Dịch vụ kiểm tra đánh giá an toàn thông tin cho doanh nghiệp
- Hung Pham
- 2 ngày trước
- 15 phút đọc
Một hệ thống vẫn có thể vận hành bình thường dù đang tồn tại tài khoản phân quyền quá mức, máy chủ chưa cập nhật, dữ liệu được lưu trữ công khai hoặc thiết bị bảo mật được cấu hình chưa phù hợp.
Vấn đề của doanh nghiệp không chỉ là biết “có lỗ hổng hay không”, mà còn phải trả lời được những câu hỏi cụ thể hơn:
Hệ thống nào đang có rủi ro?
Điểm yếu nào có thể bị khai thác?
Dữ liệu và hoạt động kinh doanh nào có thể bị ảnh hưởng?
Cần khắc phục vấn đề nào trước?
Biện pháp bảo mật hiện tại có thực sự hiệu quả hay không?
Dịch vụ kiểm tra đánh giá an toàn thông tin giúp doanh nghiệp trả lời những câu hỏi trên thông qua việc rà soát hạ tầng, hệ thống, ứng dụng, tài khoản, cấu hình bảo mật và quy trình vận hành.
Sau quá trình đánh giá, doanh nghiệp không chỉ nhận một danh sách cảnh báo kỹ thuật, mà còn nhận được bức tranh tổng thể về rủi ro, bằng chứng cụ thể và kế hoạch khắc phục theo mức độ ưu tiên.
Doanh nghiệp sẽ được kiểm tra những gì?
Phạm vi kiểm tra được xây dựng dựa trên hệ thống thực tế và mục tiêu của từng doanh nghiệp. Thay vì áp dụng một danh sách kiểm tra giống nhau cho mọi tổ chức, đơn vị đánh giá cần xác định những tài sản quan trọng, các điểm có thể bị tấn công và các khu vực đang lưu trữ dữ liệu nhạy cảm.
Thông thường, dịch vụ kiểm tra đánh giá an toàn thông tin sẽ tập trung vào các nhóm sau.
1. Kiểm tra hạ tầng mạng và thiết bị bảo mật
Đội ngũ chuyên gia rà soát sơ đồ mạng, kết nối giữa các vùng hệ thống, thiết bị Firewall, Router, Switch, VPN và các cổng dịch vụ đang được mở.
Nội dung kiểm tra có thể bao gồm:
Phân vùng mạng nội bộ.
Kết nối giữa mạng người dùng và máy chủ.
Cổng dịch vụ đang công khai ra Internet.
Quy tắc truy cập trên Firewall.
Cấu hình VPN và truy cập từ xa.
Thiết bị sử dụng firmware cũ.
Dịch vụ quản trị đang được mở không cần thiết.
Khả năng cô lập hệ thống khi xảy ra sự cố.
Kết quả giúp doanh nghiệp biết liệu kẻ tấn công có thể di chuyển từ một thiết bị thông thường sang máy chủ quan trọng hay không, hoặc một dịch vụ nội bộ có đang vô tình được công khai ra Internet.
2. Kiểm tra máy chủ và hệ điều hành
Máy chủ là nơi vận hành ứng dụng, lưu trữ dữ liệu và xử lý những hoạt động quan trọng của doanh nghiệp. Chỉ một tài khoản quản trị yếu hoặc một dịch vụ chưa vá cũng có thể tạo ra điểm xâm nhập.
Các hạng mục thường được kiểm tra gồm:
Phiên bản hệ điều hành.
Tình trạng cập nhật bản vá.
Dịch vụ và cổng mạng đang hoạt động.
Tài khoản quản trị.
Chính sách mật khẩu.
Quyền truy cập thư mục và dữ liệu.
Nhật ký giám sát.
Cấu hình chống mã độc.
Cơ chế sao lưu và phục hồi.
Các phần mềm không còn sử dụng.
Doanh nghiệp sẽ biết máy chủ nào cần xử lý trước, vấn đề nằm ở bản vá, cấu hình hay phân quyền và mức độ ảnh hưởng nếu điểm yếu bị khai thác.
3. Kiểm tra website, ứng dụng và API
Website và ứng dụng là những mục tiêu thường xuyên bị tấn công vì có thể được truy cập trực tiếp từ Internet.
Quá trình đánh giá có thể rà soát:
Cơ chế đăng nhập.
Phân quyền người dùng.
Quản lý phiên đăng nhập.
Kiểm soát dữ liệu đầu vào.
Khả năng truy cập trái phép dữ liệu.
Lỗi cấu hình máy chủ web.
Thành phần và thư viện lỗi thời.
API bị lộ hoặc thiếu xác thực.
Tệp tin nhạy cảm được công khai.
Thông tin kỹ thuật bị tiết lộ.
Với những hệ thống cần xác minh khả năng khai thác thực tế, doanh nghiệp có thể kết hợp cùng dịch vụ Pentest của IPSIP.
Nếu chỉ cần rà soát nhanh các điểm yếu phổ biến trên website, doanh nghiệp có thể tham khảo dịch vụ quét lỗ hổng bảo mật website.
4. Kiểm tra tài khoản và phân quyền
Nhiều sự cố không bắt đầu từ một kỹ thuật tấn công phức tạp mà từ tài khoản dùng chung, mật khẩu yếu, tài khoản nhân viên cũ chưa bị vô hiệu hóa hoặc quyền quản trị được cấp quá rộng.
Nội dung đánh giá thường bao gồm:
Danh sách tài khoản đang hoạt động.
Tài khoản không còn người sử dụng.
Tài khoản dùng chung.
Tài khoản có quyền quản trị.
Chính sách mật khẩu.
Việc triển khai xác thực đa yếu tố.
Quy trình cấp và thu hồi quyền.
Khả năng kiểm soát truy cập đặc quyền.
Lịch sử đăng nhập bất thường.
Kết quả giúp doanh nghiệp giảm nguy cơ tài khoản bị lợi dụng để truy cập dữ liệu, thay đổi cấu hình hoặc mở rộng phạm vi tấn công.
Đối với tài khoản quản trị quan trọng, doanh nghiệp có thể cần bổ sung giải pháp quản lý truy cập đặc quyền PAM.
5. Kiểm tra môi trường Cloud
Việc chuyển hệ thống lên Cloud không tự động đồng nghĩa với hệ thống đã an toàn.
Rủi ro phổ biến có thể đến từ:
Kho lưu trữ dữ liệu được đặt ở chế độ công khai.
Quyền IAM được cấp quá rộng.
Khóa truy cập không được luân chuyển.
Tài khoản quản trị không sử dụng MFA.
Security Group mở cổng cho mọi địa chỉ.
Nhật ký giám sát chưa được bật.
Dữ liệu chưa được mã hóa phù hợp.
Tài nguyên thử nghiệm chưa được gỡ bỏ.
Kết nối giữa Cloud và mạng nội bộ thiếu kiểm soát.
Dịch vụ đánh giá giúp doanh nghiệp xác định những cấu hình có thể dẫn đến rò rỉ dữ liệu, chiếm quyền tài khoản hoặc truy cập trái phép tài nguyên Cloud.
6. Kiểm tra thiết bị đầu cuối
Máy tính nhân viên, laptop làm việc từ xa và thiết bị di động thường là điểm khởi đầu của các chiến dịch lừa đảo, đánh cắp tài khoản hoặc phát tán mã độc.
Các nội dung có thể được rà soát gồm:
Phiên bản hệ điều hành.
Tình trạng cập nhật bản vá.
Phần mềm chống mã độc.
Quyền quản trị cục bộ.
Mã hóa ổ đĩa.
Thiết bị ngoại vi.
Phần mềm không được phê duyệt.
Chính sách khóa màn hình.
Khả năng quản lý thiết bị từ xa.
Mức độ tuân thủ chính sách bảo mật.
Kết quả giúp doanh nghiệp nhận diện những thiết bị đang nằm ngoài khả năng quản lý hoặc có nguy cơ làm lộ dữ liệu khi nhân viên làm việc từ xa.
7. Kiểm tra khả năng giám sát và ứng phó sự cố
Một hệ thống có thể được đầu tư nhiều công cụ bảo mật nhưng vẫn không phát hiện được hoạt động bất thường nếu nhật ký không được thu thập hoặc cảnh báo không có người xử lý.
Đánh giá có thể xem xét:
Hệ thống có lưu lại nhật ký hay không.
Nhật ký được lưu trong bao lâu.
Có giám sát đăng nhập bất thường hay không.
Có cảnh báo khi tài khoản quản trị thay đổi cấu hình hay không.
Có phát hiện mã độc hoặc lưu lượng đáng ngờ hay không.
Ai là người tiếp nhận cảnh báo.
Quy trình xử lý sự cố đã được xác định chưa.
Khả năng khôi phục hệ thống sau sự cố.
Mức độ sẵn sàng của dữ liệu sao lưu.
Nếu doanh nghiệp chưa có đội ngũ giám sát thường trực, có thể tham khảo thêm dịch vụ SOC 24/7.
Quy trình kiểm tra đánh giá an toàn thông tin được thực hiện như thế nào?
Một dự án đánh giá hiệu quả cần được thực hiện theo phạm vi được thống nhất, tránh ảnh hưởng đến hệ thống đang vận hành và bảo đảm kết quả có thể chuyển thành hành động cụ thể.
Bước 1: Khảo sát nhu cầu và hệ thống hiện tại
IPSIP làm việc cùng doanh nghiệp để xác định:
Hệ thống cần kiểm tra.
Mục tiêu đánh giá.
Tài sản quan trọng.
Dữ liệu nhạy cảm.
Phạm vi được phép thực hiện.
Thời gian triển khai.
Những hệ thống không được tác động.
Đầu mối phối hợp kỹ thuật.
Ở bước này, doanh nghiệp không cần phải biết chính xác mình cần dùng công cụ hay phương pháp nào. Điều quan trọng là cung cấp thông tin về hệ thống và vấn đề đang cần giải quyết.
Bước 2: Xác định phạm vi đánh giá
Phạm vi có thể được xây dựng theo:
Số lượng địa chỉ IP.
Số lượng máy chủ.
Số website và ứng dụng.
Số lượng API.
Môi trường Cloud.
Hệ thống mạng nội bộ.
Chi nhánh hoặc địa điểm.
Tài khoản và nhóm người dùng.
Hệ thống lưu trữ dữ liệu quan trọng.
Việc xác định phạm vi rõ ràng giúp doanh nghiệp kiểm soát chi phí, thời gian và tránh bỏ sót tài sản quan trọng.
Bước 3: Thu thập thông tin và rà soát hiện trạng
Chuyên gia thu thập thông tin kỹ thuật, kiểm tra bề mặt tấn công và xem xét cấu hình hiện có.
Hoạt động này có thể gồm:
Xác định tài sản đang công khai trên Internet.
Kiểm tra tên miền và dịch vụ liên quan.
Rà soát cổng mạng.
Kiểm tra phiên bản hệ thống.
Xem xét cấu hình bảo mật.
Phân tích quyền truy cập.
Kiểm tra tình trạng bản vá.
Đối chiếu tài sản thực tế với danh sách quản lý.
Bước này thường giúp phát hiện những tài sản mà doanh nghiệp không còn quản lý chặt chẽ, chẳng hạn máy chủ cũ, tên miền phụ, tài khoản thử nghiệm hoặc dịch vụ đã bị quên.
Bước 4: Kiểm tra lỗ hổng và điểm yếu bảo mật
Các công cụ chuyên dụng được sử dụng để rà soát diện rộng, sau đó chuyên gia phân tích và xác minh lại kết quả.
Quá trình không chỉ ghi nhận tên lỗ hổng mà còn xem xét:
Lỗ hổng có thực sự tồn tại hay không.
Có thể bị tiếp cận từ đâu.
Có điều kiện nào để khai thác.
Tài sản nào chịu ảnh hưởng.
Dữ liệu nào có nguy cơ bị truy cập.
Biện pháp bảo vệ nào đang làm giảm rủi ro.
Mức độ ưu tiên khắc phục.
Việc xác minh giúp hạn chế cảnh báo sai và tránh tình trạng đội ngũ IT phải xử lý hàng trăm kết quả không có giá trị thực tế.
Bước 5: Phân tích tác động đối với doanh nghiệp
Một điểm yếu kỹ thuật chỉ thực sự có ý nghĩa khi được đặt trong bối cảnh vận hành.
Ví dụ, cùng là một máy chủ chưa cập nhật nhưng mức độ rủi ro sẽ khác nhau nếu:
Máy chủ được công khai trên Internet.
Máy chủ chứa dữ liệu khách hàng.
Máy chủ chỉ dùng trong môi trường thử nghiệm.
Máy chủ có thể truy cập sang hệ thống kế toán.
Máy chủ đang vận hành dịch vụ quan trọng.
Máy chủ đã có lớp bảo vệ bổ sung.
Do đó, kết quả cần được ưu tiên dựa trên cả yếu tố kỹ thuật và ảnh hưởng kinh doanh, thay vì chỉ dựa vào điểm số từ công cụ.
Bước 6: Bàn giao báo cáo và kế hoạch khắc phục
Sau quá trình đánh giá, doanh nghiệp nhận được báo cáo tổng hợp và báo cáo kỹ thuật.
IPSIP trình bày rõ:
Vấn đề được phát hiện.
Tài sản bị ảnh hưởng.
Mức độ rủi ro.
Bằng chứng kiểm tra.
Nguyên nhân.
Tác động có thể xảy ra.
Hướng khắc phục.
Thứ tự ưu tiên.
Đơn vị hoặc bộ phận nên xử lý.
Hạng mục cần đầu tư dài hạn.
Bước 7: Kiểm tra lại sau khắc phục
Sau khi đội ngũ IT hoàn tất xử lý, doanh nghiệp có thể thực hiện kiểm tra lại để xác nhận:
Lỗ hổng đã được xử lý đúng.
Cấu hình mới không làm phát sinh rủi ro khác.
Biện pháp khắc phục thực sự có hiệu quả.
Các điểm nghiêm trọng không còn khả năng bị khai thác.
Đây là bước quan trọng vì việc đóng trạng thái một yêu cầu kỹ thuật chưa đồng nghĩa với rủi ro đã được loại bỏ hoàn toàn.
Doanh nghiệp nhận được gì sau khi hoàn thành đánh giá?
Kết quả quan trọng nhất không phải là một tệp báo cáo dài hàng trăm trang. Doanh nghiệp cần nhận được thông tin đủ rõ để đưa ra quyết định và triển khai khắc phục.
Bức tranh tổng thể về mức độ an toàn
Doanh nghiệp biết hệ thống đang ở trạng thái nào, khu vực nào có nhiều rủi ro và những biện pháp bảo mật hiện tại có đang hoạt động đúng hay không.
Thay vì xử lý từng sự cố rời rạc, đội ngũ quản lý có thể nhìn thấy mối liên hệ giữa hạ tầng, tài khoản, dữ liệu, ứng dụng và quy trình vận hành.
Danh sách rủi ro theo mức độ ưu tiên
Không phải tất cả các phát hiện đều cần được xử lý cùng lúc.
Báo cáo giúp phân chia rõ:
Rủi ro cần xử lý ngay.
Rủi ro nên xử lý trong ngắn hạn.
Vấn đề cần đưa vào kế hoạch cải thiện.
Khuyến nghị mang tính tối ưu dài hạn.
Phát hiện có thể chấp nhận tạm thời nếu có biện pháp bù đắp.
Cách phân loại này giúp doanh nghiệp sử dụng ngân sách và nguồn lực kỹ thuật hiệu quả hơn.
Bằng chứng cụ thể cho từng phát hiện
Mỗi điểm yếu cần đi kèm bằng chứng để đội ngũ IT có thể xác minh và xử lý.
Bằng chứng có thể bao gồm:
Địa chỉ IP.
Tên máy chủ.
URL.
Cổng dịch vụ.
Phiên bản phần mềm.
Ảnh chụp kết quả.
Cấu hình liên quan.
Tài khoản hoặc nhóm quyền bị ảnh hưởng.
Các bước tái hiện trong phạm vi an toàn.
Điều này giúp tránh tình trạng báo cáo chỉ ghi nhận một nhận xét chung chung nhưng không cho biết vấn đề thực sự nằm ở đâu.
Hướng dẫn khắc phục khả thi
Khuyến nghị không nên chỉ dừng ở câu “cần cập nhật hệ thống” hoặc “cần tăng cường bảo mật”.
Doanh nghiệp cần biết rõ:
Thành phần nào cần cập nhật.
Cấu hình nào cần thay đổi.
Quyền nào cần thu hồi.
Cổng nào nên đóng.
Tài khoản nào cần bật MFA.
Dữ liệu nào cần mã hóa.
Nhật ký nào cần được thu thập.
Chính sách nào cần bổ sung.
Biện pháp tạm thời nào có thể áp dụng nếu chưa thể xử lý ngay.
Cơ sở để lập ngân sách an toàn thông tin
Sau đánh giá, doanh nghiệp có thể phân biệt rõ đâu là nhu cầu thực sự và đâu là khoản đầu tư chưa cần thiết.
Ví dụ, doanh nghiệp có thể xác định nên ưu tiên:
Khắc phục lỗi cấu hình.
Nâng cấp Firewall.
Bổ sung quản lý thiết bị.
Triển khai MFA.
Xây dựng SOC.
Kiểm thử xâm nhập chuyên sâu.
Đào tạo nhận thức nhân viên.
Bổ sung giải pháp sao lưu.
Xây dựng quy trình ứng phó sự cố.
Điều này hạn chế tình trạng mua thêm công cụ nhưng những điểm yếu cơ bản vẫn chưa được xử lý.
Cơ sở phục vụ kiểm toán và tuân thủ
Báo cáo đánh giá có thể hỗ trợ doanh nghiệp chứng minh rằng tổ chức đã chủ động rà soát rủi ro, xác định điểm yếu và xây dựng kế hoạch khắc phục.
Tùy từng loại hình doanh nghiệp, báo cáo có thể được sử dụng trong quá trình:
Làm việc với khách hàng.
Đánh giá nhà cung cấp.
Kiểm toán nội bộ.
Chuẩn bị chứng nhận.
Xử lý yêu cầu từ công ty mẹ.
Đánh giá bảo vệ dữ liệu cá nhân.
Kiểm tra hệ thống thông tin.
Xây dựng kế hoạch an toàn thông tin hằng năm.
Đánh giá an toàn thông tin trong bối cảnh pháp luật Việt Nam năm 2026
Năm 2026 đánh dấu một giai đoạn pháp lý mới đối với hoạt động an ninh mạng và bảo vệ dữ liệu tại Việt Nam.
Luật An ninh mạng số 116/2025/QH15 được ban hành ngày 10 tháng 12 năm 2025 và chính thức có hiệu lực từ ngày 1 tháng 7 năm 2026. Như vậy, tại thời điểm tháng 7 năm 2026, doanh nghiệp không còn chỉ đối diện với một rủi ro công nghệ mà còn phải theo dõi các nghĩa vụ quản trị, bảo vệ hệ thống và dữ liệu trong bối cảnh pháp luật mới đã bắt đầu có hiệu lực.
Bên cạnh đó, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã có hiệu lực từ ngày 1 tháng 1 năm 2026. Chính phủ cũng đã ban hành Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
Điều này khiến việc kiểm tra đánh giá an toàn thông tin trở nên thiết thực hơn đối với những doanh nghiệp đang:
Thu thập thông tin khách hàng.
Lưu trữ hồ sơ nhân viên.
Xử lý dữ liệu định danh.
Sử dụng dịch vụ Cloud.
Chia sẻ dữ liệu với nhà cung cấp.
Vận hành website và ứng dụng.
Cho phép nhân viên truy cập từ xa.
Xử lý dữ liệu cho công ty mẹ hoặc đối tác nước ngoài.
Một cuộc đánh giá kỹ thuật không thay thế toàn bộ hoạt động tư vấn pháp lý hoặc xây dựng hồ sơ tuân thủ. Tuy nhiên, nó giúp doanh nghiệp kiểm chứng một vấn đề quan trọng: các biện pháp bảo vệ đã được mô tả trong chính sách có thực sự được triển khai và hoạt động hiệu quả trên hệ thống hay không.
Ví dụ, doanh nghiệp có thể quy định dữ liệu phải được giới hạn truy cập, nhưng đánh giá thực tế lại phát hiện thư mục đang được chia sẻ cho toàn bộ nhân viên. Doanh nghiệp có thể quy định tài khoản quản trị phải được kiểm soát, nhưng hệ thống vẫn tồn tại tài khoản dùng chung không xác định được người sử dụng.
Khoảng cách giữa chính sách và cấu hình thực tế chính là một trong những rủi ro cần được phát hiện thông qua đánh giá an toàn thông tin.
Đối với các hệ thống thông tin được xác định theo cấp độ, hoạt động bảo đảm an toàn còn gắn với Nghị định 85/2016/NĐ-CP và hướng dẫn tại Thông tư 12/2022/TT-BTTTT về bảo đảm an toàn hệ thống thông tin theo cấp độ.
Do đó, doanh nghiệp và tổ chức nên coi đánh giá an toàn thông tin là một hoạt động quản trị định kỳ, không phải một thủ tục chỉ thực hiện khi có yêu cầu kiểm tra.
Chi phí kiểm tra đánh giá an toàn thông tin được tính như thế nào?
Chi phí phụ thuộc trực tiếp vào phạm vi và độ sâu kiểm tra.
Những yếu tố thường ảnh hưởng đến báo giá gồm:
Số lượng địa chỉ IP.
Số lượng máy chủ.
Số lượng website.
Số lượng ứng dụng và API.
Mức độ phức tạp của hệ thống.
Phạm vi mạng nội bộ hoặc bên ngoài.
Môi trường On-premise hay Cloud.
Có yêu cầu kiểm tra thủ công hay không.
Có yêu cầu xác minh khả năng khai thác hay không.
Có kiểm tra tại chỗ hay từ xa.
Có bao gồm kiểm tra lại sau khắc phục.
Mức độ chi tiết của báo cáo.
Yêu cầu về thời gian triển khai.
Để nhận báo giá phù hợp, doanh nghiệp nên chuẩn bị tối thiểu:
Danh sách hệ thống cần kiểm tra.
Sơ đồ kiến trúc nếu có.
Số lượng máy chủ và thiết bị.
Danh sách tên miền, website hoặc ứng dụng.
Mục tiêu chính của dự án.
Thời gian dự kiến.
Yêu cầu đặc biệt về bảo mật và vận hành.
Nếu chưa xác định được phạm vi, IPSIP sẽ hỗ trợ khảo sát và đề xuất phương án phù hợp trước khi triển khai.
Những câu hỏi doanh nghiệp nên đặt ra trước khi bắt đầu
Trước khi thực hiện đánh giá, doanh nghiệp nên thống nhất nội bộ một số vấn đề:
Hệ thống nào quan trọng nhất?
Dữ liệu nào cần được ưu tiên bảo vệ?
Có hệ thống nào không được phép gián đoạn?
Đơn vị nào chịu trách nhiệm phối hợp?
Ai sẽ tiếp nhận và xử lý báo cáo?
Doanh nghiệp có nguồn lực khắc phục sau đánh giá không?
Có cần kiểm tra lại sau khi xử lý không?
Kết quả được dùng cho quản trị nội bộ hay phục vụ yêu cầu tuân thủ?
Việc trả lời những câu hỏi này giúp dự án tập trung đúng vấn đề và tạo ra kết quả có thể sử dụng ngay.
Bắt đầu đánh giá an toàn thông tin cùng IPSIP
Doanh nghiệp không cần đợi đến khi xảy ra sự cố mới kiểm tra hệ thống.
Một cuộc đánh giá được thực hiện đúng phạm vi sẽ giúp doanh nghiệp biết rõ:
Rủi ro đang nằm ở đâu.
Hệ thống nào cần xử lý trước.
Biện pháp bảo vệ nào chưa hoạt động hiệu quả.
Ngân sách nên được ưu tiên cho hạng mục nào.
Cần làm gì để giảm nguy cơ mất dữ liệu và gián đoạn vận hành.
Khoảng cách giữa chính sách và cấu hình thực tế.
Những vấn đề cần cải thiện trong bối cảnh pháp luật mới năm 2026.
IPSIP cung cấp dịch vụ kiểm tra đánh giá an toàn thông tin cho doanh nghiệp theo phạm vi thực tế, từ hạ tầng, máy chủ, website, ứng dụng đến Cloud, tài khoản và khả năng giám sát.
Liên hệ IPSIP để trao đổi về hệ thống cần kiểm tra, mục tiêu dự án và nhận đề xuất phạm vi triển khai phù hợp.
--------------
Nguồn tham khảo
Luật An ninh mạng số 116/2025/QH15: https://vanban.chinhphu.vn/?classid=1&docid=216499&orggroupid=1&pageid=27160
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: https://vanban.chinhphu.vn/?classid=1&docid=214590&pageid=27160&typegroup=
Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân: https://vanban.chinhphu.vn/?docid=216387&pageid=27160
Nghị định số 85/2016/NĐ-CP về bảo đảm an toàn hệ thống thông tin theo cấp độ: https://vanban.chinhphu.vn/?docid=185150&pageid=27160
Thông tư số 12/2022/TT-BTTTT hướng dẫn chi tiết về bảo đảm an toàn hệ thống thông tin theo cấp độ: https://cspl.mic.gov.vn/Pages/TinTuc/tinchitiet.aspx?tintucid=138448
Khung An ninh mạng NIST Cybersecurity Framework (CSF) 2.0: https://www.nist.gov/cyberframework
OWASP Web Security Testing Guide (Hướng dẫn kiểm thử bảo mật ứng dụng web): https://owasp.org/www-project-web-security-testing-guide/
CISA Cybersecurity Performance Goals (Các mục tiêu hiệu quả an ninh mạng của CISA): https://www.cisa.gov/cybersecurity-performance-goals
Bình luận