An ninh mạng

Theo Luật An ninh mạng 2025, doanh nghiệp phải chống phần mềm độc hại thế nào?

01/08/2026
1 lượt xem
0 bình luận

Nghĩa vụ chia theo bốn nhóm chủ thể, từ trách nhiệm chung của mọi tổ chức tới yêu cầu hệ thống lọc bắt buộc với doanh nghiệp cung cấp dịch vụ thư điện tử và lưu trữ thông tin.

Điều 17 Luật An ninh mạng 116/2025/QH15 thiết kế nghĩa vụ theo bậc thang: càng nắm giữ vị trí quan trọng trong hạ tầng mạng thì nghĩa vụ càng nặng. Cách đọc hiệu quả nhất là xác định mình thuộc bậc nào trước.

Bậc 1 — mọi cơ quan, tổ chức, cá nhân

Khoản 1 Điều 17 quy định cơ quan, tổ chức, cá nhân có trách nhiệm chủ động phòng ngừa, phát hiện, ngăn chặn phần mềm độc hại và thực hiện theo hướng dẫn, yêu cầu của cơ quan nhà nước có thẩm quyền.

Từ khóa là "chủ động". Nghĩa vụ này không chờ ai yêu cầu mới làm, và không có ngưỡng miễn trừ theo quy mô. Ba động từ — phòng ngừa, phát hiện, ngăn chặn — tương ứng với ba nhóm biện pháp khác nhau:

Phòng ngừa: cập nhật bản vá, hạn chế quyền quản trị, kiểm soát phần mềm được cài, đào tạo nhân sự nhận biết thư lừa đảo;
Phát hiện: có công cụ quét và giám sát, có người xem cảnh báo — cài phần mềm mà không ai đọc cảnh báo thì chưa gọi là phát hiện;
Ngăn chặn: có khả năng cô lập máy nhiễm, chặn kết nối ra ngoài, khôi phục từ bản sao lưu.

Bậc 2 — chủ quản hệ thống trọng yếu quốc gia

Khoản 2 Điều 17 quy định chủ quản hệ thống thông tin quan trọng về an ninh quốc gia phải triển khai hệ thống kỹ thuật nhằm phòng ngừa, phát hiện, ngăn chặn và xử lý kịp thời phần mềm độc hại.

Khác biệt so với bậc 1 nằm ở chữ "hệ thống kỹ thuật" — không chấp nhận biện pháp thủ công hay rời rạc, mà phải có hệ thống chuyên dụng.

Bậc 3 — dịch vụ thư điện tử, truyền đưa, lưu trữ thông tin

Khoản 3 Điều 17 quy định tổ chức, doanh nghiệp cung cấp dịch vụ thư điện tử, truyền đưa, lưu trữ thông tin phải có hệ thống lọc phần mềm độc hại trong quá trình gửi, nhận, lưu trữ thông tin trên hệ thống của mình, và báo cáo cơ quan nhà nước có thẩm quyền theo quy định của pháp luật.

Nhóm này rộng hơn thoạt nhìn. Ngoài các nhà cung cấp thư điện tử, nó bao gồm cả dịch vụ lưu trữ tệp, dịch vụ truyền tải nội dung, và về nguyên tắc cả các nền tảng cho phép người dùng tải tệp lên rồi chia sẻ cho người khác.

Yêu cầu "lọc trong quá trình gửi, nhận, lưu trữ" bao trùm cả ba thời điểm. Chỉ quét khi tải lên mà không quét lại định kỳ kho lưu trữ là chưa đủ — vì mã độc mới xuất hiện sau ngày tệp được tải lên vẫn có thể nằm im trong hệ thống.

Bậc 4 — doanh nghiệp cung cấp dịch vụ Internet

Khoản 4 Điều 17 quy định doanh nghiệp cung cấp dịch vụ Internet có biện pháp quản lý, phòng ngừa, phát hiện, ngăn chặn phát tán phần mềm độc hại và xử lý theo yêu cầu của cơ quan nhà nước có thẩm quyền.

Trọng tâm ở đây là chặn phát tán — tức ngăn mã độc lan từ thuê bao này sang thuê bao khác qua hạ tầng của nhà cung cấp.

Vai trò của cơ quan nhà nước

Khoản 5 Điều 17 quy định Bộ Công an chủ trì, phối hợp với Bộ Quốc phòng và Bộ, ngành có liên quan tổ chức phòng ngừa, phát hiện, ngăn chặn và xử lý phần mềm độc hại gây tổn hại tới an ninh quốc gia.

Giới hạn "gây tổn hại tới an ninh quốc gia" cho thấy sự phân vai: mã độc thông thường là việc của tổ chức tự xử lý, còn mã độc ở tầm ảnh hưởng an ninh quốc gia thì cơ quan nhà nước vào cuộc.

Quan hệ với Điều 18 về tấn công mạng

Điều 18 Luật 116/2025/QH15 quy định về phòng, chống tấn công mạng và liệt kê các hành vi tấn công mạng, trong đó khoản 1 nêu:

Phát tán chương trình tin học gây hại cho mạng viễn thông, mạng Internet, mạng máy tính, hệ thống thông tin, hệ thống xử lý và điều khiển thông tin, cơ sở dữ liệu, phương tiện điện tử;
Gây cản trở, rối loạn, làm tê liệt, gián đoạn, ngưng trệ hoạt động, ngăn chặn trái phép việc truyền đưa dữ liệu của không gian mạng;
Xâm nhập, làm tổn hại, chiếm đoạt dữ liệu được lưu trữ, truyền đưa qua các hệ thống nêu trên;
Xâm nhập, tạo ra hoặc khai thác điểm yếu, lỗ hổng bảo mật và dịch vụ hệ thống để chiếm đoạt thông tin.

Hai điều này bổ sung cho nhau: Điều 17 nói về nghĩa vụ phòng chống mã độc, Điều 18 xác định hành vi nào là tấn công mạng. Phát tán mã độc vừa là đối tượng của Điều 17 vừa là hành vi tấn công mạng theo Điều 18.

Nghĩa vụ kết nối hệ thống phòng chống mã độc

Điểm b khoản 1 Điều 40 Luật 116/2025/QH15 đặt thêm một nghĩa vụ liên quan trực tiếp: chủ quản hệ thống thông tin phải kết nối hệ thống giám sát an ninh mạng, hệ thống phòng chống mã độc tập trung về Trung tâm An ninh mạng quốc gia của Bộ Công an hoặc Trung tâm An ninh mạng của tỉnh, thành phố để hỗ trợ giám sát an ninh mạng.

Chữ "tập trung" trong "hệ thống phòng chống mã độc tập trung" là điểm nhiều doanh nghiệp vừa và nhỏ chưa đáp ứng. Cài phần mềm diệt vi-rút rời trên từng máy không tạo thành hệ thống tập trung — không có bảng điều khiển chung, không có nhật ký gom về một chỗ, không kết nối ra ngoài được.

Lộ trình thực tế cho doanh nghiệp vừa và nhỏ

Với tổ chức hiện chỉ có phần mềm diệt vi-rút rời, các bước hợp lý theo thứ tự chi phí tăng dần:

Bước 1: chuyển sang giải pháp có bảng điều khiển tập trung. Nhiều sản phẩm phổ thông đã có sẵn tính năng này, chỉ cần cấu hình lại thay vì mua mới;
Bước 2: bật ghi nhật ký và giữ đủ lâu — nhật ký là thứ cần khi phải mô tả sự cố cho cơ quan chức năng;
Bước 3: giao một người theo dõi cảnh báo hằng ngày. Công cụ tốt mà không ai xem cảnh báo thì vô nghĩa;
Bước 4: chuẩn bị năng lực kết nối ra ngoài theo điểm b khoản 1 Điều 40, chờ hướng dẫn kỹ thuật cụ thể;
Bước 5: tập huấn nhận biết thư lừa đảo cho toàn bộ nhân sự — đây là biện pháp rẻ nhất và chặn được phần lớn đường lây thực tế.

Luật có hiệu lực từ 01/7/2026 theo Điều 44, nên khoảng thời gian chuẩn bị là có, nhưng bước 1 và bước 4 cần thời gian triển khai kỹ thuật, không nên để sát hạn.