Nhận thức an toàn thông tin là gì? Cách nâng cao nhận thức an toàn thông tin cho nhân viên

Nhận thức an toàn thông tin là khả năng của từng nhân viên trong việc nhận ra nguy cơ với dữ liệu, tài khoản, thiết bị, và biết xử lý đúng: không bấm link lạ, không đọc mã OTP qua điện thoại, báo ngay khi thấy bất thường.

HR và IT thường gặp chung một chuyện: đào tạo mỗi năm một buổi, ký đủ danh sách, vài tháng sau vẫn có người bấm email giả. Bài này giải thích vì sao và nên làm khác thế nào. Khi cần chương trình theo đặc thù ngành, xem dịch vụ đào tạo nhận thức an toàn thông tin của Musk-IS.

Điểm chính

• ISO/IEC 27001:2022 yêu cầu nhân viên phải nhận thức được chính sách an toàn thông tin và vai trò của mình (điều 7.3), và có biện pháp 6.3 về nâng cao nhận thức, giáo dục, đào tạo.
• Theo khoản 3 Điều 31 Nghị định 331/2026/NĐ-CP, chủ quản hệ thống thông tin thuộc phạm vi nghị định phải tổ chức đào tạo, nâng cao nhận thức và diễn tập an ninh mạng.
• Một buổi học mỗi năm không đủ: nên chia thành các bài ngắn trong năm, kết hợp diễn tập lừa đảo giả lập và đo bằng hành vi thay vì số người ký tên.
• Lãnh đạo, kế toán, mua hàng, nhân sự và quản trị IT là nhóm cần nội dung riêng, vì họ là mục tiêu ưu tiên của kẻ lừa đảo.

Nhận thức an toàn thông tin là gì, vì sao phải đào tạo định kỳ?

Nhận thức an toàn thông tin (security awareness) là việc nhân viên hiểu rủi ro trong công việc hằng ngày và có thói quen xử lý đúng. Đào tạo an toàn thông tin là cách xây dựng nhận thức đó qua bài giảng, tình huống, bài kiểm tra và diễn tập. Phải đào tạo định kỳ vì thủ đoạn thay đổi liên tục, nhân viên mới vào liên tục, và kiến thức không được nhắc lại sẽ phai sau vài tháng.

Phần lớn sự cố bắt đầu từ một thao tác thường ngày: mở tệp đính kèm trong email giả, nhập mật khẩu vào trang đăng nhập giả, đọc mã xác thực cho “nhân viên IT” gọi tới. Tường lửa và phần mềm diệt virus không chặn được những việc nhân viên tự làm bằng quyền hợp pháp của mình. Theo báo cáo DBIR 2025 của Verizon, yếu tố con người có mặt trong khoảng 60% vụ vi phạm được phân tích. Chỉ nhân viên mới là lớp phòng thủ cuối cùng ở những chỗ này.

Đào tạo còn có tác dụng thứ hai ít được nói tới: thống nhất cách xử lý. Thấy email đáng ngờ thì có nên chuyển tiếp cho đồng nghiệp hỏi không, báo cho ai, máy bị nhiễm mã độc thì rút dây mạng hay tắt máy trước. Nếu mỗi người làm một kiểu, sự cố nhỏ dễ thành sự cố lớn.

Giống như diễn tập phòng cháy chữa cháy mà nhiều doanh nghiệp Việt Nam vẫn tổ chức hằng năm, không ai mong nhân viên thành lính cứu hỏa. Mục tiêu là ai cũng biết chuông báo ở đâu, lối thoát ở đâu, và việc đầu tiên phải làm khi thấy khói. Đào tạo an toàn thông tin cũng vậy: nhân viên không cần biết kỹ thuật, chỉ cần nhận ra dấu hiệu và biết báo cho ai.

Vì sao đào tạo một lần rồi thôi không hiệu quả?

Có ba lý do. Thứ nhất, người ta quên nhanh những gì không dùng tới; một buổi học tháng 1 khó còn lại nhiều tới tháng 9, khi nhân viên nhận email giả đầu tiên trong năm. Thứ hai, thủ đoạn thay đổi: năm nay là mã QR dán đè và cuộc gọi video giả, năm sau có thể là kiểu khác. Thứ ba, nhân sự thay đổi: doanh nghiệp có tỷ lệ nghỉ việc cao, như bán lẻ hay chăm sóc khách hàng, có thể có một phần đáng kể nhân viên chưa từng tham gia buổi đào tạo duy nhất trong năm.

Vì vậy, chương trình hiệu quả thường được thiết kế như một vòng lặp: khảo sát nhu cầu, đào tạo, kiểm tra, duy trì và nhắc lại. Mỗi vòng dùng kết quả của vòng trước để chọn nội dung, thay vì dạy lại đúng bài cũ.

Yêu cầu từ ISO 27001, pháp luật và khách hàng

Pháp luật Việt Nam chưa quy định số giờ đào tạo an toàn thông tin bắt buộc cho mọi doanh nghiệp. Nghĩa vụ đến từ ba nguồn: Nghị định 331/2026/NĐ-CP với hệ thống thuộc phạm vi, tiêu chuẩn như ISO 27001 hay PCI DSS, và yêu cầu trong hợp đồng của khách hàng, công ty mẹ.

Với ISO 27001, điều 7.3 yêu cầu người làm việc dưới sự kiểm soát của tổ chức phải nhận thức được chính sách an toàn thông tin, đóng góp của họ vào hiệu lực của hệ thống, và hậu quả khi không tuân thủ. Tiêu chuẩn không đặt số giờ; chuyên gia đánh giá xem bằng chứng: kế hoạch đào tạo, danh sách tham dự, kết quả kiểm tra, và nhân viên trả lời được câu hỏi khi được phỏng vấn. Doanh nghiệp đang tìm hiểu tiêu chuẩn này có thể đọc thêm bài ISO 27001.

Nhân sự bảo vệ dữ liệu cá nhân là nhóm có yêu cầu rõ nhất trong luật Việt Nam: Điều 13 Nghị định 356 yêu cầu người được chỉ định phải đã được đào tạo về bảo vệ dữ liệu cá nhân, và tổ chức có trách nhiệm đào tạo cho họ. Điều kiện cụ thể của vị trí này có trong bài DPO là gì.

Nên đào tạo nhân viên những chủ đề gì?

Chương trình cho nhân viên nên xoay quanh những tình huống họ gặp mỗi tuần, không phải lý thuyết mã hóa hay kiến trúc mạng. Tám chủ đề dưới đây phủ phần lớn rủi ro do con người; mỗi nhóm đối tượng cần mức độ sâu khác nhau.

Lãnh đạo cũng phải học, nhưng nên là buổi riêng, ngắn, tập trung vào hai việc: giả danh lãnh đạo để lừa chuyển tiền, và cách lãnh đạo chủ động cho phép nhân viên gọi lại xác minh. Kẻ lừa đảo thường nhắm vào chính lãnh đạo, vì tài khoản của họ có quyền lớn và nhân viên ít dám hỏi lại.

Chủ đề AI ngày càng quan trọng. Nhiều nhân viên dán hợp đồng, danh sách khách hàng, hồ sơ ứng viên vào chatbot để “tóm tắt cho nhanh” mà không biết dữ liệu có thể được lưu ở máy chủ nước ngoài. Với dữ liệu cá nhân, việc này còn liên quan tới quy định chuyển dữ liệu ra nước ngoài trong Luật 91/2025/QH15.

Học trực tiếp hay học online?

Mỗi hình thức có thế mạnh riêng. Học trực tiếp tương tác tốt, hợp với buổi cho lãnh đạo, phân tích tình huống thật và giới thiệu quy định mới. Học online dễ xếp lịch, theo dõi được tỷ lệ hoàn thành, hợp với doanh nghiệp đông người, nhiều chi nhánh hoặc làm ca. Phần lớn doanh nghiệp kết hợp: buổi trực tiếp để tạo dấu ấn, bài online ngắn để giữ nhịp.

Theo trang dịch vụ của Musk-IS, mỗi buổi đào tạo thường kéo dài 1–3 giờ: buổi 1 giờ hợp để phổ biến nhanh cho toàn bộ nhân viên những tình huống hay gặp nhất, buổi 2–3 giờ cho phép đi sâu theo đặc thù ngành và có thời gian hỏi đáp. Với nhà máy có công nhân làm ca, một buổi ngắn 30–45 phút ngay đầu ca thường hiệu quả hơn một buổi dài vào cuối tuần.

ISO 27001 không yêu cầu học trực tiếp hay online; điều quan trọng là có bằng chứng về nội dung, người tham dự, thời lượng và kết quả kiểm tra. Học online vẫn được tính, miễn hệ thống lưu được ai đã học, học khi nào và đạt bao nhiêu điểm.

Doanh nghiệp FDI còn một câu hỏi nữa: học bằng tiếng gì. Quản lý người Nhật, Hàn, Đài Loan và nhân viên Việt Nam nhận cùng loại email giả nhưng đọc bằng ngôn ngữ khác nhau, và kẻ lừa đảo cũng viết bằng nhiều thứ tiếng. Tài liệu song ngữ, ví dụ email giả viết bằng chính ngôn ngữ mà từng nhóm hay nhận, giúp cả hai nhóm nhận ra dấu hiệu, thay vì chỉ một nhóm hiểu bài.

Kết hợp diễn tập lừa đảo giả lập

Chỉ học mà không thực hành thì nhân viên biết email giả “trông thế nào”, nhưng chưa chắc nhận ra khi đang bận. Diễn tập là gửi email, tin nhắn giả lập có kiểm soát để xem phản ứng thật. Học để biết, diễn tập để kiểm chứng, buổi rút kinh nghiệm đưa kết quả quay lại bài học.

Thời điểm hợp lý là một đến hai tháng sau buổi học liên quan, đủ để kiểm tra kiến thức còn lại thật sự. Sau diễn tập, nên có một buổi ngắn giải thích thủ đoạn đã dùng và dấu hiệu nhận biết, không nêu tên cá nhân. Phòng ban có tỷ lệ bấm cao thì học thêm nội dung riêng theo tình huống của họ.

Các kiểu tấn công mà diễn tập mô phỏng, từ email lừa đảo tới giả danh lãnh đạo qua video, được giải thích trong bài social engineering là gì. Doanh nghiệp muốn một đơn vị bên ngoài thiết kế và chạy chiến dịch có thể xem dịch vụ diễn tập phishing, để kết quả khách quan và kịch bản không bị lộ trước trong nội bộ.

Lịch đào tạo 12 tháng mẫu

Thay vì dồn một buổi dài vào cuối năm, chia chương trình thành các mảnh nhỏ theo tháng giúp nhân viên được nhắc liên tục và phòng ban không phải nghỉ việc cả buổi. Bảng dưới là lịch mẫu cho doanh nghiệp vừa, có thể điều chỉnh theo mùa cao điểm của từng ngành.

Nhân viên mới không nên đợi tới đợt đào tạo kế tiếp. Một bài học 20–30 phút trong tuần đầu nhận việc, trước khi được cấp quyền vào hệ thống quan trọng, đóng lại khoảng trống mà kẻ tấn công thường nhắm tới: người mới chưa quen quy trình và chưa dám hỏi lại.

Ví dụ: công ty bảo hiểm 300 nhân viên

Lấy ví dụ một công ty môi giới bảo hiểm ở Hà Nội có 300 nhân viên, phần lớn là tư vấn viên nhận gửi hồ sơ khách hàng qua email và Zalo mỗi ngày. Đợt diễn tập đầu cho thấy nhóm tư vấn viên bấm link nhiều nhất, còn kế toán gần như không ai báo cáo, chỉ lặng lẽ xóa.

Kế hoạch hợp lý cho năm đó là bài học ngắn theo đúng tình huống của tư vấn viên: hồ sơ khách gửi kèm tệp nén có mật khẩu, tin nhắn giả mạo khách hàng xin đổi thông tin nhận tiền bồi thường. Kế toán được tập riêng về gọi lại xác minh và cách báo cáo. Đợt diễn tập thứ hai dùng kịch bản cùng độ khó để so sánh, và chỉ số cần theo dõi là tỷ lệ báo cáo của kế toán có tăng lên không.

Đo hiệu quả chương trình đào tạo thế nào?

Đo hiệu quả không thể chỉ nhìn tỷ lệ hoàn thành. Cần theo dõi cùng lúc hai nhóm chỉ số: nhân viên đã hiểu chưa, và hành vi đã thay đổi chưa, rồi so với kỳ trước.

Chỉ số đáng theo dõi nhất là số báo cáo, cả trong diễn tập lẫn email thật. Tỷ lệ bấm khó về 0, nhưng nhân viên chủ động báo nghĩa là đội IT có thêm hàng chục “cảm biến” trong toàn công ty. Một chương trình đang hiệu quả thường thấy số báo cáo email thật tăng lên trong vài tháng đầu, vì nhân viên đã biết cách báo, chứ không phải vì bị tấn công nhiều hơn.

Đừng dùng kết quả để xếp hạng hay phạt cá nhân. Nhân viên sợ bị phạt sẽ lặng lẽ xóa email thay vì báo, và đội an ninh mất đúng thông tin cần nhất. Báo cáo cho lãnh đạo nên ở mức phòng ban, kèm đề xuất cụ thể cho phòng ban có kết quả kém.

Bài kiểm tra cũng nên đo khả năng xử lý tình huống chứ không đo việc thuộc định nghĩa. Một câu hỏi tốt mô tả một email cụ thể, có tên người gửi và yêu cầu, rồi hỏi nhân viên sẽ làm gì; câu hỏi kém hỏi “phishing là gì”. Đây cũng là chỗ nhiều người tìm “đáp án nâng cao nhận thức an toàn thông tin” cho các cuộc thi trực tuyến: thuộc đáp án giúp qua bài thi, nhưng không thay được thói quen dừng lại và kiểm tra khi gặp email thật.

Năm nay nên bắt đầu chương trình đào tạo từ đâu?

Bắt đầu từ ba việc: chọn nhóm rủi ro cao nhất để làm trước (thường là kế toán và người duyệt thanh toán), chạy một đợt diễn tập để có số liệu nền, và chốt một kênh báo cáo duy nhất mà ai cũng biết. Có ba thứ này, mọi bài học sau đều đo được hiệu quả.

Nội dung nên lấy từ chính doanh nghiệp: email giả từng nhận, quy trình chuyển tiền thật, phần mềm đang dùng. Bài giảng chung chung về “cẩn thận khi bấm link” nhanh chóng bị quên; một tình huống mà nhân viên nhận ra “tuần trước mình cũng nhận email giống thế này” thì nhớ lâu hơn nhiều.

Doanh nghiệp rất nhỏ, vài chục người, có thể tự làm với tài liệu miễn phí và một buổi trao đổi nội bộ. Khi số người lớn hơn, có nhiều chi nhánh, cần bằng chứng cho ISO 27001 hoặc khách hàng, hay muốn nội dung theo đặc thù ngành như y tế, giáo dục, tài chính, thì thuê đơn vị chuyên môn thường tiết kiệm công hơn. Musk-IS thiết kế chương trình theo đối tượng và ngành, cho doanh nghiệp xem trước tài liệu, có bài kiểm tra sau khóa; bạn có thể nhận đề xuất chương trình đào tạo phù hợp quy mô công ty.

Câu hỏi thường gặp về nhận thức an toàn thông tin

Mỗi năm nên đào tạo an toàn thông tin bao nhiêu giờ?

Pháp luật Việt Nam chưa quy định số giờ cho doanh nghiệp nói chung, và ISO 27001 cũng không đặt số giờ. Thông lệ là ít nhất một buổi chung 1–2 giờ mỗi năm cho mọi nhân viên, cộng các bài ngắn 15–30 phút rải trong năm và hai đợt diễn tập. Nhóm rủi ro cao như kế toán, mua hàng, nhân sự nên có thêm buổi riêng.

Học online có được tính là đào tạo không?

Có. ISO 27001 và Nghị định 331/2026/NĐ-CP không bắt buộc hình thức học trực tiếp. Điều quan trọng là lưu được bằng chứng: ai đã học, học nội dung gì, khi nào, và kết quả bài kiểm tra. Học online còn có lợi thế tự động ghi lại các thông tin này, hợp với doanh nghiệp nhiều chi nhánh hoặc nhân viên làm ca.

Lãnh đạo có cần tham gia đào tạo không?

Cần, vì lãnh đạo thường là mục tiêu của các vụ giả danh để lừa chuyển tiền và có quyền truy cập rộng nhất. Nên tổ chức buổi riêng, ngắn, tập trung vào giả danh lãnh đạo, deepfake và việc chủ động cho phép nhân viên gọi lại xác minh. Lãnh đạo tham gia cũng cho nhân viên thấy chương trình được coi trọng.

Tài liệu đào tạo nhận thức an toàn thông tin lấy ở đâu?

Có thể tham khảo tài liệu công khai của các tổ chức như CISA hay NIST, nhưng nên Việt hóa và thay bằng tình huống của chính doanh nghiệp: email giả từng nhận, quy trình chuyển tiền thật, phần mềm đang dùng. Tài liệu càng sát công việc hằng ngày, nhân viên càng nhớ lâu. Nhớ cập nhật mỗi năm theo thủ đoạn lừa đảo mới.

Nhân viên bấm link giả trong diễn tập có nên bị phạt không?

Không nên. Phạt làm nhân viên ngại báo cáo khi gặp tấn công thật, trong khi báo cáo sớm là điều doanh nghiệp cần nhất. Nên dùng kết quả để đào tạo bổ sung cho phòng ban có tỷ lệ bấm cao, báo cáo cho lãnh đạo ở mức phòng ban, và công nhận những người chủ động báo cáo.

Tài liệu tham khảo

1. NIST SP 800-50 Rev. 1: Building a Cybersecurity and Privacy Learning Program – Xây dựng chương trình đào tạo, nâng cao nhận thức. NIST · 09/2024
2. Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin – Điều 31 về đào tạo, nâng cao nhận thức, diễn tập. Chính phủ · 19/08/2026
3. 2025 Data Breach Investigations Report – Tỷ lệ vụ vi phạm có yếu tố con người. Verizon · 2025
4. Recognize and Report Phishing – Dấu hiệu nhận biết lừa đảo, tài liệu đào tạo công khai. CISA
5. PCI DSS Document Library – PCI DSS v4.0.1, yêu cầu 12.6 về chương trình nâng cao nhận thức. PCI Security Standards Council