Quy trình lập hồ sơ đề xuất cấp độ nên bắt đầu từ việc hiểu đúng hệ thống, không phải từ việc mở một file mẫu và điền thông tin. Nếu phạm vi, sơ đồ, dữ liệu và người chịu trách nhiệm chưa thống nhất, phần thuyết minh cấp độ và phương án bảo đảm ATTT rất dễ phải sửa lại nhiều lần.
5 bước dễ hiểu: rà hiện trạng → chốt phạm vi và cấp độ sơ bộ → soạn hồ sơ → rà chéo nội bộ → trình và xử lý góp ý. Đây là cách tổ chức công việc thực tế, không phải năm bước được quy định nguyên văn trong một điều luật.
Nếu chưa biết đầu vào đã đủ hay chưa, có thể bắt đầu bằng 5 bước tự đánh giá mức độ ATTT. Nếu chưa rõ hồ sơ gồm những gì, xem hồ sơ đề xuất cấp độ là gì; nếu cần khung tài liệu, xem mẫu cấu trúc hồ sơ.
Ba khái niệm nên hiểu trước
| Khái niệm | Hiểu đơn giản |
|---|---|
| Đầu vào | Thông tin và tài liệu dùng để viết hồ sơ: sơ đồ, danh mục tài sản, dữ liệu, tài khoản, quy trình và người phụ trách. |
| Phạm vi hệ thống | Những thành phần được tính là thuộc hệ thống đang đề xuất cấp độ. |
| Rà chéo | So sánh các phần của hồ sơ với nhau và với hệ thống thật để tìm điểm mâu thuẫn hoặc chưa có bằng chứng. |
Căn cứ cần đối chiếu
Nghị định 85/2016/NĐ-CP quy định về bảo đảm an toàn hệ thống thông tin theo cấp độ. Thông tư 12/2022/TT-BTTTT hướng dẫn chi tiết thêm về xác định hệ thống, đề xuất cấp độ và yêu cầu bảo đảm ATTT. Quy trình nội bộ nên được xây sao cho đầu ra của từng bước đủ để đối chiếu các yêu cầu này.
Bước 1: Rà hệ thống đang có gì
Mục tiêu của bước đầu tiên là tạo một bộ thông tin mà người phụ trách kỹ thuật và nghiệp vụ đều xác nhận là đúng. Đừng hỏi chung chung “hệ thống có gì”; hãy lập danh sách cụ thể.
- Tên, mục tiêu và chức năng chính của hệ thống.
- Đơn vị chịu trách nhiệm chính, đơn vị vận hành và nhà cung cấp liên quan.
- Website, ứng dụng, máy chủ, cơ sở dữ liệu, API, tên miền và dịch vụ đám mây.
- Các loại dữ liệu quan trọng, nơi lưu và nhóm người được truy cập.
- Tài khoản quản trị, quyền truy cập từ xa và tài khoản dịch vụ.
- Hiện trạng sao lưu, nhật ký hệ thống, bản vá, giám sát và xử lý sự cố.
- Sơ đồ, tài liệu thiết kế, bàn giao và quy trình đang còn hiệu lực.
Nếu sơ đồ đã cũ hoặc không ai xác nhận được, nên dựng lại hiện trạng trước. Một tài liệu có sẵn nhưng sai thực tế thường gây tốn thời gian hơn việc làm lại từ đầu.
Bước 2: Chốt phạm vi và cấp độ đề xuất sơ bộ
Phạm vi cần chỉ rõ phần nào thuộc hệ thống, phần nào dùng chung và phần nào do bên thứ ba quản lý. Sau đó mới phân tích chức năng, dữ liệu, người dùng và mức độ ảnh hưởng để hình thành cấp độ đề xuất sơ bộ.
Không nên chọn cấp độ trước rồi viết lý do cho khớp. Nếu còn thiếu dữ kiện, hãy ghi rõ điều gì chưa chắc chắn. Xem hướng dẫn xác định cấp độ ATTT để đi sâu phần này.
| Cần chốt | Câu hỏi | Đầu ra |
|---|---|---|
| Phạm vi | Thành phần nào thuộc hệ thống? | Sơ đồ và danh mục phạm vi |
| Dữ liệu | Dữ liệu nào được xử lý và hậu quả nếu bị lộ, sửa hoặc mất? | Bảng loại dữ liệu và mức ảnh hưởng |
| Người dùng | Ai sử dụng, ai quản trị, ai nhận dịch vụ? | Danh sách nhóm người dùng và vai trò |
| Cấp độ sơ bộ | Căn cứ nào hỗ trợ đề xuất? | Bản thuyết minh có thể kiểm tra |
Bước 3: Soạn hồ sơ từ cùng một nguồn thông tin
Khi phạm vi đã rõ, mới bắt đầu soạn. Tên hệ thống, sơ đồ, dữ liệu, đơn vị vận hành và cấp độ đề xuất phải thống nhất giữa phần tổng quan, tài liệu kiến trúc, thuyết minh cấp độ và phương án ATTT.
- Dùng một tên chính thức cho hệ thống.
- Dùng cùng phiên bản sơ đồ và danh mục tài sản.
- Mô tả dữ liệu nhất quán ở mọi phần.
- Giải thích cấp độ theo chuỗi: chức năng → dữ liệu → hậu quả → căn cứ.
- Phân biệt rõ biện pháp đã có, đang triển khai và còn thiếu.
- Không ghi một biện pháp là “đã triển khai” nếu chưa có người xác nhận hoặc bằng chứng phù hợp.
Nếu phát hiện khoảng trống kỹ thuật, nên ghi đúng hiện trạng và kế hoạch xử lý thay vì che bằng câu chữ chung chung. Với hệ thống cần bổ sung nhiều lớp bảo vệ, xem giải pháp bảo mật hệ thống cấp độ 2/3.
Bước 4: Rà chéo trước khi trình
Bản dự thảo nên được người nắm kỹ thuật, người phụ trách vận hành và người có quyền xác nhận nội dung cùng rà. Mục tiêu không chỉ là sửa câu chữ mà là tìm những điểm “hồ sơ nói một đằng, hệ thống chạy một nẻo”.
| Nhóm rà | Cần kiểm tra |
|---|---|
| Phạm vi | Sơ đồ và danh mục có đúng hệ thống đang chạy? |
| Dữ liệu | Loại dữ liệu, luồng xử lý và mức ảnh hưởng đã đủ? |
| Cấp độ | Căn cứ có đi từ phạm vi và hậu quả thực tế? |
| Phương án ATTT | Biện pháp có khớp kiến trúc và trạng thái triển khai? |
| Bằng chứng | Có tài liệu, cấu hình, nhật ký hoặc biên bản tương ứng? |
Bước 5: Trình, xử lý góp ý và lưu bản chuẩn
Trước khi trình, cần xác định đúng thẩm quyền, thành phần hồ sơ và đầu mối tiếp nhận theo trường hợp áp dụng. Nếu có góp ý, hãy ghi lại từng ý kiến, người xử lý và phiên bản đã sửa. Khi một thay đổi liên quan tới phạm vi hoặc cấp độ, phải rà lại các phần khác chứ không chỉ sửa một đoạn riêng lẻ.
- Lưu bản đã trình và danh mục tài liệu đi kèm.
- Ghi rõ từng góp ý và trạng thái xử lý.
- Giữ một phiên bản cuối được xác nhận là bản chuẩn.
- Chuyển các khoảng trống kỹ thuật còn lại thành kế hoạch có người phụ trách.
- Quy định khi nào cần rà và cập nhật hồ sơ sau thay đổi hệ thống.
Những nguyên nhân thường làm hồ sơ chậm
- Phạm vi chưa chốt nên phải sửa lại nhiều phần.
- Không có một đầu mối điều phối tài liệu.
- Nhà cung cấp giữ sơ đồ hoặc thông tin quan trọng nhưng phản hồi chậm.
- Người có quyền phê duyệt chỉ tham gia ở vòng cuối.
- Hồ sơ và kỹ thuật được làm tách rời.
- Không quản lý phiên bản, nhiều file cùng được chỉnh sửa.
Không nên hứa một số ngày cố định trước khi biết đầu vào. Nếu đang cần ước lượng thời gian cho cấp độ 2, xem hồ sơ cấp độ 2 mất bao lâu.
Khi nào nên thuê hỗ trợ?
Nên cân nhắc hỗ trợ khi hệ thống có nhiều bên vận hành, tài liệu không cập nhật, nội bộ thiếu người nối giữa nghiệp vụ và kỹ thuật hoặc vừa phải hoàn thiện hồ sơ vừa phải xử lý khoảng trống bảo mật. Phạm vi dịch vụ cần ghi rõ đầu ra, số vòng góp ý và phần nào không bao gồm.
Xem dịch vụ lập hồ sơ đề xuất cấp độ ATTT nếu cần hỗ trợ từ rà phạm vi đến bàn giao bộ tài liệu.
Nguồn chính thức
Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.