Đầu năm 2026 chứng kiến làn sóng doanh nghiệp rà soát và chuẩn hóa hoạt động quản trị dữ liệu để đáp ứng Luật Bảo vệ dữ liệu cá nhân. Vừa qua, 01/07/2026, Luật An ninh mạng 2025 chính thức có hiệu lực, mở rộng yêu cầu từ quản lý dữ liệu sang bảo vệ toàn bộ hệ thống xử lý dữ liệu trên môi trường số. Điều này buộc doanh nghiệp phải đánh giá lại toàn bộ hệ sinh thái công nghệ đang vận hành, thay vì chỉ cập nhật các chính sách hoặc biểu mẫu thu thập thông tin.
Việc Luật Bảo vệ dữ liệu cá nhân và Luật An ninh mạng cùng có hiệu lực đánh dấu sự thay đổi trong cách doanh nghiệp xây dựng và vận hành hệ thống số. Phạm vi điều chỉnh không chỉ giới hạn ở lĩnh vực công nghệ thông tin mà áp dụng cho mọi nền tảng có xử lý dữ liệu cá nhân như website, ứng dụng, CRM, ERP, AI Chatbot, Marketing Automation hay dịch vụ điện toán đám mây. Điều này buộc doanh nghiệp chuyển từ tư duy xây dựng hệ thống để vận hành sang xây dựng hệ thống có khả năng quản trị dữ liệu và kiểm soát rủi ro.
Thách thức lớn nhất hiện nay không nằm ở quy định pháp luật mà ở năng lực triển khai. Nhiều doanh nghiệp chưa xác định được mình đang thu thập những loại dữ liệu nào, dữ liệu được lưu trữ ở đâu, ai có quyền truy cập hoặc dữ liệu đang được chia sẻ cho bên thứ ba nào. Theo NIST (2024), quản trị dữ liệu hiệu quả phải bắt đầu từ việc nhận diện đầy đủ tài sản dữ liệu, hiểu rõ luồng dữ liệu và xác định trách nhiệm quản lý đối với từng nhóm dữ liệu.
Đối với nhiều doanh nghiệp Việt Nam, bài toán này càng phức tạp khi website, CRM, ERP, chatbot hay các nền tảng marketing được triển khai độc lập theo từng giai đoạn, khiến dữ liệu phân tán trên nhiều hệ thống. Khi thiếu cơ chế quản trị thống nhất, doanh nghiệp rất khó kiểm soát toàn bộ vòng đời dữ liệu, từ thu thập, lưu trữ và chia sẻ đến xóa dữ liệu theo yêu cầu.
Ở góc độ kinh doanh, tuân thủ không chỉ giúp giảm rủi ro pháp lý mà còn nâng cao uy tín và niềm tin của khách hàng. Báo cáo Cost of a Data Breach 2024 của IBM cho thấy chi phí trung bình của một vụ rò rỉ dữ liệu trên toàn cầu đã đạt 4,88 triệu USD, trong khi các tổ chức có quy trình quản trị dữ liệu và kế hoạch ứng phó bài bản ghi nhận mức tổn thất thấp hơn đáng kể.
Có thể thấy, hai đạo luật mới đặt ra yêu cầu doanh nghiệp tái cấu trúc hoạt động quản trị dữ liệu trên toàn bộ nền tảng số, coi dữ liệu là tài sản cần được kiểm soát và bảo vệ trong suốt vòng đời sử dụng.
Nhiều doanh nghiệp cho rằng việc tuân thủ hai đạo luật mới chủ yếu thuộc trách nhiệm của phòng Công nghệ thông tin hoặc chỉ áp dụng với các doanh nghiệp công nghệ. Trên thực tế, bất kỳ tổ chức nào thu thập, lưu trữ hoặc xử lý dữ liệu cá nhân trên nền tảng số đều cần đánh giá lại toàn bộ hệ thống đang vận hành.
Điểm cần lưu ý là dữ liệu khách hàng hiếm khi chỉ tồn tại trên một nền tảng duy nhất. Trong suốt vòng đời tương tác, dữ liệu thường được tạo ra, sao chép, đồng bộ và chia sẻ giữa nhiều hệ thống khác nhau. Nếu doanh nghiệp chỉ tập trung rà soát website mà bỏ qua CRM, ERP, chatbot hay các nền tảng lưu trữ nội bộ, vẫn có thể tồn tại những khoảng trống lớn về quản trị dữ liệu và an toàn thông tin.
Thay vì kiểm tra từng hệ thống riêng lẻ, doanh nghiệp nên tiếp cận theo góc nhìn Data Lifecycle, tức toàn bộ vòng đời của dữ liệu từ khi được thu thập đến khi xóa bỏ.
Đây là lớp đầu tiên tiếp nhận dữ liệu từ người dùng và cũng là nơi phát sinh phần lớn hoạt động thu thập dữ liệu cá nhân.
Các điểm cần rà soát bao gồm:
Doanh nghiệp cần xác định rõ mỗi biểu mẫu đang thu thập dữ liệu gì, mục đích sử dụng là gì, dữ liệu được chuyển đến hệ thống nào và thời gian lưu trữ trong bao lâu. Đây cũng là nơi cần rà soát các cơ chế thông báo, xin ý kiến đồng ý (Consent) và chính sách bảo vệ dữ liệu đối với người dùng.
Đây là nơi doanh nghiệp cần đánh giá các nội dung như:
Đối với nhiều doanh nghiệp, đây cũng là khu vực tiềm ẩn rủi ro lớn nhất khi dữ liệu được chia sẻ cho nhiều phòng ban nhưng chưa có quy trình quản trị thống nhất.
Sự phát triển nhanh của AI tạo ra một lớp dữ liệu mới mà nhiều doanh nghiệp chưa thực sự kiểm soát.
Các hệ thống như AI Chatbot, AI Sales Assistant, AI CSKH hay AI Agent có thể tiếp nhận nhiều loại dữ liệu cá nhân trong quá trình hội thoại như thông tin liên hệ, lịch sử giao dịch, nhu cầu mua hàng hoặc các tài liệu doanh nghiệp cung cấp để AI xử lý.
Doanh nghiệp cần xác định rõ:
Trong bối cảnh AI ngày càng tham gia sâu vào hoạt động kinh doanh, việc đánh giá rủi ro đối với dữ liệu AI cần được xem là một phần của chiến lược quản trị dữ liệu tổng thể.
Ngoài các hệ thống nội bộ, doanh nghiệp cũng cần rà soát toàn bộ nền tảng đang kết nối với dữ liệu khách hàng như:
Mỗi kết nối đều tạo ra một luồng dữ liệu mới. Nếu doanh nghiệp không xác định được dữ liệu đang được chia sẻ với những bên nào, phục vụ mục đích gì và được bảo vệ theo cơ chế nào, việc quản trị dữ liệu sẽ khó đạt hiệu quả thực chất.
Theo NIST Cybersecurity Framework 2.0, quản trị rủi ro chuỗi cung ứng (Cybersecurity Supply Chain Risk Management) là một trong những thành phần quan trọng của chiến lược an ninh mạng hiện đại. Điều này nhấn mạnh rằng doanh nghiệp không chỉ cần bảo vệ hệ thống nội bộ mà còn phải quản lý các rủi ro phát sinh từ đối tác, nhà cung cấp dịch vụ và các nền tảng kết nối trong hệ sinh thái số (NIST, 2024).
Việc tuân thủ Luật Bảo vệ dữ liệu cá nhân và Luật An ninh mạng cần được triển khai trên toàn bộ vòng đời dữ liệu, từ khâu thu thập, xử lý, lưu trữ đến chia sẻ và hủy dữ liệu. Thay vì đánh giá từng hệ thống riêng lẻ, doanh nghiệp nên rà soát theo các lớp kiểm soát (Control Layers) dưới đây để xác định những khoảng trống cần ưu tiên khắc phục.
Lớp kiểm soát | Mục tiêu kiểm soát | Việc doanh nghiệp cần triển khai | Mức độ ưu tiên |
Kiểm kê dữ liệu (Data Inventory) | Xác định đầy đủ dữ liệu cá nhân đang được thu thập và xử lý. | Lập danh mục dữ liệu, phân loại dữ liệu cá nhân và dữ liệu nhạy cảm, xác định mục đích xử lý, thời gian lưu trữ và đơn vị chịu trách nhiệm quản lý. | Cao |
Bản đồ luồng dữ liệu (Data Mapping) | Kiểm soát toàn bộ vòng đời dữ liệu trên các hệ thống số. | Xác định dữ liệu được tạo ra từ đâu, đi qua hệ thống nào, lưu trữ ở đâu, đồng bộ với nền tảng nào và chia sẻ cho những bên nào. | Cao |
Quản trị quyền truy cập (Access Governance) | Giới hạn quyền truy cập theo đúng chức năng công việc. | Áp dụng phân quyền theo vai trò (RBAC), xác thực đa yếu tố (MFA), Audit Log và quy trình thu hồi quyền khi nhân sự nghỉ việc hoặc thay đổi vị trí. | Cao |
Quản lý bên thứ ba (Third-party Risk) | Kiểm soát rủi ro khi dữ liệu được xử lý ngoài doanh nghiệp. | Rà soát các nền tảng Cloud, CRM SaaS, AI, Marketing Automation, đơn vị thanh toán, vận chuyển và API tích hợp; đánh giá phạm vi dữ liệu được chia sẻ và trách nhiệm của từng đối tác. | Cao |
Quản trị sự đồng ý (Consent Management) | Đảm bảo việc thu thập và xử lý dữ liệu minh bạch. | Cập nhật Privacy Policy, Cookie Policy, cơ chế xin và lưu vết sự đồng ý, quy trình tiếp nhận yêu cầu chỉnh sửa hoặc xóa dữ liệu của chủ thể dữ liệu. | Cao |
Bảo mật hạ tầng (Infrastructure Security) | Giảm thiểu nguy cơ truy cập trái phép và tấn công mạng. | Kiểm tra SSL/TLS, mã hóa dữ liệu, Firewall/WAF, Backup, vá lỗ hổng, giám sát truy cập, kiểm thử bảo mật định kỳ và bảo vệ API. | Cao |
Ứng phó sự cố (Incident Response) | Rút ngắn thời gian phát hiện và xử lý sự cố an toàn thông tin. | Xây dựng Incident Response Plan, phân công trách nhiệm, quy trình cô lập hệ thống, khôi phục dữ liệu, điều tra nguyên nhân và lưu hồ sơ sự cố. | Trung bình |
Quản trị AI (AI Governance) | Kiểm soát việc AI xử lý dữ liệu cá nhân và dữ liệu nội bộ. | Đánh giá AI Chatbot, AI Agent, Copilot hoặc LLM đang sử dụng; kiểm tra dữ liệu đầu vào, chính sách lưu trữ, khả năng huấn luyện mô hình và cơ chế che giấu dữ liệu nhạy cảm. | Trung bình |
Nhận thức an toàn thông tin (Security Awareness) | Giảm rủi ro phát sinh từ yếu tố con người. | Đào tạo định kỳ về bảo vệ dữ liệu, phishing, quản lý mật khẩu, sử dụng AI an toàn và quy trình báo cáo sự cố. | Trung bình |
Đánh giá tuân thủ (Compliance Audit) | Duy trì khả năng tuân thủ khi hệ thống và quy định thay đổi. | Thiết lập kế hoạch audit định kỳ, đánh giá lỗ hổng, rà soát quyền truy cập, kiểm tra quy trình và cập nhật chính sách theo thay đổi của pháp luật hoặc mô hình vận hành. | Duy trì |
Một sai lầm phổ biến là doanh nghiệp chỉ tập trung bảo mật website hoặc bổ sung chính sách bảo vệ dữ liệu khi có yêu cầu pháp lý. Trên thực tế, dữ liệu cá nhân luôn di chuyển qua nhiều lớp hệ thống như CRM, ERP, AI, nền tảng Marketing Automation và các dịch vụ của bên thứ ba. Nếu chỉ một mắt xích không được kiểm soát, toàn bộ chuỗi xử lý dữ liệu đều có thể phát sinh rủi ro. Vì vậy, doanh nghiệp cần xem tuân thủ là một mô hình quản trị dữ liệu xuyên suốt (Data Governance), thay vì một danh sách hạng mục cần hoàn thành.
Tuân thủ Luật Bảo vệ dữ liệu cá nhân và Luật An ninh mạng không nên được triển khai theo từng hạng mục riêng lẻ. Thay vào đó, doanh nghiệp cần xây dựng một lộ trình triển khai theo từng giai đoạn, giúp xác định đúng ưu tiên, phân bổ nguồn lực hợp lý và từng bước hoàn thiện năng lực quản trị dữ liệu trên toàn bộ hệ thống số.
Dưới đây là mô hình triển khai gồm bốn giai đoạn có thể áp dụng cho hầu hết doanh nghiệp đang vận hành website, CRM, ERP, ứng dụng di động hoặc các nền tảng AI.
Giai đoạn | Mục tiêu | Hoạt động trọng tâm | Kết quả đầu ra |
Discover | Hiểu doanh nghiệp đang sở hữu những dữ liệu và hệ thống nào. | Kiểm kê dữ liệu cá nhân, lập bản đồ luồng dữ liệu, rà soát hệ thống, đánh giá rủi ro ban đầu. | Danh mục dữ liệu, bản đồ hệ thống và báo cáo hiện trạng. |
Govern | Chuẩn hóa cách dữ liệu được quản trị và sử dụng. | Xây dựng chính sách bảo vệ dữ liệu, cơ chế đồng ý (Consent), phân quyền truy cập, quản lý nhà cung cấp và quy trình nội bộ. | Khung quản trị dữ liệu và quy trình vận hành thống nhất. |
Protect | Bảo vệ dữ liệu và hạ tầng trước các rủi ro an ninh mạng. | Mã hóa dữ liệu, xác thực đa yếu tố, sao lưu, giám sát truy cập, bảo vệ API, xây dựng quy trình ứng phó sự cố và quản trị AI. | Hệ thống được tăng cường khả năng bảo mật và giảm thiểu rủi ro. |
Improve | Duy trì khả năng tuân thủ trong dài hạn. | Audit định kỳ, đánh giá lỗ hổng, đào tạo nhân sự, theo dõi thay đổi pháp luật và cập nhật quy trình. | Hệ thống được cải tiến liên tục và duy trì khả năng tuân thủ. |
JAMstack Vietnam là đối tác phát triển nền tảng số cho doanh nghiệp, tập trung xây dựng các hệ thống có khả năng quản trị dữ liệu, bảo mật hạ tầng và kiểm soát truy cập, giúp doanh nghiệp sẵn sàng đáp ứng các yêu cầu ngày càng cao về bảo vệ dữ liệu và an toàn thông tin.
Thực tế, JAMstack Vietnam đã triển khai nền tảng số cho nhiều tổ chức và doanh nghiệp như Bệnh viện Đại học Y Dược TP.HCM, Rạng Đông, Đấu Giá Trường Sơn, MFW cùng nhiều khách hàng thuộc các lĩnh vực y tế, sản xuất, thương mại và dịch vụ. Kinh nghiệm triển khai trên nhiều mô hình vận hành khác nhau giúp đội ngũ hiểu rõ yêu cầu về quản trị dữ liệu, phân quyền truy cập và bảo mật hệ thống, từ đó xây dựng các nền tảng số hỗ trợ doanh nghiệp đáp ứng tốt hơn các quy định mới về bảo vệ dữ liệu cá nhân và an toàn thông tin.
Nếu doanh nghiệp thu thập, lưu trữ hoặc xử lý dữ liệu cá nhân trên website, ứng dụng, CRM hay bất kỳ nền tảng số nào thì đều cần rà soát hệ thống và triển khai các biện pháp quản trị dữ liệu phù hợp với quy mô hoạt động.
Có. Biểu mẫu liên hệ là một điểm thu thập dữ liệu cá nhân. Doanh nghiệp cần xác định dữ liệu được lưu ở đâu, ai có quyền truy cập, mục đích sử dụng và thời gian lưu trữ.
Có. Nếu AI tiếp nhận hoặc xử lý dữ liệu cá nhân, doanh nghiệp cần đánh giá phạm vi dữ liệu được sử dụng, chính sách của nhà cung cấp AI, quyền truy cập và cơ chế bảo vệ dữ liệu trước khi triển khai trong thực tế.
Không có chu kỳ cố định áp dụng cho mọi tổ chức. Tuy nhiên, doanh nghiệp nên thực hiện đánh giá định kỳ và rà soát lại mỗi khi triển khai hệ thống mới, tích hợp thêm đối tác hoặc thay đổi quy trình xử lý dữ liệu.
Chúng tôi sử dụng cookie để nâng cao trải nghiệm duyệt web của bạn, cung cấp các nội dung được cá nhân hoá và phân tích lưu lượng truy cập trên trang web của chúng tôi. Bằng cách nhấp vào “Chấp nhận”, bạn đồng ý với việc chúng tôi sử dụng cookie. Tìm hiểu Chính sách Cookie.
