Giải bài toán tuân thủ Luật An ninh mạng 2025 cho doanh nghiệp SME

Trước quy định bắt buộc tuân thủ của Luật An ninh mạng 2025, chuyên gia bảo mật CMC Telecom cho rằng doanh nghiệp SME cần chuyển dịch tư duy từ “bảo mật tự nguyện” sang “có khả năng chứng minh tuân thủ”.

Luật An ninh mạng 2025 áp dụng từ ngày 1/7/2026, đặt ra những yêu cầu mới đối với doanh nghiệp trong bảo vệ hệ thống thông tin và dữ liệu. Trước nhiều câu hỏi từ nhóm khách hàng SME về việc cần bắt đầu từ đâu và đầu tư thế nào để đáp ứng yêu cầu tuân thủ, ngày 13/8/2026, CMC Telecom đã tổ chức hội thảo trực tuyến “Giải mã Luật An ninh mạng 2025 – Doanh nghiệp SME cần làm gì để đáp ứng tuân thủ?”.

Khi tuân thủ trở thành bài toán thực tế của SME

Hơn một tháng kể từ khi Luật An ninh mạng 2025 chính thức được áp dụng, câu chuyện tuân thủ đang trở thành mối quan tâm thực tế của nhiều doanh nghiệp.

Trong quá trình làm việc với khách hàng, CMC Telecom nhận được nhiều câu hỏi từ các doanh nghiệp SME: Doanh nghiệp quy mô nhỏ và vừa cần đáp ứng những yêu cầu nào? Hệ thống hiện tại đã đủ an toàn hay chưa? Cần đầu tư thêm những gì? Và quan trọng hơn, làm thế nào để vừa đáp ứng yêu cầu pháp lý, vừa phù hợp với nguồn lực và ngân sách?

Đó cũng là lý do CMC Telecom tổ chức hội thảo ngày 13/8, tập trung giải đáp những vấn đề mà SME đang trực tiếp đối mặt thay vì chỉ tiếp cận Luật An ninh mạng dưới góc độ các điều khoản pháp lý.

Tại chương trình, chuyên gia bảo mật CMC Telecom chỉ ra rằng SME đang đứng trước “áp lực kép”: các cuộc tấn công mạng ngày càng gia tăng trong khi yêu cầu pháp lý về bảo vệ hệ thống và dữ liệu ngày càng chặt chẽ.

Các số liệu được chia sẻ tại hội thảo cho thấy bức tranh đáng lưu ý với 552.000 cuộc tấn công mạng, 5.230 cơ quan, doanh nghiệp bị ảnh hưởng và 1,7 triệu bản ghi dữ liệu bị rao bán. Đáng chú ý, 60-70% vụ lộ, lọt dữ liệu bắt nguồn từ nội bộ hoặc thiếu trách nhiệm của người quản trị.

Từ “bảo mật tự nguyện” sang “bắt buộc tuân thủ”

Theo Chuyên gia bảo mật CMC Telecom, một trong những thay đổi quan trọng doanh nghiệp cần nhận thức là xu hướng dịch chuyển từ “bảo mật tự nguyện” sang “bắt buộc tuân thủ pháp luật”.

Luật An ninh mạng 2025 đặt ra các yêu cầu về bảo vệ hệ thống thông tin, quản trị danh tính, an ninh dữ liệu, lưu vết hệ thống và khả năng xử lý sự cố. Song song, các quy định về bảo vệ dữ liệu cá nhân đặt ra yêu cầu liên quan đến phân loại dữ liệu, quyền của chủ thể dữ liệu, kiểm soát truy cập và chuyển dữ liệu xuyên biên giới.

Vì vậy, câu hỏi dành cho SME không còn đơn thuần là “đã có Firewall hay phần mềm bảo mật hay chưa”. Doanh nghiệp cần trả lời được những vấn đề căn bản hơn: Đang lưu trữ dữ liệu gì? Dữ liệu nằm ở đâu? Ai được quyền truy cập? Hệ thống đang tồn tại những khoảng trống bảo mật nào? Khi sự cố xảy ra, ai chịu trách nhiệm và quy trình xử lý ra sao?

6 việc SME cần ưu tiên

Từ những yêu cầu mới, chuyên gia bảo mật CMC Telecom đưa ra 6 nhóm công việc SME cần ưu tiên.

Đầu tiên là bảo vệ hệ thống, xây dựng các lớp phòng thủ cần thiết nhằm hạn chế nguy cơ xâm nhập. Tiếp theo là bảo vệ dữ liệu, trong đó cần chú trọng mã hóa và kiểm soát quyền truy cập.

Doanh nghiệp cũng cần chuẩn bị kịch bản ứng phó sự cố thay vì chờ đến khi tấn công xảy ra mới xử lý; đào tạo nhận thức an toàn thông tin cho nhân viên; quản trị rủi ro từ nhà cung cấp và đối tác trong chuỗi cung ứng; đồng thời chuẩn hóa chính sách, quy trình, hồ sơ và bằng chứng tuân thủ.

Điểm cuối cùng đặc biệt quan trọng. Theo chuyên gia, tuân thủ không chỉ là doanh nghiệp “đã làm”, mà còn phải có khả năng “chứng minh mình đã làm gì” để bảo vệ hệ thống và dữ liệu.

SME không nhất thiết phải đầu tư lớn ngay từ đầu

Nguồn lực hạn chế là bài toán thực tế của nhiều SME. Vì vậy, thay vì đầu tư đồng loạt vào nhiều công nghệ, CMC Telecom khuyến nghị doanh nghiệp triển khai theo lộ trình bốn bước.

Bước đầu tiên là Gap Analysis nhằm xác định khoảng cách giữa hiện trạng và yêu cầu tuân thủ. Tiếp đó, doanh nghiệp triển khai những kiểm soát kỹ thuật thiết yếu như Firewall, Endpoint Security hay WAF. Bước ba là chuẩn hóa chính sách, quy trình và tài liệu nội bộ. Cuối cùng là vận hành, giám sát liên tục, ứng phó sự cố và cải tiến định kỳ.

Với những SME chưa đủ nguồn lực xây dựng đội ngũ an ninh mạng riêng, Chuyên gia bảo mật CMC Telecom cũng đề xuất mô hình Managed Security Services (MSS) và SOC 24/7. Cách tiếp cận này cho phép doanh nghiệp chuyển một phần bài toán từ đầu tư ban đầu sang chi phí vận hành, đồng thời tiếp cận đội ngũ chuyên gia và năng lực giám sát liên tục.

Từ hiểu luật đến nhìn thấy rủi ro trên chính hệ thống của mình

Không dừng lại ở việc chia sẻ kiến thức, trong khuôn khổ hội thảo, CMC Telecom đã dành tặng miễn phí dịch vụ Vulnerability Assessment (VA) – đánh giá lỗ hổng bảo mật website cho các khách hàng SME may mắn tham dự chương trình.

Hoạt động này giúp doanh nghiệp có cơ hội kiểm tra thực tế website, nhận diện những điểm yếu và lỗ hổng đang tồn tại, từ đó có thêm cơ sở để xác định các hạng mục cần ưu tiên trong lộ trình tăng cường an toàn thông tin.

Thông điệp được Chuyên gia bảo mật CMC Telecom nhấn mạnh tại hội thảo là: tuân thủ không phải một dự án làm một lần để “đủ hồ sơ”, mà là quá trình liên tục gắn với hoạt động quản trị rủi ro và vận hành của doanh nghiệp.

Với SME, điểm khởi đầu vì thế không nhất thiết là một khoản đầu tư lớn. Quan trọng hơn là biết mình đang ở đâu, nhận diện đúng rủi ro cần xử lý trước và xây dựng lộ trình bảo mật phù hợp với quy mô, ngân sách cũng như mức độ rủi ro của chính doanh nghiệp.