Dịch vụ lập hồ sơ đề xuất cấp độ an toàn thông tin (ATTT) phù hợp với cơ quan, tổ chức hoặc doanh nghiệp cần một đơn vị hỗ trợ khảo sát hệ thống, xác định phạm vi, sắp xếp tài liệu, soạn hồ sơ và rà soát các biện pháp bảo vệ đang có. Mục tiêu không phải là “điền một bộ mẫu”, mà là làm cho hồ sơ phản ánh đúng hệ thống đang vận hành và chỉ ra rõ phần nào đã có, phần nào còn thiếu.
Tóm tắt: WebsiteHCM hỗ trợ từ bước rà soát thông tin đầu vào, làm rõ phạm vi hệ thống, phân tích cấp độ sơ bộ, soạn và hoàn thiện hồ sơ đến bàn giao tài liệu theo phạm vi đã thống nhất. Kết quả thẩm định hoặc phê duyệt thuộc cơ quan hoặc người có thẩm quyền; dịch vụ tư vấn không thể thay thế quyết định đó.
Nếu bạn mới tìm hiểu khái niệm, hãy đọc trước hồ sơ đề xuất cấp độ là gì. Nếu muốn tự tổ chức công việc nội bộ, xem quy trình lập hồ sơ đề xuất cấp độ và mẫu cấu trúc hồ sơ tham khảo. Khi mục tiêu chính là dự toán ngân sách, có thể chuyển thẳng tới báo giá hồ sơ cấp độ và triển khai bảo mật.
Dịch vụ này phù hợp khi nào?
- Hệ thống đang vận hành nhưng chưa có hồ sơ cấp độ hoặc hồ sơ cũ không còn khớp với hiện trạng.
- Đơn vị chưa xác định rõ hệ thống nào nằm trong phạm vi cần lập hồ sơ.
- Nhiều bên cùng quản lý máy chủ, ứng dụng, dữ liệu hoặc hạ tầng nên khó gom thông tin và bằng chứng.
- Đã có dự thảo nhưng cần rà lại sự thống nhất giữa hồ sơ, sơ đồ, cấu hình và biện pháp bảo vệ thực tế.
- Hệ thống đang xây dựng, nâng cấp hoặc mở rộng và muốn đưa yêu cầu ATTT vào từ sớm.
- Nội bộ thiếu người điều phối hồ sơ hoặc khó phân công ai cung cấp từng nhóm tài liệu.
Không nên bắt đầu chỉ vì một bên thứ ba nói chung chung rằng hệ thống “cần chứng chỉ cấp độ”. Trước tiên cần làm rõ yêu cầu thực tế là hồ sơ đề xuất cấp độ, quyết định phê duyệt, báo cáo kiểm tra hay một loại bằng chứng bảo mật khác.
Dịch vụ giúp giải quyết những vấn đề nào?
| Vấn đề hiện tại | Điều có thể xảy ra | Cách hỗ trợ |
|---|---|---|
| Chưa rõ phạm vi hệ thống | Làm hồ sơ sai đối tượng hoặc bỏ sót thành phần quan trọng | Rà chức năng, dữ liệu, người dùng, kết nối, bên vận hành và ranh giới hệ thống |
| Sơ đồ và tài liệu đã cũ | Hồ sơ không phản ánh hệ thống đang chạy | Kiểm kê thành phần, phỏng vấn đầu mối và cập nhật lại tài liệu hiện trạng |
| Nhiều nhà cung cấp cùng tham gia | Không rõ ai chịu trách nhiệm hoặc ai giữ bằng chứng | Lập danh sách đầu mối, tài sản và trách nhiệm cung cấp thông tin |
| Chưa biết đề xuất cấp độ nào | Phần giải thích cấp độ thiếu căn cứ | Phân tích sơ bộ dựa trên loại hệ thống, dữ liệu, chức năng và mức ảnh hưởng |
| Hồ sơ và kỹ thuật không khớp | Khó kiểm tra, thẩm định hoặc nghiệm thu | Đối chiếu tài liệu với tài khoản, mạng, máy chủ, ứng dụng, dữ liệu, sao lưu và nhật ký hệ thống |
| Góp ý được xử lý rời rạc | Các phiên bản tiếp tục mâu thuẫn | Quản lý phiên bản và rà lại tác động của từng thay đổi trước khi chốt |
Căn cứ và giới hạn áp dụng
Nghị định 85/2016/NĐ-CP quy định về bảo đảm an toàn hệ thống thông tin theo cấp độ. Thông tư 12/2022/TT-BTTTT hướng dẫn chi tiết thêm về xác định hệ thống, đề xuất cấp độ và yêu cầu bảo đảm ATTT. Từng trường hợp vẫn phải đối chiếu chủ thể, thẩm quyền và quy định chuyên ngành có liên quan.
WebsiteHCM hỗ trợ chuẩn bị và hoàn thiện tài liệu theo phạm vi đã thống nhất, nhưng không thay cơ quan hoặc người có thẩm quyền thẩm định, phê duyệt. Dịch vụ cũng không tạo log, biên bản hay bằng chứng cho công việc chưa được thực hiện và không cam kết một kết quả phê duyệt nằm ngoài quyền kiểm soát.
Phạm vi công việc có thể bao gồm
Phạm vi cuối cùng chỉ nên chốt sau khi biết số hệ thống, chất lượng tài liệu hiện có, độ phức tạp của kiến trúc, số bên cần phối hợp và đầu ra phải bàn giao. Không nên mặc định mọi dự án đều bao gồm kiểm thử bảo mật, triển khai kỹ thuật hoặc số vòng chỉnh sửa không giới hạn.
| Nhóm công việc | Thực hiện | Đầu ra dự kiến |
|---|---|---|
| Khảo sát phạm vi | Làm rõ chức năng, người dùng, dữ liệu, tài sản, kết nối và bên vận hành | Thông tin đầu vào, danh mục tài sản và ranh giới hệ thống |
| Chuẩn hóa tài liệu kỹ thuật | Rà sơ đồ, máy chủ, ứng dụng, cơ sở dữ liệu, API và dịch vụ bên thứ ba | Tài liệu hiện trạng đã được các đầu mối xác nhận |
| Phân tích cấp độ sơ bộ | Đối chiếu loại hệ thống, dữ liệu, chức năng và mức ảnh hưởng | Bảng căn cứ và các điểm cần xác minh thêm |
| Soạn hồ sơ | Chuẩn bị mô tả tổng quan, tài liệu kỹ thuật, phần đề xuất cấp độ và phương án bảo đảm ATTT | Bộ dự thảo theo phạm vi đã thống nhất |
| Rà phần còn thiếu | Đối chiếu tài khoản, mạng, máy chủ, ứng dụng, dữ liệu, nhật ký, sao lưu và khả năng xử lý sự cố | Danh sách khoảng trống và hướng xử lý |
| Hoàn thiện theo góp ý | Rà tính nhất quán, quản lý phiên bản và cập nhật các điểm cần sửa | Bộ hồ sơ hoàn thiện theo số vòng đã thống nhất |
| Bàn giao | Sắp xếp tài liệu, danh mục bằng chứng và lịch sử phiên bản | Thư mục bàn giao và biên bản nghiệm thu theo thỏa thuận |
Quy trình triển khai dịch vụ
- Tiếp nhận: làm rõ mục tiêu, hệ thống, thời hạn, đầu mối và yêu cầu từ các bên liên quan.
- Khảo sát: thu thập tài liệu, kiểm kê thành phần và xác nhận hiện trạng với người phụ trách.
- Chốt phạm vi: thống nhất ranh giới hệ thống, dữ liệu, người dùng, trách nhiệm và cấp độ sơ bộ nếu đã đủ thông tin.
- Soạn dự thảo: xây tài liệu từ bộ thông tin đã được các đầu mối xác nhận.
- Rà chéo: đối chiếu phần nghiệp vụ, kỹ thuật, quy định áp dụng và bằng chứng thực tế để tìm điểm mâu thuẫn hoặc còn thiếu.
- Hoàn thiện: xử lý góp ý trong số vòng và phạm vi đã thống nhất.
- Bàn giao: bàn giao file, danh sách phần còn thiếu, lịch sử phiên bản và hướng dẫn cập nhật khi hệ thống thay đổi.
Thời gian thực hiện phụ thuộc mức sẵn sàng của đầu vào, số hệ thống và số bên cần phối hợp. Nếu cần ước lượng theo từng tình huống, xem hồ sơ cấp độ 2 mất bao lâu.
Khách hàng cần chuẩn bị gì?
- Tên, mục tiêu, chức năng và đơn vị chịu trách nhiệm chính cho hệ thống.
- Sơ đồ, tài liệu thiết kế, tài liệu bàn giao hoặc thông tin đủ để dựng lại hiện trạng.
- Danh sách tên miền, ứng dụng, máy chủ, cơ sở dữ liệu, API và dịch vụ liên quan.
- Các loại dữ liệu quan trọng, nhóm người dùng và luồng xử lý chính.
- Đầu mối kỹ thuật, nghiệp vụ, quản lý và nhà cung cấp cần phối hợp.
- Hiện trạng tài khoản, sao lưu, nhật ký hệ thống, bản vá, giám sát và khả năng xử lý sự cố.
- Hồ sơ, góp ý, quyết định hoặc yêu cầu đã nhận trước đó.
- Thời hạn, hình thức bàn giao và người có quyền xác nhận nội dung.
Không gửi mật khẩu, khóa riêng hoặc token trong bộ hồ sơ đầu vào. Nếu cần quyền truy cập kỹ thuật để kiểm tra, quyền đó nên được cấp đúng phạm vi, có thời hạn và có người phê duyệt.
Trách nhiệm của các bên
| Bên | Trách nhiệm chính |
|---|---|
| Khách hàng/đơn vị chủ quản | Chỉ định đầu mối, cung cấp thông tin, xác nhận phạm vi và phê duyệt nội dung thuộc thẩm quyền |
| Đội vận hành/IT | Cung cấp hiện trạng kỹ thuật, cấu hình, quyền, nhật ký, sao lưu và bằng chứng đang có |
| Nhà cung cấp liên quan | Cung cấp tài liệu hoặc xác nhận phần hệ thống do mình quản lý |
| WebsiteHCM | Điều phối phạm vi, soạn, rà soát, ghi nhận phần còn thiếu và bàn giao theo thỏa thuận |
| Cơ quan/người có thẩm quyền | Thẩm định, phê duyệt hoặc yêu cầu bổ sung theo quy trình áp dụng |
Những hạng mục không mặc định bao gồm
- Cam kết hồ sơ chắc chắn được thẩm định hoặc phê duyệt.
- Ký, đóng dấu hoặc xác nhận thay đơn vị có thẩm quyền.
- Tạo log, biên bản hoặc bằng chứng cho hoạt động chưa diễn ra.
- Kiểm thử xâm nhập (pentest) hoặc đánh giá độc lập nếu chưa được ghi trong phạm vi.
- Mua license, phần cứng, dịch vụ đám mây hoặc công cụ bảo mật.
- Triển khai các biện pháp kỹ thuật như WAF, gia cố cấu hình máy chủ, hệ thống tập trung nhật ký/cảnh báo, sao lưu hoặc bảo vệ máy trạm nếu chưa có báo giá riêng.
- Chỉnh sửa không giới hạn hoặc xử lý thay đổi lớn ngoài phạm vi ban đầu.
- Chi phí bên thứ ba, đi lại, lưu trú hoặc các khoản khác nếu báo giá không ghi nhận.
Nếu hồ sơ cho thấy hệ thống còn thiếu nhiều lớp bảo vệ kỹ thuật, có thể tách phần đó thành dự án riêng. Xem giải pháp bảo mật hệ thống cấp độ 2 và cấp độ 3 để hiểu cách nhóm các biện pháp theo rủi ro thay vì mua công cụ theo danh sách cố định.
Chi phí được xác định thế nào?
Chi phí phụ thuộc số lượng hệ thống, mức đầy đủ của tài liệu, độ phức tạp của kiến trúc, số nhà cung cấp, cấp độ dự kiến, số vòng góp ý, yêu cầu khảo sát trực tiếp và việc có cần xử lý khoảng trống kỹ thuật hay không.
Để xem các mức dự toán và phạm vi tương ứng, truy cập báo giá lập hồ sơ đề xuất cấp độ và triển khai bảo mật. Báo giá chính thức nên ghi rõ đầu việc đã gồm, phần loại trừ, số vòng chỉnh sửa, điều kiện thay đổi và tiêu chí nghiệm thu.
Khi nào chưa nên bắt đầu soạn hồ sơ?
- Chưa xác định được hệ thống và đơn vị chịu trách nhiệm.
- Không có người xác nhận phạm vi hoặc dữ liệu đầu vào.
- Sơ đồ, tài sản và nhà cung cấp chưa được kiểm kê.
- Hệ thống đang có sự cố nghiêm trọng cần cô lập và xử lý trước.
- Yêu cầu từ đối tác chưa rõ là hồ sơ cấp độ hay loại tài liệu bảo mật khác.
- Nội bộ kỳ vọng tư vấn tạo bằng chứng cho công việc chưa thực hiện.
Trong các trường hợp này, nên rà soát đầu vào trước. Với hệ thống đang vận hành nhưng thiếu tài liệu, xem cách rà soát hệ thống chưa có hồ sơ cấp độ.
Câu hỏi thường gặp
Dịch vụ có bảo đảm hồ sơ được phê duyệt không?
Không. WebsiteHCM hỗ trợ chuẩn bị và hoàn thiện hồ sơ theo phạm vi đã thống nhất; kết quả còn phụ thuộc hiện trạng hệ thống, chất lượng thông tin đầu vào và quyết định của cơ quan hoặc người có thẩm quyền.
Có cần cung cấp quyền truy cập hệ thống không?
Không phải lúc nào cũng cần. Nhiều nội dung có thể kiểm tra qua tài liệu và buổi làm việc. Nếu cần quyền kỹ thuật, nên cấp đúng mức tối thiểu cần thiết và thu hồi khi hoàn tất.
Dịch vụ có bao gồm triển khai bảo mật không?
Không mặc định. Những hạng mục kỹ thuật chỉ được thực hiện khi đã khảo sát và được ghi rõ trong báo giá hoặc hợp đồng.
Mất bao lâu để hoàn thành?
Thời gian phụ thuộc số hệ thống, tài liệu hiện có, số bên phối hợp, phần kỹ thuật còn thiếu và số vòng góp ý. Chỉ nên chốt tiến độ sau khi đã rà đầu vào.
Cần chuẩn bị gì để nhận báo giá?
Tối thiểu nên có tên và mục tiêu hệ thống, phạm vi dự kiến, tài liệu đang có, số bên cùng vận hành, cấp độ sơ bộ nếu đã xác định, thời hạn mong muốn và đầu ra cần nhận.
Bắt đầu từ việc làm rõ phạm vi
Một bộ hồ sơ có giá trị phải mô tả đúng hệ thống thật: hệ thống gồm những gì, xử lý dữ liệu nào, ai đang vận hành, mức ảnh hưởng ra sao và các biện pháp bảo vệ nào đã có. Vì vậy bước đầu tiên nên là gom thông tin hiện có và xác định người có thể xác nhận từng phần.
Khi các đầu vào cơ bản đã rõ, WebsiteHCM có thể dựa trên đó để xác định phạm vi hỗ trợ, đầu ra và báo giá phù hợp thay vì áp một gói giống nhau cho mọi hệ thống.
Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.