Nội dung
Trong nhiều năm trước khi có khung pháp lý rõ ràng, câu hỏi “bảo mật đến mức nào là đủ?” thường không có câu trả lời thống nhất. Một số tổ chức đầu tư quá mức vào những hệ thống ít rủi ro, trong khi nhiều hệ thống thực sự quan trọng lại được bảo vệ sơ sài vì không có tiêu chuẩn bắt buộc.
Nghị định 85/2016/NĐ-CP ra đời để giải quyết chính xác vấn đề đó. Thay vì áp dụng một tiêu chuẩn bảo mật đồng đều cho tất cả, Nghị định 85 đưa ra cách tiếp cận dựa trên mức độ rủi ro, phân loại hệ thống thông tin thành 5 cấp độ với yêu cầu bảo mật tương ứng. Nguyên tắc cốt lõi là phân bổ nguồn lực theo thứ tự ưu tiên từ cấp độ cao xuống cấp độ thấp, tức là một website nội bộ nhỏ không cần đầu tư bảo mật ngang với hệ thống ngân hàng cốt lõi hay cơ sở dữ liệu quốc gia.
Nghị định 85 điều chỉnh những đối tượng nào?
Phạm vi áp dụng của Nghị định 85 tập trung vào hai nhóm chính.
Nhóm bắt buộc tuân thủ bao gồm các cơ quan, tổ chức, cá nhân tham gia hoặc có liên quan đến hoạt động xây dựng, thiết lập, quản lý, vận hành, nâng cấp, mở rộng hệ thống thông tin tại Việt Nam phục vụ ứng dụng công nghệ thông tin trong hoạt động của cơ quan, tổ chức nhà nước, ứng dụng công nghệ thông tin trong việc cung cấp dịch vụ trực tuyến phục vụ người dân và doanh nghiệp. Các lĩnh vực như ngân hàng, y tế, giáo dục và thương mại điện tử đều nằm trong nhóm này.
Nhóm được khuyến khích áp dụng là các tổ chức và cá nhân có hệ thống thông tin không thuộc diện cung cấp dịch vụ công cộng hoặc trực tuyến. Dù không bắt buộc, việc tuân thủ tự nguyện giúp các tổ chức này xây dựng nền tảng bảo mật có hệ thống và giảm thiểu rủi ro vận hành trong dài hạn.
5 cấp độ an toàn hệ thống thông tin theo Nghị định 85
Trọng tâm của Nghị định 85 là hệ thống phân loại 5 cấp độ, được xây dựng dựa trên hai trục đánh giá: phân loại thông tin (công cộng, riêng, cá nhân, bí mật nhà nước) và phân loại hệ thống (phục vụ nội bộ, phục vụ người dân, hạ tầng thông tin, điều khiển công nghiệp).
Cấp độ 1 và 2 thường áp dụng cho các hệ thống nội bộ hoặc dịch vụ có quy mô nhỏ, ít ảnh hưởng đến cộng đồng. Cấp độ 3 là ngưỡng phổ biến nhất với các hệ thống cung cấp dịch vụ trực tuyến cho người dân và doanh nghiệp ở quy mô trung bình. Cấp độ 4 áp dụng cho các hệ thống có tầm ảnh hưởng rộng, liên quan đến hạ tầng trọng yếu hoặc dữ liệu nhạy cảm quy mô lớn. Cấp độ 5 là cấp cao nhất, dành cho các hệ thống thông tin quốc gia có ảnh hưởng đặc biệt nghiêm trọng đến an ninh quốc gia nếu bị tấn công.
Việc xác định đúng cấp độ không chỉ là nghĩa vụ pháp lý, đây là căn cứ để doanh nghiệp xây dựng phương án bảo mật đúng trọng tâm, tránh đầu tư lãng phí vào những hệ thống ít rủi ro trong khi bỏ sót những điểm yếu thực sự nguy hiểm.
Xem thêm: Cách xác định 5 cấp độ an toàn thông tin cho doanh nghiệp
Ai có thẩm quyền thẩm định và phê duyệt cấp độ theo Nghị định 85?
Nghị định 85 phân công thẩm quyền phê duyệt theo từng cấp độ rõ ràng.
Đối với hệ thống thông tin được đề xuất là cấp độ 1 hoặc cấp độ 2: Đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin thực hiện thẩm định, phê duyệt hồ sơ đề xuất cấp độ đối với hệ thống thông tin được đề xuất là cấp độ 1 hoặc cấp độ 2.
Đối với hệ thống thông tin được đề xuất là cấp độ 3:
a) Đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin thực hiện thẩm định hồ sơ đề xuất cấp độ;
b) Chủ quản hệ thống thông tin phê duyệt hồ sơ đề xuất cấp độ.
Cấp độ 4 do Bộ chuyên ngành có thẩm quyền thẩm định. Cấp độ 5 phải do Thủ tướng Chính phủ phê duyệt.
Về hồ sơ đề xuất cấp độ, Nghị định quy định chi tiết thành phần hồ sơ áp dụng cho cả dự án mới lẫn hệ thống đang vận hành. Đây là điểm nhiều doanh nghiệp hay bỏ sót, hệ thống đã vận hành từ trước vẫn phải hoàn thiện hồ sơ cấp độ theo quy định, không được miễn trừ chỉ vì đã triển khai trước khi Nghị định có hiệu lực.
Trách nhiệm bảo đảm an toàn được phân công như thế nào?
Nghị định 85 không chỉ xác định cấp độ mà còn phân công trách nhiệm cụ thể cho từng bên liên quan trong hệ sinh thái vận hành hệ thống thông tin.
Chủ quản hệ thống là bên chịu trách nhiệm cao nhất, phải phê duyệt phương án bảo đảm an toàn, bố trí nguồn lực và chịu trách nhiệm pháp lý khi xảy ra sự cố. Đơn vị vận hành có trách nhiệm triển khai và duy trì các biện pháp bảo mật trong thực tế vận hành hàng ngày. Đơn vị chuyên trách đóng vai trò tư vấn kỹ thuật và giám sát độc lập. Ở cấp độ nhà nước, Bộ Thông tin và Truyền thông, Bộ Quốc phòng và Bộ Công an có vai trò quản lý, thanh tra và hỗ trợ ứng phó sự cố tương ứng với phạm vi quản lý của từng bộ.
Các văn bản hướng dẫn kỹ thuật doanh nghiệp cần biết
Nghị định 85 đóng vai trò là khung pháp lý, xác định tiêu chí và thẩm quyền, nhưng không đi vào chi tiết kỹ thuật cụ thể. Để biết cần triển khai biện pháp bảo mật gì ở từng cấp độ, doanh nghiệp cần tham chiếu thêm hai thông tư hướng dẫn.
Thông tư 03/2017/TT-BTTTT là văn bản hướng dẫn kỹ thuật đầu tiên, áp dụng Tiêu chuẩn quốc gia TCVN 11930:2017 làm thước đo bảo mật cho các yêu cầu về tường lửa, mã hóa, kiểm soát truy cập và nhiều biện pháp kỹ thuật khác.
Thông tư 12/2022/TT-BTTTT ra đời thay thế Thông tư 03, với hai cải tiến đáng chú ý: đơn giản hóa thủ tục hồ sơ và bổ sung các mô hình tham chiếu thực tế hơn, giúp doanh nghiệp dễ dàng xây dựng phương án kỹ thuật phù hợp với quy mô và đặc thù vận hành thực tế thay vì phải tự suy luận từ các quy định mang tính nguyên tắc.
Nghị định 85 và Nghị định 356 – Hai nghĩa vụ song song
Một điểm doanh nghiệp thường nhầm lẫn là xem Nghị định 85 và Nghị định 356 là hai văn bản thay thế nhau. Thực tế, hai nghị định này điều chỉnh hai khía cạnh khác nhau và phải được tuân thủ song song.
Nghị định 85 tập trung vào an toàn hệ thống thông tin, bảo vệ hạ tầng kỹ thuật, phân loại mức độ rủi ro và yêu cầu về biện pháp bảo mật kỹ thuật. Nghị định 356 tập trung vào bảo vệ dữ liệu cá nhân, quyền của chủ thể dữ liệu, nghĩa vụ của bên xử lý và các hồ sơ pháp lý như DPIA, TIA. Doanh nghiệp vận hành hệ thống thông tin có xử lý dữ liệu cá nhân — tức là hầu hết doanh nghiệp hiện nay, đều phải đáp ứng yêu cầu của cả hai văn bản này cùng lúc.
