Trong bối cảnh các hoạt động kinh tế – xã hội ngày càng gắn với dữ liệu và nền tảng số, an ninh thông tin mạng đã trở thành một yêu cầu trực tiếp đối với năng lực quản trị doanh nghiệp. Nghị định số 333/2026/NĐ-CP của Chính phủ cụ thể hóa trách nhiệm của doanh nghiệp trong xác thực người sử dụng, bảo vệ tài khoản, cung cấp thông tin, xử lý vi phạm và lưu trữ nhật ký hệ thống. Những quy định này từng bước hình thành chuỗi trách nhiệm xuyên suốt quá trình cung cấp dịch vụ trên không gian mạng. Để đi vào thực chất, nghĩa vụ pháp lý cần được chuyển hóa thành quy trình, năng lực kỹ thuật và cơ chế phối hợp phù hợp với quy mô, mô hình hoạt động và mức độ rủi ro của từng doanh nghiệp.
I. TỪ BẢO VỆ HỆ THỐNG ĐẾN QUẢN TRỊ TRÁCH NHIỆM TRÊN KHÔNG GIAN MẠNG
Tiếp cận từ phương pháp phân tích quy phạm kết hợp với phương pháp hệ thống và kinh tế học thể chế cho thấy, an ninh thông tin mạng ngày nay không còn là vấn đề kỹ thuật riêng của từng doanh nghiệp. Không gian mạng được cấu thành bởi những quan hệ kết nối, chia sẻ dữ liệu và phụ thuộc lẫn nhau giữa nhà cung cấp dịch vụ, đối tác công nghệ, khách hàng và người sử dụng. Bởi vậy, một điểm yếu xuất hiện tại một mắt xích có thể mở rộng phạm vi ảnh hưởng sang nhiều chủ thể khác.
Thực tiễn tấn công chuỗi cung ứng phản ánh khá rõ đặc điểm này. Khi một nhà cung cấp phần mềm quản trị hoặc dịch vụ lưu trữ bị xâm nhập, nguy cơ có thể được truyền tới hệ thống của nhiều doanh nghiệp đang sử dụng cùng dịch vụ. Thiệt hại khi đó không còn giới hạn ở tổ chức để xảy ra lỗ hổng, mà có thể làm gián đoạn hoạt động, lộ dữ liệu hoặc suy giảm niềm tin trong toàn bộ mạng lưới liên kết.
Bảo đảm an ninh thông tin mạng đang trở thành một cấu phần quan trọng trong năng lực quản trị và phát triển bền vững của doanh nghiệp.
Dưới góc nhìn kinh tế học thể chế, đây là một dạng ngoại ứng rủi ro. Chủ thể đầu tư chưa đầy đủ cho an ninh mạng có thể tiết giảm chi phí trước mắt, song một phần hậu quả lại được chuyển sang khách hàng, đối tác và xã hội. Cơ chế thị trường tự thân khó buộc doanh nghiệp tính toán đầy đủ những chi phí lan truyền này. Sự tham gia của pháp luật vì thế có ý nghĩa xác lập mức trách nhiệm tối thiểu, điều chỉnh hành vi và phân bổ lại chi phí bảo vệ theo năng lực kiểm soát của từng chủ thể.
Bên cạnh ngoại ứng rủi ro là tình trạng bất cân xứng thông tin. Người sử dụng thường khó đánh giá một nền tảng đang thu thập những dữ liệu nào, tổ chức xác thực ra sao, bảo vệ tài khoản ở mức độ nào hoặc có đủ khả năng truy xuất khi xảy ra sự cố hay không. Trong khi đó, doanh nghiệp trực tiếp nắm giữ hạ tầng, dữ liệu, công cụ xác thực và quyền vận hành dịch vụ. Trách nhiệm pháp lý được đặt tương ứng với khả năng kiểm soát thực tế là cách tiếp cận phù hợp với nguyên tắc: chủ thể nào có khả năng nhận diện, ngăn ngừa và giảm thiểu rủi ro thì chủ thể đó phải gánh vác phần trách nhiệm tương xứng.
Quan điểm này cũng tương đồng với mô hình quản trị rủi ro tích hợp đang được áp dụng tại nhiều tổ chức. Theo đó, bộ phận vận hành trực tiếp sở hữu và xử lý rủi ro; bộ phận pháp chế, tuân thủ và an ninh mạng xây dựng tiêu chuẩn, theo dõi việc thực hiện; kiểm toán nội bộ cung cấp sự bảo đảm độc lập. An ninh mạng vì vậy cần được đặt trong cơ chế quản trị chung, gắn với trách nhiệm của người đứng đầu, thay vì chỉ giao cho bộ phận công nghệ xử lý sau khi sự cố đã phát sinh.
Trên nền tảng lý luận đó, Nghị định số 333/2026/NĐ-CP đã thiết lập một cấu trúc trách nhiệm tương đối rõ. Điều 15 xác định hoạt động bảo đảm an ninh thông tin mạng phải hướng tới bảo vệ chủ quyền quốc gia trên không gian mạng, an ninh quốc gia, trật tự, an toàn xã hội, đồng thời bảo đảm quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân. Việc áp dụng biện pháp phải phù hợp với tính chất, quy mô, phạm vi cung cấp dịch vụ và mức độ rủi ro. Đây là biểu hiện của nguyên tắc quản lý dựa trên rủi ro, tránh áp dụng một yêu cầu đồng nhất cho những doanh nghiệp có đặc điểm và năng lực khác nhau.
Đặt trong mối quan hệ với nguyên tắc chung ấy, Điều 16 cụ thể hóa các hoạt động mà doanh nghiệp phải thực hiện; Điều 17 xác lập giới hạn không được xâm phạm trái pháp luật quyền, lợi ích hợp pháp; Điều 18 quy định trách nhiệm phối hợp với lực lượng chuyên trách; Điều 19 quy định việc lưu trữ dữ liệu, đồng thời xác định điều kiện và trường hợp doanh nghiệp nước ngoài phải đặt chi nhánh hoặc văn phòng đại diện chịu trách nhiệm pháp lý tại Việt Nam. Sự liên kết giữa các điều khoản cho thấy quản lý nhà nước, biện pháp kỹ thuật, bảo vệ dữ liệu và trách nhiệm giải trình được thiết kế như những bộ phận của cùng một cơ chế.
Nhìn từ phương diện quản trị, Nghị định thể hiện ba nguyên tắc đáng chú ý: trách nhiệm được phân bổ theo khả năng kiểm soát; biện pháp được lựa chọn theo tính chất và mức độ rủi ro; yêu cầu bảo vệ an ninh phải được thực hiện trong giới hạn bảo đảm quyền, lợi ích hợp pháp và dữ liệu của người sử dụng. Cách tiếp cận này tạo cơ sở để chuyển từ tư duy bảo vệ từng hệ thống riêng lẻ sang quản trị trách nhiệm trong toàn bộ quá trình cung cấp dịch vụ.
Trách nhiệm của doanh nghiệp trên không gian mạng vì thế không dừng ở việc duy trì hệ thống hoạt động ổn định. Doanh nghiệp phải từng bước hình thành năng lực nhận diện, phòng ngừa, phản ứng và giải trình khi phát sinh hành vi vi phạm, qua đó góp phần xây dựng môi trường số an toàn, minh bạch và có khả năng phát triển bền vững.
II. NĂM TRỤ CỘT TRÁCH NHIỆM TRONG HOẠT ĐỘNG BẢO ĐẢM AN NINH THÔNG TIN MẠNG
Nếu Điều 15 của Nghị định số 333/2026/NĐ-CP đặt ra những nguyên tắc chung thì Điều 16 chuyển các nguyên tắc ấy thành những nghĩa vụ có thể tổ chức thực hiện và kiểm tra trong thực tế. Năm nhóm hoạt động được quy định tương ứng với năm khâu của một chu trình quản trị: xác lập danh tính, bảo vệ tài khoản; cung cấp thông tin phục vụ xác minh; ngăn chặn hành vi vi phạm; tạm ngừng hoặc ngừng cung cấp dịch vụ; duy trì khả năng truy xuất thông qua nhật ký hệ thống. Cách thiết kế này cho thấy trách nhiệm doanh nghiệp được đặt xuyên suốt vòng đời của dịch vụ, từ thời điểm tài khoản được hình thành đến khi phát sinh sự việc cần xử lý và xem xét khôi phục.
1. Xác thực danh tính và bảo vệ tài khoản người sử dụng
Nghị định yêu cầu doanh nghiệp xác thực thông tin người sử dụng ngay tại thời điểm đăng ký tài khoản số. Tài khoản được xác thực bằng số điện thoại di động tại Việt Nam; trường hợp người sử dụng không có số điện thoại Việt Nam, việc xác thực được thực hiện bằng số định danh cá nhân hoặc phương thức định danh điện tử hợp pháp khác. Đối với tài khoản sử dụng tính năng phát trực tiếp nhằm mục đích thương mại, yêu cầu xác thực bằng số định danh cá nhân được đặt ra ở mức cao hơn. Chỉ tài khoản đã được xác thực mới được đăng tải, chia sẻ thông tin và sử dụng các tính năng tương tác trên hệ thống.
Về bản chất, xác thực tạo ra mối liên hệ có thể kiểm chứng giữa danh tính số và chủ thể chịu trách nhiệm. Trong môi trường mà một người có thể tạo nhiều tài khoản, thay đổi thiết bị hoặc che giấu thông tin nhận dạng, yêu cầu này góp phần hạn chế tình trạng lợi dụng tính ẩn danh để thực hiện hành vi vi phạm. Với livestream thương mại, mức độ xác thực cao hơn có cơ sở từ khả năng tiếp cận tức thời một lượng lớn người xem, tạo giao dịch trực tiếp và ảnh hưởng nhanh đến quyền lợi người tiêu dùng. Thực tế cho thấy hoạt động kinh doanh hàng giả, hàng không rõ nguồn gốc và quảng cáo sai lệch đang có xu hướng dịch chuyển sang các hình thức phát trực tiếp, nơi nội dung lan truyền nhanh và khó kiểm soát nếu chủ thể phát sóng không được nhận diện đầy đủ.
Trong tổ chức thực hiện, doanh nghiệp có thể tham khảo mô hình xác thực theo tầng. Tài khoản sử dụng chức năng cơ bản được xác thực bằng số điện thoại; tài khoản người bán phải bổ sung thông tin pháp lý; chủ thể thực hiện livestream thương mại trải qua bước xác thực nâng cao trước khi phát sóng. Khi tài khoản thực hiện giao dịch có giá trị lớn hoặc xuất hiện dấu hiệu đăng nhập bất thường, hệ thống có thể yêu cầu xác thực bổ sung. Cách tiếp cận này giúp phân bổ mức độ kiểm soát theo rủi ro, tránh tạo ra một quy trình nặng nề giống nhau cho mọi người sử dụng.
Tuy nhiên, xác thực không đồng nghĩa với mở rộng thu thập dữ liệu vượt quá nhu cầu pháp lý và vận hành. Dữ liệu định danh càng tập trung thì hậu quả của việc lộ lọt, sử dụng sai mục đích hoặc truy cập trái phép càng lớn. Doanh nghiệp vì vậy phải gắn quy trình xác thực với mã hóa dữ liệu, phân quyền truy cập, xác thực đa yếu tố, cảnh báo đăng nhập bất thường và cơ chế khôi phục tài khoản an toàn. Danh tính số chỉ có giá trị quản trị khi chính dữ liệu dùng để xác lập danh tính được bảo vệ đầy đủ.
2. Cung cấp thông tin trên cơ sở yêu cầu hợp lệ
Theo Điều 16, doanh nghiệp có trách nhiệm cung cấp thông tin người sử dụng cho lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an khi có yêu cầu hợp lệ, nhằm phục vụ xác minh, điều tra và xử lý hành vi vi phạm pháp luật. Thời hạn cung cấp chậm nhất là 24 giờ kể từ khi nhận được yêu cầu. Trường hợp khẩn cấp đe dọa xâm hại an ninh quốc gia hoặc đe dọa tính mạng con người, thời hạn được rút xuống còn 3 giờ.
Những mốc thời gian này phản ánh đặc điểm của dữ liệu điện tử: có thể bị xóa, sửa đổi, ghi đè hoặc phân tán qua nhiều hệ thống trong khoảng thời gian ngắn. Sự chậm trễ có thể làm giảm giá trị của thông tin phục vụ xác minh. Dù vậy, tốc độ cung cấp phải đi cùng tính hợp pháp và độ chính xác. Nghị định yêu cầu xác thực chủ thể gửi yêu cầu và bảo mật thông tin được cung cấp. Đây là điều kiện thủ tục quan trọng để hạn chế nguy cơ chuyển nhầm dữ liệu, cung cấp vượt phạm vi hoặc để thông tin bị tiếp cận bởi người không có thẩm quyền.
Từ góc độ vận hành, doanh nghiệp cần xây dựng mô hình phản ứng liên bộ phận, có khả năng hoạt động ngoài giờ hành chính. Khi một nền tảng xuyên biên giới nhận yêu cầu khẩn cấp, hệ thống phải ghi nhận chính xác thời điểm tiếp nhận, kiểm tra chủ thể gửi, xác định căn cứ và phạm vi dữ liệu, chuyển đến đầu mối pháp lý – kỹ thuật, sau đó cung cấp qua kênh bảo mật. Toàn bộ quá trình cần được lưu vết để chứng minh yêu cầu đã được xử lý đúng thẩm quyền, đúng nội dung và thời hạn.
Cơ chế này không nên phụ thuộc vào một cá nhân duy nhất. Một đầu mối tiếp nhận tập trung, quy trình phân loại mức độ khẩn cấp và hệ thống cảnh báo thời hạn sẽ giúp giảm rủi ro gián đoạn. Dữ liệu được trích xuất cũng cần tuân theo nguyên tắc đúng mục đích và đúng phạm vi; việc đáp ứng yêu cầu của cơ quan có thẩm quyền phải đồng thời bảo đảm an toàn cho thông tin trong quá trình chuyển giao.
3. Ngăn chặn, xử lý thông tin, dịch vụ và ứng dụng vi phạm
Đây là nhóm nghĩa vụ thể hiện rõ trách nhiệm của doanh nghiệp trong việc duy trì trật tự trên dịch vụ do mình cung cấp. Theo Nghị định, việc hạn chế, ngăn chặn truy cập, xóa bỏ thông tin hoặc gỡ bỏ dịch vụ, ứng dụng vi phạm phải được hoàn thành chậm nhất trong 24 giờ kể từ thời điểm nhận được yêu cầu. Trường hợp khẩn cấp đe dọa xâm hại an ninh quốc gia, thời hạn xử lý chậm nhất là 6 giờ. Các mốc thời gian này đòi hỏi doanh nghiệp phải duy trì khả năng tiếp nhận, phân loại và thực hiện yêu cầu một cách liên tục, đồng thời bảo đảm biện pháp được áp dụng đúng nội dung và phạm vi.
Điểm đáng chú ý là Nghị định xây dựng cơ chế xử lý theo cấp độ, dựa trên tần suất, tính chất và mức độ vi phạm. Trong thời hạn 30 ngày, tài khoản cá nhân, trang, nhóm cộng đồng hoặc kênh nội dung đăng tải từ ba lần trở lên thông tin vi phạm pháp luật về an ninh thông tin mạng có thể bị hạn chế hiển thị tại Việt Nam hoặc khóa tạm thời tối đa 60 ngày. Nếu trong 90 ngày có từ mười lần vi phạm trở lên, thời hạn áp dụng biện pháp có thể kéo dài tối đa 180 ngày. Việc lựa chọn biện pháp và thời hạn cụ thể phải căn cứ vào tính chất, mức độ của từng trường hợp.
Biện pháp hạn chế hiển thị vô thời hạn tại Việt Nam hoặc khóa tài khoản vô thời hạn được áp dụng đối với những trường hợp có mức độ nghiêm trọng hơn. Nghị định xác định các trường hợp gồm: đăng tải, phát tán thông tin xâm phạm an ninh quốc gia; đã bị khóa tạm thời từ ba lần trở lên theo yêu cầu của cơ quan có thẩm quyền mà vẫn tiếp tục sử dụng tài khoản để thực hiện hành vi vi phạm; hoặc có căn cứ xác định tài khoản, trang, nhóm cộng đồng, kênh nội dung tiếp tục được sử dụng làm công cụ, phương tiện thực hiện hành vi vi phạm và việc khóa vô thời hạn là cần thiết, phù hợp với tính chất, mức độ của hành vi.
Cấu trúc này cho thấy tần suất vi phạm là một căn cứ quan trọng nhưng không phải yếu tố duy nhất quyết định biện pháp xử lý. Việc đánh giá còn phải dựa trên tính chất hành vi, mức độ ảnh hưởng, lịch sử vi phạm và khả năng tài khoản tiếp tục được sử dụng làm công cụ vi phạm. Một tài khoản có hành vi vi phạm lặp lại nhưng phạm vi ảnh hưởng hạn chế cần được xem xét khác với tài khoản được sử dụng có chủ đích để tổ chức, điều hành hoặc phát tán thông tin xâm phạm an ninh quốc gia. Cách tiếp cận theo cấp độ góp phần bảo đảm tính tương xứng, đồng thời đặt ra trách nhiệm cho doanh nghiệp trong việc lưu giữ lịch sử vi phạm và đánh giá đầy đủ bối cảnh trước khi thực hiện yêu cầu.
Cũng cần phân biệt giữa hạn chế hiển thị tại Việt Nam và khóa tài khoản. Hạn chế hiển thị là biện pháp được áp dụng theo phạm vi lãnh thổ, nhằm ngăn nội dung hoặc kênh nội dung tiếp cận người sử dụng tại Việt Nam. Trong khi đó, khóa tài khoản tác động trực tiếp đến khả năng sử dụng dịch vụ của chủ tài khoản. Sự khác biệt này đòi hỏi doanh nghiệp phải duy trì hạ tầng kỹ thuật đủ khả năng thực hiện chính xác từng loại yêu cầu, hạn chế mở rộng phạm vi tác động ngoài đối tượng và dịch vụ cần áp dụng biện pháp.
Trong tổ chức thực hiện, doanh nghiệp có thể thiết lập quy trình xử lý theo ba nhóm: yêu cầu khẩn cấp phải hoàn thành trong 6 giờ; yêu cầu thông thường trong 24 giờ; hồ sơ tái phạm cần tổng hợp lịch sử và đánh giá biện pháp tương ứng. Công nghệ tự động có thể hỗ trợ phát hiện, phân loại và cảnh báo thời hạn. Đối với những trường hợp liên quan trực tiếp đến an ninh quốc gia, khóa tài khoản dài hạn hoặc có tình tiết phức tạp, quy trình nên có sự tham gia của bộ phận pháp lý và nhân sự có chuyên môn về nội dung. Mỗi quyết định cần lưu lại căn cứ, phạm vi tác động, thời điểm thực hiện, chủ thể phê duyệt và điều kiện xem xét lại, qua đó bảo đảm khả năng kiểm tra và giải trình.
Nghị định đồng thời quy định cơ chế xem xét khôi phục đối với tài khoản bị khóa vô thời hạn. Việc khôi phục được xem xét khi không còn căn cứ áp dụng biện pháp; có nhầm lẫn trong quá trình xác minh, xử lý; xuất hiện tình tiết mới làm thay đổi căn cứ áp dụng; hoặc cơ quan có thẩm quyền xác định tài khoản không được sử dụng để thực hiện hành vi vi phạm pháp luật về an ninh mạng. Cơ chế này góp phần bảo đảm biện pháp xử lý luôn bám sát căn cứ pháp lý và tình tiết thực tế, hạn chế kéo dài ảnh hưởng khi cơ sở áp dụng đã thay đổi. Tốc độ tạo nên hiệu lực ngăn chặn, trong khi độ chính xác và khả năng xem xét lại củng cố tính thuyết phục của quá trình thực thi.
4. Tạm ngừng hoặc ngừng cung cấp dịch vụ
So với việc gỡ bỏ một nội dung riêng lẻ, tạm ngừng hoặc ngừng cung cấp dịch vụ là biện pháp có mức độ tác động rộng hơn, bởi nó ảnh hưởng trực tiếp đến khả năng tiếp tục sử dụng dịch vụ của tổ chức, cá nhân. Theo Nghị định, doanh nghiệp thực hiện việc không cung cấp, tạm ngừng hoặc ngừng cung cấp dịch vụ khi có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an đối với tổ chức, cá nhân đăng tải thông tin thuộc các trường hợp được Luật An ninh mạng quy định.
Việc áp dụng phải bảo đảm đúng phạm vi, đối tượng, thời hạn và phù hợp với các quy định pháp luật có liên quan.
Yêu cầu này phản ánh nguyên tắc tương xứng trong quản lý. Biện pháp được thực hiện trên cơ sở hành vi, đối tượng và dịch vụ cụ thể, hạn chế ảnh hưởng ngoài phạm vi cần thiết. Doanh nghiệp vì vậy cần có năng lực kỹ thuật để thực hiện chính xác nội dung yêu cầu, đồng thời phân biệt rõ giữa tạm ngừng tài khoản, hạn chế một tính năng và ngừng cung cấp toàn bộ dịch vụ. Khả năng kiểm soát theo từng lớp giúp doanh nghiệp đáp ứng đúng yêu cầu của cơ quan có thẩm quyền, giảm nguy cơ tác động đến hoạt động hợp pháp của những tài khoản hoặc người sử dụng không liên quan.
Để thực hiện hiệu quả, hạ tầng của doanh nghiệp cần cho phép nhận diện đúng tài khoản, chức năng, dịch vụ và phạm vi áp dụng biện pháp. Quá trình thực hiện phải ghi nhận đầy đủ căn cứ, thời điểm bắt đầu, thời điểm kết thúc, phạm vi tác động và điều kiện khôi phục. Những thông tin này vừa phục vụ quản lý nội bộ, vừa tạo cơ sở kiểm tra, giải trình khi phát sinh khiếu nại hoặc yêu cầu xác minh. Qua đó, biện pháp tạm ngừng hoặc ngừng cung cấp dịch vụ có thể phát huy tác dụng ngăn chặn hành vi vi phạm mà vẫn bảo đảm tính thận trọng, chính xác và phù hợp với quyền, lợi ích hợp pháp của các chủ thể liên quan.
5. Lưu trữ và quản lý nhật ký hệ thống
Nghị định yêu cầu nhật ký hệ thống phải có tối thiểu thông tin về tài khoản người sử dụng, thời gian đăng nhập và đăng xuất, địa chỉ IP, cổng nguồn và nhật ký xử lý thông tin được đăng tải. Dữ liệu phải có khả năng truy xuất ít nhất trong vòng 12 tháng để phục vụ quản lý nhà nước, xác minh, điều tra và xử lý hành vi vi phạm.
Nhật ký hệ thống có thể được xem là “bộ nhớ quản trị” của dịch vụ số. Khi xảy ra sự cố, dữ liệu nhật ký cho phép tái dựng trình tự sự kiện: tài khoản nào đã truy cập, vào thời điểm nào, từ phiên kết nối nào, thực hiện thao tác gì và hệ thống đã phản ứng ra sao. Nếu thiếu dữ liệu này, việc xác định nguyên nhân và trách nhiệm dễ phụ thuộc vào thông tin rời rạc hoặc lời trình bày sau sự việc.
Việc yêu cầu đồng thời địa chỉ IP, cổng nguồn và thời gian kết nối có ý nghĩa kỹ thuật rõ rệt. Trong thực tế, nhiều người sử dụng có thể cùng chia sẻ một địa chỉ IP công cộng thông qua cơ chế chuyển đổi địa chỉ mạng. Khi đó, địa chỉ IP riêng lẻ chưa đủ để nhận diện một phiên kết nối cụ thể. Việc kết hợp IP với cổng nguồn, mốc thời gian và thông tin tài khoản giúp nâng cao độ chính xác của quá trình truy xuất.
Tuy nhiên, lưu trữ đủ thời gian mới là điều kiện ban đầu. Nhật ký chỉ có giá trị khi bảo đảm tính toàn vẹn, đồng bộ và khả năng khai thác. Đồng hồ của các hệ thống cần được đồng bộ theo cùng chuẩn thời gian; dữ liệu phải được bảo vệ trước hành vi chỉnh sửa hoặc xóa trái phép; quyền truy cập phải được phân công theo nhiệm vụ. Doanh nghiệp có thể áp dụng mô hình quản lý nhật ký tập trung, trong đó dữ liệu từ hệ thống xác thực, máy chủ, ứng dụng và công cụ xử lý nội dung được tập hợp về một nền tảng giám sát chung. Các sự kiện bất thường được cảnh báo, trong khi lịch sử thao tác được lưu để phục vụ kiểm tra.
Nhật ký cũng là nguồn dữ liệu nhạy cảm vì có thể phản ánh thói quen truy cập, hoạt động tài khoản và cấu trúc vận hành của hệ thống. Do đó, doanh nghiệp cần mã hóa dữ liệu, phân quyền chặt chẽ, giám sát mọi hoạt động khai thác, sao lưu an toàn và có chính sách xử lý khi hết thời hạn lưu giữ theo quy định. Việc phân biệt nhật ký vận hành, nhật ký bảo mật và nhật ký xử lý nội dung sẽ giúp truy xuất thuận lợi hơn, đồng thời hạn chế khả năng một bộ phận tiếp cận dữ liệu vượt quá phạm vi công việc.
Năm nhóm nghĩa vụ trên tạo thành một chu trình trách nhiệm có sự liên kết tương đối chặt chẽ. Xác thực cung cấp cơ sở gắn danh tính với hành vi; cơ chế cung cấp thông tin hỗ trợ xác minh; xử lý theo cấp độ giúp ngăn chặn vi phạm phù hợp với tính chất, mức độ; tạm ngừng dịch vụ tạo công cụ can thiệp khi cần thiết; nhật ký hệ thống duy trì khả năng truy xuất và giải trình. Khi được triển khai đồng bộ, các nghĩa vụ này có thể chuyển hóa yêu cầu pháp lý thành năng lực quản trị thường xuyên, góp phần bảo vệ an ninh, quyền lợi người sử dụng và sự ổn định của môi trường kinh doanh số.
III. CHUYỂN HÓA YÊU CẦU PHÁP LÝ THÀNH NĂNG LỰC QUẢN TRỊ DOANH NGHIỆP
Các nghĩa vụ được xác lập tại Nghị định số 333/2026/NĐ-CP cho thấy bảo đảm an ninh thông tin mạng không thể được thực hiện bằng những giải pháp rời rạc hoặc chỉ kích hoạt khi phát sinh sự việc. Để đáp ứng yêu cầu pháp luật một cách ổn định, doanh nghiệp cần chuyển hóa các nghĩa vụ về xác thực, bảo vệ tài khoản, cung cấp thông tin, xử lý vi phạm và duy trì khả năng truy xuất thành một bộ phận thường xuyên của hệ thống quản trị. Quá trình này đòi hỏi sự kết hợp giữa định hướng của lãnh đạo, cơ cấu trách nhiệm, năng lực nhân sự, quy trình vận hành và nền tảng công nghệ.
Đại tá, Tiến sĩ Nguyễn Hồng Quân, Phó Cục trưởng Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, từng nhấn mạnh: “Doanh nghiệp cần chuyển từ tư duy ‘có giải pháp bảo mật’ sang ‘có năng lực bảo vệ thực sự’”. Nhận định này chỉ ra sự khác biệt giữa việc sở hữu công cụ và khả năng vận hành công cụ để kiểm soát rủi ro. Một doanh nghiệp có thể đã trang bị phần mềm bảo mật nhưng chưa cập nhật thường xuyên; có hệ thống sao lưu nhưng chưa kiểm thử khả năng khôi phục; có quy trình ứng phó nhưng nhân sự chưa nắm rõ nhiệm vụ khi sự cố xảy ra. Trong những trường hợp đó, điều kiện kỹ thuật đã hiện diện nhưng chưa tạo thành năng lực bảo vệ có thể kiểm chứng.
Bởi vậy, an ninh mạng cần được nhìn nhận như một vấn đề quản trị, thay vì chỉ là nhiệm vụ chuyên môn của bộ phận công nghệ thông tin. Ban lãnh đạo có trách nhiệm xác định mức độ rủi ro có thể chấp nhận, nhận diện những tài sản số cần ưu tiên bảo vệ, bố trí nguồn lực và giám sát kết quả thực hiện. Bộ phận công nghệ trực tiếp vận hành biện pháp kỹ thuật, nhưng pháp chế, tuân thủ, quản trị rủi ro, bảo vệ dữ liệu, kiểm toán nội bộ và các đơn vị kinh doanh đều tham gia vào chuỗi trách nhiệm. Cách tiếp cận này giúp an ninh mạng gắn với mục tiêu vận hành liên tục, bảo vệ uy tín và duy trì chất lượng dịch vụ của doanh nghiệp.
Khung an ninh mạng NIST CSF 2.0 có thể được sử dụng như một mô hình tham khảo để tổ chức năng lực này. Khung gồm sáu chức năng: quản trị, nhận diện, bảo vệ, phát hiện, ứng phó và khôi phục. Chức năng quản trị xác lập chính sách, thẩm quyền và cơ chế giám sát; nhận diện giúp doanh nghiệp xác định tài sản, dữ liệu, tài khoản và dịch vụ có rủi ro; bảo vệ hướng đến xác thực người sử dụng, kiểm soát truy cập, mã hóa và bảo đảm an toàn tài khoản. Phát hiện tập trung vào giám sát dấu hiệu bất thường; ứng phó bảo đảm yêu cầu hoặc sự cố được xử lý kịp thời, đúng phạm vi; khôi phục hướng đến phục hồi dịch vụ, điều chỉnh biện pháp và xem xét mở lại tài khoản khi căn cứ áp dụng đã thay đổi.
Sáu chức năng này tạo thành một vòng quản trị liên tục. Thông tin thu được từ quá trình phát hiện và ứng phó cần được sử dụng để điều chỉnh chính sách, cập nhật cách nhận diện rủi ro và hoàn thiện biện pháp bảo vệ. Nhờ đó, doanh nghiệp có thể chuyển từ trạng thái phản ứng thụ động sang chủ động chuẩn bị cho những tình huống có khả năng xảy ra. NIST CSF 2.0 trong trường hợp này là khung tham chiếu về quản trị, không thay thế các nghĩa vụ được xác lập theo pháp luật Việt Nam.
Bên cạnh việc tổ chức các chức năng quản trị, doanh nghiệp cần phân định rõ vai trò của từng bộ phận. Mô hình Ba tuyến do Viện Kiểm toán nội bộ quốc tế phát triển cung cấp một cách tiếp cận phù hợp. Tuyến thứ nhất gồm các đơn vị trực tiếp phát triển, cung cấp và vận hành dịch vụ như sản phẩm, công nghệ, kiểm duyệt nội dung và chăm sóc người sử dụng. Đây là nơi quản lý rủi ro trong hoạt động hằng ngày và thực hiện những biện pháp kiểm soát ban đầu. Tuyến thứ hai gồm pháp chế, tuân thủ, an ninh mạng, quản trị rủi ro và bảo vệ dữ liệu, có nhiệm vụ xây dựng tiêu chuẩn, hướng dẫn nghiệp vụ và giám sát việc thực hiện. Tuyến thứ ba là kiểm toán nội bộ, thực hiện đánh giá độc lập về tính đầy đủ và hiệu quả của hệ thống kiểm soát. Hội đồng quản trị hoặc ban điều hành giữ vai trò định hướng, phân bổ nguồn lực và giám sát tổng thể.
Sự phân định theo chức năng giúp hạn chế tình trạng dồn toàn bộ trách nhiệm cho bộ phận kỹ thuật hoặc để nhiều đơn vị cùng tham gia nhưng không xác định rõ chủ thể chịu trách nhiệm cuối cùng. Mỗi tuyến có vị trí riêng nhưng phải trao đổi thông tin trong một cơ chế thống nhất. Tuyến vận hành cần phản ánh kịp thời những rủi ro phát sinh; tuyến giám sát phải chuyển yêu cầu pháp lý thành tiêu chuẩn có thể thực hiện; kiểm toán nội bộ đánh giá mức độ vận hành thực chất thay vì chỉ kiểm tra sự tồn tại của quy trình trên hồ sơ.
Ở phương diện kỹ thuật, nguyên tắc không tin cậy mặc định – Zero Trust – có thể hỗ trợ doanh nghiệp bảo vệ kho dữ liệu định danh, nhật ký hệ thống và các công cụ phục vụ quá trình tuân thủ. Theo nguyên tắc này, người sử dụng, thiết bị hoặc dịch vụ không được mặc nhiên tin cậy chỉ vì đang hoạt động trong mạng nội bộ hoặc thuộc quyền quản lý của doanh nghiệp. Mỗi quyền truy cập phải được xác thực, giới hạn theo nhu cầu công việc và tiếp tục được giám sát trong quá trình sử dụng. Đối với những thao tác nhạy cảm như truy xuất dữ liệu người sử dụng, thay đổi trạng thái tài khoản hoặc chuyển giao thông tin, hệ thống cần áp dụng cơ chế xác thực lại và ghi nhận đầy đủ lịch sử thực hiện.
Zero Trust là nguyên tắc kỹ thuật bổ trợ, không đồng nhất với yêu cầu xác thực thông tin người sử dụng theo Điều 16 của Nghị định. Xác thực người sử dụng nhằm thiết lập mối liên hệ giữa tài khoản số và chủ thể chịu trách nhiệm; Zero Trust hướng đến kiểm soát quyền truy cập trong hệ thống của doanh nghiệp. Việc phân biệt hai cấp độ này giúp tránh tình trạng tập trung vào xác thực bên ngoài nhưng chưa kiểm soát đầy đủ nguy cơ truy cập sai thẩm quyền từ bên trong.
Cấu trúc tổ chức để thực hiện các mô hình trên có thể khác nhau tùy theo quy mô, lĩnh vực hoạt động và mức độ rủi ro. Doanh nghiệp lớn hoặc nền tảng có lượng người sử dụng cao có thể duy trì bộ phận giám sát và ứng phó chuyên trách. Doanh nghiệp vừa và nhỏ có thể sử dụng dịch vụ chuyên nghiệp, quy trình chuẩn hóa hoặc nền tảng công nghệ dùng chung. Pháp luật xác định nghĩa vụ và kết quả cần đạt được, còn doanh nghiệp lựa chọn phương thức tổ chức phù hợp với nguồn lực và đặc điểm hoạt động. Tuy nhiên, việc sử dụng dịch vụ bên ngoài không làm thay đổi trách nhiệm kiểm soát, giám sát và giải trình của doanh nghiệp.
Chuyển hóa yêu cầu pháp lý thành năng lực quản trị vì vậy là quá trình đưa an ninh mạng vào toàn bộ hoạt động điều hành, từ hoạch định chính sách, phân bổ trách nhiệm đến lựa chọn giải pháp kỹ thuật và đánh giá hiệu quả. Khi các thành tố này được tổ chức thành một hệ thống thống nhất, tuân thủ không còn là phản ứng mang tính tình thế mà trở thành năng lực vận hành thường xuyên, góp phần củng cố khả năng chống chịu, bảo vệ uy tín và hỗ trợ sự phát triển bền vững của doanh nghiệp trong môi trường số.
IV. ĐIỀU KIỆN ĐỂ QUY ĐỊNH ĐI VÀO THỰC CHẤT
Năng lực quản trị tạo nền tảng để doanh nghiệp thực hiện trách nhiệm, nhưng hiệu quả thi hành còn phụ thuộc vào mức độ rõ ràng của quy trình phối hợp giữa cơ quan quản lý, doanh nghiệp và các chủ thể cung cấp hạ tầng liên quan. Khoảng cách giữa quy định và thực tiễn thường không xuất phát từ việc thiếu nghĩa vụ pháp lý, mà chủ yếu nằm ở cách tiếp nhận yêu cầu, xác định thẩm quyền, chuyển giao dữ liệu, phối hợp xử lý và kiểm tra kết quả. Vì vậy, điều kiện để Nghị định đi vào thực chất là hình thành cơ chế thực hiện thống nhất, an toàn và có khả năng kiểm chứng.
Một yêu cầu quan trọng là cân bằng giữa tốc độ và độ chính xác. Các thời hạn xử lý được tính bằng giờ đòi hỏi doanh nghiệp phản ứng nhanh, trong khi việc xác định đúng tài khoản, nội dung, phạm vi dữ liệu và biện pháp áp dụng cần được tiến hành thận trọng. Sự chậm trễ có thể làm giảm hiệu lực ngăn chặn hoặc giá trị của thông tin điện tử. Ngược lại, xử lý khi chưa kiểm tra đầy đủ căn cứ có thể dẫn đến cung cấp nhầm dữ liệu, tác động sai đối tượng hoặc mở rộng phạm vi biện pháp quá mức cần thiết. Tốc độ vì thế phải được tạo lập bằng quy trình chuẩn hóa và sự chuẩn bị từ trước, thay vì giản lược những bước kiểm tra cần thiết.
Từ phía cơ quan quản lý, biểu mẫu và kênh điện tử tiếp nhận yêu cầu cần được chuẩn hóa đồng bộ. Mỗi yêu cầu nên thể hiện rõ chủ thể ban hành, căn cứ pháp lý, mã vụ việc, thời điểm gửi – nhận, phạm vi thông tin, biện pháp cần thực hiện và cấp độ khẩn cấp. Chữ ký số hoặc phương thức xác thực tương đương sẽ giúp doanh nghiệp nhanh chóng kiểm tra tính hợp lệ, đồng thời tạo dấu vết phục vụ kiểm tra sau này. Quy trình cũng cần xác định cách thức thông báo kết quả, xác nhận hoàn thành và xử lý trường hợp doanh nghiệp cần làm rõ phạm vi yêu cầu.
Hướng dẫn kỹ thuật về bảo toàn chứng cứ điện tử và chuyển giao dữ liệu cũng cần được cụ thể hóa theo hướng thống nhất, dễ áp dụng. Dữ liệu được trích xuất phải duy trì tính toàn vẹn, xác định được nguồn gốc và được chuyển qua kênh bảo mật. Cùng với đó, cơ chế xem xét khôi phục tài khoản hoặc dịch vụ khi không còn căn cứ áp dụng, có nhầm lẫn hoặc xuất hiện tình tiết mới cần có quy trình tiếp nhận và phản hồi rõ ràng. Đây là cơ sở để bảo đảm biện pháp được thực hiện kịp thời nhưng vẫn có khả năng điều chỉnh khi tình tiết thực tế thay đổi.
Hoạt động hướng dẫn nên tính đến đặc điểm của từng nhóm doanh nghiệp. Doanh nghiệp viễn thông, mạng xã hội, thương mại điện tử, lưu trữ dữ liệu và cung cấp dịch vụ xuyên biên giới có cấu trúc hệ thống và loại hình rủi ro khác nhau. Đối với doanh nghiệp vừa và nhỏ, cần ưu tiên tài liệu mẫu, quy trình tham chiếu, chương trình tập huấn và giải pháp hỗ trợ phù hợp với nguồn lực, quy mô hoạt động và mức độ rủi ro. Đối thoại giữa cơ quan quản lý, hiệp hội nghề nghiệp, doanh nghiệp công nghệ và cơ sở đào tạo cũng giúp nhận diện sớm những khó khăn phát sinh, qua đó điều chỉnh hướng dẫn thực hiện mà không làm thay đổi nguyên tắc và nghĩa vụ pháp lý.
Về phía doanh nghiệp, bước đi đầu tiên là đánh giá khoảng cách giữa hệ thống hiện có và các yêu cầu của Điều 16. Việc đánh giá cần làm rõ nội dung đã đáp ứng, điểm kiểm soát còn thiếu, mức độ ưu tiên và nguồn lực cần bổ sung. Thay vì kiểm tra riêng từng công cụ kỹ thuật, doanh nghiệp nên xem xét toàn bộ chuỗi xử lý: tiếp nhận yêu cầu, xác minh tính hợp lệ, xác định dữ liệu hoặc tài khoản liên quan, thực hiện biện pháp, phê duyệt kết quả, chuyển giao thông tin và lưu lại hồ sơ.
Trên cơ sở đó, ma trận trách nhiệm RACI có thể được sử dụng để xác định đơn vị trực tiếp thực hiện, chủ thể chịu trách nhiệm cuối cùng, bộ phận cần tham vấn và những đơn vị phải được thông báo. Ma trận này cần gắn với từng loại tình huống cụ thể, đồng thời quy định cơ chế thay thế khi người có trách nhiệm vắng mặt. Doanh nghiệp cũng nên thiết lập hệ thống cảnh báo thời hạn và tổ chức kiểm thử định kỳ các tình huống giả định. Diễn tập giúp phát hiện những điểm nghẽn trong phối hợp, những dữ liệu chưa thể truy xuất kịp thời hoặc những bước phê duyệt có nguy cơ làm chậm quá trình xử lý.
Đối với các hoạt động phụ thuộc vào nhà cung cấp hạ tầng, dịch vụ đám mây hoặc đối tác công nghệ, trách nhiệm phối hợp cần được quy định rõ trong hợp đồng. Nội dung hợp đồng nên xác định khả năng truy xuất dữ liệu, thời gian hỗ trợ, tiêu chuẩn bảo mật, trách nhiệm thông báo sự cố và nghĩa vụ cung cấp hồ sơ phục vụ kiểm tra. Điều này đặc biệt cần thiết khi dữ liệu được phân tán trên nhiều hệ thống hoặc được xử lý bởi doanh nghiệp ở các múi giờ khác nhau. Việc thuê ngoài có thể giúp bổ sung năng lực chuyên môn, nhưng doanh nghiệp cung cấp dịch vụ vẫn phải duy trì khả năng giám sát và kiểm soát kết quả.
Về dài hạn, ba nguyên tắc cần được kết hợp trong quá trình phát triển sản phẩm và dịch vụ: tuân thủ ngay từ thiết kế, an ninh ngay từ thiết kế và bảo vệ dữ liệu ngay từ thiết kế. Mỗi tính năng mới hoặc thay đổi hệ thống cần được đánh giá từ giai đoạn xây dựng về yêu cầu xác thực, khả năng lưu vết, phân quyền truy cập, thời hạn lưu trữ và phương án xử lý khi phát sinh vi phạm. Cách tiếp cận này giúp giảm chi phí điều chỉnh về sau và hạn chế tình trạng quy trình pháp lý không thể thực hiện chính xác do kiến trúc kỹ thuật chưa được chuẩn bị.
Hiệu quả thực hiện cần được đánh giá bằng các chỉ số có thể kiểm chứng như tỷ lệ xử lý đúng hạn, số trường hợp phải điều chỉnh do nhầm lẫn, thời gian truy xuất dữ liệu, khả năng khôi phục tài khoản hoặc dịch vụ và mức độ hoàn thành diễn tập. Những chỉ số này phản ánh thực chất hơn số lượng văn bản nội bộ hoặc công cụ đã được trang bị. Qua đó, doanh nghiệp có thể nhận diện điểm yếu, phân bổ nguồn lực đúng trọng tâm và chứng minh mức độ đáp ứng nghĩa vụ trong thực tế.
Một khuôn khổ pháp lý chặt chẽ chỉ phát huy đầy đủ hiệu quả khi được hỗ trợ bởi quy trình rõ ràng, hạ tầng phù hợp và cơ chế phối hợp có thể kiểm chứng. Sự chuẩn hóa từ phía cơ quan quản lý cùng với sự chủ động chuẩn bị của doanh nghiệp sẽ góp phần thu hẹp khoảng cách giữa tuân thủ trên hồ sơ và an toàn trong vận hành, bảo đảm các biện pháp được thực hiện kịp thời, chính xác và phù hợp với quyền, lợi ích hợp pháp của các chủ thể liên quan.
V. KẾT LUẬN
Nghị định số 333/2026/NĐ-CP đã cụ thể hóa trách nhiệm của doanh nghiệp trong xác thực người sử dụng, bảo vệ tài khoản, cung cấp thông tin, xử lý vi phạm, tạm ngừng dịch vụ và duy trì khả năng truy xuất. Những nghĩa vụ này tạo thành một chu trình quản trị tương đối đồng bộ, góp phần đưa an ninh thông tin mạng trở thành một cấu phần của quản trị doanh nghiệp và chất lượng dịch vụ số.
Việc hoàn thiện hệ thống tuân thủ có thể phát sinh chi phí chuyển đổi trong giai đoạn đầu, nhất là đối với doanh nghiệp có nguồn lực hạn chế. Xét trong dài hạn, đầu tư phù hợp cho con người, quy trình và công nghệ sẽ góp phần giảm thiểu sự cố, bảo vệ uy tín và củng cố niềm tin của người sử dụng. Thước đo quan trọng không nằm ở số lượng biện pháp được triển khai, mà ở khả năng hình thành một môi trường số an toàn, có trách nhiệm và đủ sức hỗ trợ sự phát triển bền vững./.
ThS. Lê Như Quỳnh
