Hộ kinh doanh trước cảnh báo an ninh mạng: Năng lực chống đỡ còn chênh lệch
Cảnh báo của Công an Thành phố Hà Nội về nguy cơ vi phạm pháp luật an ninh mạng đối với doanh nghiệp, hộ kinh doanh, khuyến cáo cần chú ý đặc biệt về nghĩa vụ bảo đảm an ninh mạng trong quá trình chuyển đổi số.
Tuy nhiên, các doanh nghiệp, hộ kinh doanh vừa và nhỏ lại đang chưa phân bổ đủ nguồn lực và có tư duy kinh doanh tương xứng với những mối đe dọa về an ninh mạng hiện tại.
Cảnh báo chi tiết về trách nhiệm an ninh mạng
Văn bản cảnh báo tập trung vào nghĩa vụ pháp lí phát sinh trong quá trình chuyển đổi số. Theo đó, doanh nghiệp không được giao toàn bộ trách nhiệm bảo mật cho bên cung cấp phần mềm hay nền tảng thứ ba, mà vẫn phải giám sát qua hợp đồng bằng văn bản. Việc triển khai các biện pháp bảo vệ phải tương xứng với mức độ nhạy cảm của dữ liệu.
Khi sự cố xảy ra, doanh nghiệp không được che giấu hay xóa dấu vết, mà phải báo cơ quan công an trong 24 giờ, báo cơ quan chuyên trách bảo vệ dữ liệu trong 72 giờ nếu có nguy cơ ảnh hưởng tới tính mạng, sức khỏe, danh dự hoặc tài sản người bị hại. Mức phạt hành chính dao động 30-40 triệu đồng với cá nhân, gấp đôi với tổ chức.
Mức phạt trong trường hợp thu lợi bất chính có thể lên tới 3 tỉ đồng hoặc gấp 10 lần khoản thu lợi nếu mua bán trái phép dữ liệu. Trách nhiệm hình sự có thể tới 7 năm tù.
Tuy nhiên, các hộ kinh doanh vừa và nhỏ chưa được hướng dẫn cụ thể, dù đây hoàn toàn là một "cửa ngõ" để kẻ xấu xâm nhập. Tin tặc nhắm vào những phần mềm quản lí bán hàng, những công cụ kế toán giá rẻ mà hàng chục nghìn hộ kinh doanh cùng sử dụng. Chúng cũng có thể mua lại dữ liệu bị rò rỉ trên chợ đen để gộp lại thành những gói thông tin đủ lớn, đủ giá trị.
Với tin tặc, một cửa hàng nhỏ không hấp dẫn, nhưng nhiều cửa hàng dùng chung một phần mềm có lỗ hổng lại là mục tiêu đáng để nhắm đến.
Doanh nghiệp lớn cũng bị xuyên thủng
Nếu cảnh báo pháp lí cần một minh chứng cho thấy rủi ro là có thật, thì chuỗi sự cố của chính những doanh nghiệp lớn ở Việt Nam là nơi có nhiều ví dụ cụ thể.
Theo công bố của Bộ Công an, Công ty VNG từng để lộ hơn 163 triệu tài khoản khách hàng, một trong những vụ rò rỉ dữ liệu có quy mô lớn nhất được ghi nhận tại Việt Nam. Thế Giới Di Động và hệ thống Điện Máy Xanh cũng từng bị xâm nhập, khiến hơn 5 triệu địa chỉ email cùng hàng chục nghìn thông tin thẻ thanh toán bị lộ. Vietnam Airlines có hai lần dính sự cố tin tặc thâm nhập, buộc hãng phải lên tiếng xin lỗi.
Song song đó, Công an Hà Nội vừa triệt phá một đường dây gồm 5 đối tượng sản xuất, mua bán và trao đổi phần mềm độc hại có khả năng qua mặt xác thực sinh trắc học của các tổ chức tín dụng. Đáng chú ý, đây là lớp bảo mật được coi là chặt chẽ bậc nhất trong hệ thống tài chính, được thiết kế để chống lại kiểu tấn công chiếm đoạt tài khoản.
Điểm chung của các vụ việc này không phải là sự thiếu chuẩn bị. Đây đều là những tập đoàn quy mô lớn, hoàn toàn có điều kiện đầu tư cho an ninh mạng hơn hẳn một hộ kinh doanh cá thể.
Theo một khảo sát được VnEconomy dẫn lại, thiệt hại trung bình của một vụ lộ dữ liệu tại khu vực Đông Nam Á lên tới 3 triệu USD. Tổ chức bị tấn công thường mất trung bình 277 ngày để xử lý trọn vẹn một sự cố, bao gồm 204 ngày để phát hiện ra mình đã bị xâm nhập và thêm 73 ngày để khắc phục.
Một hạ tầng an ninh mạng đủ để giám sát liên tục 24/7 và phát hiện sớm các dấu hiệu bất thường có thể tiêu tốn 2-3 tỉ đồng, con số đủ lớn để trở thành rào cản ngay cả với nhiều doanh nghiệp vừa.
Theo chuyên gia an ninh mạng Ngô Minh Hiếu (Hiếu PC), Việt Nam ghi nhận khoảng 552.000 cuộc tấn công mạng trong năm 2025. Trong một khảo sát, có tới 52,3% tổ chức, doanh nghiệp cho biết đã chịu tổn hại.
Hộ kinh doanh: trách nhiệm lớn nhưng "sức ì" cũng lớn
Ông Ngô Trần Vũ, Giám đốc Công ty NTS Security, mô tả khá rõ tâm lí phổ biến của nhóm hộ kinh doanh cá thể: "Quan sát thực tế, các doanh nghiệp có quy mô nhỏ hoặc các hộ kinh doanh cá thể thường vận hành theo tư duy tối ưu hóa chi phí ngắn hạn. Họ sẵn sàng chi hàng chục, hàng trăm triệu đồng mua sắm phần cứng, bàn ghế, mặt bằng, nhưng lại vô cùng đắn đo khi phải bỏ ra vài triệu đồng để mua bản quyền cho một hệ điều hành, một phần mềm thiết kế hay một giải pháp văn phòng".
Hệ quả của lựa chọn này nghiêm trọng dần theo thời gian doanh nghiệp sử dụng phần mềm không bảo mật. Những công cụ kích hoạt trôi nổi trên mạng phần lớn đã bị cài sẵn mã độc. Chúng âm thầm ghi lại thao tác bàn phím, chụp lại màn hình, đánh cắp thông tin đăng nhập ngân hàng và dữ liệu trình duyệt.
Ông Vũ cũng lưu ý thêm: "Nhiều doanh nghiệp dù đã có ý thức trang bị phần mềm có bản quyền nhưng lại bỏ bê việc bảo trì, không bao giờ cập nhật các bản vá lỗi từ nhà sản xuất". Ngay cả khi đã bỏ tiền mua phần mềm hợp pháp, nhiều hộ kinh doanh vẫn để ngỏ cánh cửa vì chậm cập nhật.
Để thu hẹp khoảng cách này, Hiếu PC đề xuất mô hình phân bổ ngân sách "7-2-1" dành cho doanh nghiệp có nguồn lực hạn chế: 70% cho nền tảng cơ bản như xác thực đa yếu tố, vá lỗi, sao lưu dữ liệu theo nguyên tắc 3-2-1, bảo vệ email và thiết bị; 20% cho quản trị việc sử dụng công cụ trong nội bộ; 10% cho đào tạo, diễn tập.
Tuy nhiên, mô hình này giả định doanh nghiệp ít nhất đã có một ngân sách nào đó để phân bổ cho an ninh mạng theo tỉ lệ 7-2-1. Với một hộ kinh doanh còn đắn đo hay thực sự có ngân sách eo hẹp, sẽ cần thời gian đáng kể để thay đổi thói quen.
Văn bản cảnh báo của Bộ Công an cũng nhấn mạnh "nhiều vụ việc không xuất phát từ hành vi cố ý vi phạm mà bắt nguồn từ sự chủ quan, thiếu hiểu biết hoặc chưa quan tâm đúng mức đến các yêu cầu pháp lí trong quá trình vận hành hệ thống thông tin". Khoảng cách giữa nghĩa vụ pháp lí ngày càng siết chặt và năng lực kĩ thuật còn nhiều lỗ hổng của khối hộ kinh doanh mới là rủi ro cần được chú ý đặc biệt.
