Trong bối cảnh kỷ nguyên số hóa bùng nổ, hệ thống thông tin không chỉ là huyết mạch vận hành của cơ quan nhà nước và doanh nghiệp mà còn là mục tiêu hàng đầu của các cuộc tấn công mạng ngày càng tinh vi. Nhằm thắt chặt kỷ cương và nâng cao năng lực tự vệ trên không gian mạng, Chính phủ đã ban hành Nghị định 331/2026/NĐ-CP quy định chi tiết về bảo vệ an ninh mạng đối với hệ thống thông tin, hướng dẫn thực thi Luật An ninh mạng 2025.

Một trong những yêu cầu then chốt đặt ra cho các đơn vị vận hành là việc chủ động nhận diện hiểm họa thông qua hoạt động đánh giá rủi ro an ninh mạng. Vậy bản chất của việc quản lý rủi ro này là gì và những trường hợp nào bắt buộc chủ quản hệ thống thông tin phải tiến hành đánh giá?

Hiểu đúng về quản lý rủi ro an ninh mạng

Theo quy định tại khoản 1 Điều 10 Nghị định 331/2026/NĐ-CP, khái niệm về quản lý rủi ro an ninh mạng được chuẩn hóa như sau:

Quản lý rủi ro an ninh mạng là quá trình xác định, đánh giá, xử lý và kiểm soát các rủi ro có thể gây tổn hại đến an ninh mạng của hệ thống thông tin, làm căn cứ hỗ trợ xác định cấp độ hệ thống thông tin và áp dụng biện pháp bảo đảm an ninh mạng phù hợp.

Như vậy, quản lý rủi ro không đơn thuần là hoạt động ứng phó thụ động sau khi sự cố xảy ra, mà là một quy trình kiểm soát chủ động xuyên suốt vòng đời của hệ thống thông tin nhằm phát hiện sớm các lỗ hổng kỹ thuật, nguy cơ rò rỉ dữ liệu hoặc các điểm yếu trong quy trình quản trị.

5 trường hợp bắt buộc phải đánh giá rủi ro an ninh mạng

Căn cứ theo khoản 2 Điều 10 Nghị định 331/2026/NĐ-CP, chủ quản hệ thống thông tin có trách nhiệm phải thực hiện đánh giá rủi ro an ninh mạng trong 5 trường hợp cụ thể sau đây:

1. Khi xác định cấp độ hệ thống thông tin lần đầu

Khi một hệ thống thông tin mới được thiết kế, xây dựng hoặc đưa vào nghiệm thu vận hành, việc đánh giá rủi ro ban đầu là bước đi tiên quyết. Hoạt động này giúp chủ quản hệ thống nhận diện đầy đủ môi trường hoạt động, bề mặt tấn công tiềm ẩn và mức độ nhạy cảm của luồng dữ liệu xử lý, từ đó làm căn cứ vững chắc để lập hồ sơ đề xuất cấp độ an toàn thông tin phù hợp.

2. Khi có thay đổi về chức năng, phạm vi, công nghệ hoặc dữ liệu

Trong quá trình vận hành, hệ thống thông tin thường xuyên được nâng cấp tính năng, thay đổi kiến trúc công nghệ, mở rộng đối tượng phục vụ hoặc bổ sung các loại dữ liệu xử lý mới (chẳng hạn như dữ liệu định danh cá nhân, thông tin tài chính). Mọi biến động này đều có thể phát sinh các lỗ hổng bảo mật mới, đòi hỏi chủ quản phải tái đánh giá rủi ro an ninh mạng kịp thời trước khi triển khai chính thức.

3. Khi mở rộng quy mô, tích hợp, kết nối liên thông hoặc chia sẻ dữ liệu

Việc kết nối liên thông giữa các hệ thống thông tin của các cơ quan, tổ chức hoặc kết nối với hệ thống của bên thứ ba luôn tiềm ẩn nguy cơ lây nhiễm mã độc chéo và lộ lọt dữ liệu. Do đó, trước khi thiết lập các kết nối API, chia sẻ cơ sở dữ liệu dùng chung hoặc mở rộng quy mô hạ tầng, việc rà soát và đánh giá rủi ro an ninh mạng là yêu cầu bắt buộc nhằm ngăn ngừa các rủi ro dây chuyền.

4. Khi xảy ra sự cố an ninh mạng nghiêm trọng hoặc có nguy cơ cao

Nếu hệ thống thông tin bị tấn công xâm nhập, tê liệt dịch vụ, rò rỉ dữ liệu nghiêm trọng hoặc xuất hiện các cảnh báo tình báo an ninh mạng về nguy cơ cao gây ảnh hưởng tới an ninh quốc gia, trật tự an toàn xã hội và lợi ích công cộng, chủ quản hệ thống phải lập tức tiến hành đánh giá toàn diện. Việc đánh giá này giúp xác định chính xác nguyên nhân gốc rễ, mức độ thiệt hại và ngăn chặn các đợt tấn công tiếp theo.

5. Khi có yêu cầu của cơ quan nhà nước có thẩm quyền

Trong quá trình thực hiện chức năng quản lý nhà nước về an ninh mạng, các cơ quan chuyên trách có thẩm quyền (như lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an, Bộ Quốc phòng hoặc cơ quan điều phối quốc gia) có quyền yêu cầu chủ quản hệ thống thực hiện đánh giá rủi ro an ninh mạng đột xuất nhằm phục vụ công tác thanh tra, kiểm tra hoặc bảo đảm an ninh cho các sự kiện trọng đại.

Kết quả đánh giá rủi ro được sử dụng vào việc gì?

Báo cáo đánh giá rủi ro không chỉ là thủ tục hành chính đơn thuần mà mang ý nghĩa chiến lược trong quản trị an ninh hệ thống. Theo khoản 4 Điều 10 Nghị định 331/2026/NĐ-CP, kết quả đánh giá rủi ro an ninh mạng là căn cứ quan trọng để:

• Đề xuất, xác định hoặc điều chỉnh cấp độ an toàn của hệ thống thông tin;
• Lựa chọn, đầu tư và triển khai các giải pháp, biện pháp kỹ thuật và quản lý bảo đảm an ninh mạng tương xứng;
• Xây dựng, cập nhật và hoàn thiện phương án bảo vệ hệ thống thông tin cũng như phương án ứng cứu sự cố an ninh mạng trong mọi tình huống.

Trách nhiệm nâng cấp độ bảo đảm an ninh mạng khi rủi ro vượt ngưỡng

Đặc biệt, nhằm ngăn chặn tình trạng hạ thấp tiêu chuẩn bảo vệ hoặc chủ quan trong vận hành, khoản 5 Điều 10 Nghị định 331/2026/NĐ-CP nêu rõ:

Trường hợp kết quả đánh giá cho thấy mức độ rủi ro cao hơn so với cấp độ đã được xác định trước đó, chủ quản hệ thống thông tin có trách nhiệm phải kịp thời đề xuất áp dụng cấp độ cao hơn để bảo đảm an ninh mạng toàn diện cho hệ thống.

Việc chủ động tuân thủ nghiêm ngặt các quy định về đánh giá rủi ro an ninh mạng không chỉ giúp các tổ chức, doanh nghiệp tránh được các chế tài xử phạt hành chính theo quy định pháp luật, mà còn bảo vệ an toàn cho tài sản số, uy tín tổ chức và bảo đảm quyền riêng tư cho người sử dụng dịch vụ.