Hồ sơ đề xuất cấp độ ATTT được thẩm định và phê duyệt như thế nào?
Thẩm định và phê duyệt hồ sơ đề xuất cấp độ ATTT là giai đoạn sau khi đơn vị đã xác định phạm vi ... Đọc tiếp
Hành trình nội dung
Lập hồ sơ & tuân thủ ATTT từ đầu
- 1 5 bước tự đánh giá mức độ… Tự đánh giá
- 2 Hướng dẫn xác định cấp độ an… Xác định cấp độ
- 3 Hồ sơ đề xuất cấp độ là… Hiểu hồ sơ
- 4 Mẫu cấu trúc hồ sơ đề xuất… Chuẩn bị cấu trúc
- 5 Quy trình lập hồ sơ đề xuất… Lập hồ sơ
- 6 Checklist ATTT cấp độ 2: hồ sơ,… Đối chiếu yêu cầu
- 7 Kiến trúc bảo mật hệ thống thông… Hoàn thiện kỹ thuật
- 8 Hồ sơ đề xuất cấp độ ATTT… Bạn đang ở đây
- 9 Khi nào phải rà soát và cập… Rà soát & cập nhật
- 10 Dịch vụ lập hồ sơ đề xuất… Dịch vụ
- 11 Báo giá lập hồ sơ đề xuất… Báo giá
Thẩm định và phê duyệt hồ sơ đề xuất cấp độ ATTT là giai đoạn sau khi đơn vị đã xác định phạm vi hệ thống, đề xuất cấp độ và hoàn thiện bộ tài liệu. Mục tiêu không phải chỉ là “nộp hồ sơ”, mà là để cơ quan/đơn vị có thẩm quyền kiểm tra tính phù hợp của cấp độ đề xuất, phương án bảo đảm ATTT và điều kiện vận hành trước khi có quyết định tương ứng.
Phân biệt: bài này tập trung vào giai đoạn sau khi hồ sơ đã được chuẩn bị: gửi thẩm định → nhận ý kiến → xử lý góp ý → trình/phê duyệt → lưu bản chuẩn. Nếu đang ở giai đoạn xây dựng hồ sơ, xem quy trình lập hồ sơ đề xuất cấp độ.
Thẩm định hồ sơ cấp độ kiểm tra những gì?
Theo Điều 16 Nghị định 85/2016/NĐ-CP, nội dung thẩm định tập trung vào sự phù hợp của cấp độ đề xuất và phương án bảo đảm an toàn hệ thống thông tin tương ứng, gồm cả phương án trong thiết kế và trong quá trình vận hành. Vì vậy, một bộ hồ sơ trình thẩm định cần nhất quán với hệ thống thật, không chỉ đầy đủ về hình thức.
| Nhóm cần đối chiếu | Câu hỏi thực tế |
|---|---|
| Phạm vi hệ thống | Sơ đồ, tài sản, kết nối và đơn vị vận hành có đúng hiện trạng? |
| Cấp độ đề xuất | Căn cứ xác định cấp độ có đi từ chức năng, dữ liệu và mức ảnh hưởng? |
| Biện pháp ATTT | Phương án quản lý và kỹ thuật có phù hợp cấp độ tương ứng? |
| Trạng thái triển khai | Điều gì đã có, đang triển khai và còn thiếu được mô tả rõ? |
| Bằng chứng | Các mô tả quan trọng có tài liệu, cấu hình, log hoặc đầu mối xác nhận? |
Quy trình từ khi hoàn thành hồ sơ đến khi phê duyệt
1. Chốt phiên bản hồ sơ gửi thẩm định
Trước khi gửi, nên khóa một phiên bản có danh mục tài liệu đi kèm. Tên hệ thống, đơn vị vận hành, sơ đồ, phạm vi, cấp độ đề xuất và phương án ATTT phải thống nhất giữa các tài liệu. Nếu chưa chắc cấp độ, xem lại hướng dẫn xác định cấp độ ATTT.
2. Xác định đúng đầu mối và thẩm quyền
Thẩm quyền và trình tự có khác biệt theo cấp độ và mô hình chủ quản hệ thống. Không nên sao chép đầu mối từ một hồ sơ khác rồi mặc định áp dụng. Cần đối chiếu quy định hiện hành, cơ cấu của chủ quản hệ thống và văn bản phân cấp/ủy quyền nếu có.
3. Gửi hồ sơ và quản lý phiên bản đã trình
Giữ nguyên một bản của bộ hồ sơ đã gửi, ngày gửi, đầu mối tiếp nhận và danh mục file. Đây là mốc để xử lý góp ý sau đó. Không nên tiếp tục sửa trực tiếp bản đã trình mà không quản lý phiên bản.
4. Tiếp nhận và xử lý ý kiến thẩm định
Mỗi ý kiến nên được chuyển thành một dòng theo dõi: nội dung góp ý, tài liệu bị ảnh hưởng, người xử lý, thay đổi đã thực hiện và bằng chứng xác nhận. Nếu một góp ý làm thay đổi phạm vi hoặc cấp độ, cần rà chéo toàn bộ các phần liên quan thay vì sửa một đoạn riêng lẻ.
5. Trình/phê duyệt và lưu bộ hồ sơ chuẩn
Sau khi xử lý ý kiến theo trình tự áp dụng, cần lưu bộ hồ sơ cuối, văn bản/ý kiến thẩm định, quyết định hoặc tài liệu phê duyệt tương ứng và danh mục các đầu việc kỹ thuật còn phải tiếp tục thực hiện. Bản được phê duyệt phải trở thành mốc tham chiếu cho vận hành và các lần rà soát sau.
Các lỗi thường khiến vòng thẩm định kéo dài
- Phạm vi trong sơ đồ khác với phạm vi mô tả trong thuyết minh.
- Cấp độ được chọn trước nhưng căn cứ chưa đủ rõ.
- Biện pháp ATTT được ghi là “đã triển khai” nhưng không có bằng chứng phù hợp.
- Thông tin đơn vị vận hành, tài sản hoặc kết nối không thống nhất giữa các tài liệu.
- Góp ý được sửa cục bộ nhưng không rà ảnh hưởng sang các phần khác.
- Không quản lý phiên bản, dẫn đến không biết bản nào đã trình và bản nào đã sửa.
Sau phê duyệt có phải kết thúc không?
Không nên coi phê duyệt là điểm kết thúc của vòng đời. Hồ sơ cần tiếp tục phản ánh hệ thống trong phạm vi áp dụng. Khi kiến trúc, chức năng, dữ liệu, phạm vi, đơn vị vận hành hoặc biện pháp bảo đảm ATTT thay đổi đáng kể, cần đánh giá ảnh hưởng và xác định có phải rà soát/cập nhật hồ sơ hay không. Xem tiếp khi nào phải rà soát và cập nhật hồ sơ đề xuất cấp độ ATTT để quản lý bước tiếp theo của vòng đời.
Nguồn và tài liệu đối chiếu
- Nghị định 85/2016/NĐ-CP về bảo đảm an toàn hệ thống thông tin theo cấp độ.
- Sổ tay hướng dẫn tuân thủ quy định pháp luật và tăng cường bảo đảm ATHTTT theo cấp độ của cơ quan quản lý chuyên ngành; khi áp dụng cần kiểm tra phiên bản và văn bản còn hiệu lực.
Nếu cần rà từ đầu bộ hồ sơ trước khi gửi thẩm định, xem checklist ATTT cấp độ 2 và mẫu cấu trúc hồ sơ đề xuất cấp độ.
Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.
Đọc thêm
