An ninh mạng của doanh nghiệp nhỏ: Rào cản từ nhận thức đến pháp lý

Chuyển đổi số diễn ra mạnh mẽ khiến an ninh mạng và bảo vệ dữ liệu cá nhân trở thành yêu cầu chung. Tuy nhiên, các doanh nghiệp nhỏ và vừa (SMEs) – lực lượng chiếm đa số, vẫn loay hoay giữa áp lực tuân thủ pháp lý và hạn chế về nguồn lực, nhận thức.

Rào cản từ chính bên trong doanh nghiệp

Trong phiên tọa đàm tại diễn đàn "Tương lai số an toàn cho doanh nghiệp vừa và nhỏ" tổ chức ngày 15/4, bà Mai Thị Diệu Huyền, Phó chủ tịch phụ trách, Hội đồng Doanh nhân nữ Việt Nam, VCCI chia sẻ câu chuyện an ninh mạng không phải là vấn đề mới, nhưng chỉ thực sự được các doanh nghiệp quan tâm đúng mức trong vài năm gần đây, khi rủi ro số ngày càng hiện hữu.

Từ thực tế triển khai các chương trình hỗ trợ doanh nghiệp, đặc biệt là doanh nghiệp do phụ nữ làm chủ, bà Huyền chỉ ra hai nhóm rào cản lớn, trong đó đáng chú ý là những rào cản mang tính "nội tại".

Diễn đàn "Tương lai số an toàn cho doanh nghiệp vừa và nhỏ" tổ chức ngày 15/4.

Trước hết là định kiến giới. Không ít nữ chủ doanh nghiệp vẫn cho rằng công nghệ, kỹ thuật là lĩnh vực "khó tiếp cận", thậm chí mặc định là dành cho nam giới. Tâm lý này khiến họ e ngại khi ứng dụng công cụ số, từ đó bỏ lỡ cơ hội nâng cao năng lực bảo mật.

Bên cạnh đó là tâm lý chủ quan. Nhiều doanh nghiệp nhỏ cho rằng quy mô của mình không đủ "hấp dẫn" để trở thành mục tiêu của tin tặc. Chính suy nghĩ này khiến họ không đầu tư cho các biện pháp bảo mật cơ bản.

Một điểm đáng lưu ý khác là "gánh nặng kép" đối với nữ doanh nhân. Việc vừa điều hành doanh nghiệp, vừa chăm lo gia đình khiến họ khó dành thời gian tìm hiểu công nghệ. Ngay cả những thao tác đơn giản như quản lý mật khẩu cũng trở thành trở ngại. "Có những doanh nghiệp giao toàn bộ việc cài đặt, bảo mật cho người thân. Điều này tiềm ẩn nhiều rủi ro nhưng lại khá phổ biến", bà Huyền chia sẻ.

Không chỉ rào cản chủ quan, các doanh nghiệp nhỏ còn đối mặt với hàng loạt khó khăn khách quan, trong đó nổi bật là thiếu nguồn lực tài chính và nhân sự.

Phần lớn SMEs không có bộ phận chuyên trách về công nghệ thông tin, càng không có chuyên gia an ninh mạng. Khi phát hiện lỗ hổng hoặc bị tấn công, họ không biết phải xử lý ra sao, cũng không rõ cần tìm đến đơn vị nào để hỗ trợ.

"Doanh nghiệp thiếu một ‘người dẫn dắt’. Khi biết mình có vấn đề, họ không biết bước tiếp theo là gì", bà Huyền nhấn mạnh, đồng thời đề xuất cần có cơ chế hỗ trợ như "đường dây nóng" để doanh nghiệp có thể tiếp cận ngay khi xảy ra sự cố.

Khung pháp lý: Gánh nặng hay "lá chắn"?

Thượng tá Nguyễn Đình Đỗ Thi, Trưởng Ban nghiên cứu, tư vấn chính sách, pháp luật, Hiệp hội An ninh mạng quốc gia  (NCA) cho rằng, việc ban hành quy định về bảo vệ dữ liệu cá nhân là bước đi tất yếu trong quá trình hoàn thiện thể chế. Theo ông, các quy định hiện nay của Việt Nam được xây dựng dựa trên chuẩn mực quốc tế như GDPR, đặt trọng tâm vào việc bảo vệ quyền của chủ thể dữ liệu.

"Doanh nghiệp khi khai thác dữ liệu cá nhân phải có sự đồng ý của chủ thể, trừ một số trường hợp đặc biệt. Đây không chỉ là yêu cầu pháp lý mà còn là nguyên tắc nền tảng trong kinh tế số", ông Thi nhấn mạnh.

Tuy nhiên, thực tế cho thấy nhiều doanh nghiệp lại nhìn nhận các quy định này như một "gánh nặng" hơn là công cụ bảo vệ. Thượng tá Thi thông tin điều quan trọng là cần thay đổi cách tiếp cận: thay vì coi đây là nghĩa vụ bắt buộc, doanh nghiệp nên xem đó là "lá chắn" giúp bảo vệ tài sản số và uy tín thương hiệu. "Dữ liệu ngày nay chính là tài sản. Nếu không bảo vệ tốt, thiệt hại không chỉ là tài chính mà còn là niềm tin của khách hàng", ông nói.

Luật sư Lưu Xuân Vĩnh, luật sư điều hành Công ty Luật Asia Legal cho rằng, nhiều doanh nghiệp vẫn đang đánh giá thấp rủi ro liên quan đến dữ liệu cá nhân. Dẫn số liệu khảo sát, ông cho biết phần lớn doanh nghiệp Việt Nam chưa áp dụng đầy đủ các biện pháp quản lý và kỹ thuật để bảo vệ dữ liệu.

"Trong khi đó, các doanh nghiệp FDI thường tuân thủ rất tốt do đã có hệ thống quản trị từ công ty mẹ. SMEs Việt Nam thì khác, họ chịu áp lực chi phí nên thường ‘để sau’ các vấn đề về bảo mật", ông phân tích.

Đáng chú ý, khi khung pháp lý đã rõ ràng, mọi vi phạm liên quan đến dữ liệu cá nhân đều có thể dẫn đến trách nhiệm pháp lý, kể cả trong trường hợp vô ý.

Khi xảy ra sự cố lộ lọt dữ liệu, doanh nghiệp cần thực hiện ngay một loạt nghĩa vụ: thông báo cho cơ quan chức năng, thông báo cho chủ thể dữ liệu, rà soát và khắc phục hệ thống, đồng thời hoàn thiện hồ sơ đánh giá tác động theo quy định. "Đây không chỉ là yêu cầu tuân thủ mà còn là bằng chứng cho thấy doanh nghiệp đã nỗ lực thực hiện trách nhiệm của mình. Trong nhiều trường hợp, điều này giúp giảm nhẹ trách nhiệm pháp lý", luật sư Vĩnh nhấn mạnh.

Bà Mai Thị Diệu Huyền cho biết, Hội đồng Doanh nhân nữ Việt Nam sẽ đẩy mạnh các hoạt động hỗ trợ như xây dựng cẩm nang pháp lý đơn giản, tổ chức đào tạo và kết nối doanh nghiệp với các giải pháp an ninh mạng phù hợp chi phí.

Đồng thời, việc lồng ghép kiến thức an ninh mạng vào các chương trình hỗ trợ doanh nghiệp cũng được xem là giải pháp lâu dài. "Chúng tôi xác định 4 từ khóa hành động là: đào tạo – hướng dẫn – lồng ghép – lan tỏa", bà Huyền nói.

Cần một hệ sinh thái hỗ trợ thực chất

Từ thực tiễn thảo luận, các chuyên gia đều thống nhất rằng không một doanh nghiệp nào có thể tự mình giải quyết toàn bộ vấn đề an ninh mạng.

Thay vào đó, cần xây dựng một hệ sinh thái hỗ trợ, trong đó mỗi bên đóng một vai trò cụ thể: cơ quan quản lý ban hành và hướng dẫn chính sách; hiệp hội làm cầu nối; doanh nghiệp tư vấn cung cấp giải pháp; và bản thân doanh nghiệp nâng cao nhận thức.

Ông Nguyễn Quang Cương, Phó viện trưởng Viện Nghiên cứu Chính sách và Chiến lược, Ban Chính sách - Chiến lược Trung ương nhấn mạnh: trong môi trường số, doanh nghiệp không thể tiếp tục vận hành theo cách "hoang sơ" như trước.

An ninh mạng và bảo vệ dữ liệu cá nhân không còn là lựa chọn, mà là điều kiện bắt buộc để tồn tại và phát triển. "Có thể sẽ rất khó nếu doanh nghiệp phải tự làm một mình. Nhưng với sự đồng hành của các cơ quan, hiệp hội và chuyên gia, năng lực an ninh mạng của doanh nghiệp Việt Nam hoàn toàn có thể được cải thiện", ông nói.

Trong bối cảnh cạnh tranh ngày càng khốc liệt, đặc biệt khi tham gia chuỗi cung ứng toàn cầu, việc đáp ứng các tiêu chuẩn về bảo mật và dữ liệu không chỉ giúp doanh nghiệp tránh rủi ro pháp lý, mà còn mở ra cơ hội tiếp cận thị trường mới.

Vấn đề đặt ra lúc này không phải là "có làm hay không", mà là "làm sớm đến đâu và làm như thế nào" để không bị bỏ lại phía sau trong cuộc đua số hóa.