Bảo mật thông tin và quản trị rủi ro công nghệ

Trong ngành Thông tin và Công nghệ, hệ thống công nghệ không chỉ là công cụ hỗ trợ mà còn là nền tảng trực tiếp tạo ra và duy trì giá trị kinh doanh. Từ hạ tầng viễn thông, dịch vụ Internet, thiết bị điện tử đến phần mềm, nền tảng số và các ứng dụng AI, hoạt động của doanh nghiệp ngày càng phụ thuộc vào khả năng vận hành an toàn, liên tục và đáng tin cậy của hệ thống công nghệ.

Sự phụ thuộc này cũng khiến doanh nghiệp đối mặt với nhiều rủi ro. Một sự cố an ninh mạng, rò rỉ dữ liệu, gián đoạn hệ thống hoặc lỗi trong quá trình triển khai công nghệ có thể ảnh hưởng đến hàng nghìn khách hàng, làm đình trệ hoạt động kinh doanh và gây tổn thất tài chính đáng kể. Đối với các doanh nghiệp cung cấp dịch vụ số, sự cố còn có thể làm suy giảm niềm tin của khách hàng và ảnh hưởng trực tiếp đến khả năng duy trì doanh thu.

Trong khi đó, công nghệ ngày càng phức tạp, hệ thống được kết nối với nhiều đối tác và nền tảng bên ngoài, còn dữ liệu được thu thập và xử lý qua nhiều bộ phận khác nhau. Điều này khiến việc bảo mật không còn là nhiệm vụ riêng của bộ phận kỹ thuật mà trở thành vấn đề quản trị toàn doanh nghiệp.

Thách thức cốt lõi là làm thế nào để doanh nghiệp nhận diện, phân loại và kiểm soát rủi ro công nghệ một cách có hệ thống, đồng thời duy trì hoạt động kinh doanh mà không tạo ra những hạn chế không cần thiết đối với đổi mới và phát triển.

Rủi ro công nghệ ngày càng đa dạng và khó dự đoán

Doanh nghiệp trong ngành Thông tin và Công nghệ có thể đối mặt với nhiều nhóm rủi ro khác nhau, từ tấn công mạng, đánh cắp dữ liệu, mã độc, lỗ hổng phần mềm đến lỗi thiết bị, gián đoạn hạ tầng và sự cố từ nhà cung cấp bên ngoài.

Đặc điểm của các rủi ro này là chúng có thể xuất hiện tại nhiều điểm trong hệ thống. Một lỗ hổng trong phần mềm có thể ảnh hưởng đến dữ liệu khách hàng; một sự cố tại trung tâm dữ liệu có thể làm gián đoạn nhiều dịch vụ; một tài khoản nội bộ bị chiếm quyền có thể tạo điều kiện cho kẻ tấn công tiếp cận những hệ thống quan trọng hơn.

Đối với doanh nghiệp sử dụng AI, rủi ro còn có thể liên quan đến việc sử dụng dữ liệu không phù hợp, truy cập trái phép, đầu ra sai lệch hoặc tích hợp công cụ bên ngoài mà chưa đánh giá đầy đủ các giới hạn và hệ quả.

Vấn đề không chỉ nằm ở số lượng rủi ro, mà còn ở tính liên kết giữa chúng. Một sự cố ban đầu tương đối nhỏ có thể lan rộng nếu các hệ thống phụ thuộc lẫn nhau và doanh nghiệp không có cơ chế phát hiện, cô lập hoặc xử lý kịp thời.

Vì vậy, doanh nghiệp cần xây dựng danh mục rủi ro công nghệ theo từng hệ thống, sản phẩm và hoạt động kinh doanh. Mỗi rủi ro cần được đánh giá dựa trên khả năng xảy ra, mức độ ảnh hưởng và khả năng phát hiện, từ đó xác định thứ tự ưu tiên kiểm soát.

Bảo mật bị xem là trách nhiệm riêng của bộ phận kỹ thuật

Một sai lầm phổ biến là xem bảo mật thông tin chủ yếu là vấn đề của đội ngũ công nghệ thông tin hoặc an ninh mạng. Trên thực tế, nhiều rủi ro bắt nguồn từ cách doanh nghiệp tổ chức công việc, phân quyền, quản lý dữ liệu và đưa ra quyết định.

Bộ phận kinh doanh có thể chia sẻ dữ liệu khách hàng qua những kênh chưa được kiểm soát. Nhân viên có thể sử dụng công cụ AI bên ngoài để xử lý tài liệu nội bộ mà chưa hiểu rõ các yêu cầu bảo mật. Bộ phận phát triển sản phẩm có thể triển khai tính năng mới mà chưa đánh giá đầy đủ tác động đến quyền truy cập hoặc dữ liệu cá nhân.

Nếu trách nhiệm bảo mật chỉ được giao cho bộ phận kỹ thuật, các bộ phận khác có thể cho rằng việc kiểm soát rủi ro không thuộc phạm vi công việc của mình. Trong khi đó, bộ phận kỹ thuật không thể trực tiếp giám sát mọi quyết định và hành vi phát sinh trong toàn doanh nghiệp.

Doanh nghiệp cần phân định rõ trách nhiệm giữa lãnh đạo, bộ phận kỹ thuật, các đơn vị nghiệp vụ và từng nhân sự. Lãnh đạo chịu trách nhiệm định hướng và chấp nhận rủi ro ở cấp độ doanh nghiệp; bộ phận chuyên môn thiết kế và vận hành các biện pháp kiểm soát; các đơn vị nghiệp vụ phải tuân thủ quy trình trong phạm vi hoạt động của mình.

Khi trách nhiệm được xác định rõ và gắn với cơ chế kiểm tra, bảo mật mới trở thành một phần của hệ thống quản trị thay vì chỉ là nhiệm vụ kỹ thuật.

Khó cân bằng giữa bảo mật, tốc độ đổi mới và hiệu quả kinh doanh

Trong môi trường công nghệ cạnh tranh cao, doanh nghiệp phải liên tục phát triển sản phẩm, cập nhật tính năng, tích hợp nền tảng mới và rút ngắn thời gian đưa sản phẩm ra thị trường.

Tuy nhiên, mỗi thay đổi về công nghệ đều có thể tạo ra rủi ro mới. Việc bổ sung một dịch vụ bên ngoài, thay đổi kiến trúc hệ thống hoặc mở rộng quyền truy cập dữ liệu có thể làm phát sinh những điểm yếu mà doanh nghiệp chưa đánh giá đầy đủ.

Nếu kiểm soát quá chặt, quy trình phê duyệt có thể kéo dài, làm giảm tốc độ phát triển và ảnh hưởng đến khả năng cạnh tranh. Ngược lại, nếu ưu tiên tốc độ mà bỏ qua đánh giá rủi ro, doanh nghiệp có thể phải trả giá bằng sự cố vận hành, chi phí khắc phục và mất niềm tin của khách hàng.

Thách thức vì vậy không phải là lựa chọn giữa bảo mật và đổi mới, mà là thiết kế cơ chế quản lý phù hợp với mức độ rủi ro của từng hoạt động.

Những thay đổi có ảnh hưởng lớn đến dữ liệu, hạ tầng trọng yếu hoặc dịch vụ khách hàng cần được đánh giá và phê duyệt theo tiêu chuẩn rõ ràng. Các thay đổi ít rủi ro hơn có thể áp dụng quy trình đơn giản hơn, miễn là vẫn đáp ứng những yêu cầu kiểm soát cần thiết.

Cách tiếp cận này giúp doanh nghiệp đưa bảo mật vào ngay từ quá trình thiết kế và phát triển sản phẩm, thay vì chỉ kiểm tra sau khi hệ thống đã được triển khai.

Thiếu cơ chế phối hợp khi xảy ra sự cố công nghệ

Khi sự cố xảy ra, tốc độ phản ứng và chất lượng phối hợp giữa các bộ phận có thể quyết định mức độ thiệt hại.

Một sự cố rò rỉ dữ liệu có thể đồng thời đòi hỏi đội ngũ kỹ thuật khoanh vùng nguyên nhân, bộ phận vận hành duy trì dịch vụ, bộ phận kinh doanh thông tin cho khách hàng và lãnh đạo quyết định phương án xử lý. Nếu doanh nghiệp chưa xác định rõ quyền hạn và trách nhiệm, các bộ phận có thể chờ chỉ đạo, xử lý không thống nhất hoặc đưa ra quyết định mâu thuẫn.

Tình trạng này thường nghiêm trọng hơn khi doanh nghiệp phát triển nhanh nhưng hệ thống quản lý chưa theo kịp. Quy trình xử lý sự cố có thể chỉ tồn tại dưới dạng kinh nghiệm của một số cá nhân, không được chuẩn hoá hoặc chưa được kiểm thử trong tình huống thực tế.

Doanh nghiệp cần xây dựng quy trình ứng phó sự cố theo từng cấp độ nghiêm trọng, xác định người chịu trách nhiệm điều phối, cơ chế báo cáo, thẩm quyền ra quyết định và phương án duy trì hoạt động thiết yếu.

Bên cạnh đó, việc diễn tập định kỳ và đánh giá sau sự cố giúp doanh nghiệp kiểm tra tính khả thi của quy trình, xác định điểm yếu trong phối hợp và cải thiện năng lực phản ứng.

Mục tiêu không chỉ là khắc phục sự cố kỹ thuật, mà còn là hạn chế tác động đến khách hàng, doanh thu và hoạt động kinh doanh trong toàn bộ thời gian xử lý.

Phụ thuộc vào nhà cung cấp và các nền tảng công nghệ bên ngoài

Nhiều doanh nghiệp công nghệ không tự phát triển toàn bộ hệ thống mà sử dụng dịch vụ điện toán đám mây, phần mềm bên thứ ba, thư viện mã nguồn mở, nền tảng thanh toán, hệ thống định danh hoặc các dịch vụ AI bên ngoài.

Cách tiếp cận này giúp doanh nghiệp rút ngắn thời gian phát triển và giảm nhu cầu tự đầu tư hạ tầng. Tuy nhiên, nó cũng mở rộng phạm vi rủi ro vượt ra ngoài hệ thống mà doanh nghiệp trực tiếp kiểm soát.

Nếu nhà cung cấp gặp sự cố, thay đổi chính sách hoặc bị tấn công, dịch vụ của doanh nghiệp có thể bị ảnh hưởng theo. Một thành phần phần mềm bên thứ ba có lỗ hổng cũng có thể tạo ra điểm yếu trong sản phẩm cuối cùng.

Ngoài ra, doanh nghiệp có thể chưa đánh giá đầy đủ điều khoản sử dụng, quyền truy cập dữ liệu, khả năng chuyển đổi nhà cung cấp và mức độ phụ thuộc vào các dịch vụ thiết yếu.

Để quản lý nhóm rủi ro này, doanh nghiệp cần xác định những nhà cung cấp và thành phần công nghệ quan trọng, đánh giá mức độ ảnh hưởng nếu dịch vụ bị gián đoạn, đồng thời quy định rõ trách nhiệm và yêu cầu kiểm soát trong quá trình hợp tác.

Đối với các hệ thống trọng yếu, cần xem xét phương án dự phòng, khả năng phục hồi và kế hoạch chuyển đổi khi nhà cung cấp không còn đáp ứng yêu cầu. Việc quản lý rủi ro bên thứ ba cần được thực hiện xuyên suốt vòng đời hợp tác, không chỉ tại thời điểm ký kết hợp đồng.

Thiếu dữ liệu và chỉ tiêu để đánh giá hiệu quả quản trị rủi ro

Nhiều doanh nghiệp đầu tư vào công cụ bảo mật nhưng chưa xây dựng được hệ thống chỉ tiêu để đánh giá liệu các biện pháp kiểm soát có thực sự hiệu quả hay không.

Số lượng công cụ được triển khai, số nhân sự tham gia đào tạo hoặc số cảnh báo được ghi nhận không đủ để phản ánh toàn diện mức độ an toàn của hệ thống. Một doanh nghiệp có thể đầu tư nhiều cho bảo mật nhưng vẫn tồn tại những điểm yếu nghiêm trọng do thiếu quy trình, phân quyền không hợp lý hoặc chưa kiểm soát được các hệ thống quan trọng.

Nếu không có dữ liệu phù hợp, lãnh đạo khó xác định nguồn lực đang được phân bổ đúng ưu tiên hay chưa, mức độ rủi ro có giảm theo thời gian hay không và những biện pháp nào cần được cải thiện.

Doanh nghiệp nên thiết lập hệ thống chỉ tiêu gắn với mục tiêu quản trị, chẳng hạn như thời gian phát hiện và xử lý sự cố, tỷ lệ hệ thống trọng yếu được đánh giá rủi ro, mức độ hoàn thành các biện pháp khắc phục, thời gian phục hồi dịch vụ và mức độ tuân thủ các quy trình kiểm soát.

Các chỉ tiêu cần được phân tích cùng mức độ ảnh hưởng đến hoạt động kinh doanh, thay vì chỉ theo dõi số liệu kỹ thuật một cách riêng lẻ. Điều này giúp lãnh đạo hiểu rõ hơn mối quan hệ giữa đầu tư bảo mật, mức độ rủi ro và khả năng duy trì hoạt động.

Thách thức đối với doanh nghiệp ngành Thông tin và Công nghệ

Bảo mật thông tin và quản trị rủi ro công nghệ đòi hỏi sự kết hợp giữa năng lực kỹ thuật, cơ chế tổ chức và hệ thống quản lý. Nếu doanh nghiệp chỉ đầu tư vào công nghệ bảo mật mà không thay đổi cách phân công trách nhiệm, kiểm soát quy trình và ra quyết định, nhiều rủi ro vẫn có thể tồn tại.

Những thách thức phổ biến bao gồm:

• Rủi ro ngày càng phức tạp: Nhiều hệ thống, dữ liệu và dịch vụ kết nối với nhau làm tăng khả năng phát sinh sự cố dây chuyền.
• Trách nhiệm chưa rõ ràng: Bảo mật bị xem là nhiệm vụ riêng của bộ phận kỹ thuật, trong khi rủi ro có thể xuất phát từ mọi hoạt động kinh doanh.
• Xung đột giữa tốc độ và kiểm soát: Doanh nghiệp khó cân bằng giữa yêu cầu đổi mới nhanh với việc đánh giá và giảm thiểu rủi ro.
• Phối hợp ứng phó chưa hiệu quả: Thiếu quy trình, thẩm quyền và cơ chế điều phối thống nhất khi xảy ra sự cố.
• Phụ thuộc vào bên thứ ba: Rủi ro từ nhà cung cấp và nền tảng bên ngoài chưa được đánh giá xuyên suốt.
• Thiếu cơ chế đo lường: Chưa có hệ thống chỉ tiêu đủ rõ để theo dõi mức độ rủi ro và hiệu quả của các biện pháp kiểm soát.

Nếu không giải quyết những vấn đề này ở cấp độ hệ thống, doanh nghiệp có thể phải đối mặt với các sự cố lặp lại, chi phí khắc phục gia tăng và suy giảm niềm tin của khách hàng.