CISO là gì?

Mục lục

1. CISO là gì và chữ viết tắt này dịch thế nào?
2. CISO làm gì trong một năm điển hình?
3. CISO khác CIO, CTO và quản trị viên bảo mật ở đâu?
4. Doanh nghiệp Việt Nam có bắt buộc phải có CISO không?
5. Khi nào nên thuê CISO toàn thời gian, kiêm nhiệm hay vCISO?
6. Một CISO giỏi cần những năng lực nào?
7. Các chỉ số CISO nên trình lên lãnh đạo là gì?
8. Ưu điểm và hạn chế khi có CISO
9. CISO khác gì với khái niệm gần như DPO và kiểm toán nội bộ?
10. Khi nào chưa nên tạo vị trí CISO?
11. Câu hỏi thường gặp

CISO là gì và chữ viết tắt này dịch thế nào?

CISO là viết tắt của Chief Information Security Officer. Tiếng Việt thường dịch là giám đốc an toàn thông tin hoặc giám đốc an ninh thông tin. Một số công ty gọi vị trí tương đương là trưởng phòng bảo mật hay giám đốc bảo mật. Theo mô tả phổ biến, đây là giám đốc điều hành cấp cao chịu trách nhiệm thiết lập và duy trì tầm nhìn, chiến lược và chương trình để bảo vệ tài sản thông tin và công nghệ.

Điểm cần nhớ: CISO là chức danh quản trị, không phải tên một chứng chỉ hay một công cụ. Người này không nhất thiết giỏi nhất về kỹ thuật trong đội. Họ cần quyết định nên chấp nhận, giảm, chuyển giao hay tránh từng loại rủi ro, rồi giải thích quyết định đó cho ban lãnh đạo bằng ngôn ngữ kinh doanh.

Bạn cũng sẽ gặp CSO (Chief Security Officer). Một số nguồn cho rằng hai chức danh này đôi khi dùng thay nhau, nhưng CSO có thể bao gồm cả an ninh vật lý như kiểm soát ra vào, camera, bảo vệ. CISO tập trung vào thông tin và hệ thống số.

CISO làm gì trong một năm điển hình?

Công việc của CISO lặp theo chu kỳ hơn là theo dự án. Hình dưới mô tả vòng việc thường thấy.

Kiểm kê tài sản và đánh giá rủi ro

CISO bắt đầu từ câu hỏi: dữ liệu nào, hệ thống nào làm doanh nghiệp dừng hoặc thiệt hại nếu mất. Với một công ty thương mại điện tử, đó có thể là cơ sở dữ liệu đơn hàng và cổng thanh toán. Với nhà máy, đó là mạng điều khiển dây chuyền. Danh sách này quyết định tiền đầu tư đi đâu trước. Việc phân loại hệ thống để ưu tiên nguồn lực cũng được các cơ quan hướng dẫn Luật An ninh mạng 2025 nhấn mạnh, nhằm tránh đầu tư dàn trải.

Chính sách, kiểm soát và tuân thủ

CISO ban hành quy chế sử dụng mạng nội bộ, quy định phân quyền, quy trình xử lý thiết bị mất cắp, yêu cầu bảo mật với nhà cung cấp. Nhiều doanh nghiệp dùng khung quản lý như ISO 27001 và ISMS để biến các việc này thành quy trình có thể đánh giá. CISO cũng là đầu mối làm việc với kiểm toán và cơ quan quản lý.

Giám sát và ứng phó sự cố

CISO không nhất thiết trực ca hằng ngày. Họ quyết định mô hình giám sát: tự xây trung tâm giám sát SOC, thuê ngoài, hay kết hợp. Khi sự cố xảy ra, CISO điều phối: ai cô lập máy, ai liên hệ pháp chế, ai nói chuyện với khách hàng và cơ quan chức năng, khi nào khôi phục từ bản sao lưu.

Báo cáo cho hội đồng và ban điều hành

Đây là phần nhiều người hay bỏ qua. CISO phải chuyển ngôn ngữ kỹ thuật thành tác động kinh doanh: nếu hệ thống đặt hàng ngừng ba ngày thì mất gì, đang chấp nhận rủi ro nào và ai ký chấp nhận. Một bản báo cáo chỉ liệt kê số cuộc tấn công bị chặn chưa trả lời được những câu này.

CISO khác CIO, CTO và quản trị viên bảo mật ở đâu?

Sự nhầm lẫn lớn nhất là coi CISO như một CIO chuyên về bảo mật. Hai vị trí này có mục tiêu có thể xung đột, và chính sự xung đột đó có giá trị. CIO chịu áp lực đưa hệ thống chạy nhanh, ổn định, đúng ngân sách. CISO có trách nhiệm chỉ ra rủi ro của chính quyết định đó, ví dụ mở cổng truy cập từ xa cho đối tác trong tuần cuối tháng.

Tiêu chí	CISO	CIO	CTO	Quản trị viên bảo mật
Câu hỏi chính	Rủi ro thông tin nào chấp nhận được?	Hệ thống nội bộ có phục vụ kinh doanh không?	Sản phẩm công nghệ phát triển thế nào?	Thiết bị, quy tắc đã cấu hình đúng chưa?
Cấp độ	Điều hành, chiến lược	Điều hành	Điều hành	Triển khai, vận hành
Sản phẩm công việc	Chính sách, đăng ký rủi ro, kế hoạch ứng phó, báo cáo lãnh đạo	Kiến trúc CNTT, ngân sách hạ tầng	Lộ trình sản phẩm, kiến trúc kỹ thuật	Cấu hình, nhật ký, bản vá
Đo thành công bằng	Mức rủi ro còn lại, thời gian phát hiện và khôi phục	Mức sẵn sàng, chi phí vận hành	Tốc độ ra sản phẩm, chất lượng kỹ thuật	Số lỗ hổng đã vá, cảnh báo đã xử lý

Một số tài liệu của doanh nghiệp xếp CISO dưới CIO để tiết kiệm chi phí. Cách này chạy được ở công ty nhỏ, nhưng khi báo cáo qua chính người mà quyết định của họ cần phản biện, tiếng nói của CISO dễ bị lọc bớt. Vì vậy các tổ chức lớn, đặc biệt trong ngân hàng và tài chính, hay chọn tách đường báo cáo, ví dụ báo cáo thẳng CEO hoặc ủy ban rủi ro. Mỗi mô hình có đánh đổi, bạn nên chọn theo mức độ nhạy cảm của dữ liệu.

Doanh nghiệp Việt Nam có bắt buộc phải có CISO không?

Không có quy định chung buộc mọi doanh nghiệp phải bổ nhiệm chức danh tên CISO. Điều pháp luật đặt ra là trách nhiệm. Theo Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ 01/7/2026, và theo phân tích của Bộ Công an, Điều 31 quy định người đứng đầu cơ quan, tổ chức là chủ quản hệ thống thông tin, trực tiếp chịu trách nhiệm trước pháp luật về bảo vệ an ninh mạng. Nghĩa là lãnh đạo không thể giao cho phòng IT rồi coi như xong, và CISO (hay người đảm nhiệm tương đương) là người giúp lãnh đạo đủ thông tin để chịu trách nhiệm đó.

Với hệ thống thông tin quan trọng về an ninh quốc gia, luật còn có yêu cầu riêng: chủ quản phải kiểm tra an ninh mạng trước khi vận hành và tự kiểm tra hằng năm. Một số bài phân tích cũng nêu yêu cầu người đứng đầu hoặc người phụ trách loại hệ thống này phải qua sát hạch và được cấp chứng chỉ về an ninh mạng. Nếu bạn thuộc nhóm này, hãy đối chiếu với nghị định hướng dẫn mới nhất và tư vấn pháp lý, vì chi tiết thi hành có thể thay đổi.

Đối với doanh nghiệp thông thường, cách nhìn thực tế là: bạn cần chức năng CISO, dù tên gọi là gì. Chức năng đó gồm một người có quyền yêu cầu sửa lỗi bảo mật, quyền đưa rủi ro lên cấp quyết định, và thời gian dành cho việc này. Bạn có thể xem cách tổ chức an ninh mạng cho doanh nghiệp nhỏ nếu chưa có đội chuyên trách. Nếu hệ thống của bạn xử lý dữ liệu cá nhân của khách hàng, người phụ trách còn cần nắm bản đồ dữ liệu: loại dữ liệu nào, lưu ở đâu, ai truy cập.

Khi nào nên thuê CISO toàn thời gian, kiêm nhiệm hay vCISO?

Ba yếu tố thường chi phối lựa chọn: mức độ nhạy cảm của dữ liệu, độ phức tạp hệ thống và quy mô đội IT hiện có. Ma trận dưới đây là khung tham khảo, không phải quy tắc cứng.

CISO toàn thời gian

Hợp với tổ chức có nhiều hệ thống, nhiều chi nhánh, chịu sự giám sát của cơ quan quản lý ngành hoặc xử lý khối lượng lớn dữ liệu nhạy cảm. Ngân hàng, công ty chứng khoán, bảo hiểm, nền tảng thanh toán là các ví dụ điển hình.

vCISO (virtual CISO)

vCISO là chuyên gia bên ngoài đảm nhận chức năng CISO theo hợp đồng, thường vài ngày mỗi tháng. Mô hình này hợp với công ty có dữ liệu nhạy cảm nhưng đội IT chỉ vài người, ví dụ phòng khám, công ty phần mềm gia công cho khách hàng nước ngoài. Rủi ro của mô hình là người ngoài không có mặt khi sự cố xảy ra lúc nửa đêm; hợp đồng cần nêu rõ thời gian phản hồi và phạm vi thẩm quyền. Bạn có thể đối chiếu các mức cam kết này với cách viết SLA.

Người kiêm nhiệm

Ở công ty nhỏ, giám đốc IT hoặc trưởng bộ phận vận hành có thể kiêm. Điểm yếu là xung đột lợi ích: cùng một người vừa triển khai vừa tự kiểm tra. Cách giảm thiểu là thuê đơn vị bên ngoài thực hiện kiểm tra định kỳ, chẳng hạn kiểm thử xâm nhập, rồi người kiêm nhiệm báo cáo kết quả thẳng lên lãnh đạo.

Một CISO giỏi cần những năng lực nào?

Danh sách chứng chỉ thường được nhắc gồm CISSP, CISM, CISA, CRISC. Có thể họ chứng minh kiến thức nền, nhưng chứng chỉ không thay thế được kinh nghiệm xử lý sự cố thật. Bạn nên đánh giá ứng viên theo bốn nhóm năng lực sau.

• Quản trị rủi ro: biết xếp hạng rủi ro theo thiệt hại kinh doanh, không theo mức “nghe đáng sợ”.
• Kiến trúc và kỹ thuật: đủ sâu để hỏi đúng câu khi đội kỹ thuật báo “đã xử lý xong”, chẳng hạn hỏi bằng chứng đã khôi phục thử từ bản sao lưu chưa.
• Pháp lý và hợp đồng: đọc được điều khoản bảo mật với nhà cung cấp, nghĩa vụ báo cáo sự cố và lưu trữ nhật ký.
• Giao tiếp: một nguồn đã nêu rằng phần lớn công việc của CISO là quản lý và vận động bảo mật trong ban lãnh đạo. Điều này đúng với thực tế nhiều doanh nghiệp: ngân sách bảo mật hiếm khi bị chặn vì kỹ thuật, mà vì lãnh đạo chưa thấy tác động.

Lộ trình thường gặp là đi từ kỹ sư mạng, quản trị hệ thống hay kiểm toán CNTT, lên trưởng nhóm bảo mật, rồi quản lý chương trình bảo mật. Người đến từ kiểm toán hoặc quản trị rủi ro vẫn có thể làm tốt nếu bổ sung hiểu biết kỹ thuật.

Các chỉ số CISO nên trình lên lãnh đạo là gì?

Con số khiến lãnh đạo ra quyết định là con số gắn với kết quả, không phải số lượng công cụ. Một bài trên cổng thông tin chuyên ngành về Luật An ninh mạng 2025 cũng nhận định rằng hiệu quả bảo vệ không còn đo đơn thuần bằng số thiết bị bảo mật đã đầu tư, mà bằng khả năng phát hiện nguy cơ, xử lý sự cố và duy trì hoạt động liên tục. Từ đó, bộ chỉ số tham khảo có thể gồm:

• Thời gian trung bình từ khi sự cố bắt đầu đến khi được phát hiện, và đến khi được khống chế.
• Tỷ lệ tài khoản quản trị đã bật xác thực đa yếu tố.
• Thời gian tồn tại của lỗ hổng mức nghiêm trọng trên hệ thống đối ngoại, tính từ lúc công bố đến lúc vá.
• Kết quả lần khôi phục thử gần nhất: khôi phục được gì, mất bao lâu, so với mục tiêu thời gian đã cam kết. Phần này liên quan trực tiếp đến kế hoạch khôi phục sau thảm hoạ.
• Tỷ lệ nhân viên báo cáo email lừa đảo trong các đợt diễn tập, so với tỷ lệ nhấp vào.

Mỗi chỉ số cần ngưỡng mục tiêu và người chịu trách nhiệm trước khi đo, để tránh tình trạng số liệu chỉ để trình bày. Hãy nhớ rằng đây là bộ gợi ý; doanh nghiệp nên chọn theo rủi ro của mình, không áp dụng nguyên danh sách.

Ưu điểm và hạn chế khi có CISO

Ưu điểm	Hạn chế
Có một đầu mối thống nhất cho chính sách, sự cố và làm việc với cơ quan quản lý	Chi phí nhân sự cấp cao; ứng viên có kinh nghiệm thực chiến khan hiếm
Rủi ro bảo mật được đưa lên cấp quyết định, có người ký chấp nhận	Nếu CISO không có quyền thật, vị trí chỉ mang tính hình thức
Phản biện độc lập với các dự án CNTT mới	Có thể làm chậm dự án nếu thiếu quy trình rà soát nhanh cho rủi ro thấp
Sự cố có người điều phối, giảm hỗn loạn	Dễ bị coi là người chịu trách nhiệm cho mọi sự cố, trong khi nhân viên vẫn là mắt xích yếu nhất

CISO khác gì với khái niệm gần như DPO và kiểm toán nội bộ?

DPO (Data Protection Officer, người phụ trách bảo vệ dữ liệu cá nhân) tập trung vào việc xử lý dữ liệu cá nhân có đúng căn cứ pháp lý, đúng mục đích và có quyền của chủ thể dữ liệu được bảo đảm hay không. CISO tập trung vào việc dữ liệu và hệ thống có được bảo vệ an toàn trước truy cập trái phép, mất mát hay gián đoạn. Hai vai trò giao nhau ở biện pháp bảo vệ kỹ thuật và quy trình báo cáo sự cố rò rỉ. Nếu bạn cần hiểu nghĩa vụ riêng với dữ liệu cá nhân, hãy xem bài về bảo vệ dữ liệu cá nhân.

Kiểm toán nội bộ lại là tuyến kiểm tra độc lập, đánh giá xem CISO và các bộ phận khác có tuân thủ chính sách không. Gộp hai vai trò này làm một là sai: người xây hệ thống kiểm soát không nên tự chấm điểm chính nó.

Khi nào chưa nên tạo vị trí CISO?

• Doanh nghiệp chưa có kiểm kê tài sản số cơ bản. Một CISO mới vào sẽ mất nhiều tháng chỉ để biết công ty có những gì, nên đôi khi thuê đánh giá hiện trạng trước sẽ hiệu quả hơn.
• Lãnh đạo chưa sẵn sàng trao quyền: CISO đề xuất tạm dừng một hệ thống đang rủi ro nhưng không ai nghe thì vị trí này chỉ tạo thêm một người để đổ lỗi.
• Ngân sách chỉ đủ để trả lương mà không còn tiền cho công cụ, đào tạo, kiểm thử. Khi đó, một vCISO kèm gói dịch vụ có thể hợp lý hơn.

Ở góc nhìn rộng hơn, CISO là một phần của hệ thống phòng vệ tổng thể. Để hiểu khung chung, bạn có thể đọc bài về an toàn thông tin và bộ ba CIA, hoặc về an ninh mạng theo luật mới.

Câu hỏi thường gặp

CISO có phải là chức danh cao nhất trong ngành an toàn thông tin không?

Trong hầu hết cơ cấu doanh nghiệp, đúng: đây là vị trí điều hành cao nhất chuyên về bảo mật. Một số nguồn gọi đây là đỉnh cao nghề nghiệp CNTT, nhưng nhiều người cho rằng cách gọi này chỉ nói về thứ bậc, còn độ khó của công việc nằm ở việc thuyết phục và quản trị hơn là kỹ thuật.

CISO báo cáo cho ai?

Có hai mô hình chính. Một là báo cáo cho CIO, tiết kiệm chi phí nhưng có xung đột lợi ích. Hai là báo cáo trực tiếp CEO hoặc ủy ban rủi ro, giúp độc lập hơn. Không có đáp án chung; điều quan trọng là CISO có đường tiếp cận lãnh đạo cao nhất khi rủi ro nghiêm trọng.

Công ty nhỏ không có CISO thì ai chịu trách nhiệm khi bị tấn công?

Theo Luật An ninh mạng 2025, người đứng đầu tổ chức, với tư cách chủ quản hệ thống thông tin, là người chịu trách nhiệm trước pháp luật về bảo vệ an ninh mạng. Vì vậy dù không có chức danh CISO, nên có một người được giao việc này bằng văn bản và có quyền báo cáo thẳng lên lãnh đạo.

vCISO có thay thế hoàn toàn được CISO không?

Không hoàn toàn. vCISO phù hợp để xây khung chính sách, đánh giá rủi ro và hỗ trợ khi có sự cố trong phạm vi hợp đồng. Họ khó hiểu sâu văn hoá và hệ thống nội bộ bằng một người làm trọn thời gian, nên cần người đầu mối trong công ty.

CISO có cần biết lập trình hoặc cấu hình hệ thống không?

Không bắt buộc phải giỏi như kỹ sư, nhưng cần đủ hiểu để đánh giá báo cáo kỹ thuật, ví dụ biết một cảnh báo phân tích từ hệ thống SIEM nói lên điều gì và khi nào cần leo thang. Người không nắm kỹ thuật thường bị dẫn dắt bởi nhà cung cấp.

Mức lương CISO tại Việt Nam là bao nhiêu?

Mức lương thay đổi lớn theo ngành, quy mô và kinh nghiệm, và các con số công bố trên thị trường thiếu nhất quán. Bài này không đưa con số cụ thể để tránh gây hiểu nhầm; bạn nên tham khảo khảo sát lương mới nhất của các đơn vị tuyển dụng công nghệ.