Sao lưu và phục hồi dữ liệu cho doanh nghiệp Việt 2026: quy tắc 3-2-1-1 và giải pháp NAKIVO Backup & Replication

Câu trả lời nhanh

Một bản sao dữ liệu nằm cùng hệ thống với dữ liệu gốc thì không phải là bản sao lưu. Ransomware hiện đại tìm và mã hoá luôn kho backup trước khi mã hoá máy chủ, nên thứ quyết định doanh nghiệp sống sót không phải là "có backup hay không" mà là "có bản sao nào mà kẻ tấn công KHÔNG sửa hay xoá được hay không". Đó là lý do chuẩn thực hành hiện nay là 3-2-1-1: 3 bản dữ liệu, 2 loại phương tiện lưu trữ, 1 bản ngoài site, và 1 bản bất biến (immutable) hoặc ngắt kết nối vật lý (air-gap).

Bối cảnh Việt Nam không hề nhẹ: theo số liệu Kaspersky được VietnamPlus (TTXVN) dẫn lại ngày 21/04/2025, năm 2024 có 29.282 vụ tấn công mã độc tống tiền nhằm vào doanh nghiệp Việt — trung bình khoảng 80 vụ mỗi ngày. Nửa đầu 2025, VnEconomy dẫn số liệu VNPT Cyber Immunity và Trellix cho biết ransomware gây thiệt hại hơn 10 triệu USD tại Việt Nam với hơn 3 TB dữ liệu bị mã hoá, tăng 15% so với cùng kỳ.

Về pháp lý, phương án bảo đảm an toàn hệ thống thông tin theo Nghị định 85/2016/NĐ-CP, Điều 19 khoản 2 bắt buộc phải có nội dung "dự phòng, ứng cứu sự cố, khôi phục sau thảm họa". Nói cách khác, khôi phục sau thảm hoạ không phải là tuỳ chọn kỹ thuật mà là một cấu phần của hồ sơ tuân thủ.

NAKIVO Backup & Replication là một lựa chọn phù hợp với doanh nghiệp vừa và nhỏ Việt Nam ở điểm: một sản phẩm duy nhất lo được backup, replication, chống ransomware và khôi phục cho cả máy ảo, máy vật lý, Microsoft 365 và NAS; cài được ngay trên NAS sẵn có; và yêu cầu tài nguyên rất nhẹ. Dzo.software là đơn vị tư vấn và triển khai tại Việt Nam — bản quyền chính hãng, hoá đơn GTGT điện tử, thanh toán VND, đào tạo tiếng Việt.

Những con số cần nhớ

Năm dữ kiện dưới đây là phần cốt lõi của bài, mỗi dòng đều dẫn nguồn gốc để bạn kiểm chứng lại.

• ~80 vụ ransomware/ngày nhắm vào doanh nghiệp Việt trong năm 2024 (29.282 vụ cả năm) — số liệu Kaspersky, VietnamPlus 21/04/2025.
• 14,59% trong 5.000 cơ quan, doanh nghiệp được Hiệp hội An ninh mạng quốc gia khảo sát năm 2024 cho biết từng bị tấn công bằng ransomware (cùng nguồn).
• Hơn 10 triệu USD thiệt hại do ransomware tại Việt Nam chỉ trong 6 tháng đầu 2025, với hơn 3 TB dữ liệu bị mã hoá — VnEconomy 03/09/2025.
• 1,85 triệu USD là chi phí trung bình một vụ ransomware tại Việt Nam theo Trellix (thấp hơn mức trung bình toàn cầu 2 triệu USD) — cùng nguồn VnEconomy.
• "Dự phòng, ứng cứu sự cố, khôi phục sau thảm họa" là nội dung bắt buộc trong phương án bảo đảm an toàn hệ thống thông tin theo Nghị định 85/2016/NĐ-CP Điều 19.

1. Vì sao cách sao lưu cũ không còn cứu được doanh nghiệp

Rất nhiều doanh nghiệp vừa và nhỏ ở Việt Nam vẫn đang sao lưu theo kiểu: chép dữ liệu sang một ổ cứng gắn ngoài hoặc một thư mục chia sẻ trên chính máy chủ, đặt lịch chạy hằng đêm, rồi coi như xong. Cách này chống được hỏng ổ cứng, nhưng gần như vô dụng trước ransomware có chủ đích — loại tấn công đang phổ biến tại Việt Nam.

Lý do: kẻ tấn công hiện nay không mã hoá ngay khi vào được hệ thống. Chúng nằm im, dò tìm tài khoản quản trị, xác định vị trí kho backup, xoá hoặc mã hoá bản sao lưu trước, rồi mới mã hoá hệ thống chính. Khi doanh nghiệp phát hiện thì cả dữ liệu gốc lẫn bản sao đều đã mất — đây chính là kịch bản khiến nhiều tổ chức buộc phải cân nhắc trả tiền chuộc.

Điểm mù thứ hai là chưa từng thử phục hồi. Một bản backup chạy xanh mỗi đêm suốt hai năm vẫn có thể không bung ra được khi cần, vì thiếu file cấu hình, sai phiên bản ứng dụng, hoặc dữ liệu đã hỏng âm thầm. Backup chỉ có giá trị tại thời điểm bạn khôi phục thành công, không phải tại thời điểm nó chạy xong.

• Backup nằm cùng miền quản trị với dữ liệu gốc — chiếm được tài khoản admin là chiếm luôn cả hai.
• Chỉ có một bản duy nhất — bản đó hỏng hoặc bị mã hoá là hết đường lùi.
• Không có bản nào ngoài site — cháy nổ, ngập nước, mất điện kéo dài ở một địa điểm là mất tất cả.
• Không có bản bất biến hay air-gap — không tồn tại bản sao mà kẻ tấn công không sửa được.
• Không diễn tập phục hồi — không ai biết mất bao lâu để hoạt động trở lại cho tới khi sự cố xảy ra thật.

2. Quy tắc 3-2-1-1 và cách hiện thực hoá

Quy tắc 3-2-1 kinh điển đã được bổ sung thêm một chữ số 1 để đối phó ransomware. Cách đọc: 3 bản dữ liệu (1 gốc + 2 sao lưu), 2 loại phương tiện lưu trữ khác nhau, 1 bản đặt ngoài site, và 1 bản bất biến hoặc air-gap.

Chữ số 1 cuối cùng mới là chốt chặn thật sự. Bất biến (immutability) nghĩa là trong một khoảng thời gian đã định, bản sao lưu không thể bị sửa, xoá hay mã hoá — kể cả bởi tài khoản quản trị, kể cả bởi chính phần mềm backup. Air-gap là tách rời vật lý: dữ liệu nằm trên băng từ hoặc ổ tháo rời, không có đường mạng nào chạm tới.

Bảng 1 dưới đây ánh xạ từng thành phần của quy tắc sang cấu hình cụ thể — bạn có thể dùng nó như một checklist rà soát hạ tầng hiện tại của mình, bất kể đang dùng phần mềm nào.

3. Nghĩa vụ pháp lý tại Việt Nam: cần nói cho đúng

Đây là phần dễ bị nói quá trong các tài liệu bán hàng, nên cần phân định rạch ròi. Pháp luật Việt Nam không có điều khoản nào bắt buộc mọi doanh nghiệp phải sao lưu dữ liệu theo một chu kỳ cụ thể. Ai nói ngược lại là đang bán hàng bằng nỗi sợ.

Cái có thật là: Nghị định 85/2016/NĐ-CP về bảo đảm an toàn hệ thống thông tin theo cấp độ, Điều 19 khoản 2 quy định phương án bảo đảm an toàn hệ thống thông tin phải bao gồm bảy nhóm nội dung, trong đó điểm e là "Dự phòng, ứng cứu sự cố, khôi phục sau thảm họa". Doanh nghiệp có hệ thống thông tin thuộc diện phân loại cấp độ thì đây là nội dung hồ sơ bắt buộc.

Song song, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã có hiệu lực từ 01/01/2026, thay thế Nghị định 13/2023/NĐ-CP. Nếu tài liệu nào bạn đang đọc vẫn viện dẫn Nghị định 13/2023 như luật hiện hành thì tài liệu đó đã lỗi thời. Luật 91/2025 đặt nghĩa vụ bảo vệ dữ liệu cá nhân lên bên xử lý dữ liệu; mất dữ liệu khách hàng vì ransomware là một sự cố thuộc phạm vi trách nhiệm đó — dù bản thân luật không quy định kỹ thuật sao lưu.

Kết luận thực dụng: đừng dựng câu chuyện "luật bắt buộc phải backup". Hãy nói đúng rằng khôi phục sau thảm hoạ là cấu phần bắt buộc của phương án an toàn thông tin theo cấp độ, và mất dữ liệu cá nhân của khách hàng sẽ kéo theo trách nhiệm pháp lý riêng.

4. NAKIVO Backup & Replication bảo vệ được những gì

NAKIVO là hãng phần mềm sao lưu thành lập năm 2012. Theo trang giới thiệu chính hãng, hãng công bố có hơn 16.000 khách hàng trả phí tại 183 quốc gia và hơn 3.000 đối tác kênh. Sản phẩm cũng được nêu tên ở mục Honorable Mention trong báo cáo 2024 Gartner Magic Quadrant for Enterprise Backup and Recovery Software Solutions — cần hiểu đúng đây là phần ghi nhận (Honorable Mention), không phải được xếp vào trong Magic Quadrant.

*Lưu ý minh bạch: các con số khách hàng, quốc gia, đối tác, mức đánh giá và các tuyên bố "nhanh gấp 2 lần" hay "giảm 50% chi phí sở hữu" đều là số liệu do NAKIVO tự công bố trên website chính hãng, không phải kết quả kiểm chứng độc lập. Hãy coi đó là thông tin tham khảo của nhà cung cấp.*

Giá trị thực tế với doanh nghiệp vừa và nhỏ nằm ở chỗ khác: thay vì mua ba, bốn sản phẩm rời cho máy ảo, máy vật lý, Microsoft 365 và NAS, bạn quản lý tất cả trong một giao diện web duy nhất. Bảng 2 liệt kê phạm vi bảo vệ theo công bố trên trang chủ NAKIVO.

5. Bốn lớp chống ransomware nên yêu cầu ở bất kỳ giải pháp nào

Phần này quan trọng hơn danh sách tính năng. Khi đánh giá bất kỳ phần mềm backup nào — không riêng NAKIVO — hãy hỏi nhà cung cấp bốn câu tương ứng bốn lớp dưới đây, và yêu cầu họ demo trực tiếp chứ đừng nhận câu trả lời trên brochure.

Theo trang tính năng chống ransomware của NAKIVO, sản phẩm mô tả cách tiếp cận gồm: bản sao lưu bất biến dùng công nghệ WORM (write-once-read-many), bản sao air-gap trên băng từ, mã hoá dữ liệu, quét mã độc trên bản backup trước khi phục hồi, cùng xác thực hai lớp (2FA) và phân quyền theo vai trò (RBAC) để siết truy cập.

Điểm đáng giá nhất trong nhóm này là quét mã độc trên bản sao lưu. Nếu không có bước đó, doanh nghiệp rất dễ phục hồi lại đúng bản đã nhiễm và tái nhiễm ngay sau vài giờ — một tình huống xảy ra thường xuyên hơn nhiều người nghĩ.

6. Phục hồi và kịch bản thảm hoạ: RPO và RTO

Hai chỉ số quyết định toàn bộ thiết kế backup, và cũng là hai chỉ số ban giám đốc cần chốt trước khi bộ phận IT chọn sản phẩm.

RPO (Recovery Point Objective) — chấp nhận mất tối đa bao nhiêu dữ liệu, tính bằng thời gian. Sao lưu mỗi đêm nghĩa là RPO 24 giờ: sự cố lúc 5 giờ chiều thì mất trọn dữ liệu phát sinh trong ngày. RTO (Recovery Time Objective) — chấp nhận ngừng hoạt động tối đa bao lâu trước khi chạy lại được.

Với hệ thống trọng yếu, sao lưu theo lịch là không đủ và cần tới nhân bản (replication) — duy trì một máy ảo dự phòng luôn cập nhật, sẵn sàng bật lên thay thế. NAKIVO mô tả tính năng Real-Time Replication cho VMware vSphere là tạo bản sao được cập nhật liên tục theo thay đổi của máy nguồn, với mức RTO thấp tới 1 giây theo nguyên văn công bố trên trang sản phẩm.

Lưu ý kỹ thuật cho người mua: hãy yêu cầu nhà cung cấp làm rõ con số "1 giây" đó là RPO hay RTO, vì chính tài liệu của hãng dùng lẫn hai thuật ngữ này giữa tiêu đề trang và nội dung. Đây là loại chi tiết cần chốt bằng văn bản trong hợp đồng, không nên suy đoán.

7. Triển khai thực tế: nhẹ và linh hoạt

Rào cản lớn nhất khiến doanh nghiệp vừa và nhỏ trì hoãn làm backup tử tế thường là phải mua thêm một máy chủ nữa. NAKIVO xử lý điểm này bằng cách cho cài trên nhiều nền tảng khác nhau, gồm máy Windows/Linux, cài trực tiếp lên NAS (QNAP, Synology, ASUSTOR, NETGEAR) để biến thiết bị lưu trữ sẵn có thành một thiết bị sao lưu trọn gói, hoặc triển khai dạng máy ảo dựng sẵn và ảnh máy AMI trên AWS — theo trang triển khai chính hãng.

Về tài nguyên, tài liệu yêu cầu hệ thống của NAKIVO ghi cấu hình tối thiểu cho thành phần Director và Onboard Transporter là CPU x86-64 2 nhân, RAM 4 GB (cộng thêm 250 MB cho mỗi tác vụ chạy song song) và 10 GB dung lượng trống. Đây là mức mà gần như mọi doanh nghiệp đều đã có sẵn tài nguyên dư.

*Một đính chính cần thiết: một số tài liệu cũ lưu hành trên thị trường nói sản phẩm cài được trên Raspberry Pi. Tài liệu yêu cầu hệ thống hiện hành của hãng ghi rõ "ARMv7 CPU is not supported" — thông tin Raspberry Pi chỉ còn trong bản lưu trữ của phiên bản 10.4 và đã lỗi thời. Đừng lên kế hoạch dựa trên nó.*

• Cài lên NAS sẵn có → không phải mua máy chủ mới, dữ liệu ghi thẳng xuống đĩa NAS.
• Máy ảo dựng sẵn (VA) cho môi trường VMware/Nutanix → dựng xong trong ít phút.
• AMI trên AWS cho đơn vị đã có hạ tầng đám mây.
• 2 nhân CPU + 4 GB RAM là đủ để khởi động — mở rộng dần theo khối lượng công việc.
• Một giao diện web quản lý toàn bộ máy ảo, máy vật lý, Microsoft 365 và NAS.

8. Dzo.software làm gì trong dự án này

Mua được license là phần dễ nhất. Phần quyết định kết quả là thiết kế đúng và diễn tập phục hồi, và đó là phần Dzo.software nhận trách nhiệm cùng doanh nghiệp tại Việt Nam.

Chúng tôi bắt đầu bằng buổi khảo sát hiện trạng: bạn đang có bao nhiêu máy chủ, dữ liệu nào là sống còn, RPO và RTO mà ban giám đốc thật sự chấp nhận là bao nhiêu. Từ đó mới ra được thiết kế 3-2-1-1 phù hợp ngân sách, thay vì bán một cấu hình đóng gói sẵn cho mọi khách hàng.

Toàn bộ hợp đồng qua Dzo.software đều là bản quyền chính hãng, có hoá đơn GTGT điện tử, thanh toán bằng VND — hồ sơ hợp lệ để bộ phận kế toán hạch toán chi phí và để doanh nghiệp chứng minh tính hợp pháp của phần mềm khi bị kiểm tra.

• Khảo sát và tư vấn: kiểm kê hệ thống, xác định dữ liệu trọng yếu, chốt RPO/RTO với ban lãnh đạo.
• Thiết kế kiến trúc 3-2-1-1: chọn nơi đặt bản bất biến, bản ngoài site, chu kỳ lưu giữ.
• Triển khai và cấu hình: cài đặt, tạo tác vụ sao lưu, thiết lập bất biến, mã hoá, 2FA và phân quyền.
• Diễn tập phục hồi: chạy thử kịch bản khôi phục và bàn giao kết quả bằng biên bản — đây là bước hay bị bỏ nhất.
• Đào tạo tiếng Việt và hỗ trợ vận hành: đội IT của bạn tự chủ được sau khi bàn giao.
• Hoá đơn đỏ, thanh toán VND: hồ sơ hợp lệ cho kế toán và cho hoạt động thanh tra kiểm tra.

Câu hỏi thường gặp

1. Doanh nghiệp nhỏ dưới 20 nhân sự có cần giải pháp backup riêng không? Câu hỏi đúng không phải quy mô mà là: nếu toàn bộ dữ liệu kế toán, hợp đồng và dữ liệu khách hàng biến mất sáng mai, doanh nghiệp còn hoạt động được không. Nếu câu trả lời là không, thì cần. Quy mô nhỏ chỉ ảnh hưởng tới cấu hình rẻ hay đắt, không ảnh hưởng tới việc có cần hay không.

2. Đã dùng Microsoft 365 rồi thì Microsoft có sao lưu hộ không? Microsoft bảo đảm hạ tầng dịch vụ luôn sẵn sàng, nhưng dữ liệu bạn hoặc nhân viên xoá đi chỉ được giữ trong một thời hạn nhất định rồi mất vĩnh viễn. Sao lưu Microsoft 365 sang một nơi bạn kiểm soát là trách nhiệm của doanh nghiệp, không phải của Microsoft.

3. Bất biến (immutable) khác gì với chỉ đặt mật khẩu mạnh cho kho backup? Mật khẩu bảo vệ trước người không có quyền. Bất biến bảo vệ ngay cả khi kẻ tấn công đã có quyền quản trị cao nhất — trong thời hạn bất biến, thao tác xoá hay sửa bị hệ thống lưu trữ từ chối. Đây là khác biệt then chốt trước ransomware.

4. Pháp luật Việt Nam có bắt buộc doanh nghiệp sao lưu dữ liệu không? Không có quy định bắt buộc chung cho mọi doanh nghiệp về chu kỳ sao lưu. Tuy nhiên Nghị định 85/2016/NĐ-CP Điều 19 yêu cầu phương án bảo đảm an toàn hệ thống thông tin phải bao gồm nội dung dự phòng, ứng cứu sự cố và khôi phục sau thảm hoạ. Ngoài ra, mất dữ liệu cá nhân của khách hàng phát sinh trách nhiệm theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15.

5. NAKIVO có hỗ trợ Proxmox VE không? Có. Đây là điểm đáng chú ý với các đơn vị đang chuyển từ VMware sang Proxmox để giảm chi phí bản quyền, vì không phải sản phẩm sao lưu thương mại nào cũng hỗ trợ nền tảng này.

6. Cần đầu tư máy chủ mới để chạy NAKIVO không? Không nhất thiết. Sản phẩm cài được trực tiếp lên NAS sẵn có, hoặc chạy dạng máy ảo dựng sẵn, với cấu hình tối thiểu 2 nhân CPU và 4 GB RAM theo tài liệu chính hãng.

7. Bao lâu nên diễn tập phục hồi một lần? Tối thiểu mỗi quý cho hệ thống trọng yếu, và bắt buộc diễn tập lại sau mỗi lần thay đổi lớn về hạ tầng hay ứng dụng. Bản sao lưu chưa từng được phục hồi thử chỉ là một giả định, không phải một bảo đảm.

*Bài viết mang tính tham khảo, không thay thế tư vấn pháp lý. Vui lòng đối chiếu văn bản gốc hoặc tham vấn luật sư trước khi ra quyết định tuân thủ.*

Kết luận

Ransomware đã biến sao lưu từ một việc kỹ thuật hậu trường thành một quyết định kinh doanh: doanh nghiệp chấp nhận mất bao nhiêu dữ liệu, và chấp nhận dừng hoạt động bao lâu. Hai con số đó phải do ban lãnh đạo chốt, còn công nghệ chỉ là cách hiện thực hoá chúng.

Nếu hôm nay bạn chỉ làm được một việc, hãy chọn việc này: kiểm tra xem trong toàn bộ hệ thống của mình có tồn tại một bản sao dữ liệu mà tài khoản quản trị cao nhất cũng không xoá được hay không. Nếu câu trả lời là không, đó chính là lỗ hổng cần đóng trước tiên.

Sao lưu là thứ chứng minh giá trị đúng một lần duy nhất — vào ngày bạn cần phục hồi, và khi đó thì đã quá muộn để bắt đầu.