Khi hệ thống phát cảnh báo về một sự cố rò rỉ dữ liệu cá nhân, cô lập máy chủ mới chỉ là bước đầu. Việc tiếp theo là điều tra sự cố rò rỉ dữ liệu (digital forensics) để trả lời bốn câu hỏi: kẻ xâm nhập vào bằng đường nào, những tập dữ liệu cá nhân nào đã bị trích xuất, lỗ hổng nằm ở khâu nào, và cần sửa gì để sự cố không lặp lại. Kết quả điều tra là nguồn thông tin cho thông báo gửi Cục A05 (Bộ Công an), cho biên bản xác nhận vi phạm và cho kế hoạch khắc phục.
1. Bảo toàn chứng cứ số (chain of custody) khi điều tra sự cố rò rỉ dữ liệu#
Khi ứng phó sự cố (thường do DPO điều phối), phản xạ của đội IT là khởi động lại server, xóa file độc hại hoặc cài lại hệ điều hành. Làm vậy sẽ xóa mất dấu vết chứng cứ số. Pháp luật bảo vệ dữ liệu cá nhân không quy định kỹ thuật bảo quản chứng cứ. Nhưng doanh nghiệp cần chứng cứ để lập biên bản xác nhận vi phạm (khoản 2 Điều 23 Luật 91/2025/QH15) và để phối hợp với cơ quan chuyên trách. Thông lệ điều tra số là giữ chuỗi bảo quản chứng cứ (chain of custody):
- Tạo bản sao bộ nhớ (RAM capture) và bản sao ổ cứng (bit-stream image) trước khi thực hiện bất kỳ thao tác khắc phục nào.
- Sao lưu log hệ thống (firewall, Active Directory, database access log, CloudTrail) ra một vùng lưu trữ độc lập, chống ghi đè (WORM storage).
- Ghi nhật ký từng hành động điều tra: ai thực hiện, vào lúc nào, dùng công cụ gì.
2. Quy trình bốn bước điều tra sự cố rò rỉ dữ liệu#
Một cuộc điều tra digital forensics thường đi qua bốn bước:
- Nhận dạng (identification). Xác định thiết bị, tài khoản và dịch vụ bị ảnh hưởng. Tìm dấu hiệu bất thường, ví dụ lượng dữ liệu tải ra (outbound) tăng đột biến vào ban đêm.
- Dựng lại diễn tiến (timeline analysis). Khôi phục chuỗi hành vi của kẻ tấn công: điểm xâm nhập ban đầu (email phishing, lỗ hổng phần mềm chưa vá), leo thang quyền hạn (privilege escalation), di chuyển ngang (lateral movement), cho đến khi tiếp cận cơ sở dữ liệu chứa dữ liệu cá nhân.
- Xác định phạm vi dữ liệu thất thoát (exfiltration assessment). Phân tích log truy vấn SQL hoặc log lưu lượng mạng để biết bảng dữ liệu nào và bao nhiêu bản ghi đã bị lấy ra.
- Tổng hợp (reporting). Vẽ sơ đồ đường tấn công và lập báo cáo kỹ thuật.
3. Thông báo trong 72 giờ khi điều tra sự cố rò rỉ dữ liệu chưa xong#
Điều tra có thể kéo dài nhiều ngày, nhưng thời hạn thông báo không chờ kết quả điều tra. Nếu vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, doanh nghiệp phải thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện (khoản 1 Điều 23 Luật 91/2025/QH15). Nếu doanh nghiệp là bên xử lý dữ liệu, doanh nghiệp phải thông báo kịp thời cho bên kiểm soát.
Nội dung thông báo theo khoản 1 Điều 28 Nghị định 356/2025/NĐ-CP gồm: mô tả vi phạm (thời gian, địa điểm, hành vi, loại và số lượng dữ liệu liên quan), đầu mối bảo vệ dữ liệu cá nhân, hậu quả có thể xảy ra và biện pháp khắc phục. Thông báo gửi theo Mẫu số 08. Đây chính là những gì bước 1–3 ở trên tìm ra. Thông tin ở mốc 72 giờ thường chưa đầy đủ, nên ghi rõ phần nào còn đang xác minh. Cách soạn từng mục có trong bài mẫu thông báo sự cố rò rỉ dữ liệu cá nhân.
Nếu dữ liệu bị ảnh hưởng là dữ liệu vị trí hoặc dữ liệu sinh trắc học, doanh nghiệp còn phải thông báo cho chủ thể dữ liệu trong 72 giờ và lưu hồ sơ vi phạm tối thiểu 5 năm kể từ ngày khắc phục xong (khoản 1 Điều 29 Nghị định 356). Kết quả điều tra nên được lưu cùng hồ sơ này.
4. Báo cáo hành động khắc phục (CAPA) sau sự cố#
Sau khi có kết quả điều tra sự cố rò rỉ dữ liệu, DPO và bộ phận an toàn thông tin nên lập báo cáo hành động khắc phục (CAPA report) trình Ban Giám đốc và dùng làm tài liệu phối hợp với Cục A05. Pháp luật không quy định riêng một "báo cáo CAPA". Nghĩa vụ luật định là lập biên bản xác nhận vi phạm, ngăn chặn hành vi vi phạm, khắc phục hậu quả và phối hợp với cơ quan chuyên trách (khoản 2, khoản 4 Điều 23 Luật 91/2025/QH15). Báo cáo CAPA gồm hai phần:
- Khắc phục ngắn hạn (corrective actions): vá lỗ hổng đã bị khai thác; thu hồi chứng thư số và token bị lộ; tăng cường giám sát; thông báo cho các bên liên quan.
- Phòng ngừa dài hạn (preventive actions): điều chỉnh kiến trúc mạng (ví dụ mô hình zero trust); triển khai giải pháp chống rò rỉ dữ liệu (DLP); siết phân quyền truy cập cơ sở dữ liệu; đào tạo nhận thức an toàn thông tin cho nhân viên.
Mỗi hạng mục nên có người chịu trách nhiệm và hạn hoàn thành, để khi cơ quan chuyên trách hỏi, doanh nghiệp chỉ ra được việc gì đã làm, việc gì đang làm.
5. Cập nhật bản đồ dữ liệu và hồ sơ đánh giá tác động sau sự cố#
Sự cố thường làm lộ những điểm mù trong khung quản trị dữ liệu cá nhân, ví dụ file backup cơ sở dữ liệu chứa thông tin cá nhân bị bỏ quên trong thư mục chia sẻ công khai. Sau khi xử lý xong, DPO nên cập nhật bản đồ luồng dữ liệu (data mapping / RoPA) cho đúng thực trạng.
Bản thân sự cố không nằm trong các trường hợp phải cập nhật ngay hồ sơ đánh giá tác động (khoản 2 Điều 22 Luật 91/2025/QH15). Nhưng nếu doanh nghiệp thay đổi phương án bảo đảm an toàn dữ liệu, biện pháp bảo vệ hoặc sơ đồ hệ thống, tức là những nội dung đã kê khai trong báo cáo đánh giá tác động (điểm đ khoản 3 Điều 19 Nghị định 356), thì phải cập nhật, bổ sung hồ sơ đã gửi (khoản 5 Điều 21 Luật 91/2025/QH15). Khi thay đổi lớn, có thể cần lập lại hồ sơ đánh giá tác động (DPIA).
6. Trước khi đóng hồ sơ sự cố#
Kiểm tra bốn việc: biên bản xác nhận vi phạm đã lập và lưu cùng bản sao chứng cứ; thông báo cho cơ quan chuyên trách (và cho chủ thể dữ liệu, nếu thuộc trường hợp bắt buộc) đã gửi và có bằng chứng thời điểm gửi; các hạng mục CAPA đã có người phụ trách; hồ sơ đánh giá tác động đã cập nhật nếu biện pháp bảo vệ thay đổi. Cách các doanh nghiệp lớn xử lý sự cố do nhà cung cấp gây ra được phân tích trong case study British Airways và Marriott.
