TÌNH HUỐNG SỐ 830: CÔNG TY BỊ HACK – XỬ LÝ KHỦNG HOẢNG AN NINH MẠNG NHƯ THẾ NÀO?

TÌNH HUỐNG SỐ 830: CÔNG TY BỊ HACK – XỬ LÝ KHỦNG HOẢNG AN NINH MẠNG NHƯ THẾ NÀO?

Trong thời đại chuyển đổi số, dữ liệu khách hàng, hồ sơ hợp đồng, thông tin tài chính và hệ thống vận hành đã trở thành những tài sản quan trọng của doanh nghiệp. Tuy nhiên, càng phụ thuộc vào công nghệ, doanh nghiệp càng phải đối mặt với nguy cơ bị tấn công mạng, đánh cắp dữ liệu, mã hóa hệ thống hoặc chiếm quyền kiểm soát tài khoản.

Điều đáng lo ngại là một cuộc tấn công mạng không chỉ gây thiệt hại về kỹ thuật và tài chính mà còn có thể tạo ra khủng hoảng pháp lý, khủng hoảng truyền thông và khủng hoảng niềm tin. Nếu xử lý chậm trễ hoặc thiếu minh bạch, doanh nghiệp có thể phải đối mặt với những hậu quả nghiêm trọng hơn cả sự cố ban đầu.

Hãy cùng chuyên gia ThS. Nguyễn Hữu Long phân tích một tình huống thực tế dưới đây để tìm ra giải pháp vẹn toàn cho vấn đề này.

I. TÓM TẮT TÌNH HUỐNG THỰC TẾ

Công ty Minh Phát hoạt động trong lĩnh vực phân phối thiết bị điện tử. Để quản lý hoạt động kinh doanh, doanh nghiệp sử dụng hệ thống phần mềm lưu trữ thông tin khách hàng, hợp đồng mua bán, dữ liệu thanh toán và hồ sơ nhân viên.

Một buổi sáng, nhân viên phát hiện hệ thống nội bộ không thể truy cập. Một số tệp dữ liệu bị mã hóa, trong khi tài khoản quản trị xuất hiện những hoạt động đăng nhập bất thường. Không lâu sau, công ty nhận được thông điệp từ đối tượng chưa xác định, yêu cầu thanh toán một khoản tiền để khôi phục dữ liệu và đe dọa công khai thông tin đã đánh cắp.

Qua kiểm tra ban đầu, Minh Phát nghi ngờ dữ liệu khách hàng có thể đã bị truy cập trái phép. Một số khách hàng cũng phản ánh nhận được email đáng ngờ có nội dung liên quan đến giao dịch với công ty.

Sự việc nhanh chóng lan truyền trên mạng xã hội. Nhiều người đặt câu hỏi về mức độ an toàn của thông tin cá nhân, trong khi đối tác lo ngại hoạt động kinh doanh bị gián đoạn.

Vậy doanh nghiệp cần làm gì khi bị hack? Làm thế nào để kiểm soát sự cố an ninh mạng, tuân thủ nghĩa vụ pháp lý và ngăn khủng hoảng lan rộng?

II. GÓC NHÌN PHÁP LÝ – “LÁ CHẮN VỮNG CHẮC”

1. Bị tấn công mạng không chỉ là vấn đề kỹ thuật

Doanh nghiệp không nên xem việc bị hack đơn thuần là sự cố của bộ phận công nghệ thông tin. Nếu hệ thống bị xâm nhập trái phép, dữ liệu bị đánh cắp hoặc hoạt động bị cản trở, sự việc có thể liên quan đến nhiều lĩnh vực pháp luật.

Tại thời điểm năm 2026, doanh nghiệp cần lưu ý Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ ngày 01/7/2026, cùng các quy định pháp luật có liên quan. Tùy tính chất vụ việc, hành vi xâm nhập trái phép, phá hoại hệ thống, chiếm đoạt dữ liệu hoặc sử dụng dữ liệu trái pháp luật có thể bị xử lý theo quy định tương ứng.

Tuy nhiên, việc một công ty bị tấn công không đồng nghĩa công ty đó đương nhiên vi phạm pháp luật. Cần phân biệt giữa doanh nghiệp là nạn nhân của hành vi tấn công và trường hợp doanh nghiệp có thiếu sót trong quản lý, bảo vệ dữ liệu hoặc không thực hiện nghĩa vụ pháp lý của mình.

2. Dữ liệu khách hàng bị lộ có thể kéo theo trách nhiệm pháp lý

Nếu hệ thống Minh Phát lưu trữ thông tin nhận diện khách hàng, số điện thoại, địa chỉ, tài khoản hoặc dữ liệu tài chính, doanh nghiệp cần xác định liệu dữ liệu cá nhân có bị truy cập, sao chép, tiết lộ hoặc sử dụng trái phép hay không.

Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật này là các căn cứ pháp lý quan trọng trong việc xác định quyền, nghĩa vụ và trách nhiệm của các bên liên quan..

Đặc biệt, Điều 23 Luật Bảo vệ dữ liệu cá nhân 2025 quy định về thông báo vi phạm. Theo đó, trong trường hợp phát hiện vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, các chủ thể có trách nhiệm theo luật phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện vi phạm.

Do đó, Minh Phát cần khẩn trương đánh giá bản chất sự cố, loại dữ liệu bị ảnh hưởng, phạm vi tác động và nghĩa vụ thông báo áp dụng. Không nên mặc định mọi cuộc tấn công mạng đều tự động làm phát sinh cùng một nghĩa vụ báo cáo; việc xác định phải dựa trên quy định pháp luật và tình tiết cụ thể.

3. Bảo toàn chứng cứ và phối hợp xử lý sự cố

Khi phát hiện bị hack, doanh nghiệp cần bảo toàn các chứng cứ có thể phục vụ việc xác minh và xử lý vụ việc, bao gồm nhật ký truy cập, cảnh báo bảo mật, email đáng ngờ, thông điệp tống tiền, lịch sử đăng nhập và bản sao dữ liệu liên quan.

Việc xóa toàn bộ dữ liệu, cài đặt lại hệ thống hoặc tự ý thay đổi thiết bị trước khi lưu giữ chứng cứ có thể khiến quá trình xác định nguyên nhân và truy tìm dấu vết tấn công trở nên khó khăn.

Minh Phát nên phối hợp với đơn vị chuyên môn về an ninh mạng và cơ quan có thẩm quyền khi cần thiết. Nếu có dấu hiệu tội phạm, doanh nghiệp cần cân nhắc trình báo để được hướng dẫn xử lý theo quy định. Đồng thời, phải kiểm soát việc chia sẻ dữ liệu trong quá trình điều tra để tránh làm phát sinh thêm nguy cơ lộ lọt thông tin.

4. Thiệt hại và trách nhiệm bồi thường cần được xác định cụ thể

Nếu sự cố làm khách hàng hoặc đối tác chịu thiệt hại, trách nhiệm bồi thường không thể được kết luận chỉ từ việc hệ thống của doanh nghiệp bị tấn công. Cần xem xét nguyên nhân, nghĩa vụ bảo vệ dữ liệu, hành vi của từng bên, mối quan hệ nhân quả và thiệt hại thực tế theo pháp luật áp dụng.

Ngược lại, nếu có căn cứ cho thấy doanh nghiệp không thực hiện nghĩa vụ bảo vệ dữ liệu hoặc xử lý sự cố thiếu trách nhiệm, doanh nghiệp có thể phải đối diện với trách nhiệm pháp lý tương ứng.

Kết luận pháp lý

Minh Phát cần ưu tiên ngăn chặn cuộc tấn công, bảo toàn chứng cứ, xác minh phạm vi dữ liệu bị ảnh hưởng và thực hiện nghĩa vụ thông báo nếu đáp ứng điều kiện luật định. Doanh nghiệp không nên vội khẳng định dữ liệu đã an toàn hoặc phủ nhận sự cố khi chưa có kết quả xác minh đáng tin cậy.

III. GÓC NHÌN TÂM LÝ – GIÁO DỤC – QUẢN TRỊ – “CHÌA KHÓA NHÂN VĂN”

1. Khủng hoảng niềm tin có thể nghiêm trọng hơn thiệt hại kỹ thuật

Một hệ thống có thể được khôi phục sau vài ngày, nhưng niềm tin của khách hàng có thể mất nhiều tháng hoặc nhiều năm mới phục hồi. Khi thông tin cá nhân bị nghi ngờ rò rỉ, khách hàng không chỉ lo ngại về dữ liệu đã mất mà còn đặt câu hỏi liệu doanh nghiệp có đủ năng lực bảo vệ họ hay không.

Vì vậy, Minh Phát cần truyền thông dựa trên thông tin đã xác minh, thông báo rõ những gì đã biết, những gì đang được điều tra và các biện pháp bảo vệ đang triển khai. Không nên đưa ra lời hứa tuyệt đối như “không có dữ liệu nào bị lộ” khi chưa đủ căn cứ.

2. Không đổ lỗi khi chưa xác định nguyên nhân

Sau sự cố, lãnh đạo có thể có xu hướng quy trách nhiệm ngay cho nhân viên công nghệ thông tin hoặc một cá nhân đã nhấp vào đường dẫn độc hại. Tuy nhiên, nguyên nhân có thể xuất phát từ nhiều yếu tố: hệ thống chưa được cập nhật, phân quyền thiếu chặt chẽ, thiếu xác thực đa yếu tố, quy trình sao lưu yếu hoặc nhân viên chưa được đào tạo đầy đủ.

Việc tìm người để đổ lỗi không giúp hệ thống an toàn hơn. Doanh nghiệp cần điều tra khách quan, xác định điểm yếu và xây dựng môi trường khuyến khích nhân viên báo cáo sớm các dấu hiệu bất thường.

3. An ninh mạng là trách nhiệm của toàn doanh nghiệp

An ninh mạng không thể chỉ giao cho bộ phận công nghệ thông tin. Lãnh đạo phải chịu trách nhiệm về nguồn lực và cơ chế quản trị; nhân viên cần tuân thủ quy trình; bộ phận pháp lý phải đánh giá nghĩa vụ; bộ phận truyền thông cần chuẩn bị thông điệp nhất quán.

Một email giả mạo, mật khẩu yếu hoặc quyền truy cập không được thu hồi đúng lúc có thể trở thành điểm khởi đầu cho một cuộc khủng hoảng lớn. Vì vậy, phòng ngừa phải bắt đầu từ con người, quy trình và công nghệ cùng lúc.

IV. GIẢI PHÁP TOÀN DIỆN CỦA CHUYÊN GIA NGUYỄN HỮU LONG

Thứ nhất, kích hoạt quy trình ứng phó sự cố. Thành lập nhóm xử lý gồm lãnh đạo, công nghệ thông tin, pháp lý, truyền thông và các đơn vị chuyên môn cần thiết. Phân công rõ người quyết định, người xử lý kỹ thuật và người phát ngôn.

Thứ hai, khoanh vùng và ngăn chặn cuộc tấn công. Cô lập các thiết bị hoặc tài khoản nghi bị xâm nhập; thu hồi phiên đăng nhập đáng ngờ; đổi thông tin xác thực từ thiết bị an toàn và rà soát quyền truy cập. Các biện pháp kỹ thuật cần được triển khai có kiểm soát để tránh làm mất chứng cứ.

Thứ ba, xác định phạm vi ảnh hưởng và bảo toàn chứng cứ. Làm rõ hệ thống nào bị xâm nhập, dữ liệu nào có nguy cơ bị truy cập, thời điểm xảy ra và khả năng tiếp tục bị tấn công. Lưu giữ nhật ký hệ thống, thông điệp tống tiền và các tài liệu liên quan.

Thứ tư, thực hiện nghĩa vụ pháp lý đúng thời hạn. Rà soát Luật An ninh mạng, Luật Bảo vệ dữ liệu cá nhân và các quy định liên quan; đánh giá nghĩa vụ thông báo cho cơ quan có thẩm quyền, khách hàng hoặc đối tác theo từng trường hợp. Doanh nghiệp cần ghi nhận thời điểm phát hiện sự cố để kiểm soát thời hạn pháp lý.

Thứ năm, truyền thông minh bạch và có trách nhiệm. Chỉ định một đầu mối phát ngôn; thông báo thông tin đã xác minh; hướng dẫn khách hàng cảnh giác với email, tin nhắn giả mạo và thay đổi mật khẩu khi cần thiết. Tránh công khai dữ liệu nhạy cảm hoặc thông tin kỹ thuật có thể tạo thêm rủi ro.

Thứ sáu, xây dựng năng lực phòng ngừa lâu dài. Thực hiện sao lưu định kỳ và kiểm tra khả năng khôi phục; sử dụng xác thực đa yếu tố; cập nhật phần mềm; phân quyền theo nguyên tắc cần biết; mã hóa dữ liệu phù hợp; kiểm tra nhà cung cấp và tổ chức diễn tập ứng phó sự cố. Nhân viên cần được đào tạo định kỳ về nhận diện lừa đảo, bảo vệ tài khoản và báo cáo sự cố.

GÓC NHÌN CHUYÊN GIA:

Bài viết này được xây dựng dựa trên sự tham vấn, tư vấn chuyên môn của ThS. Nguyễn Hữu Long – Chuyên gia Lãnh đạo, Pháp lý, Tâm lý & Giáo dục. Với tư duy tích hợp đa ngành, chúng tôi không chỉ mang lại lá chắn pháp lý vững chắc mà còn cung cấp giải pháp quản trị rủi ro và thấu cảm tâm lý toàn diện vì sự phát triển bền vững của cộng đồng.

Nếu bạn hoặc tổ chức của bạn đang gặp phải những vướng mắc về pháp lý hãy liên hệ ngay với chúng tôi qua hotline hoặc để lại câu hỏi cho chuyên gia tại: https://tuvanphapluattamlygiaoduc.vn/gui-cau-hoi-den-chuyen-gia/

hoặc qua số hotline: 0898.627.762 để được hỗ trợ kịp thời.