Khi nhận kế hoạch thanh tra, kiểm tra an toàn thông tin, hãy xác định trước hệ thống, giai đoạn thời gian và danh mục tài liệu được yêu cầu. Sau đó mới gom đúng hồ sơ liên quan, thay vì in tất cả giấy tờ hiện có.
Trả lời nhanh: Có thể bắt đầu từ 5 nhóm: (1) hồ sơ hệ thống và cấp độ nếu thuộc phạm vi áp dụng; (2) chính sách, quy trình bảo mật; (3) bằng chứng vận hành như sao lưu, nhật ký và phân quyền; (4) báo cáo kiểm tra, khắc phục; (5) phân công nhân sự, trách nhiệm. Danh sách cần nộp chính thức phải theo yêu cầu cụ thể của đợt thanh tra hoặc kiểm tra.
Nếu thiếu hồ sơ cấp độ, xem cách rà soát hệ thống chưa có hồ sơ cấp độ và hồ sơ đề xuất cấp độ là gì. Không phải mọi website đều có nghĩa vụ hồ sơ giống nhau.
1. Phân biệt thanh tra, kiểm tra và phạm vi áp dụng
Thanh tra và kiểm tra có thủ tục, thẩm quyền khác nhau. Hãy xác minh văn bản và nội dung yêu cầu trước khi lập danh sách. Không có một bộ hồ sơ bắt buộc giống hệt nhau cho mọi doanh nghiệp.
| Câu hỏi cần xác định | Việc doanh nghiệp nên làm |
|---|---|
| Hệ thống nào nằm trong phạm vi? | Liệt kê website, phần mềm, máy chủ, dịch vụ thuê ngoài và bộ phận phụ trách liên quan |
| Kiểm tra giai đoạn nào? | Chọn đúng báo cáo, nhật ký và bằng chứng theo thời kỳ được yêu cầu |
| Kiểm tra về cấp độ, bảo mật kỹ thuật hay dữ liệu cá nhân? | Tách danh mục hồ sơ theo từng nội dung và quy định áp dụng |
| Ai có quyền tiếp nhận và cung cấp tài liệu? | Chỉ định đầu mối và quy trình xác nhận trước khi bàn giao |
2. Căn cứ pháp lý cần lưu ý trong năm 2026
Luật An ninh mạng 116/2025/QH15 có hiệu lực 01/07/2026, thay thế Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018. Theo quy định chuyển tiếp, các hệ thống đã được xác định cấp độ tiếp tục giữ cấp độ đó, nhưng có 12 tháng từ ngày luật có hiệu lực để đáp ứng các điều kiện, tiêu chuẩn và biện pháp bảo vệ tương ứng. Xem Luật An ninh mạng 116/2025/QH15.
Khi xem hồ sơ cấp độ, cần đối chiếu Nghị định 85/2016/NĐ-CP và Thông tư 12/2022/TT-BTTTT trong phạm vi còn áp dụng, phù hợp luật mới. Kiểm tra hiệu lực và hướng dẫn tại thời điểm làm việc, không chỉ dựa trên mẫu cũ.
Nếu kiểm tra dữ liệu cá nhân, đối chiếu thêm Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, cùng có hiệu lực từ 01/01/2026. Đây là phạm vi yêu cầu riêng, không đồng nhất với hồ sơ cấp độ.
3. Năm việc cần làm ngay sau khi nhận yêu cầu
- Đọc văn bản: xác định cơ quan, nội dung, thời gian, hệ thống được kiểm tra và hạn cung cấp tài liệu.
- Phân công đầu mối: một người tổng hợp hồ sơ, người phụ trách kỹ thuật và người có thẩm quyền phê duyệt.
- Lập bảng đối chiếu: mỗi yêu cầu đi kèm tên tệp, vị trí lưu, người chịu trách nhiệm và tình trạng hoàn thành.
- Kiểm tra hiện trạng: so sánh sơ đồ, tài khoản, sao lưu, nhật ký với hệ thống đang chạy.
- Ghi nhận phần còn thiếu: giải thích trung thực nguyên nhân, ảnh hưởng và kế hoạch khắc phục; không tạo chứng cứ giả.
4. Năm nhóm hồ sơ doanh nghiệp nên chuẩn bị
Nhóm 1: Hồ sơ hệ thống và cấp độ an toàn thông tin
Nếu hệ thống thuộc phạm vi quản lý theo cấp độ, hãy tập hợp hồ sơ đề xuất, tình trạng thẩm định/phê duyệt và phương án bảo vệ. Tài liệu cần khớp hệ thống đang vận hành.
- Hồ sơ đề xuất cấp độ, quyết định phê duyệt hoặc giấy tờ thể hiện tình trạng xử lý thực tế.
- Sơ đồ hệ thống, máy chủ, ứng dụng, cơ sở dữ liệu và các kết nối ngoài.
- Danh sách tài sản công nghệ, nhà cung cấp, hệ thống thuê ngoài có liên quan.
- Phương án bảo vệ và hồ sơ cập nhật khi kiến trúc hoặc phạm vi hệ thống thay đổi.
Nhóm 2: Chính sách và quy trình quản lý
Nhóm này giải thích ai chịu trách nhiệm bảo mật và doanh nghiệp quản lý tài khoản, sao lưu, thay đổi hoặc sự cố như thế nào.
- Chính sách bảo mật thông tin được ban hành trong nội bộ.
- Quy trình cấp và thu hồi quyền khi nhân sự vào, chuyển bộ phận hoặc nghỉ việc.
- Quy trình sao lưu, phục hồi dữ liệu và cập nhật phần mềm.
- Quy trình phát hiện, báo cáo và ứng phó sự cố bảo mật.
- Quy định quản lý thay đổi hệ thống và nhà cung cấp dịch vụ.
Nhóm 3: Bằng chứng hệ thống được vận hành an toàn
Quy trình trên giấy cần đi kèm bằng chứng vận hành đúng thời kỳ, chẳng hạn nhật ký, sao lưu hoặc kết quả rà quyền.
- Bảng tài khoản, vai trò, quyền quản trị và kết quả kiểm tra quyền truy cập.
- Nhật ký truy cập, cảnh báo và thay đổi cấu hình trong phạm vi được yêu cầu.
- Báo cáo sao lưu và kết quả thử khôi phục, nếu đã thực hiện.
- Lịch sử cập nhật bản vá, phiếu thay đổi và kết quả kiểm tra sau sửa.
- Bằng chứng các biện pháp bảo vệ đang áp dụng, chẳng hạn tường lửa, xác thực nhiều lớp hoặc công cụ giám sát.
Trước khi bàn giao nhật ký hoặc cấu hình, bảo vệ mật khẩu, khóa bí mật và dữ liệu cá nhân. Việc che hoặc giới hạn dữ liệu phải phù hợp yêu cầu hợp pháp, không tự ý xóa bằng chứng cần bảo toàn.
Nhóm 4: Báo cáo đánh giá và xử lý các vấn đề đã phát hiện
Nếu từng rà lỗ hổng hoặc kiểm thử, hãy lập bảng: lỗi phát hiện, người phụ trách, cách khắc phục và kết quả kiểm tra lại.
- Báo cáo kiểm tra, đánh giá an toàn thông tin đã thực hiện.
- Danh sách lỗi, lỗ hổng hoặc rủi ro và mức ưu tiên.
- Kế hoạch sửa, người phụ trách và thời hạn.
- Kết quả kiểm tra lại sau xử lý và hồ sơ ứng phó sự cố nếu có.
Nhóm 5: Nhân sự và phân công trách nhiệm
Phân công rõ người quản lý, vận hành, theo dõi cảnh báo, phối hợp nhà cung cấp và quyết định xử lý sự cố.
- Văn bản phân công trách nhiệm bảo mật và vận hành hệ thống.
- Danh sách đầu mối kỹ thuật, quản lý, nhà cung cấp và liên hệ khẩn cấp.
- Quy định phối hợp khi phát hiện, xử lý hoặc báo cáo sự cố.
- Hồ sơ đào tạo, tập huấn an toàn thông tin nếu thuộc nội dung được yêu cầu.
5. Bảng tự kiểm tra hồ sơ và hệ thống thực tế
| Nội dung | Câu hỏi cần kiểm tra trước buổi làm việc |
|---|---|
| Tài liệu hệ thống | Sơ đồ còn đúng số máy chủ, ứng dụng và nhà cung cấp không? |
| Tài khoản | Người đã nghỉ việc còn quyền quản trị không? |
| Sao lưu | Có thể tìm được bản sao và xác định thời điểm thử khôi phục gần nhất không? |
| Nhật ký, cảnh báo | Có người nhận cảnh báo và hồ sơ theo dõi xử lý không? |
| Cập nhật, bản vá | Có thành phần nào lỗi thời, chưa có kế hoạch xử lý không? |
| Tình trạng hồ sơ | Các tài liệu có phiên bản, ngày lập và người xác nhận rõ không? |
6. Nếu hồ sơ còn thiếu hoặc chưa khớp thì xử lý thế nào?
Không sửa nhật ký, lùi ngày hoặc làm báo cáo khống. Ghi trung thực phần thiếu, nguyên nhân, rủi ro, người phụ trách và hạn khắc phục.
Nếu hệ thống đã thay đổi, ghi rõ phần ảnh hưởng và rà lại hồ sơ, phương án bảo vệ, nghĩa vụ liên quan. Vấn đề pháp lý cần được xác nhận với đầu mối pháp chế và cơ quan có thẩm quyền.
7. Checklist bàn giao hồ sơ trước ngày thanh tra
- Đã xác nhận phạm vi, văn bản, thời hạn và đầu mối làm việc.
- Đã phân loại 5 nhóm hồ sơ theo yêu cầu thực tế, không kê khai tài liệu không thuộc phạm vi.
- Các tệp có tên rõ, phiên bản và người xác nhận.
- Sơ đồ kỹ thuật và hồ sơ khớp với hệ thống đang vận hành.
- Nhật ký, sao lưu, phân quyền và xử lý sự cố có bằng chứng tương ứng.
- Phần thiếu được nêu trung thực cùng kế hoạch khắc phục.
- Dữ liệu nhạy cảm được xử lý và bàn giao an toàn, đúng yêu cầu pháp luật.
- Có danh sách tài liệu đã cung cấp và người bàn giao.
8. Khi nào doanh nghiệp nên nhờ đơn vị hỗ trợ?
Nên tìm hỗ trợ khi hồ sơ thiếu, hệ thống phức tạp hoặc nhiều nhà cung cấp vận hành. Cần thỏa thuận rõ phạm vi hỗ trợ, sản phẩm bàn giao và trách nhiệm; tư vấn không thay kết luận của cơ quan thanh tra.
Nếu cần chuẩn bị hồ sơ, xem dịch vụ lập hồ sơ đề xuất cấp độ an toàn thông tin. Với hệ thống thuộc cấp độ 2, tham khảo checklist kỹ thuật an toàn thông tin cấp độ 2 và đối chiếu yêu cầu áp dụng.
Nguồn pháp lý và hướng dẫn chính thức
- Luật An ninh mạng 116/2025/QH15 – có hiệu lực 01/07/2026
- Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 – có hiệu lực 01/01/2026
- Nghị định 356/2025/NĐ-CP về bảo vệ dữ liệu cá nhân
- Nghị định 85/2016/NĐ-CP về ATTT theo cấp độ
- Thông tư 12/2022/TT-BTTTT về ATTT theo cấp độ
- Chỉ thị 09/CT-TTg ngày 23/02/2024 về bảo đảm ATTT theo cấp độ
Kết luận
Chuẩn bị hồ sơ thanh tra ATTT cần đúng yêu cầu, không phải càng nhiều tài liệu càng tốt. Hãy xác định phạm vi, kiểm tra 5 nhóm hồ sơ, đối chiếu hệ thống thật và ghi rõ thiếu sót. Năm 2026 cần lưu ý các quy định mới về an ninh mạng và dữ liệu cá nhân.
Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.