Theo Luật An ninh mạng 2025, bị tấn công mã hóa dữ liệu đòi tiền chuộc thì xử lý theo luật ra sao?

Ba nghĩa vụ đồng thời: kịp thời cung cấp thông tin cho lực lượng bảo vệ an ninh mạng, ứng phó khắc phục sự cố, và ngăn chặn hệ thống của mình trở thành bàn đạp tấn công bên khác.

Tấn công mã hóa dữ liệu đòi tiền chuộc là loại sự cố gây thiệt hại lớn nhất với doanh nghiệp Việt Nam trong những năm gần đây. Bài viết tổng hợp các nghĩa vụ pháp lý phát sinh khi sự cố xảy ra, và những việc cần chuẩn bị trước.

Nghĩa vụ khi sự cố xảy ra

Cung cấp thông tin cho cơ quan chức năng

Khoản 3 Điều 42 Luật An ninh mạng 116/2025/QH15 quy định cơ quan, tổ chức, cá nhân sử dụng không gian mạng có trách nhiệm kịp thời cung cấp thông tin liên quan đến bảo vệ an ninh mạng, nguy cơ đe dọa an ninh mạng, hành vi xâm phạm an ninh mạng cho cơ quan có thẩm quyền, lực lượng bảo vệ an ninh mạng.

Khoản 4 Điều 42 bổ sung: thực hiện yêu cầu và hướng dẫn của cơ quan có thẩm quyền trong bảo vệ an ninh mạng; giúp đỡ, tạo điều kiện cho cơ quan, tổ chức và người có trách nhiệm tiến hành các biện pháp bảo vệ an ninh mạng.

Ứng phó, khắc phục sự cố

Điểm h khoản 2 Điều 10 Luật 116/2025/QH15 xác định ứng phó, khắc phục sự cố an ninh mạng đối với hệ thống thông tin là một trong tám biện pháp bảo vệ an ninh mạng.

Theo khoản 4 Điều 10, với hệ thống cấp độ 3, cấp độ 4 không thuộc danh mục quan trọng về an ninh quốc gia, biện pháp tại điểm h là bắt buộc. Với hệ thống cấp độ 1 và 2, khoản 3 Điều 10 cho phép lựa chọn theo nhu cầu, khả năng thực tế — nhưng nhiệm vụ tại điểm d khoản 1 (tổ chức triển khai các biện pháp bảo vệ) vẫn là bắt buộc.

Với chủ quản hệ thống thông tin quan trọng về an ninh quốc gia, điểm d khoản 1 Điều 11 quy định nghĩa vụ xây dựng phương án ứng phó, khắc phục sự cố an ninh mạng; triển khai phương án khi sự cố xảy ra và kịp thời báo cáo với lực lượng chuyên trách bảo vệ an ninh mạng có thẩm quyền.

Ngăn hệ thống của mình thành bàn đạp tấn công

Khoản 3 Điều 22 Luật 116/2025/QH15 quy định tổ chức, cá nhân trong phạm vi nhiệm vụ, quyền hạn của mình có trách nhiệm ngăn chặn xung đột thông tin trên không gian mạng từ hệ thống thông tin của mình; hợp tác xác định nguồn, đẩy lùi, khắc phục hậu quả tấn công mạng được thực hiện thông qua hệ thống thông tin của tổ chức.

Trong các vụ tấn công mã hóa dữ liệu, hệ thống bị chiếm quyền thường được dùng để lan sang các hệ thống khác — kể cả hệ thống của đối tác qua kết nối tin cậy. Khoản 3 Điều 22 đặt nghĩa vụ hợp tác xác định nguồn và khắc phục hậu quả cho cả phần này.

Việc cần làm trong giờ đầu tiên

Thứ tự xử lý ảnh hưởng lớn tới thiệt hại cuối cùng:

• Cách ly, không tắt máy ngay — ngắt kết nối mạng để chặn lây lan, nhưng giữ máy ở trạng thái bật giúp bảo toàn dấu vết trong bộ nhớ;
• Bảo toàn chứng cứ — không xóa, không cài lại hệ thống trước khi thu thập nhật ký và ảnh trạng thái. Đây là bước hay bị bỏ qua vì áp lực khôi phục nhanh;
• Đánh giá phạm vi — hệ thống nào bị ảnh hưởng, dữ liệu nào bị mã hóa, có dấu hiệu dữ liệu bị lấy đi không;
• Báo cho lực lượng bảo vệ an ninh mạng theo khoản 3 Điều 42;
• Kiểm tra bản sao lưu — bản sao lưu có bị mã hóa theo không, có khôi phục được không;
• Thông báo cho các bên liên quan — đối tác có kết nối hệ thống, và khách hàng nếu dữ liệu của họ bị ảnh hưởng.

Về việc trả tiền chuộc: đây là quyết định có nhiều rủi ro. Ngoài việc không có bảo đảm nào rằng dữ liệu sẽ được khôi phục, việc chuyển tiền cho tổ chức tội phạm còn có thể liên quan tới các quy định về phòng, chống rửa tiền và tài trợ khủng bố. Cần tham vấn cơ quan chức năng trước khi quyết định.

Nếu có dữ liệu cá nhân bị ảnh hưởng

Sự cố mã hóa dữ liệu thường đi kèm việc dữ liệu bị sao chép ra ngoài trước khi mã hóa. Nếu dữ liệu bị ảnh hưởng bao gồm dữ liệu cá nhân, nghĩa vụ theo pháp luật về bảo vệ dữ liệu cá nhân phát sinh song song với nghĩa vụ theo pháp luật về an ninh mạng.

Khoản 1 Điều 27 Luật Chuyển đổi số 148/2025/QH15 cũng nhắc: cơ quan, tổ chức, cá nhân tham gia hoặc có liên quan đến hoạt động chuyển đổi số phải tuân thủ quy định của pháp luật về an ninh mạng, dữ liệu, bảo vệ dữ liệu cá nhân, bí mật nhà nước và pháp luật khác có liên quan.

Vì vậy kế hoạch ứng phó nên có các nhánh xử lý riêng cho từng nhóm nghĩa vụ, nhưng dùng chung một quy trình phát hiện và đánh giá ban đầu — tránh tình trạng cùng một sự việc được báo cáo không nhất quán ở các kênh khác nhau.

Chuẩn bị trước sự cố

Sao lưu — biện pháp hiệu quả nhất

Điểm đ khoản 2 Điều 10 Luật 116/2025/QH15 xác định tổ chức triển khai các biện pháp lưu trữ, sao lưu bảo vệ an ninh thông tin mạng và an ninh của các thành tố cấu thành hệ thống thông tin là một biện pháp bảo vệ an ninh mạng.

Với tấn công mã hóa dữ liệu, bản sao lưu là biện pháp cứu vãn hiệu quả nhất — nhưng chỉ khi đáp ứng ba điều kiện:

• Tách biệt — bản sao lưu không nằm trên cùng mạng, hoặc ở trạng thái không thể ghi đè từ hệ thống chính;
• Đủ nhiều mốc thời gian — vì mã độc có thể nằm im nhiều tuần trước khi kích hoạt, bản sao lưu gần nhất có thể đã nhiễm;
• Đã kiểm thử khôi phục — nhiều tổ chức phát hiện bản sao lưu không dùng được đúng lúc cần nhất.

Khoản 4 Điều 8 Luật 148/2025/QH15 cũng yêu cầu dữ liệu được lưu trữ, sao lưu, bảo vệ và phục hồi theo phương án bảo đảm tính toàn vẹn, tính sẵn sàng và khả năng chống chịu sự cố.

Giám sát và nhật ký

Điểm g khoản 2 Điều 10 nêu thực hiện giám sát an ninh mạng; điểm e nêu kiểm tra, giám sát việc tuân thủ quy định và đánh giá hiệu quả của các biện pháp quản lý và kỹ thuật được áp dụng.

Khoản 6 Điều 8 Luật 148/2025/QH15 yêu cầu hệ thống số phải ghi nhận, lưu trữ và bảo vệ nhật ký hoạt động; bảo đảm khả năng kiểm tra, giám sát và truy vết.

Chữ bảo vệ quan trọng: kẻ tấn công thường xóa nhật ký để che dấu vết. Nhật ký nên được gửi sang một hệ thống riêng mà tài khoản quản trị của hệ thống chính không xóa được.

Nhân sự và diễn tập

Điểm e khoản 1 Điều 10 đặt tổ chức tuyên truyền, nâng cao nhận thức về an ninh mạng là một trong sáu nhiệm vụ bắt buộc với mọi chủ quản hệ thống thông tin.

Phần lớn các vụ tấn công bắt đầu từ một thư điện tử lừa đảo hoặc một tài khoản bị lộ mật khẩu. Đào tạo nhận thức là biện pháp có tỷ lệ hiệu quả trên chi phí cao nhất.

Khoản 2 Điều 42 Luật 116/2025/QH15 quy định trách nhiệm bảo mật thông tin đăng ký, mở, quản lý, sử dụng tài khoản số; và nêu rõ trường hợp tài khoản số được dùng để thực hiện hành vi vi phạm pháp luật thì chủ tài khoản, người sử dụng tài khoản chịu trách nhiệm tương ứng.

Việc diễn tập kịch bản sự cố ít nhất một lần mỗi năm giúp phát hiện những điểm nghẽn mà văn bản quy trình không lộ ra — thường là ở khâu ra quyết định, không phải ở khâu kỹ thuật.

Danh mục chuẩn bị

• Phương án ứng phó, khắc phục sự cố bằng văn bản, có người chịu trách nhiệm cụ thể;
• Danh sách liên hệ khẩn cấp — nội bộ, nhà cung cấp dịch vụ, cơ quan chức năng;
• Sao lưu tách biệt, nhiều mốc thời gian, đã kiểm thử khôi phục;
• Nhật ký được gửi sang hệ thống riêng và bảo vệ khỏi bị xóa;
• Khả năng cách ly nhanh một phần hệ thống mà không phải dừng toàn bộ;
• Quy trình quản lý tài khoản: cấp riêng, thu hồi khi nghỉ việc, bật xác thực nhiều lớp;
• Đào tạo nhận thức định kỳ cho toàn bộ nhân viên;
• Diễn tập kịch bản sự cố ít nhất một lần mỗi năm;
• Ghi nhận lại các hoạt động đã thực hiện, phục vụ chế độ báo cáo theo điểm đ khoản 1 Điều 10.

Đọc thêm cùng chủ đề

• Vũ trụ ảo là gì?
• Ứng dụng AI trong y tế và giáo dục bị quản lý chặt hơn ra sao?
• Dùng AI sàng lọc hồ sơ ứng viên phải tuân thủ những gì?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 42
• Luật 116/2025/QH15 Điều 10
• Luật 116/2025/QH15 Điều 22

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.