Bảo vệ dữ liệu: Từ nghĩa vụ pháp lý đến nền tảng niềm tin

Nội dung này được các chuyên gia phân tích tại tọa đàm trực tuyến Security Talk 03 do VCI tổ chức mới đây với chủ đề "Gỡ rối tuân thủ nghị định về An ninh mạng và Bảo vệ dữ liệu cá nhân cho doanh nghiệp".

Chương trình kết nối góc nhìn pháp lý của thạc sĩ, luật sư Lưu Xuân Vĩnh (Luật sư sáng lập và điều hành, Trưởng bộ phận TMT & Trọng tài Quốc tế tại Asia Legal) cùng chuyên môn kỹ thuật, quy trình của ông Đặng Quốc Bình (Chuyên gia Quy trình - Tuân thủ tại VCI).

Bảo vệ dữ liệu không còn là việc của riêng bộ phận IT

Năm 2026 đánh dấu những thay đổi quan trọng trong khung pháp lý về an ninh mạng và bảo vệ dữ liệu cá nhân tại Việt Nam. Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 1-1-2026, Luật An ninh mạng 2025 từ ngày 1-7-2026. Nghị định 330/2026/NĐ-CP tiếp tục đặt ra các chế tài xử phạt vi phạm hành chính trong lĩnh vực này.

Yêu cầu bảo vệ dữ liệu hiện không chỉ dành cho ngân hàng hay doanh nghiệp công nghệ. Từ tuyển dụng, quản lý nhân sự đến tiếp thị, chăm sóc khách hàng, nhiều hoạt động thường nhật đều liên quan đến dữ liệu cá nhân. Doanh nghiệp phải xác định dữ liệu được thu thập, lưu trữ ở đâu, sử dụng vào mục đích gì, ai được tiếp cận và chịu trách nhiệm.

Tại tọa đàm, Luật sư Lưu Xuân Vĩnh đã phân tích những nghĩa vụ doanh nghiệp cần rà soát, gồm: căn cứ xử lý dữ liệu, sự đồng ý và quyền của chủ thể dữ liệu, nhân sự phụ trách, hồ sơ đánh giá tác động theo quy định. Một vướng mắc phổ biến là doanh nghiệp chưa có bản đồ dữ liệu đầy đủ để xác định các hoạt động xử lý và trách nhiệm liên quan.

Rủi ro không chỉ nằm ở mức xử phạt. Hãy hình dung một doanh nghiệp phát hiện mã độc tống tiền đã mã hóa máy chủ nhân sự, kèm dấu hiệu dữ liệu bị đánh cắp. Bên cạnh việc khôi phục hệ thống và điều tra sự cố, doanh nghiệp còn phải đánh giá nghĩa vụ thông báo theo quy định, phối hợp giữa các bộ phận và kiểm soát việc chia sẻ dữ liệu.

Nếu chậm trễ hoặc xử lý không đúng quy trình, doanh nghiệp có thể đối mặt với tổn thất vận hành, chi phí khắc phục và suy giảm niềm tin từ khách hàng, người lao động, đối tác.

Trong bối cảnh đó, tuân thủ không thể chỉ dừng ở việc nắm bắt quy định hay hoàn thiện hồ sơ khi có yêu cầu kiểm tra. Doanh nghiệp cần chủ động nhận diện rủi ro và chuẩn bị năng lực ứng phó trước khi sự cố xảy ra.

Từ tuân thủ bị động đến năng lực bảo vệ dữ liệu

Thực tế cho thấy nhiều đơn vị chưa xác định được điểm khởi đầu: pháp chế phụ trách quy định, IT quản lý hệ thống, trong khi nhân sự, marketing và kinh doanh trực tiếp xử lý dữ liệu mỗi ngày. Nếu thiếu cơ chế phối hợp, doanh nghiệp dễ bỏ sót nghĩa vụ hoặc lúng túng phân định trách nhiệm khi phát sinh sự cố.

Theo ông Đặng Quốc Bình, hệ thống cũ, dịch vụ bên ngoài và quyền truy cập chưa được kiểm soát đầy đủ là những thách thức đáng chú ý.

Do đó, các biện pháp phân quyền, mã hóa, ghi nhật ký hoạt động và giám sát bất thường cần được triển khai tương xứng với mức độ rủi ro, song song với việc chuẩn bị quy trình ứng phó, đầu mối phối hợp và nhân sự có thẩm quyền quyết định.

Theo định hướng tư vấn của VCI, tuân thủ nên được tích hợp vào hoạt động quản trị thường xuyên, với sự phối hợp đồng bộ giữa con người, quy trình và công nghệ dưới sự chỉ đạo của Ban lãnh đạo.

Trước hết, doanh nghiệp cần xây dựng bản đồ dữ liệu, xác định dữ liệu đang được thu thập và lưu trữ ở đâu, ai có quyền truy cập, dữ liệu được chia sẻ với những bên nào và các rủi ro cần ưu tiên xử lý.

Những tài liệu này không chỉ phục vụ công tác kiểm tra mà còn giúp doanh nghiệp chứng minh năng lực quản trị an toàn thông tin khi đối tác yêu cầu thẩm định trước hợp tác, đặc biệt trong các quan hệ kinh doanh có yếu tố nước ngoài.

Đáp ứng nhu cầu này, VNPT Cyber Immunity triển khai các dịch vụ tư vấn giúp doanh nghiệp tổ chức công tác an toàn thông tin bài bản hơn. Dịch vụ Tư vấn an toàn thông tin VNPT hỗ trợ xây dựng mô hình bảo mật tổng thể, kết nối nhân sự, quy trình và công nghệ; tư vấn hệ thống quản lý theo ISO/IEC 27001, tham chiếu NIST, đánh giá mức độ trưởng thành và tích hợp bảo mật vào phát triển sản phẩm.

Cùng với đó, Dịch vụ Xây dựng chính sách an toàn thông tin hỗ trợ chuẩn hóa quy định nội bộ, phân định trách nhiệm và thiết lập cơ chế quản lý thống nhất. Phạm vi triển khai được xác định theo quy mô, đặc thù và mức độ rủi ro của từng doanh nghiệp, thay vì áp dụng một mô hình chung.

Tuân thủ không thể chỉ đo bằng số lượng văn bản hay hồ sơ đã hoàn thành. Khi bảo vệ dữ liệu trở thành một phần của quản trị và vận hành, doanh nghiệp có thêm năng lực kiểm soát rủi ro, bảo vệ hoạt động kinh doanh và duy trì niềm tin khách hàng. Đây cũng là hướng VNPT đồng hành cùng doanh nghiệp trong quá trình chuyển đổi số an toàn, bền vững.

Bóc gỡ chiến dịch tấn công APT: Bài toán phòng thủ chủ động của doanh nghiệp

Trước các chiến dịch tấn công có chủ đích (APT) ngày càng phức tạp nhắm vào tổ chức tài chính và doanh nghiệp, các chuyên gia an ninh mạng từ VNPT Cyber Immunity (VCI) đã đưa ra quy trình ứng cứu thực chiến, giúp hệ thống phòng thủ chủ động và hiệu quả.