[Các doanh nghiệp điện và khí đốt] Việc thực thi Luật Tăng cường Năng lực Ứng phó với Các Sự cố An ninh Mạng sẽ thay đổi cách thức xử lý sự cố như thế nào

Phần liên quan đến hợp tác công-tư của đạo luật được gọi là “Luật Tăng cường Năng lực Ứng phó An ninh Mạng” (tên chính thức: Luật về Phòng ngừa Thiệt hại do Hành vi Bất hợp pháp đối với Máy tính Quan trọng), được thông qua vào tháng 5 năm 2025, sẽ có hiệu lực vào tháng 10 năm 2026.Điện và khí đốt là hai lĩnh vực đứng đầu trong số 15 lĩnh vực cơ sở hạ tầng then chốt; các doanh nghiệp được chỉ định sẽ phải tuân thủ nghĩa vụ pháp lý là khai báo tài sản hệ thống và báo cáo các sự cố an ninh mạng cho chính phủ.

Khi nhìn lại các vụ tấn công mạng trên thế giới, lĩnh vực năng lượng là lĩnh vực đã thực sự phải hứng chịu những thiệt hại nghiêm trọng nhất. Năm 2015, tại Ukraine, hệ thống điều khiển của một công ty điện lực đã bị can thiệp trái phép, dẫn đến sự cố mất điện trên diện rộng; năm 2021, tại Hoa Kỳ, một đường ống dẫn nhiên liệu lớn đã bị tấn công bằng phần mềm tống tiền, khiến hoạt động phải ngừng trệ khoảng 5 ngày và gây ra tình trạng thiếu hụt nhiên liệu ở Bờ Đông.

Trước bối cảnh này, ngành điện và khí đốt của Nhật Bản là lĩnh vực đã sớm bắt tay vào việc hoàn thiện hệ thống pháp luật và các hướng dẫn trong số các cơ sở hạ tầng quan trọng; tuy nhiên, Luật Tăng cường lại bổ sung thêm một lớp quy định mới vào đó, đó là “nghĩa vụ báo cáo lên Chính phủ”.

Trong bài viết này, chúng tôi sẽ phân tích các yêu cầu thực tiễn về ứng phó sự cố đối với các doanh nghiệp điện và khí đốt, được chia thành ba cấp độ: pháp luật, quy định an toàn và hướng dẫn.

Các nghĩa vụ theo luật định: Thủ tục thông báo và báo cáo sự cố

Đối tượng trực tiếp của Luật Tăng cường là các doanh nghiệp cơ sở hạ tầng xã hội cụ thể (doanh nghiệp cơ sở hạ tầng then chốt) được chỉ định theo Luật Thúc đẩy An ninh Kinh tế; tính đến ngày 1 tháng 4 năm Reiwa 8, tổng cộng có 257 doanh nghiệp thuộc tất cả các lĩnh vực đã được chỉ định. Điện và khí đốt là các lĩnh vực thuộc phạm vi điều chỉnh của chế độ này ngay từ khi bắt đầu có hiệu lực; các doanh nghiệp trong lĩnh vực này đã được chỉ định vào tháng 11 năm Reiwa 5, và các quy định về thẩm định trước liên quan đến việc lắp đặt các thiết bị quan trọng cụ thể đã được áp dụng kể từ ngày 17 tháng 5 năm Reiwa 6.

Đối với các doanh nghiệp được chỉ định như vậy, Luật Tăng cường quy định các nghĩa vụ sau đây: Đối với các hệ thống thông tin liên quan đến hoạt động cốt lõi mà thuộc diện “máy tính quan trọng đặc biệt”, phải khai báo với chính phủ tên nhà cung cấp, thông tin sản phẩm, v.v.; đồng thời, phải báo cáo sự cố khi bị tấn công mạng.

Về khung báo cáo, theo phương án (dự thảo) hướng tới việc triển khai được trình bày tại cuộc họp của Hội đồng chuyên gia thuộc Văn phòng Nội các, việc báo cáo được chia thành hai giai đoạn. Ngay khi phát hiện sự cố, cần nhanh chóng đưa ra “báo cáo sơ bộ” và nộp “báo cáo chi tiết” trong vòng 30 ngày. Trong cả hai trường hợp, chỉ cần báo cáo những thông tin đã nắm được tại thời điểm đó là đủ, chứ không yêu cầu phải thực hiện phân tích nguyên nhân hoàn chỉnh ngay từ bước xử lý ban đầu.

Phạm vi báo cáo không chỉ bao gồm các dấu vết của “hành vi vi phạm cụ thể” như truy cập trái phép, mà còn bao gồm cả các sự kiện có liên quan đến những hành vi đó. Hệ thống được thiết kế sao cho nghĩa vụ báo cáo bắt đầu ngay từ giai đoạn có dấu hiệu báo trước.

Các quy định về việc xử lý khi sử dụng dịch vụ đám mây cũng đã được hệ thống hóa. Trong trường hợp SaaS hoặc PaaS (liên quan đến phần mềm trung gian và hệ điều hành), việc “nhận thức” được coi là đã xảy ra ngay khi nhận được thông báo từ nhà cung cấp dịch vụ đám mây. Các doanh nghiệp hoạt động trong các lĩnh vực đang ngày càng chuyển sang sử dụng dịch vụ đám mây, bao gồm quản lý khách hàng và hệ thống tính phí, cần phải xác định trước đầu mối tiếp nhận thông báo về sự cố hoặc vi phạm từ nhà cung cấp, cũng như quy trình đưa các thông báo đó vào luồng báo cáo.

Các biện pháp xử phạt cũng không thể xem nhẹ. Theo quy định, trường hợp vi phạm nghĩa vụ thông báo và không tuân thủ lệnh khắc phục của cơ quan quản lý sẽ bị phạt tiền tối đa 2 triệu yên; trường hợp không đáp ứng yêu cầu cung cấp tài liệu sẽ bị phạt tiền tối đa 300.000 yên.

Ngoài ra, các doanh nghiệp không được chỉ định trực tiếp cũng không phải là không liên quan. Người ta đã chỉ ra rằng các nhà cung cấp dịch vụ CNTT và các công ty thành viên trong tập đoàn được ủy thác vận hành các hệ thống máy tính quan trọng cụ thể, cũng như các thiết bị do đơn vị được ủy thác sở hữu (tùy thuộc vào cấu trúc hệ thống), cũng có thể nằm trong phạm vi áp dụng.

Trong ngành điện, nơi việc tách biệt các hoạt động sản xuất điện, bán lẻ và truyền tải・phân phối cũng như việc ủy thác hoạt động cho các công ty thành viên đang ngày càng phổ biến, và trong ngành khí đốt, nơi việc vận chuyển chung và sản xuất theo hợp đồng không phải là hiếm, hoàn toàn có thể xảy ra trường hợp công ty chúng ta tham gia vào hệ thống này với tư cách là “đơn vị được chỉ định để nhận ủy thác”.

Những điều “đã” trở thành nghĩa vụ theo pháp luật về an ninh

Như các chuyên gia trong lĩnh vực điện và khí đốt đều biết, đây không phải là lần đầu tiên các quy định về an ninh mạng trong ngành này được siết chặt. Thậm chí, đây còn là lĩnh vực được áp dụng các tiêu chuẩn bắt buộc sớm nhất trong số các cơ sở hạ tầng quan trọng.

Về lĩnh vực điện, Điều 15-2 của “Nghị định của Bộ quy định các tiêu chuẩn kỹ thuật liên quan đến thiết bị điện” quy định rằng đối với các máy tính được sử dụng để quản lý hoạt động của các công trình điện thương mại, phải đảm bảo an ninh mạng để tránh nguy cơ gây hại cho con người, hư hỏng tài sản, cũng như nguy cơ gây cản trở nghiêm trọng đến việc cung cấp điện.

Quy định này được đưa vào thông qua đợt sửa đổi năm 2016 (năm Heisei 28), và theo cách hiểu về tiêu chuẩn kỹ thuật, quy định này nêu rõ phải “tuân theo” các hướng dẫn cụ thể như “Hướng dẫn về an ninh hệ thống điều khiển điện”. Hơn nữa, trong đợt sửa đổi vào tháng 6 năm Reiwa 4, phạm vi áp dụng đã được mở rộng sang cả các công trình điện tự dùng (có hiệu lực từ tháng 10 cùng năm), và người lắp đặt các thiết bị thuộc đối tượng áp dụng hiện được yêu cầu phải ghi rõ các biện pháp an ninh mạng trong quy chế an toàn.

Đối với lĩnh vực khí đốt, theo sửa đổi Quy định thi hành Luật Kinh doanh Khí đốt (ban hành năm 2019), việc đảm bảo an ninh mạng cho các hệ thống máy tính quản lý vận hành và điều khiển các công trình khí đốt đã được xác định là một nội dung cần được đưa vào quy định an toàn.Với cách tiếp cận lấy Quy định An toàn – nền tảng của các hoạt động an toàn – làm trọng tâm trong việc tuân thủ pháp luật, Hiệp hội Khí đốt Nhật Bản cũng đã xây dựng “Hướng dẫn các biện pháp an ninh cho hệ thống điều khiển liên quan đến sản xuất và cung cấp” làm hướng dẫn ngành, đồng thời hỗ trợ các doanh nghiệp trong việc xây dựng quy định nội bộ.

Ngoài ra, trong các sửa đổi luật liên quan đến “an toàn thông minh” được ban hành vào năm Reiwa 4 (sửa đổi một phần Luật An toàn Khí áp suất cao, Luật Kinh doanh Khí đốt, Luật Kinh doanh Điện lực, v.v.), một cơ chế đã được đưa vào theo đó, trong trường hợp xảy ra hoặc có nghi ngờ xảy ra sự cố nghiêm trọng liên quan đến an ninh mạng trong lĩnh vực an toàn, Nhà nước có thể yêu cầu Tổ chức Xúc tiến Xử lý Thông tin (IPA) – một tổ chức hành chính độc lập – tiến hành điều tra để làm rõ nguyên nhân.Khung pháp lý cho phép Nhà nước can thiệp vào giai đoạn “sau sự cố” đã được tích hợp sẵn trong hệ thống pháp luật về an toàn.

Nói cách khác, đối với các doanh nghiệp cung cấp điện và khí đốt, việc hiểu rằng Luật Tăng cường này không phải là một nghĩa vụ bắt đầu từ con số không, mà là việc bổ sung thêm quy định vận hành “khi phát hiện phải báo cáo ngay cho Chính phủ” dựa trên các biện pháp đã được xây dựng dần dần dưới dạng quy định an toàn và tiêu chuẩn kỹ thuật, mới là cách hiểu chính xác.

“Thực tiễn ứng phó sự cố” được nêu trong hướng dẫn

Bộ Kinh tế, Thương mại và Công nghiệp (METI) – Cục Tài nguyên và Năng lượng cùng các hiệp hội ngành đã xây dựng nhiều hướng dẫn dành cho lĩnh vực điện và khí đốt. Trong lĩnh vực điện, “Hướng dẫn An ninh Hệ thống Điều khiển Điện” yêu cầu việc lập kế hoạch, triển khai, kiểm tra và cải tiến các biện pháp an ninh dựa trên chu trình PDCA; đồng thời, vào tháng 3 năm Reiwa 6, Cục Tài nguyên và Năng lượng đã công bố “Hướng dẫn Kiểm tra Rủi ro An ninh Mạng trong Hệ thống Điện”, bao gồm 108 mục kiểm tra rủi ro dựa trên các chức năng và danh mục của NIST CSF.Tiền đề của hướng dẫn này là nhận thức rằng mặc dù các biện pháp đang được triển khai thông qua việc xây dựng các hướng dẫn, nhưng các mối đe dọa không ngừng phát triển hàng ngày và các biện pháp hiện tại tuyệt đối không bao giờ là đủ.

Dưới đây là những điểm cần lưu ý từ góc độ ứng phó sự cố.

• Xem xét trên cơ sở giả định rằng thiệt hại về CNTT sẽ dẫn đến việc ngừng cung cấp

  Vụ việc liên quan đến đường ống dẫn ở Mỹ là một ví dụ điển hình: ngay cả khi hệ thống CNTT (IT) bị nhiễm phần mềm tống tiền, các doanh nghiệp vẫn có thể bị buộc phải đưa ra quyết định ngừng hoạt động hệ thống OT (vận hành) với lý do không thể đảm bảo an toàn hoặc không thể thực hiện việc tính cước và quản lý xuất hàng. Không phải lúc nào cũng đúng rằng “vì hệ thống điều khiển vẫn an toàn nên việc cung cấp có thể tiếp tục”.

  Việc xác định trước trong thời bình ai sẽ là người quyết định và theo tiêu chí nào để xác định liệu có thể duy trì việc cung cấp hay không khi xảy ra sự cố về mặt CNTT chính là yếu tố cốt lõi trong công tác ứng phó với sự cố của các doanh nghiệp năng lượng.

• Đừng quá tin tưởng vào ranh giới giữa OT và IT

  Trong sự cố mất điện tại Ukraine năm 2015, hệ thống điều khiển vốn được tách biệt về mặt logic bằng tường lửa và VPN đã bị thao túng trái phép qua VPN bằng cách sử dụng thông tin xác thực hợp lệ bị đánh cắp thông qua các thiết bị đầu cuối làm việc.

  Sự gia tăng số lượng điểm kết nối do sự phát triển của VPN bảo trì, giám sát từ xa và an ninh thông minh, mặc dù giúp nâng cao hiệu quả, nhưng lại làm mở rộng diện tích tấn công. Bản sửa đổi năm Reiwa 4, trong đó phạm vi áp dụng các tiêu chuẩn kỹ thuật được mở rộng sang cả các công trình điện tư nhân, chính là biện pháp ứng phó với việc phạm vi rủi ro ngày càng mở rộng do sự phổ biến của giám sát và điều khiển từ xa.

• Ghi chép ngay từ giai đoạn có dấu hiệu báo trước và hành động

  Phạm vi báo cáo theo Luật Tăng cường bao gồm cả những “sự kiện dẫn đến” các hành vi gian lận cụ thể. Các sự cố bất thường được phát hiện qua hệ thống giám sát của khối điều khiển và khối thông tin sẽ được ghi lại theo trình tự thời gian, sau đó đưa vào quy trình đánh giá xem có cần báo cáo hay không. Vấn đề đặt ra là liệu có thể thực hiện chuỗi quy trình này với tốc độ đủ nhanh để đáp ứng thời hạn báo cáo khẩn cấp hay không.

• Tận dụng tối đa khung chia sẻ thông tin

  Trong lĩnh vực điện lực, đã có các khung cơ chế chia sẻ thông tin trong ngành như ISAC Điện lực và Scepter; trong lĩnh vực khí đốt, việc chia sẻ kiến thức và tổ chức huấn luyện thông qua Scepter cũng đã được tích lũy từ lâu. Sau khi Luật Tăng cường có hiệu lực, sẽ có nhiều kênh hoạt động song song, bao gồm báo cáo theo quy định pháp luật cho Chính phủ, hợp tác điều tra với IPA, và chia sẻ thông tin trong ngành. Thông tin nào sẽ được cung cấp, do ai quyết định và gửi đến đâu? Nếu sắp xếp rõ ràng các đầu mối liên lạc ngay từ thời bình, sẽ giúp giảm thiểu đáng kể sự hỗn loạn khi xảy ra sự cố.

Cần chuẩn bị những gì trước khi luật có hiệu lực

Với việc dự kiến sẽ có hiệu lực vào tháng 10 năm 2026, những việc mà các doanh nghiệp thuộc đối tượng chỉ định (hoặc ứng viên tiềm năng) cần thực hiện sẽ trở nên rõ ràng hơn.

1. Kiểm kê tài sản

   Chúng ta sẽ rà soát các máy tính điện tử quan trọng cụ thể và thiết bị ngoại vi có khả năng thuộc đối tượng phải khai báo. Ngoài các hệ thống giám sát, điều khiển, vận hành cấp điện, cũng như hệ thống điều khiển sản xuất và cung ứng, chúng ta sẽ xác định những hệ thống mà nếu bị tấn công sẽ dẫn đến việc ngừng hoạt động cung ứng hoặc suy giảm chức năng, bằng cách phân tích ngược từ mức độ ảnh hưởng. Danh sách thiết bị đã được lập trong quá trình chuẩn bị cho việc thẩm định trước theo Luật Thúc đẩy An ninh Kinh tế có thể được sử dụng ngay làm điểm khởi đầu.

2. Hoàn thiện quy trình báo cáo

   Chúng tôi sẽ lồng ghép các nội dung sau vào Kế hoạch ứng phó khẩn cấp: định nghĩa về sự cố (bao gồm cả thông báo từ nhà cung cấp dịch vụ đám mây), người soạn thảo báo cáo sơ bộ và quy trình phê duyệt, cũng như cơ chế điều tra để hoàn thành báo cáo chi tiết trong vòng 30 ngày.Đối với điện và khí đốt, hiện đã có hệ thống báo cáo sự cố hiện hành dựa trên Quy định báo cáo liên quan đến điện và Luật Kinh doanh khí đốt; mục đích cũng như đối tượng nhận báo cáo của hệ thống này khác với báo cáo theo Luật Tăng cường. Với giả định rằng sẽ có nhiều báo cáo được gửi đi về cùng một sự cố, cần thống nhất mẫu biểu ghi chép theo hướng “chỉ cần ghi chép một lần là có thể sử dụng cho các báo cáo theo từng hệ thống”.

3. Sự tham gia của ban lãnh đạo

   Việc quyết định có nên ngừng cung cấp dịch vụ do sự cố liên quan đến CNTT hay không không thể chỉ do bộ phận hiện trường hay bộ phận hệ thống tự mình chịu trách nhiệm. Như nghĩa vụ ghi rõ an ninh mạng trong quy định an toàn đã nêu, an ninh trong lĩnh vực này chính là vấn đề an toàn, tức là thuộc phạm vi trách nhiệm của ban lãnh đạo. Việc xác định việc phê duyệt kế hoạch ứng phó sự cố và tham gia các khóa huấn luyện là nhiệm vụ của ban lãnh đạo sẽ là bước hoàn thiện cuối cùng trước khi quy định có hiệu lực.

Vẫn còn một số chi tiết cụ thể của luật sẽ được hoàn thiện thông qua các nghị định của Chính phủ và quy định thực thi trước khi luật có hiệu lực; do đó, những nội dung được ghi là “dự thảo” trong bài viết này có thể sẽ thay đổi trong tương lai. Để cập nhật thông tin mới nhất, xin vui lòng tham khảo các tài liệu được công bố bởi Văn phòng Nội các (phụ trách An ninh mạng và An ninh kinh tế), Bộ Kinh tế, Thương mại và Công nghiệp, cũng như Cơ quan Năng lượng và Tài nguyên.

Và thế là Incident Lake

Như chúng ta đã thấy ở trên, trong việc ứng phó với Luật Tăng cường, điều thực sự gây áp lực không phải là việc xây dựng các quy tắc trong thời bình, mà là “các hoạt động thực tiễn ngay từ khoảnh khắc sự cố xảy ra”.Phải sắp xếp các thông tin đã được xác nhận và nhanh chóng phát đi thông báo sơ bộ; đồng thời với việc ra quyết định duy trì nguồn cung, phải lưu lại hồ sơ theo trình tự thời gian; tổng hợp báo cáo chi tiết trong vòng 30 ngày; xử lý các báo cáo theo quy định pháp luật gửi lên Chính phủ, báo cáo sự cố hiện có, chia sẻ thông tin trong ngành và báo cáo cho nhiều bên liên quan — trong giai đoạn cần dồn toàn bộ sức lực để duy trì nguồn cung, hầu như không còn dư địa nào để phân bổ nhân lực cho công tác báo cáo.

Incident Lake là nền tảng quản lý sự cố hỗ trợ toàn bộ quy trình này. Nền tảng này tự động hóa toàn bộ quy trình, từ việc báo cáo khi sự cố xảy ra cho đến khi hệ thống hoạt động trở lại, cũng như việc lập và quản lý báo cáo, giúp nhân viên có thể dành thời gian tập trung vào nhiệm vụ cốt lõi là “bảo vệ và khôi phục hệ thống cung cấp”. Đặc biệt trong bối cảnh hiện nay, khi các báo cáo có thời hạn như báo cáo khẩn cấp và báo cáo chi tiết đang dần trở thành quy định chính thức, chúng tôi khuyến nghị các tổ chức nên chuyển đổi cơ chế báo cáo và ghi chép sang hình thức không còn phụ thuộc vào nỗ lực cá nhân.

Tài liệu tham khảo

• Điều 15-2 của Nghị định của Bộ quy định các tiêu chuẩn kỹ thuật về thiết bị điện (Nghị định số 52 năm Heisei 9 của Bộ Thương mại và Công nghiệp)

• Bộ Kinh tế, Thương mại và Công nghiệp: “Về việc đảm bảo an ninh mạng đối với các công trình điện sử dụng riêng” https://www.meti.go.jp/policy/safety_security/industrial_safety/sangyo/electric/detail/cybersecurity.html

• Cơ quan Năng lượng và Tài nguyên: “Hướng dẫn kiểm tra rủi ro an ninh mạng trong hệ thống điện” (tháng 3 năm Reiwa 6) 

  https://www.meti.go.jp/press/2023/03/20240322003/20240322003.html

• Cơ quan Năng lượng và Tài nguyên “Về an ninh mạng trong lĩnh vực điện lực” (Ngày 17 tháng 4 năm 2024 – Tài liệu của Tiểu ban Chính sách Cơ bản về Điện và Khí đốt) https://www.meti.go.jp/shingikai/enecho/denryoku_gas/denryoku_gas/pdf/073_07_00.pdf

• Nhóm An toàn Công nghiệp thuộc Bộ Kinh tế, Thương mại và Công nghiệp: “Các biện pháp nhằm nâng cao khả năng ứng phó với an ninh mạng trong lĩnh vực khí đốt” (Tháng 3 năm 2019 – Tài liệu của Tiểu ban An toàn Khí đốt) https://www.meti.go.jp/shingikai/sankoshin/hoan_shohi/gas_anzen/pdf/019_04_02.pdf

• Văn phòng Nội các: “Hệ thống đảm bảo cung cấp ổn định các dịch vụ cơ sở hạ tầng then chốt” https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/infra.html

• Cục trưởng Cục Điều phối Chính sách, Văn phòng Nội các (phụ trách An ninh mạng): “Dự thảo phương hướng hướng tới việc thi hành Luật Tăng cường Năng lực Ứng phó An ninh mạng (Hợp tác công-tư)” (tháng 12 năm Reiwa 7) https://www.cao.go.jp/cybersecurity/kaigi/pdf/04shiryo05.pdf

• Nikkei CrossTech: “Luật Tăng cường Năng lực Ứng phó với Các mối đe dọa mạng sẽ có hiệu lực vào tháng 10, cũng tiềm ẩn rủi ro bị loại khỏi danh sách đối tác” (năm 2026) https://xtech.nikkei.com/atcl/nxt/column/18/00989/042300207/