Khi các quy định về an ninh mạng và bảo vệ dữ liệu cá nhân được hoàn thiện, doanh nghiệp không chỉ đối mặt với yêu cầu tuân thủ chặt chẽ hơn mà còn phải thay đổi cách quản trị dữ liệu trong hoạt động hằng ngày. Đây là chủ đề chính của webinar Security Talk 03 do VNPT Cyber Immunity – VCI (Trung tâm An toàn thông tin VNPT thuộc Tập đoàn VNPT) tổ chức mới đây.

Trong đó, các chuyên gia cùng doanh nghiệp tham gia làm rõ một số vấn đề trọng tâm và định hướng giải pháp triển khai thực tiễn: Nhận diện nghĩa vụ và rủi ro pháp lý trong tuân thủ an ninh mạng và bảo vệ dữ liệu cá nhân; Quy trình từ quản lý dữ liệu đến phối hợp nội bộ và kiểm soát rủi ro từ nhà cung cấp; Chủ động ứng phó sự cố, xây dựng quy trình và hồ sơ cần thiết để nâng cao năng lực tuân thủ.

Theo đó, các chuyên gia đến từ VNPT Cyber Immunity khẳng định: Năng lực bảo vệ dữ liệu đang trở thành một nền tảng quan trọng để kiểm soát rủi ro, duy trì hoạt động và củng cố niềm tin của khách hàng, đối tác.

Doanh nghiệp cần rà soát những nghĩa vụ liên quan đến dữ liệu khách hàng

Năm 2026 đánh dấu những thay đổi quan trọng trong khung pháp lý về an ninh mạng và bảo vệ dữ liệu cá nhân tại Việt Nam: Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 1/1/2026, Luật An ninh mạng 2025 từ ngày 1/7/2026; Nghị định 330/2026/NĐ-CP tiếp tục đặt ra các chế tài xử phạt vi phạm hành chính trong lĩnh vực này.

Yêu cầu bảo vệ dữ liệu hiện không chỉ dành cho ngân hàng hay doanh nghiệp công nghệ. Từ tuyển dụng, quản lý nhân sự đến tiếp thị, chăm sóc khách hàng, nhiều hoạt động thường nhật đều liên quan đến dữ liệu cá nhân. Doanh nghiệp phải xác định dữ liệu được thu thập, lưu trữ ở đâu, sử dụng vào mục đích gì, ai được tiếp cận và chịu trách nhiệm.

Tại webinar Security Talk 03, Thạc sĩ, Luật sư Lưu Xuân Vĩnh - Nhà sáng lập và điều hành, Trưởng bộ phận TMT & Trọng tài Quốc tế tại Asia Legal - đã phân tích những nghĩa vụ doanh nghiệp cần rà soát, gồm: căn cứ xử lý dữ liệu, sự đồng ý và quyền của chủ thể dữ liệu, nhân sự phụ trách, hồ sơ đánh giá tác động theo quy định. Một vướng mắc phổ biến là doanh nghiệp chưa có bản đồ dữ liệu đầy đủ để xác định các hoạt động xử lý và trách nhiệm liên quan.

Bên cạnh đó, rủi ro không chỉ nằm ở mức xử phạt mà còn là rất nhiều hệ lụy đi kèm. Hãy hình dung một doanh nghiệp phát hiện mã độc tống tiền đã mã hóa máy chủ nhân sự, kèm dấu hiệu dữ liệu bị đánh cắp. Bên cạnh việc khôi phục hệ thống và điều tra sự cố, doanh nghiệp còn phải đánh giá nghĩa vụ thông báo theo quy định, phối hợp giữa các bộ phận và kiểm soát việc chia sẻ dữ liệu. Nếu chậm trễ hoặc xử lý không đúng quy trình, doanh nghiệp có thể đối mặt với tổn thất vận hành, chi phí khắc phục và suy giảm niềm tin từ khách hàng, người lao động, đối tác.

Trong bối cảnh đó, "tuân thủ" pháp luật không thể dừng ở việc nắm bắt quy định hay hoàn thiện hồ sơ khi có yêu cầu kiểm tra, mà còn ở việc chủ động nhận diện rủi ro và chuẩn bị năng lực ứng phó trước khi sự cố xảy ra.

Bảo vệ dữ liệu - bài toán về quy trình, năng lực

Một trong những vướng mắc phổ biến là doanh nghiệp chưa xác định được điểm khởi đầu. Pháp chế phụ trách quy định, IT quản lý hệ thống, trong khi Nhân sự, Marketing và Kinh doanh trực tiếp xử lý dữ liệu mỗi ngày. Nếu thiếu cơ chế phối hợp, doanh nghiệp dễ bỏ sót nghĩa vụ hoặc không xác định rõ trách nhiệm khi phát sinh sự cố.

Theo ông Đặng Quốc Bình - Chuyên gia Quy trình – Tuân thủ (VCI), hệ thống cũ, dịch vụ bên ngoài và quyền truy cập chưa được kiểm soát đầy đủ là những thách thức đáng chú ý. Các biện pháp phân quyền, mã hóa, ghi nhật ký hoạt động và giám sát bất thường cần được triển khai phù hợp với mức độ rủi ro. Doanh nghiệp đồng thời phải xác định trước quy trình ứng phó, đầu mối phối hợp và người có thẩm quyền quyết định.

Theo định hướng tư vấn của VCI, tuân thủ nên được tích hợp vào hoạt động quản trị thường xuyên, với sự phối hợp đồng bộ giữa con người, quy trình và công nghệ dưới sự chỉ đạo của Ban lãnh đạo. Trước hết, doanh nghiệp cần xây dựng bản đồ dữ liệu, xác định dữ liệu đang được thu thập và lưu trữ ở đâu, ai có quyền truy cập, dữ liệu được chia sẻ với những bên nào và các rủi ro cần ưu tiên xử lý. Những tài liệu này không chỉ phục vụ công tác kiểm tra mà còn giúp doanh nghiệp chứng minh năng lực quản trị an toàn thông tin khi đối tác yêu cầu thẩm định trước hợp tác, đặc biệt trong các quan hệ kinh doanh có yếu tố nước ngoài.

Từ nhu cầu này, VNPT Cyber Immunity triển khai các dịch vụ tư vấn giúp doanh nghiệp tổ chức công tác an toàn thông tin bài bản hơn. Dịch vụ Tư vấn an toàn thông tin VNPT hỗ trợ xây dựng mô hình bảo mật tổng thể, kết nối nhân sự, quy trình và công nghệ; tư vấn hệ thống quản lý theo ISO/IEC 27001, tham chiếu NIST, đánh giá mức độ trưởng thành và tích hợp bảo mật vào phát triển sản phẩm.

Cùng với đó, Dịch vụ Xây dựng chính sách an toàn thông tin hỗ trợ chuẩn hóa quy định nội bộ, phân định trách nhiệm và thiết lập cơ chế quản lý thống nhất. Phạm vi triển khai được xác định theo quy mô, đặc thù và mức độ rủi ro của từng doanh nghiệp, thay vì áp dụng một mô hình chung.

Bên cạnh hoạt động tư vấn, VNPT Cyber Immunity duy trì chuỗi Security Talk để chia sẻ kiến thức và kinh nghiệm thực tiễn. Security Talk 03 với chủ đề “Gỡ rối tuân thủ nghị định về An ninh mạng và Bảo vệ dữ liệu cá nhân cho doanh nghiệp” kết nối góc nhìn pháp lý của luật sư Lưu Xuân Vĩnh với chuyên môn kỹ thuật, quy trình của ông Đặng Quốc Bình.

Tuân thủ không thể chỉ đo bằng số lượng văn bản hay hồ sơ đã hoàn thành. Khi bảo vệ dữ liệu trở thành một phần của quản trị và vận hành, doanh nghiệp có thêm năng lực kiểm soát rủi ro, bảo vệ hoạt động kinh doanh và duy trì niềm tin khách hàng. Đây cũng là hướng VNPT đồng hành cùng doanh nghiệp trong quá trình chuyển đổi số an toàn, bền vững.