Ransomware làm lộ dữ liệu khách hàng: 24 giờ đầu doanh nghiệp phải làm gì

24 giờ đầu sau khi phát hiện ransomware: mục tiêu pháp lý và vận hành

Khi hệ thống bị mã hóa, tê liệt hoặc có dấu hiệu dữ liệu khách hàng bị truy cập trái phép, doanh nghiệp phải coi đây là sự cố an ninh nghiêm trọng và tổ chức ứng phó ngay theo nguyên tắc hạn chế thiệt hại, bảo toàn chứng cứ và kiểm soát rò rỉ. Trong giai đoạn đầu, trọng tâm không phải thương lượng với bên tấn công mà là ngăn sự cố lan rộng, xác định mức độ ảnh hưởng và chuẩn bị nghĩa vụ thông báo pháp lý.

Với dữ liệu cá nhân, Nghị định 13/2023/NĐ-CP đặt ra thời hạn thông báo cho Bộ Công an chậm nhất 72 giờ kể từ khi xảy ra vi phạm; do đó, 24 giờ đầu là khoảng thời gian then chốt để thu thập thông tin tối thiểu phục vụ báo cáo, thay vì chờ kết luận hoàn chỉnh. Nếu thông báo sau 72 giờ, doanh nghiệp phải nêu rõ lý do chậm thông báo theo đúng quy định tại Điều 23 Nghị định 13/2023/NĐ-CP.

Cô lập hệ thống và kích hoạt cơ chế ứng phó khẩn cấp

Bước đầu tiên là cô lập ngay máy chủ, máy trạm, tài khoản và kết nối mạng có dấu hiệu lây nhiễm để ngăn mã độc tiếp tục mã hóa hoặc đánh cắp dữ liệu. Bộ phận công nghệ thông tin phải tạm dừng đồng bộ, sao lưu tự động và các kết nối từ xa không cần thiết, đồng thời vô hiệu hóa tài khoản nghi bị chiếm quyền nếu việc làm này không làm mất dấu vết điều tra.

Song song với đó, doanh nghiệp cần kích hoạt đội ứng cứu sự cố, phân công rõ người chỉ huy, đầu mối pháp chế, an ninh thông tin, truyền thông và lãnh đạo phê duyệt quyết định. Mọi chỉ đạo trong 24 giờ đầu phải được ghi nhận bằng văn bản hoặc nhật ký xử lý để phục vụ truy vết nội bộ và làm căn cứ giải trình sau này.

Bảo toàn chứng cứ điện tử và khóa chuỗi dữ liệu điều tra

Doanh nghiệp phải lưu giữ nguyên trạng các log hệ thống, thông báo mã độc, file đòi tiền chuộc, email lừa đảo, lịch sử truy cập và ảnh chụp màn hình tình trạng hệ thống tại thời điểm phát hiện. Việc thay đổi, xóa, cài đặt lại hoặc khôi phục vội vàng trước khi sao lưu bằng chứng sẽ làm suy giảm giá trị chứng minh và cản trở việc đánh giá phạm vi vi phạm.

Nếu đã có sao lưu sạch, cần kiểm tra tính toàn vẹn trước khi khôi phục để tránh đưa mã độc trở lại môi trường sản xuất. Trường hợp có đơn vị cung cấp dịch vụ an ninh mạng hoặc pháp y số, phải ký nhận phạm vi can thiệp và niêm phong dữ liệu cần phân tích để bảo đảm khả năng đối chiếu sau này.

Đánh giá nhanh mức độ lộ dữ liệu khách hàng

Trong 24 giờ đầu, doanh nghiệp cần xác định tối thiểu bốn nội dung: loại dữ liệu bị ảnh hưởng, số lượng chủ thể dữ liệu, thời điểm và phương thức vi phạm, và khả năng dữ liệu đã bị trích xuất ra ngoài. Với dữ liệu khách hàng, cần phân nhóm ngay theo mức độ nhạy cảm, gồm thông tin định danh, liên hệ, tài chính, định danh điện tử, mật khẩu, dữ liệu thanh toán và dữ liệu thuộc nhóm được pháp luật bảo vệ chặt hơn.

Kết quả đánh giá sơ bộ không đòi hỏi độ chắc chắn tuyệt đối, nhưng phải đủ để quyết định có phát sinh nghĩa vụ thông báo, có cần cảnh báo người dùng, và có cần cô lập thêm hệ thống phụ trợ hay không. Việc xác định phạm vi càng sớm thì khả năng giảm thiểu hậu quả càng cao, đồng thời hỗ trợ lập hồ sơ báo cáo vi phạm đúng hạn.

Thông báo nội bộ, thông báo cơ quan quản lý và phân tầng thông tin công khai

Doanh nghiệp phải báo cáo ngay cho người đại diện theo pháp luật, ban điều hành và bộ phận pháp chế hoặc tuân thủ để thống nhất đầu mối phát ngôn. Chỉ một đầu mối được phép làm việc với cơ quan điều tra, cơ quan quản lý an ninh mạng và nhà cung cấp dịch vụ kỹ thuật nhằm tránh mâu thuẫn thông tin.

Đối với vi phạm quy định về bảo vệ dữ liệu cá nhân, theo khoản 1 Điều 23 Nghị định 13/2023/NĐ-CP, bên kiểm soát dữ liệu cá nhân và bên kiểm soát và xử lý dữ liệu cá nhân phải thông báo cho Bộ Công an chậm nhất 72 giờ sau khi xảy ra vi phạm. Theo khoản 2 Điều 23 Nghị định 13/2023/NĐ-CP, bên xử lý dữ liệu cá nhân phải thông báo cho bên kiểm soát dữ liệu cá nhân nhanh nhất có thể sau khi nhận thấy vi phạm.

Nếu sự cố liên quan hệ thống thông tin quan trọng về an ninh quốc gia, việc ứng phó còn phải tuân thủ cơ chế phối hợp, thông báo và khắc phục sự cố theo Luật An ninh mạng 2018 và Nghị định 53/2022/NĐ-CP. Trong tình huống này, doanh nghiệp cần chuẩn bị để làm việc ngay với lực lượng chuyên trách bảo vệ an ninh mạng theo đúng quy trình pháp luật hiện hành.

Không trả tiền chuộc là mặc định quản trị rủi ro, không phải giải pháp pháp lý

Trong 24 giờ đầu, doanh nghiệp không nên mặc nhiên chấp nhận yêu cầu trả tiền chuộc như một biện pháp xử lý. Trả tiền không bảo đảm phục hồi dữ liệu, không loại trừ nguy cơ bị tống tiền lần hai và không thay thế các nghĩa vụ pháp lý về bảo vệ dữ liệu, thông báo vi phạm và khắc phục hậu quả.

Quyết định liên quan đến đàm phán, thanh toán hay từ chối phải do lãnh đạo cấp cao cân nhắc trên cơ sở đánh giá rủi ro, ý kiến pháp chế, an ninh thông tin và bảo hiểm nếu có. Mọi trao đổi với đối tượng tấn công phải được kiểm soát chặt chẽ để không làm lộ thêm thông tin nhạy cảm.

Chuẩn bị thông báo cho khách hàng và giảm thiểu thiệt hại cho chủ thể dữ liệu

Nếu có dấu hiệu dữ liệu khách hàng bị lộ hoặc bị truy cập trái phép, doanh nghiệp phải chuẩn bị thông điệp cảnh báo rõ ràng, trung thực và nhất quán. Nội dung thông báo cần nêu loại dữ liệu liên quan, các biện pháp đang triển khai, khuyến nghị đổi mật khẩu, cảnh giác lừa đảo và kênh liên hệ hỗ trợ.

Việc thông báo cho khách hàng không thay thế thông báo cho cơ quan quản lý, nhưng là biện pháp giảm thiểu thiệt hại và thể hiện thiện chí tuân thủ. Thông điệp công khai phải được rà soát bởi pháp chế để tránh thừa nhận trách nhiệm theo cách làm bất lợi cho doanh nghiệp trong các tranh chấp sau này.

Hồ sơ cần hoàn thiện trong 24 giờ đầu

Doanh nghiệp cần lập một bộ hồ sơ khẩn cấp, gồm biên bản phát hiện sự cố, thời điểm ghi nhận, danh sách hệ thống ảnh hưởng, đánh giá sơ bộ về dữ liệu lộ lọt, biện pháp cô lập, người phụ trách và các chứng cứ điện tử đã bảo toàn. Hồ sơ này là nền tảng để hoàn thiện báo cáo vi phạm trong thời hạn pháp luật và chứng minh doanh nghiệp đã hành động kịp thời, có tổ chức.

Nếu có hợp đồng với bên xử lý dữ liệu, nhà cung cấp đám mây, SOC, MSSP hoặc đơn vị thuê ngoài, phải rà soát ngay điều khoản thông báo sự cố, nghĩa vụ hỗ trợ và quyền kiểm tra nhật ký. Đây là căn cứ để huy động nguồn lực kỹ thuật và làm rõ trách nhiệm hợp đồng giữa các bên.

Khung hành động 24 giờ đầu theo thứ tự ưu tiên

0–2 giờ

• Cô lập hệ thống bị nhiễm và ngắt các kết nối rủi ro.
• Kích hoạt đội ứng cứu và khóa đầu mối chỉ huy sự cố.
• Bảo toàn log, ảnh chụp màn hình và thông báo tống tiền.

2–8 giờ

• Xác định phạm vi lây nhiễm và tài sản dữ liệu bị ảnh hưởng.
• Kiểm tra khả năng trích xuất dữ liệu ra ngoài và phân loại dữ liệu nhạy cảm.
• Thông báo nội bộ cho lãnh đạo, pháp chế và an ninh thông tin.

8–24 giờ

• Hoàn thiện đánh giá sơ bộ để chuẩn bị thông báo theo Điều 23 Nghị định 13/2023/NĐ-CP.
• Làm việc với nhà cung cấp kỹ thuật, bảo hiểm và cơ quan chức năng nếu cần.
• Dự thảo thông báo khách hàng và phương án giảm thiểu hậu quả.

Cơ sở pháp lý trọng tâm

Về bảo vệ dữ liệu cá nhân, căn cứ trực tiếp là khoản 1 và khoản 2 Điều 23 Nghị định 13/2023/NĐ-CP của Chính phủ về bảo vệ dữ liệu cá nhân, còn về sự cố an ninh mạng đối với hệ thống thuộc diện đặc biệt, cần đối chiếu Luật An ninh mạng 2018 và Nghị định 53/2022/NĐ-CP. Khi sự cố đồng thời kéo theo rủi ro vi phạm dữ liệu và rủi ro an ninh mạng, doanh nghiệp phải thực hiện song song nghĩa vụ kỹ thuật, nghĩa vụ thông báo và nghĩa vụ khắc phục theo từng văn bản áp dụng.

Trong thực tiễn quản trị, 24 giờ đầu không phải giai đoạn “xử lý xong sự cố” mà là giai đoạn tạo nền tảng pháp lý và kỹ thuật cho toàn bộ quá trình khắc phục sau đó. Doanh nghiệp nào cô lập đúng, ghi nhận đủ và báo cáo đúng hạn sẽ giảm đáng kể rủi ro chế tài, tranh chấp và tổn thất uy tín.

Tài liệu tham khảo

• Nghị định 13/2023/NĐ-CP của Chính phủ về bảo vệ dữ liệu cá nhân.
• Luật An ninh mạng 2018 số 24/2018/QH14.
• Nghị định 53/2022/NĐ-CP của Chính phủ quy định chi tiết một số điều của Luật An ninh mạng.
• Cổng thông tin và dịch vụ công Bộ Công an về thủ tục thông báo vi phạm quy định bảo vệ dữ liệu cá nhân.
• Văn bản hướng dẫn và công bố pháp luật trên Cổng thông tin văn bản Chính phủ.