Bảo mật là một trong số ít ngành mà sản phẩm tốt nhất là thứ không xảy ra. Không ai ăn mừng vì cả năm không bị tấn công. Không ai khoe với đối tác rằng hệ thống của mình vừa chặn được ba nghìn lượt dò mật khẩu. Đây là ngành bán bảo hiểm, nhưng bán bằng ngôn ngữ kỹ thuật cho người không hiểu kỹ thuật.
Và đó là lý do nó khó bán ở Việt Nam suốt mười lăm năm — cho tới gần đây, khi có hai thứ thay đổi cùng lúc.
Thứ nhất: luật, chứ không phải nhận thức
Điều đẩy thị trường này lên không phải là doanh nghiệp bỗng khôn ra. Là quy định.
Nghị định về bảo vệ dữ liệu cá nhân đặt ra nghĩa vụ cụ thể với bất kỳ tổ chức nào xử lý dữ liệu người dùng — nghĩa là gần như mọi doanh nghiệp có website, có app, có danh sách khách hàng. Kèm theo đó là yêu cầu về hồ sơ đánh giá tác động, về quy trình khi có sự cố, về việc dữ liệu được lưu ở đâu.
Với người làm bảo mật, đây là điều đã chờ rất lâu: một lý do để khách chi tiền mà không cần thuyết phục họ về rủi ro. Trước đây phải đi giải thích tại sao nên vá lỗ hổng. Bây giờ chỉ cần nói: đây là nghĩa vụ, và đây là bằng chứng đã làm.
Thứ hai: các vụ lộ thật, đủ lớn để lên báo
Vài năm qua đã có những vụ tấn công mã hoá dữ liệu khiến doanh nghiệp lớn ở Việt Nam ngừng hoạt động nhiều ngày. Chuyện này làm được điều mà mọi hội thảo cộng lại không làm nổi: khiến ban lãnh đạo hiểu rằng ngừng hệ thống một tuần đắt hơn nhiều so với chi phí phòng ngừa cả năm.
Nhưng nhận thức đó dừng ở tầng doanh nghiệp lớn. Xuống tới doanh nghiệp vừa và nhỏ — nơi chiếm áp đảo số lượng — thì gần như chưa chạm tới. Và đó chính là chỗ trống.
Cấu trúc thị trường: đầu to, thân rỗng
Thị trường bảo mật Việt Nam hiện có hình dáng rất lệch.
Đầu trên là ngân hàng, viễn thông, tập đoàn nhà nước, doanh nghiệp FDI. Họ có ngân sách, có đội ngũ, mua dịch vụ từ các nhà thầu lớn. Cạnh tranh ở đây là cạnh tranh đấu thầu, quan hệ và chứng chỉ quốc tế — không phải sân của người mới.
Đầu dưới là hộ kinh doanh, cửa hàng, cá nhân. Gần như không chi gì, và cũng không nên bán gì phức tạp cho họ.
Khúc giữa — doanh nghiệp vài chục tới vài trăm người — là chỗ trống thật sự. Họ đã đủ lớn để có dữ liệu khách hàng đáng bị đánh cắp, đủ lớn để bị ràng buộc bởi quy định, nhưng chưa đủ lớn để nuôi một đội bảo mật riêng. Họ cần đúng bốn thứ, và không ai bán gọn cho họ:
- Rà soát định kỳ: hệ thống đang hở chỗ nào.
- Hồ sơ tuân thủ: giấy tờ chứng minh đã làm đúng nghĩa vụ.
- Xử lý khi có chuyện: ai gọi lúc hai giờ sáng.
- Đào tạo người dùng: vì lỗ hổng lớn nhất luôn là nhân viên bấm vào đường dẫn lạ.
Ba trong bốn thứ trên không đòi hỏi công nghệ đắt tiền. Chúng đòi hỏi quy trình và người biết việc — nghĩa là một đơn vị nhỏ làm được, nếu khách tìm ra họ.
Thách thức, nói thẳng
Thiếu người trầm trọng. Người có nghề thật ở Việt Nam không nhiều, và phần lớn bị các tập đoàn hoặc công ty nước ngoài hút mất bằng mức lương mà đơn vị nhỏ không theo được. Bất kỳ mô hình nào cũng phải trả lời được câu: lấy người ở đâu, giữ bằng gì.
Khó chứng minh giá trị. Làm tốt thì không có gì xảy ra, và khách sẽ nghĩ tiền chi ra là thừa. Đây là nghịch lý cố hữu của ngành, và cách duy nhất hoá giải là báo cáo minh bạch, đều đặn — biến thứ vô hình thành thứ nhìn thấy được hàng tháng.
Ranh giới pháp lý của việc kiểm thử. Dò tìm lỗ hổng trên hệ thống người khác mà không có văn bản uỷ quyền rõ ràng là hành vi vi phạm, không phải "giúp đỡ". Đây là chỗ người mới vào nghề hay chủ quan nhất.
Và mặt trái của AI. Công cụ tấn công tự động, thư lừa đảo viết bằng tiếng Việt trơn tru không còn lỗi chính tả để nhận ra, giọng nói giả — chi phí để tấn công đã giảm nhanh hơn chi phí để phòng thủ. Ngành này đang chạy đua với chính công nghệ đang giúp nó.
Cơ hội nằm ở chỗ ai cũng bỏ qua: giải thích
Nếu nhìn xem người ra quyết định chi tiền cho bảo mật thật sự cần gì, câu trả lời không phải là kiến thức kỹ thuật. Họ cần biết: rủi ro của tôi là gì, tôi phải làm gì trước, cái này tốn bao nhiêu, và nếu không làm thì hậu quả cụ thể ra sao.
Gần như không có nơi nào ở Việt Nam trả lời những câu đó bằng tiếng Việt, không thuật ngữ, không doạ nạt. Nội dung bảo mật hiện có hoặc là quá kỹ thuật (viết cho người trong nghề), hoặc là quảng cáo doạ dẫm để bán sản phẩm.
Chỗ trống đó lớn hơn nhiều so với chỗ trống về năng lực kỹ thuật.
Vì sao cái tên lại là phần đắt nhất
Ở ngành này có một đặc thù đáng chú ý: khách không có cách nào tự đánh giá năng lực của người bán.
Khi thuê thợ sửa xe, người ta biết xe chạy lại hay không. Khi thuê đơn vị bảo mật, người ta không biết gì cả — cho tới lúc bị đánh, và lúc đó thì đã muộn. Nên quyết định mua ở đây gần như hoàn toàn dựa vào tín hiệu bên ngoài: nhìn có chuyên nghiệp không, có vẻ là một tổ chức thật không, có đứng vững lâu dài không.
Đây chính là chỗ mà AI vừa xoá sạch mọi tín hiệu cũ. Trang web chỉn chu: ai cũng làm được trong một buổi. Hàng trăm bài kỹ thuật mạch lạc: ai cũng sản xuất được. Bộ nhận diện đẹp: miễn phí. Những thứ từng dùng để phân biệt "đơn vị nghiêm túc" với "hai bạn trẻ mới ra trường" đã không còn phân biệt được gì.
Còn lại đúng hai tín hiệu không giả được: hồ sơ vụ việc thật, và một cái tên mà chỉ một người sở hữu.
TrungTamBaoMat.com thuộc loại tên nói ngay bạn là một đầu mối của ngành, không phải một nhà cung cấp trong danh sách. Với một đơn vị đang phải thuyết phục khách rằng mình đáng tin trước khi được nói câu thứ hai, đó không phải chuyện thẩm mỹ — đó là tài sản đứng thay cho lời giới thiệu. Và là tài sản duy nhất trong cả kế hoạch mà đối thủ có nhiều tiền hơn cũng không mua lại được, một khi nó đã có chủ.
Ngành này rồi sẽ đông người. Luật đang đẩy cầu lên, và cầu tăng thì cung sẽ theo. Câu hỏi không phải là có cạnh tranh hay không, mà là khi doanh nghiệp khúc giữa bắt đầu đi tìm, họ gõ cụm từ nào — và cụm từ đó đang thuộc về ai.
Tên miền nhắc trong bài: TrungTamBaoMat.com
