Luật An ninh mạng 2025: Doanh nghiệp cần làm gì để tuân thủ và bảo vệ dữ liệu?
- Thanh Hoang
- 22 thg 5
- 14 phút đọc
Đã cập nhật: 31 thg 7
Luật An ninh mạng số 116/2025/QH15 đã chính thức có hiệu lực từ ngày 01/07/2026. Luật thiết lập một khuôn khổ thống nhất hơn cho hoạt động bảo vệ an ninh mạng, quản lý hệ thống thông tin, phòng ngừa sự cố và bảo vệ dữ liệu trong môi trường số.
Đối với doanh nghiệp, tuân thủ Luật An ninh mạng 2025 không đơn giản là mua thêm firewall, phần mềm chống virus hoặc một công cụ giám sát. Doanh nghiệp cần xác định nghĩa vụ áp dụng, kiểm kê hệ thống và dữ liệu, phân công trách nhiệm, đánh giá khoảng cách, khắc phục điểm yếu và duy trì bằng chứng cho thấy các biện pháp bảo vệ đang hoạt động thực tế.
Nói cách khác, mục tiêu không chỉ là “có giải pháp bảo mật”, mà là xây dựng được một hệ thống quản trị an ninh mạng có thể kiểm tra, đo lường và cải tiến.
Trả lời nhanh: Doanh nghiệp nên bắt đầu bằng bảy việc: xác định phạm vi áp dụng, kiểm kê tài sản và dữ liệu, đánh giá rủi ro, kiểm soát truy cập, giám sát sự cố, kiểm thử định kỳ và đào tạo nhân viên. Phạm vi nghĩa vụ cụ thể còn phụ thuộc vào loại hệ thống, ngành nghề, dữ liệu xử lý và mô hình cung cấp dịch vụ.
1. Luật An ninh mạng 2025 có hiệu lực từ khi nào?
Luật An ninh mạng số 116/2025/QH15 được Quốc hội thông qua ngày 10/12/2025 và có hiệu lực từ ngày 01/07/2026.
Theo thông tin được công bố trên Cổng thông tin văn bản của Chính phủ, Luật An ninh mạng 2025 thay thế khuôn khổ pháp lý trước đó gồm Luật An ninh mạng năm 2018 và Luật An toàn thông tin mạng năm 2015.
Điểm đáng chú ý là Luật mới không chỉ điều chỉnh việc phòng, chống hành vi xâm phạm an ninh quốc gia trên không gian mạng. Văn bản còn thống nhất nhiều nội dung liên quan đến:
Bảo vệ hệ thống thông tin.
Thẩm định, đánh giá và kiểm tra an ninh mạng.
Giám sát và ứng phó sự cố.
Bảo vệ dữ liệu trong quá trình xử lý.
Trách nhiệm của chủ quản hệ thống thông tin.
Phát triển nhân lực và năng lực tự chủ về an ninh mạng.
Quản lý hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng.
Tính đến ngày 31/07/2026, Luật đã có hiệu lực được một tháng. Bộ Công an cũng đang tiếp tục hoàn thiện các văn bản quy định chi tiết về một số hoạt động, trong đó có kinh doanh sản phẩm, dịch vụ an ninh mạng và bảo vệ hệ thống thông tin.
Vì vậy, doanh nghiệp không nên chờ đến khi toàn bộ văn bản hướng dẫn được ban hành mới bắt đầu chuẩn bị. Các biện pháp nền tảng như kiểm kê dữ liệu, đánh giá hệ thống, quản lý quyền truy cập, sao lưu, giám sát và ứng phó sự cố đều cần thời gian triển khai và kiểm chứng.
2. Luật An ninh mạng 2025 tác động đến doanh nghiệp như thế nào?
Mức độ tác động không giống nhau đối với mọi doanh nghiệp.
Doanh nghiệp cần xem xét ít nhất bốn yếu tố:
2.1. Loại hệ thống thông tin đang quản lý
Hệ thống phục vụ nội bộ, website thương mại điện tử, nền tảng SaaS, hệ thống thanh toán, hệ thống sản xuất và hạ tầng thuộc danh mục quan trọng có thể chịu các yêu cầu khác nhau.
2.2. Loại dữ liệu đang xử lý
Doanh nghiệp cần xác định có đang thu thập hoặc lưu trữ dữ liệu khách hàng, dữ liệu nhân viên, dữ liệu giao dịch, dữ liệu đăng nhập, nhật ký hệ thống hay dữ liệu cá nhân nhạy cảm hay không.
2.3. Ngành nghề và phạm vi hoạt động
Tài chính, ngân hàng, y tế, thương mại điện tử, công nghệ, viễn thông, logistics, sản xuất và dịch vụ xuyên biên giới thường có mức độ phụ thuộc vào hệ thống số và dữ liệu cao hơn.
2.4. Vai trò của doanh nghiệp trong chuỗi xử lý dữ liệu
Một doanh nghiệp có thể đồng thời là chủ quản hệ thống, đơn vị cung cấp nền tảng, bên xử lý dữ liệu, nhà cung cấp dịch vụ cloud hoặc đối tác vận hành thuê ngoài.
Do phạm vi pháp lý có thể thay đổi theo từng trường hợp, doanh nghiệp nên kết hợp đánh giá pháp lý với đánh giá kỹ thuật. Không nên sử dụng một checklist chung như kết luận pháp lý cuối cùng cho mọi tổ chức.
3. Những yêu cầu doanh nghiệp cần đặc biệt quan tâm
3.1. Bảo vệ hệ thống thông tin trong toàn bộ vòng đời
Bảo mật cần được đưa vào quá trình thiết kế, xây dựng, vận hành, nâng cấp và ngừng sử dụng hệ thống.
Doanh nghiệp không nên chỉ kiểm tra hệ thống sau khi đã đưa vào vận hành. Các dự án website, ứng dụng, cloud, ERP, hệ thống AI hoặc nền tảng kết nối đối tác cần có yêu cầu an ninh mạng ngay từ giai đoạn lựa chọn kiến trúc và nhà cung cấp.
3.2. Kiểm tra, đánh giá và giám sát an ninh mạng
Luật đề cập đến các biện pháp như thẩm định, đánh giá điều kiện, kiểm tra và giám sát an ninh mạng.
Trong thực tế, doanh nghiệp có thể triển khai theo nhiều lớp:
Rà soát cấu hình hệ thống.
Quét và đánh giá lỗ hổng.
Kiểm thử xâm nhập.
Kiểm tra phân quyền.
Giám sát nhật ký và cảnh báo.
Đánh giá khả năng ứng phó sự cố.
Theo dõi việc khắc phục sau đánh giá.
Cần phân biệt rõ quét lỗ hổng và kiểm thử xâm nhập. Quét lỗ hổng chủ yếu giúp phát hiện các điểm yếu đã biết bằng công cụ, trong khi Pentest mô phỏng các kịch bản tấn công thực tế để xác định khả năng khai thác và tác động đến hoạt động kinh doanh.
3.3. Bảo vệ dữ liệu trong quá trình xử lý
An ninh mạng và bảo vệ dữ liệu có liên hệ chặt chẽ nhưng không hoàn toàn đồng nhất.
Doanh nghiệp cần kiểm soát dữ liệu trong cả vòng đời:
Thu thập.
Truyền nhận.
Lưu trữ.
Sử dụng.
Chia sẻ.
Sao lưu.
Khôi phục.
Xóa hoặc hủy dữ liệu.
Các biện pháp cần được lựa chọn theo mức độ nhạy cảm và tác động kinh doanh, thay vì áp dụng giống nhau cho mọi loại dữ liệu.
Doanh nghiệp có thể tham khảo thêm khung giải pháp bảo vệ dữ liệu doanh nghiệp để xác định các lớp kiểm soát từ phân loại dữ liệu, quản lý truy cập đến mã hóa, sao lưu và giám sát.
3.4. Báo cáo và ứng phó sự cố
Một hệ thống bảo mật tốt không thể chỉ dựa vào khả năng ngăn chặn. Doanh nghiệp phải chuẩn bị cho tình huống biện pháp phòng thủ bị vượt qua.
Quy trình ứng phó cần trả lời rõ:
Ai có quyền tuyên bố sự cố?
Ai chịu trách nhiệm điều phối?
Hệ thống nào phải cô lập trước?
Dữ liệu và nhật ký nào phải được bảo toàn?
Khi nào cần thông báo cho lãnh đạo, khách hàng, đối tác hoặc cơ quan có thẩm quyền?
Mục tiêu khôi phục hoạt động là bao lâu?
Ai có quyền phê duyệt đưa hệ thống trở lại vận hành?
Doanh nghiệp có thể sử dụng kế hoạch ứng phó sự cố an toàn thông tin làm tài liệu tham khảo ban đầu, sau đó điều chỉnh theo hệ thống, nhân sự và yêu cầu pháp lý của tổ chức.
4. 7 bước tuân thủ Luật An ninh mạng 2025 cho doanh nghiệp
Bước 1: Xác định phạm vi nghĩa vụ
Doanh nghiệp cần lập danh sách pháp nhân, chi nhánh, hệ thống, nền tảng và dịch vụ số nằm trong phạm vi đánh giá.
Các câu hỏi cần trả lời gồm:
Doanh nghiệp là chủ quản hay đơn vị vận hành hệ thống?
Có cung cấp dịch vụ trên Internet không?
Có xử lý dữ liệu của người dùng Việt Nam không?
Có sử dụng nhà cung cấp cloud hoặc đơn vị xử lý bên ngoài không?
Hệ thống có thuộc lĩnh vực trọng yếu hoặc danh mục đặc biệt không?
Có hoạt động chuyển dữ liệu hoặc cung cấp dịch vụ xuyên biên giới không?
Kết quả của bước này phải là một bản đồ nghĩa vụ, không chỉ là danh sách tên văn bản pháp luật.
Bước 2: Kiểm kê tài sản và luồng dữ liệu
Doanh nghiệp không thể bảo vệ những tài sản mà mình không biết đang tồn tại.
Danh mục kiểm kê nên bao gồm:
Máy chủ và máy trạm.
Website và ứng dụng.
Tài khoản quản trị.
Hệ thống email.
Dịch vụ cloud.
API và kết nối đối tác.
Cơ sở dữ liệu.
Thiết bị di động.
Thiết bị mạng.
Hệ thống sao lưu.
Công cụ AI được nhân viên sử dụng.
Với dữ liệu, doanh nghiệp cần xác định dữ liệu được tạo ở đâu, ai có quyền truy cập, được chuyển tới hệ thống nào, lưu trữ trong bao lâu và được xóa bằng cách nào.
Bước 3: Phân loại dữ liệu và đánh giá rủi ro
Không phải tài sản nào cũng có mức độ quan trọng giống nhau.
Doanh nghiệp có thể phân loại dữ liệu theo các mức:
Công khai.
Nội bộ.
Mật hoặc hạn chế.
Dữ liệu cá nhân.
Dữ liệu cá nhân nhạy cảm.
Bí mật kinh doanh.
Dữ liệu ảnh hưởng trực tiếp đến vận hành.
Sau đó, đánh giá rủi ro dựa trên ba yếu tố:
Khả năng xảy ra.
Mức độ tác động.
Hiệu quả của biện pháp kiểm soát hiện tại.
Đánh giá cần xem xét cả rủi ro kỹ thuật và rủi ro vận hành, chẳng hạn tài khoản cũ chưa bị thu hồi, chia sẻ dữ liệu sai người, cấu hình cloud công khai hoặc nhân viên đưa dữ liệu nội bộ vào công cụ AI không được phê duyệt.
Bước 4: Kiểm soát danh tính và quyền truy cập
Nhiều sự cố hiện đại không bắt đầu bằng việc khai thác một lỗ hổng phức tạp. Kẻ tấn công có thể sử dụng tài khoản hợp lệ bị đánh cắp để truy cập hệ thống như một người dùng bình thường.
Doanh nghiệp nên ưu tiên:
Xác thực đa yếu tố.
Quyền tối thiểu.
Tách tài khoản người dùng và tài khoản quản trị.
Rà soát quyền định kỳ.
Thu hồi quyền ngay khi nhân viên nghỉ việc.
Kiểm soát tài khoản dịch vụ.
Ghi nhật ký hoạt động đặc quyền.
Quản lý mật khẩu và khóa bí mật tập trung.
Đối với tài khoản quản trị quan trọng, giải pháp PAM giúp kiểm soát, ghi nhận và giới hạn việc sử dụng quyền đặc biệt.
Bước 5: Triển khai giám sát và phát hiện sự cố
Firewall và antivirus vẫn cần thiết nhưng không đủ để phát hiện mọi hành vi bất thường.
Doanh nghiệp cần tập trung nhật ký từ các nguồn quan trọng như:
Tài khoản và hệ thống định danh.
Email.
Máy chủ.
Thiết bị đầu cuối.
Firewall.
Cloud.
Ứng dụng.
Cơ sở dữ liệu.
Tài khoản quản trị.
Hệ thống sao lưu.
Với tổ chức không có đội ngũ trực ca, SOC 24/7 có thể hỗ trợ theo dõi cảnh báo, phân tích sự kiện và phối hợp xử lý khi phát hiện dấu hiệu xâm nhập.
Điều quan trọng là doanh nghiệp cần xác định trước các tình huống phải cảnh báo, mức độ ưu tiên và người có trách nhiệm tiếp nhận. Thu thập nhật ký nhưng không có người phân tích không tạo ra khả năng phòng thủ thực tế.
Bước 6: Kiểm thử, khắc phục và lưu bằng chứng
Kiểm tra bảo mật không nên là hoạt động thực hiện một lần để hoàn thành hồ sơ.
Doanh nghiệp nên tổ chức đánh giá khi:
Chuẩn bị đưa hệ thống mới vào vận hành.
Có thay đổi lớn về kiến trúc.
Chuyển lên cloud.
Tích hợp đối tác hoặc API mới.
Sau một sự cố.
Theo chu kỳ dựa trên mức độ rủi ro.
Sau mỗi cuộc đánh giá, doanh nghiệp cần theo dõi:
Phát hiện nào đã được xác nhận?
Ai chịu trách nhiệm khắc phục?
Thời hạn hoàn thành là bao lâu?
Có biện pháp tạm thời hay không?
Đã kiểm tra lại sau khắc phục chưa?
Ban lãnh đạo có chấp nhận rủi ro còn lại không?
Có thể sử dụng hướng dẫn đọc báo cáo Pentest và khắc phục lỗ hổng để tổ chức quy trình xử lý sau đánh giá.
Bước 7: Đào tạo nhân viên và diễn tập định kỳ
Email giả mạo, đánh cắp tài khoản, lừa đảo qua điện thoại, chia sẻ dữ liệu sai cách và sử dụng công cụ AI thiếu kiểm soát đều liên quan trực tiếp đến hành vi người dùng.
Đào tạo cần gắn với vai trò công việc:
Nhân viên phổ thông học cách nhận diện lừa đảo và bảo vệ tài khoản.
Bộ phận nhân sự học cách bảo vệ hồ sơ nhân viên.
Bộ phận tài chính học quy trình xác minh giao dịch.
Lập trình viên học phát triển phần mềm an toàn.
Quản trị viên học kiểm soát đặc quyền và xử lý nhật ký.
Lãnh đạo học cách ra quyết định khi xảy ra sự cố.
Một chương trình đào tạo nhận thức an ninh mạng chỉ có giá trị khi có đo lường, kiểm tra lại và cải tiến theo các hành vi rủi ro thực tế.
5. Checklist đánh giá mức độ sẵn sàng
Hạng mục | Đã có | Cần cải thiện |
Đã xác định phạm vi hệ thống và nghĩa vụ áp dụng | □ | □ |
Có danh mục tài sản CNTT được cập nhật | □ | □ |
Có bản đồ luồng dữ liệu quan trọng | □ | □ |
Dữ liệu đã được phân loại | □ | □ |
Có chính sách quản lý quyền truy cập | □ | □ |
Tài khoản quan trọng đã bật MFA | □ | □ |
Có cơ chế thu thập và giám sát nhật ký | □ | □ |
Có quy trình báo cáo, ứng phó sự cố | □ | □ |
Có kiểm thử bảo mật định kỳ | □ | □ |
Phát hiện bảo mật được theo dõi đến khi đóng | □ | □ |
Có sao lưu và kiểm tra khả năng khôi phục | □ | □ |
Nhân viên được đào tạo theo vai trò | □ | □ |
Có hồ sơ chứng minh biện pháp kiểm soát đang vận hành | □ | □ |
Nếu doanh nghiệp chưa hoàn thành nhiều hạng mục, ưu tiên đầu tiên không nhất thiết là mua thêm công cụ. Việc cần làm trước là đánh giá hiện trạng, xác định tài sản quan trọng và lập kế hoạch xử lý theo mức độ rủi ro.
6. Tuân thủ luật giúp bảo vệ dữ liệu doanh nghiệp như thế nào?
Một chương trình tuân thủ được triển khai đúng cách tạo ra giá trị vượt ra ngoài việc đáp ứng yêu cầu pháp lý.
6.1. Giảm khả năng rò rỉ dữ liệu
Kiểm kê dữ liệu, phân quyền và giám sát giúp doanh nghiệp phát hiện những kho dữ liệu không còn được quản lý, tài khoản có quyền quá mức hoặc kết nối thiếu kiểm soát.
6.2. Rút ngắn thời gian xử lý sự cố
Khi vai trò, kênh liên lạc và quy trình cô lập đã được xác định, doanh nghiệp không phải bắt đầu từ con số không trong thời điểm khủng hoảng.
6.3. Tăng độ tin cậy với khách hàng và đối tác
Khách hàng B2B ngày càng quan tâm đến cách nhà cung cấp bảo vệ dữ liệu, quản lý quyền truy cập và xử lý sự cố.
Doanh nghiệp có hồ sơ đánh giá, quy trình rõ ràng và bằng chứng vận hành sẽ dễ trả lời bảng câu hỏi bảo mật, yêu cầu thẩm định nhà cung cấp hoặc điều kiện trong hợp đồng hơn doanh nghiệp chỉ đưa ra cam kết chung.
6.4. Hỗ trợ chuyển đổi số bền vững
Tuân thủ không nên trở thành rào cản của chuyển đổi số. Ngược lại, việc thiết lập tiêu chuẩn bảo mật ngay từ đầu giúp doanh nghiệp triển khai cloud, SaaS, AI và kết nối đối tác với ít rủi ro hơn.
Niềm tin trên không gian số không được xây dựng bằng tuyên bố “an toàn tuyệt đối”. Niềm tin được hình thành khi doanh nghiệp có khả năng chứng minh rằng rủi ro đã được nhận diện, biện pháp bảo vệ đang được vận hành và sự cố có thể được xử lý có trách nhiệm.
7. Những sai lầm thường gặp khi triển khai tuân thủ
7.1. Chỉ giao trách nhiệm cho bộ phận IT
Tuân thủ liên quan đến pháp chế, nhân sự, tài chính, vận hành, mua sắm, quản lý nhà cung cấp và ban lãnh đạo. IT không thể tự quyết định mọi vấn đề về dữ liệu và rủi ro kinh doanh.
7.2. Mua công cụ trước khi đánh giá nhu cầu
Công cụ không thể thay thế quy trình và trách nhiệm. Một hệ thống giám sát đắt tiền vẫn có thể không hiệu quả nếu thiếu nhật ký, quy tắc cảnh báo hoặc người xử lý.
7.3. Xem kiểm thử là đích đến
Báo cáo kiểm thử chỉ phản ánh trạng thái tại một thời điểm. Giá trị thực sự nằm ở việc khắc phục, kiểm tra lại và ngăn điểm yếu tái xuất hiện.
7.4. Không quản lý nhà cung cấp
Cloud, đơn vị phát triển phần mềm, dịch vụ IT thuê ngoài và nền tảng SaaS đều có thể tiếp cận hệ thống hoặc dữ liệu. Hợp đồng và hoạt động giám sát cần quy định rõ trách nhiệm bảo mật, thông báo sự cố, quyền kiểm tra và xử lý dữ liệu khi chấm dứt dịch vụ.
7.5. Không lưu bằng chứng vận hành
Chính sách được ban hành nhưng không có nhật ký rà soát, biên bản đào tạo, kết quả kiểm tra hoặc hồ sơ xử lý phát hiện sẽ khó chứng minh rằng biện pháp bảo vệ thực sự được triển khai.
Kết luận
Luật An ninh mạng 2025 đã có hiệu lực từ ngày 01/07/2026. Doanh nghiệp hiện không còn ở giai đoạn chuẩn bị trước “giờ G”, mà đã bước vào giai đoạn tổ chức thực hiện, rà soát khoảng cách và duy trì tuân thủ.
Lộ trình phù hợp nên bắt đầu từ việc xác định phạm vi, kiểm kê hệ thống và dữ liệu, đánh giá rủi ro, quản lý quyền truy cập, giám sát sự cố, kiểm thử định kỳ và đào tạo nhân viên.
Tuân thủ không phải một dự án có ngày kết thúc. Đây là chu trình liên tục gồm đánh giá, khắc phục, giám sát và cải tiến.
Doanh nghiệp chưa xác định được mức độ sẵn sàng có thể bắt đầu bằng một cuộc kiểm tra, đánh giá an toàn an ninh mạng để nhận diện khoảng cách kỹ thuật, xác định mức độ ưu tiên và xây dựng lộ trình triển khai phù hợp.
------------
Câu hỏi thường gặp
Luật An ninh mạng 2025 có hiệu lực từ ngày nào?
Luật số 116/2025/QH15 có hiệu lực từ ngày 01/07/2026. Luật được Quốc hội thông qua ngày 10/12/2025.
Mọi doanh nghiệp có cùng nghĩa vụ tuân thủ không?
Không. Phạm vi nghĩa vụ phụ thuộc vào loại hệ thống, ngành nghề, dữ liệu xử lý, mô hình cung cấp dịch vụ và vai trò của doanh nghiệp. Cần đánh giá từng trường hợp cụ thể.
Tuân thủ Luật An ninh mạng có đồng nghĩa với tuân thủ pháp luật về dữ liệu cá nhân không?
Không hoàn toàn. Hai nhóm yêu cầu có nhiều điểm giao nhau nhưng có đối tượng, phạm vi và nghĩa vụ riêng. Doanh nghiệp cần đánh giá đồng thời luật an ninh mạng, pháp luật về dữ liệu và pháp luật bảo vệ dữ liệu cá nhân có liên quan.
Doanh nghiệp nhỏ có cần SOC 24/7 không?
Không phải mọi doanh nghiệp đều phải tự xây dựng SOC. Doanh nghiệp cần lựa chọn mức giám sát phù hợp với rủi ro, quy mô hệ thống và khả năng xử lý. SME có thể cân nhắc mô hình SOC hoặc MDR thuê ngoài thay vì đầu tư một trung tâm nội bộ hoàn chỉnh.
----------------
Nguồn tham khảo
Luật số 116/2025/QH15 của Quốc hội – Luật An ninh mạng: https://vanban.chinhphu.vn/?classid=1&docid=216499&orggroupid=1&pageid=27160
Công báo Luật số 116/2025/QH15: https://congbao.chinhphu.vn/van-ban/luat-so-116-2025-qh15-468678.htm
Sớm đưa Luật An ninh mạng năm 2025 đi vào cuộc sống – Bộ Công an: https://bocongan.gov.vn/chinh-sach-phap-luat/e-magazine/trung-tuong-le-xuan-minh-som-dua-luat-an-ninh-mang-nam-2025-di-vao-cuoc-song-1779078254
Hoàn thiện hành lang pháp lý cho kinh doanh sản phẩm, dịch vụ an ninh mạng – Bộ Công an: https://bocongan.gov.vn/chinh-sach-phap-luat/bai-viet/hoan-thien-hanh-lang-phap-ly-cho-kinh-doanh-san-pham-dich-vu-an-ninh-mang-1773821598
Bình luận