Tầm quan trọng của Pentest: Vì sao quét lỗ hổng là chưa đủ

01Pentest là gì và khác gì so với quét lỗ hổng tự động

Quét lỗ hổng là hoạt động tự động: công cụ đối chiếu phiên bản phần mềm, cấu hình và chữ ký đã biết với một cơ sở dữ liệu lỗ hổng, rồi liệt kê những gì khớp. Nó nhanh, rẻ, có thể chạy hằng ngày, và rất giỏi trong việc phát hiện các lỗ hổng đã được công bố. Nhưng nó không hiểu ngữ cảnh nghiệp vụ, không biết dữ liệu nào là quan trọng, và không thể ghép nhiều điểm yếu nhỏ thành một chuỗi tấn công.

Kiểm thử xâm nhập là hoạt động do con người thực hiện, có mục tiêu và có phạm vi được thoả thuận trước. Chuyên gia đóng vai kẻ tấn công: trinh sát bề mặt tấn công, tìm điểm yếu, khai thác thật, leo thang đặc quyền, di chuyển ngang trong mạng, và cố gắng chạm tới tài sản có giá trị nhất. Kết quả không phải là danh sách CVE, mà là câu chuyện: từ điểm A này, kẻ tấn công đi qua B và C, cuối cùng đọc được bảng dữ liệu D.

Hai hoạt động này không thay thế nhau. Quét lỗ hổng giữ cho bề mặt tấn công không phình ra giữa các kỳ kiểm thử; pentest xác minh rằng những lớp phòng thủ bạn tin tưởng thực sự hoạt động. Doanh nghiệp chỉ quét mà không pentest sẽ có một danh sách dài các vấn đề đã biết và không biết vấn đề nào thực sự nguy hiểm.

“Máy quét cho bạn biết cửa sổ nào không khoá. Pentest cho bạn biết kẻ trộm đi được tới phòng nào.”

02Khai thác lỗ hổng đã trở thành cửa vào số một

Báo cáo DBIR 2026 của Verizon, dựa trên phân tích hơn 22.000 vụ xâm nhập, ghi nhận khai thác lỗ hổng kỹ thuật hiện chiếm 31% tổng số các vụ xâm nhập ban đầu — tăng từ 20% năm trước, tương đương mức tăng 55% chỉ trong một năm — và lần đầu tiên trở thành vector tấn công phổ biến nhất, vượt qua cả lừa đảo qua email và lạm dụng thông tin đăng nhập.

Đáng chú ý hơn, thiết bị biên mạng và VPN đã tăng từ 3% lên 22% trong các vụ xâm nhập khởi nguồn từ khai thác lỗ hổng — gấp bảy lần trong một năm. Nhiều chiến dịch ransomware quy mô lớn trong giai đoạn này đều bắt đầu từ một lỗ hổng chưa vá trên thiết bị nằm ở vành đai mạng.

Ý nghĩa với doanh nghiệp rất trực tiếp: bề mặt tấn công quan trọng nhất hiện nay không nằm trong ứng dụng nội bộ mà nằm ở rìa ngoài — nơi ít được kiểm tra nhất và cũng là nơi máy quét thường bị giới hạn quyền truy cập. Đây chính là phạm vi mà một cuộc pentest có kiểm soát tạo ra giá trị lớn nhất.

03Những gì máy quét không bao giờ tìm ra

Có cả một nhóm lỗ hổng mà công cụ tự động về bản chất không thể phát hiện, vì chúng không phải là lỗi phần mềm mà là lỗi trong logic mà con người thiết kế ra. Đây thường là những lỗ hổng gây thiệt hại lớn nhất, vì chúng cho phép lạm dụng hệ thống theo đúng cách hệ thống được lập trình để hoạt động.

Trong các dự án kiểm thử của TechShield, nhóm phát hiện có giá trị cao nhất gần như luôn thuộc về các hạng mục dưới đây — không hạng mục nào trong số đó xuất hiện trong báo cáo quét tự động.

“Lỗ hổng nguy hiểm nhất thường không phải là mã lỗi. Đó là một quy trình hoạt động hoàn toàn đúng như thiết kế — nhưng thiết kế đó sai.”

04Pentest chỉ tạo giá trị khi lỗ hổng được vá

Đây là phần mà nhiều doanh nghiệp bỏ lỡ. Báo cáo State of Pentesting 2026 của Cobalt cho thấy tổ chức điển hình xử lý được 86% các phát hiện mức rủi ro cao — con số nghe khá tốt. Nhưng khi nhìn trên toàn bộ tập dữ liệu năm năm, tỷ lệ khắc phục tổng thể chỉ dừng ở 52%. Nói cách khác, gần một nửa số lỗ hổng đã được phát hiện, đã được ghi vào báo cáo, và vẫn còn nguyên ở đó.

Tốc độ cũng quan trọng ngang mức độ. Trung vị thời gian xử lý một phát hiện nghiêm trọng là 39 ngày. Nhưng khoảng cách giữa các nhóm là rất lớn: nhóm dẫn đầu có chu kỳ bán rã cho phát hiện rủi ro cao chỉ 10 ngày, trong khi nhóm cuối kéo dài tới 249 ngày. Với cùng một lỗ hổng, một doanh nghiệp đóng cửa sổ rủi ro trong hai tuần, doanh nghiệp kia để mở suốt tám tháng.

Riêng với các hệ thống AI và mô hình ngôn ngữ lớn, tình hình còn kém hơn: tỷ lệ khắc phục các phát hiện từ pentest AI/LLM chỉ đạt 38,4% trong năm 2026 — mức thấp nhất mà Cobalt ghi nhận — với thời gian xử lý trung bình 36 ngày. Đây là hệ quả trực tiếp của việc các tính năng AI được gắn vào sản phẩm nhanh hơn nhiều so với tốc độ đội bảo mật kịp hiểu chúng.

05Pentest trong khung tuân thủ và hồ sơ thầu

Khoảng 75% chuyên gia an toàn thông tin cho biết họ thực hiện kiểm thử xâm nhập để đáp ứng yêu cầu tuân thủ. Điều này phản ánh thực tế rằng pentest đã được viết thẳng vào phần lớn các khung chuẩn đang có hiệu lực, chứ không còn là hoạt động tuỳ chọn của đội kỹ thuật.

Tại Việt Nam, Nghị định 85/2016/NĐ-CP cùng Thông tư 12/2022/TT-BTTTT quy định nghĩa vụ kiểm tra, đánh giá an toàn thông tin đối với hệ thống theo cấp độ đã được phê duyệt — bao gồm đánh giá việc thực thi phương án bảo đảm an toàn theo từng tiêu chí trong hồ sơ đề xuất cấp độ. Với hệ thống xử lý dữ liệu cá nhân, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ 01/01/2026 đặt ra nghĩa vụ áp dụng biện pháp bảo vệ tương xứng, và kiểm thử độc lập là cách chứng minh khả thi nhất rằng biện pháp đó có hiệu lực thật.

Ở phía quốc tế, ISO/IEC 27001 yêu cầu quản lý lỗ hổng kỹ thuật và đánh giá hiệu lực của các biện pháp kiểm soát; PCI DSS yêu cầu kiểm thử xâm nhập định kỳ và sau mỗi thay đổi đáng kể đối với môi trường xử lý thẻ; SOC 2 xem báo cáo pentest gần nhất là bằng chứng tiêu chuẩn cho tiêu chí bảo mật. Với doanh nghiệp Việt Nam làm việc cùng khách hàng nước ngoài, một báo cáo pentest độc lập trong vòng 12 tháng gần nhất đã trở thành tài liệu được hỏi tới sớm nhất trong quá trình thẩm định.

“Trong hầu hết hồ sơ thầu hiện nay, câu hỏi không còn là bạn có bảo mật không, mà là báo cáo kiểm thử gần nhất của bạn ngày tháng nào.”

06Bao lâu nên pentest một lần và nên kiểm thử cái gì

Chu kỳ mỗi năm một lần đã trở thành chuẩn mực tối thiểu, nhưng với các doanh nghiệp phát hành phần mềm liên tục thì một năm là quá dài — hệ thống được kiểm thử vào tháng Giêng có thể đã hoàn toàn khác vào tháng Sáu. Nguyên tắc thực tế hơn là kết hợp lịch định kỳ với các mốc kích hoạt theo sự kiện.

Về phạm vi, sai lầm phổ biến nhất là chỉ kiểm thử ứng dụng web chính và bỏ qua mọi thứ xung quanh nó. Trong khi đó, theo dữ liệu DBIR 2026, chính vành đai mạng mới là nơi tỷ trọng xâm nhập tăng mạnh nhất.

07Chọn đối tác pentest: bảy câu hỏi cần đặt ra

Chất lượng của một cuộc kiểm thử phụ thuộc gần như hoàn toàn vào con người thực hiện nó. Hai báo cáo có cùng số trang có thể phản ánh hai mức độ nỗ lực hoàn toàn khác nhau: một bên là kết quả xuất từ công cụ được định dạng lại, một bên là bốn tuần khai thác thủ công.

Bảy câu hỏi dưới đây giúp phân biệt hai loại đó trước khi ký hợp đồng, và nên được đặt ra với bất kỳ nhà cung cấp nào, kể cả TechShield.

“Một báo cáo pentest tốt không làm bạn yên tâm. Nó làm bạn biết chính xác mình phải sửa gì trước tiên.”

• 01Khai thác lỗ hổng hiện chiếm 31% các vụ xâm nhập ban đầu theo DBIR 2026, tăng 55% trong một năm; thiết bị biên và VPN tăng từ 3% lên 22%.
• 02Máy quét tự động không phát hiện được lỗi logic nghiệp vụ, lỗi kiểm soát truy cập theo chiều ngang và các chuỗi tấn công ghép nhiều điểm yếu nhỏ — đây thường là nhóm gây thiệt hại lớn nhất.
• 03Tỷ lệ khắc phục lỗ hổng tổng thể trong 5 năm chỉ đạt 52%; trung vị thời gian xử lý phát hiện nghiêm trọng là 39 ngày, nhóm dẫn đầu đạt 10 ngày còn nhóm cuối kéo dài 249 ngày.
• 04Pentest được yêu cầu trực tiếp hoặc gián tiếp bởi Nghị định 85/2016, Thông tư 12/2022, ISO/IEC 27001, PCI DSS và SOC 2 — khoảng 75% chuyên gia bảo mật làm pentest vì lý do tuân thủ.
• 05Kiểm thử tối thiểu 12 tháng một lần, cộng thêm sau mỗi thay đổi kiến trúc lớn, và luôn đưa thành phần AI vào phạm vi vì đây là nhóm có tỷ lệ khắc phục thấp nhất, chỉ 38,4%.