Doanh nghiệp áp tải và vận chuyển tiền cần bảo mật thông tin thế nào?

Lộ trình, thời gian, giá trị hàng vận chuyển là thông tin mà rò rỉ có thể dẫn tới hậu quả nghiêm trọng. Bài viết chỉ ra các lớp bảo vệ cần có.

Doanh nghiệp áp tải tiền, vận chuyển kim loại quý, tài liệu quan trọng có một đặc điểm không ngành nào khác có: rò rỉ thông tin không dẫn tới thiệt hại về danh dự hay cạnh tranh mà có thể dẫn tới cướp có vũ trang và nguy hiểm tính mạng.

Lưu ý trước: hoạt động này chịu điều chỉnh của pháp luật chuyên ngành, bao gồm quy định về điều kiện kinh doanh và về quản lý vũ khí, công cụ hỗ trợ. Bài viết bàn về khía cạnh bảo mật thông tin.

Thông tin cần bảo vệ tuyệt đối

Năm nhóm:

Lộ trình — đi đường nào, dừng ở đâu;
Thời gian — xuất phát lúc nào, tới nơi lúc nào;
Giá trị và loại hàng vận chuyển;
Nhân sự — ai đi chuyến nào;
Phương tiện — xe nào, biển số gì.

Nguyên tắc nền tảng: càng ít người biết càng an toàn, và mỗi người chỉ biết phần mình cần.

Nguyên tắc biết theo nhu cầu

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Với ngành này, "phù hợp với tính chất" nghĩa là mức bảo vệ cao hơn hẳn thông thường. Bảy biện pháp:

Phân mảnh thông tin — người lập kế hoạch, người điều phối, đội áp tải mỗi bên biết một phần;
Thông báo lộ trình sát giờ, không phổ biến trước nhiều ngày;
Không thảo luận chi tiết chuyến đi qua điện thoại thông thường hoặc ứng dụng nhắn tin;
Kênh liên lạc riêng, được mã hóa;
Không lưu kế hoạch trên máy cá nhân;
Ghi nhật ký ai truy cập kế hoạch nào;
Thay đổi lộ trình khi có dấu hiệu bất thường.

Điểm thứ hai là nguyên tắc vận hành cốt lõi: thông tin lộ trình càng được biết sớm, cửa sổ rủi ro càng dài.

Rủi ro từ bên trong

Đây là rủi ro lớn nhất trong ngành này. Các vụ cướp có tổ chức thường có yếu tố nội gián.

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Sáu biện pháp:

Xác minh kỹ khi tuyển dụng, có hồ sơ đầy đủ;
Phân công ngẫu nhiên nhân sự vào chuyến, không cố định lịch;
Giám sát truy cập bất thường — người xem kế hoạch chuyến không thuộc phạm vi mình;
Không để một người nắm toàn bộ thông tin của một chuyến;
Cam kết bảo mật có hiệu lực cả sau khi nghỉ việc;
Thu hồi ngay toàn bộ quyền khi nhân sự nghỉ.

Điểm thứ hai vừa giảm rủi ro nội gián vừa khiến việc theo dõi từ bên ngoài khó hơn.

Hệ thống định vị và liên lạc

Điều 10 Luật 71/2025/QH15 quy định: Cơ quan, tổ chức, cá nhân tham gia hoặc có liên quan đến hoạt động công nghiệp công nghệ số phải tuân thủ quy định của pháp luật về an toàn thông tin mạng, an ninh mạng, pháp luật về dữ liệu, dữ liệu cá nhân và pháp luật khác có liên quan.

Điều 16 Luật 116/2025/QH15 quy định về các hoạt động bảo vệ an ninh mạng.

Hệ thống định vị vừa là công cụ bảo vệ vừa là điểm yếu nếu bị xâm nhập. Năm biện pháp:

Trung tâm giám sát tách biệt, không kết nối internet công cộng;
Xác thực nhiều lớp cho tài khoản truy cập hệ thống định vị;
Ghi nhật ký mọi lần xem vị trí xe;
Thiết bị dự phòng — nếu định vị chính bị vô hiệu hóa, có kênh khác;
Kiểm tra nhà cung cấp hệ thống định vị — ai bên đó xem được dữ liệu.

Điểm cuối rất quan trọng và ít được hỏi: nhà cung cấp dịch vụ định vị có nhân viên kỹ thuật xem được vị trí mọi xe của khách hàng.

Thông tin của khách hàng

Doanh nghiệp áp tải biết khách hàng của mình có bao nhiêu tiền mặt, lịch nộp tiền, điểm giao nhận. Đây là thông tin nhạy cảm của khách.

Ba nguyên tắc:

Không tiết lộ danh sách khách hàng của mình;
Không thảo luận về giá trị, tần suất giao dịch của khách ngoài phạm vi công việc;
Cam kết bảo mật trong hợp đồng dịch vụ, có hiệu lực sau khi chấm dứt.

Camera trên xe và tại điểm giao nhận

Camera là công cụ bảo vệ quan trọng. Bốn lưu ý:

Dữ liệu camera là bằng chứng — cần lưu đủ lâu, không sửa được;
Truy cập hạn chế — không phải ai trong công ty cũng xem được;
Không phát trực tiếp ra ngoài trung tâm giám sát;
Bảo vệ chính hệ thống camera khỏi bị xâm nhập.

Xử lý sự cố

Ngành này cần phương án ứng phó chi tiết nhất. Sáu nội dung:

Quy trình báo động và liên hệ khẩn cấp;
Ai ra quyết định trong tình huống khẩn;
Cách xử lý khi mất liên lạc với đội áp tải;
Phối hợp với cơ quan chức năng;
Bảo toàn hiện trường và bằng chứng;
Thông tin ra bên ngoài — ai phát ngôn, nói gì.

Điểm cuối quan trọng: thông tin không kiểm soát ra ngoài trong lúc sự việc đang diễn ra có thể gây nguy hiểm cho nhân sự.

Đối tác và nhà thầu phụ

Nhiều chuyến áp tải có sự tham gia của bên khác: đơn vị cho thuê xe chuyên dụng, đơn vị lắp đặt thiết bị định vị, nhà cung cấp dịch vụ giám sát. Mỗi bên là một điểm có thể rò rỉ thông tin.

Năm nguyên tắc:

Thẩm định kỹ trước khi hợp tác — không chọn đối tác chỉ vì giá rẻ;
Cam kết bảo mật bằng văn bản, có chế tài rõ;
Chỉ cung cấp thông tin tối thiểu — đơn vị lắp thiết bị không cần biết lộ trình;
Kiểm soát việc bảo trì — kỹ thuật viên bên ngoài vào xe phải có người của công ty giám sát;
Rà soát định kỳ danh sách người bên ngoài có quyền truy cập hệ thống.

Điểm thứ tư đáng nhấn mạnh: kỹ thuật viên bảo trì có cơ hội tiếp cận thiết bị định vị, hệ thống liên lạc, và cả cấu trúc bên trong xe.

Bảo vệ thông tin sau khi kết thúc chuyến

Ba việc dễ bị bỏ qua:

Xóa kế hoạch chuyến khỏi thiết bị di động của đội áp tải sau khi hoàn thành;
Thu hồi tài liệu in và hủy có kiểm soát;
Không lưu thống kê chi tiết theo cách để lộ quy luật — chẳng hạn bảng ghi rõ ngày nào chở giá trị lớn nhất.

Điểm cuối quan trọng về dài hạn: dữ liệu lịch sử nhiều tháng cho phép suy ra quy luật hoạt động, và quy luật là thứ nguy hiểm nhất trong ngành này.

Diễn tập

Mọi quy trình cần được diễn tập định kỳ. Ba loại tình huống nên tập:

Mất liên lạc giữa hành trình;
Hệ thống định vị bị vô hiệu hóa;
Phát hiện dấu hiệu bị theo dõi.

Diễn tập không chỉ để kiểm tra quy trình mà còn để nhân sự phản ứng đúng dưới áp lực.

Danh sách kiểm tra

Thông tin lộ trình có phân mảnh không, hay một người biết hết?
Lộ trình được thông báo trước bao lâu?
Có thảo luận chi tiết chuyến qua ứng dụng nhắn tin thông thường không?
Nhân sự có được phân công ngẫu nhiên không?
Có ghi nhật ký ai xem vị trí xe không?
Nhà cung cấp định vị có xem được dữ liệu không?
Đã diễn tập tình huống mất liên lạc chưa?

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 116/2025/QH15 Điều 26
Luật 116/2025/QH15 Điều 16
Luật 148/2025/QH15 Điều 27
Luật 71/2025/QH15 Điều 10

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.

Theo Luật An ninh mạng 2025, doanh nghiệp áp tải và vận chuyển tiền cần bảo mật thông tin thế nào?