Tại sao việc “chuẩn bị” lại bị gác lại? — Những vấn đề mà việc sửa đổi luật vào tháng 10 đặt ra

Rất hân hạnh được làm quen. Tôi là Kamisago, người phụ trách quan hệ công chúng tại một công ty SaaS, và tôi sẽ là người viết loạt bài này.

Thành thật mà nói ngay từ đầu, tôi không phải là một chuyên gia về quan hệ công chúng trong quản lý khủng hoảng, người đã trải qua biết bao tình huống căng thẳng.Thực tế, tôi cũng chưa từng có kinh nghiệm đứng trên bục phát biểu tại cuộc họp báo. Tuy nhiên, tại công ty cũ, tôi đã cùng các chuyên gia tư vấn nghiêm túc xây dựng cẩm nang quản lý khủng hoảng và truyền thông, đồng thời lên kế hoạch và triển khai việc hoàn thiện hệ thống nội bộ cũng như các buổi diễn tập giả định tình huống khủng hoảng. Loạt bài này được viết dựa trên việc tôi nhìn lại những trải nghiệm đó, để tìm hiểu “điều gì là khó khăn và cần sắp xếp những gì như thế nào”. Tôi hy vọng các bạn sẽ đọc bài viết này không phải như một câu chuyện hào hùng, mà như một bản ghi chép của một người đã từng chuẩn bị kỹ lưỡng cho những tình huống như vậy.

Trong phần đầu tiên này, để nắm bắt những diễn biến xã hội gần đây, chúng ta sẽ bắt đầu bằng chủ đề sửa đổi luật.

Luật Tăng cường Năng lực Ứng phó với Các mối đe dọa mạng: Ý nghĩa của việc có hiệu lực vào tháng 10

Vào ngày 1 tháng 10 năm 2026, “Luật về phòng ngừa thiệt hại do các hành vi bất hợp pháp đối với máy tính quan trọng”, thường được gọi là Luật Tăng cường Năng lực Ứng phó An ninh Mạng, sẽ có hiệu lực.

Chắc hẳn có nhiều người nghĩ rằng “Đây quả là một đạo luật có vẻ phức tạp”, vì vậy tôi sẽ giải thích một cách dễ hiểu nhất có thể.

Nói một cách đơn giản, mục đích của luật này là thiết lập quy định yêu cầu “các công ty đóng vai trò nền tảng cho cuộc sống (theo pháp luật được gọi là “nhà khai thác cơ sở hạ tầng then chốt”), bao gồm điện, khí đốt, viễn thông, cấp nước, tài chính, hàng không, v.v., phải báo cáo đầy đủ cho Nhà nước khi bị tấn công mạng”. Đối tượng áp dụng bao gồm 15 ngành nghề với khoảng 257 doanh nghiệp※1.

※1 Văn phòng Điều phối An ninh Mạng Quốc gia thuộc Văn phòng Nội các: “Về Luật Tăng cường Năng lực Ứng phó An ninh Mạng và Luật Hoàn thiện Luật này”
https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/index.html
https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/pdf/setsumei.pdf

Có thể hình dung rằng các công ty đóng vai trò trụ cột của xã hội nay đã phải tuân thủ quy định mới: “Khi xảy ra ‘hỏa hoạn’ dưới hình thức tấn công mạng, phải báo cáo lên Nhà nước theo các thủ tục quy định”. Nếu không thực hiện báo cáo, các bộ, ngành có thẩm quyền sẽ ban hành lệnh khắc phục; nếu vẫn không tuân thủ, sẽ bị xử phạt tiền※2.

※2 Luật về phòng ngừa thiệt hại do hành vi trái phép đối với máy tính quan trọng (Luật số 42 năm Reiwa 7)
https://laws.e-gov.go.jp/law/507AC0000000042

Điều quan trọng ở đây là sự nguy hiểm khi nghĩ rằng: “Công ty chúng tôi không phải là nhà cung cấp hạ tầng cốt lõi nên không liên quan”. Dù không phải là đối tượng trực tiếp của luật này, chắc hẳn vẫn có không ít công ty đang cung cấp hệ thống hoặc dịch vụ nào đó cho các doanh nghiệp thuộc diện điều chỉnh, hoặc có mối liên hệ với họ dưới tư cách là đối tác kinh doanh hay đơn vị được ủy thác. Khi những đơn vị hỗ trợ hạ tầng cốt lõi bắt đầu hành động, các công ty xung quanh cũng sẽ dần phải đáp ứng mức độ chuẩn bị tương tự.Thay vì nghĩ rằng “không thuộc đối tượng nên an tâm”, tôi cho rằng cách nhìn nhận rằng “các công ty thuộc đối tượng đang bắt đầu thay đổi” sẽ phản ánh thực tế hơn.

Cá nhân tôi, khi đọc tin tức về đạo luật này, phải thừa nhận rằng ban đầu tôi đã nghĩ đây là “một vấn đề không liên quan lắm”. Tuy nhiên, khi tìm hiểu kỹ hơn, tôi nhận ra rằng đây không chỉ là vấn đề của một số ngành nghề cụ thể, mà còn là biểu hiện cho thấy “toàn xã hội đang ngày càng yêu cầu các doanh nghiệp phải ‘chuẩn bị sẵn sàng’”. Loạt bài này bắt đầu từ nhận thức đó.

Tại sao công tác truyền thông về quản lý khủng hoảng lại không được ưu tiên hơn?

Dù luật pháp có thay đổi đi chăng nữa, tại nhiều công ty, mức độ ưu tiên dành cho công tác truyền thông quản lý khủng hoảng vẫn chưa được nâng cao. Tôi nghĩ đây là rào cản mà bất kỳ nhân viên phụ trách truyền thông nào cũng từng phải đối mặt ít nhất một lần.

Điều quan trọng ở đây là không nên đơn giản hóa vấn đề thành “do ban lãnh đạo không hiểu về quản lý rủi ro”. Nếu đặt mình vào vị trí của ban lãnh đạo, ta sẽ thấy rằng có những lý do chính đáng khiến việc ra quyết định đầu tư trở nên khó khăn.

Trước hết, công ty phải tạo ra doanh thu cho hôm nay, tháng tới và kỳ kế tiếp trong phạm vi nguồn lực hạn chế. Trong bối cảnh đó, việc đánh giá hiệu quả của khoản đầu tư vào “những điều chưa biết liệu có xảy ra hay không” là điều vô cùng khó khăn so với các khoản đầu tư khác. Nếu phát triển một tính năng mới, chúng ta có thể đánh giá dựa trên kết quả doanh thu; nhưng việc đầu tư vào công tác quan hệ công chúng trong quản lý khủng hoảng chỉ có thể được chứng minh khi “không có sự cố nào xảy ra”. Đây là một cơ chế có phần nghịch lý: càng thành công, kết quả lại càng khó nhận thấy.

Hơn nữa, hệ thống đánh giá nội bộ trong nhiều trường hợp cũng được thiết kế chủ yếu để đánh giá thành quả của các hoạt động “tấn công”, trong khi cơ chế khuyến khích đầu tư vào các hoạt động “phòng thủ” thường còn yếu. Tôi cho rằng đây không chỉ là vấn đề của riêng ban lãnh đạo, mà là một thách thức mang tính cấu trúc chung của nhiều doanh nghiệp.

Chính vì vậy, tôi cho rằng các nỗ lực về quản lý khủng hoảng không nhất thiết phải hướng tới sự hoàn hảo ngay từ khi công ty còn nhỏ. Theo kinh nghiệm thực tế, thời điểm hợp lý nhất để bắt đầu triển khai từng bước là khi hoạt động kinh doanh đã ổn định, số lượng khách hàng và nhân viên tăng lên, và những tổn thất tiềm ẩn trở nên đáng kể hơn. Đối với những công ty đã triển khai Kế hoạch duy trì hoạt động kinh doanh (BCP), cách tiếp cận hợp lý nhất là bắt đầu bằng việc bổ sung góc nhìn về truyền thông quản lý khủng hoảng vào kế hoạch đó.Có thể nói rằng công tác truyền thông về quản lý khủng hoảng đảm nhận phần “giải thích như thế nào với bên ngoài” trong BCP.

Biến áp lực từ bên ngoài thành lợi thế

Đọc đến đây, có lẽ một số bạn đang tự hỏi: “Vậy thì phải giải thích thế nào với ban lãnh đạo để họ chịu hành động đây?”.

Dựa trên kinh nghiệm cá nhân của tôi, tôi có thể khẳng định rằng thay vì chỉ cố gắng thuyết phục ban lãnh đạo bằng các biện pháp nội bộ, việc khéo léo tận dụng áp lực từ bên ngoài để biến nó thành lợi thế sẽ giúp mọi việc tiến triển nhanh chóng hơn rất nhiều. Không chỉ riêng việc sửa đổi luật như trường hợp được đề cập lần này, mà cả quá trình thẩm định của nhà đầu tư, kiểm toán từ phía đối tác kinh doanh, hay các hướng dẫn của hiệp hội ngành nghề… – thực tế rằng “đó là những yêu cầu từ bên ngoài” – sẽ trở thành luận cứ thuyết phục mạnh mẽ hơn nhiều so với việc phải xây dựng logic từ đầu ngay trong nội bộ công ty.

Lý do chúng tôi chọn việc sửa đổi luật lần này làm điểm khởi đầu cho loạt bài thứ nhất chính là mong muốn mọi người hãy lấy “áp lực từ bên ngoài” này làm bước đi đầu tiên.

Vị trí của loạt bài này

Cuối cùng, tôi xin được nhắc lại quan điểm của loạt bài này.

Tôi không phải là chuyên gia từng trải qua các sự cố hệ thống quy mô lớn hay tham gia các buổi họp báo. Tôi chỉ là một người làm công tác thực tiễn, từng một lần trong công việc trước đây, với sự hỗ trợ của các chuyên gia tư vấn, đã nghiêm túc soạn thảo cẩm nang truyền thông quản lý khủng hoảng và thậm chí còn tổ chức các buổi diễn tập thực tế. Những nội dung tôi sắp giới thiệu dưới đây được viết dựa trên góc nhìn “nếu như tôi phải bắt đầu lại từ đầu một lần nữa”.

Trong bài viết tiếp theo, tôi sẽ trình bày tổng quan về cách thoát khỏi tình trạng “không biết nên bắt đầu từ đâu” trong công tác truyền thông quản lý khủng hoảng.