Từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân chính thức có hiệu lực. Từ 01/07/2026, Luật An ninh mạng (hợp nhất) cũng bắt đầu áp dụng. Chỉ trong sáu tháng, hai đạo luật lớn nhất về dữ liệu và an ninh mạng của Việt Nam từ trước đến nay cùng đi vào thực tiễn — và hệ thống email, nơi lưu trữ gần như toàn bộ thông tin điều hành, văn bản, dữ liệu cá nhân của cán bộ, công chức và người dân, chính là hạ tầng chịu tác động trực tiếp nhất.

Với các cơ quan, đơn vị nhà nước đang dùng email nước ngoài lưu trữ trên hạ tầng đám mây đặt ngoài lãnh thổ Việt Nam, đây là thời điểm bắt buộc phải rà soát lại. Bài viết này tổng hợp những thay đổi pháp lý quan trọng nhất, bối cảnh rủi ro an ninh mạng năm 2026, và vì sao ngày càng nhiều cơ quan chính phủ trên thế giới — và tại Việt Nam — lựa chọn nền tảng email mã nguồn mở, tự chủ dữ liệu như Zimbra.

1. Ba thay đổi pháp lý mà bộ phận CNTT cơ quan nhà nước cần nắm

Luật Bảo vệ dữ liệu cá nhân 2025 (số 91/2025/QH15) — có hiệu lực từ 01/01/2026, thay thế Nghị định 13/2023, gồm 5 chương 39 điều, thiết lập lại nghĩa vụ của tổ chức, doanh nghiệp trong thu thập, xử lý, lưu trữ dữ liệu cá nhân. Nghị định 356/2025/NĐ-CP hướng dẫn chi tiết đi kèm, quy định rõ yêu cầu bảo vệ dữ liệu theo từng lĩnh vực, kể cả dữ liệu xử lý trên nền tảng cloud, đồng thời buộc tổ chức phải chứng minh được luồng xử lý dữ liệu và cơ chế đồng ý của chủ thể dữ liệu.

Luật An ninh mạng 2025 (số 116/2025/QH15) — có hiệu lực từ 01/07/2026, hợp nhất Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018. Điểm đáng chú ý với các đơn vị vận hành hệ thống email và cộng tác nội bộ: yêu cầu lưu trữ một số loại dữ liệu (thông tin tài khoản, thời gian sử dụng dịch vụ, địa chỉ IP truy cập…) tại Việt Nam, khả năng phản hồi yêu cầu của cơ quan chức năng trong khung giờ rất ngắn (một số trường hợp chỉ 3–24 giờ), và trách nhiệm chứng minh được vị trí lưu trữ dữ liệu thực tế. Đây là điều gần như bất khả thi với các dịch vụ SaaS quốc tế không cam kết rõ khu vực lưu trữ hoặc tự động replicate dữ liệu qua nhiều region ở nước ngoài.

Nghị định 278/2025/NĐ-CP (thay thế Nghị định 47/2020) — quy định về kết nối, chia sẻ dữ liệu bắt buộc giữa các cơ quan trong hệ thống chính trị, đặt ra yêu cầu chuẩn hóa dữ liệu và tuân thủ Khung kiến trúc dữ liệu quốc gia.

Điểm chung của cả ba văn bản: trách nhiệm chứng minh nơi lưu trữ, khả năng kiểm soát và truy xuất dữ liệu giờ đây thuộc về chính cơ quan sử dụng dịch vụ — không thể “khoán trắng” cho một nhà cung cấp nước ngoài mà không biết dữ liệu thực sự nằm ở đâu.

2. Rủi ro không chỉ đến từ pháp lý — mà từ chính hộp thư mỗi ngày

Song song với hành lang pháp lý mới, bức tranh đe dọa an ninh mạng năm 2026 cũng đang thay đổi nhanh. Theo thống kê được Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) công bố, chỉ trong một năm gần đây Việt Nam ghi nhận hơn 600.000 cuộc tấn công mạng, trong đó khoảng 10.000 hệ thống thông tin của cơ quan nhà nước và ngân hàng là mục tiêu trực tiếp. Nhiều dự báo an ninh mạng quốc tế cho năm 2026 đều chỉ ra một xu hướng chung: AI đang trở thành công cụ chính của kẻ tấn công — tự động hóa trinh sát, tạo email lừa đảo (phishing) tinh vi trên diện rộng, thậm chí giả giọng nói và video của lãnh đạo để lừa đảo qua email và các kênh liên lạc nội bộ.

Với một cơ quan nhà nước, hộp thư công vụ không đơn thuần là công cụ liên lạc — đó là nơi lưu văn bản chỉ đạo, dữ liệu cá nhân của công dân, hồ sơ nội bộ. Một hệ thống email thiếu các lớp bảo vệ cơ bản (mã hóa, xác thực hai yếu tố, chống giả mạo domain, nhật ký truy cập tập trung) sẽ là điểm yếu đầu tiên bị khai thác.

3. Vì sao nhiều chính phủ trên thế giới chọn Zimbra

Đây không phải là câu chuyện riêng của Việt Nam. Zimbra hiện được hơn 450 khách hàng là cơ quan chính phủ tại hơn 70 quốc gia sử dụng, phục vụ trên 13 triệu hộp thư. Một số lý do khiến khu vực công trên thế giới ưu tiên Zimbra thay vì các nền tảng email độc quyền:

  • Mã nguồn mở, minh bạch: Zimbra cho phép khách hàng tự đánh giá mã nguồn và kiểm định bảo mật — điều ngày càng được nhiều chính phủ yêu cầu (Đức, Ấn Độ, Ý, Brazil, Argentina…) đối với hệ thống xử lý dữ liệu công.
  • Chủ quyền dữ liệu thực sự: Zimbra triển khai được on-premise, private cloud, hoặc hybrid — dữ liệu nằm trong hạ tầng do chính cơ quan hoặc đối tác trong nước kiểm soát, đáp ứng trực tiếp yêu cầu “chứng minh vị trí lưu trữ” của Luật An ninh mạng mới.
  • Bảo mật theo chiều sâu: mã hóa đầu-cuối S/MIME, xác thực hai yếu tố (2FA), tích hợp SSO, chống virus/spam ở tầng gateway — những cơ chế bảo vệ mà nhiều cơ quan kiểm toán, cơ quan an ninh của các nước đã lựa chọn triển khai.
  • Tổng chi phí sở hữu (TCO) thấp hơn đáng kể so với các nền tảng thương mại quốc tế — nhờ mô hình cấp phép theo số lượng người dùng thực tế và hạ tầng có thể triển khai on-premise, giúp cơ quan chủ động chi phí vận hành lâu dài thay vì lệ thuộc vào giá thuê bao SaaS tăng dần theo năm.
  • Khả năng mở rộng và tích hợp: thông qua Open API và Zimlet framework, Zimbra tích hợp được với hệ thống quản lý văn bản, chữ ký số, cổng dịch vụ công sẵn có — thay vì buộc cơ quan phải thay đổi toàn bộ quy trình để phù hợp với nền tảng ngoại nhập.

4. Zimbra Daffodil 10.1 — bản mới nhất, sẵn sàng cho hạ tầng công

Phiên bản Zimbra Daffodil 10.1 hiện tại bổ sung nhiều cải tiến trực tiếp phục vụ nhu cầu của khối cơ quan nhà nước: hệ thống cấp phép tự động linh hoạt hơn, cơ chế backup/restore thế hệ mới hỗ trợ deduplication giúp giảm chi phí lưu trữ dài hạn (quan trọng với yêu cầu lưu trữ hồ sơ phục vụ thanh tra, kiểm toán), cùng Zimbra Chat tích hợp sẵn theo đúng nguyên tắc bảo mật và tự chủ dữ liệu.

Với các cơ quan vẫn đang vận hành Zimbra 8.8.15, 9.0 hoặc 10.0 — cần lưu ý bản 9.0 và 10.0 đã hết vòng đời hỗ trợ (EOL). Việc lập lộ trình nâng cấp lên 10.1 không chỉ để có tính năng mới, mà còn là yêu cầu bắt buộc để duy trì các bản vá bảo mật — một tiêu chí gần như chắc chắn sẽ được nhắc đến trong các đợt kiểm tra tuân thủ an ninh mạng theo luật mới.

5. ZIMICO đồng hành cùng cơ quan nhà nước triển khai Zimbra

Là đối tác VAR (Value Added Reseller) chính thức của Synacor tại Việt Nam, ZIMICO trực tiếp tư vấn kiến trúc hệ thống (single server, multi-server, high-availability), khảo sát hạ tầng hiện có, thiết kế phương án bảo mật theo khuyến nghị (firewall, SSL, mã hóa email, chống spam/mã độc), lên kế hoạch di trú dữ liệu (migration) và đào tạo người dùng — toàn bộ quy trình được thiết kế riêng theo quy mô và yêu cầu tuân thủ của từng cơ quan, đơn vị.

Nếu đơn vị bạn đang cân nhắc triển khai mới, nâng cấp từ bản Zimbra cũ, hoặc đánh giá lại phương án chủ quyền dữ liệu cho hệ thống email hiện tại để chuẩn bị cho các mốc pháp lý 01/01/2026 và 01/07/2026, đội ngũ kỹ thuật của ZIMICO sẵn sàng khảo sát và tư vấn miễn phí.

Liên hệ ZIMICO — Đối tác Zimbra tại Việt Nam Email: info@zimico.vn | Website: zimico.vn