Ý nghĩa Affidavit of Cybersecurity Compliance (Tuyên bố tuân thủ an ninh mạng)

Affidavit of Cybersecurity Compliance là gì?

Affidavit of Cybersecurity Compliance (Tuyên bố thề miệng về tuân thủ an ninh mạng) là một tài liệu pháp lý có tính cam kết, được ký dưới sự chứng thực của công chứng viên (Notary Public) hoặc người có thẩm quyền, trong đó một tổ chức/cá nhân cam kết dưới trách nhiệm pháp lý rằng họ đã tuân thủ các yêu cầu, tiêu chuẩn, quy định an ninh mạng cụ thể.

Khác biệt với các tài liệu liên quan

Nội dung thường có trong Affidavit of Cybersecurity Compliance

1. Thông tin bên tuyên bố: Tên pháp nhân, địa chỉ, MST, người đại diện hợp pháp
2. Phạm vi tuân thủ: Áp dụng cho hệ thống, dịch vụ, dữ liệu, địa điểm nào
3. Khung tiêu chuẩn/tham chiếu: NIST CSF, NIST 800-53, NIST 800-171, CMMC, ISO 27001, PCI-DSS, HIPAA, FERPA, GDPR, Luật An ninh mạng VN, Nghị định 13/2023/NĐ-CP...
4. Cam kết cụ thể (Representations & Warranties):
   • Đã triển khai kiểm soát bảo mật theo framework tham chiếu
   • Đã thực hiện risk assessment định kỳ
   • Đã có Incident Response Plan, test định kỳ
   • Đã đào tạo nhân viên nhận thức an ninh
   • Đã quản trị vendor/rủi ro chuỗi cung ứng
   • Đã mã hóa dữ liệu nhạy cảm (at rest, in transit)
   • Đã triển khai MFA, least privilege, logging/monitoring
   • Không vi phạm luật an ninh mạng, không có breach chưa báo cáo
5. Exception/Compensating Controls: Liệt kê control chưa đáp ứng + biện pháp bù trừ
6. Thời hiệu: Ngày ký, thời gian hiệu lực (thường 1 năm)
7. Chữ ký & Công chứng: Người ký có thẩm quyền + Notary Public stamp/sign

Tại sao cần Affidavit of Cybersecurity Compliance?

• Yêu cầu hợp đồng (Contractual): DoD/DFARS (NIST 800-171/CMMC), Federal Contracts (FAR), State/Local gov, Enterprise vendor management
• Trách nhiệm pháp lý (Legal Liability): Chuyển嫁 rủi ro, bằng chứng due diligence, giảm phạt (Safe Harbor một số luật)
• Bảo hiểm Cyber (Cyber Insurance): Yêu cầu khi mua/renew policy, giảm phí bảo hiểm
• Tender/Bid: Đầu thầu dự án công, dự án quan trọng cơ sở hạ tầng
• M&A Due Diligence: Người mua yêu cầu target sign affidavit

Ví dụ ngữ cảnh tại Việt Nam

• Luật An ninh mạng 2018: Điều 26 - Doanh nghiệp cung cấp dịch vụ viễn thông, internet, dữ liệu phải cam kết bảo vệ dữ liệu cá nhân, phối hợp cơ quan chức năng.
• Nghị định 13/2023/NĐ-CP: Bảo vệ dữ liệu cá nhân - Data Controller/Data Processor cần biện pháp kỹ thuật/tổ chức.
• Thông tư 09/2020/TT-BTTTT: An ninh thông tin hệ thống thông tin nhà nước - Cam kết tuân thủ.
• Ngân hàng/TCKT: Tuân thủ Thông tư NHNN về an ninh thông tin, BASel III operational risk.
• Hợp đồng cung cấp dịch vụ Cloud/SaaS/IT: Khách hàng lớn (Bank, Telco, Gov) yêu cầu vendor sign Security Affidavit/Attestation.

Rủi ro khi ký Affidavit không trung thực

• Tội chứng thực sai sự thật (Perjury): Tội phạm hình sự (VN: Điều 342 BLHS 2015 - Khiếu nại, kiện cáo sai sự thật; US: 18 U.S.C. § 1621 - Perjury)
• Vi phạm hợp đồng: Bồi thường thiệt hại, phá vỡ hợp đồng, danh sách đen (debarment - chính phủ)
• Trách nhiệm dân sự: Bồi thường cho bên bị hại do breach mà affidavit cam kết không có
• Mất uy tín, mất giấy phép: Thu hồi chứng chỉ, cấm tham gia thầu, xử phạt hành chính

Best Practices khi chuẩn bị Affidavit

1. Gap Assessment thực tế trước (Internal audit hoặc hired 3rd party)
2. Remediate các gap critical/high trước khi ký
3. Document Evidence: Mọi cam kết phải có bằng chứng (config screenshot, log, report, policy doc, training record)
4. Legal Review: Luật sư xem xét ngôn ngữ, trách nhiệm, jurisdiction
5. Executive Sign-off: CISO/CIO/CEO ký - có thẩm quyền, hiểu trách nhiệm
6. Version Control & Retention: Lưu bản gốc, bản scan, evidence package. Retention ≥ 7 năm.
7. Annual Renewal: Review, update, re-sign hàng năm hoặc khi có thay đổi lớn