HỒ SƠ CẤP ĐỘ & BẢO ĐẢM AN TOÀN / AN NINH HỆ THỐNG THÔNG TIN THEO CẤP ĐỘ

PHẦN A. DỊCH VỤ HỒ SƠ CẤP ĐỘ — MÃ SẢN PHẨM HSCĐ-GOV-01

A1. Thông tin sản phẩm

• Mã sản phẩm: HSCĐ-GOV-01
• Nhóm sản phẩm: An toàn thông tin / Tư vấn ATTT

A2. Mô tả

Mô tả ngắn

Dịch vụ khảo sát, đánh giá an toàn thông tin, phân tích hiện trạng, xác định cấp độ, xây dựng hồ sơ đề xuất cấp độ và tư vấn phương án bảo đảm ATTT cho hệ thống thông tin.

Mô tả đầy đủ

Dịch vụ tư vấn toàn trình hỗ trợ khách hàng từ khảo sát, thu thập thông tin hệ thống, phân tích phạm vi và mức độ ảnh hưởng, xác định cấp độ an toàn thông tin phù hợp, xây dựng các tài liệu/hồ sơ theo quy định, đến tư vấn phương án bảo đảm ATTT và hỗ trợ hoàn thiện hồ sơ.

Dịch vụ có thể mở rộng sang đánh giá hiện trạng, tư vấn khắc phục điểm chưa phù hợp và triển khai các giải pháp ATTT.

A3. Khách hàng mục tiêu

• UBND xã/phường
• Cơ quan nhà nước
• Đơn vị sự nghiệp
• Trường học
• Cơ sở/trung tâm y tế
• Doanh nghiệp
• Các tổ chức có hệ thống thông tin cần xác định cấp độ và xây dựng hồ sơ ATTT

A4. Nỗi đau được giải quyết

• Không biết hệ thống thuộc cấp độ nào
• Thiếu nhân sự chuyên môn ATTT
• Không rõ thành phần hồ sơ
• Hồ sơ phải chỉnh sửa/bổ sung
• Khó xây dựng phương án bảo đảm ATTT
• Chưa biết cần đầu tư giải pháp ATTT nào
• Khó duy trì hồ sơ khi hệ thống thay đổi

A5. Tính năng / Phạm vi dịch vụ

• Khảo sát hệ thống
• Thu thập thông tin
• Phân tích hiện trạng
• Xác định/đề xuất cấp độ
• Xây dựng thuyết minh tổng quan
• Xây dựng tài liệu thiết kế
• Lập tài liệu đề xuất cấp độ
• Xây dựng phương án bảo đảm ATTT
• Tư vấn giải trình/chỉnh sửa
• Tư vấn triển khai giải pháp ATTT
• Bàn giao và hỗ trợ sau tư vấn

A6. Lợi ích

• Xác định đúng phạm vi và cấp độ
• Giảm thời gian tự nghiên cứu quy định
• Có bộ hồ sơ được xây dựng bài bản
• Giảm nguy cơ hồ sơ thiếu/sai
• Có cơ sở lập kế hoạch đầu tư ATTT
• Nâng cao mức độ sẵn sàng bảo đảm ATTT
• Có chuyên gia đồng hành trong quá trình hoàn thiện hồ sơ

A7. Điểm khác biệt

Không chỉ cung cấp hồ sơ mà cung cấp dịch vụ tư vấn toàn trình:

QUY TRÌNH: Khảo sát → Xác định cấp độ → Xây dựng hồ sơ → Tư vấn phương án → Hỗ trợ triển khai

Có khả năng kết nối với hệ sinh thái giải pháp ATTT của MobiFone như:

• Giám sát
• SOC
• Bảo mật mạng
• Máy chủ
• Ứng dụng
• Dữ liệu

A8. Mô hình triển khai

On-site + Remote

Khảo sát trực tiếp tại đơn vị kết hợp tư vấn/xử lý hồ sơ từ xa.

Có thể triển khai:

• Theo từng hệ thống
• Theo gói nhiều hệ thống/đơn vị

A9. Giá

Cấp độ	Giá
Cấp độ 1	70.200.000 VNĐ
Cấp độ 2	97.200.000 VNĐ

A10. Chính sách dịch vụ

Đề xuất chính sách dịch vụ gồm:

• Khảo sát/đánh giá ban đầu
• Hỗ trợ chỉnh sửa hồ sơ
• Bàn giao tài liệu
• Hỗ trợ giải trình
• Hỗ trợ sau nghiệm thu
• Ưu đãi khi khách hàng sử dụng đồng thời dịch vụ tư vấn và giải pháp ATTT của MobiFone

---

PHẦN B. KHUNG PHÁP LÝ MỚI VỀ BẢO ĐẢM AN NINH MẠNG THEO CẤP ĐỘ (HIỆU LỰC 2026)

B1. Hệ thống văn bản pháp luật mới

Hệ thống văn bản pháp luật mới có hiệu lực từ 2026, hợp nhất đồng bộ các quy định phòng thủ.

• HỒ SƠ CẤP ĐỘ: Quy định 05 thành phần bắt buộc cấu thành hồ sơ đề xuất cấp độ để hệ thống đủ điều kiện vận hành.
• CẤP ĐỘ: Chi tiết phương án phân loại 5 cấp độ bảo đảm an toàn hệ thống thông tin theo tiêu chuẩn mới.
• CHẾ TÀI: Các mức phạt hành chính cực nghiêm, chế tài xử lý người đứng đầu và có thể đình chỉ vận hành khi vi phạm.

B2. TRƯỚC VÀ SAU: LUẬT MỚI THAY ĐỔI NHỮNG GÌ?

Từ 01/07/2026 — Một cuộc cải cách thể chế toàn diện

TRƯỚC ĐÂY

• 02 Luật Riêng Lẻ: Luật ATTTM 86/2015 & Luật ANM 24/2018
• 02 Bộ Cùng Quản Lý: Bộ TT&TT và Bộ Công an quản lý phân tán
• Tiêu Chuẩn Cũ TCVN 11930:2017: Chưa đồng bộ các biện pháp phòng thủ hiện đại
• Không Quy Định Tỷ Lệ Kinh Phí: Hạng mục an ninh mạng thường dễ bị cắt giảm
• Chưa Có Chế Tài Cụ Thể: Xử phạt hành chính phân tán, thiếu tính răn đe

SAU (TỪ 01/07/2026)

• 01 Luật Duy Nhất: Luật ANM 116/2025/QH15 — hợp nhất toàn diện, bãi bỏ quy định chồng chéo
• 01 Đầu Mối Thống Nhất: BỘ CÔNG AN — Cục A05 chủ trì quản lý nhà nước trên toàn quốc
• Chuẩn Mới TCVN 14423:2026 — 18 nhóm kiểm soát kỹ thuật & quản lý chặt chẽ
• Bắt Buộc ≥ 15% Kinh Phí An Ninh Mạng — tỷ lệ sàn cố định trong tổng dự toán CĐS / CNTT
• Nghị Định 330/2026 & Luật 116/2025/QH15 — Phạt 40–100 Triệu — xử lý nghiêm người đứng đầu và có thể đình chỉ vận hành

B3. 3 THAY ĐỔI LỚN NHẤT CẦN NHỚ

Hợp nhất luật — Ngân sách bắt buộc 15% — Hạn chót nâng chuẩn kỹ thuật

1. MỘT ĐẦU MỐI DUY NHẤT

Bộ Công an (Cục A05) chủ trì thống nhất quản lý nhà nước về an ninh mạng toàn quốc.

Bãi bỏ 02 luật cũ, hợp nhất đồng bộ theo Luật 116.

Căn cứ: Điều 39 Khoản 2 Luật 116

2. BẮT BUỘC ≥ 15% KINH PHÍ

Bắt buộc bố trí tối thiểu 15% tổng mức đầu tư dự án CNTT / CĐS hàng năm cho hạng mục An ninh mạng.

Đây là mức sàn pháp định.

Căn cứ: Điều 38 Luật 116

3. DEADLINE TUÂN THỦ

• 31/12/2026: Hoàn thành thẩm định hệ thống đang đầu tư.
• 01/07/2027: Hoàn tất nâng cấp kỹ thuật theo tiêu chuẩn NĐ 331 & TCVN 14423.

Căn cứ: Điều 39 NĐ 331

B4. HỆ THỐNG VĂN BẢN PHÁP LÝ MỚI VỀ ANM THEO CẤP ĐỘ

Từ Luật → Nghị định → Tiêu chuẩn: Hệ thống hoàn chỉnh có hiệu lực từ 2026

TẦNG 1: LUẬT AN NINH MẠNG SỐ 116/2025/QH15 — Hiệu lực 01/07/2026

• Đ.8: Phân loại 5 cấp độ
• Đ.9: Hệ thống thông tin quan trọng ANQG
• Đ.10: 6 nhiệm vụ, 8 biện pháp
• Đ.38: Bắt buộc kinh phí ≥ 15%
• Đ.40: Trách nhiệm chủ quản

Nghị định 331/2026/NĐ-CP — Bảo đảm ANM HTTT theo cấp độ — Hiệu lực: 19/08/2026

• Tiêu chí 5 cấp độ, thẩm quyền và 05 thành phần HSCĐ bắt buộc (Đ.11–21).
• Ngưỡng DLCN: ≥ 100.000 (cơ bản) hoặc ≥ 10.000 (nhạy cảm) → Cấp độ 3 (Đ.13).
• Quy định an ninh cho Cloud, Trung tâm dữ liệu & Quy chế (Đ.30).

Nghị định 330/2026/NĐ-CP — Xử phạt VPHC trong lĩnh vực ANM & DLCN

• Phạt Tổ chức gấp 02 lần Cá nhân (Điều 7.1).
• Phạt 40–60 triệu: Chưa duyệt cấp độ / Không lập HSCĐ (Đ.23.1, Đ.24.1).
• Phạt 60–100 triệu: Không lưu log / Không giám sát tuân thủ (Đ.23.2.a).

Luật 91 & NĐ 356/2025 — Bảo vệ dữ liệu cá nhân (DLCN)

• Phân loại danh mục DLCN Cơ bản và Nhạy cảm (Đ.9, Đ.10 Luật 91).
• Căn cứ xác định quy mô dữ liệu để đối chiếu Cấp độ 3 theo NĐ 331.
• Bắt buộc lập hồ sơ Đánh giá tác động xử lý dữ liệu (DPIA).

TCVN 14423:2026 — Tiêu chuẩn Quốc gia

Yêu cầu cơ bản an ninh mạng HTTT theo cấp độ — 18 nhóm kiểm soát kỹ thuật & quản lý chặt chẽ.

B5. LƯU Ý VỀ BHÁP LÝ QUÁ ĐỘ (KHUNG CŨ)

Trước giai đoạn hiệu lực của Luật 116/2025/QH15, khuôn khổ cũ áp dụng bao gồm:

• Luật An toàn thông tin mạng số 86/2015/QH13 ngày 19/11/2015.
• Nghị định số 85/2016/NĐ-CP ngày 01/07/2016 về bảo đảm an toàn hệ thống thông tin theo cấp độ (hiệu lực 01/07/2016).
• Thông tư số 12/2022/TT-BTTTT ngày 12/08/2022, hiệu lực từ 01/10/2022, thay thế Thông tư 03/2017/TT-BTTTT.
• TCVN 11930:2017 về yêu cầu cơ bản an toàn hệ thống thông tin theo cấp độ.

LƯU Ý: Khi trả lời câu hỏi có tính pháp lý cụ thể, chatbot phải ưu tiên nội dung văn bản pháp luật GỐC và PHIÊN BẢN ĐANG HIỆU LỰC. Theo thời điểm hiện tại (2026), khung pháp lý mới (Luật 116/2025, NĐ 331/2026, NĐ 330/2026, TCVN 14423:2026, Luật 91/2025, NĐ 356/2025) là hệ thống đang vận hành.

---

PHẦN C. KHÁI NIỆM CỐT LÕI

C1. An toàn hệ thống thông tin theo cấp độ là gì?

An toàn hệ thống thông tin theo cấp độ là cơ chế xác định mức độ quan trọng của một hệ thống thông tin theo các cấp từ 1 đến 5, sau đó áp dụng các biện pháp quản lý và kỹ thuật tương ứng để bảo vệ hệ thống.

Cấp độ càng cao thì:

• Mức độ ảnh hưởng khi hệ thống bị mất an toàn càng lớn.
• Yêu cầu quản lý và kỹ thuật càng chặt chẽ.
• Yêu cầu về giám sát, kiểm tra, đánh giá, dự phòng, ứng cứu và khả năng phục hồi càng cao.
• Thẩm quyền thẩm định và phê duyệt hồ sơ càng cao.

C2. Chủ quản hệ thống thông tin

Chủ quản là cơ quan, tổ chức, cá nhân có thẩm quyền quản lý trực tiếp đối với hệ thống thông tin.

Đối với cơ quan nhà nước, chủ quản thường là cơ quan có thẩm quyền quản lý hoặc quyết định đầu tư hệ thống theo quy định.

C3. Đơn vị/bộ phận chuyên trách về an toàn thông tin

Là đơn vị hoặc bộ phận được giao tham mưu, tổ chức thực hiện, đôn đốc, kiểm tra, giám sát công tác bảo đảm an toàn thông tin.

C4. Đơn vị vận hành

Là đơn vị trực tiếp quản lý, vận hành hệ thống thông tin hoặc được thuê để vận hành hệ thống theo thỏa thuận, hợp đồng và quy định của chủ quản.

C5. Hồ sơ đề xuất cấp độ

Hồ sơ đề xuất cấp độ là bộ hồ sơ dùng để:

• Xác định hệ thống thông tin.
• Mô tả hệ thống.
• Xác định loại thông tin được xử lý.
• Phân tích tác động nếu hệ thống bị mất an toàn.
• Đề xuất cấp độ.
• Thuyết minh phương án bảo đảm an toàn thông tin tương ứng.
• Làm cơ sở thẩm định và phê duyệt.

Vận hành HTTT Cấp 3–5 khi chưa duyệt cấp độ là vi phạm: Phạt 40–60 triệu đồng (Đ.23.1 NĐ 330) & Nguy cơ bị dừng hoạt động (Đ.5.1 Luật 116).

C6. Phương án bảo đảm an toàn thông tin

Là tập hợp các giải pháp quản lý và kỹ thuật được thiết kế để đáp ứng yêu cầu an toàn tương ứng với cấp độ của hệ thống.

C7. Ba thuộc tính an toàn cần đánh giá

Tính bí mật (Confidentiality)

Đảm bảo thông tin chỉ được truy cập bởi chủ thể được phép.

Rủi ro điển hình: lộ hồ sơ cán bộ, lộ thông tin tài khoản, lộ dữ liệu cá nhân, lộ dữ liệu nghiệp vụ chưa công khai.

Tính toàn vẹn (Integrity)

Đảm bảo thông tin không bị sửa đổi trái phép hoặc sai lệch.

Rủi ro điển hình: sửa hồ sơ cán bộ, sửa kết quả xử lý hồ sơ, thay đổi cấu hình hệ thống, sửa dữ liệu giao dịch.

Tính sẵn sàng (Availability)

Đảm bảo hệ thống và dữ liệu có thể được sử dụng khi cần.

Rủi ro điển hình: website bị DDoS, máy chủ bị ransomware, CSDL bị hỏng, mất điện/mất kết nối, sự cố trung tâm dữ liệu.

LƯU Ý: Một hệ thống có thể có mức độ quan trọng khác nhau đối với từng thuộc tính. Khi xây dựng hồ sơ cần mô tả tác động cụ thể.

C8. QUI trình xác định cấp độ (tổng quát)

1. Khởi tạo yêu cầu
2. Xác định hệ thống thông tin
3. Mô tả chức năng và phạm vi
4. Xác định loại thông tin xử lý
5. Phân tích tác động khi mất ATTT
6. Đối chiếu tiêu chí cấp độ 1–5
7. Đề xuất cấp độ
8. Xây dựng phương án bảo đảm ATTT
9. Lập Hồ sơ đề xuất cấp độ
10. Thẩm định theo thẩm quyền
11. Phê duyệt
12. Triển khai phương án
13. Kiểm tra, đánh giá
14. Giám sát và cải tiến

Nguyên tắc:

• Không bắt đầu từ giải pháp công nghệ rồi mới tìm cấp độ.
• Phải xác định hệ thống và tác động trước.
• Cấp độ là căn cứ để thiết kế yêu cầu bảo vệ.
• Hồ sơ đề xuất cấp độ phải phản ánh đúng hệ thống thực tế.

---

PHẦN D. 5 CẤP ĐỘ AN NINH MẠNG — TIÊU CHÍ PHÂN LOẠI CHI TIẾT

Cấp độ càng cao → Tiêu chí càng nghiêm ngặt → Thẩm quyền phê duyệt càng cao

D1. Bảng tổng hợp THEO KHUNG PHÁP LÝ MỚI (Luật 116/2025 & NĐ 331/2026)

Cấp độ	Tiêu chí	Thẩm quyền
CẤP 5	BMNN chiến lược đặc biệt nghiêm trọng · TTDL quốc gia tập trung · Hạ tầng kết nối Internet quốc tế · Điều khiển công nghiệp cấp ĐẶC BIỆT.	THỦ TƯỚNG CHÍNH PHỦ — Duyệt Danh mục (Đ.18.3.đ)
CẤP 4	BMNN nghiêm trọng, tổn hại lớn ANQG · Cổng CPĐT quốc gia vận hành 24/7 không gián đoạn · Điều khiển công nghiệp cấp I.	BỘ CÔNG AN (A05) — Chủ trì thẩm định (Đ.18.3.a)
CẤP 3	BMNN / DVC giải quyết TTHC · Ngành nghề ĐKKD · DLCN ≥ 100K (cơ bản) hoặc ≥ 10K (nhạy cảm) · CSHT cấp Bộ/Tỉnh.	CHỦ QUẢN HỆ THỐNG — Phê duyệt (Đ.18.2.b)
CẤP 2	Thông tin riêng, DLCN nhưng không BMNN · Dịch vụ không thuộc ĐKKD · DLCN < 100K / < 10K · CSHT phục vụ 01 đơn vị.	ĐV CHUYÊN TRÁCH ANM — Thẩm định & Duyệt (Đ.18.1)
CẤP 1	Hệ thống nội bộ CHỈ phục vụ thông tin công cộng · Không xử lý thông tin riêng, không xử lý bí mật nhà nước.	ĐV CHUYÊN TRÁCH ANM — Thẩm định & Duyệt (Đ.18.1)

D2. Mô tả khái quát 5 cấp độ

• Cấp độ 1: ảnh hưởng chủ yếu ở phạm vi tổ chức/cá nhân, xử lý thông tin công cộng.
• Cấp độ 2: ảnh hưởng nghiêm trọng hơn tới quyền, lợi ích hợp pháp hoặc lợi ích công cộng nhưng chưa ảnh hưởng tới trật tự, an toàn xã hội, quốc phòng, an ninh quốc gia.
• Cấp độ 3: nếu bị phá hoại có thể gây tổn hại tới trật tự, an toàn xã hội hoặc lợi ích công cộng ở mức đáng kể theo tiêu chí pháp luật.
• Cấp độ 4: nếu bị phá hoại có thể gây tổn hại nghiêm trọng tới trật tự, an toàn xã hội, quốc phòng, an ninh quốc gia hoặc thuộc nhóm hệ thống có phạm vi, quy mô đặc biệt lớn theo tiêu chí pháp luật.
• Cấp độ 5: hệ thống thông tin quan trọng quốc gia, khi bị phá hoại có thể gây tổn hại đặc biệt nghiêm trọng tới quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội.

D3. 4 NGUYÊN TẮC (Đ.8–10)

1. Một chủ quản duy nhất
2. Áp cấp cao nhất khi đa tiêu chí
3. Nghiêm cấm chia nhỏ hạ tầng
4. Bắt buộc đánh giá rủi ro an ninh

LƯU Ý: Không được xác định cấp độ chỉ dựa trên tên phần mềm, số lượng máy chủ hoặc giá trị đầu tư. Phải xem xét chức năng, thông tin, đối tượng phục vụ và tác động khi xảy ra sự cố.

D4. CHI TIẾT TỪNG CẤP ĐỘ

Cấp độ 1

Tiêu chí cốt lõi: hệ thống thông tin phục vụ hoạt động nội bộ của cơ quan, tổ chức; chỉ xử lý thông tin công cộng.

Ví dụ tham khảo: website nội bộ chỉ đăng thông tin công khai; hệ thống tra cứu tài liệu công khai, không xử lý dữ liệu riêng/cá nhân.

Cấp độ 2

Có thể thuộc cấp độ 2 nếu đáp ứng các tiêu chí, ví dụ:

• Hệ thống phục vụ hoạt động nội bộ nhưng xử lý thông tin riêng hoặc thông tin cá nhân của người sử dụng, không xử lý thông tin bí mật nhà nước.
• Một số hệ thống phục vụ người dân/doanh nghiệp với dịch vụ trực tuyến và phạm vi xử lý dữ liệu thuộc tiêu chí cấp độ 2.
• Các hệ thống có quy mô, loại dữ liệu hoặc mức ảnh hưởng thuộc tiêu chí cấp độ 2.

Ví dụ tham khảo: cổng nội bộ có tài khoản nhân viên và hồ sơ nhân sự thông thường; một số hệ thống cung cấp dịch vụ trực tuyến quy mô nhỏ.

Cấp độ 3

Áp dụng cho hệ thống có mức độ quan trọng cao hơn, đặc biệt khi:

• Xử lý lượng lớn thông tin cá nhân/thông tin riêng.
• Cung cấp dịch vụ trực tuyến quan trọng.
• Phục vụ nhiều người dân/doanh nghiệp.
• Có ảnh hưởng đáng kể tới hoạt động của cơ quan, tổ chức hoặc lợi ích công cộng.
• Thuộc các loại hình hệ thống được quy định.

LƯU Ý: Không được tự động kết luận "có dữ liệu cá nhân = cấp 3". Phải đối chiếu đầy đủ tiêu chí pháp luật.

Cấp độ 4

Dành cho các hệ thống có mức độ quan trọng rất cao. Đặc trưng:

• Có khả năng ảnh hưởng nghiêm trọng tới trật tự, an toàn xã hội, quốc phòng, an ninh quốc gia hoặc các hoạt động thiết yếu.
• Yêu cầu bảo đảm an toàn cao hơn rõ rệt.
• Hệ thống phải được thiết kế có tính sẵn sàng, phân tách và hạn chế lan truyền ảnh hưởng khi một thành phần mất an toàn.
• Nếu thuê dịch vụ tại trung tâm dữ liệu hoặc điện toán đám mây, yêu cầu phân tách vật lý và logic cao hơn.

Cấp độ 5

Mức cao nhất, gắn với hệ thống thông tin quan trọng quốc gia. Đặc trưng:

• Nếu bị phá hoại có thể gây tổn hại đặc biệt nghiêm trọng tới quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội.
• Yêu cầu bảo đảm an toàn ở mức rất cao.
• Có yêu cầu thẩm định, phê duyệt và quản lý đặc biệt.
• Thủ tướng Chính phủ phê duyệt Danh mục hệ thống thông tin cấp độ 5.

D5. NGƯỠNG DỮ LIỆU CÁ NHÂN: CẨN THẬN "BẪY" NHẢY CẤP

Vượt ngưỡng quy định = Tự động nhảy lên Cấp độ 3

CẤP ĐỘ 2

• DLCN Cơ bản: < 100.000 chủ thể
• DLCN Nhạy cảm: < 10.000 chủ thể
• Đơn vị chuyên trách phê duyệt

CẤP ĐỘ 3 (BẮT BUỘC NÂNG CHUẨN)

• DLCN Cơ bản: ≥ 100.000 chủ thể
• DLCN Nhạy cảm: ≥ 10.000 chủ thể
• → LÊN CẤP 3!

CÁC NGÀNH DỄ VƯỢT NGƯỠNG NHẤT

• Y tế & Hồ sơ bệnh
• Bán lẻ / TMĐT
• Bảo hiểm & Tài chính
• Đại học & Học sinh

D6. PHÂN LOẠI HỆ THỐNG THÔNG TIN THEO CHỨC NĂNG NGHIỆP VỤ

1. Hệ thống thông tin phục vụ hoạt động nội bộ.
2. Hệ thống thông tin phục vụ người dân, doanh nghiệp.
3. Hệ thống cơ sở hạ tầng thông tin.
4. Hệ thống thông tin điều khiển công nghiệp.
5. Hệ thống thông tin khác theo quy định.

Khi lập hồ sơ, cần mô tả: tên hệ thống, mục đích, chức năng nghiệp vụ, đối tượng sử dụng, phạm vi địa lý, phạm vi tổ chức, các thành phần phần cứng, phần mềm, mạng và kết nối, cơ sở dữ liệu, dịch vụ tích hợp, nhà cung cấp/đơn vị vận hành, dữ liệu được xử lý, luồng dữ liệu, phụ thuộc hệ thống bên ngoài, mức độ sẵn sàng yêu cầu, các kịch bản mất an toàn.

D7. Ma trận tổng quan cấp độ (định hướng)

• Cấp độ 1: Mức ảnh hưởng thấp; đặc trưng nội bộ, thông tin công cộng; yêu cầu mức cơ bản; trọng tâm kiểm soát tài khoản, mạng, máy chủ, ứng dụng, dữ liệu và quy trình quản lý cơ bản.
• Cấp độ 2: Ảnh hưởng cao hơn cấp 1; có thông tin riêng/cá nhân hoặc dịch vụ trực tuyến thuộc tiêu chí; tăng cường quản lý và kỹ thuật.
• Cấp độ 3: Ảnh hưởng đáng kể; hệ thống/dịch vụ có phạm vi và tác động lớn hơn; tăng cường phân tách, giám sát, quản lý rủi ro, kiểm tra và bảo vệ kỹ thuật.
• Cấp độ 4: Ảnh hưởng rất cao; có thể ảnh hưởng nghiêm trọng tới trật tự, an toàn xã hội, quốc phòng, an ninh; tính sẵn sàng cao, phân tách mạnh, kiểm soát nghiêm ngặt, kiểm tra đánh giá thường xuyên.
• Cấp độ 5: Ảnh hưởng đặc biệt nghiêm trọng; hệ thống thông tin quan trọng quốc gia; mức cao nhất, quản lý và bảo vệ đặc biệt.

---

PHẦN E. HỒ SƠ ĐỀ XUẤT CẤP ĐỘ — "CCCD" CỦA HỆ THỐNG

05 thành phần bắt buộc — Không có = Không được vận hành

E1. 05 THÀNH PHẦN BẮT BUỘC (Theo NĐ 331/2026, Đ.21)

1. Mô Tả Tổng Quan

Thuyết minh mục tiêu, phạm vi, dịch vụ và kiến trúc logic/vật lý hệ thống. (Đ.21.1)

Mức độ: CƠ BẢN

2. Tài Liệu Thiết Kế

Thiết kế sơ bộ (dự án mới) hoặc Thiết kế thi công đã phê duyệt (hệ thống đang chạy). (Đ.21.2)

Mức độ: KIẾN TRÚC

3. Thuyết Minh Cấp Độ

Đối chiếu các tiêu chí pháp định (Đ.11–15 NĐ 331) để xác định chính xác Cấp 1 đến Cấp 5. (Đ.21.3)

Mức độ: PHÂN LOẠI

4. Phương Án ANM

Thuyết minh giải pháp kỹ thuật & quy chế quản lý bảo vệ theo chuẩn TCVN 14423:2026. (Đ.21.4)

Mức độ: BẢO VỆ

5. Ý Kiến Chuyên Trách

Văn bản ý kiến chuyên môn của ĐV chuyên trách ANM nội bộ trước khi trình thẩm định.

Mức độ: BẮT BUỘC CẤP 4, 5

E2. CẤU TRÚC CHI TIẾT HỒ SƠ ĐỀ XUẤT CẤP ĐỘ

6.1. Thông tin chung

• Tên hệ thống, chủ quản, đơn vị vận hành, địa điểm triển khai, phạm vi phục vụ, mục đích sử dụng.

6.2. Mô tả hệ thống

• Sơ đồ tổng thể, kiến trúc ứng dụng, kiến trúc mạng, máy chủ, thiết bị mạng, cơ sở dữ liệu, thiết bị đầu cuối, dịch vụ tích hợp, kết nối Internet/Internet dùng riêng/VPN, dịch vụ điện toán đám mây nếu có.

6.3. Phân loại thông tin

• Thông tin công cộng, thông tin riêng, thông tin cá nhân, thông tin bí mật nhà nước nếu có, các nhóm dữ liệu nghiệp vụ đặc thù.

6.4. Đối tượng sử dụng

• Quản trị viên, cán bộ nghiệp vụ, người dân, doanh nghiệp, đối tác, hệ thống bên ngoài, tài khoản dịch vụ/API.

6.5. Phân tích tác động

Đánh giá tác động của: mất bí mật, mất toàn vẹn, mất sẵn sàng, mất khả năng kiểm soát, gián đoạn nghiệp vụ, thiệt hại tài chính, thiệt hại uy tín, ảnh hưởng người dân/doanh nghiệp, ảnh hưởng cơ quan nhà nước, ảnh hưởng quốc phòng/an ninh/trật tự xã hội nếu có.

6.6. Xác định cấp độ

Phải chỉ rõ: tiêu chí pháp lý được áp dụng, điều/khoản liên quan, lý do hệ thống đáp ứng tiêu chí, cấp độ đề xuất.

6.7. Phương án bảo đảm an toàn

Gồm: yêu cầu quản lý, yêu cầu kỹ thuật, phân vùng mạng, kiểm soát truy cập, xác thực, nhật ký, sao lưu, giám sát, phát hiện và xử lý mã độc, quản lý lỗ hổng, ứng cứu sự cố, khôi phục sau thảm họa, kết thúc vận hành.

---

PHẦN F. YÊU CẦU QUẢN LÝ BẢO ĐẢM AN NINH MẠNG THEO CẤP ĐỘ

07 nhóm yêu cầu quản lý — Bắt buộc hoàn thiện TRƯỚC khi phê duyệt hồ sơ đề xuất cấp độ (Đ.30 NĐ 331)

F1. 01. Chính Sách — QUẢN TRỊ ANM

Ban hành Quy chế bảo đảm ANM, quy trình ứng phó sự cố, chính sách quản lý truy cập và quyền hạn.

Nội dung chi tiết: ban hành chính sách, xác định phạm vi áp dụng, nguyên tắc bảo vệ, trách nhiệm, công bố cho đối tượng liên quan, rà soát cập nhật định kỳ hoặc khi có thay đổi lớn.

Bằng chứng có thể gồm: quyết định ban hành, chính sách ATTT, biên bản rà soát, phiên bản tài liệu, danh sách người được phổ biến.

F2. 02. Tổ Chức — BỘ MÁY ANM

Thành lập ĐV chuyên trách ANM, phân công trách nhiệm rõ ràng cho từng vị trí lãnh đạo & kỹ thuật.

Cần xác định: chủ quản, đơn vị chuyên trách, đơn vị vận hành, quản trị hệ thống, quản trị mạng, quản trị CSDL, người phụ trách ATTT, đầu mối ứng cứu sự cố.

Cần tránh tình trạng không rõ ai có trách nhiệm khi xảy ra sự cố.

F3. 03. Nhân Sự — NHÂN SỰ ANM

Tách nhóm chuyên trách riêng: đào tạo bồi dưỡng định kỳ, đánh giá năng lực và chứng chỉ chuyên môn.

Cần quản lý: tuyển dụng, phân quyền theo vị trí, cam kết bảo mật, đào tạo nhận thức, đào tạo chuyên môn, quản lý thay đổi vị trí, thu hồi quyền khi nghỉ việc, thu hồi tài sản và tài khoản, quản lý tài khoản đặc quyền.

F4. 04. Xây Dựng — THIẾT KẾ HỆ THỐNG

Thiết kế HTTT theo đúng cấp độ bảo mật, kiểm tra an ninh trong quá trình xây dựng và thử nghiệm.

ATTT phải được xem xét từ giai đoạn: khảo sát, phân tích yêu cầu, thiết kế, phát triển, kiểm thử, nghiệm thu, triển khai.

LƯU Ý: Không nên đưa hệ thống vào vận hành trước khi hoàn thành các yêu cầu ATTT đã được phê duyệt.

F5. 05. Vận Hành — QUẢN LÝ VẬN HÀNH

Quản lý cấu hình an toàn, kiểm soát tài khoản, bảo trì định kỳ và triển khai giám sát hệ thống liên tục.

Bao gồm: quản lý tài khoản, quản lý cấu hình, quản lý thay đổi, quản lý bản vá, quản lý lỗ hổng, quản lý nhật ký, giám sát, sao lưu, phục hồi, quản lý sự cố, kiểm kê tài sản, quản lý nhà cung cấp.

F6. 06. Rủi Ro — QUẢN LÝ RỦI RO

Đánh giá rủi ro ANM định kỳ theo luật định, xây dựng kịch bản xử lý sự cố rủi ro và cập nhật liên tục.

Quy trình: xác định tài sản → xác định mối đe dọa → xác định điểm yếu → đánh giá khả năng xảy ra → đánh giá tác động → xác định mức rủi ro → chọn biện pháp xử lý → triển khai → theo dõi và rà soát.

Các phương án xử lý rủi ro: giảm thiểu, tránh, chuyển giao/chia sẻ, chấp nhận trong phạm vi được phép.

F7. 07. Hủy Bỏ — KẾT THÚC VẬN HÀNH

Quy trình thanh lý phần cứng, xóa dữ liệu nhạy cảm an toàn, thu hồi quyền hạn và bàn giao hệ thống.

Khi hệ thống kết thúc vòng đời phải: xác định dữ liệu cần lưu giữ, sao lưu dữ liệu cần thiết, thu hồi tài khoản, thu hồi quyền truy cập, xóa dữ liệu theo quy định, hủy thiết bị/lưu trữ phù hợp, xóa khóa mã hóa nếu có quy trình, hủy chứng thư/chứng thực liên quan, lập biên bản kết thúc.

ĐIỀU 30.7 NGHỊ ĐỊNH 331: Quy chế bảo đảm an ninh mạng phải được cấp có thẩm quyền ban hành TRƯỚC KHI phê duyệt Hồ sơ đề xuất cấp độ hệ thống thông tin.

---

PHẦN G. YÊU CẦU KỸ THUẬT BẢO ĐẢM ANM — MA TRẬN THEO CẤP ĐỘ

04 nhóm kỹ thuật (Điều 30.4 NĐ 331) · 16 tiêu chí chi tiết theo TCVN 14423:2026 · Cấp cao = Yêu cầu nhiều hơn

(*) Căn cứ pháp lý: Khung kỹ thuật chung quy định tại Điều 30.4 Nghị định 331/2026/NĐ-CP; Yêu cầu kỹ thuật chi tiết theo từng cấp độ quy định tại Tiêu chuẩn Quốc gia TCVN 14423:2026 (Mục 3, 4, 5).

STT	TIÊU CHÍ KỸ THUẬT BẢO ĐẢM ANM	CĐ1	CĐ2	CĐ3	GỢI Ý GIẢI PHÁP KỸ THUẬT
1	Quản lý truy cập, quản trị từ xa an toàn	✓	✓	✓	Firewall thế hệ mới (NGFW), VPN bảo mật, MFA quản trị
2	Quản lý giữa các vùng mạng, chống xâm nhập	✓	✓	✓	Thiết kế phân vùng mạng, Hệ thống IPS/Firewall
3	Cân bằng tải, dự phòng thiết bị mạng	—	✓	✓	Load Balancing, thiết bị dự phòng Active-Standby
4	Chặn lọc phần mềm độc hại trên môi trường mạng	—	—	✓	Firewall lọc nội dung, Gateway Antivirus
5	Phòng chống tấn công từ chối dịch vụ (DDoS)	—	—	✓	Hệ thống Anti-DDoS chuyên dụng, Cloud Scrubbing
6	Phòng chống tấn công mạng cho ứng dụng Web	—	✓	✓	Web Application Firewall (WAF) thế hệ mới
7	Bảo đảm an toàn cho hệ thống thư điện tử	—	—	✓	MFA, Mã hóa S/MIME PGP, Email Security Gateway
8	Quản lý truy cập lớp mạng	—	—	✓	Network Access Control (NAC)
9	Bảo đảm an toàn cho máy chủ cơ sở dữ liệu	—	—	✓	Database Firewall (DBF) chuyên dụng, mã hóa CSDL
10	Giám sát hệ thống thông tin tập trung	—	—	✓	Thu thập Log tập trung, Trung tâm NOC
11	Giám sát an toàn hệ thống thông tin tập trung	—	—	✓	SIEM/XDR/SOAR, Đấu nối Trung tâm SOC & Cục A05
12	Quản lý sao lưu dự phòng tập trung (Offline Backup)	—	—	✓	NAS/SAN độc lập, bảo vệ trước nguy cơ Ransomware
13	Phòng chống mã độc cho máy chủ và máy trạm	—	✓	✓	Giải pháp Antivirus/EDR; Cấp 3: bắt buộc EDR máy chủ
14	Phòng chống thất thoát dữ liệu	—	—	✓	Data Loss Prevention (DLP) tại máy trạm & cổng mạng
15	Dự phòng kết nối mạng cho máy chủ dịch vụ	—	—	✓	Đa kênh truyền vật lý, Hệ thống chuyển mạch, Tường lửa
16	Bảo đảm an toàn cho mạng không dây	—	—	✓	Phát hiện & ngăn chặn AP giả (WIDS/WIPS), NAC

G1. Nhóm kỹ thuật: An toàn mạng

Các nhóm kiểm soát thường cần xem xét:

• Phân vùng mạng, firewall, kiểm soát kết nối, kiểm soát truy cập giữa các vùng, VPN khi cần.
• IDS/IPS hoặc giải pháp phát hiện/phòng chống phù hợp.
• Chống mã độc, bảo vệ thiết bị mạng, bảo vệ kết nối quản trị.
• Giám sát lưu lượng, hạn chế dịch vụ/port không cần thiết, bảo vệ kết nối từ Internet, dự phòng đường truyền khi cần.

Kiến trúc tham khảo:

Internet → Firewall → Web/DMZ → Application Zone → Database Zone / Service-API Zone; Database → Backup Zone; Management Zone kết nối Application & Database; SOC/Monitoring (SIEM) giám sát Firewall, Application, Database.

Nguyên tắc:

• Không cho phép Internet truy cập trực tiếp cơ sở dữ liệu.
• Chỉ mở port cần thiết.
• Phân tách mạng quản trị và mạng người dùng khi phù hợp.
• Hạn chế luồng ngang giữa các máy chủ.
• Ghi nhận và giám sát các kết nối quan trọng.

G2. Nhóm kỹ thuật: An toàn máy chủ

Cần xem xét:

• Hardening, tắt dịch vụ không cần thiết, quản lý tài khoản.
• MFA cho tài khoản quan trọng khi phù hợp, phân quyền tối thiểu.
• Cập nhật bản vá, phần mềm chống mã độc khi phù hợp, giám sát tài nguyên.
• Nhật ký hệ điều hành, đồng bộ thời gian, sao lưu cấu hình, bảo vệ giao diện quản trị.

G3. Nhóm kỹ thuật: An toàn ứng dụng

Cần xem xét:

• Kiểm soát đăng nhập, phân quyền, quản lý phiên, mật khẩu, MFA cho tài khoản bảo vệ cao.
• Kiểm tra đầu vào, chống SQL Injection, chống XSS, chống CSRF, kiểm soát upload.
• Bảo vệ API, rate limiting, quản lý secret.
• Không hard-code mật khẩu/API key.
• Kiểm thử bảo mật, quản lý lỗ hổng phụ thuộc, kiểm soát thay đổi mã nguồn.

G4. Nhóm kỹ thuật: An toàn dữ liệu

Cần xem xét:

• Phân loại dữ liệu, phân quyền.
• Mã hóa khi truyền, mã hóa khi lưu nếu phù hợp.
• Sao lưu, kiểm tra khả năng phục hồi.
• Kiểm soát truy cập CSDL, nhật ký truy cập, dữ liệu dự phòng.
• Chính sách lưu giữ, xóa/hủy dữ liệu, bảo vệ khóa mã hóa.

G5. Sao lưu, dự phòng và khôi phục

Mục tiêu: giảm nguy cơ mất dữ liệu, giảm thời gian gián đoạn, có khả năng khôi phục sau lỗi phần cứng/phần mềm/tấn công mạng/thảm họa.

Mô hình tham khảo:

Hệ thống sản xuất → Sao lưu định kỳ → (bản sao nội bộ) + (bản sao độc lập → kho lưu trữ dự phòng); Hệ thống sản xuất → Giám sát → Ứng cứu sự cố → Khôi phục (từ bản sao nội bộ / dự phòng) → Kiểm tra dữ liệu → trở lại sản xuất.

Cần xác định:

• RPO: lượng dữ liệu tối đa có thể chấp nhận mất.
• RTO: thời gian tối đa mục tiêu để khôi phục dịch vụ.
• Tần suất sao lưu, thời gian lưu bản sao, người có quyền khôi phục.
• Quy trình kiểm thử phục hồi, bảo vệ bản sao khỏi ransomware.

LƯU Ý: Không nên chỉ "có backup" mà không kiểm tra restore.

G6. Giám sát, nhật ký và ứng cứu sự cố

Nhật ký

Nên xem xét tối thiểu: đăng nhập thành công/thất bại, thay đổi quyền, thay đổi cấu hình, hoạt động tài khoản đặc quyền, truy cập dữ liệu quan trọng, sự kiện bảo mật, lỗi hệ thống, sự kiện mạng, sự kiện ứng dụng.

Nhật ký cần: có thời gian chính xác, có khả năng truy xuất, được bảo vệ khỏi sửa/xóa trái phép, có thời gian lưu giữ phù hợp.

Giám sát

Có thể sử dụng: SIEM, NDR/IDS/IPS, EDR, Log Management, Dashboard, cảnh báo tự động.

Ứng cứu sự cố

Quy trình: phát hiện/tiếp nhận cảnh báo → xác minh sự cố → phân loại mức độ → khoanh vùng → ngăn chặn/giảm thiểu → thu thập bằng chứng → khắc phục → khôi phục → theo dõi sau sự cố → báo cáo và rút kinh nghiệm.

Nguyên tắc:

• Không xóa bằng chứng một cách tùy tiện.
• Ghi nhận thời gian, người xử lý và hành động.
• Ưu tiên cô lập nguồn lây lan.
• Khôi phục từ bản sao đáng tin cậy.
• Sau sự cố phải cập nhật biện pháp phòng ngừa.

G7. Kiểm tra, đánh giá an toàn thông tin

Nội dung kiểm tra, đánh giá gồm:

1. Kiểm tra, đánh giá việc tuân thủ quy định pháp luật.
2. Kiểm tra, đánh giá hiệu quả các biện pháp bảo đảm ATTT theo phương án đã được phê duyệt.
3. Kiểm tra, đánh giá để phát hiện mã độc, lỗ hổng, điểm yếu và thử nghiệm xâm nhập.

Hình thức kiểm tra kỹ thuật:

• Black box: đánh giá với thông tin nội bộ tối thiểu hoặc không được cung cấp trước.
• Gray box: được cung cấp một phần thông tin/quyền.
• White box: được cung cấp đầy đủ hoặc nhiều thông tin kỹ thuật.

Quy trình: lập kế hoạch kiểm tra → xác định phạm vi → kiểm tra tuân thủ → kiểm tra biện pháp quản lý → kiểm tra kỹ thuật → quét lỗ hổng → kiểm thử xâm nhập nếu phù hợp → lập báo cáo → khắc phục → kiểm tra lại.

G8. Quy định đối với hệ thống trên Cloud/dịch vụ thuê

• Cấp độ 3 trên thuê dịch vụ tại trung tâm dữ liệu hoặc điện toán đám mây: yêu cầu phân tách logic — tách riêng độc lập về logic với hệ thống khác, biện pháp quản lý truy cập giữa các hệ thống, các vùng mạng tách riêng về logic, phân vùng lưu trữ tách độc lập về logic.
• Cấp độ 4/5 thuê dịch vụ: phải có mức tách riêng độc lập về vật lý, vùng mạng tách riêng về logic, phân vùng lưu trữ tách độc lập về vật lý, thiết bị mạng chính phân tách độc lập về vật lý.

Khi đánh giá nhà cung cấp cloud cần yêu cầu: kiến trúc, vị trí lưu trữ, phân tách tenant, IAM, nhật ký, backup, DR, SLA, quy trình ứng cứu, kiểm thử bảo mật, cam kết trách nhiệm, cơ chế bàn giao/xóa dữ liệu khi kết thúc hợp đồng.

G9. Phần mềm nội bộ (DevSecOps)

Phần mềm nội bộ xây dựng mới hoặc mở rộng, nâng cấp phải tuân thủ khung phát triển phần mềm an toàn và đáp ứng yêu cầu an toàn cơ bản đối với phần mềm nội bộ.

Quy trình DevSecOps tham khảo:

Phân tích yêu cầu → Thiết kế an toàn → Lập trình → SAST/SCA → Build → DAST/Test → Security Review → Nghiệm thu → Triển khai → Giám sát → Quản lý lỗ hổng (quay lại vòng Lập trình).

Các điểm kiểm soát: xác thực, phân quyền, quản lý phiên, input validation, secret management, dependency management, logging, error handling, API security, backup, security testing.

---

PHẦN H. QUY TRÌNH THẨM ĐỊNH & PHÊ DUYỆT CẤP ĐỘ — AI LÀM GÌ?

3 luồng thẩm định khác nhau theo cấp độ — Điều 18–24 NĐ 331/2026

H1. CẤP ĐỘ 1, 2 — Điều 18.1 NĐ 331

1. ĐV Vận Hành → Lập HSCĐ đầy đủ
2. ĐV Chuyên Trách ANM → Tổ chức thẩm định
3. Phê Duyệt & Báo Cáo → ĐV chuyên trách tự duyệt

H2. CẤP ĐỘ 3 — Điều 18.2 NĐ 331

1. ĐV Vận Hành → Lập HSCĐ hoàn chỉnh
2. ĐV Chuyên Trách ANM → Thẩm định hồ sơ (Đ.23)
3. Chủ Quản HTTT → Ký Quyết định phê duyệt (Đ.24)

H3. CẤP ĐỘ 4, 5 — Điều 18.3 NĐ 331

1. ĐV Vận Hành → Lập HSCĐ + Ý kiến ĐV chuyên trách
2. Bộ Công An (A05) → Chủ trì thẩm định
3. Chủ Quản / Thủ Tướng → CĐ4: Chủ quản / CĐ5: TTCP

H4. Thành phần hồ sơ trình thẩm định (Đ.21)

1. Mô tả HTTT
2. Thiết kế
3. Thuyết minh cấp độ
4. Phương án ANM
5. Ý kiến chuyên trách (chỉ CĐ 4, 5)

H5. So sánh theo khung cũ (tham chiếu)

Theo Nghị định 85/2016/NĐ-CP:

• Cấp độ 1, 2: Đơn vị chuyên trách ATTT của chủ quản thẩm định và phê duyệt hồ sơ.
• Cấp độ 3: Đơn vị chuyên trách ATTT thẩm định; chủ quản phê duyệt.
• Cấp độ 4, 5: Bộ TT&TT chủ trì, phối hợp Bộ Quốc phòng, Bộ Công an (trừ trường hợp thuộc thẩm quyền Bộ Quốc phòng/Bộ Công an); chủ quản phê duyệt hồ sơ cấp 4; chủ quản phê duyệt phương án ATTT cấp 5; Thủ tướng Chính phủ phê duyệt Danh mục hệ thống cấp độ 5.

Thời gian phê duyệt hồ sơ xác định cấp độ: 07 ngày kể từ ngày nhận hồ sơ hợp lệ đối với trường hợp thuộc quy trình phê duyệt tương ứng.

---

PHẦN I. CHẾ TÀI & KỊCH BẢN RỦI RO

I1. PHẠT BAO NHIÊU? BẢNG CHẾ TÀI THEO NGHỊ ĐỊNH 330/2026

Quy tắc vàng: Phạt Tổ chức = 02 lần Phạt Cá nhân (Điều 7 Khoản 1)

Tổ chức bị phạt gấp đôi cá nhân — Tối đa 100 triệu đồng/hành vi + Trách nhiệm người đứng đầu

Mức phạt	Căn cứ	Hành vi
60–100 TRIỆU	Đ.23.2.a NĐ 330	Không giám sát tuân thủ / Không lưu log nhật ký an ninh / Không đánh giá hiệu quả định kỳ
40–60 TRIỆU	Đ.23.1.c NĐ 330	Vận hành hệ thống thông tin khi chưa có quyết định phê duyệt cấp độ (Cấp 3–5)
40–60 TRIỆU	Đ.23.1.b NĐ 330	Không xây dựng HSCĐ / Không triển khai đầy đủ các phương án kỹ thuật đã phê duyệt
40–60 TRIỆU	Đ.24.1 NĐ 330	Không lập hồ sơ đề xuất cấp độ / Không tổ chức thẩm định phê duyệt cấp độ theo quy định

I2. HÌNH PHẠT BỔ SUNG & KHẮC PHỤC HẬU QUẢ

• Tước giấy phép 01–06 tháng
• Buộc khôi phục nguyên trạng HTTT
• Xem xét trách nhiệm cán bộ liên quan

I3. 3 KỊCH BẢN RỦI RO PHỔ BIẾN NHẤT

1. GIÁN ĐOẠN DỊCH VỤ CÔNG

• Nguyên nhân: Không có kiến trúc dự phòng nóng (hot standby), thiếu cân bằng tải theo chuẩn cấp 3.
• Hậu quả: Người dân không giao dịch được, chỉ số CĐS bị hạ bậc, khủng hoảng truyền thông.

2. RANSOMWARE MÃ HÓA

• Nguyên nhân: Không có giải pháp sao lưu độc lập (offline backup) đáp ứng chuẩn TCVN 14423:2026.
• Hậu quả: Toàn bộ cơ sở dữ liệu bị mã hóa, ngưng trệ hoạt động, nguy cơ mất dữ liệu vĩnh viễn.

3. THANH TRA ĐỘT XUẤT

• Nguyên nhân: Không có Hồ sơ đề xuất cấp độ và quyết định phê duyệt cấp độ theo NĐ 331.
• Hậu quả: Không có cơ sở giải trình, bị lập biên bản xử phạt 40–60 triệu và đình chỉ sử dụng.

---

PHẦN J. LỘ TRÌNH 5 BƯỚC: BẮT ĐẦU TỪ ĐÂU?

Rà soát → Lập hồ sơ → Duyệt → Nâng cấp → Duy trì

01. Rà Soát & Phân Loại

Kiểm kê toàn bộ hệ thống thông tin, xác định chính xác số lượng dữ liệu cá nhân, đánh giá chi tiết các rủi ro an ninh mạng.

Căn cứ: Điều 9, 10 NĐ 331

02. Lập Hồ Sơ Quy Chế

Ban hành Quy chế an toàn thông tin, xây dựng hoàn chỉnh 05 thành phần hồ sơ đề xuất cấp độ theo quy định.

Căn cứ: Điều 21, 22, 30.7

03. Thẩm Định Phê Duyệt

Trình thẩm định: Cấp 1–3 giao Đơn vị chuyên trách; Cấp 4, 5 do Bộ Công an (A05) chủ trì thẩm định.

Căn cứ: Điều 18, 20 NĐ 331

04. Nâng Cấp Kỹ Thuật

Đảm bảo ngân sách ANM ≥ 15%. Triển khai đầy đủ các giải pháp bắt buộc: WAF, Offline Backup, MFA, EDR, SOC.

Căn cứ: Điều 38 Luật 116

05. Đấu Nối & Duy Trì

Kết nối chia sẻ thông tin với Trung tâm ANMQG (A05). Thực hiện đánh giá, kiểm tra định kỳ và gửi báo cáo trước 25/12.

Căn cứ: Điều 27 và 35 NĐ 331, Điều 40 Luật 116

---

PHẦN K. VAI TRÒ VÀ TRÁCH NHIỆM

K1. Chủ quản hệ thống

• Xác định và quản lý danh mục hệ thống.
• Tổ chức lập hồ sơ.
• Tổ chức thẩm định/phê duyệt theo thẩm quyền.
• Bố trí nguồn lực.
• Chỉ đạo triển khai phương án.
• Kiểm tra, đánh giá.
• Quản lý rủi ro.
• Tổ chức đào tạo và nâng cao nhận thức.
• Chỉ đạo ứng cứu sự cố.

K2. Đơn vị chuyên trách ATTT

• Tham mưu, hướng dẫn, thẩm định theo thẩm quyền, kiểm tra, giám sát, đôn đốc.
• Tổng hợp báo cáo.
• Hỗ trợ ứng cứu.

K3. Đơn vị vận hành

• Vận hành hệ thống.
• Triển khai biện pháp kỹ thuật.
• Giám sát, sao lưu, quản lý cấu hình, quản lý tài khoản, xử lý sự cố.
• Phối hợp kiểm tra.
• Cung cấp bằng chứng tuân thủ.

K4. Người sử dụng

• Bảo vệ tài khoản.
• Không chia sẻ mật khẩu.
• Tuân thủ quy chế.
• Báo cáo sự cố.
• Không tự ý cài phần mềm hoặc thay đổi cấu hình.
• Tuân thủ phân quyền.

---

PHẦN L. QUY TRÌNH TRIỂN KHAI & MA TRẬN GAP TRONG THỰC TẾ

L1. Quy trình triển khai hồ sơ cấp độ trong thực tế

1. Tiếp nhận yêu cầu
2. Khảo sát hệ thống
3. Thu thập tài liệu
4. Xác định phạm vi hệ thống
5. Phân loại dữ liệu
6. Phân tích tác động
7. Xác định cấp độ
8. Khảo sát hiện trạng ATTT
9. Lập phương án quản lý
10. Lập phương án kỹ thuật
11. Ma trận yêu cầu - hiện trạng
12. Xác định khoảng thiếu (Gap)
13. Lập kế hoạch khắc phục
14. Hoàn thiện hồ sơ
15. Thẩm định
16. Phê duyệt
17. Triển khai
18. Kiểm tra đánh giá
19. Giám sát và cải tiến

L2. Ma trận Gap an toàn thông tin

Mục đích của Gap Assessment là so sánh: yêu cầu pháp lý, yêu cầu theo cấp độ, hiện trạng hệ thống, bằng chứng hiện có, mức thiếu hụt, biện pháp khắc phục.

Mẫu:

ID: ATTT-001 Nhóm: Quản lý Yêu cầu: Chính sách an toàn thông tin Hiện trạng: Đã có dự thảo Bằng chứng: File chính sách Mức đáp ứng: Một phần Khoảng thiếu: Chưa phê duyệt Biện pháp: Hoàn thiện và ban hành Đơn vị phụ trách: Đơn vị chuyên trách ATTT Thời hạn: Theo kế hoạch được phê duyệt

ID: ATTT-002 Nhóm: Kỹ thuật Yêu cầu: Phân vùng mạng Hiện trạng: Có firewall nhưng mạng phẳng Bằng chứng: Sơ đồ mạng Mức đáp ứng: Chưa đáp ứng đầy đủ Khoảng thiếu: Chưa tách vùng ứng dụng/CSDL Biện pháp: Thiết kế lại phân vùng Đơn vị phụ trách: Đơn vị vận hành

---

PHẦN M. CÂU HỎI THƯỜNG GẶP (FAQ)

Q: Hồ sơ cấp độ là gì? A: Hồ sơ đề xuất cấp độ là hồ sơ dùng để xác định hệ thống thông tin, phân tích tiêu chí và đề xuất cấp độ, đồng thời thuyết minh phương án bảo đảm an toàn thông tin tương ứng để phục vụ thẩm định và phê duyệt.

Q: Có bao nhiêu cấp độ? A: Có 5 cấp độ, từ cấp độ 1 đến cấp độ 5; cấp độ tăng dần theo mức độ quan trọng và tác động khi hệ thống bị mất an toàn.

Q: Cấp độ 1 là gì? A: Cấp độ 1 là hệ thống phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý thông tin công cộng (không xử lý thông tin riêng, không xử lý bí mật nhà nước).

Q: Cấp độ 2 là gì? A: Cấp độ 2 gồm các hệ thống nội bộ xử lý thông tin riêng/thông tin cá nhân nhưng không xử lý thông tin bí mật nhà nước, và một số hệ thống phục vụ người dân, doanh nghiệp thuộc phạm vi tiêu chí cấp độ 2.

Q: Có dữ liệu cá nhân thì có phải cấp độ 3 không? A: Không thể kết luận chỉ từ việc có dữ liệu cá nhân. Phải đối chiếu toàn bộ tiêu chí pháp luật, xem xét chức năng, phạm vi, số lượng người dùng, loại dịch vụ, mức độ ảnh hưởng và các điều kiện liên quan. Lưu ý quy định về ngưỡng DLCN: ≥ 100.000 cơ bản hoặc ≥ 10.000 nhạy cảm thì thuộc cấp độ 3 (Đ.13 NĐ 331).

Q: Cấp độ 4 có gì khác? A: Cấp độ 4 yêu cầu mức bảo vệ cao hơn và có thể liên quan đến ảnh hưởng nghiêm trọng tới trật tự, an toàn xã hội, quốc phòng, an ninh quốc gia hoặc hệ thống thuộc nhóm tiêu chí tương ứng. Thiết kế phải chú trọng tính sẵn sàng, phân tách và hạn chế ảnh hưởng lan truyền.

Q: Cấp độ 5 là gì? A: Cấp độ 5 là mức cao nhất, gắn với hệ thống thông tin quan trọng quốc gia. Danh mục hệ thống cấp độ 5 được Thủ tướng Chính phủ phê duyệt.

Q: Hồ sơ đề xuất cấp độ có mấy thành phần bắt buộc? A: Theo khung pháp lý mới (NĐ 331/2026), có 05 thành phần bắt buộc: Mô tả tổng quan, Tài liệu thiết kế, Thuyết minh cấp độ, Phương án ANM và Ý kiến chuyên trách (bắt buộc với cấp 4, 5). Không có hồ sơ = không được vận hành.

Q: Phương án bảo đảm ATTT gồm những nhóm nào? A: Gồm yêu cầu quản lý và yêu cầu kỹ thuật. Quản lý gồm chính sách, tổ chức, nhân lực, thiết kế/xây dựng, vận hành, quản lý rủi ro, kết thúc vòng đời. Kỹ thuật gồm an toàn mạng, máy chủ, ứng dụng và dữ liệu.

Q: Có bắt buộc kiểm tra lỗ hổng không? A: Có. Kiểm tra đánh giá bao gồm việc phát hiện mã độc, lỗ hổng, điểm yếu và thử nghiệm xâm nhập; hình thức có thể là black box, gray box hoặc white box.

Q: Dùng cloud có được không? A: Có thể triển khai trên trung tâm dữ liệu hoặc điện toán đám mây nếu đáp ứng các yêu cầu tương ứng với cấp độ. Cấp độ 3 có yêu cầu phân tách logic; cấp độ 4 và 5 có yêu cầu phân tách vật lý và logic chặt chẽ hơn.

Q: Có cần backup không? A: Sao lưu và khả năng phục hồi là thành phần quan trọng của bảo đảm an toàn thông tin. Cần có chính sách, tần suất, nơi lưu trữ, phân quyền và kiểm thử phục hồi phù hợp với cấp độ và yêu cầu nghiệp vụ. Ở cấp 3 bắt buộc sao lưu dự phòng tập trung (Offline Backup).

Q: Có cần ISO 27001 không? A: ISO/IEC 27001 không phải là sự thay thế cho hồ sơ cấp độ. ISO có thể hỗ trợ hệ thống quản lý an toàn thông tin nhưng việc xác định cấp độ, lập hồ sơ, thẩm định, phê duyệt và đáp ứng yêu cầu theo quy định vẫn phải thực hiện bắt buộc.

Q: Ngân sách an ninh mạng có bắt buộc không? A: Có. Bắt buộc bố trí tối thiểu 15% tổng mức đầu tư dự án CNTT/CĐS hàng năm cho hạng mục An ninh mạng (Điều 38 Luật 116/2025). Đây là mức sàn pháp định.

Q: Thời hạn tuân thủ là khi nào? A: 31/12/2026 hoàn thành thẩm định hệ thống đang đầu tư; 01/07/2027 hoàn tất nâng cấp kỹ thuật theo NĐ 331 và TCVN 14423:2026 (Điều 39 NĐ 331).

Q: Ai phê duyệt cấp độ? A: Cấp 1, 2 do ĐV chuyên trách ANM thẩm định & duyệt; cấp 3 do ĐV chuyên trách thẩm định và Chủ quản phê duyệt; cấp 4 do Bộ Công an (A05) chủ trì thẩm định và Chủ quản phê duyệt; cấp 5 do Bộ Công an (A05) chủ trì và Thủ tướng Chính phủ duyệt Danh mục.

---

N3. 3 câu hỏi lãnh đạo cần đặt ra ngay

Câu hỏi 01: Cơ quan đang vận hành bao nhiêu HTTT? Bao nhiêu ĐÃ CÓ Quyết định phê duyệt? Bao nhiêu CHƯA CÓ?

• Nguy cơ pháp lý: Phạt 40–60 triệu đồng, có thể đình chỉ vận hành nếu chưa có quyết định phê duyệt cấp độ (NĐ 330).

Câu hỏi 02: Các hệ thống xử lý Dữ liệu cá nhân đã được rà soát số lượng chưa? Có hệ thống nào VƯỢT 100.000 cơ bản hoặc 10.000 nhạy cảm?

• Nguy cơ kỹ thuật: Tự động nâng lên Cấp 3 → Bắt buộc nâng chuẩn kỹ thuật toàn diện theo Điều 13 NĐ 331 và TCVN 14423.

Câu hỏi 03: Quy chế ANM đã ký ban hành TRƯỚC KHI duyệt HSCĐ chưa? Dự án CNTT năm nay đã BỐ TRÍ ĐỦ ≥ 15% KINH PHÍ?

• Căn cứ pháp lý: Điều 30.7 NĐ 331 (phải có Quy chế trước) và Điều 38 Luật 116 (mức sàn 15% kinh phí ANM).

---

PHẦN O. TỪ KHÓA, THỰC THỂ, METADATA & CHIẾN LƯỢC CHUNKING

O1. Từ khóa chính

an toàn thông tin, ATTT, an ninh mạng, ANM, an toàn hệ thống thông tin, cấp độ an toàn thông tin, cấp độ an ninh mạng, hồ sơ cấp độ, hồ sơ đề xuất cấp độ, phương án bảo đảm an toàn thông tin, Luật 116/2025/QH15, Nghị định 331/2026/NĐ-CP, Nghị định 330/2026/NĐ-CP, TCVN 14423:2026, Luật 91, Nghị định 356/2025, Nghị định 85/2016/NĐ-CP, Thông tư 12/2022/TT-BTTTT, TCVN 11930:2017, cấp độ 1, cấp độ 2, cấp độ 3, cấp độ 4, cấp độ 5, hệ thống thông tin quan trọng quốc gia, chủ quản hệ thống thông tin, đơn vị vận hành, đơn vị chuyên trách ATTT, thẩm định, phê duyệt, kiểm tra đánh giá, lỗ hổng, kiểm thử xâm nhập, black box, gray box, white box, cloud, trung tâm dữ liệu, sao lưu, khôi phục, ứng cứu sự cố, quản lý rủi ro, bảo mật, toàn vẹn, sẵn sàng, DLCN, dữ liệu cá nhân, ngưỡng dữ liệu cá nhân, 15% kinh phí, SOC, SIEM, WAF, EDR, MFA, offline backup.

O2. Thực thể chính

• Luật An ninh mạng 116/2025/QH15.
• Nghị định 331/2026/NĐ-CP (bảo đảm ANM HTTT theo cấp độ).
• Nghị định 330/2026/NĐ-CP (xử phạt VPHC lĩnh vực ANM & DLCN).
• Luật Bảo vệ dữ liệu cá nhân 91 (Đ.9, Đ.10) & Nghị định 356/2025.
• TCVN 14423:2026.
• Luật ATTTM 86/2015/QH13; Nghị định 85/2016/NĐ-CP; Thông tư 12/2022/TT-BTTTT; TCVN 11930:2017 (khung cũ).
• Hồ sơ đề xuất cấp độ, Phương án bảo đảm an toàn thông tin.
• Chủ quản HTTT, Đơn vị chuyên trách ATTT, Đơn vị vận hành.
• Cục A05 (Bộ Công an).
• Sản phẩm HSCĐ-GOV-01 (MobiFone).

PHẦN P. NGUỒN PHÁP LÝ THAM CHIẾU

Khung pháp lý mới (hiệu lực 2026)

[LEGAL-NEW-01] Tên: Luật An ninh mạng (Luật ANM 116/2025/QH15) Hiệu lực: 01/07/2026 Nội dung liên quan: Đ.8 phân loại 5 cấp độ; Đ.9 HT quan trọng ANQG; Đ.10 sáu nhiệm vụ, tám biện pháp; Đ.38 bắt buộc kinh phí ≥ 15%; Đ.40 trách nhiệm chủ quản; Đ.39 Khoản 2 đầu mối quản lý.

[LEGAL-NEW-02] Tên: Nghị định 331/2026/NĐ-CP — Bảo đảm ANM HTTT theo cấp độ Hiệu lực: 19/08/2026 Nội dung liên quan: tiêu chí 5 cấp độ và thẩm quyền (Đ.11–21); ngưỡng DLCN cấp 3 (Đ.13); quy định Cloud/TTDL/Quy chế (Đ.30); thẩm định phê duyệt (Đ.18–24); báo cáo (Đ.27, Đ.35); hạn tuân thủ (Đ.39).

[LEGAL-NEW-03] Tên: Nghị định 330/2026/NĐ-CP — Xử phạt VPHC trong lĩnh vực ANM & DLCN Nội dung liên quan: Phạt tổ chức gấp 02 lần cá nhân (Đ.7.1); các mức phạt 40–60 và 60–100 triệu (Đ.23.1, Đ.23.2.a, Đ.24.1).

[LEGAL-NEW-04] Tên: Luật Bảo vệ dữ liệu cá nhân 91 (Luật 91) & Nghị định 356/2025 Nội dung liên quan: phân loại DLCN Cơ bản/Nhạy cảm (Đ.9, Đ.10); hồ sơ DPIA bắt buộc.

[LEGAL-NEW-05] Tên: TCVN 14423:2026 — Tiêu chuẩn Quốc gia an ninh mạng HTTT theo cấp độ Nội dung liên quan: 18 nhóm kiểm soát kỹ thuật & quản lý; yêu cầu chi tiết theo cấp độ (Mục 3, 4, 5).

Khung pháp lý cũ (tham chiếu quá độ)

[LEGAL-01] Tên: Luật An toàn thông tin mạng 86/2015/QH13 Ngày ban hành: 19/11/2015 Nội dung liên quan: phân loại cấp độ an toàn hệ thống thông tin, trách nhiệm bảo đảm ATTT.

[LEGAL-02] Tên: Nghị định 85/2016/NĐ-CP — Bảo đảm an toàn hệ thống thông tin theo cấp độ Ngày ban hành: 01/07/2016; hiệu lực 01/07/2016 Nội dung liên quan: phạm vi, đối tượng, tiêu chí cấp độ 1–5 (Đ.7, Đ.8, Đ.9, Đ.10, Đ.11), thẩm quyền, trình tự, trách nhiệm.

[LEGAL-03] Tên: Thông tư 12/2022/TT-BTTTT Ngày ban hành: 12/08/2022; hiệu lực 01/10/2022 (thay thế Thông tư 03/2017/TT-BTTTT) Nội dung liên quan: hồ sơ đề xuất cấp độ, yêu cầu quản lý, yêu cầu kỹ thuật, phụ lục yêu cầu theo cấp độ 1–5, kiểm tra đánh giá, báo cáo.

[LEGAL-04] Tên: TCVN 11930:2017 Nội dung: Công nghệ thông tin - Các kỹ thuật an toàn - Yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ.