Hồ sơ đề xuất cấp độ là bộ tài liệu mô tả một hệ thống thông tin, giải thích vì sao hệ thống được đề xuất ở một cấp độ nhất định và trình bày các biện pháp quản lý, kỹ thuật dùng để bảo vệ hệ thống. Hồ sơ có giá trị khi phản ánh đúng hệ thống đang vận hành, đúng phạm vi và đúng chủ thể chịu trách nhiệm.
Nói ngắn gọn: hồ sơ không phải một “chứng chỉ” và cũng không phải bộ mẫu điền sẵn. Đây là tài liệu dùng để mô tả hệ thống, lập căn cứ đề xuất cấp độ và tổ chức phương án bảo đảm an toàn thông tin (ATTT). Việc có phải lập, thẩm định hoặc phê duyệt hay không phải xác định theo hệ thống, chủ thể và quy định áp dụng.
Bốn thuật ngữ thường gây khó hiểu
| Thuật ngữ | Hiểu đơn giản |
|---|---|
| Hồ sơ đề xuất cấp độ | Bộ tài liệu dùng để mô tả hệ thống, giải thích cấp độ đề xuất và phương án bảo vệ. |
| Thuyết minh cấp độ | Phần giải thích “vì sao đề xuất cấp độ này”, dựa trên loại hệ thống, dữ liệu, chức năng và mức độ ảnh hưởng. |
| Phương án bảo đảm ATTT | Các biện pháp quản lý và kỹ thuật dự kiến hoặc đang được dùng để bảo vệ hệ thống. |
| Bằng chứng | Tài liệu, cấu hình, nhật ký hệ thống, biên bản hoặc báo cáo cho thấy một biện pháp đã thực sự được triển khai. |
Hồ sơ đề xuất cấp độ gồm những gì?
Theo Nghị định 85/2016/NĐ-CP và hướng dẫn tại Thông tư 12/2022/TT-BTTTT, hồ sơ thường có các nhóm nội dung nền sau:
| Nhóm tài liệu | Dùng để làm gì? | Điểm cần kiểm tra |
|---|---|---|
| Mô tả tổng quan hệ thống | Làm rõ mục tiêu, chức năng, người dùng, dữ liệu và phạm vi. | Tên hệ thống và phạm vi phải thống nhất ở mọi tài liệu. |
| Tài liệu thiết kế hoặc tài liệu tương đương | Thể hiện kiến trúc, mạng, máy chủ, ứng dụng, cơ sở dữ liệu và kết nối. | Phải phản ánh hiện trạng, không dùng sơ đồ đã lỗi thời. |
| Thuyết minh đề xuất cấp độ | Giải thích căn cứ để đề xuất một cấp độ. | Không chọn cấp độ trước rồi viết ngược lý do. |
| Phương án bảo đảm ATTT | Mô tả các biện pháp quản lý và kỹ thuật. | Phân biệt rõ đã triển khai, đang làm và còn thiếu. |
| Phụ lục và bằng chứng | Hỗ trợ kiểm tra việc triển khai thực tế. | Không để lộ mật khẩu, khóa truy cập hoặc dữ liệu không cần thiết. |
Hồ sơ không thay thế bảo mật thực tế. Nếu tài khoản quản trị vẫn dùng chung, sao lưu chưa từng thử khôi phục hoặc nhật ký hệ thống không có người theo dõi thì hệ thống vẫn còn khoảng trống, dù tài liệu đã đầy đủ.
Nếu cần chuyển từ yêu cầu hồ sơ sang việc triển khai các lớp bảo vệ, xem quy trình triển khai bảo mật hệ thống từ A–Z.
Khi nào việc lập hồ sơ là nghĩa vụ?
Không nên suy luận từ việc doanh nghiệp “có website”, “có API” hoặc “có dữ liệu cá nhân”. Trước tiên cần xác định:
- Hệ thống nào đang được xem xét và phạm vi của nó ở đâu.
- Đơn vị nào chịu trách nhiệm chính, đơn vị nào vận hành.
- Hệ thống phục vụ ai, xử lý dữ liệu gì và hậu quả ra sao nếu mất an toàn.
- Cơ quan hoặc người nào có thẩm quyền theo quy định áp dụng.
- Có quy định chuyên ngành, hợp đồng hoặc yêu cầu riêng nào liên quan hay không.
Chỉ thị 09/CT-TTg ngày 23/02/2024 yêu cầu các nhóm đối tượng được nêu trong văn bản tăng cường tuân thủ và xử lý các hệ thống chưa hoàn thiện cấp độ. Không nên suy rộng nhiệm vụ và các mốc thời gian của những nhóm đó thành nghĩa vụ giống nhau cho mọi doanh nghiệp tư nhân.
Ba tình huống dễ bị nhầm
| Tình huống | Bản chất | Cách xử lý |
|---|---|---|
| Nghĩa vụ theo pháp luật | Phải thực hiện theo đúng phạm vi và thủ tục áp dụng. | Xác định hệ thống, chủ thể, thẩm quyền và văn bản liên quan. |
| Yêu cầu từ hợp đồng, đấu thầu hoặc đối tác | Có thể yêu cầu tài liệu bảo mật nhưng không nhất thiết là hồ sơ cấp độ. | Hỏi rõ loại tài liệu, căn cứ và đầu ra cần cung cấp. |
| Nhu cầu quản trị rủi ro tự nguyện | Doanh nghiệp muốn chuẩn hóa tài sản, quyền, sao lưu, nhật ký và ứng cứu. | Có thể dùng khung cấp độ để rà soát nhưng không tự gọi đó là hồ sơ đã được phê duyệt. |
Ví dụ, một đối tác yêu cầu báo cáo kiểm thử xâm nhập (pentest) không có nghĩa họ đang yêu cầu hồ sơ đề xuất cấp độ. Ngược lại, một hệ thống thuộc phạm vi phải thực hiện theo cấp độ không thể thay hồ sơ bằng một chứng chỉ hoặc báo cáo kỹ thuật khác.
Cần chuẩn bị gì trước khi lập hồ sơ?
| Nhóm đầu vào | Cần chuẩn bị |
|---|---|
| Phạm vi | Tên hệ thống, mục tiêu, thành phần thuộc và không thuộc hệ thống. |
| Kiến trúc | Ứng dụng, API, máy chủ, cơ sở dữ liệu, mạng và dịch vụ bên thứ ba. |
| Dữ liệu | Loại dữ liệu, nơi lưu, luồng truyền, người được truy cập và thời gian lưu. |
| Tài khoản và quyền | Nhóm người dùng, tài khoản quản trị, tài khoản dịch vụ, cách cấp và thu hồi quyền. |
| Vận hành | Sao lưu, nhật ký hệ thống, bản vá, giám sát, thay đổi và ứng cứu sự cố. |
| Quản trị | Đơn vị chịu trách nhiệm chính, đơn vị vận hành, nhà cung cấp và người phê duyệt. |
Nếu chưa biết bắt đầu từ đâu, đi theo quy trình lập hồ sơ đề xuất cấp độ và dùng mẫu cấu trúc hồ sơ như khung tham khảo.
Doanh nghiệp tư nhân nên rà soát thế nào?
Hãy bắt đầu từ vai trò thực tế của doanh nghiệp đối với hệ thống: tự vận hành hệ thống nội bộ, cung cấp phần mềm, vận hành thuê cho khách hàng hay xử lý dữ liệu theo hợp đồng. Mỗi vai trò có thể tạo ra trách nhiệm khác nhau.
Việc có tài khoản đăng nhập, API hoặc dữ liệu cá nhân là tín hiệu cần rà rủi ro nhưng không tự động quyết định nghĩa vụ hay cấp độ. Khi chưa chắc, nên xác nhận với đầu mối pháp lý hoặc cơ quan có thẩm quyền thay vì dùng một bài viết trên Internet làm kết luận cuối.
Tự làm hay thuê đơn vị hỗ trợ?
| Có thể tự làm khi | Nên cân nhắc hỗ trợ khi |
|---|---|
| Phạm vi nhỏ, tài liệu cập nhật và có người hiểu quy định. | Hệ thống có nhiều bên vận hành hoặc phạm vi chưa rõ. |
| Đội nội bộ nắm cả nghiệp vụ, kỹ thuật và luồng duyệt. | Thiếu sơ đồ, danh mục tài sản hoặc bằng chứng. |
| Có đủ thời gian rà và quản lý phiên bản. | Có thời hạn gấp, hồ sơ từng bị góp ý nhiều hoặc cần rà độc lập. |
Nếu cần hỗ trợ từ khảo sát phạm vi đến soạn và hoàn thiện tài liệu, xem dịch vụ lập hồ sơ đề xuất cấp độ ATTT.
FAQ
Hồ sơ đề xuất cấp độ có phải chứng chỉ không?
Không. Đây là bộ tài liệu mô tả hệ thống, căn cứ đề xuất cấp độ và phương án bảo đảm ATTT.
Có dữ liệu cá nhân thì mặc định phải lập hồ sơ cấp độ?
Không. Nghĩa vụ bảo vệ dữ liệu cá nhân và nghĩa vụ theo cấp độ có thể liên quan nhưng không đồng nhất. Cần đối chiếu từng khung quy định.
Hồ sơ có thay thế việc triển khai bảo mật không?
Không. Các biện pháp trong hồ sơ phải được triển khai, kiểm tra, vận hành và có bằng chứng phù hợp.
Nguồn chính thức
Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.