Điện toán đám mây là gì? Lợi ích và nghĩa vụ dữ liệu từ 2026

Điện toán đám mây ở Việt Nam đã qua giai đoạn phải thuyết phục về lợi ích. Câu hỏi của năm 2026 là câu hỏi khác: dữ liệu đang nằm ở đâu, và điều đó tạo ra nghĩa vụ gì.

Từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực, và vi phạm về chuyển dữ liệu xuyên biên giới có mức phạt tới 5% doanh thu năm trước.

Bài viết đi qua khái niệm, ba mô hình dịch vụ, lợi ích thật, và phần nghĩa vụ mà các bài khác bỏ qua.

Điện toán đám mây là gì?

Là việc dùng tài nguyên công nghệ thông tin qua internet theo nhu cầu, thay vì tự mua và tự vận hành máy chủ.

So sánh dễ hiểu nhất: giống việc dùng điện lưới thay vì tự chạy máy phát. Doanh nghiệp trả theo lượng dùng, không phải mua và bảo dưỡng thiết bị.

Năm đặc điểm

Đặc điểm	Nghĩa là
Tự phục vụ theo nhu cầu	Tăng giảm tài nguyên mà không cần liên hệ nhà cung cấp
Truy cập qua mạng rộng	Dùng được từ nhiều thiết bị, nhiều nơi
Dùng chung nguồn tài nguyên	Nhiều khách hàng dùng cùng hạ tầng, dữ liệu tách riêng
Co giãn nhanh	Tăng khi cần, giảm khi hết cần
Đo lường được	Trả theo lượng dùng thực tế

Đặc điểm thứ ba là đặc điểm có hai mặt. Nó là lý do đám mây rẻ hơn tự dựng hạ tầng, và cũng là lý do phát sinh câu hỏi về tách biệt dữ liệu giữa các khách hàng.

Ba mô hình dịch vụ

Mô hình	Nhà cung cấp lo	Doanh nghiệp lo	Ví dụ
IaaS	Hạ tầng: máy chủ, lưu trữ, mạng	Hệ điều hành, ứng dụng, dữ liệu	Thuê máy chủ ảo
PaaS	Hạ tầng cộng nền tảng chạy ứng dụng	Ứng dụng, dữ liệu	Nền tảng để lập trình viên triển khai ứng dụng
SaaS	Toàn bộ, gồm cả ứng dụng	Dữ liệu và cách sử dụng	Phần mềm dùng qua trình duyệt

Cách nhớ: càng xuống dưới, nhà cung cấp lo càng nhiều, doanh nghiệp kiểm soát càng ít.

Phần lớn doanh nghiệp Việt Nam dùng SaaS, vì đó là mô hình của hầu hết phần mềm kế toán, hóa đơn điện tử, và quản lý doanh nghiệp hiện nay.

Chi tiết về SaaS trong bối cảnh ERP xem SaaS ERP là gì.

Bốn mô hình triển khai

Mô hình	Content	Phù hợp khi
Đám mây công cộng	Dùng hạ tầng chung của nhà cung cấp	Phần lớn trường hợp, chi phí thấp nhất
Đám mây riêng	Hạ tầng dành riêng cho một tổ chức	Yêu cầu kiểm soát dữ liệu chặt
Đám mây kết hợp	Dữ liệu nhạy cảm để riêng, phần còn lại dùng chung	Có yêu cầu tuân thủ riêng nhưng vẫn cần truy cập linh hoạt
Đám mây cộng đồng	Dùng chung giữa các tổ chức có nhu cầu tương tự	Ít gặp

Lợi ích thật và lợi ích bị nói quá

Phần này tách rõ hai loại, thay vì liệt kê chung.

Lợi ích thật

Lợi ích	Vì sao đúng
Không phải đầu tư hạ tầng ban đầu	Chuyển chi phí đầu tư thành chi phí vận hành, cải thiện dòng tiền năm đầu
Không cần đội quản trị hệ thống	Nhà cung cấp lo vận hành, bản vá, nâng cấp
Triển khai nhanh	Không phải mua, lắp, cấu hình máy chủ
Truy cập từ nhiều nơi	Phù hợp doanh nghiệp nhiều chi nhánh, hoặc có người làm từ xa
Tăng giảm theo quy mô	Không mua thừa công suất
Sao lưu và phục hồi tốt hơn mức doanh nghiệp nhỏ tự làm được	Hạ tầng nhà cung cấp thường có nhiều lớp dự phòng

Lợi ích cuối là lợi ích bị đánh giá thấp nhất. Doanh nghiệp nhỏ tự dựng máy chủ thường không có phương án sao lưu ngoài địa điểm, nên một sự cố vật lý là mất dữ liệu.

Lợi ích hay bị nói quá

Lời khẳng định thường gặp	Thực tế
“Rẻ hơn hẳn trong mọi trường hợp”	Rẻ hơn trong vài năm đầu. Về dài hạn tùy tốc độ tăng giá thuê bao, xem SaaS ERP là gì
“An toàn hơn tự dựng máy chủ”	An toàn hơn ở mặt vật lý và sao lưu, nhưng tạo ra rủi ro mới về phụ thuộc nhà cung cấp và về nghĩa vụ dữ liệu
“Không cần quan tâm công nghệ nữa”	Không cần quản trị hạ tầng, nhưng vẫn cần quản lý tài khoản, phân quyền và dữ liệu

Mô hình trách nhiệm chia sẻ

Đây là phần bản cũ không có, và là phần có hậu quả pháp lý.

Trách nhiệm	IaaS	PaaS	SaaS
Hạ tầng vật lý, mạng	Nhà cung cấp	Nhà cung cấp	Nhà cung cấp
Hệ điều hành, bản vá	Business	Nhà cung cấp	Nhà cung cấp
Ứng dụng	Business	Business	Nhà cung cấp
Tài khoản và phân quyền người dùng	Business	Business	Business
Dữ liệu và nghĩa vụ đối với dữ liệu	Business	Business	Business

Hai dòng cuối không bao giờ chuyển sang nhà cung cấp, ở cả ba mô hình.

Hệ quả quan trọng nhất của bảng này: thuê đám mây không chuyển được nghĩa vụ đối với dữ liệu cá nhân sang nhà cung cấp. Doanh nghiệp vẫn là bên chịu trách nhiệm.

Hệ quả thực tế thứ hai: phần lớn sự cố mất dữ liệu trên đám mây không phải do nhà cung cấp bị tấn công, mà do tài khoản của doanh nghiệp bị lộ or phân quyền quá rộng. Hai việc này nằm ở dòng thứ tư, tức thuộc doanh nghiệp.

Nghĩa vụ về dữ liệu từ 01/01/2026

Đây là phần quan trọng nhất của bài với doanh nghiệp Việt Nam.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 and Nghị định 356/2025/NĐ-CP có hiệu lực từ 01/01/2026.

Mức phạt

Hành vi	Mức tối đa
Vi phạm về chuyển dữ liệu xuyên biên giới	5% doanh thu năm trước
Mua bán dữ liệu cá nhân	10 lần khoản thu từ hành vi vi phạm
Các vi phạm khác, tổ chức	3 tỷ đồng
Các vi phạm khác, cá nhân	1,5 tỷ đồng

Dòng đầu là dòng liên quan trực tiếp tới điện toán đám mây, vì dùng dịch vụ có máy chủ ngoài Việt Nam nghĩa là dữ liệu được chuyển ra khỏi Việt Nam.

Và đây là mức tính theo tỷ lệ doanh thu, nên hậu quả tăng theo quy mô doanh nghiệp.

(người duyệt bài đối chiếu lại bốn mức này với Luật 91/2025 và nghị định xử phạt tương ứng trước khi phát hành)

Bảy câu hỏi cần làm rõ với nhà cung cấp

Câu hỏi	Vì sao
1. Máy chủ đặt ở đâu	Trong hay ngoài Việt Nam. Quyết định có phát sinh nghĩa vụ chuyển dữ liệu xuyên biên giới hay không
2. Dữ liệu có được sao lưu sang vùng khác không	Sao lưu sang nước khác cũng là chuyển dữ liệu
3. Nhân sự của nhà cung cấp truy cập được dữ liệu không, trong trường hợp nào	Phạm vi truy cập của bên thứ ba
4. Nhà cung cấp dùng bên thứ ba nào	Hạ tầng đám mây, dịch vụ sao lưu, công cụ hỗ trợ
5. Lưu dữ liệu bao lâu sau khi chấm dứt hợp đồng	Thời hạn lưu và thời điểm xóa
6. Có nhật ký truy cập không	Chứng minh ai xem dữ liệu gì
7. Xuất dữ liệu ra định dạng nào, có phí không	Khả năng rời đi khi cần

Câu hỏi số 2 hay bị bỏ qua và quan trọng. Nhà cung cấp có máy chủ chính tại Việt Nam nhưng sao lưu sang nước khác thì vẫn là chuyển dữ liệu ra ngoài.

Việc nên làm: đưa bảy câu trên thành một phụ lục về xử lý dữ liệu trong hợp đồng, không để ở mức trao đổi miệng.

Một lưu ý về công cụ phổ thông

Nhiều nhân viên dùng dịch vụ lưu trữ và công cụ trực tuyến miễn phí để chia sẻ tài liệu công việc. Nếu tài liệu đó chứa dữ liệu cá nhân của khách hàng hoặc nhân viên, đây là hành vi chuyển dữ liệu ra ngoài mà doanh nghiệp không kiểm soát.

Nên có quy định nội bộ về việc này, vì đây là nguồn rủi ro khó nhận ra nhất.

Năm việc cần làm trước khi chuyển lên đám mây

Việc	Chi tiết
1. Liệt kê dữ liệu sẽ đưa lên	Loại nào là dữ liệu cá nhân, loại nào không
2. Làm rõ bảy câu hỏi ở phần trên	Và đưa vào hợp đồng
3. Thiết lập phân quyền theo vai trò ngay từ đầu	Không để mọi người truy cập mọi thứ rồi siết lại sau
4. Bật xác thực hai lớp cho tài khoản quản trị	Vì phần lớn sự cố đến từ tài khoản bị lộ
5. Xác nhận cách xuất dữ liệu và thử xuất một lần	Trước khi phụ thuộc vào nhà cung cấp

Việc số 3 và số 4 thuộc trách nhiệm doanh nghiệp ở cả ba mô hình dịch vụ, nên không thể giao cho nhà cung cấp.

Việc số 5 nên làm trong giai đoạn triển khai, không chờ tới lúc muốn chuyển đi.

Sáu lỗi thường gặp

Lỗi	Hậu quả
Nghĩ thuê đám mây là chuyển được nghĩa vụ dữ liệu sang nhà cung cấp	Nghĩa vụ vẫn thuộc doanh nghiệp ở cả ba mô hình
Không hỏi máy chủ đặt ở đâu	Rủi ro về chuyển dữ liệu xuyên biên giới, mức phạt theo tỷ lệ doanh thu
Không hỏi về nơi sao lưu	Máy chủ chính ở Việt Nam nhưng sao lưu ra nước ngoài vẫn là chuyển dữ liệu
Phân quyền quá rộng cho tiện	Nguồn sự cố phổ biến nhất, và thuộc trách nhiệm doanh nghiệp
Không bật xác thực hai lớp cho tài khoản quản trị	Như trên
Không thử xuất dữ liệu cho tới khi muốn chuyển đi	Phát hiện vấn đề quá muộn

Lỗi thứ nhất là lỗi về nhận thức và là gốc của các lỗi còn lại.

Điện toán đám mây tại Arito

Arito xử lý:

• Cung cấp cả hình thức thuê bao trên đám mây và triển khai tại chỗ, tùy yêu cầu về kiểm soát dữ liệu
• Dữ liệu đặt tại Việt Nam, liên quan trực tiếp tới nghĩa vụ về chuyển dữ liệu xuyên biên giới từ 01/01/2026
• Phân quyền theo vai trò, thiết lập được ngay từ khi triển khai
• Nhật ký truy cập và thao tác, truy được ai xem gì và sửa gì lúc nào
• Xuất dữ liệu có cấu trúc, gồm cả dữ liệu lịch sử
• Chế độ kế toán theo Thông tư 99/2025 áp dụng từ 01/01/2026 và Thông tư 133/2016

Xem SaaS ERP là gì, mô hình ERP là gì or phần mềm ERP.

Câu hỏi thường gặp

Điện toán đám mây là gì?

Là việc dùng tài nguyên công nghệ thông tin qua internet theo nhu cầu, thay vì tự mua và tự vận hành máy chủ. Trả theo lượng dùng thực tế.

IaaS, PaaS và SaaS khác nhau thế nào?

IaaS là nhà cung cấp lo hạ tầng, doanh nghiệp lo hệ điều hành và ứng dụng. PaaS là nhà cung cấp lo thêm nền tảng chạy ứng dụng. SaaS là nhà cung cấp lo toàn bộ gồm cả ứng dụng, doanh nghiệp chỉ lo dữ liệu và cách sử dụng.

Lợi ích của điện toán đám mây là gì?

Không phải đầu tư hạ tầng ban đầu, không cần đội quản trị hệ thống, triển khai nhanh, truy cập từ nhiều nơi, tăng giảm theo quy mô, và sao lưu phục hồi tốt hơn mức doanh nghiệp nhỏ tự làm được.

Dùng đám mây có an toàn hơn tự dựng máy chủ không?

An toàn hơn ở mặt vật lý và sao lưu, nhưng tạo ra rủi ro mới về phụ thuộc nhà cung cấp và về nghĩa vụ dữ liệu. Phần lớn sự cố thực tế đến từ tài khoản bị lộ hoặc phân quyền quá rộng, và hai việc này thuộc trách nhiệm doanh nghiệp.

Thuê đám mây thì ai chịu trách nhiệm về dữ liệu?

Doanh nghiệp, ở cả ba mô hình dịch vụ. Nhà cung cấp chịu trách nhiệm về hạ tầng, nhưng nghĩa vụ đối với dữ liệu cá nhân không chuyển sang nhà cung cấp.

Máy chủ đặt ở nước ngoài có vấn đề gì không?

Từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực, và vi phạm về chuyển dữ liệu xuyên biên giới có mức phạt tới 5% doanh thu năm trước. Cần làm rõ nơi đặt máy chủ và cả nơi sao lưu.

Máy chủ ở Việt Nam nhưng sao lưu ra nước ngoài thì sao?

Sao lưu sang vùng khác cũng là chuyển dữ liệu, nên vẫn cần xem xét nghĩa vụ. Đây là câu hỏi hay bị bỏ qua.

Nên hỏi gì nhà cung cấp dịch vụ đám mây?

Bảy điều: nơi đặt máy chủ, nơi sao lưu, phạm vi truy cập của nhân sự nhà cung cấp, các bên thứ ba được dùng, thời hạn lưu sau khi chấm dứt hợp đồng, có nhật ký truy cập không, và cách xuất dữ liệu cùng phí nếu có.

Nhân viên dùng công cụ lưu trữ trực tuyến miễn phí cho tài liệu công việc có sao không?

Nếu tài liệu chứa dữ liệu cá nhân của khách hàng hoặc nhân viên thì đây là chuyển dữ liệu ra ngoài mà doanh nghiệp không kiểm soát. Nên có quy định nội bộ về việc này.

Đám mây có rẻ hơn tự dựng máy chủ không?

Rẻ hơn trong vài năm đầu. Về dài hạn tùy tốc độ tăng giá thuê bao, và cần tính chi phí lũy kế theo năm để tìm điểm hòa vốn.

Tổng kết

Bốn điều quyết định:

Nghĩa vụ đối với dữ liệu không chuyển sang nhà cung cấp. Ở cả ba mô hình IaaS, PaaS và SaaS, tài khoản, phân quyền và dữ liệu đều thuộc trách nhiệm doanh nghiệp.

Hỏi cả nơi đặt máy chủ và nơi sao lưu. Từ 01/01/2026, vi phạm về chuyển dữ liệu xuyên biên giới có mức phạt tới 5% doanh thu năm trước.

Thiết lập phân quyền và xác thực hai lớp ngay từ đầu. Phần lớn sự cố thực tế đến từ đây, không từ hạ tầng nhà cung cấp.

Thử xuất dữ liệu trong giai đoạn triển khai. Không chờ tới lúc muốn chuyển đi mới biết xuất được gì.

Nội dung mang tính tham khảo. Khi áp dụng cần đối chiếu Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.

Bài viết liên quan

• SaaS ERP là gì
• Mô hình ERP là gì
• Dữ liệu khách hàng
• API là gì
• Phần mềm ERP