Chỉ thị 09/CT-TTg ngày 23/02/2024 giao các nhóm cơ quan, tổ chức nêu trong văn bản tăng cường tuân thủ yêu cầu phê duyệt cấp độ và triển khai phương án bảo đảm an toàn thông tin đối với hệ thống mới hoặc thay đổi trước khi vận hành. Không phải mọi website doanh nghiệp tư nhân đều tự động thuộc phạm vi Mục 1.
Điểm cần phân biệt: yêu cầu đối với hệ thống mới hoặc đang thay đổi là điều kiện cần kiểm soát trước khi vận hành. Các mốc tháng 9/2024 và tháng 12/2024 là mốc xử lý hệ thống đang vận hành tại thời điểm Chỉ thị được ban hành; đó không phải deadline mới lặp lại hằng năm và không nên tự động áp cho mọi doanh nghiệp tư nhân.
Đối chiếu nguồn chính thức trong tháng 10/2026. Bài viết dùng để xác định vấn đề và chuẩn bị tài liệu, không thay kết luận áp dụng pháp luật với từng hệ thống cụ thể.
Chỉ thị 09/CT‑TTg yêu cầu điều gì?
Chỉ thị 09/CT‑TTg có trích yếu “Về tuân thủ quy định pháp luật và tăng cường bảo đảm an toàn hệ thống thông tin theo cấp độ”. Văn bản tập trung khắc phục tình trạng hệ thống chưa được phê duyệt cấp độ, chưa triển khai đầy đủ phương án bảo đảm an toàn thông tin hoặc chưa được kiểm tra, đánh giá tương xứng.
Đối với nhóm được giao nhiệm vụ tại Mục 1, hai yêu cầu cần đi cùng nhau:
- Phê duyệt cấp độ an toàn hệ thống thông tin: xác định phạm vi, cấp độ, chủ quản, đơn vị vận hành và phương án bảo vệ theo hồ sơ.
- Triển khai đầy đủ phương án đã được phê duyệt: các biện pháp quản lý và kỹ thuật phải tồn tại trong thực tế, không chỉ nằm trong tài liệu.
Vì vậy, có quyết định phê duyệt nhưng chưa triển khai các biện pháp bảo vệ vẫn chưa hoàn thành toàn bộ yêu cầu được nhấn mạnh trong Chỉ thị. Ngược lại, đã mua công cụ bảo mật nhưng chưa xác định phạm vi, cấp độ và hồ sơ phù hợp cũng không thay thế quy trình pháp lý.
Khung pháp lý cần đọc cùng
| Văn bản | Vai trò trong quá trình áp dụng |
|---|---|
| Chỉ thị 09/CT‑TTg | Chỉ đạo tăng cường tuân thủ, đặt mục tiêu và giao nhiệm vụ cho các nhóm đối tượng cụ thể. |
| Nghị định 85/2016/NĐ‑CP | Khung quy định về bảo đảm an toàn hệ thống thông tin theo cấp độ. |
| Thông tư 12/2022/TT‑BTTTT | Quy định chi tiết và hướng dẫn một số nội dung của Nghị định 85, gồm hệ thống, thuyết minh cấp độ, yêu cầu bảo đảm ATTT, kiểm tra, đánh giá và báo cáo. |
Chỉ thị không phải “chứng chỉ ATTT” và không tạo một bảng phân loại cấp độ khác. Khi thực hiện hồ sơ, cần dùng quy định nền và các hướng dẫn còn hiệu lực tại thời điểm xử lý, đồng thời kiểm tra yêu cầu chuyên ngành nếu hệ thống thuộc ngân hàng, y tế, viễn thông hoặc lĩnh vực có quy định riêng.
Ai được giao nhiệm vụ trực tiếp tại Mục 1?
Mục 1 nêu người đứng đầu các bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ; Chủ tịch UBND tỉnh, thành phố trực thuộc trung ương; lãnh đạo các tập đoàn, tổng công ty nhà nước, ngân hàng thương mại nhà nước, Ngân hàng Phát triển Việt Nam, Ngân hàng Chính sách xã hội, Ngân hàng Hợp tác xã Việt Nam và các tổ chức tín dụng, tài chính nhà nước khác trên toàn quốc.
| Trường hợp | Cách đọc phù hợp |
|---|---|
| Cơ quan, địa phương hoặc tổ chức nhà nước thuộc Mục 1 | Rà toàn bộ hệ thống thuộc phạm vi quản lý, xác định tình trạng phê duyệt, triển khai phương án và kiểm tra tuân thủ. |
| Đơn vị vận hành hoặc nhà thầu cho hệ thống thuộc phạm vi trên | Đối chiếu trách nhiệm được giao trong hợp đồng, hồ sơ dự án và yêu cầu của chủ quản; không mặc nhiên thay chủ quản thực hiện mọi thủ tục. |
| Doanh nghiệp ATTT, viễn thông hoặc Internet | Kiểm tra các nhiệm vụ riêng được nêu trong Chỉ thị và quy định chuyên ngành liên quan. |
| Doanh nghiệp tư nhân khác | Không tự suy rộng toàn bộ Mục 1; cần xác định luật, quy định chuyên ngành, hợp đồng và vai trò của hệ thống cụ thể. |
Doanh nghiệp tư nhân có bắt buộc áp dụng không?
Không thể kết luận chỉ từ việc doanh nghiệp có website, phần mềm, API hoặc dữ liệu quan trọng. Câu trả lời phụ thuộc vào doanh nghiệp có thuộc nhóm được nêu trực tiếp hay không, hệ thống phục vụ ai, ngành nghề có yêu cầu riêng không và hợp đồng giao trách nhiệm gì.
- Doanh nghiệp có thuộc nhóm tổ chức được nêu trong Chỉ thị hoặc văn bản chuyên ngành không?
- Hệ thống là tài sản nội bộ hay được cung cấp, vận hành cho cơ quan hoặc tổ chức khác?
- Chủ quản hệ thống là ai? Đơn vị vận hành và nhà cung cấp có trách nhiệm gì?
- Hồ sơ mời thầu, hợp đồng, SLA hoặc yêu cầu nghiệm thu có dẫn chiếu nghĩa vụ theo cấp độ không?
- Có quy định ngành hoặc yêu cầu của cơ quan quản lý chuyên ngành cần áp dụng đồng thời không?
Nếu một trong các câu trả lời còn chưa rõ, cần xác nhận với chủ quản, đầu mối pháp chế hoặc cơ quan có thẩm quyền trước khi coi bài viết này là kết luận áp dụng cho doanh nghiệp.
“Trước khi vận hành” cần hoàn thành những gì?
Đối với hệ thống thuộc phạm vi yêu cầu, quá trình phê duyệt không nên được đẩy về cuối dự án. Phạm vi, dữ liệu, kiến trúc và cấp độ ảnh hưởng trực tiếp đến biện pháp bảo vệ, kinh phí, thử nghiệm và tiêu chí nghiệm thu.
| Giai đoạn | Đầu ra cần kiểm soát | Rủi ro nếu làm muộn |
|---|---|---|
| Khởi tạo và thiết kế | Chủ quản, phạm vi hệ thống, dữ liệu, kiến trúc, cấp độ dự kiến và trách nhiệm các bên. | Thiếu kinh phí hoặc phải thay đổi kiến trúc sau khi đã xây dựng. |
| Xây dựng, nâng cấp | Hồ sơ đề xuất cấp độ, phương án quản lý/kỹ thuật, bằng chứng triển khai và kế hoạch kiểm tra. | Hồ sơ mô tả khác với hệ thống thực tế. |
| Trước go-live | Tình trạng thẩm định/phê duyệt, biện pháp đã triển khai, kết quả kiểm tra, tồn tại và người chấp nhận rủi ro. | Đưa hệ thống vào khai thác khi điều kiện chưa hoàn tất. |
| Sau vận hành | Giám sát, quản lý thay đổi, bản vá, sao lưu, nhật ký, ứng cứu sự cố và rà soát hồ sơ. | Quyết định và phương án nhanh chóng không còn khớp thực tế. |
| Giai đoạn | Bằng chứng cần đối chiếu | Đầu mối |
|---|---|---|
| Xác định phạm vi | Sơ đồ thành phần, dữ liệu, kết nối | Chủ hệ thống |
| Đề xuất cấp độ | Hồ sơ, ý kiến thẩm định, quyết định | Đơn vị có thẩm quyền |
| Kiểm soát kỹ thuật | Kết quả kiểm tra biện pháp bảo vệ | Vận hành / ATTT |
| Go-live | Biên bản nghiệm thu, tồn đọng và người duyệt | Đầu mối phê duyệt |
Checklist kiểm soát trước khi go-live
- Ranh giới hệ thống, thành phần dùng chung, kết nối ngoài và dữ liệu đã được mô tả nhất quán.
- Chủ quản, đơn vị chuyên trách ATTT, đơn vị vận hành và nhà cung cấp có trách nhiệm rõ ràng.
- Cấp độ đề xuất có căn cứ theo mức độ ảnh hưởng, không chọn theo cảm tính hoặc ngân sách.
- Hồ sơ đã đi đúng luồng xây dựng, thẩm định và phê duyệt theo trường hợp cụ thể.
- Biện pháp quản lý và kỹ thuật trong phương án đã được triển khai, không chỉ mô tả dự kiến.
- Kết quả kiểm tra, đánh giá và các tồn tại có bằng chứng, owner và thời hạn xử lý.
- Quy trình sao lưu, giám sát, quản lý tài khoản đặc quyền và ứng cứu sự cố đã sẵn sàng.
- Biên bản bàn giao, nghiệm thu và tài liệu vận hành phản ánh đúng cấu hình thực tế.
Checklist này là công cụ kiểm soát triển khai, không thay thế thành phần hồ sơ hoặc kết luận của cơ quan có thẩm quyền. Nếu chưa rõ bộ tài liệu cần có, xem hồ sơ đề xuất cấp độ là gì và quy trình lập hồ sơ đề xuất cấp độ.
Mốc tháng 9 và tháng 12/2024 phải hiểu thế nào?
Đối với hệ thống đang vận hành thuộc phạm vi quản lý của nhóm tại Mục 1, Chỉ thị đặt mục tiêu bảo đảm 100% hệ thống từ cấp độ 1 đến cấp độ 5 (nếu có) được phê duyệt cấp độ chậm nhất trong tháng 9/2024 và triển khai đầy đủ phương án theo hồ sơ đã phê duyệt chậm nhất trong tháng 12/2024.
Ở thời điểm hiện tại, đây là các mốc đã qua. Không nên:
- trình bày chúng như deadline mới sắp tới;
- coi đây là thời hạn tự động gia hạn hoặc lặp lại mỗi năm;
- tạo quyết định, biên bản hoặc bằng chứng lùi ngày;
- suy ra mọi doanh nghiệp tư nhân đều có cùng một deadline.
Các mốc tháng 9 và 12/2024 đã qua, không phải thời hạn mới của năm 2026. Nếu còn thiếu hồ sơ, cần xác định trách nhiệm, báo cáo đúng tình trạng và lập kế hoạch khắc phục; không coi deadline cũ là chấp thuận vận hành.
Hệ thống đang chạy nhưng chưa có hồ sơ: xử lý ra sao?
- Chốt phạm vi: kiểm kê ứng dụng, máy chủ, dữ liệu, tích hợp, môi trường cloud và nhà cung cấp.
- Xác định chủ thể: ai là chủ quản, ai vận hành, ai thẩm định/phê duyệt và ai chịu trách nhiệm khắc phục.
- Kiểm tra trạng thái hồ sơ: chưa lập, đang thẩm định, đã phê duyệt nhưng không còn phù hợp, hay đã đủ hồ sơ nhưng thiếu triển khai.
- Xử lý rủi ro khẩn cấp: không chờ hoàn tất giấy tờ mới vá lỗ hổng nghiêm trọng, bảo vệ tài khoản, sao lưu, nhật ký và đường ứng cứu sự cố.
- Hoàn thiện hồ sơ và phương án: đồng bộ tài liệu với kiến trúc đang vận hành và bằng chứng thực tế.
- Thiết lập quản lý thay đổi: cập nhật khi phạm vi, dữ liệu, kiến trúc, nhà cung cấp hoặc mức ảnh hưởng thay đổi đáng kể.
Xem hướng dẫn chi tiết về cách rà soát hệ thống chưa có hồ sơ cấp độ. Khi cần hỗ trợ lập và hoàn thiện bộ tài liệu, có thể tham khảo dịch vụ lập hồ sơ đề xuất cấp độ ATTT.
Nguồn chính thức
Kết luận: Chỉ thị 09/CT‑TTg đặt yêu cầu rõ cho các nhóm đối tượng được giao nhiệm vụ: hệ thống mới hoặc đang thay đổi phải được phê duyệt cấp độ và triển khai đầy đủ phương án trước khi vận hành. Với từng doanh nghiệp hoặc dự án cụ thể, bước đầu tiên không phải sao chép một bộ hồ sơ mẫu mà là xác định đúng chủ thể, phạm vi hệ thống, văn bản áp dụng và tình trạng triển khai thực tế.
Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.