An ninh mạng cho doanh nghiệp nhỏ

Mục lục

1. Vì sao doanh nghiệp nhỏ vẫn là mục tiêu?
2. Bước 0: Bạn đang bảo vệ cái gì?
3. Chín việc nên làm, theo thứ tự ưu tiên
4. Làm gì trong giờ đầu tiên khi bị mã độc tống tiền?
5. Ngân sách cho doanh nghiệp nhỏ nên chia thế nào?
6. Những lỗi doanh nghiệp nhỏ hay mắc
7. Dữ liệu cá nhân và các yêu cầu pháp lý áp dụng cho nhóm này
8. Lộ trình 30-60-90 ngày gợi ý
9. Khi nào nên nhờ chuyên gia bên ngoài?
10. Câu hỏi thường gặp

Vì sao doanh nghiệp nhỏ vẫn là mục tiêu?

Nhiều chủ doanh nghiệp nghĩ “mình nhỏ, chẳng ai để ý”. Thực tế tin tặc ít khi chọn từng nạn nhân. Chúng dùng công cụ quét toàn Internet tìm router chưa vá, cổng Remote Desktop mở, mật khẩu bị lộ từ nơi khác, rồi gửi email lừa hàng loạt. Doanh nghiệp nhỏ rơi vào lưới vì ít lớp phòng thủ chứ không vì bị nhắm riêng.

Số liệu minh hoạ rõ nhất đến từ báo cáo Verizon DBIR 2025. Mã độc tống tiền xuất hiện trong 88% vụ xâm nhập có liên quan doanh nghiệp vừa và nhỏ, so với 39% ở doanh nghiệp lớn. Trong báo cáo này, nhóm nhỏ được tính là dưới 1.000 nhân viên, nên con số phản ánh cả doanh nghiệp khá lớn so với chuẩn Việt Nam. Dù vậy xu hướng thì rõ: càng ít lớp bảo vệ, kẻ tấn công càng dễ chốt bằng mã hoá dữ liệu để đòi tiền.

Cũng theo báo cáo này, sự tham gia của bên thứ ba trong các vụ xâm nhập tăng gấp đôi, từ 15% lên 30%, và khai thác lỗ hổng chiếm 20%, gần bằng việc lạm dụng thông tin đăng nhập là 22%. Với doanh nghiệp nhỏ, “bên thứ ba” thường là nhà cung cấp phần mềm kế toán, đơn vị quản trị website hoặc công ty IT thuê ngoài đang giữ quyền quản trị của bạn.

Tại Diễn đàn Tương lai số an toàn cho doanh nghiệp vừa và nhỏ ở Đà Nẵng ngày 21/8 (năm 2026), đại diện Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an nhấn mạnh việc bảo đảm an ninh mạng không nhất thiết phải bắt đầu từ một hệ thống lớn hay khoản đầu tư đắt tiền, và có thể bắt đầu từ một bản sao lưu. Phần dưới biến ý đó thành danh sách việc làm cụ thể. Nếu cần nền tảng khái niệm, bạn có thể đọc tổng quan về an ninh mạng trước.

Bước 0: Bạn đang bảo vệ cái gì?

Doanh nghiệp 20 người không cần ma trận rủi ro 40 dòng. Một bảng tính hai cột là đủ: tài sản số nào mà mất nó thì công ty ngừng hoạt động hoặc mất tiền ngay. Hãy liệt kê theo bốn nhóm.

• Tài khoản có quyền chuyển tiền hoặc đổi cấu hình: Internet banking, tài khoản quản trị email (Google Workspace, Microsoft 365), tài khoản quản lý tên miền, tài khoản quản trị website, phần mềm hoá đơn điện tử.
• Dữ liệu khó tạo lại: file kế toán, hợp đồng, bản vẽ, mã nguồn, danh sách khách hàng, dữ liệu bán hàng.
• Thiết bị đứng ở rìa mạng: router, modem nhà mạng, camera, NAS, máy chủ nội bộ có cổng mở ra Internet.
• Con người có quyền đặc biệt: kế toán, thủ quỹ, quản trị viên, người giữ chữ ký số và token.

Với mỗi dòng, ghi ba thông tin: ai đang giữ mật khẩu, có bật xác thực nhiều lớp chưa, dữ liệu nằm ở đâu (máy cá nhân, USB, đám mây hay NAS). Nhiều doanh nghiệp lần đầu làm bảng này mới phát hiện email quản trị tên miền là Gmail cá nhân của một nhân viên đã nghỉ việc. Đó là loại lỗ hổng mà không công cụ nào tự tìm ra.

Chín việc nên làm, theo thứ tự ưu tiên

1. Bật xác thực nhiều lớp cho email, ngân hàng và tài khoản quản trị

Email là chìa khoá đặt lại mật khẩu của mọi dịch vụ khác, nên chiếm email là chiếm cả doanh nghiệp. Hãy bật MFA cho toàn bộ tài khoản email công ty trước, rồi đến tài khoản quản trị tên miền, hosting, phần mềm kế toán và đám mây. Ưu tiên ứng dụng tạo mã hoặc khoá bảo mật thay cho SMS khi dịch vụ cho phép. Sự khác nhau giữa 2FA, TOTP và passkey có trong bài xác thực đa yếu tố MFA.

Chi tiết hay bị bỏ sót: tài khoản dùng chung kiểu “ketoan@” mà năm người cùng đăng nhập. Tách thành tài khoản cá nhân, hoặc dùng trình quản lý mật khẩu có chia sẻ có kiểm soát, để khi một người nghỉ việc bạn thu hồi được quyền.

2. Vá lỗi thiết bị đứng ở rìa mạng trước, máy tính sau

Khai thác lỗ hổng là đường vào chiếm 20% vụ xâm nhập trong DBIR 2025. Thiết bị nhắm tới nhiều nhất là thứ nhìn thấy được từ Internet: router, tường lửa, VPN, NAS, camera, máy chủ web. Việc cần làm:

• Đăng nhập router hoặc tường lửa, kiểm tra phiên bản firmware, bật tự cập nhật nếu có.
• Tắt quản trị từ xa trên cổng WAN nếu không thực sự cần.
• Đóng cổng Remote Desktop (3389) mở ra Internet. Người làm từ xa nên vào qua VPN có MFA.
• Đổi mật khẩu mặc định của mọi thiết bị mạng và camera.
• Thiết bị hết vòng đời, nhà sản xuất không còn phát hành bản vá, thì lập kế hoạch thay.

Cách chọn và cấu hình tường lửa được trình bày trong bài các loại tường lửa. Với doanh nghiệp nhỏ, thiết bị UTM hoặc NGFW gộp nhiều chức năng thường dễ quản lý hơn nhiều thiết bị rời, miễn là có người nhận cảnh báo và cập nhật định kỳ.

3. Cấp quyền tối thiểu và tách tài khoản quản trị

Nhân viên bán hàng không cần quyền quản trị Windows. Người làm IT nên có hai tài khoản: một để đọc mail hằng ngày, một chỉ dùng khi cài đặt hoặc cấu hình. Khi mã độc chạy dưới quyền người dùng thường, nó khó cài sâu vào hệ thống và khó lan sang máy khác hơn.

Với thư mục dùng chung, hãy xem ai thực sự cần quyền ghi. Nhiều vụ ransomware mã hoá cả ổ chia sẻ của công ty vì một máy bị nhiễm có quyền ghi vào đó.

4. Sao lưu 3-2-1 và thử khôi phục

Quy tắc 3-2-1 nghĩa là: ba bản dữ liệu, trên hai loại phương tiện khác nhau, trong đó một bản nằm ngoài văn phòng. Với ransomware cần thêm điều kiện: có một bản mà tài khoản đăng nhập thường ngày không xoá hay ghi đè được. Đó có thể là ổ ngắt kết nối sau khi sao lưu, hoặc kho đám mây bật tính năng khoá không cho sửa đổi (immutable). Chi tiết dịch vụ có trong bài sao lưu lên đám mây.

Thao tác bắt buộc mà nhiều nơi bỏ qua là thử khôi phục. Mỗi quý, chọn một thư mục kế toán và một cơ sở dữ liệu, khôi phục sang máy khác, mở lên kiểm tra. Ghi lại thời gian thực tế. Con số này chính là thời gian ngừng hoạt động bạn có thể gặp khi sự cố xảy ra.

5. Cài bảo vệ thiết bị đầu cuối và quản lý tập trung

Windows Defender bật đầy đủ và được cập nhật đã là nền khá tốt. Điều doanh nghiệp nhỏ thường thiếu là nhìn được toàn bộ máy: máy nào chưa cập nhật, máy nào tắt diệt virus, máy nào mất cảnh báo. Giải pháp có bảng quản trị tập trung giúp trả lời những câu hỏi đó. Khái niệm và cách chọn nằm ở bài bảo mật thiết bị đầu cuối. Bật thêm mã hoá ổ đĩa (BitLocker) cho laptop để mất máy không đồng nghĩa mất dữ liệu.

6. Chặn lừa đảo qua email và đổi số tài khoản

Thiệt hại tiền mặt trực tiếp thường đến từ email giả mạo, không phải từ mã độc. Kịch bản phổ biến: kẻ gian giả làm nhà cung cấp quen, gửi thư báo “đổi số tài khoản nhận thanh toán”, hoặc giả làm giám đốc nhắn kế toán chuyển gấp. Biện pháp kỹ thuật và quy trình cần đi cùng nhau:

• Cấu hình SPF, DKIM và DMARC cho tên miền công ty để người ngoài khó giả mạo email của bạn.
• Gắn nhãn cảnh báo “thư từ bên ngoài” cho email đến.
• Quy tắc cứng: mọi yêu cầu đổi tài khoản nhận tiền hoặc chuyển khoản bất thường phải được gọi lại bằng số điện thoại đã lưu từ trước, không dùng số ghi trong email.
• Khoản chuyển vượt một mức do công ty tự đặt phải có hai người duyệt trên Internet banking.

Dấu hiệu nhận biết thư lừa đảo nằm trong bài nhận biết phishing. Nhân viên cũng cần biết kẻ gian thường tạo áp lực thời gian và dùng uy quyền; nhóm thủ đoạn này được gọi chung là social engineering.

7. Tách mạng Wi-Fi khách và mạng làm việc

Khách đến quán cà phê, showroom hay văn phòng không nên dùng chung mạng với máy tính kế toán và máy in. Hầu hết router doanh nghiệp đều có tính năng mạng khách (guest network) hoặc VLAN. Đặt mật khẩu Wi-Fi mạnh với WPA2 hoặc WPA3, đổi khi có người nghỉ việc quản lý được thiết bị. Camera và thiết bị IoT cũng nên đặt ở vùng mạng riêng vì chúng ít khi được vá.

8. Quản lý vòng đời nhân viên và nhà cung cấp

Khi nhân viên nghỉ việc, danh sách thu hồi cần có sẵn: tài khoản email, phần mềm kế toán, đám mây, VPN, quyền quản trị fanpage và website, thiết bị công ty, token chữ ký số. Với nhà cung cấp IT bên ngoài, hãy ghi rõ họ được truy cập vào đâu, bằng tài khoản nào, và có MFA không. Báo cáo DBIR cho thấy rủi ro từ bên thứ ba đã tăng gấp đôi, nên danh sách này không phải thủ tục hình thức.

9. Viết kế hoạch xử lý sự cố một trang

Khi máy tính hiện thông báo đòi tiền, người trong công ty thường hoảng và làm sai thứ tự. Một trang giấy dán tại phòng IT nên có: số điện thoại người quyết định, số điện thoại đơn vị IT hoặc nhà cung cấp, ngân hàng cần gọi để tạm dừng giao dịch, và các bước đầu tiên (xem phần sau). Nội dung phải đủ ngắn để người trực làm theo lúc 11 giờ đêm.

Làm gì trong giờ đầu tiên khi bị mã độc tống tiền?

Thứ tự có lý do. Rút cáp mạng hoặc tắt Wi-Fi của máy nghi nhiễm để mã độc không lan sang ổ chia sẻ và máy khác. Chưa vội tắt nguồn, vì bộ nhớ có thể chứa dấu vết hữu ích cho điều tra, nhưng nếu thấy file đang bị mã hoá hàng loạt thì cắt nguồn cũng là lựa chọn chấp nhận được.

Sau đó đổi mật khẩu các tài khoản quan trọng từ một máy khác chắc chắn sạch, vì mã độc thường đi kèm phần mềm đánh cắp mật khẩu. Kiểm tra bản sao lưu còn nguyên hay không trước khi khôi phục, và đừng nối ổ sao lưu vào máy đang nhiễm. Với việc trả tiền chuộc, DBIR 2025 ghi nhận 64% tổ chức nạn nhân không trả tiền chuộc, tăng từ 50% hai năm trước. Trả tiền không đảm bảo lấy lại dữ liệu và càng không loại bỏ được kẻ đã nằm trong mạng. Phân tích cơ chế các nhóm tống tiền có trong bài phòng chống ransomware.

Nếu dữ liệu khách hàng có thể bị lộ, hãy ghi lại loại dữ liệu nào, của bao nhiêu người, và hỏi ý kiến tư vấn pháp lý về nghĩa vụ thông báo. Bài này không thay thế tư vấn pháp lý cho từng trường hợp.

Ngân sách cho doanh nghiệp nhỏ nên chia thế nào?

Không có con số phần trăm doanh thu nào đúng chung cho mọi nơi, nên bài không đưa ra một con số như vậy. Cách hợp lý hơn là chia theo mức giảm rủi ro trên mỗi đồng chi. Bảng dưới sắp xếp các hạng mục theo chi phí tương đối (không phải giá thị trường) và mức độ ngăn chặn.

Hạng mục	Chi phí tương đối	Chặn được gì	Phần việc của con người
MFA cho email và quản trị	Thấp (thường có sẵn trong dịch vụ)	Chiếm tài khoản bằng mật khẩu bị lộ	Hướng dẫn người dùng, thu hồi khi nghỉ việc
Vá lỗi thiết bị biên	Thấp, chủ yếu là thời gian	Quét lỗ hổng hàng loạt	Lịch kiểm tra firmware hằng tháng
Sao lưu 3-2-1 có bản bất biến	Thấp đến trung bình	Mất dữ liệu do ransomware, hỏng ổ đĩa	Thử khôi phục mỗi quý
Bảo vệ endpoint tập trung	Trung bình (theo số máy)	Mã độc phổ biến, máy thiếu cập nhật	Xem cảnh báo, xử lý máy lệch chuẩn
Quy trình gọi xác minh chuyển khoản	Gần như không tốn	Lừa đổi số tài khoản, giả mạo giám đốc	Kế toán tuân thủ ngay cả khi bị thúc ép
Dịch vụ giám sát thuê ngoài	Trung bình đến cao	Phát hiện chậm, thiếu người trực	Chọn nhà cung cấp, đọc báo cáo

Với doanh nghiệp quá nhỏ để có người trực 24/7, thuê dịch vụ giám sát theo mô hình quản lý (SECaaS hoặc MDR) là hướng cần cân nhắc. Tại Internet Day 2025, SafeGate giới thiệu bộ giải pháp cho nhóm này theo mô hình dịch vụ, nhằm giảm gánh nặng chi phí ban đầu. Bạn nên so sánh nhiều nhà cung cấp, xem hợp đồng nêu rõ thời gian phản hồi và phạm vi giám sát (xem thêm bài về SLA khi đàm phán).

Những lỗi doanh nghiệp nhỏ hay mắc

• Dùng chung một mật khẩu cho nhiều dịch vụ. Một lần lộ ở một website nhỏ có thể mở khoá email công ty. Giải pháp: trình quản lý mật khẩu và MFA.
• Để người ngoài giữ quyền sở hữu tài khoản. Tên miền, fanpage, Google Business do bên làm website đăng ký bằng email riêng của họ. Khi tranh chấp, bạn không đòi lại được. Hãy đứng tên công ty và chỉ cấp quyền quản trị cho họ.
• Mua thiết bị rồi để mặc định. Tường lửa mới nhưng giữ mật khẩu admin gốc và mở quản trị từ xa thì chưa bảo vệ được gì.
• Sao lưu cùng mạng với máy chủ. NAS ánh xạ thành ổ đĩa, bị mã hoá cùng lúc với dữ liệu gốc.
• Cho phép cài phần mềm tự do. Phần mềm crack, tiện ích trình duyệt lạ là đường quen thuộc của mã độc đánh cắp mật khẩu.
• Không có người nhận cảnh báo. Thiết bị gửi email báo động về hộp thư của một người đã nghỉ việc.

Dữ liệu cá nhân và các yêu cầu pháp lý áp dụng cho nhóm này

Doanh nghiệp nhỏ thường giữ dữ liệu cá nhân của nhân viên và khách hàng: họ tên, số điện thoại, địa chỉ, ảnh căn cước, hồ sơ lương. Phần nào dữ liệu này nằm trong bảng tính hay phần mềm nào, bạn nên ghi trong bảng tài sản ở bước 0, vì nghĩa vụ bảo vệ chỉ thực hiện được khi biết dữ liệu ở đâu. Điểm áp dụng riêng cho doanh nghiệp nhỏ là hạn chế sao chép ảnh giấy tờ vào Zalo, email cá nhân và USB. Nội dung chi tiết có trong bài bảo vệ dữ liệu cá nhân.

Lộ trình 30-60-90 ngày gợi ý

Mốc	Việc cần xong	Dấu hiệu hoàn thành
30 ngày đầu	Bảng tài sản; MFA cho email và ngân hàng; đóng cổng RDP; đổi mật khẩu mặc định; bật sao lưu	Mọi tài khoản quản trị có MFA; có một bản sao lưu ngoài văn phòng
31–60 ngày	Quy trình gọi xác minh chuyển khoản; SPF, DKIM, DMARC; tách Wi-Fi khách; thử khôi phục lần đầu	Có biên bản thử khôi phục kèm thời gian thực tế
61–90 ngày	Bảo vệ endpoint tập trung; danh sách thu hồi quyền khi nghỉ việc; trang kế hoạch sự cố; buổi huấn luyện nhận biết lừa đảo	Diễn tập 30 phút với tình huống giả định, ghi nhận chỗ vướng

Khi nền tảng này ổn, bạn có thể tính tới các bước nâng cao như mô hình zero trust hoặc chứng nhận theo ISO 27001 nếu khách hàng lớn yêu cầu trong hợp đồng. Chúng không phải điều kiện bắt buộc để bắt đầu.

Khi nào nên nhờ chuyên gia bên ngoài?

Nên thuê hoặc hợp đồng với đơn vị chuyên môn khi: công ty có máy chủ web bán hàng trực tuyến, lưu trữ dữ liệu thanh toán hoặc dữ liệu y tế; khách hàng doanh nghiệp yêu cầu bảng câu hỏi đánh giá an ninh nhà cung cấp; đã từng có sự cố mà chưa rõ nguyên nhân; hoặc không có ai trong đội đủ thời gian cập nhật bản vá. Khi chọn đơn vị, hãy hỏi họ sẽ giữ quyền quản trị nào, có ghi nhật ký truy cập không, và quy định ra sao khi nhân sự của họ nghỉ việc.

Câu hỏi thường gặp

Doanh nghiệp 10 người có cần chuyên viên an ninh mạng toàn thời gian không?

Thường không. Phần lớn việc ở bài này là cấu hình một lần và kiểm tra định kỳ, có thể giao cho một nhân sự kiêm nhiệm cùng một đơn vị IT bên ngoài. Điều cần có là người chịu trách nhiệm nhận cảnh báo và quyết định khi có sự cố.

Bản miễn phí của phần mềm diệt virus có đủ không?

Tuỳ nhu cầu. Bản miễn phí hoặc Windows Defender chặn được mã độc phổ biến trên từng máy, nhưng thường thiếu quản lý tập trung, báo cáo và hỗ trợ khi có sự cố. Nếu công ty có trên khoảng chục máy hoặc làm việc từ xa, tính năng quản lý tập trung đáng được cân nhắc.

Bắt đầu từ đâu nếu chỉ có một buổi chiều?

Bật MFA cho email quản trị và tài khoản ngân hàng, kiểm tra router đã cập nhật và không mở cổng RDP, rồi tạo một bản sao lưu dữ liệu kế toán đặt ngoài văn phòng. Ba việc này xử lý các đường tấn công phổ biến nhất mà không cần mua thiết bị mới.

Có nên mua bảo hiểm an ninh mạng không?

Bảo hiểm chỉ chuyển một phần thiệt hại tài chính, không khôi phục dữ liệu hay uy tín. Nhiều nhà bảo hiểm còn yêu cầu bạn đã có MFA và sao lưu mới nhận bảo hiểm. Hãy đọc kỹ điều khoản loại trừ và tham khảo tư vấn chuyên môn trước khi quyết định.

Làm việc từ xa an toàn thế nào?

Dùng VPN có MFA hoặc ứng dụng truy cập từng dịch vụ có xác thực, không mở cổng quản trị trực tiếp ra Internet, và yêu cầu máy cá nhân dùng cho công việc phải có mã hoá ổ đĩa, cập nhật hệ điều hành và khoá màn hình. Cách chọn giao thức có trong bài mạng riêng ảo VPN.

Nhân viên bấm vào đường link lạ thì xử lý ra sao?

Báo ngay cho người phụ trách mà không bị khiển trách, vì việc báo sớm quan trọng hơn truy lỗi. Nếu đã nhập mật khẩu, đổi mật khẩu đó và các dịch vụ dùng lại nó ngay, kiểm tra quy tắc chuyển tiếp email lạ trong hộp thư, và chạy quét máy bằng công cụ bảo vệ đầu cuối.