Hầu hết các tổ chức hiện nay đều đã trang bị kế hoạch ứng phó sự cố (incident response plans), công cụ bảo mật và đội ngũ kỹ thuật. Tuy nhiên, nghiên cứu mới đây cho thấy nhiều nơi vẫn thiếu sự phối hợp, khả năng hiển thị (visibility) và sự liên kết với ban lãnh đạo cần thiết để chống lại một cuộc tấn công mạng nghiêm trọng.
Theo báo cáo The State of Incident Response Readiness 2026, dựa trên cuộc khảo sát 600 người quyết định cấp cao về bảo mật IT do Vanson Bourne thực hiện vào tháng 1 và tháng 2 năm 2026, có tới 73% tổ chức thừa nhận họ sẽ không "hoàn toàn sẵn sàng" nếu một cuộc tấn công an ninh mạng nghiêm trọng xảy ra vào ngày mai.
Các phát hiện này chỉ ra một khoảng cách tới hạn giữa việc sở hữu các năng lực ứng phó sự cố và khả năng thực thi chúng một cách hiệu quả dưới áp lực lớn.
Báo cáo cũng cho thấy các cuộc tấn công mạng hiện đã trở thành một rủi ro kinh doanh thường trực. Hơn 3/4 tổ chức (76%) đã trải qua ít nhất một cuộc tấn công mạng trong 12 tháng qua, trong khi 32% trải qua nhiều hơn một cuộc tấn công.
Sẵn sàng ứng phó sự cố vẫn là một điểm yếu
Ứng phó sự cố đã phát triển xa hơn rất nhiều so với việc chỉ ngăn chặn về mặt kỹ thuật. Một quy trình ứng phó trưởng thành hiện đòi hỏi sự quản lý khủng hoảng từ ban điều hành, sự phối hợp về pháp lý và quy định, truyền thông tới các bên liên quan, điều tra trên toàn doanh nghiệp, khắc phục, phục hồi và giám sát sau sự cố.
Khảo sát chỉ ra rằng nhiều tổ chức đang gặp khó khăn trong việc kết hợp các yếu tố này một cách nhịp nhàng. Ít hơn 40% số người tham gia khảo sát mô tả các thành phần chính của ứng phó sự cố là "rất hiệu quả", bao gồm các lĩnh vực như kế hoạch được văn bản hóa, diễn tập sa bàn (tabletop exercises), săn tìm mối đe dọa (threat hunting), điều tra số (digital forensics) và giám sát 24/7.
Vấn đề không chỉ đơn giản là các năng lực này có tồn tại hay không. Mối quan tâm lớn hơn là liệu chúng có hoạt động cùng nhau khi cần đưa ra quyết định nhanh chóng hay không.
Sự đứt gãy trong phối hợp làm chậm quá trình ứng phó
Một trong những phát hiện quan trọng nhất là mức độ ảnh hưởng của những xung đột nội bộ đối với nỗ lực ứng phó. Báo cáo cho thấy 90% tổ chức dự đoán sẽ gặp khó khăn trong việc phối hợp với các bên liên quan khi xảy ra sự cố nghiêm trọng.
Thách thức về phối hợp đó trở nên đặc biệt nghiêm trọng khi các nhóm pháp lý, truyền thông, bảo mật, IT và ban điều hành không có sự thống nhất trước khi sự cố bắt đầu. Nghiên cứu cho thấy 75% người được hỏi đồng ý rằng sự chậm trễ hoặc không chắc chắn xung quanh việc tham gia của nhóm pháp lý và truyền thông làm chậm quá trình ra quyết định trong các sự cố mạng.
Báo cáo cũng cho thấy 89% trích dẫn việc ban điều hành hoặc hội đồng quản trị ít tham gia vào quá trình sẵn sàng ứng phó sự cố và ra quyết định.
Điều này tạo ra một mô hình nguy hiểm trong một sự cố thực tế:
- Các nhóm kỹ thuật điều tra và ngăn chặn cuộc tấn công
- Ban điều hành yêu cầu cập nhật trước khi phê duyệt các hành động lớn
- Các nhóm pháp lý và truyền thông tham gia muộn
- Việc công bố thông tin, nhắn tin cho khách hàng và các quyết định leo thang bị trì trệ
- Các nhóm ứng phó mất thời gian quý báu khi các quyết định ngăn chặn cần tốc độ
Trong thực tế, việc phân định trách nhiệm không rõ ràng có thể biến quy trình ứng phó sự cố thành một chu kỳ đối phó thụ động. Thay vì thực hiện một kế hoạch đã được diễn tập, các nhóm phải dành thời gian quan trọng để báo cáo cho các bên liên quan, làm rõ thẩm quyền và chờ đợi phê duyệt.
Khoảng trống về khả năng hiển thị làm tăng nguy cơ lặp lại sự cố
Báo cáo cũng nêu bật một thách thức kỹ thuật lớn: các tổ chức thường không thể nhìn thấy hoàn toàn nơi kẻ tấn công đã di chuyển.
Theo khảo sát, 78% người phản hồi đồng ý rằng các điểm mù trong môi trường của họ tạo điều kiện cho kẻ tấn công duy trì quyền truy cập và làm tăng nguy cơ xảy ra các sự cố lặp lại. Những điểm mù này có thể trải dài từ hạ tầng tại chỗ (on-premises), môi trường Cloud công cộng, thiết bị đầu cuối (endpoints), nền tảng SaaS, hệ thống danh tính (identity) cho đến các môi trường công nghệ vận hành (OT).
Việc thiếu khả năng hiển thị có thể ngăn cản những người ứng phó đưa ra câu trả lời chắc chắn cho các câu hỏi thiết yếu như:
- Kẻ tấn công đã xâm nhập từ đâu?
- Những hệ thống nào đã bị truy cập?
- Kẻ tấn công có di chuyển ngang (laterally) không?
- Các tài khoản đặc quyền có bị xâm phạm không?
- Phần mềm độc hại hoặc các cơ chế duy trì sự hiện diện (persistence) đã được loại bỏ chưa?
- Kẻ tấn công có thể quay lại sau khi phục hồi không?
Nếu không có khả năng hiển thị đáng tin cậy, các tổ chức có nguy cơ chỉ ngăn chặn được một phần sự cố trong khi vẫn để lại quyền truy cập cho kẻ tấn công.
Môi trường OT và ICS làm tăng rủi ro kinh doanh
Báo cáo cho thấy 84% tổ chức lo ngại về việc kẻ tấn công xâm nhập từ hệ thống IT doanh nghiệp sang các môi trường công nghệ vận hành (OT) hoặc hệ thống điều khiển công nghiệp (ICS).
Mối quan tâm này đặc biệt nghiêm trọng đối với các lĩnh vực như sản xuất, năng lượng, y tế, vận tải và hạ tầng quan trọng, nơi các sự cố mạng có thể ảnh hưởng đến các hoạt động vật lý. Nếu kẻ tấn công di chuyển từ IT sang hệ thống OT hoặc ICS, tác động có thể vượt ra ngoài việc trộm cắp dữ liệu hoặc gián đoạn kinh doanh, gây ảnh hưởng đến sản xuất, an toàn, cung cấp dịch vụ và thời gian phục hồi.
Các phát hiện cho thấy nhiều tổ chức nhận ra lỗ hổng này nhưng vẫn thiếu khả năng hiển thị thống nhất để phát hiện và ngăn chặn sự di chuyển xuyên môi trường một cách nhanh chóng.
Các cuộc tấn công mạng đang gây thiệt hại thực tế cho doanh nghiệp
Báo cáo chỉ ra rằng các sự cố mạng đang để lại hậu quả hữu hình trên nhiều lĩnh vực và khu vực. Trong số các tổ chức bị tấn công mạng trong 12 tháng qua, các tác động bao gồm ngừng hoạt động vận hành, mất dữ liệu, tổn hại danh tiếng, mất khách hàng, sụt giảm doanh thu và gây xáo trộn trong ban điều hành.
Các phát hiện khác nhau tùy theo lĩnh vực:
- Các tổ chức bán lẻ có khả năng cao nhất báo cáo về việc ngừng hoạt động và mất doanh thu hoặc lợi nhuận.
- Các tổ chức sản xuất và dịch vụ tài chính có xu hướng báo cáo về mất dữ liệu cao hơn.
- Lĩnh vực tiền điện tử (Crypto) và tài chính phi tập trung báo cáo tỷ lệ tấn công cao nhất.
- Các tổ chức y tế tư nhân báo cáo sự lo ngại cao về sự chậm trễ của bộ phận pháp lý và truyền thông.
Sự khác biệt giữa các khu vực cũng xuất hiện. Bắc Mỹ báo cáo tỷ lệ tấn công mạng cao nhất, trong khi những người phản hồi ở khu vực APAC có khả năng cao nhất báo cáo về mất dữ liệu, tổn hại danh tiếng và mất khách hàng. Châu Âu báo cáo ít sự cố hơn về tổng thể, nhưng các sự cố tại đây có xu hướng dẫn đến mất doanh thu hoặc lợi nhuận cao hơn.
Ransomware và tấn công Cloud dẫn đầu các mối lo ngại tương lai
Nhìn về phía trước, những người tham gia khảo sát đã xác định một loạt các mối đe dọa có thể gây ra gián đoạn nghiêm trọng về tài chính, vận hành hoặc danh tiếng. Ransomware được xếp hạng là mối quan tâm hàng đầu, theo sát là các cuộc tấn công vào môi trường Cloud.
Tuy nhiên, các phát hiện cho thấy các tổ chức không chỉ đối mặt với một mối đe dọa duy nhất. Thay vào đó, họ đang chuẩn bị cho một bối cảnh đe dọa dày đặc bao gồm xâm phạm Cloud, lạm dụng danh tính (identity abuse), rủi ro từ bên thứ ba, các mối đe dọa được hỗ trợ bởi AI, Ransomware và các cuộc tấn công di chuyển qua các môi trường lai (hybrid).
Điều này làm cho việc xác định mức độ sẵn sàng ứng phó sự cố trở nên khó khăn hơn. Các tổ chức phải có khả năng ứng phó trên nhiều con đường tấn công khác nhau, không chỉ chuẩn bị cho một kịch bản duy nhất.
Việc áp dụng AI đang tăng lên, nhưng không thể thay thế cho khả năng sẵn sàng
Báo cáo cho thấy các tổ chức đang ngày càng áp dụng AI và các năng lực dựa trên Machine Learning để phát hiện mối đe dọa và ứng phó sự cố.
Gần 1/3 tổ chức hiện báo cáo việc sử dụng AI rộng rãi trên hầu hết hoặc tất cả các hoạt động phát hiện mối đe dọa và ứng phó sự cố, tăng từ mức 25% của năm ngoái. Đến năm 2027, 63% kỳ vọng AI sẽ được tích hợp sâu vào các hoạt động này.
Báo cáo gợi ý rằng AI có thể tăng cường khả năng ứng phó sự cố khi được tích hợp vào các quy trình công việc (workflows) đã trưởng thành. Các tổ chức sử dụng AI ở mức độ trung bình hoặc rộng rãi có khả năng đánh giá các yếu tố ứng phó sự cố là hiệu quả cao hơn so với các tổ chức sử dụng AI ở mức độ hạn chế.
Tuy nhiên, các phát hiện cũng chỉ ra rằng AI không nên được coi là sự thay thế cho quản trị (governance), khả năng hiển thị và việc thực thi ứng phó có kỷ luật. AI có thể đẩy nhanh quá trình phân loại (triage), săn tìm mối đe dọa và điều tra, nhưng tự thân nó không thể giải quyết các quyền quyết định không rõ ràng, sự phối hợp rời rạc giữa các bên liên quan hoặc khả năng hiển thị không đầy đủ.
Các tổ chức đang đánh giá lại mô hình hỗ trợ ứng phó sự cố
Một phát hiện đáng chú ý khác là nhiều tổ chức đang xem xét lại các mối quan hệ thuê ngoài về ứng phó sự cố và dịch vụ phát hiện và ứng phó được quản lý (MDR).
Báo cáo cho thấy nhiều tổ chức dự kiến sẽ chuyển đổi nhà cung cấp khi kết thúc hợp đồng hiện tại. Các động lực bao gồm nhu cầu về:
- Hỗ trợ sẵn sàng mang tính chủ động hơn
- Độ bao phủ tốt hơn trên các môi trường IT, OT, Cloud và Hybrid
- Chuyên môn mạnh mẽ hơn trong các sự cố phức tạp
- Cải thiện khả năng hiển thị vượt ra ngoài một hệ sinh thái công nghệ đơn lẻ
- Hỗ trợ nhanh hơn trong các cuộc điều tra dưới áp lực cao
Các phát hiện cũng nêu bật mối lo ngại về việc quá phụ thuộc vào các hệ sinh thái công nghệ hẹp trong quá trình ứng phó sự cố. Khi các nhóm ứng phó bị giới hạn trong một nền tảng hoặc bộ công cụ, việc điều tra và ngăn chặn có thể bị hạn chế bởi những gì hệ sinh thái đó có thể phát hiện, truy cập hoặc hỗ trợ.
Cách thức để các tổ chức tăng cường khả năng sẵn sàng ứng phó sự cố
Các phát hiện gợi ý rằng sự sẵn sàng ứng phó sự cố nên được coi là một kỷ luật vận hành liên tục thay vì một kế hoạch tĩnh hoặc một bài tập tuân thủ hàng năm. Các tổ chức có thể giảm thiểu sự chậm trễ trong ứng phó bằng cách tập trung vào một số lĩnh vực thực tiễn.
1. Xác định quyền quyết định trước khi xảy ra sự cố
Các nhóm bảo mật, ban điều hành, pháp lý, truyền thông, tuân thủ và các nhà lãnh đạo doanh nghiệp nên hiểu rõ vai trò của họ trước khi cuộc khủng hoảng bắt đầu. Các con đường leo thang, ngưỡng phê duyệt và trách nhiệm truyền thông nên được văn bản hóa và diễn tập.
2. Kiểm tra sự phối hợp liên chức năng
Các bài tập sa bàn nên bao gồm cả các bên liên quan về kỹ thuật và phi kỹ thuật. Những bài tập này giúp xác định nơi quá trình ra quyết định bị chậm lại, nơi thẩm quyền không rõ ràng và nơi các kế hoạch ứng phó không phản ánh đúng các sự phụ thuộc thực tế của doanh nghiệp.
3. Xác thực khả năng hiển thị trên các môi trường quan trọng
Các tổ chức nên đánh giá liệu họ có thể điều tra các hoạt động trên thiết bị đầu cuối, hệ thống danh tính, nền tảng Cloud, ứng dụng SaaS, hạ tầng tại chỗ và môi trường OT hay không. Khả năng hiển thị nên được kiểm tra thông qua các hoạt động như săn tìm mối đe dọa, mô phỏng tấn công, đánh giá của Red Team hoặc các hoạt động Purple Team.
4. Sử dụng AI để hỗ trợ, không phải thay thế các quy trình ứng phó
AI và tự động hóa có thể giúp đẩy nhanh quá trình phân loại, làm giàu cảnh báo (alert enrichment), điều tra và săn tìm mối đe dọa. Tuy nhiên, các năng lực này nên được nhúng vào các quy trình làm việc đã được xác định với sự giám sát của con người, tiêu chí leo thang rõ ràng và các thủ tục ứng phó đã được thử nghiệm.
5. Đánh giá năng lực ứng phó nội bộ và bên ngoài
Các tổ chức nên xác định chức năng ứng phó sự cố nào họ có thể xử lý nội bộ và nơi nào cần chuyên môn từ bên ngoài. Các nhà cung cấp bên ngoài nên được đánh giá dựa trên kinh nghiệm xử lý sự cố, tốc độ phản ứng, chiều sâu kỹ thuật, khả năng hoạt động trên nhiều môi trường và hỗ trợ cải thiện sau sự cố.
Bài học trọng tâm là sự sẵn sàng phụ thuộc vào việc thực thi. Kế hoạch, công cụ và nhà cung cấp đều quan trọng, nhưng chúng chỉ giảm thiểu rủi ro khi được kết nối thông qua các quy trình đã được thử nghiệm, thẩm quyền rõ ràng và khả năng hiển thị đáng tin cậy.
Điểm mấu chốt
Nghiên cứu vẽ nên một bức tranh rõ ràng: hầu hết các tổ chức đều đang bị tấn công, nhưng nhiều nơi không tự tin rằng khả năng ứng phó sự cố của họ sẽ đứng vững dưới áp lực.
Thách thức hiện nay không còn chỉ là xây dựng một kế hoạch ứng phó. Đó là đảm bảo rằng kế hoạch đó hoạt động trơn tru giữa các nhóm, công nghệ, ban điều hành, các bên liên quan về pháp lý, truyền thông và các hoạt động kinh doanh khi một cuộc tấn công thực sự xảy ra.
Khi những kẻ tấn công di chuyển nhanh hơn trên các môi trường Cloud, IT, Identity, SaaS và OT, sự sẵn sàng ứng phó sự cố phải trở thành một kỷ luật kinh doanh liên tục. Các tổ chức chờ đợi cho đến khi một sự cố thực tế xảy ra mới phát hiện ra các lỗ hổng về khả năng hiển thị, thẩm quyền hoặc phối hợp có thể sẽ thấy rằng cái giá của sự chậm trễ không chỉ đo bằng các hệ thống bị ảnh hưởng mà còn bằng doanh thu, danh tiếng và sự tin tưởng.
