TÌNH HUỐNG 990: CÔNG TY BỊ HACK DỮ LIỆU

TÌNH HUỐNG 990: CÔNG TY BỊ HACK DỮ LIỆU

Trong bối cảnh chuyển đổi số, dữ liệu khách hàng, thông tin tài chính và hệ thống quản trị nội bộ trở thành tài sản quan trọng của doanh nghiệp. Tuy nhiên, chỉ một cuộc tấn công mạng cũng có thể khiến toàn bộ hệ thống bị tê liệt, dữ liệu bị đánh cắp hoặc phát tán, gây thiệt hại về tài chính và uy tín. Đáng lo ngại hơn, nếu doanh nghiệp phụ thuộc hoàn toàn vào một cá nhân hoặc một bộ phận kỹ thuật để xử lý sự cố, khủng hoảng có thể kéo dài do thiếu cơ chế phối hợp và tự vận hành.

Hãy cùng chuyên gia ThS. Nguyễn Hữu Long phân tích một tình huống thực tế dưới đây dưới góc độ pháp lý liên quan để làm rõ quy trình, từ đó đưa ra bài học hữu ích.

Tóm tắt tình huống thực tế

Công ty A tại tỉnh B hoạt động trong lĩnh vực thương mại điện tử. Trong một lần bị tin tặc tấn công, hệ thống quản lý khách hàng và dữ liệu giao dịch của công ty bị xâm nhập. Một số thông tin cá nhân của khách hàng có nguy cơ bị đánh cắp, trong khi hệ thống bán hàng và quản lý nội bộ tạm thời ngừng hoạt động.

Ban lãnh đạo lúng túng vì nhân viên kỹ thuật không đủ thẩm quyền quyết định các biện pháp xử lý, bộ phận kinh doanh không biết cách phối hợp, còn người đứng đầu phải trực tiếp giải quyết từng vấn đề. Sự thiếu kết nối giữa các bộ phận khiến việc khắc phục kéo dài, khách hàng mất niềm tin và nguy cơ khủng hoảng ngày càng nghiêm trọng.

Vấn đề đặt ra không chỉ là khôi phục dữ liệu mà còn là xây dựng một đội ngũ có khả năng chủ động ứng phó, phối hợp và duy trì hoạt động ngay cả khi lãnh đạo không trực tiếp điều hành.

Góc nhìn pháp lý – “Lá chắn vững chắc”

Theo Luật An ninh mạng năm 2025, doanh nghiệp phải chú trọng bảo đảm an ninh mạng trong hoạt động của mình. Đặc biệt, khoản 2 và khoản 3 Điều 41 Luật An ninh mạng năm 2025 quy định doanh nghiệp cung cấp dịch vụ trên không gian mạng phải xây dựng phương án ứng cứu khẩn cấp; khi xảy ra sự cố an ninh mạng phải ngay lập tức triển khai phương án và báo cáo ngay với lực lượng chuyên trách bảo vệ an ninh mạng theo quy định.

Bên cạnh đó, Luật Bảo vệ dữ liệu cá nhân năm 2025 cũng đặt ra trách nhiệm bảo vệ dữ liệu cá nhân. Theo Điều 23 Luật Bảo vệ dữ liệu cá nhân năm 2025, khi phát hiện vi phạm có thể gây ra những hậu quả thuộc trường hợp luật định, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện vi phạm. Đồng thời, phải lập biên bản xác nhận và phối hợp xử lý.

Như vậy, doanh nghiệp không thể chỉ khắc phục sự cố về mặt kỹ thuật mà bỏ qua trách nhiệm pháp lý liên quan đến dữ liệu cá nhân. Việc chậm thông báo, thiếu hồ sơ ghi nhận sự cố hoặc không có phương án ứng cứu phù hợp có thể làm phát sinh thêm rủi ro pháp lý.

Góc nhìn Tâm lý – Giáo dục – Quản trị – “Chìa khóa nhân văn”

Trong khủng hoảng an ninh mạng, tâm lý hoang mang, đổ lỗi và né tránh trách nhiệm thường khiến quá trình xử lý bị đình trệ. Nếu mọi quyết định đều tập trung vào người đứng đầu, doanh nghiệp dễ rơi vào tình trạng phụ thuộc cá nhân, thiếu khả năng tự vận hành.

Do đó, cần chuyển từ mô hình quản trị phụ thuộc lãnh đạo sang mô hình đội ngũ tự vận hành, dựa trên ba nguyên tắc: rõ người – rõ việc – rõ trách nhiệm.

Mỗi nhân viên cần được giáo dục về nhận diện nguy cơ an ninh mạng, bảo mật tài khoản và quy trình báo cáo sự cố. Đồng thời, doanh nghiệp phải xây dựng môi trường phối hợp không đổ lỗi, khuyến khích nhân viên báo cáo sớm và chủ động xử lý trong phạm vi thẩm quyền được giao.

Giải pháp toàn diện của Chuyên gia

Để kiểm soát khủng hoảng và hình thành đội ngũ tự vận hành, doanh nghiệp cần triển khai quy trình gồm 5 bước:

Bước 1 – Phân công đội ngũ ứng cứu: Thành lập nhóm phụ trách gồm lãnh đạo điều phối, bộ phận công nghệ thông tin xử lý kỹ thuật, pháp chế kiểm soát nghĩa vụ pháp lý, truyền thông tiếp nhận và cung cấp thông tin, nhân sự hỗ trợ nội bộ.

Bước 2 – Thiết lập quy trình phản ứng: Khi phát hiện bị tấn công, nhân viên phải báo cáo ngay, bộ phận kỹ thuật cô lập hệ thống bị ảnh hưởng, bảo toàn chứng cứ và kiểm tra nguy cơ dữ liệu bị xâm nhập.

Bước 3 – Phân quyền và cơ chế ra quyết định: Quy định rõ ai có quyền khóa tài khoản, ngắt kết nối, kích hoạt hệ thống dự phòng, thông báo cơ quan chức năng và phê duyệt thông tin công bố. Những quyết định quan trọng phải có cơ chế kiểm soát và báo cáo.

Bước 4 – Khôi phục và duy trì hoạt động: Sử dụng dữ liệu sao lưu an toàn, thay đổi thông tin xác thực bị lộ, kiểm tra lỗ hổng và từng bước khôi phục hệ thống, bảo đảm hoạt động thiết yếu không bị gián đoạn kéo dài.

Bước 5 – Đào tạo và đánh giá khả năng tự vận hành: Tổ chức diễn tập định kỳ, xây dựng quy trình xử lý bằng văn bản, đào tạo nhân sự thay thế và đánh giá khả năng giải quyết sự cố mà không cần lãnh đạo trực tiếp can thiệp vào từng công việc.

Góc nhìn chuyên gia:

Bài viết này được xây dựng dựa trên sự tham vấn, tư vấn chuyên môn của ThS. Nguyễn Hữu Long – Chuyên gia Lãnh đạo, Pháp lý, Tâm lý & Giáo dục. Với tư duy tích hợp đa ngành, chúng tôi không chỉ mang lại lá chắn pháp lý vững chắc mà còn cung cấp giải pháp quản trị rủi ro và thấu cảm tâm lý toàn diện vì sự phát triển bền vững của cộng đồng.

Nếu bạn hoặc tổ chức của bạn đang gặp phải những vướng mắc về pháp lý, hãy liên hệ ngay với chúng tôi qua hotline hoặc để lại câu hỏi cho chuyên gia tại:

Website: https://tuvanphapluattamlygiaoduc.vn/gui-cau-hoi-den-chuyen-gia/

Hotline: 0898.627.762 để được hỗ trợ kịp thời.