Nghị định 85/2016/NĐ-CP quy định việc xác định cấp độ an toàn hệ thống thông tin là yêu cầu bắt buộc đối với nhiều cơ quan, tổ chức và doanh nghiệp khi xây dựng, quản lý hoặc vận hành hệ thống thông tin. Đây là cơ sở để lựa chọn các biện pháp bảo đảm an toàn thông tin phù hợp và đáp ứng đúng quy định pháp luật.
Tuy nhiên, nhiều đơn vị vẫn gặp khó khăn trong việc xác định hệ thống thuộc cấp độ nào, cần chuẩn bị hồ sơ gì và thực hiện theo quy trình ra sao. Bài viết dưới đây sẽ hướng dẫn chi tiết quy trình xác định cấp độ an toàn hệ thống thông tin theo Nghị định 85/2016/NĐ-CP, giúp doanh nghiệp triển khai đúng và hiệu quả.
Nội dung
Vì sao cần xác định cấp độ an toàn hệ thống thông tin?
Mỗi hệ thống thông tin đều có mức độ quan trọng khác nhau đối với hoạt động của tổ chức. Có những hệ thống chỉ phục vụ tác nghiệp nội bộ, nhưng cũng có những hệ thống lưu trữ dữ liệu quan trọng, dữ liệu cá nhân hoặc cung cấp dịch vụ cho hàng nghìn người dùng.
Việc phân loại hệ thống thông tin theo cấp độ không chỉ nhằm đáp ứng yêu cầu của Nghị định 85/2016/NĐ-CP mà còn giúp cơ quan, tổ chức và doanh nghiệp đánh giá đúng mức độ quan trọng của từng hệ thống. Mỗi hệ thống thông tin có chức năng và phạm vi ảnh hưởng khác nhau, do đó khi xảy ra sự cố, hậu quả cũng sẽ không giống nhau.
Việc xác định đúng cấp độ là cơ sở để đánh giá mức độ ảnh hưởng nếu hệ thống bị mất an toàn, lựa chọn phương án bảo đảm an toàn thông tin phù hợp, thống nhất công tác quản lý, kiểm tra và đánh giá trong suốt quá trình vận hành, đồng thời đáp ứng các yêu cầu pháp lý liên quan đến an toàn hệ thống thông tin.
Việc xác định đúng cấp độ ngay từ đầu còn giúp doanh nghiệp tiết kiệm đáng kể chi phí triển khai vì có thể đầu tư đúng mức thay vì áp dụng các biện pháp bảo mật không cần thiết.
Xem thêm: 05 thành phần hồ sơ đề xuất cấp độ an toàn thông tin
Tổng quan quy trình xác định cấp độ an toàn hệ thống thông tin
Quy trình xác định cấp độ thường được thực hiện theo trình tự sau:
Xác định hệ thống thông tin → Đối chiếu tiêu chí phân loại → Lập hồ sơ đề xuất cấp độ → Thẩm định → Phê duyệt → Ban hành quyết định → Triển khai phương án bảo đảm an toàn thông tin
Mặc dù nhìn qua khá đơn giản, nhưng mỗi bước đều có những yêu cầu riêng cần được thực hiện đúng để tránh hồ sơ phải chỉnh sửa hoặc bổ sung nhiều lần.
Bước 1: Xác định loại hệ thống thông tin
Trước khi tiến hành xác định cấp độ an toàn, cơ quan, tổ chức hoặc doanh nghiệp cần xác định rõ đối tượng hệ thống thông tin sẽ được phân loại. Hệ thống này có thể là hệ thống quản trị nội bộ, website hoặc cổng thông tin điện tử, phần mềm nghiệp vụ, ERP, CRM, hệ thống quản lý nhân sự, hệ thống lưu trữ dữ liệu, hệ thống cung cấp dịch vụ trực tuyến hoặc nền tảng điện toán đám mây phục vụ hoạt động của doanh nghiệp. Việc xác định đúng phạm vi hệ thống ngay từ đầu là nền tảng để quá trình đánh giá diễn ra chính xác và đầy đủ.
Sau khi xác định hệ thống, đơn vị cần mô tả chi tiết các thông tin liên quan, bao gồm chức năng của hệ thống, đơn vị quản lý, phạm vi sử dụng, đối tượng người dùng, thành phần hạ tầng công nghệ cũng như các loại dữ liệu được lưu trữ và xử lý. Hồ sơ mô tả càng đầy đủ thì việc đối chiếu các tiêu chí xác định cấp độ ở những bước tiếp theo càng thuận lợi, đồng thời giúp lựa chọn phương án bảo đảm an toàn thông tin phù hợp với mức độ quan trọng của hệ thống.
Bước 2: Đối chiếu tiêu chí của 3 nhóm để xác định cấp độ
Đây là bước quan trọng nhất trong toàn bộ quy trình. Việc xác định cấp độ không dựa trên quy mô doanh nghiệp hay số lượng máy chủ, mà được thực hiện thông qua việc đánh giá mức độ ảnh hưởng nếu hệ thống gặp sự cố.
Thông thường, việc đánh giá sẽ đối chiếu theo ba nhóm tiêu chí chính.
Nhóm 1: Mức độ ảnh hưởng đến hoạt động của cơ quan, tổ chức
Ở bước này, đơn vị cần đánh giá mức độ ảnh hưởng nếu hệ thống thông tin bị gián đoạn hoạt động hoặc bị tấn công. Việc xem xét cần dựa trên các yếu tố như khả năng làm đình trệ hoạt động sản xuất, kinh doanh; ảnh hưởng đến việc cung cấp dịch vụ hoặc quy trình quản lý; cũng như những thiệt hại có thể xảy ra về tài chính, uy tín và hoạt động của tổ chức.
Nhìn chung, hệ thống có mức độ ảnh hưởng càng lớn khi xảy ra sự cố thì sẽ được xác định ở cấp độ an toàn thông tin càng cao để áp dụng các biện pháp bảo vệ tương ứng.
Nhóm 2: Mức độ ảnh hưởng đến quyền và lợi ích của tổ chức, cá nhân
Đối với các hệ thống lưu trữ dữ liệu khách hàng, dữ liệu cá nhân hoặc thông tin quan trọng, doanh nghiệp cần đánh giá:
- Khả năng rò rỉ dữ liệu.
- Nguy cơ mất tính toàn vẹn của dữ liệu.
- Khả năng dữ liệu bị sửa đổi hoặc phá hủy.
- Ảnh hưởng đến quyền lợi của người dùng.
Đây là tiêu chí thường gặp ở các doanh nghiệp cung cấp dịch vụ trực tuyến.
Nhóm 3: Mức độ ảnh hưởng đến quốc phòng, an ninh và lợi ích công cộng
Một số hệ thống có thể tác động đến:
- Hoạt động của cơ quan nhà nước.
- Hạ tầng thông tin quan trọng.
- Dịch vụ công.
- Các lĩnh vực thiết yếu của nền kinh tế.
Những hệ thống này thường được phân loại ở cấp độ cao hơn và có yêu cầu bảo đảm an toàn thông tin nghiêm ngặt hơn.
Sau khi đánh giá đầy đủ cả ba nhóm tiêu chí, đơn vị sẽ xác định được cấp độ phù hợp của hệ thống.
Bước 3: Lập hồ sơ đề xuất cấp độ
Sau khi hoàn thành việc đánh giá, doanh nghiệp cần xây dựng hồ sơ đề xuất cấp độ.
Thông thường, hồ sơ sẽ bao gồm:
- Văn bản đề xuất cấp độ.
- Báo cáo mô tả hệ thống thông tin.
- Kết quả đánh giá và xác định cấp độ.
- Phương án bảo đảm an toàn thông tin tương ứng.
- Các tài liệu kỹ thuật liên quan.
Trong quá trình xây dựng hồ sơ, cần bảo đảm các thông tin mô tả hệ thống, phạm vi vận hành và biện pháp bảo vệ thống nhất với nhau nhằm tránh phát sinh yêu cầu chỉnh sửa khi thẩm định.
Bước 4: Trình đơn vị chuyên trách thẩm định
Quy trình gửi hồ sơ thẩm định có sự khác biệt rõ rệt giữa các nhóm cấp độ:
Đối với cấp độ 1, 2 và 3: Đơn vị vận hành gửi hồ sơ trực tiếp tới đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống để thực hiện thẩm định
Đối với cấp độ 4 và 5: Quy trình khắt khe hơn. Trước tiên, đơn vị vận hành phải gửi hồ sơ tới đơn vị chuyên trách an toàn thông tin của chủ quản để xin ý kiến chuyên môn. Sau đó, đơn vị vận hành trình chủ quản hệ thống để chủ quản gửi hồ sơ tới cơ quan có thẩm quyền cấp quốc gia (Bộ Thông tin và Truyền thông, Bộ Quốc phòng, hoặc Bộ Công an tùy theo lĩnh vực quản lý) để thực hiện thẩm định
Bước 5: Phê duyệt hồ sơ đề xuất cấp độ
Sau khi có kết quả thẩm định, việc phê duyệt được thực hiện theo thẩm quyền như sau:
- Cấp độ 1 và 2: Đơn vị chuyên trách về an toàn thông tin gửi báo cáo cho Chủ quản hệ thống thông tin phê duyệt.
- Cấp độ 3: Đơn vị vận hành hệ thống thông tin trực tiếp trình Chủ quản hệ thống thông tin phê duyệt hồ sơ.
- Cấp độ 4: Dựa trên kết quả thẩm định từ các Bộ, đơn vị vận hành trình Chủ quản hệ thống thông tin phê duyệt đề xuất cấp độ và phê duyệt phương án bảo đảm an toàn thông tin.
- Cấp độ 5:
- Thủ tướng Chính phủ là người phê duyệt Danh mục hệ thống thông tin cấp độ 5 (quan trọng quốc gia) dựa trên tờ trình của Bộ Thông tin và Truyền thông, Bộ Quốc phòng hoặc Bộ Công an.
- Sau đó, đơn vị vận hành trình Chủ quản hệ thống thông tin phê duyệt phương án bảo đảm an toàn thông tin cho hệ thống này
Bước 6: Triển khai phương án bảo đảm an toàn thông tin
Sau khi có quyết định phê duyệt cấp độ, doanh nghiệp sẽ triển khai các biện pháp bảo đảm an toàn thông tin tương ứng.
Các biện pháp có thể bao gồm:
- Hoàn thiện chính sách quản lý an toàn thông tin.
- Triển khai các giải pháp kỹ thuật.
- Kiểm soát truy cập.
- Sao lưu dữ liệu.
- Giám sát hệ thống.
- Đánh giá lỗ hổng.
- Kiểm tra định kỳ.
- Đào tạo nhân sự.
Mức độ triển khai sẽ phụ thuộc trực tiếp vào cấp độ của hệ thống.
Quy trình có gì khác nhau giữa hệ thống cấp 1–2 và cấp 3–5?
Mặc dù đều tuân theo quy trình chung, nhưng yêu cầu thực hiện giữa hai nhóm cấp độ có sự khác biệt đáng kể.
Đối với hệ thống cấp độ 1 và cấp độ 2, quy trình thường đơn giản hơn do mức độ ảnh hưởng của hệ thống ở mức thấp hoặc trung bình. Hồ sơ đề xuất và phương án bảo đảm an toàn thông tin cũng có phạm vi triển khai gọn hơn, tập trung vào các biện pháp quản lý và kỹ thuật cơ bản.
Trong khi đó, hệ thống từ cấp độ 3 đến cấp độ 5 có yêu cầu chặt chẽ hơn trong cả quá trình đánh giá, xây dựng hồ sơ và triển khai phương án bảo đảm an toàn thông tin. Các hệ thống này thường phải áp dụng nhiều lớp kiểm soát, tăng cường giám sát, quản lý rủi ro và đáp ứng các yêu cầu kỹ thuật tương ứng với mức độ quan trọng của hệ thống.
Do đó, việc xác định đúng cấp độ ngay từ đầu sẽ giúp doanh nghiệp lựa chọn đúng phạm vi đầu tư, tránh tình trạng triển khai thiếu hoặc vượt quá yêu cầu thực tế.
Một số lưu ý khi thực hiện quy trình xác định cấp độ
Trong quá trình triển khai, nhiều đơn vị thường nhầm lẫn giữa việc xác định cấp độ và triển khai phương án bảo đảm an toàn thông tin. Thực tế, đây là hai giai đoạn khác nhau nhưng có mối liên hệ chặt chẽ.
Ngoài ra, doanh nghiệp cũng cần lưu ý rằng khi hệ thống có sự thay đổi lớn về chức năng, phạm vi sử dụng hoặc mức độ ảnh hưởng, việc rà soát và xác định lại cấp độ có thể cần được thực hiện để bảo đảm phù hợp với thực trạng vận hành.
Việc chuẩn bị hồ sơ đầy đủ, mô tả chính xác hệ thống và đánh giá khách quan ngay từ đầu sẽ giúp quá trình thẩm định diễn ra thuận lợi, hạn chế việc phải bổ sung hoặc điều chỉnh nhiều lần.
Quy trình xác định cấp độ an toàn hệ thống thông tin không chỉ là yêu cầu tuân thủ quy định pháp luật mà còn là nền tảng để doanh nghiệp xây dựng hệ thống bảo vệ phù hợp với mức độ quan trọng của từng hệ thống thông tin.
Việc thực hiện đúng các bước từ xác định hệ thống, đánh giá theo tiêu chí, lập hồ sơ đề xuất, thẩm định, phê duyệt đến triển khai phương án bảo đảm an toàn thông tin sẽ giúp doanh nghiệp nâng cao khả năng phòng ngừa rủi ro, tối ưu chi phí đầu tư và đáp ứng các yêu cầu về quản lý an toàn thông tin trong quá trình vận hành.
