Nếu đang chuẩn bị hồ sơ cấp độ, câu hỏi đầu tiên thường là: hệ thống này nên đề xuất cấp độ nào? Không nên trả lời bằng số lượng máy chủ, ngân sách, tên phần mềm hay một ví dụ lấy từ đơn vị khác. Cần xác định đúng phạm vi hệ thống, chức năng, dữ liệu, đối tượng sử dụng và hậu quả nếu mất an toàn; sau đó mới đối chiếu tiêu chí pháp lý để hình thành đề xuất sơ bộ.
Lưu ý: Nội dung dưới đây là hướng dẫn chuẩn bị và rà soát đầu vào, không thay thế kết luận pháp lý hoặc kết quả thẩm định/phê duyệt cho một hệ thống cụ thể.
Nguồn pháp lý đã đối chiếu ngày 07/09/2026
Để tránh biến checklist Internet thành “căn cứ pháp lý”, bài này dùng trực tiếp các trang văn bản trên Cổng Thông tin điện tử Chính phủ. Các trang hiện công bố:
| Văn bản | Thông tin đang được Cổng Chính phủ công bố | Vai trò trong bài |
|---|---|---|
| Nghị định 85/2016/NĐ-CP | Ban hành 01/07/2016; trang văn bản ghi ngày có hiệu lực 01/07/2016; về bảo đảm an toàn hệ thống thông tin theo cấp độ | Khung cấp độ và yêu cầu pháp lý nền tảng |
| Thông tư 12/2022/TT-BTTTT | Ban hành 12/08/2022; trang văn bản ghi ngày có hiệu lực 01/10/2022; hướng dẫn một số điều của Nghị định 85/2016/NĐ-CP | Hướng dẫn chi tiết về xác định hệ thống, hồ sơ và yêu cầu bảo đảm ATTT theo cấp độ |
| Chỉ thị 09/CT-TTg ngày 23/02/2024 | Về tuân thủ quy định pháp luật và tăng cường bảo đảm an toàn hệ thống thông tin theo cấp độ | Bối cảnh tuân thủ và yêu cầu tăng cường triển khai |
Việc Cổng Chính phủ đang công bố các văn bản và thông tin hiệu lực nêu trên là bằng chứng nguồn hiện tại cho bài viết; tuy nhiên, khi dùng để lập hồ sơ chính thức vẫn cần kiểm tra văn bản sửa đổi, thay thế, hướng dẫn chuyên ngành và thẩm quyền áp dụng cho đúng hệ thống tại thời điểm nộp hồ sơ.
Nếu chưa chắc đầu vào đã đủ, nên đi qua 5 bước tự đánh giá mức độ ATTT trước. Nếu chưa rõ bộ hồ sơ dùng để làm gì, xem hồ sơ đề xuất cấp độ là gì.
5 thuật ngữ cần làm rõ trước khi đề xuất cấp độ
| Thuật ngữ | Hiểu thực tế |
|---|---|
| Phạm vi/ranh giới hệ thống | Các ứng dụng, máy chủ, cơ sở dữ liệu, kết nối, dịch vụ đám mây và thành phần được tính vào hệ thống đang xét |
| Chủ quản | Đơn vị chịu trách nhiệm chính đối với hệ thống theo mô hình tổ chức và quy định áp dụng |
| Đơn vị vận hành | Đơn vị trực tiếp quản trị, duy trì và xử lý vận hành hằng ngày |
| Thẩm quyền | Cơ quan/người có quyền thẩm định, phê duyệt hoặc quyết định theo trường hợp cụ thể |
| Mức độ ảnh hưởng | Hậu quả đối với hoạt động, dữ liệu, tổ chức và đối tượng liên quan nếu mất bí mật, toàn vẹn hoặc sẵn sàng |
Xác định cấp độ an toàn thông tin là gì?
Đây là quá trình xác định đúng hệ thống đang được xem xét, hệ thống phục vụ nghiệp vụ gì, ai sử dụng, xử lý loại dữ liệu nào và hậu quả ra sao nếu mất an toàn. Từ các dữ kiện đó, đơn vị đối chiếu tiêu chí của từng cấp độ và lập đề xuất có căn cứ.
Thông tư 12/2022/TT-BTTTT là nguồn cần đọc cùng Nghị định 85/2016/NĐ-CP khi chuẩn bị hồ sơ và yêu cầu bảo đảm ATTT theo cấp độ. Checklist trong bài chỉ hỗ trợ chuẩn bị dữ liệu; không thay thế việc đọc văn bản và xác định đúng quy trình áp dụng.
4 việc cần làm trước khi đề xuất cấp độ
1. Khoanh đúng hệ thống
Liệt kê ứng dụng, máy chủ, cơ sở dữ liệu, API, tên miền, dịch vụ đám mây và các kết nối quan trọng. Tách rõ phần thuộc hệ thống, phần dùng chung và phần do bên thứ ba quản lý. Khoanh quá rộng dễ gom nhiều hệ thống khác nhau vào một hồ sơ; khoanh quá hẹp có thể bỏ sót dữ liệu hoặc kết nối quan trọng.
2. Xác định chức năng, dữ liệu và người dùng
- Hệ thống phục vụ nghiệp vụ nào và ai phụ thuộc vào nó?
- Dữ liệu nào được thu thập, lưu, truyền, sửa, xuất hoặc xóa?
- Ai có quyền sử dụng và ai có quyền quản trị?
- Hệ thống phụ thuộc API, cloud hoặc nhà cung cấp nào?
3. Phân tích hậu quả khi mất bí mật, toàn vẹn và sẵn sàng
- Bí mật: hậu quả gì nếu thông tin bị người không được phép xem?
- Toàn vẹn: điều gì xảy ra nếu dữ liệu bị sửa, xóa hoặc giả mạo?
- Sẵn sàng: hoạt động nào bị ảnh hưởng nếu hệ thống không thể phục vụ?
Ba câu hỏi này giúp chuyển thuật ngữ kỹ thuật thành tác động thực tế đối với nghiệp vụ, người dùng và tổ chức.
4. Đối chiếu tiêu chí và ghi rõ căn cứ
Sau khi có đủ dữ liệu đầu vào, đối chiếu tiêu chí pháp lý của từng cấp độ và hướng dẫn hiện hành. Kết quả sơ bộ nên ghi rõ: cấp độ đang đề xuất, tiêu chí nào hỗ trợ đề xuất đó, bằng chứng nào đang có, bằng chứng nào còn thiếu và ai cần xác nhận.
Không nên xác định cấp độ chỉ bằng các dấu hiệu đơn lẻ
| Không nên kết luận chỉ từ | Vì sao |
|---|---|
| Số lượng máy chủ/người dùng | Không phản ánh đầy đủ chức năng, dữ liệu và hậu quả khi xảy ra sự cố |
| Tên gọi “website”, “ERP”, “CRM” | Cùng tên nhưng phạm vi và mức độ phụ thuộc có thể rất khác |
| Có dữ liệu cá nhân | Là yếu tố phải xem xét nhưng không tự động quyết định một cấp cụ thể |
| Hệ thống nội bộ hay mở Internet | Vẫn phải xét chức năng, đối tượng phục vụ, dữ liệu và tác động |
| Ngân sách dự kiến | Cấp độ đi từ yêu cầu bảo vệ; ngân sách là bài toán triển khai sau đó |
Hiểu đúng về 5 cấp độ
Nghị định 85/2016/NĐ-CP quy định hệ thống thông tin được phân loại theo 5 cấp độ. Không nên biến 5 cấp này thành công thức giản lược kiểu “website nhỏ = cấp 1” hoặc “có đăng nhập = cấp 2”. Cấp đề xuất phải được đối chiếu theo tiêu chí pháp lý và bằng chứng của hệ thống cụ thể.
Khi dữ kiện chưa đủ, nên dùng nhãn “cấp độ đề xuất sơ bộ” và kèm danh sách thông tin còn thiếu. Đây là cách kiểm soát rủi ro tốt hơn việc biến nhận định ban đầu thành kết luận chắc chắn.
Sau khi có đề xuất sơ bộ, làm gì tiếp?
- Cho người nắm nghiệp vụ và kỹ thuật xác nhận phạm vi, dữ liệu, kết nối và mức độ ảnh hưởng.
- Rà lại văn bản đang áp dụng, văn bản sửa đổi/thay thế nếu có và thẩm quyền của trường hợp cụ thể.
- Lập danh sách phần còn thiếu về tài liệu, biện pháp quản lý và biện pháp kỹ thuật.
- Soạn hồ sơ từ cùng một bộ thông tin đã được xác nhận, tránh mâu thuẫn giữa mô tả hệ thống và phương án bảo đảm ATTT.
- Đối chiếu cấp độ đề xuất với yêu cầu bảo đảm ATTT và bằng chứng thực tế trước khi trình.
Xem tiếp quy trình lập hồ sơ đề xuất cấp độ và mẫu cấu trúc hồ sơ. Nếu cần hỗ trợ từ bước rà phạm vi đến hoàn thiện tài liệu, xem dịch vụ lập hồ sơ đề xuất cấp độ ATTT.
FAQ
Có bao nhiêu cấp độ an toàn thông tin?
Khung pháp lý nêu trên sử dụng 5 cấp độ. Khi áp dụng cho hồ sơ cụ thể, cần đối chiếu tiêu chí và hướng dẫn hiện hành thay vì suy từ quy mô hệ thống.
Có thể tự xác định cấp độ không?
Đơn vị có thể tự rà và lập đề xuất sơ bộ nếu có đủ dữ liệu và năng lực. Kết quả chính thức vẫn phải đi theo hồ sơ, thẩm quyền và quy trình áp dụng cho trường hợp cụ thể.
Có dữ liệu cá nhân thì mặc định cấp 2 hoặc 3?
Không nên kết luận như vậy. Cần xét loại hệ thống, chức năng, phạm vi phục vụ, dữ liệu, hậu quả khi xảy ra sự cố và tiêu chí pháp lý tương ứng.
Nguồn chính thức
Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.