An toàn thông tin cấp độ 3 là một trong những cấp độ bảo mật mà các tổ chức, doanh nghiệp cần áp dụng để bảo vệ dữ liệu nhạy cảm trước các mối đe dọa an ninh mạng ngày càng gia tăng. Trong bối cảnh các cuộc tấn công mạng ngày càng tinh vi, việc triển khai an toàn thông tin cấp độ 3 không chỉ là yêu cầu pháp lý mà còn là yếu tố then chốt để bảo vệ danh tiếng và tài sản số của doanh nghiệp. Bài viết này sẽ cung cấp hướng dẫn chi tiết về an toàn thông tin cấp độ 3, từ định nghĩa, yêu cầu, đến quy trình triển khai, giúp bạn xây dựng hệ thống bảo mật hiệu quả.
An toàn thông tin cấp độ 3 là gì?
Căn cứ Điều 9 Nghị định số 85/2016/NĐ-CP, hệ thống an toàn thông tin cấp độ 3 là hệ thống thông tin có một trong các tiêu chí cụ thể như sau:
- Tiêu chí 1: Hệ thống thông tin xử lí thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh khi bị phá hoại
sẽ làm tổn hại tới quốc phòng, an ninh quốc gia. - Tiêu chí 2: Hệ thống thông tin phục vụ người dân, doanh nghiệp thuộc một trong các loại hình như sau:
– Cung cấp thông tin và dịch vụ công trực tuyến từ mức độ 3 trở lên theo quy định của pháp luật;
– Cung cấp dịch vụ trực tuyến thuộc danh mục dịch vụ kinh doanh có điều kiện (theo quy định của Luật Đầu tư năm 2020);
– Cung cấp dịch vụ trực tuyến khác có xử lí thông tin riêng, thông tin cá nhân của từ 10.000 người sử dụng trở lên.
Ví dụ: Cổng dịch vụ công, hệ thống một cửa điện tử cấp bộ, cấp tỉnh; Nền tảng số eOffice, nền tảng số thư điện tử, nền tảng số họp, hội nghị trực tuyến… triển khai cho các cơ quan, doanh nghiệp đã được triển khai phạm vi rộng với hơn 10.000 người sử dụng; Hệ thống thương mại điện tử; Hệ thống quản lí khám chữa bệnh đã tích hợp các giải pháp cung cấp hoặc hỗ trợ cung cấp các dịch vụ đăng kí khám chữa bệnh trực tuyến tại các bệnh viện trong đó số bệnh nhân đã đăng kí khám chữa bệnh trực tuyến từ 10.000 người trở lên… - Tiêu chí 3: Hệ thống cơ sở hạ tầng thông tin dùng chung phục vụ hoạt động của các cơ quan, tổ chức trong phạm vi một ngành, một tỉnh hoặc một số tỉnh. Ví dụ: Trung tâm dữ liệu cấp bộ, cấp tỉnh; Nền tảng tích hợp, chia sẻ dữ liệu cấp Bộ, cấp tỉnh; Mạng truyền số liệu chuyên dùng cấp II tại các địa phương…
- Tiêu chí 4: Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ Điều khiển, vận hành hoạt động bình thường của các công trình xây dựng cấp II, cấp III hoặc cấp IV theo phân cấp của pháp luật về xây dựng.
Mục tiêu của an toàn thông tin cấp độ 3 là đảm bảo tính bảo mật (confidentiality), toàn vẹn (integrity), và sẵn sàng (availability) của dữ liệu, thường được gọi là nguyên tắc CIA. Điều này đòi hỏi tổ chức phải áp dụng các biện pháp kỹ thuật, chính sách và quy trình nghiêm ngặt để ngăn chặn rò rỉ dữ liệu, truy cập trái phép, hoặc gián đoạn dịch vụ.
Đối tượng áp dụng
An toàn thông tin cấp độ 3 thường được yêu cầu đối với các tổ chức thuộc các lĩnh vực sau:
Ngân hàng và tài chính: Các ngân hàng thương mại, tổ chức thanh toán, hoặc fintech xử lý dữ liệu giao dịch tài chính.
Y tế: Bệnh viện, phòng khám, hoặc các hệ thống lưu trữ hồ sơ y tế điện tử.
Chính phủ: Các cơ quan nhà nước lưu trữ thông tin công dân hoặc dữ liệu nhạy cảm.
Doanh nghiệp công nghệ: Các công ty vận hành hệ thống thông tin trọng yếu, như nhà cung cấp dịch vụ đám mây hoặc viễn thông.
Việc áp dụng cấp độ 3 không chỉ giúp tổ chức tuân thủ pháp luật mà còn xây dựng niềm tin với khách hàng và đối tác.
Có thể bạn quan tâm: 5 cấp độ bảo đảm an toàn hệ thống thông tin theo Nghị định 85
Tại sao cần an toàn thông tin cấp độ 3?
Trong những năm gần đây, các cuộc tấn công mạng đã gia tăng cả về quy mô và mức độ tinh vi. Theo báo cáo từ Trung tâm Giám sát An toàn Không gian Mạng Quốc gia Việt Nam (NCSC), số vụ tấn công mạng vào các tổ chức tại Việt Nam tăng 30% từ năm 2020 đến 2024. Các hình thức tấn công phổ biến bao gồm:
Tấn công DDoS: Gây gián đoạn dịch vụ, làm tê liệt hệ thống.
Mã độc tống tiền (ransomware): Mã hóa dữ liệu và yêu cầu tiền chuộc.
Phishing: Lừa đảo để đánh cắp thông tin đăng nhập hoặc dữ liệu nhạy cảm.
Một vụ rò rỉ dữ liệu có thể gây thiệt hại hàng tỷ đồng, làm mất uy tín và dẫn đến các hậu quả pháp lý nghiêm trọng. Đặc biệt, các hệ thống cấp độ 3 thường là mục tiêu hàng đầu của tin tặc do giá trị dữ liệu cao.
Lợi ích triển khai an toàn thông tin cấp độ 3
Việc triển khai an toàn thông tin cấp độ 3 mang lại nhiều lợi ích thiết thực:
Bảo vệ dữ liệu nhạy cảm: Ngăn chặn rò rỉ thông tin khách hàng, tài chính, hoặc dữ liệu nội bộ.
Tăng cường uy tín: Các tổ chức đạt tiêu chuẩn an toàn thông tin cấp độ 3 được đánh giá cao về độ tin cậy.
Tuân thủ pháp luật: Đáp ứng các yêu cầu của Luật An ninh mạng Việt Nam và các tiêu chuẩn quốc tế.
Giảm thiểu rủi ro tài chính: Hạn chế thiệt hại từ các vụ tấn công mạng hoặc vi phạm dữ liệu.
Các yêu cầu của an toàn thông tin cấp độ 3
Tiêu Chuẩn Kỹ Thuật
Hệ thống an toàn thông tin cấp độ 3 yêu cầu triển khai các biện pháp kỹ thuật tiên tiến để bảo vệ dữ liệu. Một số yêu cầu quan trọng bao gồm:
Kiểm soát truy cập:
Sử dụng xác thực đa yếu tố (MFA) để đảm bảo chỉ người dùng được ủy quyền mới có thể truy cập hệ thống.
Phân quyền truy cập dựa trên vai trò (Role-Based Access Control – RBAC).
Mã hóa dữ liệu:
Áp dụng mã hóa AES-256 cho dữ liệu ở trạng thái nghỉ (at rest) và dữ liệu đang truyền (in transit).
Sử dụng giao thức TLS 1.3 cho các kết nối mạng.
Giám sát và phát hiện xâm nhập:
Triển khai hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS).
Sử dụng các công cụ SIEM (Security Information and Event Management) để giám sát hoạt động mạng theo thời gian thực.
Sao lưu và khôi phục dữ liệu:
Thực hiện sao lưu dữ liệu định kỳ, lưu trữ tại các vị trí an toàn, tách biệt.
Kiểm tra khả năng khôi phục dữ liệu để đảm bảo tính sẵn sàng.
Quy định pháp lý tại Việt Nam
Tại Việt Nam, an toàn thông tin cấp độ 3 được quy định trong Nghị định 117/2018/NĐ-CP về bảo vệ dữ liệu cá nhân trong lĩnh vực công nghệ thông tin và viễn thông, cùng với Luật An ninh mạng 2018. Một số yêu cầu pháp lý chính bao gồm:
Đánh giá cấp độ an toàn thông tin: Tổ chức phải phân loại hệ thống thông tin của mình theo các cấp độ (từ 1 đến 5), trong đó cấp độ 3 áp dụng cho các hệ thống quan trọng.
Báo cáo định kỳ: Các tổ chức phải báo cáo tình trạng an toàn thông tin cho cơ quan chức năng, chẳng hạn như NCSC.
Xử lý sự cố: Thiết lập quy trình ứng phó sự cố an ninh mạng, bao gồm báo cáo trong vòng 24 giờ sau khi phát hiện vi phạm.
Quy trình triển khai an toàn thông tin cấp độ 3
Bước 1 – Đánh Giá Rủi Ro
Đánh giá rủi ro là bước đầu tiên và quan trọng nhất trong việc triển khai an toàn thông tin cấp độ 3. Quy trình này bao gồm:
Xác định tài sản thông tin: Lập danh sách các tài sản cần bảo vệ, như cơ sở dữ liệu khách hàng, hệ thống ERP, hoặc dữ liệu tài chính.
Phân tích mối đe dọa: Xác định các mối đe dọa tiềm ẩn, như mã độc, tấn công DDoS, hoặc lỗi con người.
Đánh giá tác động: Xác định mức độ thiệt hại nếu dữ liệu bị xâm phạm, từ tài chính đến danh tiếng.
Công cụ hỗ trợ: Sử dụng các framework như NIST SP 800-30 hoặc ISO/IEC 27005 để đánh giá rủi ro một cách hệ thống.
Bước 2 – Xây dựng chính sách bảo mật
Chính sách bảo mật là kim chỉ nam cho việc triển khai an toàn thông tin. Một chính sách hiệu quả cần bao gồm:
Quy định về mật khẩu: Yêu cầu mật khẩu mạnh, thay đổi định kỳ.
Chính sách sử dụng thiết bị cá nhân (BYOD): Kiểm soát việc sử dụng thiết bị cá nhân trong mạng nội bộ.
Quy trình xử lý sự cố: Hướng dẫn chi tiết cách phản ứng khi xảy ra vi phạm an ninh.
Chính sách cần được phổ biến đến toàn bộ nhân viên và cập nhật định kỳ để phù hợp với các mối đe dọa mới.
Bước 3 – Áp dụng công nghệ và đào tạo nhân sự
Công Nghệ
Việc triển khai các công nghệ bảo mật là yếu tố cốt lõi của an toàn thông tin cấp độ 3:
Tường lửa (Firewall): Sử dụng các giải pháp như Cisco ASA hoặc Palo Alto Networks để kiểm soát lưu lượng mạng.
Mã hóa: Áp dụng các công cụ mã hóa như OpenSSL hoặc BitLocker.
Giám sát: Sử dụng Splunk hoặc ELK Stack để phân tích nhật ký hệ thống.
Đào Tạo Nhân Sự
Nhân viên là “mắt xích yếu nhất” trong chuỗi bảo mật. Vì vậy, đào tạo là yếu tố không thể thiếu:
Nhận thức về an ninh mạng: Tổ chức các buổi đào tạo về cách nhận diện email lừa đảo, sử dụng mật khẩu an toàn.
Mô phỏng tấn công: Thực hiện các bài kiểm tra phishing giả lập để nâng cao cảnh giác.
Bước 4 – Giám sát và cải tiến
An toàn thông tin là một quá trình liên tục. Các tổ chức cần:
Giám sát liên tục: Sử dụng các công cụ SIEM để phát hiện bất thường trong hệ thống.
Kiểm tra định kỳ: Thực hiện kiểm tra bảo mật hàng quý hoặc hàng năm.
Cập nhật hệ thống: Vá các lỗ hổng phần mềm ngay khi phát hiện.
Hồ sơ an toàn thông tin cấp độ 3
Tải hồ sơ đề xuất An toàn thông tin cấp độ 3 TẠI ĐÂY
Để triển khai cấp độ bảo mật này, tổ chức/doanh nghiệp cần tuân thủ quy trình sau:
a) Thẩm quyền thẩm định và phê duyệt cấp độ
- Thẩm định: Do đơn vị chuyên trách về an toàn thông tin (thuộc tổ chức chủ quản hệ thống thông tin) thực hiện.
- Phê duyệt: Do người đứng đầu hoặc cơ quan chủ quản hệ thống thông tin phê duyệt.
b) Hồ sơ gửi thẩm định gồm:
- Văn bản đề nghị thẩm định hồ sơ đề xuất cấp độ, theo Mẫu số 02 ban hành kèm Nghị định 85/2016/NĐ-CP.
- Tài liệu mô tả tổng quan HTTT theo khoản 3, Điều 8 Thông tư 12/2022/TT-BTTTT.
- Tài liệu phân tích, đề xuất cấp độ, trình bày lý do và căn cứ phân loại hệ thống theo đúng tiêu chí pháp luật (khoản 4, Điều 8).
- Tài liệu thuyết minh phương án bảo đảm ATTT, đảm bảo đáp ứng các yêu cầu kỹ thuật và quản lý theo Điều 9, 10 Thông tư 12/2022/TT-BTTTT.
c) Thời gian xử lý:
- Thẩm định: Tối đa 15 ngày làm việc kể từ khi nhận đủ hồ sơ hợp lệ.
- Phê duyệt: Tối đa 07 ngày làm việc sau khi hoàn thành thẩm định
Các sai lầm thường gặp khi triển khai an toàn thông tin cấp độ 3
Thiếu đào tạo nhân sự: Nhiều tổ chức bỏ qua việc đào tạo nhân viên, dẫn đến các lỗi như sử dụng mật khẩu yếu hoặc nhấp vào liên kết độc hại.
Không cập nhật hệ thống: Các phần mềm lỗi thời dễ trở thành mục tiêu của tin tặc.
Bỏ qua quy định pháp lý: Không tuân thủ Luật An ninh mạng có thể dẫn đến các hình phạt nghiêm trọng.
Thiếu kế hoạch ứng phó sự cố: Không có quy trình rõ ràng sẽ làm chậm phản ứng khi xảy ra vi phạm.
Làm thế nào để tối ưu hóa an toàn thông tin cấp độ 3
Sử dụng công cụ hỗ trợ
Các công cụ bảo mật tiên tiến có thể giúp tổ chức đạt được an toàn thông tin cấp độ 3 hiệu quả hơn:
CrowdStrike Falcon: Giải pháp bảo vệ điểm cuối (endpoint protection) với khả năng phát hiện mã độc theo thời gian thực.
Nessus: Công cụ quét lỗ hổng để phát hiện các điểm yếu trong hệ thống.
Cloudflare: Bảo vệ chống lại các cuộc tấn công DDoS và tăng cường hiệu suất mạng.
Hợp tác với chuyên gia
Việc thuê các chuyên gia an ninh mạng hoặc sử dụng dịch vụ bảo mật từ các công ty uy tín có thể giúp tổ chức:
Đánh giá hệ thống một cách toàn diện.
Xây dựng kế hoạch bảo mật phù hợp với nhu cầu cụ thể.
Cung cấp hỗ trợ 24/7 trong trường hợp xảy ra sự cố.
Sunteco đạt chứng nhận An toàn thông tin cấp độ 3 – Nền tảng Cloud an toàn, bảo mật cho khách hàng
Với cam kết bảo vệ tối đa dữ liệu của khách hàng và tuân thủ nghiêm ngặt các quy định pháp lý về an toàn thông tin, Sunteco đã chính thức đạt chứng nhận An toàn thông tin cấp độ 3 theo Nghị định 85/2016/NĐ-CP và Thông tư 12/2022/TT-BTTTT.
Đây là minh chứng rõ ràng cho năng lực công nghệ, quy trình kiểm soát bảo mật chặt chẽ, và năng lực vận hành hệ thống cloud hiện đại của Sunteco. Việc đạt chuẩn này không chỉ khẳng định uy tín của Sunteco trên thị trường dịch vụ điện toán đám mây, mà còn đảm bảo hạ tầng Cloud của Sunteco hoàn toàn đáp ứng các yêu cầu về bảo mật, toàn vẹn và sẵn sàng dữ liệu (CIA). Nhờ đó, khách hàng từ các lĩnh vực tài chính, y tế, chính phủ hay doanh nghiệp tư nhân có thể an tâm triển khai các hệ thống CNTT trên nền tảng cloud của Sunteco một cách an toàn và ổn định, ngay cả trong các môi trường có yêu cầu khắt khe về bảo mật.
Kết luận
An toàn thông tin cấp độ 3 không chỉ là yêu cầu bắt buộc đối với các tổ chức xử lý dữ liệu nhạy cảm mà còn là bước đi chiến lược để bảo vệ doanh nghiệp trước các mối đe dọa an ninh mạng ngày càng phức tạp. Bằng cách tuân thủ các tiêu chuẩn kỹ thuật, quy định pháp lý, và triển khai quy trình bảo mật bài bản, tổ chức có thể giảm thiểu rủi ro, tăng cường uy tín và đảm bảo hoạt động kinh doanh liên tục.
Hãy bắt đầu ngay hôm nay bằng cách đánh giá hệ thống thông tin của bạn và áp dụng các biện pháp bảo mật cần thiết. Tìm hiểu thêm về dịch vụ bảo mật của chúng tôi tại ĐÂY để bảo vệ dữ liệu doanh nghiệp ngay hôm nay!
Nguồn Tham Khảo
Luật An ninh mạng Việt Nam 2018.
Nghị định 117/2018/NĐ-CP về bảo vệ dữ liệu cá nhân.
ISO/IEC 27001:2013 – Tiêu chuẩn quản lý an toàn thông tin.
Báo cáo an ninh mạng 2024 – Trung tâm Giám sát An toàn Không gian Mạng Quốc gia (NCSC).
