An ninh mạng

Theo Luật An ninh mạng 2025, tấn công mạng gồm những hành vi nào?

01/08/2026
2 lượt xem
0 bình luận

Sáu nhóm hành vi tại khoản 1 Điều 18, trong đó có một nhóm mà nhiều người làm kỹ thuật chưa để ý: sản xuất, mua bán, trao đổi, tặng cho công cụ có tính năng gây hại.

Điều 18 Luật An ninh mạng 116/2025/QH15 vừa định nghĩa thế nào là tấn công mạng, vừa đặt nghĩa vụ phòng ngừa lên chủ quản hệ thống. Với người làm kỹ thuật, đây là điều nên đọc kỹ vì ranh giới giữa nghiên cứu bảo mật và hành vi bị cấm nằm ở đây.

Sáu nhóm hành vi tấn công mạng

Khoản 1 Điều 18 liệt kê hành vi tấn công mạng và hành vi có liên quan đến tấn công mạng:

Phát tán chương trình tin học gây hại cho mạng viễn thông, mạng Internet, mạng máy tính, hệ thống thông tin, hệ thống xử lý và điều khiển thông tin, cơ sở dữ liệu, phương tiện điện tử;
Gây cản trở, rối loạn, làm tê liệt, gián đoạn, ngưng trệ hoạt động, ngăn chặn trái phép việc truyền đưa dữ liệu của không gian mạng;
Xâm nhập, làm tổn hại, chiếm đoạt dữ liệu được lưu trữ, truyền đưa qua các hệ thống nêu trên;
Xâm nhập, tạo ra hoặc khai thác điểm yếu, lỗ hổng bảo mật và dịch vụ hệ thống để chiếm đoạt thông tin, thu lợi bất chính;
Sản xuất, mua bán, trao đổi, tặng cho công cụ, thiết bị, phần mềm có tính năng gây hại để sử dụng vào mục đích trái pháp luật;
Hành vi khác gây ảnh hưởng đến hoạt động bình thường của các hệ thống nêu trên.

Nhóm thứ tư có yếu tố mục đích

Điểm d khoản 1 kết thúc bằng cụm "để chiếm đoạt thông tin, thu lợi bất chính". Đây là chi tiết quan trọng với người làm nghiên cứu bảo mật.

Hành vi "xâm nhập, tạo ra hoặc khai thác điểm yếu, lỗ hổng bảo mật" chỉ cấu thành vi phạm khi gắn với mục đích chiếm đoạt thông tin hoặc thu lợi bất chính. Việc kiểm thử xâm nhập có ủy quyền của chủ hệ thống, hay nghiên cứu lỗ hổng rồi báo cho nhà cung cấp, không mang mục đích đó.

Tuy vậy, ranh giới này cần được bảo vệ bằng giấy tờ chứ không bằng thiện chí. Doanh nghiệp làm dịch vụ kiểm tra, đánh giá an ninh mạng nên có văn bản ủy quyền rõ phạm vi, thời gian, hệ thống được kiểm thử trước khi bắt đầu — đây vừa là chuẩn nghề nghiệp vừa là căn cứ pháp lý.

Nhóm thứ năm — công cụ, không chỉ hành vi

Điểm đ khoản 1 mở rộng phạm vi sang cả việc sản xuất, mua bán, trao đổi, tặng cho công cụ, thiết bị, phần mềm có tính năng gây hại. Chú ý bốn động từ: không chỉ bán mà cả tặng cho cũng nằm trong phạm vi.

Điều kiện giới hạn nằm ở cuối: "để sử dụng vào mục đích trái pháp luật". Nhiều công cụ trong ngành bảo mật có tính lưỡng dụng — dùng để phòng thủ hay tấn công đều được. Yếu tố mục đích là thứ phân định.

Với doanh nghiệp phân phối phần mềm bảo mật, điều này liên hệ trực tiếp tới điểm d khoản 2 Điều 29, theo đó doanh nghiệp kinh doanh sản phẩm, dịch vụ an ninh mạng phải từ chối cung cấp khi phát hiện khách hàng vi phạm pháp luật về sử dụng sản phẩm, dịch vụ.

Nhóm thứ sáu là điều khoản quét

Điểm e khoản 1 — "hành vi khác gây ảnh hưởng đến hoạt động bình thường" — là quy định mở, phòng trường hợp xuất hiện kỹ thuật tấn công mới chưa được liệt kê. Đây là cách viết thường gặp trong luật về công nghệ, nơi hình thái vi phạm thay đổi nhanh hơn văn bản.

Nghĩa vụ phòng ngừa của chủ quản hệ thống

Khoản 2 Điều 18 quy định chủ quản hệ thống thông tin có trách nhiệm áp dụng biện pháp kỹ thuật để phòng ngừa, ngăn chặn hành vi quy định tại các điểm a, b, c, d và e khoản 1 đối với hệ thống thông tin thuộc phạm vi quản lý.

Chú ý danh sách điểm được viện dẫn

Khoản 2 nêu các điểm a, b, c, d và e — không có điểm đ. Điều này hợp lý về logic: điểm đ nói về việc sản xuất, mua bán công cụ gây hại, tức hành vi của chính người vi phạm, không phải thứ mà chủ quản hệ thống có thể phòng ngừa bằng biện pháp kỹ thuật trên hệ thống của mình.

Chi tiết nhỏ này cho thấy điều luật được soạn có cân nhắc, và cũng là ví dụ vì sao đọc luật phải đọc chính xác từng ký tự chứ không đọc lướt.

Khi tấn công vượt ngưỡng an ninh quốc gia

Khoản 3 Điều 18 quy định: khi xảy ra tấn công mạng xâm phạm hoặc đe dọa xâm phạm chủ quyền, lợi ích, an ninh quốc gia, gây tổn hại nghiêm trọng trật tự, an toàn xã hội, lực lượng chuyên trách bảo vệ an ninh mạng chủ trì, phối hợp với chủ quản hệ thống thông tin và tổ chức, cá nhân có liên quan áp dụng biện pháp xác định nguồn gốc tấn công mạng, thu thập chứng cứ; yêu cầu doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ gia tăng phối hợp thực hiện.

Hệ quả thực tế với doanh nghiệp: khi sự cố đạt mức này, việc điều tra do cơ quan chuyên trách chủ trì, còn doanh nghiệp ở vai phối hợp. Điều quan trọng là bảo toàn chứng cứ — nhật ký hệ thống, ảnh chụp trạng thái máy, dấu vết kết nối.

Sai lầm phổ biến khi xử lý sự cố

Phản xạ tự nhiên khi phát hiện bị xâm nhập là dọn dẹp ngay: cài lại máy, xóa mã độc, khôi phục từ bản sao lưu. Cách làm này khôi phục dịch vụ nhanh nhưng xóa sạch chứng cứ, khiến việc xác định nguồn gốc tấn công về sau gần như bất khả thi.

Quy trình hợp lý là tách hai việc: cô lập hệ thống bị ảnh hưởng để chặn lan rộng, đồng thời giữ nguyên trạng để thu thập chứng cứ, rồi mới khôi phục dịch vụ trên hạ tầng sạch. Điều này đòi hỏi có sẵn năng lực dựng lại hệ thống ở nơi khác — thứ cần chuẩn bị trước chứ không nghĩ ra lúc đang gấp.

Quan hệ với Điều 7 về hành vi bị nghiêm cấm

Điều 7 Luật 116/2025/QH15 liệt kê các hành vi bị nghiêm cấm về an ninh mạng, chia thành nhóm nội dung bị cấm đăng tải và nhóm hành vi bị cấm thực hiện. Điều 18 chi tiết hóa riêng mảng tấn công kỹ thuật.

Với doanh nghiệp, cách đọc thực dụng: Điều 7 cho biết ranh giới không được vượt; Điều 18 cho biết phải phòng ngừa những gì trên hệ thống của mình.

Việc cần chuẩn bị

Từ khoản 2 Điều 18, biện pháp kỹ thuật tối thiểu tương ứng với từng nhóm hành vi:

Chống phát tán chương trình gây hại — hệ thống phòng chống mã độc tập trung, theo đúng yêu cầu tại Điều 17 và điểm b khoản 1 Điều 40;
Chống gây gián đoạn — biện pháp chống quá tải, giới hạn tần suất truy cập, phương án dự phòng;
Chống xâm nhập, chiếm đoạt dữ liệu — kiểm soát truy cập, mã hóa, ghi nhật ký;
Chống khai thác lỗ hổng — cập nhật bản vá định kỳ, rà soát cấu hình, kiểm thử an ninh;
Phát hiện bất thường — giám sát và có người thực sự xem cảnh báo.

Điểm cuối cùng quyết định hiệu quả của cả bốn điểm trên. Công cụ giám sát tốt tới đâu mà không ai đọc cảnh báo thì hệ thống vẫn bị xâm nhập trong im lặng.