Lawyer Nguyen Viet Thuy Trang

Trong bối cảnh chuyển đổi số quốc gia đang diễn ra mạnh mẽ, không gian mạng đã trở thành môi trường hoạt động thiết yếu nhưng cũng đầy rẫy rủi ro cho các doanh nghiệp nhỏ và vừa (SMEs). Với sự ra đời của Luật An ninh mạng 2025 (Luật số 116/2025/QH15), khung pháp lý về bảo vệ an ninh mạng, an ninh dữ liệu đã được thắt chặt, đặt ra những yêu cầu bắt buộc đối với chủ quản hệ thống thông tin. Tuy nhiên, SMEs hiện đang là “mắt xích yếu nhất” trong chuỗi cung ứng toàn cầu, thường xuyên đối mặt với các hành vi tấn công mạng tinh vi như mã độc tống tiền (ransomware), gián điệp mạng và lừa đảo bằng công nghệ AI. Bài viết này cung cấp cái nhìn tổng thể về thực trạng, hậu quả và các biện pháp phòng thủ căn bản dưới góc độ pháp lý và kỹ thuật cho doanh nghiệp.

5 thực trạng mà SMEs đối mặt trước nguy cơ tấn công mạng

1. Tâm lý chủ quan về quy mô doanh nghiệp: Nhiều chủ doanh nghiệp SMEs vẫn duy trì tư duy “mất bò mới lo làm chuồng”, cho rằng dữ liệu của mình ít giá trị và quy mô nhỏ nên không phải là mục tiêu của hacker. Thực tế, Việt Nam hiện là “điểm nóng” chịu ảnh hưởng nặng nề nhất khu vực Đông Nam Á với hơn 322.000 vụ tấn công gián điệp mạng được ghi nhận chỉ trong năm 2025.
2. Mã độc “nằm vùng” phổ biến: Có một thực tế nghiệt ngã là hơn 90% doanh nghiệp Việt Nam khi kiểm tra đều phát hiện mã độc đang “nằm vùng” trong hệ thống. Những mã độc này không tấn công ngay mà âm thầm giám sát, bòn rút dữ liệu và chờ đợi thời cơ để gây tê liệt hệ thống.
3. Lỗ hổng chí mạng trong quản trị danh tính: Theo báo cáo an ninh mạng năm 2025, có đến 90-100% doanh nghiệp SMEs gặp lỗi trong quản trị danh tính (Identity Management). Việc cấp quyền truy cập quá rộng cho nhân viên hoặc không thu hồi tài khoản của người đã nghỉ việc đang tạo ra “con đường trải thảm” cho tội phạm mạng xâm nhập vào hệ thống lõi.
4. SMEs bị lợi dụng làm “điểm xâm nhập” chuỗi cung ứng: Hacker đang thay đổi chiến thuật, sử dụng SMEs có mức độ bảo mật thấp nhưng có mối quan hệ tin cậy cao để làm bàn đạp tấn công vào các tập đoàn, doanh nghiệp lớn trong cùng chuỗi cung ứng.
5. Sự trỗi dậy của kỹ nghệ lừa đảo bằng AI (Deepfake): Các cuộc tấn công có sự hỗ trợ của trí tuệ nhân tạo (AI) đạt tỷ lệ thành công lên tới 70%. Hacker sử dụng Deepfake để giả mạo hình ảnh, giọng nói lãnh đạo yêu cầu chuyển tiền gấp, khiến nhân viên dễ dàng sập bẫy do lòng tin.

3 hậu quả trực tiếp mà SMEs phải gánh chịu

1. Nguy cơ phá sản và ngừng hoạt động: Đây là hậu quả khốc liệt nhất khi số liệu thống kê cho thấy 60% doanh nghiệp vừa và nhỏ phải ngừng hoạt động trong vòng 6 tháng sau khi bị tấn công bởi mã độc tống tiền (ransomware).
2. Thiệt hại tài chính khổng lồ: Tổng thiệt hại do các hình thức tấn công mạng nhắm vào doanh nghiệp tại Việt Nam đạt con số 18.900 tỷ VNĐ. Ngoài việc bị mất tiền trực tiếp qua các giao dịch lừa đảo, doanh nghiệp còn tốn kém chi phí để phục hồi dữ liệu và xử lý sự cố.
3. Trách nhiệm pháp lý và tổn thất uy tín: Theo quy định, doanh nghiệp có nghĩa vụ báo cáo sự cố an ninh mạng cho cơ quan chức năng trong vòng 72 giờ. Nếu để rò rỉ dữ liệu khách hàng, doanh nghiệp không chỉ đối mặt với các án phạt hành chính theo Luật An ninh mạng mà còn mất đi sự tin cậy từ đối tác và người tiêu dùng, dẫn đến tổn thương thương hiệu lâu dài.

5 biện pháp hữu hiệu phòng chống tấn công mạng và bảo vệ hệ thống

1. Thắt chặt quản trị danh tính và xác thực đa yếu tố (MFA): Doanh nghiệp cần xây dựng hệ thống phân quyền nghiêm ngặt, áp dụng cơ chế xác thực hai lớp cho tất cả các tài khoản truy cập vào hệ thống nội bộ để ngăn chặn việc chiếm đoạt danh tính số.
2. Cập nhật phần mềm và vá lỗi định kỳ: Luôn ưu tiên cập nhật các bản vá lỗi cho hệ điều hành và phần mềm để ngăn chặn hacker khai thác các lỗ hổng zero-day. Đồng thời, cần hạn chế tối đa việc mở cổng điều khiển từ xa (RDP) trực tiếp ra Internet.
3. Chiến lược sao lưu dữ liệu tách biệt: Duy trì thói quen sao lưu (backup) dữ liệu quan trọng định kỳ và lưu trữ tại các thiết bị tách biệt hoàn toàn với mạng nội bộ. Đây là “phao cứu sinh” duy nhất giúp doanh nghiệp phục hồi hoạt động nếu chẳng may bị ransomware mã hóa toàn bộ dữ liệu.
4. Đầu tư ngân sách và nhân lực theo đúng quy định pháp luật: Luật An ninh mạng 2025 yêu cầu các cơ quan, tổ chức phải bố trí kinh phí bảo vệ an ninh mạng. SMEs nên cân nhắc dành tối thiểu 15% kinh phí ứng dụng công nghệ thông tin cho công tác bảo mật và bố trí nhân sự chuyên trách hoặc thuê dịch vụ giám sát an ninh mạng chuyên nghiệp.
5. Xây dựng văn hóa an toàn và kịch bản ứng phó sự cố: Đào tạo nhân viên nhận diện phishing và áp dụng cơ chế “miễn trừ trách nhiệm” đối với người chủ động báo cáo sự cố sớm. Doanh nghiệp cần chuẩn bị sẵn kịch bản diễn tập ứng phó như quy trình phòng cháy chữa cháy để không bị động khi xảy ra tấn công thực tế.

Nguồn tham khảo:

• Báo cáo diễn đàn “Tương lai số an toàn cho doanh nghiệp vừa và nhỏ” (15/4/2026).
• Báo cáo an ninh mạng Kaspersky (2025).
• Báo cáo Tổng hợp An ninh mạng VSEC (2025-2026).
• Luật An ninh mạng 2025 số 116/2025/QH15.