Bài viết nguồn nêu Nghị định 356 có hiệu lực từ ngày 01/01/2026 và đề xuất bốn việc ưu tiên: kiểm kê dữ liệu, rà soát hồ sơ cùng căn cứ, xác định rủi ro kỹ thuật và phân công trách nhiệm. Dữ liệu có thể tồn tại trên ứng dụng, website, máy nhân viên, hệ thống nội bộ hoặc tại bên thứ ba; rò rỉ có thể bắt đầu từ ứng dụng, endpoint, USB, tài khoản nội bộ hay vùng thiếu giám sát. Vì vậy, 30 ngày đầu nên được dùng để tạo sự minh bạch và chốt chủ sở hữu trước khi lựa chọn giải pháp.
Ngày 1–7: Kiểm kê dữ liệu theo quy trình, không theo phòng ban
Kiểm kê là bước đầu được nguồn nhấn mạnh. Doanh nghiệp nên bắt đầu từ các quy trình thu thập và sử dụng dữ liệu, sau đó lần theo nơi dữ liệu đi qua. Cách này giúp nhìn thấy cùng một dữ liệu có thể xuất hiện trên website, app, máy nhân viên, hệ thống nội bộ và dịch vụ của bên thứ ba.
Mỗi dòng kiểm kê cần nêu loại dữ liệu, mục đích, hệ thống, người được truy cập, thời gian lưu và bên nhận. Nếu thông tin chưa được xác minh, nên ghi rõ người phải xác nhận thay vì điền theo phỏng đoán. Đầu ra tuần đầu là bản đồ đủ dùng để các bộ phận cùng thảo luận, không nhất thiết là một mô hình hoàn hảo.
Chủ trì có thể là đầu mối bảo vệ dữ liệu hoặc nhóm điều phối; chủ nghiệp vụ xác nhận mục đích, IT xác nhận hệ thống và đội quản lý nhà cung cấp xác nhận luồng chia sẻ. Đây là nền tảng trước khi đánh giá rủi ro hoặc chọn công cụ.
- Đầu ra: danh mục dữ liệu, hệ thống, bên nhận và chủ sở hữu.
- Kiểm tra riêng app, website, endpoint, hệ thống nội bộ và bên thứ ba.
- Đánh dấu bản sao, tệp xuất và dữ liệu trên thiết bị người dùng.
- Không coi kiểm kê hoàn tất nếu còn mục đích hoặc người truy cập chưa rõ.
Ngày 8–14: Rà soát hồ sơ và căn cứ xử lý
Bản đồ dữ liệu cho phép đội pháp chế đối chiếu hồ sơ với vận hành thực tế. Mỗi hoạt động cần có mục đích rõ, căn cứ phù hợp và thời gian lưu được giải thích. Nội dung thông báo, cơ chế đồng ý và hợp đồng với bên thứ ba phải phản ánh đúng luồng đã xác nhận.
Nguồn nêu hồ sơ đánh giá tác động phải nộp trong 60 ngày kể từ khi bắt đầu xử lý. Doanh nghiệp cần xác định hoạt động nào thuộc phạm vi, ngày bắt đầu và dữ liệu đầu vào còn thiếu. Kế hoạch 30 ngày không thay thế thời hạn pháp lý; nó tạo nền để hồ sơ được chuẩn bị có kiểm soát thay vì dồn vào cuối kỳ.
Đầu ra của giai đoạn này là danh sách hồ sơ đang có, khoảng trống và người xử lý. Những điểm chưa thống nhất giữa chính sách và cấu hình hệ thống phải được ghi thành vấn đề thực thi, không chỉ sửa câu chữ.
Ngày 15–21: Xác định rủi ro kỹ thuật theo đường đi dữ liệu
Bài nguồn liệt kê các điểm có thể phát sinh rò rỉ gồm ứng dụng, endpoint, USB, tài khoản nội bộ và hệ thống thiếu giám sát. Đội an toàn thông tin nên dùng bản đồ dữ liệu để xác định tình huống rủi ro cụ thể: ai có thể truy cập, dữ liệu có thể bị sao chép qua đâu và tín hiệu nào giúp phát hiện.
Mỗi rủi ro cần gắn với kiểm soát hiện có và bằng chứng. Nếu doanh nghiệp có phân quyền, cần biết lần rà soát gần nhất. Nếu có giám sát, cần biết nguồn log nào được thu thập và ai xử lý cảnh báo. Nếu dùng giải pháp bảo vệ ứng dụng hoặc endpoint, cần mô tả phạm vi thật sự đang được bao phủ.
VietGuard, AI SOC, CSA và Smart Dashboard được bài nguồn nhắc như các giải pháp liên quan. Việc lựa chọn cần diễn ra sau khi khoảng trống đã rõ; tên sản phẩm không thay thế đánh giá tài sản, tích hợp và năng lực vận hành.
- Lập tình huống rủi ro cho ứng dụng, endpoint, USB và tài khoản nội bộ.
- Đối chiếu từng tình huống với kiểm soát và bằng chứng hiện có.
- Xếp ưu tiên theo tác động của dữ liệu và khả năng phát hiện.
- Chỉ thử nghiệm giải pháp khi đã có tiêu chí và tài sản đại diện.
Ngày 22–30: Chốt trách nhiệm và cơ chế theo dõi
Nguồn nhấn mạnh tuân thủ cần sự tham gia của pháp chế, vận hành, nhân sự, marketing và công nghệ. Ma trận trách nhiệm nên chỉ ra ai sở hữu dữ liệu, ai thực hiện kiểm soát, ai phê duyệt ngoại lệ và ai nhận báo cáo sự cố. Mỗi khoảng trống trong ba tuần đầu phải có một người chịu trách nhiệm đóng.
Cuối 30 ngày, ban lãnh đạo cần nhìn thấy bốn sản phẩm: bản đồ dữ liệu, danh sách hồ sơ và căn cứ, sổ đăng ký rủi ro kỹ thuật, cùng ma trận trách nhiệm. Các tài liệu phải có ngày cập nhật, trạng thái và đầu mối, để tiếp tục được duy trì khi hệ thống hoặc quy trình thay đổi.
Mục tiêu không phải tuyên bố doanh nghiệp đã hoàn tất toàn bộ chương trình trong một tháng. Mục tiêu là loại bỏ vùng mù, xác định nghĩa vụ cần xử lý và tạo nhịp điều hành có thể kiểm tra. Từ nền này, doanh nghiệp mới quyết định thứ tự khắc phục, hồ sơ cần hoàn thiện và giải pháp kỹ thuật cần đánh giá.
- Pháp chế: căn cứ, hồ sơ và yêu cầu xử lý dữ liệu.
- Nghiệp vụ, nhân sự, marketing: mục đích, nguồn thu và cách sử dụng.
- IT, ATTT: hệ thống, quyền truy cập, log và biện pháp bảo vệ.
- Quản lý nhà cung cấp: hợp đồng, bên nhận và luồng chia sẻ.
- Lãnh đạo: ưu tiên, nguồn lực và chấp nhận rủi ro còn lại.