Trong kỷ nguyên số hóa chuyển đổi mạnh mẽ, hoạt động bảo đảm an toàn, an ninh không gian mạng trở thành ưu tiên sống còn đối với mọi tổ chức và doanh nghiệp. Không ít chuyên gia công nghệ, lập trình viên hay các "hacker mũ trắng" khi vô tình hoặc chủ động rà quét đã phát hiện ra những điểm yếu chí mạng trong hệ thống máy chủ, cơ sở dữ liệu hay cổng thông tin điện tử. Tuy nhiên, ranh giới giữa một hành động thiện chí giúp vá lỗi với hành vi vi phạm pháp luật an ninh mạng là vô cùng mong manh. Câu hỏi lớn được đặt ra: Người phát hiện lỗ hổng bảo mật an ninh mạng có được quyền tự ý khai thác sâu, công bố rộng rãi hay chia sẻ cho cộng đồng không? Những quy định pháp lý mới nhất tại Nghị định 329/2026/NĐ-CP và Luật An ninh mạng 2025 chính là hành lang pháp lý chuẩn mực mà bất kỳ ai tham gia không gian số cũng cần nắm rõ.

1. Tuyệt đối không được tự ý khai thác, mua bán hoặc công bố lỗ hổng bảo mật

Thực tế đã ghi nhận không ít trường hợp các bạn trẻ đam mê bảo mật sau khi tìm thấy điểm yếu của một website doanh nghiệp liền lập tức đăng tải ảnh chụp màn hình lên mạng xã hội để "khoe chiến tích", hoặc thậm chí gửi email đính kèm mã khai thác nhằm yêu cầu trả tiền chuộc hay thưởng nóng. Những hành vi tưởng chừng mang danh thiện ý này lại tiềm ẩn rủi ro pháp lý đặc biệt nghiêm trọng.

Căn cứ theo quy định tại khoản 6 Điều 12 Nghị định 329/2026/NĐ-CP, khi phát hiện điểm yếu, lỗ hổng bảo mật của hệ thống thông tin, cơ sở dữ liệu hoặc nền tảng số không thuộc phạm vi quản lý của mình hoặc không thuộc phạm vi được cho phép săn tìm, phát hiện, mọi cơ quan, tổ chức, doanh nghiệp và cá nhân nghiêm cấm tuyệt đối việc tự ý:

• Khai thác lỗ hổng bảo mật: Không được tiến hành thâm nhập sâu hơn, truy cập trái phép vào dữ liệu nội bộ, thay đổi mã nguồn hoặc trích xuất thông tin người dùng;
• Công bố thông tin về lỗ hổng: Không được đưa thông tin chi tiết về điểm yếu lên các diễn đàn công nghệ, mạng xã hội, hội nhóm truyền thông khi chưa có sự chấp thuận;
• Chia sẻ, mua bán và chuyển giao thông tin: Nghiêm cấm mọi hành vi chia sẻ gói dữ liệu lỗi (exploit code), mua bán lỗ hổng trên thị trường chợ đen hoặc chuyển giao cho các bên thứ ba thiếu thẩm quyền.

Khi vô tình phát hiện lỗ hổng ngoài phạm vi cho phép, người phát hiện có trách nhiệm pháp lý phải kịp thời thông báo cho chủ quản hệ thống thông tin, lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an hoặc cơ quan có thẩm quyền khác để điều phối và xử lý an toàn theo quy định.

2. Hành lang pháp lý cho hoạt động săn tìm lỗ hổng bảo mật (Bug Bounty) hợp pháp

Nhằm tận dụng trí tuệ tập thể và huy động lực lượng công nghệ chất lượng cao tham gia phòng thủ không gian mạng, pháp luật Việt Nam không hề ngăn cấm hoạt động tìm kiếm lỗ hổng mà trái lại còn tạo cơ chế khuyến khích có kiểm soát.

Theo khoản 1 Điều 12 Nghị định 329/2026/NĐ-CP, lực lượng bảo vệ an ninh mạng, các cơ quan, tổ chức và doanh nghiệp chủ quản hệ thống thông tin được khuyến khích thiết lập cơ chế, chương trình, kế hoạch hoặc hoạt động cụ thể để săn tìm, phát hiện, xác minh, phân loại, báo cáo và điều phối xử lý điểm yếu, lỗ hổng bảo mật đối với hệ thống, cơ sở dữ liệu và nền tảng số trong phạm vi quản lý của mình.

2.1. Phạm vi được phép săn tìm lỗ hổng an ninh mạng

Không phải bất kỳ hệ thống nào trên mạng Internet cũng có thể tự do thử nghiệm tấn công hay tìm lỗi. Quy định tại khoản 2 Điều 12 Nghị định 329/2026/NĐ-CP nêu rõ:

• Việc huy động, phối hợp lực lượng bảo vệ an ninh mạng hoặc tổ chức, cá nhân có năng lực tham gia săn tìm, phát hiện và báo cáo lỗ hổng chỉ được thực hiện đối với hệ thống thông tin, cơ sở dữ liệu, nền tảng số đã được chủ quản chính thức cho phép;
• Sự cho phép hợp pháp này phải được xác lập thông qua các văn bản pháp lý rõ ràng như: Chương trình Bug Bounty chính thức; Kế hoạch rà soát đã phê duyệt; Hợp đồng kiểm thử xâm nhập (Pentest); Thỏa thuận bảo mật (NDA); Đặt hàng công nghệ; Quyết định giao nhiệm vụ; hoặc các hình thức hợp pháp khác.

2.2. Phương thức công bố chương trình săn tìm lỗ hổng bảo mật

Để đảm bảo tính công khai, minh bạch và an toàn cho người tham gia, căn cứ Điều 12 Nghị định 329/2026/NĐ-CP, chương trình săn tìm điểm yếu có thể được công bố qua:

• Nền tảng kết nối tham gia bảo vệ an ninh mạng quốc gia hoặc chuyên ngành;
• Các dịch vụ an ninh mạng được cấp phép hoạt động theo đúng quy định của pháp luật;
• Cổng thông tin, website hoặc các hình thức thông báo chính thức bằng văn bản của chính cơ quan, tổ chức, doanh nghiệp chủ quản.

3. 5 nguyên tắc "bất di bất dịch" đối với người tham gia săn tìm lỗ hổng

Ngay cả khi đã được chủ quản hệ thống thông tin cho phép bằng hợp đồng hoặc đăng ký tham gia chương trình Bug Bounty hợp lệ, các chuyên gia an ninh mạng vẫn chịu sự ràng buộc nghiêm ngặt theo khoản 4 Điều 12 Nghị định 329/2026/NĐ-CP với các nghĩa vụ cốt lõi sau:

1. Tuyệt đối không vượt quá phạm vi và thời hạn cho phép: Phải tuân thủ nghiêm ngặt dải địa chỉ IP, tên miền, giao diện API và danh mục hệ thống mục tiêu đã được phê duyệt. Hết thời hạn quy định của chương trình hoặc hợp đồng, mọi hoạt động thử nghiệm phải lập tức dừng lại;
2. Nghiêm cấm tự ý công bố, chuyển giao hay mua bán thông tin: Việc được ủy quyền kiểm thử hệ thống hoàn toàn không đồng nghĩa với quyền sở hữu hay quyền công khai thông tin lỗi. Mọi dữ liệu về lỗ hổng đều thuộc phạm vi bí mật thông tin của chủ quản;
3. Chỉ được khai thác ở mức tối thiểu để chứng minh lỗ hổng (Proof of Concept - PoC): Dừng ngay hành động khi đã chứng minh được sự tồn tại của lỗ hổng (ví dụ: hiển thị lệnh thông báo đơn giản), tuyệt đối không mở rộng leo thang đặc quyền để chiếm quyền điều khiển máy chủ hay đọc trộm cơ sở dữ liệu khách hàng;
4. Không gây gián đoạn hay phá hoại hệ thống: Không sử dụng các công cụ rà quét tự động gây nghẽn mạng (DDoS/DoS), không xóa sửa dữ liệu, không làm ảnh hưởng đến tính liên tục trong vận hành của hệ thống máy chủ và nền tảng số;
5. Tuân thủ pháp luật về bảo vệ dữ liệu và bí mật nhà nước: Bảo đảm tuyệt đối an toàn dữ liệu cá nhân theo quy định pháp luật hiện hành, bí mật kinh doanh của doanh nghiệp và bí mật nhà nước đối với các hệ thống cơ quan trọng yếu.

4. Trách nhiệm xử lý và điều phối của chủ quản hệ thống thông tin khi tiếp nhận báo cáo

Theo khoản 5 Điều 12 Nghị định 329/2026/NĐ-CP, cơ quan, tổ chức, doanh nghiệp chủ quản hệ thống không được phép lơ là hoặc chậm trễ khi tiếp nhận thông tin cảnh báo lỗ hổng mà phải thực hiện đầy đủ các bước:

• Xác lập rõ phạm vi, điều kiện và giới hạn kỹ thuật trong các văn bản giao nhiệm vụ hoặc thỏa thuận thử nghiệm an toàn thông tin;
• Khẩn trương tổ chức tiếp nhận, xác minh kỹ thuật, phân loại mức độ nguy hiểm và tiến hành quy trình xử lý, vá lỗi;
• Triển khai ngay các biện pháp cô lập rủi ro và khắc phục triệt để đối với các lỗ hổng đã được xác nhận;
• Bảo mật tuyệt đối danh tính và quyền lợi của tổ chức, cá nhân phát hiện và báo cáo lỗ hổng một cách hợp pháp;
• Báo cáo ngay cho lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an: Áp dụng đối với các điểm yếu, lỗ hổng nghiêm trọng có nguy cơ đe dọa trực tiếp đến an ninh quốc gia, trật tự an toàn xã hội, các hệ thống thông tin quan trọng về an ninh quốc gia hoặc làm rò rỉ dữ liệu quan trọng, dữ liệu cá nhân quy mô lớn.

5. Người phát hiện và báo cáo lỗ hổng có được nhận thù lao, tiền thưởng không?

Một trong những điểm đổi mới rất tiến bộ tại khoản 7 Điều 12 Nghị định 329/2026/NĐ-CP là việc chính thức thừa nhận và khuyến khích quyền lợi tài chính chính đáng cho cộng đồng chuyên gia an ninh mạng.

Cụ thể, kết quả phát hiện và báo cáo điểm yếu, lỗ hổng bảo mật có thể được chủ quản hệ thống ghi nhận, tôn vinh; đồng thời tổ chức, cá nhân tham gia có thể được chi trả thù lao, hỗ trợ chi phí kỹ thuật hoặc trao tiền thưởng xứng đáng. Việc chi trả này được xây dựng trên cơ sở quy chế chương trình Bug Bounty, điều khoản hợp đồng hoặc nguồn kinh phí hợp pháp của đơn vị, bảo đảm đúng thẩm quyền, đối tượng và công khai, minh bạch theo quy định pháp luật.

6. Lời khuyên pháp lý cho giới nghiên cứu bảo mật và doanh nghiệp

Đối với cộng đồng nghiên cứu an ninh mạng, đạo đức nghề nghiệp phải luôn song hành cùng kiến thức pháp luật. Tuyệt đối không thử nghiệm xâm nhập vào các hệ thống chưa có thỏa thuận hoặc chưa nằm trong danh sách chương trình săn lỗi được công bố công khai. Khi vô tình bắt gặp lỗ hổng, hãy gửi báo cáo bằng văn bản/kênh chính thống cho chủ quản và cơ quan an ninh mạng chuyên trách thay vì đăng tải lên mạng xã hội.

Đối với các cơ quan, doanh nghiệp, việc chủ động xây dựng chính sách tiếp nhận cảnh báo lỗ hổng (Vulnerability Disclosure Policy) và chương trình săn tìm lỗ hổng có thưởng là biện pháp phòng thủ chủ động tối ưu, vừa bảo vệ hệ thống trước các đợt tấn công nguy hiểm, vừa thu hút được sự hợp tác tích cực từ cộng đồng chuyên gia công nghệ trong khuôn khổ pháp lý vững chắc.