An ninh không phải khâu kiểm tra sau cùng

Nghị quyết số 22-NQ/TW ngày 28/7/2026 của Ban Chấp hành Trung ương Đảng khóa XIV về Chiến lược An ninh quốc gia bao quát nhiều nội dung bảo vệ an ninh quốc gia trong tình hình mới. Trong phạm vi nhiệm vụ công nghệ của Viettel, một yêu cầu trực tiếp là bảo đảm an ninh mạng, an ninh dữ liệu và an ninh công nghệ ngay từ đầu, theo nguyên tắc “phát triển đến đâu, an ninh đến đó”.

Với Viettel, yêu cầu ấy đi thẳng vào cách Tập đoàn thiết kế, phát triển và vận hành mạng lưới, hạ tầng, nền tảng, ứng dụng và các hệ thống số.

Các hệ thống phục vụ quy mô lớn, an ninh phải được tính từ đầu: dữ liệu được phân quyền ngay khi thiết kế; quyền truy cập được xác định trước khi kết nối nhiều hệ thống; với AI, nguồn dữ liệu, phạm vi sử dụng và rủi ro trong suốt vòng đời mô hình cũng phải được kiểm soát. Làm muộn các việc này thường đồng nghĩa với việc phải sửa hệ thống khi đã vận hành, đi kèm với những rủi ro khó lường.

Đó là sự khác biệt giữa tư duy “kiểm tra an toàn cho một sản phẩm” và “thiết kế một sản phẩm an toàn”. Với quy mô của Viettel, khác biệt này càng đáng lưu ý. Tập đoàn đang vận hành mạng viễn thông, trung tâm dữ liệu, nền tảng số, hệ thống CNTT và nhiều sản phẩm phục vụ cơ quan nhà nước, doanh nghiệp, người dân. Một thay đổi nhỏ trong cấu hình hay phân quyền nếu xảy ra ở một hệ thống lớn có thể tác động đến rất nhiều người dùng.

viettel-cyber-security-so-huu-05 — Đội ngũ chuyên gia an ninh mạng giàu kinh nghiệm tại Công ty An ninh mạng Viettel

Vì vậy, phần việc an ninh không nên chỉ giao cho lực lượng chuyên trách ở khâu cuối quy trình. Ngay từ khi đặt đầu bài yêu cầu sản phẩm, nhóm triển khai đã cần phân loại dữ liệu cần xử lý, mức độ quan trọng của dữ liệu, các nhóm người dùng và quyền truy cập tương ứng.

Ở lát cắt này, điểm quan trọng là chuyển từ xử lý khi rủi ro đã xuất hiện sang chủ động phòng ngừa trong suốt vòng đời hệ thống. Yêu cầu an ninh cần đi cùng từ lúc xác định đầu bài, thiết kế kiến trúc, phát triển, kiểm thử đến khi đưa vào khai thác và tiếp tục được giám sát trong quá trình vận hành.

Phát hiện sớm để giảm rủi ro cho hệ thống

Một hệ thống an toàn không có nghĩa là sẽ không bao giờ xuất hiện sự cố. Điều quan trọng hơn là rủi ro được nhìn thấy sớm và tổ chức phản ứng nhanh khi dấu hiệu bất thường xuất hiện.

Tại Công ty An ninh mạng Viettel (VCS), với dịch vụ cung cấp giải pháp giám sát, săn tìm và ứng phó sự cố an ninh mạng toàn diện cho doanh nghiệp (MDR), hệ thống được theo dõi liên tục 24/7 để phát hiện, phân tích và phản ứng kịp thời trước các mối đe dọa. Giá trị chính không nằm ở số công cụ bảo mật được triển khai, mà ở khả năng nhận biết sớm dấu hiệu bất thường, xử lý đúng nguy cơ và rút ngắn thời gian phản ứng khi có sự cố.

Bên cạnh giám sát, VCS còn cung cấp dịch vụ kiểm tra, đánh giá an toàn thông tin cho hệ thống CNTT. Quy trình gồm phát hiện điểm yếu, đánh giá mức độ ảnh hưởng, hướng dẫn khắc phục và kiểm tra lại sau khi đơn vị vận hành xử lý.

Điểm chung của các cách làm này là đưa vấn đề an ninh lên đầu quá trình triển khai. Phát hiện sớm một điểm yếu không làm sản phẩm chậm lại; ngược lại, nó giúp giảm chi phí sửa chữa khi hệ thống đã vận hành, nâng độ tin cậy và hạn chế rủi ro cho khách hàng.

Mỗi vị trí công việc đều có một phần trách nhiệm an ninh

Không phải CBCNV Viettel nào cũng làm an ninh mạng. Nhưng gần như mọi vị trí hiện nay đều sử dụng dữ liệu, tài khoản và hệ thống số.

Một nhân viên kinh doanh có dữ liệu khách hàng. Một cán bộ tài chính làm việc với thông tin hợp đồng và dòng tiền. Một kỹ sư có tài liệu thiết kế, cấu hình hệ thống hoặc mã nguồn. Một người làm truyền thông có tài khoản quản trị các kênh thông tin số. Một cán bộ dự án thường xuyên trao đổi tài liệu với nhiều đơn vị, đối tác.

Chính vì vậy, nhiều rủi ro không bắt đầu từ một cuộc tấn công kỹ thuật phức tạp. Một tài liệu gửi nhầm nhóm, tài khoản dùng chung quá lâu, quyền truy cập chưa được thu hồi khi nhân sự chuyển vị trí, hay dữ liệu nội bộ được đưa lên một công cụ AI bên ngoài khi chưa được phép đều có thể tạo ra điểm yếu.

Thực hành tinh thần Nghị quyết 22 trong công việc hằng ngày vì thế bắt đầu từ những việc rất cụ thể. Người phát triển sản phẩm đưa yêu cầu an toàn vào ngay từ thiết kế; người quản trị cấp đúng quyền và thu hồi quyền khi không còn nhu cầu; đội dự án xác định rõ dữ liệu nào được chia sẻ với đối tác; mỗi CBCNV bảo vệ tài khoản, không chuyển tiếp tài liệu sai phạm vi và không đưa dữ liệu nội bộ lên công cụ AI bên ngoài khi chưa được phép.

Ở khía cạnh an ninh mạng, dữ liệu và công nghệ, thông điệp của Nghị quyết 22 với Viettel có thể cô đọng ở một nguyên tắc: an ninh phải được tính từ đầu và duy trì trong suốt quá trình vận hành.

Từ một dòng mã, một quyền truy cập đến cách chia sẻ tài liệu, mỗi thao tác đều góp phần tạo nên độ an toàn của hệ thống. An ninh vì thế không phải việc riêng của lực lượng chuyên trách, mà là trách nhiệm của mỗi người Viettel trong chính phần việc mình đang làm.