Hệ thống chưa có hồ sơ cấp độ: Cách rà soát và xử lý

Tóm tắt: Khi hệ thống đã vận hành nhưng chưa có hồ sơ cấp độ, doanh nghiệp không nên bắt đầu bằng cách tải mẫu rồi điền. Trước hết cần xác định hệ thống có thuộc phạm vi phải thực hiện theo cấp độ hay không, sau đó khoanh phạm vi, kiểm kê dữ liệu và tài sản, rà tài khoản, backup, log, kiến trúc và rủi ro. Từ hiện trạng đó mới đề xuất cấp độ, lập hồ sơ và xây kế hoạch khắc phục.

Nhiều doanh nghiệp chỉ phát hiện hệ thống chưa có hồ sơ cấp độ khi đối tác yêu cầu tài liệu, chuẩn bị thẩm định, nhận kế hoạch kiểm tra hoặc sau một sự cố như mất quyền quản trị, lộ dữ liệu, website bị chèn mã độc hay backup không thể khôi phục.

Thiếu hồ sơ không tự động chứng minh hệ thống đang mất an toàn, nhưng đó là dấu hiệu cần rà soát. Doanh nghiệp có thể chưa xác định rõ ranh giới hệ thống, dữ liệu, trách nhiệm vận hành và các biện pháp bảo vệ đang có. Nếu chỉ bổ sung giấy tờ mà không kiểm tra hiện trạng, bộ hồ sơ mới dễ tiếp tục sai hoặc thiếu giá trị vận hành.

Trước khi lao vào viết hồ sơ hoặc mua thêm công cụ, nên dùng 5 bước tự đánh giá mức độ ATTT để khóa readiness, phạm vi và các khoảng trống đầu vào. Nếu đã có lịch kiểm tra hoặc thanh tra, chuyển sang checklist chuẩn bị hồ sơ khi bị thanh tra an toàn thông tin; còn nếu chưa rõ bộ hồ sơ cấp độ thực chất gồm những gì, xem hồ sơ đề xuất cấp độ là gì.

Hệ thống chưa có hồ sơ cấp độ có rủi ro gì?

Mức độ rủi ro phụ thuộc loại hệ thống, dữ liệu, đối tượng sử dụng, mức độ mở ra Internet và quy định áp dụng. Không nên kết luận mọi hệ thống chưa có hồ sơ đều nguy hiểm như nhau. Tuy vậy, doanh nghiệp cần xử lý sớm nếu thiếu hồ sơ đi kèm với việc không rõ ai quản trị, dữ liệu nằm ở đâu, backup có dùng được không hoặc hệ thống đang mở nhiều điểm truy cập công khai.

Khoảng trống	Rủi ro thực tế	Cách xác minh
Không có mô tả tổng quan	Không thống nhất hệ thống gồm những thành phần và dữ liệu nào	Phỏng vấn đầu mối, lập danh mục tài sản và ranh giới hệ thống
Không có sơ đồ kiến trúc cập nhật	Bỏ sót máy chủ, API, kết nối bên thứ ba hoặc điểm truy cập công khai	Đối chiếu DNS, cloud, hosting, firewall và tài liệu triển khai
Chưa xác định cấp độ	Không có căn cứ chọn yêu cầu quản lý và kỹ thuật phù hợp	Phân tích phạm vi, chức năng, dữ liệu và mức độ ảnh hưởng
Không rõ tài khoản và quyền	Tài khoản cũ, quyền thừa hoặc admin dùng chung khó truy vết	Xuất danh sách tài khoản, vai trò và log cấp/thu hồi quyền
Không rõ backup và log	Khó khôi phục hoặc điều tra khi có sự cố	Kiểm tra bản sao, thử restore và xác nhận nguồn log
Không có quy trình ứng cứu	Phản ứng chậm, dễ làm mất bằng chứng hoặc kéo dài gián đoạn	Kiểm tra đầu mối, runbook và lần diễn tập gần nhất

Nếu hệ thống thuộc phạm vi bảo đảm an toàn hệ thống thông tin theo cấp độ, hồ sơ còn là cơ sở mô tả cấp độ và phương án bảo vệ. Nếu không thuộc phạm vi đó, hoạt động kiểm kê, phân quyền, backup, log và ứng cứu vẫn là thực hành quản trị cần thiết.

Căn cứ cần đối chiếu trước khi lập hồ sơ

Nghị định 85/2016/NĐ-CP quy định về bảo đảm an toàn hệ thống thông tin theo cấp độ. Thông tư 12/2022/TT-BTTTT hướng dẫn chi tiết một số nội dung về xác định hệ thống, thuyết minh cấp độ và yêu cầu bảo đảm an toàn. Chỉ thị 09/CT-TTg ngày 23/02/2024 yêu cầu các cơ quan, tổ chức thuộc phạm vi chỉ đạo tăng cường tuân thủ quy định về an toàn hệ thống thông tin theo cấp độ.

Doanh nghiệp không nên suy ra nghĩa vụ chỉ từ tên gọi “website”, “phần mềm” hoặc quy mô nhỏ/lớn. Cần xác định chủ thể, mục đích hệ thống, phạm vi dữ liệu và quy định chuyên ngành liên quan. Khi chưa chắc, hãy bắt đầu bằng hướng dẫn xác định cấp độ an toàn thông tin.

Hồ sơ phải phản ánh đúng hiện trạng. Nếu tài liệu ghi có backup nhưng chưa từng thử khôi phục, hoặc ghi phân quyền theo vai trò nhưng thực tế nhiều người dùng chung admin, vấn đề không nằm ở câu chữ mà ở khoảng trống vận hành cần xử lý.

Dấu hiệu cần ưu tiên rà soát sớm

Không dùng số lượng dấu hiệu làm ngưỡng “đạt” hoặc “khẩn cấp”. Chỉ một rủi ro có tác động cao, như database mở Internet hoặc backup không thể khôi phục, đã đủ để cần hành động ngay.

• Hệ thống có tài khoản đăng nhập cho khách hàng, nhân viên hoặc đối tác nhưng chưa rà quyền.
• Có dữ liệu cá nhân, dữ liệu khách hàng, hợp đồng, giao dịch hoặc dữ liệu nội bộ quan trọng.
• Website, API, cổng quản trị, SSH, RDP hoặc database đang mở ra Internet.
• Hệ thống từng bị hack, chuyển hướng lạ, spam link, mất quyền hoặc phát hiện tài khoản không rõ nguồn gốc.
• Không xác định được ai giữ quyền cao nhất hoặc nhà cung cấp nào còn quyền truy cập.
• Không có sơ đồ kiến trúc, danh mục tài sản hoặc tài liệu vận hành cập nhật.
• Backup nằm cùng máy chủ chính, chưa thử khôi phục hoặc không rõ người phụ trách.
• Không lưu log đủ để truy vết đăng nhập, thay đổi quyền và thao tác quản trị.
• Đang chuẩn bị kết nối dữ liệu, mở dịch vụ mới, tăng quy mô người dùng hoặc làm việc với đối tác yêu cầu ATTT.

Mỗi dấu hiệu nên được đánh giá theo khả năng xảy ra, mức độ ảnh hưởng và thời gian khắc phục. Kết quả cần chuyển thành danh sách việc có người phụ trách, thời hạn và bằng chứng hoàn thành.

Quy trình rà soát hệ thống chưa có hồ sơ cấp độ

1. Khoanh ranh giới hệ thống

Xác định chính xác đối tượng cần rà: website chính, cổng khách hàng, phần mềm nội bộ, ứng dụng di động, API, CRM, ERP hay một cụm dịch vụ. Ranh giới cần nêu rõ thành phần nằm trong hệ thống, thành phần dùng chung và dịch vụ bên thứ ba.

2. Kiểm kê tài sản và bên vận hành

Liệt kê domain, DNS, hosting, cloud, máy chủ, database, source code, repository, tài khoản quản trị, CDN/WAF, dịch vụ email, API và nhà cung cấp. Mỗi tài sản cần có chủ sở hữu, người vận hành và trạng thái hiện tại.

3. Xác định dữ liệu và luồng xử lý

Ghi nhận dữ liệu nào được thu thập, lưu trữ, truyền, hiển thị, xuất hoặc xóa; dữ liệu đến từ đâu, ai được truy cập và đi qua dịch vụ nào. Không chỉ ghi tên loại dữ liệu, cần hiểu tác động nếu dữ liệu bị lộ, sửa, mất hoặc hệ thống ngừng hoạt động.

4. Rà tài khoản, quyền và truy cập từ xa

Xuất danh sách người dùng, admin, tài khoản dịch vụ, khóa API và quyền bên thứ ba. Kiểm tra tài khoản không còn sử dụng, quyền thừa, tài khoản dùng chung, MFA, quy trình cấp/thu hồi và các phiên đăng nhập đáng ngờ.

5. Kiểm tra các lớp kỹ thuật và vận hành

Rà server, database, ứng dụng, API, bản vá, cổng mở, cấu hình SSL/TLS, WAF, backup, log, monitoring, cảnh báo và ứng cứu. Mục tiêu là biết biện pháp nào đã hoạt động, biện pháp nào chỉ được khai báo và khoảng trống nào có thể gây sự cố ngay.

6. Phân tích cấp độ dự kiến và yêu cầu áp dụng

Chỉ sau khi có phạm vi, dữ liệu, chức năng và mức độ ảnh hưởng mới đề xuất cấp độ. Không chọn cấp độ theo mong muốn giảm khối lượng công việc hoặc sao chép kết luận của hệ thống khác.

7. Lập danh sách khoảng trống và kế hoạch xử lý

Mỗi khoảng trống cần có mô tả, tác động, mức ưu tiên, biện pháp tạm thời, giải pháp lâu dài, người phụ trách, thời hạn và bằng chứng đóng việc. Tách rõ phần cần xử lý trước khi trình hồ sơ và phần có thể đưa vào kế hoạch cải tiến sau đó.

Checklist tài liệu cần gom và xác minh

Nhóm tài liệu	Nội dung cần xác minh	Trạng thái nên ghi
Mô tả tổng quan	Tên, mục tiêu, chức năng, người dùng, đơn vị quản lý và vận hành	Đã có / cần cập nhật / chưa có
Sơ đồ và thiết kế	Máy chủ, database, API, luồng kết nối, vùng mạng và dịch vụ bên thứ ba	Đã xác nhận hiện trạng / bản cũ / chưa có
Thuyết minh cấp độ	Căn cứ dựa trên phạm vi, dữ liệu, chức năng và mức độ ảnh hưởng	Đã rà / cần phân tích / chưa có
Phương án ATTT	Biện pháp quản lý và kỹ thuật phù hợp cấp độ đề xuất	Đã triển khai / có kế hoạch / còn thiếu
Tài khoản và quyền	Quy trình cấp, thay đổi, thu hồi; ma trận vai trò; MFA	Đủ bằng chứng / cần rà / chưa có
Backup và phục hồi	Tần suất, vị trí, thời gian giữ, người phụ trách và kết quả thử restore	Đã kiểm chứng / chưa thử / chưa rõ
Log và giám sát	Nguồn log, thời gian lưu, cảnh báo, người tiếp nhận và xử lý	Đang hoạt động / thiếu nguồn / chưa có
Ứng cứu sự cố	Tiếp nhận, phân loại, cô lập, điều tra, khôi phục và báo cáo	Đã ban hành / bản nháp / chưa có
Đánh giá và khắc phục	Báo cáo rà soát, danh sách tồn tại và bằng chứng xử lý	Đang theo dõi / thiếu bằng chứng / chưa thực hiện

Nếu hệ thống dự kiến ở cấp độ 2, dùng thêm checklist ATTT cấp độ 2 để rà từng nhóm. Checklist không thay thế kết luận thẩm định hoặc phê duyệt chính thức.

Checklist kỹ thuật cần thực hiện song song

Nhóm	Câu hỏi chính	Bằng chứng
Tài khoản quản trị	Có dùng chung admin, quyền thừa hoặc tài khoản cũ không?	Danh sách quyền, log cấp/thu hồi, cấu hình MFA
Máy chủ và cloud	Bản vá, dịch vụ thừa, cổng quản trị và quyền root đã được kiểm soát chưa?	Phiên bản, rule firewall, cấu hình hardening
Database	Có mở Internet, dùng tài khoản quyền cao hoặc thiếu backup không?	Network rule, user/role, log và backup
Ứng dụng và API	Đăng nhập, phân quyền, upload, token và lỗi phổ biến đã được rà chưa?	Kết quả kiểm thử, ticket khắc phục
WAF và chống DDoS	Hệ thống public có lớp lọc, rate limit và cảnh báo phù hợp không?	Rule, log, báo cáo false positive
Backup	Bản sao có tách khỏi hệ thống chính và đã thử restore chưa?	Log, biên bản thử khôi phục
Log và monitoring	Có phát hiện đăng nhập lạ, thay đổi quyền, lỗi 5xx và đầy ổ đĩa không?	Dashboard, cảnh báo, ticket xử lý
Ứng cứu	Ai có quyền cô lập, bảo toàn bằng chứng và khôi phục?	Runbook, danh sách liên hệ, biên bản diễn tập

Với website hoặc API mở công khai, xem thêm WAF là gì và vai trò với cổng web. Khi cần triển khai lớp bảo vệ này, liên kết phù hợp là dịch vụ triển khai WAF và chống DDoS.

Xử lý theo mức độ ưu tiên

Ưu tiên khẩn cấp: giảm rủi ro có tác động cao

• Khóa tài khoản không rõ chủ sở hữu, thu hồi quyền nhân sự hoặc vendor cũ.
• Bật MFA cho email, cloud, hosting, CMS và tài khoản quản trị.
• Đóng hoặc giới hạn SSH, RDP, database và cổng quản trị không cần công khai.
• Kiểm tra backup và thử khôi phục dữ liệu quan trọng.
• Vá lỗ hổng nghiêm trọng, cập nhật thành phần hết hỗ trợ.
• Cô lập và điều tra nếu đang có dấu hiệu bị xâm nhập.

Ưu tiên tiếp theo: chuẩn hóa vận hành

• Tách tài khoản cá nhân, tài khoản quản trị và tài khoản dịch vụ.
• Xây ma trận phân quyền, quy trình cấp và thu hồi quyền.
• Thiết lập log, monitoring và đầu mối xử lý cảnh báo.
• Chuẩn hóa backup, quản lý thay đổi, bản vá và ứng cứu sự cố.
• Rà API, upload file, export dữ liệu và truy cập bên thứ ba.

Ưu tiên hoàn thiện: hồ sơ và chu kỳ duy trì

• Hoàn thiện mô tả tổng quan và sơ đồ kiến trúc.
• Thuyết minh đề xuất cấp độ dựa trên hiện trạng đã xác minh.
• Xây phương án bảo đảm ATTT và mapping với biện pháp đang có.
• Lưu bằng chứng thực hiện và báo cáo khắc phục.
• Quy định chu kỳ rà soát sau thay đổi lớn hoặc sự cố.

Nếu đang có dấu hiệu bị tấn công, ưu tiên xử lý sự cố trước. Tham khảo quy trình xử lý khi website bị hack hoặc tấn công.

Những lỗi cần tránh khi tự xử lý

Lỗi	Hậu quả	Cách làm phù hợp
Viết hồ sơ trước khi khảo sát	Nội dung không khớp hệ thống	Khảo sát và xác nhận nguồn dữ liệu trước
Copy hồ sơ hệ thống khác	Sai phạm vi, cấp độ và phương án ATTT	Dùng mẫu chỉ làm cấu trúc, viết theo hệ thống thật
Chỉ hỏi đội IT	Thiếu nghiệp vụ, dữ liệu và thẩm quyền	Phối hợp vận hành, pháp chế, lãnh đạo và vendor
Chỉ làm giấy tờ	Khoảng trống kỹ thuật vẫn tồn tại	Rà và khắc phục song song
Không thử backup	Chỉ phát hiện bản sao hỏng khi có sự cố	Thử restore và ghi nhận kết quả
Không quản lý phiên bản tài liệu	Nhiều bản mâu thuẫn cùng lưu hành	Quy định bản chính thức, lịch sử và người phê duyệt

Khi nào nên thuê đơn vị tư vấn?

Nên cân nhắc hỗ trợ độc lập khi hệ thống do nhiều bên vận hành, thiếu tài liệu, có dữ liệu quan trọng, từng xảy ra sự cố, đang có deadline hoặc nội bộ không xác định được ranh giới và trách nhiệm.

Phạm vi tư vấn cần ghi rõ: khảo sát, dựng sơ đồ, xác định cấp độ sơ bộ, lập hồ sơ, rà biện pháp kỹ thuật, hỗ trợ khắc phục hay theo dõi đến bước nào. Đơn vị tư vấn không thể thay doanh nghiệp xác nhận những biện pháp chưa được triển khai.

Nếu mục tiêu là thuê hỗ trợ về phạm vi, quy trình và đầu ra hồ sơ, xem dịch vụ lập hồ sơ đề xuất cấp độ ATTT. Thông tin giá không đặt như một lựa chọn đồng vai trong phần này; doanh nghiệp chỉ nên xem trang báo giá khi đã cần dự toán ngân sách.

Khung kế hoạch 30 ngày tham khảo

Khung dưới đây dùng để tổ chức công việc ban đầu, không phải thời hạn cố định hoặc cam kết hoàn thành hồ sơ cho mọi hệ thống. Tiến độ phụ thuộc quy mô, chất lượng đầu vào, số bên phối hợp và khoảng trống cần khắc phục.

Giai đoạn	Việc chính	Đầu ra
Tuần 1	Khoanh phạm vi, kiểm kê tài sản, dữ liệu và bên vận hành	Danh mục hệ thống và đầu mối
Tuần 2	Rà tài khoản, backup, log, cổng mở, server, ứng dụng và API	Bảng hiện trạng và rủi ro
Tuần 3	Phân tích cấp độ dự kiến, xử lý rủi ro cao, dựng sơ đồ và hồ sơ khung	Kế hoạch khắc phục và dự thảo
Tuần 4	Rà chéo, hoàn thiện bằng chứng, chốt trách nhiệm và kế hoạch duy trì	Bộ hồ sơ sẵn sàng cho bước tiếp theo theo phạm vi thống nhất

Để ước tính thời gian có điều kiện rõ ràng, xem hồ sơ cấp độ 2 mất bao lâu.

FAQ

Hệ thống chưa có hồ sơ cấp độ có phải dừng vận hành không?

Không thể kết luận chung. Cần xem quy định áp dụng, mức rủi ro và chỉ đạo của cơ quan có thẩm quyền. Nếu có lỗ hổng có thể gây sự cố ngay, doanh nghiệp phải ưu tiên cô lập hoặc giảm rủi ro thay vì chờ hoàn thiện hồ sơ.

Có thể lập hồ sơ sau khi hệ thống đã chạy không?

Có thể cần hoàn thiện hoặc cập nhật hồ sơ, nhưng phải dựa trên khảo sát hiện trạng và quy trình áp dụng. Không nên tạo tài liệu lùi ngày hoặc mô tả biện pháp chưa triển khai.

Doanh nghiệp nhỏ có bắt buộc làm hồ sơ cấp độ không?

Quy mô doanh nghiệp không phải tiêu chí duy nhất. Cần xác định hệ thống, chủ thể, phạm vi áp dụng và quy định chuyên ngành. Doanh nghiệp nhỏ vẫn nên thực hiện kiểm kê, phân quyền, backup, log và bảo vệ cơ bản dù có thuộc diện lập hồ sơ hay không.

Rà hệ thống hay viết hồ sơ trước?

Nên rà hệ thống trước. Hồ sơ chỉ có giá trị khi phản ánh đúng phạm vi, dữ liệu, kiến trúc, quyền truy cập, backup, log và rủi ro thực tế.

Hồ sơ có thay thế triển khai bảo mật không?

Không. Hồ sơ mô tả và tổ chức phương án; doanh nghiệp vẫn phải triển khai, vận hành, kiểm tra và lưu bằng chứng cho các biện pháp quản lý và kỹ thuật.

Kết luận

Hệ thống chưa có hồ sơ cấp độ không nên được xử lý bằng cách điền nhanh một mẫu có sẵn. Cần bắt đầu từ câu hỏi hệ thống có thuộc phạm vi áp dụng hay không, sau đó khoanh ranh giới, kiểm kê tài sản và dữ liệu, rà quyền, backup, log, kiến trúc và các rủi ro có tác động cao.

Khi hiện trạng đã được xác minh, doanh nghiệp mới có cơ sở đề xuất cấp độ, lập hồ sơ và xây phương án ATTT phù hợp. Cách làm này giúp tài liệu có giá trị vận hành, giảm chồng chéo và tránh tình trạng hồ sơ đẹp nhưng hệ thống vẫn tồn tại khoảng trống nghiêm trọng.

Nguồn tham khảo

• Nghị định 85/2016/NĐ-CP về bảo đảm an toàn hệ thống thông tin theo cấp độ.
• Thông tư 12/2022/TT-BTTTT hướng dẫn Nghị định 85/2016/NĐ-CP.
• Chỉ thị 09/CT-TTg ngày 23/02/2024.