Ngày phát hành: 11 tháng 9 năm 2026

Hôm nay là một ngày có ý nghĩa quan trọng đối với thị trường an ninh kết nối. Từ ngày 11 tháng 9 năm 2026, các nhà sản xuất sản phẩm có yếu tố kỹ thuật số được cung cấp trên thị trường EU phải báo cáo các lỗ hổng đang bị khai thác và các sự cố an ninh nghiêm trọng theo Đạo luật về khả năng phục hồi mạng của EU (CRA). Cùng ngày, Nền tảng báo cáo duy nhất CRA của ENISA cũng chính thức đi vào hoạt động.

Đây không phải là thông báo sản phẩm của Europe-Connection, cũng không có nghĩa là mọi yêu cầu của CRA đã được thực thi đầy đủ. Toàn bộ Đạo luật sẽ có hiệu lực vào ngày 11 tháng 12 năm 2027. Nhưng giai đoạn báo cáo hiện đang được triển khai sẽ thay đổi môi trường hoạt động cho các nhà sản xuất camera mạng, máy ghi hình, đầu đọc và bộ điều khiển kiểm soát truy cập, bảng điều khiển báo động, hệ thống liên lạc nội bộ, cổng kết nối, thiết bị kết nối di động và phần mềm kết nối chúng.

Đối với người mua, người lắp đặt, đội ngũ quản lý cơ sở vật chất và người quản lý an ninh, thông điệp thực tiễn rất đơn giản: thiết bị an ninh kết nối không chỉ còn là công cụ bảo mật vật lý. Nó còn là một tài sản mạng vật lý với vòng đời hỗ trợ, lộ trình cập nhật, lộ trình giải quyết khiếu nại với nhà cung cấp và tiềm ẩn rủi ro vượt ra ngoài phạm vi mà nó được thiết kế để bảo vệ.

Cột mốc tháng Chín: việc báo cáo bắt đầu trước khi nộp đơn đầy đủ cho CRA

Đạo luật CRA có hiệu lực từ ngày 10 tháng 12 năm 2024, thiết lập một khuôn khổ chung của châu Âu cho các sản phẩm phần cứng và phần mềm có yếu tố kỹ thuật số. Tham vọng lớn của đạo luật này là biến an ninh mạng thành vấn đề xuyên suốt vòng đời sản phẩm: các sản phẩm cần được thiết kế, phân phối và bảo trì với sự cân nhắc đến các rủi ro an ninh mạng.

Có một điểm khác biệt quan trọng cần lưu ý trong tháng 9 này. Nghĩa vụ báo cáo hiện đang áp dụng cho các nhà sản xuất, trong khi ngày chính thức để áp dụng đầy đủ CRA vẫn là ngày 11 tháng 12 năm 2027.Nói cách khác, đây không phải là chỉ thị vào phút chót buộc mọi tổ chức sử dụng thiết bị kết nối phải thiết kế lại hệ thống của mình chỉ sau một đêm. Đây là tín hiệu pháp lý cho thấy việc xử lý lỗ hổng và truyền đạt sự cố đang chuyển từ một thực tiễn mong muốn của nhà cung cấp sang một trách nhiệm chính thức của thị trường.

Ủy ban châu Âu cho biết các nhà sản xuất phải báo cáo các lỗ hổng đang bị khai thác và các sự cố nghiêm trọng ảnh hưởng đến an ninh của các sản phẩm thuộc phạm vi điều chỉnh. Quy trình báo cáo bao gồm cảnh báo sớm trong vòng 24 giờ kể từ khi phát hiện, thông báo trong vòng 72 giờ, sau đó là báo cáo cuối cùng theo lịch trình được xác định dựa trên việc vụ việc liên quan đến lỗ hổng đang bị khai thác hay sự cố nghiêm trọng.

Các thông báo được gửi qua Nền tảng Báo cáo Duy nhất, nhằm hỗ trợ phương pháp “báo cáo một lần” khi liên lạc với các cơ quan có thẩm quyền. Việc báo cáo thông qua kênh này không nên bị nhầm lẫn với việc công khai tự động. Quy trình CRA liên quan đến ENISA và các CSIRT có liên quan, và việc phổ biến rộng rãi hơn có thể được xử lý khác nhau trong trường hợp có những lý do đặc biệt về an ninh mạng.

Vì sao công nghệ an ninh vật lý nên được đề cập trong cuộc thảo luận này

Thuật ngữ “an ninh mạng” nghe có vẻ tách rời với camera giám sát tại khu vực bốc dỡ hàng, máy đọc thẻ ra vào cho nhân viên hay bảng điều khiển báo động trong phòng máy. Trên thực tế, khả năng kết nối đã xóa bỏ phần lớn sự tách biệt đó. Một giám sát video có thể bao gồm phần mềm camera, đầu ghi video mạng, phần mềm quản lý, ứng dụng di động, dịch vụ chuyển tiếp đám mây, tài khoản người dùng, lưu trữ, API và các kênh hỗ trợ từ xa. Hệ thống kiểm soát truy cập và chống đột nhập cũng tuân theo mô hình phân lớp tương tự.

Mỗi lớp bảo mật đều có thể đóng vai trò quan trọng trong một sự cố. Một thiết bị chưa được vá lỗi có thể tạo điều kiện cho kẻ tấn công; quản lý tài khoản yếu kém có thể làm suy yếu một camera được đặt ở vị trí tốt; một bản cập nhật được lên kế hoạch kém có thể làm gián đoạn quá trình ghi hình, giám sát báo động hoặc hoạt động truy cập. Do đó, câu hỏi vận hành không chỉ đơn thuần là liệu thiết bị có trực tuyến hay không. Mà là liệu tổ chức có biết thiết bị đó được hỗ trợ như thế nào, được quản lý ra sao và điều gì sẽ xảy ra khi một lỗ hổng nghiêm trọng xuất hiện hay không.

Mối lo ngại này bắt nguồn từ bức tranh mối đe dọa hiện tại. Báo cáo Tình hình Mối đe dọa năm 2025, được công bố vào tháng 4 năm 2026, xác định việc khai thác phần mềm hướng ra internet là vectơ truy cập ban đầu có tác động cao nhất trong năm thứ hai liên tiếp. Các thiết bị biên – bao gồm tường lửa, thiết bị VPN và giải pháp quản lý mạng – vẫn là mục tiêu chính. Cơ sở hạ tầng bảo mật không hoàn toàn giống với các loại sản phẩm đó, nhưng bài học rút ra vẫn đúng: các thiết bị ở biên, đặc biệt là những thiết bị được sử dụng để quản trị từ xa hoặc xem từ xa, cần được chú trọng một cách có hệ thống.

Bản dự thảo cập nhật SP 800-82 tháng 9 năm 2026 của NIST cũng đặt các hệ thống tự động hóa tòa nhà, kiểm soát truy cập vật lý và giám sát môi trường vật lý vào phạm vi thảo luận rộng hơn về an ninh công nghệ vận hành. Đó là bối cảnh hữu ích. Sự phân chia truyền thống giữa “CNTT sở hữu an ninh mạng” và “an ninh sở hữu cửa ra vào và camera” ngày càng trở nên không thực tế khi cả hai đều dựa trên các mạng lưới, danh tính và nhà cung cấp dùng chung.

Mua sắm đang trở thành một biện pháp kiểm soát an ninh mạng hàng đầu

Ảnh hưởng nghiêm trọng nhất của giai đoạn báo cáo CRA có thể xảy ra rất lâu trước khi sự cố xảy ra: ngay từ khâu mua sắm. Khi các tổ chức chỉ lựa chọn thiết bị kết nối dựa trên chất lượng hình ảnh, phạm vi phát hiện, khả năng kết nối hoặc giá cả, họ đã bỏ qua những câu hỏi quyết định liệu sản phẩm đó có thể được quản lý an toàn trong thời gian dài hay không.

Đối với camera kết nối, hệ thống báo động, nền tảng kiểm soát truy cập và các linh kiện liên quan, một cuộc thảo luận mua sắm đáng tin cậy hiện nay cần bao gồm:

• Thời gian hỗ trợ được công bố cho sản phẩm này và phần mềm của nó là bao lâu?
• Các bản cập nhật bảo mật được phân phối, xác thực và ghi lại như thế nào?
• Nhà cung cấp công bố các thông báo bảo mật và thông tin về lỗ hổng bảo mật ở đâu?
• Những cài đặt bảo mật mặc định nào được cung cấp và những cài đặt nào cần được thay đổi trong quá trình vận hành?
• Quy trình thông báo cho khách hàng hoặc nhà tích hợp về lỗ hổng bảo mật nghiêm trọng hoặc sự cố an ninh là gì?
• Những dịch vụ đám mây, ứng dụng di động, phiên bản phần mềm nhúng và các thành phần được cung cấp riêng lẻ nào tạo nên hệ thống hoạt động?

Đây không chỉ đơn thuần là những câu hỏi về tuân thủ quy định cần thêm vào mẫu hồ sơ dự thầu. Đây là những câu hỏi về tính liên tục. Một camera có thể vẫn cho ra hình ảnh chất lượng tốt, hoặc một hệ thống báo động đột nhập có thể vẫn phát hiện sự cố, nhưng cả hai khả năng này đều không đủ nếu tổ chức không có cách nào đáng tin cậy để đánh giá khuyến cáo của nhà cung cấp, xác định các thiết bị bị ảnh hưởng hoặc lên kế hoạch khắc phục an toàn.

Ngày 27 tháng 7 năm 2026, Ủy ban đã công bố hướng dẫn thực thi, trong đó đề cập đến nhiều vấn đề, bao gồm phạm vi sản phẩm, các sửa đổi quan trọng, thời gian hỗ trợ, nghĩa vụ báo cáo và đánh giá rủi ro. Hướng dẫn này rất quan trọng vì không phải mọi thiết bị, linh kiện hoặc cách triển khai đều được xử lý giống nhau. Phạm vi phụ thuộc vào đặc điểm của sản phẩm, cách thức sản phẩm được đưa ra thị trường EU, kết nối dữ liệu trực tiếp hoặc gián tiếp, và các trường hợp loại trừ hoặc quy tắc cụ thể theo từng lĩnh vực.

Những gì khách hàng và nhà tích hợp cần thay đổi ngay bây giờ

Xây dựng kho đồ có thể sử dụng được ngay cả trong điều kiện áp lực cao

Một danh sách tài sản chỉ ghi “12 camera, một thiết bị ghi hình” là không đủ trong trường hợp xảy ra lỗ hổng bảo mật. Một bản ghi hữu ích cần kết nối từng tài sản đang hoạt động với kiểu máy, số sê-ri hoặc vị trí, phiên bản phần mềm và firmware, đường dẫn quản trị, vùng mạng, chủ sở hữu hỗ trợ, thông tin liên hệ nhà cung cấp và dịch vụ đám mây hoặc di động có liên quan. Nó cũng cần xác định các hệ thống phụ thuộc vào thiết bị, chẳng hạn như máy chủ ghi hình, trạm giám sát hoặc cơ sở dữ liệu kiểm soát truy cập.

Điều này không đòi hỏi phải biến đội ngũ an ninh thành một bộ phận kiểm toán phần mềm toàn thời gian. Nó có nghĩa là phải có khả năng trả lời một câu hỏi cấp bách: Chúng ta có bị ảnh hưởng không, thiết bị nằm ở đâu và chúng ta có thể làm gì tiếp theo một cách an toàn? Việc CRA bao gồm các sản phẩm có yếu tố kỹ thuật số—bao gồm, trong nhiều trường hợp, các thành phần được bán riêng lẻ trên thị trường—làm cho lĩnh vực này trở nên quan trọng hơn chứ không phải ít quan trọng hơn.

Lên kế hoạch giải quyết vấn đề với nhà cung cấp song song với việc kiểm soát kỹ thuật

Khi một lỗ hổng bảo mật đang bị khai thác tích cực được công bố, nhà sản xuất có thể có nghĩa vụ báo cáo theo pháp luật. Điều đó không làm mất đi trách nhiệm vận hành của khách hàng. Phản ứng tại chỗ vẫn cần phải xác định các tài sản bị ảnh hưởng, lưu giữ nhật ký liên quan, giảm thiểu rủi ro từ bên ngoài, cách ly thiết bị bị ảnh hưởng, đặt lại thông tin đăng nhập khi cần thiết, liên hệ với nhà cung cấp hoặc người lắp đặt và áp dụng các biện pháp khắc phục đã được xác thực.

Cần thiết lập kênh liên lạc với nhà cung cấp trước khi xảy ra sự cố khẩn cấp. Ai có quyền phê duyệt việc ngừng hoạt động? Ai chịu trách nhiệm về mối quan hệ với nhà lắp đặt? Có thỏa thuận bảo trì nào không? Việc hỗ trợ được cung cấp trực tiếp bởi nhà sản xuất, nhà phân phối, nhà tích hợp hệ thống hay nhà cung cấp dịch vụ quản lý? Những câu hỏi này thường quyết định liệu thông báo vá lỗi có trở thành một nhiệm vụ bảo trì được kiểm soát hay một sự cố vận hành không cần thiết.

Hãy sửa chữa một cách có kỷ luật, đừng hoảng loạn

Lời khuyên “vá lỗi ngay lập tức” nghe có vẻ hấp dẫn, nhưng nó có thể không đầy đủ đối với các hệ thống an ninh vận hành. Việc thay đổi firmware vội vàng có thể ảnh hưởng đến khả năng hoạt động của camera, tính toàn vẹn của bằng chứng, khả năng tích hợp, tín hiệu báo động hoặc quyền truy cập. Điều đó không có nghĩa là nên để nguyên rủi ro đã biết. Đó là lý lẽ ủng hộ một quy trình dựa trên rủi ro: đánh giá mức độ phơi nhiễm và tình trạng khai thác, kiểm tra nếu có thể, thiết lập khung thời gian bảo trì, chuẩn bị kế hoạch khôi phục, xác minh hoạt động sau khi cập nhật và giảm thiểu rủi ro trong khi chuẩn bị khắc phục.

Ví dụ, một thiết bị được kết nối trực tiếp với mạng internet công cộng thường cần được xử lý khẩn cấp hơn so với một thiết bị tương đương được cách ly phía sau các biện pháp kiểm soát mạng được quản lý đúng cách. Các biện pháp bù đắp tạm thời có thể bao gồm loại bỏ quyền truy cập từ xa không cần thiết, hạn chế giao diện quản lý chỉ cho phép truy cập vào mạng đáng tin cậy, thay đổi thông tin đăng nhập bị xâm phạm hoặc giám sát nhật ký liên quan chặt chẽ hơn. Lựa chọn đúng đắn phụ thuộc vào hệ thống, rủi ro và hậu quả của sự gián đoạn.

Một tiêu chuẩn khác cho thiết bị “kết nối”

Công nghệ an ninh thường được mua như một sản phẩm hoàn chỉnh: cài đặt, cấu hình, rồi kỳ vọng nó sẽ hoạt động êm ái trong nhiều năm. Khả năng kết nối đã thay đổi điều đó. Các sản phẩm như camera gián điệp Wi-Fi, thiết bị theo dõi di động hoặc hệ thống báo động mạng có vòng đời bao gồm phần mềm, thông tin đăng nhập, cấu hình mạng và vô tuyến, ứng dụng, lưu trữ và cơ sở hạ tầng của bên thứ ba. Chúng cần được lựa chọn và vận hành một cách hợp pháp, cân xứng và chú trọng đến quyền riêng tư cũng như an ninh.

Nguyên tắc tương tự cũng áp dụng cho khía cạnh phòng thủ. Các tổ chức sử dụng thiết bị chống giám sát để đánh giá các tín hiệu hoặc thiết bị đáng ngờ cũng nên xem xét tính toàn vẹn của các công cụ kết nối của chính họ: ai bảo trì chúng, chúng tạo ra dữ liệu gì và cách xử lý các bản cập nhật hoặc lỗ hổng bảo mật như thế nào.

Điều này không có nghĩa là người dùng cuối tự động trở thành thực thể báo cáo cho CRA. Nghĩa vụ chủ yếu thuộc về các nhà sản xuất. Điều này cũng không có nghĩa là tất cả các sản phẩm bảo mật kết nối đều thuộc phạm vi áp dụng theo cùng một cách. Điều đó có nghĩa là khách hàng và các nhà tích hợp ngày càng cần bằng chứng về sự sẵn sàng của nhà cung cấp hơn là những lời đảm bảo chung chung rằng một sản phẩm là "an toàn".

Tóm lại: việc đưa tin giúp làm nổi bật sự trưởng thành của vòng đời sản phẩm

Nghĩa vụ báo cáo trực tiếp rất dễ dàng được đơn giản hóa thành một thời hạn quy định. Giá trị sâu sắc hơn của nó nằm ở chỗ nó kiểm tra xem các nhà sản xuất có khả năng ứng phó với lỗ hổng bảo mật một cách hoàn thiện hay không: một cách thức để tiếp nhận báo cáo, điều tra chúng, quyết định những gì khách hàng cần biết, phối hợp với các cơ quan chức năng và đưa ra giải pháp khắc phục đáng tin cậy.

Khả năng đó sẽ trở thành yếu tố khác biệt thiết thực cho các hệ sinh thái an ninh kết nối. Người mua không thể thuê ngoài việc quản lý tài sản hoặc chuẩn bị ứng phó sự cố cho nhà sản xuất. Tuy nhiên, họ có thể - và nên - biến việc hỗ trợ vòng đời, tính minh bạch và phản ứng an ninh trở thành một phần của những gì họ mua.

Khi Đạo luật CRA tiến tới giai đoạn áp dụng đầy đủ vào tháng 12 năm 2027, các tổ chức được chuẩn bị tốt nhất sẽ là những tổ chức coi khả năng phục hồi mạng là một phần của khả năng phục hồi an ninh vật lý. Họ sẽ nắm rõ cơ sở hạ tầng hiện có, duy trì liên lạc với các đơn vị hỗ trợ, hạn chế rủi ro không cần thiết, lập kế hoạch thay đổi cẩn thận và mong muốn các nhà cung cấp thông báo rõ ràng khi có lỗ hổng bảo mật quan trọng.

Đối với một thị trường được xây dựng dựa trên việc bảo vệ con người, cơ sở vật chất và tài sản, đó không phải là một thủ tục hành chính thừa thãi. Nó ngày càng trở thành một phần công việc chính.

Nguồn

• Ủy ban Châu Âu, nghĩa vụ báo cáo CRA: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Nền tảng báo cáo duy nhất của ENISA và CRA: https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
• Tóm tắt Đạo luật về Khả năng phục hồi mạng của Ủy ban Châu Âu: https://digital-strategy.ec.europa.eu/en/policies/cra-summary
• Ủy ban Châu Âu, thông báo hướng dẫn thực hiện, ngày 27 tháng 7 năm 2026: https://digital-strategy.ec.europa.eu/en/news/commission-publishes-new-guidance-support-businesses-implementation-cyber-resilience-act
• CERT-EU, Báo cáo Tình hình Mối đe dọa năm 2025: https://cert.europa.eu/blog/threat-landscape-report-2025