Bài 3

Chính sách & Khung

Policy là phần "luật" của governance — nó quy định ai được làm gì với dữ liệu và phải tuân theo chuẩn nào. Nếu thiếu chính sách, mọi quyết định về dữ liệu sẽ phụ thuộc cảm tính từng người; có chính sách rõ ràng thì tổ chức có một "khung pháp lý nội bộ" để mọi người cùng tuân theo, đo lường được và kiểm toán được.

Phân cấp: Policy – Standard – Process – Procedure
Bốn tầng từ nguyên tắc cấp cao đến hướng dẫn thao tác

Tài liệu quản trị không phải một khối. Nó được chia thành 4 tầng, đi từ trừu tượng (vì sao) đến cụ thể (làm thế nào). Hiểu đúng từng tầng giúp viết tài liệu gọn, không lẫn lộn giữa "nguyên tắc" và "thao tác".

TầngĐịnh nghĩaVí dụ
Policy (Chính sách)Nguyên tắc và quy định cấp cao do ban lãnh đạo phê duyệt — nói rõ điều gì được/không được và vì sao. Mang tính bắt buộc, ít thay đổi."Mọi dữ liệu cá nhân khách hàng phải được bảo vệ và chỉ dùng đúng mục đích đã thu thập."
Standard (Quy chuẩn)Quy chuẩn bắt buộc, cụ thể và đo được, biến chính sách thành tiêu chí kiểm tra rõ ràng."Mật khẩu tối thiểu 12 ký tự; dữ liệu Confidential phải mã hoá AES-256 khi lưu trữ."
Process (Quy trình)Chuỗi các bước và vai trò để hoàn thành một việc, nối các bộ phận lại với nhau.Quy trình cấp quyền truy cập: yêu cầu → phê duyệt → cấp quyền → rà soát định kỳ.
Procedure (Thủ tục)Hướng dẫn từng bước rất cụ thể — nói rõ làm thế nào, ai cũng làm theo được."Để cấp quyền: mở IAM → chọn user → gán role X → lưu log vào ticket."
Cách nhớ: Policy trả lời what / why (cái gì & vì sao), còn Procedure trả lời how (làm thế nào). Standard và Process nằm ở giữa, biến nguyên tắc thành tiêu chí đo được và chuỗi thao tác.
Các loại chính sách dữ liệu
Những nhóm chính sách thường gặp trong một chương trình governance

Một tổ chức trưởng thành thường xây dựng một bộ chính sách dữ liệu bao phủ các khía cạnh chính dưới đây. Không bắt buộc có đủ ngay từ đầu — nên ưu tiên theo rủi ro và yêu cầu pháp lý.

Chính sáchQuy định điều gì
Data QualityTiêu chí chất lượng (đầy đủ, chính xác, nhất quán, kịp thời), ngưỡng chấp nhận và quy trình xử lý khi dữ liệu không đạt.
Data ClassificationCách phân loại dữ liệu theo mức nhạy cảm (Public → Restricted) và gắn nhãn để áp dụng biện pháp bảo vệ tương ứng.
Access & SecurityAi được truy cập dữ liệu nào, theo nguyên tắc least-privilege; xác thực, phân quyền theo vai trò (RBAC), mã hoá và ghi log truy cập.
Data Retention & DisposalLưu mỗi loại dữ liệu bao lâu và cách xoá/huỷ an toàn khi hết hạn hoặc không còn nhu cầu.
Data PrivacyBảo vệ dữ liệu cá nhân: thu thập đúng mục đích, có cơ sở pháp lý/đồng ý, đáp ứng quyền của chủ thể dữ liệu (truy cập, xoá...).
Data SharingĐiều kiện chia sẻ dữ liệu nội bộ và với bên thứ ba: hợp đồng/thoả thuận, ẩn danh hoá, kiểm soát đầu ra.
Metadata / Naming StandardQuy ước đặt tên bảng/cột/dataset, định dạng metadata bắt buộc và tài liệu hoá để dữ liệu dễ tìm, dễ hiểu.
Phân loại dữ liệu (Data Classification)
Gắn nhãn để biết phải bảo vệ đến mức nào

Không phải dữ liệu nào cũng cần bảo vệ như nhau. Phân loại giúp xác định mức độ nhạy cảm, từ đó áp dụng biện pháp kiểm soát (truy cập, mã hoá, lưu trữ) tương xứng — không bảo vệ thiếu (rủi ro) cũng không bảo vệ thừa (tốn kém, cản trở công việc).

MứcMô tả & ví dụCách xử lý / bảo vệ
PublicCông khai, không gây hại nếu lộ. VD: thông cáo báo chí, brochure sản phẩm.Không cần kiểm soát đặc biệt; vẫn quản lý tính toàn vẹn.
InternalDùng nội bộ, không nên ra ngoài. VD: tài liệu họp, quy trình nội bộ.Chỉ nhân viên truy cập; xác thực cơ bản, không chia sẻ ra ngoài.
ConfidentialNhạy cảm, lộ ra gây thiệt hại. VD: dữ liệu khách hàng (PII), hợp đồng, lương.Phân quyền chặt theo vai trò, mã hoá khi lưu & truyền, ghi log truy cập.
Restricted / Highly ConfidentialCực kỳ nhạy cảm, lộ ra gây hậu quả nghiêm trọng (pháp lý, tài chính). VD: số thẻ thanh toán (PCI), dữ liệu sức khoẻ, bí mật kinh doanh.Chỉ nhóm rất hạn chế truy cập (need-to-know), mã hoá mạnh, giám sát chặt, có thể yêu cầu phê duyệt từng lần.
Gắn nhãn (tagging): các trường nhạy cảm nên được đánh dấu cụ thể như PII (thông tin định danh cá nhân) hay PCI (dữ liệu thẻ thanh toán). Nhãn này cho phép công cụ tự động áp dụng masking, mã hoá và kiểm soát truy cập đúng mức.
Vòng đời & lưu trữ (Retention & Lifecycle)
Dữ liệu cũng có chu kỳ sống — từ tạo ra đến huỷ bỏ

Mỗi dữ liệu đi qua một vòng đời. Chính sách quản trị cần bao phủ toàn bộ vòng đời này, đặc biệt là khâu lưu trữ và xoá bỏ — nơi rủi ro pháp lý và chi phí dễ bị bỏ quên nhất.

Vòng đời dữ liệu — Create đến Dispose Scroll / zoom · Mở draw.io ↗
Giai đoạnViệc cần quản lý
CreateThu thập đúng mục đích, gắn nhãn phân loại và metadata ngay từ đầu.
StoreLưu ở nơi phù hợp mức nhạy cảm, mã hoá, kiểm soát truy cập.
UseDùng đúng mục đích đã khai báo; mọi truy cập đều được ghi log.
ArchiveChuyển dữ liệu ít dùng sang lưu trữ chi phí thấp, vẫn truy xuất được khi cần.
DisposeXoá an toàn (không thể khôi phục) khi hết thời hạn lưu trữ hoặc không còn cơ sở pháp lý để giữ.

Chính sách retention đặt ra thời hạn lưu trữ cho từng loại dữ liệu, dựa trên nhu cầu kinh doanh và quy định pháp luật (ví dụ chứng từ tài chính phải giữ nhiều năm, log truy cập giữ theo yêu cầu kiểm toán). Giữ quá lâu làm tăng rủi ro và chi phí; xoá quá sớm có thể vi phạm quy định.

Xoá an toàn: "xoá" không chỉ là bấm delete. Dữ liệu nhạy cảm cần được huỷ theo cách không thể khôi phục (secure wipe, crypto-shredding) và phải xoá ở mọi bản sao, backup liên quan.
Khung tham chiếu (Frameworks)
Không cần tự nghĩ ra mọi thứ — đã có chuẩn quốc tế để dựa vào

Thay vì xây dựng governance từ con số 0, tổ chức có thể dựa vào các khung và tiêu chuẩn đã được công nhận để có cấu trúc, từ vựng chung và thước đo trưởng thành.

KhungMô tả ngắn
DAMA-DMBOK"Body of knowledge" về quản lý dữ liệu của DAMA — chia thành nhiều lĩnh vực kiến thức (data governance, quality, security, metadata...). Tham khảo nền tảng phổ biến nhất. Xem Bài 6: DMBOK.
DCAMData Management Capability Assessment Model (EDM Council) — dùng để đánh giá năng lực và mức trưởng thành quản lý dữ liệu của tổ chức.
ISO 8000Bộ tiêu chuẩn quốc tế về chất lượng dữ liệu (data quality) và trao đổi dữ liệu chủ.
ISO/IEC 38505Tiêu chuẩn về governance of data — hướng dẫn ban lãnh đạo quản trị việc sử dụng dữ liệu trong tổ chức.
COBITKhung quản trị CNTT (IT governance) của ISACA — gắn quản trị dữ liệu vào bức tranh quản trị và kiểm soát CNTT tổng thể.
Tuân thủ & Quy định (Compliance)
Những luật và tiêu chuẩn chi phối cách xử lý dữ liệu

Chính sách nội bộ phải phù hợp với luật pháp và quy định áp dụng cho tổ chức. Dưới đây là các quy định lớn thường gặp; phạm vi áp dụng tuỳ thuộc tổ chức hoạt động ở đâu và xử lý loại dữ liệu nào.

Quy địnhPhạm viYêu cầu chính
GDPREU (và bất kỳ ai xử lý dữ liệu công dân EU)Bảo vệ dữ liệu cá nhân; cơ sở pháp lý/đồng ý, quyền của chủ thể dữ liệu (truy cập, xoá, di chuyển), thông báo vi phạm.
CCPACalifornia (Hoa Kỳ)Quyền của người tiêu dùng: biết dữ liệu được thu thập, yêu cầu xoá, từ chối bán dữ liệu cá nhân.
Nghị định 13/2023/NĐ-CP (PDPD)Việt Nam — Bảo vệ dữ liệu cá nhânQuy định về xử lý dữ liệu cá nhân: sự đồng ý, quyền của chủ thể, đánh giá tác động, trách nhiệm của bên xử lý dữ liệu.
SOXCông ty niêm yết tại Hoa KỳTính chính xác và toàn vẹn của báo cáo tài chính; kiểm soát nội bộ và truy vết (audit trail) đối với dữ liệu tài chính.
PCI-DSSTổ chức xử lý dữ liệu thẻ thanh toánBảo vệ dữ liệu thẻ: mã hoá, kiểm soát truy cập, phân vùng mạng, giám sát và kiểm tra định kỳ.
Rủi ro khi vi phạm: mức phạt có thể rất nặng (GDPR lên tới hàng chục triệu Euro hoặc tỷ lệ phần trăm doanh thu toàn cầu), kèm theo rủi ro pháp lý, đình chỉ hoạt động và tổn hại uy tín nghiêm trọng. Tuân thủ không phải tuỳ chọn — nó là điều kiện để tồn tại.
Viết & thực thi policy
Một chính sách chỉ có giá trị khi được tuân thủ thực sự

Viết ra chính sách mới là một nửa công việc. Nửa còn lại — thường khó hơn — là làm cho nó được hiểu, được tuân thủ và được duy trì theo thời gian. Quy trình điển hình:

Mẹo: chính sách tốt phải đo được (có tiêu chí kiểm tra rõ ràng, không mơ hồ) và phải có cơ chế exception — quy trình xin ngoại lệ có kiểm soát cho các trường hợp đặc biệt, thay vì để người dùng âm thầm lách luật.
← Quay lại
Bài 2: Công nghệ