Bài 11. Backup và tuân thủ (Compliance, Audit, Legal)

1. Backup không chỉ là vấn đề kỹ thuật

Trong nhiều tổ chức, backup được xem là:

Một hạng mục kỹ thuật nội bộ
Ít liên quan đến quản lý, pháp lý

Thực tế:

Backup là một phần của nghĩa vụ tuân thủ và trách nhiệm pháp lý.

Khi xảy ra sự cố, câu hỏi không chỉ là:

“Có khôi phục được không?”

Mà còn là:

“Dữ liệu có đầy đủ, chính xác và truy xuất được không?”
“Ai chịu trách nhiệm?”
“Có vi phạm quy định hay không?”

2. Compliance, Audit, Legal là gì trong bối cảnh backup?

2.1. Compliance (Tuân thủ)

Tuân thủ luật pháp
Tuân thủ quy định ngành
Tuân thủ quy chế nội bộ

2.2. Audit (Kiểm toán)

Khả năng kiểm tra
Truy vết
Đối chiếu dữ liệu lịch sử

2.3. Legal (Pháp lý)

Bảo vệ quyền lợi pháp lý
Chứng minh dữ liệu
Trách nhiệm khi tranh chấp

📌 Backup là nền tảng cho cả ba.

3. Vì sao backup liên quan trực tiếp đến trách nhiệm pháp lý?

Trong nhiều trường hợp:

Mất dữ liệu ≠ sự cố kỹ thuật
Mất dữ liệu = vi phạm nghĩa vụ

Ví dụ:

Mất hồ sơ bệnh án
Mất dữ liệu giao dịch
Không cung cấp được dữ liệu khi kiểm tra

📌 Không có backup hoặc backup không dùng được có thể trở thành rủi ro pháp lý nghiêm trọng.

4. Backup và dữ liệu cá nhân, dữ liệu nhạy cảm

Backup thường chứa:

Toàn bộ dữ liệu gốc
Dữ liệu cá nhân
Dữ liệu nhạy cảm

Yêu cầu tuân thủ:

Mã hóa
Kiểm soát truy cập
Nhật ký truy cập
Phân quyền rõ ràng

📌 Backup không được bảo vệ đúng mức = vi phạm bảo mật dữ liệu.

5. Retention Policy và nghĩa vụ lưu trữ

5.1. Lưu quá ngắn – vi phạm

Không đủ dữ liệu lịch sử
Không đáp ứng yêu cầu kiểm toán

5.2. Lưu quá dài – rủi ro

Lộ dữ liệu cũ
Tăng chi phí
Vi phạm nguyên tắc tối thiểu hóa dữ liệu

📌 Retention Policy phải cân bằng giữa luật pháp – rủi ro – chi phí.

6. Backup và khả năng truy xuất (Traceability)

Một hệ thống tuân thủ cần:

Biết dữ liệu được tạo khi nào
Ai chỉnh sửa
Có thể khôi phục mốc lịch sử

Backup đóng vai trò:

Bằng chứng kỹ thuật
Cơ sở đối chiếu

7. Backup và kiểm toán nội bộ, bên ngoài

Khi audit, thường yêu cầu:

Chính sách backup
Lịch backup
Nhật ký backup
Kết quả test restore

📌 “Có backup” không đủ, phải chứng minh được.

8. Backup trong bối cảnh sự cố pháp lý

Khi xảy ra:

Tranh chấp
Khiếu nại
Điều tra

Backup có thể:

Bảo vệ tổ chức
Hoặc làm lộ thiếu sót nghiêm trọng

📌 Backup không đầy đủ hoặc không kiểm soát được truy cập có thể gây bất lợi pháp lý.

9. Trách nhiệm và phân quyền trong backup

Backup tuân thủ yêu cầu:

Phân quyền rõ
Ghi nhận trách nhiệm
Không phụ thuộc cá nhân

Ai:

Thiết kế?
Vận hành?
Phê duyệt?
Kiểm tra?

📌 Thiếu phân quyền rõ ràng = rủi ro quản trị.

10. Đưa backup vào khung quản trị và SOP

Backup cần:

Chính sách chính thức
SOP rõ ràng
Đào tạo định kỳ
Rà soát định kỳ

📌 Backup không nằm trong hệ thống quản trị = không đáp ứng tuân thủ.

11. Liên hệ với hệ thống thực tế (y tế, dịch vụ công)

Trong hệ thống:

Phục vụ người bệnh
Phục vụ cán bộ
Dữ liệu nhạy cảm