Trả lời nhanh: An toàn thông tin (information security) là việc bảo vệ thông tin và hệ thống thông tin khỏi bị truy cập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá huỷ trái phép. Mục tiêu là giữ ba thuộc tính bảo mật, toàn vẹn, khả dụng (bộ ba CIA) cho thông tin ở mọi dạng, cả số lẫn giấy.
Điểm chính
- Cốt lõi là bộ ba CIA: chỉ người được phép mới xem (bảo mật), thông tin đúng và không bị sửa trái phép (toàn vẹn), dùng được khi cần (khả dụng).
- An toàn thông tin bảo vệ cả hồ sơ giấy, lời nói, thiết bị cất trong tủ, không chỉ dữ liệu trên mạng.
- Từ 01/07/2026, Luật An toàn thông tin mạng 2015 hết hiệu lực. Luật An ninh mạng 116/2025/QH15 gọi phần này là “an ninh thông tin mạng” và chia hệ thống thông tin thành 5 cấp độ.
- Theo Nghị định 331/2026/NĐ-CP, dịch vụ trực tuyến xử lý dữ liệu cá nhân cơ bản của từ 100.000 người, hoặc dữ liệu nhạy cảm của từ 10.000 người, thuộc cấp độ 3.
- An toàn thông tin là quản lý rủi ro liên tục; ISO/IEC 27001 là chuẩn phổ biến nhất để tổ chức việc này.
Mục lục
- An toàn thông tin là gì?
- Bộ ba CIA của an toàn thông tin gồm những gì?
- Ngoài CIA còn những thuộc tính nào?
- An toàn thông tin bảo vệ những gì?
- An toàn thông tin hoạt động như thế nào?
- Mỗi mối đe doạ phá vỡ thuộc tính nào?
- An toàn thông tin khác an ninh mạng, bảo mật thông tin thế nào?
- Bảo đảm an toàn hệ thống thông tin theo cấp độ là gì?
- ISO 27001 và các chuẩn an toàn thông tin phổ biến
- Vì sao doanh nghiệp cần đầu tư cho an toàn thông tin?
- Doanh nghiệp nên bắt đầu từ đâu?
- Nghề an toàn thông tin làm gì?
- Câu hỏi thường gặp
An toàn thông tin là gì?
An toàn thông tin, tiếng Anh là information security (viết tắt InfoSec), là tập hợp biện pháp quản lý, kỹ thuật và vật lý giữ cho thông tin không bị lộ, không bị sai lệch và luôn sẵn sàng cho người có quyền sử dụng.
Định nghĩa được trích dẫn nhiều nhất đến từ Viện Tiêu chuẩn và Công nghệ Hoa Kỳ (NIST), trong tiêu chuẩn FIPS 200: bảo vệ thông tin và hệ thống thông tin khỏi truy cập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá huỷ trái phép, nhằm bảo đảm tính bảo mật, toàn vẹn và khả dụng.
Luật An toàn thông tin mạng số 86/2015/QH13 của Việt Nam từng định nghĩa gần như y hệt: “sự bảo vệ thông tin, hệ thống thông tin trên mạng tránh bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép nhằm bảo đảm tính nguyên vẹn, tính bảo mật và tính khả dụng của thông tin”.
Thuật ngữ trong luật đã đổi từ 01/07/2026
Luật An ninh mạng số 116/2025/QH15, thông qua ngày 10/12/2025 và có hiệu lực từ 01/07/2026, thay thế cả Luật An toàn thông tin mạng 2015 lẫn Luật An ninh mạng 2018. Khoản 2 Điều 2 của luật mới định nghĩa “an ninh thông tin mạng” là sự bảo đảm tính nguyên vẹn, tính bảo mật, tính khả dụng của thông tin trên không gian mạng. Đây chính là phần cốt lõi của an toàn thông tin.
Trong chuyên môn, tên ngành học và tiêu chuẩn quốc tế, “an toàn thông tin” vẫn là cách gọi phổ biến.
Ví dụ dễ hình dung
Ví dụ minh hoạ. Một công ty phân phối có bảng giá đại lý, hợp đồng và hệ thống bán hàng trực tuyến. An toàn thông tin nghĩa là: bảng giá không lọt ra ngoài, kể cả qua bản in bỏ quên trên máy photocopy (bảo mật); số tài khoản nhận tiền trong email báo giá không bị đánh tráo (toàn vẹn); hệ thống đặt hàng vẫn chạy ngày cao điểm và khôi phục được khi máy chủ hỏng (khả dụng).
Bộ ba CIA của an toàn thông tin gồm những gì?
CIA là viết tắt của Confidentiality (bảo mật), Integrity (toàn vẹn) và Availability (khả dụng). Mọi sự cố an toàn thông tin đều làm hỏng ít nhất một trong ba thuộc tính này, và mọi biện pháp bảo vệ đều nhằm giữ ít nhất một trong ba.
Tính bảo mật (Confidentiality)
Thông tin chỉ được tiết lộ cho người, tiến trình hoặc hệ thống đã được cho phép. Vi phạm thường gặp: gửi nhầm file lương, chia sẻ thư mục đám mây cho “ai có link cũng xem được”, mất laptop không mã hoá. Biện pháp: phân quyền theo vai trò, xác thực nhiều lớp, mã hoá dữ liệu khi lưu và khi truyền, thoả thuận bảo mật (NDA).
Tính toàn vẹn (Integrity)
Thông tin chính xác, đầy đủ, không bị sửa hay xoá trái phép. Vi phạm thường gặp: email báo giá bị đổi số tài khoản, nhân viên sửa số liệu kho để che thất thoát. Biện pháp: chữ ký số, mã băm kiểm tra file, nhật ký thay đổi (audit log), duyệt hai người cho giao dịch lớn.
Tính khả dụng (Availability)
Người được phép truy cập và dùng được thông tin một cách kịp thời, tin cậy. Thông tin kín và đúng nhưng không mở được lúc cần thì vẫn là thất bại. Vi phạm thường gặp: mã độc tống tiền khoá ổ dữ liệu, tấn công từ chối dịch vụ, cháy phòng máy, người duy nhất giữ mật khẩu quản trị nghỉ việc. Biện pháp: sao lưu và thử khôi phục, hệ thống dự phòng, kế hoạch duy trì hoạt động liên tục.
| Thuộc tính | Câu hỏi cần trả lời | Ví dụ vi phạm | Biện pháp tiêu biểu |
|---|---|---|---|
| Bảo mật | Ai được xem? | Lộ danh sách khách hàng | Phân quyền, mã hoá, xác thực nhiều lớp |
| Toàn vẹn | Có đúng và còn nguyên không? | Email bị đổi số tài khoản | Chữ ký số, mã băm, nhật ký thay đổi |
| Khả dụng | Cần là dùng được ngay? | Website sập, file bị mã hoá tống tiền | Sao lưu, dự phòng, kế hoạch khôi phục |
Ba thuộc tính luôn phải cân bằng
Siết bảo mật quá chặt sẽ giảm khả dụng và khiến nhân viên tìm cách lách; mở rộng khả dụng lại tăng nguy cơ lộ thông tin. Không có “an toàn tuyệt đối”. Việc cần làm là chọn mức bảo vệ tương xứng giá trị thông tin: bảng giá công khai cần khả dụng cao nhưng gần như không cần bảo mật, còn hồ sơ bệnh án cần cả ba ở mức cao.
Ngoài CIA còn những thuộc tính nào?
Nhiều tổ chức bổ sung thêm các mục tiêu sau:
- Tính xác thực (authenticity): thông tin và người gửi đúng là như họ tự nhận. Email giả danh giám đốc vi phạm thuộc tính này.
- Chống chối bỏ (non-repudiation): người gửi có bằng chứng đã giao, người nhận có bằng chứng về danh tính người gửi, nên không bên nào phủ nhận được. Chữ ký số là công cụ phổ biến.
- Trách nhiệm giải trình (accountability): mọi thao tác truy được về một người cụ thể. Muốn vậy, mỗi người phải có tài khoản riêng.
Năm 1998, Donn B. Parker đề xuất mô hình sáu thuộc tính (Parkerian Hexad), thêm vào CIA: quyền sở hữu hay kiểm soát, tính xác thực và tính hữu dụng. CIA vẫn là khung chuẩn trong tiêu chuẩn và luật.
An toàn thông tin bảo vệ những gì?
Đối tượng bảo vệ là “tài sản thông tin” (information asset), gồm:
- Dữ liệu: dữ liệu khách hàng, kế toán, mã nguồn, hợp đồng, email.
- Phần mềm, dịch vụ và phần cứng: ERP, CRM, website, dịch vụ đám mây, máy chủ, laptop, ổ cứng di động.
- Hồ sơ giấy: hồ sơ nhân sự, chứng từ gốc.
- Con người và tri thức: kinh nghiệm, quy trình chỉ vài người nắm.
Cách bảo vệ còn tuỳ trạng thái dữ liệu: khi lưu trữ (data at rest), khi truyền (data in transit) và khi đang xử lý (data in use).
Phân loại thông tin
Không thể bảo vệ mọi thứ ở cùng một mức, nên bước nền tảng là phân loại theo mức nhạy cảm. Ví dụ minh hoạ cách phân loại bốn mức nhiều doanh nghiệp dùng:
| Mức | Ví dụ | Cách xử lý gợi ý |
|---|---|---|
| Công khai | Thông cáo báo chí, bảng giá niêm yết | Chỉ cần bảo đảm đúng và cập nhật |
| Nội bộ | Quy trình, nội quy | Chia sẻ trong công ty, không đăng ra ngoài |
| Hạn chế | Hợp đồng, dữ liệu khách hàng | Phân quyền theo công việc, mã hoá khi gửi ra ngoài |
| Mật | Kế hoạch sáp nhập, dữ liệu cá nhân nhạy cảm | Danh sách người được xem, nhật ký truy cập |
Với dữ liệu cá nhân, phân loại còn là yêu cầu pháp lý: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, hiệu lực từ 01/01/2026, chia dữ liệu cá nhân thành cơ bản và nhạy cảm. Xem thêm nghĩa vụ bảo vệ dữ liệu cá nhân.
An toàn thông tin hoạt động như thế nào?
An toàn thông tin không phải một phần mềm hay thiết bị, mà là quá trình quản lý rủi ro lặp lại. Rủi ro xuất hiện khi một mối đe doạ (threat) khai thác được điểm yếu (vulnerability) của tài sản và gây tác động (impact). Tổ chức không loại bỏ được mọi mối đe doạ, nhưng có thể giảm điểm yếu và giảm tác động.
Ba nhóm biện pháp kiểm soát
- Quản lý: chính sách, phân công trách nhiệm, quy trình cấp và thu hồi quyền, điều khoản bảo mật với nhà cung cấp.
- Kỹ thuật: xác thực nhiều lớp, mã hoá, tường lửa, phòng chống mã độc, sao lưu, ghi nhật ký, cập nhật bản vá.
- Vật lý: khoá phòng máy, thẻ ra vào, tủ hồ sơ có khoá, máy huỷ giấy, quy định “bàn làm việc sạch” (clean desk).
ISO/IEC 27002:2022 cũng xếp 93 biện pháp kiểm soát vào bốn chủ đề: tổ chức (37), con người (8), vật lý (14) và công nghệ (34). Xét thời điểm tác động, biện pháp chia thành phòng ngừa (phân quyền, mã hoá), phát hiện (nhật ký, cảnh báo) và khắc phục (sao lưu, kế hoạch ứng phó).
Phòng thủ nhiều lớp
NIST mô tả phòng thủ nhiều lớp (defense in depth) là chiến lược kết hợp con người, công nghệ và vận hành để dựng rào cản ở nhiều lớp của tổ chức. Lớp này thủng thì lớp sau còn chặn, ví dụ mật khẩu bị lộ vẫn có xác thực nhiều lớp. Nhiều tổ chức đi xa hơn với mô hình Zero Trust: không mặc định tin bất kỳ người dùng, thiết bị nào, kể cả trong mạng nội bộ.
Mỗi mối đe doạ phá vỡ thuộc tính nào?
Gắn mối đe doạ với thuộc tính bị ảnh hưởng giúp chọn đúng biện pháp. Bảng chỉ ở mức khái niệm, phòng chống; xem thêm bài về lừa đảo giả mạo phishing.
| Mối đe doạ | Thuộc tính bị ảnh hưởng | Biện pháp ưu tiên |
|---|---|---|
| Phishing, đánh cắp mật khẩu | Bảo mật, xác thực | Đào tạo, xác thực nhiều lớp |
| Email giả mạo đổi số tài khoản | Toàn vẹn | Xác minh qua kênh thứ hai, duyệt hai người |
| Mã độc tống tiền (ransomware) | Khả dụng, thường kèm bảo mật | Sao lưu tách biệt, vá lỗi, quyền tối thiểu |
| Tấn công từ chối dịch vụ (DDoS) | Khả dụng | Dịch vụ chống DDoS, dự phòng |
| Gửi nhầm, chia sẻ sai quyền | Bảo mật | Phân loại thông tin, kiểm soát chia sẻ |
| Người nội bộ sửa, xoá dữ liệu | Toàn vẹn, trách nhiệm giải trình | Tài khoản riêng, nhật ký, tách nhiệm vụ |
An toàn thông tin khác an ninh mạng, bảo mật thông tin thế nào?
| Khái niệm | Trọng tâm | Phạm vi |
|---|---|---|
| An toàn thông tin | Giữ bảo mật, toàn vẹn, khả dụng của thông tin | Thông tin ở mọi dạng: số, giấy, lời nói |
| An ninh mạng | Bảo vệ không gian mạng; theo luật Việt Nam gồm cả an ninh quốc gia, trật tự xã hội trên mạng | Mạng, hệ thống, dữ liệu, hoạt động trên mạng |
| Bảo mật thông tin | Thường chỉ riêng thuộc tính giữ bí mật | Hẹp hơn an toàn thông tin |
| Bảo vệ dữ liệu cá nhân | Quyền của chủ thể dữ liệu, nghĩa vụ của bên xử lý | Chỉ dữ liệu gắn với một người cụ thể |
Nói gọn: an toàn thông tin hỏi “thông tin có được giữ kín, đúng và sẵn sàng không”; an ninh mạng hỏi “không gian mạng và hệ thống có được bảo vệ khỏi tấn công, phá hoại không”. Phần giao nhau rất lớn. Phân tích về luật, khung NIST CSF 2.0 và các mối đe doạ trên mạng có trong bài an ninh mạng là gì.
Bảo đảm an toàn hệ thống thông tin theo cấp độ là gì?
Đây là cách tiếp cận của Việt Nam: chia hệ thống thông tin thành các cấp theo mức tổn hại nếu bị sự cố, rồi áp dụng yêu cầu bảo vệ tương ứng.
Trước 01/07/2026, căn cứ là Luật An toàn thông tin mạng 2015 và Nghị định 85/2016/NĐ-CP. Từ 01/07/2026, căn cứ là Điều 8 Luật An ninh mạng 2025 và Nghị định 331/2026/NĐ-CP ngày 19/08/2026 về bảo vệ an ninh mạng đối với hệ thống thông tin. Tên gọi đổi thành “cấp độ an ninh mạng của hệ thống thông tin”, còn tinh thần phân cấp theo tổn hại vẫn giữ nguyên: cấp độ 1 có thể tổn hại tới quyền, lợi ích hợp pháp của tổ chức, cá nhân; cấp độ 5 có thể tổn hại đặc biệt nghiêm trọng tới an ninh quốc gia.
Tiêu chí 5 cấp độ theo Nghị định 331/2026/NĐ-CP
Tóm lược từ Điều 11 đến Điều 15; hệ thống chỉ cần đáp ứng một tiêu chí là thuộc cấp độ đó.
| Cấp độ | Tiêu chí tiêu biểu (tóm lược) |
|---|---|
| 1 | Phục vụ hoạt động nội bộ và chỉ xử lý thông tin công cộng |
| 2 | Hệ thống nội bộ có xử lý thông tin riêng, thông tin cá nhân (không có bí mật nhà nước); dịch vụ trực tuyến không thuộc ngành nghề kinh doanh có điều kiện; dịch vụ trực tuyến xử lý dữ liệu cá nhân của dưới 100.000 người (cơ bản) hoặc dưới 10.000 người (nhạy cảm) |
| 3 | Dịch vụ trực tuyến thuộc ngành nghề kinh doanh có điều kiện, hệ thống thủ tục hành chính, hoặc xử lý dữ liệu cá nhân từ các ngưỡng trên trở lên; hạ tầng phục vụ nhiều cơ quan trong một bộ, ngành, địa phương |
| 4 | Hệ thống chính phủ điện tử hoặc hạ tầng phục vụ toàn quốc, yêu cầu vận hành liên tục 24/7 |
| 5 | Hệ thống quan trọng về an ninh quốc gia, lưu trữ tập trung dữ liệu đặc biệt quan trọng, hạ tầng kết nối quốc tế |
Về thẩm quyền, chủ quản lập hồ sơ đề xuất cấp độ kèm phương án bảo vệ. Cấp độ 1, 2 do đơn vị chuyên trách an ninh mạng của chủ quản thẩm định và phê duyệt; cấp độ 3 do đơn vị chuyên trách thẩm định, chủ quản phê duyệt; cấp độ 4 do Bộ Công an thẩm định; danh mục hệ thống cấp độ 5 do Thủ tướng Chính phủ phê duyệt.
Những nguyên tắc dễ bỏ sót
- Áp dụng cấp cao nhất khi hệ thống đáp ứng tiêu chí của nhiều cấp độ.
- Không chia nhỏ hình thức phạm vi hệ thống để hạ cấp độ; bị phát hiện thì phải xác định lại.
- Đánh giá lại khi tăng trưởng: người dùng vượt ngưỡng thì đánh giá rủi ro, đề xuất cấp cao hơn nếu cần và lập lại hồ sơ.
- Được dùng chung hạ tầng: hệ thống cấp độ 3, 4 có thể đặt trên đám mây hoặc trung tâm dữ liệu dùng chung nếu tách biệt về lô-gíc.
- Người đứng đầu chịu trách nhiệm trước pháp luật và phải bố trí nhân sự hoặc bộ phận chuyên trách phù hợp cấp độ.
Theo thông tin Bộ Công an công bố, hệ thống vận hành hoặc đang đầu tư trước 01/07/2026 phải hoàn tất thẩm định, phê duyệt cấp độ theo Nghị định 85/2016/NĐ-CP trong 06 tháng, và đáp ứng đủ biện pháp theo Nghị định mới trong 12 tháng, đều tính từ ngày Luật An ninh mạng 2025 có hiệu lực.
Về phạm vi, Nghị định 331/2026/NĐ-CP áp dụng cho hệ thống phục vụ cơ quan nhà nước và hệ thống cung cấp dịch vụ trực tuyến cho người dân, doanh nghiệp; tổ chức khác được khuyến khích áp dụng. Điều 10 Luật An ninh mạng 2025 vẫn giao mọi chủ quản hệ thống nhiệm vụ xác định cấp độ, quản lý rủi ro và triển khai biện pháp bảo vệ.
Lưu ý: phần pháp lý cập nhật đến tháng 10/2026, chỉ tóm lược để tham khảo, không phải tư vấn pháp lý; hãy đối chiếu văn bản gốc khi áp dụng.
ISO 27001 và các chuẩn an toàn thông tin phổ biến
Luật trả lời “phải làm gì”, còn tiêu chuẩn trả lời “làm thế nào cho có hệ thống”. Các chuẩn hay gặp:
- ISO/IEC 27000: tổng quan và khái niệm về hệ thống quản lý an toàn thông tin. Ấn bản ISO/IEC 27000:2026 phát hành tháng 7/2026, thay bản 2018.
- ISO/IEC 27001:2022: yêu cầu đối với hệ thống quản lý an toàn thông tin (ISMS), dùng để đánh giá và cấp chứng nhận. Hạn chuyển đổi từ bản 2013 đã kết thúc ngày 31/10/2025. Chi tiết xem bài ISO 27001 là gì; bản hướng dẫn đi kèm là ISO/IEC 27002:2022.
- NIST Cybersecurity Framework 2.0: khung tự nguyện của Mỹ công bố ngày 26/02/2024, gồm sáu chức năng, thêm chức năng Govern (quản trị).
- TCVN 14423:2026: tiêu chuẩn quốc gia về an ninh mạng cho hệ thống thông tin. Tháng 8/2026, Công an TP Đồng Nai đã hướng dẫn áp dụng tiêu chuẩn này thay cho TCVN 11930:2017 khi bảo vệ hệ thống theo cấp độ.
Các chuẩn ISO và NIST là tự nguyện tại Việt Nam, nhưng đối tác có thể yêu cầu trong hợp đồng.
Vì sao doanh nghiệp cần đầu tư cho an toàn thông tin?
Thứ nhất là chi phí sự cố. Theo báo cáo Cost of a Data Breach 2025 do Viện Ponemon thực hiện và IBM công bố, khảo sát 600 tổ chức, chi phí trung bình một vụ rò rỉ dữ liệu là 4,44 triệu USD, và trung bình mất 241 ngày để phát hiện, ngăn chặn. Cứ năm tổ chức thì một tổ chức gặp sự cố liên quan đến “AI ngầm” (shadow AI).
Thứ hai là nghĩa vụ pháp lý. Theo Luật Bảo vệ dữ liệu cá nhân 2025, khi phát hiện vi phạm có thể gây tổn hại, bên kiểm soát dữ liệu phải thông báo cơ quan chuyên trách chậm nhất 72 giờ. Mức phạt tối đa với tổ chức là 5% doanh thu năm trước liền kề nếu vi phạm quy định chuyển dữ liệu xuyên biên giới, hoặc 3 tỷ đồng với vi phạm khác.
Thứ ba là niềm tin: khách hàng, đối tác ngày càng hỏi về chính sách an toàn thông tin trước khi ký hợp đồng.
| Lợi ích | Thách thức |
|---|---|
| Giảm khả năng và mức thiệt hại của sự cố | Chi phí liên tục, khó đo lợi nhuận trực tiếp |
| Đáp ứng luật, hợp đồng | Thiếu nhân sự chuyên môn |
| Tạo niềm tin với khách hàng, đối tác | Dễ làm “trên giấy”, có quy trình nhưng không ai làm theo |
| Khôi phục nhanh khi có sự cố | Biện pháp quá chặt làm chậm công việc |
Doanh nghiệp nên bắt đầu từ đâu?
Với doanh nghiệp vừa và nhỏ chưa có bộ phận chuyên trách, tám bước nền tảng sau là điểm khởi đầu thực tế:
- Chỉ định người chịu trách nhiệm ở cấp quản lý, không chỉ nhân viên IT kiêm nhiệm.
- Lập danh mục tài sản thông tin: dữ liệu nào, lưu ở đâu, ai quản lý, ai truy cập.
- Phân loại thông tin theo 3–4 mức đơn giản và gắn nhãn tài liệu chính.
- Viết chính sách ngắn về mật khẩu, chia sẻ tài liệu, thiết bị cá nhân, công cụ AI, tài liệu giấy.
- Siết quyền truy cập: mỗi người một tài khoản, quyền tối thiểu, xác thực nhiều lớp, thu hồi quyền ngay khi nghỉ việc.
- Sao lưu và thử khôi phục định kỳ, có ít nhất một bản tách khỏi hệ thống chính.
- Đào tạo nhận thức ngắn, lặp lại, dùng ví dụ thật của ngành mình.
- Chuẩn bị quy trình xử lý sự cố: ai báo cho ai, khi nào báo cơ quan chức năng.
Khi quy mô lớn hơn, doanh nghiệp có thể chuẩn hoá theo ISO 27001 và thiết lập hoặc thuê trung tâm điều hành an ninh (SOC) để giám sát liên tục.
Nghề an toàn thông tin làm gì?
Nghề này có nhánh thiên về kỹ thuật sâu và nhánh thiên về quy trình, pháp lý, rủi ro.
| Vị trí | Công việc chính |
|---|---|
| Chuyên viên giám sát (SOC analyst) | Theo dõi cảnh báo, phân tích, phân loại sự cố |
| Kỹ sư an toàn thông tin | Thiết kế, cấu hình, vận hành giải pháp bảo vệ |
| Kiểm thử xâm nhập (pentester) | Kiểm thử có uỷ quyền để tìm điểm yếu trước kẻ xấu |
| Ứng cứu sự cố, điều tra số | Khoanh vùng, xử lý, thu thập chứng cứ |
| Quản trị, rủi ro, tuân thủ (GRC) | Chính sách, đánh giá rủi ro, ISO 27001, tuân thủ luật |
Tại Việt Nam, an toàn thông tin là ngành đào tạo đại học riêng; ví dụ Học viện Kỹ thuật mật mã có Khoa An toàn thông tin, đào tạo cả đại học và thạc sĩ. Chứng chỉ quốc tế hay gặp: CompTIA Security+ cho người mới; CISSP, CISM cho cấp quản lý; đánh giá viên trưởng ISO/IEC 27001 cho nhánh tuân thủ.
Về nhu cầu, nghiên cứu lực lượng lao động an ninh mạng năm 2024 của ISC2, khảo sát 15.852 người, ước tính thế giới thiếu khoảng 4,8 triệu nhân lực, tăng 19% so với năm trước.
Câu hỏi thường gặp
An toàn thông tin tiếng Anh là gì?
Là information security, viết tắt InfoSec. Còn cybersecurity thường được dịch là an ninh mạng.
An toàn thông tin và an ninh mạng cái nào rộng hơn?
Xét đối tượng, an toàn thông tin rộng hơn vì gồm cả thông tin không ở trên mạng như hồ sơ giấy. Xét luật Việt Nam, an ninh mạng trong Luật 116/2025/QH15 rộng hơn ở chỗ gồm cả an ninh quốc gia, trật tự xã hội trên không gian mạng.
Luật An toàn thông tin mạng 2015 còn hiệu lực không?
Không. Theo Điều 44 Luật An ninh mạng 2025, Luật số 86/2015/QH13 hết hiệu lực từ 01/07/2026. Quy định bảo vệ hệ thống theo cấp độ nay nằm trong Luật An ninh mạng 2025 và Nghị định 331/2026/NĐ-CP.
Doanh nghiệp tư nhân có phải xác định cấp độ hệ thống thông tin không?
Luật giao nhiệm vụ xác định cấp độ cho mọi chủ quản hệ thống thông tin, và Nghị định 331/2026/NĐ-CP áp dụng trực tiếp với dịch vụ trực tuyến cho người dân, doanh nghiệp. Nếu website, ứng dụng của bạn xử lý dữ liệu khách hàng, nhất là khi gần ngưỡng 100.000 người, hãy rà soát và hỏi ý kiến chuyên môn.
Làm an toàn thông tin có phải là học cách tấn công?
Một phần công việc là hiểu cách kẻ xấu hoạt động để phòng thủ tốt hơn, nhưng mọi hoạt động kiểm thử phải có uỷ quyền bằng văn bản và đúng phạm vi. Tự ý xâm nhập hệ thống của người khác là hành vi bị nghiêm cấm theo Luật An ninh mạng 2025 và có thể bị xử lý hình sự.