5 cấp độ an ninh mạng tại Việt Nam: Doanh nghiệp cần đáp ứng gì?

Cấp độ an ninh mạng doanh nghiệp cần đáp ứng được xác định theo từng hệ thống thông tin, dựa trên chức năng, dữ liệu, phạm vi phục vụ và hậu quả khi xảy ra sự cố. Doanh nghiệp cần nhận diện đúng cấp độ trước khi đầu tư thiết bị, lập hồ sơ hoặc lựa chọn dịch vụ bảo mật.

Ngày 22/10/2026, Cục An ninh mạng và Hiệp hội An ninh mạng quốc gia khuyến cáo doanh nghiệp Việt Nam rà soát website sử dụng PHP sau khi hai lỗ hổng mức độ nghiêm trọng 9,2/10 điểm được công bố. Ngày 23/10, AlmaLinux tiếp tục cảnh báo lỗ hổng Linux ZDI-CAN-33367 có thể bị lợi dụng để leo thang đặc quyền.

Các cảnh báo này cho thấy việc bảo vệ hệ thống cần được duy trì thường xuyên. Có thiết bị bảo mật nhưng không quản lý bản vá, không giám sát hoặc chưa thử phục hồi vẫn để lại khoảng trống.

Vậy doanh nghiệp thuộc cấp độ nào, có thể tự xử lý nội bộ hay cần thuê ngoài, và không đáp ứng có thể chịu rủi ro gì?

Lưu ý: Bài viết chỉ mang tính chất tham khảo. Việc xác định cấp độ, nghĩa vụ tuân thủ và dịch vụ phù hợp cần được tư vấn trực tiếp dựa trên hệ thống thực tế và quy định áp dụng.

1. Cấp độ an ninh mạng doanh nghiệp được xác định như thế nào?

Pháp luật phân loại cấp độ cho hệ thống thông tin. Một doanh nghiệp có thể vận hành nhiều hệ thống với cấp độ khác nhau, như phần mềm nhân sự, website bán hàng, ứng dụng khách hàng hoặc hệ thống điều khiển sản xuất.

Không thể chỉ dựa vào doanh thu, số nhân viên hoặc loại hình công ty để xác định cấp độ an ninh mạng doanh nghiệp cần đáp ứng.

Những yếu tố quan trọng gồm:

• Hệ thống phục vụ nội bộ hay cung cấp dịch vụ trực tuyến.

• Loại thông tin được xử lý.

• Số lượng chủ thể dữ liệu cá nhân.

• Dịch vụ có thuộc ngành, nghề đầu tư kinh doanh có điều kiện hay không.

• Phạm vi phục vụ và mức độ ảnh hưởng khi xảy ra sự cố.

Căn cứ quan trọng hiện nay là Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ ngày 1/7/2026, và Nghị định 331/2026/NĐ-CP, có hiệu lực từ ngày 19/8/2026.

Nếu một hệ thống đáp ứng nhiều tiêu chí thuộc các cấp độ khác nhau, cần xem xét cấp độ cao nhất tương ứng. Việc chia nhỏ hệ thống phải phản ánh đúng chức năng và vận hành thực tế.

2. Doanh nghiệp nào cần thực hiện an toàn thông tin theo cấp độ?

Điều 2 Nghị định 331 xác định phạm vi áp dụng đối với các bên tham gia hoặc liên quan đến hệ thống tại Việt Nam phục vụ ứng dụng CNTT trong cơ quan, tổ chức nhà nước và cung cấp dịch vụ trực tuyến cho người dân, doanh nghiệp. Những tổ chức, cá nhân liên quan khác được khuyến khích áp dụng.

2.1. An toàn thông tin theo cấp độ với doanh nghiệp cung cấp dịch vụ trực tuyến

Thương mại điện tử, SaaS, nền tảng giao dịch, dịch vụ tài chính, y tế và giáo dục trực tuyến là những mô hình cần chủ động rà soát.

Doanh nghiệp cần xác định dịch vụ thực tế đang cung cấp, loại dữ liệu và điều kiện kinh doanh liên quan. Tên ngành nghề hoặc quy mô công ty chưa đủ để kết luận cấp độ.

2.2. An toàn thông tin theo cấp độ với nhà thầu và đơn vị vận hành

Nhà thầu phần mềm, nhà cung cấp hạ tầng và đơn vị vận hành hệ thống cho cơ quan nhà nước cần xác định rõ trách nhiệm trong hồ sơ, phạm vi được giao và hợp đồng.

Khi thuê dịch vụ CNTT, cần làm rõ ai là chủ quản, ai vận hành và ai chịu trách nhiệm về tài khoản, dữ liệu, giám sát, sao lưu và ứng cứu.

2.3. Bảo mật doanh nghiệp chỉ sử dụng hệ thống nội bộ

Doanh nghiệp chỉ dùng phần mềm nội bộ cần kiểm tra phạm vi áp dụng trước khi kết luận nghĩa vụ thủ tục theo Nghị định 331.

Dù vậy, hệ thống nhân sự, kế toán hoặc CRM vẫn cần được bảo vệ. Việc xử lý dữ liệu nhân viên và khách hàng còn có thể phát sinh nghĩa vụ bảo vệ dữ liệu cá nhân.

3. Nhận diện 5 cấp độ an ninh mạng và giải pháp phù hợp

Các dấu hiệu dưới đây giúp doanh nghiệp sàng lọc ban đầu. Danh mục thiết bị và dịch vụ đề xuất là phương án tham khảo, cần được đối chiếu với yêu cầu áp dụng cho từng hệ thống.

3.1. Cấp độ an ninh mạng 1: Hệ thống nội bộ xử lý thông tin công cộng

3.1.1. Dấu hiệu nhận diện

Tiêu chí tiêu biểu là hệ thống phục vụ hoạt động nội bộ và chỉ xử lý thông tin công cộng.

Nếu có hồ sơ nhân sự, hợp đồng riêng hoặc dữ liệu khách hàng, doanh nghiệp cần đánh giá lại. Website giới thiệu công ty không tự động là cấp độ 1 chỉ vì nội dung được công khai.

3.1.2. Giải pháp bảo mật nên ưu tiên

Quản lý tài khoản, cấu hình an toàn, cập nhật phần mềm, bảo vệ thiết bị và sao lưu nội dung cần thiết.

3.1.3. Tự vận hành hay thuê ngoài?

Doanh nghiệp có thể tự vận hành nếu nhân sự IT đủ năng lực và có quy trình. Có thể thuê hỗ trợ cấu hình hoặc rà soát định kỳ nếu thiếu chuyên môn.

Cấp độ 1 không mặc nhiên đòi hỏi thuê SOC 24/7. Hoạt động đánh giá và thủ tục cấp độ vẫn phải đáp ứng yêu cầu tương ứng.

3.1.4. Rủi ro cần tránh

Không có người quản lý hệ thống, bỏ cập nhật hoặc không có bản sao lưu vì cho rằng dữ liệu ít quan trọng.

3.2. Cấp độ an ninh mạng 2: Có thông tin riêng hoặc dữ liệu cá nhân

3.2.1. Dấu hiệu nhận diện

Các tiêu chí tiêu biểu gồm hệ thống nội bộ xử lý thông tin riêng, thông tin cá nhân nhưng không xử lý bí mật nhà nước; hoặc một số hệ thống cung cấp dịch vụ trực tuyến chưa đáp ứng tiêu chí cao hơn.

Đối với tiêu chí dịch vụ trực tuyến khác có xử lý dữ liệu, cần chú ý ngưỡng dưới 100.000 chủ thể dữ liệu cá nhân cơ bản hoặc dưới 10.000 chủ thể dữ liệu cá nhân nhạy cảm.

Đây là số chủ thể dữ liệu, không phải số lượt truy cập hoặc số dòng trong cơ sở dữ liệu. Hệ thống vẫn có thể thuộc cấp độ cao hơn theo tiêu chí khác.

3.2.2. Giải pháp bảo mật nên ưu tiên

• Firewall phù hợp với kiến trúc.

• Xác thực đa yếu tố cho tài khoản quan trọng.

• Bảo vệ thiết bị đầu cuối và quản lý bản vá.

• Phân quyền dữ liệu, cấp và thu hồi tài khoản.

• Sao lưu độc lập, kiểm thử phục hồi và lưu nhật ký cần thiết.

3.2.3. Tự vận hành hay thuê ngoài?

Có thể tự thực hiện nếu đội IT quản lý được tài sản, tài khoản, cập nhật, sao lưu và sự cố.

Nếu nhân sự phải kiêm nhiều việc, doanh nghiệp có thể phối hợp với nhà cung cấp: giữ đầu mối và quyền quyết định nội bộ, thuê hỗ trợ quản trị hoặc kiểm tra chuyên sâu.

Có thể tham khảo giải pháp bảo mật cho doanh nghiệp vừa và nhỏ để xác định phạm vi cần triển khai.

3.2.3. Rủi ro cần tránh

Chỉ cài phần mềm diệt virus nhưng không quản lý tài khoản đặc quyền, quyền của nhân viên nghỉ việc hoặc cấu hình cloud.

3.3. Cấp độ an ninh mạng 3: Dịch vụ có điều kiện hoặc đạt ngưỡng dữ liệu

3.3.1. Dấu hiệu nhận diện

Doanh nghiệp cần ưu tiên đối chiếu cấp độ 3 khi hệ thống:

• Cung cấp dịch vụ trực tuyến thuộc danh mục ngành, nghề đầu tư kinh doanh có điều kiện.

• Cung cấp dịch vụ trực tuyến khác xử lý dữ liệu của từ 100.000 chủ thể dữ liệu cá nhân cơ bản hoặc từ 10.000 chủ thể dữ liệu cá nhân nhạy cảm.

• Thuộc nhóm hạ tầng hoặc hệ thống điều khiển công nghiệp tương ứng theo quy định.

Với hệ thống điều khiển công nghiệp, cần lưu ý tiêu chí trực tiếp phục vụ điều khiển, vận hành công trình xây dựng cấp II, III hoặc IV.

Ví dụ, nền tảng trực tuyến xử lý dữ liệu sức khỏe của 12.000 người cần rà soát tiêu chí dữ liệu nhạy cảm. Dịch vụ trực tuyến thuộc ngành nghề kinh doanh có điều kiện cũng cần đối chiếu dù số người dùng còn ít.

3.3.2. Giải pháp bảo mật cấp độ 3 nên ưu tiên

• Hồ sơ, quy chế và phương án bảo vệ phù hợp.

• Phân vùng mạng, kiểm soát kết nối và truy cập từ xa.

• Bảo vệ website, API, máy chủ và thiết bị.

• Quản lý tài khoản đặc quyền.

• Thu thập nhật ký, giám sát và xử lý cảnh báo.

• Kiểm tra bảo mật, khắc phục và kiểm thử lại.

• Kế hoạch ứng phó, sao lưu và phục hồi.

3.3.3. Tự vận hành hay thuê ngoài?

Doanh nghiệp có thể tổ chức vận hành nội bộ nếu đủ nhân lực và chuyên môn. Không có quy tắc chung rằng mọi hệ thống cấp độ 3 đều phải thuê SOC hoặc pentest hằng quý.

Khi thiếu nguồn lực, có thể phối hợp với SOC 24/7 để giám sát và dịch vụ pentest để kiểm tra theo phạm vi được thống nhất.

Cần phân biệt vận hành, kiểm tra đánh giá và thẩm định phê duyệt. Một báo cáo pentest hoặc hợp đồng SOC không thay thế toàn bộ thủ tục cấp độ.

3.3.4. Rủi ro cần tránh

Có hồ sơ nhưng cấu hình thực tế không đáp ứng; cảnh báo không được xử lý; chưa thống nhất ai có quyền cô lập thiết bị khi xảy ra sự cố.

3.4. Cấp độ an ninh mạng 4: Hệ thống có mức ảnh hưởng nghiêm trọng

3.4.1. Dấu hiệu nhận diện

Các tiêu chí tiêu biểu liên quan đến hạ tầng thông tin phục vụ hoạt động của các cơ quan, tổ chức trên phạm vi toàn quốc với yêu cầu vận hành liên tục; hệ thống điều khiển công nghiệp của công trình cấp I; hoặc các trường hợp có mức ảnh hưởng nghiêm trọng theo quy định.

Có nhiều chi nhánh hoặc website hoạt động 24/7 chưa đủ để kết luận hệ thống thuộc cấp độ 4.

3.4.2. Giải pháp bảo mật nên ưu tiên

Kiến trúc dự phòng, phân tách hệ thống, kiểm soát đặc quyền, giám sát liên tục và kiểm thử phục hồi theo kịch bản.

Với nhà máy, cần đánh giá riêng IT văn phòng và hệ thống điều khiển OT. Việc kiểm thử, quét hoặc thay đổi trên OT phải tính đến an toàn vận hành.

3.4.3. Tự vận hành hay thuê ngoài?

Có thể tổ chức đội nội bộ nếu đáp ứng yêu cầu. Mô hình phối hợp có thể bổ sung chuyên môn và nguồn lực ứng cứu.

Doanh nghiệp vẫn cần giữ khả năng chỉ huy, phê duyệt thay đổi và kiểm soát truy cập nhà cung cấp. Có thể xem xét giải pháp PAM và bastion cùng kế hoạch phục hồi sau thảm họa.

3.4.4. Rủi ro cần tránh

Có thiết bị dự phòng nhưng chưa thử chuyển đổi; nhiều hệ thống cùng phụ thuộc một tài khoản quản trị, một hạ tầng hoặc một bản sao lưu.

3.5. Cấp độ an ninh mạng 5: Hệ thống đặc biệt quan trọng với quốc gia

3.5.1. Dấu hiệu nhận diện

Các tiêu chí liên quan đến hệ thống chiến lược, dữ liệu đặc biệt quan trọng quốc gia, hạ tầng kết nối liên thông Việt Nam với quốc tế, hoặc hệ thống điều khiển công trình cấp đặc biệt và công trình quan trọng liên quan đến an ninh quốc gia theo quy định.

Doanh nghiệp lớn, doanh nghiệp FDI hoặc có giao dịch xuyên biên giới không tự động thuộc cấp độ 5.

3.5.2. Giải pháp bảo mật cần được xây dựng riêng

Kiến trúc, nhân sự, sản phẩm, giám sát, dự phòng và ứng cứu phải đáp ứng yêu cầu tương ứng. Hệ thống cấp độ 5 hoặc thuộc danh mục quan trọng về an ninh quốc gia thuê tại trung tâm dữ liệu hoặc cloud còn có yêu cầu phân tách vật lý đối với những thành phần được quy định.

3.5.3. Tự vận hành hay thuê ngoài?

Doanh nghiệp cần tổ chức nhân sự chịu trách nhiệm và phối hợp với cơ quan có thẩm quyền. Việc huy động nhà cung cấp phải đáp ứng yêu cầu áp dụng.

Riêng hoạt động kiểm tra, đánh giá, không thể chỉ dựa vào tự đánh giá nội bộ. Điều 31 Nghị định 331 quy định việc thực hiện bởi tổ chức chuyên môn được cấp phép, tổ chức sự nghiệp nhà nước có chức năng phù hợp hoặc tổ chức được chỉ định theo trường hợp áp dụng.

3.5.4. Rủi ro cần tránh

Thuê dịch vụ phổ thông nhưng chưa kiểm tra điều kiện nhà cung cấp, yêu cầu phân tách hoặc thủ tục bắt buộc.

4. Tự vận hành và thuê ngoài an ninh mạng khác nhau thế nào?

Để lựa chọn mô hình phù hợp, doanh nghiệp cần tách rõ bốn hoạt động.

• Vận hành bảo mật: quản lý cấu hình, tài khoản, bản vá, sao lưu và cảnh báo. Có thể tự thực hiện hoặc phối hợp với nhà cung cấp theo yêu cầu hệ thống.

• Tự đánh giá: phải đáp ứng điều kiện về tính độc lập và phương pháp. Theo Điều 31 Nghị định 331, bộ phận hoặc đơn vị tự đánh giá phải độc lập với đơn vị trực tiếp vận hành.

• Đánh giá chuyên môn: cần đối chiếu những trường hợp phải có tổ chức phù hợp, như hệ thống cấp độ 5, hệ thống quan trọng về an ninh quốc gia, sự cố nghiêm trọng, thay đổi lớn hoặc yêu cầu của cơ quan có thẩm quyền.

• Thẩm định và phê duyệt cấp độ: phải đúng thẩm quyền. Thuê tư vấn hoặc pentest không đồng nghĩa nhà cung cấp được thay đơn vị có thẩm quyền phê duyệt.

Dù thuê ngoài an ninh mạng, chủ quản hệ thống vẫn phải tổ chức thực hiện trách nhiệm theo pháp luật và duy trì đầu mối có quyền quyết định.

5. Không đáp ứng cấp độ an ninh mạng có thể bị phạt bao nhiêu?

Theo Nghị định 330/2026/NĐ-CP, đối chiếu Điều 7 với Điều 23 và Điều 24, một số mức phạt đối với tổ chức gồm:

• 40–60 triệu đồng: không lập hồ sơ hoặc không tổ chức thẩm định, phê duyệt hồ sơ cấp độ theo quy định.

• 40–60 triệu đồng: đưa hệ thống cấp độ 3–5 vào vận hành khi chưa được phê duyệt cấp độ.

• 40–60 triệu đồng: không triển khai đầy đủ biện pháp theo hồ sơ đã được phê duyệt đối với cấp độ 3–5.

• 60–100 triệu đồng: không kiểm tra, giám sát tuân thủ, lưu nhật ký theo quy định hoặc đánh giá hiệu quả biện pháp.

Các mức này đã tính theo tổ chức, không cộng cơ học cho cùng một hành vi.

Với dữ liệu cá nhân, Luật Bảo vệ dữ liệu cá nhân quy định các trần phạt riêng: tới 10 lần khoản thu từ mua bán dữ liệu trái phép; tới 5% doanh thu năm trước liền kề đối với vi phạm chuyển dữ liệu cá nhân xuyên biên giới; hoặc 3 tỷ đồng đối với các vi phạm khác, theo điều kiện áp dụng.

Không phải mọi doanh nghiệp bị hack hoặc chưa thuê SOC đều bị phạt 5% doanh thu.

6. Rủi ro bảo mật doanh nghiệp không chỉ nằm ở tiền phạt

Ngày 24/9/2026, Bộ Công an công bố vụ án liên quan khoảng 120 triệu dữ liệu cá nhân được phát hiện trên thiết bị của các đối tượng. Dữ liệu liên quan đến nhiều lĩnh vực, trong đó có ngân hàng, viễn thông, y tế và doanh nghiệp.

Đây là lượng dữ liệu được phát hiện, không phải 120 triệu người riêng biệt hay bằng chứng về một vụ xâm nhập duy nhất.

Ngoài xử phạt, doanh nghiệp có thể chịu chi phí điều tra, khôi phục, thông báo, xử lý khiếu nại và gián đoạn kinh doanh.

Ví dụ giả định: nếu mỗi giờ gián đoạn ảnh hưởng 50 triệu đồng doanh thu, sự cố kéo dài 8 giờ có thể ảnh hưởng 400 triệu đồng doanh thu, chưa tính khắc phục. Đây là phép tính minh họa, không phải thống kê thiệt hại chung.

Doanh nghiệp nên xác định thời gian gián đoạn tối đa và lượng dữ liệu tối đa có thể mất để lựa chọn phương án bảo vệ, phục hồi.

7. Giải pháp bảo mật doanh nghiệp cần có theo từng hệ thống

Không có một bộ thiết bị duy nhất phù hợp cho mọi cấp độ an ninh mạng doanh nghiệp cần đáp ứng. Phương án nên xem xét các nhóm sau.

7.1. Bảo mật mạng doanh nghiệp bằng firewall và phân vùng

Firewall vật lý hoặc ảo, phân vùng mạng và kiểm soát truy cập từ xa giúp giới hạn kết nối, giảm khả năng sự cố lan rộng.

Thiết bị cần được cấu hình, cập nhật và theo dõi. Khi thiếu nhân lực, có thể cân nhắc dịch vụ quản trị firewall.

7.2. Bảo mật máy chủ và thiết bị bằng quản lý bản vá

Các cảnh báo PHP và Linux tháng 10/2026 cho thấy doanh nghiệp phải biết hệ thống nào bị ảnh hưởng, ai triển khai và ai xác nhận cập nhật đã có hiệu lực.

WAF có thể hỗ trợ giảm rủi ro nhưng không thay thế bản vá PHP. Với Linux, hướng xử lý phụ thuộc bản phân phối, phiên bản và cấu hình.

Khách hàng thuê hosting hoặc cloud cần yêu cầu nhà cung cấp xác nhận phần đã xử lý và trách nhiệm còn thuộc doanh nghiệp.

7.3. Bảo mật website và API bằng kiểm thử phù hợp

Doanh nghiệp nên kết hợp kiểm soát truy cập, cấu hình an toàn, WAF và kiểm thử theo phạm vi. Chống DDoS cần được cân nhắc theo rủi ro và yêu cầu sẵn sàng.

Sau pentest, cần theo dõi việc khắc phục và kiểm thử lại. Có thể tham khảo hướng dẫn khắc phục lỗ hổng từ báo cáo kiểm thử xâm nhập.

7.4. Bảo mật dữ liệu và tài khoản đặc quyền

Ưu tiên MFA cho tài khoản quản trị, email, cloud và truy cập từ xa. Quản lý quy trình cấp, đổi và thu hồi quyền; hạn chế dùng chung tài khoản.

Mã hóa, quản lý khóa và DLP cần được lựa chọn theo loại dữ liệu và luồng trao đổi thực tế.

7.5. Giám sát an ninh mạng và phục hồi sau sự cố

Doanh nghiệp cần biết ai tiếp nhận cảnh báo, ai được cô lập thiết bị và ai điều phối khôi phục.

Bản sao lưu phải được bảo vệ và thử phục hồi. Có file backup chưa đủ để chứng minh ứng dụng có thể hoạt động trở lại đúng thời gian yêu cầu.

8. Hồ sơ an toàn thông tin theo cấp độ cần chuẩn bị gì?

Với hệ thống thuộc phạm vi áp dụng, doanh nghiệp cần chuẩn bị tài liệu mô tả, căn cứ đề xuất cấp độ, phương án bảo vệ, quy chế và các tài liệu theo thủ tục tương ứng.

Cấp độ 1 và 2 có cơ chế thẩm định, phê duyệt tại đơn vị chuyên trách của chủ quản. Cấp độ 3 do đơn vị chuyên trách thẩm định và chủ quản phê duyệt. Cấp độ 4 và 5 có sự tham gia của cơ quan có thẩm quyền theo quy định.

Điều 39 Nghị định 331 quy định chuyển tiếp cho hệ thống đang đầu tư, xây dựng trước ngày 1/7/2026: hoàn thành thẩm định, phê duyệt cấp độ theo Nghị định 85/2016 trong 6 tháng kể từ khi luật mới có hiệu lực; bảo đảm điều kiện, tiêu chuẩn và biện pháp tương ứng trong 12 tháng.

Đây không phải thời gian gia hạn chung cho mọi doanh nghiệp.

9. Thuê dịch vụ an ninh mạng cần kiểm tra những gì?

Trước khi lựa chọn nhà cung cấp, doanh nghiệp nên yêu cầu làm rõ:

• Phạm vi hệ thống, dữ liệu và công việc.

• Năng lực, giấy phép hoặc điều kiện cung cấp dịch vụ tương ứng.

• Thời gian tiếp nhận, phản hồi và xử lý sự cố.

• Quyền cô lập thiết bị, khóa tài khoản và thay đổi cấu hình.

• Cách bảo vệ tài khoản quản trị và dữ liệu.

• Báo cáo, bằng chứng và điều kiện nghiệm thu.

• Trách nhiệm phối hợp, bàn giao và thu hồi quyền khi kết thúc hợp đồng.

Ngân sách nên tách chi phí đánh giá và hồ sơ, chi phí công nghệ, cùng chi phí vận hành hằng năm. Một báo giá thiết bị đơn lẻ chưa phản ánh đầy đủ yêu cầu tuân thủ.

-----------------------

Câu hỏi thường gặp về cấp độ an ninh mạng doanh nghiệp

Tư vấn cấp độ an ninh mạng và giải pháp cho doanh nghiệp

Để xác định cấp độ an ninh mạng doanh nghiệp cần đáp ứng, nên bắt đầu từ danh sách hệ thống, dịch vụ cung cấp, loại dữ liệu, số chủ thể dữ liệu và biện pháp bảo vệ hiện có.

Doanh nghiệp có thể liên hệ IPSIP Vietnam để trao đổi trực tiếp về phạm vi đánh giá, phần có thể tự thực hiện và phần cần thuê chuyên môn.

Đầu ra nên làm rõ cấp độ dự kiến, yêu cầu cần đối chiếu, hạng mục còn thiếu, thứ tự xử lý, trách nhiệm vận hành và bằng chứng nghiệm thu.

Bài viết chỉ mang tính chất tham khảo tại thời điểm cập nhật, không thay thế tư vấn pháp lý, khảo sát kỹ thuật hoặc kết luận của cơ quan có thẩm quyền. Để xác định cấp độ, nghĩa vụ và dịch vụ phù hợp, vui lòng liên hệ IPSIP Việt Nam để được tư vấn trực tiếp trước khi lựa chọn giải pháp.

---------------

Nguồn tham khảo

1. Luật An ninh mạng số 116/2025/QH15

2. Nghị định 331/2026/NĐ-CP trên Cổng Thông tin Chính phủ và bản toàn văn để tra cứu

3. Báo Điện tử Chính phủ - Biện pháp bảo vệ an ninh mạng đối với hệ thống thông tin, ngày 21/8/2026

4. Nghị định 330/2026/NĐ-CP - đối chiếu Điều 7, 23 và 24 về mức phạt.

5. Bộ Công an - Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 1/1/2026 

6. VietnamPlus - Hai lỗ hổng nghiêm trọng trong PHP đã có bản vá, ngày 22/10/2026

7. Thông báo chính thức của PHP và phân tích của Unit 42

8. AlmaLinux - ZDI-CAN-33367, ngày 23/10/2026 

9. Bộ Công an - Vụ án liên quan khoảng 120 triệu dữ liệu cá nhân, ngày 24/9/2026.