Trung tâm Dữ liệu Quốc gia ra đời: "dữ liệu trong nước" và bài toán on-prem

Khi một quốc gia bỏ công xây một trung tâm dữ liệu ở tầm quốc gia, đó không chỉ là một tòa nhà đầy máy chủ — đó là một tuyên bố về hướng đi. Trung tâm Dữ liệu Quốc gia đi vào hoạt động giữa năm 2025 củng cố một thông điệp đã rõ dần qua Luật Dữ liệu và các quy định về bảo vệ dữ liệu cá nhân: dữ liệu nên nằm trong nước và trong tầm kiểm soát. Với người ra quyết định ở doanh nghiệp, đây không phải một tin ngành để đọc cho biết, mà là một tín hiệu nên đưa vào chiến lược hạ tầng ngay từ bây giờ.

Bài này nhìn vào năm điều: Trung tâm Dữ liệu Quốc gia thực chất là gì và vì sao nó quan trọng, nó dịch chuyển kỳ vọng "dữ liệu trong nước" ra sao, điều đó nói gì với lựa chọn kiến trúc của một tổ chức, on-premise so với cloud trong nước khác nhau thế nào, và một checklist ngắn để bắt đầu.

Trung tâm Dữ liệu Quốc gia là gì và vì sao nó quan trọng

Trung tâm Dữ liệu Quốc gia là hạ tầng dữ liệu dùng chung ở tầm quốc gia, do Bộ Công an chủ trì, nằm trong nỗ lực lớn hơn của Việt Nam về hạ tầng và quản trị dữ liệu. Nó gắn liền với Luật Dữ liệu (số 60/2024/QH15, hiệu lực từ 1/7/2025) — văn bản đặt nền cho việc xây dựng, kết nối và khai thác các cơ sở dữ liệu ở quy mô quốc gia. Nói ngắn gọn, đây là nơi hội tụ và điều phối nhiều luồng dữ liệu vốn trước đây nằm rải rác ở từng bộ, ngành, địa phương.

Điều đáng chú ý không nằm ở phần cứng, mà ở tín hiệu chính sách. Một nhà nước bỏ nguồn lực để tập trung hóa dữ liệu ở tầm quốc gia đang phát đi một thông điệp rõ ràng: dữ liệu là tài sản chiến lược, và nơi đặt dữ liệu là một quyết định có chủ đích, không phải mặc định theo nhà cung cấp tiện nhất. Khi khối nhà nước đặt ra chuẩn mực đó cho chính mình, chuẩn mực ấy dần lan sang cách các cơ quan quản lý, đối tác và cả thị trường nhìn nhận việc một tổ chức để dữ liệu của mình ở đâu.

Cách nó dịch chuyển kỳ vọng "dữ liệu trong nước"

Trước đây, "để dữ liệu ở đâu" phần lớn là một quyết định kỹ thuật: chỗ nào rẻ, nhanh, tiện tích hợp thì chọn. Sự xuất hiện của một hạ tầng dữ liệu tập trung cấp quốc gia, đi cùng hành lang pháp lý ngày càng siết việc chuyển dữ liệu ra ngoài, đẩy câu hỏi này sang một mặt phẳng khác. Nó không còn chỉ là "để đâu cho tiện" mà là "để đâu để chứng minh được quyền kiểm soát khi cần".

Từ ngoại lệ thành mặc định. Vài năm trước, giữ dữ liệu trong nước hay chọn on-premise thường bị xem là yêu cầu riêng của khối quốc phòng, an ninh hoặc tài chính. Bối cảnh mới đưa nó thành kỳ vọng phổ biến hơn: một doanh nghiệp bình thường xử lý dữ liệu cá nhân của người dùng tại Việt Nam giờ cũng cần trả lời được dữ liệu đó nằm ở đâu và ai chạm vào được.

Chủ quyền dữ liệu không còn là chuyện của riêng khối nhà nước. Khi nhà nước coi dữ liệu công dân là tài sản cần giữ trong tầm tài phán trong nước, logic đó áp cho doanh nghiệp một cách tự nhiên. Nghĩa vụ pháp lý với chủ thể dữ liệu vẫn thuộc về tổ chức thu thập, dù hệ thống đặt ở đâu và do ai vận hành.

Kỳ vọng dịch chuyển nhanh hơn quy định. Ngay cả trước khi một quy định cụ thể áp vào một ngành, kỳ vọng của đối tác, khách hàng lớn và cơ quan quản lý đã dịch chuyển. Một tổ chức chuẩn bị sớm cho câu hỏi "dữ liệu của anh nằm ở đâu" sẽ đỡ phải sửa gấp về sau.

Điều đó nói gì với kiến trúc của doanh nghiệp

Kỳ vọng "dữ liệu trong nước" khi thành hiện thực sẽ chạm vào cách thiết kế hệ thống, không chỉ chỗ đặt máy. Có bốn điểm nên nghĩ tới sớm.

Phân vùng dữ liệu. Cần một đường biên rõ ràng giữa phần dữ liệu phải giữ trong nước và phần có thể linh hoạt, thay vì trộn lẫn rồi phải nội địa hóa toàn bộ chỉ vì một phần nhạy cảm. Phân loại dữ liệu trước, chọn nơi đặt sau.

Nhật ký truy cập. Muốn chứng minh ai đã chạm vào dữ liệu nào, lúc nào, hệ thống phải ghi log đầy đủ và giữ đủ lâu. Đây là năng lực mà on-premise và private cloud cho bạn tự chủ, còn SaaS thì phụ thuộc vào báo cáo của nhà cung cấp.

Sao lưu trong nước. Bản sao lưu cũng là dữ liệu. Nếu bản chính ở Việt Nam nhưng bản sao lưu tự động đẩy sang vùng nước ngoài, nghĩa vụ lưu trữ trong nước có thể bị vi phạm ở chính chỗ ít người để ý nhất.

Khả năng rời đi. Câu hỏi kiểm tra rất đơn giản: nếu mai chấm dứt hợp đồng, bạn lấy lại toàn bộ dữ liệu ở định dạng nào, trong bao lâu, phần mềm nào đọc được? Chuẩn mở và tài liệu lược đồ là điều kiện để việc nội địa hóa không biến thành một dạng khóa nhà cung cấp mới.

Có một nghịch lý đáng chú ý ở đây. Nhà nước tập trung hóa dữ liệu ở tầm quốc gia, nhưng với mỗi doanh nghiệp, bài học lại là giữ dữ liệu trong tầm kiểm soát của chính mình. Một kho tập trung lớn cũng là một mục tiêu lớn, và cách an toàn cho một tổ chức riêng lẻ vẫn là đưa dữ liệu về hạ tầng mà đội kỹ thuật của mình truy cập và kiểm soát được.

On-premise hay cloud trong nước

"Giữ dữ liệu trong nước" trên thực tế có nhiều mức, không chỉ một, và không đồng nghĩa với "cấm dùng cloud".

On-premise. Dữ liệu nằm trên máy chủ do tổ chức sở hữu hoặc thuê chỗ đặt, trong mạng của chính tổ chức. Đây là mức kiểm soát cao nhất, và cũng là mức trách nhiệm vận hành cao nhất: vá lỗi, theo dõi sao lưu, diễn tập khôi phục đều là việc của bạn.

Private cloud trong nước. Hạ tầng dành riêng, đặt tại trung tâm dữ liệu trong nước hoặc một vùng riêng của nhà cung cấp Việt Nam. Bạn giữ kiểm soát ở mức tài nguyên và truy cập, đổi lại có tốc độ cấp phát gần bằng cloud công cộng.

Cloud công cộng chọn vùng Việt Nam. Vẫn là dịch vụ chia sẻ, nhưng dữ liệu được ghim ở vùng trong nước và điều này ghi rõ trong hợp đồng, thay vì mặc định dùng vùng gần nhất.

On-premise không phải xu hướng hoài cổ — nó là câu trả lời thực dụng cho một môi trường pháp lý đang siết lại. Nhưng on-premise cũng không tự động an toàn: một máy chủ không vá lỗi, không sao lưu ngoài site thì rủi ro hơn một dịch vụ được quản trị tử tế. Kiểm soát luôn đi kèm trách nhiệm. Với phần lớn tổ chức, câu trả lời hợp lý là một kiến trúc hỗn hợp: lõi nghiệp vụ và dữ liệu cá nhân giữ on-premise hoặc private cloud trong nước, phần biên co giãn theo mùa thì thuê cloud. Chúng tôi đã bàn kỹ hơn về đánh đổi giữa các mô hình trong bài on-premise hay cloud, và về nghĩa vụ lưu trữ dữ liệu trong nước trong bài data localization.

Checklist bắt đầu

Không cần chờ một quy định cụ thể áp vào ngành của mình mới hành động. Năm bước dưới đây có thể làm ngay:

Lập danh mục dữ liệu. Liệt kê các hệ thống và phân loại dữ liệu theo độ nhạy cảm và nghĩa vụ pháp lý, trước khi bàn tới chỗ đặt.

Đánh dấu phần phải giữ trong nước. Xác định rõ dữ liệu cá nhân, dữ liệu nhạy cảm và các hệ thống lõi.

Kiểm tra nơi đặt hiện tại. Với mỗi hệ thống đang dùng, xác nhận dữ liệu và bản sao lưu thật sự nằm ở đâu, kể cả vùng nhân bản của nhà cung cấp.

Rà soát nhật ký và bằng chứng. Bạn có trả lời được ai đã truy cập dữ liệu nào, lúc nào hay không.

Lập lộ trình. Quyết định cái gì chuyển về on-premise hoặc private cloud trong nước, cái gì giữ linh hoạt, theo thứ tự ưu tiên rủi ro.

Tetra eOffice và Manta Security đều chạy trên hạ tầng của bạn, để dữ liệu và nhật ký nằm trong cơ sở dữ liệu mà đội kỹ thuật của bạn truy cập được — đúng theo tinh thần "dữ liệu trong nước, và trong hệ thống của bạn". Nếu tổ chức của bạn đang rà soát chiến lược dữ liệu trước bối cảnh mới, hãy đặt lịch tư vấn để cùng xác định đâu là dữ liệu phải giữ gần, đâu là phần có thể linh hoạt và một lộ trình chuyển đổi hợp lý.