Hồ sơ đề xuất cấp độ là bộ tài liệu mô tả hệ thống thông tin, giải thích căn cứ đề xuất một cấp độ và trình bày phương án bảo đảm an toàn thông tin tương ứng. Hồ sơ chỉ có giá trị khi dùng đúng phạm vi, đúng chủ thể và phản ánh đúng hệ thống đang vận hành.
Không nên hiểu rằng mọi website, phần mềm hoặc doanh nghiệp có dữ liệu cá nhân đều tự động phải lập cùng một bộ hồ sơ. Trước hết cần xác định hệ thống có thuộc phạm vi thực hiện bảo đảm an toàn hệ thống thông tin theo cấp độ hay không, cơ quan hoặc người nào có thẩm quyền và có quy định chuyên ngành nào liên quan.
Tóm tắt: Hồ sơ đề xuất cấp độ gồm các nhóm tài liệu nền như mô tả tổng quan, tài liệu thiết kế hoặc tài liệu tương đương, thuyết minh đề xuất cấp độ và phương án bảo đảm ATTT. Nghĩa vụ lập, thẩm định hoặc phê duyệt phải được xác định theo hệ thống, chủ thể và quy định áp dụng; không thể suy ra chỉ từ việc có website, API hoặc dữ liệu cá nhân.
Hồ sơ đề xuất cấp độ là gì?
Theo Nghị định 85/2016/NĐ-CP, hồ sơ đề xuất cấp độ là cơ sở để mô tả hệ thống, đề xuất cấp độ và trình bày phương án bảo đảm an toàn thông tin. Thông tư 12/2022/TT-BTTTT hướng dẫn chi tiết thêm về xác định hệ thống, thuyết minh cấp độ và yêu cầu bảo đảm an toàn.
| Nhóm tài liệu | Mục đích | Điểm cần kiểm tra |
|---|---|---|
| Mô tả tổng quan | Giải thích mục tiêu, chức năng, người dùng, dữ liệu và phạm vi | Tên và ranh giới phải thống nhất |
| Tài liệu thiết kế hoặc tương đương | Thể hiện kiến trúc, máy chủ, ứng dụng, database, mạng và kết nối | Phải phản ánh hiện trạng, không dùng sơ đồ lỗi thời |
| Thuyết minh đề xuất cấp độ | Lập luận từ loại hệ thống và mức độ ảnh hưởng | Không chọn cấp độ trước rồi viết ngược căn cứ |
| Phương án bảo đảm ATTT | Mô tả biện pháp quản lý và kỹ thuật tương ứng | Phân biệt đã triển khai, đang làm và còn thiếu |
| Phụ lục, bằng chứng | Hỗ trợ kiểm tra tài khoản, log, backup, cấu hình và vận hành | Không để lộ mật khẩu, token hoặc dữ liệu không cần thiết |
Hồ sơ không thay thế hoạt động bảo mật thực tế. Có tài liệu nhưng tài khoản vẫn dùng chung, backup chưa thử khôi phục hoặc log không có người theo dõi thì hệ thống vẫn còn khoảng trống cần xử lý.
Nếu cần chuyển từ yêu cầu hồ sơ sang các kiểm soát kỹ thuật và vận hành thực tế, xem quy trình triển khai bảo mật hệ thống từ A–Z để rà kiến trúc, hardening, MFA, WAF, backup, log, monitoring và ứng cứu.
Khi nào việc lập hồ sơ là nghĩa vụ?
Câu trả lời phụ thuộc vào hệ thống và chủ thể cụ thể. Không nên dùng một danh sách ngành nghề, số lượng máy chủ hoặc loại dữ liệu để tự kết luận. Cần đối chiếu ít nhất bốn nhóm thông tin:
- Hệ thống nào đang được xem xét và ranh giới của nó ở đâu.
- Ai là chủ quản, đơn vị vận hành và người có thẩm quyền.
- Hệ thống phục vụ đối tượng nào, xử lý dữ liệu gì và có tác động ra sao khi mất an toàn.
- Luật, nghị định, thông tư, quy định chuyên ngành hoặc yêu cầu của cơ quan có thẩm quyền nào áp dụng.
Chỉ thị 09/CT-TTg ngày 23/02/2024 yêu cầu các nhóm cơ quan, tổ chức được nêu trong văn bản tăng cường tuân thủ và xử lý tình trạng hệ thống chưa được phê duyệt cấp độ. Không nên suy rộng nhiệm vụ và deadline của các nhóm này thành nghĩa vụ giống nhau cho mọi doanh nghiệp tư nhân.
Ba tình huống dễ bị nhầm với nhau
| Tình huống | Bản chất | Cách xử lý |
|---|---|---|
| Nghĩa vụ theo pháp luật hoặc quyết định có thẩm quyền | Phải thực hiện theo phạm vi, thủ tục và thẩm quyền áp dụng | Đối chiếu văn bản, xác định hệ thống và lập hồ sơ đúng quy trình |
| Yêu cầu hợp đồng, đấu thầu hoặc đối tác | Có thể yêu cầu chứng minh năng lực, tài liệu hoặc tuân thủ cụ thể | Làm rõ yêu cầu nào là hồ sơ cấp độ, yêu cầu nào là kiểm soát bảo mật khác |
| Nhu cầu quản trị rủi ro tự nguyện | Doanh nghiệp muốn chuẩn hóa tài sản, quyền, backup, log và ứng cứu | Có thể dùng khung cấp độ để rà soát nhưng không tự gọi là hồ sơ được phê duyệt |
Một khách hàng yêu cầu báo cáo pentest hoặc chính sách bảo mật không đồng nghĩa họ đang yêu cầu hồ sơ đề xuất cấp độ. Ngược lại, hệ thống thuộc phạm vi phải thực hiện theo cấp độ không thể thay hồ sơ bằng một chứng chỉ hoặc báo cáo kỹ thuật khác.
Doanh nghiệp tư nhân nên rà soát thế nào?
Doanh nghiệp tư nhân nên bắt đầu bằng việc xác định vai trò của mình đối với hệ thống. Có thể là đơn vị tự vận hành hệ thống nội bộ, nhà cung cấp phần mềm, đơn vị vận hành thuê cho khách hàng hoặc bên xử lý dữ liệu theo hợp đồng. Mỗi vai trò tạo ra trách nhiệm khác nhau.
| Tình huống | Câu hỏi cần làm rõ |
|---|---|
| Cung cấp hệ thống cho cơ quan hoặc tổ chức thuộc phạm vi | Ai lập hồ sơ, ai phê duyệt, ai cung cấp sơ đồ, tài khoản và bằng chứng? |
| Vận hành nền tảng SaaS hoặc dịch vụ số | Có quy định chuyên ngành, hợp đồng hoặc phạm vi pháp lý nào yêu cầu cấp độ? |
| Chỉ vận hành website doanh nghiệp | Website thuộc hệ thống nào, phục vụ chức năng gì và có quy định cụ thể nào áp dụng? |
| Xử lý dữ liệu cá nhân | Nghĩa vụ về dữ liệu cá nhân là gì và có độc lập với nghĩa vụ cấp độ hay không? |
| Đối tác yêu cầu tài liệu | Họ cần hồ sơ cấp độ, quyết định phê duyệt hay một bằng chứng bảo mật khác? |
Việc có tài khoản đăng nhập, API hoặc dữ liệu cá nhân là tín hiệu cần rà rủi ro, nhưng không tự động quyết định nghĩa vụ hay cấp độ. Khi chưa chắc, nên ghi rõ giả định và xác nhận với đầu mối pháp lý hoặc cơ quan có thẩm quyền thay vì dùng bài viết trên Internet làm kết luận cuối.
Cần chuẩn bị gì trước khi lập hồ sơ?
Phần mất thời gian nhất thường là chuẩn hóa đầu vào. Nếu tài liệu thiếu hoặc nhiều nhà cung cấp nắm từng phần, việc soạn nhanh chỉ tạo ra một bản nháp khó kiểm chứng.
| Nhóm đầu vào | Nội dung cần chuẩn bị |
|---|---|
| Phạm vi | Tên hệ thống, mục tiêu, thành phần nằm trong và ngoài ranh giới |
| Kiến trúc | Website, ứng dụng, API, server, database, mạng và dịch vụ liên quan |
| Dữ liệu | Loại dữ liệu, nơi lưu, luồng truyền, người được truy cập và thời gian lưu |
| Danh tính và quyền | Nhóm người dùng, admin, tài khoản dịch vụ, quy trình cấp và thu hồi quyền |
| Vận hành | Backup, log, bản vá, monitoring, thay đổi và ứng cứu sự cố |
| Quản trị | Đơn vị chủ quản, vận hành, nhà cung cấp, người duyệt và đầu mối phối hợp |
| Tài liệu hiện có | Thiết kế, biên bản bàn giao, chính sách, báo cáo đánh giá và bằng chứng |
Nếu chưa biết bắt đầu từ đâu, xem quy trình lập hồ sơ đề xuất cấp độ và dùng mẫu cấu trúc hồ sơ như khung tham khảo.
Bảng tự rà soát: vấn đề nào cần xác minh?
| Câu hỏi | Vì sao cần biết? | Hành động |
|---|---|---|
| Hệ thống có thuộc một cơ quan, tổ chức hoặc lĩnh vực có quy định riêng không? | Xác định phạm vi pháp lý và thẩm quyền | Đối chiếu văn bản và hợp đồng |
| Hệ thống phục vụ ai và chức năng nào? | Hiểu vai trò và mức độ phụ thuộc | Lập mô tả nghiệp vụ và nhóm người dùng |
| Dữ liệu nào được xử lý? | Đánh giá tác động khi lộ, sửa hoặc mất | Lập danh mục và luồng dữ liệu |
| Hệ thống có phụ thuộc API, cloud hoặc nhà cung cấp không? | Tránh bỏ sót thành phần và trách nhiệm | Vẽ sơ đồ và ma trận trách nhiệm |
| Có tài khoản quản trị, backup và log đủ dùng không? | Đánh giá mức sẵn sàng vận hành | Rà kỹ thuật và lưu bằng chứng |
| Đối tác đang yêu cầu chính xác tài liệu nào? | Tránh nhầm hồ sơ cấp độ với chứng chỉ hoặc báo cáo khác | Yêu cầu mô tả và căn cứ rõ ràng |
| Ai có quyền xác nhận và phê duyệt? | Tránh làm sai quy trình | Xác định đầu mối trước khi soạn |
Không có ngưỡng “ba câu Có” hoặc “năm câu Có” để kết luận phải lập hồ sơ. Chỉ một yếu tố pháp lý hoặc một hệ thống có tác động cao đã có thể thay đổi cách xử lý; nhiều câu trả lời “Có” cũng không thay thế việc xác định đúng phạm vi và chủ thể.
Quy trình xử lý từ rà soát đến duy trì
- Xác định hệ thống, chủ thể, quy định và thẩm quyền áp dụng.
- Khoanh ranh giới, kiểm kê tài sản, dữ liệu, người dùng và kết nối.
- Phân tích mức độ ảnh hưởng và hình thành cấp độ đề xuất sơ bộ.
- Rà khoảng trống về quản lý, tài khoản, mạng, máy chủ, ứng dụng, dữ liệu, log và backup.
- Soạn hồ sơ từ một nguồn dữ liệu đã được xác nhận.
- Rà chéo giữa nghiệp vụ, kỹ thuật, quản lý và người có thẩm quyền.
- Trình, xử lý góp ý và lưu phiên bản theo quy trình áp dụng.
- Triển khai phương án ATTT, lưu bằng chứng và cập nhật sau thay đổi.
Nếu hệ thống đã vận hành nhưng chưa có tài liệu, xem cách rà soát hệ thống chưa có hồ sơ cấp độ. Không nên tạo tài liệu lùi ngày hoặc mô tả biện pháp chưa được thực hiện.
Tự làm hay thuê đơn vị hỗ trợ?
| Có thể tự làm khi | Nên cân nhắc hỗ trợ khi |
|---|---|
| Phạm vi nhỏ, tài liệu cập nhật và có người hiểu quy định | Hệ thống có nhiều bên vận hành hoặc ranh giới chưa rõ |
| Đội nội bộ nắm cả nghiệp vụ, kỹ thuật và luồng duyệt | Thiếu sơ đồ, danh mục tài sản hoặc bằng chứng |
| Có đủ thời gian rà và quản lý phiên bản | Có deadline, từng bị góp ý hoặc cần đánh giá độc lập |
| Chỉ đang làm bản rà soát nội bộ sơ bộ | Cần vừa lập hồ sơ vừa xử lý khoảng trống kỹ thuật |
Nếu nhu cầu chính là khảo sát, xác định phạm vi, soạn hồ sơ và hỗ trợ xử lý góp ý, xem dịch vụ lập hồ sơ đề xuất cấp độ ATTT. Trang báo giá chỉ phù hợp khi doanh nghiệp đã cần dự toán ngân sách theo phạm vi cụ thể.
FAQ
Hồ sơ đề xuất cấp độ có bắt buộc không?
Có đối với hệ thống thuộc phạm vi phải thực hiện theo cấp độ và theo thủ tục áp dụng. Cần xác định hệ thống, chủ thể và thẩm quyền trước khi kết luận.
Doanh nghiệp tư nhân có phải lập hồ sơ không?
Không thể kết luận chỉ từ loại hình doanh nghiệp. Cần xem vai trò của doanh nghiệp đối với hệ thống, quy định chuyên ngành, hợp đồng và phạm vi pháp lý cụ thể.
Có dữ liệu cá nhân thì mặc định phải lập hồ sơ cấp độ không?
Không. Nghĩa vụ bảo vệ dữ liệu cá nhân và nghĩa vụ theo cấp độ có thể liên quan nhưng không đồng nhất. Phải đối chiếu từng khung quy định.
Website giới thiệu có cần hồ sơ cấp độ không?
Không thể quyết định chỉ từ tên gọi “website giới thiệu”. Cần xem website thuộc hệ thống nào, phục vụ chức năng gì, chủ thể nào vận hành và có quy định cụ thể nào áp dụng.
Hồ sơ có thay thế bảo mật thực tế không?
Không. Các biện pháp trong hồ sơ phải được triển khai, kiểm tra, vận hành và lưu bằng chứng.
Kết luận
Hồ sơ đề xuất cấp độ là bộ tài liệu có vai trò xác định hệ thống, giải thích cấp độ đề xuất và tổ chức phương án bảo đảm an toàn thông tin. Giá trị của hồ sơ nằm ở tính đúng phạm vi, tính nhất quán và khả năng đối chiếu với hệ thống thật.
Doanh nghiệp không nên tự kết luận nghĩa vụ chỉ vì có website, API hoặc dữ liệu cá nhân. Hãy xác định chủ thể, phạm vi pháp lý, thẩm quyền và yêu cầu cụ thể trước; sau đó mới quyết định lập hồ sơ, chuẩn bị bằng chứng hay thực hiện một hình thức đánh giá bảo mật khác.
Nguồn chính thức
Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.
