hành vi giả mạo, sử dụng AI, đăng tải và chia sẻ thông tin của mọi người dùng.

“Có pháp luật bảo vệ nên người dùng không cần tự bảo vệ mình.”

Không đúng. Pháp luật là cơ sở phòng ngừa và xử lý, nhưng người dùng vẫn phải quản lý mật khẩu, xác minh thông tin, bảo vệ dữ liệu và kịp thời báo cáo sự cố.

“Nền tảng phải chịu trách nhiệm về mọi nội dung do người dùng đăng.”

Chưa đầy đủ. Doanh nghiệp cung cấp nền tảng có các nghĩa vụ pháp lý và kỹ thuật theo vai trò của mình, nhưng người tạo, đăng tải hoặc chia sẻ nội dung vẫn phải chịu trách nhiệm về hành vi của chính mình.

“Chỉ tấn công hệ thống mới là vi phạm an ninh mạng.”

Không đúng. Việc giả mạo bằng AI, mua bán trái phép dữ liệu cá nhân, sử dụng tài khoản giả phục vụ phạm tội hoặc phát tán thông tin sai sự thật gây hậu quả cũng có thể xâm phạm an ninh mạng và quyền, lợi ích hợp pháp của người khác.

Khuyến nghị của Phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao

Để thực hiện tốt quyền và trách nhiệm của mình theo Luật An ninh mạng năm 2025, mỗi người dân, cơ quan và doanh nghiệp cần:

1. Chủ động tìm hiểu những quy định pháp luật liên quan trực tiếp đến hoạt động của mình trên không gian mạng.

2. Bảo vệ tài khoản bằng mật khẩu mạnh, xác thực hai lớp và cảnh báo đăng nhập.

3. Không cung cấp mã OTP, mật khẩu, mã khôi phục hoặc quyền điều khiển thiết bị cho người khác.

4. Không cho thuê, cho mượn tài khoản, SIM điện thoại, giấy tờ tùy thân hoặc phương tiện thanh toán.

5. Kiểm chứng thông tin từ nguồn chính thức trước khi đăng tải, bình luận hoặc chia sẻ.

6. Không thu thập, sử dụng hoặc công khai dữ liệu cá nhân của người khác khi chưa có căn cứ phù hợp.

7. Thận trọng khi đưa tài liệu, hình ảnh, giọng nói và thông tin nội bộ vào các công cụ AI.

8. Hướng dẫn trẻ em, người cao tuổi và người thân nhận biết những thủ đoạn lừa đảo mới.

9. Thường xuyên sao lưu dữ liệu, cập nhật thiết bị và chuẩn bị phương án ứng phó sự cố.

10. Khi phát hiện dấu hiệu vi phạm, nhanh chóng bảo vệ tài khoản, lưu giữ chứng cứ và trình báo cơ quan Công an nơi gần nhất.

Công nghệ và thủ đoạn của tội phạm có thể tiếp tục thay đổi, nhưng những nguyên tắc bảo vệ cơ bản vẫn còn nguyên giá trị: xác minh trước khi tin, cân nhắc trước khi chia sẻ, bảo vệ dữ liệu và tài khoản, tôn trọng quyền của người khác, tuân thủ pháp luật và báo tin sớm khi phát hiện dấu hiệu bất thường.

Luật An ninh mạng năm 2025 là cơ sở để Nhà nước, doanh nghiệp và xã hội cùng bảo vệ không gian mạng. Hiệu quả của luật không chỉ phụ thuộc vào cơ quan thực thi hay các hệ thống kỹ thuật, mà còn được quyết định bởi ý thức và hành động có trách nhiệm của mỗi người trong từng lần đăng nhập, mỗi lần cung cấp dữ liệu và mỗi nội dung được đưa lên mạng./.

Minh Long