Checklist 10 điểm kiểm tra an toàn hệ thống thông tin theo cấp độ

Hệ thống thông tin của doanh nghiệp bạn đang ở "cấp độ" nào về an toàn thông tin — và đã đáp ứng đủ yêu cầu của cấp độ đó chưa? Đây không chỉ là câu hỏi kỹ thuật mà còn là nghĩa vụ pháp lý: Nghị định 85/2016/NĐ-CP yêu cầu các hệ thống thông tin phải được bảo đảm an toàn theo cấp độ từ 1 đến 5. Checklist an toàn thông tin 10 điểm trong bài viết này giúp bạn tự rà soát hệ thống theo đúng khung quy định hiện hành, từ hồ sơ pháp lý đến kỹ thuật và vận hành.

Checklist an toàn thông tin: bảo đảm an toàn hệ thống thông tin theo cấp độ là gì?

"Bảo đảm an toàn hệ thống thông tin theo cấp độ" là mô hình quản lý của Việt Nam: mỗi hệ thống thông tin được xác định một cấp độ an toàn từ 1 đến 5, cấp độ càng cao thì yêu cầu bảo vệ càng nghiêm ngặt, dựa trên mức độ thiệt hại có thể xảy ra khi hệ thống bị tấn công hoặc gặp sự cố.

Khung pháp lý gồm ba văn bản chính: Nghị định 85/2016/NĐ-CP quy định về bảo đảm an toàn hệ thống thông tin theo cấp độ; Thông tư 03/2017/TT-BTTTT hướng dẫn thực hiện; và Thông tư 12/2022/TT-BTTTT quy định về kiểm tra, đánh giá an toàn thông tin mạng. Điểm mấu chốt: cấp độ là căn cứ pháp lý để xác định bạn phải triển khai những biện pháp bảo vệ nào.

Checklist an toàn thông tin: ai phải thực hiện kiểm tra, đánh giá an toàn thông tin?

Theo quy định, trách nhiệm được phân cho ba chủ thể rõ ràng. Chủ quản hệ thống thông tin chịu trách nhiệm chung: thành lập hoặc chỉ định đơn vị chuyên trách về an toàn thông tin, tổ chức lập và phê duyệt hồ sơ đề xuất cấp độ, triển khai phương án bảo đảm an toàn, tổ chức kiểm tra đánh giá định kỳ.

Đơn vị chuyên trách về an toàn thông tin làm công tác tham mưu, tổ chức thực thi, đôn đốc, kiểm tra và giám sát; thẩm định hồ sơ đề xuất cấp độ theo thẩm quyền. Đơn vị vận hành chịu trách nhiệm triển khai các biện pháp kỹ thuật, ghi nhật ký, vá lỗ hổng và báo cáo sự cố.

Checklist an toàn thông tin: checklist nhóm 1: Hồ sơ cấp độ và tổ chức (điểm 1–3)

Điểm 1 — Hồ sơ đề xuất cấp độ được lập, thẩm định và phê duyệt đúng quy định. Mỗi hệ thống thông tin phải có hồ sơ đề xuất cấp độ với phương án bảo đảm an toàn tương ứng. Kiểm tra: hồ sơ có tồn tại không, đã được thẩm định và phê duyệt chưa, có cập nhật khi hệ thống thay đổi lớn không.

Điểm 2 — Đơn vị chuyên trách về an toàn thông tin được thành lập hoặc chỉ định. Kiểm tra quyết định thành lập hoặc văn bản chỉ định và nhân sự có đủ năng lực không. Với doanh nghiệp nhỏ, việc chỉ định bộ phận kiêm nhiệm kèm phân công bằng văn bản cũng được chấp nhận.

Điểm 3 — Quy chế, quy định nội bộ về an toàn thông tin được ban hành và phổ biến. Bao gồm chính sách cho người sử dụng và cho người quản trị, vận hành. Kiểm tra: văn bản có được phê duyệt và phổ biến đến nhân sự liên quan không, có quy trình cấp phát và thu hồi tài khoản khi nhân sự vào/ra không.

Checklist nhóm 2: An toàn hạ tầng mạng và máy chủ (điểm 4–6)

Điểm 4 — Phân vùng mạng và kiểm soát truy cập giữa các vùng. Hạ tầng mạng phải được phân vùng theo mục đích sử dụng (vùng DMZ, vùng máy chủ nội bộ, vùng người dùng...), có tường lửa ngăn truy cập trái phép giữa các vùng và với Internet. Kiểm tra thêm: mạng không dây có xác thực và mã hóa không, quản trị từ xa có bắt buộc dùng giao thức mã hóa không.

Điểm 5 — An toàn máy chủ và hệ điều hành. Máy chủ phải có phần mềm phòng chống mã độc tự động cập nhật; mật khẩu đủ độ phức tạp, thay đổi định kỳ, chống dò quét, thông tin xác thực lưu trữ dưới dạng mã hóa; vô hiệu hóa tài khoản mặc định, tài khoản không hoạt động, dịch vụ không sử dụng; cập nhật bản vá lỗ hổng định kỳ; ghi nhật ký đầy đủ hoạt động truy cập và quản trị.

Điểm 6 — Quản lý tài khoản quản trị và phân quyền. Kiểm tra: có áp dụng nguyên tắc quyền tối thiểu không, có rà soát định kỳ để thu hồi quyền thừa không, tài khoản nhân sự đã nghỉ việc có bị vô hiệu hóa kịp thời không. Phần lớn sự cố nội bộ xuất phát từ tài khoản có quyền quá rộng hoặc tài khoản "ma" chưa bị xóa.

Checklist nhóm 3: An toàn ứng dụng, dữ liệu và sao lưu (điểm 7–8)

Điểm 7 — An toàn ứng dụng và mã nguồn. Ứng dụng phải yêu cầu mật khẩu đủ độ phức tạp, thông tin xác thực lưu trữ dưới dạng mã hóa, ghi nhật ký truy cập và lỗi, không dùng kết nối không mã hóa khi quản trị từ xa. Với phần mềm nội bộ, cần đánh giá an toàn mã nguồn trước khi vận hành.

Điểm 8 — Bảo vệ dữ liệu và sao lưu dự phòng. Phải có phương án sao lưu dữ liệu quan trọng ra phương tiện lưu trữ độc lập, thực hiện định kỳ. Nhưng sao lưu thôi chưa đủ — cần thêm: bản sao lưu có được kiểm tra khả năng khôi phục định kỳ không, dữ liệu nhạy cảm có được mã hóa không, có phân loại dữ liệu theo mức độ nhạy cảm không.

Checklist nhóm 4: Giám sát, ứng cứu và diễn tập (điểm 9–10)

Điểm 9 — Phát hiện mã độc, lỗ hổng và thử nghiệm xâm nhập. Theo Thông tư 12/2022/TT-BTTTT, nội dung kiểm tra bao gồm: dò quét mã độc, lỗ hổng, điểm yếu trên thiết bị, hệ điều hành, ứng dụng, cơ sở dữ liệu; đánh giá an toàn mã nguồn nội bộ; và thử nghiệm tấn công xâm nhập (pentest). Sau kiểm tra phải có phương án xử lý lỗ hổng được phát hiện.

Điểm 10 — Quy trình ứng cứu sự cố và diễn tập. Kiểm tra: quy trình ứng cứu có được ban hành bằng văn bản không, đội ứng cứu có danh sách liên lạc cập nhật không, đã diễn tập trong 12 tháng qua chưa, và nhân sự có được đào tạo nâng cao nhận thức định kỳ không.

Bảng tra nhanh: trọng tâm kiểm tra theo từng cấp độ

Mức độ chi tiết của 10 điểm trên tăng dần theo cấp độ. Bảng dưới đây giúp xác định trọng tâm phù hợp:

Lưu ý: bảng trên là khung định hướng để tự rà soát, không thay thế việc xác định cấp độ chính thức bằng hồ sơ đề xuất cấp độ được phê duyệt.

Tần suất kiểm tra, đánh giá theo quy định

Kiểm tra an toàn thông tin không phải việc làm một lần. Về hình thức, quy định phân thành hai loại: kiểm tra, đánh giá định kỳ theo kế hoạch của chủ quản hệ thống thông tin, và kiểm tra, đánh giá đột xuất theo yêu cầu của cấp có thẩm quyền.

Về nội dung, mỗi đợt kiểm tra đánh giá bao gồm 4 nhóm: kiểm tra việc tuân thủ quy định pháp luật; đánh giá hiệu quả các biện pháp bảo đảm an toàn đã triển khai; kiểm tra phát hiện mã độc, lỗ hổng và thử nghiệm xâm nhập; và các nội dung khác do chủ quản quy định. Về thực hành, doanh nghiệp nên duy trì nhịp: rà quét lỗ hổng hằng quý, pentest và đánh giá tổng thể hằng năm, diễn tập ứng cứu mỗi năm một lần.

5 sai lầm phổ biến khi tự kiểm tra an toàn thông tin

Ngay cả khi có checklist trong tay, nhiều tổ chức vẫn "trượt" vì những sai lầm mang tính phương pháp:

Chỉ kiểm tra trên giấy, không kiểm tra thực tế. Hồ sơ đầy đủ, quy chế đẹp, nhưng mật khẩu quản trị vẫn là mặc định của nhà sản xuất và bản vá chưa cập nhật từ lâu. Kiểm tra hiệu quả đòi hỏi xác minh thực tế trên hệ thống, không chỉ đọc tài liệu.

Coi backup là đã xong mà chưa từng thử khôi phục. Đến khi ransomware mã hóa toàn bộ dữ liệu mới phát hiện bản backup bị lỗi hoặc không đủ để dựng lại hệ thống. Mỗi kỳ sao lưu nên kèm một lần kiểm tra khôi phục mẫu.

Bỏ qua yếu tố con người. Đầu tư tường lửa, antivirus hiện đại nhưng nhân viên vẫn click vào link lừa đảo, dùng chung mật khẩu, cắm USB lạ vào máy công ty. Đào tạo nâng cao nhận thức đừng để chỉ là buổi học cho có.

Không cập nhật checklist sau khi hệ thống thay đổi. Mỗi thay đổi lớn về hệ thống (thêm ứng dụng, mở kết nối mới ra Internet) phải kéo theo một đợt rà soát lại checklist.

Không lưu vết kiểm tra. Kiểm tra xong nhưng không lập biên bản, không lưu báo cáo, không theo dõi việc khắc phục các điểm chưa đạt. Đến khi cơ quan chức năng yêu cầu, tổ chức không chứng minh được mình đã thực hiện nghĩa vụ kiểm tra định kỳ.

Kết luận

Checklist 10 điểm trong bài viết bao quát đầy đủ các nhóm yêu cầu của khung bảo đảm an toàn hệ thống thông tin theo cấp độ: hồ sơ và tổ chức (điểm 1–3), hạ tầng mạng và máy chủ (điểm 4–6), ứng dụng và dữ liệu (điểm 7–8), giám sát, ứng cứu và diễn tập (điểm 9–10). Nguyên tắc sử dụng đúng là: rà soát định kỳ, xác minh thực tế chứ không chỉ đọc hồ sơ, khắc phục triệt để các điểm chưa đạt, và lưu đầy đủ biên bản làm bằng chứng tuân thủ.

Bước tiếp theo: đi từng điểm một cùng đội IT của bạn trong tuần này và đánh dấu những điểm chưa đạt để lập kế hoạch khắc phục theo thứ tự ưu tiên. Nếu cần hạ tầng đáp ứng các yêu cầu kỹ thuật trong checklist — máy chủ đặt tại datacenter chuẩn Tier III, backup tự động, hỗ trợ kỹ thuật 24/7 — đội ngũ SunCloud sẵn sàng tư vấn. Liên hệ hotline 083 979 3434 hoặc truy cập suncloud.vn.

Câu hỏi thường gặp

Hệ thống thông tin cấp độ 1 và cấp độ 5 khác nhau thế nào?

Cấp độ phản ánh mức độ quan trọng của hệ thống và mức thiệt hại nếu xảy ra sự cố. Cấp độ 1–2 thường là hệ thống phục vụ hoạt động nội bộ với yêu cầu bảo vệ ở mức cơ bản. Cấp độ 4–5 là hệ thống mà sự cố có thể gây thiệt hại nghiêm trọng về quốc phòng, an ninh — yêu cầu bảo vệ ở mức cao nhất.

Doanh nghiệp tư nhân nhỏ có phải tuân thủ quy định về cấp độ không?

Có. Nghị định 85/2016/NĐ-CP áp dụng cho mọi tổ chức sở hữu hoặc vận hành hệ thống thông tin, không phân biệt nhà nước hay tư nhân, lớn hay nhỏ. Hệ thống của doanh nghiệp nhỏ thường được xác định ở cấp độ thấp (1–2) nên yêu cầu cũng ở mức cơ bản.

Ai có thẩm quyền phê duyệt hồ sơ đề xuất cấp độ?

Tùy cấp độ của hệ thống: cấp độ 1–2 do đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thẩm định và phê duyệt; cấp độ cao hơn thuộc thẩm quyền của cơ quan chuyên trách cao hơn theo phân cấp quy định.

Bao lâu phải kiểm tra, đánh giá an toàn thông tin một lần?

Quy định phân thành kiểm tra định kỳ theo kế hoạch của chủ quản hệ thống và kiểm tra đột xuất theo yêu cầu của cấp có thẩm quyền. Về thực hành tốt: rà quét lỗ hổng hằng quý, pentest và đánh giá tổng thể hằng năm, diễn tập ứng cứu ít nhất mỗi năm một lần.

Tự kiểm tra bằng checklist có thay thế được đánh giá của đơn vị độc lập không?

Không hoàn toàn. Tự kiểm tra giúp phát hiện và khắc phục sớm các điểm yếu, chuẩn bị tốt cho các đợt kiểm tra chính thức. Nhưng với hệ thống cấp độ cao, quy định yêu cầu đánh giá bởi đơn vị độc lập để đảm bảo tính khách quan — hai hình thức bổ sung cho nhau chứ không thay thế nhau.

Không thực hiện kiểm tra an toàn thông tin thì bị xử lý thế nào?

Việc không tuân thủ quy định về bảo đảm an toàn hệ thống thông tin theo cấp độ có thể bị xử phạt vi phạm hành chính theo quy định hiện hành. Quan trọng hơn, khi sự cố xảy ra, tổ chức không chứng minh được mình đã thực hiện đầy đủ nghĩa vụ sẽ gặp bất lợi lớn về pháp lý và uy tín.

Bài viết liên quan

• Cloud VPS là gì? Lợi ích khi sử dụng Cloud VPS là gì?
• Cho thuê máy chủ ảo - Bảng giá dịch vụ đám mây chi tiết