Quy định pháp luật về quản lý sử dụng các phần mềm công nghệ thông tin trong quản trị chất lượng hệ sinh thái số giáo dục đại học ở Việt Nam

1. Đặt vấn đề

Trong bối cảnh chuyển đổi số quốc gia, việc quản trị chất lượng hệ sinh thái số đã trở thành nhân tố quyết định năng lực cạnh tranh và sự phát triển bền vững của giáo dục đại học Việt Nam. Tuy nhiên, sự phát triển nhanh chóng của các nền tảng công nghệ đang bộc lộ khoảng cách lớn giữa thực tiễn vận hành và sự hoàn thiện của hành lang pháp lý điều chỉnh. Khung pháp luật hiện hành chỉ tập trung vào thủ tục đầu tư hạ tầng mà thiếu đi các quy định chi tiết về kiểm soát chất lượng, bảo trì và trách nhiệm pháp lý suốt vòng đời phần mềm. Thực trạng tại các trường đại học, điển hình như Trường Đại học Ngân hàng TP. Hồ Chí Minh, cho thấy có một số thời điểm việc thiếu các tiêu chuẩn kỹ thuật thống nhất trong quản trị, vận hành đang tạo ra những “ốc đảo dữ liệu” và rủi ro về an ninh mạng trong việc sử dụng các phần mềm, bảo vệ dữ liệu.

Đặc biệt, sự ra đời của Luật Dữ liệu năm 2024 đặt ra yêu cầu thiết lập một khung quy tắc pháp lý đồng bộ nhằm chuẩn hóa khả năng liên thông dữ liệu giữa các phần mềm quản trị rời rạc với Cơ sở dữ liệu quốc gia, đồng thời chuyển đổi mô hình quản trị từ thuần túy kỹ thuật sang quản trị trách nhiệm pháp lý để bảo vệ dữ liệu cá nhân và kiến tạo “niềm tin số” bền vững trong hệ sinh thái giáo dục đại học. Bài báo tập trung phân tích các rào cản pháp lý hiện nay nhằm đề xuất giải pháp hoàn thiện quy chế nội bộ và chuẩn hóa quy trình quản lý, thẩm định, góp phần xây dựng “niềm tin số” vững chắc cho hệ sinh thái giáo dục đại học.

2. Thực trạng pháp luật về quản lý sử dụng các phần mềm công nghệ thông tin và bối cảnh quản trị hệ sinh thái số tại các trường đại học Việt Nam

Trong cấu trúc vận hành của giáo dục đại học hiện nay, việc quản lý các phần mềm công nghệ thông tin đã vượt ra khỏi phạm vi hỗ trợ kỹ thuật thuần túy để trở thành một nghĩa vụ tuân thủ pháp lý trọng yếu dưới tác động của pháp luật hiện hành [1]. Thực trạng tại các cơ sở đào tạo cho thấy một khoảng cách đáng kể giữa hạ tầng công nghệ hiện hữu và các tiêu chuẩn quản trị số mới, nơi các phần mềm, dữ liệu giáo dục được định danh là tài sản chiến lược cần bảo vệ. Tính cấp bách của hành lang pháp lý mới buộc các hệ thống phần mềm quản trị chất lượng, vốn đang tồn tại rời rạc phải tái cấu trúc theo hướng chuẩn hóa dữ liệu để đảm bảo khả năng liên thông với Cơ sở dữ liệu quốc gia. Sự đứt gãy trong kết nối không chỉ gây lãng phí nguồn lực mà còn tạo ra các rủi ro pháp lý về tính xác thực của thông tin trong quy trình kiểm định và báo cáo số. Do đó, việc quản trị phần mềm lúc này phải lấy "tính tương thích dữ liệu" làm tiêu chuẩn hàng đầu để duy trì sự vận hành thông suốt của toàn bộ hệ sinh thái số; cùng với yêu cầu liên thông, an ninh mạng trong giáo dục đại học hiện nay phải được tiếp cận dưới góc độ trách nhiệm pháp lý trực tiếp.

Các phần mềm vận hành nhân sự, tài chính kế toán, đào tạo, khảo thí và đảm bảo chất lượng, lưu trữ nhiều dữ liệu thông tin của nhiều chủ thể có liên quan trong hệ thống, việc này bắt buộc phải tích hợp cơ chế bảo mật ngay từ khâu thiết kế và phân cấp quyền truy cập theo quy định về bảo vệ dữ liệu cá nhân. Những hạn chế tồn tại trong vận hành dẫn đến lộ, lọt dữ liệu không còn dừng lại ở sự cố kỹ thuật đơn thuần, mà là hành vi vi phạm pháp luật, trực tiếp đe dọa đến "niềm tin số", nền tảng cốt lõi của quản trị chất lượng đại học. Đặc biệt, mối quan hệ giữa đơn vị sử dụng phần mềm và các đơn vị cung cấp dịch vụ phần mềm bên thứ ba cần được tái định nghĩa thông qua các chế định về "Dịch vụ trung gian dữ liệu". Việc quản lý sử dụng phần mềm phải gắn liền với các điều khoản hợp đồng chặt chẽ, ngăn chặn tuyệt đối tình trạng chiếm dụng hoặc khai thác trái phép dữ liệu giáo dục cho mục đích thương mại. Sự chuyển dịch tư duy từ "số hóa quy trình" sang "quản trị dữ liệu tuân thủ" chính là mắt xích quyết định để kiến tạo một hệ sinh thái giáo dục đại học bền vững, minh bạch và an toàn trong kỷ nguyên số.

Thực tiễn quản trị, quản lý tại các trường đại học hiện nay cho thấy, một "nghịch lý pháp lý" đang tồn tại, khung pháp lý hiện hành tập trung vào giai đoạn "tiền dự án" (thủ tục mua sắm, đấu thầu) mà bỏ quên giai đoạn "hậu dự án" bao gồm vận hành và kiểm soát chất lượng. Khoảng trống pháp lý ở đây chính là sự thiếu hụt các tiêu chuẩn định lượng về hiệu năng hệ thống, khiến việc giám sát chất lượng vận hành của các nhà thầu cung cấp phần mềm thường dừng lại ở các báo cáo hành chính thay vì các chứng cứ kỹ thuật khách quan. Bên cạnh đó, việc không cụ thể hóa được nguyên tắc phối hợp, dùng chung dữ liệu tại cùng một đơn vị đã tạo ra một "điểm nghẽn" về trách nhiệm pháp lý giữa các đơn vị. Hệ quả dẫn đến việc các trường thường nghiệm thu phần mềm dựa trên tiêu chí hành chính thay vì các tiêu chuẩn kỹ thuật vận hành thực tế.

Tình trạng các phần mềm (như hệ thống PSC, Eoffice tại HUB) vận hành như những "ốc đảo dữ liệu" (Data Silos) biệt lập đang gây khó khăn trực tiếp cho việc thực thi nghĩa vụ bảo vệ thông tin cá nhân theo quy định của pháp luật hiện hành[2]. Khi thiếu các phương thức kết nối ứng dụng hướng dịch vụ (API) chuẩn hóa, các chủ thể sử dụng không thể triển khai các biện pháp kỹ thuật đồng bộ để bảo đảm thông tin không bị sai lệch, sự rời rạc này còn cho thấy khoảng cách lớn so với tinh thần trao đổi thông tin bảo đảm tính kịp thời tại, bảo mật và nguyên tắc phối hợp, trao đổi dữ liệu theo quy định. Bên cạnh đó, hạ tầng công nghệ thông tin tại các trường đại học, trong đó mạng LAN và máy trạm thường được ưu tiên đầu tư bài bản, nhưng sự gắn kết với lớp lại chưa chặt chẽ. Minh chứng rõ nét nhất là sự thiếu vắng khả năng xác thực tập trung (Single Sign-On). Việc người dùng phải duy trì nhiều tài khoản rời rạc là minh chứng cho sự chưa tối ưu về tính hiệu quả trong quản trị điều hành. Sự thiếu hụt các quy định bắt buộc về ngưỡng chịu tải (Stress test) đối với phần mềm là một hạn chế trong ứng dụng Công nghệ thông tin phải "đáp ứng yêu cầu phát triển kinh tế - xã hội" tại Điều 5 Luật này.

Sự hiện diện của các "ốc đảo dữ liệu" trong các cơ sở giáo dục đại học hiện nay không chỉ là một hạn chế đơn thuần về mặt kỹ thuật mà còn phản ánh sự chưa theo kịp của hệ thống quy phạm pháp luật trước tốc độ phát triển của công nghệ. Điểm xung đột đầu tiên nằm ở khoảng cách giữa nghĩa vụ bảo đảm tính toàn vẹn thông tin và thực trạng thiếu vắng các quy chuẩn kỹ thuật bắt buộc. Trong khi pháp luật yêu cầu phải triển khai các biện pháp kỹ thuật để thông tin không bị "sai lệch", thực tế lại thiếu các hướng dẫn chi tiết về chuẩn kết nối giao diện lập trình ứng dụng (API). Khi các phân hệ quản trị như đào tạo, nhân sự, tài chính vận hành trên những cấu trúc dữ liệu khác biệt mà không có cơ chế liên thông tự động, việc đồng bộ hóa dữ liệu buộc phải thực hiện thủ công, trực tiếp tạo ra rủi ro sai sót và có thể làm sai sót thông tin cá nhân của người học. Điều này dẫn đến một nghịch lý quản trị: nhà trường phải chịu trách nhiệm pháp lý về kết quả (dữ liệu chính xác) nhưng lại bị bỏ trống về phương tiện (quy chuẩn kết nối), khiến nỗ lực tuân thủ trở nên định tính và thiếu căn cứ xác thực.

Trong kỷ nguyên chuyển đổi số hiện nay, hệ sinh thái số tại các cơ sở giáo dục đại học (GDĐH) Việt Nam đang thực hiện bước chuyển mình mang tính chiến lược, từ việc ứng dụng các công cụ công nghệ rời rạc sang mô hình quản trị tích hợp dựa trên nền tảng dữ liệu dùng chung. Định hướng này được Chính phủ cụ thể hóa trong đó xác lập giáo dục là lĩnh vực ưu tiên chuyển đổi số hàng đầu với mục tiêu phát triển nền tảng hỗ trợ dạy và học từ xa, đồng thời số hóa triệt để tài liệu học tập và quy trình quản lý hành chính[3] . Tuy nhiên, khi đối chiếu giữa kỳ vọng chính sách về một hạ tầng dữ liệu đồng bộ với thực tiễn vận hành, vẫn tồn tại những khoảng cách đáng kể về năng lực thực thi tại cơ sở. Dù chiến lược quốc gia đã định hình rõ nét lộ trình xây dựng hệ sinh thái giáo dục số hiện đại, nhưng thực tế cho thấy việc chuyển hóa các mục tiêu vĩ mô thành các tiêu chuẩn kỹ thuật cụ thể tại các nhà trường vẫn còn nhiều lúng túng.

Sự tồn tại chưa tương thích này bộc lộ rõ nét nhất qua tình trạng các phần mềm quản trị (như hệ thống PSC, Eoffice tại HUB) vận hành đơn lẻ, thiếu liên thông gắn kết. Thực tiễn cho thấy, việc dữ liệu bị phân tán giữa các phân hệ đào tạo, nhân sự, tài chính và công tác sinh viên không chỉ tạo ra rủi ro sai sót trong đối soát học vụ mà còn làm hạn chế tính "kịp thời" của thông tin số. Khoảng cách ở đây nằm ở việc Luật chỉ nêu ra nguyên tắc định tính mà chưa thể chế hóa các yêu cầu định lượng về hiệu năng hệ thống, dẫn đến việc kết nối dữ liệu dùng chung và xác thực tập trung thường chỉ đạt mức độ tối thiểu so với yêu cầu chuẩn hóa quốc gia. Mặc dù Luật Công nghệ thông tin đã thiết lập nền tảng căn bản, nhưng khung pháp lý này đang bộc lộ sự thiếu bao quát, cùng chiều sâu cụ thể trước sự phức tạp của hệ sinh thái số hiện đại. Tại các đơn vị thực hiện tự chủ như HUB, về cơ bản hạ tầng kỹ thuật công nghệ thông tin nhìn chung chưa đồng bộ, nhiều thiết bị đã lạc hậu, và phần lớn được đầu tư theo từng đợt riêng lẻ, không theo một kế hoạch tổng thể và dài hạn. Điều này ảnh hưởng đến hiệu quả vận hành hệ thống và khả năng mở rộng đáp ứng yêu cầu chuyển đổi số[4].

Trong bối cảnh chuyển đổi số, pháp luật hiện hành vẫn chưa phân định rõ ràng quyền truy cập và trách nhiệm liên đới khi xảy ra sự cố rò rỉ dữ liệu trong quá trình liên thông. Sự lúng túng này khiến các trường thường chọn giải pháp an toàn là duy trì các hệ thống biệt lập thay vì kết nối vào nền tảng chia sẻ dữ liệu dùng chung. Như vậy, việc quản trị một hệ sinh thái số linh động bằng những quy định pháp lý tĩnh đã tạo ra rào cản vô hình đối với sự phát triển bền vững của giáo dục đại học trong kỷ nguyên số. Bên cạnh đó, việc thực thi Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân hiện đang vấp phải rào cản mang tính hệ thống từ quy định khấu hao tại Thông tư số 45/2018/TT-BTC.

Điểm bất hợp lý cốt lõi nằm ở sự xung đột giữa "tốc độ lỗi thời công nghệ" và "thời gian sử dụng định mức" của tài sản. Cụ thể, theo quy định của Nghị định 13, các đơn vị bắt buộc phải có các biện pháp kỹ thuật để chống truy cập trái phép và bảo mật hệ thống lưu trữ. Tuy nhiên, Phụ lục 1 của các quy định pháp luật chuyên ngành có liên quan lại quy định các thiết bị hạ tầng công nghệ thông tin (như máy chủ, máy tính, thiết bị truyền dẫn) có thời gian sử dụng định mức lên tới 5 năm (tỷ lệ hao mòn 20%/năm) [5]. Thực tế, trước áp lực của tội phạm mạng, các lỗ hổng bảo mật và sự phát triển của AI, các thiết bị này thường trở nên lạc hậu và không còn đảm bảo an toàn chỉ sau 2-3 năm sử dụng. Điều này tạo ra một nghịch lý pháp lý: Nếu đơn vị tuân thủ các quy định của pháp luật để nâng cấp thiết bị nhằm bảo vệ dữ liệu, sẽ vi phạm quy định quản lý tài sản công vì thanh lý tài sản chưa hết hạn khấu hao. Ngược lại, nếu cố gắng duy trì thiết bị đủ 5 năm, đơn vị sẽ đối mặt với rủi ro an ninh, an toàn, thiếu sự cập nhật, bổ sung mới có thể gây ảnh hưởng đến các tiêu chuẩn an ninh bắt buộc theo quy định về pháp luật liên quan trong lĩnh vực công nghệ thông tin. Hệ quả là bị đặt vào tình thế "tiến thoái lưỡng nan" giữa việc bảo vệ an toàn thông tin và tuân thủ định mức tài chính hiện hành.

3. Một số giải pháp hoàn thiện quy định pháp luật về quản lý sử dụng phần mềm công nghệ thông tin trong hệ sinh thái số tại trường đại học

Để khắc phục "nghịch lý pháp lý" chỉ tập trung vào giai đoạn tiền dự án, các trường đại học cần ban hành "Quy chế quản lý và sử dụng tài sản số" chuyên biệt, thay thế cho các quy định quản lý thiết bị tin học truyền thống vốn đã không còn phù hợp. Quy chế này cần luật hóa quy trình quản trị xuyên suốt 5 giai đoạn: Khảo sát nhu cầu - Thẩm định pháp lý nhà cung cấp - Kiểm thử chất lượng - Vận hành khai thác - Bảo trì và Hủy bỏ. Trọng tâm của giải pháp này là việc bắt buộc đưa các chỉ tiêu định lượng vào các thỏa thuận mức độ dịch vụ (SLA - Service Level Agreement) trong hợp đồng dịch vụ công nghệ thông tin.

Các thông số như thời gian phản hồi hệ thống, độ sẵn sàng tối thiểu 99,9% phải được xem là điều khoản pháp lý bắt buộc. Việc chuyển đổi tư duy từ "mua đứt phần mềm" sang "thuê dịch vụ chất lượng cao" sẽ tạo căn cứ pháp lý vững chắc để thực hiện chế tài đối với nhà cung cấp, đảm bảo tính ổn định của hệ thống trong các kỳ cao điểm đăng ký học phần hay xét tốt nghiệp. Nhằm xóa bỏ những tồn tại hạn chế trong khâu nghiệm thu, cần thiết lập lộ trình kiểm thử bắt buộc dựa trên tiêu chuẩn ISO/IEC gắn liền với hướng dẫn của pháp luật hiện hành[6]. Quá trình thẩm định chất lượng không nên chỉ dừng lại ở góc độ kỹ thuật của đơn vị Công nghệ thông tin mà cần có sự phê duyệt mang tính pháp lý của Hội đồng Khoa học và bộ phận pháp chế.

Đặc biệt, hồ sơ nghiệm thu bắt buộc phải bao gồm biên bản Kiểm thử chấp nhận khi vận hành với các bài Kiểm tra khả năng chịu tải của hệ thống triển khai ứng dụng phần mềm được thực hiện trong môi trường giả lập tương đương thực tế. Điều này đảm bảo mọi phần mềm trước khi đi vào vận hành chính thức đều đã được kiểm tra pháp lý và kỹ thuật kiểm chứng về khả năng chịu tải, tránh tình trạng tê liệt hệ thống gây ảnh hưởng đến quyền lợi chính đáng của người học. Để giải quyết triệt để tình trạng "ốc đảo dữ liệu", các cơ sở giáo dục đại học cần ban hành quy định kỹ thuật bắt buộc về việc thực hiện kết nối liên thông qua các kiến trúc phần mềm hướng dịch vụ chuẩn hóa và cơ chế xác thực tập trung.

Về mặt hạ tầng, cần ưu tiên triển khai mô hình Hybrid Cloud hoặc Private Cloud để đảm bảo Chủ quyền dữ liệu. Các điều khoản hợp đồng với nhà cung cấp dịch vụ lưu trữ đám mây phải quy định rõ nghĩa vụ lưu trữ dữ liệu tại Việt Nam và quyền can thiệp mã nguồn trong các tình huống khẩn cấp để tránh tình trạng mất kết nối với bên cung cấp dịch vụ phần mềm. Quy trình sao lưu và phục hồi dữ liệu phải được chuẩn hóa thành nghĩa vụ định kỳ, có sự giám sát của đơn vị kiểm toán hệ thống phần mềm độc lập nhằm bảo vệ tính toàn vẹn của "kho báu số" trong nhà trường.

Từ thực tế điều chỉnh của pháp luật hiện hành[7] các trường cần xây dựng danh mục dữ liệu cá nhân và quy trình xử lý dữ liệu chuyên biệt. Giải pháp thực tế là phải luật hóa trách nhiệm của người đứng đầu đối với công tác an ninh mạng và thiết lập hạn tầng công nghệ, đội ứng cứu sự cố nội bộ. Việc đầu tư và vận hành Trung tâm điều hành an ninh mạng cùng hệ thống giám sát hành vi không nên chỉ được coi là giải pháp kỹ thuật tự nguyện, mà cần được quy định như một điều kiện pháp lý bắt buộc để vận hành hệ sinh thái giáo dục. Điều này giúp bảo vệ thông tin cá nhân của giảng viên, sinh viên và ngăn ngừa các rủi ro pháp lý, bồi thường thiệt hại khi xảy ra sự cố rò rỉ thông tin.

Để giải quyết vấn đề này, pháp luật hiện hành cần nghiên cứu xem xét sửa đổi hoàn thiện một số nội dung có liên quan tại một số pháp luật chuyên ngành điều chỉnh về khấu hao tài sản có liên quan phục vụ đến hạ tầng công nghệ thông tin[8] hoặc có hướng dẫn riêng cho nhóm "Tài sản phục vụ an ninh mạng và bảo vệ dữ liệu"; trong đó với cơ chế đặc thù cho phép áp dụng phương pháp khấu hao nhanh hoặc rút ngắn thời gian sử dụng xuống còn 3 năm đối với các thiết bị phục vụ trực tiếp cho việc thực thi hiện đại hóa công nghệ thông tin, nhằm đảm bảo hạ tầng công nghệ luôn tương thích với các mối đe dọa kỹ thuật số hiện nay.

Đồng thời thực hiện giải pháp đào tạo kỹ năng "pháp lý số" cho cán bộ quản lý và đội ngũ trực tiếp vận hành. Nhà trường cần xây dựng bộ quy tắc ứng xử trên không gian mạng, hướng dẫn chi tiết về bảo hộ quyền tác giả đối với các học liệu số và sản phẩm nghiên cứu khoa học, các vấn đề có liên quan đến mua sử dụng các phần mềm công nghệ thông tin, bao gồm trước, trong và sau khi hoàn tất việc đầu tư, mua sắm, vận hành, bảo trì, cập nhật, bổ sung. Đồng thời, cần thiết lập cơ chế hợp tác định kỳ với các tổ chức sở hữu trí tuệ và an ninh mạng chuyên nghiệp để rà soát, đánh giá các "lỗ hổng" pháp lý trong quá trình sử dụng, vận hành các phần mềm cũng như hạ tầng công nghệ thông tin trong hệ sinh thái giáo dục số đại học hiện nay. Việc này giúp chủ động điều chỉnh chiến lược quản trị hệ sinh thái số phù hợp với tốc độ thay đổi của công nghệ và sự chuyển mình của hệ thống pháp luật.

4. Kết luận

Nghiên cứu về quy định pháp luật và thực tiễn quản lý phần mềm công nghệ thông tin tại các trường đại học, với điển hình từ Trường Đại học Ngân hàng TP. Hồ Chí Minh (HUB), đã khẳng định: Quản trị hệ sinh thái số không đơn thuần là bài toán về đầu tư kỹ thuật, mà cốt lõi là sự hoàn thiện hành lang pháp lý để đảm bảo tính vận hành bền vững. Thực trạng cho thấy, mặc dù các cơ sở giáo dục đã nỗ lực số hóa mạnh mẽ, nhưng sự hiện diện của những "ốc đảo dữ liệu", rủi ro bảo mật từ các quy định mới[9] và sự xơ cứng trong cơ chế tài chính tài sản vô hình đang tạo nên những rào cản chiến lược.

Việc tháo gỡ những "điểm nghẽn" này đòi hỏi một tư duy quản trị mới, chuyển dịch từ kiểm soát hành chính sang giám sát chất lượng định lượng qua các tiêu chuẩn kỹ thuật. Các giải pháp được đề xuất trong bài báo từ thể chế hóa quy chế nội bộ, chuẩn hóa kiểm thử theo quy định của pháp luật hiện hành[10] đến khẳng định chủ quyền dữ liệu và nâng cao năng lực pháp lý số, đóng vai trò là khung tham chiếu quan trọng để các nhà trường xây dựng một hệ sinh thái số tin cậy.

Tóm lại, việc luật hóa các quy trình quản lý sử dụng phần mềm và minh bạch hóa trách nhiệm của các chủ thể không chỉ bảo vệ quyền lợi hợp pháp, tài sản trí tuệ của các bên có liên quan, mà còn là nhân tố quyết định năng lực hội nhập quốc tế.

Tài liệu trích dẫn

[1] Luật số 60/2024/QH15 của Quốc hội: Luật Dữ liệu; Luật số 67/2006/QH11 của Quốc hội: Luật Công nghệ thông tin.