Khi Luật An ninh mạng 2025 chính thức có hiệu lực từ ngày 1/7/2026, doanh nghiệp không chỉ đứng trước những yêu cầu mới về bảo đảm an ninh mạng. Song song với đó, Luật Dữ liệu đã có hiệu lực từ một năm trước cũng đặt ra những yêu cầu liên quan đến quản […]
Khi Luật An ninh mạng 2025 chính thức có hiệu lực từ ngày 1/7/2026, doanh nghiệp không chỉ đứng trước những yêu cầu mới về bảo đảm an ninh mạng. Song song với đó, Luật Dữ liệu đã có hiệu lực từ một năm trước cũng đặt ra những yêu cầu liên quan đến quản trị, xử lý và bảo vệ dữ liệu. Thay vì xem đây là những bài toán tuân thủ riêng biệt, doanh nghiệp cần nhìn chúng trong một bức tranh chung: dữ liệu được quản trị như thế nào và hệ thống bảo vệ dữ liệu đó ra sao.
Trong nhiều doanh nghiệp, Data và Security vẫn được quản lý như hai thế giới khác nhau.
Data Governance thường gắn với dữ liệu được thu thập ra sao, lưu trữ ở đâu, ai được sử dụng và dữ liệu được chia sẻ như thế nào.
Cybersecurity lại thường thuộc trách nhiệm của IT hoặc Security Team, với các bài toán như bảo vệ hệ thống, quản lý truy cập, giám sát tấn công và ứng phó sự cố.
Nhưng khi hoạt động của doanh nghiệp ngày càng dựa trên Cloud, SaaS, API, AI và hệ sinh thái đối tác, ranh giới giữa hai bài toán này đang mờ dần.
Không thể bảo vệ một dữ liệu mà doanh nghiệp không biết đang nằm ở đâu. Và cũng không thể quản trị dữ liệu hiệu quả nếu không kiểm soát được ai đang truy cập, xử lý và truyền dữ liệu đó qua hệ thống nào.
Đây cũng là điểm doanh nghiệp cần lưu ý khi tiếp cận Luật Dữ liệu và Luật An ninh mạng 2025.
Luật Dữ liệu số 60/2024/QH15, có hiệu lực từ ngày 1/7/2025, điều chỉnh các hoạt động liên quan đến xây dựng, phát triển, bảo vệ, quản trị, xử lý và sử dụng dữ liệu số.
Trong khi đó, Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ ngày 1/7/2026, quy định về an ninh mạng, bảo vệ an ninh mạng cùng quyền, nghĩa vụ và trách nhiệm của các cơ quan, tổ chức, cá nhân có liên quan.
Đáng chú ý, Luật An ninh mạng 2025 cũng sửa đổi một số thuật ngữ trong Luật Dữ liệu, trong đó có việc thống nhất cách tiếp cận về “an ninh dữ liệu” và “an ninh mạng”.
Với doanh nghiệp, điều này đặt ra một yêu cầu thực tế: doanh nghiệp không nên tiếp cận việc tuân thủ theo từng quy định pháp lý riêng lẻ, mà cần nhìn nhận trong một hệ thống quản trị tổng thể.
Một cách tiếp cận đơn giản có thể khiến doanh nghiệp nghĩ rằng tuân thủ về dữ liệu chủ yếu là xác định dữ liệu được lưu ở đâu.
Nhưng phạm vi của Luật Dữ liệu rộng hơn.
Luật điều chỉnh toàn bộ các hoạt động liên quan đến dữ liệu số, từ xây dựng, phát triển đến bảo vệ, quản trị, xử lý và sử dụng dữ liệu.
Đặc biệt, Luật Dữ liệu xác định các nhóm rủi ro phát sinh trong xử lý dữ liệu bao gồm rủi ro quyền riêng tư, rủi ro an ninh mạng, rủi ro nhận dạng và quản lý truy cập cùng các rủi ro khác trong quá trình xử lý dữ liệu.
Đối với chủ quản dữ liệu thuộc phạm vi áp dụng, việc tự đánh giá, xác định rủi ro và triển khai biện pháp bảo vệ dữ liệu trở thành một phần quan trọng trong quản trị dữ liệu.
Điều này có nghĩa doanh nghiệp cần nhìn xa hơn câu hỏi “Chúng ta đang lưu dữ liệu ở đâu?” và chuyển sang “Chúng ta có biết dữ liệu nào đang được xử lý, rủi ro nào đi cùng dữ liệu đó và đang áp dụng biện pháp gì để bảo vệ?”
Nếu Data Governance giúp doanh nghiệp hiểu và kiểm soát tài sản dữ liệu, Cybersecurity tập trung vào việc bảo vệ môi trường mà dữ liệu được tạo ra, truyền tải, xử lý và lưu trữ.
Trong môi trường doanh nghiệp hiện đại, dữ liệu có thể đi qua rất nhiều lớp:
Người dùng, Thiết bị đầu cuối, Ứng dụng, API, Network, Cloud, Database, Backup, Đối tác (Third Party).
Chỉ cần một mắt xích trong chuỗi này bị xâm nhập, dữ liệu dù được quản trị tốt trên giấy tờ vẫn có thể bị truy cập trái phép, thay đổi, đánh cắp hoặc phá hủy.
Luật An ninh mạng 2025 vì vậy đặt ra các trách nhiệm liên quan đến bảo đảm an ninh mạng, bảo vệ hệ thống thông tin và dữ liệu, phòng ngừa rủi ro cũng như xử lý sự cố đối với các chủ thể thuộc phạm vi áp dụng.
Với một số doanh nghiệp cung cấp dịch vụ trên không gian mạng có hoạt động thu thập, khai thác, phân tích hoặc xử lý các nhóm dữ liệu được luật quy định, yêu cầu bảo vệ và lưu trữ dữ liệu tại Việt Nam cũng cần được xem xét cụ thể theo phạm vi áp dụng.
Điều quan trọng là doanh nghiệp không nên biến việc tuân thủ thành một danh sách casc phần cứng, phần mềm đơn thuần. Firewall, WAF, EDR hay SOC đều có vai trò, nhưng việc sở hữu các công cụ này không tự động đồng nghĩa với việc doanh nghiệp đã kiểm soát đầy đủ rủi ro.
Theo chuyên gia bảo mật CMC Telecom, cách dễ nhất để nhìn mối quan hệ giữa hai bài toán là bắt đầu từ chính một dữ liệu của doanh nghiệp.
Ví dụ, khi một khách hàng cung cấp thông tin qua ứng dụng của doanh nghiệp, dữ liệu đó có thể:
Ở mỗi bước đều phát sinh những câu hỏi khác nhau.
Về Quản trị Dữ liệu: Dữ liệu đó là gì? Ai quản lý? Được sử dụng cho mục đích nào? Được chia sẻ và xử lý như thế nào?
Về An ninh mạng: Ai có quyền truy cập? Danh tính được xác thực ra sao? API có được bảo vệ? Có phát hiện được hành vi bất thường? Nếu dữ liệu bị rò rỉ hoặc hệ thống bị tấn công thì doanh nghiệp phản ứng thế nào?
Do đó, Quản trị Dữ liệu và An ninh mạng không phải hai đường thẳng song song, chúng gặp nhau tại chính vòng đời của dữ liệu.
Thay vì xây dựng một checklist riêng cho từng văn bản pháp luật, doanh nghiệp có thể bắt đầu bằng việc lập một bản đồ chung về Dữ liệu, Hệ thống, Rủi ro và Kiểm soát.
1. Data – Doanh nghiệp đang có dữ liệu gì?
Xác định các nhóm dữ liệu đang thu thập, xử lý và lưu trữ; phân loại dữ liệu theo mức độ quan trọng và yêu cầu quản lý tương ứng.
2. System – Dữ liệu đang nằm và di chuyển qua đâu?
Lập bản đồ Data Center, Cloud, ứng dụng, API, SaaS, endpoint, backup và các bên thứ ba có tham gia vào vòng đời dữ liệu.
3. Risk – Những rủi ro nào đang tồn tại?
Đánh giá các nguy cơ từ truy cập trái phép, sai cấu hình, lỗ hổng, tài khoản bị xâm nhập, Shadow IT, Shadow AI, rò rỉ dữ liệu và tấn công mạng.
4. Control – Doanh nghiệp đang kiểm soát những rủi ro đó bằng gì?
Rà soát chính sách, quy trình, phân quyền và các biện pháp kỹ thuật hiện có; đồng thời xác định khoảng trống giữa hiện trạng và nghĩa vụ thực tế áp dụng cho doanh nghiệp.
Từ bốn lớp này, doanh nghiệp mới có thể xây dựng một lộ trình remediation phù hợp thay vì xử lý từng yêu cầu pháp lý một cách rời rạc.
Compliance thường được nhìn như một đích đến: hoàn thành một bộ tài liệu, vượt qua một đợt đánh giá hoặc đáp ứng một checklist.
Nhưng trong môi trường số, dữ liệu và hệ thống thay đổi liên tục.
Một API mới được mở. Một workload được chuyển lên Cloud. Một nhà cung cấp SaaS mới được sử dụng. Một nhân viên đưa dữ liệu vào công cụ AI. Một lỗ hổng mới xuất hiện.
Vì vậy, trạng thái tuân thủ của doanh nghiệp cũng có thể thay đổi theo.
Theo chuyên gia bảo mật CMC Telecom, doanh nghiệp nên coi tuân thủ là một tiến trình liên tục: Xác định, Tài sản, Bảo vệ, Giám sát, Cải tiến.
Luật Dữ liệu và Luật An ninh mạng 2025 vì vậy không chỉ đặt ra câu hỏi doanh nghiệp “đã tuân thủ hay chưa”. Quan trọng hơn, chúng thúc đẩy doanh nghiệp trả lời một câu hỏi mang tính quản trị:
Chúng ta có thực sự biết dữ liệu của mình đang ở đâu, rủi ro nào đang tồn tại và có đủ khả năng kiểm soát những rủi ro đó liên tục hay không?
Đó cũng là nền tảng để doanh nghiệp đi từ tuân thủ tới năng lực phục hồi sau khi bị tấn công mạng. Điều này có nghĩa daonh nghiệp không chỉ đáp ứng yêu cầu pháp lý, mà còn xây dựng khả năng bảo vệ và duy trì hoạt động an toàn trong dài hạn.
