Mất bao lâu để hoàn thành hồ sơ cấp độ 2?

Doanh nghiệp thường hỏi “mất bao lâu để hoàn thành hồ sơ cấp độ 2?” khi đã có website, cổng web công, phần mềm nội bộ hoặc hệ thống dịch vụ đang vận hành nhưng chưa kịp chuẩn hóa hồ sơ an toàn thông tin. Câu trả lời không thể chỉ dựa vào số trang phải soạn. Phần tốn thời gian thường là khoanh đúng phạm vi, thu thập sơ đồ hệ thống, xác nhận dữ liệu và tài sản, đối chiếu hiện trạng bảo mật, làm rõ người có thẩm quyền và xử lý các khoảng trống trước khi trình.

Timeline nên được tách thành ba phần: chuẩn bị dữ liệu đầu vào, lập và rà soát hồ sơ, sau đó là thẩm định/phê duyệt theo quy trình áp dụng cho hệ thống. Nếu gộp ba phần thành một con số duy nhất, doanh nghiệp rất dễ hiểu nhầm thời hạn xử lý hồ sơ hợp lệ thành thời gian hoàn thành toàn dự án.

Tóm tắt: Không có một mốc 5 ngày, 10 ngày hay 3 tuần áp dụng cho mọi hồ sơ cấp độ 2. Thời gian chuẩn bị phụ thuộc phạm vi hệ thống, mức sẵn sàng của sơ đồ và tài liệu, số bên vận hành, khoảng trống kỹ thuật và luồng duyệt nội bộ. Riêng thời gian xử lý hồ sơ phê duyệt cấp độ theo Điều 17 Nghị định 85/2016/NĐ-CP tối đa là 07 ngày làm việc kể từ khi nhận đủ hồ sơ hợp lệ; mốc này không bao gồm thời gian doanh nghiệp khảo sát, soạn, chỉnh sửa hoặc bổ sung hồ sơ.

Hồ sơ cấp độ 2 mất bao lâu?

Thời gian phụ thuộc nhiều vào mức sẵn sàng của đầu vào hơn là độ dài mẫu hồ sơ. Một hệ thống có phạm vi rõ, sơ đồ cập nhật, danh sách tài sản, tài khoản quản trị, quy trình backup và người duyệt đã thống nhất sẽ đi nhanh hơn hệ thống do nhiều nhà cung cấp cùng vận hành nhưng thiếu tài liệu.

Tình trạng hiện tại	Ảnh hưởng đến tiến độ	Việc cần chốt trước khi ước tính
Phạm vi và tài liệu tương đối đầy đủ	Có thể chuyển sớm sang bước soạn và rà soát	Sơ đồ, danh sách tài sản, dữ liệu, phân quyền, backup, log và người ký
Hệ thống đang chạy nhưng tài liệu rời rạc	Cần thêm thời gian phỏng vấn và dựng lại hiện trạng	Ai nắm từng thành phần, tài liệu nào còn đúng, tài liệu nào phải cập nhật
Nhiều nhà cung cấp hoặc nhiều đơn vị cùng vận hành	Dễ phát sinh vòng chờ xác nhận	Đầu mối cung cấp thông tin, trách nhiệm và thời hạn phản hồi của từng bên
Có khoảng trống kỹ thuật quan trọng	Phải quyết định khắc phục trước hay lập kế hoạch xử lý	Tài khoản, backup, log, phân quyền, cổng mở, WAF và quy trình ứng cứu
Chưa rõ người duyệt hoặc cơ quan xử lý	Hồ sơ có thể mắc ở vòng cuối dù nội dung đã xong	Thẩm quyền, luồng ký, cơ quan/đơn vị thẩm định và phê duyệt

Vì vậy, báo tiến độ có trách nhiệm phải đi kèm phạm vi và giả định. Trước khi cam kết ngày bàn giao, cần xác định rõ “hoàn thành bản dự thảo”, “hoàn thành bộ hồ sơ sẵn sàng trình” hay “đã có kết quả phê duyệt” là mốc nào.

Vì sao không nên lấy “07 ngày phê duyệt” làm timeline toàn dự án?

Điều 17 Nghị định 85/2016/NĐ-CP quy định thời gian xử lý hồ sơ phê duyệt cấp độ tối đa là 07 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ. Đây là mốc xử lý của giai đoạn phê duyệt, không bao gồm toàn bộ thời gian đơn vị vận hành thu thập tài liệu, khảo sát hiện trạng, viết thuyết minh, rà soát phương án bảo đảm an toàn thông tin, hoàn thiện chữ ký hoặc sửa theo góp ý.

Điểm cần quản lý là điều kiện “nhận đủ hồ sơ hợp lệ”. Nếu hồ sơ thiếu thành phần, không thống nhất phạm vi hoặc phải bổ sung bằng chứng, tổng thời gian thực tế sẽ dài hơn mốc xử lý nêu trên. Do đó, kế hoạch nên tách rõ thời gian chuẩn bị và thời gian xử lý sau khi hồ sơ đã hợp lệ.

Giai đoạn	Việc cần làm	Rủi ro kéo dài
Chuẩn bị đầu vào	Thu thập sơ đồ, tài sản, tài khoản, log, backup, chính sách và tài liệu vận hành	Không rõ đầu mối; tài liệu thiếu, cũ hoặc không khớp thực tế
Soạn hồ sơ	Mô tả tổng quan, thuyết minh đề xuất cấp độ và phương án bảo đảm ATTT	Sai phạm vi, thiếu căn cứ hoặc mô tả biện pháp quá chung
Rà soát nội bộ	Đối chiếu giữa kỹ thuật, quản lý, pháp chế và người có thẩm quyền	Nhiều phòng ban góp ý muộn; chưa thống nhất người ký
Thẩm định/phê duyệt	Nộp hồ sơ hợp lệ và xử lý phản hồi nếu có	Hồ sơ chưa hợp lệ hoặc cần bổ sung thành phần, bằng chứng

Những phần nào của hồ sơ thường làm tiến độ kéo dài?

Theo Nghị định 85/2016/NĐ-CP, hồ sơ đề xuất cấp độ có các nhóm tài liệu như mô tả tổng quan hệ thống, tài liệu thiết kế hoặc tài liệu có giá trị tương đương, thuyết minh căn cứ đề xuất cấp độ và thuyết minh phương án bảo đảm an toàn thông tin. Phần khó không phải là điền đủ tiêu đề, mà là làm cho các tài liệu thống nhất và phản ánh đúng hiện trạng.

Nếu chưa rõ khái niệm và thành phần, nên đọc bài hồ sơ đề xuất cấp độ là gì trước khi lập timeline.

Nhóm tài liệu	Cần chuẩn bị	Dấu hiệu dễ làm chậm
Mô tả tổng quan hệ thống	Tên, mục tiêu, đơn vị vận hành, phạm vi, người dùng, dữ liệu, kết nối ngoài	Mỗi bộ phận hiểu phạm vi theo một cách khác nhau
Tài liệu thiết kế hoặc tương đương	Sơ đồ kiến trúc, mạng, máy chủ, dịch vụ, cơ sở dữ liệu và kết nối Internet	Chỉ có sơ đồ cũ hoặc không có người xác nhận hiện trạng
Thuyết minh đề xuất cấp độ	Căn cứ xác định cấp độ, loại dữ liệu và mức ảnh hưởng	Kết luận cấp độ trước khi khoanh phạm vi và phân tích tác động
Phương án bảo đảm ATTT	Biện pháp quản lý và kỹ thuật cho mạng, máy chủ, ứng dụng, dữ liệu, log, backup và quyền	Viết theo mẫu chung nhưng không khớp hệ thống thật
Bằng chứng hỗ trợ	Cấu hình, danh sách tài khoản, quy trình, biên bản và báo cáo liên quan	Có triển khai nhưng không lưu được bằng chứng đối chiếu

Vì sao cùng cấp độ 2 nhưng tiến độ mỗi hệ thống khác nhau?

Cấp độ đề xuất chỉ là một yếu tố. Tiến độ còn phụ thuộc số lượng thành phần, mức độ thay đổi của kiến trúc, chất lượng tài liệu, số nhà cung cấp, loại dữ liệu, số vòng duyệt và khoảng trống giữa hồ sơ với vận hành thực tế.

• Hệ thống đã có sơ đồ kiến trúc cập nhật sẽ giảm thời gian phỏng vấn và dựng lại luồng kết nối.
• Cổng web công, API, tài khoản đăng nhập hoặc dữ liệu khách hàng cần đối chiếu kỹ hơn về quyền, log, backup và lớp bảo vệ.
• Nhiều nhà cung cấp tham gia sẽ tăng thời gian gom thông tin và xác định trách nhiệm.
• Nếu chưa có quy trình quản lý tài khoản, thay đổi cấu hình, sao lưu hoặc ứng cứu, hồ sơ phải đi cùng hoạt động chuẩn hóa vận hành.
• Nếu người có thẩm quyền chỉ đọc ở vòng cuối, hồ sơ dễ phát sinh sửa lớn và phải rà soát lại nhiều phần.

Với hệ thống có cổng web công, doanh nghiệp nên đối chiếu thêm bài WAF là gì và vai trò với cổng web để phương án bảo vệ không chỉ dừng ở mô tả chung.

Lộ trình 5 bước giúp giảm số vòng sửa hồ sơ

Cách rút ngắn tiến độ không phải là viết thật nhanh, mà là làm đúng thứ tự và chốt người ra quyết định ngay từ đầu. Quy trình nên có sự tham gia của người nắm kỹ thuật, đơn vị vận hành, người phụ trách quản lý và người có thẩm quyền duyệt.

Khoanh phạm vi hệ thống

Xác định thành phần nào nằm trong hồ sơ, thành phần nào là hệ thống liên quan hoặc dịch vụ bên thứ ba. Phạm vi ảnh hưởng trực tiếp đến sơ đồ, tài sản, dữ liệu, phương án bảo vệ và trách nhiệm vận hành.

Thu thập và kiểm tra tài liệu đầu vào

Gom sơ đồ, danh sách máy chủ, tài khoản quản trị, cấu hình backup, log, chính sách, quy trình vận hành và thông tin nhà cung cấp. Tài liệu cần được xác nhận còn đúng, không chỉ tồn tại trong thư mục.

Đối chiếu yêu cầu và hiện trạng

Xác định phần đã đáp ứng, phần cần mô tả rõ hơn, phần cần bổ sung bằng chứng và khoảng trống cần khắc phục. Kết quả nên được ghi thành bảng có người phụ trách và trạng thái xử lý.

Soạn hồ sơ và rà soát chéo

Người viết hồ sơ cần làm việc với người nắm hệ thống và người chịu trách nhiệm phê duyệt. Rà soát chéo giúp tránh tình trạng đúng câu chữ nhưng sai hiện trạng, hoặc đúng kỹ thuật nhưng không đủ căn cứ trình ký.

Trình và lưu bộ bằng chứng

Lưu bản trình, bản phê duyệt, sơ đồ, phụ lục kỹ thuật, phản hồi và bằng chứng triển khai. Bộ lưu trữ này phục vụ cập nhật sau thay đổi, kiểm tra và xác định lại cấp độ khi cần.

Xem thêm quy trình lập hồ sơ đề xuất cấp độ để đi theo từng đầu ra cụ thể.

Checklist sẵn sàng trước khi yêu cầu báo tiến độ

Trước khi giao nội bộ hoặc thuê tư vấn, doanh nghiệp nên rà nhanh các đầu vào dưới đây. Càng nhiều mục chưa rõ, ước tính tiến độ càng cần thêm biên độ và điều kiện.

Nhóm kiểm tra	Câu hỏi cần trả lời	Trạng thái nên có
Phạm vi	Hệ thống nào được đề xuất cấp độ?	Có tên, mục tiêu, chủ quản/vận hành và ranh giới rõ
Kiến trúc	Có sơ đồ mạng, máy chủ, ứng dụng, database và kết nối ngoài không?	Có bản cập nhật hoặc đủ thông tin để dựng lại
Tài khoản và quyền	Ai có quyền admin, deploy và truy cập dữ liệu?	Có danh sách vai trò và nguyên tắc cấp/thu hồi
Backup và phục hồi	Backup ở đâu, theo chu kỳ nào, ai kiểm tra?	Có cấu hình, lịch và bằng chứng thử khôi phục khi phù hợp
Log và giám sát	Có ghi log truy cập, lỗi và thao tác quản trị không?	Có vị trí lưu, thời gian lưu và người theo dõi
Vận hành	Khi cập nhật, xử lý lỗi hoặc sự cố thì ai làm gì?	Có quy trình hoặc ít nhất đầu mối và thẩm quyền rõ
Luồng duyệt	Ai rà nội dung và ai ký?	Có người phụ trách và thứ tự duyệt rõ

Để rà theo từng nhóm kiểm soát, xem checklist ATTT cấp độ 2 trước khi chốt timeline.

Khi nào nên tự làm, khi nào nên thuê hỗ trợ?

Đơn vị có thể tự thực hiện nếu có người hiểu hệ thống, hiểu quy trình cấp độ và đủ thời gian phối hợp tài liệu. Nên cân nhắc hỗ trợ bên ngoài khi hệ thống do nhiều bên vận hành, tài liệu thiếu, chưa xác định được cấp độ, hồ sơ từng bị góp ý nhiều hoặc có thời hạn cần kiểm soát chặt.

Tình huống	Hướng xử lý	Lưu ý
Có đội IT, tài liệu đầy đủ và quy trình rõ	Có thể tự làm	Nên có người độc lập rà logic và tính thống nhất trước khi trình
Nhiều nhà cung cấp cùng vận hành	Nên có đầu mối hoặc tư vấn điều phối	Cần chuẩn hóa sơ đồ, tài sản và trách nhiệm
Chưa rõ cấp độ đề xuất	Không nên tự kết luận vội	Cần khoanh phạm vi và phân tích tác động trước
Cần kiểm soát deadline	Nên chia mốc đầu ra	Tách bản dự thảo, bộ sẵn sàng trình và giai đoạn phê duyệt
Hồ sơ từng bị trả hoặc góp ý nhiều	Nên rà lại căn cứ và hiện trạng	Không chỉ sửa câu chữ; cần kiểm tra phạm vi và phương án ATTT

Để xem khung tài liệu, tham khảo mẫu cấu trúc hồ sơ đề xuất cấp độ. Khi nhu cầu chính là dự toán ngân sách, xem báo giá hồ sơ đề xuất cấp độ và triển khai bảo mật.

Cách rút ngắn timeline mà không làm hồ sơ “đẹp trên giấy”

Rút ngắn hợp lý là giảm vòng chờ và vòng sửa, không phải viết chung chung để đủ mục. Hồ sơ cần phản ánh đúng hệ thống và có thể đối chiếu với bằng chứng vận hành.

• Chốt phạm vi và đầu mối ra quyết định ngay từ đầu.
• Vẽ lại sơ đồ nếu bản hiện tại không phản ánh luồng truy cập thực tế.
• Dùng bảng mapping giữa yêu cầu, hiện trạng, bằng chứng và người phụ trách.
• Tách khoảng trống cần xử lý trước khi trình khỏi kế hoạch cải tiến dài hạn.
• Chuẩn bị bằng chứng cho tài khoản, backup, log, phân quyền và ứng cứu.
• Cho người ký duyệt đọc bản khung sớm, không chờ tới vòng cuối.

Nếu hệ thống chưa có kiến trúc bảo mật rõ, nên rà song song với bài kiến trúc bảo mật hệ thống thông tin cấp độ 2 hoặc giải pháp bảo mật hệ thống cấp độ 2 và cấp độ 3.

FAQ về thời gian hoàn thành hồ sơ cấp độ 2

Có thể hoàn thành hồ sơ cấp độ 2 trong 3 ngày không?

Có thể dựng bản khung hoặc bản nháp nhanh khi phạm vi rất đơn giản và đầu vào đầy đủ. Tuy nhiên, một bộ hồ sơ sẵn sàng trình vẫn cần xác nhận hiện trạng, rà soát căn cứ, kiểm tra sự thống nhất, hoàn thiện bằng chứng và đi qua luồng duyệt nội bộ.

Cấp độ 2 có bắt buộc pentest trước khi lập hồ sơ không?

Không nên kết luận chung cho mọi hệ thống. Nhu cầu kiểm thử phụ thuộc phạm vi, yêu cầu áp dụng, rủi ro và tình trạng hiện tại. Với cổng web công, dữ liệu quan trọng hoặc hệ thống từng có sự cố, rà soát cấu hình và kiểm thử phù hợp giúp phương án bảo đảm ATTT sát thực tế hơn.

Khâu nào thường mất nhiều thời gian nhất?

Thường là thu thập và xác nhận đầu vào: phạm vi, sơ đồ, tài khoản, dữ liệu, backup, log, trách nhiệm vận hành và người phê duyệt. Soạn văn bản chỉ nhanh khi các thông tin này đã rõ.

Hồ sơ làm xong có cần cập nhật không?

Có. Khi phạm vi, kiến trúc, dữ liệu, đơn vị vận hành hoặc mức độ ảnh hưởng thay đổi, cần rà lại để xác định nội dung nào phải cập nhật hoặc có cần xác định lại cấp độ hay không.

Nên chuẩn bị gì trước buổi khảo sát?

Nên chuẩn bị tên và mục tiêu hệ thống, sơ đồ hiện có, danh sách máy chủ/dịch vụ, dữ liệu xử lý, tài khoản quản trị, thông tin backup/log, nhà cung cấp liên quan và người có quyền ra quyết định.

Kết luận

Không nên dùng một con số cố định để báo thời gian hoàn thành mọi hồ sơ cấp độ 2. Ước tính đáng tin cậy phải dựa trên phạm vi, mức sẵn sàng của đầu vào, khoảng trống cần xử lý, số bên phối hợp và luồng duyệt.

Mốc 07 ngày làm việc trong Nghị định 85/2016/NĐ-CP là thời gian xử lý hồ sơ phê duyệt kể từ khi nhận đủ hồ sơ hợp lệ, không phải toàn bộ thời gian khảo sát và lập hồ sơ. Tách rõ các giai đoạn sẽ giúp doanh nghiệp đặt deadline thực tế và tránh nhầm giữa “đã có bản nháp”, “đã sẵn sàng trình” và “đã được phê duyệt”.

Nguồn tham khảo chính

• Nghị định 85/2016/NĐ-CP về bảo đảm an toàn hệ thống thông tin theo cấp độ.
• Thông tư 12/2022/TT-BTTTT hướng dẫn Nghị định 85/2016/NĐ-CP.