Theo Luật An ninh mạng 2025, lộ dữ liệu khách hàng thì doanh nghiệp xử lý theo trình tự nào?

Trình tự sáu bước — bảo toàn chứng cứ trước, chặn rò rỉ, xác định phạm vi, thông báo, khắc phục, rồi mới rà soát nguyên nhân gốc.

Lộ dữ liệu khách hàng là sự cố có hậu quả kép: thiệt hại trực tiếp cho khách hàng, và tổn hại uy tín khó phục hồi cho doanh nghiệp. Bài viết trình bày trình tự xử lý và nghĩa vụ pháp lý phát sinh.

Nghĩa vụ nền — bảo đảm an ninh dữ liệu

Khoản 1 Điều 26 Luật An ninh mạng 116/2025/QH15 định nghĩa: bảo đảm an ninh dữ liệu là tổng thể các biện pháp kỹ thuật, tổ chức và pháp lý nhằm bảo vệ dữ liệu, phòng, chống xâm phạm an ninh dữ liệu.

Khoản 2 Điều 26 nêu bảy nội dung, trong đó liên quan trực tiếp tới phòng ngừa lộ dữ liệu:

• Điểm a — xây dựng chính sách, thiết lập quy trình;
• Điểm c — sử dụng mật mã cơ yếu, mật mã dân sự;
• Điểm d — triển khai cơ chế kiểm soát chặt chẽ nhân sự trực tiếp tham gia xử lý dữ liệu;
• Điểm đ — kiểm tra, đánh giá rủi ro định kỳ nhằm phát hiện, ngăn chặn và xử lý kịp thời các nguy cơ.

Khoản 1 Điều 27 Luật Chuyển đổi số 148/2025/QH15 cũng quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Trình tự xử lý khi phát hiện lộ dữ liệu

Bước 1 — bảo toàn chứng cứ trước khi làm bất cứ việc gì khác

Đây là bước hay bị bỏ qua nhất vì áp lực khắc phục nhanh. Nhưng nếu xóa dấu vết, việc xác định nguyên nhân và phạm vi trở nên bất khả thi.

Cần làm: sao lưu nhật ký hệ thống ra nơi khác; chụp ảnh trạng thái hệ thống; ghi lại thời điểm phát hiện và ai phát hiện; không cài lại hệ thống, không xóa tài khoản nghi ngờ.

Khoản 3 Điều 28 Luật Trí tuệ nhân tạo 134/2025/QH15 cho thấy giá trị của việc này: trong thanh tra, kiểm tra, tổ chức có nghĩa vụ cung cấp hồ sơ kỹ thuật, nhật ký lưu vết, dữ liệu huấn luyện và thông tin cần thiết khác để xác định nguyên nhân vi phạm, sự cố hoặc PHÂN ĐỊNH TRÁCH NHIỆM.

Nhật ký là căn cứ để xác định lỗi thuộc bên nào — nó bảo vệ chính doanh nghiệp.

Bước 2 — chặn rò rỉ đang diễn ra

Song song với bước 1: khóa tài khoản bị lợi dụng, chặn truy cập bất thường, đổi khóa mã hóa và mã truy cập dịch vụ, thu hồi quyền của tài khoản nghi ngờ.

Điểm h khoản 2 Điều 10 Luật 116/2025/QH15 nêu biện pháp ứng phó, khắc phục sự cố an ninh mạng đối với hệ thống thông tin — bắt buộc với hệ thống cấp độ 3, 4 theo khoản 4 Điều 10.

Bước 3 — xác định phạm vi

Ba câu hỏi cần trả lời:

• Dữ liệu nào bị lộ? Loại dữ liệu quyết định mức nghiêm trọng — dữ liệu định danh cơ bản khác dữ liệu nhạy cảm như thông tin sức khỏe, sinh trắc học, tài chính;
• Bao nhiêu người bị ảnh hưởng?
• Dữ liệu đã bị phát tán chưa? Có dấu hiệu rao bán, đăng công khai không.

Kết quả ba câu hỏi này quyết định các bước tiếp theo và mức độ khẩn cấp.

Bước 4 — thông báo

Khoản 3 Điều 42 Luật 116/2025/QH15 quy định cơ quan, tổ chức, cá nhân sử dụng không gian mạng có trách nhiệm kịp thời cung cấp thông tin liên quan đến bảo vệ an ninh mạng, nguy cơ đe dọa an ninh mạng, hành vi xâm phạm an ninh mạng cho cơ quan có thẩm quyền, lực lượng bảo vệ an ninh mạng.

Khoản 4 Điều 42 bổ sung nghĩa vụ thực hiện yêu cầu và hướng dẫn của cơ quan có thẩm quyền; giúp đỡ, tạo điều kiện cho cơ quan, tổ chức và người có trách nhiệm tiến hành các biện pháp bảo vệ an ninh mạng.

Nếu dữ liệu bị lộ là dữ liệu cá nhân, nghĩa vụ theo pháp luật về bảo vệ dữ liệu cá nhân phát sinh song song — bao gồm nghĩa vụ thông báo cho chủ thể dữ liệu trong các trường hợp luật định.

Với chủ quản hệ thống thông tin quan trọng về an ninh quốc gia, điểm d khoản 1 Điều 11 quy định nghĩa vụ triển khai phương án ứng phó, khắc phục khi sự cố an ninh mạng xảy ra và kịp thời báo cáo với lực lượng chuyên trách bảo vệ an ninh mạng có thẩm quyền.

Bước 5 — khắc phục và hỗ trợ người bị ảnh hưởng

Ngoài việc vá lỗ hổng, cần cân nhắc các biện pháp giảm thiệt hại cho khách hàng: khuyến nghị đổi mật khẩu, cảnh báo về nguy cơ bị lừa đảo mạo danh, và mở kênh tiếp nhận phản ánh.

Điểm này có ý nghĩa thực tế lớn: sau khi dữ liệu bị lộ, khách hàng thường trở thành mục tiêu của các cuộc gọi và tin nhắn lừa đảo mạo danh chính doanh nghiệp — vì kẻ lừa đảo có thông tin thật để tạo lòng tin.

Bước 6 — rà soát nguyên nhân gốc

Sau khi ổn định, cần trả lời: vì sao xảy ra, và biện pháp nào ngăn tái diễn.

Điểm e khoản 2 Điều 10 Luật 116/2025/QH15 nêu biện pháp kiểm tra, giám sát việc tuân thủ quy định và đánh giá hiệu quả của các biện pháp quản lý và kỹ thuật được áp dụng — đây chính là hoạt động cần thực hiện sau sự cố.

Ba nguyên nhân phổ biến nhất

Từ thực tế, phần lớn vụ lộ dữ liệu khách hàng không đến từ tấn công kỹ thuật tinh vi mà từ ba nguyên nhân đơn giản:

• Nhân sự cũ vẫn còn quyền truy cập — hoặc đã sao chép dữ liệu trước khi nghỉ. Đây là nguyên nhân số một;
• Tài khoản bị lộ mật khẩu — thường qua thư điện tử lừa đảo, hoặc do dùng lại mật khẩu ở nhiều nơi;
• Cấu hình sai để lộ dữ liệu công khai — thư mục lưu trữ đặt chế độ ai có liên kết đều xem được, hoặc cơ sở dữ liệu mở ra Internet không có xác thực.

Cả ba đều phòng ngừa được bằng biện pháp quản trị đơn giản, không cần đầu tư lớn.

Điều luật liên quan tới hành vi làm lộ dữ liệu

Điểm a khoản 1 Điều 15 Luật 116/2025/QH15 liệt kê hành vi chiếm đoạt, mua bán, thu giữ, cố ý làm lộ thông tin thuộc bí mật nhà nước, bí mật công tác, bí mật kinh doanh; chiếm đoạt, mua bán, thu giữ, cố ý làm lộ bí mật cá nhân, bí mật gia đình và đời sống riêng tư gây ảnh hưởng đến danh dự, uy tín, nhân phẩm, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

Điểm c khoản 1 Điều 15 nêu hành vi cố ý thay đổi, hủy bỏ hoặc làm vô hiệu hóa biện pháp kỹ thuật được xây dựng, áp dụng để bảo vệ thông tin — nhân viên tự ý tắt biện pháp bảo vệ để tiện làm việc thuộc nhóm này.

Điểm d khoản 1 Điều 15 nêu hành vi đưa lên không gian mạng những thông tin thuộc bí mật kinh doanh, bí mật cá nhân trái quy định của pháp luật.

Khoản 3 Điều 5 Luật 148/2025/QH15 cũng nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định của pháp luật.

Chuẩn bị trước sự cố

Danh mục việc nên hoàn tất trước khi cần đến:

• Bản đồ dữ liệu — dữ liệu gì, ở đâu, ai truy cập được. Không có bản đồ thì không xác định được phạm vi khi có sự cố;
• Phân quyền theo nhu cầu công việc và rà soát định kỳ;
• Quy trình thu hồi quyền tự động khi nhân sự nghỉ việc hoặc chuyển vị trí;
• Nhật ký truy cập và xuất dữ liệu, được bảo vệ khỏi bị xóa;
• Mã hóa dữ liệu nhạy cảm khi lưu trữ, theo điểm c khoản 2 Điều 26;
• Cảnh báo khi có thao tác xuất dữ liệu hàng loạt — dấu hiệu sớm của việc lấy cắp dữ liệu;
• Phương án ứng phó bằng văn bản, nêu rõ ai quyết định việc gì;
• Danh sách liên hệ khẩn cấp, gồm cả liên hệ ngoài giờ hành chính;
• Mẫu thông báo sẵn cho cơ quan chức năng và cho khách hàng — soạn trước tiết kiệm nhiều giờ khi sự cố xảy ra;
• Diễn tập ít nhất một lần mỗi năm.

Trong các cuộc diễn tập, điểm nghẽn bộc lộ thường không nằm ở kỹ thuật mà ở khâu ra quyết định: không rõ ai có thẩm quyền thông báo ra bên ngoài, hoặc người có thẩm quyền không liên lạc được. Phát hiện sớm những điểm này là giá trị lớn nhất của việc diễn tập.

Đọc thêm cùng chủ đề

• Doanh nghiệp gia công phần mềm hưởng ưu đãi và chịu nghĩa vụ nào?
• Chuỗi bán lẻ nhiều chi nhánh số hóa cần lưu ý gì?
• Doanh nghiệp sản xuất thiết bị điện tử được ưu đãi và phải đáp ứng gì?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 26
• Luật 116/2025/QH15 Điều 42
• Luật 148/2025/QH15 Điều 27

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.