[Các doanh nghiệp cấp nước] Với việc Luật Tăng cường Năng lực Ứng phó với Các sự cố An ninh Mạng có hiệu lực, công tác ứng phó sự cố sẽ thay đổi như thế này

Phần liên quan đến hợp tác công-tư của đạo luật được thông qua vào tháng 5 năm 2025, được gọi là “Luật Tăng cường Năng lực Ứng phó An ninh Mạng ( bài phân tích )” (tên chính thức: Luật về Phòng ngừa Thiệt hại do Hành vi Bất hợp pháp đối với Máy tính Quan trọng), sẽ có hiệu lực vào tháng 10 năm 2026.Cùng với điện, khí đốt, viễn thông, v.v., ngành cấp nước cũng nằm trong các lĩnh vực được điều chỉnh; các doanh nghiệp cấp nước được chỉ định sẽ phải thực hiện nghĩa vụ pháp lý là đăng ký tài sản hệ thống và báo cáo các sự cố an ninh mạng cho chính phủ.

“Chúng tôi sử dụng mạng nội bộ nên không liên quan”, “Hệ thống giám sát và điều khiển từ lâu đã hoạt động độc lập” là những câu nói thường nghe thấy tại các cơ sở của ngành công nghiệp trọng điểm; tuy nhiên, khi so sánh luật này với “Hướng dẫn an toàn về đảm bảo an ninh thông tin trong lĩnh vực cấp nước” do Bộ Đất đai, Cơ sở hạ tầng, Giao thông và Du lịch ban hành vào tháng 3 năm 2025, có thể thấy rằng chính những giả định đó đang phải đối mặt với yêu cầu xem xét lại.Trong bài viết này, chúng tôi sẽ phân loại và hệ thống hóa các yêu cầu thực tiễn về ứng phó sự cố mà các đơn vị kinh doanh cấp nước phải tuân thủ, chia thành ba phần: luật, nghị định của Bộ và hướng dẫn.

Các nghĩa vụ theo luật định: Thủ tục thông báo và báo cáo sự cố

Đối tượng trực tiếp của Luật Tăng cường là các doanh nghiệp hoạt động trong 15 lĩnh vực cơ sở hạ tầng then chốt theo Luật Thúc đẩy An ninh Kinh tế; tính đến tháng 7 năm 2025, tổng cộng có 257 doanh nghiệp đã được chỉ định. Cung cấp nước là một trong 15 lĩnh vực này. Các doanh nghiệp được chỉ định phải thông báo cho chính phủ về tên nhà cung cấp và thông tin sản phẩm liên quan đến các “máy tính quan trọng đặc biệt” trong hệ thống thông tin phục vụ hoạt động cốt lõi, đồng thời phải báo cáo sự cố khi bị tấn công mạng.

Về nội dung báo cáo, trong “Quan điểm (dự thảo) hướng tới việc thi hành” được trình bày tại Hội nghị các chuyên gia thuộc Văn phòng Nội các, khung cơ bản sau đây đã được đề xuất.

Trước hết, việc báo cáo được thực hiện theo hai giai đoạn: ngay khi phát hiện sự cố, phải nhanh chóng gửi “báo cáo sơ bộ” và nộp “báo cáo chi tiết” trong vòng 30 ngày. Đối với cả hai loại báo cáo này, chỉ cần báo cáo những thông tin đã nắm được tại thời điểm đó là đủ; không yêu cầu phải phân tích nguyên nhân một cách hoàn hảo ngay từ giai đoạn xử lý ban đầu.Đối tượng báo cáo không chỉ bao gồm các dấu vết của “hành vi bất hợp pháp cụ thể” như truy cập trái phép, mà còn bao gồm cả các sự kiện có liên quan. Nói cách khác, hệ thống này được thiết kế sao cho nghĩa vụ báo cáo bắt đầu ngay từ giai đoạn có dấu hiệu báo trước, chứ không phải “chỉ báo cáo sau khi đã xác định chắc chắn rằng hệ thống đã bị xâm nhập”.

Cách xử lý khi sử dụng dịch vụ đám mây cũng đã được quy định rõ ngay từ giai đoạn dự thảo. Đối với SaaS và PaaS (liên quan đến phần mềm trung gian và hệ điều hành), việc “nhận thức” được coi là đã xảy ra ngay khi nhận được thông báo từ nhà cung cấp dịch vụ đám mây. Các doanh nghiệp đang chuyển đổi các hệ thống liên quan đến đo đếm, tính cước và sổ sách sang nền tảng đám mây cần phải xác định trước đầu mối tiếp nhận thông báo về sự cố hoặc vi phạm từ nhà cung cấp, cũng như quy trình đưa thông tin đó vào luồng báo cáo.

Các biện pháp xử phạt cũng không thể xem nhẹ. Theo quy định, trường hợp vi phạm nghĩa vụ thông báo và không tuân thủ lệnh khắc phục của cơ quan quản lý sẽ bị phạt tiền tối đa 2 triệu yên; trường hợp không đáp ứng yêu cầu cung cấp tài liệu sẽ bị phạt tiền tối đa 300.000 yên.

Mặc dù việc chỉ định trực tiếp chỉ áp dụng cho các doanh nghiệp quy mô lớn, nhưng các đơn vị không nằm trong diện chỉ định cũng không hoàn toàn nằm ngoài phạm vi ảnh hưởng. Người ta đã chỉ ra rằng các nhà cung cấp dịch vụ CNTT và các công ty thành viên trong tập đoàn được ủy thác vận hành các hệ thống máy tính quan trọng đặc biệt, cũng như các thiết bị do đơn vị được ủy thác sở hữu (tùy thuộc vào cấu trúc hệ thống), đều có thể nằm trong phạm vi điều chỉnh. Trong lĩnh vực cấp nước, nơi xu hướng hợp tác, mở rộng phạm vi hoạt động và ủy thác toàn diện đang ngày càng phát triển, các tổ chức cần nhận thức rõ khả năng bản thân có thể bị lôi kéo vào tình huống này với tư cách là “đơn vị được ủy thác”.

Những điều “đã” được quy định là bắt buộc trong nghị định của Bộ

Mặc dù thường bị bỏ qua, nhưng trong lĩnh vực cấp nước đã có các tiêu chuẩn bắt buộc liên quan đến an ninh mạng. Khoản 11-2, Điều 1 của “Nghị định của Bộ quy định các tiêu chuẩn kỹ thuật đối với các cơ sở cấp nước ” yêu cầu phải thực hiện các biện pháp cần thiết để đảm bảo an ninh mạng đối với các máy tính quản lý hoạt động của cơ sở, nhằm tránh gây ra những trở ngại nghiêm trọng cho việc cung cấp nước. Quy định này được bổ sung trong lần sửa đổi Nghị định năm Reiwa 1 và đã có hiệu lực từ tháng 4 năm Reiwa 2.

Các biện pháp cụ thể cần thực hiện đã được nêu rõ trong mục “Những điểm cần lưu ý” của Thông báo của Trưởng phòng, và đã được rà soát lại vào tháng 2 năm Reiwa 7 nhân dịp ban hành phiên bản đầu tiên của Hướng dẫn an toàn. Trong đó nêu rõ các nội dung như chức năng xác thực chủ thể đối với máy tính trong hệ thống điều khiển, việc cài đặt phần mềm chống vi-rút và duy trì phần mềm này ở phiên bản mới nhất. Thực tế hiện nay là các doanh nghiệp sở hữu hệ thống giám sát và điều khiển đã phải tuân thủ các nghĩa vụ pháp lý, ngay cả trước khi Luật Tăng cường An toàn có hiệu lực.

“Thực tiễn ứng phó sự cố” được nêu trong hướng dẫn

　Hướng dẫn an toàn của Bộ Đất đai, Cơ sở hạ tầng, Giao thông và Du lịch (ban hành tháng 3 năm 2025 – phiên bản đầu tiên) tuy không mang tính bắt buộc mà chỉ là tiêu chuẩn khuyến nghị, nhưng có thể coi rằng nền tảng thực tiễn để thực hiện nghĩa vụ báo cáo theo Luật Tăng cường An toàn hầu như đều được nêu trong hướng dẫn này. Nếu tổng hợp các yếu tố liên quan đến việc ứng phó sự cố, quy trình sẽ diễn ra đại khái như sau.

Thời bình: Xây dựng cơ cấu và kế hoạch. Hướng dẫn yêu cầu phải thành lập các đơn vị như CSIRT để xử lý khi xảy ra sự cố, đồng thời cần có sự thống nhất trước về phân công nhiệm vụ với các bộ phận liên quan. Do CSIRT có thể là đơn vị thường trực hoặc chỉ được thành lập khi xảy ra sự cố, nên ngay cả các tổ chức quy mô vừa và nhỏ – vốn khó đảm bảo nhân sự chuyên trách – cũng có thể thiết kế được hệ thống này.Bên cạnh đó, văn bản cũng đề cập đến việc xây dựng Kế hoạch ứng phó khẩn cấp (Contingency Plan) – quy định trước các biện pháp ứng phó ban đầu sau khi nhận diện sự cố (hoặc nguy cơ sự cố) đối với dịch vụ cơ sở hạ tầng quan trọng – cùng với việc xây dựng Kế hoạch kinh doanh liên tục (BCP) và Kế hoạch kinh doanh liên tục về CNTT (IT-BCP). Để đáp ứng yêu cầu “báo cáo khẩn cấp ngay sau khi nhận diện sự cố” theo Luật Tăng cường, việc ghi rõ trong kế hoạch ứng phó ban đầu này lộ trình truyền tải thông tin từ khi nhân viên tại hiện trường phát hiện sự bất thường cho đến khi thông tin được chuyển đến ban lãnh đạo và đầu mối báo cáo là điều kiện tiên quyết trên thực tế.

Phát hiện: Hành động ngay từ giai đoạn có dấu hiệu báo trước
Hướng dẫn này đã đề cập đến việc ứng phó với các “dấu hiệu báo trước” của các cuộc tấn công mạng trong chương về quản lý khủng hoảng, và điều này cũng phù hợp với việc phạm vi báo cáo theo Luật Tăng cường bao gồm cả “các sự kiện dẫn đến hành vi bất hợp pháp cụ thể”. Cách thức vận hành chỉ theo dõi tình hình cho đến khi xác định chắc chắn có vi phạm sẽ không đáp ứng được tiêu chuẩn yêu cầu của luật.

Xử lý và khôi phục: Tính đến những hạn chế của vận hành thủ công
Điểm mạnh của hệ thống cấp nước là ngay cả khi hệ thống giám sát và điều khiển ngừng hoạt động, vẫn có thể thực hiện vận hành thay thế bằng nhân lực; tuy nhiên, như chính hướng dẫn đã chỉ ra, hiệu quả công việc sẽ giảm sút khi chuyển sang vận hành thay thế, và điều này có thể gây gián đoạn dịch vụ cấp nước. Thay vì chỉ nghĩ rằng “trong trường hợp xấu nhất vẫn có thể vận hành thủ công nên sẽ không sao”, cần phải lồng ghép vào kế hoạch ứng phó khẩn cấp cả các tiêu chí quyết định, quy trình và cơ cấu nhân sự cần thiết để chuyển sang vận hành thủ công.

Chia sẻ thông tin: Ứng dụng hệ thống CEPTOAR
Trong lĩnh vực cấp nước, hệ thống CEPTOAR được sử dụng làm khung chia sẻ thông tin về sự cố và các dấu hiệu cảnh báo tấn công, với Hiệp hội Cấp nước Nhật Bản đảm nhiệm vai trò ban thư ký. Sau khi Luật Tăng cường an ninh mạng có hiệu lực, hai kênh là báo cáo theo quy định pháp luật cho Chính phủ và chia sẻ thông tin trong ngành sẽ diễn ra song song; do đó, việc xác định rõ loại thông tin nào sẽ được gửi qua kênh nào và do ai quyết định sẽ giúp giảm thiểu sự nhầm lẫn.

Nguồn hình ảnh: Bộ Y tế, Lao động và Phúc lợi – Bộ tài liệu điều tra về các biện pháp an ninh mạng trong lĩnh vực cấp nước, trang 37

Huấn luyện: Biến kế hoạch thành “hành động cụ thể”. Hướng dẫn đã nêu việc tổ chức các cuộc diễn tập và huấn luyện như một mục riêng biệt. Các mẫu báo cáo và mạng lưới liên lạc thường bộc lộ những lỗ hổng ngay cả khi chỉ tiến hành một lần diễn tập trên giấy. Việc thực hành soạn thảo bản tin khẩn cấp có thể coi là biện pháp chuẩn bị trước khi triển khai mang lại hiệu quả cao về mặt chi phí.

Lý do tại sao quan điểm “vì là mạng riêng nên an toàn” không còn đúng nữa

Một phần đáng kể của hướng dẫn này dành để cảnh báo về việc quá tin tưởng vào mạng riêng. Theo định nghĩa trong hướng dẫn này, các cấu hình chỉ hạn chế giao tiếp bằng tường lửa hoặc bộ định tuyến, hoặc các cấu hình có thể truy cập qua VPN Internet (SSL-VPN, IPsec-VPN) không được coi là mạng riêng. Ngay cả khi mạng riêng được thiết lập bằng đường truyền chuyên dụng, nếu bất kỳ điểm nào trên mạng đích kết nối với Internet, sự cách ly vật lý sẽ bị phá vỡ.

Cũng có những ví dụ thực tế được nêu ra. Năm 2010, tại một cơ sở nhiên liệu hạt nhân của Iran, hệ thống điều khiển vốn bị cách ly vật lý khỏi Internet đã bị nhiễm phần mềm độc hại thông qua việc mang theo thiết bị lưu trữ USB, dẫn đến việc các máy ly tâm ngừng hoạt động.Năm 2015, tại một công ty điện lực ở Ukraine, hệ thống điều khiển vốn được tách biệt về mặt logic bằng tường lửa (FW) và mạng riêng ảo (VPN) đã bị thao túng trái phép qua VPN bằng cách sử dụng thông tin xác thực hợp lệ bị đánh cắp thông qua các thiết bị đầu cuối làm việc, dẫn đến sự cố mất điện trên diện rộng. Trong lĩnh vực cấp nước, các điểm kết nối giữa hệ thống hành chính và hệ thống điều khiển, cũng như các cảm biến và máy tính bảng tại hiện trường có giao thức kết nối Internet, đều có thể trở thành các lối vào tấn công theo mô hình tương tự.

Vấn đề này có ý nghĩa quan trọng từ góc độ ứng phó sự cố bởi vì nếu trong quá trình đánh giá rủi ro, người ta bỏ qua rủi ro với lý do “đây là mạng nội bộ”, thì cả cơ chế phát hiện lẫn cơ chế kích hoạt báo cáo sẽ không được thiết kế. Nghĩa vụ báo cáo theo Luật Tăng cường bắt đầu từ việc “nhận biết”. Nếu không có phương tiện để nhận biết, thì không thể thực hiện nghĩa vụ đó được.

Cần chuẩn bị những gì trước khi luật có hiệu lực

Với việc dự kiến sẽ có hiệu lực vào tháng 10 năm 2026, những việc mà các doanh nghiệp thuộc đối tượng chỉ định (hoặc ứng viên tiềm năng) cần thực hiện sẽ trở nên rõ ràng hơn.

Thứ nhất là việc rà soát tài sản. Đây là công việc xác định các máy tính điện tử quan trọng cụ thể và thiết bị ngoại vi có thể thuộc đối tượng phải khai báo, và phần lớn các doanh nghiệp liên quan đã bắt tay vào thực hiện. Không chỉ các hệ thống điều khiển như giám sát và điều khiển, vận hành trạm bơm, quản lý nguồn nước, mà cả các thiết bị ngoại vi – vốn nếu bị tấn công có thể dẫn đến việc ngừng hoạt động hoặc suy giảm chức năng của cơ sở hạ tầng – cũng được đưa vào phạm vi xem xét.

Thứ hai, là việc hoàn thiện quy trình báo cáo. Chúng ta sẽ lồng ghép định nghĩa về “nhận thức” (bao gồm cả thông báo trên đám mây), người soạn thảo báo cáo sơ bộ và quy trình phê duyệt, cũng như cơ chế điều tra để hoàn thành báo cáo chi tiết trong vòng 30 ngày vào Kế hoạch ứng phó khẩn cấp. Đồng thời, chúng ta cũng cần sắp xếp lại để tránh trùng lặp với các hệ thống báo cáo hiện có, chẳng hạn như báo cáo rò rỉ thông tin theo Luật Bảo vệ Thông tin Cá nhân.

Thứ ba, đó là sự tham gia của ban lãnh đạo. Hướng dẫn này nêu rõ rằng trong trường hợp tổ chức phải chịu thiệt hại do hệ thống an ninh mạng không đầy đủ, các thành viên ban lãnh đạo có liên quan đến việc ra quyết định về hệ thống này có thể phải chịu trách nhiệm bồi thường thiệt hại. Cần phải xác nhận rõ trước khi hướng dẫn có hiệu lực rằng việc ứng phó với sự cố không chỉ là nhiệm vụ của bộ phận phụ trách hệ thống thông tin, mà chính là công tác quản lý rủi ro kinh doanh.

Vẫn còn một số chi tiết cụ thể của luật sẽ được hoàn thiện thông qua các nghị định của Chính phủ và các quy tắc thực thi trước khi luật có hiệu lực; do đó, những nội dung được ghi là “dự thảo” trong bài viết này có thể sẽ thay đổi trong tương lai. Để có thông tin mới nhất, vui lòng tham khảo các tài liệu được công bố bởi Văn phòng Nội các (phụ trách An ninh mạng) và Phòng Quản lý Nước thuộc Bộ Đất đai, Cơ sở hạ tầng, Giao thông và Du lịch.

Và thế là Incident Lake

Như chúng ta đã thấy cho đến nay, điều thực sự gây áp lực trong việc ứng phó với Luật Tăng cường không phải là việc xây dựng quy tắc trong thời bình, mà là “các công việc thực tế ngay từ khoảnh khắc sự cố xảy ra”. Nếu xét đến việc phải sắp xếp các thông tin đã xác nhận để nhanh chóng phát đi thông báo sơ bộ, ghi chép diễn biến song song với quá trình ứng phó, tổng hợp báo cáo chi tiết trong vòng 30 ngày, và sau khi kết thúc thì tiến hành đánh giá lại để phòng ngừa tái diễn và tổ chức huấn luyện, thì thành thật mà nói, việc thực hiện tất cả những công việc này chỉ bằng nhân lực hạn chế là không thực tế.

Incident Lake là nền tảng quản lý sự cố hỗ trợ toàn bộ quy trình này. Nền tảng này tự động hóa toàn bộ quy trình, từ việc báo cáo khi sự cố xảy ra cho đến khi hệ thống hoạt động trở lại, cũng như việc lập và quản lý báo cáo, giúp nhân viên có thể dành thời gian tập trung vào nhiệm vụ cốt lõi là “khắc phục sự cố trước mắt”. Đặc biệt trong bối cảnh các báo cáo có thời hạn như báo cáo khẩn cấp và báo cáo chi tiết đang dần trở thành quy định chính thức, chúng tôi khuyến nghị các tổ chức nên chuyển đổi cơ chế báo cáo và ghi chép sang hình thức không còn phụ thuộc vào nỗ lực cá nhân.

Tài liệu tham khảo

• Bộ Đất đai, Cơ sở hạ tầng, Giao thông và Du lịch “Hướng dẫn an toàn về việc đảm bảo an ninh thông tin trong lĩnh vực cấp nước – Phiên bản thứ nhất” (ban hành ngày 5 tháng 3 năm Reiwa 7) https://www.mlit.go.jp/mizukokudo/watersupply/content/001889644.pdf

• Cục trưởng Cục Điều phối Chính sách, Văn phòng Nội các (phụ trách An ninh mạng): “Dự thảo phương hướng hướng tới việc thi hành Luật Tăng cường Năng lực Ứng phó An ninh mạng (Hợp tác công-tư)” (tháng 12 năm Reiwa 7) https://www.cao.go.jp/cybersecurity/kaigi/pdf/04shiryo05.pdf

• Nikkei CrossTech: “Luật Tăng cường Năng lực Ứng phó với Các mối đe dọa mạng sẽ có hiệu lực vào tháng 10, cũng tiềm ẩn rủi ro bị loại khỏi danh sách đối tác” (năm 2026) https://xtech.nikkei.com/atcl/nxt/column/18/00989/042300207/

• Điều 1, Khoản 11-2 của Nghị định của Bộ quy định các tiêu chuẩn kỹ thuật đối với cơ sở cấp nước (Nghị định số 15 năm Heisei 12 của Bộ Y tế và Phúc lợi)

  https://www.mhlw.go.jp/web/t_doc?dataId=79aa0299&dataType=0&pageNo=1

• Bộ tài liệu khảo sát về các biện pháp an ninh mạng trong lĩnh vực cấp nước

  https://www.mlit.go.jp/common/830005151.pdf