Khi bị thanh tra an toàn thông tin, doanh nghiệp cần chuẩn bị hồ sơ gì?

Khi nhận quyết định hoặc kế hoạch thanh tra, kiểm tra an toàn thông tin, điều doanh nghiệp cần làm đầu tiên không phải là in thật nhiều tài liệu. Việc quan trọng hơn là đọc kỹ phạm vi, đối tượng, thời kỳ kiểm tra và danh mục tài liệu được yêu cầu; sau đó đối chiếu hồ sơ với hệ thống đang vận hành.

Rủi ro thường xuất hiện khi hệ thống đã thay đổi nhưng hồ sơ vẫn mô tả kiến trúc cũ, quy trình có trên giấy nhưng thiếu bằng chứng thực hiện, hoặc nhiều nhà cung cấp cùng vận hành mà không bên nào nắm được toàn bộ trách nhiệm.

Tóm tắt: Hồ sơ cần chuẩn bị phụ thuộc quyết định và đề cương của từng đợt thanh tra/kiểm tra. Khung rà soát thực tế thường gồm 5 nhóm: hồ sơ cấp độ và căn cứ pháp lý; quy chế, chính sách và quy trình; hồ sơ vận hành và bằng chứng kỹ thuật; báo cáo kiểm tra, đánh giá và khắc phục; hồ sơ nhân sự, phân công trách nhiệm. Mọi tài liệu phải thống nhất với phạm vi và hiện trạng hệ thống.

Đối với hệ thống thuộc phạm vi bảo đảm an toàn hệ thống thông tin theo cấp độ, các căn cứ nền tảng gồm Nghị định 85/2016/NĐ-CP, Thông tư 12/2022/TT-BTTTT và các văn bản chuyên ngành có liên quan. Chỉ thị 09/CT-TTg ngày 23/02/2024 yêu cầu các cơ quan, tổ chức thuộc phạm vi chỉ đạo tăng cường tuân thủ quy định về an toàn hệ thống thông tin theo cấp độ.

Trước khi gom hồ sơ, cần xác định đúng phạm vi kiểm tra

Không có một danh mục duy nhất áp dụng nguyên trạng cho mọi doanh nghiệp và mọi đợt kiểm tra. Phạm vi có thể tập trung vào một hệ thống cụ thể, một thời kỳ vận hành, việc thực hiện yêu cầu theo cấp độ, công tác ứng cứu sự cố, bảo vệ dữ liệu hoặc một nội dung chuyên ngành.

Ngay khi nhận văn bản, nên lập một bảng điều phối gồm: nội dung được yêu cầu, tài liệu tương ứng, đơn vị giữ tài liệu, người xác nhận, tình trạng hiện tại và thời hạn hoàn thành. Cách này giúp tránh gửi tài liệu thừa, bỏ sót tài liệu chính hoặc để nhiều phiên bản mâu thuẫn cùng xuất hiện.

Câu hỏi cần chốt	Ý nghĩa	Đầu ra nên có
Đối tượng và hệ thống nào được kiểm tra?	Khoanh đúng ranh giới hồ sơ	Danh sách hệ thống, domain, ứng dụng, máy chủ và đơn vị vận hành
Thời kỳ kiểm tra là khi nào?	Chọn đúng log, báo cáo và biên bản	Mốc thời gian và thư mục bằng chứng tương ứng
Nội dung nào nằm trong đề cương?	Ưu tiên tài liệu đúng yêu cầu	Ma trận yêu cầu – tài liệu – người phụ trách
Ai là đầu mối phát ngôn và cung cấp tài liệu?	Tránh trả lời mâu thuẫn	Quyết định hoặc phân công nội bộ
Tài liệu nào chứa thông tin nhạy cảm?	Kiểm soát việc sao chép và bàn giao	Danh mục tài liệu, mức độ mật và cách cung cấp

5 nhóm hồ sơ nên rà soát trước khi làm việc

Năm nhóm dưới đây là khung tổ chức tài liệu, không thay thế danh mục chính thức của đoàn thanh tra/kiểm tra. Doanh nghiệp chỉ nên chuẩn bị và cung cấp các tài liệu phù hợp với phạm vi áp dụng, đề cương và yêu cầu cụ thể.

1. Hồ sơ cấp độ và tài liệu mô tả hệ thống

Với hệ thống thuộc diện thực hiện bảo đảm an toàn thông tin theo cấp độ, đây là nhóm cần rà đầu tiên. Hồ sơ đề xuất cấp độ theo Nghị định 85/2016/NĐ-CP gồm các tài liệu nền như mô tả tổng quan, tài liệu thiết kế hoặc tài liệu có giá trị tương đương, thuyết minh đề xuất cấp độ và thuyết minh phương án bảo đảm an toàn thông tin.

• Hồ sơ đề xuất cấp độ và các phiên bản đã trình.
• Kết quả thẩm định, quyết định phê duyệt hoặc tài liệu thể hiện tình trạng xử lý hồ sơ.
• Mô tả tổng quan, sơ đồ kiến trúc, luồng dữ liệu và kết nối bên ngoài.
• Danh mục máy chủ, thiết bị, phần mềm, cơ sở dữ liệu, API và dịch vụ bên thứ ba.
• Phương án bảo đảm an toàn thông tin theo cấp độ được đề xuất hoặc phê duyệt.
• Tài liệu cập nhật khi phạm vi, kiến trúc, dữ liệu hoặc đơn vị vận hành thay đổi.

Điểm cần kiểm tra là tính thống nhất. Tên hệ thống, phạm vi, dữ liệu, sơ đồ và các biện pháp bảo vệ không được mô tả theo nhiều phiên bản khác nhau. Có thể đối chiếu thêm bài hồ sơ đề xuất cấp độ là gì.

2. Quy chế, chính sách và quy trình quản lý ATTT

Tài liệu kỹ thuật không thay thế quy định quản lý. Doanh nghiệp cần chứng minh ai được giao trách nhiệm, quyền được cấp và thu hồi thế nào, thay đổi hệ thống được kiểm soát ra sao và quy trình nào được kích hoạt khi có sự cố.

• Quy chế hoặc chính sách bảo đảm an toàn thông tin áp dụng cho hệ thống.
• Quy trình cấp, thay đổi, rà soát và thu hồi tài khoản.
• Quy trình quản lý quyền quản trị, truy cập từ xa và tài khoản bên thứ ba.
• Quy trình sao lưu, thử khôi phục và bảo quản bản sao.
• Quy trình cập nhật bản vá, quản lý thay đổi và hoàn tác khi có lỗi.
• Quy trình giám sát, tiếp nhận cảnh báo và ứng cứu sự cố.
• Quy định lưu trữ log, bằng chứng và báo cáo vận hành.

Mỗi quy trình nên ghi rõ phạm vi, người thực hiện, người phê duyệt, tần suất, biểu mẫu và nơi lưu bằng chứng. Tài liệu chung chung nhưng không xác định trách nhiệm sẽ khó đối chiếu với vận hành.

3. Hồ sơ vận hành và bằng chứng kỹ thuật

Nhóm này cho thấy các chính sách đang được thực hiện, thay vì chỉ tồn tại trên giấy. Bằng chứng cần được lấy đúng thời kỳ kiểm tra và che thông tin bí mật như mật khẩu, khóa API, token hoặc dữ liệu cá nhân không cần thiết.

• Danh sách tài khoản, vai trò, quyền cao và kết quả rà soát quyền gần nhất.
• Log đăng nhập, thao tác quản trị, thay đổi cấu hình và cảnh báo bất thường.
• Biên bản hoặc báo cáo backup, kết quả thử khôi phục và tình trạng bản sao ngoài hệ thống chính.
• Lịch sử cập nhật bản vá, phiên bản phần mềm và xử lý lỗ hổng đã biết.
• Phiếu thay đổi, kết quả kiểm thử và kế hoạch hoàn tác.
• Danh mục tài sản, người sở hữu và trạng thái hỗ trợ của từng thành phần.
• Bằng chứng cấu hình firewall, WAF, MFA, phân vùng mạng hoặc biện pháp khác theo phạm vi áp dụng.

Không nên tạo lại bằng chứng giả hoặc chỉnh sửa lịch sử để “đủ hồ sơ”. Nếu thiếu, cần ghi nhận trung thực tình trạng, xác định nguyên nhân, người phụ trách và kế hoạch khắc phục.

4. Hồ sơ kiểm tra, đánh giá và khắc phục

Hệ thống có thể đã từng được rà quét, kiểm thử hoặc đánh giá nhưng kết quả nằm rải rác ở email, nhà cung cấp hoặc công cụ. Doanh nghiệp nên gom thành một chuỗi có thể theo dõi từ phát hiện đến đóng tồn tại.

• Kế hoạch và báo cáo kiểm tra, đánh giá ATTT theo chu kỳ áp dụng.
• Kết quả rà quét lỗ hổng, kiểm thử hoặc đánh giá cấu hình.
• Danh sách tồn tại, mức độ rủi ro và người chịu trách nhiệm xử lý.
• Kế hoạch khắc phục, thời hạn, trạng thái và lý do chấp nhận rủi ro nếu có.
• Bằng chứng kiểm tra lại sau khắc phục.
• Báo cáo sự cố, nguyên nhân gốc và hành động ngăn tái diễn nếu đã xảy ra sự cố.

Báo cáo phát hiện lỗi nhưng không có hồ sơ theo dõi xử lý sẽ tạo khoảng trống quản trị. Ngược lại, một tồn tại chưa thể xử lý ngay vẫn có thể được quản lý rõ bằng đánh giá rủi ro, biện pháp tạm thời, người chịu trách nhiệm và thời hạn xem xét lại.

5. Hồ sơ tổ chức, nhân sự và phối hợp

Đoàn thanh tra/kiểm tra có thể cần làm rõ ai chịu trách nhiệm cho từng phần của hệ thống. Câu trả lời “bên IT quản lý” thường chưa đủ nếu không xác định được quyền hạn, đầu mối và cơ chế phối hợp.

• Quyết định hoặc tài liệu phân công đầu mối phụ trách ATTT.
• Danh sách nhân sự quản trị, vận hành, giám sát và ứng cứu.
• Ma trận trách nhiệm giữa doanh nghiệp, đơn vị chủ quản, nhà cung cấp và đội phát triển.
• Tài liệu đào tạo, tập huấn và nâng cao nhận thức phù hợp với vai trò.
• Cam kết bảo mật, quy định bàn giao và thu hồi quyền khi nhân sự thay đổi.
• Danh sách liên hệ khẩn cấp và cơ chế báo cáo sự cố.

Cách đối chiếu hồ sơ với hiện trạng trước ngày làm việc

Hồ sơ đầy đủ nhưng không khớp hệ thống là rủi ro lớn. Trước ngày làm việc, nên tổ chức một buổi đối chiếu có sự tham gia của người nắm hồ sơ, người vận hành và người có thẩm quyền trả lời.

Nội dung đối chiếu	Câu hỏi kiểm tra	Bằng chứng
Phạm vi	Domain, ứng dụng, máy chủ và kết nối có đúng sơ đồ không?	Sơ đồ cập nhật, danh mục tài sản
Tài khoản	Người nghỉ việc và nhà cung cấp cũ đã bị thu hồi quyền chưa?	Danh sách tài khoản, log cấp/thu hồi
Backup	Bản sao gần nhất ở đâu và đã thử khôi phục chưa?	Log backup, biên bản restore test
Giám sát	Cảnh báo gửi cho ai và sự kiện nào được xử lý?	Dashboard, ticket, nhật ký xử lý
Bản vá	Thành phần nào hết hỗ trợ hoặc còn lỗ hổng?	Danh sách phiên bản, kế hoạch vá
Ứng cứu	Nếu xảy ra sự cố, ai có quyền cô lập và khôi phục?	Runbook, danh sách liên hệ, biên bản diễn tập

Nếu phát hiện hồ sơ cũ không còn đúng, không nên dùng nguyên trạng để đối phó. Hãy lập bảng thay đổi, xác định phần phải cập nhật, phần cần đánh giá lại và phần cần báo cáo trung thực là đang khắc phục.

Ba tình huống thường gặp và hướng xử lý

Chưa có hồ sơ cấp độ

Trước hết cần xác định hệ thống có thuộc phạm vi phải thực hiện theo cấp độ hay không. Nếu có, hãy khoanh phạm vi, gom tài liệu kỹ thuật, xác định dữ liệu và mức độ ảnh hưởng, sau đó lập danh mục hồ sơ còn thiếu. Không nên điền mẫu trước khi hiểu hệ thống.

Tham khảo quy trình trong bài hệ thống chưa có hồ sơ cấp độ: cách rà soát và xử lý.

Có tài liệu nhưng rời rạc và mâu thuẫn

Không nhất thiết làm lại toàn bộ. Nên chọn một danh mục tài sản và một sơ đồ hiện trạng làm nguồn chuẩn, rồi đối chiếu từng tài liệu theo cùng tên hệ thống, phạm vi, dữ liệu, trách nhiệm và phiên bản. Tài liệu không còn đúng cần đánh dấu thay thế hoặc lưu lịch sử, tránh để người dùng nhầm bản.

Có hồ sơ cũ nhưng hệ thống đã thay đổi

Cần lập danh sách thay đổi về chức năng, dữ liệu, kiến trúc, kết nối và đơn vị vận hành. Từ đó đánh giá nội dung nào phải cập nhật, phương án ATTT nào không còn phù hợp và có cần rà lại cấp độ hay không. Không nên chỉ sửa ngày tháng trên bộ hồ sơ cũ.

Checklist điều phối trước buổi làm việc

• Đã đọc kỹ quyết định, kế hoạch và đề cương kiểm tra.
• Đã xác định đúng hệ thống, thời kỳ và đơn vị liên quan.
• Đã lập danh mục tài liệu theo từng yêu cầu.
• Mỗi tài liệu có một phiên bản chính thức và người xác nhận.
• Hồ sơ cấp độ, sơ đồ và phương án ATTT khớp hiện trạng.
• Quy trình có bằng chứng vận hành tương ứng.
• Các tồn tại đã có kế hoạch, người phụ trách và trạng thái xử lý.
• Thông tin bí mật, dữ liệu cá nhân, mật khẩu và khóa truy cập được bảo vệ khi cung cấp.
• Đã phân công đầu mối trả lời, người hỗ trợ kỹ thuật và người phê duyệt nội dung.
• Đã chuẩn bị biên bản bàn giao tài liệu và lưu bản đã cung cấp.

Nếu một mục chưa rõ, cần ghi thành vấn đề cần xử lý; không nên tự tạo ngưỡng “đủ bao nhiêu câu là đạt”. Mức độ ưu tiên phụ thuộc tác động của từng thiếu sót và yêu cầu cụ thể của đợt kiểm tra.

Những lỗi nên tránh

• Cung cấp nhiều phiên bản tài liệu nhưng không chỉ rõ bản chính thức.
• Khẳng định đã thực hiện kiểm soát khi không có bằng chứng hoặc người xác nhận.
• Chỉnh sửa log, biên bản hoặc thời gian thực hiện để hợp thức hóa hồ sơ.
• Gửi tài liệu chứa mật khẩu, token, khóa riêng hoặc dữ liệu không thuộc phạm vi yêu cầu.
• Để nhà cung cấp trả lời thay doanh nghiệp về trách nhiệm mà không có phân công.
• Chỉ rà giấy tờ mà không kiểm tra tài khoản, backup, log và cấu hình thực tế.
• Che giấu tồn tại thay vì ghi nhận và lập kế hoạch khắc phục có kiểm soát.

Khi nào nên thuê đơn vị hỗ trợ rà soát?

Nên cân nhắc hỗ trợ khi hệ thống do nhiều bên vận hành, tài liệu thiếu hoặc mâu thuẫn, hồ sơ cấp độ chưa hoàn thiện, kiến trúc đã thay đổi lớn, doanh nghiệp không có người điều phối hoặc cần đánh giá độc lập trước ngày làm việc.

Phạm vi hỗ trợ nên được thống nhất rõ: rà danh mục tài liệu, đối chiếu hiện trạng, xác định khoảng trống, chuẩn hóa hồ sơ, lập kế hoạch khắc phục hay hỗ trợ giải trình kỹ thuật. Đơn vị tư vấn không thể thay doanh nghiệp xác nhận những việc chưa thực hiện hoặc tạo bằng chứng không có thật.

Nếu nhu cầu chính là hoàn thiện phạm vi, hồ sơ và phương án ATTT, xem dịch vụ lập hồ sơ đề xuất cấp độ ATTT. Khi chỉ cần dự toán ngân sách, tham khảo riêng báo giá lập hồ sơ cấp độ và triển khai bảo mật.

FAQ

Mọi doanh nghiệp đều phải có hồ sơ đề xuất cấp độ không?

Không nên kết luận chỉ dựa vào quy mô hoặc loại hình doanh nghiệp. Cần xác định hệ thống, chủ thể, phạm vi áp dụng và quy định chuyên ngành liên quan. Với hệ thống thuộc diện thực hiện bảo đảm ATTT theo cấp độ, hồ sơ đề xuất và tình trạng phê duyệt là nhóm tài liệu nền cần rà soát.

Đoàn kiểm tra có chỉ xem giấy tờ không?

Phạm vi và phương pháp phụ thuộc từng đợt. Doanh nghiệp nên chuẩn bị cho việc đối chiếu giữa tài liệu và bằng chứng vận hành như tài khoản, log, backup, báo cáo đánh giá, thay đổi cấu hình và xử lý tồn tại.

Có thể bổ sung hồ sơ sau khi hệ thống đã vận hành không?

Cần rà quy định áp dụng và tình trạng cụ thể. Nếu hồ sơ thiếu hoặc không còn khớp, đơn vị nên ghi nhận hiện trạng, xác định trách nhiệm và hoàn thiện theo quy trình phù hợp; không nên tạo tài liệu lùi ngày hoặc mô tả những biện pháp chưa triển khai.

Có cần in toàn bộ hồ sơ không?

Hình thức cung cấp phụ thuộc yêu cầu của đoàn và quy định quản lý tài liệu. Nên xác nhận trước số lượng, định dạng, cách ký, cách bàn giao bản điện tử và yêu cầu bảo vệ thông tin nhạy cảm.

Thiếu tài liệu thì nên xử lý thế nào?

Không nên che giấu hoặc dựng bằng chứng. Hãy lập danh sách thiếu, nguyên nhân, tác động, biện pháp tạm thời, người phụ trách và thời hạn hoàn thiện; đồng thời cung cấp thông tin theo đúng yêu cầu và thẩm quyền.

Kết luận

Chuẩn bị cho thanh tra, kiểm tra ATTT là quá trình đối chiếu giữa yêu cầu, hồ sơ và vận hành thật. Một bộ tài liệu tốt không chỉ đủ tên file mà còn thống nhất về phạm vi, có người chịu trách nhiệm, có bằng chứng thực hiện và có kế hoạch xử lý tồn tại.

Hãy bắt đầu từ quyết định và đề cương của đợt làm việc, sau đó tổ chức tài liệu theo 5 nhóm: cấp độ; chính sách và quy trình; vận hành; kiểm tra và khắc phục; nhân sự và trách nhiệm. Cách làm này giúp doanh nghiệp trả lời đúng trọng tâm và tránh biến công tác ATTT thành hoạt động gom giấy tờ vào phút cuối.