Rủi ro dữ liệu có thể bắt đầu từ chính doanh nghiệp

An ninh mạng phải trở thành năng lực quản trị

Sự kiện quy tụ đại diện các cơ quan quản lý, lực lượng chuyên trách về an ninh mạng, hiệp hội doanh nghiệp, tổ chức quốc tế, cơ sở đào tạo, chuyên gia, doanh nghiệp công nghệ và cộng đồng doanh nghiệp vừa và nhỏ.

Diễn đàn tiếp nối chương trình được tổ chức tại Hà Nội ngày 15/4/2026, hướng tới mục tiêu đưa kiến thức, kinh nghiệm và giải pháp về an toàn, an ninh mạng đến gần hơn với cộng đồng doanh nghiệp, đặc biệt là các doanh nghiệp vừa và nhỏ tại khu vực miền Trung.

Phát biểu khai mạc, ông Vũ Duy Hiền, Phó Tổng Thư ký kiêm Chánh Văn phòng NCA nhấn mạnh, mục tiêu của chương trình không chỉ dừng ở cảnh báo nguy cơ mà hướng tới kết nối doanh nghiệp với cơ quan quản lý, chuyên gia, hiệp hội và doanh nghiệp công nghệ, qua đó đưa kiến thức, mô hình và giải pháp an toàn số vào thực tiễn. Ông kêu gọi các cơ quan quản lý, tổ chức, hiệp hội, cơ sở đào tạo, cộng đồng chuyên gia và doanh nghiệp công nghệ cùng xây dựng hệ sinh thái hỗ trợ thiết thực cho doanh nghiệp vừa và nhỏ (SME), giúp doanh nghiệp tiếp cận những kiến thức, công cụ và giải pháp phù hợp với quy mô, nguồn lực và mức độ rủi ro. “Chuyển đổi số phải gắn với an toàn; phát triển công nghệ phải đi cùng trách nhiệm”, ông Vũ Duy Hiền nhấn mạnh, cho rằng tăng trưởng trên không gian số chỉ có thể bền vững khi được xây dựng trên nền tảng niềm tin.

Từ góc độ cộng đồng doanh nghiệp, ông Hoàng Quang Phòng - Phó Chủ tịch Liên đoàn thương mại và Công nghiệp Việt Nam (VCCI) chia sẻ, chuyển đổi số đang tạo ra những cơ hội chưa từng có cho doanh nghiệp, từ mở rộng thị trường, tối ưu vận hành, tiếp cận khách hàng đến ứng dụng trí tuệ nhân tạo (AI), điện toán đám mây và dữ liệu lớn. Đặc biệt, với doanh nghiệp nhỏ và vừa, công nghệ số có thể giúp rút ngắn khoảng cách với các doanh nghiệp quy mô lớn, nâng cao hiệu quả vận hành và hình thành những mô hình kinh doanh linh hoạt hơn.

Tuy nhiên, cơ hội số luôn đi cùng rủi ro. Khi doanh nghiệp ngày càng phụ thuộc vào dữ liệu, nền tảng số và hệ thống công nghệ, những nguy cơ như lộ lọt dữ liệu, lừa đảo trực tuyến, mã hóa dữ liệu, gián đoạn hệ thống, mất tài sản số hay tổn hại uy tín cũng gia tăng.

Đối với SME, thách thức càng rõ nét bởi nguồn lực tài chính, nhân sự chuyên trách và khả năng đầu tư cho an ninh mạng còn hạn chế. Một sự cố tưởng như nhỏ cũng có thể làm gián đoạn hoạt động, gây thiệt hại tài chính và ảnh hưởng trực tiếp tới niềm tin của khách hàng, đối tác.

Theo ông Hoàng Quang Phòng, doanh nghiệp không thể chỉ tập trung ứng dụng công nghệ mà phải đồng thời nâng cao năng lực bảo vệ hệ thống, dữ liệu và hoạt động kinh doanh. Đầu tư cho an toàn số vì thế cần được nhìn nhận như một khoản đầu tư cho khả năng chống chịu và năng lực cạnh tranh dài hạn.

Ông cũng kỳ vọng các diễn đàn giúp doanh nghiệp tìm được lời giải cho những câu hỏi rất cụ thể: bắt đầu đầu tư an toàn số từ đâu; làm thế nào để tuân thủ pháp luật mà không gia tăng quá mức chi phí; ứng dụng AI an toàn, có trách nhiệm và hiệu quả; đồng thời biến an toàn số từ một khoản chi phí thành khoản đầu tư cho năng lực cạnh tranh.

Từ “có giải pháp” đến “có năng lực bảo vệ”

Một thông điệp nổi bật khác tại Diễn đàn được Đại tá, TS Nguyễn Hồng Quân, Phó Cục trưởng Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an; Trưởng ban An ninh dữ liệu và Bảo vệ dữ liệu cá nhân, Hiệp hội An ninh mạng quốc gia, nhấn mạnh là doanh nghiệp cần chuyển từ tư duy “có giải pháp bảo mật” sang “có năng lực bảo vệ thực sự”.

Theo Đại tá Nguyễn Hồng Quân, công nghệ đang giúp doanh nghiệp vừa và nhỏ tiếp cận thị trường rộng hơn, tối ưu nguồn lực và ứng dụng AI để nâng cao năng suất. Nhưng càng ứng dụng công nghệ, doanh nghiệp càng phụ thuộc vào hệ thống số. Tài sản của doanh nghiệp vì thế không chỉ là vốn, máy móc mà còn bao gồm dữ liệu, tài khoản, hệ thống số, thương hiệu và niềm tin của khách hàng. “An ninh mạng là nền móng để doanh nghiệp dám đổi mới, dám ứng dụng công nghệ và phát triển bền vững”, Đại tá Nguyễn Hồng Quân nhấn mạnh.

Theo ông, SME không nhất thiết phải bắt đầu bằng những hệ thống bảo mật lớn hay khoản đầu tư đắt tiền. Điều quan trọng là xác định đúng những tài sản cần bảo vệ và xây dựng năng lực phù hợp với quy mô, đặc thù, mức độ phụ thuộc công nghệ của doanh nghiệp.

Quan trọng hơn, doanh nghiệp cần chuyển từ tư duy “tuân thủ là nghĩa vụ” sang “an ninh mạng là năng lực cạnh tranh”. Khi bảo vệ tốt dữ liệu, tài khoản và giao dịch, đồng thời có khả năng phục hồi nhanh sau sự cố, doanh nghiệp sẽ tạo dựng được tài sản đặc biệt quan trọng trong nền kinh tế số, đó là niềm tin.

Đại tá, TS Nguyễn Hồng Quân cho rằng tự lực, tự cường trong không gian số không đồng nghĩa với việc doanh nghiệp phải tự mình giải quyết mọi vấn đề. Trong bối cảnh công nghệ thay đổi nhanh và các nguy cơ an ninh mạng ngày càng phức tạp, doanh nghiệp vẫn cần sự hỗ trợ của cơ quan quản lý, chuyên gia, hiệp hội và các doanh nghiệp công nghệ.

Theo Đại tá Nguyễn Hồng Quân, doanh nghiệp có thể bắt đầu từ những việc rất thiết thực như bảo vệ các tài khoản quan trọng, kiểm soát quyền quản trị, sao lưu và thường xuyên thử khôi phục dữ liệu, xác minh độc lập đối với các giao dịch tài chính có giá trị lớn, đồng thời xác định rõ người chịu trách nhiệm khi xảy ra sự cố. “Những việc nhỏ nhưng được làm thật luôn có giá trị hơn những kế hoạch lớn chỉ nằm trên giấy”, Đại tá Nguyễn Hồng Quân nhấn mạnh.

Bảo vệ dữ liệu: Đừng chỉ lo tấn công mạng

Một trong những nội dung được quan tâm tại Diễn đàn là bảo vệ dữ liệu cá nhân - vấn đề ngày càng gắn chặt với hoạt động sản xuất, kinh doanh. Theo Đại tá Lê Cao Tâm, Trưởng phòng PA05, Công an Đà Nẵng, dữ liệu cá nhân hiện diện trong hầu hết quy trình của doanh nghiệp, từ tuyển dụng, chấm công, chăm sóc khách hàng đến giao dịch và vận hành trên các nền tảng số. Vì vậy, bảo vệ dữ liệu không chỉ là yêu cầu công nghệ mà phải trở thành một bộ phận của quản trị doanh nghiệp.

Trên thực tế, dữ liệu khách hàng, hồ sơ người lao động, thông tin giao dịch, dữ liệu tài chính, sức khỏe hay sinh trắc học đều có thể trở thành mục tiêu bị khai thác, chiếm đoạt hoặc sử dụng trái phép.

Đáng lưu ý, rủi ro không chỉ đến từ các cuộc tấn công mạng mà còn có thể bắt đầu từ chính cách doanh nghiệp thu thập, sử dụng, chia sẻ và lưu trữ dữ liệu.Thực tế tại Đà Nẵng cho thấy, dữ liệu sinh trắc học như vân tay, nhận diện khuôn mặt đã được sử dụng trong tuyển dụng, chấm công và kiểm soát ra vào. Tuy nhiên, nếu việc thu thập và sử dụng không được đặt trong quy trình quản trị phù hợp, doanh nghiệp có thể phát sinh vi phạm. Đại tá Lê Cao Tâm cho biết, Công an thành phố đã xử phạt một doanh nghiệp về việc thu thập Face ID của khoảng 600 người khi chưa bảo đảm các yêu cầu theo quy định.

Một rủi ro khác nằm ở quá trình chia sẻ dữ liệu. Dữ liệu doanh nghiệp ngày càng được chuyển giao cho ngân hàng, bảo hiểm, cơ sở y tế, đơn vị marketing, nhà cung cấp phần mềm, dịch vụ đám mây và nhiều đối tác khác. Mỗi khâu truyền đưa, lưu trữ và xử lý vì thế đều có thể trở thành điểm phát sinh rủi ro. “Rủi ro không nhất thiết bắt đầu từ một cuộc tấn công mạng; nhiều khi rủi ro bắt đầu từ chính cách doanh nghiệp tổ chức quy trình kinh doanh và kiểm soát dòng dữ liệu”, Đại tá Lê Cao Tâm nhấn mạnh.

Theo ông, quản trị dữ liệu tại nhiều doanh nghiệp còn thiếu tính đồng bộ. Bảo vệ dữ liệu không thể chỉ dựa vào một phần mềm, thiết bị hay giải pháp kỹ thuật riêng lẻ. Lỗ hổng hệ thống, quyền truy cập quá rộng, nhân sự sử dụng dữ liệu không đúng cách hoặc việc thiếu kiểm soát các bên cùng tham gia xử lý đều có thể dẫn tới sự cố.

Đặc biệt, khi doanh nghiệp sử dụng ngày càng nhiều Cloud, AI, phần mềm quản trị và các nền tảng dịch vụ, dữ liệu có thể chịu tác động từ chính các nhà cung cấp hoặc đối tác trong hệ sinh thái. Bảo vệ dữ liệu vì thế không còn là câu chuyện riêng của từng doanh nghiệp mà trở thành vấn đề của cả chuỗi cung ứng và hệ sinh thái số.

Trong bối cảnh Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP đã tạo lập khuôn khổ pháp lý mới, doanh nghiệp cần chuyển các yêu cầu pháp luật thành năng lực quản trị thực tế. Trước hết, doanh nghiệp phải biết mình đang có dữ liệu gì, của ai, thu thập từ đâu, sử dụng vào mục đích nào, ai được truy cập, chia sẻ cho những bên nào và lưu trữ trong bao lâu. Đây là cơ sở để kiểm soát rủi ro trong toàn bộ vòng đời dữ liệu.

Yêu cầu bảo vệ dữ liệu cũng cần được tính đến ngay từ khâu thiết kế website, ứng dụng, hệ thống quản trị khách hàng, chấm công hay mô hình kinh doanh mới. Cùng với đó là kiểm soát chặt việc chia sẻ dữ liệu với bên thứ ba, xác định rõ loại dữ liệu, mục đích sử dụng, đối tác tiếp cận và trách nhiệm khi xảy ra sự cố.

Đại tá Lê Cao Tâm cho rằng bảo vệ dữ liệu phải được thực hiện đồng thời trên ba phương diện: pháp lý, công nghệ và con người. Pháp luật tạo khuôn khổ, công nghệ tạo lớp bảo vệ, nhưng con người quyết định các biện pháp đó có được thực hiện đúng hay không.

Bởi vậy, bảo vệ dữ liệu không thể chỉ là nhiệm vụ của bộ phận công nghệ thông tin hoặc pháp chế. Đây phải là trách nhiệm của toàn bộ tổ chức, từ người đứng đầu đến từng nhân viên trực tiếp xử lý dữ liệu.

“Rủi ro dữ liệu chính là một bộ phận của rủi ro doanh nghiệp”, Đại tá Lê Cao Tâm nêu rõ, đồng thời nhấn mạnh tuân thủ pháp luật không nên được xem là đích đến mà phải trở thành nền tảng giúp doanh nghiệp nâng cao năng lực quản trị rủi ro và phát triển bền vững.

Trong nền kinh tế số, doanh nghiệp chỉ có thể tự tin đổi mới khi vừa biết khai thác công nghệ để tăng trưởng, vừa đủ năng lực bảo vệ dữ liệu, duy trì hoạt động và giữ vững niềm tin của khách hàng, đối tác. Khi an toàn số trở thành một phần của năng lực quản trị, tuân thủ trở thành văn hóa và trách nhiệm được chia sẻ trong toàn tổ chức, doanh nghiệp sẽ có nền tảng vững chắc hơn để phát triển bền vững.