Tự đánh giá mức độ an toàn thông tin trước khi lập hồ sơ cấp độ giúp doanh nghiệp biết mình đã có đủ đầu vào hay chưa: phạm vi hệ thống, dữ liệu đang xử lý, tài khoản và quyền truy cập, backup, log, bằng chứng vận hành và các điểm cần khắc phục. Đây là bước chuẩn bị, không thay thế việc xác định cấp độ, lập hồ sơ, thẩm định hoặc phê duyệt theo quy định áp dụng.
Nhiều doanh nghiệp chỉ bắt đầu chuẩn bị hồ sơ khi có yêu cầu từ khách hàng, đối tác, cơ quan quản lý hoặc khi sắp đưa hệ thống vào vận hành. Khó khăn thường không nằm ở việc thiếu mẫu biểu, mà ở chỗ chưa biết chính xác hệ thống gồm những gì, dữ liệu nằm ở đâu, ai có quyền quản trị, backup có khôi phục được không và nếu xảy ra sự cố thì ảnh hưởng đến ai.
Bài viết này hướng dẫn 5 bước tự rà soát để doanh nghiệp biết đã đủ dữ liệu để đề xuất cấp độ sơ bộ hay chưa, còn thiếu tài liệu gì và hạng mục nào nên được xử lý trước. Nếu cần đi sâu vào việc phân loại hệ thống, xem thêm hướng dẫn xác định cấp độ an toàn thông tin.
Căn cứ và giới hạn cần hiểu trước khi tự đánh giá
Nghị định 85/2016/NĐ-CP quy định về bảo đảm an toàn hệ thống thông tin theo cấp độ. Thông tư 12/2022/TT-BTTTT hướng dẫn chi tiết thêm về xác định hệ thống, thuyết minh cấp độ, yêu cầu bảo đảm an toàn thông tin, kiểm tra và báo cáo. Tại thời điểm rà soát ngày 18/08/2026, cổng văn bản của Bộ Khoa học và Công nghệ vẫn ghi hai văn bản này còn hiệu lực.
Một dự thảo sửa đổi Điều 9 Thông tư 12/2022/TT-BTTTT từng được lấy ý kiến từ 10/12/2024 đến 10/02/2025. Dự thảo không được dùng như căn cứ đã có hiệu lực nếu chưa có văn bản chính thức tương ứng.
Nếu hệ thống xử lý dữ liệu cá nhân, doanh nghiệp cần đối chiếu thêm một khung pháp lý riêng: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, đều có hiệu lực từ 01/01/2026. Hai văn bản này liên quan đến hoạt động xử lý và bảo vệ dữ liệu cá nhân nhưng không thay thế tiêu chí xác định cấp độ ATTT.
| Khung cần xem | Dùng để làm gì | Không nên hiểu thành |
|---|---|---|
| Nghị định 85/2016/NĐ-CP + Thông tư 12/2022/TT-BTTTT | Xác định, lập hồ sơ và bảo đảm ATTT theo cấp độ | Một thang điểm tự chấm nội bộ |
| Luật 91/2025/QH15 + Nghị định 356/2025/NĐ-CP | Đối chiếu nghĩa vụ khi xử lý và bảo vệ dữ liệu cá nhân | Công thức tự động quyết định cấp độ ATTT |
Bước 1 — Xác định phạm vi hệ thống
Bước đầu tiên là xác định ranh giới hệ thống. Một website có thể đi kèm hosting hoặc VPS, database, CMS, plugin, API, CDN, WAF, dịch vụ email, CRM và các tài khoản quản trị. Nếu chỉ nhìn phần giao diện bên ngoài, doanh nghiệp rất dễ bỏ sót thành phần quan trọng.
- Hệ thống cần đánh giá là website, app, phần mềm nội bộ, CRM, ERP hay một cụm nhiều thành phần?
- Hệ thống chạy trên hosting, VPS, cloud, server nội bộ hay dịch vụ thuê ngoài?
- Database, file upload và source code đang được lưu ở đâu?
- Có API hoặc dịch vụ bên thứ ba nào tham gia vào luồng xử lý?
- Ai là người dùng và ai đang giữ quyền quản trị cao nhất?
- Có tách môi trường dev, staging và production không?
- Source code, database và file có bản sao lưu không?
| Hạng mục | Thông tin nên ghi lại |
|---|---|
| Tên hệ thống | Website doanh nghiệp, cổng khách hàng, phần mềm nội bộ… |
| Thành phần kỹ thuật | Web server, database, CMS, plugin, API, CDN, WAF, email service |
| Tài khoản quản trị | Admin website, hosting, cloud, DNS, email quản trị |
| Dữ liệu xử lý | Thông tin liên hệ, tài khoản, đơn hàng, hồ sơ khách hàng, dữ liệu nội bộ |
| Kết nối bên ngoài | Cổng thanh toán, CRM, API đối tác, Google Workspace, SMTP |
| Đơn vị vận hành | Nội bộ IT, agency, nhà cung cấp hosting, đội phát triển phần mềm |
Đầu ra nên là một sơ đồ hoặc bảng mô tả hệ thống có thể kiểm tra lại. Tài liệu này sẽ hỗ trợ phần mô tả tổng quan trong hồ sơ đề xuất cấp độ.
Bước 2 — Phân loại dữ liệu và đánh giá tác động
Sau khi biết hệ thống gồm những gì, doanh nghiệp cần xác định nhóm dữ liệu đang được xử lý và hậu quả nếu dữ liệu bị lộ, sửa sai hoặc không thể truy cập. Bảng dưới đây chỉ là cách nhóm dữ liệu để phục vụ tự rà soát vận hành, không phải hệ thống phân loại pháp lý.
| Nhóm dữ liệu tham khảo | Ví dụ | Điểm cần kiểm tra |
|---|---|---|
| Dữ liệu công khai | Bài viết, trang giới thiệu, thông tin dịch vụ đã công bố | Tính toàn vẹn, nguy cơ bị sửa hoặc chèn nội dung trái phép |
| Dữ liệu liên hệ | Họ tên, email, số điện thoại, nội dung form | Quyền truy cập, nơi lưu, thời gian lưu và mục đích xử lý |
| Dữ liệu tài khoản | Username, mật khẩu đã băm, lịch sử đăng nhập, quyền người dùng | Xác thực, phân quyền và bảo vệ thông tin đăng nhập |
| Dữ liệu khách hàng/nghiệp vụ | Đơn hàng, hợp đồng, hồ sơ tư vấn, lịch sử giao dịch | Ảnh hưởng đến khách hàng và hoạt động kinh doanh nếu xảy ra sự cố |
| Dữ liệu nội bộ | Tài liệu, báo cáo, thông tin nhân sự, quy trình kinh doanh | Phân quyền, chia sẻ và khả năng truy xuất |
Với dữ liệu cá nhân, cần kiểm tra thêm các nghĩa vụ riêng theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Việc một hệ thống có dữ liệu cá nhân không tự động quyết định cấp độ ATTT; cấp độ vẫn phải được phân tích theo loại hệ thống, phạm vi phục vụ và mức độ ảnh hưởng theo khung pháp lý tương ứng.
Khi đánh giá tác động, nên xét ít nhất ba góc: bí mật — ai bị ảnh hưởng nếu dữ liệu bị lộ; toàn vẹn — điều gì xảy ra nếu dữ liệu bị sửa sai; và sẵn sàng — hoạt động nào bị gián đoạn nếu hệ thống ngừng phục vụ.
Với hệ thống có cổng web công khai, có thể đối chiếu thêm checklist bảo mật cho website có cổng web công.
Bước 3 — Rà soát kiểm soát quản lý và kỹ thuật
Doanh nghiệp cần kiểm tra cả hai lớp: quản lý và kỹ thuật. Có công cụ bảo mật nhưng không có quy trình vẫn là khoảng trống; ngược lại, có quy trình nhưng cấu hình hệ thống yếu cũng không giải quyết được rủi ro.
| Nhóm rà soát | Câu hỏi cần kiểm tra | Bằng chứng nên có |
|---|---|---|
| Tài khoản và phân quyền | Có dùng chung tài khoản admin không? Quyền có theo vai trò không? | Danh sách tài khoản, ma trận phân quyền |
| Mật khẩu và MFA | Tài khoản quan trọng có bật xác thực đa yếu tố không? | Chính sách mật khẩu, cấu hình MFA |
| Máy chủ và dịch vụ | Có mở cổng hoặc dịch vụ không cần thiết ra Internet không? | Danh sách cổng mở, cấu hình firewall |
| Ứng dụng web | Có kiểm soát upload, đăng nhập sai, form và API không? | Checklist ứng dụng, báo cáo rà soát |
| Dữ liệu | Ai có quyền xem, sửa, xuất dữ liệu? | Ma trận quyền, log truy cập |
| Backup | Có backup định kỳ và từng thử khôi phục chưa? | Log backup, biên bản restore test |
| Log và giám sát | Có log đăng nhập, lỗi hệ thống, thao tác quản trị không? | Log hệ thống, dashboard hoặc cảnh báo |
| Ứng cứu sự cố | Có đầu mối và kịch bản xử lý khi bị tấn công không? | Quy trình sự cố, danh sách người phụ trách |
Nếu website từng bị hack, bị chèn mã độc, redirect lạ hoặc mất quyền quản trị, nên xử lý sự cố trước khi hoàn thiện hồ sơ. Xem thêm làm gì khi website bị hack hoặc bị tấn công.
Bước 4 — Đánh giá mức độ sẵn sàng của đầu vào
Sau ba bước rà soát, không cần cộng điểm để tạo cảm giác “đạt” hay “không đạt”. Cách an toàn hơn là xác định trạng thái của từng nhóm đầu vào: chưa có, có một phần hoặc đã có bằng chứng có thể đối chiếu.
| Nhóm đánh giá | Chưa có | Có một phần | Đã có bằng chứng |
|---|---|---|---|
| Phạm vi hệ thống | Chưa rõ hệ thống gồm những gì | Có danh sách sơ bộ | Có sơ đồ và mô tả rõ ràng |
| Dữ liệu xử lý | Chưa xác định nhóm dữ liệu | Biết các nhóm chính | Có danh mục và đánh giá tác động |
| Tài khoản/phân quyền | Dùng chung admin hoặc không rõ quyền | Có phân quyền cơ bản | Có ma trận quyền và quy trình cấp/thu hồi |
| Backup/khôi phục | Không rõ backup | Có backup nhưng chưa thử restore | Có backup định kỳ và bằng chứng kiểm tra khôi phục |
| Log/giám sát | Không biết log ở đâu | Có log rời rạc | Có log quan trọng và cơ chế theo dõi phù hợp |
| Tài liệu vận hành | Không có tài liệu | Có ghi chép rời rạc | Có quy trình, checklist và bằng chứng vận hành |
| Rà soát kỹ thuật | Chưa từng kiểm tra | Có kiểm tra sơ bộ | Có báo cáo điểm yếu và kế hoạch khắc phục |
Nếu nhiều nhóm vẫn ở trạng thái “Chưa có”, nên ưu tiên chuẩn hóa đầu vào trước khi lập hồ sơ. Nếu phần lớn đã “Có một phần”, có thể bắt đầu chuẩn bị hồ sơ song song với việc bổ sung tài liệu. Khi nhiều nhóm đã “Có bằng chứng”, doanh nghiệp có nền tảng tốt hơn để bước sang giai đoạn đề xuất và rà soát hồ sơ. Bảng này chỉ giúp quản lý mức độ sẵn sàng, không phải kết luận tuân thủ.
Nếu qua rà soát thấy hệ thống có khả năng thuộc cấp độ 2, có thể đối chiếu tiếp với checklist cấp độ 2, nhưng việc xác định chính thức vẫn cần căn cứ vào hệ thống cụ thể và quy định áp dụng.
Bước 5 — Lập kế hoạch khắc phục và chuẩn bị hồ sơ
Tự đánh giá chỉ có giá trị khi kết quả được chuyển thành hành động. Nếu phát hiện thiếu backup, thiếu log, tài khoản quản trị dùng chung, không có sơ đồ hệ thống hoặc chưa kiểm tra bảo mật, cần ghi rõ mức ưu tiên, người phụ trách, thời hạn và bằng chứng hoàn thành.
| Mức ưu tiên | Ví dụ hạng mục | Cách xử lý |
|---|---|---|
| Làm ngay | Tài khoản admin dùng chung, không có backup, cổng quản trị public, website có mã độc | Khắc phục trước khi đưa hệ thống vào vận hành hoặc trước khi coi hồ sơ là hoàn thiện |
| Ngắn hạn | Thiếu sơ đồ, thiếu ma trận phân quyền, log chưa đầy đủ, chưa kiểm tra restore | Bổ sung song song với quá trình chuẩn bị hồ sơ |
| Dài hạn | Giám sát tập trung, WAF nâng cao, đào tạo người dùng, cải tiến quy trình | Đưa vào kế hoạch bảo mật và vận hành theo mức rủi ro |
Sau bước này, doanh nghiệp nên biết đã đủ đầu vào để đề xuất cấp độ sơ bộ hay chưa, còn thiếu tài liệu gì và những điểm nào cần khắc phục trước. Không nên kết luận “hệ thống thuộc cấp độ X” chỉ từ checklist tự đánh giá.
Checklist kiểm tra nhanh trước khi lập hồ sơ
| Câu hỏi | Đã có | Chưa có | Ghi chú |
|---|---|---|---|
| Đã xác định rõ hệ thống cần đánh giá? | ☐ | ☐ | |
| Đã có danh sách máy chủ, ứng dụng, database, API? | ☐ | ☐ | |
| Đã xác định các nhóm dữ liệu đang xử lý? | ☐ | ☐ | |
| Đã biết ai có quyền quản trị và quyền truy cập dữ liệu? | ☐ | ☐ | |
| Tài khoản quan trọng đã bật MFA? | ☐ | ☐ | |
| Có backup định kỳ? | ☐ | ☐ | |
| Đã thử khôi phục backup? | ☐ | ☐ | |
| Có log đăng nhập, lỗi và thao tác quản trị? | ☐ | ☐ | |
| Đã rà soát lỗ hổng hoặc cấu hình gần đây? | ☐ | ☐ | |
| Có quy trình xử lý sự cố? | ☐ | ☐ | |
| Có tài liệu mô tả hệ thống hoặc sơ đồ kiến trúc? | ☐ | ☐ |
Khi nào nên cân nhắc hỗ trợ chuyên môn?
Doanh nghiệp có thể tự rà soát bước đầu khi hệ thống đơn giản và đội ngũ kỹ thuật nắm rõ hiện trạng. Nên cân nhắc hỗ trợ chuyên môn khi phạm vi phức tạp, dữ liệu quan trọng, có nhiều bên cùng vận hành hoặc nội bộ chưa đủ năng lực để xác định ranh giới hệ thống và bằng chứng cần có.
| Tình huống | Cách tiếp cận phù hợp |
|---|---|
| Website giới thiệu đơn giản, ít dữ liệu | Có thể tự rà soát ban đầu nếu có người nắm rõ hệ thống |
| Website có đăng nhập, form hoặc dữ liệu khách hàng | Tự kiểm tra bước đầu và cân nhắc hỗ trợ nếu cần lập hồ sơ hoặc đối chiếu nghĩa vụ dữ liệu cá nhân |
| Cổng khách hàng, CRM, ERP, app hoặc nhiều API | Nên cân nhắc hỗ trợ nếu nội bộ chưa đủ năng lực xác định phạm vi, tích hợp và rủi ro |
| Không có sơ đồ hoặc không rõ ai giữ quyền admin | Ưu tiên khảo sát hiện trạng trước khi tự kết luận |
| Từng bị hack hoặc mất dữ liệu | Ưu tiên xử lý sự cố và rà soát bảo mật trước |
| Chuẩn bị làm việc với cơ quan hoặc đối tác yêu cầu hồ sơ | Gom bằng chứng trước; cân nhắc hỗ trợ nếu cần rà tính đầy đủ và nhất quán |
Nếu cần hỗ trợ từ khảo sát đến hồ sơ, có thể tham khảo dịch vụ lập hồ sơ đề xuất cấp độ an toàn thông tin và báo giá hồ sơ đề xuất cấp độ và triển khai bảo mật.
FAQ
Tự đánh giá mức độ ATTT có bắt buộc không?
Tự rà soát nội bộ không phải lúc nào cũng là một thủ tục bắt buộc riêng biệt. Tuy nhiên, đây là bước hữu ích để chuẩn bị dữ liệu đầu vào trước khi xác định cấp độ hoặc lập hồ sơ. Nghĩa vụ cụ thể cần được đối chiếu theo loại hệ thống, chủ thể và quy định áp dụng.
Doanh nghiệp nhỏ có cần tự đánh giá ATTT không?
Doanh nghiệp nhỏ nên tự rà soát ở mức phù hợp với rủi ro, đặc biệt với tài khoản quản trị, backup, plugin, dữ liệu khách hàng và quy trình xử lý sự cố. Việc có phải lập hồ sơ cấp độ hay thực hiện thủ tục cụ thể hay không cần xác định riêng theo hệ thống và quy định áp dụng.
Tự đánh giá có thay thế hồ sơ đề xuất cấp độ không?
Không. Tự đánh giá chỉ là bước chuẩn bị. Hồ sơ đề xuất cấp độ vẫn cần được lập với nội dung, căn cứ và phương án bảo đảm ATTT phù hợp với hệ thống cụ thể.
Sau khi tự đánh giá xong thì làm gì?
Tổng hợp ba nhóm: nội dung đã có bằng chứng, nội dung còn thiếu và hạng mục cần khắc phục. Sau đó mới quyết định có đủ đầu vào để đề xuất cấp độ sơ bộ, chuẩn bị hồ sơ hoặc cần hỗ trợ thêm hay chưa.
Kết luận
5 bước tự đánh giá ATTT giúp doanh nghiệp chuyển từ trạng thái “chưa rõ hệ thống đang có gì” sang một bộ đầu vào có thể kiểm tra: phạm vi, dữ liệu, kiểm soát, mức độ sẵn sàng và kế hoạch khắc phục. Giá trị của bước này nằm ở việc làm rõ hiện trạng, không phải tạo ra một điểm số hoặc một kết luận cấp độ tự động.
Khi hệ thống còn thiếu sơ đồ, phân quyền, backup, log hoặc chưa từng rà soát bảo mật, nên xử lý các khoảng trống đó trước hoặc song song với quá trình chuẩn bị hồ sơ. Một hồ sơ tốt phải phản ánh đúng hệ thống thực tế và có bằng chứng đủ để đối chiếu.
Nguồn chính thức
- Nghị định 85/2016/NĐ-CP — cổng Bộ Khoa học và Công nghệ ghi còn hiệu lực tại thời điểm kiểm tra 18/08/2026.
- Thông tư 12/2022/TT-BTTTT — cổng Bộ Khoa học và Công nghệ ghi còn hiệu lực tại thời điểm kiểm tra 18/08/2026.
- Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 — hiệu lực từ 01/01/2026.
- Nghị định 356/2025/NĐ-CP — hiệu lực từ 01/01/2026.
- Dự thảo sửa đổi Điều 9 Thông tư 12/2022/TT-BTTTT — trang dự thảo, không coi là quy định đã có hiệu lực.
Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.
