Kiến trúc bảo mật hệ thống thông tin cấp độ 2

Kiến trúc bảo mật cho hệ thống thông tin cấp độ 2 không phải là một sơ đồ cố định gồm vài thiết bị bắt buộc. Đây là cách tổ chức các biện pháp quản lý và kỹ thuật để bảo vệ đúng phạm vi hệ thống, dữ liệu, người dùng và luồng truy cập đã được xác định.

Nếu chỉ lập hồ sơ nhưng hệ thống thật vẫn dùng chung tài khoản quản trị, không tách vùng mạng, thiếu log hoặc backup chưa từng thử khôi phục, tài liệu sẽ không phản ánh đúng năng lực vận hành. Ngược lại, mua nhiều công cụ mà không có trách nhiệm, quy trình và bằng chứng cũng không tạo thành một kiến trúc có thể kiểm tra.

Tóm tắt: Kiến trúc bảo mật cấp độ 2 nên được thiết kế từ phạm vi và rủi ro thực tế, sau đó đối chiếu yêu cầu quản lý và kỹ thuật. Các lớp thường cần rà gồm quản trị, nhân sự và tài khoản, mạng, máy chủ, ứng dụng, dữ liệu, log, backup và ứng cứu sự cố. Mô hình cụ thể phụ thuộc hệ thống; không có một sơ đồ duy nhất phù hợp cho mọi đơn vị.

Hiểu đúng về kiến trúc bảo mật hệ thống cấp độ 2

Nghị định 85/2016/NĐ-CP đặt ra khung bảo đảm an toàn hệ thống thông tin theo cấp độ. Thông tư 12/2022/TT-BTTTT hướng dẫn việc xác định hệ thống, thuyết minh cấp độ, yêu cầu bảo đảm an toàn và hoạt động kiểm tra, đánh giá. Các yêu cầu được tổ chức theo nhóm quản lý và kỹ thuật, thay vì quy định một sơ đồ thiết bị duy nhất.

Vì vậy, “kiến trúc bảo mật cấp độ 2” nên được hiểu là phương án bảo vệ có thể trả lời các câu hỏi sau:

• Hệ thống gồm những thành phần nào và ranh giới ở đâu?
• Dữ liệu nào được xử lý, lưu trữ và trao đổi?
• Ai được truy cập, với vai trò và điều kiện nào?
• Lưu lượng đi qua những vùng và lớp kiểm soát nào?
• Biện pháp nào bảo vệ mạng, máy chủ, ứng dụng và dữ liệu?
• Sự kiện nào được ghi log và ai nhận cảnh báo?
• Khi xảy ra sự cố, hệ thống được cô lập, điều tra và khôi phục ra sao?

Nếu chưa xác định được phạm vi hoặc cấp độ sơ bộ, nên bắt đầu từ hướng dẫn xác định cấp độ an toàn thông tin. Không nên chọn kiến trúc chỉ dựa trên tên gọi website, phần mềm hoặc quy mô doanh nghiệp.

Ba căn cứ để thiết kế kiến trúc

Kiến trúc nên được xây từ ba nguồn: quy định áp dụng, tiêu chuẩn hoặc hướng dẫn kỹ thuật liên quan và rủi ro thực tế của hệ thống. Thiếu một trong ba lớp này dễ dẫn đến hồ sơ đúng câu chữ nhưng không bảo vệ được, hoặc đầu tư công nghệ không khớp phạm vi.

Căn cứ	Vai trò	Đầu vào cần có
Quy định về cấp độ	Xác định phạm vi, trách nhiệm, hồ sơ và yêu cầu áp dụng	Chủ quản, đơn vị vận hành, chức năng, dữ liệu và mức độ ảnh hưởng
Tiêu chuẩn/hướng dẫn kỹ thuật	Chuyển yêu cầu thành nhóm kiểm soát có thể thực hiện	Bảng đối chiếu quản lý và kỹ thuật, tiêu chí nghiệm thu
Rủi ro thực tế	Ưu tiên biện pháp theo bề mặt tấn công và tác động kinh doanh	Sơ đồ, tài sản, tài khoản, luồng dữ liệu, sự cố và khoảng trống hiện tại

TCVN 11930:2017 thường được dùng làm nguồn tham chiếu khi đối chiếu yêu cầu cơ bản về an toàn hệ thống theo cấp độ. Tuy nhiên, bảng kiểm soát phải được ánh xạ với kiến trúc thật; không nên sao chép danh mục mà không xác định thành phần nào thực hiện, người nào vận hành và bằng chứng nào chứng minh.

Các lớp cần rà trong kiến trúc cấp độ 2

Một kiến trúc nhiều lớp giúp giảm khả năng một lỗi đơn lẻ làm ảnh hưởng toàn hệ thống. Số lớp dưới đây là cách tổ chức để rà soát, không phải tuyên bố rằng mọi hệ thống phải mua cùng một bộ sản phẩm.

Lớp	Mục tiêu	Kiểm soát nên rà
Quản trị	Xác định trách nhiệm và cách vận hành	Chính sách, phân công, quản lý thay đổi, đánh giá và báo cáo
Nhân sự và danh tính	Đảm bảo đúng người, đúng quyền, đúng thời gian	Tài khoản cá nhân, MFA, quyền tối thiểu, cấp và thu hồi quyền
Mạng	Giới hạn đường truy cập và khả năng lan truyền	Phân vùng, firewall/ACL, VPN, cổng mở, quản trị từ xa
Máy chủ và nền tảng	Giảm bề mặt tấn công	Hardening, bản vá, tài khoản đặc quyền, dịch vụ thừa và giám sát tài nguyên
Ứng dụng và API	Giảm lỗi xác thực, phân quyền và xử lý dữ liệu	Secure coding, kiểm thử, session, upload, input, API và WAF khi phù hợp
Dữ liệu	Bảo vệ tính bí mật, toàn vẹn và sẵn sàng	Phân loại, quyền truy cập, mã hóa phù hợp, backup và kiểm soát xuất dữ liệu
Log, ứng cứu và phục hồi	Phát hiện, điều tra và khôi phục	Log tập trung, cảnh báo, runbook, danh bạ khẩn cấp và restore test

Với cổng web công, lớp ứng dụng và biên mạng thường có mức ưu tiên cao hơn. WAF, rate limit và chống bot có thể hỗ trợ giảm request bất thường, nhưng không thay thế sửa code, phân quyền, MFA, backup và log.

Mô hình tham khảo cho website hoặc portal công khai

Một luồng tham khảo có thể gồm: người dùng Internet đi qua DNS/CDN hoặc lớp bảo vệ biên; tiếp đến WAF/reverse proxy; sau đó mới tới web/app; database nằm trong vùng hạn chế; log và backup được tách khỏi luồng người dùng công cộng; khu vực quản trị dùng kênh và quyền riêng.

Vùng	Kiểm soát chính	Dấu hiệu cần xử lý
Internet/biên	TLS, chỉ mở dịch vụ cần thiết, CDN/WAF/rate limit khi phù hợp	Nhiều port không rõ mục đích hoặc origin bị truy cập trực tiếp
Web/App	Tài khoản dịch vụ riêng, bản vá, log lỗi, kiểm soát session và upload	Ứng dụng chạy quyền quá cao hoặc không có log
Database	Không mở trực tiếp ra Internet, quyền theo vai trò, backup	Dùng chung tài khoản, quyền rộng hoặc không thử restore
Quản trị	VPN hoặc giới hạn IP, MFA, tài khoản cá nhân và ghi log	Admin dùng chung hoặc không truy vết được thao tác
Giám sát/backup	Log tập trung, cảnh báo, bản sao độc lập và quy trình khôi phục	Chỉ biết sự cố khi người dùng báo hoặc backup nằm cùng máy chủ chính

Mô hình này cần điều chỉnh theo cloud, on-premise, SaaS, số lượng người dùng, dữ liệu và yêu cầu sẵn sàng. Với website có nhiều điểm public, có thể rà thêm checklist bảo mật website có cổng web công.

Đối chiếu yêu cầu quản lý và kỹ thuật

Mỗi yêu cầu cần được ánh xạ tới chính sách, thành phần kỹ thuật, người vận hành và bằng chứng. Cách này giúp phân biệt “đã có công cụ” với “kiểm soát đang hoạt động”.

Nhóm	Câu hỏi rà soát	Bằng chứng nên có
Chính sách	Có quy định về quyền, thay đổi, backup và sự cố không?	Tài liệu được phê duyệt, biểu mẫu và lịch rà soát
Tổ chức	Ai chủ quản, vận hành, phê duyệt và xử lý cảnh báo?	Phân công, RACI và danh sách đầu mối
Thiết kế	Sơ đồ hệ thống và luồng dữ liệu còn đúng không?	Sơ đồ, danh mục tài sản và biên bản xác nhận
Mạng	Vùng, cổng và truy cập từ xa đã được giới hạn chưa?	Firewall/ACL/VPN rule và kết quả rà soát
Máy chủ	Hardening, bản vá và tài khoản đặc quyền được quản lý thế nào?	Checklist, lịch cập nhật và log quản trị
Ứng dụng	Phân quyền, session, input, API và lỗi đã được kiểm thử chưa?	Kết quả test, ticket và bằng chứng khắc phục
Dữ liệu	Ai được xem, xuất, sửa và khôi phục dữ liệu?	Ma trận quyền, log, backup và restore test
Ứng cứu	Ai cô lập, điều tra, khôi phục và báo cáo?	Runbook, danh bạ, biên bản diễn tập hoặc sự cố

Trạng thái nên chia thành: đã có và đủ bằng chứng; đã có nhưng cần cập nhật; chưa có; không áp dụng kèm lý do. Không dùng checklist để tự tuyên bố “đạt chuẩn”. Có thể tham khảo checklist ATTT cấp độ 2 như công cụ rà khoảng trống.

Khung triển khai theo giai đoạn

Hệ thống đang vận hành không nên bị thay đổi đồng loạt nếu chưa đánh giá tác động. Có thể chia thành các giai đoạn nhỏ. Mốc 30 ngày dưới đây chỉ là ví dụ tổ chức công việc ban đầu; tiến độ thực tế phụ thuộc phạm vi, nguồn lực và số khoảng trống.

Nếu cần một luồng từ khảo sát hiện trạng, đánh giá rủi ro, thiết kế kiến trúc đến hardening, MFA, WAF, backup, log và bàn giao vận hành, xem quy trình triển khai bảo mật hệ thống từ A–Z.

Giai đoạn	Việc chính	Đầu ra
Khảo sát	Khoanh phạm vi, tài sản, dữ liệu, người dùng, nhà cung cấp và luồng truy cập	Danh mục tài sản, sơ đồ và đầu mối
Đánh giá khoảng trống	Đối chiếu yêu cầu quản lý/kỹ thuật với hiện trạng	Bảng gap, rủi ro và mức ưu tiên
Thiết kế	Chọn vùng mạng, quyền, log, backup và các lớp bảo vệ	Sơ đồ mục tiêu và kế hoạch thay đổi
Triển khai	Xử lý tài khoản, cổng mở, bản vá, MFA, backup, log và biện pháp phù hợp	Cấu hình và bằng chứng thực hiện
Kiểm thử và bàn giao	Kiểm tra hành trình, cảnh báo, restore và quy trình ứng cứu	Báo cáo, tồn tại còn lại và lịch vận hành

Nếu phát hiện dấu hiệu bị xâm nhập, cần ưu tiên cô lập, bảo toàn bằng chứng và xử lý sự cố trước khi tiếp tục hoàn thiện kiến trúc hoặc hồ sơ. Tham khảo quy trình xử lý website bị hack hoặc tấn công.

Sai lầm thường gặp

• Làm hồ sơ trước, xác minh hệ thống sau: tài liệu dễ mô tả biện pháp chưa tồn tại.
• Mua công cụ trước khi biết rủi ro: ngân sách có thể dồn sai lớp.
• Xem WAF hoặc firewall là toàn bộ kiến trúc: bỏ sót tài khoản, dữ liệu, backup và ứng cứu.
• Không lưu bằng chứng: khó chứng minh kiểm soát đang vận hành.
• Để nhà cung cấp giữ toàn bộ quyền: doanh nghiệp khó thay đổi, điều tra hoặc khôi phục.
• Dùng cùng một thiết kế cho mọi hệ thống: không phản ánh đúng dữ liệu, chức năng và tác động.

Khi nào nên thuê hỗ trợ?

Đơn vị có thể tự rà nếu phạm vi nhỏ, tài liệu rõ và đội kỹ thuật nắm đầy đủ hạ tầng. Nên cân nhắc hỗ trợ độc lập khi hệ thống có nhiều nhà cung cấp, dữ liệu quan trọng, cổng web công, tài liệu thiếu, từng xảy ra sự cố hoặc cần vừa hoàn thiện hồ sơ vừa triển khai kỹ thuật.

Nếu nhu cầu chính là xác định phạm vi, quy trình và đầu ra hồ sơ, xem dịch vụ lập hồ sơ đề xuất cấp độ ATTT. Khi cần triển khai các lớp kỹ thuật và vận hành, tham khảo giải pháp bảo mật hệ thống cấp độ 2 và cấp độ 3. Trang báo giá chỉ phù hợp khi doanh nghiệp đã cần dự toán ngân sách theo phạm vi cụ thể.

Điểm bắt đầu phù hợp: lập danh mục tài sản, vẽ luồng dữ liệu và truy cập, kiểm tra tài khoản quản trị, backup và log. Các đầu vào này giúp xác định đúng lớp cần ưu tiên trước khi mua thêm công cụ.

FAQ

Hệ thống cấp độ 2 có bắt buộc phải dùng WAF không?

Không nên kết luận chỉ từ cấp độ. WAF đáng cân nhắc khi hệ thống có website, portal hoặc API công khai, nhưng lựa chọn phải dựa trên kiến trúc và rủi ro thực tế.

Có cần tách database khỏi web server không?

Mục tiêu là database không bị truy cập trực tiếp từ Internet và quyền được giới hạn. Cách tách có thể bằng vùng mạng, dịch vụ riêng, firewall và tài khoản riêng tùy kiến trúc.

Doanh nghiệp nhỏ có cần kiến trúc bài bản không?

Có, nhưng mức triển khai có thể gọn. Tối thiểu cần phạm vi rõ, tài khoản riêng, MFA, bản vá, backup thử khôi phục, log và quy trình ứng cứu.

Có hồ sơ cấp độ 2 nghĩa là hệ thống đã an toàn chưa?

Chưa chắc. Hồ sơ cần khớp hiện trạng và các biện pháp phải được triển khai, kiểm thử, vận hành và lưu bằng chứng.

Nên bắt đầu từ đâu nếu hệ thống chưa có tài liệu?

Hãy khoanh phạm vi, kiểm kê tài sản và dữ liệu, vẽ luồng truy cập, xác định tài khoản quản trị, backup và log; sau đó mới lập bảng khoảng trống và thiết kế kiến trúc mục tiêu.

Kết luận

Kiến trúc bảo mật hệ thống thông tin cấp độ 2 là phương án tổ chức các lớp quản lý và kỹ thuật theo phạm vi thực tế, không phải danh sách mua sắm hoặc một sơ đồ cố định. Giá trị của kiến trúc nằm ở việc mỗi kiểm soát có mục tiêu, người chịu trách nhiệm, cấu hình, bằng chứng và chu kỳ vận hành.

Cách làm phù hợp là xác định hệ thống và rủi ro trước, đối chiếu yêu cầu, thiết kế theo lớp, triển khai theo ưu tiên, kiểm thử và lưu bằng chứng. Điều này giúp giảm khoảng cách giữa hồ sơ và hệ thống thật, đồng thời tránh đầu tư quá mức vào công cụ không giải quyết đúng điểm yếu.