Dữ liệu doanh nghiệp bao gồm nhiều loại thông tin khác nhau như dữ liệu khách hàng, hồ sơ tài chính, tài liệu nội bộ và các thông tin vận hành mang tính bí mật kinh doanh. Mỗi loại dữ liệu này đều có giá trị riêng và trở thành mục tiêu hấp dẫn đối với các đối tượng tấn công mạng, đặc biệt khi doanh nghiệp đang trong quá trình chuyển đổi số và lưu trữ ngày càng nhiều thông tin trên môi trường trực tuyến.
Khi xảy ra sự cố data breach, tức rò rỉ hoặc mất dữ liệu, doanh nghiệp phải đối mặt với nhiều hệ quả nghiêm trọng. Uy tín thương hiệu bị ảnh hưởng, khách hàng mất niềm tin, và trong nhiều trường hợp doanh nghiệp còn phải chịu trách nhiệm pháp lý nếu dữ liệu bị xử lý sai quy định. Chi phí khắc phục sự cố, từ điều tra nguyên nhân đến khôi phục hệ thống, thường lớn hơn nhiều so với chi phí đầu tư phòng ngừa ban đầu.
Xu hướng tấn công mạng hiện nay tập trung mạnh vào lớp ứng dụng web, nơi doanh nghiệp thường lưu trữ và xử lý dữ liệu trực tiếp. Các hình thức phổ biến bao gồm khai thác lỗ hổng ứng dụng, tấn công từ chối dịch vụ gây gián đoạn truy cập dữ liệu, và các thủ đoạn phishing nhắm vào nhân viên nội bộ. Vì vậy, việc triển khai đồng thời nhiều lớp bảo vệ dữ liệu, từ quy định pháp lý cần tuân thủ đến biện pháp quản trị nội bộ và công nghệ bảo mật ứng dụng web, đã trở thành yêu cầu bắt buộc chứ không còn là lựa chọn.
Bảo vệ dữ liệu không chỉ là yêu cầu về công nghệ mà còn là nghĩa vụ pháp lý. Khung pháp lý về an ninh mạng và dữ liệu tại Việt Nam vừa trải qua một đợt cập nhật lớn trong giai đoạn 2025 đến 2026, doanh nghiệp cần nắm rõ những thay đổi này để tránh áp dụng nhầm văn bản đã hết hiệu lực.
Ngày 10/12/2025, Quốc hội khóa XV thông qua Luật An ninh mạng 2025, số hiệu 116/2025/QH15, gồm 8 chương và 58 điều, tăng 15 điều so với Luật An ninh mạng 2018. Luật này chính thức có hiệu lực từ ngày 01/07/2026 và thay thế đồng thời hai văn bản trước đó là Luật An ninh mạng 2018 (số 24/2018/QH14) và Luật An toàn thông tin mạng 2015 (số 86/2015/QH13). Việc hợp nhất hai luật cũ nhằm khắc phục tình trạng chồng chéo thẩm quyền quản lý giữa Bộ Công an và Bộ Thông tin và Truyền thông trước đây, đồng thời thống nhất khái niệm "an ninh mạng" thay cho "an toàn thông tin mạng".
Doanh nghiệp cung cấp dịch vụ trên không gian mạng tại Việt Nam cần lưu ý các trách nhiệm được kế thừa và mở rộng trong luật mới, bao gồm cảnh báo nguy cơ mất an ninh mạng cho người dùng, xây dựng phương án ứng phó sự cố, và áp dụng giải pháp kỹ thuật để ngăn chặn nguy cơ lộ lọt hoặc mất dữ liệu trong quá trình thu thập, xử lý thông tin.
Nghị định 85/2016/NĐ-CP quy định việc phân loại hệ thống thông tin tại Việt Nam thành 5 cấp độ an toàn, dựa trên mức độ quan trọng và phạm vi ảnh hưởng khi hệ thống gặp sự cố. Theo Phụ lục ban hành kèm theo Thông tư 12/2022/TT-BTTTT hướng dẫn Nghị định 85/2016/NĐ-CP, các hệ thống thông tin cấp 2 (theo khoản 2 Điều 8 Nghị định 85/2016/NĐ-CP), hoặc từ cấp 3 trở lên, phải sử dụng sản phẩm tường lửa ứng dụng web.
Cần lưu ý rằng cả hai văn bản này được ban hành dưới Luật An toàn thông tin mạng 2015, văn bản đã hết hiệu lực từ 01/07/2026 khi Luật An ninh mạng 2025 chính thức áp dụng. Tại thời điểm bài viết này được cập nhật, cơ quan quản lý chưa ban hành nghị định thay thế chính thức cho việc phân loại cấp độ an toàn hệ thống thông tin theo khung pháp lý mới, do đó Nghị định 85/2016/NĐ-CP và Thông tư 12/2022/TT-BTTTT vẫn đang được áp dụng trong giai đoạn chuyển tiếp. Doanh nghiệp có hệ thống thông tin thuộc cấp 2 (theo khoản 2 Điều 8 Nghị định 85/2016/NĐ-CP) hoặc từ cấp 3 trở lên nên chủ động rà soát mức độ tuân thủ hiện tại và theo dõi văn bản hướng dẫn mới khi được ban hành.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và chính thức có hiệu lực từ ngày 01/01/2026. Đây là văn bản cấp luật chuyên biệt đầu tiên của Việt Nam điều chỉnh toàn diện hoạt động thu thập, xử lý và bảo vệ dữ liệu cá nhân, thay thế Nghị định 13/2023/NĐ-CP trước đây. Nghị định 356/2025/NĐ-CP, ban hành ngày 31/12/2025 và có hiệu lực cùng ngày với luật, quy định chi tiết quy trình, thủ tục và biện pháp thi hành.
Doanh nghiệp thu thập dữ liệu khách hàng như thông tin liên hệ, hành vi mua sắm hay dữ liệu sinh trắc học đều thuộc phạm vi điều chỉnh của luật này, không phân biệt quy mô tổ chức. Việc tuân thủ không chỉ giúp doanh nghiệp tránh rủi ro pháp lý mà còn củng cố niềm tin của khách hàng khi giao dịch.
| Văn bản pháp luật | Hiệu lực | Nội dung chính |
| Luật An ninh mạng 2025 (số 116/2025/QH15) | 01/07/2026 | Thay thế Luật An ninh mạng 2018 và Luật An toàn thông tin mạng 2015 |
| Nghị định 85/2016/NĐ-CP và Thông tư 12/2022/TT-BTTTT | Nghị định: 01/07/2016. Thông tư: 01/10/2022 | Phân loại 5 cấp độ an toàn hệ thống thông tin, bắt buộc WAF với hệ thống cấp 2 (theo khoản 2 Điều 8 Nghị định 85/2016/NĐ-CP) hoặc từ cấp 3 trở lên |
| Luật Bảo vệ dữ liệu cá nhân (số 91/2025/QH15) và Nghị định 356/2025/NĐ-CP | 01/01/2026 | Quy định thu thập, xử lý, bảo vệ dữ liệu cá nhân |
| Nghị định 332/2026/NĐ-CP | 19/08/2026 | Kinh doanh sản phẩm, dịch vụ an ninh mạng |
Để đáp ứng các quy định pháp lý nêu trên và giảm thiểu rủi ro rò rỉ dữ liệu, doanh nghiệp cần triển khai đồng bộ nhiều lớp bảo vệ, từ quản trị nội bộ đến công nghệ bảo mật ứng dụng web. Đây là những biện pháp bảo vệ dữ liệu mà bất kỳ tổ chức nào, dù quy mô lớn hay nhỏ, đều nên áp dụng.
Access control là biện pháp giúp doanh nghiệp kiểm soát chặt chẽ ai được phép truy cập vào loại dữ liệu nào, thông qua việc xác thực danh tính và cấp quyền tương ứng cho từng đối tượng sử dụng. Việc phân quyền thường dựa trên vai trò công việc, phòng ban hoặc cấp bậc, đảm bảo mỗi nhân viên chỉ tiếp cận đúng phạm vi dữ liệu cần thiết cho công việc của mình.
Bên cạnh phân quyền, xác thực đa yếu tố (MFA) bổ sung thêm một lớp bảo vệ bằng cách yêu cầu người dùng xác nhận danh tính qua nhiều hình thức, ví dụ mã OTP gửi về điện thoại kết hợp mật khẩu đăng nhập. Doanh nghiệp có thể áp dụng công cụ như SSH Key để bảo vệ quyền truy cập từ xa vào máy chủ, hoặc hệ thống quản lý danh tính tập trung có bật MFA để dễ dàng cấp và thu hồi quyền khi nhân sự thay đổi, hạn chế tối đa nguy cơ lộ lọt dữ liệu do truy cập vượt quyền hoặc tài khoản bị chiếm đoạt.
Mô hình Zero Trust hoạt động dựa trên nguyên tắc không mặc định tin tưởng bất kỳ truy cập nào, kể cả từ bên trong mạng nội bộ. Mọi yêu cầu truy cập dữ liệu đều phải được xác thực và kiểm tra quyền hạn trước khi được chấp thuận. Cách tiếp cận này giúp giảm thiểu rủi ro khi tài khoản nhân viên bị chiếm quyền hoặc khi có thiết bị lạ cố gắng truy cập vào hệ thống chứa dữ liệu quan trọng, và thường được triển khai song song với phân quyền truy cập, MFA để tạo thành một lớp kiểm soát danh tính hoàn chỉnh ngay từ tầng hạ tầng mạng.
Mã hóa dữ liệu là quá trình chuyển đổi thông tin sang dạng không thể đọc được nếu không có khóa giải mã phù hợp. Biện pháp này cần áp dụng ở cả hai trạng thái của dữ liệu, khi lưu trữ trên máy chủ hoặc thiết bị, và khi truyền tải giữa các hệ thống qua mạng. Ngay cả khi dữ liệu bị đánh cắp, việc mã hóa đúng cách sẽ khiến thông tin trở nên vô giá trị đối với kẻ tấn công nếu không sở hữu khóa giải mã.
Sao lưu dữ liệu định kỳ giúp doanh nghiệp khôi phục thông tin nhanh chóng khi xảy ra sự cố như lỗi phần cứng, thao tác nhầm hoặc tấn công mã độc tống tiền. Chiến lược 3-2-1 được nhiều doanh nghiệp áp dụng, bao gồm lưu trữ 3 bản sao dữ liệu, trên 2 loại phương tiện lưu trữ khác nhau, trong đó 1 bản được đặt tại vị trí tách biệt với hệ thống chính. Doanh nghiệp có thể kết hợp lưu trữ cloud storage với sao lưu cục bộ để tăng khả năng phục hồi khi có sự cố xảy ra.
Giám sát liên tục hoạt động truy cập dữ liệu giúp doanh nghiệp phát hiện sớm các hành vi bất thường trước khi chúng gây ra thiệt hại lớn. Việc ghi log đầy đủ thông tin đăng nhập, thời gian truy cập và hành động thực hiện trên hệ thống cũng tạo điều kiện thuận lợi để truy vết khi có sự cố xảy ra. Nếu thiếu cơ chế giám sát, doanh nghiệp thường chỉ phát hiện dữ liệu đã bị rò rỉ sau khi hậu quả đã lan rộng, khiến việc khắc phục trở nên khó khăn và tốn kém hơn nhiều.
Nhiều sự cố rò rỉ dữ liệu xuất phát từ lỗi con người, ví dụ nhân viên bấm vào liên kết lừa đảo hoặc dùng mật khẩu yếu. Doanh nghiệp cần tổ chức đào tạo định kỳ về nhận thức bảo mật, giúp nhân viên nhận diện email lừa đảo, hiểu quy trình xử lý dữ liệu khách hàng đúng quy định, và biết cách báo cáo sự cố kịp thời. Đây là biện pháp có chi phí thấp nhưng hiệu quả giảm rủi ro rõ rệt, đặc biệt phù hợp với doanh nghiệp chưa có đội ngũ bảo mật chuyên trách. Đây cũng là bước chuyển tiếp quan trọng trước khi bước sang lớp phòng thủ ở tầng ứng dụng phần mềm, vì con người chính là người trực tiếp thao tác trên các ứng dụng đó mỗi ngày.
Ở tầng phần mềm, nơi doanh nghiệp trực tiếp xử lý dữ liệu qua website và ứng dụng, hai nhóm rủi ro phổ biến nhất cần được kiểm soát là lỗ hổng khai thác dữ liệu và tấn công làm gián đoạn dịch vụ. SQL injection và XSS là hai trong số các lỗ hổng phổ biến nhất theo danh sách Top 10 OWASP, thường được kẻ tấn công khai thác để đánh cắp trực tiếp dữ liệu từ cơ sở dữ liệu hoặc trình duyệt người dùng. Với SQL Injection, kẻ tấn công chèn mã độc vào các trường nhập liệu để truy vấn trái phép vào cơ sở dữ liệu, trong khi XSS lợi dụng lỗ hổng trên giao diện web để đánh cắp thông tin phiên đăng nhập hoặc dữ liệu cá nhân của người dùng. Tổ chức OWASP, đơn vị phi lợi nhuận chuyên nghiên cứu về an toàn ứng dụng web, thường xuyên cập nhật danh sách lỗ hổng này để giúp doanh nghiệp ưu tiên khắc phục đúng trọng tâm.
Để hình dung rõ hơn mức độ nguy hiểm của lỗ hổng XSS, có thể tham khảo video demo mô phỏng một cuộc tấn công XSS thực tế và cách WAF Free phát hiện, chặn đứng payload độc hại trước khi chạm đến dữ liệu người dùng:
Song song với nguy cơ bị đánh cắp dữ liệu qua lỗ hổng ứng dụng, tấn công DDoS tuy không trực tiếp đánh cắp dữ liệu nhưng có thể khiến hệ thống ngừng hoạt động, khiến doanh nghiệp không thể truy xuất hoặc xử lý dữ liệu kịp thời trong các tình huống quan trọng như giao dịch tài chính hoặc chăm sóc khách hàng. Việc triển khai đồng thời giải pháp ngăn chặn SQL Injection, XSS và giải pháp chống DDoS đa tầng giúp bảo vệ dữ liệu toàn diện ở tầng ứng dụng web, vừa chặn đánh cắp dữ liệu vừa duy trì tính sẵn sàng của hệ thống ngay cả khi đang bị tấn công với lưu lượng lớn.
Button;Bảo vệ ngay;https://partner.vnetwork.vn/?utm_source=google&utm_medium=blog&utm_campaign=waf_free&utm_term=bienphapbaovedulieu;_blank
| Biện pháp | Mục đích chính | Rủi ro nếu bỏ qua |
| Phân quyền truy cập và MFA | Giới hạn phạm vi truy cập theo vai trò, xác thực nhiều lớp | Nhân viên hoặc kẻ tấn công truy cập dữ liệu ngoài phạm vi cho phép |
| Zero Trust | Kiểm soát truy cập không mặc định tin tưởng | Tài khoản bị chiếm quyền dễ dàng lan rộng truy cập |
| Mã hóa dữ liệu | Bảo vệ dữ liệu khi bị đánh cắp | Dữ liệu bị đọc trực tiếp nếu rò rỉ ra ngoài |
| Sao lưu định kỳ | Khôi phục dữ liệu khi có sự cố | Mất dữ liệu vĩnh viễn khi hệ thống hỏng |
| Giám sát truy cập | Phát hiện sớm hành vi bất thường | Phát hiện rò rỉ dữ liệu quá muộn |
| Đào tạo nhân viên | Giảm rủi ro từ lỗi con người | Nhân viên vô tình tạo lỗ hổng cho tấn công lừa đảo |
| Bảo mật lớp ứng dụng web | Chặn đánh cắp dữ liệu và duy trì tính sẵn sàng hệ thống | Dữ liệu bị đánh cắp hoặc hệ thống ngừng hoạt động, gián đoạn giao dịch |
Áp lực bảo vệ dữ liệu không chỉ đến từ nguy cơ tấn công mà còn từ chi phí đầu tư, đặc biệt với nhóm doanh nghiệp vừa và nhỏ. Theo khảo sát do VNETWORK công bố trên VietNamNet năm 2026, có tới 42,1% doanh nghiệp gặp khó khăn về ngân sách dành cho bảo mật, phần lớn thuộc nhóm doanh nghiệp quy mô nhỏ. Trong khi đó, số lượng sự kiện tấn công mạng nhắm vào doanh nghiệp trong nước vẫn tiếp tục gia tăng, khiến bài toán cân đối giữa ngân sách và mức độ bảo vệ dữ liệu trở nên cấp thiết hơn bao giờ hết.
Đáng chú ý, ngay cả những doanh nghiệp đã chi ngân sách cho bảo mật cũng chưa chắc đạt được mức độ bảo vệ tương xứng. Theo báo cáo "Toàn cảnh An ninh mạng Doanh nghiệp Việt Nam 2026" của VNETWORK, được Tuổi Trẻ trích dẫn, chỉ khoảng 33% doanh nghiệp Việt Nam có hệ thống bảo mật nhiều lớp, trong khi tấn công DDoS đã ảnh hưởng đến 57% doanh nghiệp tham gia khảo sát trong năm 2025. Điều này cho thấy vấn đề không chỉ nằm ở việc có đầu tư cho bảo mật hay không, mà còn ở việc đầu tư đúng chỗ, đúng lớp phòng thủ mà doanh nghiệp đang thiếu.
Thực tế cho thấy chi phí bảo vệ dữ liệu không nhất thiết phải tỷ lệ thuận với quy mô đầu tư. Nhiều giải pháp bảo mật hiện nay được thiết kế theo mô hình miễn phí hoặc chi phí thấp, giúp doanh nghiệp nhỏ tiếp cận công nghệ bảo vệ dữ liệu ngay từ giai đoạn đầu mà không cần đội ngũ kỹ thuật chuyên trách hay hạ tầng phức tạp. Đây cũng là hướng tiếp cận được nhiều đơn vị trong ngành an ninh mạng tại Việt Nam áp dụng nhằm hỗ trợ cộng đồng doanh nghiệp vừa và nhỏ vượt qua rào cản ngân sách.
Để giúp doanh nghiệp giải bài toán chi phí nêu trên, đồng thời góp phần bảo vệ dữ liệu ở tầng ứng dụng web, VNETWORK cung cấp Tường lửa ứng dụng web WAF Free, giải pháp khởi đầu miễn phí trong hệ sinh thái bảo mật Web/App/API - VNIS, phù hợp với doanh nghiệp SME muốn tiếp cận công nghệ này mà không cần ngân sách lớn hay đội ngũ kỹ thuật chuyên trách.
Các điểm nổi bật của WAF Free bao gồm:
Doanh nghiệp có thể bắt đầu bảo vệ website và ứng dụng ngay hôm nay mà không tốn chi phí, chỉ với 3 bước kích hoạt đơn giản cùng WAF Free.
Button;Trải nghiệm ngay;https://partner.vnetwork.vn/?utm_source=google&utm_medium=blog&utm_campaign=waf_free&utm_term=bienphapbaovedulieu;_blank
Bảo vệ dữ liệu doanh nghiệp là một quá trình kết hợp đồng bộ giữa tuân thủ pháp lý, biện pháp quản trị nội bộ và công nghệ bảo mật ứng dụng web. Doanh nghiệp không cần triển khai tất cả cùng lúc, mà nên bắt đầu từ những biện pháp chi phí thấp, hiệu quả cao như phân quyền truy cập và sao lưu định kỳ, sau đó bổ sung lớp bảo vệ ứng dụng web khi hệ thống mở rộng. Trải nghiệm ngay WAF Free để bắt đầu hành trình bảo vệ dữ liệu doanh nghiệp một cách đơn giản và không tốn chi phí.
Không có một biện pháp duy nhất phù hợp cho mọi doanh nghiệp, nhưng phân quyền truy cập và sao lưu dữ liệu định kỳ thường được ưu tiên triển khai đầu tiên vì chi phí thấp và hiệu quả giảm rủi ro rõ rệt. Bên cạnh đó, doanh nghiệp có website hoặc ứng dụng phục vụ khách hàng nên cân nhắc thêm lớp bảo vệ ở tầng ứng dụng web.
Mã hóa dữ liệu hiện đại được tối ưu để giảm thiểu tác động đến hiệu suất hệ thống. Với hạ tầng phần cứng và thuật toán mã hóa ngày nay, độ trễ phát sinh thường không đáng kể so với lợi ích bảo vệ dữ liệu mà biện pháp này mang lại.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ 01/01/2026, áp dụng cho mọi tổ chức, cá nhân thu thập và xử lý dữ liệu cá nhân tại Việt Nam, không giới hạn ở quy mô doanh nghiệp. Do đó, doanh nghiệp có thu thập dữ liệu khách hàng dưới bất kỳ hình thức nào đều cần rà soát mức độ tuân thủ của mình theo luật này và Nghị định 356/2025/NĐ-CP hướng dẫn thi hành.
Luật An ninh mạng 2025 (số 116/2025/QH15), có hiệu lực từ 01/07/2026, hợp nhất Luật An ninh mạng 2018 và Luật An toàn thông tin mạng 2015 thành một văn bản thống nhất, đồng thời làm rõ hơn trách nhiệm của doanh nghiệp trong bảo vệ dữ liệu và ứng phó sự cố an ninh mạng. Doanh nghiệp đang áp dụng quy định theo hai luật cũ cần cập nhật sang khung pháp lý mới này.
Firewall truyền thống chủ yếu kiểm soát lưu lượng ở tầng mạng, trong khi tường lửa ứng dụng web tập trung phân tích và lọc các yêu cầu ở tầng ứng dụng, nơi các lỗ hổng như SQL Injection hay XSS thường bị khai thác để đánh cắp dữ liệu. Hai lớp bảo vệ này thường được triển khai song song để tăng hiệu quả phòng thủ tổng thể.
Tần suất sao lưu phụ thuộc vào mức độ thay đổi và tầm quan trọng của dữ liệu. Với dữ liệu giao dịch hoặc dữ liệu khách hàng cập nhật liên tục, doanh nghiệp nên sao lưu hàng ngày, trong khi dữ liệu ít biến động có thể sao lưu theo tuần, miễn là vẫn tuân thủ nguyên tắc lưu trữ nhiều bản sao ở các vị trí khác nhau.