5 cấp độ an toàn thông tin là gì? Phân loại và những điều doanh nghiệp cần biết

Khi doanh nghiệp ngày càng phụ thuộc vào website, phần mềm, cơ sở dữ liệu và các hệ thống trực tuyến, an toàn thông tin không còn là vấn đề riêng của bộ phận IT. Một hệ thống gặp sự cố có thể làm gián đoạn hoạt động, ảnh hưởng đến dữ liệu khách hàng và gây ra những thiệt hại đáng kể cho doanh nghiệp.

Để xác định mức độ bảo vệ phù hợp, hệ thống thông tin tại Việt Nam được phân loại theo 5 cấp độ an toàn thông tin, từ cấp độ 1 đến cấp độ 5. Mỗi cấp độ tương ứng với mức độ quan trọng, phạm vi ảnh hưởng và yêu cầu bảo vệ khác nhau.

Vậy 5 cấp độ an toàn thông tin được phân loại như thế nào? Doanh nghiệp cần căn cứ vào đâu để xác định cấp độ và cần chuẩn bị những gì để bảo vệ hệ thống?

1. 5 cấp độ an toàn thông tin là gì?

5 cấp độ an toàn thông tin là cách phân loại hệ thống thông tin theo mức độ quan trọng và yêu cầu bảo vệ. Cách phân loại này giúp xác định hệ thống cần được bảo vệ ở mức nào, từ đó xây dựng các biện pháp quản lý và kỹ thuật phù hợp.

Theo khung pháp lý về bảo đảm an toàn hệ thống thông tin theo cấp độ, hệ thống được xác định từ cấp độ 1 đến cấp độ 5. Cấp độ càng cao đồng nghĩa với việc hệ thống có vai trò quan trọng hơn hoặc khi xảy ra sự cố có thể gây ảnh hưởng nghiêm trọng hơn.

Có thể hiểu đơn giản:

Cấp độ càng cao → mức độ ảnh hưởng càng lớn → yêu cầu bảo vệ càng chặt chẽ.

Khung phân loại này được quy định từ Nghị định 85/2016/NĐ-CP, ban hành ngày 01/07/2016. Sau đó, Thông tư 12/2022/TT-BTTTT, có hiệu lực từ 01/10/2022, tiếp tục quy định chi tiết và hướng dẫn một số nội dung liên quan đến bảo đảm an toàn hệ thống thông tin theo cấp độ.

Nội dung bài viết này dựa trên thông tin về phân loại, yêu cầu bảo vệ và quy trình được trình bày trong tài liệu gốc, đồng thời diễn giải lại theo hướng dễ hiểu và thuận tiện hơn cho doanh nghiệp.

2. Vì sao doanh nghiệp cần quan tâm đến cấp độ an toàn thông tin?

Việc xác định cấp độ không đơn thuần là một thủ tục về mặt hồ sơ. Đây còn là cơ sở để doanh nghiệp biết hệ thống của mình cần được bảo vệ đến đâu.

Một website giới thiệu thông tin sẽ có yêu cầu bảo vệ khác với hệ thống thương mại điện tử chứa dữ liệu khách hàng. Tương tự, một hệ thống xử lý dữ liệu quan trọng hoặc phải hoạt động liên tục 24/7 sẽ cần cơ chế dự phòng, giám sát và ứng phó sự cố chặt chẽ hơn.

Xác định đúng cấp độ giúp doanh nghiệp:

– Xác định phạm vi và mức độ bảo vệ cần thiết cho hệ thống.
– Xây dựng phương án bảo đảm an toàn thông tin phù hợp.
– Chủ động kiểm soát các rủi ro liên quan đến dữ liệu và hạ tầng.
– Chuẩn bị phương án sao lưu, phục hồi khi xảy ra sự cố.
– Xác định các yêu cầu về quản lý, nhân sự, giám sát và kỹ thuật.
– Hạn chế nguy cơ gián đoạn dịch vụ hoặc mất dữ liệu.

Nói cách khác, xác định cấp độ là bước đầu để xây dựng một hệ thống an toàn thay vì chỉ xử lý sự cố khi vấn đề đã xảy ra.

3. Phân loại 5 cấp độ an toàn thông tin

Mỗi cấp độ phản ánh một mức độ quan trọng và phạm vi ảnh hưởng khác nhau của hệ thống. Dưới đây là cách hiểu tổng quan từ cấp độ 1 đến cấp độ 5.

3.1. Cấp độ 1 – Hệ thống có mức độ ảnh hưởng thấp

Cấp độ 1 thường áp dụng với những hệ thống có quy mô và phạm vi ảnh hưởng tương đối nhỏ, chủ yếu phục vụ hoạt động nội bộ hoặc cung cấp thông tin công khai.

Ví dụ có thể là hệ thống phục vụ việc đăng tải, quản lý thông tin mà khi xảy ra sự cố không gây ảnh hưởng nghiêm trọng đến hoạt động chung.

Ở cấp độ này, doanh nghiệp vẫn cần triển khai những biện pháp bảo vệ cơ bản như:

– Kiểm soát quyền truy cập.
– Quản lý tài khoản người dùng.
– Bảo vệ kết nối quản trị từ xa.
– Phân vùng và kiểm soát truy cập mạng.
– Sử dụng tường lửa và các giải pháp bảo vệ phù hợp.
– Phòng chống mã độc.

Theo tài liệu gốc, cấp độ 1 tập trung vào các hệ thống đơn giản, chủ yếu xử lý thông tin công khai và có mức độ ảnh hưởng thấp khi xảy ra sự cố.

3.2. Cấp độ 2 – Hệ thống xử lý dữ liệu nội bộ, cá nhân hoặc cung cấp dịch vụ quy mô nhất định

Cấp độ 2 có yêu cầu bảo vệ cao hơn cấp độ 1, thường liên quan đến những hệ thống có xử lý dữ liệu riêng tư, dữ liệu cá nhân hoặc cung cấp dịch vụ trực tuyến ở quy mô nhất định.

Đây là cấp độ mà nhiều hệ thống ứng dụng, website và dịch vụ trực tuyến của doanh nghiệp có thể cần quan tâm khi đánh giá phạm vi bảo vệ.

Bên cạnh các yêu cầu cơ bản, hệ thống có thể cần tăng cường các lớp bảo vệ như:

– Bảo vệ ứng dụng web.
– Kiểm soát truy cập.
– Bảo vệ hệ thống thư điện tử.
– Tăng khả năng dự phòng cho các thiết bị mạng quan trọng.
– Quản lý và giám sát hoạt động của hệ thống.

Tài liệu gốc cũng đề cập đến nhóm hệ thống xử lý thông tin cá nhân hoặc cung cấp dịch vụ trực tuyến ở quy mô nhất định khi mô tả cấp độ này.

3.3. Cấp độ 3 – Hệ thống có quy mô lớn hoặc mức độ ảnh hưởng đáng kể

Cấp độ 3 yêu cầu mức bảo vệ cao hơn đáng kể do hệ thống có thể xử lý lượng dữ liệu lớn, phục vụ nhiều người dùng hoặc cung cấp các dịch vụ có tính chất quan trọng.

Theo tài liệu gốc, nhóm này có thể bao gồm các hệ thống xử lý thông tin cá nhân với quy mô lớn, dịch vụ trực tuyến thuộc lĩnh vực kinh doanh có điều kiện hoặc hệ thống hạ tầng CNTT dùng chung có phạm vi ảnh hưởng rộng.

Ở cấp độ này, yêu cầu kỹ thuật có thể bao gồm:

– Web Application Firewall (WAF).
– Cân bằng tải.
– Cơ chế dự phòng nóng cho thiết bị mạng.
– Firewall bảo vệ cơ sở dữ liệu.
– Giải pháp lọc mã độc.
– Bảo vệ chống tấn công từ chối dịch vụ (DDoS).
– Giám sát an toàn thông tin tập trung.
– Thu thập và phân tích nhật ký.
– Kiểm soát truy cập ở lớp mạng.
– Các cơ chế bảo vệ dữ liệu phù hợp với tính chất thông tin.

Đây cũng là mức mà doanh nghiệp nên đặc biệt chú trọng đến khả năng phát hiện sớm và phản ứng khi có sự cố, thay vì chỉ tập trung vào phòng ngừa.

3.4. Cấp độ 4 – Hệ thống có mức độ ảnh hưởng rất lớn

Cấp độ 4 dành cho những hệ thống có vai trò quan trọng và khi xảy ra sự cố có thể gây ảnh hưởng lớn đến hoạt động của cơ quan, tổ chức hoặc phạm vi rộng hơn.

Một đặc điểm đáng chú ý của nhóm hệ thống này là yêu cầu cao về tính sẵn sàng và khả năng vận hành liên tục.

Do đó, ngoài việc bảo vệ dữ liệu và kiểm soát truy cập, hệ thống cần quan tâm đến:

– Quản lý tài khoản đặc quyền.
– Giám sát tập trung.
– Theo dõi trạng thái hoạt động của hệ thống.
– Khả năng phát hiện và xử lý sự cố.
– Phương án duy trì hoạt động khi một thành phần gặp lỗi.
– Kế hoạch dự phòng và phục hồi.

Tài liệu gốc mô tả cấp độ 4 gắn với những hệ thống có tác động lớn và yêu cầu vận hành liên tục, đặc biệt trong các hệ thống quan trọng.

3.5. Cấp độ 5 – Mức bảo vệ cao nhất

Cấp độ 5 là mức cao nhất trong hệ thống phân loại an toàn thông tin.

Đây là nhóm hệ thống mà nếu bị tấn công, phá hoại hoặc mất an toàn có thể gây ra ảnh hưởng đặc biệt nghiêm trọng, đặc biệt đối với quốc phòng, an ninh quốc gia hoặc các hệ thống, dữ liệu có tính chất đặc biệt quan trọng.

Theo tài liệu gốc, cấp độ 5 được áp dụng cho các hệ thống có mức độ ảnh hưởng đặc biệt nghiêm trọng và thuộc phạm vi được xác định theo quy định.

Với mức độ quan trọng này, yêu cầu bảo vệ không chỉ nằm ở việc ngăn chặn tấn công mà còn phải đảm bảo hệ thống có thể duy trì hoạt động và phục hồi khi xảy ra sự cố nghiêm trọng.

Một trong những yêu cầu được tài liệu gốc đề cập là xây dựng hệ thống dự phòng ở vị trí địa lý tách biệt, đồng thời có phương án kết nối mạng dự phòng.

4. So sánh 5 cấp độ an toàn thông tin

Có thể hình dung 5 cấp độ theo mức độ bảo vệ tăng dần:

Cấp độ	Đặc điểm chính	Mức độ bảo vệ
Cấp độ 1	Hệ thống đơn giản, thông tin công khai, phạm vi ảnh hưởng thấp	Cơ bản
Cấp độ 2	Có dữ liệu riêng tư/cá nhân hoặc cung cấp dịch vụ trực tuyến	Tăng cường
Cấp độ 3	Quy mô lớn, nhiều người dùng, dịch vụ hoặc hạ tầng có mức độ ảnh hưởng đáng kể	Cao
Cấp độ 4	Hệ thống quan trọng, ảnh hưởng lớn, yêu cầu vận hành liên tục	Rất cao
Cấp độ 5	Hệ thống đặc biệt quan trọng, sự cố có thể gây ảnh hưởng đặc biệt nghiêm trọng	Cao nhất

Điểm cần lưu ý là không nên chỉ dựa vào một tiêu chí duy nhất để kết luận cấp độ của hệ thống. Việc xác định cần xem xét tổng thể đặc điểm, chức năng, dữ liệu, phạm vi và mức độ ảnh hưởng của hệ thống.

5. Làm thế nào để xác định cấp độ an toàn thông tin?

Để xác định cấp độ phù hợp, doanh nghiệp cần bắt đầu từ chính hệ thống đang vận hành thay vì chỉ nhìn vào quy mô máy chủ hay số lượng website.

5.1. Hệ thống đang xử lý loại dữ liệu nào?

Đây là một trong những câu hỏi đầu tiên cần đặt ra.

Doanh nghiệp cần xác định hệ thống đang lưu trữ hoặc xử lý:

– Thông tin công khai.
– Thông tin nội bộ.
– Thông tin cá nhân.
– Dữ liệu khách hàng.
– Dữ liệu quan trọng của doanh nghiệp.
– Các loại thông tin thuộc phạm vi bảo vệ đặc biệt theo quy định.

Dữ liệu càng nhạy cảm và hậu quả khi bị lộ, mất hoặc thay đổi càng lớn thì yêu cầu bảo vệ càng cao.

5.2. Hệ thống phục vụ bao nhiêu người dùng?

Quy mô người dùng là một trong những yếu tố được sử dụng để đánh giá mức độ quan trọng của hệ thống, đặc biệt với các dịch vụ trực tuyến.

Tài liệu gốc sử dụng mốc quy mô người dùng khi phân tích cấp độ 2 và cấp độ 3. Tuy nhiên, doanh nghiệp không nên hiểu rằng chỉ cần đạt một mốc số lượng người dùng là hệ thống mặc nhiên thuộc một cấp độ nhất định.

Cần đặt con số đó trong tổng thể các tiêu chí khác như loại dữ liệu, tính chất dịch vụ và mức độ ảnh hưởng của hệ thống.

5.3. Hệ thống có cung cấp dịch vụ quan trọng hay không?

Một website giới thiệu doanh nghiệp và một hệ thống cung cấp dịch vụ trực tuyến cho số lượng lớn khách hàng sẽ có mức độ ảnh hưởng rất khác nhau.

Do đó, doanh nghiệp cần xem xét:

–  Hệ thống phục vụ hoạt động gì?
–  Nếu hệ thống ngừng hoạt động thì doanh nghiệp bị ảnh hưởng như thế nào?
–  Dịch vụ có yêu cầu hoạt động liên tục không?
–  Hệ thống có liên quan đến các dịch vụ, lĩnh vực kinh doanh có điều kiện hay không?

Đây là cơ sở quan trọng để xác định mức độ bảo vệ phù hợp.

5.4. Hệ thống có yêu cầu hoạt động 24/7 không?

Không phải hệ thống nào cũng có cùng yêu cầu về tính sẵn sàng.

Với hệ thống có thể tạm ngừng trong thời gian ngắn mà không gây ảnh hưởng lớn, phương án bảo vệ có thể khác với hệ thống phải hoạt động liên tục.

Nếu website, ứng dụng hoặc nền tảng là một phần quan trọng trong hoạt động kinh doanh, doanh nghiệp cần tính đến:

–  Hạ tầng dự phòng.
–  Sao lưu dữ liệu.
–  Khả năng chuyển đổi khi có sự cố.
–  Giám sát hệ thống.
–  Kế hoạch khôi phục dịch vụ.

5.5. Nếu hệ thống có nhiều thành phần thì xác định thế nào?

Một hệ thống có thể bao gồm nhiều thành phần khác nhau như máy chủ ứng dụng, cơ sở dữ liệu, hệ thống mạng, hệ thống lưu trữ và các dịch vụ phụ trợ.

Trong trường hợp các thành phần có mức độ yêu cầu bảo vệ khác nhau, cần đánh giá tổng thể để đảm bảo cấp độ được xác định phù hợp với thành phần có yêu cầu bảo vệ cao hơn theo quy định áp dụng.

6. Doanh nghiệp cần làm gì để bảo đảm an toàn thông tin theo cấp độ?

Sau khi xác định cấp độ, bước tiếp theo là xây dựng và triển khai phương án bảo đảm an toàn cho hệ thống.

Không phải doanh nghiệp nào cũng cần triển khai toàn bộ các công nghệ bảo mật ở mức cao nhất. Điều quan trọng là đầu tư đúng theo mức độ rủi ro và yêu cầu của hệ thống.

6.1. Xây dựng chính sách và phân công trách nhiệm

An toàn thông tin không thể chỉ giao cho một kỹ thuật viên hoặc một nhóm IT.

Doanh nghiệp cần xác định rõ:

–  Ai chịu trách nhiệm về an toàn hệ thống?
–  Ai quản lý tài khoản và quyền truy cập?
–  Ai xử lý sự cố?
–  Ai theo dõi cảnh báo?
–  Quy trình xử lý khi phát hiện lỗ hổng là gì?
–  Dữ liệu được sao lưu và phục hồi như thế nào?

Theo tài liệu gốc, các yêu cầu quản lý bao gồm chính sách an toàn thông tin, đơn vị/nhân sự phụ trách, quản lý người dùng, quản lý sự cố, lỗ hổng và rủi ro.

6.2. Phân vùng mạng và kiểm soát truy cập

Không nên để toàn bộ hệ thống nằm trong một vùng mạng mà không có cơ chế kiểm soát.

Doanh nghiệp có thể tổ chức các vùng riêng cho:

–  Máy chủ ứng dụng.
–  Cơ sở dữ liệu.
–  Hệ thống quản trị.
–  Người dùng nội bộ.
–  Các dịch vụ công khai trên Internet.

Khi đó, nếu một khu vực xảy ra sự cố, doanh nghiệp có thể hạn chế khả năng kẻ tấn công di chuyển sang các hệ thống khác.

6.3. Tăng cường bảo vệ website và ứng dụng

Với các hệ thống cung cấp dịch vụ trực tuyến, bảo vệ lớp ứng dụng là yếu tố rất quan trọng.

Doanh nghiệp có thể cần đến các giải pháp như: Firewall, WAF, Chống mã độc, Chống DDoS, Kiểm soát truy cập, Quản lý lỗ hổng, Giám sát nhật ký.

Tùy cấp độ, yêu cầu kỹ thuật có thể được nâng dần từ các biện pháp bảo vệ cơ bản đến hệ thống giám sát và bảo vệ chuyên sâu hơn.

6.4. Sao lưu và xây dựng phương án khôi phục

Một hệ thống an toàn không chỉ là hệ thống không bị tấn công, mà còn phải có khả năng phục hồi khi sự cố xảy ra.

Doanh nghiệp nên xây dựng:

–  Chính sách sao lưu.
–  Lịch sao lưu phù hợp.
–  Bản sao dữ liệu độc lập.
–  Quy trình khôi phục.
–  Phương án dự phòng khi hệ thống chính gặp sự cố.

Với các hệ thống quan trọng, yêu cầu dự phòng và khả năng khôi phục cần được đầu tư ở mức cao hơn.

6.5. Giám sát và phát hiện sự cố

Không thể bảo vệ hệ thống hiệu quả nếu doanh nghiệp không biết điều gì đang xảy ra bên trong hệ thống.

Các hệ thống quan trọng cần được theo dõi những dấu hiệu bất thường như:

–  Đăng nhập bất thường.
–  Thay đổi quyền truy cập.
–  Lưu lượng tăng đột biến.
–  Hành vi đáng ngờ trên máy chủ.
–  Tấn công vào ứng dụng.
–  Mã độc hoặc hoạt động bất thường.

Với cấp độ cao hơn, tài liệu gốc đề cập đến yêu cầu giám sát tập trung và các giải pháp như SIEM nhằm hỗ trợ phát hiện, phân tích và xử lý sự cố.

7. Quy trình bảo đảm an toàn thông tin theo cấp độ

Việc bảo đảm an toàn thông tin không kết thúc ở bước xác định cấp độ. Doanh nghiệp cần có quy trình từ đánh giá, phê duyệt đến triển khai và kiểm tra.

Bước 1: Xây dựng hồ sơ hệ thống

Hồ sơ cần mô tả những thông tin cơ bản về hệ thống, thiết kế, phạm vi hoạt động và cấp độ đề xuất.

Theo tài liệu gốc, hồ sơ có thể bao gồm:

–  Thuyết minh tổng quan hệ thống.
–  Hồ sơ thiết kế.
–  Tài liệu giải trình cấp độ đề xuất.
–  Phương án bảo đảm an toàn thông tin.

Bước 2: Thẩm định và phê duyệt

Sau khi xây dựng hồ sơ, cấp có thẩm quyền sẽ thực hiện việc thẩm định, phê duyệt theo cấp độ và quy định áp dụng.

Nghị định 85/2016/NĐ-CP quy định trách nhiệm thẩm định, phê duyệt khác nhau tùy theo cấp độ của hệ thống.

Do đó, doanh nghiệp cần xác định đúng cấp độ ngay từ đầu để chuẩn bị hồ sơ và thực hiện đúng quy trình.

Bước 3: Triển khai phương án bảo vệ

Sau khi cấp độ và phương án được xác định, doanh nghiệp triển khai các biện pháp quản lý và kỹ thuật tương ứng.

Đây là giai đoạn cần kết hợp giữa:

Con người + quy trình + công nghệ + hạ tầng.

Chỉ sử dụng một giải pháp bảo mật riêng lẻ sẽ khó tạo thành hệ thống phòng thủ toàn diện.

Bước 4: Kiểm tra và đánh giá

Hệ thống cần được kiểm tra, đánh giá để xác định các điểm yếu và mức độ đáp ứng yêu cầu.

Đặc biệt, khi hệ thống có thay đổi lớn về: Kiến trúc, Dữ liệu, Quy mô người dùng, Dịch vụ, Hạ tầng, Mức độ quan trọng.

doanh nghiệp cũng cần xem xét lại cấp độ và phương án bảo vệ tương ứng.

Bước 5: Duy trì và cập nhật

An toàn thông tin là quá trình liên tục.

Các mối đe dọa mới xuất hiện, hệ thống được nâng cấp, số lượng người dùng thay đổi và kiến trúc hạ tầng cũng có thể thay đổi theo thời gian.

Vì vậy, doanh nghiệp cần thường xuyên: Cập nhật bản vá, Kiểm tra lỗ hổng, Rà soát quyền truy cập, Kiểm tra bản sao lưu, Theo dõi nhật ký, Đánh giá rủi ro, Cập nhật phương án ứng phó sự cố.

8. Điều gì có thể xảy ra nếu doanh nghiệp xem nhẹ an toàn thông tin?

Một trong những sai lầm phổ biến là chỉ quan tâm đến bảo mật khi hệ thống đã xảy ra sự cố.

Trong thực tế, một lỗ hổng nhỏ cũng có thể trở thành điểm bắt đầu cho một cuộc tấn công lớn hơn.

Một số rủi ro thường gặp gồm:

–  SQL Injection: khai thác lỗ hổng để truy cập hoặc thao túng cơ sở dữ liệu.
–  XSS: chèn mã độc vào nội dung được hiển thị cho người dùng.
–  DDoS: làm quá tải hệ thống bằng lượng truy cập lớn.
–  Ransomware: mã hóa dữ liệu và yêu cầu tiền chuộc.
–  Khai thác lỗ hổng chưa được vá: tấn công vào những điểm yếu tồn tại trong hệ thống.
–  Mất dữ liệu: do lỗi hệ thống, con người hoặc sự cố hạ tầng.

Tài liệu gốc cũng nhấn mạnh rằng việc thiếu các biện pháp bảo vệ phù hợp có thể làm tăng nguy cơ xảy ra các sự cố như SQL Injection, XSS, DDoS, ransomware và khai thác lỗ hổng bảo mật.

Vì vậy, thay vì chỉ đặt câu hỏi “Nếu bị tấn công thì xử lý thế nào?”, doanh nghiệp nên chuẩn bị từ trước:

Nếu hệ thống gặp sự cố ngay hôm nay, chúng ta có thể phát hiện, cô lập và khôi phục trong bao lâu?

Đây mới là cách tiếp cận an toàn thông tin chủ động.

9. Tổng kết

5 cấp độ an toàn thông tin là khung quan trọng giúp xác định mức độ bảo vệ cần thiết cho từng hệ thống thông tin. Từ cấp độ 1 đến cấp độ 5, yêu cầu về quản lý, kỹ thuật, giám sát, dự phòng và khả năng ứng phó sự cố sẽ được nâng lên tương ứng với mức độ quan trọng và phạm vi ảnh hưởng của hệ thống.

Đối với doanh nghiệp, điều quan trọng không phải là chạy theo cấp độ cao nhất, mà là xác định đúng cấp độ và triển khai đúng những biện pháp bảo vệ mà hệ thống thực sự cần.

Một hệ thống được thiết kế an toàn ngay từ đầu sẽ giúp doanh nghiệp giảm rủi ro mất dữ liệu, hạn chế gián đoạn dịch vụ và chủ động hơn trước các sự cố an ninh mạng.

Nếu doanh nghiệp đang xây dựng website, ứng dụng hoặc hệ thống máy chủ có yêu cầu cao về tính ổn định, bảo mật và khả năng mở rộng, việc lựa chọn hạ tầng phù hợp ngay từ đầu sẽ là một phần quan trọng trong chiến lược bảo vệ hệ thống lâu dài.

Xem thêm: 

BKNS đạt tiêu chuẩn an toàn hệ thống thông tin cấp độ 3

Vendor lock-in là gì? 7 cách phòng tránh phụ thuộc nhà cung cấp