Dịch vụ
Tư vấn Hồ sơ Cấp độ An toàn Hệ thống Thông tin

Có. Nghĩa vụ xác định cấp độ an toàn hệ thống thông tin áp dụng cho chủ quản hệ thống thông tin, không phân biệt cơ quan nhà nước hay doanh nghiệp tư nhân. Doanh nghiệp vận hành hệ thống nội bộ, ERP, CRM hay dịch vụ trực tuyến đều thuộc diện phải xác định cấp độ, thường ở cấp độ 1 hoặc cấp độ 2. Với nhóm cấp độ này, chủ quản hệ thống tự thẩm định và phê duyệt hồ sơ.

Cấp độ được xác định dựa trên ba yếu tố: đối tượng bị tổn hại, mức độ tổn hại khi xảy ra sự cố, và phạm vi phục vụ của hệ thống. Hệ thống chỉ ảnh hưởng đến tổ chức, cá nhân thường ở cấp độ 1 hoặc 2. Hệ thống ảnh hưởng đến lợi ích công cộng hoặc thuộc ngành kinh doanh có điều kiện thường ở cấp độ 3. Hạ tầng thiết yếu như điện, nước, giao thông, tài chính thuộc cấp độ 4. Nếu hệ thống ảnh hưởng đến nhiều nhóm đối tượng, cấp độ được lấy theo mức cao nhất tương ứng.

Hồ sơ bao gồm mô tả tổng quan hệ thống thông tin; xác định phạm vi, đối tượng phục vụ và các loại thông tin được lưu trữ, xử lý; mô tả kiến trúc và thành phần kỹ thuật; trình bày căn cứ đề xuất cấp độ; và phương án bảo đảm an ninh mạng tương ứng với cấp độ đề xuất. Thành phần hồ sơ được quy định tại Nghị định 331/2026/NĐ-CP. Hồ sơ phải phản ánh đúng hiện trạng thực tế của hệ thống, không phải theo thiết kế dự kiến.

Thẩm quyền thay đổi theo cấp độ. Hệ thống cấp độ 1 và cấp độ 2 do chủ quản hệ thống tự thẩm định và phê duyệt. Hệ thống cấp độ 3 do đơn vị chuyên trách về an toàn thông tin thẩm định, chủ quản phê duyệt. Hệ thống cấp độ 4 do cơ quan chuyên trách an toàn thông tin cấp Bộ thẩm định, chủ quản phê duyệt. Hệ thống cấp độ 5 do cơ quan chuyên trách cấp Bộ thẩm định và được phê duyệt ở cấp Chính phủ. Xác định sai cấp độ đồng nghĩa với việc nộp hồ sơ sai đầu mối.

Cấp độ là căn cứ để xây dựng toàn bộ phương án bảo đảm an ninh mạng, nên xác định sai sẽ kéo theo phương án bảo vệ sai theo. Đề xuất thấp hơn thực tế dẫn đến hệ thống không được bảo vệ đúng mức yêu cầu và hồ sơ có khả năng bị trả lại ở khâu thẩm định. Đề xuất cao hơn thực tế khiến đơn vị phải đáp ứng nhóm yêu cầu quản lý và kỹ thuật nặng hơn cần thiết, đồng thời nộp sai đầu mối thẩm định.

TCVN 14423:2026 có tên đầy đủ là “An ninh mạng – Hệ thống thông tin – Yêu cầu cơ bản” (Cyber security – Information system – Baseline requirements), là tiêu chuẩn quốc gia đang còn hiệu lực theo công bố của Viện Tiêu chuẩn Chất lượng Việt Nam. Tiêu chuẩn này thay thế cả TCVN 11930:2017 “Yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ” và TCVN 14423:2025 “An ninh mạng – Yêu cầu đối với hệ thống thông tin quan trọng”. Phương án bảo vệ trình bày trong hồ sơ cần đối chiếu với yêu cầu tương ứng đúng cấp độ đã đề xuất.

Hồ sơ cấp độ phản ánh hiện trạng hệ thống tại thời điểm phê duyệt. Khi hệ thống có thay đổi về kiến trúc, phạm vi phục vụ, quy mô người sử dụng hoặc loại thông tin được xử lý, đơn vị cần rà soát lại cấp độ và cập nhật hồ sơ nếu cấp độ thay đổi. Bên cạnh đó, quy định hiện hành còn yêu cầu kiểm tra, đánh giá và báo cáo đối với hệ thống thông tin đã được phê duyệt cấp độ.

Musk-IS đồng hành từ khảo sát hiện trạng hệ thống, xác định cấp độ và lập luận căn cứ, xây dựng hồ sơ đề xuất cấp độ, rà soát phương án bảo vệ theo tiêu chuẩn, cho đến giai đoạn thẩm định. Trong giai đoạn thẩm định, Musk-IS hỗ trợ giải trình nội dung hồ sơ và chỉnh sửa theo ý kiến của cơ quan thẩm định cho tới khi hồ sơ được phê duyệt, kèm hướng dẫn duy trì hồ sơ khi hệ thống có thay đổi.