Giữa tháng 9/2026, trên diễn đàn IFSQN — diễn đàn mở của người làm QA và sản xuất thực phẩm, hơn 70.000 thành viên — có một câu hỏi làm nhiều người phải ngồi lại:

Nếu toàn bộ hệ thống số của nhà máy chết 48 giờ, các biện pháp kiểm soát an toàn thực phẩm của anh chị còn chạy được không?

Câu trả lời trung thực nhất trong chủ đề đó đến từ một nhà máy đã diễn tập: họ cần khoảng 48 giờ mới về lại sản xuất đầy đủ. Một nhà máy chế biến dạng lỏng nói gọn hơn: mất mạng văn phòng thì vẫn chạy nốt mẻ, mất mạng điều khiển sản xuất thì chết đứng.

Tôi đọc hai chủ đề này (15/09 và 17/09/2026) với cảm giác quen thuộc. Gần 20 năm đi nhà máy, tôi thấy nhà máy Việt Nam đang số hoá nhanh hơn tốc độ họ chuẩn bị cho ngày số hoá ngừng chạy.

Diễn đàn đang chia làm mấy phe

Tóm lại bằng lời của tôi, không chép:

Phe thứ nhất cho rằng chuyện này không thuộc kế hoạch HACCP. Nó thuộc đánh giá phòng vệ thực phẩm (food defence), kế hoạch xử lý khủng hoảng và kế hoạch kinh doanh liên tục. Nhưng chính họ cũng thừa nhận: nếu “chế độ tay” khác nhiều so với bình thường — ví dụ nồi nấu tự động chuyển sang chỉnh tay — thì có lẽ phải đưa nó qua phân tích mối nguy.

Phe thứ hai nói chuyển hồ sơ điện tử sang giấy là việc nhỏ. Chuyển điều khiển quá trình từ tự động sang tay mới là việc lớn. Và thứ làm nhà máy dừng nhiều khi không phải an toàn thực phẩm, mà là không đặt được nguyên liệu, không xuất được hoá đơn.

Phe thứ ba khó chịu vì rủi ro mạng rốt cuộc đổ lên đầu phòng QA — chỉ vì QA là bộ phận bị đánh giá theo chuẩn GFSI.

Có một chi tiết tôi đánh giá cao: một công ty nhiều nhà máy kể họ in sẵn biểu mẫu giấy, cất trong bìa hồ sơ. Lý do đơn giản đến mức dễ quên — khi máy chủ bị khoá thì không in được gì từ máy chủ. Và ngay khi gõ câu trả lời, họ tự phát hiện mình chưa có bộ nhãn in sẵn.

Luật và tiêu chuẩn thực sự nói gì

Diễn đàn chỉ cho biết người trong nghề đang vướng gì. Câu trả lời phải lấy từ văn bản.

FDA không quan tâm hồ sơ là giấy hay điện tử. Theo 21 CFR 117.305, hồ sơ được là bản gốc, bản sao trung thực hoặc hồ sơ điện tử — giấy ghi tay hợp lệ ngang hàng. Nhưng hồ sơ phải chứa giá trị thực đo, không tẩy xoá được, có ngày giờ, chữ ký người thực hiện, mã lô khi phù hợp. Và quan trọng nhất: phải được lập đồng thời với việc được ghi.

Nghĩa là: sập hệ thống không phải lý do để thiếu hồ sơ. Ghi bù từ trí nhớ sau khi hệ thống chạy lại không phải hồ sơ hợp lệ.

Hồ sơ phải xuất trình được. Điều 117.315 cho phép lưu hồ sơ ngoài cơ sở nếu lấy về được trong 24 giờ, và hồ sơ điện tử được coi là “tại cơ sở” khi truy cập được từ cơ sở. Điều tôi rút ra — đây là cách hiểu của tôi, không phải câu chữ của FDA: khi mã độc khoá máy chủ, hồ sơ điện tử không còn truy cập được, và nhà máy có thể không đáp ứng được yêu cầu xuất trình.

Riêng nhà máy nước quả xuất Mỹ có một điểm phải biết. Hồ sơ theo Part 117 được miễn Part 11 (quy định về hồ sơ và chữ ký điện tử). Hồ sơ HACCP nước quả theo 21 CFR 120.12 thì không được miễn: muốn lưu bằng máy tính phải đáp ứng Part 11. Hồ sơ giấy thì không vướng chuyện này.

Codex nói rõ cái giá của việc mất giám sát liên tục. Nguyên tắc chung về vệ sinh thực phẩm CXC 1-1969 (ấn bản 2023) viết rằng giám sát CCP nên liên tục khi có thể; khi giám sát không liên tục mà xảy ra sai lệch, doanh nghiệp phải xác định sản phẩm nào có thể bị ảnh hưởng, cách ly và đánh giá trước khi quyết định xử lý.

Đặt cạnh nhau: khi hệ thống ghi nhiệt tự động chết, CCP “liên tục” biến thành CCP “gián đoạn”. Mọi lô nằm giữa lần đo chắc chắn cuối cùng và lần đo tay đầu tiên rơi vào vùng phải đánh giá. FDA (21 CFR 117.150) gọi đúng tình huống này: hồ sơ cho thấy hoạt động chưa hoàn tất thì phải hành động khắc phục và đánh giá toàn bộ thực phẩm bị ảnh hưởng.

Chứng nhận và luật Việt Nam. BRCGS yêu cầu quy trình quản lý sự cố phải xem xét kế hoạch dự phòng, và từ Issue 8 đã nêu sự cố an ninh mạng như một ví dụ; quy trình sự cố phải được thử ít nhất mỗi năm. ISO 22000:2018 có điều 8.4 về chuẩn bị và ứng phó tình huống khẩn cấp. Ở Việt Nam, từ 01/07/2026, Luật An ninh mạng 116/2025/QH15 thay luật 2018, đặt nghĩa vụ cho chủ quản hệ thống thông tin: quản lý rủi ro, sao lưu, ứng phó và báo cáo sự cố. Nhưng luật này không nói gì về CCP. Khoảng trống đó nhà máy phải tự lấp.

Chuyện có thật, không phải kịch bản. FBI ra cảnh báo riêng cho ngành thực phẩm và nông nghiệp ngày 01/09/2021: một công ty bánh mì Mỹ dừng sản xuất và giao hàng khoảng một tuần; một nhà chế biến thịt dừng vài ngày, giá thịt bán buôn tăng tới 25%. Cùng cảnh báo đó dẫn các nghiên cứu cho thấy 50–80% nạn nhân đã trả tiền chuộc bị tấn công lại. JBS khôi phục được phần lớn hệ thống mà vẫn trả khoảng 11 triệu USD. Dole năm 2023 đóng các nhà máy Bắc Mỹ và giữ toàn bộ lô hàng.

Quan điểm của tôi: nhà máy Việt Nam sai ở ba chỗ

Một — bỏ sổ giấy ngay khi lắp phần mềm. Ngay cả sách thiết kế nhà máy (Handbook of Food Factory Design, 2013) cũng lấy ví dụ một nhà máy gộp toàn bộ hồ sơ HACCP vào cơ sở dữ liệu và bỏ hẳn sổ tay giấy. Số hoá là đúng. Xoá luôn phương án giấy là sai. Hai việc đó không đi kèm nhau.

Hai — không ai hỏi nhà cung cấp tủ điều khiển về chế độ hỏng. Cùng cuốn sách đó viết rõ: chủ nhà máy phải cùng hãng hệ thống điều khiển thiết kế trước các chế độ hỏng hóc, để dây chuyền chạy ở công suất giảm rồi dừng mà mất ít bán thành phẩm nhất, và người vận hành phải được huấn luyện dùng phương tiện dự phòng. Ở các buổi nghiệm thu tôi tham gia, gần như không ai yêu cầu chạy thử dây chuyền ở chế độ tay. Người ta thử năng suất, thử tiêu hao. Không ai thử “nếu màn hình tắt thì sao”.

Ba — giao rủi ro mạng cho IT và coi như xong. Phòng IT lo sao lưu dữ liệu. Phòng IT không biết cụm thanh trùng cần giữ 90 °C bao nhiêu giây, không biết nhiệt kế tự ghi nào là CCP. Kế hoạch khôi phục do IT viết thường khôi phục máy chủ trước, khôi phục khả năng chứng minh lô hàng an toàn sau.

Tôi chọn phe rõ ràng: chế độ tay của CCP phải nằm trong kế hoạch HACCP, không chỉ trong kế hoạch khủng hoảng. Nếu cách anh chị giám sát một CCP thay đổi khi hệ thống chết — từ nhiệt kế tự ghi sang người đứng đọc mỗi 15 phút — thì đó là một quy trình giám sát khác, với tần suất khác, người chịu trách nhiệm khác. Nó phải được viết ra, được thẩm định, được diễn tập. Không được ứng biến.

Ngày mai nhà máy làm gì

Lập danh sách CCP phụ thuộc hệ thống số. Với mỗi CCP: hôm nay giám sát bằng gì, nếu mất điện hoặc mất mạng thì đo bằng gì, ai đo, bao lâu một lần. CCP nào không có câu trả lời thì đó là lỗ hổng số một.
In sẵn bộ biểu mẫu giấy cho đúng các CCP đó, kèm nhãn lô in sẵn, cất trong bìa tại từng công đoạn. Kiểm tra mỗi quý xem biểu mẫu còn đúng phiên bản không.
Tách mạng điều khiển sản xuất khỏi mạng văn phòng và hỏi nhà cung cấp hệ thống: ai được truy cập từ xa, bằng cách nào, ai tắt được. Đây cũng là khuyến nghị trong cảnh báo của FBI.
Diễn tập một ca không hệ thống số mỗi năm — chạy chung với diễn tập thu hồi. Đo xem mất bao lâu để chứng minh được lô cuối cùng an toàn, không chỉ bao lâu để máy chạy lại.
Viết sẵn quy tắc cách ly lô: lô nào sản xuất trong khoảng mất giám sát thì giữ lại, ai quyết định thả, dựa trên dữ liệu gì.

Không việc nào trong năm việc trên cần mua phần mềm mới.

Câu hỏi để anh chị tự trả lời

Nếu sáng mai máy chủ của nhà máy bị khoá, trưởng ca của anh chị có biết cầm tờ giấy nào, đi tới nhiệt kế nào, ghi vào ô nào — mà không phải gọi điện hỏi ai không?

Nếu câu trả lời là “chắc là biết”, thì đó chưa phải câu trả lời.

Những câu như “chế độ tay chạy thế nào, ai được truy cập từ xa” nên được hỏi trước khi ký hợp đồng, không phải sau khi có sự cố. Tôi tổng hợp 37 câu hỏi phải hỏi nhà cung cấp thiết bị trước khi ký — tải bản đầy đủ tại foodtech.paulnguyen.vn, hoặc nhắn Zalo 0938 613 408.

Đọc thêm: Nghiệm thu thiết bị trước khi thanh toán: phần tiền phải giữ tới sau SAT · HACCP và ISO 22000 khác nhau ở đâu — nhìn từ phía người ký séc · AI trong nhà máy thực phẩm: dùng ở đâu, chưa nên dùng ở đâu

Nguồn

IFSQN — How are you managing cyber risks to food safety and production?, chủ đề mở 15/09/2026 (8 phản hồi). https://www.ifsqn.com/forum/index.php/topic/50390-how-are-you-managing-cyber-risks-to-food-safety-and-production/
IFSQN — Could your food safety controls work through a 48-hour digital outage?, chủ đề mở 17/09/2026 (6 phản hồi). https://www.ifsqn.com/forum/index.php/topic/50397-could-your-food-safety-controls-work-through-a-48-hour-digital-outage/
FDA — 21 CFR Part 117, Subpart F (§117.305, §117.315, §117.320) và §117.150, bản eCFR cập nhật 02/10/2026. https://www.ecfr.gov/current/title-21/chapter-I/subchapter-B/part-117
FDA — 21 CFR §120.12, hồ sơ HACCP nước quả. https://www.ecfr.gov/current/title-21/chapter-I/subchapter-B/part-120
FAO/WHO Codex Alimentarius — General Principles of Food Hygiene CXC 1-1969, ấn bản 2023, mục 19.9–19.12. https://www.fao.org/3/cc6125en/cc6125en.pdf
FBI — Private Industry Notification 20210901-001, Cyber Criminal Actors Targeting the Food and Agriculture Sector with Ransomware Attacks, 01/09/2021. https://www.ic3.gov/CSA/2021/210907.pdf
CNBC — JBS paid $11 million to resolve ransomware attack, 09/06/2021. https://www.cnbc.com/2021/06/09/jbs-paid-11-million-in-response-to-ransomware-attack-.html
The Register — Dole ransomware attack, 23/02/2023. https://www.theregister.com/2023/02/23/dole_ransomware_attack
BRCGS — Global Standard Food Safety Issue 9 (điều 3.11, quản lý sự cố); thông báo tham vấn công khai chuẩn bị Issue 10, 09/01/2026. https://www.brcgs.com/about-brcgs/news/2026/public-consultation-food-safety-issue-9/
ISO 22000:2018, điều 8.4 — Chuẩn bị và ứng phó tình huống khẩn cấp.
Quốc hội Việt Nam — Luật An ninh mạng số 116/2025/QH15, thông qua 10/12/2025, hiệu lực 01/07/2026 (Điều 10, 18, 40, 44).
McFarlane, I. — chương 9 Control and Monitoring of Food-Manufacturing Processes, trong Baker, C.G.J. (chủ biên), Handbook of Food Factory Design, Springer, 2013, tr. 238–247.