95% tổ chức Việt Nam gặp sự cố mạng, 50% tự tin trước AI

Ngày 16/10/2026, BizHub đăng kết quả khảo sát của Cisco: 95% tổ chức được hỏi tại Việt Nam đã gặp ít nhất một sự cố an ninh mạng ảnh hưởng hoạt động trong 12 tháng, so với 91% trên toàn cầu; chỉ 50% hoàn toàn tự tin có thể phát hiện và ứng phó khi một hệ thống AI bị xâm nhập. Tỷ lệ gặp sự cố phản ánh trải nghiệm đã xảy ra, còn mức tự tin trước AI là tự đánh giá về khả năng xử lý một tình huống cụ thể. Hai câu trả lời cho thấy quy mô rủi ro mà các đội bảo mật đang đối diện, nhưng không đo cùng một năng lực.

VnEconomy ghi nhận điểm phòng thủ của Việt Nam là 65/100, nhỉnh hơn mức 64/100 toàn cầu nhưng chỉ 9% tổ chức trong nước thuộc nhóm Relentless Defenders; 80% cho biết đội an ninh mạng và công nghệ thông tin phối hợp thống nhất, so với 41% toàn cầu, trong khi 51% khó dùng chỉ số kinh doanh để hỗ trợ quyết định và 45% chuyên gia dành nhiều thời gian thu thập, đối chiếu dữ liệu hơn xử lý mối đe dọa; ông Nguyễn Như Dũng, Tổng giám đốc Cisco Việt Nam, Campuchia và Lào, nhấn mạnh cần “phá bỏ những rào cản giữa các bộ phận”. Sự phối hợp được đánh giá cao vì thế vẫn có thể đi kèm những chậm trễ ở khâu đánh giá tác động và quyết định hành động.

Điểm phòng thủ đo cả lực cản vận hành

Báo cáo gốc của Cisco dựa trên khảo sát 8.000 chuyên gia bảo mật tại 30 thị trường, do Satori Experience thực hiện trong tháng 4 và 5/2026; Sandpiper phụ trách phân tích và hoàn thiện báo cáo. Điểm trên thang 100 tổng hợp độ bao phủ phòng vệ, tốc độ phát hiện và ứng phó, cùng lực cản trong vận hành. Hai thành phần đầu có trọng số 25% mỗi phần, còn lực cản chiếm 50%, dựa trên câu trả lời của người tham gia về điều cản trở họ trong sự cố gần nhất.

Điểm tổng hợp cần được đọc cùng các chỉ số thành phần. Trên toàn bộ mẫu toàn cầu, chỉ 20% tổ chức cho biết đã chủ động bảo vệ ít nhất 95% thiết bị đầu cuối, gồm máy tính xách tay, điện thoại, máy chủ và thiết bị IoT. Trong nhóm Relentless Defenders, 86% áp dụng biện pháp kiểm soát toàn diện và nhất quán cho AI agent, tài khoản dịch vụ và hệ thống tự động; tỷ lệ của toàn bộ mẫu là 41%. Đây là các kết quả toàn cầu, không phải số liệu riêng của Việt Nam.

Khảo sát hỏi chuyên gia về tổ chức mà họ làm việc và cách tổ chức ứng phó, thay vì quan sát trực tiếp một cuộc diễn tập giống nhau ở mọi nơi. Phần phương pháp công khai nêu quy mô mẫu toàn cầu nhưng không cho biết cỡ mẫu riêng của Việt Nam. Các tỷ lệ theo thị trường vì vậy giúp nhận diện vấn đề trong nhóm được khảo sát; chúng chưa đủ để suy rộng chính xác cho mọi tổ chức tại Việt Nam hoặc dự đoán kết quả của một sự cố cụ thể.

Phối hợp tốt vẫn có thể chậm ra quyết định

Chia sẻ công cụ và dữ liệu giúp đội an ninh mạng cùng đội công nghệ thông tin nhìn thấy tín hiệu chung. Khi sự cố ảnh hưởng hoạt động, chuỗi ứng phó còn cần người xác định hệ thống nào liên quan, ai có quyền phê duyệt biện pháp khẩn cấp và bộ phận nào chịu trách nhiệm thực hiện. Một cảnh báo được chuyển nhanh giữa hai đội vẫn có thể chờ quyết định nếu quyền hạn chưa rõ hoặc phải xin ý kiến qua nhiều cấp.

Khoảng cách giữa chỉ số kỹ thuật và chỉ số kinh doanh nằm ở cùng chuỗi đó. Số lượng cảnh báo hay thời gian phát hiện giúp mô tả công việc của đội bảo mật, nhưng người quyết định cần biết dịch vụ nào có nguy cơ gián đoạn và biện pháp ứng phó sẽ ảnh hưởng đến hoạt động nào. Khi dữ liệu cần thiết nằm ở nhiều hệ thống, việc đối chiếu có thể chiếm thời gian trước cả lúc nhóm xử lý thống nhất được mức ưu tiên. Mức phối hợp cao giữa các đội do đó chưa tự nói lên tốc độ ra quyết định của toàn tổ chức.

Bốn điểm nghẽn hiện ra trong quy trình ứng phó

Các kết quả khảo sát gợi ra bốn câu hỏi cụ thể về cách một tổ chức vận hành khi có sự cố. Chúng liên hệ trực tiếp đến quyền quyết định, khả năng lấy dữ liệu, cách diễn đạt tác động và phạm vi kiểm soát tác nhân tự động:

Quyền quyết định: Ai được phép cô lập tài khoản hoặc tạm dừng một hệ thống khi đội xử lý nhận thấy nguy cơ, và ai thay thế nếu người phê duyệt vắng mặt? Trách nhiệm thông báo sự cố và quyền cho phép hành động là hai việc khác nhau. Nếu quyền cuối cùng chỉ được xác định sau khi cảnh báo xuất hiện, thời gian chờ có thể làm mất lợi ích của việc phát hiện sớm.
Truy cập dữ liệu: Người xử lý có thể lấy thông tin từ các hệ thống liên quan trong lúc sự cố diễn ra hay phải đợi từng bộ phận trích xuất? Dữ liệu về tài khoản, thiết bị và hoạt động bất thường chỉ có ích khi đến được đúng người với đủ ngữ cảnh. Việc liên tục ghép các mảnh thông tin rời rạc giải thích vì sao phối hợp giữa các đội chưa đồng nghĩa với một bức tranh chung để hành động.
Chỉ số kinh doanh: Khi đề xuất cô lập một dịch vụ, đội bảo mật có thể nêu hoạt động nào bị ảnh hưởng và mức độ cấp bách của quyết định hay chỉ trình bày chỉ số kỹ thuật? Thông tin về tác động vận hành giúp lãnh đạo cân nhắc giữa tốc độ khống chế rủi ro và gián đoạn dịch vụ. Nếu thiếu phần này, cùng một cảnh báo có thể được hiểu khác nhau ở các cấp phê duyệt.
Danh tính phi con người: Ai quản lý quyền của AI agent, tài khoản dịch vụ và hệ thống tự động, kể cả quyền thu hồi khi có dấu hiệu xâm nhập? Những danh tính này có thể tiếp tục truy cập dữ liệu hoặc thực hiện tác vụ theo quyền đã cấp. Muốn kiểm soát nhất quán, tổ chức cần biết chúng được phép làm gì ở từng môi trường và bộ phận nào chịu trách nhiệm về quyền đó.

Rủi ro AI đặt thêm yêu cầu cho quyền truy cập

Mức tự tin về khả năng phát hiện và ứng phó khi hệ thống AI bị xâm nhập khác với mức kiểm soát dành cho từng AI agent. Một bên là đánh giá của người tham gia về năng lực xử lý sự cố; bên kia là việc áp dụng quy tắc cho các tác nhân và tài khoản tự động. Tổ chức có thể dùng AI để hỗ trợ bảo mật nhưng vẫn cần xác định ai phê duyệt hành động của tác nhân, dữ liệu nào tác nhân được tiếp cận và cách dừng quyền đó khi xuất hiện tín hiệu bất thường.

Với người ra quyết định tại Việt Nam, điểm đáng chú ý của kết quả khảo sát là vị trí mà thông tin bị chậm lại: sau lúc các đội đã chia sẻ tín hiệu, nhưng trước khi tác động kinh doanh được làm rõ và quyền hành động được xác lập. Khi AI agent tham gia vận hành bảo mật, sự chậm trễ ấy còn liên quan đến một câu hỏi rất cụ thể: ai có thể giới hạn hoặc thu hồi quyền của tác nhân đúng lúc sự cố đang diễn ra.

Đọc thêm: