Vai trò của an ninh mạng trong Cơ chế đánh giá an ninh quốc gia đầu tư nước ngoài của Hoa Kỳ và khuyến nghị chính sách cho Việt Nam

Bài viết phân tích một cách hệ thống quá trình phát triển, tiêu chuẩn đánh giá và ứng dụng thực tế của an ninh mạng (“ANM”) trong quy trình đánh giá an ninh quốc gia (“ANQG”) đầu tư nước ngoài (“ĐTNN”) của Ủy ban đầu tư nước ngoài tại Hoa Kỳ (Committee on Foreign Investment in the United States - CFIUS).

Nghiên cứu cho thấy ANM đã phát triển từ một yếu tố ngoại vi thành một yếu tố cốt lõi trong các đánh giá của CFIUS, đặc biệt là trong các giao dịch liên quan đến công nghệ quan trọng, dữ liệu nhạy cảm và cơ sở hạ tầng quan trọng. Bằng cách liên tục mở rộng phạm vi đánh giá, tinh chỉnh khuôn khổ đánh giá rủi ro và tăng cường thực thi, Hoa Kỳ đã thiết lập hệ thống đánh giá ANM toàn diện nhất thế giới đối với ĐTNN. Trên cơ sở đó, bài viết khuyến nghị Việt Nam xây dựng chính sách có hệ thống để cải thiện hệ thống đánh giá ANM ĐTNN, bao gồm khuôn khổ pháp lý, thiết lập thể chế, đánh giá rủi ro và hợp tác quốc tế.

Cơ sở pháp lý và vai trò, chức năng của CFIUS

CFIUS là một ủy ban liên ngành đánh giá giao dịch liên quan đến ĐTNN để đánh giá tác động của ĐTNN đối với ANQG Hoa Kỳ. CFIUS hoạt động theo luật và quy định, chẳng hạn như Mục 721 của Đạo luật Sản xuất Quốc phòng (đã sửa đổi) và Đạo luật Hiện đại hóa Đánh giá Rủi ro ĐTNN (FIRRMA). CFIUS bao gồm một số thành viên nội các và những người được Tổng thống bổ nhiệm, do Bộ Tài chính làm chủ tịch và có quyền hạn rộng rãi trong việc đánh giá giao dịch, áp đặt điều kiện và thậm chí khuyến nghị Tổng thống chặn giao dịch.

Phạm vi đánh giá của CFIUS đã mở rộng từ trọng tâm ban đầu là quốc phòng, viễn thông và hàng không vũ trụ sang bao gồm hầu hết tất cả các ngành, đặc biệt là những ngành liên quan đến công nghệ quan trọng, cơ sở hạ tầng quan trọng, dữ liệu nhạy cảm và ANQG. Đạo luật FIRRMA, được thông qua vào năm 2018, đã mở rộng đáng kể quyền hạn của CFIUS, mở rộng bao gồm lợi ích cổ đông không kiểm soát, một số giao dịch bất động sản, công nghệ và cơ sở hạ tầng quan trọng, dữ liệu cá nhân nhạy cảm và chuỗi cung ứng quan trọng.

Vai trò của ANM trong đánh giá của CFIUS

Vai trò của ANM trong quy trình đánh giá của CFIUS đã phát triển từ không đến có, từ ngoại vi đến cốt lõi. Ban đầu, đánh giá của CFIUS chủ yếu tập trung vào an ninh quốc phòng truyền thống, nhưng hiện nay ANM đã trở thành một yếu tố quan trọng cần đánh giá trong quá trình đánh giá ĐTNN. Sắc lệnh hành pháp tháng 9 năm 2022 yêu cầu rõ ràng CFIUS phải đánh giá rủi ro ANM trong quá trình đánh giá, bao gồm các hành vi xâm nhập mạng và hoạt động độc hại có thể xảy ra của nhà ĐTNN.

Sắc lệnh hành pháp năm 2023 của chính quyền Biden tiếp tục nhấn mạnh các vấn đề then chốt cần được đánh giá như an ninh chuỗi cung ứng, vị thế dẫn đầu về công nghệ, xu hướng đầu tư trong ngành, rủi ro ANM và bảo mật dữ liệu cá nhân.

Điều này cho thấy ANM không còn chỉ là vấn đề kỹ thuật, mà là vấn đề cốt lõi về ANQG, liên quan chặt chẽ đến an ninh kinh tế quốc gia, cạnh tranh công nghệ và địa chính trị.

Khung pháp lý và tiêu chuẩn đánh giá ANM của CFIUS

Mở rộng định nghĩa về ANQG và hàm ý của ANM

“ANQG” theo khuôn khổ CFIUS là một khái niệm rộng và đang phát triển, bao gồm các lĩnh vực như năng lượng, quốc phòng và công nghệ. Trong những năm gần đây, Hoa Kỳ đã coi “an ninh kinh tế” là “ANQG” và mở rộng hàm ý của khái niệm ANQG. Việc khái quát hóa khái niệm này cho phép đánh giá về ANM được tích hợp đầy đủ hơn vào quy trình đánh giá ĐTNN.

CFIUS đánh giá nhiều yếu tố khác nhau trong quá trình đánh giá, bao gồm ba khía cạnh cốt lõi là mối đe dọa, lỗ hổng và hậu quả. Trong bối cảnh ANM, Mối đe dọa liên quan đến ý định và năng lực của nhà ĐTNN, bao gồm khả năng thực hiện các cuộc xâm nhập mạng hoặc hoạt động mạng độc hại; Lỗ hổng liên quan đến mức độ bảo vệ ANM và tính dễ bị tổn thương của các hoạt động tại Hoa Kỳ; Hậu quả tập trung vào tác động tiềm tàng mà các sự cố ANM có thể gây ra đối với ANQG.

 Quy trình đánh giá ANQG và đánh giá ANM

Việc đánh giá của CFIUS tuân theo một quy trình thủ tục cụ thể: các bên tham gia giao dịch có thể tự nguyện nộp thông báo, CFIUS có thể tiến hành đánh giá sơ bộ trong vòng 30 ngày và nếu coi là mối đe dọa, CFIUS có thể tiến hành điều tra trong 45 ngày, với quyết định cuối cùng do Tổng thống đưa ra. Một số giao dịch nhất định (chẳng hạn như giao dịch liên quan đến công nghệ quan trọng và dữ liệu nhạy cảm) có thể yêu cầu thông báo bắt buộc.

Về mặt ANM, CFIUS tiến hành các đợt đánh giá nghiêm ngặt hơn đối với các giao dịch liên quan đến dữ liệu nhạy cảm và cơ sở hạ tầng quan trọng, thường yêu cầu các kế hoạch ANM chi tiết. Mặc dù không có chỉ số định lượng và ngưỡng cụ thể, các biện pháp ANM chi tiết có thể giúp vượt qua đợt đánh giá. CFIUS sẽ kết hợp đánh giá của cộng đồng tình báo (IC) về ý định và năng lực của các nhà ĐTNN và đánh giá các lỗ hổng của các công ty Hoa Kỳ để hình thành một đánh giá rủi ro ANM tổng thể.

Đánh giá ANM của CFIUS

Năm 2025 và xu hướng

Trong năm 2025, các nỗ lực đánh giá và thực thi của CFIUS đã được tăng cường hơn nữa, bao gồm mở rộng thẩm quyền, tăng tiền phạt, kéo dài thời gian đánh giá và tăng cường giám sát một số quốc gia cụ thể. CFIUS tiếp tục tập trung vào các công nghệ mới nổi (như AI, máy tính lượng tử, chất bán dẫn) và khả năng phục hồi của chuỗi cung ứng.

Bắt đầu từ ngày 02/01/2025, Bộ Tài chính Hoa Kỳ đã triển khai Kế hoạch ANQG về đầu tư ra nước ngoài, cấm hoặc hạn chế đầu tư vốn của Hoa Kỳ vào các lĩnh vực bán dẫn, AI, lượng tử và các lĩnh vực khác tại một số quốc gia cụ thể và các quốc gia khác. Tháng 02/2025, Nhà Trắng đã ban hành bản ghi nhớ đề xuất sửa đổi CFIUS và quy trình đánh giá đầu tư ra nước ngoài, nới lỏng việc đánh giá các quốc gia đồng minh, tăng cường việc đánh giá một số quốc gia cụ thể và các quốc gia khác, đồng thời mở rộng phạm vi giám sát.

Đặc điểm đánh giá ANM

CFIUS ngày càng đánh giá kỹ lưỡng các công nghệ và cơ sở hạ tầng quan trọng, đặc biệt tập trung vào các mối đe dọa ANM. CFIUS lo ngại về rủi ro rằng việc nước ngoài mua lại các công ty phần cứng/ phần mềm quan trọng có thể dẫn đến “cửa hậu” hoặc mã độc. Các giao dịch liên quan đến dữ liệu nhạy cảm (đặc biệt là dữ liệu cá nhân) phải đối mặt với sự giám sát ANM ngày càng chặt chẽ, với việc CFIUS tuyên bố rõ ràng rằng bảo mật dữ liệu và quyền truy cập vào thông tin cá nhân nhạy cảm là những lĩnh vực giám sát chính.

CFIUS đã tăng cường nỗ lực thực thi và áp dụng các khoản tiền phạt đối với các hành vi vi phạm. Trong năm 2025, phạm vi các ngành mà các công ty đăng ký tại Hoa Kỳ sẽ yêu cầu sự chấp thuận bổ sung của CFIUS sẽ được mở rộng để bao gồm các thuật toán AI, máy tính lượng tử, công nghệ sinh học, trạm gốc 5G, trung tâm điện toán đám mây, v.v.

ANM của Việt Nam và tương tác của Hoa Kỳ

Môi trường pháp lý ANM của Việt Nam

Việt Nam đã thông qua Luật ANM (năm 2018) và các nghị định liên quan (như Nghị định số 53/2022/NĐ-CP) để áp đặt các yêu cầu nghiêm ngặt về ANM, lưu trữ dữ liệu, bản địa hóa dữ liệu và hoạt động của công ty nước ngoài. Luật ANM 2025 (dự thảo) đang được xây dựng và dự kiến có hiệu lực trong năm 2026. Các chính sách này yêu cầu dữ liệu nhạy cảm phải được lưu trữ trong nước, điều này đã có tác động đáng kể đến các công ty công nghệ nước ngoài.

Chính phủ Việt Nam đánh giá các yếu tố cụ thể khi phê duyệt ĐTNN, bao gồm ANQG, chống độc quyền và phê duyệt công ty. Các chính sách này được điều chỉnh bởi các cam kết WTO của Việt Nam, các hiệp ước quốc tế hoặc song phương và luật pháp trong nước, nhưng không đề cập đến cơ chế đánh giá cụ thể về ANM.

Tương tác ANM giữa Hoa Kỳ - Việt Nam

Chính phủ và các doanh nghiệp Hoa Kỳ đã bày tỏ lo ngại về Luật ANM của Việt Nam có thể cản trở sự đổi mới kỹ thuật số, làm tăng chi phí ĐTNN và ảnh hưởng đến luồng dữ liệu. Mối quan ngại của chính phủ Hoa Kỳ về Luật ANM của Việt Nam chủ yếu được nêu ra trong khuôn khổ WTO, chứ không phải thông qua các thỏa thuận đặc biệt song phương. Phòng Thương mại Hoa Kỳ và các tổ chức khác đã thảo luận về Luật ANM với chính phủ Việt Nam, Hoa Kỳ đã chia sẻ thông tin với Việt Nam về các vấn đề an ninh cáp ngầm.

Hoa Kỳ và Việt Nam đang tiếp tục đối thoại và hợp tác trong lĩnh vực ANM, bao gồm việc ký kết các văn bản, biên bản ghi nhớ (MoU) và tăng cường hợp tác để giải quyết các mối đe dọa mạng. Ví dụ, một khuôn khổ hợp tác đã được thiết lập giữa Bộ Công an Việt Nam và Hội đồng ANQG Hoa Kỳ (National Security Council - NSC) và Cơ quan ANM và Cơ sở hạ tầng (Cybersecurity and Infrastructure Security Agency - CISA) thuộc Bộ An ninh Nội địa Hoa Kỳ (Department of Homeland Security - DHS).

Khuyến nghị chính sách cho Việt Nam

Hoàn thiện khuôn khổ pháp lý và cơ chế đánh giá

Thiết lập hệ thống đánh giá ANM rõ ràng cho ĐTNN: Việt Nam có thể tham khảo cơ chế CFIUS của Hoa Kỳ và thành lập một ủy ban đánh giá ANM ĐTNN chuyên biệt để làm rõ các tiêu chuẩn, quy trình và phạm vi đánh giá. Phạm vi đánh giá nên bao gồm các lĩnh vực như cơ sở hạ tầng quan trọng, dữ liệu nhạy cảm và công nghệ mới nổi, đồng thời thiết lập một hệ thống kết hợp các tuyên bố bắt buộc và tự nguyện.

Cân bằng giữa ANQG và cởi mở đầu tư: Việt Nam nên tránh các biện pháp hạn chế quá mức gây ảnh hưởng tiêu cực đến môi trường đầu tư, đồng thời bảo vệ ANQG. Việt Nam có thể học hỏi từ phương pháp đánh giá “dựa trên rủi ro” của Hoa Kỳ, thiết kế cơ chế đánh giá theo từng cấp dựa trên mức độ nhạy cảm của ngành và sự khác biệt giữa các quốc gia đầu tư, đồng thời áp dụng quy trình đơn giản hơn cho các nước đồng minh.

Tinh chỉnh các tiêu chuẩn đánh giá ANM: Xây dựng hướng dẫn đánh giá rủi ro ANM chi tiết, bao gồm đánh giá mối đe dọa (bối cảnh của nhà đầu tư, năng lực kỹ thuật), đánh giá lỗ hổng (mức độ bảo vệ an ninh doanh nghiệp mục tiêu) và đánh giá hậu quả (tác động tiềm tàng đến ANQG). Việc sao chép hoàn toàn cách tiếp cận của Hoa Kỳ là không cần thiết, nhưng cần thiết lập một khuôn khổ đánh giá rõ ràng và phù hợp với bối cảnh Việt Nam.

Tăng cường năng lực thể chế

Thành lập nhóm đánh giá kỹ thuật chuyên nghiệp: Một nhóm đánh giá kỹ thuật bao gồm các chuyên gia ANM, nhà khoa học dữ liệu và chuyên gia trong ngành sẽ được thành lập để cung cấp hỗ trợ kỹ thuật chuyên nghiệp cho việc đánh giá đầu tư. Có thể tham khảo thông lệ của CFIUS trong việc kết hợp đánh giá với các cơ quan tình báo để tăng cường sự hợp tác giữa cơ quan đánh giá và các cơ quan ANM trong nước.

Thiết lập cơ chế chia sẻ thông tin: Thiết lập cơ chế chia sẻ thông tin ANM giữa các doanh nghiệp, hiệp hội ngành và chính phủ để nâng cao tính chính xác và hiệu quả của quá trình đánh giá. Mô hình hợp tác giữa CISA Hoa Kỳ và khu vực tư nhân có thể được sử dụng làm tài liệu tham khảo để thúc đẩy việc chia sẻ thông lệ tốt nhất và trao đổi thông tin tình báo về mối đe dọa.

Tăng cường hợp tác quốc tế và xây dựng năng lực: Chủ động tìm kiếm sự hỗ trợ hợp tác và xây dựng năng lực với các quốc gia và khu vực như Hoa Kỳ, Nhật Bản và Liên minh Châu Âu trong việc đánh giá đầu tư ANM. Mặc dù Hoa Kỳ chưa đưa ra khuyến nghị cụ thể cho Việt Nam, nhưng hai bên đã có cơ sở hợp tác trong lĩnh vực ANM và có thể tăng cường trao đổi chuyên môn trên cơ sở này.

Quản trị dữ liệu và luồng dữ liệu xuyên biên giới

Xây dựng yêu cầu hợp lý về bản địa hóa dữ liệu: Đánh giá lại phạm vi và tính cần thiết của các yêu cầu bản địa hóa dữ liệu để tránh các yêu cầu quá rộng gây gánh nặng không cần thiết cho nền kinh tế số. Đánh giá áp dụng phương pháp quản lý phân loại và phân cấp, chỉ triển khai các yêu cầu lưu trữ cục bộ cho dữ liệu cốt lõi thực sự liên quan đến ANQG.

Thiết lập cơ chế danh sách trắng cho luồng dữ liệu xuyên biên giới: Trên cơ sở đảm bảo an ninh, thiết lập cơ chế danh sách trắng cho luồng dữ liệu xuyên biên giới với đối tác đáng tin cậy để thúc đẩy thương mại và phát triển kỹ thuật số. Có thể tham khảo lập trường của Hoa Kỳ về các quy tắc thương mại kỹ thuật số để cân bằng nhu cầu an ninh và phát triển.

Tăng cường bảo vệ thông tin cá nhân: Việc hoàn thiện hệ thống pháp luật về bảo vệ thông tin cá nhân và nâng cao năng lực bảo vệ an ninh dữ liệu là cần thiết để bảo vệ quyền công dân và cũng là những yếu tố môi trường quan trọng để thu hút ĐTNN chất lượng cao. Việt Nam nên học hỏi từ việc CFIUS tập trung vào dữ liệu cá nhân nhạy cảm.

Quản lý tuân thủ và điều phối quốc tế

Tăng cường phối hợp quy tắc quốc tế: Tích cực tham gia thảo luận về các quy tắc thương mại kỹ thuật số và ANM trong các khuôn khổ quốc tế như WTO và APEC, đồng thời thúc đẩy việc thiết lập một hệ thống quy tắc quốc tế cân bằng hơn. Việc tham gia tích cực vào việc xây dựng quy tắc quốc tế có thể giảm thiểu chi phí thụ động thích ứng với các quy tắc của nước khác trong tương lai.

Cải thiện tính minh bạch và khả năng dự đoán của chính sách: Nâng cao tính minh bạch và khả năng dự đoán của chính sách ANM và đánh giá ĐTNN để cung cấp hướng dẫn và kỳ vọng rõ ràng cho các nhà ĐTNN. Việc CFIUS công bố Báo cáo công khai hàng năm rất đáng học tập và có thể củng cố niềm tin của thị trường.

Thiết lập các biện pháp khuyến khích tuân thủ: Cung cấp các biện pháp khuyến khích như thuận tiện cho việc đánh giá đối với các công ty tích cực áp dụng các biện pháp ANM, từ đó hình thành một vòng tuần hoàn tích cực. Trong thực tiễn của CFIUS, các biện pháp ANM chi tiết có thể giúp vượt qua quá trình đánh giá. Mô hình khuyến khích tích cực này đáng để Việt Nam tham khảo.

6. Kết luận

Cơ chế CFIUS của Hoa Kỳ tích hợp sâu rộng vấn đề ANM vào quy trình đánh giá ANQG ĐTNN thể hiện một cách tiếp cận toàn cầu ở cấp độ cao. Bằng cách mở rộng khái niệm ANQG, tinh chỉnh các tiêu chuẩn đánh giá và tăng cường thực thi, cơ chế này đã thiết lập một rào cản toàn diện đánh giá ANQG ĐTNN. Đặc điểm của cơ chế này bao gồm: phạm vi đánh giá ngày càng mở rộng, đưa ANM vào làm yếu tố cốt lõi, các phương pháp đánh giá rủi ro ngày càng tinh vi, và ảnh hưởng ngày càng tăng của các yếu tố địa chính trị.

Đối với Việt Nam, việc sao chép hoàn toàn mô hình Hoa Kỳ là không thực tế và cũng không cần thiết. Tuy nhiên, các yếu tố của cơ chế CFIUS, chẳng hạn như phương pháp đánh giá rủi ro, cơ chế phối hợp thể chế và các biện pháp khuyến khích tuân thủ, mang lại những hiểu biết quý giá. Bên cạnh việc cân bằng ANQG với phát triển kinh tế, cởi mở đầu tư với phòng ngừa rủi ro, Việt Nam nên từng bước thiết lập hệ thống đánh giá ANM cho ĐTNN phù hợp với điều kiện quốc gia, tập trung vào việc củng cố khuôn khổ pháp lý, xây dựng năng lực thể chế, và phối hợp, hợp tác quốc tế.

Khi nền kinh tế số và địa chính trị tiếp tục phát triển, những đánh giá về ANM trong đánh giá ANQG ĐTNN sẽ ngày càng được chú trọng. Việt Nam cần chủ động phát triển các hệ thống liên quan và xây dựng năng lực để tận dụng tối đa các cơ hội phát triển của kỷ nguyên số, đồng thời bảo vệ ANQG.