6 6 phút để đọc
Reading Time: 6 minutes
Việc xác định cấp độ an toàn hệ thống thông tin là bước đầu quan trọng để phân loại mức độ ảnh hưởng của dữ liệu tới doanh nghiệp, người dân và nhà nước. Trong đó, Hệ thống an toàn thông tin cấp độ 1 là mức độ cơ bản nhất. Bài viết này sẽ giúp bạn hiểu rõ Hệ thống an toàn thông tin cấp độ 1 là gì, dành cho ai và cần đáp ứng những tiêu chuẩn an toàn nào để tuân thủ đúng Nghị định 85 & Thông tư 12.
Hệ thống an toàn thông tin Cấp độ 1 là gì?
Theo điều 7, Nghị định 85/2016/NĐ-CP, hệ thống an toàn thông tin cấp độ 1 là hệ thống thông tin phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý thông tin công cộng.
Để hiểu rõ hơn, bạn cần lưu ý các khái niệm sau:
- Hệ thống phục vụ hoạt động nội bộ: Là hệ thống chỉ dùng cho việc quản trị và vận hành bên trong của chính cơ quan, tổ chức đó.
- Thông tin công cộng: Là các thông tin trên mạng được công khai cho tất cả mọi người mà không cần xác định danh tính hay địa chỉ cụ thể của họ.
Hiểu một cách đơn giản, một hệ thống được coi là Cấp độ 1 khi thỏa mãn đồng thời 2 điều kiện sau:
- Chỉ dùng cho nội bộ: dùng để phục vụ các hoạt động quản trị và vận hành bên trong của một cơ quan hoặc tổ chức.
- Chỉ chứa thông tin công cộng: không cần xác định danh tính hay địa chỉ để đọc thông tin.
Ví dụ:
- Trang web nội bộ chỉ để đăng thông báo của ban lãnh đạo tới nhân viên.
- Cổng thông tin giới thiệu chức năng nhiệm vụ của cơ quan mà không có chức năng đăng nhập hay lưu trữ dữ liệu của người dùng.
Xem thêm: Hệ thống an toàn thông tin cấp độ 2 là gì? Checklist hướng dẫn tuân thủ an toàn thông tin cấp độ 2.
Checklist Hệ thống an toàn thông tin Cấp độ 1
Về Yêu cầu Quản lý
Dựa theo Phụ lục I của Thông tư 12/2022/TT-BTTTT, tổ chức vận hành hệ thống an toàn thông tin Cấp độ 1 cần hoàn thành các danh mục sau:
| STT | Yêu cầu | Tình trạng |
|---|---|---|
| 1.1 | Thiết lập chính sách an toàn thông tin | ▢ |
| 1.1.1 | Chính sách an toàn thông tin | ▢ |
| 1.1.2 | Xây dựng và công bố | ▢ |
| 1.1.3 | Rà soát, sửa đổi | ▢ |
| 1.2 | Tổ chức bảo đảm an toàn thông tin | ▢ |
| 1.2.1 | Đơn vị chuyên trách về an toàn thông tin | ▢ |
| 1.2.2 | Phối hợp với cơ quan/tổ chức có thẩm quyền | ▢ |
| 1.3 | Bảo đảm nguồn nhân lực | ▢ |
| 1.3.1 | Tuyển dụng | ▢ |
| 1.3.2 | Trong quá trình làm việc | ▢ |
| 1.3.3 | Chấm dứt hoặc thay đổi công việc | ▢ |
| 1.4 | Quản lý thiết kế, xây dựng hệ thống | ▢ |
| 1.4.1 | Thiết kế an toàn hệ thống thông tin | ▢ |
| 1.4.2 | Thử nghiệm và nghiệm thu hệ thống | ▢ |
| 1.5 | Quản lý vận hành hệ thống | ▢ |
| 1.5.1 | Quản lý an toàn mạng | ▢ |
| 1.5.2 | Quản lý an toàn máy chủ và ứng dụng | ▢ |
| 1.5.3 | Quản lý an toàn dữ liệu | ▢ |
| 1.6 | Phương án Quản lý rủi ro an toàn thông tin | ▢ |
| 1.7 | Phương án Kết thúc vận hành, khai thác, thanh lý, hủy bỏ | ▢ |
Về yêu cầu kỹ thuật
Yêu cầu về thiết kế hệ thống
Thiết kế các vùng mạng trong hệ thống theo chức năng, các vùng mạng tối thiểu bao gồm:
- Vùng mạng nội bộ
- Vùng mạng biên
- Vùng DMZ
Đồng thời, có phương án thiết kế bảo đảm các yêu cầu sau:
| Yêu cầu | Giải thích đơn giản |
| Có phương án quản lý truy cập, quản trị hệ thống từ xa an toàn sử dụng mạng riêng ảo hoặc phương án tương đương. | Yêu cầu sử dụng VPN để truy cập từ xa an toàn. |
| Có phương án quản lý truy cập giữa các vùng mạng và phòng chống xâm nhập, sử dụng sản phẩm Tường lửa có tích hợp chức năng phòng, chống xâm nhập hoặc phương án tương đương. | Yêu cầu sử dụng Tường lửa (Firewall) và Phòng chống xâm nhập (IPS) |
| Có phương án phòng chống mã độc cho máy chủ và máy trạm sử dụng sản phẩm Phòng chống mã độc hoặc phương án tương đương. | Yêu cầu sử dụng Phòng chống mã độc cho máy chủ và máy trạm (Antivirus/EDR) |
Yêu cầu về thiết lập và cấu hình hệ thống
Hệ thống cần được thiết kế và cấu hình tối thiểu như sau:
| STT | Yêu cầu | Tình trạng |
|---|---|---|
| 1.1 | Bảo đảm an toàn mạng | ▢ |
| 1.1.1 | Kiểm soát truy cập từ bên ngoài mạng | ▢ |
| 1.1.2 | Nhật kí hệ thống | ▢ |
| 1.1.3 | Phòng chống xâm nhập | ▢ |
| 1.1.4 | Bảo vệ thiết bị hệ thống | ▢ |
| 1.2 | Bảo đảm an toàn máy chủ | ▢ |
| 1.2.1 | Xác thực | ▢ |
| 1.2.2 | Kiểm soát truy cập | ▢ |
| 1.2.3 | Nhật ký hệ thống | ▢ |
| 1.2.4 | Phòng chống xâm nhập | ▢ |
| 1.2.5 | Phòng chống phần mềm độc hại | ▢ |
| 1.3 | Bảo đảm an toàn ứng dụng | ▢ |
| 1.3.1 | Xác thực | ▢ |
| 1.3.2 | Kiểm soát truy cập | ▢ |
| 1.3.3 | Nhật kí hệ thống | ▢ |
| 1.4 | Bảo đảm an toàn dữ liệu | ▢ |
| 1.4.1 | Sao lưu dự phòng | ▢ |
Mời bạn tải checklist hướng dẫn tuân thủ hệ thống an toàn thông tin cấp độ 1 ở đây.
Hãy bắt đầu từ ngay hôm nay
Việc tuân thủ quy định về bảo đảm an toàn hệ thống thông tin theo cấp độ 1 không chỉ là trách nhiệm pháp lý bắt buộc theo Nghị định 85/2016/NĐ-CP và Thông tư 12/2022/TT-BTTTT mà còn là bước đi chiến lược để bảo vệ uy tín tổ chức. Dù đây là cấp độ cơ bản nhất, tập trung vào các hệ thống nội bộ và thông tin công cộng, nhưng những yêu cầu về quản lý và kỹ thuật vẫn đòi hỏi sự chuẩn bị kỹ lưỡng và chuyên nghiệp.
Để hiện thực hóa checklist tuân thủ một cách hiệu quả và tối ưu chi phí, doanh nghiệp cần một đối tác thực chiến. CyStack, với năng lực đã được khẳng định qua các giải thưởng quốc tế và sự tin dùng của hơn 600 khách hàng doanh nghiệp, sẵn sàng đồng hành, giúp đảm bảo an toàn thông tin cấp độ 1 cho hệ thống của bạn qua các giải pháp tương ứng sau:
| STT | Danh mục Checklist | Giải pháp CyStack tương ứng |
|---|---|---|
| 1 | Tổ chức & Nhân sự | Managed Security Service: dịch vụ quản lý bảo mật toàn diện đáp ứng mọi nhu cầu bảo mật của doanh nghiệp, giúp bạn tập trung vào việc phát triển doanh nghiệp của mình. |
| 2 | An toàn Mạng | Đánh giá hạ tầng & Pentest: nhận diện chính xác các rủi ro thực tế mà hacker có thể khai thác. |
| 3 | An toàn Máy chủ/Ứng dụng | CyStack VulnScan & Quản lý lỗ hổng: Dò quét lỗ hổng và quản lý bề mặt tấn công chuyên sâu |
| 4 | Phòng chống mã độc | CyStack Endpoint: Bảo vệ thiết bị cuối, chỉ cho phép cài đặt các phần mềm trong Whitelist, chặn các mã độc cài đặt vào hệ thống. CyStack VulnScan: Dò quét lỗ hổng và quản lý bề mặt tấn công chuyên sâu |
| 5 | An toàn Dữ liệu | CyStack Endpoint: Tự động sao lưu dữ liệu về máy chủ hoặc cloud: NAS nội bộ, Google Drive, Amazon S3… & khôi phục dữ liệu khi có sự cố. Ngăn gửi file nhạy cảm qua email, ứng dụng chat, và website không được phép.
Locker: Phần mềm quản lý mật khẩu, API key và dữ liệu bí mật với kho lưu trữ mã hóa và kiểm soát truy cập chi tiết. Data Leak Detection: Bảo vệ thông tin khách hàng bằng cách phát hiện kịp thời những dữ liệu bị rò rỉ. Hạn chế tối đa tổn thất tài chính và danh tiếng của thương hiệu. |
| 6 | Vận hành & Sự cố | SOC 24/7: Giám sát 24/7, phản ứng sự cố theo thời gian thực. |
Kết luận
Hệ thống an toàn thông tin cấp độ 1 là yêu cầu cơ bản nhất về tiêu chuẩn an toàn thông tin đối với các doanh nghiệp tư nhân và cơ quan chính chủ theo Nghị định 85 & Thông tư 12. Hãy tham khảo chi tiết checklist và liên hệ với CyStack ngay để nhận được tư vấn đề các giải pháp & dịch vụ.
