Bảo mật và sao lưu dữ liệu trong hệ thống quản lý tạp chí khoa học ​

Bảo mật và sao lưu dữ liệu trong hệ thống quản lý tạp chí khoa học là yếu tố quyết định sự sống còn của toàn bộ kho bài báo, hồ sơ phản biện và lịch sử biên tập tích lũy qua nhiều năm. Chỉ một lần mất dữ liệu do lỗi server, tấn công mạng hoặc thao tác nhầm cũng có thể xóa sạch công sức của cả tòa soạn.

Cập nhật: tháng 9/2026 — Biên soạn bởi đội ngũ VOJS, Metis JSC

Vì sao bảo mật dữ liệu là vấn đề sống còn với tạp chí khoa học? ​

Bảo mật dữ liệu tạp chí khoa học quan trọng vì hệ thống lưu trữ không chỉ là bài báo đã xuất bản, mà còn gồm bản thảo chưa công bố, nhận xét phản biện kín, thông tin cá nhân của tác giả và biên tập viên. Rò rỉ dữ liệu ở giai đoạn phản biện có thể dẫn đến tranh chấp quyền tác giả hoặc lộ ý tưởng nghiên cứu trước khi công bố chính thức.

Đây cũng không chỉ là vấn đề kỹ thuật: từ 1/1/2026, việc thu thập và lưu trữ thông tin tác giả, phản biện viên còn chịu sự điều chỉnh trực tiếp của Luật Bảo vệ dữ liệu cá nhân, thay thế Nghị định 13/2023/NĐ-CP — tòa soạn cần đối chiếu cơ chế bảo mật hiện có với các nghĩa vụ pháp lý này.

Theo Public Knowledge Project (PKP) — đơn vị tại Đại học Simon Fraser (Canada) phát triển OJS, tính đến năm 2026 có hơn 44.000 tạp chí tại 148 quốc gia đang dùng OJS để xuất bản, bằng hơn 60 ngôn ngữ, khiến đây là phần mềm xuất bản học thuật được dùng rộng rãi nhất thế giới.

Chính sự phổ biến toàn cầu này là con dao hai lưỡi: mã nguồn công khai giúp tòa soạn tiết kiệm chi phí bản quyền, nhưng cũng khiến kẻ tấn công có thể rà quét lỗ hổng trên diện rộng — nhắm vào hàng loạt website chạy cùng phiên bản OJS chưa vá lỗi, thay vì phải nhắm riêng từng tạp chí.

Với tạp chí đã được tính điểm HĐGSNN (tên gọi trước đây: HĐCDGSNN) hoặc vào danh mục Scopus, một sự cố mất dữ liệu còn ảnh hưởng trực tiếp đến uy tín học thuật và khả năng duy trì chỉ số xếp hạng.

Những rủi ro dữ liệu phổ biến nhất mà tòa soạn thường gặp ​

Rủi ro dữ liệu phổ biến nhất gồm: mất dữ liệu do lỗi phần cứng server không có bản sao lưu, bị tấn công mã độc tống tiền (ransomware) mã hóa toàn bộ cơ sở dữ liệu, tài khoản quản trị bị đánh cắp do mật khẩu yếu, và thao tác nhầm xóa bài báo hoặc số tạp chí đã xuất bản.

Một rủi ro ít được chú ý là mất dữ liệu do con người: cán bộ phụ trách kỹ thuật nghỉ việc mà không bàn giao đầy đủ quy trình sao lưu, khiến tòa soạn không biết bản sao lưu gần nhất nằm ở đâu hoặc có còn hoạt động hay không. Đây là tình huống thường gặp ở các tạp chí tự vận hành hệ thống mã nguồn mở mà không có quy trình IT bài bản.

Lỗ hổng bảo mật thực tế đã được ghi nhận trên OJS: hai ví dụ tòa soạn cần biết ​

Lỗ hổng bảo mật trên OJS không phải rủi ro giả định — đây là các lỗ hổng đã được công bố công khai trên cơ sở dữ liệu CVE (Common Vulnerabilities and Exposures) quốc tế, kèm mã số tra cứu cụ thể mà bất kỳ tòa soạn nào cũng có thể tự kiểm tra phiên bản hệ thống của mình.

CVE-2024-56525 (mức nghiêm trọng, điểm CVSS 9,8/10) là lỗ hổng dạng XXE (XML External Entity) ảnh hưởng OJS, OMP và OPS phiên bản trước 3.3.0.21 và nhánh 3.4.x trước 3.4.0.8. Lỗ hổng cho phép một tài khoản chỉ có vai trò Biên tập viên (Journal Editor) — không phải quản trị viên — tải lên một file XML giả mạo dưới dạng User XML Plugin, từ đó tự tạo tài khoản super admin và cài backdoor plugin, chiếm toàn quyền hệ thống mà không cần biết mật khẩu quản trị.

Chuỗi lỗ hổng CVE-2024-25434, CVE-2024-25436 và CVE-2024-25438 (mức trung bình, CVSS 6,1/10) ảnh hưởng nhánh OJS 3.3, cho phép Tác giả — vai trò có quyền hạn thấp nhất hệ thống — chèn mã JavaScript độc hại (XSS) vào trường affiliation hoặc trường thảo luận khi nộp bài, rồi phối hợp khai thác để leo thang đặc quyền lên quản trị viên. PKP đã phát hành bản vá trong OJS 3.3.0.18.

Cả hai trường hợp trên đều xuất phát từ tài khoản quyền hạn thấp (biên tập viên, tác giả), không phải quản trị viên — cho thấy phân quyền chặt chẽ vẫn không đủ nếu phần mềm không được cập nhật bản vá kịp thời.

Hậu quả tài chính của việc chậm vá lỗi không chỉ là rủi ro lý thuyết. Theo Cost of a Data Breach Report 2024 của IBM, chi phí trung bình toàn cầu cho một vụ vi phạm dữ liệu đã đạt mức kỷ lục 4,88 triệu USD, tăng 10% so với năm 2023. Riêng khối giáo dục đại học, báo cáo State of Ransomware in Education 2024 của Sophos ghi nhận chi phí khôi phục trung bình sau một cuộc tấn công ransomware lên tới 4,02 triệu USD trong năm 2024 — gần gấp 4 lần mức 1,06 triệu USD của năm 2023.

Tạp chí Việt Nam tự host OJS quy mô nhỏ khó gánh mức thiệt hại tương đương, nhưng hai con số trên cho thấy xu hướng chung: chi phí một sự cố bảo mật luôn cao hơn nhiều lần chi phí phòng ngừa. Việc cập nhật bản vá ngay khi PKP công bố CVE mới là biện pháp phòng ngừa rẻ nhất, và cũng là lý do khoản "nhân sự IT giám sát" trong bài chi phí triển khai phần mềm quản lý tạp chí: SaaS hay tự host OJS không phải khoản có thể cắt giảm.

Các nguyên tắc bảo mật cơ bản cho hệ thống quản lý tạp chí ​

Nguyên tắcMô tảMức độ ưu tiên
Sao lưu tự động định kỳBackup dữ liệu hằng ngày, lưu ở vị trí tách biệt server chínhBắt buộc
Mã hóa dữ liệu truyền tảiDùng HTTPS/SSL cho toàn bộ website tạp chíBắt buộc
Phân quyền theo vai tròChỉ cấp quyền truy cập đúng phạm vi công việc (biên tập viên, phản biện, tác giả)Bắt buộc
Xác thực hai lớp (2FA)Bảo vệ tài khoản quản trị, tổng biên tập khỏi bị chiếm quyềnKhuyến nghị cao
Cập nhật bản vá bảo mậtVá lỗ hổng phần mềm ngay khi nhà phát triển công bốBắt buộc
Nhật ký truy cập (audit log)Ghi lại ai thao tác gì, khi nào, để truy vết khi có sự cốKhuyến nghị cao

Sao lưu dữ liệu đúng cách: quy tắc 3-2-1 cho tòa soạn ​

Sao lưu dữ liệu đúng cách nên tuân theo quy tắc 3-2-1: giữ ít nhất 3 bản sao dữ liệu, lưu trên 2 loại phương tiện lưu trữ khác nhau, và 1 bản sao đặt ở vị trí địa lý tách biệt hoàn toàn với server chính.

Với tòa soạn tự host OJS, việc thiết lập cơ chế này đòi hỏi kiến thức kỹ thuật và giám sát định kỳ — nếu không có cán bộ IT chuyên trách, quy trình sao lưu rất dễ bị bỏ quên sau vài tháng vận hành. Ngược lại, các nền tảng SaaS như VOJS thực hiện sao lưu tự động theo lịch trình cố định như một phần của dịch vụ, tòa soạn không cần tự cấu hình hay giám sát thủ công.

Ngoài sao lưu dữ liệu, tòa soạn cũng nên kiểm tra định kỳ khả năng khôi phục (restore test) — một bản sao lưu chỉ có giá trị khi đã được xác minh có thể phục hồi thành công khi cần.

Quy tắc 3-2-1 càng quan trọng với file bảo quản độ phân giải cao (TIFF gốc) sinh ra từ các dự án số hóa kho số cũ — sai lầm phổ biến là chỉ giữ bản PDF nén để phát hành rồi xóa file gốc cho nhẹ ổ đĩa, khiến việc nâng cấp mức số hóa về sau phải quét lại từ đầu. Quy trình số hóa hồi tố và cách tổ chức lưu trữ file gốc đúng cách được phân tích tại bài Số hóa số cũ và gán DOI hồi tố cho tạp chí khoa học.

Bảo mật dữ liệu phản biện và ẩn danh trong quy trình peer review ​

Bảo mật dữ liệu trong giai đoạn phản biện đặc biệt nhạy cảm vì liên quan đến tính ẩn danh giữa tác giả và phản biện viên. Hệ thống quản lý tạp chí cần đảm bảo thông tin danh tính phản biện viên không bị lộ cho tác giả trong mô hình phản biện kín hai chiều (double-blind peer review), đồng thời lưu trữ đầy đủ lịch sử nhận xét để phục vụ tra soát khi có khiếu nại.

Việc rò rỉ nhận xét phản biện hoặc bản thảo trước khi xuất bản không chỉ vi phạm đạo đức xuất bản mà còn có thể khiến tạp chí bị các cơ sở dữ liệu như Scopus, DOAJ đưa vào diện giám sát uy tín.

Chọn phần mềm có sẵn cơ chế bảo mật thay vì tự xây dựng từ đầu ​

Với các tòa soạn không có đội ngũ an ninh mạng chuyên trách, giải pháp thực tế nhất là chọn nền tảng quản lý tạp chí đã tích hợp sẵn cơ chế bảo mật và sao lưu tự động thay vì tự xây dựng quy trình từ đầu trên hạ tầng tự host. Đây cũng là một trong những tiêu chí quan trọng khi tham khảo 10 tiêu chí chọn phần mềm quản lý tạp chí khoa học.

Việc phân quyền rõ ràng giữa tổng biên tập, biên tập viên, phản biện và tác giả cũng là một lớp bảo mật quan trọng, giúp giới hạn thiệt hại nếu một tài khoản bị xâm nhập.

Checklist bảo mật và sao lưu áp dụng ngay cho tòa soạn ​

  1. Kiểm tra phiên bản OJS hiện tại — nếu thấp hơn 3.3.0.21 (nhánh 3.3.x) hoặc 3.4.0.8 (nhánh 3.4.x), nâng cấp ngay để vá CVE-2024-56525
  2. Xác nhận lịch sao lưu tự động đang chạy thật — yêu cầu cán bộ IT xuất log sao lưu 7 ngày gần nhất, không chỉ tin vào cấu hình đã thiết lập từ trước
  3. Thực hiện một lần khôi phục thử (restore test) trên môi trường tách biệt để xác nhận bản sao lưu thực sự dùng được khi cần
  4. Bật xác thực hai lớp (2FA) cho tài khoản Tổng biên tập và quản trị hệ thống
  5. Rà soát phân quyền: đảm bảo vai trò Biên tập viên và Tác giả không có quyền truy cập chức năng quản trị ngoài phạm vi công việc
  6. Lập danh sách liên hệ khẩn cấp (đơn vị host, cán bộ IT, nhà cung cấp phần mềm) để phản ứng trong 24 giờ đầu nếu phát hiện sự cố

Câu hỏi thường gặp ​

Tạp chí nhỏ có cần đầu tư bảo mật dữ liệu bài bản không? Có. Quy mô tạp chí không ảnh hưởng đến rủi ro mất dữ liệu — một tạp chí nhỏ vẫn có thể bị tấn công tự động hoặc gặp lỗi server, và hậu quả mất toàn bộ kho bài báo là như nhau bất kể quy mô.

Sao lưu dữ liệu bao lâu một lần là đủ? Tối thiểu nên sao lưu hằng ngày với hệ thống có phát sinh bài nộp và phản biện thường xuyên. Với tạp chí xuất bản định kỳ ít, có thể sao lưu theo tuần nhưng phải kiểm tra khả năng khôi phục định kỳ.

Dùng OJS tự host thì ai chịu trách nhiệm nếu mất dữ liệu? Với mô hình tự host, tòa soạn tự chịu trách nhiệm toàn bộ về sao lưu và bảo mật, không có bên thứ ba đảm bảo phục hồi dữ liệu nếu xảy ra sự cố.

VOJS xử lý bảo mật và sao lưu dữ liệu như thế nào? VOJS thực hiện sao lưu định kỳ tự động và áp dụng các lớp bảo mật tiêu chuẩn (mã hóa truyền tải, phân quyền theo vai trò) như một phần của dịch vụ; tòa soạn có thể liên hệ trực tiếp để tìm hiểu chi tiết cấu hình phù hợp với quy mô của mình.

Làm sao biết hệ thống hiện tại của tạp chí có đang được sao lưu hay không? Cách đơn giản nhất là yêu cầu đơn vị vận hành kỹ thuật cung cấp bằng chứng bản sao lưu gần nhất và thực hiện một lần khôi phục thử nghiệm trên môi trường tách biệt.

Làm sao biết tạp chí đang dùng phiên bản OJS có lỗ hổng bảo mật nghiêm trọng hay không? Kiểm tra số phiên bản OJS ở trang quản trị hệ thống (Administration → System Information). Nếu thấp hơn 3.3.0.21 (nhánh 3.3.x) hoặc 3.4.0.8 (nhánh 3.4.x), hệ thống đang tồn tại lỗ hổng CVE-2024-56525 đã được PKP công bố và cần nâng cấp ngay, không chờ đến kỳ bảo trì định kỳ.

Tóm tắt ​

  • Dữ liệu tạp chí khoa học gồm bài báo, bản thảo chưa công bố và nhận xét phản biện — mất dữ liệu ảnh hưởng trực tiếp đến uy tín học thuật.
  • Rủi ro phổ biến: lỗi phần cứng, tấn công mạng, mật khẩu yếu, thao tác nhầm và mất quy trình khi nhân sự IT thay đổi.
  • OJS được hơn 44.000 tạp chí tại 148 quốc gia sử dụng (PKP, 2026) — mức độ phổ biến này vừa là ưu điểm vừa là lý do OJS bị dò quét lỗ hổng tự động nếu chậm vá lỗi.
  • Các lỗ hổng thực tế đã ghi nhận: CVE-2024-56525 (CVSS 9,8) và chuỗi CVE-2024-25434/25436/25438 — đều xuất phát từ tài khoản quyền hạn thấp, không phải quản trị viên.
  • Chi phí trung bình một vụ vi phạm dữ liệu toàn cầu đạt 4,88 triệu USD (IBM, 2024); riêng khối giáo dục đại học, chi phí khôi phục sau ransomware đạt 4,02 triệu USD (Sophos, 2024).
  • Áp dụng quy tắc sao lưu 3-2-1, kiểm tra khả năng khôi phục định kỳ, và ưu tiên nền tảng có sẵn cơ chế bảo mật, tự động vá lỗi thay vì tự xây dựng từ đầu.

Nguồn tham khảo: Public Knowledge Project (PKP) — thống kê sử dụng OJS; GitHub Advisory Database — CVE-2024-56525, CVE-2024-25434/25436/25438; IBM, Cost of a Data Breach Report 2024; Sophos, State of Ransomware in Education 2024; kinh nghiệm triển khai thực tế của đội ngũ VOJS, Metis JSC.

Bài viết liên quan ​

Cập nhật gần nhất:

Sản phẩm của Công ty Cổ phần Metis.

Copyright © 2020-PRESENT Metis., Jsc