Doanh nghiệp cần làm gì để tuân thủ Luật An ninh mạng 2025?

Hung Pham
47 phút trước
13 phút đọc

Để tuân thủ Luật An ninh mạng 2025, doanh nghiệp không chỉ nên mua thêm Firewall, phần mềm chống virus hoặc một giải pháp giám sát. Việc cần làm là xác định nghĩa vụ áp dụng, kiểm kê hệ thống và dữ liệu, phân công trách nhiệm, đánh giá khoảng cách, khắc phục rủi ro và duy trì bằng chứng chứng minh các biện pháp bảo vệ đang được vận hành.

Luật An ninh mạng số 116/2025/QH15 được ban hành ngày 10/12/2025 và có hiệu lực từ ngày 01/07/2026. Vì vậy, tuân thủ Luật An ninh mạng 2025 nên được hiểu là quá trình doanh nghiệp chuẩn bị và thực hiện các yêu cầu của luật được ban hành năm 2025, không phải chỉ là một chương trình tuân thủ giới hạn trong năm 2025.

luat-an-ninh-mang-2025 — *Luật an ninh mạng 2025*

Do phạm vi áp dụng có thể khác nhau theo ngành nghề, loại hệ thống, dữ liệu xử lý và mô hình cung cấp dịch vụ, doanh nghiệp nên kết hợp đánh giá pháp lý với đánh giá kỹ thuật. Checklist dưới đây là khung triển khai thực tế, không thay thế ý kiến tư vấn pháp lý cho từng trường hợp cụ thể.

1. Xác định doanh nghiệp thuộc phạm vi nghĩa vụ nào

Bước đầu tiên để tuân thủ Luật An ninh mạng 2025 không phải là triển khai công nghệ mà là xác định chính xác doanh nghiệp đang vận hành những hệ thống, nền tảng và hoạt động nào có liên quan.

Doanh nghiệp nên lập một nhóm rà soát gồm đại diện ban lãnh đạo, pháp chế, công nghệ thông tin, an toàn thông tin, quản trị dữ liệu và các bộ phận nghiệp vụ quan trọng. Nhóm này cần trả lời tối thiểu các câu hỏi:

Doanh nghiệp đang vận hành những hệ thống thông tin nào?
Hệ thống nào ảnh hưởng trực tiếp đến hoạt động kinh doanh?
Doanh nghiệp có cung cấp dịch vụ trên Internet hoặc nền tảng số không?
Những loại dữ liệu nào đang được thu thập, lưu trữ và chia sẻ?
Dữ liệu được lưu ở Việt Nam, tại nước ngoài hay trên nhiều môi trường cloud?
Đơn vị nào đang có quyền truy cập hệ thống và dữ liệu?
Có nhà cung cấp nước ngoài hoặc bên thứ ba tham gia xử lý dữ liệu không?
Doanh nghiệp có thuộc ngành chịu thêm yêu cầu chuyên ngành không?

Kết quả của bước này nên là một tài liệu xác định phạm vi tuân thủ, thay vì một nhận định chung rằng “toàn bộ hệ thống công ty đều thuộc phạm vi”.

Doanh nghiệp cũng cần tránh trộn lẫn Luật An ninh mạng với toàn bộ nghĩa vụ về dữ liệu. Một hệ thống có thể đồng thời chịu sự điều chỉnh của Luật An ninh mạng, Luật Dữ liệu, pháp luật bảo vệ dữ liệu cá nhân và các quy định chuyên ngành. Do đó, nên xây dựng một ma trận nghĩa vụ chung nhưng ghi rõ căn cứ của từng yêu cầu.

2. Kiểm kê hệ thống, dữ liệu và nhà cung cấp

Doanh nghiệp không thể bảo vệ hoặc chứng minh việc kiểm soát những tài sản mà mình chưa nhận diện đầy đủ.

Để chuẩn bị tuân thủ Luật An ninh mạng 2025, doanh nghiệp cần lập và duy trì danh mục tối thiểu gồm:

Máy chủ vật lý và máy chủ ảo.
Hệ thống cloud, SaaS và ứng dụng thuê ngoài.
Website, ứng dụng di động, API và cổng thông tin khách hàng.
Thiết bị mạng, firewall, VPN và thiết bị truy cập từ xa.
Máy tính, thiết bị di động và tài khoản người dùng.
Cơ sở dữ liệu và kho lưu trữ.
Hệ thống email, nhận dạng và xác thực.
Phần mềm do doanh nghiệp tự phát triển.
Nhà cung cấp được phép truy cập hệ thống hoặc dữ liệu.

Mỗi tài sản nên có chủ sở hữu, mục đích sử dụng, mức độ quan trọng, loại dữ liệu xử lý, vị trí lưu trữ và bên chịu trách nhiệm vận hành.

Với dữ liệu, doanh nghiệp nên lập sơ đồ luồng dữ liệu để nhận diện dữ liệu được thu thập ở đâu, truyền qua hệ thống nào, lưu trong bao lâu, chia sẻ cho ai và được xóa theo quy trình nào.

Việc kiểm kê không nên chỉ được thực hiện một lần. Danh mục phải được cập nhật khi doanh nghiệp đưa vào sử dụng ứng dụng mới, chuyển lên cloud, tích hợp API, thay đổi nhà cung cấp hoặc triển khai công cụ AI.

3. Thiết lập trách nhiệm và cơ chế quản trị an ninh mạng

Tuân thủ không thể chỉ là công việc của bộ phận IT. IT có thể vận hành công nghệ, nhưng không thể tự quyết định toàn bộ yêu cầu pháp lý, mức chấp nhận rủi ro hoặc cách xử lý sự cố ảnh hưởng đến khách hàng.

quy-trinh-tuan-thu-luat-an-ninh-mang-2025 — *Tuân thủ luật an ninh mạng 2025 không chỉ là trách nhiệm của 1 bộ phận*

Doanh nghiệp nên phân định rõ:

Ban lãnh đạo

Phê duyệt chính sách và mức chấp nhận rủi ro.
Bố trí nguồn lực.
Theo dõi các rủi ro nghiêm trọng.
Quyết định phương án xử lý những thiếu sót chưa thể khắc phục ngay.

Pháp chế hoặc bộ phận tuân thủ

Xác định nghĩa vụ pháp lý.
Theo dõi thay đổi văn bản.
Rà soát hợp đồng với nhà cung cấp.
Tư vấn nghĩa vụ phối hợp, thông báo hoặc cung cấp thông tin khi phát sinh sự kiện.

IT và an toàn thông tin

Triển khai kiểm soát kỹ thuật.
Theo dõi lỗ hổng, cấu hình và nhật ký.
Phát hiện, điều tra và xử lý sự cố.
Duy trì bằng chứng kỹ thuật.

Bộ phận nghiệp vụ

Xác định dữ liệu và quy trình quan trọng.
Tuân thủ chính sách truy cập và sử dụng hệ thống.
Tham gia đánh giá rủi ro.
Thông báo sự kiện bất thường.

Doanh nghiệp nên ban hành ít nhất một chính sách an ninh mạng tổng thể và các quy trình hỗ trợ như quản lý tài khoản, quản lý lỗ hổng, sao lưu, ứng phó sự cố, quản lý nhà cung cấp và quản lý thay đổi.

4. Triển khai các biện pháp kỹ thuật theo mức độ rủi ro

Luật và chính sách chỉ có ý nghĩa khi được chuyển thành các biện pháp bảo vệ có thể kiểm tra.

Kiểm soát truy cập

Doanh nghiệp cần bảo đảm người dùng chỉ được cấp quyền phù hợp với công việc. Các tài khoản quản trị, tài khoản dùng chung và tài khoản của nhà cung cấp phải được kiểm soát chặt hơn tài khoản thông thường.

Các biện pháp nên ưu tiên gồm:

Áp dụng xác thực đa yếu tố cho tài khoản quan trọng.
Tách tài khoản quản trị khỏi tài khoản sử dụng hằng ngày.
Rà soát quyền truy cập định kỳ.
Thu hồi tài khoản ngay khi nhân sự nghỉ việc hoặc chuyển vị trí.
Theo dõi hoạt động đăng nhập bất thường.
Hạn chế sử dụng tài khoản dùng chung.

Quản lý lỗ hổng và cấu hình

Doanh nghiệp cần có quy trình phát hiện, đánh giá và khắc phục lỗ hổng theo mức độ rủi ro. Việc chạy công cụ quét nhưng không theo dõi quá trình khắc phục sẽ không tạo ra giá trị tuân thủ đáng kể.

Quy trình nên xác định:

Hệ thống nào được quét.
Tần suất đánh giá.
Cách phân loại mức độ nghiêm trọng.
Thời hạn xử lý.
Người chịu trách nhiệm.
Trường hợp nào cần kiểm tra lại.

Đối với website, ứng dụng, API, cloud hoặc hệ thống quan trọng, doanh nghiệp có thể thực hiện kiểm thử xâm nhập để kiểm chứng liệu điểm yếu có thể bị khai thác trong điều kiện thực tế hay không.

Pentest chỉ là một phần của chương trình bảo mật. Nó không thay thế quản trị, giám sát, đào tạo, sao lưu hoặc ứng phó sự cố.

Bảo vệ dữ liệu

Doanh nghiệp nên xác định dữ liệu nào cần mã hóa khi lưu trữ hoặc truyền tải, ai được phép giải mã và khóa mã hóa được quản lý như thế nào.

Các biện pháp cần xem xét gồm:

Mã hóa dữ liệu quan trọng.
Phân quyền theo vai trò.
Hạn chế tải dữ liệu về thiết bị cá nhân.
Kiểm soát việc chia sẻ dữ liệu ra ngoài.
Sao lưu tách biệt với hệ thống chính.
Kiểm tra khả năng khôi phục dữ liệu.
Ghi nhận hoạt động truy cập và thay đổi dữ liệu.

Không nên hiểu rằng sử dụng cloud đồng nghĩa nhà cung cấp chịu toàn bộ trách nhiệm. Doanh nghiệp vẫn phải quản lý tài khoản, cấu hình, quyền truy cập, dữ liệu và hợp đồng trong phạm vi mình kiểm soát.

Ghi nhật ký và giám sát

Doanh nghiệp cần xác định những sự kiện nào phải được ghi nhận, nhật ký được lưu ở đâu, ai được quyền truy cập và hoạt động bất thường được cảnh báo thế nào.

Nhật ký nên bao phủ các hệ thống quan trọng như:

Đăng nhập và xác thực.
Hoạt động tài khoản quản trị.
Thay đổi cấu hình.
Truy cập cơ sở dữ liệu.
Sự kiện bảo mật trên endpoint.
Hoạt động firewall, VPN và cloud.
Hành động của nhà cung cấp có đặc quyền.

Việc có nhật ký nhưng không theo dõi hoặc không thể truy xuất khi xảy ra sự cố sẽ làm giảm đáng kể khả năng điều tra và chứng minh quá trình kiểm soát.

5. Xây dựng quy trình ứng phó sự cố an ninh mạng

Tuân thủ Luật An ninh mạng 2025 đòi hỏi doanh nghiệp phải chuẩn bị trước cách phát hiện, tiếp nhận, phân loại và xử lý sự cố, thay vì chờ đến khi hệ thống bị tấn công mới phân công trách nhiệm.

Kế hoạch ứng phó cần trả lời rõ:

Ai là đầu mối tiếp nhận cảnh báo?
Sự cố được phân loại theo tiêu chí nào?
Ai có quyền cô lập máy chủ hoặc tài khoản?
Khi nào cần kích hoạt ban xử lý khủng hoảng?
Ai chịu trách nhiệm thu thập và bảo quản bằng chứng?
Pháp chế tham gia từ thời điểm nào?
Ai làm việc với khách hàng, đối tác và cơ quan có thẩm quyền?
Hệ thống được phục hồi theo thứ tự nào?
Sau sự cố, ai chịu trách nhiệm đánh giá nguyên nhân và theo dõi khắc phục?

Doanh nghiệp nên duy trì danh sách liên hệ khẩn cấp, sơ đồ escalation và các kịch bản cho ransomware, rò rỉ dữ liệu, chiếm đoạt tài khoản, tấn công website, mất thiết bị và sự cố từ nhà cung cấp.

Kế hoạch phải được diễn tập. Một quy trình chưa từng được kiểm thử có thể không hoạt động khi xảy ra sự cố thực tế.

6. Kiểm soát rủi ro từ nhà cung cấp và chuỗi cung ứng

Nhiều doanh nghiệp có hệ thống nội bộ tương đối an toàn nhưng vẫn bị ảnh hưởng thông qua đối tác IT, đơn vị phát triển phần mềm, nhà cung cấp cloud hoặc tài khoản hỗ trợ từ xa.

Để tuân thủ Luật An ninh mạng 2025 hiệu quả, doanh nghiệp cần đưa yêu cầu bảo mật vào toàn bộ vòng đời nhà cung cấp.

Trước khi ký hợp đồng, cần đánh giá:

Nhà cung cấp sẽ truy cập hệ thống hoặc dữ liệu nào?
Dữ liệu được lưu ở đâu?
Có sử dụng nhà thầu phụ không?
Nhà cung cấp có kiểm soát tài khoản đặc quyền không?
Có cơ chế sao lưu và khôi phục không?
Có khả năng cung cấp nhật ký khi xảy ra sự cố không?
Có quy trình thông báo sự cố không?

Trong hợp đồng, nên làm rõ:

Phạm vi được phép xử lý dữ liệu.
Yêu cầu bảo mật tối thiểu.
Thời gian thông báo sự cố.
Trách nhiệm phối hợp điều tra.
Quyền đánh giá hoặc yêu cầu bằng chứng.
Điều kiện sử dụng nhà thầu phụ.
Quy trình hoàn trả hoặc xóa dữ liệu.
Cách thu hồi tài khoản khi hợp đồng kết thúc.

Bộ phận IT không nên tự phê duyệt toàn bộ rủi ro của nhà cung cấp. Các trường hợp xử lý dữ liệu quan trọng cần có sự tham gia của pháp chế, an toàn thông tin và chủ sở hữu quy trình nghiệp vụ.

7. Đào tạo nhân viên và kiểm tra mức độ thực hiện

Nhân viên là người trực tiếp sử dụng email, dữ liệu, tài khoản và hệ thống. Vì vậy, tuân thủ không thể chỉ được thể hiện qua tài liệu ký nhận.

Chương trình đào tạo nên được thiết kế theo vai trò:

Nhân viên phổ thông: phishing, mật khẩu, dữ liệu và báo cáo sự kiện.
Quản lý: phê duyệt quyền, rủi ro và xử lý sự cố.
IT: cấu hình, vá lỗi, logging, sao lưu và tài khoản quản trị.
Lập trình viên: phát triển phần mềm an toàn và quản lý mã nguồn.
Bộ phận nhân sự: vòng đời tài khoản nhân viên.
Pháp chế: nghĩa vụ pháp lý và phối hợp sự cố.
Ban lãnh đạo: trách nhiệm quản trị và ra quyết định.

Doanh nghiệp có thể tham khảo chương trình đào tạo và tư vấn an ninh mạng để xây dựng nội dung phù hợp với từng nhóm nhân sự và chính sách nội bộ.

Sau đào tạo, cần kiểm tra mức độ hiểu và thay đổi hành vi thông qua bài kiểm tra, diễn tập phishing, diễn tập sự cố hoặc đánh giá việc thực hiện chính sách.

8. Duy trì hồ sơ chứng minh tuân thủ

Một trong những khoảng trống phổ biến là doanh nghiệp đã thực hiện một số biện pháp bảo mật nhưng không có hồ sơ chứng minh ai thực hiện, thực hiện khi nào và kết quả ra sao.

Bộ hồ sơ tuân thủ nên bao gồm:

Nhóm kiểm soát	Hồ sơ hoặc bằng chứng cần duy trì
Quản trị	Chính sách, quyết định phân công, biên bản phê duyệt
Tài sản	Danh mục hệ thống, sơ đồ mạng, danh mục ứng dụng
Dữ liệu	Sơ đồ luồng dữ liệu, danh mục dữ liệu, quyền truy cập
Tài khoản	Danh sách quyền, biên bản rà soát, hồ sơ thu hồi
Lỗ hổng	Báo cáo quét, Pentest, kế hoạch khắc phục, kết quả kiểm tra lại
Sự cố	Kế hoạch ứng phó, nhật ký sự cố, biên bản diễn tập
Sao lưu	Chính sách sao lưu, nhật ký backup, kết quả kiểm tra phục hồi
Nhà cung cấp	Phiếu đánh giá, hợp đồng, SLA, bằng chứng kiểm soát
Đào tạo	Nội dung, danh sách tham dự, kết quả kiểm tra
Giám sát	Nhật ký, cảnh báo, ticket xử lý và báo cáo định kỳ

Hồ sơ phải phản ánh hoạt động thực tế. Việc soạn chính sách nhưng không có bằng chứng vận hành có thể tạo cảm giác tuân thủ trên giấy nhưng không giảm được rủi ro.

9. Thực hiện đánh giá khoảng cách và lập kế hoạch khắc phục

Sau khi xác định phạm vi, doanh nghiệp cần đối chiếu yêu cầu áp dụng với kiểm soát hiện tại.

Đánh giá khoảng cách nên thực hiện theo ba lớp:

Lớp pháp lý: Doanh nghiệp đã xác định đầy đủ nghĩa vụ chưa?
Lớp quản trị: Đã có chính sách, trách nhiệm và quy trình chưa?
Lớp kỹ thuật: Các kiểm soát có được cấu hình và vận hành hiệu quả không?

Mỗi thiếu sót nên được ghi nhận cùng:

Hệ thống hoặc quy trình bị ảnh hưởng.
Nghĩa vụ liên quan.
Rủi ro kinh doanh.
Mức độ ưu tiên.
Người chịu trách nhiệm.
Hạn hoàn thành.
Bằng chứng cần cung cấp khi đóng hạng mục.

Doanh nghiệp không nhất thiết phải xử lý mọi vấn đề cùng lúc. Nên ưu tiên các thiếu sót có thể dẫn đến mất quyền kiểm soát tài khoản, rò rỉ dữ liệu, gián đoạn hệ thống quan trọng hoặc không thể phát hiện và xử lý sự cố.

Đối với doanh nghiệp vừa và nhỏ chưa có đội ngũ chuyên trách, có thể bắt đầu bằng hoạt động kiểm tra an toàn, an ninh mạng cho doanh nghiệp để xác định các khoảng trống ưu tiên trước khi đầu tư thêm công nghệ.

Checklist tuân thủ Luật An ninh mạng 2025 cho doanh nghiệp

Doanh nghiệp có thể sử dụng checklist sau để tự rà soát bước đầu:

Đã xác định văn bản và nghĩa vụ áp dụng.
Đã thành lập nhóm phụ trách tuân thủ.
Đã kiểm kê hệ thống, ứng dụng, dữ liệu và nhà cung cấp.
Mỗi hệ thống quan trọng đã có người chịu trách nhiệm.
Đã ban hành chính sách an ninh mạng.
Đã áp dụng quản lý tài khoản và quyền truy cập.
Tài khoản quan trọng đã sử dụng xác thực đa yếu tố.
Đã có quy trình quản lý lỗ hổng và vá lỗi.
Hệ thống quan trọng được đánh giá bảo mật định kỳ.
Đã có cơ chế sao lưu và kiểm tra khôi phục.
Đã ghi nhật ký trên các hệ thống quan trọng.
Có người hoặc đơn vị theo dõi cảnh báo.
Đã xây dựng và diễn tập kế hoạch ứng phó sự cố.
Hợp đồng nhà cung cấp đã có điều khoản bảo mật.
Nhân viên đã được đào tạo theo vai trò.
Đã lập kế hoạch khắc phục và theo dõi đến khi hoàn thành.
Hồ sơ tuân thủ được quản lý tập trung và cập nhật định kỳ.

Checklist này chỉ giúp nhận diện nhanh mức độ sẵn sàng. Kết quả đánh dấu “Có” cần được hỗ trợ bằng tài liệu, cấu hình, nhật ký hoặc bằng chứng vận hành tương ứng.

5 hiểu sai khi tuân thủ Luật An ninh mạng 2025

1. Có ISO 27001 nghĩa là đã tuân thủ luật

ISO 27001 có thể cung cấp nền tảng quản lý an toàn thông tin, nhưng doanh nghiệp vẫn phải đối chiếu từng nghĩa vụ pháp lý áp dụng.

2. Đã Pentest thì không cần đánh giá tuân thủ

Pentest tập trung vào khả năng khai thác điểm yếu kỹ thuật. Đánh giá tuân thủ còn bao gồm quản trị, quy trình, dữ liệu, nhà cung cấp, đào tạo và bằng chứng.

3. Có firewall và antivirus là đủ

Các công cụ này không thay thế quản lý tài khoản, giám sát nhật ký, bảo vệ dữ liệu, ứng phó sự cố và kiểm soát bên thứ ba.

4. Thuê cloud thì trách nhiệm thuộc về nhà cung cấp

Cloud thường vận hành theo mô hình trách nhiệm chia sẻ. Doanh nghiệp vẫn phải kiểm soát tài khoản, cấu hình, dữ liệu và cách sử dụng dịch vụ.

5. Hoàn thành dự án một lần là có thể duy trì tuân thủ

Hệ thống, dữ liệu, nhân sự, nhà cung cấp và mối đe dọa đều thay đổi. Doanh nghiệp cần đánh giá định kỳ và rà soát sau các thay đổi quan trọng.

Tuân thủ Luật An ninh mạng 2025 không phải là mua một sản phẩm hay hoàn thành một bộ tài liệu. Đây là quá trình liên tục gồm xác định phạm vi, quản lý tài sản, bảo vệ dữ liệu, kiểm soát truy cập, giám sát, ứng phó sự cố, quản lý nhà cung cấp và duy trì bằng chứng.

Doanh nghiệp nên bắt đầu bằng đánh giá khoảng cách để biết hệ thống hiện tại đang thiếu gì, rủi ro nào cần ưu tiên và biện pháp nào thực sự cần đầu tư. Cách tiếp cận này giúp tránh tình trạng mua nhiều công cụ nhưng vẫn không thể chứng minh mức độ tuân thủ hoặc khả năng bảo vệ hệ thống.

IPSIP có thể hỗ trợ doanh nghiệp rà soát hiện trạng, đánh giá các khoảng trống về quản trị và kỹ thuật, xác định thứ tự ưu tiên và xây dựng lộ trình cải thiện phù hợp với quy mô hoạt động. Doanh nghiệp có thể đặt lịch trao đổi với IPSIP để xác định phạm vi đánh giá ban đầu.

-------------

Nguồn tham khảo