An ninh mạng cho các hệ thống trọng yếu

Vấn đề

Hệ thống trọng yếu là những hệ thống mà khi ngừng hoạt động sẽ ảnh hưởng trực tiếp đến đời sống xã hội, kinh tế và an ninh quốc gia. Việt Nam đã đối mặt với rủi ro này trên thực tế:

VNDirect (3/2024): dữ liệu bị mã hóa toàn bộ, giao dịch chứng khoán gián đoạn một tuần.
PVOIL (4/2024): hệ thống hóa đơn tê liệt, chuỗi cung ứng xăng dầu bị ách lại; phục hồi hoàn toàn mất khoảng một tuần.
Bưu điện Việt Nam (6/2024): mã độc tống tiền làm gián đoạn dịch vụ bưu chính toàn mạng lưới.

Năm 2025, các hệ thống thông tin tại Việt Nam ghi nhận khoảng 552.000 cuộc tấn công; số vụ giảm gần 20% nhưng tỷ lệ tổ chức bị thiệt hại tăng lên 52,3%. Gần một nửa số tổ chức được khảo sát không có nhân sự an ninh mạng.

Trên thế giới, xu hướng đã chuyển từ tấn công kiếm tiền sang tấn công có mục đích chiến lược: mất điện diện rộng tại Ukraine (2015, hơn 230.000 người), Colonial Pipeline ngừng 6 ngày làm gián đoạn 45% nguồn nhiên liệu Bờ Đông Mỹ (2021), và nhóm Volt Typhoon ẩn mình ít nhất 5 năm trong hệ thống viễn thông, năng lượng, nước của Mỹ để chờ thời điểm phá hoại (cảnh báo 2024).

Khung pháp lý: Việt Nam và thế giới

Việt Nam: Luật An ninh mạng 2018 định nghĩa “hệ thống thông tin quan trọng về an ninh quốc gia” theo hậu quả khi bị xâm phạm, bao gồm các hệ thống quốc gia về năng lượng, tài chính, ngân hàng, viễn thông, giao thông, y tế và hệ thống điều khiển tự động tại công trình quan trọng. Song song, Luật An toàn thông tin mạng 2015 phân loại hệ thống theo 5 cấp độ. Hai khung, hai cơ quan quản lý.
Úc: Đạo luật SOCI 2018 bao phủ 11 ngành, 22 loại tài sản, mở rộng sang thực phẩm, giáo dục đại học, trung tâm dữ liệu, công nghệ vũ trụ.
Hoa Kỳ: 16 ngành hạ tầng trọng yếu.
EU: 18 ngành theo Chỉ thị NIS2.

Điểm chung: xác định “trọng yếu” theo hậu quả, không theo công nghệ.

Điểm khác: phạm vi bảo vệ của Việt Nam hẹp hơn và quản lý phân tán hơn.

Hướng nghiên cứu

Kỹ thuật

Kiến trúc phân vùng và kiểm soát truy cập cho hệ thống IT/OT hội tụ.
Giám sát, phát hiện bất thường trong hệ thống điều khiển công nghiệp (ICS/SCADA) không thể dừng để vá.
Bảo vệ dữ liệu và an toàn chuỗi cung ứng phần mềm.
Ứng cứu và phục hồi sau sự cố trong điều kiện hạ tầng cũ, nguồn lực hạn chế.

Chính sách và quản trị

Tiêu chí nhận diện, phân cấp hệ thống trọng yếu và cơ chế cập nhật danh mục.
Phân định trách nhiệm, nghĩa vụ báo cáo sự cố và chia sẻ thông tin đe dọa giữa Nhà nước và đơn vị vận hành.
Chính sách phát triển và giữ chân nhân lực an ninh mạng cho khu vực công.
Đối chiếu có chọn lọc với mô hình Úc, Hoa Kỳ, EU để đề xuất phù hợp điều kiện Việt Nam.

Hoạt động thực tiễn

Tư vấn tuân thủ PCI DSS (2021–2025) cho các ngân hàng và tổ chức tài chính lớn tại Việt Nam: đánh giá hiện trạng, xây dựng lộ trình tuân thủ và hỗ trợ triển khai các kiểm soát bảo vệ dữ liệu thẻ thanh toán theo chuẩn quốc tế.
Đánh giá ISO/IEC 27001 (2021–2025) cho các tổ chức tại Việt Nam: đánh giá hệ thống quản lý an toàn thông tin, xác định rủi ro và khoảng trống kiểm soát so với tiêu chuẩn.
Thực tập tại Cyber Lab, Adelaide University (Úc): làm việc với các kịch bản tấn công – phòng thủ trên hệ thống mô phỏng hạ tầng trọng yếu.
Locked Shields Partners Run 2025: phiên dành cho đối tác của Locked Shields – diễn tập phòng thủ mạng thực chiến lớn nhất thế giới do Trung tâm Hợp tác Phòng thủ mạng NATO (CCDCOE) tổ chức. Nội dung: bảo vệ hệ thống của một quốc gia giả định (điện, viễn thông, tài chính, chỉ huy) dưới tấn công liên tục, kết hợp xử lý tình huống pháp lý, truyền thông và ra quyết định cấp chiến lược.

Mục tiêu

Đưa ra các đề xuất kỹ thuật và chính sách khả thi cho Việt Nam: hệ thống trọng yếu được xác định rõ, có người chịu trách nhiệm, có năng lực phòng thủ và duy trì hoạt động khi bị tấn công.

(*) Số liệu cập nhật đến 10/2026. Nguồn: Luật An ninh mạng 2018; Hiệp hội An ninh mạng quốc gia (1/2026); ASD Annual Cyber Threat Report 2024–25; CISA; CCDCOE.