Bảo vệ dữ liệu không chỉ là cài phần mềm bảo mật. Doanh nghiệp cần kết hợp ba lớp: quản trị để biết dữ liệu nào được phép xử lý; kỹ thuật để kiểm soát truy cập và giảm khả năng bị xâm nhập; vận hành để phát hiện, ứng cứu, khôi phục và chứng minh việc tuân thủ.
Biện pháp hiệu quả phải bao phủ con người, quy trình, công nghệ và nhà cung cấp.
Chọn việc ưu tiên theo rủi ro hiện tại
| Dấu hiệu hiện tại | Việc nên ưu tiên | Kết quả tối thiểu |
|---|---|---|
| Không biết dữ liệu nằm ở đâu | Kiểm kê, lập luồng dữ liệu và phân loại | Danh mục hệ thống, chủ sở hữu, loại dữ liệu, nơi lưu, bên nhận và thời hạn lưu. |
| Dùng chung tài khoản quản trị | Quản lý danh tính, quyền tối thiểu và MFA | Mỗi người một tài khoản, quyền có phê duyệt, MFA cho tài khoản quan trọng và quy trình thu hồi. |
| Lo ngại mã độc tống tiền | Sao lưu, vá lỗi, phân đoạn và diễn tập khôi phục | Bản sao lưu tách biệt, thời gian khôi phục được kiểm thử và tài sản quan trọng đã vá. |
| Nhiều đối tác xử lý dữ liệu | Quản trị nhà cung cấp | Đánh giá trước ký, điều khoản bảo mật, thông báo sự cố, hoàn trả/xóa và quyền kiểm tra. |
| Vừa phát hiện rò rỉ | Kích hoạt ứng cứu và bảo toàn chứng cứ | Khoanh vùng, ghi nhận thời gian, bảo toàn log, đánh giá ảnh hưởng và thực hiện nghĩa vụ thông báo. |
Nếu cần nắm lại khái niệm và vai trò xử lý, xem bài bảo vệ dữ liệu cá nhân là gì. Với phạm vi kỹ thuật chuyên sâu hơn, bài bảo mật cơ sở dữ liệu giải thích các lớp kiểm soát ở hệ thống lưu trữ.
Nhóm 1: Quản trị dữ liệu
1. Kiểm kê và lập luồng dữ liệu
Kết quả cần đạt: biết dữ liệu nào được thu thập, từ đâu, qua hệ thống nào, ai dùng và chuyển cho ai. Bằng chứng: danh mục dữ liệu, sơ đồ luồng, chủ sở hữu và lịch rà soát.
2. Phân loại và tối thiểu hóa
Kết quả cần đạt: chỉ thu và giữ dữ liệu cần thiết; mức bảo vệ tăng theo độ nhạy. Bằng chứng: tiêu chí phân loại, nhãn dữ liệu, phê duyệt trường thông tin và biên bản loại bỏ dữ liệu thừa.
3. Vai trò, chính sách và quyền
Kết quả cần đạt: mỗi hoạt động có mục đích, căn cứ, người chịu trách nhiệm và kênh tiếp nhận yêu cầu. Bằng chứng: chính sách, quy chế, phân công, quy trình xử lý quyền và nhật ký yêu cầu.
4. Quản trị nhà cung cấp
Kết quả cần đạt: bên thứ ba chỉ xử lý trong phạm vi được giao và có kiểm soát tương xứng. Bằng chứng: thẩm định, hợp đồng, danh sách nhà thầu phụ, SLA sự cố, biên bản hoàn trả/xóa dữ liệu.
Doanh nghiệp có thể dùng cấu trúc tại quy chế bảo vệ dữ liệu cá nhân để phân vai, nhưng phải điều chỉnh theo luồng dữ liệu thực tế. Một quy chế sao chép mà không có người thực hiện và bằng chứng kiểm soát sẽ không giải quyết rủi ro.
Bảo vệ mạng chỉ là một phần; tài khoản, thiết bị, ứng dụng và dữ liệu cũng cần kiểm soát riêng.
Nhóm 2: Kiểm soát kỹ thuật
5. Quyền tối thiểu và MFA
Kết quả cần đạt: người dùng chỉ có quyền cần cho công việc; tài khoản quan trọng có xác thực đa yếu tố. Bằng chứng: ma trận quyền, phiếu phê duyệt, log đăng nhập, rà soát định kỳ và biên bản thu hồi.
6. Mã hóa và quản lý khóa
Kết quả cần đạt: dữ liệu nhạy cảm được bảo vệ khi lưu và truyền; khóa không đặt cùng dữ liệu. Bằng chứng: phạm vi mã hóa, kho khóa, phân quyền, xoay vòng, thu hồi và phương án khôi phục khóa.
7. Sao lưu và khôi phục
Kết quả cần đạt: bản sao lưu không bị xóa cùng hệ thống chính và có thể phục hồi trong thời gian chấp nhận được. Bằng chứng: lịch sao lưu, bản sao tách biệt, kết quả kiểm thử và chỉ số RPO/RTO đã phê duyệt.
8. Tài sản, cấu hình và lỗ hổng
Kết quả cần đạt: biết thiết bị/phần mềm đang vận hành, cấu hình an toàn và vá lỗi theo mức độ rủi ro. Bằng chứng: danh mục tài sản, chuẩn cấu hình, kết quả quét, ticket vá lỗi và ngoại lệ có thời hạn.
9. Log, giám sát và DLP
Kết quả cần đạt: phát hiện truy cập bất thường, tải dữ liệu lớn hoặc gửi sai kênh. Bằng chứng: danh mục log, thời hạn lưu, cảnh báo, hồ sơ điều tra và quy tắc phòng chống thất thoát dữ liệu.
Nhóm 3: Vận hành và khả năng phục hồi
10. Thời hạn lưu và xóa an toàn
Kết quả cần đạt: dữ liệu không bị giữ vô thời hạn và được xóa/ẩn danh theo lịch. Bằng chứng: bảng thời hạn, cấu hình tự động, phê duyệt tạm giữ, biên bản hủy và xác nhận từ nhà cung cấp.
11. Ứng cứu sự cố và liên tục
Kết quả cần đạt: nhận diện, cô lập, điều tra, phục hồi và thông báo đúng đầu mối. Bằng chứng: playbook, danh bạ, phân cấp sự cố, nhật ký quyết định, mẫu thông báo và biên bản diễn tập.
12. Đào tạo, kiểm tra và cải tiến
Kết quả cần đạt: nhân sự hiểu rủi ro theo vai trò và biện pháp được kiểm tra định kỳ. Bằng chứng: nội dung đào tạo, kết quả kiểm tra, báo cáo đánh giá, hành động khắc phục và xác nhận hoàn tất.
Khung ISO có thể giúp chuẩn hóa hệ thống quản lý; bài ISO 27001 là gì giải thích phạm vi áp dụng. ISO không thay thế việc xác định nghĩa vụ pháp luật, mục đích xử lý hay hồ sơ riêng của từng hoạt động.
Kiểm soát phải tạo thành chu trình: biết dữ liệu, bảo vệ, giám sát, ứng cứu và cải tiến.
Khung pháp luật dữ liệu áp dụng năm 2026
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP có hiệu lực từ ngày 01/01/2026. Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 01/07/2026. Có thể tra cứu Luật 91/2025/QH15 tại Cổng Thông tin điện tử Chính phủ.
Doanh nghiệp cần đối chiếu vai trò trong từng hoạt động, mục đích, loại dữ liệu, chủ thể dữ liệu, chuyển giao/chuyển dữ liệu, thời hạn lưu, biện pháp bảo vệ, hồ sơ đánh giá tác động và nghĩa vụ khi xảy ra vi phạm. Dịch vụ đánh giá tác động xử lý dữ liệu cá nhân phù hợp khi cần lập hoặc rà soát bộ hồ sơ theo hoạt động cụ thể.
Lộ trình 30 ngày cho doanh nghiệp
- Ngày 1–7: lập danh mục hệ thống và luồng dữ liệu; đánh dấu dữ liệu nhạy cảm, tài khoản quản trị, nhà cung cấp và rủi ro khẩn cấp.
- Ngày 8–14: bật MFA, xóa tài khoản không dùng, thu hẹp quyền, vá lỗ hổng nghiêm trọng và kiểm tra khả năng khôi phục bản sao lưu.
- Ngày 15–21: chốt vai trò, quy chế, bảng thời hạn lưu, điều khoản nhà cung cấp và đầu mối tiếp nhận yêu cầu của chủ thể dữ liệu.
- Ngày 22–30: diễn tập một kịch bản rò rỉ, kiểm tra log, lập danh sách thiếu hụt hồ sơ đánh giá tác động và giao chủ sở hữu cho từng hành động khắc phục.
Khi phát hiện sự cố dữ liệu
Khoanh vùng, không phá chứng cứ
Cô lập tài khoản/thiết bị theo playbook, ghi thời gian và người ra quyết định; tránh xóa log hoặc tự ý cài lại khi chưa bảo toàn dữ liệu cần điều tra.
Đánh giá phạm vi
Xác định dữ liệu, chủ thể, thời gian, hệ thống, người nhận, khả năng bị lợi dụng và hoạt động kinh doanh bị ảnh hưởng.
Thực hiện nghĩa vụ
Đối chiếu thời hạn, cơ quan và chủ thể cần thông báo; nội dung phải dựa trên thông tin đã xác minh và được cập nhật khi có phát hiện mới.
Khắc phục và học lại
Đóng điểm xâm nhập, đổi thông tin xác thực, khôi phục an toàn, theo dõi tái diễn và cập nhật chính sách/kiểm soát.
Nếu có dấu hiệu truy cập hoặc can thiệp trái phép, bài xâm phạm an toàn thông tin mạng là gì giúp nhận diện ranh giới pháp lý. Cũng cần tránh các cách xử lý tưởng như bảo mật nhưng thực tế không hiệu quả; xem biện pháp nào không thể bảo vệ dữ liệu.
Mỗi kiểm soát nên có chủ sở hữu, tần suất, bằng chứng và tiêu chí đánh giá hiệu quả.
Câu hỏi thường gặp
Doanh nghiệp nhỏ có cần đủ cả 12 biện pháp không?
Nên bao phủ đủ 12 mục tiêu nhưng mức độ triển khai có thể tương xứng với quy mô, loại dữ liệu và rủi ro. Không nên bỏ qua kiểm kê, quyền truy cập, sao lưu và ứng cứu.
Mã hóa có phải là biện pháp quan trọng nhất?
Mã hóa rất quan trọng nhưng không ngăn được tài khoản hợp lệ bị lạm dụng, thu thập sai mục đích hoặc dữ liệu bị gửi nhầm. Cần kết hợp quyền tối thiểu, MFA, log và quản trị.
Sao lưu dữ liệu lên đám mây là đủ chưa?
Chưa. Cần kiểm tra quyền truy cập, khả năng bản sao bị mã hóa/xóa cùng hệ thống chính, thời hạn lưu và diễn tập khôi phục.
Có chứng nhận ISO là đã tuân thủ pháp luật dữ liệu chưa?
Không tự động. Chứng nhận hỗ trợ hệ thống quản lý nhưng doanh nghiệp vẫn phải đánh giá mục đích, căn cứ, quyền chủ thể, hồ sơ tác động và nghĩa vụ pháp lý cụ thể.
Cần chuyển 12 biện pháp thành kế hoạch thực thi?
Luật Dương Trí có thể rà soát luồng dữ liệu, hợp đồng, quy chế, hồ sơ đánh giá tác động và bằng chứng vận hành để xác định việc ưu tiên.
Nội dung cung cấp thông tin chung tại ngày cập nhật. Phạm vi biện pháp và nghĩa vụ cụ thể phụ thuộc vai trò xử lý, loại dữ liệu, quy mô, hệ thống, bên nhận và mức độ rủi ro của từng doanh nghiệp.
