Vào năm 2026, an ninh dữ liệu doanh nghiệp không còn là vấn đề có thể hoãn lại đến khi “có thời gian” nữa. Tại Ý, nửa đầu năm 2025 đã ghi nhận 2.755 vụ tấn công mạng, con số cao nhất từ trước đến nay, tăng 36% so với cuối năm 2024; hơn nữa, khoảng một phần năm tổng số vụ tấn công được thống kê từ năm 2020 đã tập trung chỉ trong sáu tháng đầu năm 2025, theo báo cáo cập nhật của Clusit được trích dẫn vào năm 2025 (nguồn). Đối với nhiều doanh nghiệp vừa và nhỏ, điều này thay đổi cách nhìn nhận: vấn đề không chỉ là có phần mềm diệt virus và bản sao lưu, mà còn là khả năng nhận diện các tín hiệu yếu, sự bất thường và các hoạt động truy cập không phù hợp trước khi thiệt hại trở nên nghiêm trọng.
Tin tốt là nền tảng ban đầu đã tồn tại ở nhiều doanh nghiệp. Năm 2022, 74,4% doanh nghiệp Ý có ít nhất 10 nhân viên đã áp dụng ít nhất ba biện pháp bảo mật CNTT, mức này tương đương với mức trung bình của EU (74,0%) (ISTAT). Vấn đề là việc áp dụng rộng rãi các biện pháp này không đồng nghĩa với việc bảo vệ toàn diện. Nếu các biện pháp kiểm soát vẫn được thực hiện riêng rẽ, dữ liệu sẽ bị rò rỉ qua các tệp tin cục bộ, đám mây, email, thiết bị cá nhân và các quyền truy cập bị bỏ quên. Đây chính là lúc cần áp dụng một cách tiếp cận thực tiễn hơn, tập trung vào vòng đời của dữ liệu và việc giám sát liên tục, chứ không chỉ dừng lại ở việc phòng ngừa.
Con số hữu ích nhất cần ghi nhớ là: 2.755 vụ tấn công mạng tại Ý trong nửa đầu năm 2025, mức cao nhất từng được ghi nhận, tăng 36% so với cuối năm 2024. Đối với một doanh nghiệp vừa và nhỏ, thông điệp ở đây không phải là sống trong hoảng loạn. Vấn đề là cần xem rủi ro mạng như một phần không thể thiếu trong hoạt động kinh doanh, ngang hàng với việc đảm bảo tính liên tục của hệ thống quản lý hay tính sẵn sàng của dịch vụ email.
Nhiều doanh nghiệp Ý đã có các biện pháp kiểm soát cơ bản, nhưng thường triển khai chúng một cách thiếu hệ thống. Tường lửa không thể bảo vệ một tệp tin được chia sẻ không đúng cách, bản sao lưu không thể bảo vệ một tài khoản có quyền truy cập quá mức, và phần mềm diệt virus không thể khắc phục lỗi cấu hình trên đám mây. Kết quả là hệ thống phòng thủ trông có vẻ hoàn chỉnh trên giấy tờ, nhưng lại để lộ những lỗ hổng xâm nhập rất cụ thể.
An ninh thường thất bại không phải do thiếu công cụ, mà do thiếu sự phối hợp giữa các công cụ, con người và quy trình.
Các doanh nghiệp vừa và nhỏ (SME) đặc biệt dễ bị tổn thương khi công việc được phân tán giữa văn phòng, nhà riêng, các chuyên gia tư vấn bên ngoài và các thiết bị cá nhân. Trong những bối cảnh này, cuộc tấn công không cần phải quá tinh vi là đã có thể thành công. Chỉ cần một thông tin đăng nhập bị lấy cắp, một phiên làm việc bị bỏ ngỏ hoặc một tệp tin bị chia sẻ nhầm trong thư mục đám mây là đủ.
Ý tưởng chỉ bảo vệ biên giới mạng không còn phù hợp nữa. Dữ liệu di chuyển, được sao chép và tái sử dụng trên nhiều hệ thống. Chính vì vậy, an ninh dữ liệu doanh nghiệp cần được hiểu là khả năng thu hẹp diện tích tấn công và phát hiện ngay lập tức khi có điều gì đó nằm ngoài quy luật bình thường.
Một tài liệu tham khảo hữu ích, ngay cả đối với những ai đang xem xét các lựa chọn về kiến trúc và tuân thủ, chính là phân tích về NIS2: cơ hội hay rào cản. Bài học thực tiễn ở đây là việc tuân thủ thôi là chưa đủ, bởi vì dữ liệu cần được bảo vệ một cách liên tục, chứ không chỉ đơn thuần là việc ghi chép lại.
Một phần đáng kể các sự cố xuất phát từ một sai sót cơ bản, chứ không phải từ một cuộc tấn công tinh vi. Dữ liệu không được lưu trữ tại cùng một nơi, và cũng không được bảo vệ theo cùng một cách. Một tệp tin được lưu trữ trên máy chủ, một hóa đơn được gửi qua email và một báo cáo đang được mở trong phần mềm quản lý đều đòi hỏi các biện pháp kiểm soát khác nhau, bởi vì chúng khác nhau về mức độ tiếp xúc, phương thức truy cập và khả năng sao chép. Việc phân biệt giữa dữ liệu được lưu trữ, dữ liệu đang được truyền tải và dữ liệu đang được sử dụng vẫn là điểm khởi đầu hữu ích nhất để tránh các biện pháp kiểm soát chung chung, vốn có vẻ chắc chắn nhưng lại có phạm vi bảo vệ hạn chế.
Dữ liệu được lưu trữ là những dữ liệu tĩnh, trên các máy chủ cục bộ, trong các kho lưu trữ đám mây hoặc trong các bản sao lưu. Ở đây, các yếu tố quan trọng bao gồm mã hóa, kiểm soát truy cập và, khi cần thiết, các kỹ thuật như loại bỏ thông tin nhận dạng và mã hóa token (Chương trình Kỹ thuật số). Câu hỏi đúng không chỉ là “chúng ta đã lưu trữ các tệp chưa?”, mà là “ai có thể mở, sao chép hoặc di chuyển chúng mà chúng ta không hay biết?”.
Đối với một doanh nghiệp vừa và nhỏ, điều này thể hiện qua những hành động rất cụ thể, và thường thì sự đánh đổi thực sự nằm ở sự cân bằng giữa tính đơn giản trong vận hành và sự kiểm soát chặt chẽ:
Nếu một kho lưu trữ còn chứa các phiên bản cũ, các tệp xuất ra hoặc tệp đính kèm bị bỏ quên, rủi ro sẽ gia tăng mà không ai hay biết. Trong trường hợp này, việc quản lý “dữ liệu ẩn” (dark data ) cũng quan trọng không kém việc bảo vệ tệp hiện tại.
Dữ liệu đang truyền tải là những dữ liệu di chuyển giữa người dùng, ứng dụng và các địa điểm. Ở đây cần có các giao thức an toàn như SFTP, HTTPS, SSH và TLS (Chương trình Kỹ thuật số). Nếu một doanh nghiệp gửi bảng giá, thông tin khách hàng hoặc tài liệu nhân sự, việc bảo vệ không thể chỉ dừng lại ở máy chủ đích. Nó phải bao quát cả quá trình truyền tải, bởi chính ở đó là nơi tập trung các hành vi đánh cắp dữ liệu, lỗi cấu hình và việc chuyển tiếp dữ liệu không đúng quy định.
Dữ liệu đang được sử dụng là những dữ liệu được mở trong các ứng dụng, trình duyệt và hệ thống quản lý. Trong tình huống này, nguyên tắc “quyền truy cập tối thiểu” (least privilege) đóng vai trò quyết định, bởi nó giới hạn quyền truy cập chỉ dành cho những người dùng được ủy quyền và giảm thiểu tác động của việc tài khoản bị xâm phạm (Chương trình Kỹ thuật số). Nếu một nhân viên kinh doanh nhìn thấy nhiều dữ liệu hơn mức cần thiết, rủi ro đó không chỉ là lý thuyết mà là thực tế, bởi vì mỗi dữ liệu hiển thị thêm đều có thể bị sao chép, xuất ra hoặc chia sẻ.
Quy tắc thực tiễn: nếu bạn không biết dữ liệu đó đang ở trạng thái nào, bạn sẽ không thực sự biết cách bảo vệ nó.
Một cuộc kiểm tra ban đầu hiệu quả là việc xác định ba yếu tố: dữ liệu nằm ở đâu, ai truy cập chúng và các hệ thống nào chuyển dữ liệu đó. Từ đó, những lỗ hổng sẽ ngay lập tức lộ ra, thường xuất hiện nhiều hơn ở các quyền truy cập và luồng dữ liệu hơn là ở phần mềm. Đối với một doanh nghiệp vừa và nhỏ (SME), kết quả hữu ích là rất đơn giản: giảm thiểu rủi ro đối với dữ liệu không thay đổi, giảm bớt các bước không cần thiết trong quá trình truyền tải dữ liệu, và hạn chế quyền truy cập đối với dữ liệu được sử dụng hàng ngày.
Dữ liệu tối (dark data) là những dữ liệu bị lãng quên, trùng lặp hoặc không được sử dụng, tích tụ lại mà không có giá trị vận hành rõ ràng. Nhiều hướng dẫn đề cập đến việc sao lưu và mã hóa, nhưng lại bỏ qua khía cạnh này, bởi vì phạm vi rủi ro thường gia tăng ngay cả trước khi các biện pháp bảo vệ được triển khai. Các tệp xuất cũ, tệp đính kèm, bản sao cục bộ và kho lưu trữ dự án thường bị phân tán ở nhiều nơi, và không ai còn biết chính xác chúng nằm ở đâu hay ai đang sử dụng chúng. TechRadar Italia lưu ý rằng những dữ liệu này cũng có thể bao gồm tài sản trí tuệ và thông tin bí mật nhạy cảm, và việc quản lý chúng đòi hỏi phải hiểu rõ nguồn gốc, quá trình xử lý và cách sử dụng dữ liệu.
Sai lầm phổ biến nhất là tích trữ mọi thứ “để đề phòng”. Trên thực tế, càng lưu trữ nhiều dữ liệu, số lần truy cập tiềm năng, các điểm có thể xảy ra lỗi và chi phí quản trị càng tăng lên. An ninh dữ liệu doanh nghiệp thường được cải thiện khi loại bỏ những gì không còn cần thiết, thay vì chỉ thêm các biện pháp kiểm soát mới.
Đối với một doanh nghiệp vừa và nhỏ, vấn đề không chỉ đơn thuần là sắp xếp lại trật tự. Mà còn là quyết định xem những dữ liệu nào thực sự đáng được giữ lại trên hệ thống trực tuyến, những dữ liệu nào cần chuyển sang kho lưu trữ và những dữ liệu nào phải loại bỏ khỏi các hệ thống đang hoạt động trước khi chúng trở thành vấn đề liên quan đến rủi ro rò rỉ thông tin hoặc tuân thủ quy định.
Hướng dẫn của EDPB dành cho các doanh nghiệp nhỏ nhấn mạnh đến việc giảm thiểu dữ liệu, ẩn danh hóa hoặc làm mờ danh tính, rà soát định kỳ các quyền truy cập và mã hóa (EDPB). Bước thường bị bỏ qua trong các doanh nghiệp là biến những nguyên tắc này thành một quy trình quản lý vòng đời dữ liệu dành cho những dữ liệu ít được sử dụng hoặc bị lãng quên, với các quy tắc rõ ràng về việc lưu giữ, lưu trữ và xóa bỏ.
Một tiêu chí đơn giản sẽ hiệu quả hơn một quy tắc trừu tượng. Nếu một dữ liệu không phục vụ cho một quy trình đang hoạt động, một nghĩa vụ pháp lý hoặc một hoạt động khôi phục cụ thể, thì dữ liệu đó phải được xóa bỏ hoặc lưu trữ theo quy trình có kiểm soát. Ngược lại, nếu dữ liệu đó thực sự cần thiết cho hoạt động kinh doanh, thì cần duy trì dữ liệu đó trong trạng thái hoạt động với trách nhiệm quản lý rõ ràng và được rà soát định kỳ.
Trong các dự án mà tôi phụ trách, cách tiếp cận thực tiễn này giúp tránh được những cuộc tranh luận kéo dài về các tệp “có thể sẽ cần đến”. Khi một thư mục vẫn được mở chỉ vì thói quen, rủi ro không chỉ là lý thuyết. Mỗi bản sao thêm vào đều làm tăng số lượng người có thể xem, xuất hoặc chuyển tiếp nó, và mỗi kho lưu trữ không được quản lý chặt chẽ đều khiến việc xác định vị trí của dữ liệu nhạy cảm trở nên khó khăn hơn.
Bạn có thể sử dụng chuỗi lệnh sau đây:
Ở đây, lợi ích là hai mặt. Bạn vừa giảm thiểu rủi ro bị xâm phạm, vừa đơn giản hóa việc bảo vệ những gì thực sự quan trọng. Các doanh nghiệp vừa và nhỏ thực hiện bước này thường nhận ra rằng một phần của vấn đề không phải là thiếu biện pháp bảo vệ, mà là lượng dữ liệu được để lưu hành mà không có lý do cụ thể.
Một hệ thống bảo mật hiệu quả không đến từ các công cụ rời rạc, mà từ các biện pháp kiểm soát được phối hợp chặt chẽ với nhau. Tại các doanh nghiệp vừa và nhỏ mà tôi đang theo dõi, những biện pháp hữu ích nhất vẫn là những biện pháp tập trung vào tính năng tự động ngắt phiên làm việc, tường lửa và phần mềm diệt virus được cập nhật thường xuyên, sao lưu dữ liệu an toàn, mã định danh duy nhất, thu hồi các quyền truy cập đã hết hạn và kiểm tra định kỳ các hoạt động truy cập. Nguyên tắc này rất đơn giản. Mỗi biện pháp khi được áp dụng riêng lẻ đều có tác dụng, nhưng bước đột phá thực sự chỉ đến khi nó bù đắp được điểm mù của biện pháp kia.
Nguyên tắc “bảo vệ đa tầng” (defense in depth) phát huy hiệu quả khi mỗi tầng bù đắp cho những hạn chế của tầng trước đó. Mã hóa bảo vệ nội dung ngay cả khi một tệp tin thoát ra khỏi phạm vi dự kiến; bản sao lưu giúp khôi phục hệ thống mà không làm gián đoạn hoạt động; DLP hạn chế việc rò rỉ thông tin trái phép; MFA làm giảm nguy cơ lạm dụng thông tin đăng nhập; quản lý quyền truy cập giới hạn các đặc quyền; vàviệc tăng cường bảo mật giúp giảm thiểu các điểm yếu tiếp xúc. Nếu thiếu một trong các lớp này, hệ thống phòng thủ sẽ trở nên dễ bị tổn thương hơn so với vẻ bề ngoài.
Phần thực tiễn nằm ở việc tích hợp, chứ không phải ở danh sách. Tài liệu được trích dẫn trong nguồn nhấn mạnh rằng việc bảo vệ dữ liệu nhạy cảm cần được mở rộng từ môi trường Microsoft 365 sang các dịch vụ SaaS, đám mây và kho lưu trữ cục bộ thông qua phân loại và ngăn chặn rò rỉ dữ liệu (DNCSRL). Đối với một doanh nghiệp vừa và nhỏ, đây là một vấn đề thiết thực, bởi vì hiện nay dữ liệu cần thiết cho công việc không chỉ tồn tại trong một hệ thống duy nhất mà thường được di chuyển giữa các ứng dụng vốn không được thiết kế để trao đổi dữ liệu một cách an toàn.
Giải pháp bảo mật doanh nghiệp Zero Trust chính là chìa khóa giải quyết vấn đề này. Mỗi lần truy cập đều phải được xác thực trong bối cảnh phù hợp, dựa trên danh tính, thiết bị, vị trí và mức độ rủi ro, để quyền truy cập không còn được coi là hợp lệ chỉ vì người đó đã ở trong mạng.
Trong mô hình làm việc kết hợp, vấn đề không chỉ nằm ở việc truy cập từ xa, mà còn ở số lượng thiết bị được sử dụng. Hướng dẫn của EDPB dành cho các doanh nghiệp vừa và nhỏ (SME) đề xuất các chính sách về làm việc từ xa, bảo vệ thiết bị cá nhân, mạng riêng ảo (VPN), tự động khóa phiên làm việc và xóa các quyền truy cập không còn hiệu lực. Đối với nhiều doanh nghiệp, vấn đề cốt lõi nằm ở văn hóa hơn là kỹ thuật. Họ áp dụng các quy tắc được thiết kế cho máy tính tại văn phòng vào một môi trường làm việc phân tán, rồi lại ngạc nhiên khi các biện pháp kiểm soát không phát huy hiệu quả.
Máy tính xách tay cá nhân không nên được coi là một phần mở rộng ngầm định của mạng công ty. Thiết bị này cần được quản lý như một điểm truy cập, với các tiêu chí rõ ràng về mã hóa, cập nhật, quyền truy cập và phân tách các hồ sơ người dùng.
Đối với những ai đang băn khoăn không biết nên bắt đầu từ đâu, ưu tiên hàng đầu không phải là tích lũy các công cụ. Một bản sao lưu được thực hiện đúng cách vẫn có ích, nhưng không thể bù đắp cho việc quản lý quyền truy cập lộn xộn hay các thông tin đăng nhập được giữ lại quá lâu. An ninh dữ liệu doanh nghiệp chỉ thực sự vững chắc khi các biện pháp kiểm soát phối hợp nhịp nhàng với nhau và khi phạm vi bảo vệ bao gồm cả những dữ liệu bị lãng quên – những dữ liệu thường nằm ngoài tầm kiểm soát và tạo ra những rủi ro khó phát hiện nhất.
Trí tuệ nhân tạo thay đổi cách bạn nhìn nhận dữ liệu, bởi vì nó chuyển trọng tâm từ các quy tắc cố định sang hành vi. Điều này đặc biệt có giá trị đối với các doanh nghiệp vừa và nhỏ (SME), bởi các mẫu bất thường thường bị bỏ qua giữa các hoạt động bình thường của người dùng, nhà cung cấp và chuyên gia tư vấn. ELECTE, một nền tảng phân tích dữ liệu dựa trên trí tuệ nhân tạo dành cho các doanh nghiệp vừa và nhỏ, tập trung chính vào phân tích tự động và phát hiện các bất thường – một phương pháp rất phù hợp trong bối cảnh giám sát liên tục.
An ninh truyền thống thường dựa trên các ngưỡng, chữ ký và quy tắc đã biết. Điều này phù hợp với nhiều tình huống, nhưng lại gặp khó khăn khi hành vi thay đổi một cách tinh tế. Ngược lại, một hệ thống trí tuệ nhân tạo (AI) có thể phát hiện các lần truy cập bất thường, khung giờ bất thường, khối lượng hoạt động nằm ngoài mô hình thông thường hoặc các tổ hợp sự kiện mà nếu xem xét riêng lẻ thì có vẻ vô hại.
Giá trị thực tiễn không phải là thay thế đội ngũ CNTT, mà là giúp họ phát hiện vấn đề sớm hơn. Khi dữ liệu đến từ nhiều nguồn khác nhau, như CRM, ERP, đám mây và nhật ký truy cập, việc giám sát thủ công rất dễ trở nên bị động. Trí tuệ nhân tạo (AI) giúp việc chuyển sang phương thức theo dõi liên tục các tín hiệu trở nên dễ dàng hơn.
Đối với một doanh nghiệp vừa và nhỏ, các khoản đầu tư hữu ích thường rất thực tế:
Một phân tích tương tự cũng liên quan chặt chẽ đến vấn đề xử lý các đỉnh và đáy trong dữ liệu, bởi lẽ chính logic giúp phát hiện sự bất thường trong hoạt động kinh doanh cũng có thể giúp nhận diện sự bất thường về an ninh. Điểm mấu chốt là phải có một nền tảng không chỉ đơn thuần lưu trữ dữ liệu, mà còn chủ động theo dõi chúng.
Khi việc giám sát được thực hiện liên tục, an ninh dữ liệu doanh nghiệp sẽ không còn là việc phải chạy theo các sự cố nữa. Thay vào đó, nó trở thành khả năng phát hiện những sai lệch nhỏ trước khi chúng biến thành các vấn đề về quyền truy cập hoặc rò rỉ thông tin.
Một kế hoạch hiệu quả dành cho các doanh nghiệp vừa và nhỏ (SME) phải mang tính tuần tự, chứ không phải là một mô hình lý tưởng. Các doanh nghiệp thực sự cải thiện được tình hình thường bắt đầu từ một số biện pháp mang lại hiệu quả cao, sau đó mới củng cố các khía cạnh còn lại. Ưu tiên hàng đầu là thiết lập trật tự trước khi bổ sung các công cụ mới, bởi vì các biện pháp bảo mật sẽ phát huy hiệu quả tốt nhất khi các vai trò, dữ liệu và quyền truy cập đã được sắp xếp rõ ràng.
Trong vòng một tuần, hãy tập trung công việc vào những việc giúp giảm ngay lập tức mức độ phơi nhiễm.
Trong tháng tiếp theo, bạn hãy tập trung vào cấu trúc và kiểm soát.
Trong vòng ba tháng, mục tiêu là đảm bảo tính nhất quán về an ninh.
Việc kiểm soát hữu ích nhất không phải là việc kiểm soát hoàn hảo, mà là việc kiểm soát mà ai đó thực sự có thể duy trì hàng tuần.
Nếu bạn muốn một chỉ số đơn giản, hãy đo lường số lượng các truy cập trái phép đã bị loại bỏ, tỷ lệ khôi phục thành công và tốc độ mà sự cố được báo cáo đến người có trách nhiệm xử lý. Đây là những chỉ số hữu ích hơn nhiều so với một danh sách kiểm tra chỉ được điền một lần.
Bảo mật dữ liệu doanh nghiệp chỉ thực sự hiệu quả khi nó không cản trở công việc mà ngược lại, hỗ trợ cho công việc đó. Chẳng hạn, tại một văn phòng kinh doanh, đội ngũ nhân viên có thể chia sẻ các đề xuất và bảng giá trong các môi trường được phân loại, với quyền truy cập sẽ bị thu hồi khi quá trình hợp tác kết thúc. Trong bộ phận hành chính, các tài liệu nhạy cảm chỉ được phép truy cập bởi những người thực sự cần xử lý chúng, trong khi ở bộ phận vận hành, dữ liệu sản xuất hoặc hậu cần được theo dõi mà không cần phải thực hiện các kiểm tra thủ công liên tục.
Điều tạo nên sự khác biệt chính là văn hóa nội bộ. Nếu nhân viên coi an toàn là một rào cản, họ sẽ tìm cách lách quy định. Ngược lại, nếu họ xem đó là cách để tránh những trở ngại, sai sót và lãng phí thời gian, họ sẽ dễ dàng tuân thủ hơn. Điều cần thiết ở đây là ngôn ngữ đơn giản, các ví dụ cụ thể và việc phân chia trách nhiệm, chứ không chỉ là những quy trình được lưu trữ trên giấy tờ.
Mục tiêu không phải là làm cho mọi thứ đều nằm trong tầm kiểm soát của bộ phận CNTT, mà là đảm bảo mọi thứ đều có thể quản lý được. Các doanh nghiệp đạt được kết quả tốt nhất coi dữ liệu như một tài sản hoạt động, với các biện pháp kiểm soát giúp bảo vệ dữ liệu mà không làm chậm quá trình bán hàng, lập hóa đơn hay hỗ trợ khách hàng.
ELECTE giúp các doanh nghiệp vừa và nhỏ (SME) chuyển đổi dữ liệu thô thành các tín hiệu dễ hiểu, thông qua phân tích tự động và phát hiện sự bất thường – những tính năng này cũng rất hữu ích cho việc giám sát an ninh liên tục. Nếu bạn muốn tăng cường kiểm soát các luồng thông tin của mình và tìm hiểu cách tiếp cận dựa trên trí tuệ nhân tạo (AI) có thể hỗ trợ công tác quản trị và phát hiện sự bất thường, hãy truy cập ELECTE và xem xét cách tích hợp giải pháp này vào các quy trình của bạn.
.svg)
.svg)
.svg)
