Tìm hiểu các tính năng bảo mật của Nền tảng kê khai thuế kỹ thuật số của Hồng Kông

Giới thiệu

Trong một kỷ nguyên mà các mối đe dọa an ninh mạng ngày càng tinh vi, Cục Thuế Nội địa Hồng Kông (IRD) đã thiết lập một khuôn khổ bảo mật toàn diện cho nền tảng kê khai thuế kỹ thuật số của mình, eTAX. Khi Hồng Kông tiếp tục hành trình chuyển đổi kỹ thuật số, việc bảo vệ dữ liệu người nộp thuế đã trở nên tối quan trọng. Hệ thống eTAX đóng vai trò là nền tảng của các dịch vụ chính phủ kỹ thuật số của Hồng Kông, xử lý thông tin tài chính nhạy cảm cho hàng triệu người nộp thuế hàng năm.

Bài viết này cung cấp một phân tích chuyên sâu về các tính năng bảo mật, giao thức và biện pháp tuân thủ nhằm bảo vệ hệ sinh thái kê khai thuế kỹ thuật số của Hồng Kông. Từ các cơ chế xác thực đến các tiêu chuẩn mã hóa dữ liệu, chúng tôi khám phá cách IRD đảm bảo rằng thông tin người nộp thuế vẫn được bảo mật, chính xác và an toàn trong toàn bộ quá trình kê khai thuế.

Sự phát triển của Nền tảng thuế kỹ thuật số của Hồng Kông

Nền tảng eTAX đã trải qua quá trình chuyển đổi đáng kể kể từ khi ra đời. Các bản cập nhật gần đây nhất được giới thiệu vào cuối năm 2024 và đầu năm 2025 đã làm cho nền tảng này thân thiện hơn với người dùng, an toàn hơn và toàn diện hơn. Cổng thông tin năm 2025 hiện đã hoàn toàn tương thích với thiết bị di động và hỗ trợ đăng nhập qua iAM Smart/iAM Smart+, cho phép người nộp thuế nộp tờ khai một cách thuận tiện trên thiết bị di động trong khi vẫn duy trì các tiêu chuẩn bảo mật mạnh mẽ.

Một cột mốc quan trọng đã xảy ra vào ngày 21 tháng 7 năm 2025, khi Cổng thông tin thuế cá nhân (ITP) thay thế hệ thống Tài khoản eTAX truyền thống. Sự chuyển đổi này đại diện cho một sự thay đổi cơ bản trong cách người nộp thuế Hồng Kông truy cập các dịch vụ thuế kỹ thuật số, với các tính năng bảo mật nâng cao được tích hợp trong toàn bộ nền tảng. Các cá nhân đã có Tài khoản eTAX trước ngày này có thể tiếp tục đăng nhập vào ITP bằng Số nhận dạng thuế (TIN) và mật khẩu của họ, đảm bảo quá trình chuyển đổi liền mạch mà không làm gián đoạn người dùng hiện có.

Xác thực và Kiểm soát truy cập

Tích hợp iAM Smart và iAM Smart+

Nền tảng iAM Smart, ra mắt vào tháng 12 năm 2020, đóng vai trò là nền tảng dịch vụ kỹ thuật số cá nhân hóa một cửa của chính phủ. Tính đến tháng 12 năm 2024, nền tảng này đã tích lũy hơn 3,1 triệu lượt đăng ký và cung cấp quyền truy cập vào khoảng 460 dịch vụ trực tuyến của chính phủ, công cộng và tư nhân. Việc tích hợp iAM Smart với hệ thống eTAX đại diện cho một bước tiến đáng kể trong bảo mật xác thực người nộp thuế.

Nền tảng này có hai phiên bản riêng biệt, mỗi phiên bản cung cấp các mức độ chức năng khác nhau:

Chức năng ký kỹ thuật số có sẵn trong iAM Smart+ đặc biệt quan trọng đối với việc tuân thủ thuế. IRD tích cực khuyến khích người nộp thuế sử dụng iAM Smart để đăng nhập và ký kỹ thuật số tờ khai thuế của họ, loại bỏ nhu cầu ký vật lý trong khi vẫn duy trì xác thực ràng buộc pháp lý. Khả năng ký kỹ thuật số này sử dụng các công nghệ mật mã đảm bảo tính không thể chối bỏ, nghĩa là người nộp thuế không thể phủ nhận việc đã nộp tờ khai sau này.

Nhiều tùy chọn xác thực

Nhận thấy rằng người dùng có các mức độ chấp nhận công nghệ và sở thích khác nhau, nền tảng eTAX cung cấp ba phương pháp xác thực riêng biệt:

• iAM Smart/iAM Smart+: Người dùng có thể đăng nhập liền mạch mà không cần nhập TIN hoặc mật khẩu, sử dụng thiết bị di động của họ để xác thực bằng sinh trắc học hoặc mã PIN
• TIN + Mật khẩu: Phương pháp đăng nhập truyền thống sử dụng Số nhận dạng thuế và mật khẩu do người dùng tạo
• Chứng chỉ kỹ thuật số: Chứng chỉ kỹ thuật số cá nhân do các cơ quan chứng nhận được ủy quyền cấp, cung cấp xác thực dựa trên PKI

Cách tiếp cận đa phương thức này đảm bảo khả năng tiếp cận trong khi vẫn duy trì các tiêu chuẩn bảo mật phù hợp với sức mạnh vốn có của từng phương pháp xác thực.

Cải tiến iAM Smart 4.0 (Tháng 12 năm 2024)

Vào tháng 12 năm 2024, chính phủ đã ra mắt iAM Smart 4.0, giới thiệu những cải tiến đáng kể về trải nghiệm người dùng và khả năng tiếp cận. Giao diện cập nhật có các trang theo chủ đề và trang Dịch vụ nổi bật, với các dịch vụ thường dùng như eTAX, Kênh điện tử không tiếp xúc và SmartPLAY được hiển thị nổi bật để truy cập trực tiếp.

Một bổ sung đặc biệt đáng chú ý là chế độ "lite", được thiết kế đặc biệt để cho phép người lớn tuổi và người dùng có nhu cầu tiếp cận sử dụng ứng dụng thuận tiện hơn. Cách tiếp cận thiết kế toàn diện này đảm bảo rằng các dịch vụ thuế kỹ thuật số vẫn có thể tiếp cận được với tất cả các phân khúc dân số Hồng Kông, bất kể trình độ kỹ thuật hay hạn chế về thể chất.

Mã hóa dữ liệu và Bảo mật truyền tải

Tiêu chuẩn mã hóa TLS/SSL

Tất cả dữ liệu được truyền giữa người dùng và nền tảng eTAX đều được bảo vệ bằng mã hóa Transport Layer Security (TLS), kế thừa giao thức Secure Sockets Layer (SSL) cũ hơn. TLS cung cấp khả năng bảo mật và mã hóa nâng cao so với phiên bản tiền nhiệm, mang lại khả năng bảo vệ tốt hơn chống lại các mối đe dọa mạng hiện đại.

Nền tảng eTAX chính thức chỉ có thể truy cập thông qua các kênh đã được xác minh, người dùng được khuyến cáo mạnh mẽ nên truy cập hệ thống độc quyền qua GovHK hoặc trang web chính thức của IRD, hoặc bằng cách nhập URL https://www.gov.hk/etax trực tiếp vào thanh địa chỉ trình duyệt. Hướng dẫn này giúp ngăn chặn các cuộc tấn công lừa đảo và đảm bảo người dùng kết nối với nền tảng hợp pháp.

Mã hóa nâng cao cho trao đổi dữ liệu

Vào tháng 11 năm 2024, IRD đã phát hành phiên bản cập nhật của công cụ mã hóa trên cổng thông tin Trao đổi thông tin tự động (AEOI). Các tổ chức tài chính báo cáo hiện được yêu cầu sử dụng phiên bản nâng cao này để mã hóa các tệp dữ liệu, thể hiện cam kết của IRD trong việc cập nhật các thực tiễn mật mã tốt nhất.

Các giao thức mã hóa đảm bảo rằng dữ liệu tài chính nhạy cảm vẫn được bảo vệ trong suốt vòng đời của nó, từ truyền tải ban đầu đến lưu trữ và lưu trữ cuối cùng. Ngay cả khi dữ liệu bị chặn trong quá trình truyền, mã hóa sẽ khiến dữ liệu không thể đọc được đối với các bên không được ủy quyền.

Bảo mật phiên và Giao thức hết thời gian

Nền tảng eTAX triển khai các cơ chế tự động hết thời gian phiên để bảo vệ chống lại truy cập trái phép khi người dùng rời khỏi thiết bị của họ mà không được giám sát. Mặc dù thời lượng hết thời gian cụ thể không được công khai vì lý do bảo mật, hệ thống được thiết kế để cân bằng sự tiện lợi của người dùng với các yêu cầu bảo mật.

Khi một phiên hết hạn, người dùng phải xác thực lại để tiếp tục các hoạt động của họ, ngăn chặn khả năng truy cập trái phép nếu người dùng quên đăng xuất. Tính năng này đặc biệt quan trọng khi truy cập nền tảng từ các thiết bị đầu cuối công cộng hoặc máy tính dùng chung, mặc dù IRD khuyến cáo rõ ràng không nên thực hiện các giao dịch thuế từ những địa điểm như vậy.

Tuân thủ pháp luật và quy định

Tuân thủ Pháp lệnh Dữ liệu Cá nhân (Quyền riêng tư) (PDPO)

Pháp lệnh Dữ liệu Cá nhân (Quyền riêng tư), được ban hành vào năm 1995 và có hiệu lực từ tháng 12 năm 1996, đại diện cho một trong những luật bảo vệ dữ liệu toàn diện lâu đời nhất của Châu Á. Nền tảng eTAX hoạt động hoàn toàn tuân thủ PDPO, áp dụng cho cả khu vực tư nhân và công cộng, và trung lập về công nghệ và dựa trên nguyên tắc.

PDPO được cấu trúc xung quanh sáu nguyên tắc bảo vệ dữ liệu cốt lõi điều chỉnh cách IRD xử lý thông tin người nộp thuế:

Miễn trừ theo Luật Thuế

PDPO cung cấp các miễn trừ cụ thể liên quan đến quản lý thuế. Khi việc sử dụng dữ liệu cá nhân được pháp luật hoặc lệnh tòa án yêu cầu hoặc cho phép, hoặc cần thiết để thực hiện hoặc bảo vệ các quyền hợp pháp ở Hồng Kông, một số yêu cầu tuân thủ có thể được miễn trừ. Điều này cho phép IRD thực hiện các nghĩa vụ theo luật định của mình theo Pháp lệnh Thuế nội địa trong khi vẫn tôn trọng quyền riêng tư ở mức tối đa có thể.

Các phát triển quy định trong tương lai

Tại Phiên họp Hội đồng Lập pháp về Các vấn đề Hiến pháp được tổ chức vào ngày 19 tháng 2 năm 2024, Ủy viên Quyền riêng tư đã báo cáo rằng Văn phòng Ủy viên Quyền riêng tư về Dữ liệu Cá nhân đang làm việc với Chính phủ để xem xét PDPO nhằm tăng cường bảo vệ dữ liệu cá nhân ở Hồng Kông. Các sửa đổi được đề xuất bao gồm việc giới thiệu cơ chế thông báo vi phạm dữ liệu bắt buộc, các yêu cầu đối với các công ty phải xây dựng chính sách lưu giữ dữ liệu và thực hiện các khoản phạt hành chính.

Tuy nhiên, các sửa đổi này đã bị hoãn lại do lo ngại về áp lực kinh tế mà chúng có thể gây ra cho các doanh nghiệp nhỏ hoặc siêu nhỏ. Chính phủ đang xem xét giới thiệu các sửa đổi thông qua một cách tiếp cận từng phần để giảm tác động đến các doanh nghiệp địa phương. Khi được thực hiện, những thay đổi này sẽ tăng cường hơn nữa các biện pháp bảo vệ quyền riêng tư dành cho người dùng eTAX.

Khuôn khổ bảo mật thể chế

Quản trị bảo mật đa lớp

IRD đã thiết lập một khuôn khổ quản trị bảo mật toàn diện vượt ra ngoài các kiểm soát kỹ thuật đơn thuần. Cục tuân thủ đầy đủ các quy định và hướng dẫn bảo mật đã được Chính phủ thiết lập, cũng như các thực tiễn tốt nhất quốc tế về bảo vệ dữ liệu. Ngoài việc tuân thủ cơ bản, IRD đã triển khai các cơ chế tự giám sát mạnh mẽ và quy trình cải tiến liên tục để quản lý bảo mật CNTT, đảm bảo khả năng thích ứng với bối cảnh an ninh mạng không ngừng phát triển.

Đánh giá và kiểm toán bảo mật độc lập

Các hệ thống của IRD trải qua quá trình xem xét thường xuyên và nghiêm ngặt bởi nhiều bên liên quan để đảm bảo bảo mật toàn diện:

• Văn phòng Chính sách Kỹ thuật số (DPO): Cung cấp sự giám sát về quản trị kỹ thuật số và tuân thủ chính sách bảo mật
• Cục An ninh mạng và Tội phạm công nghệ (CSTCB): Là một phần của Lực lượng Cảnh sát Hồng Kông, CSTCB thường xuyên cung cấp thông tin về các mối đe dọa an ninh mạng tiềm ẩn đối với các hệ thống của IRD và hỗ trợ triển khai các biện pháp bảo vệ đầy đủ để giảm thiểu rủi ro
• Ủy ban Kiểm toán: Thực hiện các đánh giá độc lập để đảm bảo tính mạnh mẽ của hệ thống và các kiểm soát bảo mật hiệu quả
• Các chuyên gia bảo mật độc lập: Các chuyên gia đánh giá và kiểm toán bảo mật bên ngoài được thuê để xác định các lỗ hổng và đề xuất cải tiến từ góc độ khách quan

Nỗ lực hợp tác này giữa các cơ quan chính phủ và các chuyên gia độc lập đảm bảo rằng IRD luôn cảnh giác và chủ động trong việc giải quyết các rủi ro mới nổi. DPO và CSTCB đóng vai trò đặc biệt quan trọng bằng cách thường xuyên giám sát bối cảnh mối đe dọa và cung cấp cảnh báo sớm về các lỗ hổng tiềm ẩn cụ thể đối với các hệ thống của chính phủ.

Tuân thủ tiêu chuẩn quốc tế

Là một thành viên của cộng đồng quốc tế và là một trung tâm tài chính toàn cầu, Hồng Kông tuân thủ các tiêu chuẩn toàn cầu do các tổ chức có ảnh hưởng như Tổ chức Hợp tác và Phát triển Kinh tế (OECD) đặt ra. IRD nỗ lực đảm bảo rằng các chính sách và thực tiễn của mình phù hợp với các khuôn khổ quốc tế này, đặc biệt trong các lĩnh vực như bảo mật dữ liệu và trao đổi thông tin giữa các khu vực pháp lý. Sự phù hợp này củng cố uy tín của IRD và đảm bảo rằng nó được trang bị tốt để xử lý các thách thức bảo vệ dữ liệu xuyên biên giới trong một nền kinh tế toàn cầu ngày càng kết nối.

Nhật ký kiểm toán và Ghi nhật ký giao dịch

Theo dõi hoạt động toàn diện

Nền tảng eTAX duy trì nhật ký kiểm toán đầy đủ cho tất cả các hồ sơ và giao dịch. Mọi hành động được thực hiện trong hệ thống đều được ghi lại với siêu dữ liệu liên quan bao gồm dấu thời gian, nhận dạng người dùng, địa chỉ IP và chi tiết giao dịch. Việc ghi nhật ký toàn diện này phục vụ nhiều mục đích:

• Trách nhiệm giải trình: Đảm bảo rằng tất cả các hành động có thể được truy tìm đến người dùng cụ thể, ngăn chặn các sửa đổi trái phép và hỗ trợ điều tra bất kỳ sự bất thường nào
• Không thể chối bỏ: Tạo một hồ sơ không thể chối cãi rằng người dùng không thể phủ nhận việc đã thực hiện các hành động cụ thể hoặc nộp các tờ khai cụ thể sau này
• Phát hiện gian lận: Cho phép xác định các mẫu bất thường hoặc các hoạt động đáng ngờ có thể cho thấy hành vi gian lận
• Xác minh tuân thủ: Cung cấp bằng chứng rằng IRD và người nộp thuế đã thực hiện các nghĩa vụ tương ứng của họ theo Pháp lệnh Thuế nội địa
• Giải quyết tranh chấp: Cung cấp một hồ sơ xác định có thể giải quyết các tranh chấp về thời gian nộp, nội dung hoặc tính xác thực

Tích hợp MyGovHK để ủy quyền giao dịch

Đối với người dùng đã liên kết tài khoản MyGovHK của họ với dịch vụ eTAX, mật khẩu tài khoản MyGovHK có thể được sử dụng làm phương tiện ủy quyền và ký các giao dịch được nộp qua eTAX theo phê duyệt của Ủy viên Thuế nội địa. Sự tích hợp này cung cấp một lớp xác minh bổ sung trong khi vẫn duy trì sự tiện lợi của một nền tảng dịch vụ chính phủ thống nhất.

Lưu giữ hồ sơ và Quản lý dữ liệu

Yêu cầu lưu giữ bảy năm

Điều 51C của Pháp lệnh Thuế nội địa (IRO) quy định rằng mọi người kinh doanh tại Hồng Kông phải lưu giữ hồ sơ thu nhập và chi tiêu của họ trong thời gian không dưới bảy năm. Yêu cầu này áp dụng cho tất cả các tài liệu và hồ sơ liên quan đến thuế, dù được duy trì ở định dạng vật lý hay điện tử.

IRO yêu cầu mọi người kinh doanh, hành nghề hoặc kinh doanh tại Hồng Kông phải lưu giữ đủ hồ sơ trong thời gian không dưới 7 năm sau khi hoàn thành các giao dịch, hành vi hoặc hoạt động mà các hồ sơ đó liên quan, để có thể xác định lợi nhuận chịu thuế một cách dễ dàng. Yêu cầu lưu giữ toàn diện này đảm bảo rằng IRD có thể thu thập thông tin cần thiết khi tiến hành kiểm toán thuế để đưa ra các đánh giá thuế chính xác.

Lưu giữ kéo dài đối với chuyển lỗ

Quy tắc bảy năm có ý nghĩa quan trọng đối với các doanh nghiệp có lỗ thuế. Theo chế độ thuế của Hồng Kông, lỗ của một doanh nghiệp có thể bù đắp lợi nhuận của nó trong những năm tới mà không có giới hạn thời gian. Nếu một doanh nghiệp có lợi nhuận chịu thuế trong một năm đánh giá nhưng vẫn ở vị trí lỗ tổng thể sau khi khấu trừ lỗ được chuyển từ các năm trước, doanh nghiệp không bắt buộc phải nộp thuế cho năm cụ thể đó cho đến khi các khoản lỗ được bù đắp hoàn toàn.

Do đó, người nộp thuế nên lưu giữ hồ sơ kinh doanh của những năm đánh giá liên quan đó cho đến bảy năm sau khi kết thúc năm mà các khoản lỗ đã được bù đắp hoàn toàn. Vì vậy, có thể có những trường hợp việc lưu giữ hồ sơ kéo dài hơn đáng kể so với yêu cầu bảy năm cơ bản.

Lưu giữ hồ sơ điện tử

Các doanh nghiệp được phép sử dụng hệ thống lưu giữ hồ sơ điện tử, phản ánh thực tế hiện đại của các hoạt động kinh doanh kỹ thuật số. Tuy nhiên, các tài liệu gốc như cuống séc, hóa đơn, phiếu gửi tiền ngân hàng và sao kê vẫn phải được lưu giữ để chứng minh thu nhập và chi tiêu.

Hồ sơ điện tử phải vẫn có thể đọc được, có thể truy xuất và hoàn chỉnh trong thời gian lưu giữ bắt buộc. Điều này đòi hỏi phải lưu trữ chúng ở các định dạng ổn định như PDF hoặc XML và sử dụng các nền tảng cho phép truy xuất các bản sao đầy đủ nếu cần trong quá trình kiểm toán hoặc kiểm tra. Việc lưu giữ hình ảnh của các tài liệu gốc trên CD-ROM, DVD-ROM hoặc ổ USB là chấp nhận được như một giải pháp thay thế cho việc lưu giữ các tài liệu vật lý, miễn là chúng đáp ứng các yêu cầu về khả năng đọc và truy xuất.

Hình phạt cho việc không tuân thủ

Việc không tuân thủ các yêu cầu lưu giữ hồ sơ mà không có lý do chính đáng có thể bị phạt tối đa 100.000 HKD. Hơn nữa, nếu các tài liệu không thể được xuất trình trong quá trình xem xét hoặc điều tra thuế, IRD có thể không cho phép một số khoản khấu trừ hoặc đánh giá lại các khoản nợ thuế, có khả năng dẫn đến gánh nặng thuế cao hơn.

Việc thiếu hồ sơ đầy đủ có thể khiến IRD đánh giá thuế dựa trên các phương án thay thế cho các hồ sơ này. Các phương án thay thế này có thể, ví dụ, dựa trên những thay đổi về giá trị tài sản của người nộp thuế, tiền gửi ngân hàng hoặc hồ sơ của các doanh nghiệp tương đương. Các đánh giá thay thế như vậy thường không có lợi cho người nộp thuế, khiến việc lưu giữ hồ sơ đúng cách không chỉ là nghĩa vụ pháp lý mà còn là một nhu cầu tài chính.

Các thực tiễn tốt nhất về bảo mật người dùng

Các biện pháp bảo mật được IRD khuyến nghị

Mặc dù nền tảng eTAX triển khai các kiểm soát bảo mật rộng rãi, hành vi của người dùng vẫn là một thành phần quan trọng của bảo mật tổng thể. IRD cung cấp hướng dẫn toàn diện để giúp người dùng bảo vệ tài khoản và dữ liệu của họ:

• Bảo mật mật khẩu: Không sử dụng các ký tự dễ đoán như ngày sinh hoặc Số thẻ căn cước Hồng Kông làm mật khẩu của bạn và thay đổi mật khẩu thường xuyên
• Bảo mật điểm truy cập: Tránh thực hiện giao dịch từ các thiết bị đầu cuối công cộng để ngăn chặn các cuộc tấn công ghi lại thao tác bàn phím hoặc nhìn trộm
• Bảo vệ điểm cuối: Cài đặt tường lửa, phần mềm chống vi-rút và phần mềm chống phần mềm gián điệp phù hợp trên máy tính của bạn và cập nhật chúng thường xuyên
• Bảo mật: Không tiết lộ mật khẩu của bạn cho bất kỳ ai, kể cả người tự xưng là nhân viên của IRD (nhân viên IRD hợp pháp sẽ không bao giờ hỏi mật khẩu của bạn)
• Chỉ truy cập chính thức: Truy cập Hệ thống eTAX chỉ thông qua GovHK hoặc trang web chính thức của IRD, hoặc nhập URL https://www.gov.hk/etax trực tiếp vào thanh địa chỉ trình duyệt

Khả năng tương thích và bảo mật hệ thống

Để đảm bảo hoạt động trơn tru của hệ thống eTAX và bảo mật cao cho các giao dịch, người dùng nên sử dụng các kết hợp hệ điều hành và trình duyệt đã được kiểm tra như được liệt kê trong trang web Yêu cầu hệ thống cho Dịch vụ trực tuyến GovHK. Mặc dù hệ thống được thiết kế để hoạt động với các hệ điều hành và trình duyệt phổ biến trên thị trường, việc sử dụng các cấu hình đã được xác minh đảm bảo bảo mật và chức năng tối ưu.

Nhận thức về các thông tin liên lạc gian lận

IRD đã tích cực cảnh báo công chúng về các email lừa đảo được cho là do cục phát hành. Vào tháng 11 năm 2024, IRD đã cảnh báo công chúng về các email lừa đảo thông báo cho người nhận rằng một cuộc kiểm toán thuế sẽ được tiến hành đối với họ và mời họ tải xuống các tài liệu chứa vi-rút qua các siêu liên kết được cung cấp. Cục đã nhấn mạnh rằng họ không có liên hệ gì với các email lừa đảo này.

Người nộp thuế nên cảnh giác với bất kỳ thông tin liên lạc bất ngờ nào tự xưng là từ IRD, đặc biệt là những thông tin:

• Yêu cầu hành động ngay lập tức hoặc đe dọa phạt
• Yêu cầu mật khẩu, thông tin thẻ tín dụng hoặc chi tiết tài khoản ngân hàng
• Chứa các liên kết hoặc tệp đính kèm đáng ngờ
• Đến từ các địa chỉ email không khớp với các miền chính thức của IRD
• Chứa lỗi ngữ pháp hoặc định dạng bất thường

Khi nghi ngờ, người nộp thuế nên liên hệ trực tiếp với IRD thông qua các kênh chính thức được liệt kê trên trang web của cục thay vì trả lời các thông tin liên lạc đáng ngờ.

Các cải tiến bảo mật trong tương lai

Trí tuệ nhân tạo và Bảo vệ dữ liệu

Vào ngày 11 tháng 6 năm 2024, Ủy viên Quyền riêng tư về Dữ liệu Cá nhân (PCPD) đã công bố "Khuôn khổ bảo vệ dữ liệu cá nhân mô hình trí tuệ nhân tạo". Đây là tài liệu hướng dẫn đầu tiên của PCPD nhắm vào các tổ chức mua sắm, triển khai và sử dụng hệ thống trí tuệ nhân tạo trong bối cảnh tuân thủ PDPO của họ.

Khi IRD tiếp tục hiện đại hóa các hệ thống của mình, việc tích hợp các công nghệ AI để phát hiện gian lận, đánh giá rủi ro và nâng cao dịch vụ sẽ cần được cân bằng với các yêu cầu bảo vệ quyền riêng tư. Khuôn khổ này cung cấp một lộ trình để triển khai AI có trách nhiệm nhằm bảo vệ dữ liệu người nộp thuế trong khi vẫn cho phép đổi mới.

Bảo vệ cơ sở hạ tầng quan trọng

Chính phủ đã ban hành Dự luật Bảo vệ Cơ sở hạ tầng quan trọng (Hệ thống máy tính) vào tháng 12 năm 2024. Dự luật nhằm mục đích bảo vệ cơ sở hạ tầng quan trọng, bao gồm cơ sở hạ tầng ảnh hưởng đáng kể đến việc duy trì các hoạt động xã hội hoặc kinh tế quan trọng ở Hồng Kông trong trường hợp vi phạm dữ liệu.

Theo Dự luật, các nhà khai thác cơ sở hạ tầng quan trọng sẽ được yêu cầu thực hiện các kế hoạch quản lý an ninh mạng và tiến hành đánh giá rủi ro bảo mật. Với vai trò thiết yếu của việc thu thuế trong tài chính chính phủ và ổn định kinh tế, nền tảng eTAX có thể phải tuân theo các yêu cầu bảo mật nâng cao theo luật này, tăng cường hơn nữa khả năng phục hồi của nó trước các mối đe dọa mạng.

Sự phát triển bảo mật liên tục

IRD đã thể hiện cam kết nhất quán trong việc tăng cường bảo mật thông qua các bản cập nhật nền tảng thường xuyên và áp dụng các thực tiễn tốt nhất mới nổi. Cách tiếp cận bảo mật của cục không tĩnh mà phát triển để đáp ứng với bối cảnh mối đe dọa thay đổi, tiến bộ công nghệ và nhu cầu của người dùng.

Trong tương lai, chúng ta có thể mong đợi những cải tiến liên tục trong các lĩnh vực như:

• Các tùy chọn xác thực sinh trắc học nâng cao ngoài khả năng iAM Smart hiện tại
• Phát hiện mối đe dọa nâng cao bằng cách sử dụng học máy và phân tích hành vi
• Trải nghiệm người dùng được cải thiện cân bằng giữa bảo mật và tiện lợi
• Tích hợp lớn hơn với các hệ thống trao đổi thông tin thuế quốc tế trong khi vẫn duy trì bảo vệ dữ liệu
• Áp dụng các tiêu chuẩn mã hóa mới nổi khi công nghệ mật mã tiến bộ

Kết luận

Nền tảng eTAX của Hồng Kông đại diện cho một cách tiếp cận toàn diện để quản lý thuế kỹ thuật số an toàn, cân bằng giữa khả năng tiếp cận, chức năng và bảo mật. Thông qua việc tích hợp các cơ chế xác thực tiên tiến như iAM Smart/iAM Smart+, các giao thức mã hóa mạnh mẽ, tuân thủ nghiêm ngặt Pháp lệnh Dữ liệu Cá nhân (Quyền riêng tư) và nhật ký kiểm toán toàn diện, IRD đã tạo ra một môi trường đáng tin cậy cho hàng triệu người nộp thuế thực hiện nghĩa vụ của họ.

Khuôn khổ bảo mật của nền tảng mở rộng ra ngoài công nghệ để bao gồm quản trị thể chế, kiểm toán độc lập thường xuyên, phù hợp với các tiêu chuẩn quốc tế và giáo dục người dùng liên tục. Yêu cầu lưu giữ hồ sơ bảy năm đảm bảo rằng dữ liệu lịch sử vẫn có sẵn cho các mục đích hợp pháp trong khi vẫn tôn trọng các nguyên tắc quyền riêng tư.

Những điểm chính

• Nhiều tùy chọn xác thực: Người nộp thuế có thể chọn từ iAM Smart/iAM Smart+, TIN + mật khẩu hoặc chứng chỉ số, với hơn 3,1 triệu người dùng đã đăng ký iAM Smart tính đến tháng 12 năm 2024
• Ký số nâng cao: iAM Smart+ cho phép ký số có giá trị pháp lý trên tờ khai thuế, loại bỏ nhu cầu ký vật lý đồng thời duy trì tính không thể chối bỏ
• Mã hóa toàn diện: Các giao thức TLS/SSL bảo vệ tất cả dữ liệu đang truyền, với các bản cập nhật thường xuyên cho các công cụ mã hóa đảm bảo phù hợp với các phương pháp hay nhất hiện hành
• Khung tuân thủ mạnh mẽ: Tuân thủ đầy đủ sáu nguyên tắc cốt lõi của Pháp lệnh Dữ liệu Cá nhân (Quyền riêng tư) đảm bảo dữ liệu người nộp thuế được thu thập, sử dụng và bảo vệ một cách thích hợp
• Quản trị bảo mật đa lớp: Các cuộc đánh giá thường xuyên của Văn phòng Chính sách Kỹ thuật số, Cục An ninh Mạng và Tội phạm Công nghệ, Ủy ban Kiểm toán và các chuyên gia bảo mật độc lập đảm bảo bảo vệ toàn diện
• Nhật ký kiểm toán đầy đủ: Tất cả các hồ sơ và giao dịch đều được ghi lại với siêu dữ liệu toàn diện để phục vụ việc giải trình, phát hiện gian lận và giải quyết tranh chấp
• Thời gian lưu giữ tối thiểu bảy năm: Điều 51C của IRO yêu cầu duy trì hồ sơ thuế trong ít nhất bảy năm, với thời gian dài hơn cần thiết cho các doanh nghiệp có khoản lỗ được chuyển sang
• Trách nhiệm của người dùng: Bảo mật là trách nhiệm chung yêu cầu người dùng duy trì mật khẩu mạnh, tránh các thiết bị đầu cuối công cộng, cập nhật phần mềm và cảnh giác với các nỗ lực lừa đảo (phishing)
• Cải tiến liên tục: Các bản cập nhật nền tảng thường xuyên, bao gồm việc ra mắt iAM Smart 4.0 vào tháng 12 năm 2024 và quá trình chuyển đổi Cổng thông tin thuế cá nhân vào tháng 7 năm 2025, thể hiện cam kết không ngừng cải thiện bảo mật
• Tuân thủ tiêu chuẩn quốc tế: Các chính sách của IRD phù hợp với tiêu chuẩn OECD và các phương pháp hay nhất quốc tế, đảm bảo Hồng Kông tuân thủ các kỳ vọng bảo vệ dữ liệu toàn cầu
• Khung sẵn sàng cho tương lai: Các quy định mới nổi về bảo vệ dữ liệu AI và an ninh mạng cơ sở hạ tầng quan trọng sẽ tăng cường hơn nữa tư thế bảo mật của nền tảng eTAX
• Hình phạt nghiêm khắc cho việc không tuân thủ: Việc không duy trì hồ sơ thích hợp có thể dẫn đến phạt tiền lên tới 100.000 HKD và các đánh giá thuế không thuận lợi dựa trên các phương pháp tính toán thay thế

Nguồn:

• Hướng dẫn về eTAX tại Hồng Kông - Fastlane Global
• "iAM Smart" - Văn phòng Chính sách Kỹ thuật số
• iAM Smart - Trang chủ
• iAM Smart 4.0 ra mắt - news.gov.hk
• Mở tài khoản Cổng thông tin thuế cá nhân (ITP) - Dịch vụ công xuyên biên giới
• Hồng Kông: Công cụ mã hóa được cập nhật trên cổng AEOI - KPMG
• Đối thoại với Benjamin Chan, Ủy viên Cục Thuế nội địa - Luật sư Hồng Kông
• An ninh mạng và Bảo vệ dữ liệu tại Hồng Kông: 2025 - China Briefing
• Pháp lệnh Dữ liệu Cá nhân (Quyền riêng tư) - PCPD
• PDPO Hồng Kông: Hướng dẫn toàn diện 2025 - Captain Compliance
• Hồng Kông: Các bản cập nhật Pháp lệnh Dữ liệu Cá nhân (Quyền riêng tư) bị hoãn - DLA Piper
• GovHK: Tuyên bố bảo mật eTAX
• IRD: Lưu giữ hồ sơ
• Lưu giữ hồ sơ kinh doanh tại Hồng Kông - BBCIncorp
• Quy tắc lưu giữ hồ sơ tại Hồng Kông - Premia TNC