Cơ sở dữ liệu ngành Nội vụ: bắt buộc xác thực nhiều lớp, tự khóa tài khoản khi tải dữ liệu bất thường từ 16/10/2026

Bộ Nội vụ đang quản lý một trong những kho dữ liệu nhạy cảm nhất của Nhà nước: hồ sơ đội ngũ cán bộ, công chức, viên chức, tổ chức bộ máy, biên chế, chính quyền địa phương và địa giới hành chính. Sau khi tiếp nhận lĩnh vực của Bộ Lao động – Thương binh và Xã hội trong đợt sắp xếp năm 2025, Bộ còn quản lý thêm một phần lớn dữ liệu lao động, việc làm. Từ ngày 16/10/2026, toàn bộ việc cập nhật, kết nối, giám sát và khai thác các cơ sở dữ liệu này sẽ theo quy định mới tại Thông tư 19/2026/TT-BNV. Thông tư chỉ có 18 điều nhưng đưa vào những yêu cầu kỹ thuật trước đây chưa được viết thành quy định: xác thực nhiều lớp, tự động cảnh báo khi có người tải quá nhiều dữ liệu, phê duyệt dữ liệu bằng chữ ký số và thời hạn lưu tối thiểu đối với bản sao lưu, nhật ký.

Thông tin văn bản

Số hiệu: Thông tư 19/2026/TT-BNV
Trích yếu: Quy định về quản lý, cập nhật, kết nối, chia sẻ, khai thác và sử dụng cơ sở dữ liệu ngành Nội vụ
Cơ quan ban hành: Bộ Nội vụ. Thứ trưởng Trương Hải Long ký thay Bộ trưởng ngày 20/8/2026, theo đề nghị của Giám đốc Trung tâm Công nghệ thông tin
Hiệu lực: từ 16/10/2026
Bãi bỏ: Thông tư 14/2024/TT-BNV ngày 31/12/2024 về cập nhật, khai thác, sử dụng và quản lý cơ sở dữ liệu ngành Nội vụ. Các cơ sở dữ liệu, tài khoản và hạ tầng đã xây dựng theo Thông tư 14/2024 vẫn tiếp tục được duy trì để hệ thống hiện có không bị gián đoạn (Điều 18).

Phần căn cứ cho thấy vị trí của thông tư trong hệ thống pháp luật. Văn bản dựa trên các nghị định hướng dẫn Luật Dữ liệu (Nghị định 165/2025/NĐ-CP), Luật Giao dịch điện tử (Nghị định 194/2025/NĐ-CP), Luật Bảo vệ dữ liệu cá nhân (Nghị định 356/2025/NĐ-CP), Nghị định 278/2025/NĐ-CP về kết nối, chia sẻ dữ liệu bắt buộc giữa các cơ quan thuộc hệ thống chính trị, Khung kiến trúc dữ liệu quốc gia (Quyết định 2439/QĐ-TTg) và Chiến lược dữ liệu quốc gia đến năm 2030 (Quyết định 1308/QĐ-TTg ngày 18/7/2026). Nói cách khác, đây là văn bản đưa các luật về dữ liệu ban hành năm 2025 vào dữ liệu của một bộ cụ thể.

Thông tư không áp dụng với dữ liệu, cơ sở dữ liệu chứa bí mật nhà nước và cơ sở dữ liệu bị hạn chế trong giao dịch điện tử (Điều 1).

Những điểm mới

Kiểm soát truy cập được quy định cụ thể

Điều 8 là phần có yêu cầu bảo mật rõ ràng nhất:

Hệ thống quản lý phải dùng giải pháp xác thực nhiều lớp khi đăng nhập.
Các tài khoản có quyền quản trị phải được kiểm soát chặt chẽ.
Hệ thống phải tự động cảnh báo hoặc khóa tài khoản khi phát hiện số lượng khai thác, tải dữ liệu lớn vượt mức bình thường.
Tài khoản phải bị thu hồi, khóa ngay khi cơ quan, tổ chức giải thể hoặc không còn chức năng, thẩm quyền truy cập, và khi cá nhân vi phạm pháp luật, bị kỷ luật có liên quan đến cơ sở dữ liệu, nghỉ hưu, thôi việc, chuyển công tác, điều động hay luân chuyển. Tài khoản phải được rà soát định kỳ, và lịch sử cấp quyền được lưu bằng thời gian lưu nhật ký hệ thống.

Quy định tự cảnh báo khi tải dữ liệu bất thường nhắm vào một rủi ro có thật. Phần lớn các vụ lộ dữ liệu cá nhân từ hệ thống nhà nước không đến từ tin tặc bên ngoài mà từ một tài khoản hợp lệ bị dùng để kéo dữ liệu nhiều hơn hẳn mức công việc cần.

Dữ liệu được ký số, sao lưu và truy vết

Mỗi lần cập nhật phải truy xuất được ai sửa, sửa gì, sửa lúc nào (khoản 6 Điều 7). Dữ liệu sai, thiếu, trùng hoặc nhập không đúng thẩm quyền sẽ bị tạm dừng khai thác để kiểm tra, hiệu chỉnh hoặc hủy bỏ. Mọi bước xử lý đều phải ghi vào nhật ký hệ thống (khoản 7 Điều 7).
Ngay khi dữ liệu được cập nhật, người có thẩm quyền phải phê duyệt bằng chữ ký số chuyên dùng công vụ hoặc phương thức xác thực điện tử (khoản 1 Điều 9). Dữ liệu đồng bộ từ nguồn dữ liệu gốc đã được xác nhận thì không phải phê duyệt lại.
Dữ liệu được lưu tập trung tại Trung tâm dữ liệu Bộ Nội vụ hoặc Trung tâm dữ liệu quốc gia và sao lưu định kỳ. Các bản sao lưu được giữ tối thiểu 12 tháng (khoản 3 Điều 9).
Chất lượng dữ liệu được đánh giá định kỳ theo năm tiêu chí: đầy đủ, chính xác, thống nhất, kịp thời và khả năng sử dụng lại. Dữ liệu hết giá trị sử dụng phải được hủy theo quy trình an toàn, xóa hoàn toàn và không thể phục hồi (Điều 10).

Kết nối qua nền tảng quốc gia, ưu tiên thời gian thực

Điều 11 quy định đường đi của dữ liệu. Trong nội bộ ngành, dữ liệu được kết nối qua Nền tảng tích hợp, chia sẻ, điều phối dữ liệu Bộ Nội vụ (LGSP/LDOP). Ra ngoài ngành, dữ liệu đi qua Nền tảng tích hợp, chia sẻ dữ liệu quốc gia (NDXP) và Nền tảng chia sẻ, điều phối dữ liệu (NDOP) của Trung tâm dữ liệu quốc gia. Có thể chia sẻ qua API, kết nối trực tiếp hoặc đồng bộ định kỳ. Thông tin về tổ chức bộ máy, biên chế và nhân sự thay đổi thường xuyên nên được ưu tiên chia sẻ tự động theo thời gian thực. Với dữ liệu chủ ngành Nội vụ, mọi thay đổi phải được đồng bộ theo thời gian thực vào Cơ sở dữ liệu tổng hợp quốc gia qua NDOP, ngay trong quy trình nghiệp vụ hoặc quy trình giải quyết thủ tục hành chính.

Khoản 3 Điều 11 có một điểm thiết thực cho lập trình viên: cơ quan quản lý phải ban hành đầy đủ tài liệu hướng dẫn kỹ thuật kết nối và chuẩn hóa bộ mã báo lỗi hệ thống. Ai đã từng tích hợp với API của cơ quan nhà nước sẽ thấy yêu cầu này quan trọng ra sao.

Giám sát và xử lý sự cố có quy trình

Theo Điều 12, hoạt động kết nối, chia sẻ phải được giám sát tập trung, liên tục và có truy vết, gồm đăng nhập, xác thực, nhật ký kết nối, thời gian và các phát sinh. Nhật ký kết nối, chia sẻ được lưu tối thiểu 12 tháng và phải bảo đảm không thể can thiệp, chỉnh sửa. Điều 14 đưa ra năm nhóm biện pháp khi có sự cố: tạm dừng hoặc hạn chế hệ thống, tài khoản liên quan; cô lập thành phần gặp sự cố; xác định nguyên nhân và bảo quản nhật ký; khôi phục từ bản sao lưu; và các biện pháp khác theo luật. Sự cố nghiêm trọng, nhất là khi có dấu hiệu lộ, mất hoặc bị truy cập trái phép dữ liệu, phải được báo cáo Bộ Nội vụ. Sau khi khắc phục, phải kiểm tra tính toàn vẹn của dữ liệu rồi mới đưa hệ thống trở lại hoạt động bình thường.

Dữ liệu mở và cắt giảm giấy tờ

Khoản 4 Điều 13 quy định dữ liệu mở của Bộ Nội vụ được công bố trên Cổng dữ liệu mở quốc gia để phục vụ phát triển kinh tế số, xã hội số. Khoản 3 Điều 13 yêu cầu dùng dữ liệu ngành để cắt giảm thành phần hồ sơ thủ tục hành chính, tức là không bắt người dân nộp lại giấy tờ mà Nhà nước đã có.

Ai chịu tác động

Các đơn vị thuộc Bộ, Sở Nội vụ các tỉnh và cơ quan cập nhật dữ liệu. Theo khoản 8 Điều 7, họ chịu trách nhiệm về tính hợp pháp, chính xác, kịp thời của dữ liệu mình nhập. Từ nay họ phải làm việc với quy trình phê duyệt ký số và quy định tài khoản chặt hơn.
Doanh nghiệp công nghệ xây dựng, vận hành hệ thống cho ngành Nội vụ. Xác thực nhiều lớp, khóa tài khoản khi có bất thường, nhật ký không sửa được, lưu sao lưu và nhật ký 12 tháng, kết nối NDXP/NDOP và tài liệu API đầy đủ giờ là yêu cầu bắt buộc, không còn là tính năng tùy chọn. Nhiều khả năng các hồ sơ mời thầu, hợp đồng sắp tới sẽ ghi rõ những yêu cầu này.
Cán bộ, công chức và những người có dữ liệu trong hệ thống. Họ được hưởng lợi gián tiếp nhờ kiểm soát truy cập chặt hơn và ít bị yêu cầu nộp lại giấy tờ. Điểm b khoản 2 Điều 13 yêu cầu dữ liệu cá nhân, dữ liệu nhạy cảm chỉ được khai thác khi được phân quyền chặt chẽ và phải ghi lại lịch sử khai thác.
Doanh nghiệp, nhà nghiên cứu cần dữ liệu. Theo điểm d khoản 2 Điều 13, ai muốn khai thác ngoài phạm vi được phân quyền phải gửi yêu cầu nêu rõ mục đích, phạm vi, nội dung và thời gian sử dụng. Dữ liệu mở thì có thể lấy trên cổng quốc gia.

Những điểm còn bỏ ngỏ

Chưa có ngưỡng “bất thường”. Thông tư bắt buộc cảnh báo khi tải dữ liệu vượt mức bình thường nhưng không nêu ngưỡng cụ thể. Mỗi đơn vị vận hành sẽ tự đặt ngưỡng, nên mức bảo vệ có thể chênh lệch giữa các hệ thống.
Danh mục cơ sở dữ liệu nằm ở văn bản khác. Điều 3 định nghĩa cơ sở dữ liệu ngành Nội vụ theo “Danh mục cơ sở dữ liệu ngành Nội vụ”, nhưng thông tư không kèm danh mục này. Văn bản chưa cho biết ngay từ ngày có hiệu lực những cơ sở dữ liệu nào thuộc phạm vi áp dụng, kể cả các hệ thống lao động – xã hội tiếp nhận từ năm 2025.
Chưa có hạn nâng cấp. Hệ thống xây theo Thông tư 14/2024 được “tiếp tục duy trì”, nhưng không có mốc thời gian nào buộc chúng phải đạt chuẩn mới về xác thực nhiều lớp, nhật ký và thời hạn lưu trữ.
Thời hạn báo cáo còn chung chung. Sự cố phải được thông báo “kịp thời”, không có hạn tính bằng giờ như trong quy định về bảo vệ dữ liệu cá nhân.

Nguồn

Bài viết mang tính thông tin, không phải tư vấn pháp lý.