Cách tăng cường năng lực ứng phó với các sự cố mạng, nhìn từ góc độ xử lý sự cố

Bài viết này không nhằm mục đích giải thích pháp luật, do đó, để có thông tin chính xác, quý vị nhất định phải liên hệ với luật sư hoặc cơ quan hành chính có thẩm quyền để xác nhận.

Vào tháng 10 năm 2026, “Luật Tăng cường Năng lực Ứng phó Mạng ” và Luật Sửa đổi liên quan sẽ có hiệu lực.
Trong các báo cáo truyền thông, người ta thường chỉ chú ý đến “phòng thủ mạng chủ động”, việc chính phủ sử dụng thông tin liên lạc hay các biện pháp vô hiệu hóa máy chủ tấn công; tuy nhiên, đối với các nhân viên phụ trách an ninh của doanh nghiệp, những khía cạnh thực tế có tác động lớn nhất lại chính là những phần tưởng chừng như đơn giản. Cụ thể, đó là nghĩa vụ báo cáo cho nhà nước bắt đầu từ việc “nhận biết” sự cố, cùng với cơ chế khai báo tài sản và chia sẻ thông tin giữa khu vực công và tư nhân nhằm hỗ trợ cho nghĩa vụ này.

Trong bài viết này, thay vì giải thích từng điều khoản của luật, chúng tôi sẽ hệ thống hóa nội dung từ góc độ “khi nhìn từ thực tiễn ứng phó sự cố, luật này yêu cầu điều gì”. Nói ngay kết luận trước, điều mà luật này đặt ra không phải là khả năng soạn thảo báo cáo , mà là liệu có cơ chế nào để đồng thời ghi chép lại các sự cố với chất lượng đủ tiêu chuẩn để báo cáo ngay trong quá trình ứng phó hay không.

1. Trước hết là những kiến thức cơ bản tối thiểu

Luật Tăng cường Năng lực Ứng phó An ninh Mạng (tên chính thức: Luật về Phòng ngừa Thiệt hại do Hành vi Bất hợp pháp đối với Máy tính Quan trọng) đã được thông qua vào ngày 16 tháng 5 năm 2025, công bố vào ngày 23 cùng tháng, và các nội dung chính sẽ có hiệu lực từ ngày 1 tháng 10 năm 2026. Luật này có 4 trụ cột chính.
Tham khảo: Thông tin về dự luật tại Kỳ họp thứ 217 của Quốc hội (Kỳ họp thường kỳ) - Dự luật về phòng ngừa thiệt hại do hành vi bất hợp pháp đối với máy tính quan trọng

1. Tăng cường hợp tác giữa khu vực công và tư nhân (khai báo tài sản, báo cáo sự cố, hội đồng tư vấn công-tư)

2. Việc sử dụng thông tin liên lạc (thu thập và phân tích thông tin liên lạc nhằm phát hiện các cuộc tấn công)

3. Các biện pháp tiếp cận và vô hiệu hóa (các biện pháp ứng phó với cơ sở hạ tầng tấn công do cảnh sát và Lực lượng Tự vệ thực hiện)

4. Hoàn thiện tổ chức và cơ cấu (Văn phòng Điều phối An ninh Mạng Quốc gia, Ủy ban Giám sát Thông tin và Truyền thông Mạng, v.v.)

Trong số này, phần hợp tác công-tư (số 1) là phần đặt ra nghĩa vụ trực tiếp cho các doanh nghiệp. Đối tượng trực tiếp là các “doanh nghiệp cơ sở hạ tầng đặc biệt” (còn gọi là doanh nghiệp cơ sở hạ tầng then chốt) thuộc 15 ngành nghề và khoảng 257 công ty, liên kết với hệ thống cơ sở hạ tầng then chốt theo Luật Thúc đẩy An ninh Kinh tế. Các ngành này bao gồm điện, khí đốt, cấp nước, viễn thông, tài chính, hàng không, đường sắt, v.v.

Nếu bạn nghĩ rằng “Công ty chúng tôi không nằm trong số 257 doanh nghiệp nên không liên quan”, xin hãy tiếp tục đọc thêm một chút nữa. Khi xem xét cơ chế thực thi nghĩa vụ này, phạm vi ảnh hưởng sẽ lan rộng ra ngoài phạm vi định nghĩa về các thiết bị phải khai báo và thông qua chuỗi cung ứng.

2. Áp dụng các quy định pháp luật vào chu trình xử lý sự cố

Hãy thử so sánh các yêu cầu của luật này với chu trình tiêu chuẩn của việc ứng phó sự cố (Chuẩn bị → Phát hiện và phân tích → Chặn đứng, loại bỏ và khôi phục → Đánh giá sau sự cố). Khi làm như vậy, chúng ta sẽ thấy rằng luật này thực chất là “luật bổ sung nhà nước — với tư cách là một bên liên quan — vào từng giai đoạn của quy trình ứng phó sự cố”.

Giai đoạn chuẩn bị: Quản lý tài sản trở thành nghĩa vụ pháp lý

Các doanh nghiệp thuộc đối tượng áp dụng có nghĩa vụ thông báo tên sản phẩm, mã hiệu, v.v. cho Bộ trưởng phụ trách cơ quan quản lý khi lắp đặt hoặc thay đổi “máy tính điện tử quan trọng được chỉ định”.

Điều mà các chuyên viên ứng phó sự cố cần lưu ý chính là định nghĩa về “máy tính quan trọng được chỉ định” này. Khái niệm này không chỉ bao gồm hệ thống chính đảm nhận các hoạt động cốt lõi mà còn bao gồm cả “các thiết bị có nguy cơ gây ra tình trạng ngừng hoạt động hoặc suy giảm chức năng của các thiết bị quan trọng được chỉ định trong trường hợp bị tấn công mạng”; các thiết bị được đề cập bao gồm tường lửa, thiết bị VPN, máy chủ xác thực, thiết bị trong vùng DMZ và thiết bị kiểm soát truy cập.

Các lỗ hổng trong thiết bị VPN và hệ thống xác thực chính là điểm xâm nhập ban đầu của các sự cố nghiêm trọng trong những năm gần đây. Nói cách khác, chế độ khai báo này được thiết kế để nhà nước nắm bắt được những tài sản mà kẻ tấn công tiếp cận đầu tiên; ngược lại, điều này cũng có nghĩa là nếu phía doanh nghiệp không lập danh sách các “tài sản có thể trở thành điểm xâm nhập” ngay từ thời bình, thì họ sẽ không thể thực hiện nghĩa vụ khai báo.

Trong lĩnh vực ứng phó sự cố, từ lâu người ta đã thường nói rằng “Chất lượng ứng phó sự cố phụ thuộc vào giai đoạn chuẩn bị” và “Các tổ chức không nắm rõ tài sản của mình sẽ không thể xác định được phạm vi xâm phạm”. Có thể hiểu rằng đạo luật này đã chuyển những bài học đó thành nghĩa vụ pháp lý.

Giai đoạn phát hiện và phân tích: Quá trình lập báo cáo bắt đầu từ “nhận thức”

Trong nghĩa vụ báo cáo sự cố theo Luật này (Điều 5), điểm quan trọng nhất trong thực tiễn xử lý sự cố là thời điểm kích hoạt báo cáo là “khi nhận thức được sự xuất hiện của sự kiện xâm phạm cụ thể”. Đó không phải là khi thiệt hại đã được xác định, cũng không phải là khi cuộc điều tra đã hoàn tất.

Hơn nữa, đối tượng phải báo cáo không chỉ giới hạn ở những sự cố đã gây ra thiệt hại thực tế.
Ngay cả khi phát hiện “những sự cố có thể là nguyên nhân dẫn đến thiệt hại”, hay còn gọi là các tình huống suýt xảy ra tai nạn, cũng thuộc phạm vi bắt buộc phải báo cáo.

Điều này có ý nghĩa vô cùng quan trọng đối với công tác ứng phó sự cố tại hiện trường.

• Chính việc phân loại để xác định “Đây là sự cố hay chỉ là cảnh báo?” sẽ quyết định thời điểm phát sinh nghĩa vụ pháp lý

• Nếu không ghi chép lại “khi nào, ai và đã nhận thức được điều gì”, thì sau này sẽ không thể chứng minh được rằng mình đã thực hiện nghĩa vụ báo cáo một cách thích hợp

• Nếu không làm rõ mối quan hệ giữa các tiêu chí chuyển cấp từ các nhà cung cấp dịch vụ SOC và MDR với khái niệm “nhận thức” theo pháp luật, các đơn vị thuê ngoài sẽ phải gánh chịu rủi ro về việc bỏ sót hoặc chậm trễ trong việc báo cáo.

Các quy trình ứng phó sự cố của nhiều tổ chức thường bắt đầu từ “việc công bố sự cố nghiêm trọng”, nhưng theo luật này, cần phải có bằng chứng ngay từ giai đoạn phân loại sự cố trước khi tiến hành công bố.

Giai đoạn ngăn chặn và khôi phục: Chính phủ có thể trở thành chủ thể trực tiếp xử lý tình huống

Luật Quản lý Cơ sở Hạ tầng có quy định cho phép Chính phủ áp dụng các biện pháp tiếp cận và vô hiệu hóa nhằm ngăn chặn các nguy cơ nghiêm trọng. Người ta cũng chỉ ra rằng, trong trường hợp hệ thống của đối tác kinh doanh thuộc nhà khai thác cơ sở hạ tầng then chốt bị lợi dụng làm bàn đạp cho các cuộc tấn công, hệ thống của đối tác đó cũng có thể trở thành đối tượng áp dụng các biện pháp này.

Ngoài ra, đối với các hành vi vi phạm nghĩa vụ báo cáo hoặc xử lý không phù hợp, Bộ trưởng có thẩm quyền sẽ ban hành lệnh khắc phục; nếu không tuân thủ, doanh nghiệp sẽ bị phạt tiền (tối đa 2 triệu yên đối với vi phạm nghĩa vụ báo cáo). Mặc dù số tiền phạt không lớn, nhưng rủi ro thực sự trong thực tiễn không phải là khoản tiền phạt, mà là việc mất niềm tin từ các đối tác do việc nhận lệnh khắc phục, cũng như việc cơ quan giám sát phải can thiệp song song trong quá trình xử lý sự cố.Cần phải tích hợp rõ ràng vai trò “xử lý với cơ quan chức năng” vào hệ thống chỉ huy ứng phó sự cố (hệ thống chỉ huy sự cố).

Giai đoạn hoạt động sau sự kiện: Việc báo cáo và chia sẻ thông tin đòi hỏi phải “bên ngoài hóa” quá trình học tập

Trước đây, việc rà soát sau sự cố (post-mortem) là hoạt động nhằm ngăn ngừa sự cố tái diễn trong nội bộ doanh nghiệp. Theo luật này, thông tin sẽ được tổng hợp tại cấp quốc gia thông qua việc báo cáo sự cố, sau đó được Văn phòng Điều phối An ninh Mạng Quốc gia phân tích và sử dụng để cảnh báo các doanh nghiệp khác. Hơn nữa, vào mùa thu năm 2026, một hội đồng công-tư mới với sự tham gia của các doanh nghiệp cơ sở hạ tầng then chốt, các nhà cung cấp giải pháp an ninh mạng và các cơ quan chính phủ sẽ được thành lập, dự kiến sẽ bắt đầu việc chia sẻ thông tin về các mối đe dọa trong cả thời bình lẫn thời chiến.

Nói cách khác, việc hệ thống hóa và lưu trữ các kiến thức kỹ thuật thu được từ các sự cố của chính công ty (thông tin về kỹ thuật tấn công, IoC, v.v.) dưới dạng và mức độ chi tiết có thể chia sẻ sẽ dần chuyển từ một “thực tiễn tốt nhất” thành một tiền đề mang tính thể chế.

3. Công tác báo cáo sẽ được thực hiện như thế nào: Mẫu đơn thống nhất và tập trung tại một đầu mối

Có vẻ như người ta sẽ thốt lên: “Lại thêm một nơi phải báo cáo nữa sao?”, nhưng cũng có tin vui ở đây.

　Hiện nay, các thủ tục báo cáo và tham vấn mà các doanh nghiệp Nhật Bản cần thực hiện khi xảy ra sự cố đang được phân tán thành nhiều hệ thống khác nhau, bao gồm việc báo cáo lên Ủy ban Bảo vệ Thông tin Cá nhân theo Luật Bảo vệ Thông tin Cá nhân, báo cáo sự cố lên các bộ, ngành có thẩm quyền theo các luật ngành tương ứng, cũng như thông báo và tham vấn với cảnh sát. Do nghĩa vụ báo cáo theo Luật Tăng cường sẽ được bổ sung vào hệ thống này, chính phủ đang tiến hành xây dựng một cơ chế để quản lý tập trung các thủ tục này.

• Giai đoạn 1 (từ tháng 10 năm 2025): Bắt đầu áp dụng mẫu báo cáo thống nhất đối với các vụ tấn công DDoS và ransomware ( Văn phòng Điều phối An ninh Mạng Quốc gia: “Về việc thống nhất mẫu báo cáo sự cố khi xảy ra thiệt hại do tấn công mạng” )

• Giai đoạn 2 (đồng bộ với việc áp dụng nghĩa vụ báo cáo theo Luật Tăng cường): Hoàn thiện hệ thống tiếp nhận báo cáo và tập trung các điểm tiếp nhận. Chính sách này nhằm tạo điều kiện để có thể thực hiện đồng thời việc báo cáo cho các bộ, ngành có thẩm quyền và Ủy ban Bảo vệ Dữ liệu Cá nhân, cũng như tham vấn với cảnh sát, thông qua một hệ thống duy nhất.

Từ góc độ thực tiễn ứng phó sự cố, điều này có nghĩa là “báo cáo” sẽ dần chuyển từ dạng văn bản tự do sang dạng dữ liệu có cấu trúc với các trường thông tin được định nghĩa sẵn. Mẫu báo cáo thống nhất sẽ bao gồm các mục như tóm tắt vụ việc, diễn biến sự việc, loại và số lượng thiết bị bị ảnh hưởng, tình trạng hoạt động của hệ thống, thông tin về kỹ thuật tấn công, cũng như tình hình công bố thông tin.

Tất cả những thông tin này đều phát sinh một cách tự nhiên trong quá trình ứng phó sự cố. Nếu đã thiết lập được quy trình ghi chép có hệ thống về dòng thời gian ứng phó, các tài sản bị ảnh hưởng và các phương thức tấn công đã phát hiện, việc lập báo cáo chỉ đơn giản là “sao chép lại”. Ngược lại, việc phải tổng hợp báo cáo trước thời hạn từ những thông tin rải rác trong các chuỗi thảo luận trên Slack và các ghi chú cá nhân sẽ là công việc tiêu tốn nhiều nguồn lực ứng phó nhất.

4. Dự đoán “bước tiếp theo” từ EU, người đi trước

Nếu đặt thiết kế cơ chế này của Nhật Bản vào bối cảnh xu hướng quốc tế, sẽ dễ dàng hơn trong việc dự đoán hướng đi trong tương lai. Điểm tham chiếu ở đây là Chỉ thị NIS2 của EU.

NIS2 quy định các doanh nghiệp thuộc nhiều lĩnh vực, bao gồm cả cơ sở hạ tầng quan trọng, phải tuân thủ quy trình báo cáo nhiều giai đoạn có thời hạn cụ thể đối với các sự cố nghiêm trọng, bao gồm: cảnh báo sớm trong vòng 24 giờ → thông báo sự cố trong vòng 72 giờ (kèm theo đánh giá ban đầu về mức độ nghiêm trọng và tác động, bao gồm cả IoC nếu có thể) → báo cáo cuối cùng trong vòng 1 tháng.Mức phạt khi vi phạm có thể lên tới tối đa 10 triệu euro hoặc 2% tổng doanh thu toàn cầu, tương đương với mức phạt theo GDPR. CIRCIA của Hoa Kỳ cũng quy định thời hạn 72 giờ đối với các sự cố nghiêm trọng và 24 giờ đối với các vụ tấn công ransomware; do đó, mô hình báo cáo “tính từ thời điểm phát hiện, có giới hạn thời gian và nhiều giai đoạn” đang dần thống nhất giữa Nhật Bản, Hoa Kỳ và châu Âu.
*Tham khảo: PwC – Các quy định pháp luật về an ninh mạng tại châu Âu, Chỉ thị NIS2 là gì?

Luật tăng cường an ninh mạng hiện hành của Nhật Bản chưa quy định rõ ràng về việc báo cáo theo nhiều giai đoạn với các mốc thời gian chặt chẽ như NIS2. Tuy nhiên, điều đáng chú ý là trong quá trình thảo luận dự luật, quy định về việc rà soát lại sau 3 năm đã được bổ sung.(*Tham khảo: Nikkei X TECH – Dự luật liên quan đến phòng thủ mạng chủ động được Hạ viện thông qua, bổ sung các điều khoản về tăng cường báo cáo trước Quốc hội và rà soát lại sau 3 năm )
Xét đến bối cảnh EU đã mở rộng đáng kể các lĩnh vực áp dụng và siết chặt thời hạn báo cáo khi sửa đổi từ Chỉ thị NIS sang NIS2, tại Nhật Bản, vào thời điểm rà soát lại, những diễn biến sau đây có thể được xem là kịch bản thực tế.

• Mở rộng phạm vi ngành nghề và đối tượng doanh nghiệp (từ 257 doanh nghiệp hiện nay sang phạm vi rộng hơn là các “doanh nghiệp quan trọng”)

• Làm rõ thời hạn và các giai đoạn báo cáo (tiến gần đến mô hình 24 giờ/72 giờ/1 tháng theo tiêu chuẩn NIS2)

• Sự lan rộng của nghĩa vụ báo cáo đối với chuỗi cung ứng (đối tác được ủy thác, nhà cung cấp) — Hiện tại, nghĩa vụ báo cáo trong trường hợp đối tác kinh doanh bị tấn công vẫn chưa được quy định rõ ràng, và chính “khoảng trống” này có thể được xem là dấu hiệu báo trước cho việc mở rộng quy định trong tương lai

Các yêu cầu hiện đang được áp đặt đối với các nhà cung cấp hạ tầng cốt lõi rất có thể sẽ được mở rộng sang các doanh nghiệp khác trong vài năm tới. Đây chính là lý do tại sao ngay cả những doanh nghiệp không thuộc đối tượng áp dụng cũng không thể coi luật này là “chuyện của người khác”.

5. Những việc cần chuẩn bị ngay từ bây giờ từ góc độ hệ thống ứng phó sự cố

Dựa trên những điều đã nêu ở trên, chúng tôi sẽ tổng hợp 5 điều cần chuẩn bị từ góc độ ứng phó với sự cố.

(1) Kết nối sổ đăng ký tài sản với hồ sơ sự cố
Tiến hành kiểm kê và lập sổ đăng ký đối với các thiết bị có thể thuộc diện “máy tính điện tử quan trọng được chỉ định” (thiết bị biên, nền tảng xác thực, hệ thống kiểm soát truy cập). Trên cơ sở đó, đảm bảo có thể ngay lập tức xác định “tài sản nào đã được đăng ký bị ảnh hưởng” khi xảy ra sự cố. Bởi vì đây là một hệ thống thống nhất, trong đó việc đăng ký và báo cáo sự cố đều tham chiếu đến cùng một sổ đăng ký.

(2) Lập thành văn bản định nghĩa về “việc nhận biết” và các tiêu chí phân loại mức độ khẩn cấp
Cần xác định cụ thể loại cảnh báo và mức độ báo cáo nào được coi là “việc nhận biết”. Cần đảm bảo sự thống nhất giữa các tiêu chí báo cáo lên cấp trên và nghĩa vụ báo cáo với các đơn vị được ủy thác như SOC, MDR, v.v., cả ở cấp độ hợp đồng lẫn cấp độ vận hành.

(3) Áp dụng phương thức vận hành nhằm lưu giữ dòng thời gian như một sản phẩm phụ của quá trình ứng phó
Ghi chép theo trình tự thời gian thời điểm phát hiện, thời điểm nhận thức, các quyết định và các biện pháp đã thực hiện. Thay vì làm tăng thêm công việc chỉ nhằm mục đích báo cáo, cần thiết lập cơ chế (công cụ, mẫu biểu) để bản ghi chép về quá trình ứng phó chính là tài liệu báo cáo. Lý do NIS2 đặc biệt nhấn mạnh rằng “không được để nguồn lực ứng phó sự cố bị phân tán vì nghĩa vụ báo cáo” là bởi vì tình trạng này thường hay xảy ra.

(4) Tích hợp báo cáo cho cơ quan chức năng vào cơ cấu chỉ huy xử lý sự cố
Ai sẽ xác định nội dung báo cáo và ai sẽ liên lạc với các bộ, ngành có thẩm quyền? Cần nêu rõ vai trò “xử lý với cơ quan chức năng” trong quy trình báo cáo lên cấp trên, bao gồm các bộ phận Truyền thông, Pháp chế và Ban lãnh đạo. Cần đưa quy trình báo cáo vào kịch bản của các buổi diễn tập (diễn tập trên giấy).

(5) Thiết kế quy trình báo cáo với đơn vị được ủy thác và các công ty trong tập đoàn
Nếu công ty là nhà cung cấp hạ tầng cốt lõi, cần quy định rõ trong hợp đồng nghĩa vụ và thời hạn thông báo sự cố từ đơn vị được ủy thác vận hành hệ thống. Nếu công ty là nhà cung cấp dịch vụ, cần xây dựng cơ chế để có thể cung cấp thông tin (thiết bị bị ảnh hưởng, thông tin về kỹ thuật tấn công) hỗ trợ nghĩa vụ báo cáo của khách hàng trong thời hạn quy định.

Lời kết: Bộ luật này là “Bộ luật về hồ sơ”

Dù Luật Tăng cường Năng lực Ứng phó An ninh Mạng mang một khẩu hiệu hoành tráng là “phòng thủ mạng chủ động”, nhưng từ góc độ thực tiễn doanh nghiệp, bản chất của luật này là yêu cầu tăng cường tính minh bạch và hệ thống hóa trong việc ứng phó với các sự cố.

Có những tài sản nào (thông báo). Khi nào nhận thức được điều gì (yếu tố kích hoạt báo cáo). Đã ứng phó như thế nào và đã nắm được những thông tin gì (báo cáo và chia sẻ thông tin). Điểm chung của tất cả những điều này chính là “vừa ứng phó vừa lưu lại hồ sơ có thể kiểm chứng được”.

Và đây cũng chính là điều mà các đội ứng phó sự cố xuất sắc đã làm từ lâu, ngay cả khi chưa có luật. Có thể nói rằng việc luật này có hiệu lực vào tháng 10 năm 2026 sẽ là một bước ngoặt, khi sự khác biệt giữa các tổ chức có kỷ luật và những tổ chức không có kỷ luật sẽ trở nên rõ ràng từ bên ngoài dưới hình thức tuân thủ pháp luật.

Tham khảo (Thông tin sơ cấp · Nguồn chính)

• Văn phòng Nội các: “Về Luật Tăng cường Năng lực Ứng phó An ninh Mạng và Luật Hoàn thiện Luật này” (Văn phòng Điều phối An ninh Mạng Quốc gia)

• Chiến lược an ninh mạng (Quyết định của Hội đồng Nội các ngày 23 tháng 12 năm Reiwa 7)

• Văn phòng Luật sư Mori, Hamada & Matsumoto: “Các động thái hướng tới việc tập trung hóa việc báo cáo các sự cố an ninh”

• Nikkei CrossTech: “Luật Tăng cường Năng lực Ứng phó với Các Mối đe dọa Mạng sẽ có hiệu lực vào tháng 10, có nguy cơ bị loại khỏi danh sách đối tác”

• PwC: “Tác động đối với các nhà khai thác cơ sở hạ tầng then chốt khi áp dụng biện pháp phòng thủ mạng chủ động (Phần 1)”

• PwC “ Tác động đối với các nhà khai thác hạ tầng cốt lõi do việc triển khai hệ thống phòng thủ mạng chủ động (Phần 2) ”

• Chỉ thị NIS2 của EU (Chỉ thị (EU) 2022/2555)