Doanh nghiệp xây dựng quy mô nhỏ cần làm gì về an ninh dữ liệu?

Bản vẽ thiết kế, hồ sơ dự thầu, thông tin giá — nhà thầu nắm nhiều tài liệu có giá trị cạnh tranh. Bài viết đưa ra các biện pháp phù hợp quy mô nhỏ.

Một nhà thầu xây dựng quy mô vừa không có bộ phận công nghệ thông tin, không có ngân sách cho hệ thống bảo mật phức tạp. Nhưng họ nắm giữ bản vẽ thiết kế, hồ sơ dự thầu, bảng giá vật tư, thông tin về công trình của khách hàng — những tài liệu có giá trị cạnh tranh rõ rệt.

Bài viết đưa ra các biện pháp phù hợp với quy mô nhỏ, ưu tiên theo mức hiệu quả trên chi phí.

Tài sản dữ liệu của nhà thầu

Bốn nhóm:

Hồ sơ dự thầu. Giá bỏ thầu, biện pháp thi công, danh sách nhân sự. Rò rỉ trước thời điểm mở thầu là thiệt hại trực tiếp và có thể ảnh hưởng tính hợp lệ của gói thầu.

Bản vẽ thiết kế. Của khách hàng hoặc do đơn vị thiết kế cung cấp. Nhà thầu giữ hộ và có nghĩa vụ bảo mật.

Bảng giá và định mức nội bộ. Đây là bí quyết kinh doanh — biết được giá vốn của một nhà thầu là biết được biên lợi nhuận của họ.

Thông tin công trình của khách. Nhà ở tư nhân thì bản vẽ cho biết bố cục nhà, vị trí két sắt, hệ thống an ninh. Đây là thông tin cần bảo vệ ở mức cao.

Nhóm thứ tư ít được nghĩ tới nhưng là nhóm nhạy cảm nhất về mặt an toàn cho khách hàng.

Năm biện pháp hiệu quả nhất cho quy mô nhỏ

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Với nhà thầu nhỏ, năm việc sau cho hiệu quả cao nhất so với chi phí:

Một — sao lưu tách biệt

Mất toàn bộ bản vẽ và hồ sơ dự án là thiệt hại có thể khiến doanh nghiệp nhỏ đóng cửa. Sao lưu ra ổ cứng ngoài hoặc dịch vụ lưu trữ, ít nhất tuần một lần, và kiểm tra khôi phục thử mỗi năm.

Bản sao lưu phải tách khỏi máy chính. Nếu ổ cứng sao lưu luôn cắm vào máy, mã độc mã hóa dữ liệu sẽ mã hóa luôn cả bản sao lưu.

Hai — mã hóa máy tính xách tay

Nhân sự xây dựng di chuyển liên tục giữa văn phòng và công trường. Máy tính bị mất là chuyện xảy ra. Bật mã hóa toàn ổ đĩa là tính năng có sẵn trên hệ điều hành hiện đại, không tốn chi phí.

Ba — kiểm soát tài khoản

Ba việc: mỗi người một tài khoản riêng, không dùng chung; bật xác thực nhiều lớp cho thư điện tử và dịch vụ lưu trữ; thu hồi quyền ngay khi nhân sự nghỉ việc.

Việc thứ ba hay bị quên trong ngành xây dựng vì nhân sự dự án thường kết thúc công việc rồi rời đi không có thủ tục bàn giao rõ ràng.

Bốn — quy tắc về hồ sơ dự thầu

Giai đoạn chuẩn bị hồ sơ dự thầu là giai đoạn nhạy cảm nhất. Bốn quy tắc:

Giới hạn số người biết giá bỏ thầu;
Không gửi giá qua ứng dụng nhắn tin cá nhân;
Đặt mật khẩu cho tệp hồ sơ trước khi gửi;
Không thảo luận giá ở nơi công cộng hoặc qua điện thoại nơi đông người.

Năm — cảnh giác với thư giả mạo

Ngành xây dựng là mục tiêu phổ biến của lừa đảo chuyển tiền: kẻ gian giả danh nhà cung cấp vật tư gửi thư đề nghị đổi tài khoản nhận tiền.

Quy tắc duy nhất cần có: mọi yêu cầu đổi tài khoản nhận tiền phải được xác minh bằng cách gọi tới số điện thoại đã biết từ trước, không phải số ghi trong thư.

Bảo vệ dữ liệu của khách hàng

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Với nhà thầu xây dựng nhà ở, bốn nguyên tắc:

Không đăng bản vẽ nhà khách lên trang quảng bá — kể cả đã hoàn thành;
Xin phép trước khi đăng ảnh công trình, và không kèm địa chỉ;
Không chia sẻ thông tin về nhà khách cho nhà cung cấp vật tư, nội thất;
Xóa hồ sơ sau khi hết thời hạn bảo hành và thời hạn lưu theo quy định.

Điểm thứ nhất và thứ hai là vi phạm phổ biến trong ngành. Nhiều nhà thầu đăng bản vẽ mặt bằng chi tiết kèm địa chỉ công trình để quảng bá năng lực — đây là thông tin có thể bị lợi dụng.

Hồ sơ điện tử trong xây dựng

Khoản 1 Điều 9 Luật 20/2023/QH15 quy định thông điệp dữ liệu được xem là đáp ứng yêu cầu về văn bản nếu thông tin trong thông điệp dữ liệu đó có thể truy cập và sử dụng được để tham chiếu.

Nghĩa là biên bản nghiệm thu nội bộ, nhật ký thi công, ảnh chụp tiến độ có thể lưu điện tử. Nhưng hồ sơ hoàn công và các tài liệu theo quy định của pháp luật về xây dựng có yêu cầu riêng — cần tra riêng.

Ba thực hành nên áp dụng:

Chụp ảnh tiến độ có ghi ngày giờ — đây là bằng chứng quan trọng khi có tranh chấp về tiến độ hoặc chất lượng;
Lưu chuỗi trao đổi về mọi thay đổi thiết kế, phát sinh;
Xác nhận bằng văn bản mọi yêu cầu phát sinh của chủ đầu tư trước khi thi công.

Điểm cuối là bài học kinh điển của ngành: chủ đầu tư yêu cầu miệng, nhà thầu làm, đến lúc thanh toán thì không có căn cứ đòi.

Thiết bị tại công trường

Công trường có máy tính, máy in, camera giám sát, đôi khi cả mạng wifi cho ban chỉ huy. Đây là môi trường tạm, ít được quản lý, và thường bị bỏ qua trong các biện pháp bảo mật.

Bốn việc nên làm:

Wifi công trường có mật khẩu riêng, không dùng chung với mạng văn phòng, và đổi khi kết thúc dự án;
Camera giám sát đổi mật khẩu mặc định — camera công trường thường mua rẻ, lắp nhanh, và giữ nguyên mật khẩu nhà sản xuất;
Máy tính tại công trường không lưu dữ liệu quan trọng — chỉ dùng để truy cập hệ thống trung tâm;
Thu hồi thiết bị khi kết thúc dự án, xóa dữ liệu trước khi tái sử dụng ở công trình khác.

Điểm thứ hai đáng lưu ý. Camera công trường bị truy cập trái phép vừa lộ thông tin về tiến độ và vật tư, vừa cho thấy khi nào công trường vắng người.

Nhà thầu phụ

Nhà thầu phụ tiếp cận bản vẽ và thông tin công trình. Ba việc cần làm:

Cam kết bảo mật trong hợp đồng thầu phụ;
Chỉ cung cấp phần bản vẽ liên quan tới hạng mục họ thi công;
Yêu cầu trả lại hoặc xóa tài liệu sau khi hoàn thành.

Danh sách kiểm tra

Có sao lưu tách biệt không? Đã thử khôi phục chưa?
Máy tính xách tay đã mã hóa ổ đĩa chưa?
Có dùng tài khoản chung không?
Có quy tắc xác minh khi đổi tài khoản nhận tiền chưa?
Giá bỏ thầu có được gửi qua nhắn tin cá nhân không?
Có đăng bản vẽ hoặc địa chỉ nhà khách lên trang quảng bá không?
Phát sinh có được xác nhận bằng văn bản trước khi làm không?

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 116/2025/QH15 Điều 26
Luật 116/2025/QH15 Điều 16
Luật 148/2025/QH15 Điều 27
Luật 20/2023/QH15 Điều 9

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.

Theo Luật An ninh mạng 2025, doanh nghiệp xây dựng quy mô nhỏ cần làm gì về an ninh dữ liệu?