Hồ sơ cấp độ 2 mất bao lâu? Không có một con số 5 ngày, 10 ngày hay 3 tuần áp dụng cho mọi hệ thống. Thời gian thực tế phụ thuộc vào việc phạm vi đã rõ chưa, sơ đồ và tài liệu có cập nhật không, bao nhiêu bên cùng vận hành và hệ thống còn thiếu những biện pháp bảo vệ nào.
Cần phân biệt hai việc: thời gian doanh nghiệp chuẩn bị, soạn và hoàn thiện hồ sơ khác với thời gian cơ quan có thẩm quyền xử lý một bộ hồ sơ đã đầy đủ, hợp lệ. Theo Điều 17 Nghị định 85/2016/NĐ-CP, thời gian xử lý hồ sơ phê duyệt cấp độ tối đa là 07 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ. Mốc này không bao gồm thời gian khảo sát, soạn, sửa hoặc bổ sung trước đó.
Nếu chưa rõ hồ sơ gồm những phần nào, xem hồ sơ đề xuất cấp độ là gì. Nếu muốn biết thứ tự công việc, xem quy trình lập hồ sơ đề xuất cấp độ.
Nên chia tiến độ thành ba giai đoạn
| Giai đoạn | Việc chính | Điều thường làm chậm |
|---|---|---|
| 1. Chuẩn bị đầu vào | Chốt phạm vi, sơ đồ, tài sản, dữ liệu, tài khoản, quy trình và đầu mối. | Tài liệu cũ, nhiều nhà cung cấp, không rõ ai xác nhận. |
| 2. Soạn và rà hồ sơ | Viết phần tổng quan, thuyết minh cấp độ, phương án ATTT và rà chéo. | Phạm vi thay đổi, hồ sơ không khớp kỹ thuật, thiếu bằng chứng. |
| 3. Trình và xử lý hồ sơ | Nộp hồ sơ hợp lệ, tiếp nhận phản hồi và xử lý bổ sung nếu có. | Thiếu thành phần, sai thẩm quyền hoặc cần bổ sung tài liệu. |
Khi hỏi “mất bao lâu”, cần nói rõ đang hỏi mốc nào: có bản dự thảo, có bộ hồ sơ sẵn sàng trình hay đã có kết quả phê duyệt. Ba mốc này không giống nhau.
Yếu tố nào quyết định thời gian chuẩn bị?
Phạm vi hệ thống đã rõ chưa?
Một hệ thống có tên rõ, sơ đồ cập nhật và danh sách thành phần được xác nhận sẽ đi nhanh hơn nhiều so với hệ thống có nhiều ứng dụng, máy chủ và dịch vụ bên thứ ba nhưng không ai nắm toàn bộ.
Tài liệu có phản ánh đúng hiện trạng không?
Có sơ đồ không đồng nghĩa sơ đồ đó còn đúng. Nếu tài liệu đã cũ, đội triển khai phải dành thời gian phỏng vấn, kiểm kê và dựng lại hiện trạng trước khi viết hồ sơ.
Bao nhiêu bên cùng vận hành?
Khi hạ tầng, ứng dụng, cơ sở dữ liệu và bảo mật do nhiều nhà cung cấp hoặc phòng ban quản lý, phần chờ phản hồi thường dài hơn phần viết. Nên chỉ định một đầu mối điều phối và thời hạn trả lời cho từng bên.
Hệ thống còn thiếu gì về bảo mật?
Nếu hồ sơ dự kiến mô tả sao lưu, nhật ký, quản lý tài khoản hoặc xử lý sự cố nhưng thực tế các biện pháp này chưa có, cần quyết định phần nào phải khắc phục trước và phần nào được đưa vào kế hoạch. Không nên ghi một biện pháp là đã có chỉ để rút ngắn thời gian.
Vì sao 07 ngày không phải thời gian làm xong hồ sơ?
Điều kiện quan trọng trong quy định là “nhận đủ hồ sơ hợp lệ”. Trước thời điểm đó, doanh nghiệp có thể vẫn đang chốt phạm vi, thu thập tài liệu, xác định cấp độ đề xuất, soạn phương án ATTT, xin xác nhận nội bộ hoặc xử lý các điểm chưa nhất quán.
Nếu hồ sơ chưa hợp lệ hoặc cần bổ sung, tổng thời gian thực tế sẽ dài hơn. Vì vậy không nên lấy 07 ngày làm cam kết cho toàn bộ dự án hoặc dùng con số này để đánh giá đơn vị tư vấn “nhanh hay chậm”.
Checklist trước khi yêu cầu một mốc thời gian
- Đã xác định tên và phạm vi hệ thống.
- Có sơ đồ hoặc đủ thông tin để dựng lại sơ đồ hiện trạng.
- Có danh sách máy chủ, ứng dụng, cơ sở dữ liệu, API và dịch vụ liên quan.
- Đã xác định loại dữ liệu và nhóm người dùng chính.
- Có danh sách tài khoản quản trị và người chịu trách nhiệm.
- Biết hiện trạng sao lưu, nhật ký hệ thống, bản vá và xử lý sự cố.
- Đã xác định người rà nội dung và người có quyền ký hoặc xác nhận.
- Biết cơ quan hoặc đầu mối tiếp nhận theo trường hợp áp dụng.
Nếu nhiều mục vẫn chưa rõ, tiến độ nên được báo dưới dạng khoảng thời gian kèm điều kiện thay vì một ngày cố định.
Cách rút ngắn tiến độ mà không làm hồ sơ sơ sài
- Chốt phạm vi và người ra quyết định ngay từ đầu.
- Dùng một sơ đồ và một danh mục tài sản làm nguồn thông tin chung.
- Gom yêu cầu, hiện trạng, bằng chứng và người phụ trách vào cùng một bảng theo dõi.
- Cho người có quyền xác nhận đọc khung hồ sơ sớm, không chờ tới vòng cuối.
- Tách phần phải sửa trước khi trình khỏi kế hoạch cải tiến dài hạn.
- Quản lý phiên bản để mọi người cùng làm trên một bản chính thức.
Để rà sâu phần kỹ thuật, xem checklist ATTT cấp độ 2 và kiến trúc bảo mật cho hệ thống cấp độ 2.
Khi nào nên nhờ hỗ trợ?
Nên cân nhắc hỗ trợ khi phạm vi chưa rõ, nhiều bên cùng vận hành, tài liệu cũ hoặc hồ sơ từng bị góp ý nhiều. Khi báo tiến độ, đơn vị hỗ trợ nên ghi rõ đầu ra, giả định về tài liệu đầu vào, số vòng góp ý và phần việc nào phụ thuộc khách hàng hoặc cơ quan xử lý.
Xem dịch vụ lập hồ sơ đề xuất cấp độ ATTT nếu cần rà đầu vào và lập kế hoạch theo hiện trạng. Khi nhu cầu chính là dự toán ngân sách, xem báo giá hồ sơ cấp độ và triển khai bảo mật.
FAQ
Có thể làm hồ sơ cấp độ 2 trong 3 ngày không?
Có thể dựng bản khung nhanh khi phạm vi rất đơn giản và đầu vào đầy đủ, nhưng một bộ sẵn sàng trình vẫn cần được xác nhận về hiện trạng, căn cứ, phương án và thẩm quyền. Không nên dùng 3 ngày như cam kết chung.
Có bắt buộc kiểm thử xâm nhập trước khi lập hồ sơ không?
Không nên kết luận chung cho mọi hệ thống. Kiểm thử xâm nhập (pentest) là hoạt động mô phỏng tấn công có kiểm soát để tìm điểm yếu; việc có cần thực hiện hay không phụ thuộc yêu cầu áp dụng, phạm vi và rủi ro của hệ thống.
Khâu nào thường làm chậm nhất?
Thường là thu thập và xác nhận đầu vào: phạm vi, sơ đồ, dữ liệu, tài khoản, sao lưu, nhật ký, trách nhiệm vận hành và người phê duyệt.
Nguồn chính thức
Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.