Không nên coi dữ liệu và an ninh mạng là hai bài toán tách biệt
Theo chuyên gia bảo mật CMC Telecom, thực tế hiện nay nhiều doanh nghiệp thường giao vấn đề dữ liệu cho bộ phận pháp chế hoặc hành chính, còn an ninh mạng giao cho bộ phận IT. Cách chia này dễ hiểu về mặt tổ chức, nhưng lại chưa phản ánh đúng cách dữ liệu vận hành trong doanh nghiệp.
Một thông tin khách hàng có thể được thu thập từ website, lưu trên Cloud, sao lưu ở một hệ thống khác, gửi qua phần mềm bán hàng, chia sẻ cho đối tác hoặc được nhân viên đưa vào công cụ AI để xử lý.
Vì vậy, câu chuyện “quản lý dữ liệu” và “bảo vệ hệ thống” ngày càng gắn chặt với nhau. Luật Dữ liệu giúp doanh nghiệp nhìn rõ hơn vào câu hỏi: Doanh nghiệp đang có dữ liệu gì, đang xử lý dữ liệu đó như thế nào và ai đang được sử dụng? Trong khi đó, Luật An ninh mạng 2025 đặt trọng tâm vào câu hỏi: Doanh nghiệp đang bảo vệ hệ thống và dữ liệu đó ra sao trước các rủi ro trên không gian mạng?
Theo chuyên gia CMC Telecom, doanh nghiệp SME không nên triển khai tuân thủ theo từng quy định riêng lẻ, mà cần nhìn tổng thể vào cách dữ liệu và hệ thống đang được quản lý.
Doanh nghiệp SME cần quan tâm điều gì trước tiên?
Theo chuyên gia CMC Telecom, doanh nghiệp chưa cần bắt đầu bằng việc mua thêm phần mềm hay thay đổi toàn bộ hệ thống. Việc đầu tiên nên là rà soát hiện trạng.
Có bốn câu hỏi quan trọng mà chủ doanh nghiệp có thể bắt đầu cùng đội ngũ IT:
Thứ nhất, doanh nghiệp đang có những loại dữ liệu nào? Có thể là dữ liệu khách hàng, dữ liệu nhân sự, dữ liệu giao dịch, hợp đồng, tài liệu nội bộ hoặc thông tin phục vụ hoạt động kinh doanh. Doanh nghiệp cần biết dữ liệu nào là quan trọng, dữ liệu nào nếu bị mất hoặc rò rỉ có thể gây ảnh hưởng lớn đến khách hàng và hoạt động kinh doanh.
Thứ hai, dữ liệu đang nằm ở đâu? Không chỉ trên server nội bộ, dữ liệu có thể đang nằm trên Cloud, phần mềm kế toán, CRM, email, ứng dụng SaaS, máy tính cá nhân của nhân viên hoặc hệ thống của nhà cung cấp.
Thứ ba, ai đang có quyền truy cập? Một tài khoản cũ chưa bị khóa, một nhân viên có quyền quá rộng hoặc việc dùng chung tài khoản có thể tạo ra rủi ro lớn hơn nhiều so với doanh nghiệp nghĩ. Do đó, quản lý quyền truy cập và tài khoản cần được xem là một phần thiết yếu của tuân thủ.
Thứ tư, nếu có sự cố thì doanh nghiệp xử lý thế nào? Nhiều SME mới chỉ tập trung vào phòng tránh, nhưng chưa có kịch bản rõ ràng khi bị tấn công, mất dữ liệu hoặc website bị khai thác lỗ hổng. Trong khi đó, khả năng phản ứng nhanh có thể quyết định mức độ thiệt hại của một sự cố.
Thay vì ồ ạt mua phần mềm, SME cần lộ trình tối ưu hóa nguồn lực
Đại diện CMC Telecom chia sẻ, trong bối cảnh mới, không ít doanh nghiệp tìm cách mua thêm Firewall, EDR, SOC hoặc nhiều giải pháp khác. Trên thực tế, công nghệ chỉ hiệu quả khi doanh nghiệp hiểu mình đang thiếu gì.
Có doanh nghiệp cần nâng cấp giải pháp bảo vệ. Có doanh nghiệp lại cần bắt đầu từ những việc cơ bản hơn như rà soát tài khoản, cập nhật hệ thống, phân loại dữ liệu, sao lưu đúng cách hoặc khắc phục lỗ hổng trên website.
Với SME, cách tiếp cận phù hợp hơn là: hiểu hiện trạng, xác định khoảng trống, ưu tiên rủi ro và xử lý theo lộ trình. Điều này giúp doanh nghiệp tránh đầu tư dàn trải và tập trung nguồn lực vào những rủi ro có ảnh hưởng thực sự.
Cơ hội để SME “kiểm tra sức khỏe” hệ thống
Luật Dữ liệu và Luật An ninh mạng 2025 không chỉ nâng cao trách nhiệm của doanh nghiệp mà còn là thời điểm để lãnh đạo doanh nghiệp đánh giá lại thực trạng vận hành hệ thống công nghệ và dữ liệu nội bộ.
Website có đang tồn tại lỗ hổng? Nhân viên có dùng công cụ AI hoặc phần mềm ngoài kiểm soát? Dữ liệu khách hàng có đang được lưu ở quá nhiều nơi? Tài khoản của nhân sự đã nghỉ việc đã được khóa chưa? Dữ liệu quan trọng có được sao lưu an toàn không? Theo chuyên gia CMC Telecom, đây đều là những câu hỏi rất thực tế và thường quan trọng hơn việc doanh nghiệp có bao nhiêu sản phẩm bảo mật.
Tại Webinar “Giải mã Luật An ninh mạng 2025 - Doanh nghiệp SME cần làm gì để đáp ứng tuân thủ?” tổ chức ngày 13/8/2026, CMC Telecom cũng nhấn mạnh một thông điệp: Doanh nghiệp SME không cần bắt đầu bằng một hệ thống bảo mật phức tạp. Điều quan trọng là có một lộ trình phù hợp với mức độ rủi ro, quy mô và nguồn lực của chính mình.
Vì vậy, thay vì hỏi “Doanh nghiệp cần mua thêm giải pháp gì?”, chuyên gia CMC Telecom đưa ra gợi ý cho chủ doanh nghiệp - nên bắt đầu bằng một câu hỏi đơn giản hơn: Hệ thống và dữ liệu của mình hiện đang có những rủi ro nào? Trả lời được câu hỏi đó chính là bước đầu tiên để vừa đáp ứng yêu cầu tuân thủ, vừa xây dựng một nền tảng số an toàn hơn cho hoạt động kinh doanh.
(Nguồn: CMC Telecom)
.svg){kind=icon}
