Từ “điểm yếu” thành lớp phòng thủ

Quá trình chuyển đổi số đang mở ra không gian phát triển mới cho Tập đoàn Công nghiệp - Năng lượng Quốc gia Việt Nam (Petrovietnam). Nhưng khi hệ thống công nghệ thông tin, công nghệ vận hành, cơ sở dữ liệu và các nền tảng quản trị ngày càng kết nối sâu, nguy cơ mất an ninh mạng cũng gia tăng.

Với một tập đoàn quản lý nhiều công trình năng lượng, hệ thống công nghiệp và cơ sở dữ liệu quan trọng, an ninh mạng vì vậy không còn là nhiệm vụ riêng của bộ phận công nghệ thông tin. Mỗi cán bộ, kỹ sư, chuyên gia vận hành, thậm chí nhân sự nhà thầu đều trở thành một mắt xích trong hệ thống phòng thủ.

Tại Hội nghị An ninh mạng năm 2026 của Petrovietnam, Đại tá Nguyễn Hồng Quân, Phó cục trưởng Cục An ninh mạng (Bộ Công an) cho rằng, yêu cầu bảo vệ phải được đặt ra toàn diện đối với hệ thống, dữ liệu và con người. Những cá nhân được tiếp cận hệ thống quan trọng cần được kiểm tra, phân quyền và giám sát phù hợp. Bảo vệ dữ liệu cá nhân, quyền riêng tư và an ninh con người cũng phải được tính toán ngay từ khi thiết kế hệ thống.

Nhân sự làm việc tại Phòng Điều khiển Trung tâm của NMLD Dung Quất doBSR quản lý, vận hành. Ảnh: ĐVCC.

Thực tế tại Công ty cổ phần Lọc hóa dầu Bình Sơn (BSR) cho thấy một thách thức đáng chú ý là khoảng cách về năng lực an ninh mạng giữa đội ngũ công nghệ thông tin và lực lượng vận hành hệ thống công nghiệp. Nhân sự vận hành hiểu sâu quy trình sản xuất nhưng có thể chưa được đào tạo đầy đủ về an ninh mạng, trong khi nhân sự công nghệ thông tin không phải lúc nào cũng nắm hết đặc thù của hệ thống điều khiển và yêu cầu vận hành liên tục của nhà máy.

Đây là khoảng trống cần được lấp đầy, bởi trong môi trường sản xuất công nghiệp, một sự cố an ninh mạng không chỉ làm mất dữ liệu hay gián đoạn hệ thống thông tin, mà còn có nguy cơ ảnh hưởng trực tiếp đến hoạt động sản xuất.

BSR những năm qua đã đẩy mạnh đào tạo trong toàn doanh nghiệp. Riêng năm 2025, đơn vị triển khai 160 chuỗi chương trình với 14.512 lượt người tham gia, kết hợp đào tạo trực tiếp, trực tuyến và kiểm tra trên nền tảng số. Các chương trình về văn hóa an toàn và văn hóa học tập cũng tạo điều kiện để nội dung an ninh mạng được đưa vào hoạt động đào tạo thường xuyên.

Ở lĩnh vực tài chính, PVcomBank đối mặt với bài toán thiếu chuyên gia an ninh mạng trình độ cao. Ngân hàng từng bước xây dựng lực lượng chuyên trách cho các lĩnh vực bảo vệ hạ tầng, ứng dụng, dữ liệu, quyền riêng tư, kiểm thử xâm nhập, giám sát, ứng cứu sự cố và quản trị tuân thủ.

Công tác an ninh mạng luôn được PVcomBank chú trọng triển khai. Ảnh: ĐVCC.

Cùng với đội ngũ chuyên môn, PVcomBank đào tạo nhận thức cho người lao động, tổ chức diễn tập xử lý thư điện tử giả mạo, cập nhật công nghệ cho cán bộ công nghệ thông tin và an toàn thông tin. Cách làm này hướng đến mục tiêu biến mỗi nhân viên thành một điểm phát hiện rủi ro, có khả năng nhận diện dấu hiệu bất thường và báo cáo kịp thời.

Theo ThS. Lưu Văn Vinh, chuyên gia an ninh kinh tế, giảng viên cao cấp Viện An ninh phi truyền thống, Petrovietnam cần xây dựng chương trình đào tạo kỹ năng số toàn diện, có chính sách thu hút nhân lực công nghệ thông tin, an ninh mạng, khoa học dữ liệu và tăng cường hợp tác đào tạo nhân lực chất lượng cao.

Cùng với đó, trách nhiệm an ninh mạng phải được đặt trực tiếp lên người đứng đầu. Lãnh đạo đơn vị không chỉ phê duyệt chủ trương và bố trí nguồn lực, mà phải tham gia từ xây dựng chiến lược, xác định hệ thống, dữ liệu trọng yếu đến tổ chức giám sát, ứng cứu và phục hồi sau sự cố.

Khi tình huống xảy ra, cơ chế chỉ huy, đầu mối phối hợp, thẩm quyền quyết định và trách nhiệm báo cáo phải được xác định từ trước. Điều này đặc biệt quan trọng đối với những hệ thống công nghiệp cần duy trì hoạt động liên tục.

Xây văn hóa an ninh mạng từ mỗi người lao động

Nguồn nhân lực an ninh mạng không chỉ gồm những chuyên gia tại trung tâm điều hành hay bộ phận công nghệ. Với Petrovietnam, nơi hoạt động trải rộng từ dầu khí, lọc hóa dầu, điện, kho cảng đến tài chính và dịch vụ, năng lực bảo vệ hệ thống phụ thuộc vào hành vi hàng ngày của toàn thể người lao động.

Văn hóa an ninh mạng vì vậy bắt đầu từ những việc rất cụ thể: sử dụng tài khoản đúng quy định, bảo vệ thông tin xác thực, kiểm tra nguồn gốc thư điện tử, không tự ý kết nối thiết bị vào hệ thống, tuân thủ phân quyền và chủ động báo cáo dấu hiệu bất thường.

Khi những nguyên tắc này trở thành thói quen nghề nghiệp, con người sẽ chuyển từ một điểm có thể bị khai thác thành lớp phòng thủ chủ động.

Kinh nghiệm từ Liên doanh Vietsovpetro cho thấy, đào tạo cần được tiến hành thường xuyên và gắn với tình huống thực tế. Đội ngũ phụ trách an ninh mạng cần được tham gia chương trình chuyên sâu, tập huấn, chia sẻ kinh nghiệm và thực hành xử lý sự cố. Mục tiêu không chỉ là biết quy định, mà phải đủ khả năng hành động khi sự cố thực sự xảy ra.

Phó tổng giám đốc PETROVIETNAM Phan Tử Giang yêu cầu người đứng đầu các đơn vị trực tiếp chỉ đạo công tác an ninh mạng.

Điều đó cũng đòi hỏi Petrovietnam xây dựng khung năng lực phù hợp với từng nhóm nhân sự. Người lao động cần biết nhận diện và báo cáo rủi ro; cán bộ quản lý phải nắm được trách nhiệm chỉ huy và phối hợp; nhân sự công nghệ thông tin và công nghệ vận hành cần được đào tạo chuyên sâu; lực lượng chuyên trách phải có khả năng giám sát, phân tích, điều tra, ứng cứu và phục hồi hệ thống.

Nội dung đào tạo cũng phải bám sát đặc thù từng lĩnh vực. Với nhà máy lọc dầu, kho cảng, công trình biển hay nhà máy điện, các tình huống diễn tập phải phản ánh đúng đặc điểm hệ thống điều khiển công nghiệp và yêu cầu duy trì sản xuất. Tại đơn vị tài chính, thương mại và dịch vụ, trọng tâm lại là bảo vệ dữ liệu, kiểm soát giao dịch, phòng chống lừa đảo và rủi ro từ đối tác.

Phó tổng giám đốc Petrovietnam Phan Tử Giang yêu cầu người đứng đầu các đơn vị trực tiếp chỉ đạo công tác an ninh mạng, thường xuyên đào tạo nâng cao nhận thức cho người lao động và xây dựng đội ngũ chuyên gia chuyên sâu, nhất là trong bảo vệ dữ liệu và hệ thống công nghiệp.

Trong dài hạn, yêu cầu về nhân lực còn lớn hơn khi Petrovietnam mở rộng ứng dụng trí tuệ nhân tạo, dữ liệu lớn, điện toán đám mây và chuẩn bị nguồn lực cho những lĩnh vực công nghệ - năng lượng mới. Đây đều là những lĩnh vực cần kiến thức liên ngành, thời gian đào tạo dài và yêu cầu bảo mật cao.

Bởi vậy, nhân lực an ninh mạng không thể chờ hệ thống được đưa vào vận hành mới bắt đầu chuẩn bị. Đầu tư cho con người phải song hành, thậm chí đi trước một bước so với đầu tư công nghệ.

Một hệ thống có thể được trang bị công nghệ bảo mật hiện đại nhưng vẫn dễ tổn thương nếu người sử dụng thiếu kỹ năng và kỷ luật. Khi an ninh mạng trở thành một phần của văn hóa doanh nghiệp, mỗi người lao động sẽ là một lớp phòng thủ, góp phần tạo nền tảng an toàn cho quá trình chuyển đổi số của Petrovietnam.