Checklist ATTT cấp độ 2: hồ sơ, kỹ thuật và bằng chứng

Nhiều doanh nghiệp khi nghe “hệ thống cần đáp ứng yêu cầu cấp độ 2” thường nghĩ ngay đến một bộ hồ sơ. Nhưng nếu chỉ có hồ sơ mà thiếu phân quyền, backup, log, kiểm tra định kỳ hoặc bằng chứng vận hành, hệ thống vẫn chưa thể xem là sẵn sàng về mặt thực tế.

Bài viết này biến các nhóm công việc thường gặp của cấp độ 2 thành một checklist tự rà soát: cần rà gì, bằng chứng nào nên chuẩn bị, hạng mục nào nên làm trước và khi nào nên nhờ đơn vị chuyên môn hỗ trợ. Nếu anh/chị chưa chắc hệ thống đang thuộc cấp nào, nên đọc thêm bài hướng dẫn xác định cấp độ an toàn thông tin trước khi dùng checklist.

Nếu chưa khóa được readiness và đầu vào, hãy bắt đầu với 5 bước tự đánh giá mức độ ATTT trước khi đi sâu từng hạng mục cấp độ 2. Nếu checklist này đang được dùng để chuẩn bị cho một đợt kiểm tra hoặc thanh tra, xem doanh nghiệp cần chuẩn bị hồ sơ gì khi bị thanh tra an toàn thông tin để chuyển từ gap checklist sang bộ bằng chứng phục vụ kiểm tra.

Tóm tắt: Checklist ATTT cấp độ 2 nên bao phủ 5 nhóm chính: hồ sơ và phạm vi hệ thống; chính sách, vai trò và quy trình quản lý; kiểm soát tài khoản và truy cập; biện pháp kỹ thuật cho mạng, máy chủ, ứng dụng, dữ liệu; cuối cùng là backup, log, giám sát, ứng cứu sự cố và bằng chứng đánh giá. Có tài liệu chưa đủ; đơn vị cần chứng minh các hạng mục đó đang được vận hành thực tế. Checklist này không thay thế kết luận thẩm định hoặc phê duyệt chính thức.

Căn cứ và freshness 09/08/2026: Nghị định 85/2016/NĐ-CP và Thông tư 12/2022/TT-BTTTT hiện được Cổng thông tin Bộ Khoa học và Công nghệ ghi là còn hiệu lực. Thông tư 12 quy định các nhóm yêu cầu quản lý và kỹ thuật đối với bảo đảm an toàn hệ thống thông tin theo cấp độ; checklist trong bài là cách diễn giải vận hành để tự rà gap, không phải bản chép nguyên văn hay thang chấm đạt pháp lý. Dự thảo sửa đổi Điều 9 Thông tư 12 từng được lấy ý kiến từ 10/12/2024 đến 10/02/2025 và không được coi là quy định đã có hiệu lực nếu chưa có văn bản ban hành chính thức tương ứng.

Hiểu đúng trước khi dùng checklist ATTT cấp độ 2

Checklist cấp độ 2 không phải là danh sách để tick cho đẹp hồ sơ. Nó là công cụ rà khoảng trống giữa yêu cầu trên giấy và hiện trạng hệ thống đang chạy.

Cách dùng đúng là chia mỗi hạng mục thành ba trạng thái: đã có và có bằng chứng; đã có nhưng chưa đủ bằng chứng; chưa có hoặc không khớp hiện trạng. Khi nhìn theo ba trạng thái này, doanh nghiệp sẽ biết mình cần hoàn thiện tài liệu, bổ sung cấu hình, hay phải thay đổi quy trình vận hành.

Một điểm cần phân biệt: hoàn thành checklist không đồng nghĩa với “không bao giờ bị tấn công”. Mục tiêu thực tế là có hệ thống quản lý rủi ro tối thiểu, lớp bảo vệ phù hợp, khả năng phát hiện, phản ứng và khôi phục khi xảy ra sự cố.

Cách hiểu sai	Cách hiểu đúng	Hệ quả khi rà checklist
Chỉ cần bộ hồ sơ	Cần hồ sơ + vận hành + bằng chứng	Không dừng ở file Word/PDF
Có firewall là đủ	Cần kiểm soát từ tài khoản, ứng dụng, dữ liệu đến log	Không mua công cụ thay cho quy trình
Backup tự động là xong	Backup phải kiểm tra khả năng restore	Cần có biên bản hoặc log thử khôi phục
Mỗi năm rà một lần là đủ	Cần rà lại theo chu kỳ quản lý và khi thay đổi hệ thống, dữ liệu, nhân sự hoặc kiến trúc	Checklist phải sống cùng vận hành

Nhóm hồ sơ: xác định phạm vi, mô tả hệ thống và căn cứ cấp độ

Nhóm đầu tiên là nền của toàn bộ checklist. Nếu phạm vi hệ thống bị xác định sai, các hạng mục phía sau sẽ dễ lệch: chính sách không đúng đối tượng, sơ đồ không khớp thực tế, biện pháp kỹ thuật không bảo vệ đúng điểm rủi ro.

Doanh nghiệp cần xác định rõ hệ thống nào đang đề xuất cấp độ 2: website, cổng web công, API, máy chủ ứng dụng, cơ sở dữ liệu, hệ thống nội bộ hay một cụm nhiều thành phần. Sau đó mới đi vào bộ hồ sơ đề xuất cấp độ và phương án bảo đảm an toàn thông tin.

Nếu đang làm từ đầu, nên bám theo quy trình lập hồ sơ đề xuất cấp độ để tránh viết rời rạc từng file mà không thành một bộ hồ sơ logic.

• Tên hệ thống, đơn vị quản lý, đơn vị vận hành đã thống nhất trong toàn bộ tài liệu.
• Đã có mô tả tổng quan: chức năng, người dùng, dữ liệu xử lý, thành phần kỹ thuật.
• Đã có sơ đồ kết nối hoặc tài liệu thiết kế/tài liệu tương đương.
• Đã thuyết minh căn cứ đề xuất cấp độ 2 theo mức độ ảnh hưởng và phạm vi hệ thống.
• Đã có phương án bảo đảm an toàn thông tin tương ứng với cấp độ đề xuất.
• Tài liệu không mô tả nhầm hệ thống cũ, server cũ, domain cũ hoặc kiến trúc đã thay đổi.

Dấu hiệu chưa sẵn sàng: khi hỏi “hệ thống cấp độ 2 gồm những thành phần nào?”, mỗi bộ phận trả lời một kiểu khác nhau.

Nhóm quản lý: chính sách, vai trò, tài khoản và thay đổi

Nhiều hệ thống có cấu hình kỹ thuật tương đối ổn nhưng vẫn rủi ro vì vận hành theo thói quen cá nhân. Cấp độ 2 cần tối thiểu một lớp quản lý rõ: ai chịu trách nhiệm, ai có quyền, ai phê duyệt thay đổi, ai nhận cảnh báo và ai xử lý khi xảy ra sự cố.

Phần này không nên viết quá lý thuyết. Mỗi chính sách hoặc quy trình phải trả lời được: áp dụng cho hệ thống nào, ai làm, khi nào làm, ghi nhận bằng chứng ở đâu và ai kiểm tra lại.

Với hệ thống có cổng web công, tài khoản quản trị là nhóm cần ưu tiên nhất. Nếu admin dùng chung mật khẩu, chưa bật MFA hoặc không thu hồi quyền người nghỉ việc, các lớp bảo vệ kỹ thuật phía sau sẽ bị suy yếu nhanh chóng. Có thể tham khảo thêm bài MFA là gì để triển khai lớp xác thực tối thiểu cho tài khoản quan trọng.

Hạng mục	Cần có gì?	Bằng chứng nên lưu
Chính sách ATTT	Quy định chung về quản lý, sử dụng, vận hành hệ thống	Quyết định ban hành hoặc tài liệu nội bộ có người phê duyệt
Phân công trách nhiệm	Người quản trị, người phê duyệt, người nhận cảnh báo, người ứng cứu	Ma trận RACI hoặc danh sách đầu mối
Quản lý tài khoản	Tạo, cấp quyền, thay đổi, thu hồi, rà soát định kỳ	Danh sách tài khoản, log thay đổi quyền, biên bản rà soát
Quản lý thay đổi	Quy trình cập nhật, triển khai, rollback	Phiếu thay đổi, lịch triển khai, kết quả kiểm thử

Nhóm kỹ thuật: mạng, máy chủ, ứng dụng và dữ liệu

Đây là nhóm doanh nghiệp thường nghĩ tới đầu tiên khi nói về bảo mật, nhưng cũng là nhóm dễ bị làm theo kiểu “có công cụ là xong”. Với cấp độ 2, điều quan trọng không chỉ là có firewall, WAF, antivirus hay backup, mà là cấu hình có phù hợp với kiến trúc, có được kiểm tra và có bằng chứng hay không.

Nếu hệ thống có website, API hoặc cổng web mở ra Internet, nên đối chiếu thêm bài checklist bảo mật cho website có cổng web công. Với hệ thống cần thiết kế lại lớp phòng thủ, có thể tham khảo kiến trúc bảo mật hệ thống thông tin cấp độ 2.

Lớp kỹ thuật	Checklist tối thiểu	Không nên hiểu nhầm
Mạng	Giới hạn cổng mở, phân vùng, firewall/rule truy cập, kiểm soát truy cập từ xa	Không phải cứ có firewall là đủ
Máy chủ	Hardening, cập nhật bản vá, tắt dịch vụ thừa, phân quyền hệ điều hành	Không để server chạy nhiều dịch vụ không dùng
Ứng dụng	Rà lỗi cấu hình, kiểm soát phiên đăng nhập, bảo vệ form, API và upload	Không giao toàn bộ rủi ro cho WAF
Dữ liệu	Phân quyền, sao lưu, mã hóa hoặc bảo vệ dữ liệu nhạy cảm khi phù hợp	Không để database mở rộng quyền theo mặc định
Thành phần phụ trợ	CMS, plugin, framework, thư viện, container hoặc service liên quan được cập nhật	Không bỏ quên thành phần “nhỏ” nhưng có quyền lớn

Nếu hệ thống cần lớp bảo vệ ứng dụng web hoặc chống tấn công lớp 7, có thể xem thêm dịch vụ triển khai WAF và chống DDoS.

Nhóm vận hành: backup, log, giám sát và ứng cứu sự cố

Một hệ thống cấp độ 2 không chỉ cần phòng ngừa. Doanh nghiệp còn phải biết khi có sự cố thì phát hiện bằng cách nào, ai nhận cảnh báo, backup nào dùng để khôi phục và quy trình ứng cứu bắt đầu từ đâu.

Đây là phần rất dễ bị làm hình thức. Nhiều doanh nghiệp có backup nhưng chưa từng restore thử; có log nhưng không biết ai đọc; có cảnh báo nhưng gửi về email không ai theo dõi. Khi sự cố xảy ra, các lỗ hổng vận hành này thường gây thiệt hại lớn hơn cả lỗi kỹ thuật ban đầu.

Nếu website đang có dấu hiệu bị hack, lỗi hoặc bị tấn công, nên ưu tiên quy trình ứng cứu trước rồi mới quay lại hoàn thiện checklist dài hạn. Bài website bị hack, lỗi hoặc bị tấn công có thể dùng như tài liệu xử lý tình huống khẩn cấp.

• Có lịch backup theo loại dữ liệu và mức độ quan trọng.
• Có ít nhất một lần kiểm tra restore thử, không chỉ kiểm tra file backup tồn tại.
• Có bật log cho hệ điều hành, ứng dụng, tài khoản quản trị, truy cập bất thường và thay đổi cấu hình quan trọng.
• Có người hoặc nhóm nhận cảnh báo, không để cảnh báo rơi vào hộp thư không ai đọc.
• Có quy trình ứng cứu sự cố: phát hiện, cô lập, phân tích, khôi phục, báo cáo, khắc phục nguyên nhân gốc.
• Có danh sách liên hệ khẩn cấp: quản trị hệ thống, lãnh đạo phê duyệt, đơn vị hỗ trợ kỹ thuật, nhà cung cấp hosting/cloud.

Nhóm bằng chứng: kiểm tra, đánh giá và hồ sơ nghiệm thu

Điểm khác biệt giữa “đã làm” và “chứng minh được đã làm” nằm ở bằng chứng. Khi audit, nghiệm thu hoặc làm việc với đối tác/cơ quan kiểm tra, doanh nghiệp cần đưa ra dấu vết thực thi: biên bản rà soát, log, ảnh chụp cấu hình, báo cáo kiểm tra, kế hoạch khắc phục và kết quả sau khắc phục.

Vì vậy, mỗi hạng mục checklist nên có cột bằng chứng đi kèm. Nếu không có bằng chứng, nên đánh dấu “cần bổ sung”, dù về mặt kỹ thuật hạng mục đó có thể đã được cấu hình.

Một checklist tốt không chỉ hỏi “có hay không”, mà còn hỏi “ai kiểm tra, ngày nào kiểm tra, bằng chứng nằm ở đâu, lần rà tiếp theo là khi nào”.

Loại bằng chứng	Ví dụ nên lưu	Lưu ý
Bằng chứng hồ sơ	Bản mô tả hệ thống, sơ đồ, thuyết minh cấp độ, phương án bảo đảm ATTT	Cần khớp hiện trạng
Bằng chứng quản lý	Quy chế, quy trình, phân công trách nhiệm, biên bản rà tài khoản	Cần có người phê duyệt hoặc người chịu trách nhiệm
Bằng chứng kỹ thuật	Ảnh cấu hình, log cập nhật, báo cáo scan, rule firewall/WAF	Không lộ mật khẩu, token, khóa bí mật
Bằng chứng vận hành	Log backup, kết quả restore, báo cáo cảnh báo, biên bản xử lý sự cố	Cần có ngày giờ và người thực hiện

Checklist nhanh từng hạng mục: đã có, thiếu hay cần bổ sung?

Bảng dưới đây giúp doanh nghiệp tự rà nhanh trước khi làm hồ sơ chi tiết hoặc trước khi thuê đơn vị đánh giá. Không nên xem bảng này là kết luận pháp lý cuối cùng; nó là bước tự kiểm tra để biết hệ thống đang thiếu gì.

Nhóm	Hạng mục cần rà	Trạng thái mong muốn
Phạm vi	Tên hệ thống, chủ quản, vận hành, thành phần kỹ thuật, dữ liệu xử lý	Rõ ràng, thống nhất, không mâu thuẫn
Hồ sơ	Mô tả tổng quan, tài liệu thiết kế/tương đương, thuyết minh cấp độ, phương án bảo đảm ATTT	Đủ phần và khớp hiện trạng
Chính sách	Quy chế ATTT, quản lý tài khoản, quản lý thay đổi, backup, ứng cứu sự cố	Có tài liệu và người chịu trách nhiệm
Truy cập	Tài khoản admin, phân quyền, MFA, thu hồi quyền, kiểm soát truy cập từ xa	Không dùng chung quyền quan trọng
Mạng	Firewall, phân vùng, giới hạn cổng, kiểm soát kết nối Internet-facing	Chỉ mở những gì cần thiết
Máy chủ	Hardening, patching, dịch vụ đang chạy, quyền hệ điều hành	Giảm bề mặt tấn công
Ứng dụng	Đăng nhập, upload, session, form, API, lỗi OWASP phổ biến	Có rà soát và kế hoạch khắc phục
Dữ liệu	Phân quyền dữ liệu, backup, restore, dữ liệu nhạy cảm	Bảo vệ đúng mức độ quan trọng
Log/giám sát	Log truy cập, log admin, cảnh báo, người nhận cảnh báo	Không chỉ bật log mà còn có người theo dõi
Đánh giá	Báo cáo rà soát, tồn tại, kế hoạch xử lý, bằng chứng khắc phục	Có vòng cải tiến liên tục

Khung 14 ngày tham khảo để đưa hệ thống về trạng thái sẵn sàng hơn

Nếu hệ thống chưa có gì rõ ràng, đừng cố làm tất cả cùng lúc. Có thể chia thành các bước ngắn, mỗi bước có đầu ra cụ thể. Mốc 14 ngày dưới đây chỉ là khung tham khảo cho hoạt động rà soát ban đầu; tiến độ thực tế phụ thuộc phạm vi hệ thống, chất lượng tài liệu và số lượng khoảng trống phải xử lý. Khi cần ước lượng thời gian tổng thể, có thể tham khảo thêm bài mất bao lâu để hoàn thành hồ sơ cấp độ 2.

Giai đoạn	Việc cần làm	Đầu ra mong muốn
Ngày 1–2	Khoanh phạm vi, kiểm kê tài sản, xác định người phụ trách	Danh sách hệ thống và đầu mối
Ngày 3–5	Gom hồ sơ, sơ đồ, tài khoản, backup, cấu hình hiện có	Bộ tài liệu đầu vào
Ngày 6–8	Rà gap theo nhóm hồ sơ, quản lý, kỹ thuật, vận hành	Danh sách thiếu/đủ/cần bổ sung
Ngày 9–11	Ưu tiên xử lý hạng mục rủi ro cao: admin, backup, log, cổng mở, bản vá	Kế hoạch khắc phục ngắn hạn
Ngày 12–14	Chốt bằng chứng, hoàn thiện checklist, chuẩn bị báo cáo	Bộ checklist sẵn sàng review

Khi nào nên thuê đơn vị rà checklist cấp độ 2?

Doanh nghiệp có thể tự rà checklist nếu hệ thống nhỏ, tài liệu rõ và có người hiểu cả vận hành lẫn bảo mật. Tuy nhiên, nên thuê đơn vị hỗ trợ khi hệ thống đã vận hành lâu năm, nhiều bên cùng quản trị, tài liệu thiếu, đang có deadline phê duyệt hoặc sắp làm việc với đối tác/cơ quan kiểm tra.

Trong trường hợp cần hỗ trợ từ đầu đến cuối, anh/chị có thể tham khảo dịch vụ lập hồ sơ đề xuất cấp độ an toàn thông tin. Nếu không chỉ cần hồ sơ mà còn cần triển khai lớp kỹ thuật, hãy xem thêm giải pháp bảo mật hệ thống cấp độ 2, cấp độ 3.

Với doanh nghiệp cần dự toán ngân sách trước khi bắt đầu, bài báo giá hồ sơ đề xuất cấp độ và triển khai bảo mật giúp xem chi phí theo phạm vi công việc rõ hơn.

Nên thuê hỗ trợ khi:

• Không biết hệ thống đang thiếu hạng mục nào.
• Hồ sơ cũ không khớp kiến trúc hiện tại.
• Không có người nội bộ đủ thời gian gom bằng chứng.
• Cần vừa lập hồ sơ vừa xử lý khoảng trống kỹ thuật.
• Có cổng web công, dữ liệu khách hàng hoặc hệ thống quan trọng cần rà kỹ hơn.

Kết luận

Checklist ATTT cấp độ 2 không nên là một file để lưu trong thư mục rồi bỏ quên. Nó nên là công cụ vận hành giúp doanh nghiệp biết hệ thống đang có gì, thiếu gì, rủi ro nào cần xử lý trước và bằng chứng nào cần chuẩn bị.

Nếu chỉ có hồ sơ nhưng thiếu quy trình, tài khoản dùng chung, backup chưa thử restore, log không ai theo dõi hoặc không có báo cáo đánh giá, hệ thống vẫn chưa sẵn sàng về mặt thực tế.

Cách làm an toàn là bắt đầu từ phạm vi, sau đó đi qua hồ sơ, quản lý, kỹ thuật, vận hành và bằng chứng. Nếu cần một đội hỗ trợ rà soát và triển khai theo lộ trình, hãy bắt đầu với dịch vụ lập hồ sơ đề xuất cấp độ an toàn thông tin để có phương án phù hợp hơn với hiện trạng hệ thống.

Nguồn chính thức và trạng thái kiểm tra

• Nghị định 85/2016/NĐ-CP — cổng Bộ Khoa học và Công nghệ ghi còn hiệu lực tại thời điểm kiểm tra 09/08/2026.
• Thông tư 12/2022/TT-BTTTT — cổng Bộ Khoa học và Công nghệ ghi còn hiệu lực tại thời điểm kiểm tra 09/08/2026.
• Chỉ thị 09/CT-TTg ngày 23/02/2024 — dùng để tham khảo bối cảnh chỉ đạo tăng cường tuân thủ; các mốc năm 2024 trong Chỉ thị là mốc lịch sử, không tự động trở thành deadline hiện tại năm 2026.
• Dự thảo sửa đổi Điều 9 Thông tư 12/2022/TT-BTTTT — trang dự thảo, không coi là quy định đã có hiệu lực.

FAQ về checklist ATTT cấp độ 2

Checklist ATTT cấp độ 2 gồm những nhóm nào?

Nên gồm ít nhất 5 nhóm: hồ sơ/phạm vi, chính sách và quy trình, kiểm soát tài khoản và truy cập, kỹ thuật bảo vệ mạng–máy chủ–ứng dụng–dữ liệu, cùng nhóm vận hành/bằng chứng gồm backup, log, giám sát, ứng cứu và kiểm tra đánh giá.

Có hồ sơ cấp độ 2 rồi thì đã đủ chưa?

Chưa chắc. Hồ sơ cần khớp hiện trạng và phải đi kèm quy trình, cấu hình, vận hành và bằng chứng thực thi. Nếu hồ sơ đầy đủ nhưng tài khoản admin dùng chung, không có log hoặc backup chưa test restore thì vẫn còn khoảng trống lớn.

Doanh nghiệp nhỏ có cần đủ checklist này không?

Nguyên tắc cốt lõi vẫn cần có, nhưng mức độ triển khai tùy quy mô hệ thống, dữ liệu và rủi ro. Doanh nghiệp nhỏ không nhất thiết dùng công cụ đắt tiền, nhưng vẫn cần phạm vi rõ, phân quyền, backup, log, cập nhật và quy trình ứng cứu tối thiểu.

Khi nào nên rà lại checklist cấp độ 2?

Nên rà theo chu kỳ quản lý do đơn vị quy định và rà lại ngay khi có thay đổi lớn như đổi hosting/cloud, thêm cổng web, thay đổi dữ liệu xử lý, thay đổi đơn vị vận hành hoặc sau một sự cố bảo mật.

Checklist này có thay thế tư vấn pháp lý hoặc thẩm định chính thức không?

Không. Checklist giúp doanh nghiệp tự rà khoảng trống và chuẩn bị tốt hơn. Với hồ sơ chính thức hoặc hệ thống có yêu cầu tuân thủ cao, nên có đơn vị chuyên môn rà hiện trạng, đối chiếu quy định và hỗ trợ hoàn thiện bằng chứng.