Phần chậm nhất của mọi pilot doanh nghiệp
Hỏi bất kỳ ai từng bán phần mềm cho ngân hàng, bảo hiểm, chứng khoán hay doanh nghiệp nhà nước ở Việt Nam: phần mất thời gian nhất không phải tích hợp, không phải đào tạo, mà là chờ phê duyệt dữ liệu và bảo mật. Một pilot dự kiến 8 tuần có thể bắt đầu trễ hai tháng chỉ vì không ai hỏi từ đầu "dữ liệu khách hàng được phép nằm ở đâu".
Bài này không dạy luật. Nó dạy bạn hỏi đúng câu từ buổi đầu và chuẩn bị sẵn hồ sơ, để phần chậm nhất không nằm trên đường găng của pilot.
Bốn câu hỏi trong buổi gặp đầu tiên
- Dữ liệu nào cần dùng? Dữ liệu thật, dữ liệu đã ẩn danh hay dữ liệu mẫu? Câu trả lời thay đổi toàn bộ kế hoạch.
- Dữ liệu được phép nằm ở đâu? Máy chủ của khách, máy chủ đặt tại Việt Nam, hay đám mây nước ngoài?
- Ai phải phê duyệt, và mất bao lâu? Phòng CNTT, an ninh thông tin, pháp chế, kiểm soát nội bộ — theo thứ tự nào?
- Họ đang áp dụng quy định nào? Ví dụ Luật Bảo vệ dữ liệu cá nhân (số 91/2025/QH15, hiệu lực từ 1/1/2026) và các văn bản hướng dẫn, trước đó là Nghị định 13/2023/NĐ-CP, quy định riêng của ngành, chính sách nội bộ. Hỏi pháp chế bên khách danh sách văn bản họ dùng, đừng tự đoán.
Mỗi loại tổ chức, một tốc độ
| Loại khách | Thời gian chuẩn bị thường gặp | Điểm nghẽn chính | Cách chuẩn bị |
|---|---|---|---|
| Doanh nghiệp nhỏ | Vài ngày | Gần như không có, chủ doanh nghiệp tự quyết | Thoả thuận bảo mật ngắn |
| Doanh nghiệp tư nhân lớn | 1–3 tuần | Phòng CNTT, tài khoản ERP, nơi đặt dữ liệu | Sơ đồ kiến trúc, máy chủ tại Việt Nam |
| Ngân hàng, bảo hiểm, chứng khoán | 6–12 tuần | Bảng câu hỏi bảo mật, hội đồng duyệt, quy định ngành | Bộ hồ sơ bảo mật đầy đủ, phương án triển khai tại chỗ |
| Doanh nghiệp nhà nước | 4–12 tuần | Nhiều cấp phê duyệt, quy trình mua sắm | Bắt đầu thủ tục song song với thương thảo |
Đông Phát — doanh nghiệp tư nhân lớn
Trong buổi đầu, Vy hỏi đủ bốn câu. Anh Tài, trưởng phòng CNTT, trả lời:
| Câu hỏi | Câu trả lời của Đông Phát | Khớp đáp ứng thế nào |
|---|---|---|
| Dữ liệu nào? | Dữ liệu thật, vì giờ công chỉ giảm khi xử lý giao dịch thật | Dùng sao kê và hoá đơn thật của chi nhánh Bình Dương |
| Nằm ở đâu? | Không được ra nước ngoài | Khớp dựng máy chủ riêng cho pilot tại một trung tâm dữ liệu ở Việt Nam |
| Ai duyệt? | Anh Tài và pháp chế | Gửi sơ đồ kiến trúc và mẫu thoả thuận ngay hôm sau |
| Truy cập ERP? | Chỉ đọc, không cấp tài khoản | ERP xuất file hằng ngày vào thư mục chia sẻ, Khớp chỉ đọc file |
Ngân hàng Sông Hồng — một thế giới khác
POC với ngân hàng do Hiếu phụ trách cho thấy khác biệt. Phòng an ninh thông tin gửi một bảng câu hỏi 280 dòng: mã hoá khi lưu và khi truyền, phân quyền, nhật ký truy cập, quy trình xử lý sự cố, kiểm thử xâm nhập, nhân sự được truy cập dữ liệu, kế hoạch dự phòng. Ngân hàng không cho dữ liệu khách hàng thật ra khỏi hệ thống của họ, nên POC chạy trong môi trường thử nghiệm của ngân hàng với dữ liệu đã che.
Lần đầu trả lời, Khớp mất ba tuần vì phải hỏi từng người trong đội. Bài học Vy ghi lại: bảng câu hỏi bảo mật sẽ đến lần nữa, gần như cùng nội dung. Trả lời một lần cho tử tế, lưu lại, và lần sau chỉ mất vài ngày.
Bộ hồ sơ bảo mật soạn sẵn
- Sơ đồ kiến trúc: dữ liệu đi từ đâu, qua đâu, lưu ở đâu; ghi rõ máy chủ trong nước hay nước ngoài.
- Mã hoá và phân quyền: cách mã hoá khi lưu và khi truyền, ai trong đội bạn được truy cập dữ liệu khách, truy cập được ghi nhật ký thế nào.
- Quy trình xử lý sự cố: phát hiện, báo cho khách trong bao lâu, ai chịu trách nhiệm.
- Mẫu thoả thuận bảo mật và xử lý dữ liệu cá nhân: để pháp chế hai bên không bắt đầu từ trang trắng.
- Bảng câu hỏi bảo mật đã trả lời: lưu bản gần nhất, cập nhật mỗi quý.
- Phương án triển khai tại chỗ: kể cả khi bạn chưa muốn làm, hãy biết nó tốn bao nhiêu và mất bao lâu.
Dữ liệu thật, ẩn danh hay mẫu
| Loại dữ liệu | Đo được gì | Rủi ro | Hợp với |
|---|---|---|---|
| Dữ liệu thật | Kết quả kinh doanh thật | Phê duyệt lâu, trách nhiệm bảo mật cao | Pilot |
| Dữ liệu đã ẩn danh | Độ chính xác, hiệu năng gần thực tế | Ẩn danh sai cách vẫn lộ thông tin | POC, pilot ở ngành tài chính |
| Dữ liệu mẫu | Tích hợp có chạy không | Không nói gì về giá trị | POC kỹ thuật |
Tài khoản và quyền truy cập
Xin tài khoản, mở cổng mạng, cấp VPN ở doanh nghiệp lớn có thể mất hai đến bốn tuần. Đưa việc này vào tuần 0, ghi tên người chịu trách nhiệm phía khách cho từng quyền, và đừng tính tuần chờ vào thời gian pilot.
Làm ngay
Viết câu trả lời của sản phẩm bạn cho bốn câu hỏi ở đầu bài, như thể khách vừa hỏi: dữ liệu bạn cần, nơi dữ liệu nằm, ai trong đội bạn được truy cập, và bạn đáp ứng quy định nào. Rồi kiểm bộ hồ sơ bảo mật: trong sáu mục ở trên, mục nào bạn gửi được trong 24 giờ, mục nào chưa có? Mục chưa có là việc cần làm trước pilot tiếp theo, không phải trong lúc khách đang chờ.