Mục đích chính của Cybersecurity Act 2015 (Luật An ninh mạng 2015)

Cybersecurity Act of 2015 (Luật An ninh mạng Mỹ 2015) – Tóm tắt

Tên đầy đủ: Cybersecurity Information Sharing Act (CISA) – một phần của Consolidated Appropriations Act 2016 (H.R. 2029), ký vào luật ngày 18/12/2015 bởi Tổng thống Obama.

Mục tiêu chính

1. Khuyến khích chia sẻ thông tin đe dọa (Threat Intelligence Sharing) giữa chính phủ liên bang và tư nhân (doanh nghiệp, tổ chức) – tự nguyện, hai chiều.
2. Bảo vệ trách nhiệm pháp lý (Liability Protection) cho thực thể tư nhân khi chia sẻ/nhận thông tin đe dọa bona fide (thành thiện) và thực hiện biện pháp bảo vệ dựa trên thông tin đó.
3. Nâng cao vai trò NCCIC (National Cybersecurity and Communications Integration Center) dưới DHS làm "cổng giao diện dân sự liên bang" cho việc chia sẻ rủi ro, sự cố, phân tích, cảnh báo.
4. Bảo vệ quyền riêng tư & quyền dân sự: Yêu cầu xóa thông tin cá nhân (PII) không liên quan trước khi chia sẻ; hạn chế sử dụng thông tin chỉ cho mục đích an ninh mạng.

Các điều khoản then chốt

• Section 103: Ủy quyền chia sẻ "cyber threat indicators" & "defensive measures" giữa private entities và federal government.
• Section 104: Quy trình chia sẻ qua DHS/NCCIC (portal tự động), real-time.
• Section 105: Bảo vệ trách nhiệm (no cause of action) cho việc chia sẻ/nhận/giám sát mạng theo luật.
• Section 106: Cấm sử dụng thông tin chia sẻ cho mục đích không liên quan (quảng cáo, điều tra tội phạm thông thường...).
• Section 107: Bảo vệ PII – buộc xóa/minimize trước khi chia sẻ.
• Section 108: Báo cáo định kỳ của Attorney General & DHS về tác động quyền riêng tư.

Bối cảnh liên quan

• National Cybersecurity Protection Act 2014: Thiết lập NCCIC làm trung tâm chia sẻ.
• Cybersecurity Enhancement Act 2014: Tăng cường R&D, giáo dục, nhận thức, công nghệ chuyển giao.
• Executive Order 13636 (2013): Cải thiện bảo vệ cơ sở hạ tầng quan trọng – NIST CSF ra đời.

Đánh giá & Tranh luận

Áp dụng cho Việt Nam

Việt Nam có Luật An ninh mạng 2018 (hiệu lực 1/1/2019) – quy định về bảo vệ dữ liệu cá nhân, định vị dữ liệu, trách nhiệm doanh nghiệp, cơ quan chức năng. Khác với CISA 2015 tập trung threat sharing, Luật VN tập trung chủ quyền dữ liệu & kiểm soát nội dung.