TỪ ĐIỀU LUẬT ĐẾN SẢN PHẨM: SINH VIÊN KHÓA 62 CHƯƠNG TRÌNH KINH DOANH SỐ TÌM HIỂU BẢO MẬT DỮ LIỆU QUA CASE STUDY GDPR TRONG DỰ ÁN PHẦN MỀM THỰC TẾ

PGS.TS. Trần Thị Ngọc Quyên, Phó Hiệu trưởng Trường Kinh doanh và Sáng tạo Việt - Nhật (VJCBI) cùng giảng viên môn học, ThS. Trần Nguyên Lân trao phần quà tặng cho diễn giả Nguyễn Hồng Quốc Khánh

Không phải lỗi bảo mật nào cũng sửa bằng code. Mở đầu buổi chia sẻ, diễn giả đặt ra câu hỏi: "Lỗi bảo mật nào cũng phải sửa bằng code, hay một phần không nhỏ đến từ con người và cách vận hành?" Anh nhắc lại các tình huống sinh viên đã gặp trong học phần: tài khoản của giảng viên đã nghỉ việc sáu tháng vẫn còn mở, nhân viên gửi nhầm file dữ liệu, chứng chỉ SSL của website hết hạn mà không ai gia hạn. Phần lớn các sự cố này không cần đến công nghệ, mà chỉ cần thêm một dòng vào quy trình nghỉ việc hoặc một lịch nhắc gia hạn. Ngay cả tiêu chuẩn ISO 27001 cũng phản ánh điều này: trong 93 biện pháp kiểm soát, chỉ có 34 biện pháp thuộc nhóm công nghệ. Từ đó, anh đưa ra khung tư duy xuyên suốt buổi talk: bảo mật dữ liệu đứng trên hai trụ cột, gồm bảo mật sản phẩm (hệ thống có làm được không) và vận hành dữ liệu (đội ngũ có làm đúng mỗi ngày không).

Đọc GDPR như một bản yêu cầu sản phẩm

Phần chính của buổi talk xoay quanh một tình huống mô phỏng từ dự án thật. Một công ty phần mềm Việt Nam nhận làm ứng dụng đặt phòng cho một chuỗi khách sạn tại Áo, và trước khi ký hợp đồng, khách hàng gửi email yêu cầu đội ngũ phải tuân thủ GDPR (Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu). Thay vì học thuộc 99 điều luật, diễn giả hướng dẫn sinh viên đọc GDPR như một bản yêu cầu sản phẩm, với bốn câu hỏi cho mỗi điều khoản: luật nói gì, sản phẩm phải có gì, đội ngũ vận hành thế nào và bài học từ các vụ phạt thật. Lần lượt năm nhóm vấn đề được phân tích: sự đồng ý (consent), thu thập và lưu trữ dữ liệu, quyền của người dùng, sao lưu (backup) và chuyển dữ liệu cho nhà cung cấp. Mỗi nhóm đều đi kèm màn hình sản phẩm minh họa và các vụ xử phạt có thật, như khoản phạt 50 triệu euro của Google năm 2019 hay 1,2 tỷ euro của Meta năm 2023. Anh cũng lưu ý rằng Luật Bảo vệ dữ liệu cá nhân của Việt Nam, có hiệu lực từ ngày 01/01/2026, sử dụng nhiều khái niệm tương tự GDPR, nên những gì sinh viên học được hôm nay có thể áp dụng ngay cho các sản phẩm trong nước.

Điểm diễn giả nhấn mạnh là ở mỗi điều khoản, cột "ai chịu trách nhiệm" phần lớn không phải lập trình viên mà là PM, marketing, chăm sóc khách hàng, HR hay lãnh đạo. Nói cách khác, đó chính là những vị trí sinh viên khối ngành kinh doanh sẽ đảm nhận sau này. Anh nhắn nhủ: "Audit không kiểm tra bạn có tài liệu hay không, mà kiểm tra bạn có làm đúng như tài liệu viết hay không."

Thực hành Case study GDPR 

Phần thực hành mang đến một tình huống rất gần gũi: Lumi Nail & Spa, một chuỗi tiệm nail ở Hà Nội vừa mở chi nhánh đầu tiên tại Berlin. Tiệm đang đặt lịch qua Zalo cá nhân của chủ tiệm, lưu sổ khách trên Google Sheet mà ai có link cũng xem được, và vẫn để thợ đã nghỉ việc ở lại trong nhóm Zalo. Trong 20 phút, các nhóm sinh viên phải tìm ra ít nhất năm điểm chưa đạt, xác định mỗi điểm cần sửa ở trụ cột sản phẩm hay vận hành, ai là người chịu trách nhiệm, rồi chọn một điểm để đề xuất giải pháp chi tiết. Các nhóm đã sôi nổi thảo luận và lên trình bày phương án của mình. Phần hỏi đáp diễn ra với nhiều câu hỏi thực tế từ sinh viên và giảng viên học phần, xoay quanh những sự khác biệt giữa bảo mật dữ liệu cá nhân ở các công ty công nghệ hàng đầu, các đội outsourcing và các start-up công nghệ, cũng như là lộ trình sự nghiệp trong lĩnh vực bảo mật thông tin. Diễn giả đã giải đáp hết sức sâu sắc bằng chính kinh nghiệm làm việc với khách hàng nước ngoài tại FPT Software, cũng như kinh nghiệm vận hành dữ liệu khách hàng tại Hospify, Base.vn và Truelove.
VJCBI xin gửi lời cảm ơn chân thành đến anh Nguyễn Hồng Quốc Khánh vì những chia sẻ thực tế và sâu sắc. Cảm ơn các bạn sinh viên và giảng viên học phần đã tham gia, thảo luận và góp phần tạo nên một buổi Open Talk thật sự ý nghĩa. Hẹn gặp lại các bạn ở những chương trình tiếp theo!