Cách ứng phó với sự cố thay đổi mạnh mẽ theo Luật Tăng cường Năng lực Ứng phó An ninh Mạng — Những biện pháp chuẩn bị cần thiết tại hiện trường vận hành hệ thống là gì? [Báo cáo buổi hội thảo của CTC System Management]

Vào ngày 15 tháng 9 năm 2026, ông Takaaki Kanetsuki, Giám đốc điều hành của công ty chúng tôi, đã tham gia với tư cách diễn giả tại buổi hội thảo nội bộ của Công ty CTC System Management. Chủ đề của buổi hội thảo là “Luật Tăng cường Năng lực Ứng phó với Các mối đe dọa An ninh Mạng”, với các quy định chính sẽ có hiệu lực từ ngày 1 tháng 10 năm 2026.

Theo luật này, không chỉ các doanh nghiệp cơ sở hạ tầng xã hội cụ thể – những đối tượng trực tiếp chịu sự điều chỉnh của luật – mà cả các công ty CNTT hỗ trợ việc phát triển và vận hành hệ thống của họ cũng được dự báo sẽ chịu tác động lớn trên thực tiễn. Do đó, bài viết này sẽ giới thiệu, dựa trên nội dung bài thuyết trình, về những thay đổi trong việc ứng phó sự cố khi luật có hiệu lực, các công việc chuẩn bị mà các công ty hệ thống cần ưu tiên thực hiện, cũng như vai trò của “Incident Lake” trong việc hỗ trợ giải quyết các thách thức tại hiện trường.

Các công ty công nghệ thông tin cũng không thể đứng ngoài cuộc ~ Tác động của Luật Tăng cường Năng lực Ứng phó với các Mối đe dọa mạng

Trong các bài báo liên quan đến Luật Tăng cường Năng lực Ứng phó An ninh Mạng, sự chú ý đang tập trung vào “phòng thủ mạng chủ động”, bao gồm việc thu thập thông tin liên lạc và vô hiệu hóa máy chủ phát động tấn công. Tuy nhiên, ông Kanetsuki chỉ ra rằng, yếu tố có ảnh hưởng lớn đến hoạt động thực tiễn của các doanh nghiệp tư nhân lại chính là phần “hợp tác công-tư”.

Có hai thay đổi cụ thể. Thứ nhất là việc khai báo tài sản thông tin trở thành nghĩa vụ bắt buộc. Các doanh nghiệp phải khai báo với Nhà nước về các loại tài sản thông tin mà mình đang sở hữu, cũng như những tài sản nào trong số đó được coi là quan trọng. Ngoài ra, nếu có thay đổi về nội dung khai báo, doanh nghiệp phải tiến hành khai báo lại.

Tiếp theo là nghĩa vụ báo cáo dựa trên thời điểm nhận thức được sự cố. Trước đây, đối với các sự cố như tấn công DDoS hay phần mềm tống tiền, việc báo cáo chủ yếu được thực hiện sau khi xác định được thiệt hại.Tuy nhiên, từ nay trở đi, nghĩa vụ báo cáo sẽ phát sinh ngay từ “thời điểm nhận thức được khả năng xảy ra sự cố”. Ngoài ra, trước đây, mẫu báo cáo sự cố và tiêu chuẩn báo cáo được giao cho từng công ty và từng đội tự quyết định. Tuy nhiên, sau khi luật này có hiệu lực, các doanh nghiệp thuộc đối tượng điều chỉnh sẽ có nghĩa vụ báo cáo ngay từ thời điểm nhận thức được các cuộc tấn công DDoS hoặc ransomware. Mẫu báo cáo cũng đã được quy định cụ thể, và các doanh nghiệp phải báo cáo theo mẫu quy định trong vòng vài ngày kể từ khi nhận thức được sự cố.

“Các doanh nghiệp cơ sở hạ tầng xã hội cụ thể” thuộc phạm vi điều chỉnh trực tiếp của luật này chỉ giới hạn ở 258 doanh nghiệp trên toàn quốc, bao gồm các lĩnh vực điện, nước, khí đốt, viễn thông, tài chính, đường sắt, v.v., vốn là nền tảng hỗ trợ đời sống người dân và hoạt động kinh tế. Tuy nhiên, hệ thống của các doanh nghiệp này không thể vận hành chỉ dựa vào một công ty duy nhất.Khi các doanh nghiệp cơ sở hạ tầng quan trọng phải thực hiện nghĩa vụ thông báo và báo cáo theo quy định pháp luật, thì tất nhiên các công ty hệ thống được ủy thác phụ trách công tác CNTT cũng sẽ phải tuân thủ các tiêu chuẩn tương đương trong vận hành và cung cấp thông tin kịp thời. Hơn nữa, trong các cuộc tấn công chuỗi cung ứng, các đối tác có hệ thống bảo mật tương đối yếu có nguy cơ bị lợi dụng làm bàn đạp để xâm nhập. Như vậy, luật này sẽ mang lại tác động lớn đối với các doanh nghiệp CNTT phụ trách phát triển và vận hành hệ thống. Ngoài ra, ông Kanetsuki cũng chỉ ra khả năng phạm vi áp dụng của luật này sẽ được mở rộng trong tương lai.Việc rà soát lại hệ thống dự kiến sẽ được thực hiện sau 3 năm kể từ khi luật có hiệu lực; và dựa trên thông lệ sửa đổi luật trong quá khứ, việc phạm vi áp dụng được mở rộng sang các doanh nghiệp tư nhân có quy mô từ một mức nhất định trở lên là hoàn toàn có thể xảy ra. Do đó, ông Kanetsuki nhấn mạnh rằng ngay cả khi hiện tại chưa trực tiếp nằm trong phạm vi áp dụng, các doanh nghiệp cũng cần sớm tìm hiểu và chuẩn bị cho hệ thống này.

Các doanh nghiệp vi phạm có thể phải chịu hình phạt hình sự! Các biện pháp thực tiễn mà các công ty công nghệ thông tin cần ưu tiên thực hiện là gì?

Từ đây, chúng tôi sẽ giải thích những thay đổi trong từng giai đoạn “Chuẩn bị”, “Phát hiện và ứng phó”, “Kiểm soát và khôi phục” và “Hoạt động sau sự cố” theo chu trình ứng phó sự cố.

1. Chuẩn bị

Nghĩa vụ đầu tiên là việc khai báo tài sản. Các doanh nghiệp thuộc đối tượng áp dụng phải khai báo với Bộ trưởng phụ trách cơ quan quản lý địa phương về cấu hình máy chủ cũng như tên sản phẩm, mã model của các thiết bị đang được sử dụng trong cơ sở dữ liệu. Việc khai báo không chỉ cần thực hiện khi lắp đặt mà còn khi có thay đổi.Theo biện pháp chuyển tiếp, đối với thiết bị đã được lắp đặt tại thời điểm luật có hiệu lực, thời hạn đăng ký là đến ngày 31 tháng 3 năm 2027; đối với trường hợp lắp đặt mới hoặc thay đổi, nguyên tắc là phải đăng ký trong vòng 4 tháng. Nếu vi phạm, doanh nghiệp sẽ bị yêu cầu khắc phục; nếu không tuân thủ, sẽ bị phạt tiền không quá 2 triệu yên. Điểm quan trọng là đây là nghĩa vụ pháp lý kèm theo hình phạt hình sự, và việc vi phạm có thể gây ra rủi ro danh tiếng (tổn hại do tin đồn) cho doanh nghiệp.

Không chỉ các hệ thống cốt lõi mới thuộc đối tượng phải khai báo. Các thiết bị như tường lửa, thiết bị VPN, máy chủ xác thực và chìa khóa vật lý cũng nằm trong phạm vi áp dụng rộng rãi. Cần phải thực hiện việc lập sổ đăng ký đầy đủ các tài sản thông tin này và duy trì thông tin luôn được cập nhật mới nhất.

Trong trường hợp nhiều công ty cùng chia sẻ việc quản lý hệ thống, việc nắm bắt bức tranh tổng thể cũng trở thành một thách thức. Chẳng hạn, nếu Công ty A phụ trách cơ sở dữ liệu quản lý khách hàng, còn Công ty B phụ trách cơ sở dữ liệu quản lý hàng tồn kho, thì dù đã nắm rõ cấu trúc riêng lẻ của từng hệ thống, mối quan hệ phụ thuộc giữa các hệ thống vẫn có thể bị bỏ qua. Để kê khai tài sản một cách chính xác, cả bên doanh nghiệp lẫn bên nhận ủy thác đều cần phải nắm bắt và quản lý toàn bộ hệ thống, bao gồm cả những mối quan hệ phụ thuộc này.

2. Phát hiện và phân tích

Thay đổi lớn nhất ở giai đoạn phát hiện và phân tích là thời điểm bắt đầu nghĩa vụ báo cáo. Theo Luật Tăng cường Năng lực Ứng phó với Các mối đe dọa Mạng, nghĩa vụ báo cáo phát sinh ngay từ thời điểm nhận thức được sự cố, chứ không phải khi xác định được thiệt hại hay hoàn tất cuộc điều tra. Do đó, ngay cả ở giai đoạn chưa xác nhận được thiệt hại thực tế, sự cố đó vẫn có thể thuộc đối tượng phải báo cáo.

Quá trình ứng phó sự cố bắt đầu từ khi có cảnh báo.Sau đó, tiến hành phân loại (triage) để xác định đó là sự cố hay chỉ là cảnh báo sai. Nếu tại thời điểm này nhận thấy khả năng cao là đã xảy ra sự cố, quá trình xử lý sự cố chính thức sẽ bắt đầu, đồng thời nghĩa vụ báo cáo theo quy định pháp luật cũng phát sinh. Tuy nhiên, cũng có những trường hợp như phần mềm tống tiền (ransomware) không phát ra cảnh báo rõ ràng, mà phải đến vài tháng sau mới phát hiện ra việc xâm nhập thông qua hiện tượng hệ thống chậm chạp hoặc các dấu vết đáng ngờ. Trong trường hợp này, thời hạn báo cáo sẽ bắt đầu tính từ thời điểm phát hiện sự bất thường.

Trước đây, không ít tổ chức đã thiết lập quy trình tập trung vào các biện pháp ứng phó sau khi phân loại bệnh nhân, đồng thời giao việc đưa ra quyết định ban đầu cho một số cá nhân cụ thể. Trong tương lai, việc thiết lập một cơ chế để thực hiện phân loại bệnh nhân một cách nhanh chóng và theo các tiêu chuẩn nhất quán, đồng thời có thể ghi chép lại các quyết định đó sẽ trở nên rất quan trọng.

Điều cần lưu ý là trường hợp tiêu chuẩn “nhận định” giữa đơn vị được ủy thác (như SOC – Trung tâm Vận hành An ninh hoặc MDR – Dịch vụ Phát hiện và Ứng phó Quản lý) và doanh nghiệp có sự khác biệt. Ngay cả khi đơn vị được ủy thác đánh giá rằng cần theo dõi thêm, bên phải chịu trách nhiệm báo cáo vẫn là doanh nghiệp, và sự chậm trễ trong việc chia sẻ thông tin có thể dẫn đến việc bỏ sót hoặc chậm trễ trong báo cáo. Đặc biệt, trong các dự án quy mô lớn có sự tham gia của nhiều công ty, rủi ro này càng gia tăng. Do đó, bên nhận ủy thác vận hành cần phải thống nhất tiêu chuẩn nhận định với khách hàng.Hơn nữa, cần thiết lập cơ chế cho phép chia sẻ kịp thời các dấu hiệu quan trọng ngay cả khi quá trình điều tra chưa hoàn tất, cả về mặt hợp đồng lẫn vận hành.

3. Kiểm soát và khắc phục hậu quả

Trong giai đoạn ngăn chặn và khôi phục, cần phải lường trước không chỉ các trường hợp liên quan đến chính công ty mình mà còn cả những trường hợp đối tác kinh doanh trở thành bàn đạp cho các cuộc tấn công. Ngay cả những doanh nghiệp không trực tiếp thuộc đối tượng điều chỉnh của quy định, nếu có khả năng gây ảnh hưởng đến các nhà cung cấp hạ tầng cốt lõi thông qua chuỗi cung ứng, thì trong tương lai họ cũng có thể bị yêu cầu thực hiện các biện pháp như báo cáo.

4. Hoạt động sau sự kiện

Ngay cả trong các hoạt động sau sự cố, cách thức tiến hành công việc cũng sẽ thay đổi. Trong báo cáo, cần phải tổng hợp các thông tin như tóm tắt vụ việc, diễn biến sự cố, các thiết bị bị ảnh hưởng, tình trạng hoạt động của hệ thống, cũng như thông tin kỹ thuật liên quan đến cuộc tấn công. Trong số đó, việc xác định phạm vi ảnh hưởng và dòng thời gian là công việc tốn nhiều công sức nhất.

Nếu thông tin bị phân tán trong các chuỗi thảo luận trên Slack hay Teams, ghi chú cá nhân hay các phiếu yêu cầu hỗ trợ, bạn sẽ phải vừa xử lý sự cố vừa thu thập lại tài liệu để lập báo cáo. Ngược lại, nếu bạn tổng hợp các thông tin như thời điểm phát hiện, thời điểm nhận biết, quyết định, biện pháp xử lý, phạm vi ảnh hưởng… ngay trong quá trình xử lý sự cố, thì chỉ cần sắp xếp lại các ghi chép đó là có thể hoàn thành báo cáo.

Những hồ sơ này không chỉ nhằm mục đích tuân thủ pháp luật. Nếu có thể tra cứu các quyết định và quy trình trong quá khứ khi xảy ra sự cố tương tự, điều này sẽ góp phần đẩy nhanh quá trình khống chế và khôi phục hệ thống. Nói cách khác, báo cáo không phải là thứ được lập một cách hình thức sau khi việc xử lý đã hoàn tất. Cần phải ghi chép lại trong quá trình xử lý sự cố, biến chúng thành tài sản có thể sử dụng cho các lần xử lý tiếp theo và công tác phòng ngừa tái diễn.

Ưu tiên hàng đầu là rà soát hồ sơ sự cố và lập thành văn bản các tiêu chí phân loại sự cố

Tất cả các biện pháp tuân thủ pháp luật này đều cần thiết, nhưng việc hoàn thiện tất cả cùng một lúc không phải là điều dễ dàng. Do đó, Kanetsuki đã thu hẹp các công việc chuẩn bị mà doanh nghiệp cần ưu tiên hàng đầu xuống còn hai điểm sau đây.

(1) Kết nối sổ đăng ký tài sản với hồ sơ sự cố
Nếu hồ sơ sự cố trong quá khứ chỉ còn lại một cách rời rạc, trước tiên cần tiến hành rà soát để sắp xếp xem sự cố nào đã xảy ra với tài sản thông tin nào

(2) Lập thành văn bản định nghĩa về “nhận thức” và các tiêu chí phân loại
Xây dựng cơ chế để bất kỳ ai cũng có thể đưa ra quyết định dựa trên các tiêu chí nhất định, mà không phụ thuộc vào một cá nhân cụ thể nào

Trước tiên, sau khi ưu tiên giải quyết những vấn đề này, ông Kanetsuki khuyến nghị nên dành khoảng một năm tới để giải quyết các vấn đề sau đây.

(3) Tự động lưu lại tiến trình xử lý
Ngay cả khi người thực hiện cố gắng ghi chép trong quá trình xử lý, các thông tin như thời điểm phát hiện, thời điểm nhận thức và quyết định đã được đưa ra như thế nào vẫn dễ bị bỏ sót; do đó, việc tự động hóa tối đa là rất quan trọng

(4) Tích hợp báo cáo của cơ quan chức năng vào cơ cấu chỉ huy xử lý sự cố và các hoạt động huấn luyện

(5) Thiết kế quy trình báo cáo với các đơn vị được ủy thác và các công ty trong tập đoàn, cả về mặt hợp đồng lẫn vận hành

Tại sao việc tự động hóa việc ghi chép sự cố lại quan trọng?

Hiện nay, trong việc báo cáo sự cố, không ít trường hợp các công ty hay bộ phận sử dụng các mẫu báo cáo riêng, và chưa có tiêu chuẩn rõ ràng về các mục cần ghi, mức độ chi tiết của thông tin cũng như tốc độ xử lý. Tuy nhiên, trong tương lai, việc báo cáo sẽ phải tuân theo mẫu do Nhà nước quy định. Đặc biệt, hai yếu tố quan trọng nhất là “phạm vi ảnh hưởng” và “dòng thời gian”.

Về phạm vi ảnh hưởng, cần nêu rõ trong số các tài sản quan trọng đã được khai báo, phạm vi nào đã bị ảnh hưởng. Về dòng thời gian, cần ghi chép rõ ai đã phát hiện sự cố vào thời điểm nào và đã thực hiện các biện pháp ứng phó như thế nào. Thời gian để báo cáo cũng cần được tính từ thời điểm phát hiện sự cố. Trong trường hợp phần mềm tống tiền (ransomware), cần báo cáo trong vòng 3 đến 5 ngày kể từ khi phát hiện; còn trong trường hợp tấn công DDoS, cần báo cáo càng sớm càng tốt. Ngoài ra, sau khi nộp báo cáo sơ bộ, cũng cần nộp báo cáo chi tiết trong vòng 30 ngày.

Điểm cần lưu ý ở đây là việc xử lý sự cố trong các ngày nghỉ lễ hoặc kỳ nghỉ dài. Ví dụ, nếu một sự cố xảy ra vào nửa đêm ngay trước kỳ nghỉ lễ liên tiếp, và việc xử lý kéo dài hoặc báo cáo bị chậm trễ, thì chỉ riêng điều đó cũng có thể khiến thời hạn bị vượt quá. Do đó, cần phải có một cơ chế đảm bảo việc ghi chép không bị gián đoạn ngay cả vào ban đêm hay trong các kỳ nghỉ dài.

Tuy nhiên, dù đã nhận thức được tầm quan trọng của việc lưu giữ hồ sơ và sự cần thiết phải phối hợp với các cơ quan chức năng, việc cụ thể sẽ xử lý như thế nào lại là một vấn đề khác. Khi nhìn vào thực tế tại hiện trường, công tác ứng phó sự cố vẫn còn vướng phải một vấn đề sâu xa là sự phụ thuộc vào cá nhân.

Theo kết quả khảo sát thực trạng do SIGQ thực hiện vào năm 2026, 72% các hoạt động ứng phó sự cố phụ thuộc vào một cá nhân cụ thể, và 89% tổ chức nhận thức rằng việc nhân sự chủ chốt rời đi là một rủi ro kinh doanh. Trong bối cảnh đó, nếu để tình trạng các ghi chép bị phân tán trong các cuộc trò chuyện hay ghi chú cá nhân diễn ra mà không được xử lý, thì việc mất đi các ghi chép về ai đã đưa ra quyết định gì và đã thực hiện các biện pháp ứng phó như thế nào là điều tất yếu.

Incident Lake: Hệ thống hóa việc “ghi chép trong khi xử lý sự cố”

Để giải quyết những thách thức này, SIGQ cung cấp nền tảng ứng phó sự cố “Incident Lake”. Incident Lake không thay thế các công cụ giám sát vận hành mà các nhân viên tại hiện trường đã quen sử dụng, mà hỗ trợ việc ứng phó sự cố bằng cách tích hợp thêm “lớp AI” lên trên các công cụ đó, từ đó tận dụng tối đa quy trình làm việc hiện có.

Cụ thể, các tác nhân AI sẽ tích hợp trực tiếp với các nền tảng trò chuyện như Teams hay Slack để tự động tổng hợp các trao đổi liên quan đến việc xử lý sự cố. Hệ thống không chỉ ghi lại theo trình tự thời gian thời điểm phát hiện và nhận diện sự cố, các quyết định sau đó cũng như các biện pháp đã thực hiện, mà AI còn sắp xếp một cách toàn diện các thông tin phân tán trên các nền tảng trò chuyện và công cụ nội bộ, từ đó tóm tắt tình hình hiện tại. Ngoài ra, thông qua việc tích hợp với cơ sở dữ liệu quản lý cấu hình, hệ thống còn hỗ trợ xác định phạm vi ảnh hưởng.Các mối quan hệ phụ thuộc giữa các phiên bản và hệ thống được hiển thị dưới dạng sơ đồ, giúp nhanh chóng nắm bắt được mức độ ảnh hưởng đối với các tài sản quan trọng đã được báo cáo khi sự cố xảy ra. Hơn nữa, AI còn hỗ trợ việc phân loại mức độ nghiêm trọng và lựa chọn người phụ trách – những công việc thường dễ bị phụ thuộc vào cá nhân trong quá trình xử lý sự cố.Ngoài việc hỗ trợ đánh giá mức độ nghiêm trọng – vốn dễ có sự khác biệt tùy theo từng người – hệ thống còn phân tích dữ liệu lịch sử được lưu trữ trong các công cụ giám sát vận hành khác, từ đó đề xuất nhân viên có kinh nghiệm xử lý tình huống tương tự, đồng thời đưa ra các sự cố tương tự cùng giải pháp khắc phục.

Về việc lập báo cáo, chúng tôi cũng đã chuẩn bị các mẫu phù hợp với các mục bắt buộc được quy định trong Luật Tăng cường Năng lực Ứng phó với Các mối đe dọa Mạng. Cơ chế này cho phép phản ứng nhanh chóng ngay cả khi người phụ trách đang nghỉ phép hoặc vắng mặt, thông qua việc trợ lý AI tổng hợp tình hình, đề xuất phương án ứng phó và soạn thảo bản nháp báo cáo, sau đó con người sẽ xem xét và phê duyệt nội dung đó.

Các hồ sơ có thể kiểm chứng là nền tảng cho sự duy trì hoạt động và uy tín của doanh nghiệp

Cuối cùng, ông Kanetsuki đã tổng kết rằng việc thực hiện Luật Tăng cường Năng lực Ứng phó với Các sự cố An ninh Mạng không nên chỉ dừng lại ở việc tuân thủ pháp luật, mà cần phải biến đây thành cơ hội để xóa bỏ tình trạng phụ thuộc vào cá nhân trong việc ứng phó với sự cố và nâng cao năng lực ứng phó của toàn tổ chức.

Trong khi tiến hành xử lý các sự cố, cần thiết lập một cơ chế để tự động lưu lại quá trình đó dưới dạng hồ sơ có thể kiểm chứng được. Điều này không chỉ giúp tuân thủ pháp luật mà còn góp phần bảo vệ tính liên tục của hoạt động kinh doanh và niềm tin của xã hội đối với doanh nghiệp, đồng thời nâng cao mức độ an ninh cho toàn bộ chuỗi cung ứng.