Bảo vệ dữ liệu không chỉ là yêu cầu pháp lý mà còn góp phần bảo đảm hoạt động ổn định, bảo vệ quyền lợi của người dùng và củng cố niềm tin trong quá trình chuyển đổi số.
Bảo vệ dữ liệu không còn là việc riêng của bộ phận công nghệ
Năm 2026 đánh dấu những thay đổi quan trọng trong khung pháp lý về an ninh mạng và bảo vệ dữ liệu cá nhân tại Việt Nam. Những yêu cầu mới đặt ra đòi hỏi doanh nghiệp phải rà soát cách thu thập, lưu trữ, sử dụng và chia sẻ dữ liệu trong toàn bộ quá trình hoạt động.
Trên thực tế, dữ liệu cá nhân hiện diện trong nhiều công việc thường nhật, từ tuyển dụng, quản lý nhân sự đến tiếp thị và chăm sóc khách hàng. Vì vậy, trách nhiệm bảo vệ dữ liệu không chỉ thuộc về bộ phận công nghệ thông tin mà cần có sự phối hợp giữa các bộ phận pháp chế, nhân sự, kinh doanh, marketing và ban lãnh đạo.
Doanh nghiệp cần xác định rõ những loại dữ liệu đang được thu thập, mục đích xử lý, nơi lưu trữ, phạm vi chia sẻ và những cá nhân được quyền tiếp cận. Việc phân định trách nhiệm ngay từ đầu giúp hạn chế nguy cơ sử dụng dữ liệu sai mục đích, đồng thời tạo cơ sở để xử lý các tình huống phát sinh.
Tại webinar Security Talk 03 do VNPT Cyber Immunity (VCI) tổ chức, Thạc sĩ, Luật sư Lưu Xuân Vĩnh - Luật sư sáng lập và điều hành, Trưởng bộ phận TMT và Trọng tài Quốc tế tại Asia Legal, đã phân tích những nghĩa vụ doanh nghiệp cần rà soát trong quá trình tuân thủ quy định về bảo vệ dữ liệu cá nhân.
Các nội dung đáng chú ý gồm căn cứ xử lý dữ liệu, sự đồng ý và quyền của chủ thể dữ liệu, nhân sự phụ trách cũng như hồ sơ đánh giá tác động theo quy định. Trong đó, việc chưa xây dựng được bản đồ dữ liệu đầy đủ là một trong những vướng mắc khiến doanh nghiệp gặp khó khăn khi xác định phạm vi xử lý và trách nhiệm liên quan.
Những thiếu sót trong quản trị dữ liệu có thể dẫn đến hệ quả vượt ra ngoài phạm vi xử phạt hành chính. Chẳng hạn, khi hệ thống nhân sự bị mã độc tống tiền mã hóa, kèm theo dấu hiệu dữ liệu bị đánh cắp, doanh nghiệp không chỉ phải khôi phục hệ thống và điều tra nguyên nhân mà còn cần đánh giá nghĩa vụ thông báo, tổ chức phối hợp giữa các bộ phận và kiểm soát việc tiếp tục chia sẻ dữ liệu.
Nếu thiếu quy trình ứng phó hoặc chậm trễ trong xử lý, sự cố có thể làm gián đoạn hoạt động, phát sinh chi phí khắc phục và ảnh hưởng đến quyền lợi của người lao động, khách hàng cũng như đối tác. Đáng chú ý, những tổn thất về uy tín và niềm tin có thể kéo dài ngay cả khi hệ thống kỹ thuật đã được khôi phục.
Thực tế này cho thấy việc nắm bắt quy định hoặc hoàn thiện hồ sơ để phục vụ kiểm tra là chưa đủ. Doanh nghiệp cần chủ động nhận diện rủi ro, chuẩn bị phương án ứng phó và duy trì khả năng kiểm soát dữ liệu trong hoạt động hằng ngày.
Từ tuân thủ bị động đến quản trị rủi ro chủ động
Một trong những khó khăn của doanh nghiệp là chưa xác định được điểm bắt đầu khi triển khai các yêu cầu về an toàn thông tin. Bộ phận pháp chế phụ trách quy định, bộ phận công nghệ thông tin quản lý hệ thống, trong khi nhiều đơn vị khác trực tiếp tiếp xúc và xử lý dữ liệu. Nếu thiếu cơ chế phối hợp, trách nhiệm dễ bị phân tán, dẫn đến bỏ sót nghĩa vụ hoặc lúng túng khi xảy ra sự cố.
Theo ông Đặng Quốc Bình, chuyên gia Quy trình – Tuân thủ của VCI, hệ thống công nghệ cũ, việc sử dụng dịch vụ bên ngoài và quyền truy cập chưa được kiểm soát đầy đủ là những thách thức đáng chú ý trong quá trình bảo vệ dữ liệu.
Để giảm thiểu rủi ro, doanh nghiệp cần triển khai các biện pháp như phân quyền truy cập, mã hóa dữ liệu, ghi nhật ký hoạt động và giám sát những dấu hiệu bất thường. Các giải pháp cần được lựa chọn phù hợp với quy mô, đặc thù hoạt động và mức độ rủi ro, thay vì triển khai dàn trải hoặc chỉ tập trung vào một số hệ thống riêng lẻ.
Cùng với giải pháp kỹ thuật, việc xây dựng quy trình ứng phó sự cố có ý nghĩa quan trọng. Doanh nghiệp cần xác định đầu mối chịu trách nhiệm, cơ chế phối hợp giữa các bộ phận và người có thẩm quyền đưa ra quyết định. Khi sự cố xảy ra, quy trình rõ ràng sẽ giúp hạn chế sự lúng túng, rút ngắn thời gian xử lý và giảm thiểu ảnh hưởng đến hoạt động kinh doanh.
Theo định hướng tư vấn của VCI, công tác tuân thủ nên được tích hợp vào hoạt động quản trị thường xuyên, trên cơ sở phối hợp giữa con người, quy trình và công nghệ, dưới sự chỉ đạo của ban lãnh đạo.
Trước hết, doanh nghiệp cần xây dựng bản đồ dữ liệu để xác định dữ liệu được thu thập, lưu trữ ở đâu, ai có quyền truy cập, dữ liệu được chia sẻ với những bên nào và những rủi ro nào cần ưu tiên xử lý. Đây là cơ sở giúp doanh nghiệp nhìn nhận toàn diện dòng chảy dữ liệu trong tổ chức, từ đó thiết lập các biện pháp bảo vệ phù hợp.
Việc chuẩn hóa hồ sơ và quy trình cũng mang lại lợi ích trong quan hệ hợp tác kinh doanh. Khi đối tác yêu cầu thẩm định năng lực quản trị an toàn thông tin trước khi ký kết hợp đồng, đặc biệt trong các quan hệ có yếu tố nước ngoài, doanh nghiệp có thể chủ động cung cấp thông tin và chứng minh cách thức kiểm soát rủi ro của mình.
Quan trọng hơn, quản trị dữ liệu cần được duy trì liên tục, thay vì chỉ thực hiện khi có yêu cầu kiểm tra hoặc sau khi xảy ra sự cố. Khi hoạt động thu thập, sử dụng và chia sẻ dữ liệu thay đổi, doanh nghiệp cũng cần rà soát các quy trình liên quan để bảo đảm biện pháp bảo vệ theo kịp thực tế vận hành.
Nâng cao năng lực bảo vệ dữ liệu trong chuyển đổi số
Để hỗ trợ doanh nghiệp xây dựng hệ thống quản trị an toàn thông tin, VNPT Cyber Immunity triển khai các dịch vụ tư vấn theo hướng kết nối giữa yêu cầu pháp lý, quy trình nội bộ và giải pháp công nghệ.
Trong đó, Dịch vụ Tư vấn an toàn thông tin VNPT hỗ trợ doanh nghiệp xây dựng mô hình bảo mật tổng thể, tư vấn hệ thống quản lý theo tiêu chuẩn ISO/IEC 27001, tham chiếu khung NIST, đánh giá mức độ trưởng thành và tích hợp bảo mật vào quá trình phát triển sản phẩm.
Bên cạnh đó, Dịch vụ Xây dựng chính sách an toàn thông tin hướng đến việc chuẩn hóa các quy định nội bộ, phân định trách nhiệm và thiết lập cơ chế quản lý thống nhất. Phạm vi triển khai được xác định dựa trên quy mô, đặc thù hoạt động và mức độ rủi ro của từng doanh nghiệp.
Việc xây dựng chính sách và quy trình cần gắn với khả năng thực hiện trên thực tế. Các quy định chỉ phát huy hiệu quả khi người lao động hiểu rõ trách nhiệm, các bộ phận phối hợp thống nhất và hệ thống kỹ thuật hỗ trợ kiểm soát việc truy cập, sử dụng dữ liệu. Do đó, nâng cao nhận thức và duy trì việc rà soát định kỳ cũng là những yếu tố cần được chú trọng.
Song song với hoạt động tư vấn, VCI duy trì chuỗi Security Talk nhằm chia sẻ kiến thức và kinh nghiệm thực tiễn về an toàn thông tin. Chương trình Security Talk 03 với chủ đề “Gỡ rối tuân thủ nghị định về An ninh mạng và Bảo vệ dữ liệu cá nhân cho doanh nghiệp” đã kết nối góc nhìn pháp lý của luật sư Lưu Xuân Vĩnh với chuyên môn kỹ thuật và quy trình của ông Đặng Quốc Bình.
Thông qua việc trao đổi các vấn đề pháp lý và tình huống vận hành, chương trình góp phần giúp doanh nghiệp nhận diện những nội dung cần ưu tiên, đồng thời có thêm cơ sở để xây dựng lộ trình bảo vệ dữ liệu phù hợp với điều kiện thực tế.
Trong môi trường số, dữ liệu vừa là nguồn lực phục vụ hoạt động sản xuất, kinh doanh, vừa gắn trực tiếp với quyền riêng tư và quyền lợi của khách hàng, người lao động. Bởi vậy, bảo vệ dữ liệu cần được nhìn nhận như một phần thiết yếu của quản trị doanh nghiệp, không đơn thuần là nhiệm vụ kỹ thuật hay yêu cầu hoàn thiện thủ tục.
Khi được triển khai đồng bộ, các biện pháp quản trị dữ liệu có thể giúp doanh nghiệp kiểm soát rủi ro tốt hơn, nâng cao khả năng ứng phó sự cố và duy trì hoạt động ổn định. Đây cũng là cơ sở để xây dựng niềm tin với khách hàng, đối tác và người lao động, góp phần thúc đẩy quá trình chuyển đổi số theo hướng an toàn, có trách nhiệm và bền vững.
Thanh Tùng
