Bảo mật cho doanh nghiệp vừa và nhỏ: hướng dẫn toàn diện 2026

Doanh nghiệp vừa và nhỏ không cần mua mọi sản phẩm bảo mật trên thị trường. Cần làm đúng thứ tự: khóa tài khoản bằng xác thực hai lớp, bảo vệ từng máy tính, lọc email lừa đảo, đặt tường lửa thay modem nhà mạng, và sao lưu dữ liệu sao cho kẻ tấn công không xóa được. Năm lớp này chặn phần lớn các vụ tấn công thường gặp. Các lớp còn lại như chống rò rỉ dữ liệu (DLP), giám sát và tuân thủ pháp luật được bổ sung dần theo quy mô và ngân sách.

Bài này tổng hợp toàn bộ bức tranh bảo mật cho văn phòng 5–100 người: mỗi lớp chống lại mối nguy nào, nên dùng giải pháp gì, việc nào làm ngay được mà gần như không tốn tiền, và lộ trình đầu tư theo ba mức ngân sách. Cuối bài có bảng tra cứu nhanh 30 công nghệ bảo mật (IPS, IDS, EDR, DLP, mã hóa có kiểm soát, ZTNA, SIEM…) và bảng tự kiểm tra 20 điểm để bạn chấm nhanh hệ thống của mình.

Vì sao doanh nghiệp nhỏ đang là mục tiêu dễ nhất

Nhiều chủ doanh nghiệp nghĩ công ty mình quá nhỏ để bị nhắm tới. Số liệu cho thấy điều ngược lại: kẻ tấn công dùng công cụ tự động quét hàng loạt, và nơi nào phòng thủ yếu thì bị vào trước.

• 52,3% cơ quan, doanh nghiệp Việt Nam bị thiệt hại do tấn công mạng trong năm 2025, tăng từ 46,15% năm 2024. Số cuộc tấn công giảm còn khoảng 552.000, nhưng các vụ có chọn lọc và gây hại hơn (Hiệp hội An ninh mạng quốc gia, khảo sát hơn 5.300 đơn vị).
• Cũng theo khảo sát này, 51,87% đơn vị chưa có phần mềm diệt virus quản lý tập trung, 9,38% chưa có tường lửa kiểm soát truy cập Internet và 47,72% thiếu nhân sự an ninh mạng.
• Trên thế giới, mã độc tống tiền (ransomware) xuất hiện trong 88% vụ xâm phạm dữ liệu ở doanh nghiệp vừa và nhỏ, so với 39% ở doanh nghiệp lớn (Verizon DBIR 2025).
• Theo VNPT, hơn 70% vụ tấn công vào hệ thống tổ chức đi qua tài khoản: mật khẩu bị lộ, bị dò hoặc bị mã độc đánh cắp.
• Kaspersky chặn hơn 300.000 cuộc tấn công khai thác lỗ hổng nhắm vào doanh nghiệp Việt Nam chỉ trong nửa đầu 2025, khoảng 1.600 cuộc mỗi ngày.
• Khai thác lỗ hổng là điểm xâm nhập ban đầu của 20% vụ xâm phạm, tăng 34%, và 30% vụ xâm phạm có liên quan đến bên thứ ba như nhà cung cấp, đối tác, gấp đôi năm trước (Verizon DBIR 2025).
• Năm hình thức tấn công phổ biến nhất tại Việt Nam năm 2025 là tấn công từ chối dịch vụ (DDoS), chèn liên kết quảng cáo cờ bạc vào website, tấn công có chủ đích (APT), đánh cắp dữ liệu và mã hóa tống tiền (NCA).

Điểm chung của các con số trên: phần lớn vụ việc bắt đầu từ những lỗ hổng cơ bản như mật khẩu yếu, máy chưa cập nhật, nhân viên bấm vào email giả mạo, hoặc không có bản sao lưu sạch. Đây đều là những việc doanh nghiệp nhỏ tự khắc phục được.

Chuyên gia bảo mật bắt đầu từ đâu? Từ tài sản và rủi ro, không phải từ thiết bị

Sai lầm phổ biến nhất là mua thiết bị trước rồi mới nghĩ xem cần bảo vệ gì. Một đánh giá bảo mật bài bản luôn bắt đầu bằng ba câu hỏi:

• Tài sản nào quan trọng nhất? Dữ liệu kế toán, danh sách khách hàng, bản vẽ thiết kế, công thức sản xuất, hợp đồng, hệ thống bán hàng. Nếu mất hoặc lộ thứ gì thì doanh nghiệp thiệt hại nặng nhất?
• Ai có thể gây hại và bằng cách nào? Với doanh nghiệp vừa và nhỏ, bốn kịch bản thường gặp nhất là: ransomware mã hóa toàn bộ dữ liệu, lừa đảo chuyển tiền qua email, nhân viên mang dữ liệu đi khi nghỉ việc, và tài khoản bị chiếm do lộ mật khẩu.
• Thiệt hại là bao nhiêu và chịu được bao lâu? Một ngày ngừng hoạt động tốn bao nhiêu tiền, mất dữ liệu bao nhiêu giờ thì còn chấp nhận được. Câu trả lời quyết định mức đầu tư hợp lý.

Từ đó mới chọn biện pháp cho từng kịch bản. Ví dụ, công ty thiết kế, sản xuất có bản vẽ là tài sản sống còn thì cần ưu tiên mã hóa có kiểm soát và chống rò rỉ dữ liệu. Công ty thương mại chuyển tiền nhiều thì phải ưu tiên bảo mật email và quy trình xác minh thanh toán. Các lớp dưới đây được sắp theo đúng tư duy đó.

Bức tranh tổng thể: 11 lớp bảo mật cho doanh nghiệp vừa và nhỏ

Bảo mật hiệu quả là nhiều lớp chồng lên nhau, giới chuyên môn gọi là “phòng thủ chiều sâu”. Khi một lớp bị vượt qua, lớp tiếp theo vẫn giữ được. Bảng dưới tóm tắt 11 lớp, mỗi lớp được giải thích chi tiết ở các phần sau. Nếu bạn gặp một thuật ngữ lạ như IPS, EDR, DLP, ZTNA hay SIEM, hãy xem bảng tra cứu công nghệ bảo mật ở cuối bài.

Lớp 1: Tài khoản và danh tính, cửa chính của mọi hệ thống

Kẻ tấn công ngày nay ít khi “phá cửa”. Họ đăng nhập bằng mật khẩu thật, lấy được từ một vụ rò rỉ ở website khác, từ email lừa đảo hoặc từ mã độc trên máy nhân viên. Vì vậy tài khoản là lớp cần khóa đầu tiên.

• Bật xác thực hai lớp (MFA) cho mọi tài khoản email, VPN, phần mềm kế toán và trang quản trị. Nghiên cứu của Microsoft cho thấy MFA giảm hơn 99% nguy cơ bị chiếm tài khoản. Ưu tiên ứng dụng xác thực (Microsoft Authenticator, Google Authenticator) hơn mã SMS.
• Dùng trình quản lý mật khẩu cho cả công ty để mỗi dịch vụ một mật khẩu riêng, dài và không ghi ra giấy.
• Tách tài khoản quản trị. Nhân viên dùng tài khoản thường hằng ngày. Quyền quản trị chỉ dành cho IT và chỉ dùng khi cần.
• Khóa tài khoản ngay khi nhân viên nghỉ việc, thu hồi quyền truy cập email, thư mục chia sẻ, phần mềm và đổi mật khẩu Wifi nếu cần.
• Không dùng chung một tài khoản cho nhiều người. Khi có sự cố, tài khoản dùng chung khiến không thể biết ai đã làm gì.
• Đổi mật khẩu quản trị cục bộ trên từng máy bằng Windows LAPS, tính năng miễn phí có sẵn trong Windows 11 và Windows Server. Nếu mọi máy dùng chung một mật khẩu quản trị, kẻ tấn công chiếm được một máy là đi được khắp mạng.
• Nâng cấp lên passkey hoặc khóa bảo mật FIDO2 cho tài khoản quan trọng nhất. Đây là dạng xác thực chống được cả trang đăng nhập giả mạo, điều mà mã OTP không làm được. Microsoft và Google đều đã hỗ trợ.
• Doanh nghiệp lớn hơn có thể dùng đăng nhập một lần (SSO) để quản lý tập trung mọi ứng dụng, và quản lý truy cập đặc quyền (PAM) để kiểm soát, ghi lại các phiên làm việc bằng quyền quản trị.

Làm ngay hôm nay: bật MFA cho email của giám đốc, kế toán và người quản trị. Đây là ba tài khoản bị nhắm nhiều nhất và việc này không tốn chi phí.

Lớp 2: Bảo vệ máy tính, máy chủ và điện thoại (endpoint)

Máy tính của nhân viên là nơi mã độc đi vào nhiều nhất: qua tệp đính kèm, USB, phần mềm bẻ khóa hoặc trang web độc hại. Bảo vệ endpoint có ba cấp độ, khác nhau ở khả năng phát hiện và phản ứng. Ngoài ra còn có XDR, là EDR mở rộng, gom thêm dữ liệu từ tường lửa, email và đám mây để nhìn toàn cảnh một vụ tấn công.

Với văn phòng nhỏ, bộ Kaspersky Small Office Security (1 máy chủ và 5 máy trạm) là điểm khởi đầu hợp lý. Khi lên 20 máy trở lên, nên cân nhắc các dòng có EDR như Kaspersky Next hoặc Sophos Intercept X. Nếu công ty dùng Microsoft 365 Business Premium, gói này đã có sẵn Microsoft Defender for Business, một giải pháp EDR không cần mua thêm.

• Bật mã hóa ổ đĩa (BitLocker) trên laptop. Mất máy chỉ mất thiết bị, không mất dữ liệu.
• Thay máy chạy Windows 10. Microsoft đã ngừng hỗ trợ Windows 10 từ ngày 14/10/2025, nên các lỗ hổng mới không còn được vá. Xem thêm hướng dẫn mua Windows 11 bản quyền và dịch vụ cung cấp máy tính doanh nghiệp.
• Cấm phần mềm bẻ khóa. Bản “crack” là một trong những đường lây mã độc đánh cắp mật khẩu phổ biến nhất. Dùng phần mềm bản quyền vừa an toàn vừa tránh rủi ro pháp lý.
• Kiểm soát ứng dụng: chỉ cho phép phần mềm đã duyệt được chạy, chặn macro Office trong tệp tải từ Internet, chặn công cụ điều khiển từ xa không được phép. Kẻ gian giả danh nhân viên hỗ trợ kỹ thuật thường yêu cầu nạn nhân cài UltraViewer, AnyDesk hay TeamViewer để chiếm máy.
• Quản lý thiết bị di động (MDM/UEM) như Microsoft Intune hoặc quản lý thiết bị của Google Workspace: bắt buộc khóa màn hình, mã hóa, và xóa dữ liệu công ty từ xa khi điện thoại hoặc laptop bị mất. Cần thiết khi nhân viên đọc email công ty trên điện thoại cá nhân.

Lớp 3: Email, nơi bắt đầu của phần lớn vụ lừa đảo

Email giả mạo ngày càng khó nhận ra: viết tiếng Việt chuẩn, dùng logo đối tác, giả giọng giám đốc yêu cầu chuyển tiền gấp. Lừa đảo qua email doanh nghiệp (BEC) thường không chứa mã độc nào, nên phần mềm diệt virus không chặn được. Cần kết hợp công nghệ và quy trình.

• Dùng email doanh nghiệp theo tên miền trên nền tảng có bộ lọc mạnh như Google Workspace, Microsoft 365 hoặc Zoho Mail, thay cho email miễn phí hoặc email hosting giá rẻ.
• Cấu hình SPF, DKIM và DMARC cho tên miền. Ba bản ghi này giúp máy chủ nhận xác minh email thật sự từ công ty bạn, ngăn kẻ xấu mạo danh tên miền để lừa khách hàng và đối tác. Gmail và Yahoo cũng đã yêu cầu các bản ghi này với người gửi số lượng lớn.
• Bật lọc thư nâng cao: mở thử tệp đính kèm trong môi trường cách ly (sandbox) và kiểm tra lại đường link tại thời điểm bấm. Microsoft 365 Business Premium có sẵn Defender for Office 365 với hai tính năng Safe Attachments và Safe Links.
• Gắn nhãn “Email từ bên ngoài” cho thư đến từ ngoài công ty, giúp nhân viên cảnh giác với thư giả danh sếp.
• Quy định bắt buộc gọi điện xác minh qua số đã biết trước mỗi khi có yêu cầu đổi số tài khoản nhận tiền hoặc chuyển khoản gấp.

Nếu đang dùng email miễn phí hoặc email hosting cũ, bài so sánh Google Workspace, Microsoft 365 và Zoho Mail sẽ giúp bạn chọn nền tảng phù hợp. Minh Tâm ITS chuyển email cũ và cài đặt SPF, DKIM, DMARC miễn phí khi triển khai. Đọc thêm: cách phòng tránh tấn công phishing và ransomware.

Lớp 4: Bảo mật mạng: tường lửa, IPS/IDS và kiểm soát truy cập

Rất nhiều văn phòng vẫn chỉ dùng modem nhà mạng để ra Internet. Modem làm được việc kết nối nhưng không kiểm tra nội dung đi qua. Lớp mạng gồm nhiều công nghệ, phần lớn được tích hợp sẵn trong một thiết bị tường lửa thế hệ mới.

Tường lửa thế hệ mới (NGFW) và UTM

Tường lửa truyền thống chỉ chặn theo địa chỉ và cổng. Tường lửa thế hệ mới (NGFW) như FortiGate hay Sophos XGS nhận diện được ứng dụng, người dùng và nội dung bên trong lưu lượng. Khi thiết bị gộp thêm IPS, diệt virus trên đường truyền, lọc web, sandbox và VPN, người ta gọi là UTM (quản lý mối đe dọa hợp nhất). Với doanh nghiệp vừa và nhỏ, một thiết bị NGFW/UTM là cách gọn và tiết kiệm nhất để có đủ các lớp mạng.

Điểm cần biết khi mua: phần cứng chỉ là một nửa. Các tính năng bảo mật như IPS, lọc web, sandbox chạy bằng bản quyền dịch vụ hằng năm (FortiGuard với Fortinet, Xstream Protection với Sophos). Hết bản quyền, thiết bị vẫn định tuyến được nhưng phần lớn khả năng bảo vệ bị tắt hoặc ngừng cập nhật. Nhiều văn phòng “có tường lửa” mà thực chất đã mất lớp bảo vệ từ lâu vì quên gia hạn.

IDS và IPS: phát hiện và ngăn chặn xâm nhập

IDS (Intrusion Detection System, hệ thống phát hiện xâm nhập) theo dõi lưu lượng mạng, so với cơ sở dữ liệu dấu hiệu tấn công và các hành vi bất thường, rồi cảnh báo. IPS (Intrusion Prevention System, hệ thống ngăn chặn xâm nhập) làm mọi việc của IDS, đồng thời chặn ngay gói tin độc hại trước khi nó đến máy chủ hay máy tính.

IPS chặn được các kiểu tấn công khai thác lỗ hổng trên máy chủ, VPN, camera, NAS chưa kịp vá, dò mật khẩu hàng loạt, và lưu lượng của mã độc liên lạc về máy chủ điều khiển. Đây là “bản vá ảo” rất giá trị, vì lỗ hổng thường bị khai thác chỉ vài ngày sau khi công bố, trước khi doanh nghiệp kịp cập nhật.

• Doanh nghiệp vừa và nhỏ không cần mua IPS riêng. IPS đã tích hợp sẵn trong FortiGate, Sophos XGS và hầu hết tường lửa thế hệ mới, chỉ cần bản quyền bảo mật còn hạn và tính năng được bật đúng cách.
• Chọn thiết bị theo “thông lượng khi bật IPS” hoặc “thông lượng bảo vệ mối đe dọa”, không theo thông lượng tường lửa quảng cáo. Con số khi bật đầy đủ tính năng thường thấp hơn nhiều lần.
• Cấu hình theo hồ sơ phù hợp: bật bộ chữ ký cho đúng hệ điều hành, ứng dụng đang dùng, theo dõi một thời gian để tránh chặn nhầm rồi mới chuyển sang chế độ chặn.
• Trên máy tính cũng có HIPS (IPS trên máy trạm), thường nằm sẵn trong phần mềm EDR. IPS mạng và EDR bổ sung cho nhau chứ không thay thế nhau.
• Doanh nghiệp có hệ thống lớn có thể bổ sung NDR (phát hiện và phản ứng trên mạng) để phân tích hành vi lưu lượng nội bộ, phát hiện kẻ tấn công di chuyển ngang giữa các máy.

Sandbox, kiểm tra SSL, lọc web và lọc DNS

• Sandbox: tệp tải về chưa rõ lành hay độc sẽ được chạy thử trong môi trường cách ly để quan sát hành vi, giúp chặn mã độc mới chưa có chữ ký (zero-day).
• Kiểm tra lưu lượng mã hóa (SSL/TLS inspection): phần lớn lưu lượng web hiện nay đã mã hóa HTTPS. Nếu không bật tính năng này, IPS, diệt virus và sandbox trên tường lửa gần như “không nhìn thấy” nội dung. Cần triển khai chứng chỉ cho máy trạm và loại trừ các trang ngân hàng, y tế.
• Lọc web và kiểm soát ứng dụng: chặn trang lừa đảo, trang chứa mã độc, giới hạn ứng dụng không cần thiết.
• Lọc DNS: chặn truy cập tên miền độc hại ngay từ bước phân giải tên miền, nhẹ, rẻ và bảo vệ được cả laptop mang ra ngoài văn phòng. Có thể dùng tính năng lọc DNS trên tường lửa hoặc dịch vụ như Cloudflare Zero Trust, Cisco Umbrella.

Chia vùng mạng, kiểm soát thiết bị và Wifi

Bên trong mạng, nên chia mạng thành các vùng riêng (VLAN): máy nhân viên, máy chủ và NAS, camera, máy in, Wifi khách. Tường lửa kiểm soát lưu lượng giữa các vùng, nên nếu một máy bị nhiễm, mã độc khó lây sang vùng chứa dữ liệu quan trọng.

• Kiểm soát truy cập mạng (NAC): chỉ thiết bị đã được cấp phép mới vào được mạng nội bộ. Ở mức cơ bản là khóa cổng switch không dùng và đưa thiết bị lạ vào vùng cách ly. Ở mức cao hơn là xác thực 802.1X hoặc giải pháp như FortiNAC.
• Wifi: dùng WPA3 hoặc WPA2, tách hẳn mạng khách, đổi mật khẩu định kỳ. Doanh nghiệp trên 30 người nên dùng Wifi xác thực theo tài khoản từng nhân viên (WPA2/WPA3-Enterprise) thay cho một mật khẩu chung.
• Thiết bị IoT như camera, đầu ghi, máy chấm công phải đổi mật khẩu mặc định, cập nhật firmware và không mở cổng trực tiếp ra Internet.

Truy cập từ xa: VPN và ZTNA

Tuyệt đối không mở cổng Remote Desktop (RDP) ra Internet, một lối vào quen thuộc của ransomware. Nhân viên làm việc từ xa và chi nhánh nên kết nối qua VPN có xác thực hai lớp. Xu hướng mới là ZTNA (truy cập mạng không tin cậy mặc định): mỗi người chỉ được vào đúng ứng dụng mình cần sau khi kiểm tra danh tính và tình trạng thiết bị, thay vì vào cả mạng như VPN. Khi kết hợp ZTNA, lọc web và tường lửa trên nền tảng đám mây, mô hình này được gọi là SASE, phù hợp với doanh nghiệp nhiều chi nhánh hoặc làm việc từ xa nhiều. Tường lửa cũng nên có cân bằng tải hai đường Internet để mạng vẫn chạy khi một nhà mạng gặp sự cố.

Chưa biết chọn hãng nào? Xem so sánh tường lửa Fortinet, Sophos và Palo Alto cho doanh nghiệp. Khi triển khai mạng mới, việc chia vùng và cấu hình Wifi được làm cùng lúc trong dịch vụ thiết lập hệ thống mạng.

Lớp 5: Bảo mật website và dịch vụ công khai

Website là “mặt tiền” luôn mở 24 giờ của doanh nghiệp, và cũng là mục tiêu hàng đầu: hai trong năm hình thức tấn công phổ biến nhất tại Việt Nam năm 2025 là DDoS và chèn liên kết quảng cáo cờ bạc vào website. Website bị chèn link độc có thể bị Google hạ thứ hạng hoặc gắn cảnh báo nguy hiểm, mất khách mà chủ doanh nghiệp không hề hay biết.

• Tường lửa ứng dụng web (WAF): lọc các kiểu tấn công nhắm vào website như chèn mã SQL, chèn mã script, dò mật khẩu trang quản trị. Có thể dùng WAF trên nền tảng đám mây như Cloudflare hoặc plugin như Wordfence cho WordPress.
• Chống DDoS và CDN: đặt website sau mạng phân phối nội dung để hấp thụ lưu lượng tấn công và tăng tốc độ tải trang. Cloudflare có gói miễn phí đủ cho phần lớn website doanh nghiệp nhỏ.
• Cập nhật mã nguồn, giao diện và plugin thường xuyên, gỡ những plugin không dùng. Phần lớn website WordPress bị hack qua plugin lỗi thời.
• Bảo vệ trang quản trị: bật xác thực hai lớp, đổi đường dẫn đăng nhập, giới hạn số lần thử, xóa tài khoản của nhân viên đã nghỉ, tắt đăng ký thành viên nếu không cần.
• Sao lưu website định kỳ và theo dõi Google Search Console để phát hiện sớm nội dung lạ bị chèn vào.

Lớp 6: Sao lưu, tấm lưới an toàn cuối cùng

Mọi lớp bảo vệ đều có thể bị vượt qua. Khi đó, bản sao lưu sạch quyết định doanh nghiệp mất vài giờ hay mất vài tháng dữ liệu. Ransomware hiện đại thường tìm và xóa bản sao lưu trước khi mã hóa, nên chỉ chép dữ liệu sang ổ cứng gắn ngoài là không đủ.

Nguyên tắc 3-2-1-1-0 là chuẩn được khuyến nghị rộng rãi:

• 3 bản dữ liệu: một bản đang dùng và hai bản sao lưu.
• 2 loại thiết bị lưu trữ khác nhau, ví dụ NAS và đám mây.
• 1 bản đặt ngoài văn phòng, phòng cháy nổ hoặc mất trộm.
• 1 bản không thể xóa hoặc sửa (immutable) hoặc tách rời khỏi mạng.
• 0 lỗi khi khôi phục: thử khôi phục định kỳ để chắc bản sao lưu dùng được.

Hãy xác định trước hai con số: RPO, tức chấp nhận mất tối đa bao nhiêu giờ dữ liệu, quyết định tần suất sao lưu; và RTO, tức hệ thống phải chạy lại trong bao lâu, quyết định cách khôi phục. Phần mềm kế toán có thể cần RPO 1 giờ và RTO nửa ngày, trong khi thư mục lưu trữ cũ chỉ cần sao lưu mỗi tuần.

Với doanh nghiệp vừa và nhỏ, NAS Synology đáp ứng gần như trọn bộ nguyên tắc này với chi phí hợp lý: sao lưu tự động máy tính và máy chủ bằng Active Backup for Business, tạo snapshot không thể xóa (immutable snapshot) chống ransomware, và đẩy thêm một bản lên đám mây. Chi tiết triển khai có tại dịch vụ lưu trữ NAS và sao lưu dữ liệu. Nếu đang phân vân giữa NAS và máy chủ, xem bài NAS hay máy chủ cho doanh nghiệp dưới 50 người.

Lớp 7: Bảo vệ dữ liệu: mã hóa, mã hóa có kiểm soát và chống rò rỉ (DLP)

Không phải mọi rủi ro đều đến từ hacker. Danh sách khách hàng, bảng giá, hợp đồng có thể rời công ty qua USB, email cá nhân, Zalo, đường link chia sẻ công khai hoặc theo chân nhân viên nghỉ việc. Chống rò rỉ dữ liệu (Data Loss Prevention, DLP) là tập hợp biện pháp giúp phát hiện và chặn những luồng này.

DLP không nhất thiết phải là một hệ thống đắt tiền. Doanh nghiệp nhỏ nên đi theo ba bước:

• Biết dữ liệu quan trọng nằm ở đâu. Liệt kê các loại dữ liệu nhạy cảm (khách hàng, nhân sự, tài chính, bản vẽ, công thức) và nơi lưu chúng. Gom về một nơi quản lý tập trung như NAS hoặc OneDrive/SharePoint, Google Drive.
• Phân quyền theo nguyên tắc “cần mới cấp”. Phòng nào chỉ thấy thư mục của phòng đó. Giới hạn chia sẻ link ra ngoài công ty. Đây là phần DLP có hiệu quả cao nhất với chi phí thấp nhất.
• Bật công cụ DLP sẵn có, rồi mới mua thêm. Phần mềm diệt virus doanh nghiệp thường có kiểm soát thiết bị để chặn hoặc chỉ cho đọc USB. Microsoft 365 Business Premium có Microsoft Purview DLP để phát hiện thông tin nhạy cảm trong email và tài liệu. Google Workspace có DLP ở các gói Enterprise. Doanh nghiệp có yêu cầu cao hơn mới cần DLP chuyên dụng giám sát toàn bộ máy trạm.

• Phân loại và gắn nhãn dữ liệu (công khai, nội bộ, mật). Với Microsoft 365, nhãn độ nhạy (sensitivity label) có thể tự mã hóa tài liệu và giới hạn người mở, ngay cả khi tệp đã bị gửi ra ngoài.
• Quy định dùng công cụ AI. Nhân viên dán hợp đồng, danh sách khách hàng vào chatbot AI miễn phí là một dạng rò rỉ dữ liệu mới. Nên ban hành quy định rõ dữ liệu nào không được đưa vào AI, và ưu tiên phiên bản AI doanh nghiệp đi kèm Microsoft 365 hoặc Google Workspace, nơi dữ liệu được cam kết không dùng để huấn luyện mô hình.
• Kiểm soát ứng dụng đám mây tự phát (shadow IT): nhân viên tự dùng Drive cá nhân, ứng dụng chuyển tệp miễn phí. Tường lửa và giải pháp CASB giúp phát hiện và giới hạn các dịch vụ này.

Mã hóa dữ liệu: bốn cấp độ doanh nghiệp cần phân biệt

Mã hóa biến dữ liệu thành dạng không đọc được nếu không có khóa giải mã. Nhưng “có mã hóa” chưa chắc đã an toàn: mỗi loại mã hóa chỉ bảo vệ trong một tình huống nhất định. Đây là điểm nhiều doanh nghiệp hiểu nhầm.

Mã hóa có kiểm soát là gì và vì sao doanh nghiệp sản xuất, thiết kế cần?

Mã hóa có kiểm soát, còn gọi là mã hóa minh bạch hay mã hóa tài liệu tự động (transparent encryption), là giải pháp tự động mã hóa mọi tệp được tạo ra bởi các phần mềm đã chỉ định, như AutoCAD, SolidWorks, Excel, Word, phần mềm kế toán. Nhân viên vẫn mở, sửa, lưu tài liệu hoàn toàn bình thường trên máy công ty, không cần thao tác thêm. Nhưng khi tệp bị đưa ra khỏi môi trường đó, qua USB, email cá nhân, ứng dụng nhắn tin hay mang sang máy ngoài, nó chỉ là một khối dữ liệu không đọc được.

• Giải mã phải xin phép: khi cần gửi bản vẽ, báo giá cho khách hàng, nhân viên gửi yêu cầu giải mã, quản lý duyệt, hệ thống ghi lại ai giải mã tệp nào, lúc nào, gửi cho ai.
• Phân quyền theo phòng ban, cấp bậc: phòng thiết kế mở được bản vẽ, phòng kinh doanh chỉ mở được báo giá, tài liệu cấp “mật” chỉ ban giám đốc mở được.
• Làm việc ngoại tuyến có thời hạn: laptop mang đi công tác vẫn mở được tài liệu trong số ngày cho phép, quá hạn phải kết nối lại máy chủ.
• Đi kèm kiểm soát hành vi: hầu hết giải pháp loại này có thêm watermark (in mờ tên người dùng lên màn hình và bản in) để răn đe chụp ảnh, kiểm soát in ấn, chặn USB, ghi nhật ký thao tác với tệp, cảnh báo khi một người sao chép số lượng lớn tài liệu bất thường.

Mã hóa có kiểm soát đặc biệt phù hợp với nhà máy, công ty thiết kế, kiến trúc, cơ khí, may mặc, công ty có công thức sản xuất hoặc danh sách khách hàng giá trị cao, nơi rủi ro lớn nhất là dữ liệu bị mang đi từ bên trong chứ không phải hacker. Khác với DLP chỉ phát hiện và chặn khi tệp rời đi, mã hóa có kiểm soát vẫn bảo vệ tệp ngay cả khi nó đã lọt ra ngoài bằng cách nào đó.

Những điều chuyên gia luôn lưu ý trước khi triển khai, vì triển khai sai có thể khóa chính dữ liệu của doanh nghiệp:

• Quản lý khóa mã hóa là sống còn. Máy chủ quản lý khóa phải được sao lưu riêng, có phương án dự phòng. Mất khóa đồng nghĩa với mất toàn bộ tài liệu đã mã hóa.
• Thử nghiệm tương thích với từng phần mềm đang dùng (phiên bản CAD, phần mềm kế toán, ERP) trên một nhóm nhỏ trước khi áp dụng toàn công ty.
• Kết hợp với sao lưu: bản sao lưu chứa tệp đã mã hóa, nên quy trình khôi phục phải được thử cùng hệ thống quản lý khóa.
• Quy trình nghỉ việc và thoát khỏi giải pháp: có kế hoạch giải mã hàng loạt khi đổi giải pháp, tránh phụ thuộc hoàn toàn vào một nhà cung cấp.
• Thông báo rõ với nhân viên và đưa vào nội quy, hợp đồng lao động. Việc giám sát thao tác cũng cần tuân thủ quy định về bảo vệ dữ liệu cá nhân.

Kết hợp các lớp mã hóa trên với cam kết bảo mật trong hợp đồng lao động để có cả rào chắn kỹ thuật lẫn ràng buộc pháp lý.

Lớp 8: Bảo mật Microsoft 365 và Google Workspace

Chuyển lên đám mây không có nghĩa là nhà cung cấp lo hết bảo mật. Microsoft và Google bảo vệ hạ tầng của họ. Tài khoản, quyền chia sẻ và dữ liệu của bạn vẫn do bạn chịu trách nhiệm. Một số cấu hình nên làm ngay sau khi triển khai:

• Bắt buộc MFA cho toàn bộ người dùng, không chỉ quản trị viên.
• Dùng truy cập có điều kiện: chỉ cho đăng nhập từ thiết bị công ty quản lý, chặn đăng nhập từ quốc gia không liên quan, yêu cầu xác thực lại khi có rủi ro.
• Tắt các giao thức đăng nhập cũ không hỗ trợ MFA (POP, IMAP cơ bản) nếu không cần.
• Bật cảnh báo đăng nhập bất thường, ví dụ đăng nhập từ nước ngoài hoặc tạo quy tắc tự chuyển tiếp email ra ngoài, một dấu hiệu kinh điển của tài khoản bị chiếm.
• Giới hạn chia sẻ tệp ra ngoài và rà soát các đường link “bất kỳ ai có link”.
• Theo dõi điểm bảo mật (Microsoft Secure Score hoặc bảng điều khiển bảo mật của Google) để biết còn thiếu gì.
• Sao lưu dữ liệu đám mây. Thùng rác của Microsoft 365 và Google chỉ giữ dữ liệu trong thời gian giới hạn. NAS Synology có sẵn Active Backup for Microsoft 365 và Active Backup for Google Workspace, không tính phí bản quyền theo người dùng trên các dòng NAS được hỗ trợ.

Lớp 9: Cập nhật bản vá và quản lý lỗ hổng

Theo VNPT, lỗ hổng mới được công bố thường bị vũ khí hóa trong khoảng 8 ngày, và việc dò quét có thể bắt đầu chỉ vài giờ sau khi mã khai thác mẫu xuất hiện. Không chỉ Windows, mà cả tường lửa, router, NAS, camera và phần mềm như Office, trình duyệt, phần mềm kế toán đều cần cập nhật.

• Bật cập nhật tự động cho Windows và Office, quản lý tập trung để biết máy nào còn thiếu bản vá.
• Lập lịch kiểm tra firmware hằng tháng cho tường lửa, NAS, router, Wifi và đầu ghi camera.
• Lập danh sách thiết bị và phần mềm đang dùng. Thiết bị hết hỗ trợ từ hãng cần có kế hoạch thay thế.
• Quét lỗ hổng định kỳ từ bên ngoài và bên trong để tìm cổng mở, dịch vụ cũ, cấu hình sai.
• Doanh nghiệp có hệ thống quan trọng nên thuê kiểm thử xâm nhập (pentest) mỗi năm một lần: chuyên gia đóng vai kẻ tấn công để tìm lỗ hổng trước khi kẻ xấu tìm ra.
• Theo dõi tài khoản bị lộ: kiểm tra định kỳ email công ty có xuất hiện trong các vụ rò rỉ dữ liệu hay không (ví dụ qua dịch vụ Have I Been Pwned), để đổi mật khẩu kịp thời. Mã độc đánh cắp thông tin đăng nhập đang là nguồn cung tài khoản chính cho các vụ tấn công.

Đây là việc đều đặn, dễ bị bỏ quên khi không có người phụ trách. Với dịch vụ IT Support, việc cập nhật và kiểm tra định kỳ nằm trong danh mục công việc hằng tháng của kỹ thuật viên.

Lớp 10: Con người và bên thứ ba

Công nghệ tốt đến đâu cũng có thể bị vô hiệu bởi một cú bấm nhầm. Đào tạo nhận thức không cần dài, nhưng cần đều đặn và gắn với tình huống thật:

• Buổi đào tạo ngắn 30–45 phút cho nhân viên mới và nhắc lại mỗi quý: nhận diện email giả mạo, đường link lạ, cuộc gọi giả danh.
• Diễn tập gửi email lừa đảo giả lập để đo tỷ lệ bấm vào và hướng dẫn thêm cho người bấm.
• Kênh báo cáo đơn giản: thấy gì đáng ngờ là chuyển ngay cho IT, không bị trách phạt.
• Quy trình chuyển tiền có hai người duyệt và xác minh qua điện thoại.

Bên thứ ba là rủi ro đang tăng nhanh: 30% vụ xâm phạm năm qua có liên quan đến nhà cung cấp hoặc đối tác. Hãy lập danh sách những ai đang có quyền truy cập hệ thống (đơn vị phần mềm kế toán, nhà cung cấp camera, IT thuê ngoài), cấp tài khoản riêng có MFA cho từng đơn vị, chỉ mở quyền khi cần và thu hồi ngay khi kết thúc hợp đồng. Khi chọn nhà cung cấp, hỏi rõ họ bảo vệ tài khoản truy cập vào hệ thống của bạn như thế nào.

Lớp 11: Giám sát, ứng phó sự cố và an ninh vật lý

Giám sát và cảnh báo

Phát hiện sớm giúp giảm thiệt hại đáng kể. Giám sát có ba bậc, tùy quy mô:

• Cảnh báo tập trung: gom cảnh báo từ tường lửa (IPS), phần mềm diệt virus/EDR, NAS và Microsoft 365/Google Workspace về email hoặc điện thoại của người phụ trách. Đủ cho phần lớn văn phòng dưới 30 người.
• Nhật ký tập trung và SIEM: thu thập nhật ký từ mọi thiết bị về một nơi, lưu đủ lâu để điều tra và tự động liên kết các sự kiện để phát hiện tấn công. Có thể bắt đầu với FortiAnalyzer, Sophos Central hoặc nền tảng mã nguồn mở Wazuh. Nhật ký truy cập cũng là bằng chứng quan trọng khi làm việc với cơ quan chức năng.
• SOC/MDR: trung tâm điều hành an ninh, nơi chuyên gia theo dõi cảnh báo liên tục ngày đêm và xử lý ngay khi có dấu hiệu tấn công. Doanh nghiệp vừa và nhỏ hầu như không tự xây SOC mà mua dịch vụ MDR do chính các hãng bảo mật vận hành.

Kế hoạch ứng phó sự cố một trang

Khi có sự cố, các quyết định trong giờ đầu tiên quyết định mức thiệt hại. Hãy soạn sẵn một trang giấy gồm:

• Ai gọi cho ai: người phụ trách IT, đơn vị hỗ trợ, ban giám đốc, số điện thoại cụ thể.
• Việc làm ngay: rút dây mạng hoặc tắt Wifi máy nghi nhiễm, không tắt nguồn, chụp lại màn hình đòi tiền chuộc, đổi mật khẩu tài khoản liên quan từ một máy sạch.
• Không tự ý trả tiền chuộc hay liên hệ kẻ tấn công trước khi có tư vấn.
• Khôi phục từ bản sao lưu sạch và kiểm tra lại trước khi đưa vào sử dụng.
• Thông báo cho cơ quan chức năng và các bên liên quan theo quy định nếu dữ liệu cá nhân bị lộ.

An ninh vật lý và nguồn điện

Tủ mạng, máy chủ và NAS nên đặt trong phòng hoặc tủ có khóa. Camera quan sát giúp kiểm soát ra vào khu vực quan trọng. Bộ lưu điện (UPS) bảo vệ thiết bị và dữ liệu khỏi mất điện đột ngột, nguyên nhân phổ biến gây hỏng ổ cứng.

Pháp luật Việt Nam năm 2026: bảo mật đã là nghĩa vụ

Từ năm 2026, bảo vệ dữ liệu không chỉ là lựa chọn kỹ thuật mà là nghĩa vụ pháp lý với mọi doanh nghiệp có thu thập thông tin của khách hàng và nhân viên.

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ 01/01/2026. Mức phạt tối đa 3 tỷ đồng với tổ chức cho các vi phạm thông thường, đến 5% doanh thu năm trước liền kề với vi phạm chuyển dữ liệu ra nước ngoài, và đến 10 lần khoản thu với hành vi mua bán dữ liệu cá nhân trái phép.
• Theo Nghị định 356/2025/NĐ-CP hướng dẫn luật, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được ân hạn 5 năm với một số nghĩa vụ, hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn. Ưu đãi này không áp dụng nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân hoặc trực tiếp xử lý dữ liệu cá nhân nhạy cảm.
• Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ 01/07/2026, yêu cầu doanh nghiệp áp dụng biện pháp kỹ thuật bảo đảm an ninh mạng khi xử lý dữ liệu, đặc biệt là dữ liệu cá nhân.

Các lớp bảo mật trong bài này, đặc biệt là phân quyền, mã hóa, sao lưu, chống rò rỉ và nhật ký truy cập, cũng chính là các biện pháp kỹ thuật giúp doanh nghiệp đáp ứng yêu cầu của luật. Phần chính sách, hợp đồng và hồ sơ đánh giá tác động nên làm cùng luật sư hoặc đơn vị tư vấn pháp lý. Nội dung trên mang tính tham khảo, không phải tư vấn pháp lý.

Khung tiêu chuẩn tham chiếu và bảo hiểm rủi ro mạng

• CIS Controls, nhóm IG1: bộ 56 biện pháp bảo vệ tối thiểu do Trung tâm An ninh Internet (Mỹ) xây dựng riêng cho tổ chức nhỏ, nguồn lực IT hạn chế. Đây là điểm khởi đầu thực tế nhất cho doanh nghiệp vừa và nhỏ.
• NIST CSF 2.0: khung quản trị an ninh mạng gồm sáu chức năng Quản trị, Nhận diện, Bảo vệ, Phát hiện, Ứng phó, Khôi phục, giúp ban giám đốc nhìn bảo mật như một rủi ro kinh doanh.
• ISO/IEC 27001: tiêu chuẩn quốc tế về hệ thống quản lý an toàn thông tin, có chứng nhận. Thường được khách hàng nước ngoài, ngân hàng hoặc đối tác lớn yêu cầu.
• Bảo hiểm rủi ro an ninh mạng: một số công ty bảo hiểm tại Việt Nam đã có sản phẩm chi trả chi phí ứng cứu, khôi phục và trách nhiệm pháp lý khi bị tấn công. Bảo hiểm không thay được biện pháp kỹ thuật, và các hãng bảo hiểm thường yêu cầu doanh nghiệp đã có MFA, sao lưu và EDR mới chấp nhận bảo hiểm.

Lộ trình đầu tư theo 3 mức ngân sách

Không cần làm tất cả cùng lúc. Lộ trình dưới đây giúp mỗi đồng chi ra giảm được nhiều rủi ro nhất.

Bảng tự kiểm tra 20 điểm

Đánh dấu những mục công ty bạn đã có. Dưới 14 điểm nghĩa là hệ thống đang có những lỗ hổng mà kẻ tấn công dễ dàng tìm ra.

1. Email của toàn bộ nhân viên đã bật xác thực hai lớp.
2. Không ai dùng chung tài khoản; tài khoản nhân viên nghỉ việc đã bị khóa.
3. Mọi máy tính có phần mềm diệt virus quản lý tập trung và đang cập nhật.
4. Không còn máy chạy Windows 10 hoặc phần mềm bẻ khóa.
5. Văn phòng có tường lửa riêng, không chỉ dùng modem nhà mạng.
6. IPS và lọc web trên tường lửa đang bật, bản quyền bảo mật còn hạn.
7. Không mở cổng Remote Desktop ra Internet; làm việc từ xa qua VPN.
8. Wifi khách tách riêng với mạng nội bộ; camera, máy in nằm ở vùng mạng riêng.
9. Camera, NAS, router đã đổi mật khẩu mặc định và cập nhật firmware.
10. Tên miền email đã có SPF, DKIM và DMARC.
11. Website được cập nhật thường xuyên, có WAF hoặc chống DDoS, trang quản trị có MFA.
12. Điện thoại, laptop truy cập dữ liệu công ty có thể khóa và xóa từ xa khi bị mất.
13. Dữ liệu được sao lưu tự động, có ít nhất một bản ngoài văn phòng.
14. Đã thử khôi phục dữ liệu từ bản sao lưu trong 3 tháng gần đây.
15. Thư mục dùng chung được phân quyền theo phòng ban; laptop được mã hóa ổ đĩa; tài liệu sống còn được mã hóa có kiểm soát.
16. Có quy định về dữ liệu không được đưa vào công cụ AI.
17. Đối tác, nhà cung cấp truy cập hệ thống bằng tài khoản riêng và được thu hồi khi hết việc.
18. Nhân viên được hướng dẫn nhận diện email lừa đảo trong năm nay.
19. Có quy trình xác minh trước khi chuyển tiền theo yêu cầu qua email.
20. Có danh sách việc cần làm và số điện thoại liên hệ khi có sự cố.

Bảng tra cứu nhanh hơn 30 công nghệ bảo mật doanh nghiệp

Tổng hợp các thuật ngữ thường gặp khi làm việc với nhà cung cấp bảo mật, giải thích ngắn gọn và mức độ cần thiết với doanh nghiệp vừa và nhỏ.

Minh Tâm ITS đồng hành cùng doanh nghiệp như thế nào

Minh Tâm ITS triển khai bảo mật nhiều lớp cho văn phòng tại TP.HCM, từ khảo sát, lắp đặt đến vận hành:

• Đánh giá rủi ro miễn phí: rà soát nhanh theo 20 điểm trên và đề xuất việc cần làm trước.
• Tường lửa và mạng: tư vấn, lắp đặt FortiGate, Sophos, cấu hình IPS, lọc web, kiểm tra SSL, chia VLAN, VPN, Wifi. Xem giải pháp bảo mật.
• Phần mềm bảo mật: diệt virus, EDR, phần mềm bản quyền tại cửa hàng Minh Tâm ITS.
• Email doanh nghiệp an toàn: Google Workspace, Microsoft 365, Zoho Mail, chuyển email cũ và cấu hình bảo mật miễn phí.
• Sao lưu và NAS Synology: thiết kế sao lưu 3-2-1, snapshot chống ransomware, sao lưu Microsoft 365, Google Workspace.
• Vận hành định kỳ qua gói IT Support: cập nhật, kiểm tra sao lưu, xử lý sự cố, có mặt tận nơi trong 90 phút trong bán kính 30 km. Hỗ trợ từ thứ Hai đến thứ Bảy, 8:00–17:00.

Câu hỏi thường gặp

Nguồn tham khảo

• Hiệp hội An ninh mạng quốc gia: hơn 50% cơ quan, doanh nghiệp chịu thiệt hại do tấn công mạng năm 2025 (VnEconomy)
• Khoảng 552.000 cuộc tấn công vào hệ thống thông tin tại Việt Nam năm 2025 (SGGP)
• Verizon DBIR 2025: doanh nghiệp nhỏ chịu ảnh hưởng nặng nhất từ ransomware (Infosecurity Magazine)
• Verizon 2025 Data Breach Investigations Report
• Ransomware gây thiệt hại hơn 10 triệu USD tại Việt Nam nửa đầu 2025 (VnEconomy)
• Hơn 300.000 cuộc tấn công khai thác lỗ hổng nhắm vào doanh nghiệp Việt (VnEconomy)
• Mức phạt theo Luật Bảo vệ dữ liệu cá nhân (Tạp chí Luật sư Việt Nam)
• Luật Bảo vệ dữ liệu cá nhân: lưu ý cho doanh nghiệp (VCCI)
• Luật An ninh mạng 2025 số 116/2025/QH15 (Thư viện Pháp luật)