Bảo đảm an toàn hệ thống thông tin theo cấp độ: Doanh nghiệp cần đáp ứng gì?

Việc bảo đảm an toàn hệ thống thông tin theo cấp độ hiện nay không còn là một lựa chọn tự nguyện mà đã trở thành yêu cầu tuân thủ bắt buộc theo quy định tại Nghị định 85/2016/NĐ-CP. Đứng trước bối cảnh các cuộc tấn công mạng diễn biến ngày càng phức tạp, hệ thống phân loại năm cấp độ đã được ban hành nhằm chuẩn hóa công tác bảo vệ tài sản số. Quá trình xác định đúng cấp độ sẽ giúp doanh nghiệp thiết lập được các phương án phòng thủ tương xứng với mức độ rủi ro mà tổ chức đang phải đối mặt. Bài viết dưới đây sẽ cung cấp một cái nhìn tổng quan về 5 cấp độ bảo đảm an toàn hệ thống thông tin và các yêu cầu quản lý cơ bản để ban lãnh đạo định hình chiến lược bảo mật phù hợp. 

1.Hệ thống thông tin theo cấp độ là gì?

Theo Nghị định 85/2016/NĐ-CP, có 5 cấp độ bảo đảm an toàn hệ thống thông tin

Hệ thống thông tin cấp độ 1 là những hệ thống phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý thông tin công cộng. Đây là mức cơ bản nhất, không chứa dữ liệu bí mật; hậu quả khi bị tấn công chủ yếu ảnh hưởng tới quyền lợi tổ chức nhưng không đe dọa lợi ích công cộng. Hệ thống thông tin này bao gồm: Trang web giới thiệu cơ quan, hệ thống quản lý lịch họp nội bộ, cổng thông tin truyền thông nội bộ hoặc hệ thống ghi chú không chứa dữ liệu người dùng. Các hệ thống này chủ yếu phục vụ thông tin và quản trị nội bộ nên yêu cầu bảo vệ cơ bản.

Hệ thống thông tin cấp độ 2 áp dụng cho các hệ thống thông tin phục vụ hoạt động nội bộ có xử lý thông tin riêng hoặc thông tin cá nhân dưới 10.000 người sử dụng nhưng không xử lý thông tin bí mật nhà nước. Ngoài ra, các hệ thống phục vụ người dân, doanh nghiệp cung cấp dịch vụ công trực tuyến mức 2 trở xuống, dịch vụ trực tuyến không thuộc danh mục kinh doanh có điều kiện,…Hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của một cơ quan, tổ chức cũng được xếp vào cấp 2. Ví dụ như cổng dịch vụ công trực tuyến cho phép nộp các giấy tờ như giấy phép lái xe, căn cước công dân. Hệ thống dữ liệu khách hàng, email nội bộ của SME có ít hơn 10.000 đầu dữ liệu cũng nằm trong diện này.

Được coi như là 1 trong 5 cấp độ an toàn thông tin chủ chốt, cấp độ 3 bao gồm các hệ thống xử lý thông tin bí mật nhà nước hoặc các hệ thống phục vụ quốc phòng, an ninh. Ngoài ra, các hệ thống phục vụ người dân bao gồm dịch vụ công mức độ 3 trở lên, dịch vụ kinh doanh có điều kiện hay xử lý thông tin cá nhân của 10,000 người dùng trở lên. Hệ thống cơ sở hạ tầng thông tin dùng chung cho nhiều cơ quan trong phạm vi ngành hay tỉnh, điều khiển công nghiệp các công trình cấp 2 đến 4 cũng nằm trong nhóm này. Ví dụ có thể kể tới hệ thống phục vụ quản lý biên giới, trang đăng ký doanh nghiệp trực tuyến, các hệ thống thanh toán của ngân hàng lớn phục vụ hàng chục nghìn khách hàng.

Hệ thống an toàn thông tin cấp độ 4 là chuyên xử lý bí mật nhà nước hoặc phục vụ quốc phòng, an ninh. Khi bị phá hoại, an ninh quốc gia hay quốc phòng bị tổn hại nghiêm trọng. Đồng thời, hệ thống này còn phục vụ phát triển Chính phủ điện tử, vận hành 24/7 và không chấp nhận ngừng vận hành không kế hoạch. Các cơ sở hạ tầng thông tin dùng chung toàn quốc hay hệ thống điều khiển công trình xây dựng cấp 1 cũng thuộc cấp này. Những hệ thống này bao gồm: cổng dữ liệu quốc gia, điều khiển trạm điện thế, thu phí tự động quốc gia, thanh toán liên ngân hàng.

Trong 5 cấp độ an toàn thông tin, cấp độ 5 là cấp cao nhất, áp dụng cho hệ thống xử lý bí mật nhà nước hoặc phục vụ quốc phòng, an ninh. Khi bị phá hoại, an toàn thông tin bị tổn hại đặc biệt nghiêm trọng, tạo ra mức độ thiệt hại cực rộng về mặt quốc phòng và an nịnh quốc gia. Các hệ thống như lưu trữ dữ liệu tập trung có tính chất đặc biệt quan trọng (ví dụ như cơ sở dữ liệu dân cư quốc gia) cũng nằm trong diện này. Không chỉ vậy, cở sở hạ tầng thông tin quốc gia nhằm kết nối quốc tế cũng đóng vai trò đặc biệt quan trọng trong chiến lược chung.

Mỗi một cấp độ hệ thống thông tin sẽ đi kèm với một bộ tiêu chuẩn kiểm soát rủi ro hoàn toàn khác biệt để tương xứng với mức độ quan trọng của dữ liệu. Cấp độ càng cao thì các yêu cầu về rào chắn kỹ thuật và quy trình quản trị vận hành lại càng trở nên chặt chẽ hơn bao giờ hết. Các doanh nghiệp tuyệt đối không được phép tiếp cận công tác an toàn thông tin một cách hời hợt hoặc chỉ đơn thuần đầu tư mua sắm thiết bị mà bỏ qua khâu đánh giá cấp độ. Việc nhanh chóng xác định đúng phân hạng hệ thống ngay từ lúc này chính là nền tảng vững chắc nhất để tổ chức xây dựng một chiến lược bảo mật hợp pháp và tối ưu chi phí.

2. Các yêu cầu chung doanh nghiệp bắt buộc phải đáp ứng

Theo quy định tại Thông tư 12/2022/TT-BTTTT: 

1. Việc bảo đảm an toàn hệ thống thông tin theo cấp độ thực hiện theo yêu cầu cơ bản quy định tại Thông tư này và Tiêu chuẩn quốc gia TCVN 11930-2017 về Công nghệ thông tin – các kỹ thuật an toàn – yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ.

2. Yêu cầu cơ bản đối với từng cấp độ quy định tại Thông tư này là các yêu cầu tối thiểu để bảo đảm an toàn hệ thống thông tin, bao gồm yêu cầu cơ bản về quản lý, yêu cầu cơ bản về kỹ thuật và không bao gồm các yêu cầu bảo đảm an toàn vật lý.

3. Yêu cầu cơ bản về quản lý, bao gồm:

a) Thiết lập chính sách an toàn thông tin;

b) Tổ chức bảo đảm an toàn thông tin;

c) Bảo đảm nguồn nhân lực;

d) Quản lý thiết kế, xây dựng hệ thống;

đ) Quản lý vận hành hệ thống:

e) Phương án Quản lý rủi ro an toàn thông tin;

g) Phương án Kết thúc vận hành, khai thác, thanh lý, hủy bỏ hệ thống thông tin.

4. Yêu cầu cơ bản về kỹ thuật, bao gồm:

a) Bảo đảm an toàn mạng,

b) Bảo đảm an toàn máy chủ;

c) Bảo đảm an toàn ứng dụng

d) Bảo đảm an toàn dữ liệu.

5. Việc xây dựng phương án bảo đảm an toàn thông tin đáp ứng yêu cầu cơ bản theo từng cấp độ thực hiện theo nguyên tắc quy định tại khoản 2 Điều 4 Nghị định 85/2016/NĐ-CP, cụ thể như sau:

a) Đối với hệ thống thông tin cấp độ 1, 2, 3: Phương án bảo đảm an toàn thông tin phải xem xét khả năng dùng chung giữa các hệ thống thông tin đối với các giải pháp bảo vệ, chia sẻ tài nguyên để tối ưu hiệu năng, tránh đầu tư thừa, trùng lặp, lãng phí;

b) Đối với hệ thống thông tin cấp độ 4, 5: Phương án bảo đảm an toàn thông tin cần được thiết kế bảo đảm tính sẵn sàng, phân tách và hạn chế ảnh hưởng đến toàn bộ hệ thống khi một thành phần trong hệ thống hoặc có liên quan tới hệ thống bị mất an toàn thông tin.

6. Hệ thống thông tin khi được đầu tư xây dựng mới hoặc mở rộng, nâng cấp phải triển khai đầy đủ phương án bảo đảm an toàn thông tin đã được phê duyệt tại Hồ sơ đề xuất cấp độ và đáp ứng các yêu cầu an toàn tại Điều 9 và Điều 10 Thông tư này trước khi đưa vào vận hành, khai thác.

7. Quy chế bảo đảm an toàn hệ thống thông tin cho hệ thống phải được xây dựng, đáp ứng các yêu cầu an toàn về quản lý theo cấp độ an toàn hệ thống thông tin tương ứng và được cấp có thẩm quyền phê duyệt, ban hành trước khi Hồ sơ đề xuất cấp độ được phê duyệt.

8. Yêu cầu bảo đảm an toàn thông tin đối với phần mềm nội bộ khi xây dựng mới hoặc mở rộng, nâng cấp:

a) Phần mềm nội bộ được xây dựng mới hoặc mở rộng, nâng cấp phải tuân thủ Khung phát triển phần mềm an toàn;

b) Đáp ứng yêu cầu an toàn cơ bản đối với Phần mềm nội bộ.

9. Trường hợp hệ thống thông tin cấp độ 3 được triển khai dưới hình thức thuê dịch vụ công nghệ thông tin tại Trung tâm dữ liệu hoặc điện toán đám mây, thiết kế hệ thống phải đáp ứng các yêu cầu sau:

a) Phải được thiết kế tách riêng, độc lập với các hệ thống khác về lô-gic và có biện pháp quản lý truy cập giữa các hệ thống:

b) Các vùng mạng trong hệ thống phải được thiết kế tách riêng, độc lập với nhau về lô-gic và có biện pháp quản lý truy cập giữa các vùng mạng

c) Có phân vùng lưu trữ được phân tách độc lập về lô-gic.

10, Trường hợp hệ thống thông tin cấp độ 4 hoặc cấp độ 5 được triển khai dưới hình thức thuê dịch vụ công nghệ thông tin tại Trung tâm dữ liệu hoặc Điện toán đám mây, thiết kế hệ thống phải đáp ứng các yêu cầu sau:

a) Phải được thiết kế tách riêng, độc lập với các hệ thống khác về vật lý và có biện pháp quản lý truy cập giữa các hệ thống

b) Các vùng mạng trong hệ thống phải được thiết kế tách riêng, độc lập với nhau về lô-gic và có biện pháp quản lý truy cập giữa các vùng mạng

c) Có phân vùng lưu trữ được phân tách độc lập về vật lý;

d) Các thiết bị mạng chính phải được phân tách độc lập về vật lý.

Theo đó, việc bảo đảm an toàn hệ thống thông tin theo cấp độ được thực hiện theo những yêu cầu chung như trên.

3. Dịch vụ Kiểm định Bảo mật Hệ thống CNTT 

Nhiều doanh nghiệp hiện nay gặp không ít áp lực khi tự thực hiện phân loại hệ thống thông tin và xây dựng hồ sơ đề xuất cấp độ, đặc biệt trong bối cảnh các yêu cầu kỹ thuật và quy định pháp lý ngày càng phức tạp. Việc thiếu kinh nghiệm triển khai thực tế không chỉ kéo dài thời gian xử lý mà còn tiềm ẩn nguy cơ hồ sơ không đáp ứng đúng yêu cầu thẩm định.

Nhằm hỗ trợ doanh nghiệp giải quyết bài toán này một cách hiệu quả, 405CYSE cung cấp Dịch vụ Kiểm định bảo mật hệ thống CNTT được thiết kế phù hợp với nhiều mô hình tổ chức khác nhau. Đội ngũ chuyên gia của chúng tôi sẽ trực tiếp rà soát hiện trạng hạ tầng, đối chiếu với các quy địn của pháp luật và hỗ trợ hoàn thiện trọn vẹn bộ hồ sơ đề xuất cấp độ an toàn hệ thống thông tin. Sự đồng hành của giải pháp chuyên nghiệp này sẽ giúp ban lãnh đạo dễ dàng vượt qua các khâu thẩm định của nhà nước và xây dựng một hệ thống phòng thủ đạt chuẩn an toàn tuyệt đối.

Mỗi một cấp độ hệ thống thông tin sẽ đi kèm với một bộ tiêu chuẩn kiểm soát rủi ro hoàn toàn khác biệt để tương xứng với mức độ quan trọng của dữ liệu. Việc tuân thủ trọn vẹn bộ yêu cầu chung về quản lý và kỹ thuật đã trở thành một thước đo chuẩn mực để đánh giá năng lực cạnh tranh của các tổ chức trong kỷ nguyên số. Các doanh nghiệp tuyệt đối không được phép tiếp cận công tác an toàn thông tin một cách hời hợt hoặc chỉ đơn thuần đầu tư mua sắm thiết bị mà bỏ qua khâu đánh giá cấp độ. Bất kỳ sự thiếu sót nào trong việc xây dựng hồ sơ đề xuất cấp độ và quy chế quản lý đều có thể trở thành rủi ro pháp lý giáng xuống doanh nghiệp khi cơ quan chức năng tiến hành thanh tra.