Cách xác định trách nhiệm khi xảy ra sự cố an toàn thông tin

Từ ngày 01/07/2026, Luật An ninh mạng 2025 là khung pháp lý trung tâm về vấn đề này, thay thế Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018. Luật quy định trách nhiệm riêng cho chủ quản hệ thống thông tin, doanh nghiệp cung cấp dịch vụ trên không gian mạng và cơ quan, tổ chức, cá nhân sử dụng không gian mạng.

Vì vậy, xác định trách nhiệm khi xảy ra sự cố an toàn thông tin nên được thực hiện theo một chuỗi đánh giá: xác định nghĩa vụ → xác định hành vi hoặc thiếu sót → đánh giá khả năng kiểm soát và mức độ lỗi → xác lập quan hệ nhân quả → đo lường hậu quả → xem xét hoạt động ứng phó, khắc phục và sự tham gia của các bên liên quan.

Xác định nghĩa vụ của từng chủ thể trước khi xem xét trách nhiệm

Điểm xuất phát không phải là hỏi “ai quản lý hệ thống khi sự cố xảy ra?” mà là “ai có nghĩa vụ phải thực hiện biện pháp nào đối với rủi ro đã phát sinh?”.

Luật An ninh mạng 2025 quy định chủ quản hệ thống thông tin phải thực hiện bảo vệ hệ thống, kết nối hệ thống giám sát và phòng chống mã độc theo yêu cầu luật định, đồng thời báo cáo sự cố an ninh mạng với cơ quan chuyên trách. Đối với hệ thống sử dụng ngân sách nhà nước còn có các nghĩa vụ bổ sung như xây dựng phương án bảo đảm an ninh mạng và chỉ định cá nhân hoặc bộ phận phụ trách.

Doanh nghiệp cung cấp dịch vụ trên không gian mạng lại có phạm vi nghĩa vụ khác. Luật yêu cầu doanh nghiệp cảnh báo nguy cơ, xây dựng phương án ứng cứu khẩn cấp và khi có sự cố phải triển khai phương án ứng cứu, đồng thời báo cáo ngay với lực lượng chuyên trách.

Trong thực tế, nghĩa vụ còn có thể hình thành từ hợp đồng, quy chế nội bộ, phân quyền vận hành hoặc thỏa thuận xử lý dữ liệu. Chẳng hạn, đơn vị sở hữu hệ thống có thể chịu trách nhiệm về quản trị tổng thể, trong khi nhà cung cấp dịch vụ chịu trách nhiệm về một lớp hạ tầng hoặc dịch vụ cụ thể.

Do đó, một sự cố giống nhau có thể dẫn đến mức trách nhiệm khác nhau đối với từng bên. Chủ thể chỉ có thể được đánh giá chính xác sau khi xác định được phạm vi quyền hạn, nghĩa vụ và khả năng kiểm soát thực tế của họ.

Đánh giá chủ thể đã vi phạm hoặc thực hiện thiếu nghĩa vụ nào

Sau khi xác định nghĩa vụ, cần đối chiếu với hành vi thực tế trước và trong thời điểm xảy ra sự cố.

Một thiếu sót có thể thể hiện ở việc không triển khai biện pháp bảo vệ bắt buộc, không quản lý rủi ro, không giám sát hệ thống, không sao lưu phù hợp, không xử lý lỗ hổng đã biết hoặc không thực hiện quy trình ứng phó đã được quy định.

Luật An ninh mạng 2025 coi đánh giá và quản lý rủi ro, triển khai biện pháp bảo vệ, kiểm tra việc tuân thủ, giám sát và ứng phó sự cố là các nhiệm vụ hoặc biện pháp bảo vệ hệ thống thông tin. Mức yêu cầu còn thay đổi theo cấp độ và tính chất của hệ thống.

Điều này tạo ra một ranh giới quan trọng: có sự cố không đồng nghĩa với có vi phạm. Một tổ chức có thể đã áp dụng các biện pháp phù hợp nhưng vẫn bị tấn công bởi một phương thức mới hoặc một tình huống khó dự liệu. Ngược lại, một sự cố ban đầu không lớn vẫn có thể làm phát sinh trách nhiệm đáng kể nếu chủ thể đã bỏ qua nghĩa vụ rõ ràng và có khả năng thực hiện.

Khi đánh giá nên kiểm tra các tài liệu và dữ liệu có khả năng chứng minh việc thực hiện nghĩa vụ, như quy chế bảo mật, phân công trách nhiệm, hồ sơ đánh giá rủi ro, kết quả kiểm tra, nhật ký hệ thống, cảnh báo bảo mật, lịch sử vá lỗi và biên bản xử lý sự cố.

Mức độ lỗi và khả năng kiểm soát rủi ro ảnh hưởng trực tiếp đến trách nhiệm

Hai chủ thể cùng góp phần vào một sự cố nhưng không nhất thiết phải chịu mức trách nhiệm ngang nhau.

Cần xem xét chủ thể có biết hoặc đáng lẽ phải biết về nguy cơ hay không; có đủ quyền hạn, nguồn lực và khả năng kỹ thuật để phòng ngừa hay không; đã nhận được cảnh báo nhưng không xử lý hay chưa; và hành vi là cố ý, cẩu thả hay xuất phát từ một tình huống khó kiểm soát.

Ví dụ, mức độ trách nhiệm sẽ khác nhau giữa trường hợp một lỗ hổng chưa từng được công bố bị khai thác và trường hợp lỗ hổng nghiêm trọng đã được cảnh báo, có bản vá nhưng đơn vị phụ trách vẫn trì hoãn xử lý mà không có biện pháp giảm thiểu thay thế.

Mức độ lỗi cũng có ý nghĩa khi xem xét trách nhiệm dân sự. Bộ luật Dân sự quy định bên có nghĩa vụ vi phạm nghĩa vụ phải chịu trách nhiệm dân sự, đồng thời thừa nhận những trường hợp loại trừ hoặc điều chỉnh trách nhiệm như bất khả kháng hoặc lỗi của bên có quyền. Đối với bồi thường ngoài hợp đồng, nguyên tắc bồi thường cũng xem xét lỗi của các bên và khả năng ngăn chặn, hạn chế thiệt hại.

Tuy nhiên, không nên sử dụng “lỗi” như tiêu chí duy nhất. Tùy loại trách nhiệm pháp lý, còn phải đối chiếu quy định chuyên ngành, hành vi cụ thể, hậu quả và các điều kiện cấu thành tương ứng.

Phải xác lập quan hệ nhân quả giữa thiếu sót và sự cố

Một chủ thể có vi phạm quy trình an toàn thông tin chưa chắc phải chịu trách nhiệm cho toàn bộ hậu quả nếu vi phạm đó không liên quan đến nguyên nhân hoặc phạm vi thiệt hại của sự cố.

Cần trả lời ba câu hỏi:

1.    Thiếu sót của chủ thể có tạo điều kiện để sự cố xảy ra hay không

2.    Nếu nghĩa vụ được thực hiện đúng, sự cố hoặc phần thiệt hại tương ứng có khả năng được ngăn chặn hay giảm đáng kể hay không

3.    Thiệt hại nào thực sự bắt nguồn từ hành vi hoặc thiếu sót của chủ thể đó

Chẳng hạn, nếu tài khoản bị chiếm đoạt do thông tin xác thực bị lộ từ một bên thứ ba, không thể tự động quy toàn bộ trách nhiệm cho đơn vị vận hành hệ thống chỉ vì sự cố xảy ra trên hệ thống của họ. Ngược lại, nếu hệ thống đã phát hiện truy cập bất thường nhưng cảnh báo bị bỏ qua và việc chậm xử lý khiến kẻ tấn công tiếp tục mở rộng phạm vi xâm nhập, phần hậu quả tăng thêm có quan hệ rõ hơn với thiếu sót trong giám sát và ứng phó.

Quan hệ nhân quả giúp tránh hai cực đoan: mặc định chủ quản hệ thống phải chịu mọi trách nhiệm hoặc ngược lại, đẩy toàn bộ trách nhiệm sang tác nhân trực tiếp thực hiện cuộc tấn công.

Mức độ hậu quả và tính chất của hệ thống là yếu tố quan trọng

Sau khi xác định hành vi liên quan, cần đánh giá hậu quả thực tế của sự cố.

Các yếu tố thường có ý nghĩa gồm phạm vi hệ thống bị ảnh hưởng, thời gian gián đoạn, số lượng người hoặc đơn vị bị tác động, loại thông tin bị truy cập hoặc mất kiểm soát, khả năng khôi phục, thiệt hại tài sản và mức độ ảnh hưởng đến quyền, lợi ích hợp pháp của các bên.

Tính chất của hệ thống cũng làm thay đổi chuẩn trách nhiệm. Luật An ninh mạng 2025 thiết lập các yêu cầu bảo vệ khác nhau theo cấp độ hệ thống; với hệ thống thông tin quan trọng về an ninh quốc gia, chủ quản phải thực hiện đầy đủ các nhiệm vụ và biện pháp bảo vệ, xây dựng phương án ứng phó, triển khai phương án khi xảy ra sự cố và kịp thời báo cáo lực lượng chuyên trách.

Nếu sự cố liên quan đến dữ liệu cá nhân, phạm vi nghĩa vụ còn phải đối chiếu pháp luật về bảo vệ dữ liệu cá nhân. Luật Bảo vệ dữ liệu cá nhân 2025 quy định tổ chức, cá nhân vi phạm có thể phải chịu chế tài tùy theo tính chất, mức độ và hậu quả; nếu gây thiệt hại thì còn phải bồi thường theo pháp luật.

Vì vậy, không nên chỉ dùng quy mô thiệt hại để xác định trách nhiệm. Hậu quả phải được đặt cạnh nghĩa vụ bảo vệ tương ứng với loại hệ thống, loại dữ liệu và mức rủi ro mà chủ thể có trách nhiệm kiểm soát.

Cách chủ thể phản ứng sau khi phát hiện sự cố cũng được xem xét

Trách nhiệm không chỉ được hình thành từ những gì xảy ra trước thời điểm bị tấn công. Cách một chủ thể xử lý sau khi phát hiện sự cố có thể làm giảm thiệt hại hoặc khiến hậu quả tiếp tục mở rộng.

Luật An ninh mạng 2025 quy định chủ quản hệ thống phải báo cáo sự cố; doanh nghiệp cung cấp dịch vụ trên không gian mạng phải ngay lập tức triển khai phương án ứng cứu khẩn cấp và báo cáo lực lượng chuyên trách. Với hệ thống thông tin quan trọng về an ninh quốc gia, chủ quản còn phải triển khai phương án ứng phó, khắc phục và kịp thời phối hợp với lực lượng có thẩm quyền.

Khi đánh giá trách nhiệm cần xem xét:

·         Thời điểm chủ thể phát hiện hoặc đáng lẽ phải phát hiện sự cố

·         Khoảng thời gian từ phát hiện đến khi cô lập hoặc hạn chế nguy cơ

·         Việc thực hiện nghĩa vụ báo cáo, thông báo

·         Khả năng bảo toàn nhật ký và chứng cứ phục vụ điều tra

·         Việc phối hợp với các bên có trách nhiệm

·         Các biện pháp ngăn thiệt hại tiếp tục phát sinh

Một thiếu sót ban đầu có thể gây ra phạm vi thiệt hại giới hạn nhưng việc chậm phản ứng lại làm hậu quả tăng mạnh. Khi đó cần tách trách nhiệm đối với nguyên nhân ban đầu và trách nhiệm đối với phần thiệt hại tăng thêm do ứng phó không phù hợp.

Trách nhiệm có thể được phân chia giữa nhiều chủ thể

Hệ thống thông tin hiện đại thường có nhiều bên tham gia: chủ quản hệ thống, đơn vị vận hành, nhà cung cấp hạ tầng, nhà cung cấp phần mềm, doanh nghiệp dịch vụ mạng, đơn vị xử lý dữ liệu, nhân sự nội bộ và người sử dụng.

Do đó, việc tìm một “bên chịu trách nhiệm duy nhất” có thể không phản ánh đúng thực tế.

Mỗi bên cần được đánh giá trên bốn yếu tố riêng: họ kiểm soát thành phần nào, có nghĩa vụ nào, hành vi nào của họ góp phần vào sự cố và phần hậu quả nào có quan hệ với hành vi đó.

Hợp đồng và quy chế phân công là bằng chứng quan trọng để xác định phạm vi công việc giữa các bên, nhưng không thể dùng để loại bỏ nghĩa vụ bắt buộc mà pháp luật trực tiếp đặt lên một chủ thể. Chẳng hạn, việc thuê một đơn vị bên ngoài vận hành kỹ thuật không mặc nhiên xóa bỏ những trách nhiệm mà pháp luật vẫn quy định cho chủ quản hệ thống.

Trong quan hệ dân sự, khi nhiều hành vi cùng góp phần tạo thiệt hại, mức trách nhiệm cũng cần được xem xét cùng nguyên nhân, phần lỗi và thiệt hại thực tế thay vì chia đều một cách cơ học. Bộ luật Dân sự cho phép xem xét phần lỗi của bên bị thiệt hại và nghĩa vụ áp dụng các biện pháp hợp lý nhằm ngăn chặn, hạn chế thiệt hại.

Có thể xác định mức độ trách nhiệm theo một quy trình 6 bước

Trong quá trình điều tra hoặc đánh giá nội bộ, có thể sử dụng sáu bước liên tiếp.

Bước 1: Xác định chủ thể và phạm vi kiểm soát. Làm rõ ai sở hữu, quản lý, vận hành, cung cấp dịch vụ hoặc xử lý dữ liệu liên quan đến thành phần xảy ra sự cố.

Bước 2: Xác định nguồn nghĩa vụ. Đối chiếu luật, quy định chuyên ngành, cấp độ hệ thống, hợp đồng, quy chế nội bộ và nhiệm vụ đã được phân công.

Bước 3: Xác định hành vi hoặc thiếu sót. So sánh nghĩa vụ phải thực hiện với những gì thực tế đã được thực hiện trước và trong sự cố.

Bước 4: Kiểm tra khả năng kiểm soát, mức độ lỗi và quan hệ nhân quả. Xác định chủ thể có khả năng phòng ngừa hay giảm thiểu rủi ro không và thiếu sót đó đóng góp bao nhiêu vào sự cố.

Bước 5: Đánh giá hậu quả và hoạt động ứng phó. Tách thiệt hại ban đầu khỏi phần thiệt hại phát sinh hoặc tăng thêm do phản ứng chậm, không báo cáo hoặc không phối hợp.

Bước 6: Phân bổ trách nhiệm. Chỉ sau các bước trên mới xác định trách nhiệm của từng bên và loại trách nhiệm có thể phát sinh, như trách nhiệm nội bộ, trách nhiệm theo hợp đồng, trách nhiệm dân sự hoặc chế tài hành chính, hình sự nếu đủ điều kiện pháp luật tương ứng.

Cách tiếp cận này giúp quyết định trách nhiệm dựa trên bằng chứng và quan hệ thực tế thay vì chỉ dựa vào vị trí chức danh hoặc mức độ nghiêm trọng nhìn thấy bên ngoài của sự cố.

Việc xác định trách nhiệm khi xảy ra sự cố an toàn thông tin cần dựa đồng thời vào nghĩa vụ của từng chủ thể, mức độ thực hiện nghĩa vụ, khả năng kiểm soát rủi ro, hành vi hoặc thiếu sót, quan hệ nhân quả, hậu quả thực tế và cách ứng phó sau sự cố. Sự cố nghiêm trọng không tự động đồng nghĩa với trách nhiệm nghiêm trọng của mọi bên; ngược lại, một sự cố có hậu quả ban đầu nhỏ vẫn có thể cho thấy trách nhiệm đáng kể nếu tồn tại vi phạm nghĩa vụ rõ ràng.

Cách đánh giá đáng tin cậy nhất là tái dựng toàn bộ chuỗi trách nhiệm từ nghĩa vụ → hành vi → nguyên nhân → hậu quả → ứng phó, sau đó phân tích riêng từng chủ thể. Với khung pháp lý hiện hành từ ngày 01/07/2026, đặc biệt là Luật An ninh mạng 2025, việc xác định đúng vai trò và nghĩa vụ pháp lý của chủ quản hệ thống, nhà cung cấp dịch vụ và các bên liên quan là nền tảng để phân định trách nhiệm một cách hợp lý.