Niềm tin như một hạ tầng: An ninh mạng và chính trị của khả năng chống chịu số

Tác giả: Lê Hồng Hiệp

Xem thêm: Các chương khác trong bản thảo “Vượt ra ngoài gia công” 

Tóm tắt

    • Estonia và Singapore tổ chức an ninh mạng chủ yếu qua các thiết chế dân sự. Cơ quan Hệ thống Thông tin Estonia (RIA) vận hành trong hệ thống quản trị số dân sự, còn Cơ quan An ninh mạng Singapore (CSA) hoạt động dưới cấu trúc chính phủ trung ương và bộ phụ trách lĩnh vực số. Cả hai xem khả năng chống chịu số là trách nhiệm chung giữa nhà nước, doanh nghiệp và xã hội, không đơn thuần là phần mở rộng của quyền lực cảnh sát.
    • Khả năng chống chịu quan trọng hơn bảo vệ tuyệt đối. Khung NIST CSF 2.0 tổ chức quản trị an ninh mạng qua sáu chức năng: Quản trị, Nhận diện, Bảo vệ, Phát hiện, Ứng phó và Phục hồi. Điều này phản ánh nguyên tắc rằng không hệ thống nào hoàn toàn bất khả xâm phạm; chất lượng an ninh nằm cả ở năng lực phát hiện sớm, cô lập sự cố, duy trì hoạt động thiết yếu và phục hồi có kiểm chứng.
    • Estonia xây dựng năng lực từ khủng hoảng. Sau các cuộc tấn công mạng năm 2007 làm gián đoạn ngân hàng, cơ quan công quyền và truyền thông, Estonia góp phần dẫn đến việc thành lập Trung tâm Xuất sắc về Phòng thủ Không gian mạng Hợp tác của NATO và phát triển mô hình phòng thủ mạng có sự tham gia của lực lượng tình nguyện. Estonia hiện đạt 96,67/100 điểm và đứng thứ ba trên bảng xếp hạng Chỉ số An ninh Mạng Quốc gia (National Cyber Security Index).
    • Singapore dựa vào nghĩa vụ rõ ràng và học hỏi công khai. Đạo luật An ninh mạng 2018 xác định 11 lĩnh vực hạ tầng thông tin trọng yếu, áp dụng nghĩa vụ về báo cáo sự cố, kiểm toán và quản trị rủi ro. Vụ xâm phạm SingHealth năm 2018 làm lộ khoảng 1,5 triệu hồ sơ bệnh nhân đã dẫn tới điều tra công khai và điều chỉnh chính sách, thay vì chỉ che giấu thất bại.
    • Việt Nam đã củng cố mạnh mô hình tập trung dưới Bộ Công an. Luật An ninh mạng số 116/2025/QH15 được Quốc hội thông qua ngày 10/12/2025, có hiệu lực từ ngày 1/7/2026, hợp nhất khung pháp lý về an ninh mạng và an toàn thông tin mạng trước đó. Cấu trúc mới tăng vai trò trung tâm của Bộ Công an, với các ngoại lệ hẹp hơn cho hệ thống quân sự và hoạt động mật mã.
    • Năng lực kỹ thuật của Việt Nam đã cải thiện rõ rệt. Việt Nam xếp thứ 17 trong 194 nền kinh tế trên bảng xếp hạng Chỉ số An ninh mạng Toàn cầu năm 2024, thuộc Nhóm 1 với tổng điểm 99,74; chỉ số đánh giá các trụ cột pháp lý, kỹ thuật, tổ chức, phát triển năng lực và hợp tác. Tuy nhiên, các vụ tấn công mã độc tống tiền vào VNDIRECT, PVOIL và Vietnam Post trong năm 2024 cho thấy khoảng cách giữa chỉ số năng lực tổng thể và độ bền vững vận hành tại các hệ thống trọng yếu.
    • Khác biệt then chốt không chỉ là năng lực kỹ thuật mà là thiết kế thể chế. Một chế độ an ninh mạng đặt trong một bộ phụ trách an ninh và quản lý nội dung gửi tín hiệu khác với một chế độ do cơ quan số dân sự điều phối, kể cả khi cả hai cùng yêu cầu kiểm toán, diễn tập ứng phó sự cố và tuân thủ tiêu chuẩn kỹ thuật.

Giới thiệu

Mọi tham vọng về định danh số, dữ liệu mở, AI, bán dẫn, điện toán đám mây và dịch vụ công trực tuyến đều phụ thuộc vào các hệ thống phía dưới vận hành an toàn. VNeID chỉ đáng tin cậy khi các hệ thống xác thực, cơ sở dữ liệu và đường truyền của nó có thể chống chịu trước tấn công, lỗi kỹ thuật và gián đoạn. Tương tự, chủ quyền dữ liệu chỉ có ý nghĩa nếu quốc gia có thể bảo vệ hạ tầng lưu trữ, xử lý và truyền dữ liệu. Một quốc gia có thể ban hành quy định nội địa hóa dữ liệu hoặc kiểm soát nền tảng, nhưng nếu không thể phát hiện, cô lập và phục hồi sau xâm nhập thì đó chỉ là quyền kiểm soát trên giấy.

Bài đang hot
Bong bóng AI toàn cầu: Điều gì sẽ còn lại khi cơn sốt kết thúc?

An ninh mạng vì vậy không phải một lĩnh vực kỹ thuật đứng cạnh các chương khác. Nó là điều kiện vận hành của toàn bộ nền kinh tế số. Tuy nhiên, an ninh mạng mang theo một căng thẳng chính trị mà hạ tầng vật lý không có. Cùng một quyền lực pháp lý được trao để bảo vệ mạng có thể được sử dụng để yêu cầu tiếp cận dữ liệu, kiểm soát nền tảng, điều tiết nội dung hoặc mở rộng giám sát. Vì thế, câu hỏi không chỉ là một nước có chống tấn công hiệu quả hay không, mà còn là ai quản lý an ninh mạng, theo quyền hạn nào, với cơ chế kiểm toán và minh bạch ra sao.

Khái niệm tổ chức của chương này là khả năng chống chịu (resilience), không chỉ là phòng thủ hay ngăn chặn. Phòng thủ cố gắng giảm xác suất bị xâm nhập; khả năng chống chịu giả định rằng một số xâm nhập cuối cùng vẫn xảy ra và đánh giá năng lực duy trì, thích nghi, phục hồi của tổ chức. Theo NIST CSF 2.0, sáu chức năng cao nhất của quản trị rủi ro mạng là:[1]

    • Quản trị: xác định trách nhiệm, mục tiêu, chính sách và mức chấp nhận rủi ro
    • Nhận diện: biết tài sản, hệ thống, lỗ hổng và rủi ro đang tồn tại
    • Bảo vệ: triển khai biện pháp giảm khả năng hoặc tác động của sự cố
    • Phát hiện: nhận ra hoạt động bất thường và sự cố kịp thời
    • Ứng phó: cô lập, điều tra, thông báo và giảm thiệt hại
    • Phục hồi: khôi phục dịch vụ, dữ liệu, niềm tin và rút kinh nghiệm

Khung của OECD cũng xem rủi ro an ninh số là một biến số kinh tế–xã hội cần được quản trị để hỗ trợ thịnh vượng, thay vì một nguy cơ thuần kỹ thuật có thể bị loại bỏ hoàn toàn.[2] Vì vậy, đánh giá một chế độ an ninh mạng không nên chỉ hỏi: “Có ngăn được mọi vụ tấn công không?” Câu hỏi hữu ích hơn là: “Khi tấn công xảy ra, hệ thống có phát hiện sớm, duy trì dịch vụ thiết yếu, thông báo chính xác, phục hồi nhanh và học hỏi công khai không?” Đây cũng là logic của các tổ chức có độ tin cậy cao. Các tổ chức này không vận hành dựa trên giả định rằng lỗi sẽ không xảy ra; họ duy trì sự chú ý thường trực tới lỗi nhỏ, thiết kế dự phòng và khuyến khích thông tin từ tuyến vận hành đi ngược lên lãnh đạo để tránh thất bại hệ thống.[3]

Việt Nam đã nhiều lần lựa chọn tập trung hóa thẩm quyền an ninh mạng. Luật An ninh mạng năm 2018 gắn các yêu cầu về nội địa hóa dữ liệu, hiện diện thương mại của nền tảng nước ngoài và phối hợp cung cấp thông tin với lý do an ninh quốc gia; Nghị định 53/2022 quy định chi tiết một phần cơ chế thực hiện.[4]  Tháng 12/2025, Quốc hội Việt Nam tiến thêm một bước khi thông qua Luật An ninh mạng hợp nhất, sáp nhập các luật riêng biệt về an toàn thông tin và an ninh mạng vào một khuôn khổ thống nhất dưới sự lãnh đạo của một cơ quan duy nhất là Bộ Công an. Động thái này diễn ra song song với việc hợp nhất các lực lượng phòng thủ mạng tại các bộ, tỉnh và đơn vị trọng yếu dưới sự chỉ đạo của Bộ Công an và Bộ Quốc phòng.[5]

Đây không phải là một phản xạ chỉ riêng Việt Nam mới có. Việc tập trung thẩm quyền an ninh mạng vào một cơ quan an ninh duy nhất thực sự có thể giúp phản ứng sự cố nhanh hơn, tạo ra một chuỗi chỉ huy thống nhất trong thời kỳ khủng hoảng, giảm tình trạng phối hợp kém hiệu quả giữa các cơ quan vốn có thể tranh chấp thẩm quyền khi xảy ra sự cố, đồng thời tăng cường phối hợp với bộ máy an ninh quốc gia vốn có vị thế tốt nhất để nhận diện và ứng phó với các cuộc tấn công có liên quan đến nhà nước. Đây không phải là những lợi thế không hề nhỏ.

Tuy nhiên, điều khiến trường hợp của Việt Nam đáng được xem xét kỹ hơn là sự tương phản với hai nền kinh tế mà chương này sử dụng làm điểm tham chiếu ở những phần khác — Estonia và Singapore. Cả hai đều xây dựng được những chế độ an ninh mạng được đánh giá cao trên toàn cầu nhưng dựa trên một tiền đề thể chế khác: quyền chủ trì của các cơ quan dân sự, nghĩa vụ được phân định theo từng lĩnh vực và trách nhiệm giải trình công khai khi xảy ra thất bại. Cả hai cũng cho thấy rằng những lợi ích của cơ chế chỉ huy thống nhất có thể đạt được mà không nhất thiết phải đồng thời tập trung cơ sở hạ tầng định danh, quản trị nội dung, điều tra tội phạm mạng và quản lý nền tảng vào cùng một bộ.

Vì vậy, chương này đặt ra một câu hỏi vượt ra ngoài vấn đề “an ninh mạng của Việt Nam đã đủ tốt hay chưa” — một câu hỏi mà điểm số ngày càng được cải thiện nhanh chóng của Việt Nam trong Chỉ số An ninh mạng Toàn cầu phần nào đã trả lời theo hướng tích cực. Câu hỏi quan trọng hơn là liệu kiến trúc thể chế mà Việt Nam lựa chọn để xây dựng năng lực đó có tạo ra loại niềm tin số mà các nhà đầu tư, nhà cung cấp dịch vụ đám mây và các đối tác quốc tế thực sự tính đến trong các quyết định của họ hay không, hay nó chủ yếu tạo ra mức độ kiểm soát mà trên các bảng xếp hạng có thể trông giống như niềm tin.

Chương này lần lượt xem xét mô hình dân sự được hình thành qua khủng hoảng của Estonia và mô hình dân sự dựa trên kiểm toán của Singapore, đặt cả hai trong bối cảnh một hệ sinh thái rộng lớn hơn gồm các nhà cung cấp dịch vụ đám mây, doanh nghiệp viễn thông, trường đại học và nhà cung cấp công nghệ, tất cả đều ngày càng phụ thuộc vào khả năng chống chịu của hệ thống an ninh mạng quốc gia. Trên cơ sở đó, chương đánh giá các khuôn khổ pháp lý của Việt Nam năm 2018 và 2025 cùng thành tích thực thi của chúng so với hai mô hình này, rồi kết thúc bằng những khuyến nghị nhằm thu hẹp khoảng cách về thiết kế thể chế, điều thường không thể hiện trên các bảng xếp hạng nhưng lại hiện diện rất rõ trong các đánh giá rủi ro ở cấp hội đồng quản trị.

Kinh nghiệm quốc tế

Estonia: Chống chịu qua khủng hoảng

Ngày 27/4/2007, sau việc di dời tượng đài chiến tranh thời Liên Xô ở Tallinn, Estonia hứng chịu một chiến dịch tấn công từ chối dịch vụ phân tán quy mô quốc gia. Trong khoảng ba tuần, các đợt tấn công làm gián đoạn trang web của Quốc hội, bộ ngành, ngân hàng, cơ quan báo chí và truyền thông; ở cao điểm, 58 trang web không thể truy cập cùng lúc.[6]

Không có thiệt hại vật lý hay thương vong, nhưng cuộc tấn công là cú sốc lớn đối với một quốc gia đang đặt bản sắc hậu Xô Viết vào số hóa nhà nước và dịch vụ công. Dù việc quy kết trách nhiệm cho nhà nước Nga không được xác lập dứt khoát, Estonia xem đây là bước ngoặt: một chiến dịch chi phí thấp có thể làm tê liệt nhiều phần của nền kinh tế số mà không cần xung đột quân sự truyền thống.

Phản ứng quốc tế đã góp phần định hình phòng thủ mạng của NATO. Sau các trao đổi trong NATO năm 2007, Trung tâm Xuất sắc về Phòng thủ Không gian mạng Hợp tác của NATO (CCDCOE) được khai trương tại Tallinn ngày 14/5/2008, với bảy quốc gia bảo trợ ban đầu.[7] Việc đặt trụ sở tại Estonia biến trải nghiệm bị tấn công của nước này thành một nguồn chuyên môn quốc tế về phòng thủ mạng.[8]

Điểm quan trọng hơn về thể chế là Estonia không giao trách nhiệm chính về an ninh mạng dân sự cho cơ quan cảnh sát hoặc tình báo. Cơ quan Hệ thống Thông tin Estonia (RIA) là đầu mối quản lý dân sự, đồng thời vận hành CERT-EE, đội ứng cứu khẩn cấp máy tính quốc gia.[9] Liên minh châu Âu cũng chỉnh định RIA là đầu mối của Estonia về NIS2,[10] với CERT-EE là kênh liên lạc ứng phó sự cố. Các sửa đổi thực hiện Chỉ thị NIS2 có hiệu lực từ ngày 1/1/2026. Khung mới mở rộng nghĩa vụ đối với chủ thể thiết yếu và quan trọng, bao gồm đăng ký với RIA, quản trị rủi ro chuỗi cung ứng, báo cáo sự cố và trách nhiệm của ban lãnh đạo.

Estonia bổ sung mô hình quản lý dân sự bằng một năng lực phòng thủ tình nguyện đặc biệt. Đơn vị Không gian mạng thuộc Liên đoàn Phòng thủ Estonia huy động chuyên gia công nghệ thông tin làm quân nhân dự bị: họ làm việc trong khu vực dân sự hằng ngày, nhưng được huấn luyện để hỗ trợ phòng thủ quốc gia khi khủng hoảng xảy ra.[11]

Mô hình này mở rộng nguồn nhân lực vượt khỏi biên chế thường trực của nhà nước và tạo liên kết thực tế giữa cộng đồng kỹ thuật, doanh nghiệp và phòng thủ quốc gia. Sự kết hợp giữa RIA, CERT-EE, lực lượng tình nguyện và liên kết NATO giúp Estonia duy trì vị trí thứ ba toàn cầu với 96,67/100 điểm trong Chỉ số An ninh mạng Quốc gia.[12]

Những điểm mạnh của mô hình này chính là những gì có thể kỳ vọng từ một cách tiếp cận được xây dựng trên nền tảng minh bạch và quyền sở hữu chung. Đó là mức độ tin cậy cao của công chúng đối với các dịch vụ số của nhà nước, một lực lượng chuyên gia an ninh mạng dân sự có trình độ quốc tế, và khả năng đã được chứng minh trong việc mở rộng phạm vi điều chỉnh của Chỉ thị NIS2 mà không gây ra khủng hoảng về tính chính danh. Tuy nhiên, hạn chế lớn nhất của mô hình này nằm ở quy mô. Với dân số chỉ khoảng 1,4 triệu người, Estonia có điều kiện thuận lợi hơn rất nhiều để xây dựng sự phối hợp chặt chẽ giữa một cơ quan dân sự quy mô nhỏ, lực lượng tình nguyện và bộ máy phòng thủ tập thể của NATO so với một quốc gia có hơn 100 triệu dân. Đây là một khác biệt quan trọng mà phần phân tích về Việt Nam trong chương này sẽ quay lại xem xét.

Singapore: Nghĩa vụ và công khai

Singapore đi đến một lựa chọn thể chế có cấu trúc tương tự từ một điểm xuất phát khác: không phải khủng hoảng, mà là sự chủ động dự báo và chuẩn bị từ trước. Cơ quan An ninh mạng Singapore (CSA) được thành lập ngày 1/4/2015 với tư cách là cơ quan quốc gia chuyên trách về an ninh mạng. Về mặt chính sách, cơ quan này gắn với Văn phòng Thủ tướng, nhưng về vận hành lại thuộc Bộ Phát triển Kỹ thuật số và Thông tin — một bộ dân sự phụ trách lĩnh vực số, chứ không phải Bộ Nội vụ, cơ quan quản lý lực lượng cảnh sát Singapore.[13]

Ba năm sau, Đạo luật An ninh mạng năm 2018 trao cho CSA thẩm quyền pháp lý rõ ràng. Đạo luật thiết lập khuôn khổ để chỉ định cơ sở hạ tầng thông tin quan trọng trong 11 lĩnh vực gồm năng lượng, nước, ngân hàng và tài chính, y tế, vận tải đường bộ, hàng hải, hàng không, thông tin liên lạc, truyền thông, an ninh và dịch vụ khẩn cấp, cùng với chính phủ. Chủ sở hữu cơ sở hạ tầng thông tin quan trọng phải tuân thủ các nghĩa vụ ràng buộc và có thể kiểm toán, bao gồm đánh giá rủi ro bắt buộc, kiểm toán an ninh mạng độc lập ít nhất hai năm một lần, và thông báo sự cố cho Ủy viên An ninh mạng thuộc CSA trong vòng hai giờ kể từ khi phát hiện dấu hiệu vi phạm.[14]

Uy tín của khuôn khổ này gần như ngay lập tức bị thử thách, và chính thử thách đó đã định hình cách Singapore nói về quản trị an ninh mạng cho đến ngày nay. Từ ngày 27/6 đến 4/7/2018, chỉ vài tháng sau khi đạo luật có hiệu lực, tin tặc đã xâm nhập SingHealth, hệ thống y tế lớn nhất cả nước, và đánh cắp thông tin cá nhân của 1,5 triệu bệnh nhân, trong đó có Thủ tướng khi đó là Lý Hiển Long, cùng hồ sơ cấp phát thuốc ngoại trú của 160.000 người.[15]

Thay vì xử lý vụ việc trong im lặng, chính phủ thành lập một Ủy ban Điều tra gồm bốn thành viên do một thẩm phán nghỉ hưu làm chủ tịch. Ủy ban tổ chức điều trần công khai và đến tháng 1/2019 công bố một báo cáo chi tiết, xác định những sai sót kỹ thuật cụ thể — bao gồm việc mật khẩu quản trị không được thay đổi từ năm 2012 bất chấp các yêu cầu an ninh nội bộ — cùng 16 khuyến nghị cụ thể.[16]

Phản ứng chính thức của chính phủ là chấp nhận toàn bộ các phát hiện và đẩy nhanh việc siết chặt bảo vệ đối với hạ tầng thông tin trọng yếu trong khuôn khổ pháp lý hiện có, thay vì coi sự cố là lý do để mở rộng thêm quyền lực của các cơ quan an ninh.[17] Chuỗi sự kiện này — quy định ràng buộc, một thất bại nghiêm trọng được công khai, một báo cáo hậu kiểm độc lập được công bố, rồi điều chỉnh chính sách dựa trên những phát hiện cụ thể — có thể mang tính gợi mở cho Việt Nam hơn cả kiến trúc kỹ thuật của Singapore. Nó cho thấy một chế độ dân sự, dựa trên kiểm toán và trách nhiệm giải trình, vẫn có thể vượt qua một vụ vi phạm nghiêm trọng mà không rơi vào khủng hoảng về tính chính danh, bởi công chúng có thể thấy rõ điều gì đã sai và điều gì đã thay đổi sau đó. Đây cũng là minh họa điển hình cho nguyên tắc của các tổ chức có độ tin cậy cao: khả năng chống chịu được xây dựng thông qua việc công khai học hỏi từ thất bại, chứ không phải che giấu thất bại.

Singapore kể từ đó tiếp tục thể chế hóa cả các nghĩa vụ tuân thủ lẫn khía cạnh xây dựng lòng tin của mô hình này. Đạo luật An ninh mạng (Sửa đổi) năm 2024, với các điều khoản cốt lõi có hiệu lực từ ngày 31/10/2025, mở rộng phạm vi của CSA sang những hạng mục mới, trong đó có “Hệ thống gây quan ngại về an ninh mạng tạm thời”, cho phép áp dụng các nghĩa vụ tương tự cơ sở hạ tầng thông tin quan trọng đối với những thực thể chỉ trở nên quan trọng trong một khoảng thời gian nhất định, chẳng hạn trong các sự kiện công cộng lớn, chứ không chỉ với các hệ thống được chỉ định vĩnh viễn. Các văn bản thực thi những phần còn lại của sửa đổi, bao gồm mở rộng nghĩa vụ đối với chuỗi cung ứng và nhà cung cấp bên thứ ba của chủ sở hữu cơ sở hạ tầng thông tin quan trọng, tiếp tục được ban hành theo từng giai đoạn.[18]

Bên cạnh việc thực thi quy định, CSA còn đầu tư trực tiếp vào những tín hiệu tạo dựng lòng tin hướng ra thị trường mà một cơ quan quản lý chỉ tập trung vào cưỡng chế khó có thể tạo ra. Chương trình Cyber Safe SG cho phép các doanh nghiệp vừa và nhỏ đạt các chứng nhận Cyber Essentials và Cyber Trust để công khai với khách hàng. Đáng chú ý, các chứng nhận này ngày càng được thị trường bảo hiểm mạng của Singapore công nhận như một cơ sở để áp dụng mức phí ưu đãi, qua đó tạo thêm động lực kinh tế cho doanh nghiệp theo đuổi chứng nhận ngoài yêu cầu tuân thủ đơn thuần. Chương trình còn được hỗ trợ bằng mức đồng tài trợ lên tới 70% cho các dịch vụ tư vấn đủ điều kiện. Trong khi đó, Văn phòng Chương trình Nghiên cứu và Phát triển CyberSG, được thành lập với nguồn tài trợ bốn năm trị giá 62 triệu SGD, hướng tới việc định vị Singapore như một trung tâm nghiên cứu và đổi mới an ninh mạng của khu vực, chứ không chỉ là một quốc gia quản lý rủi ro hiệu quả.[19]

Kết quả là một chế độ mà các nhà đầu tư không chỉ nhìn nhận như một gánh nặng tuân thủ cần giảm thiểu, mà như một hệ sinh thái có thể tham gia và hưởng lợi. Kiểm toán, chứng nhận, trợ cấp, bảo hiểm, các nhà cung cấp dịch vụ đám mây và phần mềm, cùng chiến lược quốc gia dựa trên ba trụ cột — phòng thủ chủ động, đơn giản hóa cho người dùng cuối và định hình các chuẩn mực quốc tế — tạo thành một cấu trúc bổ trợ lẫn nhau. Điều đó được phản ánh trong điểm số gần như tuyệt đối 99,86 và xếp hạng Nhóm 1 của Singapore trong Chỉ số An ninh mạng Toàn cầu của ITU. Quan trọng hơn, nó cho thấy an ninh mạng có thể được quản trị như một năng lực kinh tế và thể chế tạo dựng lòng tin, chứ không chỉ như một hệ thống kiểm soát mà doanh nghiệp buộc phải chấp nhận.[20]

Khả năng phục hồi vượt ra ngoài phạm vi bảo mật: Chuỗi cung ứng, hệ sinh thái và bảo hiểm

Cả mô hình của Estonia lẫn Singapore đều không thể được hiểu đầy đủ nếu chỉ nhìn vào cơ quan nhà nước giữ vai trò trung tâm. Trong cả hai trường hợp, khả năng phục hồi của hệ thống không phải được tạo ra bởi một bộ máy chỉ huy tập trung, mà bởi một hệ sinh thái rộng lớn hơn do nhà nước điều phối. Rủi ro an ninh mạng hiện đại đã vượt xa phạm vi của từng tổ chức riêng lẻ. Theo Báo cáo Điều tra Vi phạm Dữ liệu (Data Breach Investigations Report) năm 2025 của Verizon, tỷ lệ các vụ vi phạm có liên quan đến bên thứ ba đã tăng từ khoảng 15% lên 30% chỉ trong vòng một năm, mức tăng lớn nhất từng được ghi nhận. Trong khi đó, một vụ xâm phạm chuỗi cung ứng hiện nay mất trung bình khoảng 267 ngày để phát hiện và khống chế, với chi phí bình quân vượt quá 4,9 triệu USD.[21]

Trước xu hướng này, Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA), phối hợp với các đối tác như Trung tâm An ninh mạng Quốc gia Anh (NCSC), đã thúc đẩy việc sử dụng Software Bill of Materials (SBOM) — danh mục có cấu trúc liệt kê toàn bộ các thành phần và phụ thuộc của một phần mềm — từ một công cụ tuân thủ chuyên biệt trở thành một yêu cầu cơ bản đối với các nhà cung cấp hạ tầng trọng yếu. Đến năm 2025, hướng dẫn này được mở rộng để bao quát cả các tập dữ liệu, mô hình và các phụ thuộc bên trong hệ thống AI.[22]

Đối với Việt Nam, đây không phải là một vấn đề mang tính lý thuyết. Tham vọng phát triển ngành bán dẫn được phân tích trong Chương 23 phụ thuộc vào việc tích hợp phần mềm thiết kế, thiết bị chế tạo và công nghệ đóng gói từ nước ngoài vào một chuỗi giá trị trong nước. Tương tự, chiến lược phát triển năng lực điện toán AI được thảo luận trong Chương 24 dựa trên chip, mô hình và hạ tầng đám mây phần lớn vẫn phải nhập khẩu. Một chế độ an ninh mạng chỉ tập trung bảo vệ các hệ thống thông tin trọng yếu trong nước mà bỏ qua các chuỗi cung ứng phần mềm và phần cứng nuôi dưỡng các hệ thống đó thực chất mới chỉ bảo vệ một phần của ranh giới an ninh thực sự.

Hệ sinh thái này còn bao gồm nhiều chủ thể mà một mô hình quản lý tập trung vào cơ quan an ninh khó có thể tích hợp đầy đủ. Đó là các nhà cung cấp dịch vụ đám mây đang vận hành phần lớn hạ tầng số của các hệ thống quan trọng; các trường đại học và viện nghiên cứu đào tạo lực lượng chuyên gia an ninh mạng mà cả Estonia và Singapore đều phụ thuộc; và ngày càng quan trọng hơn là các công ty bảo hiểm. Bảo hiểm an ninh mạng đã nổi lên như một tín hiệu thị trường độc lập về mức độ tin cậy của một tổ chức, bởi các công ty bảo hiểm có động cơ kinh tế trực tiếp để định giá rủi ro một cách chính xác, thay vì dựa trên các cân nhắc chính trị. Thị trường bảo hiểm an ninh mạng toàn cầu được dự báo đạt khoảng 16,6 tỷ USD phí bảo hiểm gộp trong năm 2026. Đồng thời, các nhà bảo hiểm ngày càng gắn việc cấp bảo hiểm và mức phí với các thực hành an ninh có thể kiểm chứng: khoảng 96% hiện yêu cầu xác thực đa yếu tố (MFA) như một điều kiện bắt buộc, trong khi phần lớn cũng yêu cầu doanh nghiệp triển khai các giải pháp phát hiện và ứng phó điểm cuối (EDR).[23]

Theo nghĩa này, một thị trường bảo hiểm an ninh mạng phát triển không chỉ là một ngành dịch vụ tài chính, mà còn là một cơ chế đánh giá độc lập đối với khả năng phục hồi của các tổ chức. Khác với các cuộc kiểm toán của cơ quan nhà nước, các đánh giá của thị trường bảo hiểm phản ánh trực tiếp mức độ rủi ro mà các doanh nghiệp và nhà đầu tư sẵn sàng chấp nhận bằng tiền thật. Hai hệ thống đánh giá này bổ sung cho nhau: kiểm toán của nhà nước xác nhận mức độ tuân thủ, còn thị trường bảo hiểm phản ánh mức độ tin cậy mà khu vực tư nhân thực sự dành cho hệ thống. Việt Nam hiện vẫn chưa hình thành một thị trường bảo hiểm an ninh mạng có quy mô đáng kể, đồng nghĩa với việc đang thiếu một cơ chế tín hiệu quan trọng về khả năng chống chịu của nền kinh tế số. Đây cũng là một trong những đòn bẩy chính sách còn bị bỏ ngỏ mà các khuyến nghị ở cuối chương sẽ quay trở lại phân tích.

Logic thể chế chung

Estonia và Singapore khác nhau ở hầu như mọi đặc điểm có thể quan sát được: một bên là quốc gia Baltic nhỏ bé, định hình bởi trải nghiệm của một cuộc tấn công mạng quy mô lớn; bên kia là một thành phố-quốc gia giàu có ở Đông Nam Á, xây dựng hệ thống của mình trên cơ sở dự báo và phòng ngừa rủi ro. Tuy nhiên, hai nước lại hội tụ ở ba lựa chọn thiết kế thể chế cơ bản. Thứ nhất, cả hai đều trao vai trò trung tâm trong quản trị an ninh mạng cho một cơ quan dân sự trực thuộc bộ phụ trách lĩnh vực số hoặc tư pháp, thay vì lực lượng cảnh sát hay cơ quan tình báo. Thứ hai, cả hai đều quy định rõ các nghĩa vụ tuân thủ theo từng lĩnh vực thông qua các quy tắc minh bạch và có thể kiểm toán, thay vì để việc thực thi phụ thuộc vào sự chấp thuận hoặc quyết định tùy nghi của cơ quan an ninh trong từng trường hợp. Thứ ba, cả hai đều coi các sự cố lớn là cơ hội để tăng cường trách nhiệm giải trình trước công chúng thay vì che giấu thất bại: Estonia thông qua kiến trúc hợp tác mở với NATO và các đánh giá định kỳ trong Chỉ số An ninh mạng Quốc gia (NCSI), còn Singapore thông qua báo cáo công khai của Ủy ban Điều tra vụ SingHealth. Điều đáng chú ý là cả hai quốc gia đều duy trì lập trường rất cứng rắn đối với tội phạm mạng và các cuộc tấn công có yếu tố nhà nước — Estonia trước các mối đe dọa từ Nga và Singapore trước các tác nhân được nhà nước hậu thuẫn — nhưng trong cả hai trường hợp, chức năng an ninh cứng hoạt động song song với hệ thống quản trị dân sự, chứ không trở thành nền tảng chi phối toàn bộ hoạt động quản trị an ninh mạng hằng ngày.

Để đánh giá công bằng mô hình đối lập, cần thừa nhận rằng cấu trúc chỉ huy thống nhất do một bộ an ninh lãnh đạo, như Việt Nam đang xây dựng, có những ưu điểm thực tế. Trong một sự cố đang diễn ra, mô hình này có thể rút ngắn thời gian ra quyết định vì không tồn tại sự mơ hồ về cơ quan có thẩm quyền cuối cùng. Nó cũng loại bỏ chi phí phối hợp phát sinh khi cơ quan quản lý dân sự, lực lượng cảnh sát và quân đội phải thống nhất trách nhiệm trước khi hành động. Đồng thời, trên bình diện quốc tế, nó tạo ra một đầu mối chịu trách nhiệm duy nhất, thuận lợi cho việc quy kết và ứng phó với các cuộc tấn công có liên quan đến nhà nước, vốn thường làm mờ ranh giới giữa tội phạm mạng và chiến tranh mạng. Đây là những lợi thế vận hành thực chất, chứ không chỉ là những nhượng bộ mang tính hình thức.

Tuy nhiên, kinh nghiệm của Estonia và Singapore cho thấy một quốc gia vẫn có thể đạt được phần lớn những lợi ích của sự chỉ huy thống nhất mà không cần hợp nhất mọi chức năng liên quan vào cùng một thiết chế. Cả hai đều sử dụng một cơ quan dân sự làm đầu mối điều phối, nhưng vẫn tách biệt cơ quan này khỏi các chức năng như quản lý hệ thống định danh số, quản trị nội dung, điều tra tội phạm mạng hay quản lý nền tảng số. Quan trọng hơn, cơ quan điều phối an ninh mạng cũng không nằm trong cùng một bộ chịu trách nhiệm về an ninh chính trị hoặc kiểm soát phát ngôn.

Đây chính là điểm khác biệt cốt lõi mà chương này muốn nhấn mạnh. Lập luận không phải là Việt Nam đã lựa chọn sai về mặt kỹ thuật hay chỉ huy thống nhất là một mô hình không phù hợp. Vấn đề nằm ở thiết kế thể chế. Việt Nam đã kết hợp chức năng chỉ huy an ninh và chức năng xây dựng lòng tin dân sự vào cùng một cơ quan. Trong khi đó, Estonia và Singapore cố ý duy trì sự phân tách giữa hai chức năng này: một bên tập trung vào bảo đảm an ninh, bên còn lại hướng tới tạo dựng niềm tin của người dân, doanh nghiệp và các đối tác quốc tế. Chính sự phân tách đó, hơn bất kỳ tiêu chuẩn kỹ thuật cụ thể nào, là yếu tố giúp hai quốc gia vừa duy trì năng lực an ninh mạng ở mức rất cao, vừa xây dựng được một môi trường số được thị trường và các nhà đầu tư quốc tế đánh giá là đáng tin cậy.

Bối cảnh Việt Nam

Kiến trúc an ninh mạng của Việt Nam chưa bao giờ mang tính trung lập về mặt thể chế, và lộ trình cải cách kể từ năm 2018 đã liên tục củng cố, chứ không làm suy yếu, điểm xuất phát đó. Luật An ninh mạng (Luật số 24/2018/QH14), được thông qua ngày 12/6/2018 và có hiệu lực từ ngày 1/1/2019, đã phân loại các hệ thống thông tin thành các nhóm thông thường và “quan trọng”, bao gồm năng lượng, tài chính, ngân hàng, viễn thông, giao thông vận tải, tài nguyên và môi trường, hóa chất, y tế, văn hóa và báo chí. Danh sách này tương đồng với các lĩnh vực cơ sở hạ tầng thông tin quan trọng của Singapore ở các lĩnh vực kinh tế và hạ tầng, nhưng khác biệt đáng kể ở việc bao gồm cả văn hóa và báo chí, những lĩnh vực gần với quản trị nội dung hơn là bảo vệ hạ tầng kỹ thuật.[24]

Nghị định 53/2022/NĐ-CP, có hiệu lực từ ngày 1/10/2022, cụ thể hóa khuôn khổ này bằng cách yêu cầu các doanh nghiệp trong và ngoài nước cung cấp dịch vụ viễn thông, internet hoặc dịch vụ số giá trị gia tăng tại Việt Nam phải lưu trữ trong nước dữ liệu cá nhân, dữ liệu về hoạt động tài khoản và dữ liệu về quan hệ của người dùng Việt Nam, đồng thời yêu cầu doanh nghiệp nước ngoài thành lập chi nhánh hoặc văn phòng đại diện trong vòng 12 tháng kể từ khi nhận được yêu cầu chính thức của Bộ Công an, với thời hạn lưu trữ dữ liệu tối thiểu là 24 tháng.[25] Điều quan trọng là cơ sở kích hoạt những nghĩa vụ này không phải là việc chỉ định rủi ro kỹ thuật bởi một cơ quan quản lý độc lập, như trong khuôn khổ cơ sở hạ tầng thông tin quan trọng của Singapore, mà là yêu cầu trực tiếp từ chính Bộ Công an.

Mô hình thể chế này lặp lại xuyên suốt các khía cạnh nhà nước số của Việt Nam. Bộ Công an nằm ở trung tâm của VNeID và Cơ sở dữ liệu Quốc gia về Dân cư, và hiện cũng giữ vị trí trung tâm trong kiến trúc an ninh mạng thông qua Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05). A05 vừa điều tra tội phạm mạng — số liệu do Bộ Công an công bố cho thấy tổng thiệt hại liên quan đến tội phạm mạng lên tới 18,9 nghìn tỷ đồng, tương đương khoảng 717,5 triệu USD, trong năm 2024, gấp đôi năm trước, với hơn 1.500 vụ lừa đảo trực tuyến được xử lý — vừa tham gia quản lý chế độ tuân thủ của các nền tảng và yêu cầu bản địa hóa dữ liệu, bao gồm việc xác định những doanh nghiệp nước ngoài nào phải thiết lập hiện diện tại Việt Nam và theo những điều kiện nào.[26]

Nói cách khác, cùng một bộ đồng thời đảm nhiệm vai trò điều tra tội phạm mạng, quản lý hạ tầng định danh số và quản lý nền tảng — một sự tập trung chức năng mà Estonia và Singapore chủ động phân bổ giữa cơ quan an ninh mạng dân sự, các cơ quan quản lý ngành và lực lượng cảnh sát. Tuy nhiên, sự tập trung quyền lực trong thiết kế của Việt Nam không phải là tuyệt đối. Luật An ninh mạng năm 2025 quy định Bộ Quốc phòng giữ vai trò chủ đạo đối với các hệ thống thông tin quân sự và hoạt động ứng phó với khủng bố mạng ảnh hưởng đến những hệ thống đó, đồng thời giao trách nhiệm cụ thể cho Ban Cơ yếu Chính phủ đối với các hệ thống mật mã. Vì vậy, kiến trúc của Việt Nam chính xác hơn nên được mô tả là do Bộ Công an giữ vai trò chủ đạo, chứ không phải Bộ Công an nắm độc quyền tuyệt đối.[27]

Tuy nhiên, những ranh giới phân định này khá hẹp và mang tính chuyên ngành, trong khi Bộ Công an vẫn giữ vai trò trung tâm đối với phần lớn các hệ thống thông tin quan trọng đối với an ninh quốc gia theo định nghĩa của luật — từ tài chính, ngân hàng, năng lượng, viễn thông, giao thông vận tải đến y tế. Vì thế, vấn đề thể chế cốt lõi vẫn còn nguyên ngay cả khi đã tính đến những khác biệt này.

Xét thuần túy về năng lực kỹ thuật, kiến trúc đó đã mang lại những kết quả khó phủ nhận. Chiến lược An toàn, An ninh mạng quốc gia đến năm 2030, được ban hành năm 2022, đặt mục tiêu Việt Nam nằm trong nhóm 25-30 quốc gia dẫn đầu trên Chỉ số An ninh mạng Toàn cầu (GCI) của ITU vào năm 2025.[28] Việt Nam đã vượt mục tiêu này một cách dễ dàng: ấn bản GCI gần nhất năm 2024 xếp Việt Nam thứ 17 trong 194 nền kinh tế, ngang với Tây Ban Nha, với số điểm 99,74/100 và điểm tuyệt đối hoặc gần tuyệt đối ở các trụ cột pháp lý, kỹ thuật, tổ chức và hợp tác. Đây là bước nhảy tám bậc, đưa Việt Nam vào Nhóm 1 cùng Singapore, Indonesia, Thái Lan và Malaysia.[29] Bộ Công an tiếp tục xây dựng năng lực thể chế, bao gồm việc ra mắt Hệ điều hành An ninh mạng Quốc gia năm 2024, thành lập Liên minh Ứng phó và Khắc phục Sự cố An ninh mạng Quốc gia, và xác lập Ngày An ninh mạng Việt Nam vào ngày 6/8 theo Quyết định 1013/QĐ-TTg. Bộ cũng cho biết từ năm 2024 hệ thống đã phát ra khoảng 42 triệu cảnh báo tấn công mạng và 420.000 cảnh báo mã độc.[30]

Tuy nhiên, chính giai đoạn đó cũng cho thấy sự trưởng thành về thể chế trên giấy tờ vẫn đi trước đáng kể khả năng chống chịu trong vận hành thực tế — chính xác là khoảng cách mà Khung An ninh mạng NIST, với sự nhấn mạnh vào phát hiện, ứng phó và phục hồi chứ không chỉ bảo vệ, được thiết kế để làm rõ. Ngày 24/3/2024, VNDIRECT, một trong những công ty môi giới chứng khoán lớn nhất Việt Nam, bị tấn công bằng mã độc tống tiền, khiến hệ thống bị mã hóa và hoạt động giao dịch phải tạm ngừng trong nhiều ngày, làm hàng trăm nghìn nhà đầu tư không thể đặt lệnh hoặc rút tiền.[31] Chỉ vài ngày sau, ngày 2/4, Tổng công ty Dầu Việt Nam (PVOIL) cũng hứng chịu một cuộc tấn công tương tự, làm tê liệt hệ thống thông tin và gián đoạn hoạt động lập hóa đơn điện tử, dù hoạt động bán lẻ nhiên liệu vẫn được duy trì.[32] Tổng Công ty Bưu điện Việt Nam (Vietnam Post) tiếp tục bị tấn công vào ngày 4/6.[33] Một báo cáo ngành vào tháng 12/2024 ghi nhận khoảng 659.000 cuộc tấn công mạng ảnh hưởng tới khoảng 46% tổ chức tại Việt Nam trong năm đó, trong khi Kaspersky ghi nhận 29.282 vụ tấn công mã độc tống tiền nhằm vào doanh nghiệp Việt Nam — trung bình khoảng 80 vụ mỗi ngày.[34] Thủ tướng Phạm Minh Chính phản ứng bằng Chỉ thị 33/CT-TTg, ban hành ngày 7/4/2024, yêu cầu các cơ quan nhà nước và doanh nghiệp coi an ninh mạng là ưu tiên hàng đầu. Chính tính cấp bách của chỉ thị cho thấy việc cải thiện nhanh chóng trên các bảng xếp hạng vẫn chưa chuyển hóa hoàn toàn thành khả năng chống chịu vận hành tại những tổ chức thực sự nắm giữ tài sản tài chính và đảm bảo nguồn cung nhiên liệu cho người dân.[35]

Đáng chú ý, không vụ việc nào trong ba vụ nói trên dẫn đến một báo cáo điều tra công khai theo mô hình Singapore. Mỗi sự cố chủ yếu được xử lý thông qua khắc phục nội bộ và những tuyên bố trấn an chung, thay vì một bản phân tích hậu kiểm chi tiết được công bố rộng rãi như sau vụ SingHealth, nơi Singapore đã biến một thất bại nghiêm trọng thành cơ hội học hỏi thể chế thay vì để nó trở thành vấn đề uy tín kéo dài.

Tuy nhiên, phát triển quan trọng nhất gần đây lại mang tính thể chế hơn là kỹ thuật. Ngày 10/12/2025, Quốc hội thông qua Luật An ninh mạng (Luật số 116/2025/QH15), hợp nhất Luật An toàn thông tin mạng năm 2015 và Luật An ninh mạng năm 2018 thành một đạo luật thống nhất, có hiệu lực từ ngày 1/7/2026.[36] Luật mới này củng cố chứ không nới lỏng mô hình tập trung vào Bộ Công an. Bộ Công an được xác định là cơ quan chủ trì, chịu trách nhiệm thống nhất quản lý nhà nước về an ninh mạng trên phạm vi toàn quốc, qua đó chính thức hóa xu hướng tập trung hóa sau cuộc cải tổ bộ máy năm 2025, khi Bộ Thông tin và Truyền thông trước đây — cơ quan từng chia sẻ trách nhiệm về an toàn thông tin mạng — được sáp nhập vào Bộ Khoa học và Công nghệ. Kết quả là phần lớn thẩm quyền về an ninh mạng được tập trung vào Bộ Công an, với một số phạm vi chuyên biệt vẫn thuộc Bộ Quốc phòng và Ban Cơ yếu Chính phủ như đã nêu ở trên.[37] Theo cấu trúc mới, về cơ bản các lực lượng chuyên trách bảo vệ an ninh mạng tại các bộ, tỉnh và các đơn vị vận hành hệ thống trọng yếu, ngoại trừ những trường hợp được miễn trừ, đều hoạt động trong một cơ chế điều phối tập trung hơn dưới sự quản lý của Bộ Công an, thay cho cấu trúc phân tán trước đây.[38]

Về quản trị nội dung, luật mới duy trì thời hạn tiêu chuẩn 24 giờ để các nền tảng gỡ bỏ nội dung vi phạm theo yêu cầu và đặt ra thời hạn sáu giờ đối với các trường hợp khẩn cấp liên quan đến an ninh quốc gia. Luật đồng thời bổ sung quyền yêu cầu vô hiệu hóa hoặc gỡ bỏ hoàn toàn các ứng dụng không tuân thủ. Những nghĩa vụ này đáng chú ý vì được quy định trong cùng một đạo luật và do cùng một cơ quan thực thi với các điều khoản bảo vệ hệ thống thông tin trọng yếu.[39] Đối với các hệ thống được phân loại là quan trọng đối với an ninh quốc gia, chủ sở hữu phải thực hiện đánh giá an ninh mạng bắt buộc hằng năm, duy trì giám sát mối đe dọa liên tục và phối hợp với các lực lượng chuyên trách do Bộ Công an điều phối. Trên lý thuyết, những yêu cầu này tương đồng với chu kỳ kiểm toán cơ sở hạ tầng thông tin quan trọng của Singapore. Tuy nhiên, chúng vận hành dưới sự quản lý của một bộ an ninh duy nhất thay vì mô hình cơ quan dân sự kết hợp với các cơ quan quản lý ngành như ở Singapore. Đồng thời, khác với sửa đổi năm 2024 của Singapore, khuôn khổ của Việt Nam vẫn chưa mở rộng một cách rõ ràng và có hệ thống các nghĩa vụ về chuỗi cung ứng và nhà cung cấp bên thứ ba đối với các đơn vị vận hành hệ thống trọng yếu.[40]

Cộng đồng doanh nghiệp tại Việt Nam đã bắt đầu gọi tên khá rõ sự căng thẳng phát sinh từ mô hình này, với những lập luận tương tự xuất hiện trong cả hai chu kỳ lập pháp năm 2018 và 2025. Khi các quy định về hiện diện tại địa phương và lưu trữ dữ liệu trong nước theo Nghị định 53 được hoàn thiện, Phòng Thương mại Mỹ, AmCham Hà Nội và Liên minh Internet Châu Á đã cùng gửi thư tới Thủ tướng cảnh báo rằng các yêu cầu này khiến doanh nghiệp khó đánh giá chính xác chi phí hoạt động tại Việt Nam. Hiệp hội Truyền thông Số Việt Nam cũng từng ước tính riêng rằng các quy định này có thể làm giảm đầu tư nước ngoài khoảng 3,1% và làm chậm tăng trưởng kinh tế khoảng 1,7%.[41]

Khi luật năm 2025 được thông qua, những lo ngại tương tự lại xuất hiện. Các nền tảng trong và ngoài nước, trong đó có Meta và Google, được cho là dự báo số lượng yêu cầu cung cấp thông tin người dùng sẽ gia tăng khi chế độ thống nhất có hiệu lực, trong khi Phòng Thương mại và Công nghiệp Việt Nam cũng nêu quan ngại về các tác động kinh tế của luật dù đồng thời ủng hộ mục tiêu tăng cường an ninh mạng.[42]

Về bản chất, những quan ngại này cho thấy lòng tin vận hành như một biến số kinh tế chứ không chỉ là một khái niệm trừu tượng. Chính những tín hiệu thể chế mà chương này lập luận có ảnh hưởng đến niềm tin của nhà đầu tư cũng tác động trực tiếp đến các quyết định cụ thể: một nhà cung cấp dịch vụ đám mây quy mô lớn sẽ đặt trung tâm dữ liệu ở đâu, một tập đoàn đa quốc gia có định tuyến các khối lượng công việc điện toán đám mây trong khu vực qua Việt Nam hay qua một quốc gia láng giềng, và một công ty bảo hiểm nước ngoài sẽ định giá rủi ro chính trị và rủi ro vận hành đối với hoạt động tại Việt Nam như thế nào trong bối cảnh thị trường bảo hiểm an ninh mạng trong nước vẫn còn non trẻ so với Singapore. Mô hình xuyên suốt cả hai chu kỳ lập pháp là nhất quán: năng lực an ninh mạng của Việt Nam, xét qua điểm số quốc tế và năng lực hoạt động của các cơ quan nhà nước, tiếp tục cải thiện, trong khi mối quan ngại cụ thể mà các nhà đầu tư nước ngoài nhiều lần nêu ra — rằng quyền kiểm soát dữ liệu, nội dung và quyền truy cập nền tảng tập trung vào một bộ hoạt động chủ yếu theo các tiêu chí an ninh quốc gia thay vì rủi ro thương mại — vẫn chưa được giải quyết qua cả hai vòng cải cách.

Đó chính là khác biệt mang tính cấu trúc mà chương này nhấn mạnh khi so sánh Việt Nam với Estonia và Singapore: vấn đề không nằm ở năng lực kỹ thuật yếu hơn, mà ở nền tảng niềm tin thể chế hẹp hơn để các doanh nghiệp, nhà đầu tư và đối tác quốc tế có thể dựa vào chính năng lực kỹ thuật đó.

Khuyến nghị chính sách

Việt Nam nên chuyển trọng tâm từ mở rộng quyền kiểm soát sang tăng khả năng chống chịu có thể kiểm chứng: minh bạch hơn sau sự cố, tiêu chuẩn kỹ thuật theo rủi ro, và một hệ sinh thái gồm doanh nghiệp, bảo hiểm, trường đại học và cơ quan dân sự. Điều này không làm suy yếu vai trò chính đáng của Bộ Công an trong điều tra và ứng phó mà giúp làm rõ ranh giới giữa an ninh quốc gia với quản trị rủi ro kỹ thuật thường nhật.

Ngắn hạn

    • Công bố báo cáo hậu sự cố đối với hạ tầng có tầm quan trọng hệ thống. Với các sự cố ransomware tương tự VNDIRECT hoặc PVOIL, cơ quan điều phối quốc gia nên công bố báo cáo đã ẩn danh phần nhạy cảm nhưng đủ chi tiết về nguyên nhân gốc, chuỗi tấn công, thời gian phát hiện, thời gian khôi phục, biện pháp khắc phục và bài học áp dụng rộng rãi. Mô hình Ủy ban Điều tra SingHealth cho thấy công khai sai sót kỹ thuật và cải cách sau đó có thể củng cố, thay vì làm suy giảm, niềm tin vào năng lực nhà nước.
    • Tách các tiêu chí xác định “hệ thống thông tin trọng yếu” khỏi cơ chế kích hoạt dựa trên yêu cầu mang tính tùy nghi của Bộ Công an. Bộ Khoa học và Công nghệ và Bộ Công an nên phối hợp xây dựng và công bố các ngưỡng kỹ thuật rõ ràng, cụ thể theo từng lĩnh vực trong các nghị định hướng dẫn thi hành Luật An ninh mạng năm 2025. Mục tiêu là thu hẹp thực tiễn hiện nay, theo đó nghĩa vụ liên quan đến phân loại hệ thống và lưu trữ dữ liệu trong nước có thể được kích hoạt trực tiếp theo yêu cầu của Bộ Công an, đồng thời đưa danh mục hệ thống trọng yếu của Việt Nam gần hơn với cách của Singapore, dựa trên tiêu chí kinh tế và kỹ thuật. Những lĩnh vực mang tính quản trị nội dung, như văn hóa và báo chí, nên được tách khỏi logic bảo vệ hạ tầng thông tin trọng yếu, trừ khi có thể chứng minh được rủi ro kỹ thuật cụ thể.
    • Xây dựng phiên bản tương đương của Việt Nam với các chứng nhận Cyber Essentials/Cyber Trust của Singapore dành cho doanh nghiệp vừa và nhỏ, với thiết kế ngay từ đầu để có thể liên kết với định giá bảo hiểm. Dựa trên chức năng quản lý kinh tế số, Bộ Khoa học và Công nghệ nên thí điểm một chương trình chứng nhận tự nguyện có cơ chế đồng tài trợ cho doanh nghiệp vừa và nhỏ, đồng thời hợp tác sớm với các công ty bảo hiểm trong và ngoài nước để doanh nghiệp đạt chứng nhận có thể được hưởng mức phí bảo hiểm ưu đãi. Cách tiếp cận này sẽ tạo thêm một động lực tích cực dựa trên thị trường để doanh nghiệp đầu tư vào an ninh mạng, thay vì chỉ tuân thủ vì lo ngại bị xử phạt.

Trung hạn

    • Luật hóa cơ chế rà soát sự cố độc lập. Quốc hội nên thành lập một cơ chế điều tra thường trực, liên bộ và có chuyên gia độc lập, tách khỏi nhiệm vụ điều tra hình sự của A05. Cơ chế này phải có quyền tiếp cận thông tin cần thiết, xác định nguyên nhân gốc và công bố báo cáo công khai ở mức độ phù hợp, bao gồm yêu cầu khắc phục có thời hạn.
    • Bổ sung nghĩa vụ chuỗi cung ứng cho hệ thống trọng yếu. Đơn vị vận hành cần duy trì Danh mục thành phần phần mềm (SBOM) cho các hệ thống cốt lõi, thực hiện đánh giá an ninh đối với nhà cung cấp phần mềm, đám mây và dịch vụ quản trị, đồng thời có nghĩa vụ thông báo lỗ hổng, kế hoạch thay thế nhà cung cấp và kiểm tra tính liên tục kinh doanh. Đây là phần còn thiếu nếu chỉ bảo vệ mạng nội bộ trong khi rủi ro ngày càng đến từ nhà cung cấp bên thứ ba và thành phần phần mềm phụ thuộc.
    • Tổ chức lực lượng dự bị phòng thủ không gian mạng. Bộ Công an và Bộ Quốc phòng có thể thí điểm cơ chế dự bị huy động kỹ sư an ninh mạng, chuyên gia đám mây, nhà nghiên cứu và chuyên gia Việt Nam ở nước ngoài trong sự cố lớn. Kinh nghiệm Estonia cho thấy lực lượng tình nguyện có đào tạo và khuôn khổ pháp lý rõ ràng giúp mở rộng năng lực quốc gia mà không cần phình to biên chế thường trực.
    • Tách kiểm toán tuân thủ thường xuyên khỏi điều tra và thực thi. Việc kiểm toán hệ thống trọng yếu, chứng nhận tiêu chuẩn, hướng dẫn kỹ thuật và theo dõi khắc phục nên từng bước chuyển sang một đầu mối quản lý kinh tế số–kỹ thuật dân sự thuộc Bộ Khoa học và Công nghệ. Bộ Công an vẫn giữ quyền điều tra tội phạm mạng, ứng phó khẩn cấp, phản gián và điều phối trong tình huống đe dọa an ninh quốc gia.
    • Phát triển bảo hiểm an ninh mạng nội địa. Bộ Tài chính, Ngân hàng Nhà nước và Bộ Khoa học và Công nghệ nên phối hợp với doanh nghiệp bảo hiểm, tái bảo hiểm và ngân hàng để thiết lập chuẩn dữ liệu tổn thất, tiêu chí thẩm định và sản phẩm bảo hiểm cơ bản. Các nhãn chứng nhận cho các doanh nghiệm nhỏ và vừa có thể là đầu vào đầu tiên để định giá rủi ro và khuyến khích đầu tư phòng ngừa.

Dài hạn

    • Đặt mục tiêu top 10 GCI vào năm 2030, nhưng không chỉ đo thứ hạng. Việt Nam đã đứng thứ 17 trong GCI 2024, vượt mục tiêu trước đó về thứ hạng quốc tế. Lộ trình mới nên công bố thêm các chỉ số độc lập về thời gian phát hiện, thời gian khôi phục, tỷ lệ hệ thống trọng yếu diễn tập định kỳ, mức độ công bố hậu sự cố, mức tuân thủ chuỗi cung ứng và tỷ lệ doanh nghiệp có bảo hiểm mạng.
    • Lập quỹ R&D an ninh mạng dài hạn. Bộ Khoa học và Công nghệ nên xây dựng công cụ tài trợ nhiều năm cho phòng thí nghiệm, trường đại học, doanh nghiệp khởi nghiệp và dự án thương mại hóa công nghệ an ninh mạng. Cách làm này tương tự logic của CyberSG: phát triển năng lực nội địa, đào tạo chuyên gia và đa dạng hóa nhà cung cấp thay vì chỉ nhập khẩu công nghệ hoặc mở rộng năng lực thực thi.
    • Đưa tập trung quyền lực vào chu kỳ rà soát pháp luật. Lần sửa đổi lớn tiếp theo của Luật An ninh mạng nên đánh giá công khai liệu việc tập trung định danh, quản trị nền tảng, dữ liệu, kiểm toán hạ tầng trọng yếu và điều tra tội phạm mạng vào cùng một cơ quan còn phù hợp khi kinh tế số mở rộng hay không. Mục tiêu không phải phủ nhận lợi ích của chỉ huy thống nhất, mà là tách những phần cần điều phối an ninh quốc gia khỏi những phần cần niềm tin, tiêu chuẩn kỹ thuật và giám sát dân sự.

Kết luận

Estonia và Singapore không xây dựng được các chế độ an ninh mạng có mức độ tin cậy cao một cách ngẫu nhiên. Trong cả hai trường hợp, việc quản trị khả năng phục hồi số hằng ngày được đặt trong các cơ quan dân sự, các nghĩa vụ pháp lý được công bố rõ ràng, và những thất bại lớn được sử dụng như cơ hội để tăng cường trách nhiệm giải trình và hoàn thiện thể chế, thay vì làm cơ sở để mở rộng thêm quyền hạn của các cơ quan an ninh. Trong cùng thời gian đó, Việt Nam cũng đã xây dựng được năng lực kỹ thuật đáng kể theo hầu hết các chỉ số có thể đo lường. Điều Việt Nam chưa thực hiện, cả trong Luật An ninh mạng năm 2018 lẫn Luật An ninh mạng năm 2025, là tách biệt sự phát triển về năng lực kỹ thuật khỏi sự tập trung ngày càng lớn của quyền hạn đối với danh tính số, dữ liệu, quản trị nội dung và hạ tầng thông tin trọng yếu trong cùng một cơ quan.

Chương này không lập luận rằng những quan ngại về an ninh của Việt Nam là không chính đáng, cũng không cho rằng một bộ chuyên về an ninh về nguyên tắc không thể vận hành một chế độ an ninh mạng hiệu quả. Trường hợp Estonia cho thấy một quốc gia vẫn có thể duy trì lập trường an ninh rất cứng rắn trước các mối đe dọa từ bên ngoài trong khi giao việc quản trị khả năng phục hồi số hằng ngày cho một cơ quan dân sự. Lập luận của chương là vấn đề cốt lõi nằm ở thiết kế thể chế. Khi các nhà đầu tư, nhà cung cấp dịch vụ đám mây hay các đối tác quốc tế đánh giá một môi trường số, họ không chỉ xem xét các tiêu chuẩn kỹ thuật, kết quả kiểm toán hay thứ hạng quốc tế, mà còn quan tâm đến cách thức quyền lực được phân bổ giữa các cơ quan nhà nước, mức độ minh bạch của các quy tắc và khả năng dự đoán của cơ chế quản trị.

Đáng chú ý, cộng đồng doanh nghiệp nước ngoài tại Việt Nam đã liên tục nêu ra những quan ngại liên quan đến thiết kế thể chế này trong cả hai chu kỳ lập pháp 2018 và 2025, nhưng cho đến nay những vấn đề đó vẫn chưa được giải quyết một cách toàn diện. Kinh nghiệm của Estonia và Singapore gợi ý rằng lòng tin số không thể chỉ được tạo ra bằng việc tăng cường quyền hạn quản lý hay siết chặt các quy định pháp lý. Về lâu dài, nó phụ thuộc vào một sự cân bằng giữa năng lực thực thi và các cơ chế bảo đảm tính minh bạch, trách nhiệm giải trình, chuyên môn theo lĩnh vực và quyền sở hữu dân sự đối với hệ thống quản trị. Chính sự cân bằng đó mới tạo nên nền tảng thể chế mà các doanh nghiệp và đối tác quốc tế có thể tin cậy trong dài hạn.

Bài viết trích từ bản thảo “Vượt ra ngoài gia công: Kinh nghiệm quốc tế về khoa học công nghệ, đổi mới sáng tạo và chuyển đổi số cho Việt Nam”. Rất mong nhận được ý kiến phản biện, góp ý của quý độc giả. Mọi liên hệ, góp ý xin gửi về: nghiencuuquocte@gmail.com. Trân trọng cảm ơn! 

——————-

[1] National Institute of Standards and Technology, “The NIST Cybersecurity Framework (CSF) 2.0”, 26 February 2024, http://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf.

[2] “Digital Security Risk Management,” OECD, https://www.oecd.org/en/topics/digital-security-risk-management.html; “Building Stronger Defences for a Digital Future: The Role of Cybersecurity,” OECD, https://www.oecd.org/en/publications/economic-security-in-a-changing-world_4eac89c7-en/full-report/building-stronger-defences-for-a-digital-future-the-role-of-cybersecurity_484bcb90.html.

[3] “Institutional Resilience Theory,” Sustainability Directory, https://energy.sustainability-directory.com/term/institutional-resilience-theory/; “Building Institutional Resilience in Crisis Contexts,” SAR Publication, https://sarpublication.com/media/articles/SARJBM_83_73-76.pdf.

[4] “Vietnam’s New Cybersecurity Law 2018,” Vietnam Business Law, https://vietnam-business-law.info/blog/2018/7/30/vietnams-new-cybersecurity-law; Law on Cyber Security 2018, https://www.economica.vn/Content/files/LAW%20&%20REG/Law%20on%20Cyber%20Security%202018.pdf.

[5] “Law on Cybersecurity 2025, No. 116/2025/QH15,” LuatVietnam, https://english.luatvietnam.vn/lawoncybersecurityno116-2025-qh15dateddecember102025ofthenationalassembly-422396-doc1.html; “Draft of Vietnam’s Consolidated 2025 Cybersecurity Law Released,” Tilleke & Gibbins, https://www.tilleke.com/insights/draft-of-vietnams-consolidated-2025-cybersecurity-law-released/.

[6] “2007 Cyberattacks on Estonia,” Wikipedia, https://en.wikipedia.org/wiki/2007_cyberattacks_on_Estonia.

[7] “Cooperative Cyber Defence Centre of Excellence,” Wikipedia, https://en.wikipedia.org/wiki/Cooperative_Cyber_Defence_Centre_of_Excellence.

[8] “NATO Opens New Centre of Excellence on Cyber Defence,” NATO, 14 May 2008, https://www.nato.int/en/news-and-events/articles/news/2008/05/14/nato-opens-new-centre-of-excellence-on-cyber-defence;  “About Us,” CCDCOE, https://ccdcoe.org/about-us/.

[9] “Tasks and Structure of the Authority,” Information System Authority (RIA), https://www.ria.ee/en/authority-news-and-contact/authority-and-management/tasks-and-structure-authority; “Information System Authority (RIA),” CyberSecurityIntelligence, https://www.cybersecurityintelligence.com/information-system-authority-ria-estonia-5309.html.

[10] Network and Information Security Directive 2 – là quy định pháp lý nâng cấp của Liên minh Châu Âu về an ninh mạng.

[11] “Estonian Defence League’s Cyber Unit,” Wikipedia, https://en.wikipedia.org/wiki/Estonian_Defence_League%27s_Cyber_Unit; “The Cyber Defence Unit of the Estonian Defence League,” CCDCOE, https://ccdcoe.org/library/publications/the-cyber-defence-unit-of-the-estonian-defence-league-legal-policy-and-organisational-analysis/.

[12] “NCSI :: Estonia,” National Cyber Security Index, e-Governance Academy, https://ncsi.ega.ee/country/ee/.

[13] “Cyber Security Agency,” Wikipedia, https://en.wikipedia.org/wiki/Cyber_Security_Agency; “gov.sg | CSA,” Singapore Government Directory, https://www.sgdi.gov.sg/ministries/mddi/departments/csa.

[14] “Cybersecurity Act,” Cyber Security Agency of Singapore, https://www.csa.gov.sg/legislation/cybersecurity-act/; “What Is the Cybersecurity Act in Singapore and How It Protects Your Organisation?,” Equinet Academy, https://www.equinetacademy.com/blog/what-is-the-cybersecurity-act-in-singapore-and-how-it-protects-your-organisation/.

[15] “2018 SingHealth Data Breach,” Wikipedia, https://en.wikipedia.org/wiki/2018_SingHealth_data_breach.

[16] “Public Report of the Committee of Inquiry into the Cyber Attack on SingHealth,” Singapore Government, https://file.go.gov.sg/singhealthcoi.pdf; “Key Lessons from the Public Report of the Committee of Inquiry,” PwC Singapore, https://www.pwc.com/sg/en/risk-assurance/assets/coi-on-singhealth-cyber-attack-201901.pdf.

[17] “Government’s Response to the Report of the COI into the Cyber Attack on SingHealth,” Ministry of Digital Development and Information, https://www.mddi.gov.sg/newsroom/statement-by-minister-on-govt-response-to-report-of-coi-during-parl-sitting/.

[18] “Provisions in Singapore’s Cybersecurity (Amendment) Act Came into Force on 31 October 2025,” HLC, https://www.hlc.com/en/publications/provisions-in-singapores-cybersecurity-amendment-act-came-into-force-on-31-october-2025; “Amendments to Cybersecurity Act 2018 to Update Provisions Related to Critical Information Infrastructure and Systems of Temporary Cybersecurity Concern,” Allen & Gledhill, https://www.allenandgledhill.com/sg/perspectives/articles/31414/sgkh-amendments-to-cybersecurity-act-2018-to-update-provisions-related-to-critical-information-infrastructure-and-systems-of-temporary-cybersecurity-concern-in-force-on-31-october-2025.

[19] “SG Cyber Safe Programme,” Cyber Security Agency of Singapore, https://www.csa.gov.sg/our-programmes/support-for-enterprises/sg-cyber-safe-programme/; “CSA Establishes CyberSG R&D Programme Office with Four Year Funding of S$62 Million,” Cyber Security Agency of Singapore, https://www.csa.gov.sg/news-events/press-releases/csa-establishes-cybersg-r-d-programme-office-with-four-year-funding-of-62-million-to-drive-research-and-development-to-build-up-cybersecurity-capabilities-in-singapore/.

[20] “The Singapore Cybersecurity Strategy 2021,” Cyber Security Agency of Singapore, https://www.csa.gov.sg/resources/publications/the-singapore-cybersecurity-strategy-2021/; “Top Countries in Cybersecurity: The Global Leaders Setting the Standard,” SecureWorld, https://www.secureworld.io/industry-news/top-countries-in-cybersecurity-global-leaders.

[21] “Supply Chain Attack Statistics for 2026: Third-Party Breaches, Open Source Malware, and the New Cost of Trust,” Swif, https://www.swif.ai/blog/supply-chain-attack-statistics.

[22] “CISA’s AI SBOM Guidance Pushes Software Supply-Chain Oversight into New Territory,” CSO Online, https://www.csoonline.com/article/4170694/cisas-ai-sbom-guidance-pushes-software-supply-chain-oversight-into-new-territory.html.

[23] “Cyber Insurance Statistics 2026: Market Size, Claims & Premium Trends,” CNIC Solutions, https://cnicsolutions.com/statistics/cybersecurity/cyber-insurance-statistics-2026/.

[24] “Vietnam’s New Cybersecurity Law 2018,” Vietnam Business Law, sđd.

[25] KPMG, “New decree guides cybersecurity law”, https://theinvestor.vn/new-decree-guides-cybersecurity-law-d2009.html;  “Vietnam: Cybersecurity Data Localization Requirements,” International Trade Administration, https://www.trade.gov/market-intelligence/vietnam-cybersecurity-data-localization-requirements.

[26] “NAPAS and A05 Department (Ministry of Public Security) Sign Strategic Cooperation Agreement on Cybersecurity and High-Tech Crime Prevention,” NAPAS, 14 October 2025, https://en.napas.com.vn/napas-and-a05-department-ministry-of-public-security-sign-strategic-cooperation-agreement-on-cybersecurity-and-high-tech-crime-prevention-184251014105843708.htm.

[27] “Vietnam’s Law on Cybersecurity 2025: Key Developments and Business Implications,” Mori Hamada & Matsumoto, https://www.morihamada.com/en/insights/newsletters/131976.

[28] “Gov’t Issues National Strategy to Combat New Cyber Security Challenges,” Bao Chinh Phu, 11 August 2022, https://en.baochinhphu.vn/govt-issues-national-strategy-to-combat-new-cyber-security-challenges-111220811103436282.htm.

[29] “Vietnam Ranked in Leading Group of Cybersecurity Countries,” Ministry of Science and Technology, 20 September 2024, https://english.mst.gov.vn/vietnam-ranked-in-leading-group-of-cybersecurity-countries-197240920162154314.htm; “VN Receives Another 8-Grade Promotion in Global Cybersecurity Index,” Ministry of Science and Technology, https://english.mst.gov.vn/vn-receives-another-8-grade-promotion-in-global-cybersecurity-index-197240930135540687.htm.

[30] “Launching the National Cyber Security Operating System: Digital Shield to Protect the Country,” Vietnam.vn, https://www.vietnam.vn/en/ra-mat-he-thong-dieu-hanh-an-ninh-mang-quoc-gia-la-chan-so-bao-ve-dat-nuoc.

[31] “VNDirect Cyberattack: Phased Recovery Plan Unveiled,” The Cyber Express, https://thecyberexpress.com/vndirect-cyberattack-phased-recovery-plan/; “Vietnam’s Struggle with Cyber Security,” East Asia Forum, 20 March 2024, https://eastasiaforum.org/2024/03/20/vietnams-struggle-with-cyber-security/.

[32] “PVOIL Enhances Effort to Handle Ransomware Attack at the Earliest,” Vietnam News, https://vietnamnews.vn/economy/1653202/pvoil-enhances-effort-to-handle-ransomware-attract-at-the-earliest.html.

[33] “Ransomware Attack Partially Interrupts Vietnam Post Operations,” VOV, https://english.vov.vn/en/society/ransomware-attack-partially-interrupts-vietnam-post-operations-post1099425.vov.

[34] “Vietnam Suffers 80 Ransomware Attacks Targeting Businesses Every Day,” Vietnam.vn, https://www.vietnam.vn/en/viet-nam-hung-chiu-80-vu-tan-cong-ma-doc-tong-tien-doanh-nghiep-moi-ngay.

[35] “Vietnam Issues Cybersecurity Directive Amid Attacks,” Law.asia, https://law.asia/vietnam-cybersecurity-directive-strengthening-defenses/.

[36] “Law on Cybersecurity 2025, No. 116/2025/QH15,” LuatVietnam, sđd.; “Draft of Vietnam’s Consolidated 2025 Cybersecurity Law Released,” Tilleke & Gibbins, sđd.

[37] “Vietnam’s Law on Cybersecurity 2025: Key Developments and Business Implications,” Mori Hamada & Matsumoto, sđd; “Law on Cybersecurity Comes into Operation on 1 July 2026,” Rajah & Tann Asia, https://www.rajahtannasia.com/viewpoints/law-on-cybersecurity-comes-into-operation-on-1-july-2026-establishing-a-unified-legal-framework-on-cybersecurity-and-network-information-security-in-vietnam/.

[38] “Vietnam Centralizes Cyber Security Forces Under Public Security and Defense,” VietNamNet, https://vietnamnet.vn/en/vietnam-centralizes-cyber-security-forces-under-public-security-and-defense-2502027.html.

[39] “Vietnam’s Law on Cybersecurity 2025: What’s New and What Businesses Need to Know,” Frasers Law Company, https://www.frasersvn.com/legal-updates-and-publications/vietnam-s-law-on-cybersecurity-2025-what-s-new-and-what-businesses-need-to-know.

[40] “VIETNAM – LAW ON CYBERSECURITY 2026 – WHAT YOU MUST KNOW,” Duane Morris, https://blogs.duanemorris.com/vietnam/2026/01/08/vietnam-law-on-cybersecurity-2026-what-you-must-know/.

[41] “How Vietnam’s New Data Localization Regulation Impacts Foreign Firms,” Vietnam Briefing, https://www.vietnam-briefing.com/news/how-are-foreign-investors-responding-to-vietnams-new-data-localization-regulation.html/; “Vietnam’s Law on Cybersecurity: Bad on Cybersecurity, Bad for Vietnam,” U.S. Chamber of Commerce, https://www.uschamber.com/series/above-the-fold/vietnam-s-law-cybersecurity-bad-cybersecurity-bad-vietnam.

[42] “Vietnam’s Law on Cybersecurity 2025: Key Developments and Business Implications,” Mori Hamada & Matsumoto, sđd.;  “Vietnam’s New Cyber Law Could Hobble Foreign Investors and Limit Basic Freedoms,” CSIS, https://www.csis.org/analysis/vietnams-new-cyber-law-could-hobble-foreign-investors-and-limit-basic-freedoms.

Có thể bạn quan tâm:

  1. Đặt cược vào thất bại: Các quỹ đầu tư mạo hiểm quốc gia và khía cạnh chính trị của vốn rủi ro
  2. Nợ cho kẻ mộng mơ: Vốn vay chính sách và giới hạn của việc cho startup vay vốn
  3. Cơ chế miễn trừ trách nhiệm đối với các quyết định đầu tư khoa học và công nghệ rủi ro cao
  4. Đánh thuế tham vọng: Ưu đãi thuế R&D và kiến trúc tài khóa của đổi mới sáng tạo
  5. Nhà nước với vai trò khách hàng: Mua sắm công và bài toán “khách hàng đầu tiên”
  6. Cải cách thị trường vốn và cơ chế thoái vốn mà Việt Nam còn thiếu
  7. Tháp ngà, lồng sắt: Tự chủ đại học – điều kiện tiên quyết ít được nhắc đến
  8. Ai sở hữu ý tưởng? Chuyển giao công nghệ và khoảng cách thương mại hóa