Hacker "nằm vùng", giăng bẫy từ sự chủ quan của doanh nghiệp vừa và nhỏ

Phát biểu khai mạc diễn đàn, ông Vũ Duy Hiền - Phó Tổng thư ký kiêm Chánh văn phòng Hiệp hội An ninh mạng quốc gia cho biết, nhiều doanh nghiệp đang bước vào môi trường số với nguồn lực còn hạn chế, thiếu nhân lực công nghệ, thiếu công cụ phù hợp và thiếu kinh nghiệm ứng phó rủi ro, trong khi các mối đe dọa trên không gian mạng ngày càng tinh vi, phức tạp.

Với doanh nghiệp SME, một sự cố lừa đảo, rò rỉ dữ liệu, mã độc hay giả mạo thương hiệu không chỉ là vấn đề kỹ thuật, mà có thể tác động trực tiếp đến uy tín, khách hàng và sự tồn tại của doanh nghiệp.

Ông nhận định các doanh nghiệp SME cần thống nhất một nhận thức rõ ràng: An toàn, an ninh mạng không đứng ngoài chuyển đổi số, mà là điều kiện nền tảng để chuyển đổi số diễn ra hiệu quả và bền vững.

Từ tư duy "không mất bò không lo làm chuồng"

Một trong những rào cản lớn nhất đối với an ninh mạng hiện nay không nằm ở công nghệ, mà từ nhận thức. 

Ông Ngô Tuấn Anh, Phó Ban An ninh dữ liệu và Bảo vệ dữ liệu cá nhân (NCA) chỉ ra, các chủ doanh nghiệp Việt luôn tin rằng mình quá nhỏ để bị tấn công hoặc dữ liệu của mình không có giá trị. 

Nhưng thực tế chứng minh điều ngược lại, tội phạm mạng không phân biệt quy mô. Hacker có thể "nằm vùng" trong hệ thống của một doanh nghiệp SME, chờ đợi thời điểm họ lớn mạnh hoặc sử dụng doanh nghiệp đó làm bàn đạp để tấn công vào chuỗi cung ứng lớn hơn.

Trong năm 2025, báo cáo của Hiệp hội An ninh mạng Quốc gia cho thấy, có tới 52% doanh nghiệp và tổ chức tại Việt Nam đã từng bị tấn công mạng và gánh chịu những tổn thất thực tế. 

Các hình thức như mã độc tống tiền (Ransomware) được tội phạm mạng sử dụng tinh vi, buộc chủ sở hữu phải trả tiền chuộc để lấy lại quyền truy cập. Nếu không có sự chuẩn bị, khả năng phục hồi dữ liệu bằng kỹ thuật thông thường có thể mất tới hàng chục năm.

Tại diễn đàn, ông Nguyễn Hoa Cương, Phó Viện trưởng Viện Nghiên cứu Chính sách và Chiến lược (Ban Chính sách - Chiến lược Trung ương) nhận định, mặc dù nhận thức về chiến lược của doanh nghiệp đã có sự cải thiện rõ rệt so với giai đoạn 2022-2024, nhưng các rào cản về tài chính, hạ tầng và nhân lực chuyên môn vẫn là những điểm nghẽn lớn.

Đối với các doanh nghiệp siêu nhỏ và hộ gia đình, việc bố trí nguồn lực để bảo vệ cơ sở kinh doanh trước các nguy cơ tấn công mạng là một thách thức cực kỳ lớn.

Từ một khía cạnh khác, bà Mai Thị Diệu Huyền, Phó Chủ tịch phụ trách, Hội đồng Doanh nhân nữ Việt Nam (VCCI) nhận định: “Nhiều nữ chủ doanh nghiệp vẫn còn tâm lý e ngại các vấn đề kỹ thuật, dẫn đến việc phó mặc an ninh hệ thống hoặc lúng túng khi gặp sự cố.

Áp lực tuân thủ pháp lý năm 2026

Năm nay, các quy định pháp lý về Luật An ninh mạng (có hiệu lực từ 1/7) và Luật Bảo vệ dữ liệu cá nhân (đã có hiệu lực) đặt ra không ít thách thức cho doanh nghiệp nhỏ và vừa.

Luật sư Lưu Xuân Vĩnh (Công ty luật Asia Legal) cảnh báo rằng, hiện nay có tới hơn 83% doanh nghiệp vẫn chưa có bất kỳ biện pháp kỹ thuật hay quản lý nào cho hệ thống thông tin của mình.

"Khi các quy định mới có hiệu lực, việc để lộ lọt dữ liệu không còn chỉ là rủi ro kinh doanh mà đã trở thành trách nhiệm pháp lý. Doanh nghiệp có nghĩa vụ thông báo cho cơ quan chức năng (Cục An ninh mạng và phòng chống tội phạm sử dụng công nghệ cao - A05) và chủ thể dữ liệu khi xảy ra sự cố.

Việc hoàn thiện hồ sơ đánh giá tác động xử lý dữ liệu và tuân thủ các chuẩn mực an toàn thông tin theo cấp độ là yêu cầu bắt buộc để doanh nghiệp tự bảo vệ mình trước pháp luật", Luật sư Lưu Xuân Vĩnh cho biết. 

Để giải bài toán an ninh mạng cho khối SME, các chuyên gia thống nhất rằng không thể chỉ dựa vào nỗ lực đơn lẻ của doanh nghiệp, mà cần một hệ sinh thái hỗ trợ toàn diện với sự tham gia các bên từ Chính phủ, các Hiệp hội đến nhà cung cấp dịch vụ. 

Theo đó, doanh nghiệp cần chuyển dịch từ số hóa từng phần sang chuyển đổi số toàn diện gắn liền với an toàn thông tin.

“Nguyên tắc "Zero Trust" (không tin tưởng bất kỳ ai khi chưa xác thực) và quy trình sao lưu dữ liệu 3-2-1 (3 bản sao, 2 loại thiết bị, 1 bản ngoại tuyến) cần được áp dụng ngay lập tức”, ông Ngô Tuấn Anh bày tỏ.

Bên cạnh đó, khối SME không nhất thiết phải xây dựng một bộ máy an ninh mạng cồng kềnh và đắt đỏ. Việc thuê dịch vụ chuyên nghiệp bên ngoài để giám sát hệ thống 24/7 là giải pháp tối ưu về chi phí và hiệu quả.

Cuối cùng là việc thiết lập các đường dây nóng hỗ trợ khẩn cấp và các chương trình đào tạo lồng ghép kỹ năng an toàn số vào quản trị kinh doanh hàng ngày là vô cùng cần thiết. Các hiệp hội cũng cần đóng vai trò là cầu nối cung cấp thông tin cảnh báo sớm và hướng dẫn doanh nghiệp tuân thủ luật pháp một cách đơn giản, dễ hiểu nhất.