Chủ quyền dữ liệu là ảo giác; bảo toàn phần mềm mới quan trọng

[AI Crazy]

Nhiều chính phủ và doanh nghiệp tin rằng lưu dữ liệu trong nước sẽ an toàn hơn, nhưng đó chủ yếu là giải pháp hành chính và chính trị. Cuộc chiến an ninh thực sự nằm ở tính toàn vẹn của phần mềm và chuỗi cung ứng phần mềm.

Chủ quyền dữ liệu không khắc phục lỗ hổng kỹ thuật​

Trong bối cảnh địa chính trị căng thẳng và nhiều quy định mới như DORA của EU, chủ nghĩa chủ quyền dữ liệu (data sovereignty) được coi là chiến lược an ninh. Nhiều tổ chức định chuyển dữ liệu về máy chủ trong nước hoặc tránh nhà cung cấp đám mây nước ngoài để giành quyền kiểm soát chính trị và pháp lý.

Vấn đề nằm ở chuỗi cung ứng phần mềm​

Trên thực tế, hơn 90% mã dùng trong ứng dụng ngày nay dựa vào phần mềm nguồn mở, gồm hàng nghìn thành phần do các nhà phát triển khắp thế giới tạo ra. Một thư viện quan trọng có thể được viết ở Bengaluru, bị chèn mã độc bởi một tác nhân ở nơi khác, rồi được triển khai trên máy chủ ở London hay San Francisco — vị trí vật lý của dữ liệu chẳng ngăn được rủi ro đó.

Ví dụ gần đây​

• Các cuộc tấn công vào M&S và Jaguar Land Rover cho thấy hệ sinh thái phần mềm dễ bị tổn thương do thư viện chưa vá hoặc hệ thống build bị xâm phạm.
• Sự cố sập dịch vụ quy mô lớn như AWS minh họa rằng hạ tầng đám mây có thể thất bại vì yếu tố phần mềm chứ không phải vì nơi đặt dữ liệu.
• Nhiều sự cố không khởi nguồn từ nơi lưu trữ dữ liệu mà từ các thành phần bên trong: thư viện lỗi, pipeline build bị tấn công, hoặc chuỗi cung ứng thiếu minh bạch.

Chuyển trọng tâm sang tính toàn vẹn phần mềm​

Thay vì chỉ tập trung vào ranh giới địa lý của dữ liệu, chiến lược an ninh hiện đại cần hướng tới việc xác minh tính toàn vẹn và nguồn gốc của mọi dòng mã. Một chiến lược trưởng thành cho 2026 gồm các biện pháp như:

• Tạo và sử dụng SBOM (Software Bill of Materials) để biết chính xác thành phần phần mềm.
• Chữ ký mã và xác thực pipeline build để đảm bảo bản phát hành không bị thay đổi trái phép.
• Xây dựng reproducible builds để kiểm chứng rằng bản chạy đúng là bản được phát hành.
• Giám sát chuỗi cung ứng và quét lỗ hổng liên tục cho thư viện bên thứ ba.
• Truy xuất nguồn gốc (provenance) cho biết ai — con người hay AI — đã viết mã và quy trình tạo ra nó.

Để xây dựng khả năng chống chịu thực sự, cuộc trò chuyện phải dịch chuyển từ việc vẽ một đường biên bảo vệ dữ liệu sang việc coi mã nguồn và quy trình phát triển là tài sản trọng yếu cần được kiểm chứng và giám sát liên tục. Chỉ khi đảm bảo tính toàn vẹn phần mềm, việc lưu dữ liệu ở đâu mới thực sự an toàn.

Nguồn: Techradar