Các biện pháp như giảm tiền phạt hành chính từng được sử dụng làm căn cứ thúc đẩy chứng nhận ISMS-P và các chứng nhận khác nay đã trở thành một chế độ hết sức quan trọng. Do các vụ rò rỉ thông tin cá nhân quy mô lớn liên tiếp xảy ra gần đây tại Coupang, SKT, Lotte Card..., Nghị định thi hành Luật Bảo vệ thông tin cá nhân đã được sửa đổi, theo đó áp dụng chính sách giảm tiền phạt hành chính đối với sự cố rò rỉ thông tin cá nhân khi đạt được hệ thống bảo vệ mang tính phòng ngừa trước (giảm 40% mức tiền phạt tương đương 10% doanh thu). Do đó, việc kiểm tra hệ thống xử lý thông tin cá nhân và bảo đảm nhân sự chuyên trách về thông tin cá nhân—những công việc trước đây rất khó thực hiện quản lý, kiểm tra dựa trên Luật Bảo vệ thông tin cá nhân hiện hành—nay đã có cơ sở pháp lý để ưu tiên triển khai thông qua chế độ giảm tiền phạt. Vì vậy, cần bổ sung các nội dung phải phản ánh vào quy định bảo vệ thông tin cá nhân, xây dựng thêm hồ sơ kết quả hoạt động liên quan đến thông tin cá nhân, đồng thời đã đến thời điểm phải tiến hành rà soát ngân sách, bao gồm thành tích triển khai các giải pháp bảo vệ thông tin cá nhân. Do đó, cần bảo đảm các nội dung được triển khai từ nửa cuối năm 2026 được phản ánh ngay vào hệ thống quản lý thông tin cá nhân để có thể thực hiện báo cáo CPO.

Đây là khóa đào tạo cùng tìm hiểu về hoạt động rà soát quyền riêng tư dịch vụ mà Naver, Kakao và Toss hướng đến, nhằm nâng cao năng lực của các đội ngũ tư vấn và bảo vệ thông tin cá nhân trong nước; đồng thời giúp xác định những nội dung cần áp dụng biện pháp bảo vệ thông tin cá nhân phù hợp với từng dịch vụ và hướng dẫn những điểm cần kiểm tra khi đánh giá dịch vụ. Đây không phải là khóa đào tạo kiểm tra dựa trên các quy định pháp luật chung hoặc checklist thông thường, mà là chương trình đào tạo kiểm tra chuyên sâu, đồng thời cung cấp cả checklist.

Nhằm cải thiện so với năm ngoái bằng cách tham khảo các trường hợp điển hình của nhiều cơ quan khác nhau, trong bối cảnh thành tích của các sự kiện và chiến dịch như Ngày An ninh thông tin hoặc Ngày Bảo vệ thông tin cá nhân được tổ chức mỗi tháng một lần hoặc mỗi năm một lần đang có xu hướng giảm sút, cần thay đổi các chiến dịch nâng cao nhận thức vốn không được quy định trong quy chế và thường chỉ kết thúc bằng việc phát quà tặng. Từ nay, cần chuyển từ các sự kiện phát quà do Đội An ninh thông tin chủ trì thành các sự kiện mà toàn thể cán bộ nhân viên cùng tham gia duy trì, đồng thời xây dựng mối quan hệ giữa các bên liên quan thông qua việc thiết lập cơ chế giao tiếp nhằm nội tại hóa an ninh. Cuối cùng, thực tế cho thấy chỉ khi cán bộ nhân viên hiểu rõ về an ninh thông tin, Luật Bảo vệ thông tin cá nhân và các quy định liên quan thì mới có thể bảo vệ tổ chức khỏi hành vi tấn công mạng cũng như các mối đe dọa từ nội bộ. Bên cạnh đó, từ khâu lập kế hoạch và đặt hàng các dự án khác nhau, quản lý bên nhận ủy thác, kiểm soát ứng dụng và thiết lập bảo mật, lập kế hoạch cho các dự án tin học hóa, đến kiểm toán IT, các bộ phận và người phụ trách không thuộc đội an ninh đều được quy định là chịu trách nhiệm tổng thể. Vì vậy, đội an ninh đang phân chia công việc cho từng bộ phận, nhưng các bộ phận hiện chỉ bày tỏ sự bất mãn. Cần tận dụng thời gian này để thoát khỏi thực trạng đó (chỉ một cơ chế phối hợp nội bộ là chưa đủ). Trong hệ thống đánh giá nhân sự có tính ràng buộc cao, cần phản ánh cơ chế điểm số về an ninh. Thông qua các cuộc kiểm tra đột xuất, những người không tuân thủ phải bị kỷ luật, áp dụng hình thức cắt giảm lương hoặc đình chỉ công tác. Ngược lại, những người tuân thủ tốt các quy định an ninh và chứng minh được thành tích vì an ninh cần được chi trả một khoản tiền lớn thông qua chế độ khuyến khích. Qua đó, cần nội tại hóa an ninh để cán bộ nhân viên tự giác hành động. Theo đó, dưới sự chủ trì của CISO, cần điều chỉnh KPI đánh giá bộ phận/đánh giá cá nhân thông qua báo cáo lên CEO. Đồng thời, thông qua chế độ chỉ định người chịu trách nhiệm/người phụ trách an ninh thông tin tại từng bộ phận và phụ cấp chức vụ, cần tăng cường hệ thống an ninh nhân sự có thể bảo vệ khỏi các vụ tấn công và rò rỉ, bao gồm việc quản lý tài liệu do từng bộ phận quản lý và quản lý các công ty cung cấp dịch vụ.

Thông tin cá nhân của lượng lớn người dân bị rò rỉ do các sự cố hack cùng loại lặp đi lặp lại tại các công ty thẻ tín dụng và công ty bảo hiểm. Các đơn vị xử lý thông tin cá nhân khác cũng để xảy ra sự cố tương tự do không ngăn chặn được cùng một nguyên nhân và cùng một phương thức tấn công. Dù không thể phát hiện nhưng vẫn tiêu tốn ngân sách vào việc nâng cao hệ thống kiểm soát, nhân lực liên tục được tuyển thêm nhưng hệ thống báo cáo và quy định nội bộ vẫn còn thiếu sót. Đây là một phần của bài giảng nhằm nghiên cứu và hướng dẫn liên tục để giải quyết tình trạng khiếu nại và sự bất tiện của khách hàng kéo dài do hệ thống quản lý khó hiểu, khiến mức độ tin cậy của dịch vụ rơi về con số 0.

Khi các sự cố rò rỉ thông tin liên kết xảy ra và được biết đến, việc đánh giá tầm quan trọng của thông tin CI và tình trạng quản lý đã được thực hiện. Theo đó, việc đào tạo chuyên môn cũng đang được triển khai.

Tiếp nối bài giảng Kiểm tra Quyền riêng tư 1, việc nâng cao nghiệp vụ của người phụ trách quyền riêng tư nội bộ vẫn còn thiếu sót, việc duy trì công việc theo cách cũ hàng năm và sự lơ là dẫn đến việc phòng ngừa cũng như ngăn chặn sự cố trước khi xảy ra vẫn còn yếu kém kéo dài. Do sự thiếu hiểu biết về bảo vệ quyền riêng tư của các cấp quản lý như CEO, CPO, Giám đốc bộ phận và Trưởng phòng, việc đào tạo nội bộ và giao tiếp các điểm mấu chốt (key-point) của đội ngũ bảo vệ quyền riêng tư vẫn còn hạn chế. Với tư cách là bộ phận chuyên trách, đội ngũ quyền riêng tư cần khắc phục vấn đề chỉ liên tục sử dụng các danh mục kiểm tra (checklist) dựa trên các điều khoản tối thiểu của pháp luật (việc kiểm tra dựa trên luật pháp tối thiểu có rất nhiều lỗ hổng) để đưa ra các phán quyết pháp lý và kiểm tra chính xác. Vì cần có sự kiểm tra chính xác dựa trên các án lệ và hình phạt thực tế, nên cần thiết phải thực hiện đào tạo về kiến thức chuyên môn chính xác.

Thiết lập hệ thống báo cáo bao gồm việc thúc đẩy các chương trình nghị sự khác nhau như Hội đồng Chính sách Bảo mật Thông tin Cá nhân và Hội đồng Thực thi, cũng như báo cáo kết quả kiểm tra việc tuân thủ các biện pháp an toàn và nghĩa vụ pháp lý của Cán bộ Bảo mật Thông tin (CPO) lên Ban điều hành (CEO). Cần thiết lập và thúc đẩy hệ thống tự kiểm tra bảo mật thông tin cá nhân để thực hiện các cuộc điều tra nội bộ và kiểm tra chuyên sâu trước các sự cố hack và rò rỉ dữ liệu gần đây. Nhận thức được rằng các hệ thống chứng nhận hiện tại như ISMS-P không thể ngăn chặn hoàn toàn các sự cố. Mặc dù cần phải xây dựng danh mục kiểm tra (checklist) phản ánh đặc thù của nhiều loại hình dịch vụ và ngành nghề, đồng thời triển khai các công việc đa dạng và sâu rộng như phân tích luồng dữ liệu và tệp thông tin cá nhân nội bộ tại các đối tác (hơn 1000 đơn vị) và điểm bán hàng (hơn 100 địa điểm), nhưng việc này vẫn chưa được thực hiện. Các chuyên gia do thiếu hiểu biết nên không thể phòng thủ trước các điểm mù đa dạng. Do việc kiểm tra thích hợp đối với hệ thống bảo mật hiện tại không được thúc đẩy, và các chuyên gia hiện có về hệ thống quản lý thực tế lại không có đủ năng lực chuyên môn, dẫn đến các sự cố liên tục xảy ra và rủi ro vẫn còn tồn tại. Thông qua đợt nghiên cứu này, mục tiêu là xóa bỏ các điểm mù và tăng cường kiểm tra hệ thống bảo mật hiện tại (thúc đẩy kiểm tra chi tiết), từ đó đưa ra các hạng mục cải thiện và tiến hành báo cáo.

Với tư cách là nghiệp vụ kiểm tra bảo mật của Trụ sở Bảo mật Thông tin, chúng tôi cung cấp các ví dụ thực tế của năm 2026 có thể tham khảo khi thực hiện kiểm tra tại hiện trường, cùng với phương án kiểm tra cụ thể (thực địa) phản ánh đặc thù của công tác kiểm tra, đồng thời đào tạo để có thể cải thiện hệ thống nghiệp vụ hiện tại sau khi kiểm tra.

Trong phần Bảo mật AI Tài chính (PHẦN 1. Cơ bản), tôi đã giải thích tổng quan về bảo mật AI. Xin lưu ý rằng đây là khóa đào tạo thực tế dành cho những người trực tiếp thực hiện kiểm tra AI khi thẩm định bảo mật đối với đối tượng là hacker mũ trắng (Red TEAM). Bài giảng này chứa đựng những nội dung thực tiễn, giải thích cách thực hiện tấn công mô phỏng (pentest) về mặt kỹ thuật (bao gồm cả danh sách kiểm tra - checklist). Trong quá trình học tập, nếu bạn thấy AI khó hiểu hoặc gặp khó khăn khi thẩm định do các hướng dẫn về AI hiện nay chủ yếu dựa trên tiêu chuẩn mô hình hóa, dẫn đến việc rất nhiều doanh nghiệp vẫn chưa thể áp dụng vào thực tế. Tôi dự đoán rằng các doanh nghiệp có thể đã nhận được nhiều phản hồi khác nhau trong quá trình kiểm tra về việc thiết lập quản trị bảo mật AI. Lý do tất nhiên là vì hiện trạng vận hành nội bộ chưa có bằng chứng xác thực về bảo mật AI. Bây giờ là lúc cần phải thiết lập điều đó. Hy vọng bạn sẽ nghiên cứu về bảo mật AI và tiến bước trên con đường trở thành một chuyên gia bảo mật AI.

Cuối cùng thì danh mục kiểm tra (checklist) về đánh giá tính bảo mật AI (Viện Tình báo Quốc gia/Viện Bảo mật Tài chính), vốn đã tồn tại một cách mơ hồ trong suốt 7-8 năm qua, giờ đây tôi mới thực sự cảm thấy nó chính xác dưới góc độ của người làm thực tế, và đã hình thành được cấu trúc về việc thay đổi/thiết lập/vận hành hệ thống quản lý như thế nào. Tôi sẽ trình bày về bảo mật AI là gì và cần cải thiện như thế nào sau tháng 6 năm 2026 dựa trên tiêu chuẩn của các doanh nghiệp hàng đầu trong nước (cấp độ bảo mật thông tin cao nhất Việt Nam). (Đây không phải là giải thích cơ bản hay khái niệm*) Nội dung đào tạo này được chia thành PHẦN 1 (Cơ bản_Tổng quan) và PHẦN 2 (Nâng cao_Thẩm định tính bảo mật), vui lòng tham khảo.

Thông qua đợt kiểm tra thực trạng của Ủy ban Bảo vệ Thông tin cá nhân và Luật Bảo vệ thông tin cá nhân vào tháng 6 năm 2026, nhằm thiết lập hệ thống bảo vệ phòng ngừa trước như đã thông báo, các doanh nghiệp cần tự rà soát tình hình hiện tại để đưa ra các điểm cần cải thiện và lập kế hoạch khắc phục. Trước hết, nội dung này nhằm giúp người phụ trách thông tin cá nhân nhận thức và thấu hiểu vấn đề. Dựa trên kinh nghiệm hơn 8 năm tư vấn và thực hiện nghiệp vụ bảo vệ thông tin tín dụng cá nhân, chương trình đào tạo này được xây dựng nhằm hỗ trợ việc thiết lập chiến lược và soạn thảo tài liệu báo cáo cho ban điều hành.

Tình trạng thiếu hụt PM (Quản trị dự án) tại các công ty tư vấn bảo mật đang tiếp diễn, dẫn đến việc có rất nhiều người ở độ tuổi 40-50 từ các lĩnh vực hoàn toàn khác chuyển sang đảm nhận vai trò PM để làm việc với khách hàng. Do những PM ở độ tuổi 40-50 này vốn không làm về mảng kỹ thuật, không làm tư vấn và cũng không am hiểu về bảo mật nên họ gặp rất nhiều khó khăn. Họ thường gia nhập công ty với tâm thế muốn học hỏi thông qua việc bàn giao công việc từ các PM khác để tiếp tục thực hiện nhiệm vụ. Bản thân tôi cũng đã từng đào tạo và bàn giao công việc cho các PM này theo các nội dung dưới đây và nhận được phản hồi rất hài lòng.