Nhiều doanh nghiệp công nghệ hiện nay cung cấp các giải pháp như rà quét lỗ hổng, kiểm tra bảo mật, giám sát hệ thống, phòng chống tấn công mạng, ứng cứu sự cố, khôi phục dữ liệu hoặc tư vấn xây dựng hệ thống an ninh mạng. Trong thực tế, không ít doanh nghiệp cho rằng chỉ cần đăng ký ngành nghề về công nghệ thông tin, phần mềm hoặc tư vấn công nghệ là có thể triển khai các hoạt động này.
Tuy nhiên, đối với những sản phẩm, dịch vụ được pháp luật xác định là sản phẩm, dịch vụ an ninh mạng, việc đăng ký ngành nghề kinh doanh chưa phải là điều kiện cuối cùng. Theo Nghị định số 332/2026/NĐ-CP ngày 19/8/2026 của Chính phủ, tổ chức, doanh nghiệp khi kinh doanh sản phẩm, dịch vụ an ninh mạng thuộc Điều 3 và Điều 4 của Nghị định phải có Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng. Giấy phép có thời hạn 10 năm. Vì vậy, trước khi hỏi “hồ sơ xin giấy phép gồm những gì”, SUNTRUST thường khuyến nghị doanh nghiệp xác định trước ba vấn đề: Hoạt động của doanh nghiệp có thuộc sản phẩm, dịch vụ an ninh mạng hay không? Doanh nghiệp dự kiến kinh doanh loại nào? Và với loại hình đó, doanh nghiệp đã đáp ứng đủ điều kiện về nhân sự, kỹ thuật, cơ sở vật chất hay chưa?
Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng là gì?
Có thể hiểu một cách đơn giản, Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng là giấy phép chuyên ngành cho phép doanh nghiệp kinh doanh những sản phẩm, dịch vụ an ninh mạng thuộc phạm vi pháp luật quản lý.
Vì sao pháp luật yêu cầu phải có giấy phép?
Lý do nằm ở tính chất đặc thù của chính các sản phẩm, dịch vụ này. Một phần mềm thông thường chỉ phục vụ quản trị, kế toán hay vận hành nội bộ sẽ khác với một phần mềm có khả năng rà quét toàn bộ hệ thống, phát hiện lỗ hổng, theo dõi lưu lượng mạng, ngăn chặn truy cập hoặc thu thập và phân tích nhật ký hệ thống. Tương tự, một doanh nghiệp tư vấn công nghệ thông thường sẽ khác với doanh nghiệp được khách hàng cho phép tiếp cận hệ thống để kiểm tra lỗ hổng, thực hiện đánh giá an ninh mạng, giám sát sự kiện theo thời gian thực hoặc xử lý sự cố tấn công mạng. Chính vì những hoạt động này liên quan trực tiếp đến hệ thống thông tin, dữ liệu, khả năng truy cập và kiểm soát hệ thống, pháp luật yêu cầu chủ thể cung cấp phải đáp ứng những điều kiện nhất định trước khi được kinh doanh.
Bên cạnh đó, doanh nghiệp cũng lưu ý, theo quy định tại Điều 35 Nghị định 330/2026/NĐ-CP, doanh nghiệp kinh doanh sản phẩm, dịch vụ an ninh mạng nhưng không có giấy phép có thể bị phạt tiền từ 75.000.000 đồng đến 100.000.000 đồng.
Những sản phẩm nào được coi là sản phẩm an ninh mạng?
Không phải cứ sản phẩm có chữ “security”, “cyber”, “bảo mật” trong tên gọi thì mặc nhiên thuộc diện cấp phép. Ngược lại, một sản phẩm có tên gọi hoàn toàn khác nhưng nếu tính năng thực tế đáp ứng mô tả tại Điều 3 Nghị định 332/2026/NĐ-CP thì vẫn có thể được xác định là sản phẩm an ninh mạng.
Sản phẩm kiểm tra, đánh giá an ninh mạng
Đây là các thiết bị phần cứng hoặc phần mềm được thiết kế để thực hiện việc rà quét, kiểm tra và phân tích hệ thống. Các chức năng có thể bao gồm kiểm tra cấu hình của hệ thống thông tin hoặc thiết bị điện tử; phân tích hiện trạng hệ thống; phân tích dữ liệu nhật ký; phát hiện lỗ hổng, điểm yếu và trên cơ sở đó đưa ra đánh giá về rủi ro an ninh mạng.
Khách hàng có thể hình dung đây là nhóm sản phẩm được sử dụng để trả lời các câu hỏi như: hệ thống đang có lỗ hổng nào, cấu hình bảo mật có điểm yếu hay không, máy chủ hoặc thiết bị có tồn tại nguy cơ bị khai thác hay không. Điểm quan trọng là chức năng “kiểm tra, đánh giá” phải được xem xét theo bản chất kỹ thuật của sản phẩm chứ không phải chỉ căn cứ vào tên sản phẩm.
Sản phẩm giám sát an ninh mạng
Nhóm này bao gồm các thiết bị phần cứng hoặc phần mềm có chức năng giám sát, thu thập và phân tích các dữ liệu liên quan đến hoạt động của hệ thống hoặc mạng. Theo Nghị định 332/2026/NĐ-CP, sản phẩm có thể thực hiện việc giám sát, phân tích dữ liệu, địa chỉ mạng và lưu lượng mạng; thu thập, phân tích dữ liệu nhật ký theo thời gian thực; phát hiện và cảnh báo các sự kiện bất thường có nguy cơ gây mất an ninh mạng. Trong thực tế, nếu doanh nghiệp phát triển hoặc phân phối một giải pháp có khả năng thu thập log từ nhiều hệ thống, phân tích các sự kiện diễn ra liên tục và đưa ra cảnh báo khi phát hiện hành vi bất thường thì cần đặc biệt rà soát nhóm sản phẩm này.
Sản phẩm chống tấn công, xâm nhập
Đây là các thiết bị phần cứng hoặc phần mềm có tính năng hoặc được thiết kế để tích hợp tính năng ngăn chặn tấn công, xâm nhập vào hệ thống thông tin. Khác với sản phẩm kiểm tra hoặc giám sát chủ yếu phát hiện và đánh giá nguy cơ, nhóm sản phẩm này có chức năng trực tiếp hơn là ngăn chặn hành vi tấn công hoặc xâm nhập. Khi tư vấn cho doanh nghiệp, cần xem xét cụ thể cơ chế vận hành của sản phẩm: sản phẩm chỉ ghi nhận và cảnh báo sự kiện hay có khả năng chủ động chặn kết nối, chặn yêu cầu bất thường, khóa truy cập hoặc thực hiện biện pháp kỹ thuật khác để chống xâm nhập.
Sản phẩm bí mật thu thập thông tin
Đây là các thiết bị phần cứng hoặc phần mềm có tính năng bí mật thu thập thông tin trên không gian mạng hoặc trong các phương tiện, thiết bị điện tử. Do tính chất nhạy cảm của sản phẩm, đây không phải nhóm mà doanh nghiệp thông thường có thể tiếp cận giống như sản phẩm bảo mật phổ biến trên thị trường. Nghị định 332/2026/NĐ-CP còn đặt ra những giới hạn riêng đối với việc sản xuất, mua bán, trao đổi, xuất khẩu và nhập khẩu các sản phẩm đặc thù thuộc nhóm này.
Sản phẩm chế áp thông tin mạng
Sản phẩm chế áp thông tin mạng là thiết bị phần cứng hoặc phần mềm chuyên dụng có chức năng ngăn chặn, chèn, gây nhiễu hoặc phá đường truyền Internet không dây tại khu vực, mục tiêu cần bảo vệ. Đây cũng là nhóm sản phẩm chuyên dụng, có khả năng tác động trực tiếp tới việc truyền, nhận thông tin trên mạng nên điều kiện kinh doanh chặt chẽ hơn sản phẩm an ninh mạng thông thường.
Sản phẩm pháp y số, điều tra số
Đây là thiết bị hoặc phần mềm chuyên dụng phục vụ việc thu thập, trích xuất, phục hồi và phân tích dữ liệu điện tử, đồng thời có thể được sử dụng trong hoạt động giám định kỹ thuật số từ nguồn dữ liệu điện tử. Có thể hình dung nhóm này thường liên quan đến việc phân tích thiết bị hoặc dữ liệu sau sự cố, trích xuất thông tin từ nguồn dữ liệu điện tử hoặc phục hồi dữ liệu để phục vụ quá trình điều tra, phân tích.
Sản phẩm chế áp hệ thống mạng
Nhóm này bao gồm thiết bị phần cứng hoặc phần mềm chuyên dụng được sử dụng để chế áp hoặc làm thay đổi hoạt động của mạng viễn thông, mạng Internet, mạng máy tính, hệ thống thông tin, hệ thống xử lý và điều khiển thông tin, cơ sở dữ liệu hoặc phương tiện điện tử. Do mức độ tác động trực tiếp tới hệ thống, đây tiếp tục là một nhóm sản phẩm chịu sự quản lý đặc biệt.
Sản phẩm che giấu địa chỉ IP
Theo Nghị định 332/2026/NĐ-CP, đây là sản phẩm thực hiện việc kết nối mạng giữa thiết bị và không gian mạng thông qua máy chủ từ xa nhằm che giấu địa chỉ IP thật của thiết bị. Điểm doanh nghiệp cần chú ý là pháp luật mô tả sản phẩm thông qua cơ chế kỹ thuật và mục đích che giấu địa chỉ IP, chứ không căn cứ vào tên thương mại mà nhà cung cấp đặt cho sản phẩm.
Những dịch vụ nào được coi là dịch vụ an ninh mạng?
Đối với doanh nghiệp công nghệ, việc xác định dịch vụ thường khó hơn xác định sản phẩm. Một doanh nghiệp có thể gọi dịch vụ của mình là “IT Consulting”, “Security Assessment”, “SOC”, “Pentest”, “Managed Security Service” hoặc nhiều tên thương mại khác. Tuy nhiên, cơ quan quản lý không chỉ nhìn vào tên dịch vụ mà quan trọng hơn là doanh nghiệp thực tế thực hiện công việc gì cho khách hàng.
Dịch vụ kiểm tra, đánh giá an ninh mạng
Dịch vụ này bao gồm hoạt động rà quét, kiểm tra, phân tích cấu hình, hiện trạng và dữ liệu nhật ký của hệ thống thông tin; phát hiện lỗ hổng, điểm yếu và đưa ra đánh giá rủi ro mất an ninh mạng.
Ví dụ, khách hàng thuê doanh nghiệp kiểm tra một website, máy chủ hoặc hệ thống nội bộ để xác định các điểm yếu có thể bị khai thác. Sau quá trình kiểm tra, doanh nghiệp lập báo cáo về lỗ hổng và mức độ rủi ro. Trường hợp này cần được xem xét rất kỹ với nhóm dịch vụ kiểm tra, đánh giá an ninh mạng.
Dịch vụ bảo mật thông tin không sử dụng mật mã dân sự
Đây là dịch vụ hỗ trợ người sử dụng bảo đảm tính bí mật của thông tin và hệ thống thông tin nhưng không sử dụng sản phẩm mật mã dân sự.
Điểm cần lưu ý ở đây là Nghị định 332/2026/NĐ-CP không điều chỉnh hoạt động kinh doanh sản phẩm, dịch vụ mật mã dân sự. Vì vậy, khi doanh nghiệp cung cấp giải pháp bảo mật có yếu tố mã hóa hoặc mật mã, cần rà soát thêm để xác định chính xác cơ chế pháp lý áp dụng.
Dịch vụ tư vấn an ninh mạng
Đây là một nhóm dịch vụ tương đối rộng. Theo Nghị định 332/2026/NĐ-CP, dịch vụ tư vấn an ninh mạng là hoạt động hỗ trợ tư vấn, kiểm tra, đánh giá, triển khai, thiết kế và xây dựng các giải pháp bảo đảm an ninh mạng. Do đó, doanh nghiệp không nhất thiết phải trực tiếp vận hành hệ thống an ninh mạng cho khách hàng mới thuộc nhóm này. Nếu doanh nghiệp được thuê để đánh giá hiện trạng, xây dựng mô hình bảo vệ, thiết kế kiến trúc an ninh, đề xuất giải pháp hoặc hỗ trợ triển khai hệ thống bảo đảm an ninh mạng thì cũng cần xem xét nghĩa vụ xin phép.
Dịch vụ giám sát an ninh mạng
Dịch vụ giám sát an ninh mạng bao gồm việc giám sát, phân tích lưu lượng dữ liệu truyền trên hệ thống thông tin; thu thập, phân tích dữ liệu nhật ký theo thời gian thực; phát hiện và đưa ra cảnh báo về sự kiện bất thường có nguy cơ gây mất an ninh mạng. Đây là nhóm dịch vụ thường được doanh nghiệp đặc biệt quan tâm khi triển khai mô hình trung tâm giám sát an ninh mạng. Nếu doanh nghiệp nhận dữ liệu log từ hệ thống của khách hàng, duy trì việc theo dõi liên tục và có đội ngũ hoặc hệ thống phân tích, cảnh báo sự kiện bất thường thì hoạt động đó cần được đối chiếu trực tiếp với dịch vụ giám sát an ninh mạng.
Dịch vụ ứng cứu sự cố an ninh mạng
Dịch vụ này là hoạt động xử lý và khắc phục kịp thời sự cố gây mất an ninh mạng đối với hệ thống thông tin. Có thể hiểu đây là trường hợp khi hệ thống đã hoặc đang xảy ra sự cố, doanh nghiệp được thuê để xác định nguyên nhân, khoanh vùng ảnh hưởng, xử lý sự cố và đưa hệ thống trở lại trạng thái hoạt động an toàn.
Dịch vụ khôi phục dữ liệu
Đây là dịch vụ phục hồi dữ liệu trong thiết bị điện tử hoặc hệ thống thông tin đã bị xóa hoặc hư hỏng. Doanh nghiệp cần chú ý rằng quy định tập trung vào bản chất của hoạt động phục hồi dữ liệu. Vì vậy, nếu doanh nghiệp cung cấp dịch vụ phục hồi dữ liệu từ máy tính, máy chủ hoặc hệ thống thông tin bị hỏng, bị xóa hoặc gặp sự cố thì nên rà soát phạm vi điều chỉnh của Nghị định.
Dịch vụ phòng ngừa, chống tấn công mạng
Dịch vụ này nhằm ngăn chặn các hành vi tấn công, xâm nhập vào hệ thống thông tin thông qua việc giám sát, thu thập và phân tích các sự kiện đang xảy ra trên hệ thống thông tin. So với dịch vụ ứng cứu sự cố, hoạt động này thiên về việc phát hiện và ngăn chặn tấn công trước hoặc trong khi hành vi tấn công đang diễn ra, thay vì chỉ xử lý hậu quả sau khi sự cố đã xảy ra.
Dịch vụ cung cấp nền tảng kết nối bảo vệ an ninh mạng
Đây là dịch vụ cung cấp nền tảng nhằm kết nối chuyên gia và cộng đồng trên không gian mạng tham gia nhiệm vụ bảo vệ an ninh mạng, an ninh dữ liệu. Do đó, doanh nghiệp xây dựng nền tảng kết nối tổ chức có nhu cầu bảo mật với cộng đồng chuyên gia an ninh mạng cũng cần xem xét nhóm dịch vụ này.
Dịch vụ huấn luyện, diễn tập bảo vệ an ninh mạng
Nghị định 332/2026/NĐ-CP xác định dịch vụ huấn luyện, diễn tập bảo vệ an ninh mạng là một loại dịch vụ an ninh mạng khác thuộc phạm vi quản lý. Điều này đáng lưu ý đối với các doanh nghiệp tổ chức chương trình mô phỏng tấn công, diễn tập ứng cứu sự cố hoặc các hoạt động huấn luyện thực hành nhằm nâng cao khả năng bảo vệ hệ thống.
Dịch vụ che giấu địa chỉ IP trên không gian mạng
Dịch vụ này cung cấp kết nối mạng giữa thiết bị và không gian mạng thông qua máy chủ từ xa nhằm che giấu địa chỉ IP thật của thiết bị trên không gian mạng. Do đó, nếu mô hình kinh doanh có chức năng trung gian kết nối để che địa chỉ IP thật, doanh nghiệp cần rà soát trực tiếp quy định này thay vì chỉ dựa vào tên gọi kỹ thuật của dịch vụ.
Dịch vụ săn tìm và báo cáo lỗ hổng bảo mật
Đây là dịch vụ cung cấp nền tảng để tiếp nhận báo cáo phát hiện lỗ hổng bảo mật trong hệ thống thông tin của cơ quan, tổ chức, cá nhân từ chuyên gia bảo mật hoặc cộng đồng an ninh mạng. Nhóm này có thể đặc biệt liên quan đến các mô hình nền tảng tiếp nhận, quản lý và xử lý báo cáo lỗ hổng bảo mật.
Điều kiện chung để được kinh doanh sản phẩm, dịch vụ an ninh mạng
Sau khi xác định sản phẩm hoặc dịch vụ của doanh nghiệp thuộc phạm vi cấp phép, bước tiếp theo là xem doanh nghiệp đã đủ điều kiện hay chưa. Theo Điều 6 Nghị định 332/2026/NĐ-CP, có ba nhóm điều kiện doanh nghiệp cần đặc biệt quan tâm.
Điều kiện về pháp lý của doanh nghiệp
Doanh nghiệp phải được thành lập theo quy định của pháp luật Việt Nam và không vi phạm quy định pháp luật về kinh doanh sản phẩm, dịch vụ an ninh mạng. Đối với tổ chức kinh tế có vốn đầu tư nước ngoài, thời hạn đầu tư còn lại tại Việt Nam phải nhiều hơn 05 năm kể từ ngày được cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng.
Vì vậy, với doanh nghiệp FDI, SUNTRUST thường khuyến nghị kiểm tra ngay thời hạn dự án đầu tư trước khi bắt đầu chuẩn bị một bộ hồ sơ tương đối lớn.
Điều kiện về người đại diện, người quản lý và nhân sự kỹ thuật
Người đại diện theo pháp luật, người quản lý hoặc người được ủy quyền phải đáp ứng các điều kiện pháp luật đặt ra và không thuộc các trường hợp bị hạn chế theo Nghị định. Bên cạnh đó, doanh nghiệp phải có nhân sự chịu trách nhiệm kỹ thuật phù hợp với loại hình sản phẩm, dịch vụ kinh doanh. Người này phải có bằng đại học trở lên hoặc có chứng chỉ chuyên ngành về an ninh mạng, an toàn thông tin, công nghệ thông tin hoặc điện tử viễn thông.
Điều kiện về trang thiết bị, cơ sở vật chất và công nghệ
Doanh nghiệp phải có hệ thống trang thiết bị, cơ sở vật chất và công nghệ phù hợp với loại hình sản phẩm, dịch vụ đăng ký kinh doanh. Điều này có nghĩa hồ sơ không nên chỉ liệt kê chung chung “máy tính, máy chủ, thiết bị mạng”. Doanh nghiệp cần chứng minh các thiết bị và công nghệ đó thực sự phục vụ hoạt động xin cấp phép như thế nào.
Điều kiện riêng đối với doanh nghiệp kinh doanh sản phẩm an ninh mạng
Nếu doanh nghiệp sản xuất sản phẩm an ninh mạng, ngoài điều kiện chung nêu trên còn phải đáp ứng những yêu cầu riêng về chủng loại sản phẩm, quy mô sản xuất, phương án kinh doanh và phương tiện kiểm soát chất lượng. Phương án kinh doanh phải thể hiện được phạm vi và đối tượng cung cấp sản phẩm; loại sản phẩm dự kiến sản xuất; việc đáp ứng tiêu chuẩn, quy chuẩn kỹ thuật và các tính năng kỹ thuật cơ bản của sản phẩm. Doanh nghiệp cũng phải có phương tiện, thiết bị phù hợp để kiểm tra, giám sát thông số kỹ thuật và bảo đảm chất lượng sản phẩm trong quá trình sản xuất.
Đối với doanh nghiệp mua bán, trao đổi, nhập khẩu hoặc xuất khẩu sản phẩm an ninh mạng, phương án kinh doanh phải làm rõ mục đích nhập khẩu, phạm vi và đối tượng cung cấp, tiêu chuẩn kỹ thuật, tính năng cơ bản của sản phẩm; đồng thời doanh nghiệp phải có phương tiện, thiết bị phù hợp để bảo quản và bảo đảm chất lượng sản phẩm.
Đặc biệt, đối với các sản phẩm bí mật thu thập thông tin, chế áp thông tin mạng, pháp y số/điều tra số và chế áp hệ thống mạng, pháp luật đặt ra giới hạn riêng về chủ thể được phép sản xuất, mua bán, trao đổi, nhập khẩu và xuất khẩu. Do đó, đây là nhóm SUNTRUST khuyến nghị doanh nghiệp phải rà soát riêng trước khi xây dựng kế hoạch kinh doanh.
Điều kiện riêng đối với doanh nghiệp cung cấp dịch vụ an ninh mạng
Với doanh nghiệp cung cấp dịch vụ, điều kiện nhân sự là nội dung cần kiểm tra rất sớm. Đối với dịch vụ kiểm tra an ninh mạng và dịch vụ tư vấn an ninh mạng, doanh nghiệp phải có ít nhất 05 nhân sự kỹ thuật có trình độ đại học hoặc chứng chỉ về an ninh mạng trở lên, có địa chỉ cư trú cụ thể tại Việt Nam. Người đại diện theo pháp luật phải là người có quốc tịch Việt Nam.
Đối với dịch vụ giám sát an ninh mạng, doanh nghiệp phải có ít nhất 12 người có trình độ đại học hoặc chứng chỉ về an ninh mạng trở lên. Đồng thời phải có nhân sự chịu trách nhiệm về quản trị hệ thống, bảo mật thông tin và người đại diện theo pháp luật phải có quốc tịch Việt Nam. Ngoài yêu cầu nhân sự, doanh nghiệp cung cấp dịch vụ phải có phương án kỹ thuật theo Mẫu số 07, phương án dự phòng để bảo đảm hoạt động an toàn, liên tục và có khả năng khắc phục khi xảy ra sự cố.
Trường hợp cung cấp dịch vụ giám sát, doanh nghiệp còn phải có mô tả tổng thể về tính năng kỹ thuật của hệ thống giám sát và quy trình vận hành. Đồng thời, doanh nghiệp phải xây dựng phương án kinh doanh thể hiện rõ phạm vi và đối tượng cung cấp dịch vụ; loại hình dịch vụ dự kiến cung cấp; phương án bảo mật thông tin khách hàng và phương án bảo đảm chất lượng dịch vụ.
Để biết thêm thông tin chi tiết về các thủ tục, dịch vụ vui lòng liên hệ Suntrust để được tư vấn và hỗ trợ.
