Khi nào phải rà soát và cập nhật hồ sơ đề xuất cấp độ ATTT?

Hồ sơ đề xuất cấp độ ATTT không nên được xem là tài liệu “lập một lần rồi để đó”. Sau khi hệ thống thay đổi, đơn vị vận hành cần đánh giá xem phạm vi, cấp độ đề xuất, kiến trúc và phương án bảo đảm ATTT trong hồ sơ còn phản ánh đúng hiện trạng hay không.

Nguyên tắc thực hành: thay đổi hệ thống → đánh giá ảnh hưởng → xác định phần hồ sơ bị tác động → cập nhật và quản lý phiên bản nếu cần. Không nên đổi ngày tài liệu nếu nội dung thực tế chưa được rà lại.

Những thay đổi nào nên kích hoạt việc rà soát?

Rà soát hồ sơ khác với lập lại hồ sơ từ đầu

Không phải mọi thay đổi đều buộc phải viết lại toàn bộ tài liệu. Việc đầu tiên là xác định thay đổi có làm sai thông tin nào trong bản đang dùng hay không. Nếu chỉ một cấu phần thay đổi, có thể tập trung rà phần bị tác động nhưng vẫn phải kiểm tra chéo những phần phụ thuộc.

• Thay đổi sơ đồ có thể kéo theo thay đổi danh mục tài sản và biện pháp bảo vệ.
• Thay đổi dữ liệu có thể ảnh hưởng phân tích mức độ tác động.
• Thay đổi cấp độ hoặc phạm vi có thể ảnh hưởng nhiều phần của phương án ATTT.
• Đổi nhà cung cấp có thể làm thay đổi quyền truy cập, trách nhiệm và bằng chứng vận hành.

Quy trình rà soát 5 bước

1. Ghi nhận thay đổi

Mô tả thay đổi bằng dữ kiện: thành phần nào thay đổi, thời điểm, người phê duyệt, hệ thống nào bị ảnh hưởng và tài liệu kỹ thuật nào liên quan.

2. Đối chiếu với bản hồ sơ chuẩn

So sánh với phiên bản hồ sơ đã được xác nhận/phê duyệt đang dùng làm mốc. Đánh dấu từng mục không còn đúng thay vì sửa ngay nhiều file.

3. Đánh giá ảnh hưởng tới phạm vi và cấp độ

Nếu thay đổi liên quan chức năng, dữ liệu hoặc mức ảnh hưởng, cần kiểm tra lại logic xác định cấp độ. Có thể đối chiếu hướng dẫn xác định cấp độ ATTT.

4. Cập nhật tài liệu và bằng chứng liên quan

Cập nhật sơ đồ, mô tả, danh mục, phương án ATTT và bằng chứng tương ứng theo phạm vi bị tác động. Không ghi biện pháp mới là “đã triển khai” nếu chưa có xác nhận thực tế.

5. Quản lý phiên bản và xác định bước phê duyệt cần thiết

Lưu lý do thay đổi, phiên bản trước/sau, người rà soát và quyết định xử lý. Nếu thay đổi thuộc trường hợp cần thực hiện lại thủ tục hoặc xin ý kiến theo quy định áp dụng, cần xác định đúng thẩm quyền trước khi trình.

Checklist rà soát nhanh

• Tên và mục tiêu hệ thống còn đúng?
• Phạm vi, sơ đồ và danh mục tài sản còn đúng?
• Loại dữ liệu và luồng dữ liệu có thay đổi?
• Đơn vị vận hành, nhà cung cấp và đầu mối trách nhiệm có thay đổi?
• Căn cứ xác định cấp độ còn phù hợp?
• Biện pháp ATTT mô tả trong hồ sơ có đúng trạng thái triển khai?
• Các bằng chứng vận hành còn truy xuất được?
• Có thay đổi nào cần xin ý kiến/thẩm định/phê duyệt theo quy định áp dụng?

Liên kết với vòng đời hồ sơ

Nếu hệ thống chưa có bộ hồ sơ chuẩn, bắt đầu từ quy trình lập hồ sơ đề xuất cấp độ. Nếu đã hoàn thiện và chuẩn bị trình, xem quy trình thẩm định và phê duyệt hồ sơ cấp độ ATTT. Khi cần rà bằng chứng theo từng nhóm kiểm soát, dùng checklist ATTT cấp độ 2 làm tài liệu tham khảo và điều chỉnh theo trường hợp áp dụng.

Nguồn đối chiếu

Khi quyết định một thay đổi có làm phát sinh thủ tục pháp lý hay thay đổi cấp độ hay không, cần đối chiếu văn bản hiện hành, trong đó có Nghị định 85/2016/NĐ-CP và các văn bản hướng dẫn/điều chỉnh đang áp dụng. Bài viết này là khung quản trị vòng đời hồ sơ, không thay thế việc xác định thẩm quyền cho từng hệ thống cụ thể.

Đoàn Trình Dục

Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.