Policy là phần "luật" của governance — nó quy định ai được làm gì với dữ liệu và phải tuân theo chuẩn nào. Nếu thiếu chính sách, mọi quyết định về dữ liệu sẽ phụ thuộc cảm tính từng người; có chính sách rõ ràng thì tổ chức có một "khung pháp lý nội bộ" để mọi người cùng tuân theo, đo lường được và kiểm toán được.
Tài liệu quản trị không phải một khối. Nó được chia thành 4 tầng, đi từ trừu tượng (vì sao) đến cụ thể (làm thế nào). Hiểu đúng từng tầng giúp viết tài liệu gọn, không lẫn lộn giữa "nguyên tắc" và "thao tác".
| Tầng | Định nghĩa | Ví dụ |
|---|---|---|
| Policy (Chính sách) | Nguyên tắc và quy định cấp cao do ban lãnh đạo phê duyệt — nói rõ điều gì được/không được và vì sao. Mang tính bắt buộc, ít thay đổi. | "Mọi dữ liệu cá nhân khách hàng phải được bảo vệ và chỉ dùng đúng mục đích đã thu thập." |
| Standard (Quy chuẩn) | Quy chuẩn bắt buộc, cụ thể và đo được, biến chính sách thành tiêu chí kiểm tra rõ ràng. | "Mật khẩu tối thiểu 12 ký tự; dữ liệu Confidential phải mã hoá AES-256 khi lưu trữ." |
| Process (Quy trình) | Chuỗi các bước và vai trò để hoàn thành một việc, nối các bộ phận lại với nhau. | Quy trình cấp quyền truy cập: yêu cầu → phê duyệt → cấp quyền → rà soát định kỳ. |
| Procedure (Thủ tục) | Hướng dẫn từng bước rất cụ thể — nói rõ làm thế nào, ai cũng làm theo được. | "Để cấp quyền: mở IAM → chọn user → gán role X → lưu log vào ticket." |
Một tổ chức trưởng thành thường xây dựng một bộ chính sách dữ liệu bao phủ các khía cạnh chính dưới đây. Không bắt buộc có đủ ngay từ đầu — nên ưu tiên theo rủi ro và yêu cầu pháp lý.
| Chính sách | Quy định điều gì |
|---|---|
| Data Quality | Tiêu chí chất lượng (đầy đủ, chính xác, nhất quán, kịp thời), ngưỡng chấp nhận và quy trình xử lý khi dữ liệu không đạt. |
| Data Classification | Cách phân loại dữ liệu theo mức nhạy cảm (Public → Restricted) và gắn nhãn để áp dụng biện pháp bảo vệ tương ứng. |
| Access & Security | Ai được truy cập dữ liệu nào, theo nguyên tắc least-privilege; xác thực, phân quyền theo vai trò (RBAC), mã hoá và ghi log truy cập. |
| Data Retention & Disposal | Lưu mỗi loại dữ liệu bao lâu và cách xoá/huỷ an toàn khi hết hạn hoặc không còn nhu cầu. |
| Data Privacy | Bảo vệ dữ liệu cá nhân: thu thập đúng mục đích, có cơ sở pháp lý/đồng ý, đáp ứng quyền của chủ thể dữ liệu (truy cập, xoá...). |
| Data Sharing | Điều kiện chia sẻ dữ liệu nội bộ và với bên thứ ba: hợp đồng/thoả thuận, ẩn danh hoá, kiểm soát đầu ra. |
| Metadata / Naming Standard | Quy ước đặt tên bảng/cột/dataset, định dạng metadata bắt buộc và tài liệu hoá để dữ liệu dễ tìm, dễ hiểu. |
Không phải dữ liệu nào cũng cần bảo vệ như nhau. Phân loại giúp xác định mức độ nhạy cảm, từ đó áp dụng biện pháp kiểm soát (truy cập, mã hoá, lưu trữ) tương xứng — không bảo vệ thiếu (rủi ro) cũng không bảo vệ thừa (tốn kém, cản trở công việc).
| Mức | Mô tả & ví dụ | Cách xử lý / bảo vệ |
|---|---|---|
| Public | Công khai, không gây hại nếu lộ. VD: thông cáo báo chí, brochure sản phẩm. | Không cần kiểm soát đặc biệt; vẫn quản lý tính toàn vẹn. |
| Internal | Dùng nội bộ, không nên ra ngoài. VD: tài liệu họp, quy trình nội bộ. | Chỉ nhân viên truy cập; xác thực cơ bản, không chia sẻ ra ngoài. |
| Confidential | Nhạy cảm, lộ ra gây thiệt hại. VD: dữ liệu khách hàng (PII), hợp đồng, lương. | Phân quyền chặt theo vai trò, mã hoá khi lưu & truyền, ghi log truy cập. |
| Restricted / Highly Confidential | Cực kỳ nhạy cảm, lộ ra gây hậu quả nghiêm trọng (pháp lý, tài chính). VD: số thẻ thanh toán (PCI), dữ liệu sức khoẻ, bí mật kinh doanh. | Chỉ nhóm rất hạn chế truy cập (need-to-know), mã hoá mạnh, giám sát chặt, có thể yêu cầu phê duyệt từng lần. |
PII (thông tin định danh cá nhân) hay PCI (dữ liệu thẻ thanh toán). Nhãn này cho phép công cụ tự động áp dụng masking, mã hoá và kiểm soát truy cập đúng mức.Mỗi dữ liệu đi qua một vòng đời. Chính sách quản trị cần bao phủ toàn bộ vòng đời này, đặc biệt là khâu lưu trữ và xoá bỏ — nơi rủi ro pháp lý và chi phí dễ bị bỏ quên nhất.
| Giai đoạn | Việc cần quản lý |
|---|---|
| Create | Thu thập đúng mục đích, gắn nhãn phân loại và metadata ngay từ đầu. |
| Store | Lưu ở nơi phù hợp mức nhạy cảm, mã hoá, kiểm soát truy cập. |
| Use | Dùng đúng mục đích đã khai báo; mọi truy cập đều được ghi log. |
| Archive | Chuyển dữ liệu ít dùng sang lưu trữ chi phí thấp, vẫn truy xuất được khi cần. |
| Dispose | Xoá an toàn (không thể khôi phục) khi hết thời hạn lưu trữ hoặc không còn cơ sở pháp lý để giữ. |
Chính sách retention đặt ra thời hạn lưu trữ cho từng loại dữ liệu, dựa trên nhu cầu kinh doanh và quy định pháp luật (ví dụ chứng từ tài chính phải giữ nhiều năm, log truy cập giữ theo yêu cầu kiểm toán). Giữ quá lâu làm tăng rủi ro và chi phí; xoá quá sớm có thể vi phạm quy định.
Thay vì xây dựng governance từ con số 0, tổ chức có thể dựa vào các khung và tiêu chuẩn đã được công nhận để có cấu trúc, từ vựng chung và thước đo trưởng thành.
| Khung | Mô tả ngắn |
|---|---|
| DAMA-DMBOK | "Body of knowledge" về quản lý dữ liệu của DAMA — chia thành nhiều lĩnh vực kiến thức (data governance, quality, security, metadata...). Tham khảo nền tảng phổ biến nhất. Xem Bài 6: DMBOK. |
| DCAM | Data Management Capability Assessment Model (EDM Council) — dùng để đánh giá năng lực và mức trưởng thành quản lý dữ liệu của tổ chức. |
| ISO 8000 | Bộ tiêu chuẩn quốc tế về chất lượng dữ liệu (data quality) và trao đổi dữ liệu chủ. |
| ISO/IEC 38505 | Tiêu chuẩn về governance of data — hướng dẫn ban lãnh đạo quản trị việc sử dụng dữ liệu trong tổ chức. |
| COBIT | Khung quản trị CNTT (IT governance) của ISACA — gắn quản trị dữ liệu vào bức tranh quản trị và kiểm soát CNTT tổng thể. |
Chính sách nội bộ phải phù hợp với luật pháp và quy định áp dụng cho tổ chức. Dưới đây là các quy định lớn thường gặp; phạm vi áp dụng tuỳ thuộc tổ chức hoạt động ở đâu và xử lý loại dữ liệu nào.
| Quy định | Phạm vi | Yêu cầu chính |
|---|---|---|
| GDPR | EU (và bất kỳ ai xử lý dữ liệu công dân EU) | Bảo vệ dữ liệu cá nhân; cơ sở pháp lý/đồng ý, quyền của chủ thể dữ liệu (truy cập, xoá, di chuyển), thông báo vi phạm. |
| CCPA | California (Hoa Kỳ) | Quyền của người tiêu dùng: biết dữ liệu được thu thập, yêu cầu xoá, từ chối bán dữ liệu cá nhân. |
| Nghị định 13/2023/NĐ-CP (PDPD) | Việt Nam — Bảo vệ dữ liệu cá nhân | Quy định về xử lý dữ liệu cá nhân: sự đồng ý, quyền của chủ thể, đánh giá tác động, trách nhiệm của bên xử lý dữ liệu. |
| SOX | Công ty niêm yết tại Hoa Kỳ | Tính chính xác và toàn vẹn của báo cáo tài chính; kiểm soát nội bộ và truy vết (audit trail) đối với dữ liệu tài chính. |
| PCI-DSS | Tổ chức xử lý dữ liệu thẻ thanh toán | Bảo vệ dữ liệu thẻ: mã hoá, kiểm soát truy cập, phân vùng mạng, giám sát và kiểm tra định kỳ. |
Viết ra chính sách mới là một nửa công việc. Nửa còn lại — thường khó hơn — là làm cho nó được hiểu, được tuân thủ và được duy trì theo thời gian. Quy trình điển hình: