Trách nhiệm pháp lý khi phần mềm có lỗ hổng bảo mật

Một lỗ hổng bảo mật nhỏ trong phần mềm có thể khiến dữ liệu người dùng bị rò rỉ, hệ thống tê liệt và doanh nghiệp đối mặt với nguy cơ bị kiện tụng. Không chỉ là vấn đề kỹ thuật, bảo mật phần mềm còn là vấn đề pháp lý khi các quy định hiện hành đã xác định rõ trách nhiệm của bên phát triển, cung cấp và vận hành phần mềm trong việc bảo đảm an toàn thông tin. Bài viết sau sẽ phân tích cụ thể trách nhiệm pháp lý khi phần mềm có lỗ hổng bảo mật, giúp doanh nghiệp hiểu rõ nghĩa vụ của mình và cách giảm thiểu rủi ro vi phạm pháp luật.

I. Thực trạng liên quan đến phần mềm có lỗ hổng bảo mật

Nhiều doanh nghiệp Việt Nam đang đối mặt với rủi ro nghiêm trọng khi phần mềm tự phát triển hoặc đang sử dụng xuất hiện lỗ hổng bảo mật. Những lỗ hổng này không chỉ tạo điều kiện cho tin tặc tấn công, đánh cắp dữ liệu người dùng mà còn có thể khiến doanh nghiệp chịu trách nhiệm pháp lý nếu không có biện pháp khắc phục kịp thời.

Theo ghi nhận của các cơ quan quản lý, số vụ rò rỉ dữ liệu và tấn công mạng có nguyên nhân từ lỗi bảo mật phần mềm đang gia tăng nhanh trong những năm gần đây. 

Dù Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018 đã quy định rõ nghĩa vụ của tổ chức, cá nhân trong việc đảm bảo an toàn hệ thống thông tin, song không ít đơn vị vẫn chưa tuân thủ đầy đủ quy trình kiểm thử và cập nhật bảo mật.

Thực tế này cho thấy, lỗ hổng phần mềm không chỉ là vấn đề kỹ thuật, mà còn liên quan trực tiếp đến trách nhiệm pháp lý của doanh nghiệp trong việc bảo vệ dữ liệu người dùng và duy trì tính toàn vẹn của hệ thống. Việc nhận thức đúng và xử lý kịp thời các rủi ro bảo mật là yếu tố then chốt giúp doanh nghiệp tránh được thiệt hại và tranh chấp pháp lý trong môi trường số hiện nay.

II. Khái niệm về phần mềm có lỗ hổng bảo mật

Không phải mọi sự cố an ninh mạng đều bắt nguồn từ tấn công chủ đích, nhiều vụ rò rỉ dữ liệu lớn lại xuất phát từ chính “lỗ hổng bảo mật” bên trong phần mềm mà nhà phát triển không nhận ra. Hiểu rõ khái niệm và bản chất pháp lý của phần mềm có lỗ hổng bảo mật giúp doanh nghiệp chủ động hơn trong phòng ngừa và quản lý rủi ro.

1. Phần mềm có lỗ hổng bảo mật là gì?

Theo khoản 7 Điều 3 Luật An toàn thông tin mạng 2015, “lỗ hổng bảo mật” có thể được hiểu là một biểu hiện của “sự cố an toàn thông tin mạng” – việc thông tin, hệ thống thông tin bị gây nguy hại, ảnh hưởng tới tính nguyên vẹn, tính bảo mật hoặc tính khả dụng. Việc một phần mềm bị xem là có lỗ hổng bảo mật không phụ thuộc vào ý chí của nhà phát triển, mà phụ thuộc vào khả năng bị khai thác trái phép từ bên ngoài. 

Ngoài ra, Điều 22 Luật này cũng đặt ra nhiệm vụ cho tổ chức, cá nhân quản lý hệ thống thông tin phải thường xuyên kiểm tra, đánh giá và khắc phục lỗ hổng bảo mật, nhằm đảm bảo an toàn cho người dùng và hệ thống. Như vậy, khi phần mềm tồn tại điểm yếu mà kẻ xấu có thể lợi dụng để tấn công, thay đổi hoặc làm gián đoạn hoạt động, thì phần mềm đó được xem là phần mềm có lỗ hổng bảo mật theo quy định pháp luật. 

Hiểu một cách chung nhất, lỗ hổng bảo mật là hậu quả của lỗi kỹ thuật, không phải hành vi vi phạm và phần mềm có lỗ hổng bảo mật là phần mềm tồn tại sai sót trong khâu lập trình, thiết kế hoặc triển khai, dẫn đến việc hệ thống có thể bị truy cập, khai thác hoặc chiếm quyền điều khiển trái phép. Những lỗ hổng này không phải là tính năng có chủ đích, mà là khe hở kỹ thuật trong quá trình phát triển khiến phần mềm mất an toàn.

2. Phần mềm có lỗ hổng bảo mật khác gì so với phần mềm độc hại không?

Hai khái niệm này dễ bị nhầm lẫn trong thực tế, nhưng pháp luật Việt Nam quy định rõ ràng sự khác biệt về bản chất và mục đích giữa chúng.

• Phần mềm có lỗ hổng bảo mật: là sản phẩm phần mềm được phát triển hợp pháp, phục vụ mục đích thương mại hoặc dân sự chính đáng, nhưng tồn tại lỗi kỹ thuật khiến bên thứ ba có thể khai thác trái phép. Đây là sai sót vô ý, không mang tính tấn công hay phá hoại. Nghĩa vụ của tổ chức, cá nhân phát hành phần mềm là phát hiện và khắc phục lỗ hổng theo Điều 22 Luật An toàn thông tin mạng 2015.
• Phần mềm độc hại (malware): theo khoản 11 Điều 3 Luật An toàn thông tin mạng 2015, là phần mềm có khả năng gây ra hoạt động không bình thường cho một phần hay toàn bộ hệ thống thông tin hoặc thực hiện sao chép, sửa đổi, xóa bỏ trái phép thông tin lưu trữ trong hệ thống thông tin. Đây là hành vi có mục đích cố ý, thường bị xem là vi phạm pháp luật hình sự nếu gây hậu quả nghiêm trọng.

Nói cách khác, lỗ hổng bảo mật là lỗi kỹ thuật cần khắc phục, còn phần mềm độc hại là hành vi tấn công cần xử lý. Nếu doanh nghiệp phát hành phần mềm có lỗi nhưng chủ động cảnh báo, cập nhật bản vá và bảo đảm an toàn cho người dùng, họ không bị xem là vi phạm pháp luật. Ngược lại, nếu biết rõ tồn tại lỗ hổng nhưng cố tình che giấu, để xảy ra rò rỉ dữ liệu hoặc thiệt hại, tổ chức đó có thể bị xử lý hành chính hoặc dân sự theo quy định tại Điều 8 Luật An toàn thông tin mạng 2015.

Tóm lại, sự khác biệt nằm ở yếu tố chủ ý và nghĩa vụ xử lý: phần mềm có lỗ hổng cần được khắc phục; phần mềm độc hại cần bị loại bỏ và truy cứu trách nhiệm.

III. Quy định của pháp luật liên quan đến phần mềm có lỗ hổng bảo mật

Việc phát hành phần mềm có lỗ hổng bảo mật không chỉ là vấn đề kỹ thuật mà còn liên quan trực tiếp đến trách nhiệm pháp lý của tổ chức phát triển và quản lý phần mềm. Pháp luật Việt Nam đã đặt ra nghĩa vụ bảo đảm an toàn thông tin, đồng thời xác định cơ quan quản lý và xử lý khi xảy ra rủi ro từ lỗ hổng bảo mật.

1. Pháp luật Việt Nam quy định thế nào về trách nhiệm của tổ chức khi phát hành phần mềm có lỗ hổng bảo mật?

Theo Điều 22 và Điều 23 Luật An toàn thông tin mạng 2015, tổ chức, cá nhân quản lý, vận hành hệ thống thông tin phải:

Căn cứ Điều 22 Luật An toàn thông mạng 2015 quy định:

• Xác định cấp độ an toàn thông tin của hệ thống thông tin.
• Đánh giá và quản lý rủi ro an toàn hệ thống thông tin.
• Đôn đốc, giám sát, kiểm tra công tác bảo vệ hệ thống thông tin.
• Tổ chức triển khai các biện pháp bảo vệ hệ thống thông tin.
• Thực hiện chế độ báo cáo theo quy định.
• Tổ chức tuyên truyền, nâng cao nhận thức về an toàn thông tin mạng.

Căn cứ Điều 23 Luật An toàn thông mạng 2015 quy định:

• Ban hành quy định về bảo đảm an toàn thông tin mạng trong thiết kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp, hủy bỏ hệ thống thông tin.
• Áp dụng biện pháp quản lý, kỹ thuật theo tiêu chuẩn, quy chuẩn kỹ thuật an toàn thông tin mạng để phòng, chống nguy cơ, khắc phục sự cố an toàn thông tin mạng.
• Kiểm tra, giám sát việc tuân thủ quy định và đánh giá hiệu quả của các biện pháp quản lý và kỹ thuật được áp dụng.
• Giám sát an toàn hệ thống thông tin.

Bên cạnh đó, Điều 25 Luật An toàn thông tin mạng 2015 quy định trách nhiệm của tổ chức, cá nhân cung cấp dịch vụ an toàn thông tin trong việc bảo đảm an toàn cho hệ thống thông tin mà họ quản lý. Nếu để xảy ra mất an toàn thông tin, rò rỉ dữ liệu hoặc sự cố do lỗ hổng bảo mật mà không khắc phục hoặc thông báo kịp thời, tổ chức có thể bị xử phạt hành chính theo Nghị định 15/2020/NĐ-CP (sửa đổi bởi Nghị định 14/2022/NĐ-CP).

Như vậy, trách nhiệm pháp lý của tổ chức khi phát hành phần mềm có lỗ hổng bảo mật không chỉ là nghĩa vụ khắc phục kỹ thuật, mà còn là nghĩa vụ tuân thủ quy định pháp luật về bảo đảm an toàn thông tin, nhằm hạn chế rủi ro cho người dùng và hệ thống.

2. Cơ quan nào có thẩm quyền xử lý khi phần mềm có lỗ hổng bảo mật gây rò rỉ dữ liệu người dùng?

Các cơ quan có thẩm quyền xử lý khi phần mềm có lỗ hổng bảo mật gây rò rỉ dữ liệu người dùng được quy định tại khoản 2 Điều 52 Luật An toàn thông tin mạng 2015, bao gồm: 

• Cục An toàn thông tin – Bộ Khoa học và Công nghệ (trước sáp nhập là Bộ Thông tin và Truyền thông) là cơ quan chuyên trách, có thẩm quyền giám sát, hướng dẫn, thanh tra và xử lý các sự cố về an toàn thông tin mạng, bao gồm việc phát hiện lỗ hổng bảo mật trong phần mềm;
• Khi phần mềm gây rò rỉ dữ liệu cá nhân, cơ quan công an có quyền vào cuộc điều tra nếu có dấu hiệu vi phạm pháp luật hình sự (ví dụ như tội xâm phạm bí mật thông tin cá nhân theo Điều 159 Bộ luật Hình sự 2015, sửa đổi 2017).

Ngoài ra, Điều 24 Nghị định 85/2016/NĐ-CP cũng quy định các cơ quan, tổ chức nhà nước phải đánh giá, rà soát, khắc phục các điểm yếu bảo mật trong hệ thống thông tin và phối hợp với Bộ Khoa học và Công nghệ (trước sáp nhập là Bộ Thông tin và Truyền thông) khi phát hiện rủi ro.

Việc xử lý lỗ hổng bảo mật liên quan đến phần mềm là trách nhiệm phối hợp giữa cơ quan quản lý chuyên ngành và cơ quan nhà nước có thẩm quyền, đảm bảo ngăn ngừa rủi ro, bảo vệ dữ liệu người dùng và hệ thống thông tin.

IV. Giải đáp các thắc mắc về phần mềm có lỗ hổng bảo mật

Việc sử dụng và phát hành phần mềm có lỗ hổng bảo mật không chỉ là vấn đề kỹ thuật mà còn liên quan đến trách nhiệm pháp lý của tổ chức và quyền lợi của người dùng. Dưới đây là những câu hỏi thường gặp và giải đáp chi tiết dựa trên quy định pháp luật hiện hành.

1. Những hậu quả pháp lý khi sử dụng phần mềm có lỗ hổng bảo mật là gì?

Việc sử dụng phần mềm có lỗ hổng bảo mật có thể dẫn đến nhiều hệ quả pháp lý. Việc sử dụng phần mềm có lỗ hổng bảo mật có thể dẫn đến các hậu quả pháp lý sau:

• Trách nhiệm dân sự: Theo Điều 584 (được hướng dẫn bởi Điều 2 Nghị quyết 02/2022/NQ-HĐTP) và Điều 589 Bộ luật Dân sự 2015, tổ chức, cá nhân gây thiệt hại cho người khác phải bồi thường thiệt hại do hành vi của mình. Nếu phần mềm có lỗ hổng bảo mật dẫn đến mất mát dữ liệu, hỏng hóc hệ thống hoặc gián đoạn hoạt động kinh doanh, người phát hành hoặc người sử dụng phần mềm có thể bị yêu cầu bồi thường thiệt hại.
• Trách nhiệm hành chính: Theo Điều 21 và Điều 22 Luật An toàn thông tin mạng 2015, tổ chức, cá nhân phải thực hiện các biện pháp bảo vệ an toàn thông tin, rà soát và khắc phục lỗ hổng bảo mật. Vi phạm nghĩa vụ này có thể bị xử phạt hành chính theo Nghị định 15/2020/NĐ-CP, bao gồm phạt tiền, đình chỉ hoạt động hoặc yêu cầu khắc phục.
• Trách nhiệm hình sự: Nếu lỗ hổng bảo mật bị khai thác dẫn đến rò rỉ dữ liệu cá nhân, gây thiệt hại cho người dùng, có thể bị truy cứu trách nhiệm hình sự theo Điều 159 Bộ luật Hình sự 2015 (cung cấp trái phép thông tin cá nhân).

2. Việc phát hành phần mềm có lỗ hổng bảo mật có bị coi là hành vi vi phạm pháp luật không?

Theo Điều 22 Luật An toàn thông tin mạng 2015, tổ chức, cá nhân có nghĩa vụ bảo vệ an toàn thông tin trong hoạt động của mình, bao gồm việc phát hiện và khắc phục lỗ hổng bảo mật trong phần mềm. Nếu phần mềm được phát hành mà không được kiểm tra, đánh giá an toàn thông tin hoặc không có biện pháp khắc phục lỗ hổng bảo mật, hành vi này có thể bị coi là vi phạm pháp luật.

Ngoài ra, Điều 101 Nghị định 15/2020/NĐ-CP quy định về xử phạt vi phạm hành chính trong lĩnh vực công nghệ thông tin, trong đó có hành vi phát hành phần mềm không bảo đảm an toàn thông tin. Tổ chức, cá nhân vi phạm có thể bị phạt tiền từ 10.000.000 đồng đến 100.000.000 đồng, tùy theo mức độ vi phạm.

3. Người dùng có quyền yêu cầu bồi thường khi thiệt hại do phần mềm có lỗ hổng bảo mật gây ra không?

Theo Điều 584 và Điều 589 Bộ luật Dân sự 2015, tổ chức, cá nhân gây thiệt hại cho người khác phải bồi thường thiệt hại do hành vi của mình. Nếu phần mềm có lỗ hổng bảo mật dẫn đến rò rỉ dữ liệu cá nhân hoặc gây thiệt hại khác cho người dùng, người dùng có quyền yêu cầu bồi thường thiệt hại.

Ngoài ra, Điều 9 Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân quy định tổ chức, cá nhân xử lý dữ liệu cá nhân phải bảo vệ quyền lợi hợp pháp của chủ thể dữ liệu. Trong trường hợp vi phạm, tổ chức, cá nhân phải chịu trách nhiệm bồi thường thiệt hại cho chủ thể dữ liệu.

4. Cơ chế xử lý phần mềm có lỗ hổng bảo mật trong cơ quan nhà nước được quy định ra sao?

Theo Điều 36 Nghị định 85/2016/NĐ-CP về bảo đảm an toàn hệ thống thông tin theo cấp độ, cơ quan nhà nước có trách nhiệm đánh giá, rà soát và khắc phục các điểm yếu bảo mật trong hệ thống thông tin của mình. Khi phát hiện lỗ hổng bảo mật, cơ quan nhà nước phải phối hợp với Bộ Khoa học và Công nghệ (trước sáp nhập là Bộ Thông tin và Truyền thông) để xử lý kịp thời.

Ngoài ra, Điều 52 Luật An toàn thông tin mạng 2015 quy định Bộ Khoa học và Công nghệ (trước sáp nhập là Bộ Thông tin và Truyền thông) có trách nhiệm giám sát, hướng dẫn và xử lý các sự cố an toàn thông tin mạng, bao gồm việc phát hiện và khắc phục lỗ hổng bảo mật trong phần mềm.

5. Có quy định nào yêu cầu doanh nghiệp phải báo cáo khi phát hiện phần mềm có lỗ hổng bảo mật không?

Theo Điều 22 Luật An toàn thông tin mạng 2015, tổ chức, cá nhân có nghĩa vụ thông báo kịp thời cho cơ quan nhà nước có thẩm quyền khi phát hiện lỗ hổng bảo mật trong phần mềm của mình. Việc không thực hiện nghĩa vụ này có thể bị xử phạt hành chính theo quy định tại Nghị định 15/2020/NĐ-CP.

Ngoài ra, Điều 9 Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân quy định tổ chức, cá nhân xử lý dữ liệu cá nhân phải thông báo cho chủ thể dữ liệu và cơ quan nhà nước có thẩm quyền khi xảy ra sự cố bảo mật ảnh hưởng đến dữ liệu cá nhân.

V. Dịch vụ tư vấn pháp lý liên quan đến phần mềm có lỗ hổng bảo mật

Doanh nghiệp khi phát triển hoặc sử dụng phần mềm có lỗ hổng bảo mật thường gặp nhiều rủi ro pháp lý, từ trách nhiệm dân sự, hành chính đến hình sự. Dịch vụ tư vấn pháp lý của NPLaw hỗ trợ doanh nghiệp nhận diện các rủi ro này, đưa ra giải pháp phòng ngừa và xử lý kịp thời khi sự cố xảy ra.

Cụ thể, NPLaw cung cấp các dịch vụ sau:

• Đánh giá và tư vấn pháp lý về phần mềm: Kiểm tra hợp đồng phát triển, hợp đồng cung cấp phần mềm, xác định các điều khoản liên quan đến bảo mật, trách nhiệm của bên phát hành và người dùng.
• Tư vấn xử lý sự cố bảo mật: Hướng dẫn doanh nghiệp phối hợp với cơ quan nhà nước chuyên trách như Cục An toàn thông tin – Bộ Thông tin và Truyền thông, lập báo cáo sự cố, khắc phục lỗ hổng bảo mật và hạn chế thiệt hại cho người dùng.
• Soạn thảo điều khoản bảo mật trong hợp đồng: Tư vấn các điều khoản về trách nhiệm khắc phục, thông báo lỗ hổng, bồi thường thiệt hại và cơ chế giải quyết tranh chấp nếu xảy ra vi phạm.
• Hỗ trợ bồi thường thiệt hại và tranh chấp: Hỗ trợ doanh nghiệp hoặc người dùng trong việc yêu cầu bồi thường khi thiệt hại xảy ra do phần mềm có lỗ hổng bảo mật, đảm bảo quyền lợi hợp pháp.

Với dịch vụ này, NPLaw giúp doanh nghiệp tối ưu hóa biện pháp pháp lý, giảm thiểu rủi ro khi phát hành hoặc sử dụng phần mềm, đồng thời đảm bảo tuân thủ các quy định về bảo mật thông tin và an toàn dữ liệu theo pháp luật Việt Nam hiện hành.