10 phút để đọc
Hệ thống an toàn thông tin cấp độ 5 là “đỉnh” của tháp an toàn thông tin tại Việt Nam, dành riêng cho các Hệ thống thông tin quan trọng quốc gia. Tại đây, các yêu cầu không chỉ dừng lại ở việc bảo mật dữ liệu mà còn là sự sống còn của an ninh quốc phòng và trật tự xã hội. Bài viết này sẽ phân tích chi tiết những tiêu chuẩn khắt khe nhất và gợi ý lộ trình tuân thủ an toàn từ các chuyên gia hàng đầu. Hãy cùng tìm hiểu chi tiết
Hệ thống an toàn thông tin cấp độ 5 là gì?
Hệ thống thông tin cấp độ 5 là cấp độ cao nhất, được pháp luật quy định là các hệ thống khi bị phá hoại sẽ gây ra hậu quả đặc biệt nghiêm trọng đối với lợi ích công cộng, quốc phòng hoặc an ninh quốc gia. Đây là nhóm hệ thống được quản lý trực tiếp dưới sự giám sát của Thủ tướng Chính phủ.
Tiêu chí xác định hệ thống an toàn thông tin cấp độ 5
Hệ thống của bạn được xếp vào cấp độ 5 nếu thuộc một trong các trường hợp sau:
-
An ninh quốc phòng: Việc phá hoại hệ thống làm tổn hại đặc biệt nghiêm trọng tới quốc phòng, an ninh quốc gia.
-
Lưu trữ dữ liệu quốc gia: Hệ thống lưu trữ tập trung dữ liệu đặc biệt quan trọng của cả nước.
-
Hạ tầng kết nối quốc tế: Cơ sở hạ tầng thông tin quốc gia phục vụ kết nối Việt Nam với thế giới.
-
Điều khiển công nghiệp (ICS): Vận hành công trình xây dựng cấp đặc biệt hoặc công trình quan trọng liên quan đến an ninh quốc gia.
-
Quyết định từ Chính phủ: Các hệ thống khác do Thủ tướng Chính phủ quyết định.
Quy trình phê duyệt hệ thống an toàn thông tin cấp độ 5
Do tính chất đặc biệt quan trọng, quy trình phê duyệt cấp độ 5 phức tạp hơn tất cả các cấp độ còn lại:
-
Thẩm định: Bộ Thông tin và Truyền thông chủ trì, phối hợp với Bộ Quốc phòng và Bộ Công an thực hiện thẩm định hồ sơ.
-
Phê duyệt danh mục: Thủ tướng Chính phủ là người phê duyệt Danh mục hệ thống thông tin cấp độ 5.
-
Phê duyệt phương án: Chủ quản hệ thống thông tin phê duyệt phương án bảo đảm an toàn thông tin sau khi có kết quả thẩm định.
-
Kiểm tra định kỳ: Hệ thống cấp độ 5 phải được kiểm tra, đánh giá an toàn định kỳ 06 tháng một lần.
Xem thêm:
-
- Hệ thống an toàn thông tin cấp độ 3 là gì? Checklist hướng dẫn tuân thủ an toàn thông tin cấp độ 3.
- Tìm hiểu 5 cấp độ bảo đảm an toàn hệ thống thông tin.
Quy định về bảo đảm Hệ thống an toàn thông tin cấp độ 5
Yêu cầu về quản lý
Theo thông tư 12/2022/TT-BTTTT, yêu cầu về quản lý của hệ thống an toàn thông tin cấp độ 5 như sau:
| STT | Yêu cầu | Tình trạng |
| 1.1 | Thiết lập chính sách an toàn thông tin | ▢ |
| 1.1.1 | Chính sách an toàn thông tin | ▢ |
| 1.1.2 | Xây dựng và công bố | ▢ |
| 1.1.3 | Rà soát, sửa đổi | ▢ |
| 1.2 | Tổ chức bảo đảm an toàn thông tin | ▢ |
| 1.2.1 | Đơn vị chuyên trách về an toàn thông tin | ▢ |
| 1.2.2 | Phối hợp với cơ quan/tổ chức có thẩm quyền | ▢ |
| 1.3 | Bảo đảm nguồn nhân lực | ▢ |
| 1.3.1 | Tuyển dụng | ▢ |
| 1.3.2 | Trong quá trình làm việc | ▢ |
| 1.3.3 | Chấm dứt hoặc thay đổi công việc | ▢ |
| 1.4 | Quản lý thiết kế, xây dựng hệ thống | ▢ |
| 1.4.1 | Thiết kế an toàn hệ thống thông tin | ▢ |
| 1.4.2 | Phát triển phần mềm thuê khoán | ▢ |
| 1.4.3 | Thử nghiệm và nghiệm thu hệ thống | ▢ |
| 1.5 | Quản lý vận hành hệ thống | ▢ |
| 1.5.1 | Quản lý an toàn mạng | ▢ |
| 1.5.2 | Quản lý an toàn máy chủ và ứng dụng | ▢ |
| 1.5.3 | Quản lý an toàn dữ liệu | ▢ |
| 1.5.4 | Quản lý an toàn thiết bị đầu cuối | ▢ |
| 1.5.5 | Quản lý phòng chống phần mềm độc hại | ▢ |
| 1.5.6 | Quản lý giám sát an toàn hệ thống thông tin | ▢ |
| 1.5.7 | Quản lý điểm yếu an toàn thông tin | ▢ |
| 1.5.8 | Quản lý sự cố an toàn thông tin | ▢ |
| 1.5.9 | Quản lý an toàn người sử dụng đầu cuối | ▢ |
| 1.6 | Phương án Quản lý rủi ro an toàn thông tin | ▢ |
| 1.7 | Phương án Kết thúc vận hành, khai thác, thanh lý, hủy bỏ | ▢ |
Yêu cầu về kỹ thuật
Yêu cầu về thiết kế hệ thống
Yêu cầu về thiết kế hệ thống tương tự với yêu cầu của Hệ thống cấp độ 4. Thiết kế các vùng mạng trong hệ thống theo chức năng, các vùng mạng tối thiểu bao gồm:
| STT | Yêu cầu | Tình trạng |
|---|---|---|
| 1 | Vùng mạng nội bộ | ▢ |
| 2 | Vùng mạng biên | ▢ |
| 3 | Vùng DMZ | ▢ |
| 4 | Vùng máy chủ nội bộ | ▢ |
| 5 | Vùng mạng không dây (nếu có) tách riêng, độc lập với các vùng mạng khác | ▢ |
| 6 | Vùng mạng máy chủ cơ sở dữ liệu | ▢ |
| 7 | Vùng quản trị | ▢ |
| 8 | Vùng quản trị thiết bị hệ thống | ▢ |
Bên cạnh đó, cần có phương án thiết kế bảo đảm các yêu cầu sau:
| STT | Nội dung phương án | Tình trạng |
| 1 | Có phương án quản lý truy cập, quản trị hệ thống từ xa an toàn sử dụng sản phẩm Mạng riêng ảo. | ▢ |
| 2 | Có phương án quản lý truy cập giữa các vùng mạng và phòng chống xâm nhập, sử dụng sản phẩm Phòng, chống xâm nhập lớp mạng. | ▢ |
| 3 | Có phương án cân bằng tải, dự phòng nóng cho các thiết bị mạng. | ▢ |
| 4 | Có phương án bảo đảm an toàn cho máy chủ cơ sở dữ liệu; sử dụng sản phẩm Tường lửa cơ sở dữ liệu đối với hệ thống thông tin được quy định tại khoản 2 Điều 11 Nghị định 85/2016/NĐ-CP. | ▢ |
| 5 | Có phương án chặn lọc phần mềm độc hại trên môi trường mạng sử dụng sản phẩm Tường lửa tích hợp chức năng phòng, chống mã độc trên môi trường mạng hoặc phương án tương đương. | ▢ |
| 6 | Có phương án phòng chống tấn công từ chối dịch vụ; sử dụng dịch vụ của doanh nghiệp hoặc sản phẩm Phòng, chống tấn công từ chối dịch vụ đối với các hệ thống thông tin được quy định tại khoản 2, khoản 3 Điều 11 Nghị định 85/2016/NĐ-CP. | ▢ |
| 7 | Có phương án phòng chống tấn công mạng cho ứng dụng web; sử dụng sản phẩm Tường lửa ứng dụng web đối với hệ thống thông tin theo quy định tại khoản 2 Điều 11 Nghị định 85/2016/NĐ-CP. | ▢ |
| 8 | Có phương án bảo đảm an toàn thông tin cho hệ thống thư điện tử, sử dụng sản phẩm Bảo đảm an toàn thông tin cho hệ thống thư điện tử. | ▢ |
| 9 | Có phương án quản lý truy cập lớp mạng, sử dụng sản phẩm Quản lý truy cập lớp mạng. | ▢ |
| 10 | Có phương án giám sát hệ thống thông tin tập trung sử dụng sản phẩm Giám sát hệ thống thông tin tập trung. | ▢ |
| 11 | Có phương án giám sát an toàn hệ thống thông tin tập trung sử dụng sản phẩm Quản lý và phân tích sự kiện an toàn thông tin hoặc sản phẩm tương đương. | ▢ |
| 12 | Có phương án quản lý sao lưu dự phòng tập trung sử dụng hệ thống lưu trữ tập trung và sản phẩm quản lý lưu trữ tập trung. | ▢ |
| 13 | Có phương án quản lý phần mềm phòng chống mã độc trên máy chủ/máy tính người dùng, sử dụng sản phẩm Phòng, chống mã độc và/hoặc sản phẩm Phát hiện và phản ứng sự cố an toàn thông tin trên thiết bị đầu cuối, có chức năng quản lý tập trung. | ▢ |
| 14 | Có phương án phòng, chống thất thoát dữ liệu; sử dụng sản phẩm Phòng, chống thất thoát dữ liệu đối với hệ thống thông tin có xử lý thông tin bí mật nhà nước hoặc hệ thống thông tin quy định tại khoản 2 Điều 11 Nghị định 85/2016/NĐ-CP. | ▢ |
| 15 | Có phương án dự phòng kết nối mạng Internet cho các máy chủ dịch vụ. | ▢ |
| 16 | Có phương án bảo đảm an toàn cho mạng không dây (nếu có). | ▢ |
| 17 | Có phương án quản lý tài khoản đặc quyền, sử dụng sản phẩm Quản lý tài khoản đặc quyền. | ▢ |
| 18 | Có phương án dự phòng hệ thống ở vị trí địa lý khác nhau, cách nhau tối thiểu 30 km. | ▢ |
| 19 | Có phương án dự phòng cho kết nối mạng giữa các hệ thống chính và dự phòng. | ▢ |
Yêu cầu về thiết lập, cấu hình hệ thống
| STT | Yêu cầu | Tình trạng |
| 1.1 | Bảo đảm an toàn mạng | ▢ |
| 1.1.1 | Kiểm soát truy cập từ bên ngoài mạng | ▢ |
| 1.1.2 | Kiểm soát truy cập từ bên trong mạng | ▢ |
| 1.1.3 | Nhật kí hệ thống | ▢ |
| 1.1.4 | Phòng chống xâm nhập | ▢ |
| 1.1.5 | Phòng chống phần mềm độc hại trên môi trường mạng | ▢ |
| 1.1.6 | Bảo vệ thiết bị hệ thống | ▢ |
| 1.2 | Bảo đảm an toàn máy chủ | ▢ |
| 1.2.1 | Xác thực | ▢ |
| 1.2.2 | Kiểm soát truy cập | ▢ |
| 1.2.3 | Nhật ký hệ thống | ▢ |
| 1.2.4 | Phòng chống xâm nhập | ▢ |
| 1.2.5 | Phòng chống phần mềm độc hại | ▢ |
| 1.2.6 | Xử lý máy chủ khi chuyển giao | ▢ |
| 1.3 | Bảo đảm an toàn ứng dụng | ▢ |
| 1.3.1 | Xác thực | ▢ |
| 1.3.2 | Kiểm soát truy cập | ▢ |
| 1.3.3 | Nhật kí hệ thống | ▢ |
| 1.3.4 | Bảo mật thông tin liên lạc | ▢ |
| 1.3.5 | Chống chối bỏ | ▢ |
| 1.3.6 | An toàn ứng dụng và mã nguồn | ▢ |
| 1.4 | Bảo đảm an toàn dữ liệu | ▢ |
| 1.4.1 | Nguyên vẹn dữ liệu | ▢ |
| 1.4.2 | Bảo mật dữ liệu | ▢ |
| 1.4.3 | Sao lưu dự phòng | ▢ |
Doanh nghiệp cần làm gì?
Chúng tôi hiểu rằng việc xây dựng một hệ thống an toàn thông tin đạt chuẩn Cấp độ 5 theo quy định của Chính phủ là một hành trình đầy áp lực đối với đội ngũ quản trị. Mọi sai sót trong khâu thiết kế hay vận hành đều có thể dẫn đến rủi ro pháp lý và mất an toàn dữ liệu.
Đừng để những rào cản kỹ thuật làm chậm bước tiến của bạn. Tại CyStack, chúng tôi đã chuẩn bị sẵn sàng các phương án kỹ thuật tương thích hoàn toàn với các quy định tại Nghị định 85 và Thông tư 12. Hãy cùng chúng tôi rà soát và kiện toàn hệ thống của bạn thông qua bảng đối chiếu giải pháp chi tiết dưới đây:
I. YÊU CẦU QUẢN LÝ
Cấp độ 5 yêu cầu quản lý cực kỳ chặt chẽ về chính sách, tổ chức, nhân sự, quản lý rủi ro và kiểm tra đánh giá định kỳ/đột xuất.
| Yêu cầu (Phụ lục 5 – TT12/2022) | Giải pháp CyStack tương ứng | Link giải pháp |
| Xây dựng chính sách & Tổ chức bảo đảm ATTT: Thiết lập quy chế, quy trình vận hành, ứng cứu sự cố và tổ chức đội ngũ chuyên trách. |
Security Consulting (Dịch vụ Tư vấn Bảo mật) CyStack tư vấn xây dựng khung chính sách (ISMS) chuẩn ISO 27001, PCI-DSS phù hợp quy định nhà nước. |
Xem giải pháp |
| Quản lý rủi ro & Kiểm tra, đánh giá: Yêu cầu đánh giá rủi ro định kỳ và kiểm tra an toàn hệ thống toàn diện (thường xuyên hơn so với cấp độ thấp). |
Penetration Testing (Pentest) (Kiểm thử xâm nhập) Dịch vụ đánh giá bảo mật toàn diện (Web, App, Network) để tìm ra lỗ hổng trước khi tin tặc khai thác. |
Xem giải pháp |
| Kiểm tra liên tục & Giám sát bên ngoài: Đảm bảo hệ thống được kiểm thử bởi cộng đồng chuyên gia độc lập (Crowdsourced). |
WhiteHub Bug Bounty Nền tảng kết nối với hơn 3000+ chuyên gia bảo mật để tìm kiếm lỗ hổng liên tục cho hệ thống quan trọng. |
Xem giải pháp |
II. YÊU CẦU KỸ THUẬT
1. Yêu cầu về thiết kế hệ thống
Cấp độ 5 yêu cầu thiết kế phải tách biệt các vùng mạng (DMZ, Server, Management, Database…), có dự phòng nóng (HA) và đảm bảo an toàn ngay từ khâu thiết kế.
| Yêu cầu (Phụ lục 5 – TT12/2022) | Giải pháp CyStack tương ứng | Link giải pháp |
| Kiến trúc mạng & Phân vùng: Thiết kế sơ đồ mạng an toàn, bóc tách các vùng mạng nghiệp vụ và quản trị riêng biệt. |
Infrastructure Security Audit (Đánh giá an ninh hạ tầng) Rà soát kiến trúc mạng (Architecture Review) để đảm bảo thiết kế tuân thủ nguyên tắc phân vùng và bảo mật chiều sâu (Defense-in-depth). |
Xem giải pháp |
| An toàn ứng dụng (Thiết kế): Đảm bảo ứng dụng được thiết kế an toàn theo quy trình DevSecOps. |
DevSecOps Consulting & Pentest Tích hợp kiểm thử bảo mật vào quy trình phát triển phần mềm (SDLC) ngay từ giai đoạn thiết kế. |
Xem giải pháp |
2. Yêu cầu về thiết lập, cấu hình hệ thống
Đây là phần trọng tâm với các yêu cầu cụ thể về cấu hình thiết bị, quản lý định danh, dò quét lỗ hổng và phòng chống mã độc.
| Yêu cầu (Phụ lục 5 – TT12/2022) | Giải pháp CyStack tương ứng | Link giải pháp |
| Quản lý & Xác thực truy cập: Yêu cầu mật khẩu mạnh, xác thực đa yếu tố (MFA), quản lý phiên làm việc tập trung, mã hóa thông tin xác thực. |
Locker Password & Secrets Manager Giải pháp quản lý mật khẩu và dữ liệu nhạy cảm (Secrets) cho doanh nghiệp. Hỗ trợ tạo mật khẩu mạnh, quản lý tập trung và chia sẻ an toàn. |
Xem giải pháp |
| Quản lý điểm yếu kỹ thuật: Phải dò quét lỗ hổng thường xuyên trên máy chủ, thiết bị mạng và ứng dụng. |
CyStack VulnScan (Vulnerability Management) Công cụ tự động dò quét lỗ hổng bảo mật, phát hiện các CVE mới nhất trên hệ thống mạng và ứng dụng. |
Xem giải pháp |
| Cấu hình an toàn cho Máy chủ & Cloud: Đảm bảo các dịch vụ (Web, Database) được cấu hình cứng hóa (Hardening), tắt các dịch vụ không cần thiết. |
Cloud Security Audit Dịch vụ rà soát cấu hình bảo mật cho hạ tầng Cloud (AWS, Azure, Google Cloud) để phát hiện cấu hình sai (Misconfiguration). |
Xem giải pháp |
| Giám sát & Phát hiện rò rỉ dữ liệu: Phát hiện sớm các dữ liệu nhạy cảm bị lộ lọt ra bên ngoài Internet/Darkweb. |
CyStack Data Leak Detection Giám sát và phát hiện rò rỉ dữ liệu của tổ chức trên không gian mạng để cảnh báo sớm rủi ro. |
Xem giải pháp |
| Phòng chống tấn công ứng dụng: Kiểm tra khả năng chống chịu các cuộc tấn công logic, tiêm nhiễm mã độc vào ứng dụng. |
Web/Mobile App Penetration Testing Kiểm thử xâm nhập chuyên sâu cho ứng dụng Web và Mobile để tìm các lỗi Logic mà công cụ tự động không thấy được. |
Xem giải pháp |
Lưu ý: Đối với Hệ thống cấp độ 5, CyStack thường triển khai phối hợp Pentest định kỳ (theo quý/năm) kết hợp với WhiteHub Bug Bounty (thường xuyên) để đảm bảo không bỏ sót bất kỳ lỗ hổng nào mới phát sinh, đáp ứng yêu cầu cao nhất về “Kiểm tra, đánh giá” của thông tư.
Kết luận
Việc đáp ứng các tiêu chuẩn khắt khe của hệ thống thông tin Cấp độ 5 theo Thông tư 12/2022/TT-BTTTT là bước đi then chốt để đảm bảo sự hoạt động bền vững cho doanh nghiệp. Đừng để áp lực tuân thủ làm chậm đà phát triển, hãy liên hệ với chuyên gia CyStack ngay hôm nay để được tư vấn lộ trình triển khai giải pháp tối ưu nhất cho hệ thống của bạn.
