TÌNH HUỐNG 936: CÔNG TY BỊ HACK HỆ THỐNG?

Trong hoạt động kinh doanh, hệ thống công nghệ thông tin lưu trữ nhiều dữ liệu quan trọng như thông tin khách hàng, hợp đồng, hồ sơ nhân sự và dữ liệu giao dịch. Khi hệ thống bị tin tặc xâm nhập, doanh nghiệp không chỉ đối mặt với nguy cơ gián đoạn hoạt động mà còn có thể chịu thiệt hại tài chính, mất uy tín và phát sinh trách nhiệm pháp lý. Vì vậy, xử lý sự cố an ninh mạng cần được xem là một phần quan trọng trong quản trị rủi ro, chứ không đơn thuần là vấn đề kỹ thuật.

1. Tóm tắt tình huống

Công ty A hoạt động trong lĩnh vực thương mại điện tử và quản lý phần lớn dữ liệu kinh doanh trên hệ thống trực tuyến. Một ngày, nhân viên phát hiện hệ thống không thể truy cập, một số dữ liệu bị mã hóa và xuất hiện thông báo yêu cầu công ty trả tiền để khôi phục dữ liệu. Qua kiểm tra ban đầu, bộ phận kỹ thuật nghi ngờ tin tặc đã xâm nhập hệ thống thông qua tài khoản đăng nhập của nhân viên.

Sự cố khiến hoạt động bán hàng bị đình trệ, một số giao dịch không thể xử lý và công ty lo ngại thông tin khách hàng có thể đã bị đánh cắp. Ban lãnh đạo lúng túng trong việc lựa chọn phương án khôi phục hệ thống, thông báo cho khách hàng và xác định trách nhiệm của các bộ phận liên quan.

Vấn đề đặt ra là doanh nghiệp cần xử lý sự cố như thế nào, phải thực hiện những nghĩa vụ pháp lý nào và cần làm gì để hạn chế nguy cơ sự cố tương tự tái diễn.

2. Phân tích dưới góc độ pháp lý

2.1. Trách nhiệm bảo đảm an ninh mạng của doanh nghiệp

Theo Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ ngày 01/7/2026, hoạt động bảo vệ an ninh mạng được điều chỉnh theo khuôn khổ pháp luật mới. Do đó, khi xảy ra sự cố trong tháng 10/2026, doanh nghiệp cần đối chiếu và thực hiện theo quy định của luật này cùng các văn bản hướng dẫn có liên quan, thay vì chỉ dựa vào những quy định trước đây.

Trong tình huống trên, việc hệ thống bị xâm nhập cho thấy công ty cần rà soát các biện pháp bảo vệ tài khoản, kiểm soát quyền truy cập, sao lưu dữ liệu và giám sát hoạt động bất thường. Tuy nhiên, chỉ từ việc hệ thống bị tấn công thì chưa thể kết luận ngay doanh nghiệp đã vi phạm pháp luật. Cần xác định nguyên nhân, mức độ thiệt hại, biện pháp bảo vệ đã áp dụng và việc công ty thực hiện các nghĩa vụ liên quan có đầy đủ hay không.

Nếu có dấu hiệu tội phạm công nghệ cao, xâm nhập trái phép hoặc hành vi chiếm đoạt dữ liệu, doanh nghiệp cần bảo toàn chứng cứ và phối hợp với cơ quan có thẩm quyền. Công ty không nên tự ý xóa toàn bộ nhật ký hệ thống, định dạng thiết bị hoặc thực hiện những thao tác có thể làm mất dấu vết phục vụ việc xác minh.

2.2. Trách nhiệm khi dữ liệu cá nhân bị xâm phạm

Một vấn đề quan trọng khác là nguy cơ thông tin khách hàng bị đánh cắp. Nếu dữ liệu bị ảnh hưởng bao gồm họ tên, số điện thoại, địa chỉ, thông tin tài khoản hoặc các thông tin có khả năng nhận diện cá nhân, doanh nghiệp cần xem xét trách nhiệm theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026, và Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành luật này.

Luật Bảo vệ dữ liệu cá nhân quy định trách nhiệm của các bên tham gia xử lý dữ liệu, đồng thời nghiêm cấm hành vi chiếm đoạt, cố ý làm lộ hoặc làm mất dữ liệu cá nhân trái pháp luật. Tùy tính chất, mức độ và hậu quả của hành vi vi phạm, tổ chức có thể bị xử phạt hành chính, phải bồi thường thiệt hại hoặc chịu các trách nhiệm pháp lý khác theo quy định.

Trong trường hợp này, công ty cần xác minh rõ dữ liệu nào bị truy cập, sao chép hoặc phát tán; dữ liệu đó có phải dữ liệu cá nhân hay không; và vai trò pháp lý của công ty trong quá trình xử lý dữ liệu. Nếu phát sinh nghĩa vụ thông báo sự cố hoặc thực hiện các biện pháp bảo vệ chủ thể dữ liệu, công ty phải thực hiện theo đúng điều kiện, trình tự và thời hạn pháp luật quy định.

Đáng lưu ý, không phải mọi sự cố tấn công hệ thống đều đồng nghĩa với việc dữ liệu cá nhân đã bị rò rỉ. Doanh nghiệp cần dựa trên kết quả kiểm tra và chứng cứ kỹ thuật để xác định phạm vi ảnh hưởng, tránh đưa ra thông báo thiếu căn cứ hoặc che giấu thông tin đã được xác minh.

2.3. Trách nhiệm đối với khách hàng, đối tác và thiệt hại phát sinh

Nếu sự cố khiến công ty không thể thực hiện đơn hàng, chậm giao hàng hoặc vi phạm nghĩa vụ hợp đồng, doanh nghiệp cần rà soát từng hợp đồng để xác định trách nhiệm. Việc bị tin tặc tấn công không đương nhiên giúp doanh nghiệp được miễn trách nhiệm đối với mọi thiệt hại.

Chẳng hạn, nếu công ty không giao hàng đúng thời hạn vì hệ thống bị tấn công, cần xem xét nguyên nhân trực tiếp, mức độ ảnh hưởng, các biện pháp khắc phục mà công ty đã thực hiện và điều khoản hợp đồng liên quan. Việc có được miễn trách nhiệm hay không phải được đánh giá theo quy định pháp luật áp dụng và tình tiết cụ thể của vụ việc.

Đối với khách hàng, doanh nghiệp cần chủ động thông tin về tình trạng dịch vụ, phương án xử lý giao dịch bị gián đoạn và những biện pháp cần thiết để bảo vệ tài khoản. Nếu có căn cứ cho thấy khách hàng chịu thiệt hại do hành vi vi phạm nghĩa vụ của công ty, trách nhiệm bồi thường cần được xem xét theo quy định pháp luật tương ứng.

Như vậy, khi xảy ra sự cố, doanh nghiệp phải xử lý đồng thời ba vấn đề: khôi phục hệ thống, bảo vệ dữ liệu và giải quyết các nghĩa vụ phát sinh với khách hàng, đối tác. Việc chỉ tập trung khôi phục hoạt động kỹ thuật mà bỏ qua các nghĩa vụ pháp lý có thể khiến khủng hoảng trở nên nghiêm trọng hơn.

3. Góc nhìn từ tâm lý học, giáo dục và quản trị

Từ góc độ tâm lý học, sự cố an ninh mạng thường tạo ra áp lực lớn đối với ban lãnh đạo và nhân viên. Khi hệ thống ngừng hoạt động, doanh nghiệp có thể chịu áp lực từ khách hàng, đối tác và các mục tiêu doanh thu. Nếu người quản lý phản ứng nóng vội, đổ lỗi cho nhân viên hoặc che giấu thông tin, việc xử lý khủng hoảng có thể thiếu thống nhất và làm giảm niềm tin trong nội bộ.

Dưới góc độ giáo dục, an ninh mạng không chỉ là trách nhiệm của bộ phận công nghệ thông tin. Nhân viên cần được hướng dẫn nhận diện thư điện tử giả mạo, bảo vệ mật khẩu, sử dụng xác thực nhiều lớp và báo cáo kịp thời khi phát hiện dấu hiệu bất thường. Một thao tác thiếu thận trọng của cá nhân có thể tạo ra lỗ hổng ảnh hưởng đến toàn bộ doanh nghiệp.

Từ góc độ quản trị, sự cố cho thấy doanh nghiệp cần có kế hoạch ứng phó được chuẩn bị trước, trong đó xác định rõ người có thẩm quyền ra quyết định, bộ phận phụ trách kỹ thuật, người tiếp nhận thông tin từ khách hàng và đầu mối phối hợp với cơ quan chức năng.

An ninh mạng không chỉ là việc ngăn chặn các cuộc tấn công, mà còn là khả năng phát hiện, ứng phó và phục hồi hoạt động khi rủi ro xảy ra. Doanh nghiệp có hệ thống quản trị rủi ro tốt sẽ giảm được thiệt hại và hạn chế tình trạng lúng túng trong khủng hoảng.

4. Giải pháp xử lý và phòng ngừa

Thứ nhất, khoanh vùng và kiểm soát sự cố ngay lập tức. Công ty cần phối hợp với bộ phận kỹ thuật hoặc đơn vị chuyên môn để xác định hệ thống bị ảnh hưởng, cô lập các thiết bị hoặc tài khoản có dấu hiệu bị xâm nhập và ngăn chặn nguy cơ tấn công lan rộng. Việc ngắt kết nối, khôi phục hay tắt hệ thống cần được thực hiện có kiểm soát để tránh làm mất chứng cứ.

Thứ hai, bảo toàn chứng cứ và xác định phạm vi thiệt hại. Doanh nghiệp cần lưu giữ nhật ký truy cập, thông báo tấn công, dữ liệu liên quan và các tài liệu kỹ thuật cần thiết. Đồng thời, cần xác định nguyên nhân sự cố, thời điểm bị xâm nhập, loại dữ liệu bị ảnh hưởng và khả năng thông tin đã bị sao chép hoặc phát tán.

Thứ ba, thực hiện nghĩa vụ pháp lý liên quan. Công ty cần rà soát các quy định về an ninh mạng, bảo vệ dữ liệu cá nhân và những nghĩa vụ phát sinh theo hợp đồng. Nếu thuộc trường hợp phải thông báo hoặc phối hợp với cơ quan có thẩm quyền, doanh nghiệp cần thực hiện đúng trình tự, thời hạn và yêu cầu pháp luật hiện hành.

Thứ tư, khôi phục hệ thống một cách an toàn. Công ty nên sử dụng bản sao lưu đáng tin cậy, kiểm tra mã độc và xác minh tính toàn vẹn của dữ liệu trước khi đưa hệ thống trở lại hoạt động. Việc khôi phục không nên chỉ nhằm đưa hệ thống lên mạng nhanh nhất có thể, bởi nếu lỗ hổng ban đầu chưa được xử lý, tin tặc có thể tiếp tục xâm nhập.

Thứ năm, truyền thông minh bạch và có trách nhiệm. Ban lãnh đạo cần thống nhất đầu mối phát ngôn, cập nhật thông tin phù hợp với mức độ đã xác minh và hướng dẫn khách hàng thực hiện các biện pháp bảo vệ tài khoản khi cần thiết. Công ty không nên phủ nhận sự cố khi chưa có căn cứ, nhưng cũng không nên công bố thông tin chưa được kiểm chứng gây hoang mang.

Thứ sáu, hoàn thiện hệ thống phòng ngừa lâu dài. Doanh nghiệp cần sao lưu dữ liệu định kỳ, phân quyền truy cập theo nhiệm vụ, sử dụng xác thực nhiều lớp, cập nhật phần mềm, kiểm tra lỗ hổng và tổ chức diễn tập ứng phó sự cố. Đồng thời, cần đánh giá định kỳ nhà cung cấp dịch vụ công nghệ và quy định rõ trách nhiệm bảo vệ dữ liệu trong các hợp đồng liên quan.

5. Quan điểm chuyên gia

Theo quan điểm chuyên gia, doanh nghiệp không nên xem việc bị tấn công mạng chỉ là một sự cố kỹ thuật có thể giải quyết bằng cách thuê đơn vị sửa chữa. Đây còn là vấn đề quản trị rủi ro, bảo vệ dữ liệu và duy trì niềm tin của khách hàng.

Trong thời gian đầu, ưu tiên của doanh nghiệp phải là ngăn chặn sự cố lan rộng, bảo vệ dữ liệu và duy trì những hoạt động thiết yếu. Sau khi tình hình được kiểm soát, công ty cần đánh giá thiệt hại, xác định nguyên nhân và rà soát trách nhiệm của các bên liên quan. Việc tìm kiếm nguyên nhân không nên chỉ nhằm quy lỗi cho một nhân viên, mà phải hướng đến khắc phục những điểm yếu trong quy trình và hệ thống quản lý.

Về lâu dài, doanh nghiệp nên xây dựng kế hoạch liên tục kinh doanh và phục hồi sau thảm họa, xác định những hệ thống quan trọng cần khôi phục trước, nguồn lực dự phòng và phương án vận hành khi dịch vụ trực tuyến bị gián đoạn. Các biện pháp này cần được kiểm tra định kỳ để bảo đảm có thể áp dụng trong thực tế.

Một doanh nghiệp có khả năng phục hồi tốt không nhất thiết là doanh nghiệp chưa từng gặp sự cố, mà là doanh nghiệp biết chuẩn bị trước, ứng phó có trách nhiệm và rút kinh nghiệm sau mỗi lần khủng hoảng.

Kết luận

Khi hệ thống bị tin tặc xâm nhập, doanh nghiệp cần nhanh chóng kiểm soát sự cố, bảo toàn chứng cứ, xác định phạm vi thiệt hại và khôi phục hoạt động an toàn. Đồng thời, công ty phải rà soát nghĩa vụ theo pháp luật về an ninh mạng, bảo vệ dữ liệu cá nhân và các hợp đồng có liên quan. Về lâu dài, việc đầu tư cho công nghệ bảo mật, đào tạo nhân viên và xây dựng kế hoạch ứng phó là điều kiện quan trọng để hạn chế rủi ro, bảo vệ quyền lợi của khách hàng và duy trì hoạt động kinh doanh bền vững.

Nếu bạn hoặc tổ chức của bạn đang gặp phải những vướng mắc tương tự về đất đai hoặc học đường, hãy liên hệ ngay với chúng tôi qua hotline hoặc để lại câu hỏi tại hệ thống website tuvanphapluattamlygiaoduc.vn hoặc qua số hotline: 0898.627.762 để được hỗ trợ kịp thời.