Theo Luật An ninh mạng 2025, phát hiện dấu hiệu khủng bố mạng thì doanh nghiệp phải làm gì?

Kịp thời báo cho lực lượng bảo vệ an ninh mạng theo khoản 3 Điều 19. Song song, chủ quản hệ thống có nghĩa vụ thường xuyên rà soát để loại trừ nguy cơ.

Điều 19 Luật An ninh mạng 116/2025/QH15 quy định về phòng, chống khủng bố mạng. Với doanh nghiệp, hai khoản đáng chú ý nhất là khoản 2 về nghĩa vụ rà soát và khoản 3 về nghĩa vụ báo tin.

Nghĩa vụ rà soát thường xuyên — khoản 2

Khoản 2 Điều 19 quy định: chủ quản hệ thống thông tin thường xuyên rà soát, kiểm tra hệ thống thông tin thuộc phạm vi quản lý nhằm loại trừ nguy cơ khủng bố mạng.

Nghĩa vụ này áp dụng cho mọi chủ quản hệ thống thông tin, không giới hạn ở hệ thống trọng yếu. Từ khóa là thường xuyên — đây là hoạt động định kỳ, không phải một lần.

Về mặt thực hành, việc rà soát nhằm loại trừ nguy cơ khủng bố mạng trùng phần lớn với các hoạt động bảo mật thông thường: rà soát lỗ hổng, kiểm tra cấu hình, phát hiện truy cập bất thường, kiểm tra tính toàn vẹn của hệ thống. Doanh nghiệp không cần lập một quy trình riêng mà nên tích hợp vào chu trình kiểm tra an ninh mạng hiện có theo điểm e khoản 2 Điều 10.

Nghĩa vụ báo tin — khoản 3

Khoản 3 Điều 19 quy định: khi phát hiện dấu hiệu, hành vi khủng bố mạng, cơ quan, tổ chức, cá nhân phải kịp thời báo cho lực lượng bảo vệ an ninh mạng. Cơ quan tiếp nhận tin báo có trách nhiệm tiếp nhận đầy đủ tin báo về khủng bố mạng và kịp thời thông báo cho lực lượng chuyên trách bảo vệ an ninh mạng.

Ba điểm cần lưu ý:

• Chủ thể có nghĩa vụ rất rộng — cơ quan, tổ chức, cá nhân, không giới hạn ở chủ quản hệ thống;
• Ngưỡng kích hoạt thấp — chỉ cần phát hiện dấu hiệu, không cần chờ hành vi đã xảy ra;
• Người nhận báo tin — lực lượng bảo vệ an ninh mạng, tức cả ba nhóm tại khoản 1 Điều 30, không chỉ lực lượng chuyên trách.

Điểm thứ ba có ý nghĩa thực tế: doanh nghiệp không phải tự tìm đúng đầu mối chuyên trách. Cơ quan tiếp nhận tin báo có trách nhiệm chuyển tiếp cho lực lượng chuyên trách.

Phân công trách nhiệm nhà nước — khoản 4, 5, 6

Khoản 1 Điều 19 quy định cơ quan nhà nước có thẩm quyền có trách nhiệm áp dụng biện pháp theo quy định của Luật này và pháp luật về phòng, chống khủng bố để xử lý khủng bố mạng.

Ba khoản tiếp theo phân công theo lĩnh vực:

• Khoản 4 — Bộ Công an chủ trì, phối hợp với Bộ, ngành có liên quan triển khai công tác phòng, chống khủng bố mạng, áp dụng biện pháp vô hiệu hóa nguồn khủng bố mạng, xử lý khủng bố mạng, hạn chế đến mức thấp nhất hậu quả xảy ra đối với hệ thống thông tin;
• Khoản 5 — Bộ Quốc phòng chủ trì đối với hệ thống thông tin quân sự;
• Khoản 6 — Ban Cơ yếu Chính phủ chủ trì đối với hệ thống thông tin cơ yếu thuộc Ban Cơ yếu Chính phủ.

Với doanh nghiệp thông thường, đầu mối là Bộ Công an và hệ thống lực lượng trực thuộc.

Xung đột thông tin trên không gian mạng — Điều 22

Điều 22 Luật 116/2025/QH15 quy định về một loại tình huống khác nhưng có liên quan.

Khoản 1 Điều 22 định nghĩa: xung đột thông tin là việc hai hoặc nhiều tổ chức trong nước và nước ngoài sử dụng biện pháp công nghệ, kỹ thuật thông tin gây tổn hại đến thông tin, hệ thống thông tin trên không gian mạng làm ảnh hưởng đến an ninh quốc gia, trật tự, an toàn xã hội.

Khoản 2 Điều 22 định nghĩa việc ngăn chặn xung đột thông tin là thực hiện các biện pháp công nghệ, kỹ thuật để giám sát, phát hiện, cảnh báo, xác định nguồn gốc, chặn lọc, gỡ bỏ, phản bác, định hướng dư luận, khắc phục, xử phạt và các biện pháp khác.

Trách nhiệm của tổ chức, cá nhân — khoản 3

Khoản 3 Điều 22 quy định tổ chức, cá nhân trong phạm vi nhiệm vụ, quyền hạn của mình có trách nhiệm: ngăn chặn xung đột thông tin trên không gian mạng từ hệ thống thông tin của mình; hợp tác xác định nguồn, đẩy lùi, khắc phục hậu quả tấn công mạng được thực hiện thông qua hệ thống thông tin của tổ chức.

Mệnh đề "tấn công mạng được thực hiện thông qua hệ thống thông tin của tổ chức" đáng chú ý riêng. Đây là tình huống hệ thống của doanh nghiệp bị chiếm quyền và dùng làm bàn đạp tấn công bên khác.

Trong thực tế, đây là kịch bản rất phổ biến: máy chủ bị xâm nhập trở thành một phần của mạng máy tính ma, phát tán thư rác hoặc tham gia tấn công từ chối dịch vụ mà chủ sở hữu không biết.

Nghĩa vụ ở đây gồm ba việc: hợp tác xác định nguồn, đẩy lùi, và khắc phục hậu quả. Doanh nghiệp không thể chỉ đơn giản ngắt kết nối và bỏ qua — cần phối hợp làm rõ và khắc phục.

Điều này cũng có ý nghĩa với trách nhiệm dân sự: hệ thống bị lợi dụng để tấn công bên thứ ba có thể dẫn tới trách nhiệm nếu chủ sở hữu có lỗi trong việc để hệ thống bị xâm nhập.

Đấu tranh bảo vệ an ninh mạng — Điều 21

Khoản 1 Điều 21 Luật 116/2025/QH15 định nghĩa: đấu tranh bảo vệ an ninh mạng là hoạt động có tổ chức do lực lượng chuyên trách bảo vệ an ninh mạng thực hiện trên không gian mạng nhằm bảo vệ an ninh quốc gia và bảo đảm trật tự, an toàn xã hội.

Đây là hoạt động của lực lượng chuyên trách, không phải nghĩa vụ của doanh nghiệp. Nhưng khoản 2 Điều 21 liệt kê nội dung đấu tranh, trong đó có các biện pháp có thể tác động tới hệ thống của doanh nghiệp:

• Điểm a — giám sát thông tin mạng và phòng ngừa, đấu tranh, xử lý tổ chức, cá nhân có hoạt động sử dụng không gian mạng xâm phạm an ninh quốc gia, trật tự, an toàn xã hội;
• Điểm b — sử dụng giải pháp kỹ thuật để ngăn chặn thông tin vi phạm pháp luật;
• Điểm c — phòng, chống tấn công và bảo vệ hoạt động ổn định của hệ thống thông tin quan trọng về an ninh quốc gia;
• Điểm d — làm tê liệt hoặc hạn chế hoạt động sử dụng không gian mạng nhằm gây phương hại an ninh quốc gia hoặc gây tổn hại đặc biệt nghiêm trọng trật tự, an toàn xã hội;
• Điểm đ — chủ động tấn công vô hiệu hóa mục tiêu trên không gian mạng nhằm bảo vệ an ninh quốc gia và bảo đảm trật tự, an toàn xã hội.

Khoản 3 Điều 21 giao Bộ Công an chủ trì thực hiện đấu tranh bảo vệ an ninh mạng; Bộ Quốc phòng chủ trì đối với hệ thống thông tin quân sự.

Chuẩn bị của doanh nghiệp

Từ ba điều trên, các việc thiết thực:

• Đưa việc rà soát loại trừ nguy cơ vào lịch kiểm tra định kỳ theo khoản 2 Điều 19 — và ghi nhận lại kết quả để chứng minh đã thực hiện;
• Xác định trước đầu mối báo tin và người có thẩm quyền quyết định báo tin trong doanh nghiệp;
• Giám sát lưu lượng ra khỏi hệ thống — đây là cách phát hiện sớm việc hệ thống bị lợi dụng làm bàn đạp tấn công theo khoản 3 Điều 22;
• Chuẩn bị năng lực hợp tác xác định nguồn — bật và lưu nhật ký đủ lâu, vì không có nhật ký thì không thể hợp tác điều tra;
• Có phương án cách ly nhanh một phần hệ thống khi phát hiện bị xâm nhập, để hạn chế hậu quả mà không phải dừng toàn bộ hoạt động.

Điểm cuối đáng đầu tư: khả năng cách ly một phần thay vì dừng toàn bộ là điều tạo khác biệt lớn về thiệt hại kinh doanh khi sự cố xảy ra.

Đọc thêm cùng chủ đề

• Dữ liệu mở của cơ quan nhà nước được dùng cho mục đích thương mại không?
• Người lao động mất việc do chuyển đổi số được hỗ trợ gì?
• Doanh nghiệp có nghĩa vụ đào tạo năng lực số cho nhân viên không?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 19
• Luật 116/2025/QH15 Điều 22
• Luật 116/2025/QH15 Điều 21

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.