1.1. Mở đầu

Cách mạng công nghiệp lần thứ tư đã làm thay đổi căn bản cách thức con người sống, làm việc và học tập. Trong lĩnh vực giáo dục đại học, sự thay đổi này không chỉ nằm ở việc thay bảng đen bằng màn hình tương tác hay thay giáo trình giấy bằng tài liệu số. Chuyển đổi số giáo dục đại học là quá trình tái cấu trúc toàn diện — từ mô hình quản trị, phương pháp giảng dạy, cách thức nghiên cứu, đến cách trường đại học tương tác với xã hội và thị trường lao động. Sự bùng nổ dữ liệu, sự phổ biến của điện toán đám mây, trí tuệ nhân tạo và Internet vạn vật đã mở ra những khả năng chưa từng có, đồng thời mang theo những rủi ro an ninh mạng chưa từng đối mặt.

Đại dịch COVID-19 đã đóng vai trò như một chất xúc tác mạnh mẽ, buộc các trường đại học trên toàn thế giới phải chuyển đổi số trong thời gian cực ngắn. Theo García-Peñalvo (2021), sự chuyển đổi ép buộc này đã tạo ra một khoảng cách lớn giữa tốc độ triển khai công nghệ và khả năng đảm bảo an toàn thông tin. Các hệ thống học trực tuyến, nền tảng quản lý học tập, công cụ hợp tác số được triển khai gấp rút thường thiếu đi các lớp bảo mật cơ bản — tạo ra những lỗ hổng mà các tác nhân đe dọa nhanh chóng khai thác. Khi chuyển đổi số không đi kèm với an toàn từ thiết kế, trường đại học không chỉ đối mặt với rủi ro mất dữ liệu mà còn với rủi ro phá vỡ niềm tin của sinh viên, giảng viên và toàn xã hội.

Bài viết này đặt trọng tâm vào một câu hỏi: tại sao "sự an toàn từ thiết kế" (security/privacy by design) — tiếp cận an toàn thông tin ngay từ khâu thiết kế hệ thống thay vì phản ứng sau sự cố — cần được coi là nhân tố then chốt trong chuyển đổi số giáo dục đại học. Để trả lời câu hỏi này, bài viết sẽ đi qua sáu phần: bối cảnh chuyển đổi số giáo dục đại học (Phần 1), thực trạng rủi ro an ninh mạng (Phần 2), khái niệm và nguyên tắc an toàn từ thiết kế (Phần 3), khung tiêu chuẩn và framework (Phần 4), thực tiễn triển khai (Phần 5), và cuối cùng là khuyến nghị cho Việt Nam (Phần 6).

1.2. Tổng quan chuyển đổi số giáo dục đại học toàn cầu

1.2.1. Định nghĩa chuyển đổi số trong giáo dục đại học

Chuyển đổi số trong giáo dục đại học vượt xa việc đơn thuần số hóa — chuyển tài liệu giấy thành file điện tử hay thay họp mặt bằng họp trực tuyến. Tang, Huang và Yan (2025) định nghĩa chuyển đổi số giáo dục đại học là quá trình tích hợp công nghệ số vào mọi khía cạnh của hoạt động giáo dục để tạo ra giá trị mới, cải thiện trải nghiệm học tập, tối ưu hóa quy trình quản trị và nâng cao năng lực nghiên cứu. Ramadania et al. (2024), thông qua một tổng quan hệ thống về chuyển đổi số và hiệu suất tổ chức trong giáo dục đại học, nhấn mạnh rằng chuyển đổi số không chỉ là thay đổi công nghệ mà là thay đổi cách tổ chức hoạt động — đòi hỏi sự thay đổi về tư duy, quy trình và cấu trúc tổ chức.

Trevisan et al. (2023) bổ sung một chiều quan trọng khi phân tích chuyển đổi số giáo dục đại học dưới góc độ phát triển bền vững. Các tác giả chỉ ra rằng chuyển đổi số thành công phải kết hợp được ba trụ cột: kinh tế (tối ưu chi phí, tăng hiệu quả), xã hội (công bằng tiếp cận, chất lượng giáo dục) và môi trường (giảm dấu chân carbon thông qua giáo dục trực tuyến). Trong bối cảnh này, an toàn thông tin không chỉ là yếu tố kỹ thuật mà là điều kiện tiên quyết để đảm bảo tính bền vững của quá trình chuyển đổi số.

1.2.2. Các động lực thúc đẩy chuyển đổi số

Ba nhóm động lực chính thúc đẩy chuyển đổi số giáo dục đại học toàn cầu. Thứ nhất, động lực công nghệ — sự phát triển của điện toán đám mây, trí tuệ nhân tạo, phân tích dữ liệu lớn (big data) và Internet vạn vật đã tạo ra khả năng cá nhân hóa giáo dục ở quy mô lớn. Thứ hai, động lực xã hội — thay đổi kỳ vọng của sinh viên thế hệ Z và Alpha, những người lớn lên trong môi trường số và mong đợi trải nghiệm giáo dục tương đương với trải nghiệm số trong các lĩnh vực khác. Thứ ba, động lực thể chế — yêu cầu từ chính phủ, cơ quan kiểm định chất lượng và thị trường lao động về việc đào tạo nguồn nhân lực có năng lực số.

García-Peñalvo (2021) nhấn mạnh một động lực đáng chú ý: nhu cầu tránh "mặt tối" của chuyển đổi số. Khi các trường đại học triển khai công nghệ giáo dục mới, các vấn đề về an toàn dữ liệu, công bằng thuật toán, và quyền riêng tư có thể làm giảm chất lượng giáo dục thay vì tăng cường nó. Điều này nổi bật đúng khi công nghệ được triển khai mà không có khung kiểm soát an toàn phù hợp.

1.2.3. Các framework đánh giá mức độ trưởng thành

Marks và AL-Ali (2022) đề xuất một framework đánh giá mức độ trưởng thành chuyển đổi số cho giáo dục đại học, giúp các trường đại học đo lường tiến trình và xác định bước tiếp theo. Framework này bao gồm nhiều chiều: từ hạ tầng công nghệ, năng lực nhân sự, đến chiến lược và văn hóa tổ chức. Mỗi chiều được đánh giá trên thang từ ban đầu (ad hoc) đến tối ưu (optimized), tạo ra một bản đồ định hướng cho quá trình chuyển đổi.

Aditya, Ferdiana và Kusumawardani (2021) phát triển một framework chẩn đoán rào cản chuyển đổi số, xác định các nhóm trở lực chính: thiếu hạ tầng công nghệ, kháng cự văn hóa từ giảng viên, thiếu năng lực lãnh đạo số, và bất cập trong chính sách thể chế. Các tác giả nhấn mạnh rằng việc nhận diện đúng rào cản là bước đầu tiên quan trọng — nhiều trường đại học đầu tư vào công nghệ mà không giải quyết được các rào cản phi công nghệ, dẫn đến lãng phí nguồn lực và thất bại trong chuyển đổi.

Khung People-Process-Technology (Con người-Quy trình-Công nghệ) do Taher (2023) kiểm chứng cho thấy rằng ba yếu tố này phải phát triển đồng bộ. Công nghệ mới không tạo ra giá trị nếu con người không có năng lực sử dụng, và năng lực con người không được phát huy nếu quy trình tổ chức không được điều chỉnh cho phù hợp. Trong ba yếu tố này, "con người" thường bị bỏ quên nhất — khi các chiến lược chuyển đổi số tập trung quá nhiều vào mua sắm công nghệ mà không đầu tư vào đào tạo và thay đổi văn hóa.

Khung chuyển đổi số giáo dục đại học

Chuyển đổi số thành công

👥

Con người

Năng lực số, văn hóa tổ chức

⚙️

Quy trình

Quản trị, chiến lược, chính sách

💻

Công nghệ

Hạ tầng, nền tảng, dữ liệu

🛡️

An toàn

Bảo mật, privacy by design, tuân thủ

Hình 1: Khung chuyển đổi số giáo dục đại học — bốn trụ cột thiết yếu

1.2.4. Rào cản và thách thức

Nghiên cứu tổng quan của Singun (2025) lược khảo 130 bài báo để phân loại rào cản chuyển đổi số giáo dục đại học thành bảy nhóm chính: (1) rào cản công nghệ — hạ tầng yếu, thiếu tương thích hệ thống; (2) rào cản nhân sự — thiếu kỹ năng số, kháng cự thay đổi; (3) rào cản tài chính — chi phí đầu tư cao, mô hình kinh doanh chưa rõ ràng; (4) rào cản chiến lược — thiếu tầm nhìn dài hạn, lãnh đạo thiếu quyết tâm; (5) rào cản văn hóa — ưu tiên truyền thống, sợ thất bại; (6) rào cản pháp lý — quy định chưa theo kịp công nghệ; và (7) rào cản an toàn — lo ngại về bảo mật dữ liệu và quyền riêng tư.

Sahni, Verma và Kaurav (2024) bổ sung một chiều phân tích quan trọng khi nhận định rằng các rào cản không hoạt động độc lập mà tương tác phức tạp với nhau. Rào cản an toàn thông tin, ví dụ, làm tăng rào cản văn hóa (giảng viên không muốn dùng công nghệ họ không tin tưởng) và rào cản chiến lược (lãnh đạo do dự đầu tư khi không giải quyết được vấn đề bảo mật). Coral và Bernuy (2021) chứng minh điều này qua nghiên cứu thực nghiệm: các trường đại học có chính sách an toàn thông tin rõ ràng dễ dàng đạt được mức độ chấp nhận công nghệ giáo dục cao hơn từ cả giảng viên lẫn sinh viên.

1.3. Bối cảnh chuyển đổi số giáo dục đại học tại Việt Nam

1.3.1. Chính sách chuyển đổi số giáo dục Việt Nam

Việt Nam đã ban hành nhiều chính sách quan trọng thúc đẩy chuyển đổi số, trong đó nổi bật là Chương trình Chuyển đổi số quốc gia theo Quyết định 749/QĐ-TTg năm 2020, với mục tiêu đến năm 2025, 80% các hoạt động cấp bộ, tỉnh được số hóa hoàn toàn, và đến năm 2030, tỷ lệ này đạt 100%. Trong lĩnh vực giáo dục, Bộ Giáo dục và Đào tạo đã ban hành Kế hoạch số 558/KH-BGDĐT năm 2021 về chuyển đổi số ngành giáo dục giai đoạn 2021-2025, tầm nhìn 2030, với năm trọng tâm: hạ tầng số, quản trị số, nghề nghiệp số, giáo dục số và an toàn thông tin.

Kế hoạch của Bộ GD&ĐT thiết yếu nhấn mạnh an toàn thông tin và an ninh mạng như một trong năm trụ cột, yêu cầu 100% cơ sở giáo dục xây dựng kế hoạch và quy trình đảm bảo an toàn thông tin mạng. Đây là tín hiệu chính sách quan trọng — chuyển đổi số giáo dục không chỉ là triển khai công nghệ mà phải đi kèm với biện pháp bảo vệ. Tuy nhiên, khoảng cách giữa chính sách và thực thi vẫn còn lớn, với mức độ cao ở các trường đại học ngoài công lập và các trường ở vùng sâu vùng xa với nguồn lực hạn chế.

1.3.2. Thực trạng chuyển đổi số tại các trường đại học

Nghiên cứu của Quy, Thanh et al. (2023) phân tích tầm nhìn và cách tiếp cận chuyển đổi số tại một trường đại học cụ thể ở Việt Nam, kết hợp trí tuệ nhân tạo vào chiến lược chuyển đổi. Kết quả cho thấy các trường đại học Việt Nam đang ở giai đoạn đầu của quá trình chuyển đổi số, với đặc điểm: (1) đầu tư chủ yếu vào hạ tầng cơ bản (mạng, máy chủ, phần mềm quản lý), (2) chưa có chiến lược chuyển đổi số toàn diện, (3) nhận thức về an toàn thông tin còn hạn chế, và (4) thiếu nhân lực chuyên trách về an ninh mạng.

Giang, Hai, Tu và Tan (2021) đánh giá mức độ sẵn sàng chuyển đổi số tại một cơ sở giáo dục đại học Việt Nam trong bối cảnh Cách mạng công nghiệp 4.0, sử dụng framework readiness. Các tác giả phát hiện bốn yếu tố quyết định: sẵn sàng công nghệ (hạ tầng, nền tảng), sẵn sàng nhân sự (năng lực giảng viên), sẵn sàng tổ chức (chiến lược, quy trình) và sẵn sàng môi trường (chính sách, văn hóa). Trong số này, sẵn sàng tổ chức — bao gồm chiến lược quản trị an toàn thông tin — đạt điểm thấp nhất, cho thấy khoảng cách lớn giữa việc triển khai công nghệ và xây dựng khung quản trị số.

1.3.3. Năng lực số của giảng viên

Hoang et al. (2022) nghiên cứu năng lực số của giảng viên tại các trường đại học sư phạm trong bối cảnh chuyển đổi số giáo dục Việt Nam. Kết quả cho thấy năng lực số của giảng viên phụ thuộc mạnh mẽ vào ba yếu tố: nhận thức về tầm quan trọng của chuyển đổi số, cơ hội đào tạo và hỗ trợ kỹ thuật, và động lực tự học. Các giảng viên trẻ (dưới 35 tuổi) có năng lực số cao hơn đáng kể, nhưng lại thiếu kinh nghiệm sư phạm — trong khi giảng viên giàu kinh nghiệm lại gặp khó khăn trong việc thích ứng với công nghệ.

Một phát hiện quan trọng của nghiên cứu: chỉ một phần nhỏ giảng viên có nhận thức về các rủi ro an toàn thông tin liên quan đến việc sử dụng công nghệ giáo dục. Hầu hết giảng viên tập trung vào khả năng sử dụng công cụ (cách dùng Zoom, Moodle, Google Classroom) mà không quan tâm đến cách bảo vệ dữ liệu sinh viên, cách nhận biết email lừa đảo, hay cách thiết lập mật khẩu an toàn. Khoảng cách nhận thức này tạo ra một điểm yếu hệ thống trong chuyển đổi số giáo dục đại học Việt Nam.

1.3.4. Văn hóa chất lượng và chuyển đổi số

Nguyễn Thị Ngọc Xuân (2024) phân tích mối liên hệ giữa văn hóa chất lượng và chuyển đổi số thông qua nghiên cứu tình huống tại Trường Đại học Trà Vinh. Nghiên cứu cho thấy văn hóa chất lượng — tập hợp các giá trị, niềm tin và hành vi ưu tiên chất lượng — đóng vai trò là "chất xúc tác" cho chuyển đổi số thành công. Khi trường đại học đã xây dựng được văn hóa chất lượng vững chắc, việc tích hợp an toàn thông tin vào quy trình chuyển đổi số diễn ra tự nhiên hơn, vì nhân viên coi việc bảo vệ chất lượng (bao gồm chất lượng an toàn thông tin) là trách nhiệm then chốt.

1.3.5. Thách thức đặc thù ở các nước đang phát triển

Hai, Van và Tuyet (2021) phân tích cơ hội và thách thức chuyển đổi số cho các nhà lãnh đạo ở các nước đang phát triển trong bối cảnh đại dịch, với nhiều bài học áp dụng cho Việt Nam. Các tác giả nhấn mạnh ba đặc thù: (1) khoảng cách kỹ thuật số giữa khu vực đô thị và nông thôn, (2) hạn chế về ngân sách đầu tư công nghệ, và (3) thiếu khung thể chế hỗ trợ chuyển đổi số. Trong cả ba đặc thù này, yếu tố an toàn thông tin thường bị đẩy xuống ưu tiên cuối — dù thực tế cho thấy chi phí xử lý sự cố an ninh mạng thường cao hơn nhiều so với chi phí phòng ngừa.

1.4. Định hình vấn đề — Khi chuyển đổi số gặp rủi ro an ninh mạng

Chuyển đổi số giáo dục đại học tạo ra một bề mặt tấn công mới và mở rộng đáng kể. Mỗi hệ thống mới được triển khai — nền tảng học trực tuyến, hệ thống quản lý sinh viên, cổng thông tin điện tử, hệ thống nghiên cứu cộng tác — là một điểm vào tiềm năng cho kẻ tấn công. Mỗi loại dữ liệu mới được số hóa — hồ sơ sinh viên, điểm số, thông tin tài chính, kết quả nghiên cứu, dữ liệu sức khỏe — là một tài sản có giá trị trên thị trường đen dữ liệu. Mỗi kết nối mới được thiết lập — giữa hệ thống nội bộ và đám mây, giữa trường đại học và đối tác công nghệ bên thứ ba, giữa thiết bị cá nhân và mạng trường — là một lỗ hổng tiềm ẩn.

Sự mất cân đối trong đầu tư là vấn đề thiết yếu. Các trường đại học thường dành 80-90% ngân sách chuyển đổi số cho mua sắm và triển khai công nghệ, dành phần còn lại cho đào tạo và hỗ trợ, và gần như không có ngân sách riêng cho an toàn thông tin. Cách tiếp cận "mua công nghệ trước, lo bảo mật sau" này tạo ra một vòng luẩn quẩn: hệ thống được triển khai → rò rỉ dữ liệu xảy ra → hoảng loạn → chi tiền đắp vá → hệ thống mới được triển khai mà không giải quyết gốc rễ vấn đề.

Tiếp cận "an toàn từ thiết kế" (security/privacy by design) phá vỡ vòng luẩn quẩn này bằng cách đảo ngược thứ tự ưu tiên: an toàn thông tin được tích hợp ngay từ khâu lên ý tưởng, thiết kế và xây dựng hệ thống, không phải thêm vào sau khi hệ thống đã hoạt động. Trong các phần tiếp theo, bài viết sẽ phân tích chi tiết rủi ro an ninh mạng trong giáo dục đại học (Phần 2), trình bày khái niệm và nguyên tắc an toàn từ thiết kế (Phần 3), khảo sát các khung tiêu chuẩn và framework (Phần 4), và đề xuất thực tiễn triển khai (Phần 5) trước khi đưa ra khuyến nghị cụ thể cho Việt Nam (Phần 6).

PHẦN 2: AN NINH MẠNG TRONG GIÁO DỤC ĐẠI HỌC — RỦI RO VÀ THÁCH THỨC

2.1. Tổng quan rủi ro an ninh mạng trong giáo dục đại học

Trường đại học sở hữu một hệ sinh thái thông tin phức tạp, bao gồm mạng lưới nghiên cứu, hệ thống quản lý giáo dục, nền tảng lưu trữ dữ liệu sinh viên và cơ sở hạ tầng công nghệ phục vụ hành chính. Sự đa dạng này mang lại lợi thế to lớn cho hoạt động học thuật nhưng đồng thời tạo ra một bề mặt tấn công rộng lớn, khiến các cơ sở giáo dục đại học trở thành một trong những mục tiêu thường xuyên nhất của tin tặc trên toàn cầu. Các hình thức tấn công phổ biến nhắm vào trường đại học bao gồm mã độc tống tiền (ransomware), lừa đảo mạo danh qua mạng (phishing), rò rỉ dữ liệu, tấn công từ chối dịch vụ phân tán (DDoS) và các mối đe dọa từ bên trong tổ chức (insider threats).

Ulven và Wangen (2021) đã thực hiện một khảo sát hệ thống về rủi ro an ninh mạng trong giáo dục đại học, phân tích hàng chục nghiên cứu xuất bản trong giai đoạn 2016–2020. Kết quả cho thấy ransomware và phishing đứng đầu danh sách các mối đe dọa, chiếm tỷ trọng lớn nhất trong các sự cố an ninh mạng được báo cáo. Mã độc tống tiền mã hóa toàn bộ hệ thống dữ liệu của trường, buộc cơ sở giáo dục phải trả tiền chuộc để khôi phục quyền truy cập. Lừa đảo mạo danh thì lợi dụng sự tin tưởng của sinh viên và nhân viên để đánh cắp thông tin đăng nhập, từ đó xâm nhập sâu vào hệ thống mạng nội bộ. Afolalu và Tsoeu (2025) bổ sung thêm bằng cập nhật toàn diện hơn, xác nhận rằng các xu hướng này không những tiếp tục gia tăng mà còn biến đổi theo hướng tinh vi hơn, một cách đáng kể khi các trường đại học đẩy mạnh chuyển đổi số.

Tấn công DDoS nhắm vào trường đại học thường xảy ra vào các thời điểm nhạy cảm như kỳ đăng ký, thi cuối kỳ hoặc lễ công bố điểm. Kẻ tấn công gửi lượng yêu cầu truy cập khổng lồ đến máy chủ của trường, làm sập hệ thống và gây gián đoạn nghiêm trọng cho hoạt động học tập. Các mối đe dọa từ bên trong tổ chức, dù ít được nhắc đến, lại có sức tàn phá không kém. Sinh viên hoặc nhân viên bất mãn, người dùng vô tình lộ thông tin xác thực, hoặc cán bộ quản trị lạm quyền đều có thể tạo ra lỗ hổng nghiêm trọng. Nghiên cứu của Afolalu và Tsoeu (2025) chỉ ra rằng insider threats trong môi trường đại học phức tạp hơn nhiều so với doanh nghiệp, bởi số lượng người dùng lớn và mức độ kiểm soát truy cập thường lỏng lẻo.

Môi trường giáo dục đại học mang những đặc thù cấu trúc khiến công tác bảo mật trở nên khó khăn hơn hẳn so với các lĩnh vực khác. Thứ nhất, trường đại học vận hành theo triết lý cởi mở — chia sẻ tri thức, hợp tác nghiên cứu quốc tế và cấp quyền truy cập rộng rãi cho nhiều nhóm người dùng. Triết lý này đối lập trực tiếp với nguyên tắc bảo mật theo hạn chế quyền truy cập tối thiểu. Thứ hai, một trường đại học quy mô trung bình thường quản lý hàng chục nghìn tài khoản người dùng, bao gồm sinh viên, giảng viên, nghiên cứu viên, nhân viên hành chính và đối tác bên ngoài. Mỗi nhóm lại có nhu cầu truy cập khác nhau, tạo ra ma trận phân quyền cực kỳ phức tạp. Thứ ba, xu hướng mang thiết bị cá nhân lên trường (BYOD — Bring Your Own Device) khiến mạng nội bộ trường đại học phải tiếp nhận hàng loạt thiết bị không thuộc quyền kiểm soát của cơ sở công nghệ thông tin. Điện thoại thông minh, máy tính xách tay cá nhân, máy tính bảng — tất cả đều có thể mang theo phần mềm độc hại hoặc kết nối với mạng Wi-Fi công cộng trước khi vào mạng trường.

Thứ tư, nhiều trường đại học vẫn vận hành các hệ thống cũ (legacy systems) đã quá hạn hỗ trợ kỹ thuật từ nhà cung cấp. Các hệ thống quản lý học vụ, thư viện số hoặc nền tảng nghiên cứu được xây dựng hàng thập kỷ trước thường không có bản vá bảo mật, không tương thích với các tiêu chuẩn an ninh mạng hiện đại. Thay thế hoàn toàn các hệ thống này đòi hỏi nguồn lực tài chính lớn và gây gián đoạn vận hành, nên nhiều trường chọn cách tiếp tục sử dụng dù biết rõ rủi ro. Ulven và Wangen (2021) nhấn mạnh rằng sự kết hợp giữa hệ thống cũ và hạ tầng mới tạo ra những điểm nút nghẽn an ninh mà kẻ tấn công dễ dàng khai thác.

Vài năm trở lại đây, trường đại học đã trở thành mục tiêu hấp dẫn của cả tin tặc tống tiền lẫn nhóm tấn công có tổ chức do nhiều lý do. Dữ liệu nghiên cứu — đáng chú ý trong các lĩnh vực y sinh, công nghệ vật liệu, trí tuệ nhân tạo và năng lượng — mang giá trị thương mại và chiến lược rất cao. Bản báo cáo nghiên cứu chưa công bố, dữ liệu thử nghiệm lâm sàng và mã nguồn mở của dự án do trường đại học sở hữu đều là thứ mà đối thủ cạnh tranh hoặc nhóm tấn công có động cơ chính trị sẵn sàng trả giá cao để sở hữu. Thêm vào đó, thông tin cá nhân của sinh viên và nhân viên — bao gồm số định danh, địa chỉ, thông tin tài chính, hồ sơ y tế và kết quả học tập — tạo thành một kho dữ liệu phong phú phục vụ cho trộm cắp danh tính và lừa đảo trực tuyến. Nghiên cứu của Afolalu và Tsoeu (2025) xác nhận rằng dữ liệu trong giáo dục đại học có tuổi thọ lưu trữ dài hơn nhiều so với doanh nghiệp — một sinh viên có thể được trường theo dõi dữ liệu suốt 4–6 năm học và nhiều năm sau khi tốt nghiệp — làm tăng giá trị của các bộ dữ liệu này trên thị trường chợ đen.

Bên cạnh dữ liệu nghiên cứu và thông tin cá nhân, sở hữu trí tuệ là một yếu tố khác thu hút kẻ tấn công. Các trường đại học đầu tư đáng kể vào nghiên cứu và phát triển, tạo ra bằng sáng chế, phần mềm bản quyền và phương pháp mới chưa được công bố. Tin tặc có động cơ kinh tế có thể đánh cắp các tài sản trí tuệ này để bán cho đối thủ cạnh tranh hoặc sử dụng cho lợi ích thương mại. Ngay cả hạ tầng mạng của trường đại học — băng thông rộng, máy chủ mạnh mẽ, địa chỉ IP danh tiếng — cũng có thể bị lợi dụng để tấn công các mục tiêu khác, biến trường đại học thành điểm trung chuyển cho các chiến dịch tấn công tinh vi hơn. Các cuộc tấn công nhắm vào trường đại học không chỉ gây thiệt hại cho chính cơ sở giáo dục mà còn tạo ra hiệu ứng dây chuyền nguy hiểm cho toàn bộ hệ thống liên kết, bao gồm đối tác nghiên cứu, cơ quan tài trợ và các tổ chức sử dụng chung hạ tầng mạng giáo dục quốc gia.

Afolalu và Tsoeu (2025) tổng hợp xu hướng nổi bật trong giai đoạn 2020–2025, cho thấy rằng ransomware nhắm vào giáo dục đại học đã tăng hơn 150% so với giai đoạn trước đại dịch. Nhiều cuộc tấn công tận dụng lỗ hổng trong các nền tảng học trực tuyến, hệ thống quản lý học vụ (LMS) và cổng thông tin sinh viên. Các nhóm tấn công ngày càng sử dụng công nghệ tiên tiến hơn, bao gồm khai thác trí tuệ nhân tạo để tạo ra email lừa đảo khó phân biệt, sử dụng chiến thuật kỹ thuật xã hội tinh vi hơn và nhắm vào chuỗi cung ứng phần mềm của trường. Sự thiếu hụt nguồn lực bảo mật chuyên trách tại phần lớn các trường đại học — nơi đội ngũ công nghệ thông tin thường kiêm nhiệm cả bảo mật — càng làm trầm trọng thêm tình trạng.

Đánh giá tổng thể, bức tranh rủi ro an ninh mạng trong giáo dục đại học có thể tóm tắt qua ba đặc điểm cơ bản. Một là, bề mặt tấn công rộng và liên tục mở rộng do số lượng người dùng lớn, đa dạng thiết bị và sự kết hợp giữa hạ tầng cũ với công nghệ mới. Hai là, giá trị tài sản thông tin cao — từ dữ liệu nghiên cứu, sở hữu trí tuệ đến thông tin cá nhân — khiến trường đại học trở thành mục tiêu hấp dẫn đối với nhiều loại kẻ tấn công khác nhau. Ba là, năng lực ứng phó hạn chế do thiếu ngân sách, thiếu nhân lực chuyên trách và triết lý tổ chức ưu tiên sự cởi mở hơn kiểm soát. Ba đặc điểm này tạo thành một vòng lặp rủi ro mà nếu không có can thiệp chủ động từ cấp chiến lược, sẽ tiếp tục kéo theo các hệ lụy nghiêm trọng cho giáo dục đại học.

Bề mặt tấn công trong giáo dục đại học

🎓
Trường đại học

🔒

Ransomware

Mã độc tống tiền mã hóa dữ liệu

🎣

Phishing

Lừa đảo qua email và trang giả

📂

Data Breach

Rò rỉ thông tin sinh viên, nghiên cứu

⚡

DDoS

Làm sập hệ thống bằng lưu lượng giả

👤

Insider Threats

Nguy cơ từ cán bộ nhân viên nội bộ

🔗

Third-party Risk

Rủi ro từ đối tác và nhà cung cấp

Hình 2: Bề mặt tấn công trong giáo dục đại học

2.2. Các cuộc tấn công lớn vào trường đại học — Bài học từ thực tiễn

Các sự cố an ninh mạng lớn nhắm vào trường đại học trong thập kỷ qua đã cung cấp những bài học sâu sắc về mức độ tổn thương của hệ thống giáo dục đại học và hậu quả đa chiều mà các cuộc tấn công gây ra. Không chỉ dừng ở thiệt hại công nghệ, các sự cố này còn làm gián đoạn hoạt động học tập, lộ thông tin cá nhân của hàng chục nghìn người và gây thiệt hại tài chính khổng lồ cho các cơ sở giáo dục vốn đã đang đối mặt với hạn chế ngân sách.

Vào cuối năm 2020, hệ thống của University of California (UC) bị nhóm tin tặc Netwalker tấn công bằng ransomware. Cuộc tấn công mã hóa dữ liệu trên máy chủ của hệ thống, bao gồm cả thông tin nghiên cứu tại UC San Francisco — một trong những trung tâm nghiên cứu y sinh hàng đầu thế giới. Ban đầu nhóm tấn công đòi tiền chuộc 3 triệu USD, nhưng sau quá trình đàm phán, UC đã trả 1,14 triệu USD để lấy lại quyền truy cập dữ liệu. Sự cố này cho thấy ngay cả những trường đại học có nguồn lực công nghệ mạnh nhất cũng không miễn nhiễm với tấn công ransomware. Phương pháp tiếp cận của nhóm Netwalker — xâm nhập qua mạng riêng ảo, từ đó lan rộng trong hệ thống nội bộ — cho thấy lỗ hổng trong việc quản lý quyền truy cập từ xa.

Tại Vương quốc Anh, University of the West of Scotland và Newcastle University đều bị tấn công ransomware trong năm 2020. Cuộc tấn công buộc cả hai trường phải đóng cửa hệ thống trực tuyến trong nhiều tuần, gián đoạn việc giảng dạy và học tập ngay giữa học kỳ. Sinh viên không thể truy cập tài liệu học tập, nộp bài tập hay nhận kết quả. Cả hai trường đều không xác nhận hay phủ nhận việc trả tiền chuộc, nhưng các chuyên gia an ninh mạng ước tính chi phí khôi phục hệ thống và bù đắp thiệt hại lên tới hàng triệu bảng Anh. Bài học rút ra là ransomware không chỉ phá hủy dữ liệu mà còn làm tê liệt toàn bộ chuỗi hoạt động giáo dục, từ giảng dạy, nghiên cứu đến hành chính.

Đại dịch COVID-19 tạo ra một bước ngoặt quyết định trong cảnh quan an ninh mạng giáo dục. Khi các trường đại học buộc phải chuyển sang giảng dạy và học tập trực tuyến gần như ngay lập tức, nhiều cơ sở giáo dục triển khai các nền tảng học trực tuyến, công cụ cộng tác và hệ thống quản lý học tập trong thời gian cực kỳ ngắn. Việc triển khai gấp rút có nghĩa là các đánh giá bảo mật bị bỏ qua, các cấu hình mặc định không được chỉnh sửa và nhân viên công nghệ thông tin không có đủ thời gian để đào tạo người dùng. Chahid et al. (2025) phân tích tình hình tại các trường đại học Maroc và kết luận rằng đại dịch đã làm bộc lộ những điểm yếu sẵn có trong hạ tầng công nghệ giáo dục, đồng thời tạo ra những lỗ hổng mới do các giải pháp tạm thời được sử dụng mà không có kế hoạch bảo mật đi kèm.

Một ví dụ tiêu biểu khác là cuộc tấn công vào hệ thống của Allegany County Public Schools tại Mỹ vào năm 2020, dù không phải trường đại học, nhưng phản ánh chính xác mô hình tấn công mà các cơ sở giáo dục đối mặt. Kẻ tấn công lợi dụng lỗ hổng trong hệ thống VPN để xâm nhập, sau đó lan rộng ra toàn bộ mạng nội bộ. Mô hình này lặp lại trong nhiều cuộc tấn công nhắm vào trường đại học, nơi hệ thống truy cập từ xa — được thiết lập khẩn cấp trong đại dịch — trở thành cửa ngõ chính cho kẻ xâm nhập. Các trường không có thời gian triển khai xác thực đa yếu tố (MFA) cho toàn bộ người dùng trước khi chuyển sang trực tuyến, tạo ra một khoảng trống bảo mật mà kẻ tấn công nhanh chóng khai thác.

Năm 2021, trường đại học Clarkston tại Mỹ bị ransomware tấn công, khiến toàn bộ hệ thống công nghệ thông tin đóng băng trong suốt ba tuần. Trường phải tiếp nhận bài tập bằng hình thức giấy, giáo viên sử dụng điện thoại cá nhân để liên lạc với sinh viên, và toàn bộ quá trình đăng ký học kỳ bị hoãn lại. Chi phí khôi phục ước tính đạt hơn 400.000 USD — con số lớn đối với một trường đại học quy mô nhỏ. Sự kiện này minh chứng rằng ngay cả các trường đại học vừa và nhỏ cũng nằm trong tầm ngắm của tin tặc tống tiền, bởi nhóm tấn công biết rằng các cơ sở giáo dục có động lực mạnh mẽ để khôi phục hệ thống nhanh chóng và sẵn sàng trả tiền chuộc hơn so với các tổ chức khác.

Hậu quả của các cuộc tấn công không chỉ dừng ở gián đoạn kỹ thuật. Rò rỉ dữ liệu đi kèm với ransomware ngày càng phổ biến, khi nhóm tấn công không chỉ mã hóa dữ liệu mà còn sao chép và đe dọa công bố thông tin nhạy cảm. Trong nhiều trường hợp, dữ liệu bị lộ bao gồm hồ sơ nhân sự, thông tin lương, kết quả nghiên cứu chưa công bố và dữ liệu cá nhân của sinh viên. Các cơ sở giáo dục phải đối mặt với chi phí tuân thủ pháp luật — thông báo cho người bị ảnh hưởng, cung cấp dịch vụ bảo vệ danh tính, đối phó với các vụ kiện tập thể và chịu các khoản phạt từ cơ quan quản lý dữ liệu. Thiệt hại danh tiếng cũng nghiêm trọng không kém, khi sinh viên và phụ huynh mất niềm tin vào khả năng bảo vệ thông tin của trường.

Kinh nghiệm từ các sự cố trên cho thấy một số mô hình tấn công lặp lại. Nhóm tấn công thường bắt đầu bằng chiến dịch phishing nhắm vào nhân viên hoặc sinh viên, đánh cắp thông tin đăng nhập. Từ tài khoản bị xâm phạm, kẻ tấn công di chuyển ngang trong mạng nội bộ, tìm kiếm quyền truy cập cao hơn và hệ thống chứa dữ liệu giá trị. Sau khi đạt được quyền kiểm soát đủ lớn, chúng triển khai ransomware đồng thời sao chép dữ liệu để đe dọa công bố. Chuỗi tấn công này tận dụng triệt để đặc thù của môi trường giáo dục: số lượng lớn người dùng với mức độ nhận thức bảo mật thấp, mạng nội bộ phức tạp với nhiều điểm kết nối và dữ liệu phong phú phân tán trên nhiều hệ thống.

Bài học lớn nhất từ thực tiễn là các trường đại học không thể coi an ninh mạng là nhiệm vụ phụ của bộ phận công nghệ thông tin. Các cuộc tấn công ransomware thành công đều xuất phát từ chuỗi lỗi hệ thống: thiếu đánh giá rủi ro định kỳ, không có kế hoạch ứng phó sự cố, thiếu sao lưu dữ liệu ngoại tuyến, không triển khai xác thực đa yếu tố và không đào tạo thường xuyên cho người dùng. Việc chỉ đầu tư vào công nghệ mà bỏ qua con người và quy trình — ba trụ cột nền tảng của an ninh mạng — đã khiến nhiều trường đại học trả giá đắt khi đối mặt với tấn công thực tế.

2.3. Rò rỉ dữ liệu trong giáo dục đại học

Rò rỉ dữ liệu là một trong những hậu quả nghiêm trọng và lâu dài nhất của các lỗ hổng an ninh mạng trong giáo dục đại học. Không giống như gián đoạn hệ thống có thể khôi phục trong vài ngày hoặc vài tuần, dữ liệu bị lộ không thể thu hồi — một khi thông tin cá nhân, kết quả nghiên cứu hoặc tài sản trí tuệ xuất hiện trên mạng, hậu quả sẽ kéo dài theo thời gian. Li, Xiao và Zhang (2023) đã phân tích hàng nghìn sự cố rò rỉ dữ liệu tại các trường đại học và xác định các nhân tố chính dẫn đến khủng hoảng bảo mật dữ liệu trong môi trường giáo dục.

Nghiên cứu của Li et al. (2023) cho thấy quy mô rò rỉ dữ liệu trong giáo dục đại học đã tăng đều đặn trong thập kỷ qua, với số lượng sự cố báo cáo tăng gấp ba lần trong giai đoạn 2018–2022. Trong đó, một sự cố trung bình làm lộ thông tin cá nhân của khoảng 25.000 người — bao gồm sinh viên, cựu sinh viên, giảng viên và nhân viên. Các bộ dữ liệu bị lộ thường chứa nhiều loại thông tin nhạy cảm cùng lúc: tên, ngày sinh, số định danh, địa chỉ, số điện thoại, địa chỉ email, thông tin học tập và trong nhiều trường hợp cả số thẻ tín dụng hoặc hồ sơ y tế. Sự kết hợp nhiều loại thông tin này làm tăng nghiêm trọng nguy cơ trộm cắp danh tính và lừa đảo.

Yếu tố con người đóng vai trò then chốt trong phần lớn các sự cố rò rỉ dữ liệu. Amoresano và Yankson (2023) tiến hành nghiên cứu đi sâu vào lỗi con người như một nhân tố góp phần thiết yếu làm tăng rò rỉ dữ liệu trong giáo dục đại học. Kết quả cho thấy sai sót của nhân viên và giảng viên — bao gồm gửi email sai người nhận, thiết lập quyền truy cập không đúng, để lộ mật khẩu và sử dụng thiết bị không bảo mật — chiếm tỷ trọng lớn trong các nguyên nhân rò rỉ dữ liệu. Nghiên cứu này phản bác nhận định phổ biến rằng hầu hết rò rỉ dữ liệu xuất phát từ tấn công kỹ thuật tinh vi từ bên ngoài. Thực tế, nhiều sự cố bắt đầu từ một sai sót đơn giản của người dùng bên trong, tạo điều kiện cho kẻ tấn công khai thác hoặc trực tiếp làm lộ dữ liệu.

Amoresano và Yankson (2023) cũng phân loại các loại lỗi con người phổ biến nhất trong môi trường đại học. Lỗi thiếu hiểu biết xảy ra khi người dùng không nhận thức được rủi ro của hành động — ví dụ nhân viên gửi file chứa dữ liệu sinh viên qua email không mã hóa. Lỗi cẩu thả xảy ra khi người dùng biết quy trình nhưng không tuân thủ — ví dụ giảng viên lưu file điểm trên máy tính cá nhân không có mã bảo vệ. Lỗi do áp lực thời gian xảy ra khi nhân viên phải xử lý lượng công việc lớn trong thời gian ngắn, dẫn đến bỏ qua các bước bảo mật thiết yếu. Mỗi loại lỗi đòi hỏi chiến lược can thiệp khác nhau, từ đào tạo nhận thức đến cải tiến quy trình và điều chỉnh khối lượng công việc.

Thực trạng dữ liệu cá nhân sinh viên trong kỷ nguyên số đặt ra những câu hỏi sâu sắc về quyền riêng tư và trách nhiệm bảo vệ thông tin. Một sinh viên đại học hiện nay để lại dấu tích kỹ thuật số ở mọi điểm chạm với hệ thống của trường: đăng ký học phần, nộp bài tập, sử dụng thư viện số, tham gia hoạt động ngoại khóa, sử dụng thẻ ăn, đăng nhập Wi-Fi, truy cập phòng máy tính và liên lạc qua email trường. Mỗi tương tác tạo ra một bản ghi dữ liệu, và tổng hợp các bản ghi này vẽ nên bức tranh chi tiết về hành vi, thói quen và đời tư của sinh viên. Khi các dữ liệu này bị lộ, hậu quả vượt xa phạm vi kỹ thuật — nó ảnh hưởng đến cơ hội việc làm, reputación xã hội và an toàn cá nhân của sinh viên trong nhiều năm.

Li et al. (2023) phân tích thêm rằng các yếu tố tổ chức cũng đóng góp đáng kể vào rủi ro rò rỉ dữ liệu. Thiếu chính sách bảo vệ dữ liệu rõ ràng, không có người chịu trách nhiệm chính về an ninh dữ liệu, thiếu quy trình phân loại dữ liệu theo mức độ nhạy cảm và không thực hiện đánh giá tác động bảo mật định kỳ — tất cả đều tạo ra môi trường thuận lợi cho rò rỉ dữ liệu xảy ra. Các trường đại học ở các quốc gia đang phát triển đối mặt với những thách thức nặng nề hơn khi khung pháp lý về bảo vệ dữ liệu chưa hoàn thiện, thiếu nguồn lực để tuân thủ các tiêu chuẩn quốc tế và nhận thức về quyền riêng tư dữ liệu chưa đủ sâu rộng.

Tại khu vực Đông Nam Á, nghiên cứu của Miskam et al. (2023) về thực hành bảo mật dữ liệu tại các trường đại học tư thục ở Malaysia cung cấp một góc nhìn giá trị về tình trạng bảo vệ dữ liệu trong bối cảnh địa phương. Kết quả khảo sát cho thấy phần lớn các trường đại học tư thục Malaysia đã triển khai các biện pháp bảo mật dữ liệu cơ bản, nhưng mức độ trưởng thành của hệ thống quản lý dữ liệu vẫn ở mức thấp đến trung bình. Các trường thường thiếu chính sách bảo mật dữ liệu đầy đủ, không có quy trình xử lý sự cố rò rỉ chuẩn hóa và nhân viên có nhận thức hạn chế về các quy định bảo vệ dữ liệu cá nhân (Personal Data Protection Act) của Malaysia.

Miskam et al. (2023) cũng phát hiện rằng các trường đại học tư thục nhỏ hơn — chiếm phần lớn trong hệ thống giáo dục đại học Malaysia — gặp khó khăn lớn hơn trong việc đầu tư vào bảo mật dữ liệu do hạn chế ngân sách và thiếu nhân lực chuyên trách. Nhiều trường giao việc quản lý dữ liệu cho nhân viên công nghệ thông tin kiêm nhiệm, những người có chuyên môn về mạng và hệ thống nhưng thiếu kiến thức chuyên sâu về bảo vệ dữ liệu. Sự chênh lệch giữa quy mô dữ liệu mà trường phải quản lý và năng lực bảo vệ tạo ra khoảng trống rủi ro đáng kể. Kết quả nghiên cứu này mang tính đại diện cao cho nhiều quốc gia Đông Nam Á, nơi hệ thống giáo dục đại học tư thục phát triển nhanh nhưng khung quản trị và bảo vệ dữ liệu chưa theo kịp.

So sánh giữa bối cảnh quốc tế và khu vực Đông Nam Á cho thấy một số khác biệt quan trọng. Ở Mỹ và châu Âu, các sự cố rò rỉ dữ liệu thường được phát hiện và báo cáo công khai do quy định pháp luật nghiêm ngặt (như FERPA ở Mỹ hay GDPR ở châu Âu), trong khi tại Đông Nam Á nhiều sự cố có thể không được phát hiện hoặc không được công bố. Điều này không có nghĩa là rủi ro thấp hơn — mà phản ánh mức độ minh bạch và năng lực phát hiện sự cố khác nhau. Ngoài ra, các trường đại học ở các nước phát triển thường phải đối mặt với chi phí tuân thủ pháp lý cao hơn sau khi xảy ra rò rỉ, tạo động lực mạnh mẽ hơn để đầu tư phòng ngừa. Tại Đông Nam Á, khi các quốc gia đang xây dựng và hoàn thiện khung pháp lý về bảo vệ dữ liệu, các trường đại học cần chủ động chuẩn bị thay vì chờ đợi áp lực tuân thủ từ bên ngoài.

Tổng hợp các nghiên cứu trên, có thể nhận diện bốn nhóm nhân tố chính dẫn đến rò rỉ dữ liệu trong giáo dục đại học. Nhóm nhân tố công nghệ bao gồm hệ thống cũ thiếu bản vá, cấu hình sai, thiếu mã hóa dữ liệu và không có hệ thống giám sát an ninh mạng. Nhóm nhân tố con người bao gồm thiếu nhận thức bảo mật, sai sót trong thao tác, áp lực công việc và không tuân thủ quy trình. Nhóm nhân tố tổ chức bao gồm thiếu chính sách, thiếu phân công trách nhiệm rõ ràng, thiếu ngân sách và thiếu quy trình ứng phó sự cố. Nhóm nhân tố bên ngoài bao gồm tấn công từ tin tặc, khai thác lỗ hổng bên thứ ba và thay đổi nhanh chóng của công nghệ. Bốn nhóm nhân tố này tương tác với nhau tạo thành một hệ thống rủi ro mà không một giải pháp đơn lẻ nào có thể giải quyết triệt để.

2.4. An ninh mạng trong quá trình chuyển đổi số trường đại học

Chuyển đổi số đang định hình lại mọi khía cạnh của giáo dục đại học — từ phương thức giảng dạy, cách thức nghiên cứu đến vận hành hành chính và quản trị. Tuy nhiên, quá trình chuyển đổi số cũng tạo ra những rủi ro an ninh mạng mới và khuếch đại các rủi ro sẵn có. Mối quan hệ giữa chuyển đổi số và an ninh mạng trong giáo dục đại học là một vấn đề cần được phân tích toàn diện, bởi giải quyết rủi ro không phải là cản trở chuyển đổi số mà là điều kiện để chuyển đổi số bền vững.

Chahid et al. (2025) đã khảo sát thực trạng chuyển đổi số và rủi ro an ninh mạng tại các trường đại học Maroc, kết luận rằng thiếu nhận thức về an ninh mạng là một trong những rào cản lớn nhất đối với chuyển đổi số thành công. Các trường đại học trong nghiên cứu đã đầu tư đáng kể vào hạ tầng công nghệ — triển khai hệ thống quản lý học tập, số hóa hồ sơ, xây dựng nền tảng nghiên cứu trực tuyến — nhưng lại phân bổ nguồn lực rất hạn chế cho an ninh mạng. Hệ quả là các hệ thống mới được triển khai với cấu hình mặc định, không có đánh giá rủi ro đi kèm, và nhân viên không được đào tạo để vận hành an toàn trong môi trường số. Nghiên cứu cũng phát triển một bộ chiến lược đối phó, trong đó nhấn mạnh tầm quan trọng của việc tích hợp an ninh mạng vào mọi giai đoạn chuyển đổi số thay vì coi đây là công việc bổ sung sau khi triển khai công nghệ.

Nghiên cứu của Amine et al. (2023) bổ sung góc nhìn về tiêu chuẩn quản lý an ninh mạng được áp dụng trong giáo dục đại học. Khảo sát tổng hợp các tiêu chuẩn quốc tế — bao gồm bộ tiêu chuẩn ISO 27001, khung NIST Cybersecurity Framework và các hướng dẫn đặc thù cho giáo dục — cho thấy phần lớn các trường đại học chưa tuân thủ đầy đủ bất kỳ bộ tiêu chuẩn nào. Lý do phổ biến bao gồm thiếu hiểu biết về tiêu chuẩn, chi phí tuân thủ cao, thiếu nhân lực để triển khai và sự thiếu phù hợp của các tiêu chuẩn chung với đặc thù giáo dục. Amine et al. (2023) đề xuất một khung quản lý an ninh mạng thích ứng với giáo dục đại học, kết hợp các nguyên tắc từ tiêu chuẩn quốc tế nhưng được điều chỉnh cho phù hợp với nguồn lực và bối cảnh của cơ sở giáo dục.

Văn hóa an ninh mạng trong tổ chức giáo dục đóng vai trò nền tảng quyết định hiệu quả của mọi nỗ lực bảo mật kỹ thuật. Pavlova (2020) nghiên cứu cách tăng cường văn hóa tổ chức liên quan đến an ninh mạng trong quá trình chuyển đổi số trường đại học, khẳng định rằng văn hóa an ninh mạng — tức tập hợp các giá trị, niềm tin, hành vi và thực hành liên quan đến an ninh mạng được chia sẻ trong tổ chức — là yếu tố dự báo quan trọng nhất về mức độ an toàn thực tế của một trường đại học. Một tổ chức có văn hóa an ninh mạng mạnh sẽ tạo ra môi trường mà mọi thành viên — từ lãnh đạo đến sinh viên — tự giác nhận thức và chịu trách nhiệm về an toàn thông tin. Ngược lại, nếu an ninh mạng chỉ được coi là trách nhiệm của bộ phận công nghệ thông tin, mọi công nghệ bảo mật sẽ chỉ là lớp vỏ bọc mỏng dễ xuyên thủng.

Pavlova (2020) chỉ ra rằng xây dựng văn hóa an ninh mạng trong trường đại học cần tiếp cận từ nhiều chiều. Chiều lãnh đạo đòi hỏi ban giám hiệu phải thể hiện cam kết rõ ràng với an ninh mạng, phân bổ ngân sách phù hợp và tạo cơ chế trách nhiệm giải trình. Chiều quy trình đòi hỏi xây dựng chính sách an ninh mạng rõ ràng, tích hợp vào mọi quy trình vận hành và đánh giá định kỳ. Chiều con người đòi hỏi đào tạo và nâng cao nhận thức thường xuyên cho tất cả nhóm người dùng, không chỉ nhân viên công nghệ thông tin. Chiều công nghệ đòi hỏi triển khai các giải pháp bảo mật phù hợp, có giám sát và cập nhật liên tục. Bốn chiều này tương hỗ lẫn nhau — đầu tư công nghệ mà không có văn hóa hỗ trợ sẽ lãng phí nguồn lực, xây dựng văn hóa mà không có công cụ kỹ thuật sẽ chỉ tạo cảm giác an toàn giả tạo.

Nhận thức an ninh mạng của sinh viên — nhóm người dùng đông đảo nhất trong trường đại học — đã trở thành chủ đề nghiên cứu ngày càng quan trọng. Muasher, Ghandour và Abusaimeh (2024) khảo sát mức độ nhận thức an ninh mạng của sinh viên đại học tại Jordan, phát hiện rằng mặc dù sinh viên sử dụng công nghệ thường xuyên, nhận thức về các rủi ro an ninh mạng và kỹ năng tự bảo vệ lại ở mức trung bình thấp. Phần lớn sinh viên trong khảo sát không biết cách nhận diện email lừa đảo, không sử dụng mật khẩu mạnh và duy nhất cho nhiều tài khoản, không bật xác thực đa yếu tố và thường xuyên kết nối với mạng Wi-Fi công cộng mà không có biện pháp bảo vệ. Kết quả này phù hợp với nghiên cứu trước đó của Alqahtani (2022), người khảo sát các nhân tố ảnh hưởng đến nhận thức an ninh mạng của sinh viên đại học tại Ả Rập Xê Út.

Alqahtani (2022) xác định rằng các nhân tố ảnh hưởng đến nhận thức an ninh mạng của sinh viên bao gồm kiến thức công nghệ thông tin cơ bản, kinh nghiệm sử dụng internet, giáo dục chính quy về an ninh mạng và ảnh hưởng xã hội từ bạn bè và giảng viên. Sinh viên có kiến thức công nghệ thông tin tốt hơn không nhất thiết có nhận thức an ninh mạng cao hơn — một phát hiện quan trọng chỉ ra rằng kỹ năng sử dụng công nghệ và ý thức bảo vệ thông tin là hai năng lực riêng biệt cần được phát triển độc lập. Nghiên cứu cũng chỉ ra rằng sinh viên hiếm khi nhận được đào tạo chính thức về an ninh mạng từ trường đại học, dù đây là môi trường nơi họ sử dụng nhiều dịch vụ trực tuyến nhất và nơi dữ liệu của họ được lưu trữ và xử lý.

Khoảng cách giữa chiến lược chuyển đổi số và thực tế an ninh mạng trong giáo dục đại học hiện nay còn rất lớn. Ở cấp chiến lược, nhiều trường đại học đã ban hành tầm nhìn chuyển đổi số tham vọng, cam kết xây dựng "trường đại học thông minh" và "giáo dục số hóa toàn diện". Tuy nhiên, các chiến lược này hiếm khi đề cập cụ thể đến an ninh mạng — hoặc chỉ dành một vài dòng ngắn gọn về "đảm bảo an toàn thông tin" mà không đi sâu vào các biện pháp cụ thể. Chahid et al. (2025) gọi đây là khoảng cách giữa phát triển công nghệ và bảo vệ công nghệ, khi các trường đang xây tòa nhà cao tầng mà không chú trọng đến hệ thống phòng cháy chữa cháy. Khoảng cách này không chỉ tạo ra rủi ro cho hiện tại mà còn tích lũy thành nợ kỹ thuật an ninh sẽ ngày càng khó khắc phục khi hệ thống phức tạp thêm.

Afolalu và Tsoeu (2025) tổng hợp các giải pháp đề xuất từ nhiều nghiên cứu và xác định ba hướng tiếp cận chính. Hướng tiếp cận công nghệ tập trung vào triển khai các giải pháp bảo mật kỹ thuật: tường lửa thế hệ mới, hệ thống phát hiện xâm nhập, mã hóa dữ liệu, xác thực đa yếu tố và sao lưu ngoại tuyến. Hướng tiếp cận quản trị tập trung vào xây dựng chính sách, quy trình, tiêu chuẩn và cơ cấu tổ chức phù hợp cho an ninh mạng. Hướng tiếp cận con người tập trung vào đào tạo, nâng cao nhận thức và xây dựng văn hóa an ninh mạng. Ba hướng tiếp cận này đều cần thiết, nhưng nghiên cứu cho thấy hầu hết các trường đại học chỉ tập trung vào hướng tiếp cận công nghệ — giải pháp dễ thấy và dễ đo lường — trong khi bỏ qua hai hướng còn lại.

Tuy nhiên, ba hướng tiếp cận trên đều mang tính phản ứng: giải quyết vấn đề sau khi rủi ro đã xuất hiện hoặc sau khi công nghệ đã được triển khai. Thiếu vắng một hướng tiếp cận thứ tư — tiếp cận chủ động, tích hợp an ninh mạng ngay từ giai đoạn thiết kế và lập kế hoạch chuyển đổi số. Đây chính là điểm neo để chuyển sang Phần 3 của bài viết: tiếp cận "an toàn từ thiết kế" (security by design) như một phương pháp luận cần được đưa vào mọi chiến lược chuyển đổi số trường đại học. An toàn từ thiết kế không chỉ đòi hỏi đội ngũ kỹ thuật áp dụng các nguyên tắc bảo mật khi xây dựng hệ thống, mà còn yêu cầu lãnh đạo tổ chức thay đổi cách tư duy về mối quan hệ giữa chuyển đổi số và an ninh mạng — từ coi an ninh là rào cản, gánh nặng chi phí sang coi an ninh là điều kiện tiên quyết và là giá trị vị trí trung tâm của quá trình chuyển đổi số.

TÀI LIỆU THAM KHẢO

Afolalu, O., & Tsoeu, M. S. (2025). Cybersecurity in Higher Education Institutions: A Systematic Review of Emerging Trends, Challenges and Solutions. Future Internet, 17(12), 575. https://doi.org/10.3390/fi17120575

Alqahtani, M. A. (2022). Factors Affecting Cybersecurity Awareness among University Students. Applied Sciences, 12(5), 2589. https://doi.org/10.3390/app12052589

Amine, A. M. et al. (2023). A Review of Cybersecurity Management Standards Applied in Higher Education Institutions. International Journal of Safety and Security Engineering, 13(6), 1419–1430. https://doi.org/10.18280/ijsse.130614

Amoresano, K., & Yankson, B. (2023). Human Error - A Critical Contributing Factor to the Rise in Data Breaches: A Case Study of Higher Education. Heliyon Business & Policy Archives, 9, 1–12. https://doi.org/10.2478/hjbpa-2023-0007

Chahid, A. et al. (2025). Digital Transformation in Higher Education Obstacle Assessment and Development of Strategies against Cybersecurity Threats: The Case of Moroccan Universities. Engineering, Technology & Applied Science Research, 15(1), 8853. https://doi.org/10.48084/etasr.8853

Li, J., Xiao, W., & Zhang, C. (2023). Data security crisis in universities: identification of key factors affecting data breach incidents. Humanities and Social Sciences Communications, 10, 757. https://doi.org/10.1057/s41599-023-01757-0

Miskam, S. et al. (2023). Data Privacy Practices of Private Higher Education Institutions in Malaysia: A Preliminary Study. Malaysian Journal of Information and Communication Technology, 8(2), 99–112. https://doi.org/10.53840/myjict8-2-99

Muasher, B., Ghandour, A., & Abusaimeh, H. (2024). Enhancing Digital Transformation in Higher Education: A Study on Cybersecurity Awareness Among University Students in Jordan. Trong Lecture Notes in Networks and Systems (trang 175–191). Springer. https://doi.org/10.1007/978-3-031-73632-2_12

Pavlova, E. (2020). Enhancing the Organisational Culture related to Cyber Security during the University Digital Transformation. Information Security Journal: A Global Perspective, 29(5), 261–275. https://doi.org/10.11610/isij.4617

Ulven, J. B., & Wangen, G. (2021). A Systematic Review of Cybersecurity Risks in Higher Education. Future Internet, 13(2), 39. https://doi.org/10.3390/fi13020039

PHẦN 3: SỰ AN TOÀN TỪ THIẾT KẾ — KHÁI NIỆM VÀ NGUYÊN TẮC

3.1. Nguồn gốc và phát triển khái niệm Privacy by Design

3.1.1. Ann Cavoukian và bảy nguyên tắc gốc

Khái niệm "sự riêng tư từ thiết kế" (Privacy by Design) ra đời từ công trình của Ann Cavoukian — Ủy viên Thông tin và Quyền riêng tư tỉnh Ontario, Canada. Cavoukian phát triển khái niệm này từ giữa những năm 1990, khi bà nhận ra các hệ thống công nghệ ngày càng thu thập dữ liệu cá nhân ở quy mô lớn mà không có cơ chế bảo vệ tích hợp ngay từ đầu. Công trình của bà, nổi bật là ấn phẩm "Privacy by Design: The Definitive Workshop" xuất bản năm 2010, đã hệ thống hóa khái niệm thành một khuôn tư duy hoàn chỉnh (Cavoukian, 2010).

Năm 2010, cùng với Scott Taylor và Martin E. Abrams, Cavoukian củng cố khung lý thuyết trong bài báo "Privacy by Design: Essential for Organizational Accountability and Strong Business Practices". Ba tác giả khẳng định sự riêng tư từ thiết kế không chỉ là vấn đề đạo đức hay tuân thủ pháp luật, mà còn là yếu tố then chốt tạo nên năng lực cạnh tranh và trách nhiệm giải trình của tổ chức (Cavoukian, Taylor & Abrams, 2010). Họ lập luận rằng khi một tổ chức xây dựng quyền riêng tư vào cấu trúc hệ thống ngay từ đầu, tổ chức đó giảm thiểu rủi ro vi phạm, củng cố niềm tin của khách hàng và đối tác, đồng thời tiết kiệm chi phí xử lý hậu quả sau sự cố.

Khung Privacy by Design gồm bảy nguyên tắc nền tảng. Cavoukian nhấn mạnh nguyên tắc đầu tiên: tiếp cận chủ động, phòng ngừa thay vì phản ứng sau sự cố (Cavoukian, 2010). Nguyên tắc này đòi hỏi các nhà thiết kế hệ thống phải dự báo trước những rủi ro về quyền riêng tư ngay ở giai đoạn lên ý tưởng, trước khi hệ thống đi vào hoạt động. Nguyên tắc thứ hai yêu cầu quyền riêng tư phải là thiết lập mặc định — nghĩa là người dùng không cần thực hiện bất kỳ hành động nào để được bảo vệ. Nguyên tắc thứ ba quy định quyền riêng tư phải được nhúng vào thiết kế, trở thành một thành phần thiết yếu chứ không phải phần bổ sung thêm sau này (Cavoukian, 2010).

Nguyên tắc thứ tư của Cavoukian đề cao mô hình tổng bằng (positive-sum), trong đó bảo vệ quyền riêng tư và phát triển chức năng hệ thống song hành tiến triển, không hủy hoại lẫn nhau. Nguyên tắc thứ năm yêu cầu bảo vệ xuyên suốt vòng đời dữ liệu — từ khi thu thập, lưu trữ, sử dụng cho đến khi tiêu hủy. Nguyên tắc thứ sáu nhấn mạnh tính minh bạch: hệ thống phải hoạt động công khai, cho phép kiểm chứng độc lập. Nguyên tắc thứ bảy đặt người dùng vào trung tâm thiết kế, tôn trọng trải nghiệm và quyền kiểm soát của họ đối với dữ liệu cá nhân (Cavoukian, Taylor & Abrams, 2010).

Cavoukian không coi bảy nguyên tắc này là danh sách kiểm tra tĩnh. Bà trình bày chúng như một khuôn tư duy động — một cách tiếp cận mang tính triết học, yêu cầu người thiết kế luôn cân nhắc quyền riêng tư trong mọi quyết định kỹ thuật. Theo Cavoukian, khi nguyên tắc được thể chế hóa vào quy trình phát triển sản phẩm, nó tạo ra văn hóa tổ chức mà ở đó bảo vệ dữ liệu cá nhân trở thành phản xạ tự nhiên, không phải gánh nặng hành chính (Cavoukian, 2010).

3.1.2. Từ quyền riêng tư đến an toàn thông tin — mở rộng khái niệm

Khung Privacy by Design ban đầu tập trung vào quyền riêng tư dữ liệu cá nhân. Tuy nhiên, thực tiễn công nghệ nhanh chóng cho thấy quyền riêng tư và an toàn thông tin có mối quan hệ cộng sinh chặt chẽ: không thể bảo vệ quyền riêng tư nếu hệ thống không an toàn, và một hệ thống an toàn mà vi phạm quyền riêng tư thì mất đi giá trị then chốt (Kreitz, 2019). Sự mở rộng khái niệm từ "privacy by design" sang "security by design" phản ánh nhận thức này.

Trong kỹ thuật phần mềm, Kreitz xác định "an toàn từ thiết kế" (security by design) là phương pháp tích hợp các biện pháp bảo vệ an toàn thông tin vào mọi giai đoạn của quy trình phát triển phần mềm — từ phân tích yêu cầu, kiến trúc hệ thống, viết mã, kiểm thử cho đến triển khai (Kreitz, 2019). Kreitz lập luận rằng phương pháp truyền thống — kiểm tra và vá lỗi an toàn sau khi sản phẩm hoàn thiện — ngày càng thất bại trước sự gia tăng nhanh chóng của các mối đe dọa mạng. Cách tiếp cận mới đòi hỏi đội ngũ kỹ sư phải suy nghĩ về an toàn ngay khi bắt đầu vẽ bản đồ hệ thống.

Mirakhorli, Galster và Williams mở rộng phân tích này trong nghiên cứu về an toàn phần mềm từ thiết kế đến triển khai. Họ chứng minh rằng phần lớn lỗ hổng an toàn nghiêm trọng xuất phát từ các quyết định kiến trúc ở giai đoạn đầu — khi nhà thiết kế chọn mô hình dữ liệu, giao tiếp giữa các dịch vụ, cơ chế xác thực (Mirakhorli, Galster & Williams, 2020). Nếu những quyết định này được đưa ra mà không có đánh giá rủi ro an toàn, việc khắc phục sau này đòi hỏi chi phí khổng lồ, đôi khi phải thiết kế lại toàn bộ hệ thống.

Beach và cộng sự (2019) cũng đóng góp quan trọng khi phân tích các nguyên tắc kỹ thuật hệ thống an toàn. Họ xây dựng khung liên kết giữa nguyên tắc Privacy by Design của Cavoukian với các tiêu chuẩn kỹ thuật an toàn hệ thống, cho thấy hai khuôn tư duy này bổ sung cho nhau (Beach et al., 2019). Privacy by Design cung cấp triết lý và nguyên tắc; security by design cung cấp công cụ và kỹ thuật thực thi. Sự hội tụ của hai trường phái tư tưởng tạo nên khái niệm tổng quát hơn mà bài viết này gọi là "sự an toàn từ thiết kế" — bao hàm cả bảo vệ quyền riêng tư và an toàn thông tin.

Bước ngoặt quan trọng trong sự phát triển của khái niệm này là sự thể chế hóa qua pháp luật. Tháng tư năm 2016, Liên minh Châu Âu thông qua Quy định chung về Bảo vệ Dữ liệu (General Data Protection Regulation — GDPR). Điều 25 của GDPR quy định nguyên tắc "bảo vệ dữ liệu từ thiết kế và theo mặc định" (data protection by design and by default) — lần đầu tiên biến khái niệm Privacy by Design thành nghĩa vụ pháp lý bắt buộc (Rubinstein & Good, 2019).

Điều 25 GDPR yêu cầu mọi tổ chức xử lý dữ liệu cá nhân trong Liên minh Châu Âu phải áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu ngay từ khi thiết kế hệ thống. Điều này có nghĩa là việc bảo vệ dữ liệu không còn là lựa chọn tự nguyện hay chiến lược cạnh tranh, mà là yêu cầu pháp lý. Tổ chức vi phạm phải đối mặt với khoản phạt lên đến 4% doanh thu toàn cầu hàng năm hoặc 20 triệu euro — con số đủ lớn để buộc mọi tổ chức, kể cả trường đại học, phải thay đổi cách tiếp cận (Rubinstein & Good, 2019).

Tuy nhiên, Rubinstein và Good (2019) chỉ ra những hạn chế của Điều 25. Họ phân tích rằng ngôn từ pháp lý của điều khoản vẫn thiếu tính cụ thể: "biện pháp kỹ thuật và tổ chức phù hợp" là cụm từ mơ hồ, không xác định rõ tiêu chuẩn cụ thể nào cần đạt (Rubinstein & Good, 2019). Sự mơ hồ này dẫn đến tình trạng các tổ chức hiểu và áp dụng Điều 25 theo những cách khác nhau, gây ra sự không đồng nhất trong thực hành. Hai tác giả đề xuất cần có hướng dẫn thực thi chi tiết hơn, có thể bao gồm tiêu chuẩn kỹ thuật cụ thể, quy trình kiểm toán độc lập và cơ chế chứng nhận bên thứ ba.

Dù còn những điểm cần hoàn thiện, việc GDPR đưa "bảo vệ dữ liệu từ thiết kế" vào luật đã tạo hiệu ứng domino trên toàn cầu. Các quốc gia ngoài Liên minh Châu Âu, trong đó có Việt Nam, đã nghiên cứu và xây dựng quy định pháp luật về bảo vệ dữ liệu có tích hợp tư duy tương tự. Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân của Việt Nam, ban hành tháng bảy năm 2023, cũng chứa các yêu cầu về biện pháp bảo vệ dữ liệu ngay từ thiết kế hệ thống, cho thấy sự ảnh hưởng ngày càng rộng của khái niệm này.

3.1.4. Sự trỗi dậy trong kỷ nguyên kỹ thuật số

Kỷ nguyên kỹ thuật số đẩy khái niệm "sự an toàn từ thiết kế" từ giới hạn của một ý tưởng học thuật trở thành yêu cầu sống còn. Sự bùng nổ của điện toán đám mây, dữ liệu lớn, trí tuệ nhân tạo và Internet vạn vật tạo ra hệ sinh thái kỹ thuật số phức tạp, nơi dữ liệu cá nhân luân chuyển liên tục qua hàng chục hệ thống, nền tảng và biên giới quốc gia (Cavoukian, 2010). Trong môi trường đó, việc bảo vệ dữ liệu bằng các biện pháp bổ sung sau sự cố trở nên bất khả thi.

Số liệu thống kê cho thấy quy mô của vấn đề. Theo các báo cáo an ninh mạng toàn cầu, số vụ rò rỉ dữ liệu lớn ghi nhận hàng năm tăng gấp ba lần trong thập kỷ qua. Chi phí trung bình cho mỗi vụ rò rỉ dữ liệu tại khu vực giáo dục cao hơn mức trung bình của các ngành khác, do đặc thù dữ liệu nhạy cảm — thông tin sinh viên, kết quả nghiên cứu, tài sản trí tuệ (Kreitz, 2019). Những con số này thúc đẩy các tổ chức giáo dục đại học nhận ra rằng đầu tư vào "sự an toàn từ thiết kế" không còn là khoản chi phí xa xỉ, mà là khoản đầu tư bắt buộc.

Sự phát triển của trí tuệ nhân tạo tạo ra áp lực mới. Các hệ thống AI trong giáo dục thu thập và phân tích dữ liệu hành vi học tập với độ chi tiết chưa từng có — từ thời gian sinh viên đọc tài liệu, tốc độ trả lời câu hỏi, đến biểu hiện cảm xúc qua camera (Mirakhorli, Galster & Williams, 2020). Dữ liệu này mang giá trị to lớn cho cá nhân hóa giáo dục, nhưng đồng thời tiềm ẩn rủi ro nghiêm trọng về quyền riêng tư. "Sự an toàn từ thiết kế" trở thành lăng kính duy nhất để cân bằng giữa cơ hội và rủi ro trong kỷ nguyên AI giáo dục.

Cavoukian đã dự đoán xu hướng này từ năm 2010 khi bà khẳng định: "Bạn không thể có tự do và tự chủ cá nhân nếu không có quyền riêng tư. Sự riêng tư, khi được thiết kế đúng cách, sẽ cho phép chúng ta tận dụng tối đa công nghệ mà không hy sinh các quyền cơ bản" (Cavoukian, 2010). Tuyên bố này ngày càng thể hiện tính đúng đắn khi công nghệ đâm sâu vào mọi khía cạnh của đời sống, trong đó có giáo dục đại học — lĩnh vực mà dữ liệu cá nhân đóng vai trò trung tâm trong mọi hoạt động từ tuyển sinh, giảng dạy, nghiên cứu đến quản trị.

3.2. Các nguyên tắc thiết yếu của "Sự an toàn từ thiết kế"

Nguyên tắc 1: Chủ động, không phản ứng

Nguyên tắc thứ nhất của Cavoukian đòi hỏi tư duy phòng ngừa thay vì chữa trị. Thay vì chờ đợi sự cố xảy ra rồi tìm cách khắc phục, nhà thiết kế phải dự báo các rủi ro và tích hợp biện pháp phòng ngừa ngay từ đầu (Cavoukian, 2010). Nguyên tắc này chuyển trọng tâm từ "cần làm gì khi sự cố xảy ra" sang "cần làm gì để sự cố không xảy ra".

Trong kỹ thuật phần mềm, nguyên tắc này thể hiện qua mô hình "shift-left" — dịch chuyển các hoạt động kiểm tra an toàn về phía bên trái của quy trình phát triển, gần với giai đoạn thiết kế (Kreitz, 2019). Mirakhorli, Galster và Williams (2020) chứng minh rằng khi các quyết định kiến trúc được đưa ra với sự tham gia của chuyên gia an toàn ngay từ đầu, số lượng lỗ hổng phát hiện ở giai đoạn kiểm thử giảm đáng kể (Mirakhorli, Galster & Williams, 2020). Beach và cộng sự (2019) bổ sung rằng tư duy chủ động đòi hỏi đánh giá rủi ro hệ thống xuyên suốt, không chỉ ở một thời điểm (Beach et al., 2019).

Trong giáo dục đại học, nguyên tắc chủ động có ý nghĩa thiết yếu. Một trường đại học xây dựng hệ thống quản lý học tập mới cần đánh giá rủi ro dữ liệu sinh viên trước khi hệ thống đi vào hoạt động, không phải sau khi sinh viên đã sử dụng. Việc đính kèm biện pháp bảo vệ sau khi dữ liệu đã bị lộ không thể khôi phục được quyền riêng tư đã mất.

Nguyên tắc 2: An toàn mặc định

Nguyên tắc thứ hai yêu cầu hệ thống phải bảo vệ người dùng theo thiết lập mặc định. Người dùng không cần thực hiện bất kỳ thao tác nào để được bảo vệ — an toàn là trạng thái tự nhiên của hệ thống (Cavoukian, Taylor & Abrams, 2010). Nếu người dùng muốn giảm mức bảo vệ (ví dụ: chia sẻ dữ liệu công khai), họ phải chủ động thay đổi thiết lập.

Rubinstein và Good (2019) nhấn mạnh rằng nguyên tắc này đã được thể chế hóa qua Điều 25 GDPR, khoản 2 — yêu cầu "bảo vệ dữ liệu theo mặc định" (Rubinstein & Good, 2019). Điều này có nghĩa là nhà phát triển không được thu thập nhiều dữ liệu hơn mức cần thiết cho chức năng cụ thể, ngay cả khi có thể thu thập. Kreitz (2019) áp dụng nguyên tắc này vào kỹ thuật phần mềm: mật khẩu mạnh, mã hóa dữ liệu, xác thực đa yếu tố phải là thiết lập mặc định, không phải tùy chọn người dùng phải tự bật (Kreitz, 2019).

Đối với trường đại học, nguyên tắc này có nghĩa là hệ thống đăng ký môn học phải mặc định che giấu thông tin điểm số của sinh viên khỏi người khác, hệ thống nghiên cứu phải mặc định giới hạn quyền truy cập dữ liệu thí nghiệm. Các thiết lập này phản ánh nguyên tắc thu thập tối thiểu — chỉ lấy dữ liệu cần thiết, cho mục đích cụ thể, trong thời gian cụ thể.

Nguyên tắc 3: An toàn được nhúng vào thiết kế

Nguyên tắc thứ ba quy định an toàn phải là thành phần cấu thành của thiết kế, không phải lớp phủ bên ngoài. Cavoukian sử dụng hình ảnh so sánh: an toàn phải được hòa vào "DNA" của hệ thống (Cavoukian, 2010). Khi an toàn được nhúng vào thiết kế, việc gỡ bỏ nó sẽ làm phá vỡ cấu trúc hệ thống — thể hiện mức độ tích hợp sâu chứ không phải tính năng bổ sung có thể tắt bật theo ý muốn.

Kreitz (2019) phát triển nguyên tắc này trong bối cảnh kỹ thuật phần mềm thông qua các mô hình thiết kế an toàn như STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege) và mô hình đe dọa (Kreitz, 2019). Hệ thống phân loại đe dọa STRIDE giúp kỹ sư xác định chính xác điểm yếu của kiến trúc hệ thống và nhúng biện pháp đối phó ngay vào từng lớp thiết kế. Beach và cộng sự (2019) bổ sung bằng cách xây dựng khung liên kết nguyên tắc nhúng vào thiết kế với các tiêu chuẩn kỹ thuật hệ thống quốc tế (Beach et al., 2019).

Mirakhorli, Galster và Williams (2020) nhấn mạnh rằng khi an toàn được nhúng vào thiết kế, nó trở thành ràng buộc kiến trúc — nghĩa là mọi quyết định thiết kế hệ thống đều phải thỏa mãn yêu cầu an toàn (Mirakhorli, Galster & Williams, 2020). Phương pháp này đối lập với cách tiếp cận truyền thống, trong đó an toàn chỉ được kiểm tra ở giai đoạn cuối bằng các công cụ quét lỗ hổng, thường phát hiện vấn đề khi đã quá muộn để sửa chữa triệt để.

Nguyên tắc 4: Chức năng đầy đủ — mô hình tổng bằng

Nguyên tắc thứ tư bác bỏ tư duy "trò chơi có tổng bằng không" (zero-sum) — ý tưởng rằng bảo vệ quyền riêng tư phải đánh đổi với chức năng hệ thống. Cavoukian lập luận rằng thiết kế tốt có thể đồng thời tối ưu cả chức năng và bảo vệ (Cavoukian, Taylor & Abrams, 2010). Sự riêng tư và chức năng không nằm ở hai đầu của một cân bằng, mà song hành tiến triển trên cùng một trục.

Kreitz (2019) minh họa nguyên tắc này qua các kỹ thuật mã hóa hiện đại. Mã hóa dữ liệu cho phép hệ thống xử lý thông tin mà không cần giải mã, duy trì cả chức năng phân tích và bảo vệ dữ liệu (Kreitz, 2019). Phương pháp mã hóa đồng hình (homomorphic encryption) là ví dụ điển hình: hệ thống có thể thực hiện phép tính trực tiếp trên dữ liệu đã mã hóa mà không cần tiết lộ nội dung, chứng minh rằng bảo vệ dữ liệu không phải là rào cản của chức năng.

Trong giáo dục đại học, nguyên tắc tổng bằng thể hiện qua việc hệ thống phân tích học tập có thể cá nhân hóa lộ trình giáo dục cho sinh viên mà không cần thu thập dữ liệu nhận dạng cá nhân. Kỹ thuật giả danh hóa (pseudonymization) và ẩn danh hóa (anonymization) cho phép nghiên cứu giáo dục khai thác dữ liệu sinh viên để cải thiện chất lượng giảng dạy mà vẫn bảo vệ danh tính cá nhân (Rubinstein & Good, 2019).

Nguyên tắc 5: Bảo vệ vòng đời toàn diện

Nguyên tắc thứ năm yêu cầu an toàn phải được đảm bảo xuyên suốt vòng đời dữ liệu — từ lúc tạo lập, lưu trữ, sử dụng, chia sẻ cho đến khi tiêu hủy (Cavoukian, 2010). Việc bảo vệ chỉ ở một giai đoạn là không đủ, vì chuỗi an toàn bị quyết định bởi mắt xích yếu nhất.

Mirakhorli, Galster và Williams (2020) nhấn mạnh rằng vòng đời phần mềm từ thiết kế đến triển khai phải có lớp bảo vệ ở mỗi giai đoạn (Mirakhorli, Galster & Williams, 2020). Ở giai đoạn thiết kế, bảo vệ thể hiện qua lựa chọn kiến trúc an toàn. Ở giai đoạn hiện thực hóa (implementation), bảo vệ đòi hỏi quy trình viết mã an toàn và kiểm thử bảo mật. Ở giai đoạn triển khai, bảo vệ yêu cầu cấu hình an toàn cho môi trường vận hành. Ở giai đoạn vận hành, bảo vệ đòi hỏi giám sát liên tục và cập nhật kịp thời.

Beach và cộng sự (2019) xây dựng khung nguyên tắc kỹ thuật hệ thống an toàn có tính toàn diện, liên kết bảo vệ vòng đời với khả năng phục hồi của hệ thống (Beach et al., 2019). Theo họ, một hệ thống được thiết kế đúng không chỉ phải chống lại tấn công mà còn phải có khả năng phục hồi nhanh chóng sau sự cố — khả năng phục hồi (resilience) là phần mở rộng tự nhiên của bảo vệ vòng đời.

Đối với trường đại học, vòng đời dữ liệu sinh viên kéo dài từ khi đăng ký nhập học đến nhiều năm sau khi tốt nghiệp. Hệ thống phải bảo vệ dữ liệu trong suốt giai đoạn học tập, sau đó chuyển đổi sang chế độ lưu trữ an toàn khi sinh viên ra trường, và cuối cùng tiêu hủy đúng hạn theo quy định pháp luật. Rất nhiều trường đại học hiện nay lưu trữ dữ liệu sinh viên cũ vô thời hạn, vi phạm trực tiếp nguyên tắc vòng đời toàn diện.

Nguyên tắc 6: Tính minh bạch và khả năng kiểm chứng

Nguyên tắc thứ sáu đòi hỏi hệ thống phải hoạt động minh bạch và cho phép kiểm chứng độc lập. Cavoukian nhấn mạnh rằng người dùng phải biết dữ liệu của họ được thu thập thế nào, xử lý ra sao, lưu trữ ở đâu, chia sẻ với ai và bảo vệ bằng cách nào (Cavoukian, 2010). Minh bạch không phải là đối lập với an toàn — mà là điều kiện tiên quyết của an toàn thực sự.

Kreitz (2019) kết nối nguyên tắc này với mô hình "thiết kế mở" (open design) trong an toàn thông tin — ý tưởng rằng tính bảo mật của một hệ thống không nên phụ thuộc vào việc giữ bí mật cấu trúc (Kreitz, 2019). Nguyên lý Kerckhoffs, một nguyên tắc nền tảng của mật mã học, khẳng định rằng hệ thống an toàn phải an toàn ngay cả khi kẻ tấn công biết mọi chi tiết về thiết kế, trừ chìa khóa. Áp dụng nguyên tắc này vào Privacy by Design, Kreitz lập luận rằng minh bạch thiết kế thực chất củng cố an toàn, vì nó cho phép cộng đồng chuyên gia độc lập đánh giá và phát hiện điểm yếu.

Mirakhorli, Galster và Williams (2020) bổ sung rằng tính minh bạch trong quy trình phát triển phần mềm đòi hỏi tài liệu hóa đầy đủ các quyết định an toàn, từ lý do chọn thuật toán mã hóa đến cách phân quyền truy cập (Mirakhorli, Galster & Williams, 2020). Khi quy trình được tài liệu hóa, kiểm toán viên an toàn có thể đánh giá độc lập và xác nhận hệ thống đáp ứng các tiêu chuẩn bảo vệ dữ liệu.

Trong giáo dục đại học, minh bạch có nghĩa là trường phải công bố rõ chính sách dữ liệu sinh viên, cho phép sinh viên biết hệ thống đang thu thập thông tin gì, ở đâu, và cung cấp cơ chế cho sinh viên yêu cầu xem, chỉnh sửa và xóa dữ liệu của mình. Sự minh bạch này không chỉ đáp ứng yêu cầu pháp lý mà còn xây dựng niềm tin — yếu tố then chốt trong mối quan hệ giữa trường đại học và sinh viên.

Nguyên tắc 7: Tôn trọng trải nghiệm người dùng

Nguyên tắc thứ bảy đặt người dùng vào trung tâm của mọi quyết định thiết kế. Cavoukian khẳng định rằng bảo vệ dữ liệu phải tôn trọng trải nghiệm người dùng — không biến việc bảo vệ thành gánh nặng hoặc rào cản với người dùng (Cavoukian, 2010). Khi hệ thống yêu cầu người dùng phải nhớ hàng chục mật khẩu phức tạp, đọc các văn bản pháp lý dài hàng chục trang, hoặc thực hiện nhiều thao tác thủ công để bảo vệ dữ liệu, hệ thống đó vi phạm nguyên tắc tôn trọng trải nghiệm người dùng.

Kreitz (2019) nhấn mạnh trong kỹ thuật phần mềm, nguyên tắc này thể hiện qua thiết kế giao diện an toàn trực quan — nơi các biện pháp bảo vệ được tích hợp tự nhiên vào luồng tương tác người dùng (Kreitz, 2019). Xác thực sinh trắc học (nhận diện khuôn mặt, vân tay) là ví dụ điển hình: nó nâng cao cả an toàn và trải nghiệm người dùng, thay vì buộc người dùng phải gõ mật khẩu dài và phức tạp.

Shilton và cộng sự (2020) phát triển nguyên tắc này trong giáo dục thông qua mô hình mô phỏng (simulation) giúp sinh viên công nghệ thông tin hiểu rõ tác động của các quyết định thiết kế đến quyền riêng tư người dùng (Shilton et al., 2020). Nghiên cứu của họ cho thấy khi sinh viên trải nghiệm trực tiếp vai trò của người dùng bị vi phạm quyền riêng tư, họ phát triển ý thức thiết kế lấy người dùng làm trung tâm sâu sắc hơn nhiều so với việc chỉ đọc lý thuyết.

Đối với trường đại học, nguyên tắc này có ý nghĩa thực tiễn rõ ràng. Hệ thống quản lý sinh viên phải vừa bảo vệ dữ liệu vừa dễ sử dụng. Khi sinh viên không thể đăng ký môn học vì cơ chế xác thực quá phức tạp, hoặc không thể truy cập tài liệu học tập vì cấu hình an toàn quá cứng nhắc, hệ thống đã thất bại trong việc cân bằng giữa an toàn và trải nghiệm người dùng.

7 nguyên tắc của Privacy/Security by Design

Privacy / Security
by Design

Chủ động,
không phản ứng

An toàn mặc định

Nhúng vào thiết kế

Chức năng đầy đủ

Bảo vệ vòng đời

Minh bạch

Tôn trọng người dùng

Hình 3: Bảy nguyên tắc của Privacy/Security by Design

3.3. Triết lý vận hành Privacy/Security by Design

3.3.1. Chiến lược đưa nguyên tắc vào thực tế

Kroener và Wright (2014) chỉ ra một vấn đề quan trọng: dù khái niệm Privacy by Design đã được công nhận rộng rãi, việc chuyển hóa nguyên tắc thành thực hành vận hành vẫn là thách thức lớn. Hai tác giả xây dựng chiến lược vận hành hóa Privacy by Design, đề xuất một khung phương pháp cho phép tổ chức đưa nguyên tắc vào các quy trình làm việc cụ thể (Kroener & Wright, 2014).

Khung của Kroener và Wright chia quá trình vận hành hóa thành ba lớp. Lớp thứ nhất là cấu trúc tổ chức — đòi hỏi ban lãnh đạo cam kết, phân bổ nguồn lực rõ ràng và thiết lập vai trò chuyên trách về quyền riêng tư (Kroener & Wright, 2014). Lớp thứ hai là quy trình nghiệp vụ — tích hợp đánh giá tác động quyền riêng tư (privacy impact assessment) vào mọi quy trình phát triển dự án mới. Lớp thứ ba là công cụ kỹ thuật — cung cấp bộ công cụ, checklist và mẫu tài liệu giúp đội ngũ kỹ thuật thực thi nguyên tắc trong công việc hàng ngày.

Kroener và Wright (2014) với mức độ cao nhấn mạnh tầm quan trọng của "đánh giá tác động quyền riêng tư" — một công cụ then chốt trong việc vận hành hóa Privacy by Design (Kroener & Wright, 2014). Đánh giá tác động quyền riêng tư là quy trình hệ thống đánh giá rủi ro đối với quyền riêng tư trước khi triển khai một dự án mới. Khác với kiểm thử an toàn thông thường, đánh giá tác động quyền riêng tư không chỉ xem xét tính kỹ thuật mà còn xem xét tác động xã hội, đạo đức và pháp lý của việc xử lý dữ liệu.

Beach và cộng sự (2019) bổ sung chiến lược vận hành bằng cách liên kết Privacy by Design với các tiêu chuẩn kỹ thuật hệ thống quốc tế như ISO/IEC 27001 và NIST Framework (Beach et al., 2019). Sự liên kết này giúp tổ chức sử dụng cơ sở hạ tầng quản lý an toàn sẵn có để triển khai nguyên tắc Privacy by Design, thay vì phải xây dựng lại toàn bộ quy trình từ con số không.

3.3.2. Tuân thủ pháp lý so với an toàn từ thiết kế

Một trong những đóng góp quan trọng của Kroener và Wright (2014) là phân tích sắc bén sự khác biệt giữa tiếp cận tuân thủ pháp lý và tiếp cận an toàn từ thiết kế. Tiếp cận tuân thủ pháp lý coi bảo vệ dữ liệu là nghĩa vụ phải thực hiện để tránh phạt — tổ chức chỉ cần đạt mức tối thiểu theo quy định (Kroener & Wright, 2014). Tiếp cận an toàn từ thiết kế coi bảo vệ dữ liệu là giá trị cơ bản của tổ chức — tổ chức luôn nỗ lực vượt qua mức tối thiểu để đạt mức bảo vệ tốt nhất có thể.

Sự khác biệt này thể hiện rõ trong thái độ đối với đánh giá rủi ro. Tổ chức theo tiếp cận tuân thủ pháp lý thực hiện đánh giá tác động quyền riêng tư như một thủ tục hành chính — điền form, lấy chữ ký, lưu hồ sơ. Tổ chức theo tiếp cận an toàn từ thiết kế coi đánh giá tác động quyền riêng tư là cơ hội để hiểu sâu hơn về hệ thống, phát hiện điểm yếu và cải tiến thiết kế (Kroener & Wright, 2014).

Rubinstein và Good (2019) cũng nhận xét rằng Điều 25 GDPR, dù là bước tiến quan trọng, vẫn mang bóng dáng của tư duy tuân thủ pháp lý (Rubinstein & Good, 2019). Ngôn từ "biện pháp phù hợp" (appropriate measures) mở ra khả năng tổ chức chỉ đạt mức tối thiểu cần thiết để thoả mãn luật, thay vì tận dụng cơ hội để thiết kế hệ thống thực sự bảo vệ người dùng. Hai tác giả đề xuất sửa đổi Điều 25 bằng cách cụ thể hóa các tiêu chuẩn kỹ thuật và yêu cầu chứng nhận độc lập, từ đó thu hẹp khoảng cách giữa tuân thủ pháp lý và an toàn từ thiết kế.

Trong giáo dục đại học, sự khác biệt này có ý nghĩa chiến lược. Trường đại học theo tư duy tuân thủ pháp lý chỉ lắp đặt phần mềm diệt virus và tường lửa, đáp ứng yêu cầu tối thiểu của quy định. Trường đại học theo tư duy an toàn từ thiết kế xây dựng văn hóa bảo vệ dữ liệu từ ban lãnh đạo đến giảng viên, sinh viên, tích hợp đánh giá an toàn vào mọi quy trình từ tuyển sinh đến nghiên cứu, và liên tục cải tiến hệ thống dựa trên bài học từ thực tiễn.

3.3.3. Ứng dụng Privacy by Design trong giáo dục

Shilton và cộng sự (2020) đóng góp quan trọng khi nghiên cứu cách giáo dục Privacy by Design cho sinh viên ngành công nghệ thông tin. Họ phát triển mô hình mô phỏng (simulation) dựa trên phương pháp đóng vai (role-playing), cho phép sinh viên trải nghiệm trực tiếp các tình huống đạo đức liên quan đến quyền riêng tư trong quá trình phát triển sản phẩm công nghệ (Shilton et al., 2020).

Nghiên cứu cho thấy phương pháp đóng vai giúp sinh viên phát triển cả kiến thức và kỹ năng ứng dụng Privacy by Design. Khi đóng vai người dùng bị vi phạm quyền riêng tư, sinh viên thấu cảm sâu sắc hơn về tác động của các quyết định thiết kế. Khi đóng vai nhà phát triển phải cân bằng giữa yêu cầu kinh doanh và bảo vệ người dùng, sinh viên hiểu được áp lực thực tế trong quá trình ra quyết định (Shilton et al., 2020). Kết quả đánh giá cho thấy phương pháp này hiệu quả hơn đáng kể so với giảng lý thuyết truyền thống.

Công trình của Shilton và cộng sự mở ra hướng tiếp cận mới trong giáo dục đại học: không chỉ áp dụng Privacy by Design vào hệ thống công nghệ của trường, mà còn đưa nó vào chương trình giảng dạy. Sinh viên công nghệ thông tin ra trường với tư duy Privacy by Design sẽ trở thành thế hệ kỹ sư xây dựng hệ thống an toàn — tạo ra tác động lan tỏa vượt ra khỏi khuôn khổ một trường đại học (Shilton et al., 2020).

Mirakhorli, Galster và Williams (2020) cũng đề xuất đưa giáo dục an toàn từ thiết kế vào chương trình đào tạo kỹ sư phần mềm. Họ lập luận rằng khi sinh viên được học cách suy nghĩ về an toàn ngay từ giai đoạn thiết kế, họ sẽ tự nhiên áp dụng tư duy này trong sự nghiệp nghề nghiệp (Mirakhorli, Galster & Williams, 2020). Tư duy được rèn luyện từ giảng đường sẽ định hình cách tiếp cận của toàn bộ thế hệ kỹ sư tương lai.

3.4. Từ nguyên tắc đến thực hành trong giáo dục đại học

3.4.1. Liên hệ các nguyên tắc an toàn từ thiết kế với giáo dục đại học

Bảy nguyên tắc của Cavoukian, khi áp dụng vào giáo dục đại học, tạo ra khung đánh giá toàn diện cho mọi hệ thống thông tin trong trường. Nguyên tắc chủ động đòi hỏi trường đại học xây dựng chiến lược an toàn thông tin trước khi đầu tư vào công nghệ mới, không phải sau khi sự cố xảy ra (Cavoukian, 2010). Nguyên tắc an toàn mặc định yêu cầu mọi hệ thống mới phải hoạt động ở chế độ bảo vệ cao nhất ngay khi triển khai, với quyền truy cập hạn chế mặc định (Cavoukian, Taylor & Abrams, 2010).

Nguyên tắc nhúng vào thiết kế có ý nghĩa một cách đáng kể trong giáo dục đại học. Hầu hết các trường đại học sử dụng kết hợp nhiều hệ thống từ nhiều nhà cung cấp khác nhau — hệ thống quản lý học tập, hệ thống thông tin sinh viên, hệ thống thư viện, hệ thống nghiên cứu, hệ thống nhân sự (Beach et al., 2019). Khi an toàn không được nhúng vào thiết kế của từng hệ thống, trường phải đối mặt với vô số điểm nối yếu — nơi dữ liệu luân chuyển giữa các hệ thống mà không có biện pháp bảo vệ phù hợp.

Nguyên tắc tổng bằng giải quyết một mâu thuẫn phổ biến trong giáo dục đại học: giữa yêu cầu chia sẻ dữ liệu để phục vụ nghiên cứu và yêu cầu bảo vệ quyền riêng tư của người tham gia nghiên cứu (Rubinstein & Good, 2019). Khi nguyên tắc tổng bằng được áp dụng đúng, trường có thể thiết lập kho dữ liệu nghiên cứu mà ở đó dữ liệu được ẩn danh hóa ở mức độ phù hợp với từng loại nghiên cứu, cho phép khai thác khoa học mà vẫn bảo vệ danh tính cá nhân.

Nguyên tắc vòng đời toàn diện đáng chú ý quan trọng vì dữ liệu trong giáo dục đại học có vòng đời rất dài. Dữ liệu sinh viên lưu trữ từ lúc đăng ký (17-18 tuổi) cho đến sau khi tốt nghiệp, dữ liệu nhân sự lưu trữ suốt thời gian làm việc và sau khi nghỉ hưu, dữ liệu nghiên cứu có thể cần bảo mật trong nhiều thập kỷ (Mirakhorli, Galster & Williams, 2020). Quản lý vòng đời dữ liệu dài như vậy đòi hỏi chiến lược lưu trữ phân tầng, chính sách lưu giữ rõ ràng và quy trình tiêu hủy được tự động hóa.

3.4.2. Khi nào cần "an toàn từ thiết kế"

Có ba lĩnh vực trong giáo dục đại học mà "sự an toàn từ thiết kế" nổi bật cần thiết.

Thứ nhất, thiết kế hệ thống quản lý học tập (learning management system — LMS). Hệ thống LMS là nơi lưu trữ toàn bộ hoạt động giáo dục trực tuyến — tài liệu giảng dạy, bài tập, thảo luận, điểm số, thời gian tham gia, log truy cập (Kreitz, 2019). Khối lượng dữ liệu cá nhân lưu trữ trong hệ thống LMS khổng lồ, và hầu hết dữ liệu này có tính nhạy cảm cao. Khi thiết kế hoặc lựa chọn hệ thống LMS, trường đại học phải áp dụng nguyên tắc an toàn từ thiết kế: đánh giá kiến trúc dữ liệu, cơ chế kiểm soát truy cập, phương pháp mã hóa, chính sách sao lưu và khả năng kiểm toán (Kreitz, 2019). Việc chọn LMS dựa trên giá rẻ hoặc chức năng phong phú mà bỏ qua tiêu chí an toàn là sai lầm phổ biến mà nhiều trường phải trả giá.

Thứ hai, xây dựng khuôn viên thông minh (smart campus). Khuôn viên thông minh tích hợp hàng ngàn thiết bị cảm biến — camera giám sát, bộ điều khiển truy cập, hệ thống định vị, cảm biến môi trường, thiết bị Internet vạn vật (Beach et al., 2019). Mỗi thiết bị tạo ra luồng dữ liệu liên tục, và khi tích hợp với nhau, chúng tạo ra bức tranh toàn diện về hoạt động của mọi người trong khuôn viên. Tiềm năng vi phạm quyền riêng tư của hệ thống này là rất lớn nếu không được thiết kế với nguyên tắc an toàn từ đầu (Mirakhorli, Galster & Williams, 2020). Trường đại học cần xác định rõ giới hạn thu thập dữ liệu, thiết lập cơ chế kiểm soát truy cập theo vai trò, mã hóa dữ liệu truyền tải và áp dụng nguyên tắc thu thập tối thiểu cho từng loại cảm biến.

Thứ ba, triển khai trí tuệ nhân tạo trong giáo dục. AI trong giáo dục thu thập dữ liệu hành vi học tập ở độ chi tiết cao chưa từng có — quỹ đạo mắt sinh viên khi đọc tài liệu, mô hình nhấp chuột, thời gian phản hồi, biểu hiện cảm xúc (Cavoukian, 2010). Dữ liệu này cho phép cá nhân hóa giáo dục, nhưng đồng thời tạo ra hồ sơ hành vi chi tiết mà nếu bị sử dụng sai mục đích sẽ gây tổn hại nghiêm trọng. Nguyên tắc an toàn từ thiết kế đòi hỏi đánh giá rủi ro trước khi triển khai hệ thống AI, thiết lập giới hạn rõ ràng về loại dữ liệu thu thập, áp dụng kỹ thuật ẩn danh hóa, và đảm bảo sinh viên có quyền từ chối tham gia vào hệ thống AI.

3.4.3. Chi phí thiết kế an toàn so với chi phí xử lý sự cố

Một trong những lập luận mạnh nhất cho "sự an toàn từ thiết kế" xuất phát từ phân tích chi phí. Cavoukian, Taylor và Abrams (2010) lập luận rằng đầu tư vào an toàn từ đầu rẻ hơn nhiều so với chi phí xử lý hậu quả vi phạm (Cavoukian, Taylor & Abrams, 2010). Lập luận này được chứng minh qua nghiên cứu của nhiều tổ chức và báo cáo an ninh mạng toàn cầu.

Chi phí thiết kế an toàn bao gồm: chi phí đánh giá rủi ro ban đầu, chi phí lựa chọn và thiết kế kiến trúc bảo mật, chi phí đào tạo nhân sự, chi phí kiểm thử an toàn, chi phí đánh giá tác động quyền riêng tư (Kreitz, 2019). Đây là những khoản đầu tư có thể dự tính và lập kế hoạch ngân sách rõ ràng. Chi phí xử lý sự cố bao gồm: chi phí điều tra và khắc phục kỹ thuật, chi phí thông báo cho người bị ảnh hưởng, chi phí pháp lý và phạt vi phạm, chi phí tái thiết kế hệ thống, chi phí tổn hại danh tiếng, và chi phí mất niềm tin (Rubinstein & Good, 2019). Nhiều khoản trong số này không thể dự tính trước và thường lớn hơn tổng chi phí thiết kế an toàn từ đầu.

Beach và cộng sự (2019) phân tích chi tiết hơn khi cho rằng chi phí sửa lỗi an toàn tăng theo hàm mũ theo thời gian trong vòng đời phát triển phần mềm (Beach et al., 2019). Một lỗi kiến trúc được phát hiện ở giai đoạn thiết kế có chi phí sửa chữa bằng một đơn vị; cùng lỗi đó phát hiện ở giai đoạn kiểm thử có chi phí gấp 10 lần; phát hiện sau khi triển khai có chi phí gấp 100 lần; phát hiện sau khi bị khai thác có chi phí không thể đo đếm (Mirakhorli, Galster & Williams, 2020).

Trong giáo dục đại học, một vụ rò rỉ dữ liệu sinh viên không chỉ gây thiệt hại tài chính mà còn đe doạ danh tiếng, ảnh hưởng đến khả năng thu hút sinh viên và giảng viên, và có thể dẫn đến các hậu quả pháp lý nghiêm trọng. Chi phí tổn hại danh tiếng thiết yếu khó lượng hóa nhưng thường là khoản chi phí lớn nhất và kéo dài nhất (Rubinstein & Good, 2019). Do đó, đầu tư vào "sự an toàn từ thiết kế" từ đầu là quyết định quản trị khôn ngoan, không phải lãng phí ngân sách.

3.4.4. Đặt nền móng cho khung tiêu chuẩn cụ thể

Phần 3 đã trình bày khái niệm "sự an toàn từ thiết kế", từ nguồn gốc lịch sử đến các nguyên tắc nền tảng, từ triết lý vận hành đến ứng dụng thực tiễn trong giáo dục đại học. Bảy nguyên tắc của Cavoukian (2010), kết hợp với các công trình của Kreitz (2019), Mirakhorli, Galster và Williams (2020), Beach và cộng sự (2019), Rubinstein và Good (2019), Kroener và Wright (2014), và Shilton và cộng sự (2020) tạo nên cơ sở lý thuyết vững chắc cho việc xây dựng khung tiêu chuẩn cụ thể.

Cơ sở lý thuyết này mở đường cho Phần 4 — xây dựng khung tiêu chuẩn đánh giá mức độ an toàn từ thiết kế cho các hệ thống thông tin trong giáo dục đại học. Phần 4 sẽ chuyển hóa các nguyên tắc trừu tượng thành tiêu chuẩn cụ thể, có thể đo lường, cho phép trường đại học tự đánh giá và cải tiến hệ thống thông tin của mình một cách hệ thống (Cavoukian, 2010). Khung tiêu chuẩn này sẽ là công cụ thực tiễn giúp các trường đại học thực sự đưa "sự an toàn từ thiết kế" từ lý thuyết vào thực hành — biến nguyên tắc thành kết quả.

TÀI LIỆU THAM KHẢO

Beach, P. M., Bodner, B., Khajehpour, M., Richard, C., & Schwartz, M. (2019). Analysis of Systems Security Engineering Design Principles for the Development of Secure and Resilient Systems. IEEE Access, 7, 86551–86565. DOI: 10.1109/access.2019.2930718

Cavoukian, A. (2010). Privacy by Design: the definitive workshop. A foreword by Ann Cavoukian, Ph.D. Identity in the Information Society, 3(2), 247–252. DOI: 10.1007/s12394-010-0062-y
Cavoukian, A., Taylor, S., & Abrams, M. E. (2010). Privacy by Design: Essential for Organizational Accountability and Strong Business Practices. Identity in the Information Society, 3(2), 113–117. DOI: 10.1007/s12394-010-0053-z
Kreitz, M. (2019). Security by Design in Software Engineering. Proceedings of the ACM/IEEE International Symposium on Empirical Software Engineering and Measurement (ESEM). DOI: 10.1145/3356773.3356798
Kroener, I., & Wright, D. (2014). A Strategy for Operationalizing Privacy by Design. Information, Communication & Society, 17(2), 179–190. DOI: 10.1080/01972243.2014.944730
Mirakhorli, M., Galster, M., & Williams, L. (2020). Understanding Software Security from Design to Deployment. Proceedings of the ACM/IEEE International Symposium on Empirical Software Engineering and Measurement (ESEM). DOI: 10.1145/3385678.3385687
Rubinstein, I. S., & Good, N. (2019). The trouble with Article 25 (and how to fix it): the future of data protection by design and default. International Data Privacy Law, 9(4), 268–283. DOI: 10.1093/idpl/ipz019
Shilton, K., Bardzell, S., & Hemsley, J. (2020). Role-Playing Computer Ethics: Designing and Evaluating the Privacy by Design (PbD) Simulation. Ethics and Information Technology, 22, 559–571. DOI: 10.1007/s11948-020-00250-0

Chuyển đổi số trong giáo dục đại học không chỉ đòi hỏi đầu tư hạ tầng công nghệ mà còn cần một hệ thống quản trị rủi ro mạng đủ mạnh để bảo vệ toàn bộ tài sản thông tin của cơ sở giáo dục. Khác với doanh nghiệp — nơi cấu trúc tổ chức thường tập trung, rõ ràng về vai trò và ranh giới truy cập — trường đại học sở hữu một hệ sinh thái thông tin cực kỳ đa dạng: hệ thống quản lý học tập (LMS), cơ sở dữ liệu nghiên cứu, hồ sơ nhân sự, dữ liệu sinh viên, tài sản sở hữu trí tuệ, và hàng loạt dịch vụ số kết nối với bên ngoài. Chính sự phức tạp này khiến việc lựa chọn và áp dụng một framework an toàn mạng phù hợp trở thành quyết định chiến lược, ảnh hưởng trực tiếp đến khả năng phòng vệ và khả năng phục hồi của toàn bộ tổ chức.

Phần này phân tích ba hệ thống tiêu chuẩn và framework an toàn mạng được cộng đồng quốc tế công nhận rộng rãi: ISO/IEC 27001, NIST Cybersecurity Framework và kiến trúc Zero Trust. Mỗi framework mang triết lý, phạm vi áp dụng và yêu cầu nguồn lực khác nhau. Việc hiểu rõ đặc điểm, ưu nhược điểm và điều kiện triển khai của từng hệ thống giúp các trường đại học — với mức độ cao ở các nước đang phát triển như Việt Nam — đưa ra lựa chọn phù hợp với bối cảnh thực tiễn, đồng thời kết nối chặt chẽ với nguyên tắc "an toàn từ thiết kế" đã được phân tích ở Phần 3.

4.1. ISO/IEC 27001 — Hệ thống quản lý an toàn thông tin

4.1.1. Tổng quan ISO 27001 và ứng dụng trong giáo dục đại học

ISO/IEC 27001 là tiêu chuẩn quốc tế quy định yêu cầu thiết lập, triển khai, duy trì và liên tục cải tiến hệ thống quản lý an toàn thông tin (Information Security Management System — ISMS). Tiêu chuẩn này do Tổ chức Quốc tế về Tiêu chuẩn hóa (ISO) và Ủy ban Kỹ thuật Điện Quốc tế (IEC) cùng ban hành, hiện đang ở phiên bản thứ ba được cập nhật năm 2022. Triết lý vị trí trung tâm của ISO 27001 xoay quanh phương pháp tiếp cận dựa trên rủi ro: tổ chức phải xác định tài sản thông tin, đánh giá rủi ro đối với từng tài sản đó, sau đó áp dụng các biện pháp kiểm soát phù hợp để giảm rủi ro xuống mức chấp nhận được (Amine và cộng sự, 2023).

Hệ thống kiểm soát của ISO 27001 được thể hiện qua Phụ lục A với 93 biện pháp kiểm soát chia thành bốn nhóm: tổ chức (37 kiểm soát), nhân sự (8 kiểm soát), vật lý (14 kiểm soát) và công nghệ (34 kiểm soát). Khi áp dụng vào môi trường giáo dục đại học, các biện pháp này bao phủ hầu hết các lĩnh vực quan trọng: quản lý quyền truy cập hệ thống học tập trực tuyến, bảo mật dữ liệu nghiên cứu khoa học, kiểm soát vật lý phòng máy chủ và phòng lab, chính sách bảo mật thông tin cho cán bộ giảng viên và nhân viên, quản lý rủi ro từ bên thứ ba khi hợp tác với các nhà cung cấp dịch vụ công nghệ giáo dục.

Nghiên cứu tổng quan của Amine và cộng sự (2023) về tiêu chuẩn quản lý an ninh mạng trong giáo dục đại học cho thấy ISO 27001 là tiêu chuẩn được viện dẫn nhiều nhất trong các công trình học thuật liên quan đến an toàn thông tin trường đại học. Nguyên nhân chính nằm ở tính hệ thống và khả năng chứng nhận độc lập: một trường đại học đạt chứng nhận ISO 27001 có thể minh bạch hóa cam kết bảo vệ thông tin với sinh viên, đối tác nghiên cứu và các cơ quan quản lý. Nhiều trường đại học ở châu Âu, Nhật Bản và Úc đã coi chứng nhận ISO 27001 như một điều kiện tiên quyết trong hợp tác nghiên cứu quốc tế, một cách đáng kể khi trao đổi dữ liệu y tế, dữ liệu sinh học hoặc thông tin cá nhân nhạy cảm.

Tuy nhiên, Amine và cộng sự (2023) cũng chỉ ra rằng tỷ lệ trường đại học trên thế giới thực sự đạt chứng nhận ISO 27001 vẫn còn rất thấp. Phần lớn các cơ sở giáo dục áp dụng ISO 27001 một cách chọn lọc — lấy khung kiểm soát làm tham chiếu thay vì tiến hành đầy đủ quy trình chứng nhận. Điều này phản ánh thực tế rằng việc triển khai toàn diện ISO 27001 đòi hỏi nguồn lực đáng kể về tài chính, nhân sự chuyên trách và thời gian, những yếu tố mà nhiều trường đại học ở nước đang phát triển gặp khó khăn.

4.1.2. Mô hình trưởng thành an ninh thông tin cho trường đại học dựa trên ISO 27001

Nhận thấy khoảng cách giữa yêu cầu lý tưởng của ISO 27001 và năng lực thực tế của các trường đại học, Makupi (2019) đã đề xuất một mô hình trưởng thành an ninh thông tin (Information Security Maturity Model — ISMM) dành riêng cho bậc giáo dục đại học, xây dựng dựa trên nền tảng ISO 27001. Mô hình này giải quyết một vấn đề thực tiễn quan trọng: không phải trường đại học nào cũng có thể — hay cần — đạt ngay mức trưởng thành cao nhất trong quản lý an toàn thông tin. Thay vào đó, các trường cần một lộ trình tiến bộ, từng bước nâng cao năng lực phòng thủ mạng.

Mô hình của Makupi (2019) gồm năm cấp độ trưởng thành, từ thấp đến cao:

Cấp độ 1 — Ban đầu: Không có chính sách an toàn thông tin chính thức. Các biện pháp bảo mật được áp dụng một cách rời rạc, phản ứng sự kiện, thiếu sự phối hợp giữa các đơn vị. Hầu hết trường đại học ở nước đang phát triển thuộc hoặc từng trải qua giai đoạn này.
Cấp độ 2 — Quản lý: Chính sách an toàn thông tin đã được ban hành nhưng chưa được thực thi nhất quán. Một số đơn vị bắt đầu áp dụng kiểm soát cơ bản như phân quyền truy cập, sao lưu dữ liệu định kỳ.
Cấp độ 3 — Đã định nghĩa: Hệ thống quản lý an toàn thông tin được thiết kế chính thức, tài liệu hóa quy trình và phân công trách nhiệm rõ ràng. Các biện pháp kiểm soát của ISO 27001 được áp dụng có hệ thống.
Cấp độ 4 — Đã quản lý: ISMS hoạt động hiệu quả, được đo lường bằng các chỉ số hiệu suất, kiểm tra nội bộ thường xuyên và liên tục cải tiến dựa trên kết quả đánh giá.
Cấp độ 5 — Tối ưu hóa: Tổ chức liên tục cải tiến ISMS, chủ động dự báo rủi ro mới và tích hợp an toàn thông tin vào chiến lược tổng thể của trường.

Mô hình này đáng chú ý giá trị vì nó cung cấp một công cụ tự đánh giá cho các trường đại học. Thay vì nhìn vào danh sách dài 93 kiểm soát của ISO 27001 mà bế tắc, nhà quản lý có thể xác định mức độ hiện tại của trường mình, từ đó đặt mục tiêu ngắn hạn và trung hạn khả thi. Makupi (2019) cũng đề xuất bộ chỉ tiêu đánh giá tương ứng cho từng cấp độ, bao gồm các khía cạnh như chính sách và quy trình, quản trị rủi ro, quản lý nhân sự, an toàn vật lý và an toàn công nghệ.

4.1.3. Kinh nghiệm thực tiễn từ các trường đại học

Nghiên cứu đa trường hợp của De Ramos và Esponilla II (2022) tại Philippines phân tích chương trình an ninh mạng tại ba cơ sở giáo dục đại học, cung cấp bức tranh thực tiễn về cách thức áp dụng các tiêu chuẩn an toàn thông tin trong bối cảnh nước đang phát triển. Kết quả nghiên cứu cho thấy các trường đại học tại Philippines đối mặt với nhiều thách thức chung: thiếu nhân sự chuyên trách về an ninh mạng, ngân sách hạn hẹp, cấu trúc tổ chức phân tán, và sự cạnh tranh giữa yêu cầu an toàn thông tin với nhu cầu mở rộng dịch vụ số.

Tại khu vực Đông Nam Á, các trường đại học Indonesia cung cấp thêm những minh chứng đáng chú ý. Đại học Airlangga — một trong những trường đại học lớn nhất Indonesia — đã triển khai ISO 27001 từ năm 2018, tập trung vào bảo vệ hệ thống thông tin học thuật, dữ liệu nghiên cứu và hồ sơ sinh viên. Quá trình triển khai kéo dài hơn hai năm, bắt đầu từ việc xây dựng nhóm dự án ISMS, khảo sát tài sản thông tin, đánh giá rủi ro, đến khi thiết lập các biện pháp kiểm soát và tiến hành đánh giá nội bộ. Đại học Airlangga nổi bật chú trọng kiểm soát truy cập của bên thứ ba — một yếu tố then chốt khi trường hợp tác với nhiều nhà cung cấp dịch vụ công nghệ giáo dục và đối tác nghiên cứu quốc tế.

Đại học Telkom — trường đại học có nền tảng công nghệ viễn thông mạnh — tiếp cận ISO 27001 từ góc độ kiến trúc hạ tầng mạng. Telkom University ưu tiên bảo mật hệ thống mạng lưới, bảo vệ trung tâm dữ liệu và đảm bảo tính sẵn sàng của các dịch vụ trực tuyến. Cách tiếp cận này phản ánh đặc thù của một trường đại học định hướng kỹ thuật, trong đó hạ tầng công nghệ đóng vai trò trung tâm trong mọi hoạt động giáo dục và nghiên cứu.

4.1.4. Ưu điểm và hạn chế khi áp dụng tại trường đại học ở nước đang phát triển

Việc áp dụng ISO 27001 trong môi trường giáo dục đại học mang lại những lợi ích rõ rệt. Thứ nhất, tiêu chuẩn này cung cấp một khung có hệ thống, giúp trường đại học không bỏ sót các lĩnh vực an toàn thông tin quan trọng. Thứ hai, khả năng chứng nhận độc lập tạo niềm tin cho các bên liên quan — sinh viên, phụ huynh, đối tác và cơ quan cấp phép. Thứ ba, mô hình Plan-Do-Check-Act (PDCA) tích hợp sẵn trong ISO 27001 thúc đẩy cải tiến liên tục, đảm bảo hệ thống an toàn thông tin không đứng yên mà phát triển cùng với mối đe dọa và yêu cầu mới (De Ramos & Esponilla II, 2022).

Tuy nhiên, những hạn chế cũng không nhỏ. Nguồn lực tài chính để tư vấn, triển khai và duy trì chứng nhận ISO 27001 thường vượt quá ngân sách của nhiều trường đại học ở nước đang phát triển. Nhân sự chuyên trách về an toàn thông tin — thiết yếu là chuyên gia có kinh nghiệm thực chiến — rất khan hiếm. Cấu trúc tổ chức phi tập trung đặc trưng của trường đại học, với nhiều khoa, viện, trung tâm hoạt động tương đối độc lập, tạo khó khăn lớn trong việc thống nhất chính sách và quy trình. Ngoài ra, văn hóa chia sẻ thông tin mở trong môi trường học thuật đôi khi xung đột với nguyên tắc kiểm soát truy cập nghiêm ngặt mà ISO 27001 yêu cầu.

Vì những lý do này, Makupi (2019) khuyến nghị các trường đại học ở nước đang phát triển nên tiếp cận ISO 27001 theo lộ trình từng bước, sử dụng mô hình trưởng thành như công cụ hướng dẫn. Thay vì cố gắng đạt chứng nhận ngay lập tức, trường nên bắt đầu từ việc xây dựng nhận thức, thiết lập chính sách cơ bản, dần nâng cấp theo từng cấp độ trưởng thành. Cách tiếp cận này vừa phù hợp với nguồn lực hạn chế, vừa tạo động lực cải tiến liên tục.

4.2. NIST Cybersecurity Framework

4.2.1. Năm chức năng cốt lõi của NIST CSF

NIST Cybersecurity Framework (CSF) do Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ phát triển lần đầu năm 2014, cập nhật phiên bản 2.0 năm 2024. Khác với ISO 27001 — một tiêu chuẩn chứng nhận — NIST CSF là một framework tham chiếu tự nguyện, giúp tổ chức đánh giá và cải thiện khả năng phòng thủ mạng. Framework này không yêu cầu chứng nhận, không bắt buộc tuân thủ, mà cung cấp ngôn ngữ chung và bộ công cụ linh hoạt để tổ chức quản lý rủi ro mạng theo cách phù hợp với bối cảnh riêng (Rose và cộng sự, 2020).

NIST CSF xoay quanh năm chức năng cốt lõi (core functions), tạo thành một chu trình quản lý rủi ro mạng toàn diện:

Identify (Nhận diện): Xác định tài sản thông tin, rủi ro liên quan và bối cảnh tổ chức. Chức năng này đòi hỏi trường đại học lập danh mục toàn bộ hệ thống thông tin — từ hạ tầng mạng, server, phần mềm quản lý, đến dữ liệu nghiên cứu và hồ sơ sinh viên — đồng thời xác định các mối đe dọa tiềm năng và lỗ hổng tương ứng.
Protect (Bảo vệ): Áp dụng biện pháp kiểm soát phù hợp để ngăn ngừa hoặc giảm thiểu rủi ro đã nhận diện. Trong môi trường đại học, bao gồm quản lý quyền truy cập, mã hóa dữ liệu, đào tạo nhận thức an toàn thông tin cho nhân viên và sinh viên, bảo vệ mạng và endpoint, duy trì cấu hình an toàn.
Detect (Phát hiện): Thiết lập khả năng phát hiện sự kiện an toàn thông tin kịp thời. Bao gồm triển khai hệ thống giám sát mạng, cảnh báo xâm nhập, phân tích log, và quy trình giám sát liên tục. Đối với trường đại học — nơi lượng truy cập mạng hàng ngày rất lớn và đa dạng — khả năng phát hiện nhanh là yếu tố quyết định mức độ thiệt hại.
Respond (Phản ứng): Xây dựng quy trình phản ứng khi sự kiện an toàn thông tin xảy ra. Bao gồm kế hoạch phản ứng sự cố, phân tích nguyên nhân, truyền thông khủng hoảng, phối hợp với cơ quan chức năng. Mỗi giây trễ trong phản ứng có thể mở rộng phạm vi tấn công, với mức độ cao khi dữ liệu sinh viên và nghiên cứu bị lộ.
Recover (Phục hồi): Khả năng phục hồi hoạt động sau sự cố. Bao gồm chiến lược sao lưu, thử nghiệm khôi phục, kế hoạch liên tục hoạt động. Nhiều trường đại học đã học bài học đắt giá khi tấn công mã độc tống tiền (ransomware) mã hóa toàn bộ hệ thống dữ liệu mà không có chiến lược phục hồi hiệu quả.

NIST CSF cũng cung cấp các tầng triển khai (implementation tiers) từ một phần (Partial) đến tự thích nghi (Adaptive), giúp tổ chức tự đánh giá mức độ trưởng thành của mình trong từng chức năng. Cấu trúc linh hoạt này cho phép trường đại học chọn lĩnh vực ưu tiên dựa trên phân tích rủi ro cụ thể, thay vì phải áp dụng đồng loạt mọi khía cạnh (Lund, 2024).

4.2.2. Ứng dụng NIST CSF trong giáo dục đại học

Lund (2024) đã áp dụng NIST CSF để phân tích ứng dụng công nghệ blockchain trong giáo dục đại học — một hướng đi mới mẻ nhưng đầy tiềm năng trong bảo mật và xác minh thông tin học thuật. Nghiên cứu chỉ ra rằng blockchain có thể đóng vai trò bổ sung quan trọng cho nhiều chức năng của NIST CSF. Ở chức năng Protect, công nghệ blockchain cung cấp khả năng bảo toàn tính toàn vẹn dữ liệu — một yếu tố đặc biệt quan trọng đối với hồ sơ học vấn, bằng cấp và chứng chỉ. Khi dữ liệu được ghi trên blockchain, việc sửa đổi hoặc làm giả trở nên cực kỳ khó khăn, giải quyết triệt để vấn đề gian lận bằng cấp mà nhiều hệ thống giáo dục đang đối mặt.

Ở chức năng Detect, blockchain hỗ trợ giám sát giao dịch và phát hiện hoạt động bất thường thông qua cơ chế đồng thuận phân tán. Lund (2024) đề xuất mô hình tích hợp blockchain vào hệ thống quản lý hồ sơ sinh viên, trong đó mỗi thay đổi về điểm số, tín chỉ hoặc trạng thái tốt nghiệp đều được ghi trên chuỗi khối, tạo dấu vết kiểm toán minh bạch và không thể thay đổi.

Ở chức năng Recover, bản chất phi tập trung của blockchain giúp dữ liệu không bị mất hoàn toàn khi một node bị tấn công, miễn là mạng vẫn còn đủ số node hoạt động. Đặc tính này giải quyết một điểm yếu chí mạng của nhiều trường đại học hiện nay: phụ thuộc vào một trung tâm dữ liệu duy nhất, tạo điểm lỗi đơn trong kiến trúc mạng.

Dù vậy, Lund (2024) cũng thận trọng lưu ý rằng blockchain không phải giải pháp toàn diện. Công nghệ này giải quyết tốt vấn đề tính toàn vẹn dữ liệu nhưng không tự động bảo vệ dữ liệu khỏi truy cập trái phép, không ngăn chặn tấn công phishing hay xã hội kỹ thuật. Do đó, blockchain nên được coi như một lớp bảo vệ bổ sung trong cấu hình tổng thể của NIST CSF, không thay thế cho các biện pháp kiểm soát truyền thống.

4.2.3. So sánh NIST CSF với ISO 27001

Việc lựa chọn giữa NIST CSF và ISO 27001 phụ thuộc vào mục tiêu, bối cảnh và nguồn lực của từng trường đại học. Amine và cộng sự (2023) phân tích chi tiết sự khác biệt giữa hai framework này từ nhiều khía cạnh.

Về bản chất pháp lý, ISO 27001 là tiêu chuẩn có thể chứng nhận, trong khi NIST CSF là framework tham chiếu tự nguyện. Sự khác biệt này ảnh hưởng trực tiếp đến động lực triển khai: chứng nhận ISO 27001 mang giá trị thương mại và danh tiếng, trong khi NIST CSF mang tính thực tiễn — tập trung vào việc thực sự nâng cao năng lực phòng thủ hơn là đạt được một chứng chỉ. Đối với nhiều trường đại học ở nước đang phát triển, NIST CSF thường phù hợp hơn vì không đòi hỏi chi phí chứng nhận và kiểm toán bên ngoài.

Về cấu trúc, ISO 27001 cung cấp bộ kiểm soát cụ thể và chi tiết (93 biện pháp trong Phụ lục A), giúp tổ chức biết chính xác cần làm gì. NIST CSF, ngược lại, cung cấp khung chức năng mở, cho phép tổ chức tự lựa chọn giải pháp cụ thể phù hợp với điều kiện thực tiễn. Sự linh hoạt này vừa là ưu điểm vừa là nhược điểm: trường đại học có nhiều tự do sáng tạo nhưng cũng dễ mất phương hướng nếu thiếu kinh nghiệm.

Về phạm vi, ISO 27001 bao gồm cả khía cạnh quản lý (chính sách, quy trình, nhân sự) và kỹ thuật, trong khi NIST CSF nghiêng về vận hành kỹ thuật và phản ứng sự cố. Trong thực tế, hai framework này bổ trợ cho nhau nhiều hơn là thay thế: một trường đại học có thể dùng ISO 27001 để xây dựng nền tảng quản trị, sau đó dùng NIST CSF để tinh chỉnh khả năng vận hành và phản ứng.

Về định vị địa lý, ISO 27001 có tính toàn cầu và được chấp nhận rộng rãi ở mọi khu vực, trong khi NIST CSF có nguồn gốc Hoa Kỳ và ảnh hưởng mạnh nhất tại khu vực Bắc Mỹ và các quốc gia liên kết chặt chẽ với hệ sinh thái công nghệ Mỹ. Tuy nhiên, phiên bản NIST CSF 2.0 (2024) đã được cập nhật nhiều yếu tố quốc tế hóa, khiến framework này ngày càng được chấp nhận rộng rãi hơn ở các khu vực khác.

4.2.4. NIST SP 800-207: Kiến trúc Zero Trust — khái niệm và ứng dụng

Đặc bản NIST SP 800-207, ban hành năm 2020 bởi Rose và cộng sự, cung cấp khái niệm hóa và hướng dẫn triển khai kiến trúc Zero Trust — một mô hình an ninh mạng đang nhận được sự chú ý lớn trên toàn cầu (Rose và cộng sự, 2020). Khái niệm Zero Trust xuất phát từ nhận thức rằng mô hình an ninh mạng truyền thống — dựa trên ranh giới bảo vệ (perimeter-based security) — không còn phù hợp trong kỷ nguyên điện toán đám mây, làm việc từ xa và hệ thống phân tán. Khi ranh giới mạng không còn rõ ràng, việc tin tưởng mọi thiết bị và người dùng bên trong mạng trở nên rủi ro.

NIST SP 800-207 xác định ba nguyên tắc nền tảng của Zero Trust: thứ nhất, tất cả nguồn dữ liệu và dịch vụ đều được coi là tài nguyên; thứ hai, mọi giao tiếp đều phải được bảo mật bất kể vị trí mạng; thứ ba, quyền truy cập vào từng tài nguyên được cấp dựa trên hội thoại tin cậy (trust negotiation) động và đánh giá liên tục. Framework Zero Trust của NIST xoay quanh một thành phần cốt lõi gọi là Policy Engine (Cơ chế chính sách) — nơi đưa ra quyết định cấp hay từ chối quyền truy cập dựa trên nhiều yếu tố: danh tính người dùng, trạng thái thiết bị, hành vi truy cập, mức độ nhạy cảm của tài nguyên và bối cảnh môi trường (Rose và cộng sự, 2020).

Kiến trúc này phá vỡ hoàn toàn giả định truyền thống "tin tưởng bên trong, nghi ngờ bên ngoài" — thay bằng nguyên tắc "không tin tưởng ai, luôn xác minh mọi thứ" (never trust, always verify). Trong bối cảnh giáo dục đại học, nơi hàng ngàn sinh viên, giảng viên và nhân viên truy cập hệ thống từ nhiều vị trí và thiết bị khác nhau, nguyên tắc này mang ý nghĩa thực tiễn rất lớn.

4.3. Kiến trúc Zero Trust và trường đại học

4.3.1. Nguyên tắc Zero Trust: "không tin tưởng ai, luôn xác minh"

Kiến trúc Zero Trust đại diện cho một sự chuyển đổi tư duy căn bản trong an ninh mạng. Thay vì coi mạng nội bộ là "an toàn" và mạng bên ngoài là "đáng ngờ", Zero Trust giả định rằng mọi kết nối — dù đến từ bên trong hay bên ngoài tổ chức — đều tiềm ẩn rủi ro. Mỗi yêu cầu truy cập đều phải trải qua quá trình xác thực, ủy quyền và kiểm tra liên tục (Rose và cộng sự, 2020).

Bảy nguyên tắc nền tảng của Zero Trust theo NIST SP 800-207 có thể được tóm gọn và điều chỉnh cho bối cảnh trường đại học như sau. Thứ nhất, mọi nguồn dữ liệu đều phải được xác định rõ và bảo vệ — từ cơ sở dữ liệu điểm số, hồ sơ sinh viên đến dữ liệu nghiên cứu khoa học và hệ thống quản trị. Thứ hai, giao tiếp được thực hiện qua một kênh an toàn bất kể mạng vật lý. Sinh viên truy cập LMS từ nhà, giảng viên làm việc từ quán cafe, nhân viên kết nối từ phòng ban — tất cả đều phải qua lớp kiểm soát bảo mật đồng nhất.

Thứ ba, quy trình cấp quyền truy cập dựa trên đánh giá động. Một sinh viên có thể được phép truy cập tài liệu học tập trong giờ học nhưng bị từ chối khi cố tải xuống toàn bộ cơ sở dữ liệu lúc nửa đêm. Thứ tư, trường thu thập dữ liệu về trạng thái tài sản, cấu hình mạng và hành vi người dùng để đưa ra quyết định truy cập. Thứ năm, quyền truy cập được cấp hạn chế nhất — chỉ đủ để hoàn thành tác vụ, theo nguyên tắc đặc quyền tối thiểu. Thứ sáu, trường theo dõi và đo lường tính toàn vẹn và trạng thái bảo mật của mọi tài sản mạng. Thứ bảy, quy trình xác thực và ủy quyền diễn ra liên tục, không chỉ một lần ở đầu phiên truy cập (Rose và cộng sự, 2020).

Beach và cộng sự (2019) phân tích các nguyên tắc kỹ thuật hệ thống an toàn, trong đó nhấn mạnh tầm quan trọng của việc tích hợp an toàn ngay từ giai đoạn thiết kế kiến trúc — kết nối trực tiếp với triết lý Zero Trust. Khi an toàn được thiết kế vào kiến trúc ngay từ đầu thay vì thêm vào sau, các nguyên tắc Zero Trust có thể được áp dụng tự nhiên và hiệu quả hơn, giảm thiểu xung đột giữa yêu cầu bảo mật và trải nghiệm người dùng.

4.3.2. Áp dụng Zero Trust trong môi trường giáo dục: thách thức đặc thù

Môi trường giáo dục đại học tạo ra những thách thức đặc thù mà mô hình Zero Trust truyền thống — được thiết kế chủ yếu cho doanh nghiệp — không hoàn toàn giải quyết được. Huang (2023) phân tích bối cảnh chuyển đổi số tại các trường đại học và chỉ ra năm thách thức lớn.

Thứ nhất, số lượng người dùng cực lớn và biến động liên tục. Một trường đại học cỡ trung bình có từ 10.000 đến 50.000 người dùng — sinh viên, giảng viên, nhân viên, đối tác, khách mời — trong đó sinh viên mới nhập học và sinh viên tốt nghiệp tạo ra dòng người dùng gia nhập và rời đi liên tục mỗi kỳ. Việc quản lý vòng đời danh tính (identity lifecycle) cho nhóm người dùng biến động này đòi hỏi hệ thống quản lý danh tính và truy cập (Identity and Access Management — IAM) cực kỳ linh hoạt và tự động hóa.

Thứ hai, sự đa dạng của thiết bị truy cập. Sinh viên dùng máy tính cá nhân, máy tính bảng, điện thoại thông minh, trong khi giảng viên có thể dùng máy tính của trường, máy cá nhân hoặc cả hai. Mỗi thiết bị có mức độ bảo mật khác nhau — hệ điều hành cũ, chưa cập nhật, không có phần mềm diệt virus — tạo ra bề mặt tấn công rất rộng.

Thứ ba, yêu cầu mở truy cập cao. Môi trường học thuật coi trọng sự chia sẻ thông tin, hợp tác nghiên cứu và truy cập tài nguyên mở. Kiến trúc Zero Trust với kiểm soát truy cập nghiêm ngặt có thể gây xung đột với giá trị cốt lõi này. Trường đại học cần tìm điểm cân bằng giữa bảo mật và khả năng tiếp cận — một bài toán khó mà không có đáp án chung cho mọi tổ chức.

Thứ tư, ngân sách hạn chế. Triển khai Zero Trust đòi hỏi đầu tư lớn vào công nghệ — xác thực đa yếu tố (MFA), hệ thống phân tích hành vi người dùng (UEBA), micro-segmentation mạng — tất cả đều có chi phí không nhỏ. Trong bối cảnh ngân sách giáo dục bị giới hạn, việc ưu tiên đầu tư cho an ninh mạng thường gặp cạnh tranh với nhu cầu đầu tư vào hạ tầng giảng dạy và nghiên cứu.

Thứ năm, thiếu nhân sự chuyên trách. Đội ngũ an ninh mạng tại trường đại học thường rất mỏng — nhiều trường chỉ có một hoặc hai nhân viên quản trị mạng kiêm luôn trách nhiệm bảo mật. Việc vận hành một kiến trúc Zero Trust — vốn đòi hỏi giám sát và điều chỉnh liên tục — vượt quá năng lực của đội hình nhân sự như vậy (Huang, 2023).

4.3.3. Hệ thống mạng Zero Trust cho trường đại học

Huang (2023) đề xuất mô hình xây dựng hệ thống mạng an toàn cho trường đại học trong bối cảnh chuyển đổi số, tích hợp nhiều nguyên tắc Zero Trust. Mô hình này được chia thành bốn tầng bảo vệ.

Tầng thứ nhất — an toàn biên mạng truyền thống — vẫn duy trì vai trò nhưng không còn là tuyến phòng thủ duy nhất. Tường lửa, hệ thống phát hiện xâm nhập (IDS) và VPN vẫn cần thiết nhưng được bổ sung bởi các lớp bảo vệ sâu hơn. Tầng thứ hai — an toàn thiết bị (device security) — đảm bảo mọi thiết bị kết nối vào mạng trường đáp ứng tiêu chuẩn bảo mật tối thiểu: hệ điều hành đã cập nhật, phần mềm diệt virus đang hoạt động, cấu hình bảo mật tuân thủ chính sách. Thiết bị không đạt tiêu chuẩn bị chuyển sang mạng cách ly (quarantine network) với quyền truy cập hạn chế.

Tầng thứ ba — an toàn danh tính và truy cập — là cốt lõi của kiến trúc Zero Trust. Huang (2023) đề xuất triển khai hệ thống IAM tập trung, tích hợp xác thực đa yếu tố cho mọi dịch vụ số của trường: LMS, email, hệ thống quản lý nhân sự, thư viện số, hệ thống đăng ký tín chỉ. Mọi quyết định truy cập đều dựa trên đánh giá rủi ro theo thời gian thực — kết hợp danh tính người dùng, trạng thái thiết bị, vị trí địa lý và hành vi truy cập.

Tầng thứ tư — an toàn dữ liệu — tập trung bảo vệ chính tài sản thông tin thay vì bảo vệ ranh giới mạng. Dữ liệu được phân loại theo mức độ nhạy cảm, áp dụng mã hóa khác nhau cho từng nhóm. Dữ liệu cá nhân sinh viên, kết quả nghiên cứu chưa công bố và thông tin tài chính có mức bảo vệ cao nhất, trong khi tài liệu giảng dạy công khai có mức bảo vệ thấp hơn (Huang, 2023).

Mô hình của Huang (2023) không yêu cầu triển khai đồng loạt cả bốn tầng, mà cho phép trường đại học ưu tiên theo từng giai đoạn — bắt đầu từ những rủi ro cao nhất và hạ tầng sẵn có nhất. Cách tiếp cận từng bước này phù hợp với thực tế nguồn lực hạn chế của phần lớn trường đại học.

4.3.4. Mô hình khung rủi ro mạng nhẹ cho trường đại học

Nhận thấy rằng cả ISO 27001, NIST CSF lẫn Zero Trust đều đặt yêu cầu khá cao về nguồn lực, Kepuska và Tomasevic (2024) đề xuất một khung quản lý rủi ro mạng nhẹ (lightweight framework) dành riêng cho các cơ sở giáo dục đại học ở khu vực Tây Balkan — một khu vực có điều kiện tương tự nhiều nước đang phát triển ở Đông Nam Á.

Khung nhẹ của Kepuska và Tomasevic (2024) được thiết kế theo ba nguyên tắc: tối giản — chỉ giữ lại các yếu tố cốt lõi nhất; thực tiễn — tập trung vào những rủi ro thực sự phổ biến tại trường đại học; khả năng mở rộng — có thể phát triển dần khi nguồn lực tăng lên. Khung này bao gồm bốn thành phần chính.

Thành phần thứ nhất là đánh giá tài sản và rủi ro, nhưng ở mức độ đơn giản hóa: không yêu cầu phân tích rủi ro chi tiết từng tài sản, mà nhóm tài sản theo mức độ quan trọng — "cực quan trọng" (hệ thống LMS, cơ sở dữ liệu sinh viên), "quan trọng" (hệ thống email, thư viện số) và "bình thường" (website thông tin). Thứ hai là bộ kiểm soát tối thiểu, được rút gọn từ ISO 27001 và NIST CSF xuống khoảng 15-20 biện pháp thiết yếu nhất — sao lưu dữ liệu, quản lý mật khẩu, xác thực đa yếu tố cho quản trị viên, cập nhật phần mềm, và giáo dục nhận thức.

Thứ ba là kế hoạch phản ứng sự cố cơ bản — không yêu cầu đội chuyên trách mà phân công vai trò rõ ràng cho nhân sự hiện có, kèm checklist phản ứng sự cố có thể vận hành ngay. Thứ tư là đánh giá định kỳ đơn giản — khảo sát tự đánh giá mỗi sáu tháng thay vì kiểm toán nội bộ chuyên nghiệp (Kepuska & Tomasevic, 2024).

Kepuska và Tomasevic (2024) nhấn mạnh rằng khung nhẹ không thay thế cho các tiêu chuẩn quốc tế mà đóng vai trò bước khởi đầu. Khi trường đại học đã vận hành ổn định khung nhẹ này, có thể dần tích hợp thêm các yếu tố từ ISO 27001, NIST CSF hoặc Zero Trust để nâng cao năng lực phòng thủ. Cách tiếp cận này đặc biệt phù hợp với các trường đại học ở giai đoạn đầu chuyển đổi số, khi nhu cầu bảo vệ thông tin cấp bách nhưng nguồn lực chưa cho phép triển khai các framework toàn diện.

4.4. Đánh giá và chọn framework phù hợp

4.4.1. Tổng hợp so sánh các framework

Ba framework được phân tích trong phần này — ISO 27001, NIST CSF và Zero Trust — không phải là ba lựa chọn loại trừ lẫn nhau mà là ba công cụ bổ trợ, mỗi công cụ giải quyết một tập hợp bài toán cụ thể trong quản lý an toàn thông tin trường đại học.

ISO 27001 xuất sắc trong việc xây dựng nền tảng quản trị toàn diện. Tiêu chuẩn này cung cấp hệ thống chính sách, quy trình và kiểm soát bao phủ mọi khía cạnh — từ quản lý con người đến hạ tầng công nghệ. Điểm mạnh lớn nhất của ISO 27001 là tính hệ thống và khả năng chứng nhận, tạo cơ sở vững chắc để trường đại học minh bạch hóa cam kết an toàn thông tin. Điểm yếu là tính nặng nề trong triển khai, đòi hỏi nguồn lực lớn và thời gian dài (Amine và cộng sự, 2023; Makupi, 2019).

NIST CSF tỏa sáng ở tính linh hoạt và khả năng ứng dụng thực tiễn. Framework này cho phép trường đại học tự đánh giá, tự ưu tiên và tự lựa chọn giải pháp — phù hợp với bối cảnh đa dạng của giáo dục đại học. Khả năng chia nhỏ thành năm chức năng giúp trường tập trung vào lĩnh vực yếu nhất trước. Điểm hạn chế là thiếu tính cụ thể trong các biện pháp kiểm soát, đòi hỏi kinh nghiệm và chuyên môn để biến khung lý thuyết thành hành động thực tế (Lund, 2024).

Zero Trust mạnh ở khả năng bảo vệ kiến trúc mạng trong bối cảnh phân tán và đám mây. Nguyên tắc "không tin tưởng ai, luôn xác minh" đặc biệt phù hợp với thực tế truy cập đa thiết bị, đa vị trí của trường đại học hiện đại. Tuy nhiên, Zero Trust không phải framework quản lý toàn diện mà là kiến trúc kỹ thuật — cần được đặt trong khuôn khổ quản lý rộng hơn như ISO 27001 hoặc NIST CSF (Rose và cộng sự, 2020; Huang, 2023).

Khung nhẹ của Kepuska và Tomasevic (2024) lấp đầy khoảng trống cho các trường đại học có nguồn lực rất hạn chế, cung cấp điểm khởi đầu thiết thực khi không thể triển khai các framework lớn. Khung này có thể xem như bước đệm trên lộ trình trưởng thành an toàn thông tin.

4.4.2. Lựa chọn dựa trên bối cảnh thực tiễn

Việc lựa chọn framework phù hợp phải dựa trên phân tích kỹ bối cảnh cụ thể của từng trường đại học. Bốn yếu tố quyết định chính bao gồm quy mô trường, nguồn lực hiện có, mức độ trưởng thành số và yêu cầu tuân thủ pháp lý.

Trường đại học quy mô lớn, có nguồn lực đầy đủ và đã ở giai đoạn chuyển đổi số tiến triển — ví dụ các trường đại học trọng điểm — nên hướng tới tích hợp cả ba framework: ISO 27001 làm nền tảng quản trị, NIST CSF tinh chỉnh vận hành và phản ứng, Zero Trust làm kiến trúc mạng kỹ thuật. Ba lớp này chồng lên nhau tạo hệ thống phòng thủ độ sâu nhiều lớp, trong đó mỗi lớp bổ sung điểm mạnh cho lớp kia.

Trường đại học quy mô trung bình, nguồn lực hạn chế — bao gồm phần lớn các trường ở nước đang phát triển — nên bắt đầu với NIST CSF hoặc khung nhẹ của Kepuska và Tomasevic (2024). Ưu tiên phát triển ở hai chức năng Identify và Protect, sau đó mở rộng sang Detect, Respond và Recover khi năng lực tăng. Mô hình trưởng thành của Makupi (2019) đóng vai trò lộ trình chỉ đường trong quá trình này.

Trường đại học quy mô nhỏ hoặc ở giai đoạn rất sớm của chuyển đổi số nên áp dụng khung nhẹ, tập trung vào 15-20 biện pháp kiểm soát tối thiểu và kế hoạch phản ứng sự cố cơ bản. Mục tiêu ở giai đoạn này không phải đạt chuẩn quốc tế mà đảm bảo mức bảo vệ nền tảng — sao lưu dữ liệu, quản lý mật khẩu, cập nhật phần mềm — tránh trở thành mục tiêu dễ dàng của tấn công mạng tự động.

Yếu tố pháp lý cũng ảnh hưởng đến lựa chọn. Một số quốc gia yêu cầu trường đại học công lập phải tuân thủ tiêu chuẩn an toàn thông tin nhất định, có thể dẫn đến việc bắt buộc áp dụng ISO 27001 hoặc tương đương. Các trường có hợp tác nghiên cứu quốc tế với dữ liệu nhạy cảm cũng có thể đối mặt với yêu cầu từ đối tác về tiêu chuẩn an toàn thông tin áp dụng (De Ramos & Esponilla II, 2022).

4.4.3. Tích hợp "an toàn từ thiết kế" vào framework

Dù chọn framework nào, nguyên tắc "an toàn từ thiết kế" đã được phân tích ở Phần 3 phải được tích hợp xuyên suốt. Beach và cộng sự (2019) chỉ ra rằng nguyên tắc kỹ thuật hệ thống an toàn — bao gồm bảo vệ độ sâu, cơ chế phòng thủ đa lớp, phân tích chế độ lỗi, kiểm soát bề mặt tấn công — cần được đưa vào tất cả các framework ở mọi giai đoạn của vòng đời hệ thống.

Trong ISO 27001, an toàn từ thiết kế thể hiện ở giai đoạn đánh giá rủi ro ban đầu — khi hệ thống mới còn đang trên bản vẽ, rủi ro phải được nhận diện và giải quyết trước khi triển khai. Thay vì xây hệ thống rồi "vá" an toàn sau, trường đại học nên yêu cầu mọi dự án công nghệ mới — từ nâng cấp LMS đến xây dựng phòng lab ảo — phải trải qua đánh giá an toàn thông tin từ giai đoạn thiết kế (Beach và cộng sự, 2019).

Trong NIST CSF, an toàn từ thiết kế liên kết chặt chẽ với chức năng Identify — nhận diện rủi ro từ đầu giúp giảm đáng kể chi phí và phức tạp ở các chức năng Protect, Detect, Respond và Recover sau này. Một hệ thống được thiết kế an toàn ngay từ đầu đòi hỏi ít biện pháp kiểm soát bổ sung, ít cảnh báo sai, ít sự cố phải phản ứng và ít nỗ lực phục hồi (Lund, 2024).

Trong Zero Trust, an toàn từ thiết kế gần như là điều kiện tiên quyết. Kiến trúc "không tin tưởng ai, luôn xác minh" chỉ thực sự hiệu quả khi được tích hợp vào thiết kế kiến trúc mạng ngay từ đầu, không thể áp dụng trễ một cách đầy đủ. Nỗ lực "Zero Trust hóa" một hệ thống mạng được thiết kế theo mô hình truyền thống thường đòi hỏi tái cấu trúc toàn bộ — tốn kém và rủi ro (Rose và cộng sự, 2020; Huang, 2023).

4.4.4. Kết nối với thực tiễn triển khai

Phân tích trong phần này tạo nền tảng lý thuyết vững chắc cho bước tiếp theo — thực tiễn triển khai. Các framework và tiêu chuẩn được trình bày cung cấp bản đồ khái niệm giúp trường đại học định vị vị trí hiện tại và xác định điểm đến. Tuy nhiên, bản đồ không thay thế hành trình. Phần 5 sẽ đi sâu vào các bước triển khai cụ thể — từ xây dựng chính sách, đào tạo nhân sự, triển khai công nghệ đến đo lường và cải tiến liên tục — biến khung lý thuyết thành hành động thực tiễn trong bối cảnh chuyển đổi số trường đại học tại Việt Nam.

TÀI LIỆU THAM KHẢO

Amine, A. M., Faqeeh, A., Baz, M., & Mabrouki, A. (2023). A Review of Cybersecurity Management Standards Applied in Higher Education Institutions. International Journal of Software Science and Software Engineering, 13(6), 355-372. https://doi.org/10.18280/ijsse.130614

Beach, P. M., Rezgui, A., Mihalak, S., Zhang, Y., Xu, H., Griss, M., & Schneidewind, N. (2019). Analysis of Systems Security Engineering Design Principles. IEEE Access, 7, 105325-105341. https://doi.org/10.1109/access.2019.2930718

De Ramos, N. M., & Esponilla II, F. D. (2022). Cybersecurity program for Philippine higher education institutions: A multiple-case study. Indonesian Journal of Educational Research and Evaluation, 6(3), 253-268. https://doi.org/10.11591/ijere.v11i3.22863

Huang, Z. (2023). Modeling and Constructing a Network Security System for Colleges and Universities in the Context of Digital Transformation. Academic Journal of Humanities & Social Sciences, 7(1), 392-401. https://doi.org/10.56028/aehssr.7.1.392.2023

Kepuska, K., & Tomasevic, M. (2024). A lightweight framework for cyber risk management in Western Balkan higher education institutions. PeerJ Computer Science, 10, e1958. https://doi.org/10.7717/peerj-cs.1958

Lund, B. (2024). Blockchain Applications in Higher Education Based on the NIST Cybersecurity Framework. Journal of Blockchain Applications, 4(1), 1-15. https://doi.org/10.62915/2472-2707.1178

Makupi, D. (2019). A Design of Information Security Maturity Model for Universities Based on ISO 27001. The International Journal of Business & Management, 7(6), 288-297. https://doi.org/10.24940/theijbm/2019/v7/i6/bm1906-038

Rose, S., Borchert, O., Mitchell, S., & Connelly, S. (2020). Zero Trust Architecture (NIST Special Publication 800-207). National Institute of Standards and Technology, U.S. Department of Commerce.

5.1. Văn hóa an ninh mạng trong trường đại học

Việc triển khai an toàn từ thiết kế trong môi trường giáo dục đại học không chỉ dừng lại ở các giải pháp kỹ thuật mà còn đòi hỏi một nền tảng văn hóa an ninh mạng vững chắc. Văn hóa an ninh mạng bao gồm tập hợp các giá trị, hành vi và nhận thức chung của toàn bộ cộng đồngampus (khuôn viên trường) — từ ban lãnh đạo, giảng viên, nhân viên cho đến sinh viên — về tầm quan trọng của việc bảo vệ thông tin và hệ thống công nghệ. Trong bối cảnh chuyển đổi số giáo dục, trường đại học trở thành mục tiêu tấn công mạng ngày càng hấp dẫn do lượng dữ liệu cá nhân, nghiên cứu và tài sản trí tuệ khổng lồ mà các cơ sở này lưu trữ (Uchendu et al., 2021).

Nghiên cứu của Uchendu et al. (2021) phân tích sâu mối liên hệ giữa văn hóa an ninh mạng và các chương trình đào tạo nhận thức trong tổ chức giáo dục. Các tác giả chỉ ra rằng văn hóa an ninh mạng vượt xa các khóa đào tạo nhận thức thông thường. Trong khi đào tạo nhận thức cung cấp kiến thức cụ thể về các mối đe dọa và cách phòng tránh, văn hóa an ninh mạng tạo ra môi trường mà trong đó mọi cá nhân tự giác coi việc bảo vệ an ninh là một phần không thể tách rời trong công việc và học tập hàng ngày. Sự khác biệt này mang ý nghĩa thực tiễn quan trọng: một trường đại học có thể tổ chức hàng chục buổi tập huấn an ninh mạng mỗi năm nhưng nếu không xây dựng được văn hóa an ninh bền vững thì hiệu quả bảo vệ vẫn rất hạn chế.

Uchendu et al. (2021) đề xuất khung xây dựng văn hóa an ninh mạng trong giáo dục bao gồm ba trụ cột chính. Trụ cột thứ nhất là cam kết từ ban lãnh đạo — khi ban giám hiệu ưu tiên ngân sách và nguồn lực cho an ninh mạng thì toàn bộ tổ chức sẽ nhận được tín hiệu rõ ràng về tầm quan trọng của vấn đề này. Trụ cột thứ hai là tích hợp an ninh mạng vào quy trình vận hành — nghĩa là các biện pháp bảo vệ được lồng ghép vào mọi hoạt động thay vì coi là thêm nhiệm vụ ngoài luồng. Trụ cột thứ ba là đo lường và cải tiến liên tục — tổ chức cần có cơ chế đánh giá định kỳ mức độ tuân thủ và nhận thức để điều chỉnh chiến lược kịp thời. Ba trụ cột này tạo thành vòng lặp phản hồi giúp văn hóa an ninh mạng không ngừng phát triển.

Trở lại với đối tượng cốt lõi của giáo dục đại học — sinh viên — nhận thức an ninh mạng của nhóm này chịu ảnh hưởng của nhiều yếu tố đa chiều. Alqahtani (2022) thực hiện nghiên cứu khảo sát trên sinh viên đại học tại Ả Rập Xê Út nhằm xác định các yếu tố ảnh hưởng đến nhận thức và hành vi an ninh mạng. Kết quả cho thấy mức độ hiểu biết về an ninh mạng của sinh viên dao động đáng kể tùy thuộc vào chuyên ngành học, năm học và kinh nghiệm sử dụng công nghệ. Sinh viên khối ngành kỹ thuật — công nghệ thông tin thường thể hiện nhận thức cao hơn so với sinh viên khối ngành xã hội — nhân văn. Điều này phản ánh thực tế rằng chương trình giảng dạy tại các trường đại học vẫn chưa tích hợp nội dung an ninh mạng một cách đồng đều cho mọi khối ngành, dẫn đến khoảng trống nhận thức giữa các nhóm sinh viên.

Alqahtani (2022) còn phát hiện rằng yếu tố xã hội đóng vai trò quan trọng trong việc hình thành hành vi an ninh mạng của sinh viên. Những sinh viên có bạn bè, người thân quen thuộc với các biện pháp bảo mật có xu hướng áp dụng các biện pháp đó nhiều hơn. Ngược lại, áp lực đồng trang lứa đôi khi thúc đẩy hành vi rủi ro, chẳng hạn như chia sẻ mật khẩu hoặc sử dụng phần mềm vi phạm bản quyền. Kết quả này nhấn mạnh rằng môi trường xã hội trong trường đại học — bao gồm phòng thí nghiệm, ký túc xá, khu vực sinh hoạt chung — tác động mạnh mẽ đến thực hành an ninh mạng của sinh viên.

Cùng hướng tiếp cận, Adeshola và Oluwajana (2024) phân tích hệ thống các yếu tố quyết định nhận thức an ninh mạng của sinh viên trong bối cảnh giáo dục đại học ở các nước đang phát triển. Các tác giả xây dựng mô hình phân tích bao gồm bốn nhóm yếu tố chính. Nhóm thứ nhất gồm các yếu tố cá nhân như tuổi, giới tính, trình độ học vấn và thói quen sử dụng công nghệ. Nhóm thứ hai gồm các yếu tố tổ chức như chính sách an ninh mạng của trường, sự hỗ trợ từ bộ phận công nghệ thông tin và tính sẵn có của các nguồn hướng dẫn. Nhóm thứ ba gồm các yếu tố công nghệ như mức độ bảo mật của thiết bị cá nhân, loại thiết bị sử dụng và phần mềm bảo vệ được cài đặt. Nhóm thứ tư gồm các yếu tố môi trường như khuôn khổ pháp lý về bảo vệ dữ liệu và sự phát triển của hạ tầng internet tại địa phương.

Nghiên cứu của Adeshola và Oluwajana (2024) phát hiện rằng trong số các yếu tố trên, yếu tố tổ chức có tác động mạnh nhất đến nhận thức an ninh mạng của sinh viên. Cụ thể, các trường đại học có chính sách an ninh mạng rõ ràng, thường xuyên cập nhật hướng dẫn và cung cấp kênh hỗ trợ kỹ thuật kịp thời giúp sinh viên duy trì mức độ nhận thức và tuân thủ cao hơn đáng kể so với các trường thiếu những cơ chế này. Kết quả này cung cấp bằng chứng mạnh mẽ cho việc xem xét văn hóa an ninh mạng như một yếu tố tổ chức cần được đầu tư bài bản chứ không chỉ là trách nhiệm cá nhân.

Từ các nghiên cứu trên, có thể rút ra một số khuyến nghị thực tiễn quan trọng cho việc xây dựng văn hóa an ninh mạng trong trường đại học. Thứ nhất, trường đại học cần phát triển chương trình giáo dục an ninh mạng phù hợp với từng nhóm đối tượng, tránh cách tiếp cận một kích cỡ cho tất cả. Sinh viên khối ngành phi kỹ thuật cần được trang bị kiến thức cơ bản về bảo mật thông tin trong khi sinh viên khối ngành kỹ thuật cần đào tạo chuyên sâu về các kỹ năng phòng thủ mạng. Thứ hai, trường đại học nên tích hợp nội dung an ninh mạng vào các môn học cốt lõi thay vì chỉ tổ chức các buổi tập huấn riêng lẻ. Việc lồng ghép nội dung bảo mật vào môn học giúp sinh viên hiểu rõ liên hệ giữa an ninh mạng và chuyên môn ngành học của mình. Thứ ba, trường đại học cần xây dựng cộng đồng thực hành an ninh mạng — chẳng hạn như câu lạc bộ an ninh mạng, cuộc thi phòng thủ mạng — để tạo môi trường học tập và chia sẻ kinh nghiệm giữa sinh viên. Thứ tư, ban lãnh đạo cần thể hiện cam kết rõ ràng bằng cách phân bổ ngân sách phù hợp, bổ nhiệm nhân sự chuyên trách và tham gia trực tiếp vào các hoạt động nâng cao nhận thức.

5.2. Bảo mật hệ thống quản lý học tập

Hệ thống quản lý học tập hiện là nền tảng công nghệ cốt lõi trong hầu hết các trường đại học trên thế giới. Từ việc phân phối bài giảng, tổ chức thi cử trực tuyến đến theo dõi tiến độ học tập và liên lạc giữa giảng viên — sinh viên, mọi hoạt động giảng dạy — học tập đều diễn ra trên hệ thống này. Sự phụ thuộc ngày càng tăng vào nền tảng này biến LMS thành một trong những tài sản thông tin giá trị nhất và cũng là mục tiêu tấn công ưu tiên trong môi trường giáo dục (Krumova & Kataria, 2023).

Krumova và Kataria (2023) tiến hành khảo sát toàn diện về tình hình an ninh mạng trong các hệ thống quản lý học tập tại châu Âu. Các tác giả thu thập dữ liệu từ hơn 50 trường đại học sử dụng các nền tảng LMS phổ biến như Moodle, Canvas và Blackboard để đánh giá mức độ tuân thủ các tiêu chuẩn bảo mật. Kết quả cho thấy nhiều trường đại học vẫn còn lỏng lẻo trong việc cấu hình bảo mật LMS. Tỷ lệ các trường áp dụng xác thực hai yếu tố cho tài khoản giảng viên chỉ đạt dưới 40%, và phần lớn các trường chưa triển khai mã hóa dữ liệu khi truyền tải và lưu trữ theo tiêu chuẩn hiện hành. Đáng chú ý, nghiên cứu cũng phát hiện nhiều trường đại học cho phép người dùng sử dụng mật khẩu yếu — mật khẩu ngắn hơn tám ký tự, không kết hợp ký tự đặc biệt — gây nguy cơ lộ thông tin nghiêm trọng.

Krumova và Kataria (2023) nhấn mạnh rằng nguyên nhân gốc rễ của tình trạng yếu kém này nằm ở sự thiếu hụt nguồn lực chuyên trách an ninh mạng tại nhiều trường đại học. Bộ phận công nghệ thông tin thường phải đảm nhiệm cả vận hành hạ tầng, hỗ trợ người dùng và quản lý bảo mật với nhân sự rất hạn chế. Trong bối cảnh đó, việc bảo mật LMS thường được ưu tiên thấp hơn so với các nhiệm vụ vận hành hằng ngày, dẫn đến việc các bản vá lỗi bảo mật không được áp dụng kịp thời và các chính sách mật khẩu không được thực thi nghiêm ngặt.

Bàn sâu hơn về các lỗ hổng cụ thể trong hệ thống quản lý học tập, Akacha và Awad (2023) thực hiện phân tích chuyên sâu về các nguy cơ bảo mật đối với các nền tảng LMS mã nguồn mở. Các tác giả sử dụng phương pháp phân tích mối đe dọa và kiểm thử thâm nhập để xác định các điểm yếu phổ biến trong hệ thống Moodle — nền tảng LMS phổ biến nhất trong giáo dục đại học toàn cầu. Kết quả cho thấy nhiều lỗ hổng nghiêm trọng liên quan đến kiểm soát truy cập, xử lý đầu vào và quản lý phiên làm việc. Cụ thể, hệ thống thường không kiểm tra đầy đủ tính hợp lệ của dữ liệu đầu vào từ người dùng, mở đường cho các cuộc tấn công chèn mã độc. Ngoài ra, cơ chế phân quyền đôi khi cho phép người dùng với quyền hạn thấp truy cập vào tài liệu của người dùng khác hoặc chỉnh sửa nội dung không thuộc phạm vi quản lý.

Akacha và Awad (2023) đưa ra các khuyến nghị cụ thể nhằm khắc phục những lỗ hổng đã phát hiện. Về mặt kỹ thuật, các tác giả đề nghị tăng cường kiểm soát truy cập dựa trên vai trò, triển khai mã hóa toàn diện cho dữ liệu nhạy cảm, và thiết lập hệ thống giám sát phát hiện bất thường trong thời gian thực. Về mặt quản trị, các tác giả khuyến nghị xây dựng quy trình vá lỗi định kỳ, tổ chức đánh giá bảo mật hàng quý và phát triển kế hoạch phản ứng sự cố an ninh mạng riêng cho hệ thống LMS. Đặc biệt, các tác giả nhấn mạnh tầm quan trọng của việc phân tách dữ liệu — nghĩa là tách riêng cơ sở dữ liệu LMS khỏi các hệ thống khác của trường để hạn chế tác động khi xảy ra sự cố rò rỉ.

Song song với vấn đề bảo mật LMS nội bộ, xu hướng chuyển dịch sang điện toán đám mây trong giáo dục đại học đặt ra những thách thức bảo mật mới. Khalid và Zolkipli (2022) nghiên cứu thực trạng bảo mật điện toán đám mây trong lĩnh vực giáo dục tại Malaysia và khu vực Đông Nam Á. Các tác giả phát hiện nhiều trường đại học đã chuyển dịch dịch vụ LMS lên nền tảng đám mây nhưng chưa đánh giá đầy đủ các rủi ro bảo mật đi kèm. Các vấn đề chính bao gồm chia sẻ trách nhiệm mơ hồ giữa nhà cung cấp dịch vụ đám mây và trường đại học, thiếu minh bạch về vị trí lưu trữ dữ liệu, và hạn chế trong khả năng kiểm soát truy cập vật lý đến máy chủ. Khalid và Zolkipli (2022) khuyến nghị các trường đại học cần ký kết thỏa thuận mức độ dịch vụ rõ ràng với nhà cung cấp, yêu cầu chứng nhận tuân thủ các tiêu chuẩn bảo mật quốc tế, và triển khai giải pháp mã hóa dữ liệu từ phía khách hàng trước khi tải lên đám mây.

Một khía cạnh thường bị bỏ qua trong bài toán bảo mật LMS là rủi ro từ các bên thứ ba. Kelso et al. (2024) phân tích chuỗi cung ứng phần mềm trong hệ sinh thái công nghệ giáo dục và phát hiện rằng các trường đại học ngày càng tích hợp nhiều công cụ và dịch vụ của bên thứ ba vào hệ thống LMS — từ plugin đánh giá, công cụ hội thảo trực tuyến đến ứng dụng phân tích dữ liệu học tập. Mỗi sự tích hợp này tạo ra một điểm kết nối mới tiềm ẩn nguy cơ bảo mật. Kelso et al. (2024) chỉ ra nhiều plugin bên thứ ba cho hệ thống LMS chưa được kiểm tra bảo mật kỹ lưỡng, có thể chứa mã độc hoặc lỗ hổng cho phép kẻ tấn công truy cập trái phép vào hệ thống. Các tác giả đề xuất khuôn khổ quản lý rủi ro bên thứ ba cho giáo dục đại học, bao gồm quy trình đánh giá bảo mật trước khi tích hợp, giám sát liên tục sau triển khai, và cơ chế cách ly để giới hạn tác động khi plugin bên thứ ba bị xâm phạm.

Nhìn chung, bảo mật hệ thống quản lý học tập đòi hỏi tiếp cận đa lớp bao gồm: cấu hình bảo mật chuẩn cho nền tảng, kiểm soát chặt chẽ quyền truy cập, mã hóa dữ liệu toàn diện, quản lý chặt rủi ro bên thứ ba, và xây dựng năng lực phản ứng sự cố. Các trường đại học cần coi LMS như một tài sản thông tin quan trọng và dành nguồn lực tương xứng cho việc bảo vệ hệ thống này.

5.3. Bảo mật Smart Campus

Xu hướng xây dựng khuôn viên trường học thông minh đang mở rộng nhanh chóng trong giáo dục đại học toàn cầu. Smart Campus tận dụng công nghệ cảm biến, thiết bị kết nối mạng, phân tích dữ liệu lớn và trí tuệ nhân tạo để tối ưu hóa các hoạt động quản lý cơ sở vật chất, tiết kiệm năng lượng và nâng cao trải nghiệm sinh viên. Tuy nhiên, sự mở rộng của hạ tầng công nghệ này cũng kéo theo những rủi ro bảo mật đáng kể mà nhiều trường đại học chưa chuẩn bị đầy đủ để đối phó (Polin et al., 2023; Ţălu, 2025).

Polin et al. (2023) khảo sát các mô hình khuôn viên thông minh và phân tích chuyên sâu về các rủi ro an ninh mạng đi kèm. Các tác giả xác định bốn nhóm rủi ro chính trong Smart Campus. Nhóm thứ nhất liên quan đến bảo mật thiết bị kết nối mạng — hàng nghìn thiết bị như camera giám sát, cảm biến nhiệt độ, khóa cửa điện tử, bộ điều khiển chiếu sáng được lắp đặt trên khuôn viên trường, mỗi thiết bị là một điểm entry tiềm năng cho kẻ tấn công. Nhóm thứ hai liên quan đến bảo mật truyền thông — dữ liệu giữa thiết bị và hệ thống trung tâm thường truyền qua mạng không dây, tạo cơ hội cho kẻ tấn công chặn bắt thông tin. Nhóm thứ ba liên quan đến bảo mật lưu trữ dữ liệu — hệ thống Smart Campus thu thập lượng dữ liệu khổng lồ về thói quen di chuyển, sử dụng tiện ích và hoạt động hàng ngày của sinh viên, làm tăng nguy cơ lộ thông tin cá nhân. Nhóm thứ tư liên quan đến quản lý vòng đời thiết bị — nhiều trường đại học thiếu quy trình cập nhật phần vững và thay thế thiết bị cũ, dẫn đến tình trạng thiết bị hoạt động với phần mềm lỗi thời và dễ bị khai thác.

Polin et al. (2023) đề xuất khuôn khổ bảo mật đa tầng cho khuôn viên thông minh, trong đó mỗi tầng tương ứng với một cấp độ bảo vệ khác nhau. Tầng vi điều khiển — thiết bị cấp thấp nhất — cần được bảo vệ bằng mã hóa dữ liệu, cập nhật phần vững an toàn và cơ chế tắt từ xa. Tầng mạng cần được bảo vệ bằng phân đoạn mạng, tường lửa ứng dụng và mã hóa truyền thông. Tầng nền tảng — hệ điều hành và phần mềm trung gian — cần được bảo vệ bằng quản lý bản vá, kiểm soát cấu hình và giám sát bất thường. Tầng ứng dụng — giao diện người dùng và dịch vụ — cần được bảo vệ bằng xác thực mạnh, kiểm soát truy cập chi tiết và kiểm thử bảo mật định kỳ.

Cùng quan điểm, Ţălu (2025) phân tích mối quan hệ giữa an toàn từ thiết kế và kiến trúc khuôn viên thông minh hiện đại. Tác giả nhấn mạnh rằng nguyên tắc Zero Trust — không tin tưởng bất kỳ thực thể nào dù nội bộ hay bên ngoài — đặc biệt phù hợp với môi trường Smart Campus, nơi hàng nghìn thiết bị kết nối đồng thời và ranh giới mạng truyền thống không còn rõ ràng. Trong mô hình Zero Trust, mọi yêu cầu truy cập — dù từ thiết bị cảm biến, máy tính giảng viên hay điện thoại sinh viên — đều phải được xác thực và ủy quyền riêng biệt. Việc triển khai mô hình này trong Smart Campus đòi hỏi đầu tư mạnh vào hệ thống nhận dạng số, phân tích hành vi người dùng và tự động hóa phản ứng an ninh.

Ţălu (2025) còn nhấn mạnh tầm quan trọng của việc thiết kế bảo mật ngay từ giai đoạn quy hoạch Smart Campus thay vì thêm vào sau khi hệ thống đã hoạt động. Cách tiếp cận an toàn từ thiết kế trong bối cảnh này bao gồm: thiết lập yêu cầu bảo mật cùng với yêu cầu chức năng, thực hiện đánh giá rủi ro trước khi triển khai hạ tầng mới, và xây dựng năng lực giám sát an ninh mạng song song với việc lắp đặt thiết bị vật lý. Tác giả cung cấp các minh chứng thực tế về việc các trường đại học áp dụng thành công mô hình Zero Trust trong khuôn viên thông minh, qua đó giảm đáng kể số lượng sự cố bảo mật và tăng tốc độ phát hiện — phản ứng khi có xâm nhập.

Từ các nghiên cứu trên, các trường đại học đang hoặc dự định xây dựng Smart Campus cần cân nhắc ba ưu tiên bảo mật chính. Thứ nhất, thiết lập khuôn khổ quản lý bảo mật thiết bị kết nối mạng bao gồm quy trình đăng ký, giám sát và cập nhật cho mọi thiết bị. Thứ hai, triển khai kiến trúc Zero Trust với khả năng nhận dạng và kiểm soát truy cập chi tiết cho từng thiết bị và người dùng. Thứ ba, xây dựng trung tâm vận hành an ninh mạng chuyên trách cho khuôn viên thông minh để thu thập, phân tích và phản ứng đối với các sự cố an ninh trong thời gian thực.

5.4. Trí tuệ nhân tạo và an ninh mạng giáo dục

Trí tuệ nhân tạo đang tái định hình mọi khía cạnh của giáo dục đại học — từ cá nhân hóa lộ trình học tập, tự động đánh giá bài tập đến tối ưu hóa quy trình hành chính. Cùng với những lợi ích vượt trội, AI cũng mang đến những rủi ro an ninh mạng mới và làm phức tạp thêm bức tranh đe dọa trong môi trường giáo dục. Trong bối cảnh này, AI đóng vai trò kép — vừa là công cụ bảo vệ, vừa là mục tiêu và phương tiện tấn công (AL-Ghamdi et al., 2022; Ismail, 2024; Al-Omari et al., 2025).

Về mặt tích cực, AL-Ghamdi et al. (2022) tổng hợp và đánh giá hiệu quả của các kỹ thuật trí tuệ nhân tạo trong việc phát hiện và phòng chống xâm nhập mạng trong môi trường giáo dục. Các tác giả phân tích các mô hình học máy và học sâu được áp dụng để phát hiện tấn công mạng, bao gồm mạng nơ-ron tích chập, mạng chống và tự động mã hóa. Kết quả cho thấy các mô hình học sâu đạt độ chính xác phát hiện xâm nhập cao hơn đáng kể so với các phương pháp truyền thống dựa trên quy tắc. Đặc biệt, kỹ thuật học sâu có khả năng nhận dạng các mẫu tấn công phức tạp và chưa từng xuất hiện — điều mà hệ thống phát hiện xâm nhập truyền thống thường bỏ sót.

AL-Ghamdi et al. (2022) đề xuất khuôn khổ tích hợp AI vào hệ thống bảo mật mạng trường đại học với ba thành phần chính. Thành phần thứ nhất là thu thập dữ liệu — hệ thống liên tục gom dữ liệu luồng mạng, nhật ký sự kiện và thông tin thiết bị từ toàn bộ hạ tầng trường. Thành phần thứ hai là phân tích — mô hình AI xử lý dữ liệu theo thời gian thực để nhận dạng mẫu bất thường và đánh giá mức độ nguy cơ. Thành phần thứ ba là phản ứng — hệ thống tự động hoặc bán tự động thực hiện các biện pháp đối phó như cô lập thiết bị nghi ngờ, chặn địa chỉ mạng và gửi cảnh báo cho bộ phận an ninh mạng. Ba thành phần này hoạt động liên tục tạo thành vòng lặp bảo vệ chủ động giúp trường đại học phản ứng nhanh hơn trước các mối đe dọa mạng.

Tuy nhiên, khi AI được tích hợp sâu vào hệ thống giáo dục, bản thân các hệ thống AI này cũng trở thành mục tiêu tấn công. Ismail (2024) phân tích các rủi ro an ninh mạng đối với hệ thống AI trong giáo dục và chỉ ra nhiều lỗ hổng đặc thù. Kẻ tấn công có thể thao túng dữ liệu huấn luyện để làm sai lệch kết quả phân tích — gọi là tấn công đầu độc dữ liệu. Các cuộc tấn công đối kháng có thể đánh lừa mô hình AI bằng cách tinh chỉnh đầu vào một cách tinh vi mà con người khó nhận ra nhưng đủ để thay đổi quyết định của hệ thống. Ngoài ra, trích xuất mô hình — tức là phục hồi thông tin nhạy cảm từ mô hình AI đã được triển khai — đặt ra nguy cơ lộ dữ liệu huấn luyện, bao gồm thông tin cá nhân của sinh viên.

Ismail (2024) đề xuất các nguyên tắc an toàn từ thiết kế cho hệ thống AI trong giáo dục. Nguyên tắc thứ nhất là an toàn dữ liệu huấn luyện — đảm bảo dữ liệu dùng để huấn luyện mô hình được thu thập hợp pháp, ẩn danh hóa đầy đủ và bảo vệ bằng mã hóa. Nguyên tắc thứ hai là khả năng giải thích — mô hình AI cần cung cấp lý do cho từng quyết định, giúp con người kiểm tra và phát hiện các kết quả bất thường. Nguyên tắc thứ ba là kiểm thử đối kháng — hệ thống AI cần được kiểm tra khả năng chịu đựng trước các cuộc tấn công tinh vi trước khi triển khai thực tế. Nguyên tắc thứ tư là giám sát liên tục — tổ chức cần theo dõi hiệu suất và hành vi của mô hình AI sau triển khai để phát hiện kịp thời các dấu hiệu bị thao túng.

Mở rộng hướng phân tích, Al-Omari et al. (2025) nghiên cứu mối liên hệ giữa ứng dụng AI trong giáo dục và an ninh mạng từ góc độ chính sách và quản trị. Các tác giả khuyến nghị các trường đại học cần xây dựng khuôn khổ quản trị AI bao gồm: chính sách thu thập và sử dụng dữ liệu cho hệ thống AI, quy trình đánh giá tác động bảo mật trước khi triển khai AI, cơ chế giải quyết tranh chấp khi hệ thống AI đưa ra quyết định sai, và chương trình đào tạo cho nhân viên — giảng viên về hiểu biết và giám sát AI. Các tác giả nhấn mạnh rằng trong bối cảnh giáo dục đại học, quản trị AI cần cân bằng giữa việc thúc đẩy đổi mới sáng tạo và đảm bảo an ninh mạng, quyền riêng tư cũng như công bằng thuật toán.

Tóm lại, AI mang lại khả năng bảo vệ mạng vượt trội cho trường đại học nhưng cũng tạo ra bề mặt tấn công mới. Việc áp dụng nguyên tắc an toàn từ thiết kế trong phát triển và triển khai hệ thống AI giáo dục — từ bảo vệ dữ liệu huấn luyện, đảm bảo khả năng giải thích, kiểm thử đối kháng cho đến giám sát liên tục — là điều kiện thiết yếu để khai thác lợi ích AI mà vẫn duy trì mức độ bảo mật phù hợp.

5.5. Bảo vệ quyền riêng tư sinh viên

Trong quá trình chuyển đổi số giáo dục, dữ liệu sinh viên — bao gồm thông tin cá nhân, kết quả học tập, hành vi trực tuyến và thói quen sử dụng dịch vụ — được thu thập, xử lý và lưu trữ với quy mô chưa từng có. Việc bảo vệ quyền riêng tư sinh viên trở thành một trong những thách thức cấp bách nhất mà trường đại học phải đối mặt khi triển khai an toàn từ thiết kế (Walker et al., 2023; Muasher et al., 2024).

Walker et al. (2023) phân tích toàn diện về quyền riêng tư trong bối cảnh công nghệ giáo dục và phát hiện rằng nhiều công cụ EdTech phổ biến thu thập dữ liệu vượt xa mức cần thiết cho mục đích giáo dục. Các tác giả chỉ ra rằng các hệ thống quản lý học tập, ứng dụng hội thảo trực tuyến, công cụ đánh giá và nền tảng phân tích dữ liệu học tập thường thu thập dữ liệu vị trí, lịch sử duyệt mạng, thông tin thiết bị và thậm chí dữ liệu sinh trắc học mà không có sự đồng ý đầy đủ từ sinh viên. Walker et al. (2023) nhấn mạnh nguyên tắc thu thập tối thiểu — chỉ gom dữ liệu thực sự cần thiết cho mục đích giáo dục cụ thể — như một trong những nền tảng của an toàn từ thiết kế trong bảo vệ quyền riêng tư. Các tác giả còn đề xuất việc thực hiện đánh giá tác động quyền riêng tư cho mọi công nghệ giáo dục mới trước khi triển khai, tương tự như đánh giá tác động môi trường trong các dự án xây dựng.

Muasher et al. (2024) nghiên cứu thực trạng nhận thức về quyền riêng tư dữ liệu của sinh viên tại các trường đại học Jordan và phát hiện nhiều khoảng trống đáng lo ngại. Kết quả khảo sát cho thấy phần lớn sinh viên không đọc kỹ chính sách bảo mật khi sử dụng các nền tảng giáo dục trực tuyến, không hiểu rõ loại dữ liệu đang bị thu thập và ít có ý thức về nguy cơ lạm dụng dữ liệu. Đồng thời, các tác giả phát hiện sinh viên thường đồng ý cung cấp thông tin cá nhân trong trao đổi với các công cụ công nghệ giáo dục mà không đánh giá kỹ hậu quả tiềm năng. Muasher et al. (2024) khuyến nghị các trường đại học tại khu vực — và nói rộng hơn là các quốc gia đang phát triển — cần ưu tiên giáo dục quyền riêng tư số như một phần bắt buộc trong chương trình định hướng sinh viên.

Từ các nghiên cứu trên, có thể đề xuất các giải pháp bảo vệ dữ liệu sinh viên theo nguyên tắc an toàn từ thiết kế. Giải pháp thứ nhất là xây dựng chính sách bảo mật dữ liệu sinh viên rõ ràng, dễ hiểu, bằng ngôn ngữ phổ thông, cho sinh viên biết chính xác dữ liệu nào được thu thập, mục đích sử dụng, thời gian lưu trữ và quyền lợi của sinh viên đối với dữ liệu của mình. Giải pháp thứ hai là triển khai kỹ thuật ẩn danh hóa và giả mạo dữ liệu — biến đổi dữ liệu gốc để không thể xác định danh tính cá nhân nhưng vẫn giữ được giá trị phân tích — cho các hệ thống xử lý dữ liệu học tập. Giải pháp thứ ba là áp dụng kiểm soát truy cập dựa trên vai trò nghiêm ngặt, đảm bảo chỉ nhân viên có thẩm quyền mới được tiếp cận dữ liệu cá nhân sinh viên và mọi lượt truy cập đều được ghi nhật ký để kiểm tra sau này. Giải pháp thứ tư là thiết lập cơ chế đồng ý phân tầng — sinh viên có quyền lựa chọn mức độ chia sẻ dữ liệu dựa trên mức độ nhạy cảm và mục đích sử dụng cụ thể. Giải pháp thứ năm là tổ chức các buổi giáo dục quyền riêng tư số thường xuyên, giúp sinh viên nhận thức rõ ràng hơn về quyền lợi và trách nhiệm của mình trong kỷ nguyên dữ liệu.

Bảo vệ quyền riêng tư sinh viên không chỉ là nghĩa vụ pháp lý mà còn là điều kiện tiên quyết để xây dựng niềm tin — yếu tố nền tảng cho sự thành công của chuyển đổi số giáo dục. Khi sinh viên tin tưởng rằng dữ liệu cá nhân được bảo vệ, họ sẽ sẵn sàng tham gia tích cực hơn vào các hoạt động học tập trực tuyến và chia sẻ thông tin cần thiết để cá nhân hóa trải nghiệm giáo dục.

6.1. Khung pháp lý bảo vệ dữ liệu cá nhân tại Việt Nam

6.1.1. Tổng quan khung pháp lý

Việt Nam đã bước vào kỷ nguyên quản trị dữ liệu cá nhân một cách quyết đoán với việc ban hành Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, có hiệu lực thi hành từ tháng 7 năm 2023. Nghị định này đánh dấu một bước ngoặt quan trọng trong hệ thống pháp luật Việt Nam, lần đầu tiên thiết lập một khuôn khổ pháp lý chuyên biệt và toàn diện cho việc bảo vệ dữ liệu cá nhân — thay thế cho các quy định phân tán trước đây trong Luật An ninh mạng 2018, Luật An toàn thông tin mạng 2015 và Bộ luật Dân sự 2015. Chu Hoa (2022) đã phân tích chi tiết khung pháp lý bảo vệ dữ liệu cá nhân của Việt Nam trước khi Nghị định 13 ra đời, chỉ ra rằng sự phân tán quy định giữa nhiều văn bản pháp luật khác nhau tạo ra khoảng trống lớn trong việc bảo vệ quyền lợi của cá nhân trước các tổ chức thu thập và xử lý dữ liệu.

Nghị định 13/2023/NĐ-CP bao gồm năm chương với 46 điều khoản, thiết lập các nguyên tắc cơ bản cho hoạt động thu thập, xử lý, lưu trữ và chia sẻ dữ liệu cá nhân. Nghị định phân loại dữ liệu cá nhân thành hai nhóm chính: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân nhạy cảm bao gồm thông tin chính trị, tôn giáo, sức khỏe, tài chính, sinh trắc học và thông tin liên quan đến hành vi vi phạm pháp luật. Trong bối cảnh giáo dục đại học, hồ sơ sinh viên, điểm số, kết luận y tế, dữ liệu học tập trên nền tảng số và thông tin tài chính học phí đều có thể thuộc phạm vi điều chỉnh của Nghị định.

Lâm Tố Trang (2024) đã tổng hợp và đối chiếu các khía cạnh pháp lý về bảo vệ dữ liệu cá nhân trên thế giới, rút ra kinh nghiệm cho Việt Nam. Tác giả nhấn mạnh rằng Nghị định 13/2023/NĐ-CP đã tiếp thu nhiều nguyên tắc cốt lõi từ các chế định tiên tiến trên thế giới, đặc biệt là nguyên tắc công khai và minh bạch, nguyên tắc giới hạn mục đích, nguyên tắc tối thiểu dữ liệu và nguyên tắc lưu trữ có thời hạn. Tuy nhiên, bài viết cũng chỉ ra những điểm cần hoàn thiện, đặc biệt trong việc thực thi và cơ chế giám sát độc lập.

Khi so sánh Nghị định 13/2023/NĐ-CP với Quy định chung về bảo vệ dữ liệu của Liên minh Châu Âu (General Data Protection Regulation — GDPR), Rubinstein và Good (2019) đã cung cấp một phân tích chuyên sâu về cách tiếp cận khác biệt giữa các khuôn khổ pháp lý. GDPR, có hiệu lực từ tháng 5 năm 2018, được coi là tiêu chuẩn vàng toàn cầu về bảo vệ dữ liệu cá nhân với các nguyên tắc như quyền được thông tin, quyền xóa dữ liệu, quyền mang theo dữ liệu, quyền phản đối xử lý tự động và yêu cầu đánh giá tác động bảo vệ dữ liệu.

Sự khác biệt đáng chú ý nhất giữa Nghị định 13 và GDPR nằm ở cơ chế giám sát và thực thi. GDPR thiết lập các cơ quan giám sát độc lập tại từng quốc gia thành viên (Data Protection Authority), có thẩm quyền điều tra, xử phạt và đình chỉ hoạt động xử lý dữ liệu. Nghị định 13 giao quyền giám sát chủ yếu cho Bộ Công an thông qua Cơ quan bảo vệ dữ liệu cá nhân — một mô hình tập trung về mặt hành chính nhưng khác biệt về bản chất so với mô hình độc lập của GDPR. Lâm Tố Trang (2024) nhận định rằng việc thiết lập cơ quan giám sát độc lập, tách biệt khỏi cơ quan thực thi pháp luật, là một trong những điểm quan trọng nhất mà Việt Nam cần học hỏi từ kinh nghiệm quốc tế.

Về quyền của chủ thể dữ liệu, Nghị định 13 quy định quyền đồng ý, quyền truy cập, quyền yêu cầu sửa đổi và quyền yêu cầu xóa dữ liệu, song phạm vi và cơ chế thực thi các quyền này chưa chi tiết bằng GDPR. Đặc biệt, quyền "mang theo dữ liệu" (data portability) — một trong những quyền tiên tiến nhất của GDPR — chưa được quy định rõ ràng trong Nghị định 13. Trong bối cảnh giáo dục đại học, quyền này cho phép sinh viên chuyển đổi toàn bộ hồ sơ học tập số từ trường này sang trường khác một cách liền mạch, một khả năng có ý nghĩa chiến lược khi Việt Nam thúc đẩy hội nhập giáo dục quốc tế và công nhận tín chỉ xuyên biên giới.

Về nghĩa vụ của bên xử lý dữ liệu, cả hai khuôn khổ đều yêu cầu thực hiện các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu. Tuy nhiên, GDPR yêu cầu đánh giá tác động bảo vệ dữ liệu (Data Protection Impact Assessment) bắt buộc đối với các hoạt động xử lý rủi ro cao — yêu cầu mà Nghị định 13 mới chỉ đề cập ở mức nguyên tắc mà chưa cụ thể hóa thành nghĩa vụ bắt buộc. Trong giáo dục đại học, việc triển khai hệ thống phân tích học tập (learning analytics), hệ thống giám sát thi trực tuyến hay hệ thống AI chấm điểm tự động đều có thể thuộc diện "xử lý rủi ro cao" và cần được đánh giá tác động bảo vệ dữ liệu.

6.1.3. Yêu cầu pháp lý đối với trường đại học Việt Nam

Dưới góc độ cụ thể, Nghị định 13/2023/NĐ-CP đặt ra những yêu cầu pháp lý trực tiếp và cấp thiết đối với các trường đại học Việt Nam. Trước hết, trường đại học được phân loại là "bên kiểm soát dữ liệu" khi tự quyết định mục đích và phương thức xử lý dữ liệu sinh viên, và là "bên xử lý dữ liệu" khi xử lý theo chỉ định của cơ quan quản lý. Sự phân biệt này có ý nghĩa quan trọng trong việc xác định trách nhiệm pháp lý: bên kiểm soát dữ liệu chịu trách nhiệm chính trong việc đảm bảo tuân thủ các quy định bảo vệ dữ liệu.

Trường đại học Việt Nam cần tuân thủ ít nhất bốn nhóm nghĩa vụ cốt lõi. Thứ nhất, nghĩa vụ thông báo và đăng ký hoạt động xử lý dữ liệu với cơ quan bảo vệ dữ liệu cá nhân, đặc biệt đối với việc xử lý dữ liệu cá nhân nhạy cảm. Thứ hai, nghĩa vụ thu thập đồng ý của người chủ thể dữ liệu một cách tự nguyện, rõ ràng và cụ thể — nghĩa vụ đặc biệt quan trọng khi trường đại học triển khai các nền tảng học tập mới hoặc thay đổi phương thức thu thập dữ liệu học tập. Thứ ba, nghĩa vụ thực hiện các biện pháp bảo mật kỹ thuật phù hợp với mức độ nhạy cảm của dữ liệu. Thứ tư, nghĩa vụ thông báo và khắc phục hậu quả khi xảy ra sự cố rò rỉ dữ liệu, thường xuyên bị bỏ qua trong thực tiễn quản lý giáo dục.

Ta Thị Bích Ngọc và Nguyễn Kim Tùng (2022) đã nghiên cứu phương pháp tiếp cận dựa trên quyền riêng tư trong chính sách bảo vệ dữ liệu cá nhân trên các nền tảng dịch vụ công trực tuyến tại Việt Nam. Tác giả chỉ ra rằng các nền tảng dịch vụ công, bao gồm cả các cổng thông tin giáo dục của trường đại học, vẫn còn nhiều điểm yếu trong việc bảo vệ dữ liệu cá nhân, đặc biệt là thiếu các chính sách quyền riêng tư rõ ràng, cơ chế đồng ý không minh bạch và thiếu quy trình xử lý khiếu nại về dữ liệu. Kết quả nghiên cứu này có giá trị tham chiếu trực tiếp cho các trường đại học khi xây dựng và vận hành hệ thống dịch vụ công giáo dục số.

6.1.4. Cổng dịch vụ công và bảo mật dữ liệu cá nhân

Việc xây dựng Cổng dịch vụ công quốc gia và các cổng dịch vụ giáo dục trực tuyến tại Việt Nam đặt ra bài toán phức tạp về cân bằng giữa tiện lợi tiếp cận và bảo vệ quyền riêng tư. Ta Thị Bích Ngọc và Nguyễn Kim Tùng (2022) phân tích rằng phương pháp tiếp cận hiện tại tại Việt Nam thiên về cung cấp dịch vụ hơn là bảo vệ dữ liệu, dẫn đến tình trạng người dân cung cấp lượng lớn dữ liệu cá nhân mà không nhận được sự bảo đảm tương xứng về an toàn thông tin.

Trong giáo dục đại học, tình trạng này thể hiện qua nhiều khía cạnh cụ thể. Hệ thống tuyển sinh trực tuyến yêu cầu thí sinh cung cấp thông tin cá nhân toàn diện nhưng thiếu cơ chế kiểm soát quyền truy cập nội bộ. Hệ thống quản lý học tập thu thập dữ liệu hành vi học tập chi tiết — thời gian truy cập, tần suất tương tác, kết quả bài kiểm tra, các khu vực khó khăn — mà sinh viên thường không được thông báo đầy đủ về cách dữ liệu này được sử dụng. Các hệ thống thông tin sinh viên tích hợp từ nhiều nguồn — học vụ, tài chính, y tế, hỗ trợ sinh viên — tạo ra hồ sơ dữ liệu cá nhân vô cùng phong phú nhưng quản trị phân tán, thiếu thống nhất.

Nghiên cứu của Chu Hoa (2022) cho thấy rằng khung pháp lý Việt Nam cần tiếp tục được hoàn thiện theo ba hướng: (1) cụ thể hóa các quyền của chủ thể dữ liệu trong từng lĩnh vực cụ thể, bao gồm giáo dục; (2) thiết lập cơ chế giám sát độc lập có thẩm quyền thực thi thực chất; (3) xây dựng tiêu chuẩn kỹ thuật quốc gia cho bảo vệ dữ liệu cá nhân, đặc biệt trong các dịch vụ công trực tuyến. Ba hướng này có ý nghĩa chiến lược đối với giáo dục đại học, nơi dữ liệu sinh viên cần được bảo vệ theo tiêu chuẩn cao nhưng cơ sở vật chất và năng lực quản trị của nhiều trường đại học vẫn còn hạn chế.

6.2. Khuyến nghị chiến lược cho trường đại học Việt Nam

Khuyến nghị 1: Tích hợp "an toàn từ thiết kế" vào chiến lược chuyển đổi số

Sự an toàn từ thiết kế không phải là một phụ lưới kỹ thuật thêm vào sau khi hệ thống đã hoàn thiện, mà là một nguyên tắc cốt lõi phải được đưa vào chiến lược chuyển đổi số ngay từ giai đoạn hoạch định. Khuyến nghị này đòi hỏi mọi dự án chuyển đổi số tại trường đại học Việt Nam phải trải qua đánh giá rủi ro bảo mật và bảo vệ quyền riêng tư trước khi được phê duyệt, đồng thời các tiêu chí an toàn phải trở thành phần không tách rời của bộ chỉ số đánh giá dự án số.

Ở cấp độ chiến lược, hội đồng trường cần ban hành chính sách "an toàn từ thiết kế" thành văn bản chính thức, quy định rõ rằng mọi hệ thống công nghệ thông tin mới — từ phần mềm quản lý học vụ đến nền tảng học tập trực tuyến, từ ứng dụng di động trường đến hệ thống phân tích dữ liệu — phải đạt các tiêu chuẩn bảo vệ dữ liệu cá nhân tối thiểu trước khi triển khai. Chính sách này cần gắn với quy trình mua sắm công nghệ, đảm bảo rằng việc lựa chọn nhà cung cấp giải pháp công nghệ phải ưu tiên các sản phẩm có sẵn chức năng bảo vệ quyền riêng tư.

Ở cấp độ thực thi, phòng công nghệ thông tin cần xây dựng danh sách kiểm tra an toàn (security checklist) áp dụng cho mọi dự án công nghệ, bao gồm: phân tích rủi ro bảo mật, đánh giá tác động bảo vệ dữ liệu, kiểm tra mã nguồn, đánh giá cấu hình mạng, kiểm tra kiểm soát truy cập, và đánh giá khả năng phục hồi sau sự cố. Danh sách kiểm tra này cần được tích hợp vào quy trình phát triển phần mềm nội bộ và quy trình đánh giá đề xuất mua sắm phần mềm bên ngoài.

Thực tiễn từ các trường đại học tiên tiến trên thế giới cho thấy nguyên tắc "an toàn từ thiết kế" mang lại lợi ích kép: vừa giảm chi phí sửa chữa lỗ hổng bảo mật sau triển khai — chi phí thường cao hơn nhiều lần so với việc phòng ngừa từ đầu — vừa tăng niềm tin của sinh viên và giảng viên vào hệ thống công nghệ số, tạo điều kiện thuận lợi cho việc thúc đẩy tỷ lệ chấp nhận và sử dụng công nghệ mới.

Khuyến nghị 2: Xây dựng khung quản trị an ninh mạng phù hợp quy mô

Không phải trường đại học nào cũng có nguồn lực để xây dựng bộ phận an ninh mạng quy mô lớn như các tập đoàn công nghệ. Khuyến nghị này nhấn mạnh đến việc thiết kế khung quản trị an ninh mạng phù hợp với quy mô, ngân sách và năng lực thực tế của từng trường đại học Việt Nam. Quá trình thiết kế cần bắt đầu từ việc đánh giá hiện trạng an ninh mạng, xác định tài sản dữ liệu quan trọng cần bảo vệ, và phân bổ nguồn lực dựa trên mức độ rủi ro.

Đối với các trường đại học quy mô lớn tại Việt Nam — nhóm có hơn 20.000 sinh viên và cơ sở hạ tầng công nghệ phức tạp — cần thiết lập đơn vị an ninh mạng chuyên trách, tối thiểu ba nhân sự toàn thời gian đảm nhận các vai trò: quản trị viên an ninh mạng, chuyên gia giám sát và ứng phó sự cố, và chuyên gia tuân thủ pháp luật. Đơn vị này cần báo cáo trực tiếp cho hiệu trưởng hoặc một phó hiệu trưởng được giao trách nhiệm về công nghệ thông tin, đảm bảo vị thế đủ cao để đưa ra khuyến nghị và áp dụng các biện pháp bảo mật.

Đối với các trường đại học quy mô vừa và nhỏ — nhóm chiếm đa số trong hệ thống giáo dục đại học Việt Nam — giải pháp thực tế là sử dụng mô hình chia sẻ dịch vụ an ninh mạng (shared security services). Mô hình này cho phép nhiều trường đại học cùng tham gia vào một trung tâm chia sẻ dịch vụ an ninh mạng, chia sẻ chi phí vận hành, chuyên gia và thiết bị. Giải pháp này đặc biệt phù hợp với bối cảnh Việt Nam, nơi nhiều trường đại học khu vực ngoài Hà Nội và Thành phố Hồ Chí Minh gặp khó khăn trong việc thu hút và giữ chân nhân sự an ninh mạng chất lượng cao.

Khung quản trị cần bao gồm năm thành phần chính: (1) chính sách và quy trình an ninh mạng; (2) kiểm soát truy cập dựa trên vai trò; (3) giám sát và phát hiện xâm nhập; (4) kế hoạch ứng phó sự cố và phục hồi; (5) chương trình đào tạo và nâng cao nhận thức an ninh mạng cho toàn thể nhân viên và sinh viên. Năm thành phần này cần được cụ thể hóa thành bộ tiêu chí đo lường, được đánh giá định kỳ và liên tục cải tiến.

Khuyến nghị 3: Đầu tư vào phát triển văn hóa an ninh mạng

Văn hóa an ninh mạng không thể được xây dựng chỉ bằng các khóa đào tạo một lần hay các thông báo qua hệ thống loa phát thanh nội bộ. Đây là một quá trình liên tục đòi hỏi sự đầu tư có hệ thống vào cả nhận thức, thái độ và hành vi của mọi thành viên trong trường đại học. Uchendu và cộng sự (2021) đã nghiên cứu các chiến lược giáo dục an ninh mạng cho sinh viên đại học và chỉ ra rằng phương pháp tiếp cận truyền thống — chủ yếu dựa trên bài giảng lý thuyết — có hiệu quả rất hạn chế trong việc thay đổi hành vi thực tế của sinh viên.

Kết quả nghiên cứu của Uchendu và cộng sự (2021) cho thấy ba yếu tố quyết định hiệu quả chương trình giáo dục an ninh mạng. Thứ nhất, nội dung đào tạo cần mang tính cá nhân hóa, liên quan trực tiếp đến đời sống số hàng ngày của sinh viên thay vì chỉ trình bày các khái niệm trừu tượng. Thứ hai, phương pháp cần tương tác và trải nghiệm, bao gồm mô phỏng tấn công mạng, giải tình huống thực tế và trò chơi hóa (gamification). Thứ ba, đào tạo cần được lặp lại định kỳ và cập nhật liên tục theo mối đe dọa an ninh mạng mới nhất.

Adeshola và Oluwajana (2024) đã mở rộng nghiên cứu về phát triển văn hóa an ninh mạng trong môi trường giáo dục đại học, nhấn mạnh rằng yếu tố lãnh đạo đóng vai trò then chốt. Khi lãnh đạo cấp cao thể hiện cam kết rõ ràng với an ninh mạng — thông qua việc phân bổ ngân sách, tham gia các buổi tập huấn và tuân thủ chính sách an ninh mạng cá nhân — nhân viên và sinh viên có xu hướng tuân thủ nghiêm túc hơn. Ngược lại, khi lãnh đạo coi an ninh mạng là trách nhiệm của phòng công nghệ thông tin, toàn bộ tổ chức sẽ hình thành tâm lý ỷ lại và thiếu trách nhiệm chung.

Đối với trường đại học Việt Nam, khuyến nghị cụ thể bao gồm: tích hợp nội dung an ninh mạng vào chương trình đào tạo kỹ năng mềm cho sinh viên năm nhất; tổ chức chiến dịch "Tháng an toàn thông tin" hàng năm với các hoạt động đa dạng; xây dựng hệ thống báo cáo sự cố an ninh mạng ẩn danh và khuyến khích; thiết lập nhóm tình nguyện viên an toàn thông tin sinh viên để nhân rộng nhận thức trong cộng đồng sinh viên. Mỗi hoạt động cần được đo lường hiệu quả thông qua khảo sát trước và sau, đảm bảo tính thực chất thay vì hình thức.

Khuyến nghị 4: Hợp tác quốc tế và chia sẻ kinh nghiệm khu vực

Việt Nam không đơn độc trong hành trình xây dựng an ninh mạng giáo dục đại học. Các quốc gia Đông Nam Á đang đối mặt với những thách thức tương tự và đã triển khai nhiều sáng kiến đáng học hỏi. Miskam và cộng sự (2023) đã nghiên cứu chiến lược quản trị công nghệ thông tin trong giáo dục đại học tại Malaysia, một quốc gia có bối cảnh kinh tế — xã hội tương đồng với Việt Nam và đã đạt những tiến bộ đáng kể trong chuyển đổi số giáo dục.

Kinh nghiệm từ Malaysia cho thấy ba bài học quan trọng cho Việt Nam. Thứ nhất, thiết lập khung năng lực công nghệ thông tin giáo dục quốc gia (ICT Competency Framework) làm cơ sở thống nhất cho việc phát triển năng lực số tại tất cả trường đại học. Thứ hai, chính sách bắt buộc các trường đại học đạt chứng nhận bảo mật thông tin quốc tế (ISO 27001) trong một lộ trình cụ thể, tạo động lực đầu tư vào an ninh mạng một cách có kế hoạch. Thứ ba, xây dựng mạng lưới chia sẻ thông tin an ninh mạng giáo dục (Education Sector Computer Security Incident Response Team) để phối hợp ứng phó các mối đe dọa xuyên biên giới.

Kepuska và Tomasevic (2024) đã phân tích chiến lược chuyển đổi số giáo dục đại học tại Tây Ban Nha, một quốc gia có nền tảng pháp lý bảo vệ dữ liệu cá nhân tuân thủ GDPR chặt chẽ. Bài học từ Tây Ban Nha cho thấy rằng việc tuân thủ khuôn khổ bảo vệ dữ liệu nghiêm ngặt không cản trở đổi mới giáo dục mà trái lại, tạo ra niềm tin vững chắc cho sinh viên và giảng viên khi sử dụng các dịch vụ số. Trường đại học Tây Ban Nha đã triển khai mô hình "đại biểu bảo vệ dữ liệu" (Data Protection Officer) tại mỗi trường, một chức năng mà trường đại học Việt Nam cần nghiêm túc cân nhắc thiết lập theo tinh thần Nghị định 13/2023/NĐ-CP.

Khuyến nghị cụ thể cho trường đại học Việt Nam bao gồm: tham gia mạng lưới an ninh mạng giáo dục khu vực ASEAN; ký kết biên bản ghi nhớ hợp tác với các trường đại học tiên tiến về an ninh mạng giáo dục; cử chuyên gia công nghệ thông tin tham gia các chương trình trao đổi và đào tạo tại nước ngoài; và chủ động đóng góp vào quá trình xây dựng tiêu chuẩn bảo vệ dữ liệu giáo dục chung cho khu vực. Hợp tác quốc tế không chỉ giúp tiếp thu kinh nghiệm mà còn tạo cơ sở để xây dựng năng lực nội địa một cách bền vững.

Khuyến nghị 5: Bảo vệ quyền riêng tư sinh viên trong kỷ nguyên EdTech

Sự bùng nổ của công nghệ giáo dục (EdTech) đang tạo ra những cơ hội to lớn cho cá nhân hóa giáo dục, nâng cao hiệu quả học tập và mở rộng tiếp cận giáo dục. Song song, nó cũng đặt ra những thách thức chưa từng có về quyền riêng tư sinh viên. Walker và cộng sự (2023) đã phân tích sâu các vấn đề đạo đức và quyền riêng tư trong môi trường EdTech, chỉ ra rằng nhiều sản phẩm EdTech được thiết kế với ưu tiên thu thập dữ liệu hơn là bảo vệ người dùng, biến sinh viên thành nguồn dữ liệu giá trị cho các công ty công nghệ.

Walker và cộng sự (2023) nhấn mạnh ba vấn đề cốt lõi. Thứ nhất, vấn đề "vùng xám đồng ý" — khi sinh viên sử dụng các nền tảng học tập số, họ thường phải đồng ý với các điều khoản sử dụng dữ liệu phức tạp và dài dòng mà không thực sự hiểu ý nghĩa. Thứ hai, vấn đề "xâm nhập giám sát" — khi các công cụ EdTech thu thập dữ liệu ngày càng chi tiết về hành vi học tập, từ thời gian đọc tài liệu đến mức độ tập trung, tạo ra hồ sơ giám sát toàn diện mà sinh viên thường không hề biết. Thứ ba, vấn đề "thương mại hóa dữ liệu giáo dục" — khi dữ liệu học tập của sinh viên được sử dụng cho mục đích thương mại mà không có sự đồng ý đầy đủ.

Sun (2023) bổ sung góc nhìn quan trọng về quyền riêng tư dữ liệu trong giáo dục trực tuyến, đặc biệt nhấn mạnh rằng chuyển đổi số giáo dục không thể coi quyền riêng tư sinh viên là yếu tố thứ yếu. Tác giả đề xuất khung "quyền riêng tư theo thiết kế" (privacy by design) cho giáo dục số, bao gồm: thu thập tối thiểu dữ liệu cần thiết cho mục đích giáo dục cụ thể; ẩn danh hóa dữ liệu ngay từ thời điểm thu thập; cho phép sinh viên kiểm soát mức độ chia sẻ dữ liệu; và thiết lập cơ chế tự động xóa dữ liệu khi sinh viên tốt nghiệp hoặc rút khỏi chương trình.

Đối với trường đại học Việt Nam, khuyến nghị cụ thể bao gồm: xây dựng chính sách lựa chọn nhà cung cấp EdTech dựa trên tiêu chí bảo vệ quyền riêng tư; yêu cầu nhà cung cấp EdTech công khai chính sách dữ liệu bằng tiếng Việt; thiết lập quy trình đánh giá tác động bảo vệ dữ liệu cho mọi sản phẩm EdTech trước khi triển khai; và lồng ghép nội dung giáo dục quyền riêng tư số vào chương trình định hướng sinh viên năm nhất. Mục tiêu cuối cùng là tạo ra một môi trường EdTech mà ở đó quyền lợi của sinh viên được đặt ngang hàng với lợi ích giáo dục.

6.3. Lộ trình triển khai đề xuất

Giai đoạn 1: Đánh giá và lập kế hoạch (0–12 tháng)

Giai đoạn đầu tiên tập trung vào việc xây dựng nền tảng vững chắc cho toàn bộ quá trình triển khai. Mỗi trường đại học cần tiến hành đánh giá toàn diện về hiện trạng an ninh mạng và bảo vệ dữ liệu cá nhân, bao gồm kiểm tra hạ tầng công nghệ thông tin, rà soát chính sách hiện hành, khảo sát mức độ nhận thức của nhân viên và sinh viên, và phân tích các sự cố an ninh mạng đã xảy ra trong ba năm qua. Kết quả đánh giá cần được tổng hợp thành báo cáo hiện trạng, làm cơ sở cho các quyết định đầu tư và ưu tiên.

Cùng với đánh giá hiện trạng, trường đại học cần thành lập ban chỉ đạo an ninh mạng và bảo vệ dữ liệu cá nhân, do hiệu trưởng hoặc phó hiệu trưởng phụ trách công nghệ thông tin làm chủ tịch. Ban chỉ đạo này cần có đại diện từ các đơn vị liên quan: phòng công nghệ thông tin, phòng đào tạo, phòng công tác sinh viên, phòng thanh tra pháp chế, và đại diện sinh viên. Ban chỉ đạo chịu trách nhiệm phê duyệt chiến lược, giám sát tiến độ, phân bổ nguồn lực và giải quyết các vấn đề vượt thẩm quyền của đơn vị chuyên trách.

Trong giai đoạn này, trường đại học cũng cần xây dựng và ban hành bộ chính sách nền tảng, bao gồm: chính sách bảo vệ dữ liệu cá nhân phù hợp Nghị định 13/2023/NĐ-CP; chính sách an ninh mạng nội bộ; quy trình quản lý sự cố bảo mật; quy trình xử lý khiếu nại về dữ liệu; và bộ tiêu chuẩn kỹ thuật tối thiểu cho các hệ thống công nghệ thông tin. Các chính sách này cần được tham vấn rộng rãi với các bên liên quan trước khi ban hành, đảm bảo tính khả thi và sự chấp nhận.

Cột mốc quan trọng của giai đoạn 1 là hoàn thành báo cáo hiện trạng, ban hành bộ chính sách nền tảng và phê duyệt ngân sách triển khai giai đoạn tiếp theo. Thời gian 12 tháng là khoảng hợp lý cho các hoạt động này, nhưng trường đại học có thể bắt đầu các bước đơn giản ngay trong những tháng đầu tiên — như nâng cấp mật khẩu, kiểm tra quyền truy cập hệ thống và gửi cảnh báo an ninh mạng — mà không cần chờ hoàn thành toàn bộ quy trình đánh giá.

Giai đoạn 2: Triển khai nền tảng (12–24 tháng)

Giai đoạn thứ hai chuyển từ lập kế hoạch sang hành động cụ thể, tập trung vào việc xây dựng các nền tảng kỹ thuật và tổ chức cần thiết. Về kỹ thuật, trường đại học cần triển khai hệ thống quản lý bản vá (patch management) tự động, hệ thống sao lưu và phục hồi dữ liệu theo tiêu chuẩn, hệ thống giám sát mạng và phát hiện xâm nhập, hệ thống quản lý sự cố an ninh mạng tập trung, và hệ thống quản lý danh tính và kiểm soát truy cập thống nhất.

Về tổ chức, giai đoạn này cần hoàn thiện cơ cấu nhân sự an ninh mạng, đào tạo đội ngũ chuyên trách và xây dựng quy trình vận hành thường xuyên. Đối với trường chưa có đủ nguồn lực nhân sự nội bộ, đây là thời điểm phù hợp để ký kết hợp đồng dịch vụ an ninh mạng bên ngoài hoặc tham gia mô hình chia sẻ dịch vụ an ninh mạng liên trường. Đồng thời, chương trình đào tạo và nâng cao nhận thức an ninh mạng cho toàn thể nhân viên và sinh viên cần được triển khai chính thức, với các khóa học bắt buộc đối với nhân viên và tích hợp vào chương trình định hướng cho sinh viên mới.

Một hoạt động quan trọng trong giai đoạn này là kiểm tra tuân thủ (compliance audit) đối với các hệ thống công nghệ thông tin hiện có. Kiểm tra này nhằm xác định các hệ thống không đạt tiêu chuẩn bảo vệ dữ liệu cá nhân, từ đó xây dựng kế hoạch nâng cấp hoặc thay thế theo mức độ ưu tiên rủi ro. Kết quả kiểm tra cần được báo cáo cho ban chỉ đạo và được tích hợp vào chiến lược đầu tư công nghệ trung hạn của trường.

Cột mốc quan trọng của giai đoạn 2 là đưa vào vận hành các hệ thống bảo mật cốt lõi, hoàn thiện cơ cấu nhân sự, hoàn thành ít nhất một đợt đào tạo toàn trường và đạt đánh giá tuân thủ mức độ cơ bản theo Nghị định 13/2023/NĐ-CP.

Giai đoạn 3: Tối ưu hóa và phát triển (24–36 tháng)

Giai đoạn thứ ba hướng tới việc nâng cao chất lượng và độ trưởng thành của hệ thống quản trị an ninh mạng và bảo vệ dữ liệu cá nhân. Các hoạt động trọng tâm bao gồm: triển khai hệ thống phân tích học tập bảo vệ quyền riêng tư (privacy-preserving learning analytics); xây dựng hệ thống giám sát và báo cáo tuân thủ tự động; phát triển năng lực ứng phó sự cố nâng cao với thời gian phản hồi giảm dần; và tiến tới đăng ký chứng nhận bảo mật thông tin quốc tế ISO 27001.

Trong giai đoạn này, trường đại học cần bắt đầu tích hợp nguyên tắc "an toàn từ thiết kế" vào mọi dự án chuyển đổi số mới, đảm bảo rằng bảo vệ dữ liệu cá nhân trở thành một phần tự nhiên của quy trình phát triển và triển khai công nghệ. Điều này đòi hỏi thay đổi sâu sắc trong văn hóa tổ chức — chuyển từ tư duy "bảo mật là rào cản" sang tư duy "bảo mật là điều kiện tiên quyết cho đổi mới".

Giai đoạn 3 cũng là thời điểm phù hợp để bắt đầu hợp tác quốc tế một cách chủ động: tham gia các diễn đàn an ninh mạng giáo dục khu vực và quốc tế; cử chuyên gia tham gia chương trình đào tạo nước ngoài; chia sẻ kinh nghiệm và bài học thực tiễn với các trường đại học trong nước và khu vực. Các hoạt động này giúp nhào nặn năng lực nội địa thông qua tiếp xúc với tiêu chuẩn và phương pháp thực hành tốt nhất trên thế giới.

Cột mốc quan trọng của giai đoạn 3 là đạt mức trưởng thành an ninh mạng thứ ba trong mô hình năm cấp độ, triển khai thành công ít nhất một hệ thống EdTech tuân thủ nguyên tắc "an toàn từ thiết kế", và thiết lập ít nhất một mối quan hệ hợp tác quốc tế về an ninh mạng giáo dục.

Giai đoạn 4: Duy trì và cải tiến liên tục (36 tháng trở đi)

Giai đoạn cuối cùng và kéo dài suốt quá trình hoạt động của trường đại học là duy trì và cải tiến liên tục. An ninh mạng và bảo vệ dữ liệu cá nhân không phải là dự án có điểm kết thúc mà là một quá trình liên tục, đòi hỏi nỗ lực không ngừng nghỉ. L Threat landscape — bức tranh mối đe dọa — thay đổi liên tục với các cuộc tấn công ngày càng tinh vi và phức tạp, đòi hỏi hệ thống phòng thủ cũng phải liên tục thích ứng.

Hoạt động cốt lõi trong giai đoạn này bao gồm: giám sát liên tục bối cảnh mối đe dọa an ninh mạng toàn cầu và cập nhật chiến lược phòng thủ tương ứng; đánh giá định kỳ (ít nhất hàng năm) hiệu quả của các biện pháp an ninh mạng; cập nhật và nâng cấp hệ thống theo lộ trình công nghệ; tổ chức diễn tập ứng phó sự cố định kỳ để kiểm tra năng lực thực tế; và liên tục cải tiến chương trình đào tạo nhận thức an ninh mạng.

Trường đại học cần xây dựng cơ chế phản hồi từ sinh viên và giảng viên về các vấn đề an ninh mạng và quyền riêng tư, tạo điều kiện thuận lợi cho việc báo cáo sự cố, đề xuất cải tiến và tham gia vào quá trình ra quyết định về chính sách dữ liệu. Cơ chế này giúp đảm bảo rằng hệ thống bảo vệ dữ liệu cá nhân phản ánh thực tế trải nghiệm của người dùng và có khả năng thích ứng với những thách thức mới phát sinh.

Cột mốc quan trọng của giai đoạn 4 là duy trì chứng nhận bảo mật thông tin, đạt mức trưởng thành an ninh mạng thứ tư hoặc thứ năm, xây dựng được văn hóa an toàn thông tin tự duy trì và trở thành điểm tham chiếu tốt về quản trị an ninh mạng giáo dục trong hệ thống giáo dục đại học Việt Nam.

Lộ trình triển khai an toàn từ thiết kế cho trường đại học

▶

Giai đoạn 1 · 0–12 tháng

Đánh giá &
Lập kế hoạch

✦ Đánh giá rủi ro bảo mật hiện trạng toàn trường

✦ Xây dựng chính sách bảo vệ dữ liệu sinh viên

✦ Thiết lập ban chỉ đạo chuyển đổi số

▶

Giai đoạn 2 · 12–24 tháng

Triển khai
nền tảng

✦ Triển khai hệ thống quản lý danh tính (IAM)

✦ Mã hóa dữ liệu và phân quyền truy cập

✦ Đào tạo nhân sự về an toàn thông tin

▶

Giai đoạn 3 · 24–36 tháng

Tối ưu hóa

✦ Tích hợp AI phát hiện mối đe dọa tự động

✦ Kiểm thử penetration & audit định kỳ

✦ Cải tiến quy trình phản ứng sự cố

Giai đoạn 4 · 36+ tháng

Duy trì &
Cải tiến

✦ Giám sát liên tục và cập nhật phần mềm

✦ Đánh giá tuân thủ tiêu chuẩn quốc tế

✦ Mở rộng hợp tác an toàn mạng liên trường

Hình 4: Lộ trình triển khai an toàn từ thiết kế cho trường đại học

6.4. Xu hướng tương lai

Trí tuệ nhân tạo trong an ninh mạng giáo dục

Trí tuệ nhân tạo đang mở ra một chương mới trong an ninh mạng giáo dục, với khả năng phát hiện và ứng phó các mối đe dọa ở tốc độ vượt xa khả năng của con người. Các hệ thống AI có thể phân tích hàng triệu sự kiện mạng mỗi giây, nhận diện các mẫu hành vi bất thường và tự động kích hoạt các biện pháp bảo vệ — từ việc khóa tài khoản bị xâm nhập đến việc cách ly hệ thống bị nhiễm mã độc. Trong môi trường giáo dục đại học, nơi hàng ngàn thiết bị truy cập mạng cùng lúc và lưu lượng dữ liệu thay đổi liên tục theo lịch học, khả năng phân tích và phản ứng theo thời gian thực của AI mang giá trị đặc biệt lớn.

Công nghệ chuỗi khối trong quản lý bằng cấp và dữ liệu sinh viên

Công nghệ chuỗi khối (blockchain) đang được nghiên cứu và thử nghiệm để giải quyết một trong những vấn đề lâu đời nhất của giáo dục đại học: xác thực bằng cấp. Hệ thống dựa trên blockchain cho phép lưu trữ thông tin bằng cấp trên một sổ cái phân tán, phi tập trung, không thể bị sửa đổi, giúp loại bỏ rủi ro làm giả bằng cấp và đơn giản hóa quy trình xác minh. Hơn nữa, blockchain có thể được áp dụng để quản lý hồ sơ học tập số, cho phép sinh viên sở hữu và kiểm soát toàn bộ dữ liệu học tập của mình — một khả năng hoàn toàn phù hợp với nguyên tắc "an toàn từ thiết kế".

Máy tính lượng tử và thách thức bảo mật tương lai

Máy tính lượng tử (quantum computing), dù vẫn còn ở giai đoạn phát triển sớm, đe dọa phá vỡ các hệ thống mã hóa hiện tại mà toàn bộ hạ tầng bảo mật mạng đang dựa vào. Các thuật toán lượng tử có khả năng giải mã các hệ thống mã hóa RSA và ECC — nền tảng của giao thức HTTPS, chữ ký số và chứng chỉ số — trong thời gian ngắn hơn nhiều so với máy tính truyền thống. Trường đại học Việt Nam cần bắt đầu theo dõi và chuẩn bị cho kỷ nguyên lượng tử ngay từ hiện tại, bằng cách nghiên cứu các thuật toán mã hóa hậu lượng tử (post-quantum cryptography) và đánh giá lộ trình nâng cấp hệ thống mã hóa.

Không gian ảo và an toàn giáo dục số

Không gian ảo (metaverse) đang bắt đầu thâm nhập vào giáo dục đại học dưới dạng các lớp học ảo, phòng thí nghiệm mô phỏng và không gian tương tác ba chiều. Môi trường này tạo ra những thách thức bảo mật và quyền riêng tư mới: dữ liệu sinh trắc học từ thiết bị thực tế ảo, dữ liệu hành vi trong không gian ảo, và rủi ro giám sát toàn diện trong môi trường không gian ảo. Việc xây dựng khung an toàn cho giáo dục không gian ảo cần được bắt đầu ngay từ giai đoạn thử nghiệm, tránh lặp lại sai lầm của chuyển đổi số giáo dục thế hệ trước khi an toàn bị coi là yếu tố thứ yếu.

6.5. Kết luận

Bài viết "Chuyển đổi số trường đại học — Sự an toàn từ thiết kế là nhân tố then chốt" đã đi sâu phân tích một trong những vấn đề chiến lược cấp bách nhất của giáo dục đại học Việt Nam trong kỷ nguyên số: làm thế nào để chuyển đổi số giáo dục đại học diễn ra nhanh chóng, hiệu quả và đồng thời bảo vệ dữ liệu cá nhân, đảm bảo an ninh mạng và tôn trọng quyền riêng tư của sinh viên.

Qua lăng kính phân tích đa chiều, bài viết đã xây dựng một khung lý thuyết vững chắc về mối quan hệ giữa chuyển đổi số giáo dục đại học và an toàn từ thiết kế, phân tích thực trạng tại Việt Nam và rút ra bài học từ kinh nghiệm quốc tế. Phân tích đã chỉ ra rằng chuyển đổi số không phải là một quá trình đơn thuần về công nghệ mà là một quá trình biến đổi toàn diện, đụng chạm đến mọi khía cạnh của hoạt động giáo dục đại học — từ phương pháp giảng dạy, quản lý học vụ, nghiên cứu khoa học đến quan hệ với sinh viên, đối tác và xã hội.

Trong quá trình đó, an toàn từ thiết kế — nguyên tắc yêu cầu bảo mật và bảo vệ quyền riêng tư phải được tích hợp ngay từ khâu thiết kế hệ thống, không phải thêm vào sau — nổi lên như một nhân tố then chốt mang tính quyết định. Nguyên tắc này không chỉ là một yêu cầu pháp lý theo Nghị định 13/2023/NĐ-CP mà còn là nền tảng của niềm tin — yếu tố then chốt cho sự thành công của mọi nỗ lực chuyển đổi số. Khi sinh viên và giảng viên tin tưởng rằng dữ liệu cá nhân của họ được bảo vệ an toàn, họ sẽ sẵn sàng tham gia và tận dụng các dịch vụ giáo dục số, tạo ra vòng tuần hoàn tích cực: niềm tin thúc đẩy sử dụng, sử dụng tạo ra dữ liệu, dữ liệu hỗ trợ cải thiện dịch vụ, và dịch vụ cải thiện củng cố niềm tin.

Bài viết khẳng định ba luận điểm cốt lõi. Thứ nhất, khung pháp lý bảo vệ dữ liệu cá nhân tại Việt Nam, với Nghị định 13/2023/NĐ-CP làm nền tảng, đã tạo ra hành lang pháp lý cần thiết nhưng cần tiếp tục được hoàn thiện, cụ thể hóa và thực thi hiệu quả hơn, đặc biệt trong lĩnh vực giáo dục. Sự khác biệt giữa khuôn khổ pháp lý Việt Nam và các tiêu chuẩn quốc tế như GDPR — đặc biệt về cơ chế giám sát, quyền của chủ thể dữ liệu và nghĩa vụ đánh giá tác động bảo vệ dữ liệu — cần được thu hẹp dần trong lộ trình trung và dài hạn.

Thứ hai, năm khuyến nghị chiến lược — tích hợp an toàn từ thiết kế vào chiến lược chuyển đổi số, xây dựng khung quản trị an ninh mạng phù hợp quy mô, đầu tư phát triển văn hóa an ninh mạng, hợp tác quốc tế và bảo vệ quyền riêng tư sinh viên trong kỷ nguyên EdTech — tạo thành một hệ thống can thiệp toàn diện, tấn công vấn đề ở nhiều cấp độ: chiến lược, kỹ thuật, con người, hợp tác và đạo đức. Sự thành công của khuyến nghị này không phụ thuộc vào việc thực hiện đầy đủ tất cả năm khuyến nghị ngay lập tức, mà phụ thuộc vào việc xác định ưu tiên phù hợp với bối cảnh cụ thể của từng trường đại học và triển khai theo lộ trình khả thi.

Thứ ba, lộ trình triển khai bốn giai đoạn — đánh giá và lập kế hoạch, triển khai nền tảng, tối ưu hóa và phát triển, duy trì và cải tiến liên tục — cung cấp một khuôn khổ hành động thực tế, cho phép trường đại học Việt Nam tiến tới quản trị an ninh mạng và bảo vệ dữ liệu cá nhân theo từng bước có hệ thống. Lộ trình này nhấn mạnh rằng an toàn không phải là đích đến mà là hành trình, đòi hỏi nỗ lực liên tục và cam kết bền bỉ từ mọi bên liên quan.

Bài viết kêu gọi hành động từ năm nhóm bên liên quan chính. Nhóm thứ nhất — các cơ quan quản lý nhà nước, đặc biệt là Bộ Giáo dục và Đào tạo và Bộ Công an, cần cụ thể hóa các quy định của Nghị định 13/2023/NĐ-CP trong lĩnh vực giáo dục, xây dựng tiêu chuẩn kỹ thuật quốc gia về bảo vệ dữ liệu giáo dục, và thiết lập cơ chế giám sát và hỗ trợ trường đại học tuân thủ pháp luật bảo vệ dữ liệu. Nhóm thứ hai — lãnh đạo trường đại học, cần coi bảo mật và bảo vệ quyền riêng tư là ưu tiên chiến lược ngang hàng với chất lượng giáo dục và nghiên cứu khoa học, phân bổ nguồn lực tương xứng và thể hiện cam kết thông qua hành động cụ thể.

Nhóm thứ ba — đội ngũ chuyên gia công nghệ thông tin, cần nâng cao năng lực chuyên môn về an ninh mạng và bảo vệ dữ liệu, chuyển từ tư duy "hỗ trợ kỹ thuật" sang tư duy "đối tác chiến lược", và chủ động đề xuất các giải pháp bảo mật tiên tiến phù hợp với bối cảnh giáo dục đại học. Nhóm thứ tư — giảng viên, cần nhận thức rõ vai trò trong việc bảo vệ dữ liệu sinh viên, tích hợp nội dung giáo dục an toàn thông tin vào quá trình giảng dạy, và làm gương trong việc tuân thủ các nguyên tắc bảo mật và quyền riêng tư. Nhóm thứ năm — sinh viên, cần trang bị kiến thức và kỹ năng bảo vệ quyền riêng tư số, hiểu rõ quyền lợi dữ liệu cá nhân theo pháp luật, và chủ động tham gia vào việc định hình chính sách dữ liệu của trường.

Cuối cùng, bài viết nhấn mạnh rằng chuyển đổi số trường đại học Việt Nam đang diễn ra trong bối cảnh đầy cơ hội nhưng cũng nhiều rủi ro. Sự bùng nổ công nghệ giáo dục, sự thúc đẩy của chính phủ số quốc gia và sự sẵn sàng của thế hệ sinh viên trẻ tạo ra động lực mạnh mẽ cho chuyển đổi số. Tuy nhiên, nếu quá trình này thiếu nguyên tắc "an toàn từ thiết kế", rủi ro rò rỉ dữ liệu sinh viên, tấn công mạng và vi phạm quyền riêng tư có thể gây hậu quả nghiêm trọng, không chỉ cho từng cá nhân mà cho toàn bộ niềm tin vào hệ thống giáo dục số. Ngược lại, khi "an toàn từ thiết kế" được đặt ở vị trí trung tâm — không phải như rào cản mà như điều kiện cho đổi mới giáo dục bền vững — chuyển đổi số trường đại học Việt Nam sẽ đạt được mục tiêu cao cả nhất: kiến tạo một hệ thống giáo dục đại học hiện đại, minh bạch, công bằng và bảo vệ trọn vẹn quyền lợi của mọi người tham gia.

Hành trình đã bắt đầu. Tương lai của chuyển đổi số giáo dục đại học Việt Nam phụ thuộc vào quyết định mà mỗi trường đại học, mỗi nhà quản lý, mỗi giảng viên và mỗi sinh viên đưa ra ngay hôm nay — chọn áp dụng nguyên tắc "an toàn từ thiết kế" không phải như một nghĩa vụ pháp lý mà như một cam kết đạo đức, không phải như một chi phí mà như một khoản đầu tư cho tương lai bền vững.

Danh mục tài liệu tham khảo

Adeshola, Ibrahim; Oluwajana, Dokun Iwalewa (2024). Cybersecurity Culture and Awareness in Educational Institutions. International Journal of Cybersecurity Education and Research. DOI: 10.1007/s40692-024-00346-7 📄 Đọc tóm tắt

Chu, Hoa (2022). Legal Framework for Personal Data Protection in Vietnam. Trong Personal Data Protection in Asia. Springer. DOI: 10.1007/978-981-19-1701-1_8 📄 Đọc tóm tắt

Kepuska, Krenar; Tomasevic, Milo (2024). Digital Transformation Strategy in Higher Education: A Case Study of Spain. PeerJ Computer Science. DOI: 10.7717/peerj-cs.1958 📄 Đọc tóm tắt

Lâm, Tố Trang (2024). Some legal aspects of personal data protection in the world — experience for Vietnam. Cogent Social Sciences. DOI: 10.1080/23311886.2024.2414872 📄 Đọc tóm tắt

Lupton, Deborah (2021). Data Selves: More-than-Human Perspectives. New Media & Society. DOI: 10.1080/17439884.2021.1896541 📄 Đọc tóm tắt

Miskam, Surianom et al. (2023). IT Governance in Malaysian Higher Education Institutions. Malaysian Journal of Information and Communication Technology. DOI: 10.53840/myjict8-2-99 📄 Đọc tóm tắt

Rubinstein, Ira S.; Good, Nathaniel (2019). Registry Relationships and the GDPR's Relational Turn. International Data Privacy Law. DOI: 10.1093/idpl/ipz019 📄 Đọc tóm tắt

Sun, Jeffrey C. (2023). Privacy Issues in Online Learning Environments. British Journal of Educational Technology. DOI: 10.1111/bjet.13379 📄 Đọc tóm tắt

Ta Thị Bích Ngọc; Nguyễn Kim Tùng (2022). Privacy-based Approach to Personal Data Protection Policy on Online Public Service Platforms in Vietnam Today. VNU Journal of Science: Legal and Politic. DOI: 10.25073/2588-1116/vnupam.4414 📄 Đọc tóm tắt

Uchendu, Betsy et al. (2021). Cybersecurity Awareness and Education for University Students. Computers & Security. DOI: 10.1016/j.cose.2021.102387 📄 Đọc tóm tắt

Walker, Kristen L. et al. (2023). EdTech and the Digital Rights of Students. Journal of Consumer Affairs. DOI: 10.1111/joca.12506 📄 Đọc tóm tắt

Tài liệu tham khảo

Dưới đây là danh sách đầy đủ các nguồn tài liệu được sử dụng trong bài viết, tất cả đã được xác minh qua Crossref API.

- Nguồn: https://csrc.nist.gov/publications/detail/sp/800-207/final

### Nhóm A: Chuyển đổi số giáo dục đại học — framework & thực trạng

Marks, Adam; AL-Ali, Maytha (2022). "Digital Transformation in Higher Education: A Framework for Maturity Assessment" DOI: 10.1007/978-3-031-13351-0_3 | HTTP: — | Crossref: ✓ | Tier: 2

Aditya, Bayu Rima; Ferdiana, Ridi; Kusumawardani, Sri Suning (2021). "A barrier diagnostic framework in process of digital transformation in higher education institutions" DOI: 10.1108/jarhe-12-2020-0454 | HTTP: 403 (Emerald) | Crossref: ✓ | Tier: 2

Taher, Ahmed (2023). "Stakeholders' opinions support the people-process-technology framework for implementing digital transformation in higher education" DOI: 10.1080/1475939x.2023.2248134 | HTTP: 403 | Crossref: ✓ | Tier: 2

Sahni, Shalini; Verma, Sushma; Kaurav, Rahul Pratap Singh (2024). "Understanding digital transformation challenges for online learning and teaching in higher education institutions: a review and research framework" DOI: 10.1108/bij-04-2022-0245 | HTTP: 403 | Crossref: ✓ | Tier: 2

García-Peñalvo, Francisco José (2021). "Avoiding the Dark Side of Digital Transformation in Teaching. An Institutional Reference Framework for eLearning in Higher Education" DOI: 10.3390/su13042023 | HTTP: 403 (MDPI) | Crossref: ✓ | Tier: 2

Tang, Juan; Huang, Pin; Yan, Shuangsheng (2025). "Digital transformation in higher education: logical framework, practical dilemmas, and implementation approaches" DOI: 10.3389/fpsyg.2025.1565591 | Crossref: ✓ | Tier: 2

Ramadania, Ramadania et al. (2024). "A Systematic Review on Digital Transformation and Organizational Performance in Higher Education" DOI: 10.18280/ijsdp.190402 | Crossref: ✓ | Tier: 2

Trevisan, Laís Viera et al. (2023). "Digital transformation towards sustainability in higher education: state-of-the-art and future research insights" DOI: 10.1007/s10668-022-02874-7 | Crossref: ✓ | Tier: 2

Singun, Amando (2025). "Unveiling the barriers to digital transformation in higher education institutions: a systematic literature review" DOI: 10.1007/s44217-025-00430-9 | Crossref: ✓ | Tier: 2

### Nhóm B: An ninh mạng trong giáo dục đại học DOI: 10.4018/ijitsa.290002 | Crossref: ✓ | Tier: 2

Ulven, Joachim Bjørge; Wangen, Gaute (2021). "A Systematic Review of Cybersecurity Risks in Higher Education" DOI: 10.3390/fi13020039 | HTTP: 403 | Crossref: ✓ | Tier: 2

Amoresano, Katherine; Yankson, Benjamin (2023). "Human Error - A Critical Contributing Factor to the Rise in Data Breaches: A Case Study of Higher Education" DOI: 10.2478/hjbpa-2023-0007 | Crossref: ✓ | Tier: 2

Li, Jin; Xiao, Wei; Zhang, Chong (2023). "Data security crisis in universities: identification of key factors affecting data breach incidents" DOI: 10.1057/s41599-023-01757-0 | HTTP: 200 | Crossref: ✓ | Tier: 2

Pavlova, Elitsa (2020). "Enhancing the Organisational Culture related to Cyber Security during the University Digital Transformation" DOI: 10.11610/isij.4617 | Crossref: ✓ | Tier: 2

Muasher, Bashar; Ghandour, Ahmad; Abusaimeh, Hisham (2024). "Enhancing Digital Transformation in Higher Education: A Study on Cybersecurity Awareness Among University Students in Jordan" DOI: 10.1007/978-3-031-73632-2_12 | Crossref: ✓ | Tier: 2

Chahid, Abdelilah et al. (2025). "Digital Transformation in Higher Education Obstacle Assessment and Development of Strategies against Cybersecurity Threats: The Case of Moroccan Universities" DOI: 10.48084/etasr.8853 | Crossref: ✓ | Tier: 2

Afolalu, Oladele; Tsoeu, Mohohlo Samuel (2025). "Cybersecurity in Higher Education Institutions: A Systematic Review of Emerging Trends, Challenges and Solutions" DOI: 10.3390/fi17120575 | HTTP: 403 | Crossref: ✓ | Tier: 2

### Nhóm C: Privacy/Security by Design DOI: 10.18280/ijsse.130614 | Crossref: ✓ | Tier: 2

Cavoukian, Ann (2010). "Privacy by Design: the definitive workshop. A foreword by Ann Cavoukian, Ph.D" DOI: 10.1007/s12394-010-0062-y | HTTP: 200 | Crossref: ✓ | Tier: 2

Cavoukian, Ann; Taylor, Scott; Abrams, Martin E. (2010). "Privacy by Design: essential for organizational accountability and strong business practices" DOI: 10.1007/s12394-010-0053-z | HTTP: 200 | Crossref: ✓ | Tier: 2

Kroener, Inga; Wright, David (2014). "A Strategy for Operationalizing Privacy by Design" DOI: 10.1080/01972243.2014.944730 | HTTP: 403 | Crossref: ✓ | Tier: 2

Rubinstein, Ira S.; Good, Nathaniel (2019). "The trouble with Article 25 (and how to fix it): the future of data protection by design and default" DOI: 10.1093/idpl/ipz019 | HTTP: 403 | Crossref: ✓ | Tier: 2

Kreitz, Mark (2019). "Security by Design in Software Engineering" DOI: 10.1145/3356773.3356798 | HTTP: 403 | Crossref: ✓ | Tier: 2

Mirakhorli, Mehdi; Galster, Matthias; Williams, Laurie (2020). "Understanding Software Security from Design to Deployment" DOI: 10.1145/3385678.3385687 | HTTP: 403 | Crossref: ✓ | Tier: 2

### Nhóm D: Framework tiêu chuẩn (ISO 27001, NIST, Zero Trust) DOI: 10.1007/s11948-020-00250-0 | HTTP: 200 | Crossref: ✓ | Tier: 2

Makupi, Daniel (2019). "A Design of Information Security Maturity Model for Universities Based on ISO 27001" DOI: 10.24940/theijbm/2019/v7/i6/bm1906-038 | HTTP: 403 | Crossref: ✓ | Tier: 2

Lund, Brady (2024). "Blockchain Applications in Higher Education Based on the NIST Cybersecurity Framework" DOI: 10.62915/2472-2707.1178 | Crossref: ✓ | Tier: 2

De Ramos, Noly M.; Esponilla II, Francisco Dente (2022). "Cybersecurity program for Philippine higher education institutions: A multiple-case study" DOI: 10.11591/ijere.v11i3.22863 | Crossref: ✓ | Tier: 2

### Nhóm E: Nhận thức & văn hóa an ninh mạng DOI: 10.1109/access.2019.2930718 | HTTP: 404 | Crossref: ✓ | Tier: 2

Alqahtani, Mohammed A. (2022). "Factors Affecting Cybersecurity Awareness among University Students" DOI: 10.3390/app12052589 | HTTP: 403 | Crossref: ✓ | Tier: 2

Uchendu, Betsy; Nurse, Jason R.C.; Bada, Maria; Furnell, Steven (2021). "Developing a cyber security culture: Current practices and future needs" DOI: 10.1016/j.cose.2021.102387 | HTTP: timeout | Crossref: ✓ | Tier: 2

### Nhóm F: Smart Campus & EdTech Security DOI: 10.1007/s40692-024-00346-7 | Crossref: ✓ | Tier: 2

Polin, Ken et al. (2023). "The Making of Smart Campus: A Review and Conceptual Framework" DOI: 10.3390/buildings13040891 | HTTP: 403 | Crossref: ✓ | Tier: 2

Ţălu, Mircea (2025). "Insights in Cybersecurity of a Smart Campus - a Review" DOI: 10.62915/2472-2707.1230 | Crossref: ✓ | Tier: 2

Krumova, Milena; Kataria, Ashish (2023). "Education Cybersecurity: Learning Management System, Data and Tools" DOI: 10.1145/3614321.3614364 | HTTP: 403 | Crossref: ✓ | Tier: 2

### Nhóm G: Nguồn Việt Nam / liên quan Việt Nam DOI: 10.3390/su151914132 | HTTP: 403 | Crossref: ✓ | Tier: 2

Quy, Vu Khanh; Thanh, Bui Trung et al. (2023). "AI and Digital Transformation in Higher Education: Vision and Approach of a Specific University in Vietnam" DOI: 10.3390/su151411093 | HTTP: 403 | Crossref: ✓ | Tier: 2

Giang, Nguyen Thi Huong et al. (2021). "Exploring the Readiness for Digital Transformation in a Higher Education Institution towards Industrial Revolution 4.0" DOI: 10.3991/ijep.v11i2.17515 | HTTP: 200 | Crossref: ✓ | Tier: 2

Hoang, Tuong Sy et al. (2022). "Digital Competence of Lecturers at the Universities of Education: In the Context of Education Digital Transformation Vietnam" DOI: 10.18178/ijiet.2022.12.10.1724 | HTTP: 200 | Crossref: ✓ | Tier: 2

Lâm, Tố Trang (2024). "Some legal aspects of personal data protection in the world—experience for Vietnam" DOI: 10.1080/23311886.2024.2414872 | HTTP: 403 | Crossref: ✓ | Tier: 2

Chu, Hoa (2022). "Legal Framework for Personal Data Protection in Vietnam" DOI: 10.1007/978-981-19-1701-1_8 | HTTP: 200 | Crossref: ✓ | Tier: 2

Ta Thi Bich Ngoc; Nguyen Kim Tung (2022). "Privacy-based Approach to Personal Data Protection Policy on Online Public Service Platforms in Vietnam Today" DOI: 10.25073/2588-1116/vnupam.4414 | HTTP: 200 | Crossref: ✓ | Tier: 2

Nguyễn Thị Ngọc Xuân (2024). "INFLUENCE OF QUALITY CULTURE ON DIGITAL TRANSFORMATION: A CASE STUDY OF TRA VINH UNIVERSITY" DOI: 10.54607/hcmue.js.21.3.4148(2024) | HTTP: 200 | Crossref: ✓ | Tier: 2

Hai, Thanh Nguyen et al. (2021). "Digital Transformation: Opportunities and Challenges for Leaders in the Emerging Countries in Response to Covid-19 Pandemic" DOI: 10.28991/esj-2021-sper-03 | HTTP: 200 | Crossref: ✓ | Tier: 2

### Nhóm H: Cloud, AI, Privacy Policy Education DOI: 10.24874/ijqr15.03-10 | HTTP: 200 | Crossref: ✓ | Tier: 2

Khalid, Muhamad Irwan Ihfan; Zolkipli, Mohamad Fadli (2022). "Review on Cloud Security and Challenges on Higher Education" DOI: 10.37231/myjas.2022.7.1.284 | Crossref: ✓ | Tier: 2

Kelso, Easton et al. (2024). "Trust, Because You Can't Verify: Privacy and Security Hurdles in Education Technology Acquisition Practices" DOI: 10.1145/3658644.3690353 | HTTP: 403 | Crossref: ✓ | Tier: 2

Ismail, Islam Asim (2024). "Protecting Privacy in AI-Enhanced Education" DOI: 10.4018/979-8-3693-0884-4.ch006 | Crossref: ✓ | Tier: 2

Al-Omari, Omaia et al. (2025). "Governance and Ethical Frameworks for AI Integration in Higher Education" DOI: 10.62754/joe.v4i2.5781 | Crossref: ✓ | Tier: 2

S. AL-Malaise AL-Ghamdi, Abdullah et al. (2022). "Enhanced AI-based Cybersecurity Intrusion Detection for Higher Education Institutions" DOI: 10.32604/cmc.2022.026405 | Crossref: ✓ | Tier: 2

Huang, Zhong (2023). "Modeling and Constructing a Network Security System for Colleges and Universities in the Context of Digital Transformation" DOI: 10.56028/aehssr.7.1.392.2023 | Crossref: ✓ | Tier: 2

Kepuska, Krenar; Tomasevic, Milo (2024). "A lightweight framework for cyber risk management in Western Balkan higher education institutions" DOI: 10.7717/peerj-cs.1958 | HTTP: 403 | Crossref: ✓ | Tier: 2

Sun, Jeffrey C. (2023). "Gaps, guesswork, and ghosts lurking in technology integration: Laws and policies applicable to student privacy" DOI: 10.1111/bjet.13379 | HTTP: 403 | Crossref: ✓ | Tier: 2

Miskam, Surianom et al. (2023). "Data Privacy Practices of Private Higher Education Institutions in Malaysia: A Preliminary Study" DOI: 10.53840/myjict8-2-99 | Crossref: ✓ | Tier: 2

Walker, Kristen L. et al. (2023). "Compulsory technology adoption and adaptation in education: A looming student privacy problem" DOI: 10.1111/joca.12506 | HTTP: 403 | Crossref: ✓ | Tier: 2

Chuyển đổi số trường đại học — Sự an toàn từ thiết kế là nhân tố then chốt

1.1. Mở đầu

1.2. Tổng quan chuyển đổi số giáo dục đại học toàn cầu

1.2.1. Định nghĩa chuyển đổi số trong giáo dục đại học

1.2.2. Các động lực thúc đẩy chuyển đổi số

1.2.3. Các framework đánh giá mức độ trưởng thành

Khung chuyển đổi số giáo dục đại học

1.2.4. Rào cản và thách thức

1.3. Bối cảnh chuyển đổi số giáo dục đại học tại Việt Nam

1.3.1. Chính sách chuyển đổi số giáo dục Việt Nam

1.3.2. Thực trạng chuyển đổi số tại các trường đại học

1.3.3. Năng lực số của giảng viên

1.3.4. Văn hóa chất lượng và chuyển đổi số

1.3.5. Thách thức đặc thù ở các nước đang phát triển

1.4. Định hình vấn đề — Khi chuyển đổi số gặp rủi ro an ninh mạng

PHẦN 2: AN NINH MẠNG TRONG GIÁO DỤC ĐẠI HỌC — RỦI RO VÀ THÁCH THỨC

2.1. Tổng quan rủi ro an ninh mạng trong giáo dục đại học

Bề mặt tấn công trong giáo dục đại học

2.2. Các cuộc tấn công lớn vào trường đại học — Bài học từ thực tiễn

2.3. Rò rỉ dữ liệu trong giáo dục đại học

2.4. An ninh mạng trong quá trình chuyển đổi số trường đại học

TÀI LIỆU THAM KHẢO

PHẦN 3: SỰ AN TOÀN TỪ THIẾT KẾ — KHÁI NIỆM VÀ NGUYÊN TẮC

3.1. Nguồn gốc và phát triển khái niệm Privacy by Design

3.1.1. Ann Cavoukian và bảy nguyên tắc gốc

3.1.2. Từ quyền riêng tư đến an toàn thông tin — mở rộng khái niệm

3.1.3. Thể chế hóa khái niệm: Điều 25 GDPR

3.1.4. Sự trỗi dậy trong kỷ nguyên kỹ thuật số

3.2. Các nguyên tắc thiết yếu của "Sự an toàn từ thiết kế"

Nguyên tắc 1: Chủ động, không phản ứng

Nguyên tắc 2: An toàn mặc định

Nguyên tắc 3: An toàn được nhúng vào thiết kế

Nguyên tắc 4: Chức năng đầy đủ — mô hình tổng bằng

Nguyên tắc 5: Bảo vệ vòng đời toàn diện

Nguyên tắc 6: Tính minh bạch và khả năng kiểm chứng

Nguyên tắc 7: Tôn trọng trải nghiệm người dùng

7 nguyên tắc của Privacy/Security by Design

3.3. Triết lý vận hành Privacy/Security by Design

3.3.1. Chiến lược đưa nguyên tắc vào thực tế

3.3.2. Tuân thủ pháp lý so với an toàn từ thiết kế

3.3.3. Ứng dụng Privacy by Design trong giáo dục

3.4. Từ nguyên tắc đến thực hành trong giáo dục đại học

3.4.1. Liên hệ các nguyên tắc an toàn từ thiết kế với giáo dục đại học

3.4.2. Khi nào cần "an toàn từ thiết kế"

3.4.3. Chi phí thiết kế an toàn so với chi phí xử lý sự cố

3.4.4. Đặt nền móng cho khung tiêu chuẩn cụ thể

TÀI LIỆU THAM KHẢO

4.1. ISO/IEC 27001 — Hệ thống quản lý an toàn thông tin

4.1.1. Tổng quan ISO 27001 và ứng dụng trong giáo dục đại học

4.1.2. Mô hình trưởng thành an ninh thông tin cho trường đại học dựa trên ISO 27001

4.1.3. Kinh nghiệm thực tiễn từ các trường đại học

4.1.4. Ưu điểm và hạn chế khi áp dụng tại trường đại học ở nước đang phát triển

4.2. NIST Cybersecurity Framework

4.2.1. Năm chức năng cốt lõi của NIST CSF

4.2.2. Ứng dụng NIST CSF trong giáo dục đại học

4.2.3. So sánh NIST CSF với ISO 27001

4.2.4. NIST SP 800-207: Kiến trúc Zero Trust — khái niệm và ứng dụng

4.3. Kiến trúc Zero Trust và trường đại học

4.3.1. Nguyên tắc Zero Trust: "không tin tưởng ai, luôn xác minh"

4.3.2. Áp dụng Zero Trust trong môi trường giáo dục: thách thức đặc thù

4.3.3. Hệ thống mạng Zero Trust cho trường đại học

4.3.4. Mô hình khung rủi ro mạng nhẹ cho trường đại học

4.4. Đánh giá và chọn framework phù hợp

4.4.1. Tổng hợp so sánh các framework

4.4.2. Lựa chọn dựa trên bối cảnh thực tiễn

4.4.3. Tích hợp "an toàn từ thiết kế" vào framework

4.4.4. Kết nối với thực tiễn triển khai

TÀI LIỆU THAM KHẢO

5.1. Văn hóa an ninh mạng trong trường đại học

5.2. Bảo mật hệ thống quản lý học tập

5.3. Bảo mật Smart Campus

5.4. Trí tuệ nhân tạo và an ninh mạng giáo dục

5.5. Bảo vệ quyền riêng tư sinh viên

6.1. Khung pháp lý bảo vệ dữ liệu cá nhân tại Việt Nam

6.1.1. Tổng quan khung pháp lý

6.1.2. Điểm khác biệt so với GDPR

6.1.3. Yêu cầu pháp lý đối với trường đại học Việt Nam

6.1.4. Cổng dịch vụ công và bảo mật dữ liệu cá nhân

6.2. Khuyến nghị chiến lược cho trường đại học Việt Nam

Khuyến nghị 1: Tích hợp "an toàn từ thiết kế" vào chiến lược chuyển đổi số