“Điểm mù” phía sau những thiết bị doanh nghiệp tưởng đã an toàn

Nền kinh tế số Việt Nam tiếp tục mở rộng trong bối cảnh quá trình chuyển đổi số quốc gia được đẩy mạnh. Theo Cục Thống kê, Bộ Tài chính, năm 2025, tỷ trọng giá trị tăng thêm của kinh tế số ước đạt 14,02% GDP, tương đương khoảng 72,1 tỷ USD và tăng 1,64 lần so với năm 2020. Các ngành kinh tế số lõi đóng góp khoảng 43,3 tỷ USD, trong khi hoạt động số hóa ở những ngành khác đóng góp khoảng 28,8 tỷ USD.

Cùng với những chiến lược chuyển đổi số đã được triển khai trong nhiều năm, Nghị quyết 57-NQ/TW, ban hành cuối năm 2024, đang tạo thêm động lực cho phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia.

Tuy nhiên, quy mô hoạt động số càng lớn cũng đồng nghĩa doanh nghiệp phải bảo vệ nhiều điểm kết nối hơn. Máy tính xách tay của nhân viên làm việc từ xa, điện thoại sử dụng email và ứng dụng công việc, máy chủ từ xa hay thiết bị truy cập dịch vụ đám mây đều có thể trở thành điểm bắt đầu của một sự cố an ninh mạng.

Có nhiều công cụ hơn nhưng thiệt hại vẫn tăng

Số liệu năm 2025 cho thấy một nghịch lý đáng chú ý. Việt Nam ghi nhận khoảng 552.000 cuộc tấn công mạng, giảm 19,38% so với năm 2024. Tuy nhiên, tỷ lệ cơ quan và doanh nghiệp cho biết đã chịu thiệt hại lại tăng từ 46,15% lên 52,3%.

Mức độ chuẩn bị của các tổ chức đã có những cải thiện nhất định: 75,93% triển khai đào tạo nhận thức an ninh mạng, 51,45% tổ chức diễn tập, 51,65% đã triển khai hoặc vận hành trung tâm điều hành an ninh mạng và 76,35% có hệ thống sao lưu dữ liệu. Các con số được tổng hợp từ khảo sát hơn 5.300 cơ quan và tổ chức trên cả nước.

Việc số cuộc tấn công giảm nhưng tỷ lệ chịu thiệt hại tăng cho thấy thách thức không chỉ nằm ở số lượng. Các chiến dịch tấn công đang có xu hướng kết hợp nhiều kỹ thuật, duy trì hiện diện trong hệ thống để đánh cắp dữ liệu trước khi mã hóa hệ thống và đòi tiền chuộc.

Theo ông Phạm Huân, Giám đốc kỹ thuật khu vực, ManageEngine, việc quản lý thiết bị độc lập với các công cụ kiểm soát bảo mật có thể khiến tổ chức chỉ nhìn thấy một phần môi trường của mình. Khi dữ liệu quản lý và bảo mật bị phân tán, khoảng trống về giám sát và kiểm soát có thể làm chậm quá trình phát hiện và xử lý sự cố.

Từ kiểm kê thiết bị đến khả năng hành động

Cách quản lý thiết bị đầu cuối truyền thống thường tập trung vào việc lập danh mục thiết bị, xác định người sử dụng, phiên bản hệ điều hành và phần mềm đã cài đặt. Đây là nền tảng cần thiết, nhưng chủ yếu mới trả lời câu hỏi doanh nghiệp đang sở hữu những gì.

Để đánh giá rủi ro, doanh nghiệp còn phải biết thiết bị đã được cập nhật bản vá hay chưa, dữ liệu có được mã hóa không, cấu hình có đáp ứng chính sách bảo mật không và có xuất hiện tín hiệu bất thường nào hay không.

Trạng thái này không cố định. Một thiết bị đang đáp ứng yêu cầu có thể trở nên dễ bị tổn thương khi xuất hiện lỗ hổng mới, người dùng cài thêm ứng dụng hoặc thay đổi cấu hình. Vì vậy, báo cáo tuân thủ tại một thời điểm không thể đại diện cho mức độ an toàn của thiết bị trong suốt quá trình sử dụng.

Bước tiếp theo là khả năng hành động. Khi phát hiện thiết bị không còn đáp ứng yêu cầu, lớp quản lý cần có khả năng cảnh báo, triển khai bản vá hoặc thực thi lệnh điều chỉnh cấu hình để giảm thiểu rủi ro.

Trong nhiều tổ chức, ba nhóm thông tin này vẫn nằm ở các hệ thống khác nhau. Bộ phận CNTT quản lý danh mục thiết bị, đội ngũ bảo mật theo dõi cảnh báo, còn danh tính và quyền truy cập được vận hành độc lập. Khoảng thời gian cần để đối chiếu dữ liệu và phối hợp hành động có thể trở thành cơ hội để kẻ tấn công tiến sâu hơn vào hệ thống.

Xác thực đúng người chưa đồng nghĩa với truy cập an toàn

Xác thực danh tính từ lâu là một trong những lớp kiểm soát bảo mật quan trọng. Tuy nhiên, một người dùng được xác thực hợp lệ vẫn có thể tạo ra rủi ro nếu truy cập dữ liệu công ty từ thiết bị không được quản lý, chưa vá lỗi hoặc không đáp ứng chính sách bảo mật.

Rủi ro này trở nên đáng chú ý khi ranh giới giữa thiết bị cá nhân và thiết bị phục vụ công việc ngày càng mờ. Hệ thống chống lừa đảo nTrust ghi nhận 62.952 chủng mã độc di động mới tại Việt Nam trong năm 2025, trong đó có 931 biến thể giả mạo các ứng dụng phổ biến để đánh cắp thông tin hoặc chiếm quyền điều khiển thiết bị. Tỷ lệ người dùng gặp ít nhất một sự cố liên quan mã độc cũng tăng từ 23,4% lên 34,13%.

Khi điện thoại cá nhân đồng thời được sử dụng để nhận mã xác thực, đọc email và truy cập ứng dụng công việc, rủi ro trên thiết bị có thể ảnh hưởng đến dữ liệu doanh nghiệp.

Theo ông Phạm Huân, các quyết định truy cập vì vậy không nên chỉ dựa vào danh tính hoặc vị trí của người dùng. Phiên bản hệ điều hành, tình trạng mã hóa, lịch sử cập nhật bản vá và mức độ tuân thủ của thiết bị cũng cần trở thành dữ liệu đầu vào cho cơ chế truy cập có điều kiện.

UEM kết nối quản lý với bảo mật

Quản lý thiết bị đầu cuối hợp nhất (Unified Endpoint Management - UEM) giúp thu hẹp khoảng cách giữa quản lý tài sản, trạng thái bảo mật và khả năng thực thi chính sách.

Thay vì chỉ cung cấp danh sách thiết bị, UEM kết hợp thông tin về cấu hình, bản vá, ứng dụng và tình trạng tuân thủ trên một nền tảng thống nhất. Khi được kết nối với hệ thống quản lý danh tính và các công cụ bảo mật, dữ liệu này có thể hỗ trợ tổ chức xác định thiết bị nào đáp ứng yêu cầu truy cập và thiết bị nào cần được khắc phục.

Theo ông Phạm Huân, UEM giúp thu hẹp khoảng cách giữa quản lý thiết bị và bảo mật bằng cách kết hợp khả năng giám sát, bối cảnh bảo mật và thực thi tự động. Khi phát hiện mối đe dọa hoặc trạng thái không tuân thủ, lớp quản lý có thể được cấu hình để tự động cài đặt bản vá hoặc thực thi lệnh điều chỉnh cấu hình, qua đó giảm sự phụ thuộc vào thao tác thủ công.

UEM không thay thế các nền tảng phát hiện và phản ứng thiết bị đầu cuối, quản lý danh tính, trung tâm điều hành an ninh mạng hay hệ thống sao lưu. Vai trò của UEM là bổ sung bối cảnh về thiết bị và tạo ra lớp thực thi để các hệ thống này phối hợp hiệu quả hơn.

Theo Báo cáo Chi phí của một vụ vi phạm dữ liệu năm 2025 của IBM, vòng đời trung bình toàn cầu để nhận diện và khống chế một vụ xâm phạm, bao gồm cả khôi phục dịch vụ, là 241 ngày. Đây là mức thấp nhất trong chín năm và giảm 17 ngày so với năm trước, nhưng vẫn là khoảng thời gian đủ dài để thiệt hại vận hành, chi phí xử lý và tác động uy tín tiếp tục tích lũy.

Điều đó khiến yêu cầu đối với quản lý thiết bị đầu cuối chuyển từ khả năng “nhìn thấy” sang khả năng phản ứng. Với những tác vụ lặp lại và có tiêu chí rõ ràng, tự động hóa có thể rút ngắn khoảng thời gian giữa phát hiện và xử lý, đặc biệt khi thiết bị nằm ngoài mạng văn phòng.

Doanh nghiệp đồng thời phải cân bằng giữa bảo mật và trải nghiệm người dùng. Quá nhiều phần mềm bảo mật cùng chạy trên thiết bị có thể gây xung đột tài nguyên, làm giảm hiệu suất và thúc đẩy người dùng tìm cách bỏ qua chính sách.

Từ kiểm tra định kỳ đến quản lý liên tục

Trong môi trường làm việc kết hợp, trạng thái bảo mật của thiết bị có thể thay đổi theo cấu hình hệ thống, tình trạng cập nhật bản vá và hành vi của người dùng. Những báo cáo phản ánh trạng thái thiết bị tại một thời điểm vì vậy không còn đủ để chứng minh khả năng tuân thủ trong suốt quá trình vận hành.

Theo ông Phạm Huân, thách thức đối với doanh nghiệp trong năm 2026 không chỉ nằm ở công nghệ mà còn ở sự thay đổi về kỳ vọng. Thay vì kiểm tra và chứng minh tuân thủ theo từng thời điểm, tổ chức cần duy trì khả năng giám sát và đánh giá trạng thái thiết bị một cách liên tục.

Trong cách tiếp cận này, dữ liệu đo lường từ xa của thiết bị đầu cuối trở thành nguồn thông tin quan trọng để đội ngũ bảo mật nhận diện rủi ro, đánh giá mức độ ưu tiên và triển khai biện pháp xử lý trước khi điểm yếu bị khai thác. Thiết bị đầu cuối không còn chỉ là đối tượng được kiểm kê và quản lý, mà còn đóng góp vào việc xác định trạng thái bảo mật tổng thể của tổ chức.

Ông Phạm Huân cho rằng quản lý thiết bị đầu cuối hợp nhất đang chuyển từ một công cụ hỗ trợ vận hành thành một yêu cầu quan trọng của an ninh mạng hiện đại. Việc kết hợp quản lý và bảo mật trên một nền tảng thống nhất giúp doanh nghiệp thu hẹp khoảng cách giữa khả năng giám sát thiết bị và năng lực bảo vệ trên thực tế.

Tuấn Nguyễn