Xử lý sự cố lộ lọt dữ liệu doanh nghiệp 2026: 6 bước cần làm ngay

Một tài khoản quản trị bị chiếm quyền, email gửi nhầm người, kho lưu trữ cloud cấu hình sai hoặc máy chủ bị xâm nhập đều có thể khiến dữ liệu doanh nghiệp bị truy cập và phát tán trái phép.

Khi sự cố xảy ra, doanh nghiệp không chỉ phải tìm cách đóng lỗ hổng. Đội ngũ phụ trách còn phải bảo toàn chứng cứ, xác định dữ liệu nào bị ảnh hưởng, đáp ứng nghĩa vụ pháp lý, kiểm soát thông tin và khôi phục hoạt động mà không tạo thêm rủi ro.

Vì vậy, xử lý sự cố lộ lọt dữ liệu doanh nghiệp cần được triển khai như một quy trình phối hợp giữa kỹ thuật, pháp lý, quản trị và truyền thông - không phải một nhiệm vụ riêng của bộ phận CNTT.

Theo báo cáo Cost of a Data Breach 2025 của IBM, chi phí trung bình toàn cầu của một vụ vi phạm dữ liệu là 4,44 triệu USD. Mức này giảm 9% so với năm trước, trong đó tốc độ phát hiện và cô lập sự cố nhanh hơn là một yếu tố quan trọng giúp giảm thiệt hại.

Dấu hiệu nào cho thấy doanh nghiệp có thể đang bị lộ lọt dữ liệu?

Lộ lọt dữ liệu là tình trạng thông tin bị truy cập, sao chép, truyền tải, thay đổi hoặc công khai cho người không được phép.

Dữ liệu bị ảnh hưởng có thể bao gồm:

• Thông tin khách hàng và đối tác.

• Hồ sơ nhân sự, tiền lương hoặc hợp đồng lao động.

• Dữ liệu tài chính và thông tin giao dịch.

• Tài khoản đăng nhập, mật khẩu, token hoặc khóa API.

• Báo giá, hợp đồng và tài liệu chiến lược.

• Mã nguồn, thiết kế sản phẩm hoặc bí mật kinh doanh.

• Dữ liệu cá nhân và dữ liệu cá nhân nhạy cảm.

• Bản sao lưu trên hệ thống nội bộ hoặc cloud.

Một số dấu hiệu cảnh báo thường gặp là tài khoản đăng nhập từ vị trí bất thường, dữ liệu bị tải xuống với số lượng lớn, quyền truy cập bị thay đổi, xuất hiện kết nối đến tên miền đáng ngờ hoặc thông tin nội bộ được phát hiện trên Internet.

Tuy nhiên, lộ lọt dữ liệu không phải lúc nào cũng xuất phát từ hacker. Sự cố có thể do nhân viên gửi nhầm tệp, thiết bị bị thất lạc, phân quyền sai, nhà cung cấp bị xâm nhập hoặc dữ liệu được đưa vào công cụ AI chưa được doanh nghiệp phê duyệt.

Do đó, doanh nghiệp cần xác minh bằng chứng trước khi kết luận nguyên nhân.

6 bước xử lý sự cố lộ lọt dữ liệu doanh nghiệp

Bước 1: Xác minh và kích hoạt đội ứng phó sự cố

Ngay khi nhận được cảnh báo, doanh nghiệp cần xác minh sơ bộ và kích hoạt đội ứng phó sự cố. Không nên để bộ phận CNTT tự xử lý toàn bộ, bởi sự cố lộ lọt dữ liệu thường liên quan đồng thời đến vận hành, pháp lý, truyền thông và quản trị doanh nghiệp.

Đội ứng phó tối thiểu nên có:

• Người đại diện ban lãnh đạo có quyền ra quyết định.

• Bộ phận an toàn thông tin hoặc CNTT.

• Pháp chế hoặc đơn vị tư vấn pháp lý.

• Truyền thông và chăm sóc khách hàng.

• Bộ phận quản lý hệ thống hoặc dữ liệu bị ảnh hưởng.

• Nhà cung cấp dịch vụ an ninh mạng khi cần điều tra chuyên sâu.

Trong giai đoạn đầu, doanh nghiệp cần trả lời nhanh các câu hỏi:

1. Dấu hiệu lộ lọt dữ liệu đến từ đâu?

2. Hệ thống hoặc tài khoản nào đang bị ảnh hưởng?

3. Sự cố còn tiếp diễn hay đã dừng?

4. Dữ liệu có thể đã bị truy cập, sao chép hay công khai hay chưa?

5. Ai cần được thông báo nội bộ ngay lập tức?

Một người điều phối sự cố và một người phát ngôn chính thức cần được chỉ định ngay. Nhân viên không thuộc đội ứng phó không nên tự trao đổi với khách hàng, báo chí hoặc đăng thông tin lên mạng xã hội.

Doanh nghiệp cũng không nên công bố nguyên nhân, số lượng dữ liệu bị lộ hoặc danh tính bên tấn công khi chưa có bằng chứng đủ tin cậy.

Với doanh nghiệp chưa có đội ngũ giám sát chuyên trách, dịch vụ SOC 24/7 có thể hỗ trợ theo dõi cảnh báo, phân tích dấu hiệu tấn công và phối hợp xử lý sự cố liên tục. IPSIP mô tả SOC là mô hình tập trung vào giám sát, phát hiện và xử lý các mối đe dọa an ninh mạng.

Bước 2: Cô lập nguồn rò rỉ và bảo toàn chứng cứ

Mục tiêu tiếp theo là ngăn dữ liệu tiếp tục bị truy cập hoặc truyền ra ngoài.

Tùy vào tình huống, doanh nghiệp có thể:

• Ngắt kết nối thiết bị hoặc máy chủ bị xâm nhập.

• Khóa tài khoản có dấu hiệu bị chiếm quyền.

• Thu hồi phiên đăng nhập, token và khóa API.

• Thay đổi thông tin xác thực của tài khoản đặc quyền.

• Chặn địa chỉ IP, tên miền hoặc chỉ dấu tấn công.

• Tạm dừng chức năng đang làm lộ dữ liệu.

• Giới hạn quyền truy cập vào kho dữ liệu liên quan.

• Kích hoạt giám sát tăng cường trên các hệ thống trọng yếu.

Tuy nhiên, không nên xóa máy chủ, cài đặt lại hệ điều hành hoặc thay đổi hàng loạt cấu hình trước khi bảo toàn chứng cứ cần thiết. Những hành động này có thể làm mất log, dữ liệu bộ nhớ, dấu vết truy cập hoặc thông tin cần cho điều tra.

Các nguồn chứng cứ quan trọng thường gồm:

• Nhật ký đăng nhập và truy cập dữ liệu.

• Log của firewall, máy chủ, endpoint và dịch vụ đám mây.

• Email, tập tin đính kèm và lịch sử chia sẻ.

• Ảnh đĩa hoặc dữ liệu bộ nhớ.

• Lịch sử thay đổi cấu hình và phân quyền.

• Bản ghi hoạt động của tài khoản quản trị.

• Chỉ dấu xâm nhập và tệp tin đáng ngờ.

Mọi hành động xử lý phải được ghi lại theo dòng thời gian, bao gồm người thực hiện, thời điểm, hệ thống bị tác động và lý do đưa ra quyết định.

Giải pháp XDR – Phát hiện và phản hồi mở rộng có thể hỗ trợ tập hợp dữ liệu từ endpoint, mạng, cloud và các lớp bảo mật để điều tra sự cố trong một bối cảnh thống nhất. Theo thông tin của IPSIP, XDR giúp tương quan sự kiện, phát hiện hành vi bất thường và hỗ trợ phản ứng theo thời gian thực.

Bước 3: Xác định dữ liệu nào bị lộ và mức độ ảnh hưởng

Doanh nghiệp không thể đưa ra phương án xử lý phù hợp nếu chưa xác định được phạm vi sự cố.

Quá trình điều tra cần làm rõ:

• Dữ liệu nào đã hoặc có khả năng bị truy cập.

• Dữ liệu có được mã hóa hay không.

• Số lượng bản ghi và người bị ảnh hưởng.

• Dữ liệu chỉ bị xem hay đã bị sao chép, thay đổi hoặc xóa.

• Sự cố bắt đầu từ thời điểm nào.

• Hệ thống nội bộ hay nhà cung cấp bên thứ ba có liên quan.

• Kẻ tấn công còn duy trì quyền truy cập hay không.

• Dữ liệu có xuất hiện trên mạng xã hội, diễn đàn hoặc dark web hay chưa.

Không nên chỉ đánh giá mức độ nghiêm trọng dựa trên số lượng bản ghi.

Việc lộ một danh sách email có thể ít nghiêm trọng hơn việc lộ một số lượng nhỏ tài khoản quản trị, khóa API hoặc tài liệu chiến lược. Dữ liệu định danh, tài chính, mật khẩu, mã nguồn và bí mật kinh doanh thường tạo ra rủi ro cao hơn.

Doanh nghiệp có thể phân loại sơ bộ:

Việc phân loại cần được cập nhật khi có thêm log và bằng chứng. Không nên giữ nguyên đánh giá ban đầu nếu kết quả điều tra cho thấy phạm vi sự cố lớn hơn hoặc nhỏ hơn dự kiến.

NIST đã công bố SP 800-61 Revision 3 vào tháng 4/2025, thay thế cách tiếp cận chỉ tập trung xử lý sau sự cố bằng việc tích hợp ứng phó sự cố vào quản trị rủi ro an ninh mạng. Hướng dẫn mới nhấn mạnh sự liên kết giữa chuẩn bị, phát hiện, phản ứng, phục hồi và cải tiến liên tục.

Bước 4: Đánh giá nghĩa vụ pháp lý và kiểm soát truyền thông

Khi dữ liệu bị ảnh hưởng có chứa thông tin cá nhân, doanh nghiệp cần đánh giá nghĩa vụ theo pháp luật hiện hành ngay trong quá trình điều tra.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được ban hành ngày 26/6/2025 và chính thức có hiệu lực từ ngày 1/1/2026.

Điều 23 của luật quy định trường hợp vi phạm có thể gây tổn hại đến quốc phòng, an ninh, trật tự xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu thì bên có trách nhiệm phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất trong 72 giờ kể từ khi phát hiện hành vi vi phạm.

Mốc 72 giờ không nên được hiểu là doanh nghiệp có thể trì hoãn điều tra đến gần hết thời hạn. Pháp chế cần được tham gia ngay từ đầu để xác định:

• Loại dữ liệu nào thuộc phạm vi điều chỉnh.

• Doanh nghiệp đang đóng vai trò kiểm soát hay xử lý dữ liệu.

• Sự cố có thuộc trường hợp phải thông báo hay không.

• Cơ quan, cá nhân hoặc đối tác nào cần được thông báo.

• Hợp đồng và quy định chuyên ngành có yêu cầu bổ sung không.

• Nội dung nào có thể công bố mà không ảnh hưởng đến điều tra.

Doanh nghiệp cũng nên tham khảo riêng nội dung về Luật An ninh mạng và các việc doanh nghiệp cần chuẩn bị, thay vì giải thích toàn bộ khung pháp lý trong bài này. Đây là phần liên quan nhưng không phải search intent chính của URL hiện tại.

Thông báo cho người bị ảnh hưởng

Thông báo nên trả lời rõ:

• Điều gì đã xảy ra?

• Sự cố được phát hiện khi nào?

• Dữ liệu nào có thể bị ảnh hưởng?

• Doanh nghiệp đã thực hiện biện pháp gì?

• Người nhận cần làm gì ngay?

• Có thể liên hệ với ai để được hỗ trợ?

• Khi nào doanh nghiệp sẽ cập nhật tiếp?

Khuyến nghị phải phù hợp với từng loại dữ liệu. Ví dụ, nếu mật khẩu bị lộ thì cần yêu cầu đổi mật khẩu và bật xác thực đa yếu tố. Nếu dữ liệu ngân hàng bị ảnh hưởng, người dùng nên theo dõi giao dịch và liên hệ ngân hàng.

Truyền thông công khai

Khi sự cố đã ảnh hưởng đến nhiều người hoặc lan truyền trên mạng xã hội, doanh nghiệp cần cung cấp thông tin thống nhất trên website, email, tổng đài và các kênh chính thức.

Thông điệp nên:

• Chỉ sử dụng dữ kiện đã được xác minh.

• Nêu rõ nội dung nào vẫn đang điều tra.

• Cung cấp hướng dẫn hành động cụ thể.

• Tránh đổ lỗi khi chưa có kết luận.

• Cam kết thời điểm cập nhật tiếp theo.

Không nên tuyên bố “hệ thống đã an toàn tuyệt đối”. Cách diễn đạt phù hợp hơn là xác nhận hệ thống bị ảnh hưởng đã được cô lập và hoạt động giám sát vẫn đang tiếp tục.

Bước 5: Loại bỏ nguyên nhân và khôi phục hệ thống có kiểm soát

Sau khi đã bảo toàn chứng cứ và xác định phương thức xâm nhập, doanh nghiệp cần loại bỏ nguyên nhân gốc trước khi khôi phục hoạt động bình thường.

Các biện pháp có thể bao gồm:

• Vá lỗ hổng bị khai thác.

• Loại bỏ mã độc và cơ chế duy trì truy cập.

• Đặt lại mật khẩu và khóa truy cập.

• Thu hồi tài khoản không còn cần thiết.

• Kiểm tra tài khoản quản trị và quyền truy cập đặc biệt.

• Sửa cấu hình lưu trữ đám mây hoặc cơ sở dữ liệu.

• Phân đoạn lại hệ thống mạng.

• Khôi phục dữ liệu từ bản sao lưu sạch.

• Cập nhật quy tắc giám sát và phát hiện.

• Kiểm tra nhà cung cấp hoặc hệ thống tích hợp liên quan.

Không nên đưa toàn bộ hệ thống trở lại hoạt động cùng lúc. Việc khôi phục nên được thực hiện theo từng giai đoạn, ưu tiên dịch vụ quan trọng và theo dõi chặt chẽ các dấu hiệu tái xâm nhập.

Trước khi kết nối lại một hệ thống, doanh nghiệp cần xác nhận:

• Nguyên nhân trực tiếp đã được xử lý.

• Không còn tài khoản hoặc cơ chế truy cập trái phép.

• Bản sao lưu sử dụng để phục hồi không bị nhiễm mã độc.

• Log và công cụ giám sát đang hoạt động.

• Kịch bản quay lại trạng thái an toàn đã sẵn sàng nếu phát hiện bất thường.

Sau khi hệ thống ổn định, doanh nghiệp có thể thực hiện kiểm thử xâm nhập để xác minh khả năng khai thác đã được loại bỏ và phát hiện các điểm yếu liên quan. Pentest mô phỏng tấn công có kiểm soát nhằm xác định lỗ hổng và kiểm chứng mức độ khai thác thực tế.

Bước 6: Điều tra nguyên nhân gốc và ngăn sự cố tái diễn

Sự cố không kết thúc ngay khi dịch vụ hoạt động trở lại.

Doanh nghiệp cần tổ chức đánh giá sau sự cố với sự tham gia của lãnh đạo, kỹ thuật, pháp chế và các bộ phận liên quan.

Báo cáo sau sự cố nên làm rõ:

• Dòng thời gian của sự cố.

• Nguyên nhân trực tiếp và nguyên nhân gốc.

• Hệ thống và dữ liệu bị ảnh hưởng.

• Thời gian phát hiện, cô lập và khôi phục.

• Các biện pháp đã phát huy hiệu quả.

• Những điểm chậm trễ hoặc thiếu nhất quán.

• Nghĩa vụ pháp lý còn phải thực hiện.

• Kế hoạch khắc phục, người phụ trách và thời hạn.

Các biện pháp cải tiến có thể bao gồm:

• Lập bản đồ và phân loại dữ liệu.

• Áp dụng nguyên tắc phân quyền tối thiểu.

• Bật xác thực đa yếu tố.

• Quản lý tài khoản đặc quyền.

• Mã hóa dữ liệu nhạy cảm.

• Giám sát SOC 24/7 và triển khai XDR.

• Kiểm thử xâm nhập định kỳ.

• Kiểm soát dữ liệu được đưa vào công cụ AI.

• Đánh giá rủi ro từ nhà cung cấp.

• Diễn tập ứng phó sự cố định kỳ.

Doanh nghiệp chưa có kịch bản diễn tập có thể tham khảo dịch vụ đào tạo, diễn tập và tư vấn an ninh mạng để kiểm tra khả năng phối hợp giữa kỹ thuật, lãnh đạo, pháp chế và truyền thông trước khi sự cố thực tế xảy ra.

Checklist xử lý sự cố lộ lọt dữ liệu doanh nghiệp

Khi phát hiện dữ liệu có nguy cơ bị lộ, doanh nghiệp nên kiểm tra lần lượt:

• Đã kích hoạt đội ứng phó và chỉ định người điều phối chưa?

• Đã xác minh sự cố còn tiếp diễn hay không?

• Đã cô lập hệ thống, tài khoản hoặc nguồn rò rỉ chưa?

• Đã bảo toàn log và chứng cứ kỹ thuật chưa?

• Đã xác định loại dữ liệu bị ảnh hưởng chưa?

• Đã đánh giá số lượng cá nhân, hệ thống và đối tác liên quan chưa?

• Đã kiểm tra nghĩa vụ pháp lý và hợp đồng chưa?

• Đã chuẩn bị nội dung thông báo thống nhất chưa?

• Đã loại bỏ nguyên nhân xâm nhập trước khi phục hồi chưa?

• Đã tăng cường giám sát sau khi hệ thống hoạt động trở lại chưa?

• Đã lập kế hoạch khắc phục nguyên nhân gốc chưa?

• Đã cập nhật quy trình ứng phó dựa trên bài học từ sự cố chưa?

11 sai lầm cần tránh khi xử lý lộ lọt dữ liệu

Trong quá trình ứng phó, doanh nghiệp nên tránh:

• Xóa máy chủ hoặc cài lại hệ thống trước khi lưu chứng cứ.

• Chỉ giao sự cố cho đội CNTT.

• Công bố nguyên nhân hoặc số liệu chưa được xác minh.

• Trì hoãn đánh giá nghĩa vụ pháp lý.

• Không thông báo cho lãnh đạo và bộ phận liên quan.

• Dùng cùng một nội dung cho cơ quan quản lý, khách hàng và báo chí.

• Đổ lỗi cho nhà cung cấp quá sớm.

• Phục hồi hệ thống trước khi loại bỏ cơ chế xâm nhập.

• Tuyên bố hệ thống đã an toàn tuyệt đối.

• Ngừng giám sát ngay sau khi dịch vụ được khôi phục.

• Chỉ vá lỗ hổng mà không điều tra nguyên nhân gốc.

Xử lý sự cố lộ lọt dữ liệu doanh nghiệp đòi hỏi phản ứng nhanh nhưng có kiểm soát. Thứ tự phù hợp là xác minh sự cố, cô lập nguồn rò rỉ, bảo toàn chứng cứ, đánh giá phạm vi, kiểm tra nghĩa vụ pháp lý, phục hồi hệ thống và khắc phục nguyên nhân gốc.

Doanh nghiệp đã chuẩn bị sẵn đội ứng phó, kịch bản truyền thông, hệ thống giám sát và phương án phục hồi sẽ có khả năng hạn chế thiệt hại tốt hơn khi sự cố xảy ra.

IPSIP Việt Nam cung cấp hệ sinh thái dịch vụ an ninh mạng dành cho doanh nghiệp, bao gồm SOC 24/7, XDR, Pentest, giám sát hạ tầng và đào tạo ứng phó, hỗ trợ doanh nghiệp phát hiện sớm, điều tra và xử lý các sự cố có nguy cơ gây lộ lọt dữ liệu.

------------------

Nguồn tham khảo

• IBM – Cost of a Data Breach Report 2025: https://www.ibm.com/reports/data-breach

• IBM – 2025 Cost of a Data Breach Report: Navigating the AI Rush Without Losing Control: https://www.ibm.com/think/x-force/2025-cost-of-a-data-breach-navigating-ai

• National Institute of Standards and Technology – NIST SP 800-61 Revision 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management: https://csrc.nist.gov/pubs/sp/800/61/r3/final

• NIST – NIST Revises SP 800-61: Incident Response Recommendations and Considerations for Cybersecurity Risk Management: https://csrc.nist.gov/news/2025/nist-revises-sp-800-61

• Cổng Thông tin điện tử Chính phủ - Luật số 91/2025/QH15: Luật Bảo vệ dữ liệu cá nhân:https://vanban.chinhphu.vn/?classid=1&docid=214590&pageid=27160&typegroup=