[Phát triển phần mềm ở nước ngoài] Quan điểm “Vì là nước ngoài nên không liên quan” là sai lầm. Tác động của Luật Tăng cường Năng lực Ứng phó với Các Mối đe dọa An ninh Mạng vượt ra ngoài biên giới.

Phần liên quan đến hợp tác công-tư của đạo luật được gọi là “Luật Tăng cường Năng lực Ứng phó An ninh Mạng” (tên chính thức: Luật về Phòng ngừa Thiệt hại do Hành vi Bất hợp pháp đối với Máy tính Quan trọng), được thông qua vào tháng 5 năm 2025, sẽ có hiệu lực vào tháng 10 năm 2026. Các “doanh nghiệp cơ sở hạ tầng xã hội được chỉ định” thuộc 15 lĩnh vực và 257 đơn vị cơ sở hạ tầng then chốt được chỉ định theo Luật Thúc đẩy An ninh Kinh tế sẽ phải chịu các nghĩa vụ trực tiếp.Chỉ nhìn vào tên gọi, có thể bạn sẽ nghĩ rằng đây là một đạo luật không liên quan gì đến lĩnh vực phát triển phần mềm thuê ngoài (offshore), nơi các đội ngũ phát triển đang hoạt động tại Việt Nam hay Philippines.

Tuy nhiên, nếu phân tích kỹ lưỡng cách thức hoạt động của luật này, ta sẽ thấy rằng tác động của nó lại chủ yếu lan tỏa xuống các cấp dưới cùng của cấu trúc ủy thác. Mặc dù các doanh nghiệp được chỉ định chỉ phải “khai báo và báo cáo về hệ thống của chính mình”, nhưng thực tế thì ai là người phát triển và vận hành hệ thống đó?

Không hiếm trường hợp việc phát triển các hệ thống liên quan đến cơ sở hạ tầng cốt lõi như tài chính, viễn thông và điện lực được chuyển sang các cơ sở phát triển ở nước ngoài thông qua các công ty SI trong nước. Trong bài viết này, chúng tôi sẽ phân tích lý do tại sao luật này “không phải là chuyện xa lạ như người ta tưởng” từ góc độ của cả bên đặt hàng và bên nhận thầu trong lĩnh vực phát triển phần mềm ở nước ngoài.

Tổng quan về pháp luật: Việc thông báo và báo cáo sự cố sẽ trở thành nghĩa vụ bắt buộc

Luật Tăng cường quy định hai nghĩa vụ chính đối với các doanh nghiệp cơ sở hạ tầng xã hội được chỉ định. Thứ nhất, đối với các “máy tính điện tử quan trọng được chỉ định” trong số các hệ thống thông tin liên quan đến hoạt động cốt lõi, các doanh nghiệp này phải khai báo với chính phủ các tài sản hệ thống như tên nhà cung cấp và thông tin sản phẩm.

Một vấn đề khác là việc báo cáo sự cố khi bị tấn công mạng. Theo quy định, nếu vi phạm nghĩa vụ báo cáo và không tuân thủ lệnh khắc phục của cơ quan quản lý, sẽ bị phạt tiền tối đa 2 triệu yên; còn nếu không đáp ứng yêu cầu cung cấp tài liệu, sẽ bị phạt tiền tối đa 300.000 yên.

Việc báo cáo được thực hiện theo hai giai đoạn. Ngay khi phát hiện sự cố, cần nhanh chóng đưa ra “báo cáo sơ bộ” và nộp “báo cáo chi tiết” trong vòng 30 ngày. Đối tượng báo cáo không chỉ bao gồm các dấu vết của “hành vi vi phạm cụ thể” như truy cập trái phép, mà còn bao gồm cả các sự kiện liên quan đến hành vi đó, tức là cả giai đoạn có dấu hiệu báo trước.

Ngoài ra, đối với SaaS và PaaS (liên quan đến phần mềm trung gian và hệ điều hành), thiết kế này quy định rằng việc “nhận thức” được coi là đã xảy ra ngay khi nhận được thông báo từ nhà cung cấp dịch vụ đám mây.

Điểm cần lưu ý ở đây là phạm vi áp dụng của quy định đăng ký. Không chỉ các thiết bị quan trọng cụ thể đảm nhận hệ thống xã hội, mà cả các thiết bị ngoại vi – vốn có thể dẫn đến việc ngừng hoạt động hoặc suy giảm chức năng của hệ thống nếu bị tấn công mạng – cũng nằm trong phạm vi phải đăng ký và báo cáo. Hơn nữa, các chuyên gia đã chỉ ra rằng, tùy thuộc vào cấu trúc hệ thống, các thiết bị do đơn vị được ủy thác vận hành hệ thống sở hữu cũng có thể thuộc đối tượng áp dụng, đồng thời tác động gián tiếp này cũng có thể lan rộng đến các doanh nghiệp đang giao dịch với các nhà khai thác cơ sở hạ tầng then chốt.

Tại sao lại lan rộng sang lĩnh vực phát triển phần mềm ở nước ngoài: 3 con đường

Cách 1: “Công ty của bạn” sẽ được ghi trong hồ sơ đăng ký

Hồ sơ đăng ký phải bao gồm tên nhà cung cấp và thông tin sản phẩm của các máy tính điện tử quan trọng được chỉ định. Trong trường hợp một nhà thầu SI trong nước nhận hợp đồng phát triển hệ thống cho một doanh nghiệp được chỉ định, nhưng công việc phát triển thực tế lại do các cơ sở offshore hoặc các đối tác nước ngoài đảm nhận, thì chính cấu trúc ủy thác đó cũng có thể trở thành đối tượng phải giải trình với chính phủ.

Đây là vấn đề có liên quan trực tiếp đến chế độ thẩm định trước theo Luật Thúc đẩy An ninh Kinh tế; trong khuôn khổ của luật này, từ trước đến nay người ta đã dự đoán rằng các trường hợp ủy thác phát triển hệ thống cốt lõi của tổ chức tài chính cho các cơ sở offshore ở nước ngoài sẽ bị kiểm tra nghiêm ngặt trong quá trình thẩm định trước khi triển khai. Việc thi hành Luật Tăng cường này cần được hiểu là sẽ mở rộng việc “làm rõ cấu trúc ủy thác” này không chỉ trong giai đoạn triển khai mà còn sang cả giai đoạn vận hành.

Lộ trình 2: Điểm khởi đầu của “nhận thức” là đơn vị được ủy thác

Quá trình báo cáo sự cố bắt đầu từ thời điểm “phát hiện”. Và trong cơ cấu mà việc vận hành và bảo trì hệ thống cốt lõi được giao cho bên thứ ba, không hiếm trường hợp đơn vị đầu tiên phát hiện ra sự cố bất thường chính là bên được ủy thác, tức là đội ngũ vận hành ở nước ngoài.

Các cảnh báo được phát hiện vào khung giờ nửa đêm tại Việt Nam, theo quyết định của đội ngũ tại chỗ, sẽ được “theo dõi tình hình”, và việc báo cáo cho phía Nhật Bản sẽ được hoãn lại cho đến cuộc họp định kỳ vào ngày làm việc tiếp theo; nói cách khác, cách vận hành này – vốn được chấp nhận trong điều kiện bình thường – sau khi quy định có hiệu lực sẽ trực tiếp đe dọa đến thời hạn báo cáo theo quy định pháp luật của bên đặt hàng.Chênh lệch múi giờ, rào cản ngôn ngữ, cùng với sự khác biệt trong tiêu chí đánh giá liệu “sự cố này có cần báo cáo hay không”. Những mâu thuẫn trong giao tiếp vốn có trong phát triển phần mềm thuê ngoài sẽ trực tiếp chuyển hóa thành rủi ro về tuân thủ pháp luật.

Lộ trình 3: Rủi ro bị loại khỏi danh sách lựa chọn

Trong những năm gần đây, các “cuộc tấn công chuỗi cung ứng” – trong đó các doanh nghiệp đối tác có hệ thống phòng thủ mạng tương đối lỏng lẻo bị lợi dụng làm bàn đạp để nhắm vào các tập đoàn lớn – đang gia tăng, và có xu hướng chỉ ra rằng các nhà cung cấp và nhà cung cấp dịch vụ quy mô vừa và nhỏ đang trở thành mục tiêu.

Dựa trên tiền đề này, việc các doanh nghiệp được chỉ định và các nhà thầu chính của họ loại bỏ khỏi danh sách lựa chọn những nhà cung cấp nước ngoài không thể giải thích được cơ chế thông báo sự cố là một kết quả tất yếu. Chính bối cảnh này là điều mà Nikkei CrossTech đã đề cập khi nói đến “nguy cơ bị loại khỏi danh sách đối tác”.

Những điểm mấu chốt chỉ có ở mô hình offshore: “Điểm tiếp nhận thông báo” và mức độ ủy thác lại

Cũng giống như điểm mấu chốt đối với các tổ chức tài chính và công ty thẻ tín dụng là mức độ phức tạp của cơ cấu ủy thác, điểm mấu chốt của phát triển phần mềm ở nước ngoài chính là việc cơ cấu đó vượt qua ranh giới quốc gia và ngôn ngữ. Dưới đây là những điểm cụ thể cần kiểm tra.

• Điều khoản thông báo trong hợp đồng

  Trong hợp đồng ủy thác hoặc SLA, liệu có quy định về nghĩa vụ thông báo khi phát hiện sự cố an ninh hoặc các dấu hiệu báo trước, thời hạn thông báo (theo đơn vị thời gian cụ thể chứ không phải “ngay lập tức”), đối tượng nhận thông báo và ngôn ngữ thông báo hay không? Trong trường hợp hợp đồng kiểu phòng thí nghiệm có đặt môi trường kiểm thử hoặc thiết bị vận hành tại hiện trường, liệu các sự cố xảy ra trên các thiết bị đó có được bao gồm trong phạm vi phải thông báo hay không? Nếu có việc tái ủy thác, liệu các điều khoản tương tự có được áp dụng xuyên suốt cho bên được tái ủy thác hay không?

• Thiết kế quy trình báo cáo sự cố có tính đến chênh lệch múi giờ

  “Từ khi phát hiện đến khi báo cáo khẩn cấp” là quy trình tuân theo hệ thống của Nhật Bản. Khi sự cố được phát hiện tại hiện trường vào ban đêm hoặc ngày nghỉ, ai sẽ là người thông báo, trong vòng bao nhiêu giờ và gửi đến cơ quan tiếp nhận nào ở phía Nhật Bản? Liệu địa chỉ nhận thông báo có vẫn là email của nhân viên đã nghỉ hưu hay địa chỉ chung không có phản hồi hay không? Dù là vấn đề nhỏ nhặt, nhưng trên thực tế, khả năng thực hiện nghĩa vụ báo cáo chính là phụ thuộc vào những yếu tố này.

• Khoảng cách ngôn ngữ trong mẫu báo cáo

  Từ tháng 10 năm 2025, việc áp dụng mẫu báo cáo thống nhất về các cuộc tấn công DDoS và phần mềm tống tiền đã được triển khai trước, và dự kiến việc tập trung hóa hệ thống tiếp nhận báo cáo cũng sẽ được tiến hành.

  Tất nhiên, mẫu biểu là tiếng Nhật. Cần phải xác định trước, trong thời gian bình thường, vai trò của người chịu trách nhiệm chuyển đổi chính xác các báo cáo sự cố bằng tiếng Anh của đội ngũ tại địa phương sang mẫu biểu của Nhật Bản trong thời hạn quy định. Ngay cả chỉ riêng việc định nghĩa các khái niệm như “thông tin mật” hay “sự cố” cũng có thể dẫn đến sự khác biệt trong cách hiểu giữa Nhật Bản và nước ngoài – đây là vấn đề đã được chỉ ra từ lâu trong thực tiễn công tác an ninh.

Một điểm mấu chốt khác: “Ranh giới trách nhiệm” và “phạm vi ảnh hưởng” trong cấu trúc đa khách hàng

Chúng ta sẽ đi sâu hơn một bước vào thực trạng của các công ty phát triển phần mềm offshore. Nhiều công ty phát triển phần mềm offshore đang triển khai song song các dự án của nhiều khách hàng cùng một lúc.

Ngay cả khi được tổ chức theo mô hình phòng thí nghiệm và chia thành các nhóm chuyên trách riêng biệt, vẫn có không ít thành phần được chia sẻ chung giữa các dự án ở các lớp như văn phòng, mạng, nền tảng xác thực, môi trường CI/CD và hệ thống thông tin nội bộ. Cấu trúc này bộc lộ hai điểm yếu trong bối cảnh Luật Tăng cường an ninh mạng có hiệu lực.

Thứ nhất là vấn đề liệu có thể trả lời ngay lập tức về phạm vi trách nhiệm của công ty khi xảy ra sự cố nào đó ở phía khách hàng hay không. Khi phát hiện sự cố trong hệ thống của một khách hàng, câu hỏi đầu tiên mà phía đặt hàng thường đặt ra là: “Phạm vi công việc và quyền truy cập của công ty quý vị là từ đâu đến đâu?” và “Có khả năng sự cố xuất phát từ môi trường phía công ty quý vị không?”.

Nếu phạm vi công việc trong hợp đồng, quyền truy cập thực tế được cấp và danh sách các môi trường mà thành viên tại hiện trường có thể tiếp cận không được sắp xếp rõ ràng cho từng dự án, thì việc “kiểm tra” sẽ mất vài ngày. Tuy nhiên, như đã đề cập ở trên, đồng hồ đếm ngược của báo cáo khẩn cấp từ phía khách hàng đã bắt đầu chạy. Càng để thời gian trôi qua mà ranh giới trách nhiệm vẫn còn mơ hồ, sự nghi ngờ sẽ càng đổ dồn về phía đơn vị được ủy thác, và dù đó không phải là nguyên nhân, thì chỉ còn lại thực tế là “không thể giải thích được”.

Vấn đề thứ hai lại ngược lại, đó là liệu khi xảy ra sự cố do chính công ty gây ra, liệu có thể xác định ngay lập tức phạm vi ảnh hưởng sẽ lan rộng đến những dự án nào hay không. Khi thiết bị phát triển nội bộ bị nhiễm phần mềm độc hại, hệ thống xác thực chung bị xâm phạm, hoặc tài khoản của nhân viên đã nghỉ việc vẫn còn tồn tại, nếu không thể trả lời được câu hỏi “Từ thiết bị, tài khoản hoặc môi trường đó, có thể truy cập vào hệ thống nào của khách hàng nào”, thì phạm vi ảnh hưởng về mặt logic sẽ là “tất cả khách hàng”.

Trên thực tế, ngay cả khi vụ việc đã được giải quyết ở cấp độ một dự án, nếu không có bản đồ phân tích tài sản và đường dẫn truy cập cho từng dự án, sẽ không thể chứng minh được điều đó, và có thể dẫn đến tình huống phải thông báo cho tất cả khách hàng đồng thời phải thực hiện song song các quy trình báo cáo theo quy định pháp luật của từng đơn vị đặt hàng.

Trong cả hai trường hợp, các công việc cần thực hiện trong điều kiện bình thường đều giống nhau. Đối với từng dự án, cần lập sổ đăng ký ghi chép các thành viên phụ trách, thiết bị được cho mượn hoặc mang theo, quyền truy cập, cũng như cơ sở hạ tầng được chia sẻ, và cập nhật mỗi khi có thay đổi. Sẽ dễ hiểu hơn nếu xem đây là phiên bản thu nhỏ của yêu cầu “kiểm kê và báo cáo máy tính điện tử quan trọng cụ thể” mà Luật Tăng cường An ninh Mạng quy định đối với các đơn vị được chỉ định, và bên nhận ủy thác cũng cần duy trì sổ đăng ký này theo từng dự án. Khi bên đặt hàng yêu cầu cung cấp thông tin để báo cáo, chính sổ đăng ký này sẽ được sử dụng trực tiếp làm câu trả lời.

Danh sách kiểm tra trước khi thi công dành cho bên đặt hàng và bên nhận thầu

Việc đầu tiên mà phía đặt hàng (các công ty SI trong nước và doanh nghiệp) cần làm là rà soát các dự án. Khi truy ngược nguồn đặt hàng của các dự án mà công ty đang thực hiện, dự án nào dẫn đến các doanh nghiệp cơ sở hạ tầng xã hội được chỉ định? Trong số các dự án đó, phạm vi công việc được chuyển sang nước ngoài là đến đâu?

Đối với trường hợp này, cần đối chiếu các điều khoản thông báo trong hợp đồng với quy trình báo cáo lên cấp trên trên thực tế để khắc phục những điểm chưa khớp. Trên cơ sở đó, cần tiến hành ít nhất một lần diễn tập trong đó đội ngũ tại hiện trường gửi thông báo về sự cố hoặc vi phạm, và phía Nhật Bản sẽ đưa ra quyết định báo cáo dựa trên thông tin đó. Khi tiến hành diễn tập, chắc chắn sẽ phát hiện ra những lỗ hổng cụ thể như: không có mẫu thông báo sẵn, mất 3 giờ để dịch thuật, hoặc người có thẩm quyền quyết định phía Nhật Bản không thể liên lạc được vào nửa đêm.

Đối với phía nhà thầu (công ty phát triển phần mềm nước ngoài), luật này vừa là mối đe dọa, vừa là cơ hội để tạo sự khác biệt.Việc xây dựng hệ thống để lập thành văn bản quy trình từ khi phát hiện sự cố đến khi thông báo cho phía Nhật Bản, đồng thời cam kết SLA về thông báo trong hợp đồng, sẽ trở thành một tài sản kinh doanh rõ ràng trên thị trường Nhật Bản sau khi luật có hiệu lực. Ngược lại, các nhà cung cấp không thể giải thích được điều này sẽ bị loại khỏi danh sách ứng viên ngay từ đầu, trước khi phải cạnh tranh về giá cả hay kỹ năng. Xu hướng các đơn vị nhận thầu có ý thức cao về an ninh mạng tập trung vào các biện pháp phòng ngừa và đào tạo để giành được các dự án tại Nhật Bản, châu Âu và Mỹ đã bắt đầu xuất hiện, và Luật Tăng cường An ninh Mạng sẽ đẩy nhanh quá trình sàng lọc này từ góc độ thể chế.

Điểm chung mang lại hiệu quả chính là việc tập trung hóa việc ghi chép. Bên cạnh các báo cáo sơ bộ và chi tiết theo Luật Tăng cường, số lượng đối tượng cần báo cáo ngày càng gia tăng, bao gồm báo cáo cho Ủy ban Bảo vệ Thông tin Cá nhân, báo cáo cho cơ quan giám sát thông qua bên đặt hàng, cũng như thông báo cho khách hàng theo hợp đồng. Tùy thuộc vào việc có hay không một cơ chế lưu trữ nhật ký trò chuyện của đội ngũ tại hiện trường, thời điểm phát hiện và trình tự xử lý theo thứ tự thời gian theo hình thức “chỉ cần ghi chép một lần là có thể sử dụng cho các báo cáo khác”, mức độ áp lực khi xảy ra sự cố sẽ thay đổi một cách đáng kể.

Và thế là Incident Lake

Như chúng ta đã thấy cho đến nay, những khó khăn trong việc ứng phó với sự cố liên quan đến phát triển phần mềm ở nước ngoài nằm ở tốc độ “từ khi phát hiện đến khi báo cáo” vượt qua ranh giới quốc gia và ngôn ngữ, cũng như khả năng phân định ngay lập tức “phạm vi trách nhiệm và phạm vi ảnh hưởng” trong bối cảnh có nhiều khách hàng.

Các sự cố bất thường được phát hiện tại hiện trường sẽ được chuyển về phía Nhật Bản để báo cáo và đánh giá bất chấp chênh lệch múi giờ; từ đó xác định cụ thể những dự án và khách hàng nào sẽ bị ảnh hưởng, đồng thời triển khai các bản tin khẩn cấp và báo cáo chi tiết có thời hạn một cách nhất quán. Thành thật mà nói, việc vận hành toàn bộ quy trình này chỉ bằng nhân lực và các cuộc trao đổi qua chat là có giới hạn.

Incident Lake là nền tảng quản lý sự cố hỗ trợ quy trình này. Nền tảng này tự động hóa toàn bộ quy trình, từ việc báo cáo khi sự cố xảy ra cho đến khi hệ thống hoạt động trở lại, cũng như việc lập và quản lý báo cáo, giúp các nhân viên phụ trách tại hiện trường và ở Nhật Bản có thể dành thời gian cho nhiệm vụ cốt lõi là “ngăn chặn thiệt hại và khôi phục dịch vụ”.

Chính vì hiện nay hệ thống báo cáo có thời hạn như “báo cáo khẩn cấp” và “báo cáo chi tiết” đang được triển khai, nên tôi khuyên các bạn nên chuyển đổi cơ chế báo cáo và lưu trữ dữ liệu xuyên biên giới sang hình thức không phụ thuộc vào nỗ lực cá nhân.

Tuy nhiên, vẫn còn một số chi tiết cụ thể của luật cần được hoàn thiện thông qua các nghị định của Chính phủ và các quy định thực thi trước khi luật có hiệu lực. Để cập nhật thông tin mới nhất, xin vui lòng tham khảo các tài liệu do Văn phòng Nội các (phụ trách An ninh mạng và An ninh kinh tế) cũng như các cơ quan quản lý có liên quan công bố.

Tài liệu tham khảo

• Văn phòng Nội các: “Hệ thống đảm bảo cung cấp ổn định các dịch vụ cơ sở hạ tầng then chốt” https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/infra.html

• Cục trưởng Cục Điều phối Chính sách, Văn phòng Nội các (phụ trách An ninh mạng): “Dự thảo phương hướng hướng tới việc thi hành Luật Tăng cường Năng lực Ứng phó An ninh mạng (Hợp tác công-tư)” (tháng 12 năm Reiwa 7) https://www.cao.go.jp/cybersecurity/kaigi/pdf/04shiryo05.pdf

• Nikkei CrossTech: “Luật Tăng cường Năng lực Ứng phó với Các mối đe dọa mạng sẽ có hiệu lực vào tháng 10, cũng tiềm ẩn rủi ro bị loại khỏi danh sách đối tác” (năm 2026) https://xtech.nikkei.com/atcl/nxt/column/18/00989/042300207/

• Báo Nikkei: “Luật Tăng cường Năng lực Ứng phó với Các mối đe dọa mạng có hiệu lực từ tháng 10: Các doanh nghiệp liên quan đến cơ sở hạ tầng xã hội phải tuân thủ các nghĩa vụ mới” (tháng 5 năm 2026) https://www.nikkei.com/article/DGXZQOUC071KC0X00C26A5000000/

• Tập đoàn PwC Nhật Bản: “Đánh giá lại các cơ sở hoạt động ở nước ngoài dưới góc độ an ninh kinh tế và rủi ro địa chính trị – Phần 1” https://www.pwc.com/jp/ja/knowledge/column/offshore-base-reconsideration/01.html

• Tập đoàn GMO Internet: “Luật Tăng cường Năng lực Ứng phó với Các mối đe dọa Mạng là gì? Giải thích về 4 trụ cột và các biện pháp mà doanh nghiệp cần chuẩn bị” https://group.gmo/security/security-all/information-security/blog/cyber-response-capability-enhancement-act/