05 thành phần hồ sơ đề xuất cấp độ an toàn thông tin

Tại sao nhiều hồ sơ bị yêu cầu chỉnh sửa dù đã chuẩn bị kỹ?

Theo Nghị định 85/2016/NĐ-CP, hồ sơ đề xuất cấp độ an toàn thông tin có cấu trúc tưởng như rõ ràng, với 5 thành phần chính, quy trình thẩm định có thời hạn cụ thể. Nhưng trên thực tế, nhiều doanh nghiệp vẫn nhận về yêu cầu chỉnh sửa hoặc bổ sung sau khi nộp, kéo dài toàn bộ lộ trình hoàn thiện từ vài tuần thành vài tháng.

Nguyên nhân thường không phải vì thiếu thành phần hồ sơ đề xuất cấp độ trong danh sách mà vì từng thành phần chưa đạt yêu cầu về nội dung và mức độ chi tiết mà cơ quan thẩm định kỳ vọng. Bài viết này đi sâu vào từng thành phần hồ sơ đề xuất cấp độ an toàn thông tin, chỉ rõ những gì cần có và những sai lầm thực tiễn cần tránh.

Xem thêm: Nghị Định 85/2016/NĐ-CP: Khung pháp lý về An toàn Hệ thống Thông tin theo cấp độ

5 thành phần bắt buộc của hồ sơ đề xuất cấp độ

Theo Điều 15 Nghị định 85/2016/NĐ-CP, hồ sơ đề xuất cấp độ an toàn thông tin gồm 5 thành phần. Mỗi thành phần có yêu cầu nội dung riêng và vai trò khác nhau trong quá trình thẩm định, hiểu rõ từng phần là điều kiện tiên quyết để hồ sơ được phê duyệt trong lần nộp đầu tiên.

Thành phần 1 — Tài liệu mô tả và thuyết minh tổng quan hệ thống

Đây là phần đầu tiên cơ quan thẩm định đọc và cũng là phần tạo ra ấn tượng ban đầu về mức độ nghiêm túc của hồ sơ đề xuất cấp độ an toàn thông tin. Mục đích của tài liệu này là giúp cơ quan thẩm định hiểu rõ hệ thống đang được đề xuất cấp độ là gì, phục vụ ai và vận hành như thế nào trước khi đi vào các chi tiết kỹ thuật.

Nội dung tối thiểu cần có bao gồm tên và mục đích của hệ thống thông tin, phạm vi triển khai và đối tượng người dùng, các chức năng chính và luồng xử lý thông tin, mô tả sơ lược về hạ tầng kỹ thuật và các thành phần cấu thành hệ thống.

Lỗi phổ biến nhất ở phần này là mô tả quá ngắn gọn và chung chung kiểu như “hệ thống quản lý thông tin khách hàng phục vụ hoạt động kinh doanh”. Cơ quan thẩm định cần hiểu được quy mô thực tế: bao nhiêu người dùng, xử lý loại dữ liệu gì, kết nối với những hệ thống nào, triển khai on-premise hay cloud. Tài liệu tổng quan không chi tiết sẽ làm suy yếu toàn bộ hồ sơ bởi cơ quan thẩm định không có đủ bối cảnh để đánh giá tính phù hợp của cấp độ được đề xuất.

Thành phần 2 — Tài liệu thiết kế kỹ thuật

Đây là thành phần trong hồ sơ đề xuất cấp độ đòi hỏi nhiều công sức chuẩn bị nhất, và cũng là thành phần gây khó khăn lớn nhất với những hệ thống đã vận hành lâu năm. Nghị định 85 phân biệt rõ yêu cầu theo hai trường hợp.

Với hệ thống mới hoặc đang mở rộng, nâng cấp: cần cung cấp thiết kế sơ bộ hoặc tài liệu có giá trị tương đương tức là tài liệu thể hiện kiến trúc tổng thể dự kiến, các thành phần hạ tầng chính và cách thức kết nối giữa chúng.

Với hệ thống đang vận hành: cần cung cấp thiết kế thi công đã được cấp có thẩm quyền phê duyệt, hoặc tài liệu có giá trị tương đương thể hiện đúng kiến trúc hệ thống thực tế đang chạy, không phải kiến trúc dự kiến hay phiên bản cũ đã thay đổi.

Đây chính là điểm khó nhất trong thực tiễn. Phần lớn doanh nghiệp triển khai hệ thống theo kiểu mở rộng dần thêm server, thêm module, tích hợp thêm dịch vụ theo thời gian nhưng không cập nhật tài liệu thiết kế song song. Kết quả là khi cần làm hồ sơ, không có tài liệu thiết kế nào phản ánh đúng kiến trúc hiện tại. Giải pháp thực tế là phải thực hiện reverse engineering, khảo sát lại toàn bộ hệ thống thực tế và vẽ lại sơ đồ kiến trúc, sơ đồ mạng và sơ đồ luồng dữ liệu từ đầu. Đây là công việc tốn thời gian nhưng không thể bỏ qua.

Tài liệu thiết kế cần bao gồm sơ đồ kiến trúc hệ thống tổng thể, sơ đồ hạ tầng mạng với phân vùng rõ ràng (DMZ, internal network, management network), danh sách và thông số các thành phần phần cứng và phần mềm chính, cùng sơ đồ luồng dữ liệu giữa các thành phần và với các hệ thống bên ngoài.

Thành phần 3 — Tài liệu thuyết minh đề xuất cấp độ

Nếu thành phần 1 và 2 mô tả hệ thống là gì, thì thành phần 3 phải trả lời câu hỏi: tại sao hệ thống này thuộc cấp độ X chứ không phải cấp độ X-1 hay X+1?

Tài liệu này cần thuyết minh cấp độ đề xuất dựa trên các tiêu chí cụ thể theo quy định của pháp luật, bao gồm phân loại thông tin được xử lý (công cộng, riêng, cá nhân, bí mật nhà nước), phân loại hệ thống theo chức năng (phục vụ nội bộ, phục vụ người dân, hạ tầng thông tin, điều khiển công nghiệp), đánh giá mức độ thiệt hại nếu hệ thống bị tấn công hoặc ngưng hoạt động, và phạm vi ảnh hưởng đến tổ chức, đến xã hội hay đến an ninh quốc gia.

Sai lầm thường gặp ở phần này là doanh nghiệp chỉ kết luận cấp độ mà không trình bày logic dẫn đến kết luận đó. Cơ quan thẩm định cần thấy được quá trình đánh giá, không chỉ kết quả. Một tài liệu thuyết minh tốt phải đối chiếu từng tiêu chí với thực tế của hệ thống và giải thích vì sao mức ảnh hưởng được đánh giá là cao, trung bình hay thấp theo từng chiều tiêu chí.

Lưu ý thực tiễn quan trọng: không nên cố tình đề xuất cấp độ thấp hơn thực tế để giảm bớt yêu cầu bảo mật. Nếu cơ quan thẩm định xác định cấp độ thực tế cao hơn đề xuất, doanh nghiệp phải làm lại toàn bộ hồ sơ đề xuất cấp độ an toàn thông tin và có thể phải bổ sung đáng kể các biện pháp bảo mật tốn kém hơn nhiều so với việc làm đúng ngay từ đầu.

Thành phần 4 — Phương án bảo đảm an toàn thông tin

Đây là phần thể hiện rõ nhất năng lực thực tế của doanh nghiệp trong việc bảo vệ hệ thống. Không phải là kế hoạch dự kiến trong tương lai mà là phương án cụ thể, có thể triển khai, phù hợp với cấp độ được đề xuất.

Phương án bảo đảm an toàn thông tin cần bao gồm đầy đủ các lớp bảo vệ theo yêu cầu của cấp độ tương ứng trong Thông tư 12/2022/TT-BTTTT và TCVN 11930:2017 (Thông tư 12/2022 bao gồm các lớp bảo vệ tương ứng với cấp độ, tcvn 11930:2017 là các yêu cầu bảo mật chi tiết cho các lớp bảo vệ trong thông tư 12/2022).

Cụ thể, cần trình bày rõ các biện pháp bảo vệ vật lý và môi trường, kiểm soát truy cập và quản lý danh tính, bảo mật mạng và phân vùng hạ tầng, mã hóa và bảo vệ dữ liệu trong lưu trữ và truyền tải, giám sát và ghi nhật ký hệ thống, quy trình ứng cứu sự cố và phục hồi sau thảm họa, cùng chính sách và quy trình quản lý an toàn thông tin nội bộ.

Điểm quan trọng cần lưu ý: nhiều doanh nghiệp đã có các giải pháp bảo mật thực tế, firewall, antivirus, hệ thống sao lưu, nhưng chưa có tài liệu hóa đầy đủ về cách những giải pháp này vận hành, ai chịu trách nhiệm và quy trình xử lý khi có sự cố. Phương án bảo đảm an toàn không chỉ liệt kê công cụ đang dùng mà phải thể hiện được quy trình, phân công trách nhiệm và cơ chế kiểm tra, giám sát thường xuyên.

Với hệ thống Cấp độ 3 trở lên, phương án cần thể hiện khả năng phát hiện và phản ứng với sự cố trong thời gian thực, không phải chỉ sau khi sự cố đã xảy ra và gây thiệt hại.

Thành phần 5 — Ý kiến chuyên môn (bắt buộc với Cấp độ 4 và 5)

Thành phần này chỉ bắt buộc với hệ thống đề xuất Cấp độ 4 hoặc Cấp độ 5, tức là các hệ thống có tầm ảnh hưởng lớn đến xã hội hoặc liên quan đến an ninh quốc gia.

Ý kiến chuyên môn phải đến từ đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống. Tùy theo loại hệ thống và cơ quan chủ quản, văn bản ý kiến chuyên môn có thể cần lấy từ Bộ Công an (đối với các hệ thống thuộc phạm vi quản lý về an ninh), Bộ Quốc phòng (đối với các hệ thống liên quan đến quốc phòng), hoặc Bộ Thông tin và Truyền thông (đối với các hệ thống thuộc phạm vi quản lý chung về CNTT và viễn thông).

Lưu ý thực tiễn quan trọng: việc xin ý kiến chuyên môn từ các bộ thường mất thêm thời gian đáng kể và không nằm trong kiểm soát của doanh nghiệp. Nếu hệ thống của bạn có khả năng thuộc Cấp độ 4, hãy bắt đầu quy trình xin ý kiến chuyên môn song song với việc chuẩn bị các thành phần hồ sơ khác, không nên để đến khi hồ sơ đã hoàn thiện mới bắt đầu.

Thời hạn thẩm định và những gì xảy ra sau khi nộp hồ sơ đề xuất cấp độ

Theo Điều 16 Nghị định 85, thời hạn thẩm định được quy định cụ thể: tối đa 15 ngày với hệ thống Cấp độ 3, và tối đa 30 ngày với hệ thống Cấp độ 4 hoặc 5, kể từ ngày nhận đủ hồ sơ hợp lệ. Sau khi có kết quả thẩm định, thời gian xử lý phê duyệt tối đa thêm 7 ngày làm việc.

Cụm từ quan trọng nhất trong quy định này là “kể từ ngày nhận đủ hồ sơ hợp lệ”. Đồng hồ đếm ngược không bắt đầu từ ngày nộp, mà từ ngày cơ quan thẩm định xác nhận hồ sơ đã đầy đủ và hợp lệ. Nếu hồ sơ thiếu tài liệu hoặc có nội dung chưa đạt yêu cầu, cơ quan thẩm định sẽ gửi lại yêu cầu bổ sung và đồng hồ chưa bắt đầu chạy. Đây là lý do thực tiễn nhiều dự án bị kéo dài hơn dự kiến dù đã nộp hồ sơ đúng thời hạn.

Checklist tự kiểm tra trước khi nộp hồ sơ

Trước khi nộp hồ sơ, doanh nghiệp nên tự kiểm tra theo danh sách sau để đảm bảo không bị trả về vì lý do kỹ thuật:

Một điểm quan trọng mà nhiều doanh nghiệp bỏ qua: hồ sơ đề xuất cấp độ cần được cập nhật khi hệ thống có thay đổi đáng kể — mở rộng quy mô, thêm chức năng mới, thay đổi kiến trúc hạ tầng hoặc thay đổi loại dữ liệu được xử lý. Hệ thống thực tế vận hành khác với hồ sơ đã phê duyệt là tình trạng vi phạm pháp lý, dù doanh nghiệp không có ý định che giấu.

Ngoài ra, với sự xuất hiện của Nghị định 356/2025/NĐ-CP về bảo vệ dữ liệu cá nhân, doanh nghiệp cần lưu ý rằng hoàn thiện hồ sơ cấp độ theo Nghị định 85 và lập hồ sơ DPIA theo Nghị định 356 là hai nghĩa vụ độc lập, phải thực hiện song song. Hồ sơ cấp độ chứng minh hạ tầng kỹ thuật đạt chuẩn, hồ sơ DPIA chứng minh quy trình xử lý dữ liệu cá nhân tuân thủ pháp luật. Cả hai cùng tạo nên bức tranh tuân thủ toàn diện mà cơ quan chức năng ngày càng yêu cầu trong các đợt kiểm tra.