Tư vấn Cấp độ ATTT (idas-TCVN11930)

5 cấp độ bảo đảm an toàn hệ thống thông tin

Theo Nghị định 85/2016/NĐ-CP, có 5 cấp độ bảo đảm an toàn hệ thống thông tin.

Cụ thể, hệ thống thông tin cấp độ 1 là hệ thống thông tin phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý thông tin công cộng.

Hệ thống thông tin cấp độ 2 là hệ thống thông tin có một trong các tiêu chí cụ thể như sau: 1- Hệ thống thông tin phục vụ hoạt động nội bộ của cơ quan, tổ chức và có xử lý thông tin riêng, thông tin cá nhân của người sử dụng nhưng không xử lý thông tin bí mật nhà nước; 2- Hệ thống thông tin phục vụ người dân, doanh nghiệp thuộc một trong các loại hình như sau: Cung cấp thông tin và dịch vụ công trực tuyến từ mức độ 2 trở xuống theo quy định của pháp luật; Cung cấp dịch vụ trực tuyến không thuộc danh mục dịch vụ kinh doanh có điều kiện; Cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của dưới 1.000 người sử dụng; 3- Hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của một cơ quan, tổ chức….

Hệ thống thông tin cấp độ 5 là hệ thống thông tin xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh, khi bị phá hoại sẽ làm tổn hại đặc biệt nghiêm trọng tới quốc phòng, an ninh quốc gia; hoặc là hệ thống thông tin phục vụ lưu trữ dữ liệu tập trung đối với một số loại hình thông tin, dữ liệu đặc biệt quan trọng của quốc gia; hoặc là hệ thống cơ sở hạ tầng thông tin quốc gia phục vụ kết nối liên thông hoạt động của Việt Nam với quốc tế…

Nghị định quy định cụ thể trách nhiệm bảo đảm an toàn hệ thống thông tin. Theo đó, người đứng đầu của cơ quan, tổ chức là chủ quản hệ thống thông tin có trách nhiệm trực tiếp chỉ đạo và phụ trách công tác bảo đảm an toàn thông tin trong hoạt động của cơ quan, tổ chức mình. Trong trường hợp chưa có đơn vị chuyên trách về an toàn thông tin độc lập, người đứng đầu của cơ quan, tổ chức là chủ quản hệ thống thông tin có trách nhiệm chỉ định đơn vị chuyên trách về công nghệ thông tin làm nhiệm vụ chuyên trách về an toàn thông tin; thành lập hoặc chỉ định bộ phận chuyên trách về an toàn thông tin trực thuộc đơn vị chuyên trách về công nghệ thông tin.

Chủ quản hệ thống thông tin có trách nhiệm chỉ đạo, tổ chức thực hiện phương án bảo đảm an toàn hệ thống thông tin theo cấp độ đối với hệ thống thông tin thuộc phạm vi mình quản lý.

Đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin có trách nhiệm tham mưu, tổ chức thực thi, đôn đốc, kiểm tra, giám sát công tác bảo đảm an toàn thông tin.

Căn cứ vào Điều 9 Thông tư 12/2022/TT-BTTTT quy định như sau:

Yêu cầu chung

1. Việc bảo đảm an toàn hệ thống thông tin theo cấp độ thực hiện theo yêu cầu cơ bản quy định tại Thông tư này và Tiêu chuẩn quốc gia TCVN 11930-2017 về Công nghệ thông tin - các kỹ thuật an toàn - yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ.

2. Yêu cầu cơ bản đối với từng cấp độ quy định tại Thông tư này là các yêu cầu tối thiểu để bảo đảm an toàn hệ thống thông tin, bao gồm yêu cầu cơ bản về quản lý, yêu cầu cơ bản về kỹ thuật và không bao gồm các yêu cầu bảo đảm an toàn vật lý.

3. Yêu cầu cơ bản về quản lý, bao gồm:

a) Thiết lập chính sách an toàn thông tin;

b) Tổ chức bảo đảm an toàn thông tin;

c) Bảo đảm nguồn nhân lực;

d) Quản lý thiết kế, xây dựng hệ thống;

đ) Quản lý vận hành hệ thống:

e) Phương án Quản lý rủi ro an toàn thông tin;

g) Phương án Kết thúc vận hành, khai thác, thanh lý, hủy bỏ hệ thống thông tin.

4. Yêu cầu cơ bản về kỹ thuật, bao gồm:

a) Bảo đảm an toàn mạng,

b) Bảo đảm an toàn máy chủ;

c) Bảo đảm an toàn ứng dụng

d) Bảo đảm an toàn dữ liệu.

5. Việc xây dựng phương án bảo đảm an toàn thông tin đáp ứng yêu cầu cơ bản theo từng cấp độ thực hiện theo nguyên tắc quy định tại khoản 2 Điều 4 Nghị định 85/2016/NĐ-CP, cụ thể như sau:

a) Đối với hệ thống thông tin cấp độ 1, 2, 3: Phương án bảo đảm an toàn thông tin phải xem xét khả năng dùng chung giữa các hệ thống thông tin đối với các giải pháp bảo vệ, chia sẻ tài nguyên để tối ưu hiệu năng, tránh đầu tư thừa, trùng lặp, lãng phí;

b) Đối với hệ thống thông tin cấp độ 4, 5: Phương án bảo đảm an toàn thông tin cần được thiết kế bảo đảm tính sẵn sàng, phân tách và hạn chế ảnh hưởng đến toàn bộ hệ thống khi một thành phần trong hệ thống hoặc có liên quan tới hệ thống bị mất an toàn thông tin.

6. Hệ thống thông tin khi được đầu tư xây dựng mới hoặc mở rộng, nâng cấp phải triển khai đầy đủ phương án bảo đảm an toàn thông tin đã được phê duyệt tại Hồ sơ đề xuất cấp độ và đáp ứng các yêu cầu an toàn tại Điều 9 và Điều 10 Thông tư này trước khi đưa vào vận hành, khai thác.

7. Quy chế bảo đảm an toàn hệ thống thông tin cho hệ thống phải được xây dựng, đáp ứng các yêu cầu an toàn về quản lý theo cấp độ an toàn hệ thống thông tin tương ứng và được cấp có thẩm quyền phê duyệt, ban hành trước khi Hồ sơ đề xuất cấp độ được phê duyệt.

8. Yêu cầu bảo đảm an toàn thông tin đối với phần mềm nội bộ khi xây dựng mới hoặc mở rộng, nâng cấp:

a) Phần mềm nội bộ được xây dựng mới hoặc mở rộng, nâng cấp phải tuân thủ Khung phát triển phần mềm an toàn;

b) Đáp ứng yêu cầu an toàn cơ bản đối với Phần mềm nội bộ.

9. Trường hợp hệ thống thông tin cấp độ 3 được triển khai dưới hình thức thuê dịch vụ công nghệ thông tin tại Trung tâm dữ liệu hoặc điện toán đám mây, thiết kế hệ thống phải đáp ứng các yêu cầu sau:

a) Phải được thiết kế tách riêng, độc lập với các hệ thống khác về lô-gic và có biện pháp quản lý truy cập giữa các hệ thống:

b) Các vùng mạng trong hệ thống phải được thiết kế tách riêng, độc lập với nhau về lô-gic và có biện pháp quản lý truy cập giữa các vùng mạng

c) Có phân vùng lưu trữ được phân tách độc lập về lô-gic.

10, Trường hợp hệ thống thông tin cấp độ 4 hoặc cấp độ 5 được triển khai dưới hình thức thuê dịch vụ công nghệ thông tin tại Trung tâm dữ liệu hoặc Điện toán đám mây, thiết kế hệ thống phải đáp ứng các yêu cầu sau:

a) Phải được thiết kế tách riêng, độc lập với các hệ thống khác về vật lý và có biện pháp quản lý truy cập giữa các hệ thống

b) Các vùng mạng trong hệ thống phải được thiết kế tách riêng, độc lập với nhau về lô-gic và có biện pháp quản lý truy cập giữa các vùng mạng

c) Có phân vùng lưu trữ được phân tách độc lập về vật lý;

d) Các thiết bị mạng chính phải được phân tách độc lập về vật lý.

Theo đó, việc bảo đảm an toàn hệ thống thông tin theo cấp độ được thực hiện theo những yêu cầu chung như trên.

Cấp độ an toàn HTTT được phân loại tăng dần từ cấp độ 1 đến cấp độ 5 để áp dụng biện pháp quản lý và ký thuật nhằm bảo vệ HTTT phù theo cấp độ theo các tiêu chí

Cấp độ 1: Xử lý thông tin công cộng và phục vụ hoạt động nội bộ

Cấp độ 2: Xử lý thông tin riêng, cá nhân; Hệ thống cung cấp DVCTT cấp <= 2; không thuộc DMDV kinh doanh có ĐK; xử lý thông riêng,cn < 10.000 người sử dụng; cơ sở hạ tầng thông tin phục vụ hoạt động của một CQTC

Cấp độ 3: Xử lý thông tin bí mật nhà nước, làm tổn hại tới quốc phòng, an ninh; Hệ thống cung cấp DVCTT cấp >=  3; thuộc  DMDV kinh  doanh có ĐK; xử  lý  thông riêng,cn>=10.000 người sử dụng; cơ sở hạ tầng phục vụ hoạt động của một ngành, một tỉnh, một số tỉnh

Cấp độ 4: Xử lý thông tin bí mật nhà nước, làm tổn hại nghiêm trọng quốc phòng, an ninh; Hệ thống TT phục vụ PT CPĐT yêu cầu vận hành 24/7; cơ sở hạ tầng phục vụ hoạt động của CQTC trên toàn quốc; Hệ thống điều khiển công nghiệp của các công trình xây dựng cấp I theo phân cấp của pháp luật về xây dựng.

Cấp độ 5: Xử lý thông tin bí mật nhà nước, làm tổn hại đặc biệt nghiêm trọng quốc phòng, an ninh; Hệ thống lưu trữ tập trung dữ liệu QTQG, cơ sở hạ tầng kết nối liên thông VN và quốc tế; Hệ thống điều khiển công nghiệp của các công trình xây dựng cấp đặc biệt theo phân cấp của pháp luật về xây dựng.

Xây dựng Hệ thống tài liệu thông tin theo cấp độ bao gồm: Thuyết minh hồ sơ cấp độ; Thuyết minh tổng quan hệ thống thông tin; Thuyết minh đề xuất cấp độ; Thuyết minh phương án bảo đảm An toàn thông tin ….. Giai đọan này cần có sự hợp tác chặt chẽ của hai bên. Tư vấn sẽ tiến hành đào tạo cách thức viết văn bản thống nhất trong toàn Đơn vị. Để từ đó Tư vấn và Đơn vị thống nhất về Hệ thống văn bản của Đơn vị. Phía Đơn vị sẽ bổ sung làm cho bộ khung trở nên chi tiết, hoàn chỉnh, dễ áp dụng đối với đặc điểm sản xuất, kinh doanh và đặc điểm về nhân sự của mình. Tại giai đọan này Hệ thống tài liệu thông tin theo cấp độ sẽ được ban hành tới tất cả các bộ phận liên quan và được phê duyệt.

Bộ Thông tin và Truyền thông đã ban hành Thông tư quy định chi tiết, hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 1/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ.

Theo đó, thông tư 12/2022/TT-BTTTT quy định chi tiết, hướng dẫn bảo đảm an toàn hệ thống thông tin theo cấp độ, bao gồm: xác định hệ thống thông tin và thuyết minh cấp độ an toàn hệ thống thông tin; yêu cầu bảo đảm an toàn hệ thống thông tin theo cấp độ; kiểm tra, đánh giá an toàn thông tin; chế độ báo cáo. 

Đối tượng áp dụng Thông tư này được thực hiện theo quy định tại Điều 2 Nghị định số 85/2016/NĐ-CP ngày 1/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ.

Thông tư quy định đối với các bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ, UBND các tỉnh, thành phố trực thuộc Trung ương, chủ quản hệ thống thông tin là một trong các trường hợp sau: Bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ; UBND các tỉnh, thành phố trực thuộc Trung ương; cấp có thẩm quyền quyết định đầu tư dự án xây dựng, thiết lập, nâng cấp, mở rộng hệ thống thông tin.

Đối với yêu cầu bảo đảm an toàn hệ thống thông tin thực hiện theo yêu cầu cơ bản quy định tại Thông tư này và Tiêu chuẩn quốc gia TCVN 11930:2017 về Công nghệ thông tin - các kỹ thuật an toàn - yêu cầu cơ bản về  an toàn hệ thống thông tin theo cấp độ. 

Yêu cầu cơ bản đối với từng cấp độ quy định tại Thông tư này là các yêu cầu tối thiểu để bảo đảm an toàn hệ thống thông tin, bao gồm yêu cầu cơ bản về quản lý, yêu cầu cơ bản về kỹ thuật và không bao gồm các yêu cầu bảo đảm an toàn vật lý. 

Việc xây dựng phương án bảo đảm an toàn thông tin đáp ứng yêu cầu cơ bản theo từng cấp độ thực hiện theo nguyên tắc quy định tại khoản 2 Điều 4  Nghị định 85/2016/NĐ-CP.

Cụ thể, đối với hệ thống thông tin cấp độ 1, 2, 3: Phương án bảo đảm an toàn thông tin phải xem xét khả năng dùng chung giữa các hệ thống thông tin đối với  các giải pháp bảo vệ, chia sẻ tài nguyên để tối ưu hiệu năng, tránh đầu tư thừa, trùng lặp, lãng phí.

Đối với hệ thống thông tin cấp độ 4, 5: Phương án bảo đảm an toàn thông tin cần được thiết kế bảo đảm tính sẵn sàng, phân tách và hạn chế ảnh hưởng đến toàn bộ hệ thống khi một thành phần trong hệ thống hoặc có liên  quan tới hệ thống bị mất an toàn thông tin.

Quy chế bảo đảm an toàn hệ thống thông tin cho hệ thống phải được  xây dựng, đáp ứng các yêu cầu an toàn về quản lý theo cấp độ an toàn hệ thống  thông tin tương ứng và được cấp có thẩm quyền phê duyệt, ban hành trước khi Hồ sơ đề xuất cấp độ được phê duyệt. 

Đồng thời, Thông tư cũng quy định rõ về hoạt động kiểm tra, đánh giá; chế độ báo cáo đối với việc bảo đảm an toàn hệ thống thông tin theo cấp độ...

Thông tư có hiệu lực từ ngày 1/10/2022, thay thế Thông tư số 03/2017/TT-BTTTT ngày 24/4/2017 của Bộ Thông tin và Truyền thông quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 1/7/2016 của Chính phủ về bảo đảm an toàn hệ thống  thông tin theo cấp độ. Trong quá trình thực hiện Thông tư này, nếu có vướng mắc, các cơ quan, đơn vị liên hệ với Bộ Thông tin và Truyền thông để phối hợp giải quyết.