Trong bối cảnh các cuộc tấn công mạng ngày càng gia tăng và yêu cầu tuân thủ pháp lý về an toàn thông tin ngày càng chặt chẽ, việc xác định cấp độ an toàn hệ thống thông tin đã trở thành yêu cầu quan trọng đối với nhiều doanh nghiệp và tổ chức tại Việt Nam. Đặc biệt, với các hệ thống cung cấp dịch vụ trực tuyến, xử lý dữ liệu khách hàng hoặc kết nối với cơ quan nhà nước, việc xây dựng hồ sơ đề xuất cấp độ không chỉ là yêu cầu bắt buộc mà còn là nền tảng để triển khai các biện pháp bảo mật phù hợp.

Theo Nghị định 85/2016/NĐ-CP, mọi hệ thống thông tin cần được xác định cấp độ tương ứng với mức độ ảnh hưởng khi xảy ra sự cố mất an toàn thông tin. Đây là cơ sở để cơ quan quản lý đánh giá mức độ quan trọng của hệ thống cũng như yêu cầu doanh nghiệp triển khai các biện pháp bảo vệ tương ứng.

Nội dung

Cấp độ an toàn thông tin là gì?

Cấp độ an toàn thông tin (hay Cấp độ an toàn hệ thống thông tin) là việc phân loại các hệ thống thông tin thành các cấp độ khác nhau dựa trên quy mô, chức năng, loại thông tin được xử lý và mức độ thiệt hại nếu hệ thống bị phá hoại. Việc phân loại này giúp doanh nghiệp xác định rõ trách nhiệm bảo vệ hệ thống cũng như đầu tư đúng mức cho các giải pháp bảo mật.

Theo quy định hiện hành, hệ thống thông tin được chia thành 5 cấp độ, từ cấp độ 1 đến cấp độ 5. Cấp độ càng cao thì mức độ ảnh hưởng đối với hoạt động của tổ chức, xã hội hoặc an ninh quốc gia càng lớn. Những hệ thống chứa dữ liệu quan trọng, phục vụ số lượng lớn người dùng hoặc ảnh hưởng đến hoạt động của cơ quan, doanh nghiệp thường được xếp từ cấp độ 3 trở lên.

Hiện nay, nhiều doanh nghiệp chỉ chú trọng đầu tư firewall, antivirus hay hệ thống giám sát mà chưa thực hiện xác định cấp độ an toàn thông tin theo đúng quy định. Điều này có thể dẫn đến rủi ro khi bị thanh tra, kiểm tra hoặc tham gia các dự án yêu cầu tuân thủ pháp luật về an toàn thông tin mạng.

Hồ sơ đề xuất cấp độ an toàn thông tin bao gồm những gì?

Theo Điều 15 của Nghị định 85/2016/NĐ-CP, hồ sơ đề xuất cấp độ an toàn thông tin bao gồm 5 thành phần chính sau đây:

Tài liệu mô tả, thuyết minh tổng quan về hệ thống thông tin.
Tài liệu thiết kế, cụ thể là một trong những tài liệu sau:

Đối với dự án đầu tư xây dựng mới hoặc mở rộng, nâng cấp: Thiết kế sơ bộ hoặc tài liệu có giá trị tương đương.
Đối với hệ thống thông tin đang vận hành: Thiết kế thi công đã được cấp có thẩm quyền phê duyệt hoặc tài liệu có giá trị tương đương.

Tài liệu thuyết minh về việc đề xuất cấp độ được căn cứ trên các tiêu chí theo quy định của pháp luật.
Tài liệu thuyết minh phương án bảo đảm an toàn thông tin theo cấp độ tương ứng.
Ý kiến về mặt chuyên môn của đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin (yêu cầu này chỉ áp dụng đối với hệ thống thông tin đề xuất cấp độ 4 hoặc cấp độ 5).

Quy trình xác định và phê duyệt Hồ sơ đề xuất cấp độ an toàn thông tin

Việc xác định cấp độ an toàn thông tin thường bắt đầu bằng quá trình khảo sát và đánh giá hệ thống thực tế. Doanh nghiệp cần xác định rõ các thành phần hạ tầng, dữ liệu đang xử lý, số lượng người dùng, mức độ ảnh hưởng khi xảy ra sự cố và các nguy cơ an toàn thông tin liên quan.

Sau khi đánh giá tổng thể, đơn vị triển khai sẽ xác định cấp độ phù hợp cho hệ thống và xây dựng hồ sơ đề xuất theo quy định. Hồ sơ sau đó được gửi đến cơ quan có thẩm quyền để thẩm định và phê duyệt.

Thời gian thẩm định Hồ sơ đề xuất cấp độ an toàn thông tin:

Theo Điều 16 của Nghị định 85/2016/NĐ-CP, thời gian thẩm định hồ sơ đề xuất cấp độ an toàn hệ thống thông tin được quy định cụ thể theo từng cấp độ như sau:

Đối với hệ thống thông tin đề xuất cấp độ 3: Thời gian thẩm định tối đa là 15 ngày kể từ ngày nhận đủ hồ sơ hợp lệ.
Đối với hệ thống thông tin đề xuất cấp độ 4 hoặc cấp độ 5: Thời gian thẩm định tối đa là 30 ngày kể từ ngày nhận đủ hồ sơ hợp lệ.

Bên cạnh đó, sau khi có kết quả thẩm định, thời gian xử lý hồ sơ để phê duyệt cấp độ tối đa là 07 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ

Tuy nhiên trên thực tế, nhiều hồ sơ có thể bị yêu cầu chỉnh sửa hoặc bổ sung nếu thiếu tài liệu kỹ thuật, mô tả hệ thống chưa rõ ràng hoặc chưa xây dựng đầy đủ phương án bảo đảm an toàn thông tin theo yêu cầu.

Những khó khăn doanh nghiệp thường gặp khi làm Hồ sơ đề xuất cấp độ an toàn thông tin

Nhiều doanh nghiệp hiện nay chưa có đầy đủ tài liệu thiết kế hệ thống hoặc sơ đồ hạ tầng do hệ thống đã triển khai trong thời gian dài và liên tục mở rộng. Điều này khiến quá trình xây dựng hồ sơ mất nhiều thời gian và khó xác định chính xác phạm vi hệ thống.

Bên cạnh đó, việc đánh giá mức độ ảnh hưởng để xác định cấp độ phù hợp cũng là vấn đề phức tạp. Nếu lựa chọn cấp độ không đúng, doanh nghiệp có thể phải điều chỉnh lại hồ sơ hoặc triển khai thiếu các biện pháp bảo vệ cần thiết.

Một khó khăn khác là xây dựng phương án bảo đảm an toàn thông tin theo đúng yêu cầu của từng cấp độ. Nhiều doanh nghiệp đã có các giải pháp bảo mật nhưng chưa đáp ứng đầy đủ tiêu chuẩn về quy trình vận hành, giám sát, quản lý truy cập hoặc phương án ứng cứu sự cố.

Vì sao doanh nghiệp nên thực hiện Hồ sơ đề xuất cấp độ an toàn thông tin sớm?

Việc hoàn thiện hồ sơ đề xuất cấp độ không chỉ nhằm đáp ứng yêu cầu pháp lý mà còn giúp doanh nghiệp chuẩn hóa toàn bộ hệ thống an toàn thông tin. Đây là bước quan trọng để đánh giá mức độ bảo vệ hiện tại, phát hiện các điểm yếu và xây dựng lộ trình đầu tư bảo mật phù hợp.

Ngoài ra, nhiều dự án hợp tác với cơ quan nhà nước, ngân hàng hoặc tổ chức lớn hiện nay yêu cầu doanh nghiệp phải có hồ sơ cấp độ và phương án bảo đảm an toàn thông tin theo quy định. Nếu chưa hoàn thiện, doanh nghiệp có thể gặp khó khăn trong quá trình đấu thầu, triển khai hoặc kiểm tra tuân thủ.

Trong bối cảnh các rủi ro tấn công mạng ngày càng phức tạp, việc xác định cấp độ an toàn thông tin không còn đơn thuần là yêu cầu pháp lý mà đã trở thành một phần quan trọng trong chiến lược bảo vệ dữ liệu và vận hành doanh nghiệp an toàn, bền vững.

Hồ sơ đề xuất cấp độ an toàn thông tin là yêu cầu quan trọng đối với nhiều doanh nghiệp đang vận hành hệ thống thông tin phục vụ khách hàng hoặc kết nối với cơ quan quản lý nhà nước. Việc xây dựng đầy đủ hồ sơ theo đúng quy định của Nghị định 85 không chỉ giúp doanh nghiệp đáp ứng yêu cầu pháp luật mà còn tạo nền tảng triển khai hệ thống bảo mật toàn diện, giảm thiểu rủi ro an ninh mạng trong dài hạn.

Doanh nghiệp nên chủ động rà soát hệ thống, đánh giá mức độ ảnh hưởng và triển khai xác định cấp độ sớm để tránh các rủi ro pháp lý cũng như nâng cao năng lực bảo vệ dữ liệu trong quá trình chuyển đổi số.