Ngày 12/8/2026, Tổng thống Mỹ Donald Trump ký một bản ghi nhớ mới. Văn bản mang tên “Mở rộng năng lực chống tội phạm xuyên quốc gia trên không gian mạng” (Expanding Capabilities to Combat Transnational Cyber-Enabled Crime). Bản ghi nhớ cho phép doanh nghiệp tư nhân Mỹ đã qua thẩm định thực hiện chiến dịch mạng nhắm tới tổ chức tội phạm ở nước ngoài. Trung tâm Điều phối Quốc gia (NCC) quản lý chương trình dưới sự kiểm soát của chính phủ liên bang. Đây là lần đầu Washington công khai cho phép một số doanh nghiệp tham gia chiến dịch mạng tấn công ở nước ngoài.

Bản ghi nhớ không trao quyền tự do tấn công cho toàn bộ ngành an ninh mạng. Mỗi chiến dịch phải phục vụ chính phủ Mỹ, nằm trong phạm vi được duyệt và chịu giám sát liên bang. Doanh nghiệp phải ký hợp đồng với Bộ Tư pháp Mỹ (DOJ) hoặc Bộ An ninh Nội địa Mỹ (DHS). Vì thế, cơ chế này khác với hành động “tấn công ngược” do một công ty tự quyết sau khi bị xâm nhập.

Doanh nghiệp được giao hai nhóm hoạt động

Hoạt động giám sát mạng (Cyber Surveillance Operations) nhằm thu thập thông tin hoặc tình báo mà không để mục tiêu phát hiện. Phạm vi này gồm truy cập hệ thống khi chưa được chủ sở hữu cho phép hoặc vượt quá quyền truy cập đã cấp. Hoạt động can thiệp hệ thống (Cyber Effects Operations) đi xa hơn thu thập thông tin. Bản ghi nhớ định nghĩa nhóm thứ hai là thao túng, làm gián đoạn, từ chối dịch vụ, làm suy giảm hoặc phá hủy hệ thống, mạng và dữ liệu.

Doanh nghiệp tham gia được phép nhận dữ liệu về mối đe dọa qua thỏa thuận với công ty khác hoặc cơ quan công quyền. Doanh nghiệp dùng dữ liệu đó để trình NCC một hồ sơ chiến dịch. Hai giám đốc chương trình phải xem xét từng hồ sơ và cấp chỉ đạo bằng văn bản trước khi hành động bắt đầu. Chính phủ liên bang giữ quyền kiểm soát, còn doanh nghiệp thực hiện chiến dịch thay mặt chính phủ.

Tòa nhà văn phòng và phòng máy chủ chứa nhiều tủ thiết bị mạng (ảnh minh họa)
DOJ và DHS mỗi bên cử một giám đốc để cùng phê duyệt, chỉ đạo và giám sát các hồ sơ chiến dịch. Ảnh: Brett Sayles, Pexels.

DOJ và DHS cùng kiểm soát chương trình

DOJ phụ trách thực thi pháp luật liên bang và cử một giám đốc chương trình. DHS, cơ quan bảo vệ an ninh trong nước, cử giám đốc còn lại. Hai người phải phối hợp trước khi phê duyệt bất kỳ chiến dịch nào trong phạm vi thẩm quyền. Doanh nghiệp được xét về năng lực kỹ thuật, kinh nghiệm, an ninh cơ sở, nhân sự, độ tin cậy và khả năng hoàn thành nhiệm vụ.

DOJ và DHS có 60 ngày kể từ ngày ký bản ghi nhớ để lập quy trình vận hành chung. Quy trình phải cho phép cả công ty lớn lẫn doanh nghiệp nhỏ phù hợp với nhiệm vụ chuyên biệt tham gia. Hợp đồng có thể yêu cầu doanh nghiệp duy trì khoản bảo đảm hoặc ký quỹ tối thiểu 1 triệu USD. Khoản tiền bị tịch thu nếu doanh nghiệp vi phạm thỏa thuận với chính phủ.

Lãnh đạo chương trình phải nộp báo cáo đầu tiên trong 180 ngày và tiếp tục báo cáo hằng năm. Đây là báo cáo về tình trạng của toàn chương trình, không phải mốc khởi động báo cáo thường niên của từng doanh nghiệp. Quy trình sắp ban hành sẽ quy định nghĩa vụ báo cáo hoạt động của doanh nghiệp. Mỗi đơn vị tham gia cũng phải được đánh giá lại ít nhất mỗi năm một lần.

Mục tiêu là tổ chức tội phạm nước ngoài, không phải chính phủ

Đối tượng hợp lệ là nhóm ở nước ngoài thực hiện tội phạm mạng nhằm vào chính phủ, người dân hoặc lợi ích của Mỹ. Nhóm đó không được thuộc cơ cấu của một chính phủ nước ngoài hoặc hoàn toàn hoạt động theo chỉ đạo của chính phủ ấy. Văn bản mặc định một nhóm không thuộc hai trường hợp trên, trừ khi có tình báo rõ ràng chứng minh mối liên hệ. Cách mặc định này đặt trọng lượng lớn lên chất lượng tình báo nhận diện mục tiêu.

Nếu vô tình nhắm vào một người Mỹ hoặc hệ thống đặt tại Mỹ, doanh nghiệp phải dừng hoạt động và giảm thiểu tác động. Doanh nghiệp cũng phải báo ngay cho NCC, rồi NCC thông báo cho DOJ. Nếu một đề xuất chủ động nhắm tới người Mỹ hoặc liên quan nghĩa vụ pháp lý của chính phủ, hồ sơ phải được xem xét riêng. DOJ phải bảo đảm đề xuất có mọi chấp thuận cần thiết, kể cả quyết định tư pháp, trước khi chiến dịch được phê duyệt.

Hai giám đốc chương trình không được duyệt hoạt động có khả năng gây chết người hoặc thương tích nghiêm trọng. Họ cũng không được duyệt hoạt động đạt ngưỡng sử dụng vũ lực hay tấn công vũ trang theo luật quốc tế. Bản ghi nhớ có một phụ lục mật liên quan đến quy trình vận hành. Phần công khai không giải thích thêm cách xử lý đề xuất vượt thẩm quyền của hai giám đốc.

Đây không phải giấy phép phản công chung

Chương trình phải tuân thủ Hiến pháp, luật hiện hành và nghĩa vụ quốc tế của Mỹ. Bản ghi nhớ không sửa luật liên bang hoặc cấp quyền cho doanh nghiệp đứng ngoài chương trình. Một công ty vừa bị tấn công không thể lấy bản ghi nhớ làm căn cứ để tự truy cập hệ thống bị nghi thuộc về thủ phạm. Chỉ hoạt động đã được NCC xem xét, phê duyệt và đặt dưới quyền kiểm soát liên bang mới thuộc cơ chế này.

Cybersecurity Dive ghi nhận phản ứng trái chiều từ giới nghiên cứu an ninh mạng và luật. Scott Shackelford tại Đại học Indiana đánh giá chính sách có một số rào chắn, nhưng cơ chế buộc bên vi phạm chịu trách nhiệm vẫn là câu hỏi lớn. Jason Healey tại Đại học Columbia chấp nhận thử hướng tiếp cận mới, với điều kiện chính phủ đặt tiêu chí đánh giá cụ thể. Paul Rosenzweig, cựu quan chức DHS, cho rằng chức năng này nên do nhà nước đảm nhiệm.

Rủi ro nhận diện sai không dừng ở tên của nhóm tin tặc. Hạ tầng điều khiển, máy chủ trung gian và dữ liệu bị đánh cắp thường phân bố tại nhiều khu vực tài phán. Một chiến dịch nhằm vào tội phạm vì vậy vẫn có nguy cơ làm gián đoạn hệ thống tại nước thứ ba. Cựu cố vấn pháp lý Gary Corn nói với Cybersecurity Dive rằng Mỹ vẫn chịu trách nhiệm theo luật quốc tế về các chiến dịch này.

Chuyên gia Jake Williams cảnh báo nhân viên doanh nghiệp Mỹ có nguy cơ bị một chính phủ nước ngoài truy tố hoặc bắt giữ khi đi ra nước ngoài. Ông cho rằng cáo buộc không nhất thiết phải đúng mới gây rủi ro cho người tham gia. Williams nói phụ lục mật có lẽ giải đáp một phần cách chọn mục tiêu, nhưng ông chưa tin cơ chế sẽ tránh được lạm dụng. Đây là rủi ro đối với cá nhân, tách biệt với khoản bảo đảm 1 triệu USD của doanh nghiệp.

Ý nghĩa đối với độc giả tại Việt Nam

Chính sách chỉ định nghĩa doanh nghiệp tham gia là công ty tư nhân của Mỹ được nhận vào chương trình. Văn bản không tạo quyền tương tự cho doanh nghiệp ở Việt Nam. Tác động gián tiếp vẫn đáng theo dõi vì hạ tầng mạng, dịch vụ đám mây và dữ liệu thường đi qua nhiều quốc gia. Phần công khai chưa nêu cơ chế thông báo hoặc bồi thường cho chủ hệ thống ở nước thứ ba nếu xảy ra ảnh hưởng ngoài dự kiến.

Tính đến thời điểm bài viết được thực hiện, chúng tôi chưa tìm thấy văn bản chính thức liên quan của cơ quan chức năng Việt Nam. Các nguồn đã kiểm tra chưa đưa ra số liệu so sánh cho trường hợp này. Vì vậy, không có cơ sở để suy ra Việt Nam đang áp dụng hoặc chuẩn bị một chương trình tương tự. Phạm vi tác động tới hệ thống tại Việt Nam sẽ rõ hơn khi Mỹ công bố quy trình, tiêu chí chọn mục tiêu và chiến dịch đầu tiên.

Các mốc tiếp theo

Quy trình vận hành trong 60 ngày sẽ quyết định doanh nghiệp nào đủ điều kiện và cách một hồ sơ chiến dịch được đánh giá. Trước khi quy trình xuất hiện, chưa có căn cứ để coi chương trình đã hoạt động đầy đủ. Báo cáo trong 180 ngày sẽ là mốc đầu tiên để xem chính phủ Mỹ công bố bao nhiêu thông tin về tiến độ. Tên doanh nghiệp tham gia, mục tiêu cụ thể và kết quả chiến dịch vẫn chưa được nêu trong bản ghi nhớ công khai.