1. 08:54 29/08/2026
Một cuộc tấn công mạng không chỉ được đánh giá bằng việc hệ thống có bị xâm nhập hay không, mà còn bằng cách tổ chức phản ứng sau khi phát hiện dấu hiệu bất thường. Nếu mọi người cùng hành động theo cảm tính, đội ngũ có thể vô tình xóa bằng chứng, làm gián đoạn thêm dịch vụ hoặc để kẻ tấn công có thời gian mở rộng quyền kiểm soát.
Kế hoạch ứng phó sự cố là tài liệu giúp mọi người biết ai làm gì, theo thứ tự nào và khi nào cần báo cáo. Kế hoạch không nhất thiết phải dài hàng chục trang. Một phiên bản thực tế nên trả lời được các câu hỏi sau:
- Ai là người tiếp nhận và xác nhận cảnh báo đầu tiên?
- Ai có quyền cô lập thiết bị, khóa tài khoản hoặc tạm dừng dịch vụ?
- Kênh liên lạc dự phòng là gì nếu email nội bộ không còn đáng tin cậy?
- Khi nào cần thông báo cho lãnh đạo, khách hàng, đối tác hoặc cơ quan có thẩm quyền?
- Bằng chứng nào cần được lưu giữ trước khi khắc phục?
Hãy chia quy trình thành các giai đoạn rõ ràng. Ở bước phát hiện và phân loại, đội ngũ cần xác định sự kiện là cảnh báo nhầm, sự cố cục bộ hay dấu hiệu xâm nhập diện rộng. Không nên vội kết luận chỉ từ một email đáng ngờ hoặc một lần đăng nhập thất bại. Ngược lại, nhiều dấu hiệu nhỏ xuất hiện cùng lúc, chẳng hạn tài khoản đăng nhập từ vị trí bất thường, tệp bị đổi tên hàng loạt và máy chủ tạo kết nối ra ngoài, cần được xem là tình huống ưu tiên cao.
Ở bước cô lập, mục tiêu là ngăn sự cố lan rộng nhưng vẫn giữ đủ thông tin để điều tra. Với một máy trạm bị nghi nhiễm, có thể ngắt kết nối mạng hoặc chuyển sang vùng cách ly theo quy trình đã được phê duyệt. Không nên tự ý xóa toàn bộ ổ đĩa, cài lại hệ điều hành hoặc tắt mọi máy chủ ngay lập tức nếu chưa đánh giá tác động. Những hành động đó có thể phá hủy dấu vết và làm gián đoạn hoạt động thiết yếu.
Ví dụ, khi phát hiện tài khoản nhân viên gửi hàng loạt email lạ, nhóm xử lý có thể khóa phiên đăng nhập, thu hồi token ứng dụng, đặt lại thông tin xác thực và kiểm tra lịch sử truy cập. Sau đó, cần tìm hiểu tài khoản bị chiếm bằng cách nào, những hộp thư hoặc tài liệu nào đã bị truy cập, rồi rà soát các tài khoản có hành vi tương tự. Chỉ mở lại quyền truy cập sau khi đã loại bỏ nguyên nhân và xác minh thiết bị, trình duyệt hoặc ứng dụng liên quan là an toàn.
Một kế hoạch tốt cũng cần danh sách liên lạc ngoài giờ, mẫu thông báo sự cố, quyền phê duyệt khẩn cấp và cách ghi nhật ký quyết định. Mỗi hành động nên có thời điểm, người thực hiện, lý do và kết quả. Thông tin này giúp tránh làm trùng việc, hỗ trợ điều tra và phục vụ đánh giá sau sự cố.
Doanh nghiệp nên tổ chức diễn tập định kỳ với các kịch bản đơn giản như mất quyền kiểm soát tài khoản quản trị, máy chủ bị mã hóa hoặc dữ liệu khách hàng có dấu hiệu bị truy cập trái phép. Sau mỗi buổi diễn tập, hãy ghi lại điểm nghẽn: thiếu quyền truy cập, không có số điện thoại dự phòng, không biết ai chịu trách nhiệm truyền thông hay không thể khôi phục dịch vụ quan trọng. Khắc phục những điểm nghẽn đó thường có giá trị hơn việc chỉ bổ sung thêm tài liệu.
Ứng phó sự cố không phải nhiệm vụ riêng của đội an ninh mạng. Bộ phận kỹ thuật, pháp chế, nhân sự, truyền thông và lãnh đạo đều cần biết vai trò của mình. Chuẩn bị trước, luyện tập thường xuyên và ra quyết định có kiểm soát sẽ giúp tổ chức giảm thiệt hại, phục hồi nhanh hơn và rút kinh nghiệm để ngăn sự cố lặp lại.