Không có doanh nghiệp nào "không cần" bảo mật mạng trong kỷ nguyên số. Mức độ và hình thức triển khai phụ thuộc vào: Ngành, Quy mô, Loại dữ liệu, Quy định pháp lý, Rủi ro chịu đựng được.
| Ngành / Loại dữ liệu | Quy định / Tiêu chuẩn | Yêu cầu bảo mật mạng chính |
|---|
| Tài chính / Ngân hàng / Bảo hiểm | PCI-DSS, SOX, GLBA, Basel III, Việt Nam: Luật Ngân hàng, Thông tư 13/2018/TT-NHNN, 06/2021/TT-NHNN | Mã hóa dữ liệu, Firewall, IDS/IPS, NAC, SIEM, PenTest hàng năm, BCP/DR test |
| Y tế / Sức khỏe | HIPAA (US), Việt Nam: Luật An ninh mạng 2018, Nghị định 53/2022/NĐ-CP, Tiêu chuẩn Bộ Y tế | Bảo vệ PHI, Access Control, Audit Log, Encryption, BAA với vendor, Breach notification |
| Chính phủ / Cơ quan nhà nước | FISMA, NIST 800-53, FedRAMP, Việt Nam: Luật An ninh mạng, Nghị định 85/2016, Thông tư 28/2018/TT-BTTTT | Phân cấp dữ liệu, Air-gap hệ thống mật, SOC 24/7, Cryptography chuẩn quốc gia |
| Năng lượng / Hạ tầng quan trọng (Critical Infrastructure) | NERC CIP, IEC 62443, Việt Nam: Luật An ninh mạng, Chỉ thị 14/CT-TTg | OT Security, Network Segmentation (IT/OT), Anomaly Detection, Incident Response chuyên biệt |
| Bán lẻ / Thương mại điện tử (Xử lý thẻ thanh toán) | PCI-DSS (bắt buộc nếu lưu/truyền/thao tác PAN) | Network Segmentation (CDE), Firewall, ASV Scan quý, PenTest năm, Encryption |
| Giáo dục (Xử lý dữ liệu học sinh/sinh viên) | FERPA (US), Việt Nam: Luật Giáo dục, Luật Bảo vệ dữ liệu cá nhân (Đề án) | Access Control, Encryption, Data Minimization, Vendor Risk Management |
| Luật / Kế toán / Tư vấn (Xử lý dữ liệu khách hàng nhạy cảm) | GDPR (nếu có khách EU), CCPA/CPRA (CA), Việt Nam: Luật Bảo vệ dữ liệu cá nhân (Đang triển khai) | DPIA, DPO, Breach Notification 72h, Data Subject Rights, Encryption |
Doanh nghiệp vừa và nhỏ (SMB) – Tại sao KHÔNG được ngoại trừ?
- 43% cuộc tấn công mạng nhắm vào SMB (Verizon DBIR) – vì phòng thủ yếu.
- Chi phí trung bình vụ breach SMB: $25,000 - $120,000 (IBM 2024) – nhiều SMB phá sản sau 6 tháng.
- Chuỗi cung ứng (Supply Chain): SMB là vector tấn công vào doanh nghiệp lớn (Target 2013 qua vendor HVAC).
- Ransomware-as-a-Service: Tự động hóa tấn công hàng loạt – không phân biệt quy mô.
Bảo mật mạng tối thiểu cho SMB (Baseline - CIS Controls v8 Implementation Group 1)
- Kiểm soát tài sản (Hardware/Software Inventory).
- Cấu hình an toàn (Secure Config - CIS Benchmarks).
- Quản trị đặc quyền (Controlled Admin Privileges).
- MFA cho mọi truy cập từ xa & admin.
- Backup tự động, offline, test khôi phục hàng quý.
- Đào tạo nhận thức phishing hàng tháng.
- Endpoint Protection (EDR/NGAV) trên mọi thiết bị.
- Email Security (DMARC, Anti-phishing, Sandbox).
- Firewall 경계 (Boundary) – chặn inbound không cần, egress filtering.
- Quản trị lỗ hổng: Scan tháng, patch critical < 14 ngày.
Chi phí bảo mật mạng cho SMB (Ước tính 2024)
| Mức độ | Chi phí/năm/nhân viên | Bao gồm |
|---|
| Cơ bản (Baseline IG1) | $150 - $300 | MFA, Backup, EDR, Email Sec, Training, FW cloud |
| Nâng cao (IG2 + MDR) | $400 - $800 | + MDR 24/7, Vuln Mgmt, DLP, PAM, SIEM Lite |
| Toàn diện (IG3 + SOC) | $1,000 - $2,500+ | + SOC nội bộ/Co-managed, Threat Hunt, Red Team, AppSec |
Kết luận
Mọi doanh nghiệp đều "bắt buộc" phải có bảo mật mạng – không phải do luật ép buộc tất cả (trừ các ngành quy định), mà do rủi ro sinh tồn. SMB nên bắt đầu từ CIS Controls IG1 (chi phí thấp, hiệu quả cao) và mở rộng theo trưởng thành. Đừng chờ bị tấn công mới đầu tư – chi phí phòng ngừa ≈ 1/10 chi phí khắc phục sự cố.
