Dữ liệu cá nhân đang bị để lộ như thế nào trong môi trường số?
- Evelyn Carter
- 1 ngày trước
- 8 phút đọc
Trong thời đại số xảy ra ngày càng nhiều vấn đề về lượng dữ liệu cá nhân mỗi người để lại hằng ngày, từ họ tên, số điện thoại, hình ảnh đến thông tin sức khỏe, vị trí và sinh trắc học. Trong môi trường số, rủi ro không chỉ đến từ tấn công mạng mà còn từ cách dữ liệu được thu thập, chia sẻ và lưu trữ. Sự kiện không gắn với CVE cụ thể.
Một lần đăng ký tài khoản, một bức ảnh được tải lên, một ứng dụng được cấp quyền định vị hay một biểu mẫu mua hàng đều có thể tạo thêm dấu vết dữ liệu. Khi các hoạt động này lặp lại trên nhiều nền tảng, lượng thông tin gắn với một cá nhân có thể mở rộng đáng kể mà chính người dùng không nhận ra đầy đủ.
Vấn đề trở nên phức tạp hơn khi những mảnh dữ liệu không tồn tại riêng lẻ. Họ tên, số điện thoại, vị trí, tài khoản số, lịch sử giao dịch hoặc đặc điểm sinh trắc học khi được kết hợp có thể tạo thành một hồ sơ tương đối chi tiết về một người. Đối với doanh nghiệp, điều này đặt ra yêu cầu quản trị dữ liệu xuyên suốt từ thời điểm thu thập đến lưu trữ, sử dụng, chia sẻ và xóa bỏ.
Dữ liệu cá nhân đang bị để lộ qua những hoạt động nào?
Dấu vết dữ liệu xuất hiện trong hầu hết hoạt động trực tuyến thường ngày. Bài viết của Tạp chí An ninh mạng Việt Nam nhấn mạnh phạm vi thông tin có thể gắn với một cá nhân rất rộng, từ họ tên, số điện thoại, hình ảnh đến thông tin sức khỏe, vị trí và dữ liệu sinh trắc học.
Trong thực tế, dữ liệu có thể phát sinh khi người dùng:
Tạo tài khoản trên website hoặc ứng dụng.
Điền số điện thoại, email và địa chỉ nhận hàng.
Đăng ảnh hoặc video lên mạng xã hội.
Cho phép ứng dụng truy cập vị trí.
Sử dụng nhận diện khuôn mặt hoặc vân tay.
Giao dịch qua ngân hàng và ví điện tử.
Sử dụng ứng dụng theo dõi sức khỏe hoặc thiết bị đeo thông minh.
Cho phép trình duyệt, nền tảng hoặc dịch vụ theo dõi hoạt động trực tuyến.
Không phải mọi trường hợp thu thập dữ liệu đều đồng nghĩa với “rò rỉ”. Điểm cần phân biệt là dữ liệu có đang được thu thập, sử dụng và chia sẻ đúng mục đích, đúng phạm vi và với biện pháp bảo vệ phù hợp hay không.
Đối với tổ chức, dữ liệu tương tự cũng xuất hiện trong CRM, phần mềm nhân sự, hệ thống camera, ứng dụng chăm sóc khách hàng, nền tảng Cloud, email, thiết bị đầu cuối và các hệ thống của nhà cung cấp bên ngoài. Vì vậy, dữ liệu cá nhân không chỉ là vấn đề của người dùng cuối mà còn là một phần của bài toán quản trị thông tin doanh nghiệp.
Những loại dữ liệu nào cần được đặc biệt chú ý?
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội ban hành ngày 26/6/2025 và có hiệu lực từ ngày 1/1/2026. Nghị định 356/2025/NĐ-CP, có hiệu lực cùng ngày, quy định chi tiết hơn về dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.
Theo Nghị định 356/2025/NĐ-CP, dữ liệu cá nhân cơ bản có thể bao gồm họ tên, ngày sinh, giới tính, nơi cư trú, quốc tịch, hình ảnh, số điện thoại, số định danh cá nhân, tình trạng hôn nhân và tài khoản số. Trong khi đó, nhóm dữ liệu nhạy cảm bao gồm nhiều thông tin cần mức bảo vệ chặt chẽ hơn.
Nhóm dữ liệu | Ví dụ trong môi trường số | Rủi ro cần lưu ý |
Thông tin nhận diện | Họ tên, hình ảnh, số điện thoại, số định danh | Mạo danh, phishing, tạo hồ sơ cá nhân |
Tài khoản số | Tên tài khoản, email, thông tin đăng nhập | Chiếm quyền tài khoản, truy cập trái phép |
Dữ liệu sức khỏe | Tình trạng sức khỏe, hồ sơ khám chữa bệnh | Xâm phạm quyền riêng tư, tác động lâu dài |
Dữ liệu sinh trắc học | Khuôn mặt, vân tay, đặc điểm sinh học | Khó thay đổi nếu bị lộ |
Dữ liệu vị trí | GPS, lịch sử định vị | Theo dõi hành trình và thói quen |
Dữ liệu tài chính | Tài khoản, thẻ, lịch sử giao dịch | Gian lận và thiệt hại tài chính |
Hành vi trực tuyến | Hoạt động trên mạng xã hội, viễn thông và dịch vụ trực tuyến | Xây dựng hồ sơ hành vi, nhắm mục tiêu cá nhân hóa |
Nghị định 356/2025/NĐ-CP xếp tình trạng sức khỏe, dữ liệu sinh trắc học, vị trí được xác định qua dịch vụ định vị, một số dữ liệu tài chính và dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng vào nhóm dữ liệu cá nhân nhạy cảm. Cơ quan, tổ chức xử lý nhóm dữ liệu này phải thiết lập phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật.
Với dữ liệu vị trí và dữ liệu sinh trắc học, pháp luật còn đặt ra các yêu cầu cụ thể khi xảy ra vi phạm dữ liệu, trong đó có nghĩa vụ thông báo cho chủ thể dữ liệu bị ảnh hưởng trong một số trường hợp theo quy định.
👉 Doanh nghiệp cần đối chiếu sâu hơn giữa hoạt động xử lý thực tế và quy định mới có thể tham khảo hướng dẫn của IPSIP Việt Nam về Luật Bảo vệ dữ liệu cá nhân 2026: những nguyên tắc doanh nghiệp cần nắm
Vì sao những mảnh dữ liệu rời rạc có thể trở thành rủi ro lớn?
Một trường dữ liệu riêng lẻ có thể chưa đủ để gây ra sự cố nghiêm trọng. Nhưng khi nhiều trường dữ liệu được kết hợp, giá trị khai thác của chúng có thể tăng lên đáng kể.
Ví dụ, số điện thoại kết hợp với họ tên và công ty đang làm việc có thể hỗ trợ một cuộc gọi giả mạo có chủ đích. Nếu bổ sung thêm chức danh, email, lịch sử giao dịch hoặc một dịch vụ người đó đang sử dụng, kịch bản social engineering có thể trở nên thuyết phục hơn.
Đây là lý do doanh nghiệp không nên đánh giá rủi ro chỉ dựa trên từng trường dữ liệu. Cần xem xét khả năng liên kết giữa các nguồn: CRM, dữ liệu Marketing, tài khoản nhân viên, hệ thống HR, dữ liệu giao dịch, log hệ thống và dữ liệu lưu tại nhà cung cấp bên ngoài.
Bức tranh an ninh mạng Việt Nam quý I/2026 do IPSIP tổng hợp cho thấy 165 vụ lộ lọt dữ liệu được ghi nhận, hơn 473 triệu bản ghi bị rò rỉ và 6,9 triệu thông tin đăng nhập được phát hiện trên không gian mạng. IPSIP lưu ý dữ liệu bị lộ có thể tiếp tục được tận dụng cho phishing, chiếm quyền tài khoản hoặc mở rộng xâm nhập.
Bối cảnh rộng hơn về xu hướng lộ lọt dữ liệu có tại An ninh mạng Việt Nam quý I/2026: dữ liệu trở thành mục tiêu lớn
Doanh nghiệp cần làm gì để giảm nguy cơ lộ lọt dữ liệu?
Bước đầu tiên là biết doanh nghiệp đang sở hữu dữ liệu gì. Nếu tổ chức không xác định được dữ liệu nằm ở đâu, ai đang truy cập và đang được chia sẻ với bên thứ ba nào, các lớp kiểm soát kỹ thuật phía sau rất khó được áp dụng đúng nơi.
Checklist doanh nghiệp nên triển khai:
Lập Data Inventory: thống kê dữ liệu khách hàng, nhân viên, ứng viên, đối tác và dữ liệu phát sinh từ các hệ thống.
Phân loại dữ liệu: xác định dữ liệu cơ bản, dữ liệu nhạy cảm và các tài sản cần kiểm soát chặt hơn.
Lập bản đồ luồng dữ liệu: theo dõi dữ liệu được thu thập ở đâu, lưu tại đâu và được chuyển cho bên nào.
Tối thiểu hóa dữ liệu: không tiếp tục thu thập hoặc lưu những trường thông tin không còn cần thiết cho mục đích đã xác định.
Áp dụng Least Privilege: người dùng chỉ được cấp quyền truy cập cần thiết cho công việc.
Sử dụng MFA: ưu tiên email doanh nghiệp, CRM, Cloud, HR và các tài khoản quản trị.
Mã hóa dữ liệu nhạy cảm: đặc biệt đối với dữ liệu được lưu hoặc truyền qua nhiều môi trường.
Theo dõi log và truy cập bất thường: chú ý các hành vi tải xuống số lượng lớn hoặc truy cập từ tài khoản, vị trí bất thường.
Kiểm soát nhà cung cấp: rà soát SaaS, đơn vị Marketing, Call Center, HR, logistics và các bên nhận dữ liệu.
Xây dựng Incident Response Plan: quy định đầu mối, bằng chứng cần bảo toàn và cách xử lý khi phát hiện sự cố.
Nếu sự cố đã xảy ra, doanh nghiệp cần tách việc “đóng điểm rò rỉ” khỏi quá trình điều tra. Xóa log, khóa tài khoản thiếu kiểm soát hoặc thay đổi hệ thống quá sớm có thể làm mất bằng chứng cần thiết để xác định phạm vi ảnh hưởng.
Góc nhìn chuyên gia từ IPSIP Việt Nam cho thấy điều gì?
Dữ liệu cá nhân có thể bị truy cập hoặc phát tán qua phishing, tài khoản bị chiếm quyền, cấu hình hệ thống sai, thiết bị thất lạc, chia sẻ file sai đối tượng, ứng dụng bên thứ ba hoặc hành vi nội bộ. Không nên mặc định mọi vụ lộ dữ liệu đều bắt nguồn từ hacker.
Với doanh nghiệp, ảnh hưởng có thể vượt khỏi bản thân cơ sở dữ liệu. Dữ liệu khách hàng bị lộ có thể hỗ trợ giả mạo thương hiệu; thông tin nhân viên có thể phục vụ spear phishing; còn dữ liệu nhạy cảm có thể kéo theo yêu cầu xử lý về pháp lý, vận hành và truyền thông.
Dữ liệu cá nhân trong môi trường số không chỉ nằm trong những biểu mẫu người dùng chủ động cung cấp. Chúng được hình thành từ nhiều hoạt động khác nhau và ngày càng dễ kết nối giữa các nền tảng, thiết bị và dịch vụ.
Với cá nhân, điều cần thiết là hiểu những quyền truy cập và thông tin đang được chia sẻ. Với doanh nghiệp, ưu tiên là xác định dữ liệu mình đang sở hữu, thu thập đúng nhu cầu, giới hạn quyền truy cập và duy trì khả năng phát hiện sự cố. Bảo vệ dữ liệu vì vậy không nên bắt đầu từ câu hỏi “mua công cụ nào”, mà từ câu hỏi cơ bản hơn: tổ chức đang giữ dữ liệu gì, ở đâu và vì mục đích nào?
Nguồn tham khảo
1. Tạp chí An ninh mạng Việt Nam - “Bạn đang để lộ bao nhiêu dữ liệu cá nhân mỗi ngày?” https://tapchianninhmang.vn/ban-dang-de-lo-bao-nhieu-du-lieu-ca-nhan-moi-ngay
2. Quốc hội/Chính phủ - Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: https://vanban.chinhphu.vn/?classid=1&docid=214590&pageid=27160&typegroup=
3. Cơ sở dữ liệu quốc gia về văn bản pháp luật - Nghị định 356/2025/NĐ-CP https://vbpl.vn/bocongan/Pages/vbpq-toanvan.aspx?ItemID=187276
4. Chính phủ - Quy định bảo vệ dữ liệu vị trí cá nhân và dữ liệu sinh trắc học https://xaydungchinhsach.chinhphu.vn/quy-dinh-bao-ve-du-lieu-ca-nhan-doi-voi-du-lieu-vi-tri-ca-nhan-du-lieu-sinh-trac-hoc-119250730155653784.htm
5. IPSIP Việt Nam - An ninh mạng Việt Nam quý I/2026: Dữ liệu trở thành mục tiêu lớn nhất của tội phạm mạng https://www.ipsip.vn/post/an-ninh-mang-viet-nam-quy-1-2026
Bình luận