Hồ sơ đề xuất cấp độ An toàn Thông tin – Nền tảng bảo vệ hệ thống và quản trị rủi ro hiệu quả

Trong bối cảnh chuyển đổi số diễn ra mạnh mẽ, hệ thống thông tin đang trở thành một phần không thể thiếu trong hoạt động của các tổ chức và doanh nghiệp. Tuy nhiên, cùng với sự phát triển của công nghệ là hàng loạt nguy cơ liên quan đến tấn công mạng, mã độc, rò rỉ dữ liệu và lỗ hổng bảo mật. Vì vậy, việc xây dựng hồ sơ đề xuất cấp độ An toàn Thông tin đóng vai trò quan trọng trong việc xác định mức độ bảo vệ cần thiết cho từng hệ thống, đồng thời giúp tổ chức chủ động kiểm soát rủi ro và đáp ứng các yêu cầu pháp luật hiện hành.​

Hồ sơ cấp độ an toàn thông tin là gì?​

Hồ sơ cấp độ an toàn thông tin là bộ tài liệu trình bày những đặc điểm, phạm vi, quy mô và mức độ quan trọng của một hệ thống thông tin, đồng thời đề xuất cấp độ bảo vệ phù hợp theo quy định. Đây là cơ sở để tổ chức xác định các yêu cầu cần thiết nhằm bảo vệ hệ thống trước những nguy cơ có thể ảnh hưởng đến dữ liệu, hoạt động vận hành và quyền lợi của người sử dụng.

Việc xây dựng hồ sơ được thực hiện dựa trên các quy định pháp luật hiện hành, trong đó có Nghị định 85/2016/NĐ-CP của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ.

Mục đích của hồ sơ:​

• Xác định cấp độ an toàn thông tin phù hợp với hệ thống.
• Làm cơ sở chứng minh việc tuân thủ các quy định pháp luật về an toàn thông tin.
• Xác định những biện pháp kỹ thuật, quản lý và tổ chức cần triển khai để bảo vệ hệ thống.
• Hỗ trợ doanh nghiệp chủ động nhận diện, đánh giá và kiểm soát các rủi ro an toàn thông tin.

Trong thực tế, hồ sơ an toàn thông tin cấp độ 2 và cấp độ 3 thường được nhiều doanh nghiệp, đơn vị cung cấp dịch vụ công nghệ và các tổ chức có hệ thống xử lý dữ liệu quan tâm.

Căn cứ pháp lý và văn bản luật có liên quan​

Việc xây dựng hồ sơ đề xuất cấp độ An toàn Thông tin cần dựa trên các văn bản pháp luật và tiêu chuẩn có liên quan, bao gồm:

• Luật An toàn thông tin mạng số 86/2015/QH13.
• Nghị định số 85/2016/NĐ-CP ngày 01/07/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ.
• Thông tư số 12/2022/TT-BTTTT ngày 12/08/2022 của Bộ Thông tin và Truyền thông về quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP.
• Tiêu chuẩn quốc gia TCVN 11930:2017 về Công nghệ thông tin – các kỹ thuật an toàn – yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ.

Bối cảnh ra đời hồ sơ mô tả cấp độ an toàn thông tin​

Sự phát triển nhanh chóng của công nghệ và quá trình chuyển đổi số đã khiến lượng dữ liệu được tạo lập, lưu trữ và trao đổi ngày càng lớn. Hệ thống thông tin không chỉ hỗ trợ hoạt động nội bộ mà còn trực tiếp tham gia vào quá trình cung cấp sản phẩm, dịch vụ và kết nối với khách hàng, đối tác.

Điều này đồng nghĩa với việc các tổ chức phải đối mặt với nhiều nguy cơ hơn như tấn công mạng, mã độc, truy cập trái phép, mất dữ liệu hoặc gián đoạn hệ thống. Một sự cố nghiêm trọng có thể gây thiệt hại về tài chính, ảnh hưởng đến hoạt động kinh doanh và làm suy giảm uy tín của doanh nghiệp.

Trong bối cảnh đó, hồ sơ đề xuất cấp độ An toàn Thông tin trở thành cơ sở quan trọng giúp tổ chức xác định mức độ quan trọng của hệ thống, đánh giá tác động khi xảy ra sự cố và lựa chọn phương án bảo vệ phù hợp. Việc xây dựng hồ sơ bài bản cũng góp phần giúp doanh nghiệp nâng cao khả năng quản trị, chủ động phòng ngừa rủi ro và đáp ứng yêu cầu pháp luật.

Theo định hướng về bảo đảm an toàn, an ninh mạng quốc gia, các chủ quản hệ thống thông tin cần xác định cấp độ, trách nhiệm bảo vệ tương ứng và triển khai các biện pháp bảo vệ phù hợp trước khi đưa hệ thống vào khai thác, sử dụng.

Mục đích của Hồ sơ đề xuất cấp độ An toàn Thông tin​

Xác định đúng cấp độ an toàn thông tin giúp tổ chức có cơ sở để xây dựng kế hoạch bảo vệ phù hợp với đặc điểm và mức độ quan trọng của hệ thống. Những mục tiêu chính bao gồm:

• Xây dựng phương án bảo đảm an toàn thông tin.
• Lập kế hoạch đầu tư và triển khai các biện pháp kỹ thuật, quản lý.
• Phục vụ quá trình thẩm định và phê duyệt của cơ quan có thẩm quyền.
• Đáp ứng các yêu cầu tuân thủ pháp luật về an toàn thông tin.
• Nâng cao khả năng phòng ngừa, phát hiện và ứng phó với sự cố.

5 cấp độ an toàn thông tin theo quy định của pháp luật Việt Nam​

Hệ thống thông tin được xem xét và phân loại theo 5 cấp độ dựa trên mức độ ảnh hưởng cũng như hậu quả có thể xảy ra khi hệ thống bị tấn công hoặc gặp sự cố.

Cấp độ 1 – Mức ảnh hưởng thấp​

Cấp độ 1 thường áp dụng cho các hệ thống có phạm vi và mức độ ảnh hưởng tương đối hạn chế. Khi xảy ra sự cố, hoạt động của tổ chức có thể bị gián đoạn nhưng mức độ thiệt hại không lớn.

Cấp độ 2 – Mức ảnh hưởng trung bình​

Cấp độ 2 dành cho những hệ thống phục vụ hoạt động thường xuyên của tổ chức. Sự cố có thể ảnh hưởng đến một phần hoạt động hoặc dữ liệu nhưng chưa tạo ra hậu quả nghiêm trọng trên diện rộng.

Cấp độ 3 – Mức ảnh hưởng nghiêm trọng​

Cấp độ 3 áp dụng đối với những hệ thống có vai trò quan trọng. Nếu xảy ra sự cố, hệ thống có thể bị gián đoạn đáng kể và gây ảnh hưởng đến nhiều người dùng hoặc hoạt động của tổ chức.

Cấp độ 4 – Mức ảnh hưởng rất nghiêm trọng​

Cấp độ 4 dành cho những hệ thống thông tin có vai trò trọng yếu. Sự cố có thể gây thiệt hại lớn về kinh tế, xã hội hoặc ảnh hưởng nghiêm trọng đến hoạt động của cơ quan, tổ chức.

Cấp độ 5 – Mức ảnh hưởng đặc biệt nghiêm trọng​

Đây là cấp độ cao nhất, áp dụng đối với những hệ thống thông tin đặc biệt quan trọng. Nếu xảy ra sự cố, hậu quả có thể tác động nghiêm trọng đến an ninh quốc gia, trật tự an toàn xã hội hoặc gây thiệt hại rất lớn trên phạm vi rộng.

Các thành phần cấu thành hồ sơ đề xuất cấp độ​

Một bộ hồ sơ đề xuất cấp độ an toàn thông tin cần được chuẩn bị đầy đủ các tài liệu cần thiết, phản ánh rõ đặc điểm của hệ thống cũng như phương án bảo vệ tương ứng.

Văn bản đề nghị hoặc đề xuất xác định cấp độ ATTT​

Đây là tài liệu quan trọng do đơn vị sở hữu hoặc quản lý hệ thống thông tin lập và gửi đến cơ quan có thẩm quyền.

Nội dung văn bản cần thể hiện:

• Tên đầy đủ của hệ thống thông tin.
• Thông tin về đơn vị chủ quản và đơn vị vận hành.
• Thông tin đầu mối phụ trách hệ thống.
• Cấp độ an toàn thông tin đề xuất.
• Căn cứ pháp lý và lý do lựa chọn cấp độ.

Văn bản cần được lập đúng biểu mẫu và bảo đảm đầy đủ chữ ký, con dấu theo yêu cầu.

Tài liệu mô tả hệ thống thông tin​

Tài liệu mô tả hệ thống cung cấp cái nhìn tổng quan về kiến trúc, hạ tầng và phương thức vận hành. Nội dung thường bao gồm:

• Mô hình kiến trúc tổng thể.
• Hạ tầng phần cứng như máy chủ, thiết bị mạng, hệ thống lưu trữ.
• Các thành phần phần mềm, hệ điều hành, ứng dụng và cơ sở dữ liệu.
• Loại dữ liệu được xử lý và quy mô dữ liệu.
• Phương thức kết nối giữa hệ thống nội bộ với các hệ thống bên ngoài.

Ngoài ra, cần làm rõ vị trí triển khai, công nghệ sử dụng, quy trình vận hành và bảo trì để có cơ sở đánh giá mức độ phức tạp của hệ thống.

Báo cáo đánh giá hiện trạng an toàn thông tin​

Báo cáo đánh giá hiện trạng phản ánh mức độ bảo vệ thực tế của hệ thống thông tin, đồng thời chỉ ra những điểm mạnh, hạn chế và nguy cơ còn tồn tại.

Nội dung đánh giá có thể tập trung vào:

• Các biện pháp bảo vệ đã triển khai.
• Cơ chế phân quyền và kiểm soát truy cập.
• Phương thức mã hóa và sao lưu dữ liệu.
• Những lỗ hổng hoặc điểm yếu về kỹ thuật.
• Những hạn chế trong công tác quản lý và vận hành.

Việc đánh giá thường dựa trên ba yếu tố cốt lõi của an toàn thông tin:

• Tính bí mật: bảo đảm thông tin chỉ được truy cập bởi những đối tượng được cấp quyền.
• Tính toàn vẹn: bảo vệ dữ liệu khỏi việc thay đổi, chỉnh sửa hoặc xóa trái phép.
• Tính sẵn sàng: bảo đảm hệ thống có thể hoạt động ổn định khi người dùng cần truy cập.

Phương án bảo đảm an toàn thông tin​

Phương án bảo đảm an toàn thông tin xác định các giải pháp cần triển khai để bảo vệ hệ thống trước những nguy cơ đã được nhận diện.

Các nhóm giải pháp thường bao gồm:

• Biện pháp kỹ thuật: tường lửa, IDS/IPS, mã hóa dữ liệu, phân tách mạng và xác thực đa yếu tố.
• Biện pháp quản lý: xây dựng chính sách, quy trình, quy định nội bộ và phân công trách nhiệm.
• Biện pháp tổ chức: đào tạo nhân sự, xây dựng quy trình xử lý sự cố và kế hoạch khôi phục sau thảm họa.

Các giải pháp cần được lựa chọn phù hợp với cấp độ của hệ thống và mức độ rủi ro thực tế.

Tài liệu kỹ thuật và sơ đồ hệ thống​

Nhóm tài liệu kỹ thuật giúp mô tả chi tiết cách hệ thống được xây dựng và vận hành. Thông thường bao gồm:

• Sơ đồ mạng và các vùng mạng.
• Kết nối giữa hệ thống nội bộ với Internet.
• Lưu đồ xử lý dữ liệu.
• Mô hình phân quyền người dùng.
• Danh mục thiết bị và phần mềm.
• Thông tin cấu hình kỹ thuật và phiên bản của các thành phần.

Những tài liệu này giúp quá trình đánh giá có cơ sở cụ thể hơn và hỗ trợ xác định tính phù hợp của các biện pháp bảo vệ.

Tài liệu chứng minh tuân thủ pháp luật về ATTT​

Doanh nghiệp cần chuẩn bị các tài liệu và bằng chứng thể hiện việc tuân thủ các yêu cầu pháp luật cũng như tiêu chuẩn liên quan đến an toàn thông tin, chẳng hạn:

• Giấy phép hoạt động CNTT nếu có.
• Các chứng chỉ hoặc tiêu chuẩn bảo mật đã đạt được.
• Biên bản đánh giá nội bộ.
• Báo cáo kiểm toán bảo mật.
• Tài liệu đào tạo nhân sự.
• Hợp đồng với các đơn vị cung cấp dịch vụ bảo mật.

Bên cạnh những tiêu chuẩn chuyên sâu về an toàn thông tin, chứng nhận ISO cũng được nhiều doanh nghiệp quan tâm nhằm chuẩn hóa hệ thống quản lý và nâng cao hiệu quả kiểm soát nội bộ. Trong đó, chứng nhận ISO 9001 là một lựa chọn phổ biến giúp doanh nghiệp xây dựng hệ thống quản lý chất lượng, chuẩn hóa quy trình và duy trì tính nhất quán trong hoạt động.

Quy trình 8 bước xây dựng hồ sơ đề xuất cấp độ An toàn Thông tin​

Để xây dựng một bộ hồ sơ đầy đủ và hạn chế sai sót trong quá trình thẩm định, doanh nghiệp có thể triển khai theo các bước cơ bản sau:

Bước 1: Khảo sát hiện trạng và thu thập thông tin hệ thống​

Trước tiên, tổ chức cần rà soát toàn bộ hệ thống thông tin để thu thập các dữ liệu cần thiết. Nội dung khảo sát gồm kiến trúc hạ tầng, phần mềm, dữ liệu xử lý, vị trí máy chủ, kết nối mạng và phương thức tích hợp với các hệ thống bên ngoài.

Bước 2: Phân loại và xác định cấp độ hệ thống thông tin​

Dựa trên mục đích sử dụng, loại dữ liệu và mức độ ảnh hưởng khi xảy ra sự cố, tổ chức tiến hành xác định cấp độ phù hợp cho hệ thống theo quy định.

Bước 3: Phân tích rủi ro và đánh giá mức độ an toàn​

Doanh nghiệp cần nhận diện các nguy cơ như tấn công mạng, mã độc, lỗi kỹ thuật, truy cập trái phép và mất dữ liệu. Đồng thời, đánh giá các lỗ hổng và khả năng đáp ứng của hệ thống đối với yêu cầu an toàn thông tin.

Bước 4: Lập báo cáo đề xuất cấp độ ATTT​

Các kết quả khảo sát và đánh giá được tổng hợp thành báo cáo đề xuất cấp độ. Báo cáo cần trình bày rõ thông tin hệ thống, cấp độ đề xuất và căn cứ lựa chọn.

Bước 5: Xây dựng phương án bảo đảm an toàn thông tin​

Trên cơ sở kết quả đánh giá, doanh nghiệp xây dựng phương án bảo vệ với các nhóm giải pháp về kỹ thuật, quản lý và nhân sự.

Bước 6: Hoàn thiện bộ hồ sơ đề xuất cấp độ​

Các tài liệu như văn bản đề xuất, báo cáo hiện trạng, phương án bảo đảm ATTT và phụ lục kỹ thuật được rà soát, thống nhất và hoàn thiện thành một bộ hồ sơ đầy đủ.

Bước 7: Trình hồ sơ thẩm định và phê duyệt​

Sau khi hoàn thiện, hồ sơ được gửi đến cơ quan có thẩm quyền để tiến hành thẩm định và phê duyệt theo quy định.

Bước 8: Triển khai biện pháp bảo vệ và rà soát định kỳ​

Sau khi hồ sơ được phê duyệt, tổ chức triển khai các biện pháp bảo vệ theo phương án đã xây dựng. Việc kiểm tra, đánh giá và rà soát định kỳ cũng cần được duy trì để kịp thời phát hiện những thay đổi hoặc rủi ro mới.

Kết luận​

Hồ sơ đề xuất cấp độ An toàn Thông tin là nền tảng quan trọng giúp tổ chức xác định mức độ quan trọng của hệ thống, đánh giá nguy cơ và xây dựng phương án bảo vệ phù hợp. Một bộ hồ sơ được chuẩn bị đầy đủ, chính xác và đúng quy định không chỉ hỗ trợ quá trình thẩm định mà còn giúp doanh nghiệp nâng cao năng lực quản trị, kiểm soát rủi ro và bảo vệ hiệu quả tài sản thông tin.

Bên cạnh việc xây dựng hồ sơ cấp độ, doanh nghiệp cũng có thể kết hợp triển khai các tiêu chuẩn quản lý phù hợp để nâng cao chất lượng vận hành. Trong đó, chứng nhận ISO và đặc biệt là chứng nhận ISO 9001 có thể trở thành nền tảng hỗ trợ doanh nghiệp chuẩn hóa quy trình, nâng cao hiệu quả quản lý và xây dựng hệ thống vận hành nhất quán. Đây là những bước đi cần thiết để tổ chức từng bước nâng cao năng lực quản trị và thích ứng tốt hơn với các yêu cầu ngày càng cao của môi trường số.