Đánh giá an toàn thông tin là gì? Security Health Check cho doanh nghiệp

Đánh giá an toàn thông tin là gì? Đó là việc rà soát tổng thể an ninh mạng của doanh nghiệp, gồm mạng, máy chủ, tài khoản, thiết bị, giám sát, sao lưu và quy trình, để biết đang hở ở đâu và nên xử lý gì trước.

Giám đốc IT ở doanh nghiệp vừa và nhỏ thường bị hỏi “hệ thống mình an toàn tới đâu” mà chưa biết nên làm quét lỗ hổng, pentest hay đánh giá tổng thể. Bài này giải thích Security Health Check gồm gì, khác các loại kia ra sao, và đọc báo cáo thế nào. Khi cần làm thật, xem dịch vụ đánh giá an ninh mạng của Musk-IS.

Điểm chính

• Security Health Check nhìn cả công nghệ, con người và quy trình; quét lỗ hổng chỉ tìm lỗi kỹ thuật đã biết, pentest chỉ chứng minh khả năng khai thác trong một phạm vi hẹp.
• Sáu hạng mục kỹ thuật thường xem là mạng, máy chủ và cloud, tài khoản và phân quyền, thiết bị đầu cuối và bản vá, nhật ký và giám sát, sao lưu và phục hồi; chính sách, quy trình được đối chiếu qua phỏng vấn.
• Đầu ra tốt là danh sách phát hiện có mức ưu tiên, nhóm khắc phục nhanh và lộ trình theo mốc 0–3, 3–6, 6–12 tháng, không phải chứng nhận “an toàn tuyệt đối”.
• “Kiểm tra an ninh mạng” trong Luật An ninh mạng là hoạt động của lực lượng chuyên trách thuộc Bộ Công an theo Điều 26 Nghị định 331/2026/NĐ-CP, khác với Health Check doanh nghiệp tự thuê.

Đánh giá an toàn thông tin là gì? Security Health Check gồm những gì?

Security Health Check, hay đánh giá an ninh mạng tổng thể, là việc chuyên gia độc lập rà soát hiện trạng bảo mật trên toàn doanh nghiệp: hạ tầng mạng, máy chủ, cloud, Microsoft 365, tài khoản và phân quyền, thiết bị đầu cuối, giám sát, sao lưu, chính sách và nhận thức nhân viên. Mục tiêu là trả lời ba câu: đang hở ở đâu, rủi ro nào xử lý trước, và nên đầu tư vào đâu.

Khác với kiểm tra một hệ thống riêng lẻ, Health Check tìm khoảng trống giữa các hệ thống và phòng ban. Ví dụ tường lửa cấu hình tốt nhưng tài khoản nhân viên đã nghỉ việc vẫn đăng nhập được VPN, hoặc có sao lưu hằng ngày nhưng chưa từng thử khôi phục. Từng công cụ đều “có”, nhưng ghép lại thì vẫn có đường cho kẻ tấn công.

Người ta hay nhầm Health Check với một chứng nhận. Kết quả là một bức tranh hiện trạng tại thời điểm đánh giá, kèm điểm theo từng lĩnh vực và lộ trình cải thiện. Đây là công cụ quản trị để ra quyết định, không phải con dấu “hệ thống an toàn tuyệt đối”.

Tên gọi trên thị trường khá lộn xộn. “Đánh giá an toàn thông tin doanh nghiệp”, “đánh giá rủi ro an ninh mạng”, “rà soát an ninh mạng” hay “Security Health Check” thường cùng chỉ loại dịch vụ này. Riêng “đánh giá an toàn thông tin theo cấp độ” là việc khác: đó là xác định cấp độ an toàn hệ thống thông tin và lập hồ sơ đề xuất cấp độ theo Nghị định 331/2026/NĐ-CP.

Health Check khác “kiểm tra an ninh mạng” của cơ quan nhà nước

Theo Điều 26 Nghị định 331/2026/NĐ-CP, kiểm tra an ninh mạng là hoạt động của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an, đi theo trình tự: thông báo kế hoạch, thành lập đoàn, kiểm tra cùng chủ quản hệ thống, lập biên bản và báo cáo kết quả. Health Check thì do doanh nghiệp tự thuê, phạm vi và thời gian do hai bên thỏa thuận.

Hai việc này liên quan nhưng không thay nhau. Với hệ thống thuộc phạm vi Nghị định 331, điểm c khoản 2 Điều 31 cho phép chủ quản tự tổ chức đánh giá, nếu do đơn vị độc lập với đơn vị trực tiếp vận hành thực hiện. Một Health Check do bên ngoài làm có thể là một phần của việc tự đánh giá đó, và là cách chuẩn bị tốt trước khi cơ quan chức năng tới kiểm tra.

So sánh Health Check với quét lỗ hổng và kiểm thử xâm nhập

Quét lỗ hổng tìm lỗi kỹ thuật đã biết bằng công cụ tự động. Kiểm thử xâm nhập chứng minh lỗ hổng có khai thác được không trong một phạm vi chốt trước. Health Check rà soát toàn bộ các lớp kiểm soát để xác định khoảng trống và thứ tự ưu tiên. Ba loại trả lời ba câu hỏi khác nhau, và thường bổ sung cho nhau.

Thứ tự hợp lý cho doanh nghiệp chưa từng làm gì: Health Check trước để biết bức tranh chung, rồi pentest hệ thống quan trọng nhất (cách làm có trong bài pentest là gì), sau đó quét lỗ hổng định kỳ để giữ mức đã đạt. Làm pentest ngay khi chưa biết toàn cảnh dễ dồn tiền vào một ứng dụng, trong khi lỗ hở lớn hơn nằm ở tài khoản quản trị dùng chung hay sao lưu không khôi phục được.

6 hạng mục đánh giá an toàn thông tin

Sáu hạng mục kỹ thuật dưới đây là phần lõi của một Health Check, tham chiếu các khung phổ biến như NIST CSF 2.0, CIS Controls và ISO/IEC 27001/27002. Cột câu hỏi tự kiểm giúp giám đốc IT ước lượng trước mình đang ở đâu.

Bên cạnh sáu hạng mục kỹ thuật, chuyên gia đối chiếu chính sách, quy trình với thực tế qua phỏng vấn đội IT, an ninh, hệ thống, mạng. Đây thường là nơi lộ ra khoảng cách lớn nhất: có chính sách mật khẩu trên giấy nhưng hệ thống không bắt buộc, có quy trình cấp quyền nhưng không ai lưu phiếu duyệt.

Ba phát hiện chúng tôi gặp nhiều nhất ở doanh nghiệp vừa và nhỏ là tài khoản cũ chưa khóa và thiếu MFA, mạng phẳng không phân vùng, và sao lưu chưa từng thử khôi phục. Cả ba đều không cần mua thêm công cụ đắt tiền để sửa, chỉ cần quy trình và người chịu trách nhiệm.

Chuyên gia thường tìm thấy gì ở từng hạng mục?

Ở hạng mục mạng, phát hiện hay gặp nhất là mạng phẳng: máy kế toán, camera, máy in và máy chủ cơ sở dữ liệu nằm chung một dải địa chỉ, nên một máy nhiễm mã độc có thể với tới mọi thứ. Tường lửa thường còn quy tắc tạm mở cho nhà cung cấp từ vài năm trước mà không ai đóng lại, hoặc cổng quản trị thiết bị mạng mở ra Internet.

Ở máy chủ và cloud, chuyên gia hay gặp máy chủ chạy hệ điều hành đã hết hỗ trợ vì “phần mềm cũ chỉ chạy được trên đó”, và tài khoản Microsoft 365 có quá nhiều người giữ quyền quản trị toàn cục. Với hạ tầng cloud, kho lưu trữ để chế độ công khai và khóa truy cập API lưu trong mã nguồn là hai lỗi điển hình.

Tài khoản và phân quyền là hạng mục có tỉ lệ phát hiện cao nhất. Tài khoản của người đã nghỉ việc, tài khoản thử nghiệm của nhà cung cấp, tài khoản admin dùng chung cho cả phòng IT đều làm tăng đường vào. Thiếu MFA trên email và VPN là lý do phổ biến khiến một mật khẩu bị lộ trở thành một vụ xâm nhập.

Ở thiết bị đầu cuối, vấn đề thường không phải thiếu phần mềm chống mã độc mà là nhân viên có quyền admin trên máy của mình, cài được mọi thứ, và bản vá phụ thuộc vào việc người dùng tự bấm cập nhật. Máy tính xách tay không mã hóa ổ đĩa là rủi ro lớn khi bị mất.

Nhật ký và giám sát hay ở tình trạng “có nhưng không ai xem”: tường lửa ghi log nhưng chỉ lưu vài ngày, không có cảnh báo khi tài khoản quản trị đăng nhập lúc nửa đêm. Khi có sự cố, doanh nghiệp không còn dữ liệu để biết kẻ tấn công vào từ khi nào.

Sao lưu là hạng mục mà câu hỏi “lần cuối thử khôi phục là khi nào” thường không có câu trả lời. Bản sao lưu nằm cùng mạng, cùng tài khoản quản trị với máy chủ, nên khi bị mã độc tống tiền thì bị mã hóa cùng lúc. Cách khắc phục cơ bản là giữ ít nhất một bản sao tách biệt, không ghi đè được, và thử khôi phục định kỳ.

Quy trình đánh giá và tài liệu cần chuẩn bị

Một Health Check thường đi qua 6 bước, từ chốt phạm vi tới báo cáo và lộ trình. Rà soát kỹ thuật dùng quyền chỉ đọc nên ít ảnh hưởng hệ thống đang chạy. Thời gian phụ thuộc số chi nhánh, số hệ thống, số tài khoản cloud và mức sẵn có của tài liệu.

Danh sách tài liệu nên gom trước

Trên thực tế, sơ đồ mạng và danh mục tài sản ở nhiều doanh nghiệp đã cũ vài năm. Đừng chờ cập nhật xong mới gửi; gửi bản đang có và ghi chú phần đã thay đổi. Gom trước khoảng một tuần các tài liệu sau thường rút ngắn đáng kể thời gian bước 2:

Mục 4 hay làm doanh nghiệp bất ngờ. Khi gom danh sách, nhiều công ty mới phát hiện đơn vị bảo trì cũ vẫn còn tài khoản quản trị từ xa, hoặc một tài khoản admin dùng chung cho cả phòng IT mà không ai nhớ đổi mật khẩu từ khi nào.

Đọc báo cáo và sắp xếp thứ tự khắc phục

Báo cáo Health Check nên có bốn phần: tóm tắt cho lãnh đạo, danh sách phát hiện kỹ thuật có mức nghiêm trọng và nguyên nhân gốc, điểm theo từng lĩnh vực, và lộ trình khắc phục theo mốc thời gian. Thứ tự sửa nên dựa vào mức rủi ro và nguồn lực, chứ không theo số lượng phát hiện.

Điểm theo lĩnh vực giúp ban lãnh đạo nhìn nhanh chỗ yếu nhất và so sánh giữa các kỳ đánh giá. Nhưng đừng biến điểm thành mục tiêu. Một lĩnh vực có điểm trung bình mà chứa lỗi làm lộ toàn bộ dữ liệu khách hàng vẫn phải xử lý trước một lĩnh vực điểm thấp chỉ vì thiếu tài liệu.

Khi ngân sách có hạn, hãy dồn vào ba nhóm thường ngăn được nhiều sự cố nhất: tài khoản và MFA, bản vá, sao lưu tách biệt có thử khôi phục. Đây cũng là các biện pháp xuất hiện ở hầu hết khung tham chiếu, từ CIS Controls tới ISO/IEC 27002.

Khung tham chiếu: NIST CSF 2.0, CIS Controls và ISO 27002

Một Health Check tốt không tự đặt ra tiêu chí, mà đối chiếu với khung được công nhận rộng rãi, để kết quả so sánh được giữa các kỳ và giữa các công ty thành viên. Ba khung hay dùng nhất là NIST CSF 2.0, CIS Controls và ISO/IEC 27002.

NIST Cybersecurity Framework 2.0, công bố tháng 2/2024, chia hoạt động an ninh mạng thành sáu chức năng: Quản trị (Govern), Nhận diện (Identify), Bảo vệ (Protect), Phát hiện (Detect), Ứng phó (Respond) và Phục hồi (Recover). Chức năng Quản trị là phần mới so với bản 1.1, nhấn mạnh vai trò lãnh đạo, chiến lược và quản lý rủi ro chuỗi cung ứng. Khung này hợp để trình bày kết quả cho ban lãnh đạo, vì mỗi chức năng là một câu hỏi quản trị dễ hiểu.

CIS Critical Security Controls bản 8.1 gồm 18 nhóm biện pháp, xếp theo mức ưu tiên và chia thành các nhóm triển khai theo quy mô. Nhóm triển khai đầu tiên được CIS mô tả là mức vệ sinh an ninh mạng cơ bản mà doanh nghiệp nào cũng nên có, nên rất hợp với doanh nghiệp vừa và nhỏ muốn biết bắt đầu từ đâu.

ISO/IEC 27002:2022 có 93 biện pháp kiểm soát, chia bốn nhóm: tổ chức, con người, vật lý và công nghệ, cũng là danh sách trong Phụ lục A của ISO 27001. Doanh nghiệp định làm ISO 27001 nên yêu cầu Health Check đối chiếu thêm với khung này, để báo cáo dùng luôn làm đánh giá khoảng cách.

Doanh nghiệp tư nhân có cần làm đánh giá an toàn thông tin không?

Không có luật nào bắt mọi doanh nghiệp tư nhân làm Health Check theo một mẫu cố định. Nhưng nhiều doanh nghiệp tư nhân vẫn có nghĩa vụ đánh giá theo cách khác: hệ thống thuộc phạm vi Nghị định 331/2026/NĐ-CP, hồ sơ dữ liệu cá nhân theo Luật 91/2025/QH15, hoặc yêu cầu của khách hàng, công ty mẹ, kiểm toán.

Với doanh nghiệp xử lý dữ liệu cá nhân, phần “phương án bảo đảm an toàn” trong hồ sơ DPIA theo Mẫu số 10 cần sơ đồ thiết kế hệ thống và tiêu chuẩn áp dụng. Kết quả Health Check cung cấp đúng các đầu vào này, nên làm Health Check trước khi lập hồ sơ giúp hồ sơ mô tả đúng thực tế, thay vì chép từ tài liệu mẫu.

Doanh nghiệp chuẩn bị ISO 27001 cũng hưởng lợi rõ: báo cáo Health Check là bước đánh giá khoảng cách tốt, cho biết biện pháp nào trong Phụ lục A đã có, biện pháp nào còn thiếu, trước khi bắt đầu xây hệ thống.

Bao lâu nên làm một lần?

Thông lệ là mỗi năm một lần, và đánh giá lại ngay sau sự cố, sáp nhập, chuyển lên cloud hoặc mở thêm chi nhánh. Doanh nghiệp thay đổi hạ tầng nhanh có thể kết hợp Health Check hằng năm với quét lỗ hổng hằng quý, để giữ mức đã đạt giữa hai kỳ đánh giá lớn.

Ví dụ: nhà máy FDI ba địa điểm làm Health Check lần đầu

Lấy ví dụ một nhà máy FDI ở Bắc Ninh có văn phòng ở Hà Nội và kho ở Hải Phòng, khoảng 600 nhân viên, dùng ERP đặt tại nhà máy, Microsoft 365 và vài phần mềm SaaS cho nhân sự, kế toán. Công ty mẹ yêu cầu báo cáo đánh giá an ninh mạng hằng năm.

Phạm vi hợp lý gồm cả ba địa điểm, ERP, Microsoft 365 và các SaaS chính. Ở bước rà soát, các phát hiện điển hình của một mô hình như vậy thường là mạng sản xuất và mạng văn phòng dùng chung, tài khoản quản trị ERP của đơn vị triển khai cũ vẫn hoạt động, và bản sao lưu ERP nằm trên ổ mạng cùng tòa nhà. Nhóm làm ngay gồm khóa tài khoản cũ, bật MFA cho email và VPN, tạo bản sao lưu tách biệt; phân vùng mạng sản xuất để vào nhóm 3–6 tháng vì cần lịch dừng máy.

Báo cáo gửi công ty mẹ là bản tóm tắt bằng tiếng Anh có điểm theo lĩnh vực và lộ trình. Kỳ sau, so điểm hai năm cho thấy tiến độ cụ thể, thay vì chỉ ghi “đã cải thiện”.

Ba hiểu lầm thường gặp về Health Check

“Đã có tường lửa và phần mềm diệt virus bản quyền thì không cần đánh giá.” Công cụ chỉ có tác dụng khi được cấu hình và vận hành đúng. Phần lớn phát hiện trong một Health Check không nằm ở chỗ thiếu công cụ, mà ở chỗ công cụ để mặc định, quy tắc thừa, tài khoản cũ, log không ai đọc.

“Health Check là để tìm lỗi của đội IT.” Mục đích là tìm khoảng trống của tổ chức, gồm cả ngân sách, quy trình và trách nhiệm giữa các phòng ban. Nhiều khoảng trống tồn tại vì đội IT không có quyền yêu cầu phòng khác đổi cách làm, như bộ phận kinh doanh tự đăng ký SaaS bằng email cá nhân. Báo cáo tốt giúp đội IT có căn cứ để xin nguồn lực, thay vì là bản kiểm điểm.

“Làm một lần là xong.” Hệ thống thay đổi liên tục: nhân viên mới, phần mềm mới, chi nhánh mới, nhà cung cấp mới. Kết quả Health Check phản ánh thời điểm đánh giá. Giá trị thật nằm ở việc theo dõi lộ trình, kiểm tra lại các hạng mục đã sửa, và so điểm giữa các kỳ.

Lần đầu làm Health Check nên chuẩn bị gì?

Lần đầu, việc quan trọng nhất là chốt đúng phạm vi và có người đầu mối có quyền gọi các phòng ban. Phạm vi nên bao gồm cả chi nhánh, nhà máy và các dịch vụ cloud, SaaS mà bộ phận kinh doanh, nhân sự tự đăng ký, vì đây thường là chỗ IT không quản lý hết.

Cũng có lúc chưa cần Health Check đầy đủ. Doanh nghiệp rất nhỏ, vài chục người, toàn bộ dùng Microsoft 365 hoặc Google Workspace và không có máy chủ riêng, có thể bắt đầu bằng rà soát cấu hình nền tảng đó, bật MFA, kiểm tra sao lưu email và tài liệu. Health Check đầy đủ đáng tiền hơn khi doanh nghiệp có nhiều hệ thống, nhiều chi nhánh, hoặc đang bị khách hàng đòi bằng chứng.

Nếu chưa rõ nên bắt đầu từ Health Check, quét lỗ hổng hay pentest, hãy trao đổi với chuyên gia Musk-IS để chốt phạm vi trước khi lấy báo giá. Musk-IS tham chiếu NIST CSF 2.0, CIS Controls và ISO/IEC 27001/27002, và tiếp tục hỗ trợ trong quá trình khắc phục theo lộ trình.

Câu hỏi thường gặp về đánh giá an toàn thông tin

Đánh giá an ninh mạng gồm những gì?

Đánh giá an ninh mạng tổng thể thường gồm sáu hạng mục kỹ thuật: mạng và tường lửa, máy chủ và cloud, tài khoản và phân quyền, thiết bị đầu cuối và bản vá, nhật ký và giám sát, sao lưu và phục hồi. Chuyên gia còn phỏng vấn đội IT để đối chiếu chính sách, quy trình với thực tế, rồi chấm điểm theo lĩnh vực và đưa ra lộ trình khắc phục.

Bao lâu nên đánh giá an toàn thông tin một lần?

Thông lệ là mỗi năm một lần, cộng thêm sau sự cố, sáp nhập, chuyển lên cloud hoặc thay đổi lớn về hạ tầng. Hệ thống thuộc phạm vi Nghị định 331/2026/NĐ-CP phải kiểm tra, đánh giá định kỳ theo cấp độ và mức độ rủi ro an ninh mạng. Giữa hai kỳ, nên quét lỗ hổng định kỳ để phát hiện lỗi mới.

Chi phí đánh giá an toàn thông tin tính thế nào?

Chi phí phụ thuộc phạm vi: số chi nhánh, số máy chủ và thiết bị mạng, số tài khoản cloud và SaaS, số người cần phỏng vấn, có kèm quét lỗ hổng hay pentest không. Khi so báo giá, nên kiểm tra phạm vi có gồm cả cloud, Microsoft 365 và chi nhánh không, báo cáo có lộ trình theo mốc thời gian không, và có hỗ trợ sau khi bàn giao không.

Health Check có ảnh hưởng hệ thống đang chạy không?

Rất ít. Phần rà soát kỹ thuật chủ yếu đọc cấu hình, nhật ký và danh sách tài khoản bằng quyền chỉ đọc, không khai thác lỗ hổng như pentest. Doanh nghiệp chỉ cần bố trí kỹ thuật viên hỗ trợ và lịch phỏng vấn. Nếu phạm vi có thêm quét lỗ hổng, hai bên nên thống nhất khung giờ quét để tránh giờ cao điểm.

Đã có ISO 27001 còn cần Health Check không?

Vẫn có thể cần. ISO 27001 chứng nhận hệ thống quản lý vận hành đúng quy trình, còn đánh giá chứng nhận thường lấy mẫu chứ không rà từng cấu hình. Health Check đi sâu vào cấu hình kỹ thuật thực tế, nên hay phát hiện những điểm hệ thống quản lý chưa chạm tới, như tài khoản quản trị cloud chưa bật MFA hay sao lưu chưa thử khôi phục.

Tài liệu tham khảo

1. Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin – Điều 26 kiểm tra an ninh mạng, Điều 27, 28, 31 kiểm tra, đánh giá. Chính phủ · 19/08/2026
2. The NIST Cybersecurity Framework (CSF) 2.0 – Sáu chức năng Govern, Identify, Protect, Detect, Respond, Recover. NIST · 02/2024
3. CIS Critical Security Controls v8.1 – 18 nhóm biện pháp kiểm soát ưu tiên. Center for Internet Security · 2024
4. NIST SP 800-30 Rev. 1: Guide for Conducting Risk Assessments – Phương pháp đánh giá rủi ro an ninh thông tin. NIST · 09/2012