Năm 2025, bối cảnh an ninh mạng toàn cầu tiếp tục thay đổi với tốc độ chóng mặt. Theo Báo cáo Điều tra Vi phạm Dữ liệu của Verizon (DBIR 2025), 83% tổ chức trên toàn thế giới đã từng trải qua ít nhất một sự cố an ninh mạng, và 24% trong số đó liên quan đến việc đánh cắp hoặc tái sử dụng thông tin đăng nhập. Báo cáo Chi phí Vi phạm Dữ liệu của IBM 2025 cho thấy thiệt hại trung bình cho mỗi vụ vi phạm đã đạt 4,44 triệu USD, trong đó phần lớn các cuộc tấn công bắt nguồn từ việc phát hiện và phản ứng chậm trễ. Cách tiếp cận an ninh truyền thống mang tính phản ứng – chỉ phòng thủ sau khi phát hiện tấn công không còn đủ. Cách làm này thường dẫn đến mất dữ liệu, thời gian gián đoạn kéo dài, và rủi ro vi phạm quy định theo các luật như GDPR và PDPL của Việt Nam.
Ngược lại, Threat Hunting – phương pháp an ninh mạng chủ động cho phép doanh nghiệp chủ động tìm kiếm các mối đe dọa tiềm ẩn trước khi chúng gây thiệt hại. Chiến lược này bổ sung cho phòng thủ phản ứng, tăng cường khả năng Ngăn ngừa Mất Dữ liệu (DLP) và nâng cao năng lực phản ứng sự cố, nhờ vào khả năng phát hiện sớm và kiểm soát nhanh.
Câu chuyện quen thuộc với mọi doanh nghiệp
Năm 1969, bác sĩ tâm lý Elisabeth Kübler-Ross đã mô tả năm giai đoạn cảm xúc khi con người đối mặt với mất mát: Phủ nhận, Giận dữ, Mặc cả, Trầm cảm và Chấp nhận hay gọi tắt là DABDA. Theo thời gian, mô hình này được áp dụng rộng rãi để lý giải nhiều loại mất mát khác nhau không chỉ mất người thân, mà cả những mất mát mang tính cảm xúc như một dự án thất bại, cơ hội bị bỏ lỡ, hay thậm chí là mất dữ liệu. Chúng tôi đã dành nhiều thời gian nghiên cứu khía cạnh tâm lý của việc mất dữ liệu, sau khi lắng nghe vô số câu chuyện từ đồng nghiệp và khách hàng, tôi tin rằng mất dữ liệu cũng đi qua chính những giai đoạn cảm xúc mà Kübler Ross đã quan sát từ nhiều thập kỷ trước. Khi dữ liệu biến mất đột ngột, phản ứng của mọi người đều giống nhau ban đầu cố gắng sửa nhanh, rồi nhận ra vấn đề nghiêm trọng hơn tưởng tượng.
Phản ứng đầu tiên của nhiều lãnh đạo là: “Chắc chỉ là tạm thời thôi. Khởi động lại hệ thống là ổn.” Nhưng khởi động đi khởi động lại mà không có kết quả chỉ làm tình hình tệ hơn. Phủ nhận khiến quá trình khôi phục bị trì hoãn. Mỗi phút trôi qua khi mất dữ liệu đều vô giá. Càng sớm chấp nhận rằng cần có quy trình sao lưu hoặc khôi phục, chúng ta càng nhanh huy động được nguồn lực. Vì phủ nhận không chỉ làm chậm quá trình khôi phục, mà còn làm tăng chi phí đáng kể.
Khi hiện thực phơi bày, sự bức xúc bùng nổ. Cơn giận đó phản ánh giá trị thật sự của dữ liệu. Ta có thể tức giận với hệ thống, với đội IT, hay với chính mình vì không sao lưu đúng cách. Đây không phải là lúc đổ lỗi, mà là lúc hợp tác để giải quyết. Một kế hoạch phản ứng đối với sự cố một cách rõ ràng sẽ giúp mọi người bình tĩnh và làm việc hiệu quả hơn.
Đến giai đoạn này, con người bắt đầu thử mọi cách có thể, liên hệ các công ty phục hồi dữ liệu với hy vọng “lấy lại được chút gì đó”. Tâm lý thường là: “Nếu mình làm thế này, có lẽ sẽ cứu được đủ để ổn.” Sự chủ động này đáng quý, nhưng nếu thiếu kế hoạch rõ ràng, nó có thể dẫn đến phục hồi chắp vá và mất kiểm soát dữ liệu lâu dài.
Đối với một vài trường hợp, bạn có thể khôi phục được một phần, nhưng bởi vì không có chiến lược rõ ràng nên điều đó có thể gây hại nhiều hơn. Vì vậy, cần phải xác định rõ: dữ liệu nào cần phục hồi, phục hồi trong bao lâu, ai chịu trách nhiệm và mức rủi ro mà bạn chấp nhận được là gì.
Đây là giai đoạn khó khăn nhất. Khi phải đối diện với việc mất hoàn toàn dữ liệu, từ số lượng dữ liệu được thu thập lưu trữ trong nhiều năm: hồ sơ khách hàng, hay tài sản trí tuệ, tâm trạng chung là: “Tất cả… biến mất. Làm sao để bắt đầu lại?” Điều này đặc biệt nghiêm trọng với những doanh nghiệp có sự cố kéo dài, chi phí tăng cao, hoặc hệ thống ngừng hoạt động lâu dẫn đến tinh thần nhân viên suy sụp. Vì vậy sự giao tiếp minh bạch và hướng dẫn khôi phục rõ ràng lúc này sẽ giúp lấy lại sự tập trung cho toàn bộ doanh nghiệp. Vai trò lãnh đạo thời điểm này là vô cùng quan trọng: cần giữ bình tĩnh, dẫn dắt nhóm vượt qua khủng hoảng, và rút kinh nghiệm để xây dựng kế hoạch bảo vệ mạnh mẽ hơn. Đây cũng là lúc để biến chiến lược sao lưu và phục hồi từ “nên có” thành “bắt buộc phải có”.
Cuối cùng, bạn chấp nhận thực tế. Có thể không khôi phục được toàn bộ dữ liệu, nhưng doanh nghiệp sẽ bắt đầu lại, làm sạch, và tái cấu trúc chiến lược lần này một cách bài bản. Chấp nhận không phải là thất bại. Đó là thời điểm doanh nghiệp nói: “Chúng ta đã mất dữ liệu, nhưng chúng ta sẽ học hỏi và trở lại mạnh mẽ hơn.” Hãy tận dụng khoảnh khắc này để xây dựng chính sách bảo vệ dữ liệu toàn diện, bao gồm sao lưu, kiểm thử khôi phục, giám sát luồng dữ liệu và các biện pháp phòng ngừa.
Ví dụ, Quy tắc Sao lưu 3-2-1-1-0 nghĩa là:
-
- Giữ 3 bản sao dữ liệu
- Trên 2 loại thiết bị khác nhau
- 1 bản sao ngoại vi (offsite)
- 1 bản sao tách biệt (offline/air-gap)
- Và đảm bảo 0 lỗi sau khi xác minh sao lưu.
Đây chính là cách biến chấp nhận thành khả năng phục hồi.
Bài học rút ra
Hiểu về an ninh mạng phản ứng
An ninh mạng phản ứng là tập hợp các biện pháp được thiết kế để xác định và giảm thiểu các mất mát và thời gian tạm ngưng hoạt động sau khi bị tấn công. Cách tiếp cận này sử dụng các công cụ và thực tiễn tốt nhất để xây dựng hàng phòng thủ vững chắc chống lại những phương thức tấn công phổ biến, đồng thời phát hiện hành vi độc hại khi kẻ tấn công đã xâm nhập hệ thống.
Các công cụ phổ biến bao gồm:
-
- Tường lửa, phần mềm diệt virus, bộ lọc thư rác
- Đánh giá lỗ hổng bảo mật thực tế
- Kế hoạch khôi phục sau thảm họa
Khung Phản ứng Sự cố (IR) tiêu chuẩn gồm các bước: Chuẩn bị, Phát hiện, Cô lập, Loại bỏ, Khôi phục và Đánh giá dựa trên hướng dẫn của NIST. Tuy nhiên, dù hiệu quả với các mối đe dọa đã biết, mô hình này không thể ngăn chặn các tấn công zero-day hoặc mã độc không tệp (fileless malware). Ví dụ: Một công ty tài chính chỉ dựa vào công cụ diệt virus đã không phát hiện việc lạm dụng thông tin đăng nhập trong hệ thống email. Kẻ tấn công đã truy cập dữ liệu đám mây trong ba tuần mà không bị phát hiện, gây vi phạm nghiêm trọng theo GDPR.
Threat Hunting là gì và cách hoạt động
Threat Hunting là một phương pháp an ninh mạng chủ động. Thay vì chờ đợi cảnh báo, doanh nghiệp sẽ giám sát hoạt động của các thiết bị đầu cuối, thu thập dữ liệu hành vi (telemetry) và giả định rằng kẻ tấn công có thể đã xâm nhập hệ thống, từ đó liên tục tìm kiếm các chỉ báo tấn công (IoA) như đăng nhập bất thường, di chuyển ngang trong mạng hoặc thực thi quy trình đáng ngờ.
Một hoạt động Threat Hunting hiệu quả kết hợp trí tuệ nhân tạo (AI), phân tích hành vi (Behavioral Analytics) và chuyên môn con người, thông qua ba phương pháp chính:
-
- Phân tích dựa trên bất thường: sử dụng AI để phát hiện hành vi lạ.
- Săn tìm dựa trên giả thuyết: điều tra dựa trên thông tin tình báo mới.
- Phát hiện dựa trên IoC/IoA: đối chiếu dữ liệu mối đe dọa mới với nhật ký hệ thống.
Theo Báo cáo ENISA Threat Landscape 2025, quy trình Threat Hunting bao gồm: Chuẩn bị, Ưu tiên, Tích hợp thông tin, Kích hoạt, Điều tra, Cô lập & Khắc phục, và Đánh giá sau khi săn tìm. Ví dụ: Một doanh nghiệp sản xuất đã phát hiện sớm mã độc “living-off-the-land” nhờ Threat Hunting chủ động, từ đó ngăn chặn được một cuộc tấn công ransomware có thể khiến hệ thống ngừng hoạt động hàng tuần.
Vì sao chủ động là yếu tố then chốt trong Ngăn ngừa Mất Dữ liệu (DLP)
Threat Hunting giúp phát hiện hoạt động độc hại trước khi chúng chạm đến dữ liệu nhạy cảm. Bằng cách phân tích nhật ký và hành vi người dùng, chuyên gia có thể phát hiện tài khoản nội bộ truy cập khối lượng dữ liệu bất thường dấu hiệu tiềm tàng của rò rỉ dữ liệu hoặc đe dọa nội gián.
-
- Săn tìm mối đe dọa dữ liệu – Theo dõi hệ thống để phát hiện hành vi bất thường liên quan đến truy cập, sao chép hoặc truyền tải dữ liệu nhạy cảm. Sử dụng phân tích hành vi người dùng (UBA) để phát hiện nguy cơ rò rỉ dữ liệu.
- Phân tích theo thời gian thực – Dùng AI/ML để theo dõi luồng dữ liệu và nhận diện các mô hình hành vi dẫn đến mất mát dữ liệu. Ví dụ: phát hiện nhân viên gửi lượng lớn dữ liệu ra ngoài vào thời điểm bất thường.
- Kiểm soát truy cập động – Áp dụng chính sách truy cập dựa trên ngữ cảnh: vị trí, thiết bị, thời gian, vai trò người dùng ngăn hành vi chia sẻ dữ liệu không phù hợp ngay khi xảy ra.
- Phát hiện và ngăn chặn trước khi vi phạm – Kiểm tra chủ động lỗ hổng trong lưu trữ và truyền tải dữ liệu. Tự động cảnh báo và chặn hành vi rủi ro trước khi dữ liệu bị rò rỉ.
Các chiến lược chủ động giúp doanh nghiệp tập trung nguồn lực vào tài sản có giá trị cao, giảm cảnh báo sai và cắt giảm chi phí xử lý sự cố. Theo IBM 2025, doanh nghiệp áp dụng phương pháp bảo vệ chủ động đã tiết kiệm trung bình 1,49 triệu USD mỗi vụ vi phạm, nhờ giảm thời gian khôi phục và tổn thất dữ liệu.
Công nghệ Ngăn ngừa Mất Dữ liệu (DLP) giúp phát hiện, kiểm soát và ngăn chặn việc rò rỉ hoặc phá hủy dữ liệu ngoài ý muốn. Một hệ thống DLP hiện đại bao gồm:
-
- Giám sát liên tục thiết bị, ứng dụng và mạng
- Bảo vệ thông minh theo nội dung, nhận biết dữ liệu nhạy cảm
- Tự động thực thi chính sách an ninh
- Sao lưu và khôi phục tích hợp, cho phép phục hồi nhanh
Tại ITM, chúng tôi giúp doanh nghiệp hướng đến năng lực an ninh mạng chủ động và phát triển bền vững đảm bảo tính liên tục, tuân thủ và giữ vững niềm tin, uy tín với khách hàng.
Liên hệ ITM ngay hôm nay để đánh giá mức độ sẵn sàng bảo vệ dữ liệu của bạn và bảo vệ tương lai của doanh nghiệp.
