Rủi ro từ nhà thầu phụ và đối tác công nghệ quản lý thế nào?

Đối tác có quyền truy cập hệ thống là một trong những vùng rủi ro lớn nhất — và nghĩa vụ pháp lý vẫn thuộc về doanh nghiệp chứ không chuyển sang nhà thầu.

Phần lớn doanh nghiệp có ít nhất một đối tác công nghệ được cấp quyền truy cập hệ thống: đơn vị bảo trì phần mềm, nhà cung cấp dịch vụ đám mây, đơn vị hỗ trợ kỹ thuật, hoặc nhà thầu phát triển. Đây là vùng rủi ro thường bị đánh giá thấp.

Nghĩa vụ không chuyển sang nhà thầu

Khoản 1 Điều 10 Luật An ninh mạng 116/2025/QH15 đặt sáu nhiệm vụ bảo vệ an ninh mạng lên chủ quản hệ thống thông tin. Việc thuê ngoài không làm thay đổi ai là chủ quản.

Điểm c khoản 1 Điều 10 nêu nhiệm vụ đôn đốc, giám sát, kiểm tra công tác bảo vệ an ninh mạng hệ thống thông tin — cụm này bao gồm cả việc giám sát nhà thầu đang làm gì trên hệ thống của mình.

Điểm c khoản 1 Điều 16 Luật Chuyển đổi số 148/2025/QH15 cũng đặt trách nhiệm lên tổ chức: bảo đảm an ninh mạng, bảo vệ dữ liệu cá nhân và triển khai các biện pháp phòng ngừa rủi ro trong quá trình ứng dụng công nghệ số và vận hành hệ thống số, hệ thống thông tin, nền tảng số của tổ chức.

Nói cách khác: nếu sự cố xảy ra qua nhà thầu, doanh nghiệp vẫn là bên chịu trách nhiệm trước pháp luật và trước khách hàng của mình.

Vấn đề đặc thù — hệ thống bị dùng làm bàn đạp

Khoản 3 Điều 22 Luật 116/2025/QH15 quy định tổ chức, cá nhân trong phạm vi nhiệm vụ, quyền hạn của mình có trách nhiệm ngăn chặn xung đột thông tin trên không gian mạng từ hệ thống thông tin của mình; hợp tác xác định nguồn, đẩy lùi, khắc phục hậu quả TẤN CÔNG MẠNG ĐƯỢC THỰC HIỆN THÔNG QUA HỆ THỐNG THÔNG TIN CỦA TỔ CHỨC.

Trong quan hệ với đối tác, tình huống này có hai chiều:

Hệ thống của nhà thầu bị chiếm quyền, kẻ tấn công dùng kết nối tin cậy để vào hệ thống của doanh nghiệp;
Hệ thống của doanh nghiệp bị chiếm quyền, được dùng để tấn công sang khách hàng hoặc đối tác.

Chiều thứ hai kéo theo nghĩa vụ hợp tác xác định nguồn, đẩy lùi, khắc phục hậu quả — không thể chỉ ngắt kết nối và bỏ qua.

Kiểm soát nhân sự của đối tác

Điểm d khoản 2 Điều 26 Luật 116/2025/QH15 nêu triển khai cơ chế kiểm soát chặt chẽ nhân sự trực tiếp tham gia xử lý dữ liệu là một nội dung bảo đảm an ninh dữ liệu.

Cụm "nhân sự trực tiếp tham gia xử lý dữ liệu" không giới hạn ở nhân viên của doanh nghiệp — nhân sự của nhà thầu có quyền truy cập cũng thuộc phạm vi này.

Vấn đề thực tế: doanh nghiệp thường không biết cụ thể ai bên phía nhà thầu đang có quyền, và không được thông báo khi nhân sự đó nghỉ việc.

Biện pháp kiểm soát

Cấp tài khoản riêng cho từng cá nhân của nhà thầu, không cấp một tài khoản chung cho cả đơn vị;
Yêu cầu danh sách nhân sự được cấp quyền, cập nhật khi có thay đổi;
Giới hạn quyền theo phạm vi công việc — đơn vị bảo trì phân hệ kế toán không cần quyền vào phân hệ nhân sự;
Cấp quyền có thời hạn, tự hết hiệu lực khi kết thúc công việc, thay vì cấp vĩnh viễn;
Ghi nhật ký toàn bộ thao tác của tài khoản nhà thầu;
Rà soát định kỳ danh sách tài khoản nhà thầu đang hoạt động.

Điểm cuối thường phát hiện nhiều tài khoản của các dự án đã kết thúc từ lâu vẫn còn hoạt động — đây là rủi ro thực tế phổ biến nhất trong nhóm này.

Truy cập từ xa để hỗ trợ kỹ thuật

Nhiều nhà cung cấp phần mềm yêu cầu quyền truy cập từ xa để hỗ trợ. Đây là mô hình tiện lợi nhưng cần kiểm soát.

Điểm g khoản 2 Điều 10 Luật 116/2025/QH15 nêu biện pháp thực hiện giám sát an ninh mạng; điểm e nêu kiểm tra, giám sát việc tuân thủ quy định và đánh giá hiệu quả của các biện pháp quản lý và kỹ thuật được áp dụng. Với hệ thống cấp độ 3, 4 ngoài danh mục trọng yếu, cả hai biện pháp này bắt buộc theo khoản 4 Điều 10.

Thực hành hợp lý: bật quyền truy cập từ xa khi có yêu cầu cụ thể và tắt sau khi xong, thay vì để mở thường trực; ghi lại phiên hỗ trợ; và có người của doanh nghiệp theo dõi trong lúc nhà thầu thao tác trên hệ thống quan trọng.

Điều khoản nên có trong hợp đồng với đối tác công nghệ

Cam kết bảo mật, nêu rõ nghĩa vụ kéo dài sau khi chấm dứt hợp đồng;
Danh sách nhân sự được cấp quyền và nghĩa vụ thông báo khi thay đổi;
Phạm vi truy cập — hệ thống nào, dữ liệu nào, quyền gì;
Nghĩa vụ thông báo sự cố bên phía nhà thầu, kèm thời hạn;
Quyền kiểm tra hoặc quyền nhận báo cáo kiểm toán độc lập về an ninh của nhà thầu;
Nghĩa vụ hoàn trả dữ liệu và xóa bản sao khi kết thúc hợp đồng, kèm xác nhận bằng văn bản;
Nghĩa vụ phối hợp khi có kiểm tra của cơ quan chức năng;
Quy định về nhà thầu phụ — nhà thầu có được thuê lại bên thứ ba không, và có phải thông báo không;
Phân chia trách nhiệm và bồi thường khi sự cố xuất phát từ phía nhà thầu.

Điểm về nhà thầu phụ đáng lưu ý: nhiều sự cố xuất phát từ một bên mà doanh nghiệp thậm chí không biết là có tham gia.

Với hệ thống trí tuệ nhân tạo

Khoản 2 Điều 29 Luật Trí tuệ nhân tạo 134/2025/QH15 quy định: với hệ thống rủi ro cao được quản lý, vận hành, sử dụng đúng quy định nhưng vẫn phát sinh thiệt hại thì bên triển khai phải chịu trách nhiệm bồi thường cho người bị thiệt hại; sau khi bồi thường, bên triển khai yêu cầu nhà cung cấp, nhà phát triển hoặc CÁC BÊN LIÊN QUAN hoàn trả nếu có thỏa thuận giữa các bên.

Cụm "các bên liên quan" mở rộng phạm vi có thể đòi hoàn trả — nhưng điều kiện "nếu có thỏa thuận" vẫn áp dụng. Với chuỗi nhiều lớp nhà thầu, cần bảo đảm thỏa thuận này tồn tại ở từng mắt xích.

Khoản 4 Điều 29 cũng quy định: nếu hệ thống bị bên thứ ba xâm nhập, chiếm quyền điều khiển hoặc can thiệp trái pháp luật thì bên thứ ba chịu trách nhiệm; nhưng nếu bên triển khai, nhà cung cấp có lỗi trong việc để hệ thống bị xâm nhập thì phải liên đới bồi thường.

Với mô hình thuê ngoài, câu hỏi "có lỗi hay không" thường xoay quanh việc doanh nghiệp đã kiểm soát quyền truy cập của nhà thầu ra sao — và câu trả lời nằm ở nhật ký cùng hồ sơ quản lý quyền.

Khi hệ thống thuộc danh mục trọng yếu

Điểm đ khoản 1 Điều 11 Luật 116/2025/QH15 quy định chủ quản hệ thống thông tin quan trọng về an ninh quốc gia có trách nhiệm phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng trong việc thực hiện kiểm tra an ninh mạng đột xuất.

Nếu một phần hệ thống do nhà thầu vận hành, doanh nghiệp cần bảo đảm nhà thầu cũng có nghĩa vụ phối hợp — điều này phải nằm trong hợp đồng, vì cơ quan chức năng làm việc với chủ quản chứ không phải với nhà thầu.

Điểm c khoản 1 Điều 11 cũng yêu cầu chủ quản chủ trì, phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng có thẩm quyền trong việc thường xuyên thực hiện giám sát an ninh mạng; xây dựng cơ chế tự cảnh báo và tiếp nhận cảnh báo về nguy cơ đe dọa an ninh mạng.

Thẩm định trước khi chọn đối tác

Bộ câu hỏi nên có trong quy trình lựa chọn nhà cung cấp:

Đơn vị có chính sách an ninh thông tin bằng văn bản không?
Nhân sự có ký cam kết bảo mật không?
Quy trình cấp và thu hồi quyền truy cập ra sao?
Có ghi nhật ký thao tác của nhân sự không, lưu bao lâu?
Có từng xảy ra sự cố nào chưa, xử lý thế nào?
Có chứng nhận hoặc báo cáo kiểm toán độc lập nào không?
Có thuê nhà thầu phụ không, nếu có thì kiểm soát thế nào?
Dữ liệu của khách hàng được lưu ở đâu và bảo vệ ra sao?
Quy trình thông báo khi có sự cố là gì, trong bao lâu?

Với đối tác nhỏ, không nên kỳ vọng có đủ chứng nhận chính thức. Nhưng việc họ trả lời được các câu hỏi này một cách rõ ràng đã là chỉ dấu tốt về mức độ nghiêm túc.

Danh mục việc cần làm

Lập danh sách toàn bộ đối tác có quyền truy cập hệ thống hoặc dữ liệu;
Rà soát và thu hồi quyền của các dự án đã kết thúc;
Chuyển từ tài khoản chung sang tài khoản riêng cho từng nhân sự đối tác;
Giới hạn quyền theo phạm vi công việc và cấp có thời hạn;
Bật nhật ký thao tác của tài khoản đối tác;
Tắt truy cập từ xa khi không có yêu cầu cụ thể;
Rà soát hợp đồng hiện có và bổ sung điều khoản còn thiếu;
Đưa bộ câu hỏi thẩm định vào quy trình chọn nhà cung cấp mới;
Yêu cầu xác nhận bằng văn bản việc xóa dữ liệu khi kết thúc hợp đồng.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 116/2025/QH15 Điều 26
Luật 116/2025/QH15 Điều 22
Luật 116/2025/QH15 Điều 10

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.

Theo Luật An ninh mạng 2025, rủi ro từ nhà thầu phụ và đối tác công nghệ quản lý thế nào?