Nội dung
Khi bị tấn công mạng, doanh nghiệp không chỉ là nạn nhân
Một quan niệm phổ biến cần được điều chỉnh: khi hệ thống bị tấn công mạng, doanh nghiệp thường tự xem mình hoàn toàn là nạn nhân và không có trách nhiệm pháp lý gì thêm. Luật An ninh mạng 2025 không nhìn nhận đơn giản như vậy.
Theo Luật số 116/2025/QH15 có hiệu lực từ ngày 01/07/2026, chủ quản hệ thống thông tin không chỉ có quyền được bảo vệ khi bị tấn công mà còn có nghĩa vụ chủ động phòng ngừa, phát hiện và báo cáo sự cố theo đúng quy trình pháp lý. Không thực hiện đúng nghĩa vụ đó, dù hệ thống đang bị tấn công, doanh nghiệp vẫn có thể đối mặt với trách nhiệm hành chính hoặc thậm chí hình sự.
6 hành vi tấn công mạng theo Luật An ninh mạng 2025 bị nghiêm cấm (Điều 18)
Điều 18 Luật An ninh mạng 2025 liệt kê cụ thể 6 nhóm hành vi tấn công mạng bị nghiêm cấm, tạo cơ sở pháp lý rõ ràng để truy cứu trách nhiệm đối với kẻ tấn công và đồng thời xác định ranh giới mà doanh nghiệp cần nhận diện khi đối mặt với sự cố.
- Hành vi 1 – Phát tán chương trình tin học gây hại (malware): Phát tán chương trình tin học gây hại cho mạng viễn thông, mạng Internet, mạng máy tính, hệ thống thông tin, hệ thống xử lý và điều khiển thông tin, cơ sở dữ liệu, phương tiện điện tử.
- Hành vi 2 – Gây tê liệt, gián đoạn mạng: Gây cản trở, rối loạn, làm tê liệt, gián đoạn, ngưng trệ hoạt động, ngăn chặn trái phép việc truyền đưa dữ liệu của không gian mạng.
- Hành vi 3 – Xâm nhập và chiếm đoạt dữ liệu: Xâm nhập, làm tổn hại, chiếm đoạt dữ liệu được lưu trữ, truyền đưa qua mạng viễn thông, mạng Internet, mạng máy tính, hệ thống thông tin, hệ thống xử lý và điều khiển thông tin, cơ sở dữ liệu, phương tiện điện tử.
- Hành vi 4 – Khai thác lỗ hổng bảo mật: Xâm nhập, tạo ra hoặc khai thác điểm yếu, lỗ hổng bảo mật và dịch vụ hệ thống để chiếm đoạt thông tin, thu lợi bất chính.
- Hành vi 5 – Mua bán, trao đổi công cụ tấn công: Sản xuất, mua bán, trao đổi, tặng cho công cụ, thiết bị, phần mềm có tính năng gây hại mạng viễn thông, mạng Internet, mạng máy tính, hệ thống thông tin, hệ thống xử lý và điều khiển thông tin, cơ sở dữ liệu, phương tiện điện tử để sử dụng vào mục đích trái pháp luật.
- Hành vi 6 – Các hành vi khác: Hành vi khác gây ảnh hưởng đến hoạt động bình thường của mạng viễn thông, mạng Internet, mạng máy tính, hệ thống thông tin, hệ thống xử lý và điều khiển thông tin, cơ sở dữ liệu, phương tiện điện tử.
Trách nhiệm của chủ quản hệ thống khi bị tấn công mạng
Khi hệ thống thông tin bị tấn công hoặc đối mặt với nguy cơ an ninh mạng, chủ quản hệ thống có các nghĩa vụ sau:
- Chủ động phòng ngừa: Áp dụng các biện pháp kỹ thuật phù hợp để phòng ngừa, ngăn chặn 6 nhóm hành vi tấn công mạng nêu trên đối với hệ thống thông tin thuộc phạm vi quản lý của mình
- Khắc phục và báo cáo sự cố ngay lập tức:
- Có trách nhiệm báo cáo sự cố an ninh mạng với cơ quan chuyên trách của Bộ Công an hoặc Bộ Quốc phòng
- Đối với doanh nghiệp cung cấp dịch vụ trên không gian mạng, khi xảy ra sự cố, phải ngay lập tức triển khai phương án ứng cứu khẩn cấp bảo đảm an ninh mạng và báo cáo ngay với lực lượng chuyên trách
- Nếu là hệ thống thông tin quan trọng về an ninh quốc gia, chủ quản phải chủ động triển khai phương án ứng phó, khắc phục khi sự cố xảy ra và kịp thời báo cáo với lực lượng chuyên trách
- Phối hợp điều tra nguồn gốc tấn công: Khi xảy ra tấn công mạng xâm phạm hoặc đe dọa xâm phạm chủ quyền, lợi ích, an ninh quốc gia, gây tổn hại nghiêm trọng trật tự, an toàn xã hội, chủ quản phải phối hợp chặt chẽ với lực lượng chuyên trách bảo vệ an ninh mạng để áp dụng các biện pháp xác định nguồn gốc tấn công mạng, thu thập chứng cứ
- Kết nối hệ thống giám sát: Kết nối hệ thống giám sát an ninh mạng, hệ thống phòng chống mã độc tập trung về Trung tâm An ninh mạng quốc gia của Bộ Công an hoặc Trung tâm An ninh mạng của tỉnh, thành phố để nhận hỗ trợ giám sát
- Thông báo vi phạm: Đối với hệ thống thông tin thông thường (không thuộc danh mục quan trọng về an ninh quốc gia), chủ quản phải chủ động thông báo cho lực lượng chuyên trách thuộc Bộ Công an khi phát hiện hành vi vi phạm pháp luật về an ninh mạng trên hệ thống thuộc quyền quản lý
Quy trình báo cáo sự cố tấn công mạng cho lực lượng chuyên trách
Bước đầu tiên – Báo cáo sơ bộ: Ngay sau khi phát hiện và xác nhận sự cố tấn công mạng, doanh nghiệp gửi thông báo cho lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an (hoặc Bộ Quốc phòng đối với hệ thống quân sự) với các thông tin tối thiểu gồm thời điểm phát hiện, loại tấn công ước tính, hệ thống bị ảnh hưởng và biện pháp khẩn cấp đang được triển khai. Không cần chờ hoàn thành điều tra mới báo cáo.
Bước thứ hai – Phối hợp trong quá trình điều tra: Lực lượng chuyên trách có thể cử chuyên gia kỹ thuật hỗ trợ điều tra hoặc yêu cầu cung cấp thêm thông tin kỹ thuật. Doanh nghiệp có nghĩa vụ hợp tác đầy đủ và cung cấp quyền truy cập cần thiết trong quá trình này.
Bước thứ ba – Báo cáo đầy đủ sau điều tra: Sau khi hoàn thành điều tra sự cố, doanh nghiệp nộp báo cáo đầy đủ bao gồm nguyên nhân gốc rễ, phạm vi thiệt hại, biện pháp khắc phục đã triển khai và kế hoạch phòng ngừa tái phát.
Bước thứ tư – Rà soát và cập nhật phương án bảo mật: Sau mỗi sự cố tấn công mạng, doanh nghiệp rà soát và cập nhật phương án bảo đảm an toàn thông tin, kế hoạch ứng phó sự cố và chính sách bảo mật để phản ánh bài học từ cuộc tấn công.
Lưu ý: Luật An ninh mạng 2025 không quy định thời hạn cụ thể (giờ) cho việc báo cáo sự cố tấn công mạng thông thường. Yêu cầu là thông báo “kịp thời.” Thời hạn cụ thể (02 giờ, 24 giờ, 72 giờ) áp dụng cho sự cố an ninh dữ liệu theo Dự thảo Luật An ninh dữ liệu, dự kiến hiệu lực 01/12/2027.
Khi nào kích hoạt biện pháp đặc biệt theo Điều 20?
Điều 20 Luật An ninh mạng 2025 quy định về biện pháp đặc biệt được áp dụng trong tình huống nguy hiểm. Đây là cơ chế cho phép cơ quan có thẩm quyền triển khai các biện pháp vượt ra ngoài quy trình thông thường khi tình huống đòi hỏi phản ứng tức thì.
- Xuất hiện thông tin kích động trên không gian mạng có nguy cơ xảy ra bạo loạn, phá rối an ninh, khủng bố.
- Tấn công vào hệ thống thông tin quan trọng về an ninh quốc gia.
- Tấn công nhiều hệ thống thông tin trên quy mô lớn, cường độ cao.
- Tấn công mạng nhằm phá hủy công trình quan trọng về an ninh quốc gia, mục tiêu quan trọng về an ninh quốc gia.
- Tấn công mạng xâm phạm nghiêm trọng chủ quyền, lợi ích, an ninh quốc gia; gây tổn hại đặc biệt nghiêm trọng trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân
Khi kích hoạt Điều 20, Thủ tướng Chính phủ hoặc Bộ trưởng Bộ Công an (được ủy quyền) có thẩm quyền quyết định các biện pháp xử lý đặc biệt, bao gồm ngừng cung cấp thông tin mạng tại khu vực cụ thể hoặc ngắt cổng kết nối mạng quốc tế.
Kiểm định an toàn hệ thống IT: Phòng ngừa tấn công mạng từ trước khi sự cố xảy ra
Hiểu rõ 6 hành vi tấn công mạng theo Điều 18 và nghĩa vụ ứng phó theo Luật An ninh mạng 2025 là cần thiết, nhưng biện pháp hiệu quả nhất vẫn là phòng ngừa từ trước. Dịch vụ Kiểm định An toàn Hệ thống IT của 405CYSE giúp doanh nghiệp xác định và khắc phục các điểm yếu trước khi tin tặc có cơ hội khai thác chúng.
405CYSE triển khai quy trình kiểm định độc lập theo mô hình 5P, đánh giá toàn diện năm trụ cột gồm Quy trình, Hạ tầng vật lý, Hệ thống, Nền tảng ứng dụng và Con người. Báo cáo với hơn 150 hạng mục rủi ro được chấm điểm và phân cấp rõ ràng, đối chiếu đồng thời với Điều 18, Điều 20, Điều 26 Luật An ninh mạng 2025 và Nghị định 356/2025/NĐ-CP. Doanh nghiệp không chỉ biết mình đang ở đâu mà còn có lộ trình cụ thể để đạt được mức độ bảo vệ phù hợp trước các mối đe dọa tấn công mạng thực tế.
Xem chi tiết dịch vụ Kiểm định An toàn Hệ thống IT
Tấn công mạng không phải rủi ro xa xôi dành cho các tập đoàn lớn hay cơ quan nhà nước. Mọi doanh nghiệp vận hành hệ thống thông tin đều là mục tiêu tiềm năng, và Luật An ninh mạng 2025 đã làm rõ rằng bị tấn công không đồng nghĩa với việc được miễn trừ trách nhiệm pháp lý. Doanh nghiệp chuẩn bị kỹ về mặt kỹ thuật, có quy trình ứng phó sự cố rõ ràng và hiểu đúng nghĩa vụ báo cáo theo pháp luật sẽ không chỉ giảm thiểu thiệt hại khi sự cố xảy ra mà còn bảo vệ được vị thế pháp lý của mình trong suốt quá trình xử lý hậu quả.
