“Xâm phạm an toàn thông tin mạng” là cách tìm kiếm phổ biến để chỉ các hành vi làm tổn hại tính bí mật, toàn vẹn hoặc khả dụng của hệ thống và dữ liệu, như truy cập trái phép, đánh cắp thông tin, cài mã độc hoặc làm gián đoạn dịch vụ. Từ 01/07/2026, Luật An ninh mạng 2025 dùng khung thuật ngữ hiện hành về an ninh thông tin mạng và an ninh mạng.
Dấu hiệu kỹ thuật cần được xác minh trước khi kết luận chủ thể và trách nhiệm pháp lý.
Thuật ngữ pháp lý hiện hành cần hiểu thế nào?
Luật An ninh mạng 2025 xác định an ninh thông tin mạng gắn với việc bảo đảm thông tin không bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép nhằm duy trì tính bảo mật, tính toàn vẹn và tính khả dụng. Vì vậy, cụm “xâm phạm an toàn thông tin mạng” có thể được hiểu thực hành là hành vi làm suy giảm ba thuộc tính này.
Có thể tra cứu Luật An ninh mạng 2025 trên Cổng Thông tin điện tử Chính phủ. Bài an toàn thông tin mạng là gì giải thích nền tảng; bài hiện tại tập trung vào nhận diện và xử lý sau khi sự cố có dấu hiệu đã xảy ra.
Dấu hiệu và hành vi thường gặp
Truy cập trái phép
Đăng nhập từ vị trí lạ, tài khoản đặc quyền mới, truy vấn dữ liệu bất thường hoặc thay đổi cấu hình không có ticket.
Mã độc/ransomware
File bị mã hóa, máy chủ mất quyền kiểm soát, tiến trình lạ, thông báo đòi tiền hoặc dữ liệu bị đe dọa công bố.
Rò rỉ/chiếm đoạt dữ liệu
Dữ liệu xuất hiện công khai, lưu lượng tải ra lớn, email chuyển tiếp lạ hoặc bản sao được gửi tới tài khoản cá nhân.
Phishing và chiếm tài khoản
Email giả, trang đăng nhập giả, thay đổi tài khoản nhận tiền, reset MFA hoặc token phiên bị sử dụng bất thường.
DDoS/gián đoạn
Lưu lượng tăng đột biến, hệ thống không đáp ứng hoặc tài nguyên bị làm cạn nhằm ngăn người dùng truy cập.
Sửa đổi/phá hoại
Dữ liệu bị thay, log bị xóa, website bị chèn nội dung hoặc bản sao lưu bị vô hiệu hóa.
Lạm dụng nội bộ
Nhân sự dùng quyền vượt nhiệm vụ, tải dữ liệu trước khi nghỉ việc hoặc chia sẻ thông tin cho bên không có thẩm quyền.
Xử lý dữ liệu trái phép
Thu thập, tiết lộ, mua bán hoặc sử dụng dữ liệu cá nhân sai mục đích và thiếu căn cứ pháp lý.
Phân biệt nguy cơ, sự cố, vi phạm và tội phạm
| Khái niệm | Ý nghĩa thực hành | Cách phản ứng |
|---|---|---|
| Nguy cơ | Khả năng có thể gây hại nhưng chưa xác định sự kiện đã xảy ra | Giảm thiểu lỗ hổng, tăng giám sát và lập kế hoạch. |
| Sự cố | Sự kiện ảnh hưởng hoặc có nguy cơ ảnh hưởng tính bí mật, toàn vẹn, khả dụng | Kích hoạt ứng cứu, khoanh vùng và bảo toàn chứng cứ. |
| Hành vi vi phạm | Có dấu hiệu chủ thể thực hiện hành vi trái quy định | Xác minh hành vi, lỗi, thiệt hại, quan hệ nhân quả và căn cứ trách nhiệm. |
| Tội phạm | Hành vi đủ dấu hiệu cấu thành tội theo Bộ luật Hình sự | Không tự điều tra vượt thẩm quyền; bảo toàn chứng cứ và trình báo/phối hợp theo hướng dẫn chuyên môn. |
Không phải mọi cảnh báo an ninh đều chứng minh đã có tội phạm. Ngược lại, một lỗi cấu hình nội bộ không loại trừ nghĩa vụ đối với dữ liệu cá nhân, khách hàng hoặc cơ quan quản lý nếu gây hậu quả.
Ứng cứu cần phối hợp kỹ thuật, pháp lý, dữ liệu, quản trị và truyền thông.
Quy trình 8 bước khi phát hiện sự cố
- Kích hoạt đầu mối ứng cứu: ghi thời điểm phát hiện, người báo, hệ thống liên quan và mức độ khẩn cấp; thiết lập kênh trao đổi riêng.
- Cô lập có kiểm soát: ngắt kết nối hoặc giới hạn quyền ở mức cần thiết nhưng tránh tắt/xóa làm mất dữ liệu biến động nếu chưa thu thập.
- Bảo toàn chứng cứ: sao lưu log, ảnh đĩa/bộ nhớ khi cần, email, header, tài khoản, file độc hại, hash, timestamp và chuỗi người tiếp nhận.
- Đánh giá phạm vi: hệ thống nào bị ảnh hưởng, dữ liệu nào đã truy cập/xuất ra, ai là chủ thể dữ liệu/khách hàng và hoạt động kinh doanh nào bị gián đoạn.
- Kiểm soát và khôi phục: thu hồi token, đổi khóa/mật khẩu, vá lỗ hổng, làm sạch, khôi phục từ bản sao an toàn và tăng giám sát.
- Xác định thông báo/trình báo: đối chiếu luật an ninh mạng, bảo vệ dữ liệu, quy định chuyên ngành, hợp đồng và bảo hiểm; báo cơ quan công an khi có dấu hiệu tội phạm.
- Truyền thông có kiểm soát: chỉ công bố thông tin đã xác minh, thống nhất đầu mối, bảo vệ dữ liệu cá nhân và lưu toàn bộ quyết định.
- Khắc phục nguyên nhân gốc: lập báo cáo sau sự cố, phân công hành động, cập nhật playbook, kiểm thử lại và theo dõi tái diễn.
Chứng cứ điện tử cần lưu
- Log firewall, endpoint, máy chủ, cloud, ứng dụng, cơ sở dữ liệu, email, IAM và VPN.
- Timeline chuẩn hóa múi giờ; ảnh chụp màn hình kèm nguồn, thời điểm và người tạo.
- Bản sao file nghi vấn, hash, metadata, header email, domain/IP và dữ liệu DNS có liên quan.
- Lịch sử tài khoản, phân quyền, MFA, token, thay đổi cấu hình và ticket vận hành.
- Hợp đồng, DPA, SLA, chính sách nội bộ, biên bản họp và quyết định ứng cứu.
- Danh sách dữ liệu/chủ thể bị ảnh hưởng, phương pháp đánh giá và cơ sở kết luận.
Không sửa trực tiếp bản gốc nếu có thể tránh; tạo bản làm việc và ghi nhận chuỗi quản lý chứng cứ. Nếu phải thao tác khẩn cấp để bảo vệ hệ thống, cần ghi lại ai làm, lúc nào, lệnh/công cụ gì và lý do.
Trách nhiệm pháp lý có thể phát sinh
| Nhóm trách nhiệm | Khi nào cần xem xét |
|---|---|
| Dân sự/hợp đồng | Có thiệt hại, vi phạm nghĩa vụ bảo mật, SLA, cam kết an ninh hoặc nghĩa vụ thông báo. |
| Hành chính | Hành vi hoặc thiếu sót thuộc trường hợp xử phạt theo Nghị định 174/2026/NĐ-CP và quy định chuyên ngành. |
| Hình sự | Có dấu hiệu truy cập trái phép, phát tán mã độc, chiếm đoạt, lừa đảo, phá hoại hoặc hành vi khác đủ cấu thành. |
| Dữ liệu cá nhân | Sự cố liên quan xử lý, tiết lộ, mất hoặc chuyển dữ liệu cá nhân; cần đánh giá nghĩa vụ theo Luật Bảo vệ dữ liệu cá nhân. |
| Quản trị/nội bộ | Nhân sự vi phạm quy chế, phân quyền không phù hợp hoặc thiếu kiểm soát đã phê duyệt. |
Khi dữ liệu cá nhân bị ảnh hưởng, doanh nghiệp nên đối chiếu quy chế bảo vệ dữ liệu cá nhân và các biện pháp bảo vệ dữ liệu đã áp dụng để đánh giá trách nhiệm và hành động khắc phục.
Thiệt hại kỹ thuật có thể kéo theo nghĩa vụ hợp đồng, dữ liệu và trách nhiệm pháp lý.
Phòng ngừa sau khi đã khắc phục
Sau sự cố, ưu tiên sửa nguyên nhân gốc và kiểm tra hiệu lực: quản lý tài sản, MFA, least privilege, phân đoạn mạng, backup tách biệt, quản lý lỗ hổng, giám sát log, quy trình nhà cung cấp và diễn tập. Chứng nhận ISO 27001 có thể hỗ trợ hệ thống quản lý nhưng không thay thế kiểm soát kỹ thuật hoặc nghĩa vụ pháp luật.
Nếu doanh nghiệp cung cấp sản phẩm/dịch vụ thuộc danh mục chuyên ngành, cần kiểm tra giấy phép an toàn thông tin mạng; đó là intent khác với việc xử lý một sự cố.
Checklist cần được chuẩn bị trước và diễn tập, không chờ đến khi hệ thống đã bị tấn công.
Câu hỏi thường gặp
Có nên tắt máy chủ ngay khi phát hiện bị tấn công?
Không có câu trả lời chung. Tắt máy có thể ngăn thiệt hại nhưng cũng làm mất dữ liệu trong bộ nhớ. Đầu mối ứng cứu cần cân bằng khoanh vùng với bảo toàn chứng cứ.
Doanh nghiệp bị rò rỉ dữ liệu phải thông báo cho ai?
Phải xác định loại dữ liệu, vai trò xử lý, mức độ ảnh hưởng, quy định bảo vệ dữ liệu/chuyên ngành, hợp đồng và cơ quan có thẩm quyền. Không nên dùng một danh sách thông báo cố định cho mọi sự cố.
Ảnh chụp màn hình có đủ làm chứng cứ không?
Ảnh chụp có thể hữu ích nhưng thường chưa đủ. Nên lưu nguồn gốc, metadata, log, file, hash, timeline và chuỗi quản lý để tăng khả năng kiểm chứng.
Khi nào nên trình báo công an?
Khi có dấu hiệu truy cập trái phép, chiếm đoạt, lừa đảo, tống tiền, phát tán mã độc hoặc hành vi có dấu hiệu tội phạm. Việc trình báo nên đi kèm bộ chứng cứ đã bảo toàn và mô tả sự kiện có kiểm chứng.
Cần hỗ trợ pháp lý sau sự cố?
Luật Dương Trí có thể phối hợp phân loại sự kiện, rà soát nghĩa vụ thông báo, bảo toàn hồ sơ pháp lý và chuẩn bị phương án làm việc với khách hàng hoặc cơ quan có thẩm quyền.
Nội dung cung cấp thông tin chung tại ngày cập nhật, không thay thế quy trình ứng cứu kỹ thuật khẩn cấp. Trách nhiệm và nghĩa vụ thông báo phụ thuộc sự kiện, hệ thống, loại dữ liệu, hợp đồng và lĩnh vực cụ thể.
