5 cấp độ an toàn thông tin theo Nghị định 85/2016/NĐ-CP: Hướng dẫn doanh nghiệp tự đánh giá hệ thống

Trong bối cảnh chuyển đổi số đang diễn ra mạnh mẽ trên mọi lĩnh vực, việc bảo vệ hệ thống dữ liệu không chỉ còn là vấn đề kỹ thuật mà đã trở thành trách nhiệm pháp lý bắt buộc. Nghị định 85/2016/NĐ-CP của Chính phủ đã thiết lập một hành lang pháp lý rõ ràng bằng việc phân loại hạ tầng công nghệ thành 5 cấp độ an toàn thông tin khác nhau. Tùy thuộc vào quy mô, tính chất dữ liệu và mức độ ảnh hưởng khi xảy ra sự cố, mỗi hệ thống sẽ được xếp vào một cấp độ tương ứng với các yêu cầu bảo vệ từ cơ bản đến tối mật. Việc hiểu rõ và xác định chính xác hệ thống của mình đang nằm ở đâu trong 5 cấp độ an toàn thông tin là bước đi đầu tiên giúp doanh nghiệp xây dựng chiến lược phòng thủ hiệu quả, tối ưu hóa ngân sách và tránh được các án phạt nặng nề từ cơ quan quản lý nhà nước.

1. Phân loại 5 cấp độ an toàn thông tin

Cấp độ 1: Hệ thống thông tin thông thường

Nghị định đã định nghĩa hệ thống thông tin cấp độ 1 là những hệ thống phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý thông tin công cộng. Đây là mức cơ bản nhất, không chứa dữ liệu bí mật; hậu quả khi bị tấn công chủ yếu ảnh hưởng tới quyền lợi tổ chức nhưng không đe dọa lợi ích công cộng.

Hệ thống thông tin này bao gồm: Trang web giới thiệu cơ quan, hệ thống quản lý lịch họp nội bộ, cổng thông tin truyền thông nội bộ hoặc hệ thống ghi chú không chứa dữ liệu người dùng. Các hệ thống này chủ yếu phục vụ thông tin và quản trị nội bộ nên yêu cầu bảo vệ cơ bản.

Phần lớn các doanh nghiệp, tổ chức sẽ sở hữu các hệ thống thông tin thông thường trong hệ thống công nghệ thông tin của mình. Các mục tiêu bảo vệ cũng đơn giản hơn, tập trung vào cách thực thi chính sách bảo mật như thiết lập chính sách mật khẩu mạnh, đào tạo nhân sự, cập nhật phần mềm định kỳ và cấu hình tường lửa cơ bản, trang bị hệ thống chống xâm nhập (IPS/IDS) và sao lưu định kỳ.

Cấp độ 2: Hệ thống quan trọng

Trong 5 cấp độ an toàn thông tin, cấp độ 2 áp dụng cho các hệ thống thông tin phục vụ hoạt động nội bộ có xử lý thông tin riêng hoặc thông tin cá nhân dưới 10.000 người sử dụng nhưng không xử lý thông tin bí mật nhà nước. Ngoài ra, các hệ thống phục vụ người dân, doanh nghiệp cung cấp dịch vụ công trực tuyến mức 2 trở xuống, dịch vụ trực tuyến không thuộc danh mục kinh doanh có điều kiện,…

Hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của một cơ quan, tổ chức cũng được xếp vào cấp 2. Ví dụ như cổng dịch vụ công trực tuyến cho phép nộp các giấy tờ như giấy phép lái xe, căn cước công dân. Hệ thống dữ liệu khách hàng, email nội bộ của SME có ít hơn 10.000 đầu dữ liệu cũng nằm trong diện này.

Mục tiêu bảo vệ nhắm vào việc tránh rò rỉ thông tin cá nhân, ngăn chặn gián đoạn hoạt động hoặc khai thác lỗ hổng đơn giản. Cần áp dụng các biện pháp như mã hóa dữ liệu cá nhân, xác thực hai yếu tố (2FA), kiểm soát truy cập dựa trên vai trò và kiểm tra thâm nhập định kỳ.

Cấp độ 3: Hệ thống trọng yếu

Được coi như là 1 trong 5 cấp độ an toàn thông tin chủ chốt, cấp độ 3 bao gồm các hệ thống xử lý thông tin bí mật nhà nước hoặc các hệ thống phục vụ quốc phòng, an ninh. Ngoài ra, các hệ thống phục vụ người dân bao gồm dịch vụ công mức độ 3 trở lên, dịch vụ kinh doanh có điều kiện hay xử lý thông tin cá nhân của 10,000 người dùng trở lên.

Hệ thống cơ sở hạ tầng thông tin dùng chung cho nhiều cơ quan trong phạm vi ngành hay tỉnh, điều khiển công nghiệp các công trình cấp 2 đến 4 cũng nằm trong nhóm này. Ví dụ có thể kể tới hệ thống phục vụ quản lý biên giới, trang đăng ký doanh nghiệp trực tuyến, các hệ thống thanh toán của ngân hàng lớn phục vụ hàng chục nghìn khách hàng.

An toàn hệ thống thông tin ở đây là bảo vệ bí mật quốc gia, dữ liệu nhạy cảm, cũng như đảm bảo hệ thống hoạt động ổn định. Các hệ thống này cần có trung tâm điều hành an ninh mạng (SOC) để giám sát 24/7, áp dụng tiêu chuẩn TCVN 11930:2017 để thiết kế an toàn và mã hoá dữ liệu.

Cấp độ 4: Hệ thống rất quan trọng

Hệ thống an toàn thông tin cấp độ 4 là chuyên xử lý bí mật nhà nước hoặc phục vụ quốc phòng, an ninh. Khi bị phá hoại, an ninh quốc gia hay quốc phòng bị tổn hại nghiêm trọng. Đồng thời, hệ thống này còn phục vụ phát triển Chính phủ điện tử, vận hành 24/7 và không chấp nhận ngừng vận hành không kế hoạch.

Các cơ sở hạ tầng thông tin dùng chung toàn quốc hay hệ thống điều khiển công trình xây dựng cấp 1 cũng thuộc cấp này. Những hệ thống này bao gồm: cổng dữ liệu quốc gia, điều khiển trạm điện thế, thu phí tự động quốc gia, thanh toán liên ngân hàng.

Chính bởi vậy, các hệ thống này cần đảm bảo tính liên tục ở mức cao. bảo vệ dữ liệu tuyệt mật và ngăn chặn tấn công nâng cao (APT). Việc phát hiện và khắc phục nhanh chóng, sử dụng các nền tảng, với nhiều lớp dự phòng và tuân thủ tiêu chuẩn quốc tế như ISO/IEC 27001.

Cấp độ 5: Hệ thống đặc biệt quan trọng

Trong 5 cấp độ an toàn thông tin, cấp độ 5 là cấp cao nhất, áp dụng cho hệ thống xử lý bí mật nhà nước hoặc phục vụ quốc phòng, an ninh. Khi bị phá hoại, an toàn thông tin bị tổn hại đặc biệt nghiêm trọng, tạo ra mức độ thiệt hại cực rộng về mặt quốc phòng và an nịnh quốc gia.

Các hệ thống như lưu trữ dữ liệu tập trung có tính chất đặc biệt quan trọng (ví dụ như cơ sở dữ liệu dân cư quốc gia) cũng nằm trong diện này. Không chỉ vậy, cở sở hạ tầng thông tin quốc gia nhằm kết nối quốc tế cũng đóng vai trò đặc biệt quan trọng trong chiến lược chung.

Bởi vậy, an toàn thông tin, dữ liệu tuyệt mật cần được bảo vệ tối đa trước mọi hình thức tấn công, kể cả chiến tranh mạng. Đồng thời, hệ thống cần có kiến trúc phân vùng nghiêm ngặt, giám sát liên tục sử dụng các công nghệ tối tân.

2. Vai trò của chính sách trong Hệ thống An toàn thông tin

Nghị định 85/2016/NĐ‑CP và Thông tư 12/2022/TT‑BTTTT là hai văn bản pháp lý quan trọng nhất về bảo đảm an toàn hệ thống thông tin theo cấp độ. Nghị định 85 quy định tiêu chí phân loại, thẩm quyền thẩm định, trình tự xác định cấp độ và trách nhiệm bảo đảm an toàn. Theo Nghị định, người đứng đầu cơ quan, tổ chức phải trực tiếp chỉ đạo công tác bảo đảm ATTT; nếu chưa có đơn vị chuyên trách, họ phải chỉ định bộ phận công nghệ thông tin đảm nhận nhiệm vụ này

Thông tư 12/2022/TT‑BTTTT hướng dẫn cụ thể việc xác định cấp độ, xây dựng hồ sơ đề xuất và yêu cầu kỹ thuật. Các cơ quan khi lập hồ sơ đề xuất cần mô tả phạm vi hệ thống, phân tích mức độ ảnh hưởng và đề xuất cấp độ phù hợp. Thông tư cũng đưa ra danh mục biện pháp kỹ thuật tối thiểu cho từng cấp độ để đảm bảo tính nhất quán và thống nhất trong triển khai.

3. Yêu cầu An toàn thông tin theo Thông tư 12

Thông tư 12 hướng dẫn chi tiết việc bảo đảm an toàn hệ thống thông tin theo cấp độ, bao gồm hai nhóm yêu cầu chính: yêu cầu quản lý và yêu cầu kỹ thuật. Theo hướng dẫn từ Bộ Thông tin và truyền thông, các doanh nghiệp tổ chức cần thiết lập chính sách, tổ chức bộ máy, quản lý thiết kế và xây dựng hệ thống. Ngoài ra, doanh nghiệp đảm bảo yêu cầu về kỹ thuật từ an toàn mạng, máy chủ, ứng dụng, dữ liệu,… cũng như quản lý rủi ro và phương án kết thúc vận hành.

Đối với mỗi cấp độ, thông tư 12 cũng nêu rõ các giải pháp kỹ thuật gợi ý. Điều này bao gồm phương án quản lý truy cập, quản trị hệ thống từ xa, IPS/Firewall, bảo vệ thiết bị đầu cuối (Endpoint Security). Riêng với hai cấp độ 4 và 5, các bộ ban ngành cũng cần có các giải pháp dự phòng về đường truyền mạng, quản lý tài khoản đặc quyền và dự phòng hệ thống với khoảng cách tối thiểu 30 cây số.

4. Quy trình tự đánh giá mức độ An toàn thông tin

Các tổ chức cần tự đánh giá định kỳ để biết hệ thống của mình thuộc cấp nào và cần nâng cấp ra sao. Sau đây là quy trình 5 bước tổng quát, được tham khảo từ nghị định 85, thông tư 12 cũng như từ kinh nghiệm chuyên môn của đội ngũ 405CYSE: 

– Xác định phạm vi hệ thống: Khoanh vùng rõ ràng các thành phần (phần mềm, cơ sở dữ liệu, thiết bị mạng) cần đánh giá.

– Thu thập và kiểm tra cấu hình bảo mật hiện tại: Kiểm tra danh sách tài khoản và quyền truy cập, chính sách mật khẩu, cấu hình tường lửa, phiên bản hệ điều hành và bản vá bảo mật

– Đánh giá rủi ro và điểm yếu: Phân tích mối đe dọa, mức độ tác động và khả năng bị tấn công. Sử dụng công cụ quét lỗ hổng, thử nghiệm xâm nhập

– So sánh với tiêu chuẩn pháp lý: Đối chiếu cấu hình hiện tại với yêu cầu của Nghị định 85, Thông tư 12 và các chuẩn quốc tế như ISO/IEC 27001.

– Báo cáo kết quả và đề xuất cải thiện: Xác định cấp độ hiện tại, nêu điểm mạnh – yếu và lập kế hoạch nâng cấp (ưu tiên xử lý rủi ro nghiêm trọng trước).

5. Dịch vụ Chuẩn hóa hệ thống & Tuân thủ Bảo mật 

405CYSE cung cấp bộ Checklist tự đánh giá cấp độ an toàn thông tin được thiết kế bám sát theo các quy định của Nghị định 85 và Thông tư 12. Bộ Checklist này sẽ hướng dẫn doanh nghiệp đi qua 5 bước tổng quát: từ khoanh vùng phạm vi hệ thống, kiểm tra cấu hình bảo mật hiện tại, đánh giá điểm yếu cho đến việc đối chiếu với tiêu chuẩn pháp lý.

Tuy nhiên, kết quả từ Checklist tự đánh giá chỉ là bước khởi đầu để ban lãnh đạo hình dung được bức tranh tổng thể. Để lập hồ sơ đề xuất cấp độ và triển khai các biện pháp bảo vệ đúng luật, 405CYSE mang đến Dịch vụ Chuẩn hóa hệ thống & Tuân thủ Bảo mật chuyên sâu. Đội ngũ chuyên gia của chúng tôi sẽ thực hiện rà soát, cung cấp các bộ Masterkit biểu mẫu soạn sẵn và tư vấn lộ trình nâng cấp hạ tầng tối ưu chi phí nhất. Nhờ đó, tổ chức không chỉ hoàn thành nghĩa vụ pháp lý một cách nhanh chóng mà còn xây dựng được một kiến trúc phòng thủ vững chắc trước mọi rủi ro an ninh mạng.

Việc phân loại hệ thống theo 5 cấp độ an toàn thông tin không còn là thủ tục hình thức mà là cơ sở để doanh nghiệp ra quyết định đúng về đầu tư bảo mật và quản trị rủi ro. Khi xác định đúng cấp độ, tổ chức sẽ tránh được tình trạng bảo vệ quá mức gây lãng phí hoặc bảo vệ thiếu mức dẫn đến vi phạm pháp luật và sự cố nghiêm trọng. Thay vì chờ đến khi hệ thống bị tấn công hoặc bị cơ quan quản lý kiểm tra mới xử lý, doanh nghiệp nên chủ động tự đánh giá định kỳ, chuẩn hóa cấu hình bảo mật và xây dựng lộ trình nâng cấp phù hợp với quy mô vận hành. Đây chính là cách tiếp cận bền vững giúp vừa đảm bảo tuân thủ quy định, vừa duy trì sự ổn định và uy tín của hệ thống công nghệ thông tin trong dài hạn.