Khi các doanh nghiệp nói về sự cố an ninh, điều đầu tiên họ nghĩ đến là tiền phạt. Các chế tài của Quy định chung về bảo vệ dữ liệu (GDPR) chiếm các tiêu đề báo chí, và chúng là có thật. Tuy nhiên, trong bài toán chi phí của một sự cố ở doanh nghiệp vừa và nhỏ, chúng thường không phải khoản lớn nhất – nhiều khi còn không phải khoản lớn thứ hai.
Những khoản đắt đỏ nằm ở chỗ khác: ở việc điều tra làm rõ, ở việc phục hồi, ở việc hoạt động bị đình trệ và ở những khách hàng không quay lại. Bài viết này sắp xếp các loại chi phí và nêu con số ở những chỗ có nguồn đáng tin cậy. Ở đâu không có nguồn, chúng tôi nói rõ điều đó – bởi những khoản euro ước đoán tùy ý chẳng giúp được ai khi ra quyết định đầu tư.
„Phần lớn doanh nghiệp không đánh giá thấp tiền phạt. Họ đánh giá thấp những tuần lễ mà không có gì hoạt động, và những khách hàng sau đó không còn hỏi đến nữa.“ – Thomas Werner, CCO Eucerta AG và Lead Auditor
Những gì đã được chứng minh: Chi phí đang tăng, và mục tiêu bị nhắm tới đã nhỏ hơn
Báo cáo IBM Cost of a Data Breach Report 2026 nêu chi phí trung bình toàn cầu của các vụ rò rỉ dữ liệu là 4,99 triệu đô la Mỹ – cao hơn năm trước mười hai phần trăm và là mức cao nhất từ trước đến nay. Báo cáo lý giải mức tăng này một phần bằng chi phí cao hơn cho việc phát hiện, leo thang xử lý và gián đoạn hoạt động. Ngoài ra, báo cáo chỉ ra mức tăng 56 phần trăm của các cuộc tấn công có hỗ trợ của AI.
Có hai giới hạn cần nói kèm. Thứ nhất, mức trung bình này bị chi phối bởi các tổ chức lớn và không thể áp dụng cho một doanh nghiệp có 25 nhân viên. Thứ hai, nó mô tả các vụ rò rỉ dữ liệu, không phải mọi trường hợp ngừng hoạt động. Dù vậy, với câu hỏi rủi ro đang diễn biến theo hướng nào, đây vẫn là tham chiếu đáng tin cậy nhất hiện có.
Ai thực sự bị nhắm tới được cho thấy trong Báo cáo của BSI về tình hình an toàn CNTT tại Đức 2025. Đối với kỳ báo cáo từ ngày 1 tháng 7 năm 2024 đến ngày 30 tháng 6 năm 2025, BSI mô tả một sự dịch chuyển từ các cuộc tấn công lớn, tốn nhiều công sức sang nhiều cuộc tấn công nhỏ, dễ thực hiện: Khoảng 80 phần trăm các cuộc tấn công được trình báo, chẳng hạn bằng ransomware, nhằm vào các doanh nghiệp nhỏ và vừa, những nơi thường thiếu nguồn lực và kiến thức để tự bảo vệ mình. Ngoài ra, trong kỳ báo cáo, trung bình mỗi ngày có 119 điểm yếu mới được công bố, cao hơn khoảng 24 phần trăm so với kỳ trước đó.
Thông điệp từ cả hai nguồn cộng lại: Kẻ tấn công ưu tiên tìm những mục tiêu được bảo vệ kém, và chi phí cho mỗi sự cố đang tăng lên.
Bốn loại chi phí thực sự phát sinh
Thay vì một tổng số tiền mà không ai có thể xác định một cách đáng tin cậy cho một doanh nghiệp vừa và nhỏ cụ thể, đáng để nhìn vào cấu trúc. Gần như bao giờ cũng hình thành bốn khối chi phí.
Điều tra làm rõ và phục hồi
Ngay khi một sự cố bị phát hiện, công việc bắt đầu: cô lập hệ thống, tìm nguyên nhân, xác định phạm vi, nhận diện dữ liệu bị ảnh hưởng. Ở phần lớn doanh nghiệp vừa và nhỏ, công việc này cần đến hỗ trợ bên ngoài, vì nội bộ thiếu kiến thức chuyên môn. Sau đó là việc phục hồi – thiết lập lại hệ thống, nạp lại dữ liệu, cấp lại quyền truy cập, bịt các lỗ hổng.
Yếu tố quyết định chi phí ở đây là sự chuẩn bị. Ai có các bản sao lưu mới và đã được kiểm thử, và biết hệ thống nào phải hoạt động lại theo thứ tự nào, thì rút ngắn giai đoạn này đáng kể. Ai chỉ làm rõ cả hai điều đó khi sự cố đã xảy ra thì phải trả tiền cho những giờ đi tìm kiếm thay vì cho việc phục hồi.
Ngừng hoạt động
Đây là khối thường bị đánh giá thấp. Khi mạng bị mã hóa, không chỉ bộ phận CNTT đứng yên, mà là cả hoạt động kinh doanh: không có đơn hàng, không có giao hàng, không có thanh toán. Khoản này mỗi doanh nghiệp có thể tự tính nhẩm, và còn chính xác hơn bất kỳ nghiên cứu nào: Hãy lấy doanh thu bình quân mỗi ngày của bạn và nhân với số ngày mà bạn còn có thể làm việc được khi không có các hệ thống cốt lõi. Kết quả chính là con số rủi ro của riêng bạn – và thường thuyết phục hơn mọi giá trị trung bình quốc tế.
Nghĩa vụ thông báo và hậu quả pháp lý
Theo Quy định chung về bảo vệ dữ liệu (GDPR), khi xảy ra vi phạm việc bảo vệ dữ liệu cá nhân, doanh nghiệp phải thông báo cho cơ quan giám sát trong vòng 72 giờ, và trong một số điều kiện nhất định còn phải thông báo cho những người bị ảnh hưởng. Đồng thời, quy định này yêu cầu các biện pháp kỹ thuật và tổ chức phù hợp, tương xứng với rủi ro. Từ đó phát sinh chi phí cho tư vấn pháp lý, truyền thông và trả lời các câu hỏi – bất kể cuối cùng có bị áp tiền phạt hay không.
Khi xác định mức tiền phạt, một trong những yếu tố liên quan là doanh nghiệp đã áp dụng những biện pháp kỹ thuật và tổ chức nào. Chính ở điểm này, một hệ thống quản lý được lập thành văn bản mang lại lợi ích gấp đôi: Nó giảm xác suất xảy ra sự cố và trong trường hợp xấu nhất, nó chứng minh sự cẩn trọng đã được thực hiện.
Mất niềm tin
Đây là khối khó định lượng nhất và có tác động lâu dài nhất. Những khách hàng biết về sự cố sẽ đặt câu hỏi, sau đó gia hạn hoặc chuyển sang nơi khác. Với khách hàng doanh nghiệp, còn thêm việc sự cố sẽ được ghi vào đánh giá nhà cung cấp của họ.
`[KIỂM TRA: Ở đây một phát biểu có nguồn sẽ mạnh hơn. Đề xuất: hoặc bổ sung một nguồn về việc khách hàng rời đi sau các sự cố an ninh, hoặc – nếu có – một quan sát đã được ẩn danh từ các cuộc đánh giá của Eucerta. Không có dẫn chứng, đoạn này vẫn mang tính định tính như hiện tại.]`
ISO 27001 thay đổi gì trong bài toán chi phí này
ISO 27001 phát huy tác dụng ở hai chỗ, và sẽ là trung thực nếu tách riêng cả hai.
Phòng ngừa: Một hệ thống quản lý an toàn thông tin buộc doanh nghiệp thực hiện những bước thường bị bỏ lại trong công việc hằng ngày. Bạn xác định thông tin và hệ thống nào thực sự cần được bảo vệ, đánh giá rủi ro một cách có thể kiểm chứng và quyết định về các biện pháp một cách có căn cứ. 93 biện pháp của Phụ lục A được xử lý từng biện pháp một – mỗi biện pháp kèm một quyết định có lý giải, kể cả quyết định không áp dụng một biện pháp. Quản lý quyền truy cập, cập nhật, đào tạo và cách làm việc với nhà cung cấp dịch vụ trong đó không phải là những khuyến nghị, mà là các thành phần của hệ thống. Điều đó trùng với những gì BSI nêu là đòn bẩy quyết định: quản lý nhất quán các bề mặt tấn công của chính mình.
Hạn chế thiệt hại: Khi sự cố xảy ra, chính sự chuẩn bị quyết định chi phí. Một ISMS yêu cầu các quy trình đã được quy định cho sự cố an ninh, người chịu trách nhiệm được chỉ định, việc phục hồi đã được kiểm thử và các kênh truyền thông được lập thành văn bản. Thay vì ứng biến trong những giờ đầu tiên, có một trình tự rõ ràng. Điều đó rút ngắn thời gian ngừng hoạt động và do đó rút ngắn khối chi phí đắt nhất của bài toán.
Những gì ISO 27001 không làm được cũng cần được nói đến: Nó không phải là bảo đảm chống lại các cuộc tấn công, và một chứng nhận chỉ tồn tại trên giấy thì không bảo vệ được ai. Vì thế, điều được đánh giá không phải là tập tài liệu, mà là tính hiệu lực – xem thêm trên trang của chúng tôi về ISO 27001.
Phía đầu tư trông như thế nào
Bài toán đối ứng tại Eucerta là minh bạch: 179 euro mỗi tháng cho tiêu chuẩn đầu tiên, 149 euro cho mỗi tiêu chuẩn tiếp theo, thời hạn 36 tháng, giá cố định cho doanh nghiệp đến 30 nhân viên. Việc đánh giá và đăng ký đã được bao gồm, chứng nhận có hiệu lực ba năm kể từ ngày đánh giá, và giữa các kỳ đánh giá, hệ thống luôn được cập nhật trong nền tảng. Bạn có thể tính lại điều đó trong công cụ tính chi phí.
Việc kết hợp với ISO 9001 thường là hợp lý, vì cả hai tiêu chuẩn dùng chung một cấu trúc cơ bản và bối cảnh, lãnh đạo, đánh giá nội bộ cũng như xem xét của lãnh đạo chỉ phải làm một lần – nguyên tắc này được trình bày trên trang của chúng tôi về hệ thống quản lý tích hợp. Ai đã vận hành ISMS của mình và chỉ cần bằng chứng thì có thể tìm thấy các điều kiện tại Chứng nhận nhanh.
Kết luận
Câu trả lời trung thực cho câu hỏi ở tiêu đề là: Nó phụ thuộc vào doanh thu mỗi ngày của bạn, vào các bản sao lưu của bạn và vào sự chuẩn bị của bạn – và chính vì vậy bạn có thể tự lập bài toán này, tốt hơn bất kỳ nghiên cứu nào làm thay bạn.
Những gì đã được chứng minh: Chi phí cho mỗi sự cố đang tăng, và khoảng 80 phần trăm các cuộc tấn công được trình báo nhằm vào các doanh nghiệp nhỏ và vừa. Điều rút ra từ đó không phải là sự hoảng loạn, mà là một thứ tự ưu tiên. Một hệ thống quản lý an toàn thông tin là câu trả lời có cấu trúc cho cả hai phát hiện này – và chi phí của nó có thể lên kế hoạch được, trong khi một sự cố thì không bao giờ như vậy.
Bước tiếp theo của bạn: Hãy tính con số của riêng bạn – doanh thu mỗi ngày nhân với số ngày ngừng hoạt động – và đặt nó bên cạnh giá chứng nhận của bạn trong công cụ tính chi phí.
Đọc thêm:
