An toàn thông tin cấp độ 2 ở xã, phường: hiểu thế nào cho đúng?

Gần như mọi hệ thống thông tin của UBND xã, phường — cổng thông tin, phần mềm một cửa, thư điện tử công vụ, hệ thống camera an ninh, mạng nội bộ trụ sở — đều thuộc diện phải xác định và phê duyệt cấp độ an toàn thông tin. Đây không phải thủ tục hình thức: hồ sơ cấp độ là căn cứ để bố trí kinh phí bảo mật, và là thứ được hỏi đến đầu tiên khi có đoàn kiểm tra hoặc khi xảy ra sự cố lộ lọt dữ liệu.

Bài viết này hệ thống lại: căn cứ pháp lý, vì sao cấp xã thường là cấp độ 2, hồ sơ gồm những gì, ai thẩm định — phê duyệt, và checklist kỹ thuật phải làm được trên thực tế.

1. Vì sao đây đang là việc gấp, không phải việc "để sau"

Qua các đợt rà soát gần đây, cơ quan công an nhiều địa phương ghi nhận một thực trạng đáng chú ý: hơn hai phần ba hệ thống thông tin thuộc phạm vi quản lý của các sở, ban, ngành và chính quyền địa phương chưa được phê duyệt cấp độ an toàn — và con số đó còn chưa tính các hệ thống của UBND xã, phường cùng những đơn vị mới hình thành sau sáp nhập.

Trước tình hình đó, cơ quan công an đã có văn bản đề nghị các sở, ban, ngành, UBND xã, phường và đơn vị sự nghiệp công lập thực hiện nghiêm ba nhóm việc, kèm mốc thời gian cụ thể:

• 100% hệ thống thông tin đang vận hành phải được phê duyệt cấp độ — mốc hoàn thành đã được ấn định từ đầu năm 2026.
• Triển khai đầy đủ phương án bảo đảm an toàn thông tin theo đúng hồ sơ cấp độ đã được phê duyệt — mốc hoàn thành trong quý II/2026.
• 100% hệ thống đang thiết kế, xây dựng, nâng cấp, mở rộng phải được phê duyệt cấp độ và triển khai đủ phương án trước khi đưa vào vận hành, khai thác.

Hai mốc thời gian nêu trên nay đã qua. Với đơn vị chưa hoàn thành, việc nên làm trước tiên không phải là lo lắng mà là rà soát lại danh mục hệ thống thông tin của mình, rồi lên kế hoạch làm bù theo thứ tự ưu tiên: bắt đầu từ những hệ thống đang trực tiếp phục vụ người dân và những hệ thống có kết nối ra Internet.

Điểm cần thay đổi trong nhận thức: hồ sơ đề xuất cấp độ không phải thủ tục hành chính làm cho có. Nó là cơ sở để triển khai các biện pháp kỹ thuật, là căn cứ để xác định và bố trí nguồn lực — tức là căn cứ để xin kinh phí — và là thước đo mức độ tuân thủ pháp luật về an toàn thông tin mạng của đơn vị.

2. Căn cứ pháp lý

Văn bản	Nội dung liên quan trực tiếp
Luật An toàn thông tin mạng 2015	Nguyên tắc phân loại hệ thống thông tin theo cấp độ và trách nhiệm bảo đảm an toàn.
Nghị định 85/2016/NĐ-CP	Quy định về bảo đảm an toàn hệ thống thông tin theo cấp độ: tiêu chí xác định cấp độ 1–5, trình tự lập – thẩm định – phê duyệt hồ sơ.
Thông tư 12/2022/TT-BTTTT	Hướng dẫn chi tiết Nghị định 85/2016: mẫu hồ sơ đề xuất cấp độ, nội dung phương án bảo đảm an toàn thông tin.
TCVN 11930:2017	Yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ — đây là bộ tiêu chí kỹ thuật để đối chiếu khi lập phương án và khi kiểm tra.
Luật An ninh mạng và pháp luật về bảo vệ dữ liệu cá nhân	Nghĩa vụ khi hệ thống xử lý dữ liệu cá nhân của người dân, và trách nhiệm báo cáo khi xảy ra sự cố.

3. Vì sao hệ thống cấp xã thường thuộc cấp độ 2

Cấp độ được xác định theo mức thiệt hại nếu hệ thống bị phá hoại, và theo phạm vi ảnh hưởng. Diễn giải cho dễ hình dung:

• Cấp độ 1 — hỏng thì ảnh hưởng nhỏ, nội bộ một đơn vị.
• Cấp độ 2 — phục vụ hoạt động của một cơ quan, tổ chức; sự cố gây ảnh hưởng tới hoạt động thường xuyên và quyền lợi của người dân trên địa bàn. Phần lớn hệ thống của UBND cấp xã rơi vào mức này.
• Cấp độ 3 trở lên — hệ thống dùng chung cấp tỉnh, cấp bộ, hoặc chứa dữ liệu quan trọng phạm vi rộng; yêu cầu kỹ thuật và thủ tục nặng hơn nhiều.

Điểm hay bị bỏ sót: hệ thống camera an ninh cũng là một hệ thống thông tin và đang thu thập hình ảnh của người dân — phải được đưa vào hồ sơ, có phương án bảo vệ dữ liệu, chứ không thể xem là "thiết bị lẻ".

4. Đơn vị sau sáp nhập: việc phải làm trước tiên

Đây là nhóm việc được nhắc riêng, vì sáp nhập làm xáo trộn toàn bộ bức tranh hệ thống thông tin. Trước khi lập bất cứ hồ sơ nào, phải rà soát, thống kê và cập nhật lại danh mục hệ thống thông tin thuộc phạm vi quản lý. Bốn tình huống hay gặp:

• Hệ thống bị bỏ quên: máy chủ, phần mềm của đơn vị cũ vẫn đang chạy nhưng không còn ai được giao quản lý — đây là chỗ nguy hiểm nhất, vì không ai vá lỗi, không ai xem nhật ký.
• Hệ thống trùng lặp: hai đơn vị cũ cùng có phần mềm một cửa, cùng có hệ thống camera, nay gộp lại thành hai hệ thống song song.
• Hồ sơ cấp độ cũ không còn phù hợp: phê duyệt cho đơn vị cũ, phạm vi phục vụ cũ, sơ đồ mạng cũ — phải lập lại theo mô hình tổ chức hiện tại.
• Tài khoản của cán bộ đã chuyển công tác vẫn còn hiệu lực trên các hệ thống.

Danh mục phải liệt kê đủ, không bỏ sót: cổng/trang thông tin điện tử, phần mềm một cửa, thư điện tử công vụ, hệ thống camera an ninh, hệ thống truyền thanh, mạng nội bộ trụ sở, các phần mềm chuyên ngành và cả những kết nối tới hệ thống dùng chung của cấp trên.

5. Hồ sơ đề xuất cấp độ gồm những gì

Một bộ hồ sơ đầy đủ cho hệ thống cấp độ 2 thường gồm:

• Tờ trình đề nghị phê duyệt cấp độ an toàn thông tin.
• Thuyết minh hệ thống: tên, chức năng, phạm vi phục vụ, đối tượng sử dụng, loại dữ liệu xử lý (đặc biệt lưu ý có dữ liệu cá nhân hay không).
• Sơ đồ mạng logic và danh mục thiết bị, phần mềm, các kết nối ra bên ngoài. Phần này phải khớp với thực tế đang chạy.
• Thuyết minh xác định cấp độ: đối chiếu từng tiêu chí của Nghị định 85/2016 để chứng minh vì sao là cấp độ 2.
• Phương án bảo đảm an toàn thông tin theo TCVN 11930:2017, gồm cả nhóm yêu cầu quản lý lẫn nhóm yêu cầu kỹ thuật.
• Quy chế bảo đảm an toàn thông tin của cơ quan, có phân công trách nhiệm cụ thể từng vị trí.
• Phương án ứng cứu sự cố và phương án sao lưu, phục hồi dữ liệu.

6. Trình tự thẩm định và phê duyệt

Với hệ thống cấp độ 1 và 2, hồ sơ do đơn vị chuyên trách về công nghệ thông tin/an toàn thông tin thẩm định, và người đứng đầu cơ quan ra quyết định phê duyệt. Có hai lưu ý về thời điểm mà làm sai là phải làm lại:

• Hồ sơ cấp độ cần được phê duyệt trước khi phê duyệt báo cáo kinh tế – kỹ thuật hoặc thiết kế cơ sở của dự án công nghệ thông tin. Làm ngược lại thì phần chi phí bảo đảm an toàn thông tin không có căn cứ bố trí, và dự án dễ phải điều chỉnh.
• Khi hệ thống thay đổi đáng kể — mở rộng số điểm camera, kết nối thêm hệ thống bên ngoài, đổi kiến trúc mạng — phải rà soát và cập nhật lại hồ sơ, không dùng mãi bản duyệt từ nhiều năm trước.

7. Ba việc đi kèm hay bị bỏ sót

Ngoài hồ sơ cấp độ, có ba yêu cầu đi kèm mà nhiều đơn vị làm thiếu — và đều là những mục dễ bị chỉ ra khi kiểm tra:

Phần mềm diệt virus có bản quyền cho 100% máy tính

Yêu cầu là có bản quyền, không phải "có cài phần mềm nào đó". Đồng thời phải gỡ bỏ ngay các phần mềm không bản quyền, không rõ nguồn gốc đang dùng trong cơ quan. Lý do không chỉ là bản quyền: các bản bẻ khoá tải trên mạng là đường lây mã độc gián điệp phổ biến nhất vào máy công vụ, và khi đã cài thì chính phần mềm diệt virus cũng thường bị vô hiệu hoá để "chạy được". Chi phí bản quyền nên đưa vào dự toán chi thường xuyên hằng năm, giống như chi phí gia hạn thiết bị bảo mật.

Khắc phục triệt để lỗ hổng theo cảnh báo

Khi nhận được cảnh báo, kiến nghị về lỗ hổng bảo mật từ cơ quan chuyên trách, phải xử lý dứt điểm và lưu lại bằng chứng đã xử lý: ngày vá, phiên bản trước — sau, người thực hiện. Cảnh báo đã nhận mà không có hồ sơ khắc phục là tình tiết bất lợi nếu về sau xảy ra sự cố.

Hệ thống mới phải duyệt cấp độ trước khi vận hành

Áp dụng cho cả hệ thống đang thiết kế, đang xây dựng và hệ thống nâng cấp, mở rộng. Với một dự án camera an ninh chẳng hạn: hồ sơ cấp độ phải xong trước khi nghiệm thu đưa vào sử dụng, chứ không phải lắp xong rồi mới đi làm hồ sơ.

8. Checklist kỹ thuật cấp độ 2 — làm được thật, không chỉ ghi trên giấy

Đây là phần đoàn kiểm tra sẽ hỏi "cho xem". Mỗi mục dưới đây nên có bằng chứng kèm theo: ảnh chụp màn hình cấu hình, tệp nhật ký, hoặc biên bản.

Bảo đảm an toàn mạng

• Có thiết bị tường lửa đặt ở ranh giới, chính sách mặc định là từ chối.
• Phân vùng mạng: máy chủ, máy trạm, camera, wifi khách tách riêng.
• Quản trị thiết bị mạng không mở ra Internet; truy cập từ xa qua VPN.
• Nhật ký thiết bị mạng được lưu tập trung, giữ tối thiểu ba tháng.

Bảo đảm an toàn máy chủ và máy trạm

• Không dùng hệ điều hành đã hết hỗ trợ; có quy trình cập nhật bản vá.
• Phần mềm phòng chống mã độc có bản quyền, cài đủ 100% máy, cập nhật, có báo cáo tập trung; đã gỡ hết phần mềm không bản quyền.
• Tài khoản định danh từng người, có phân quyền; xoá tài khoản khi cán bộ chuyển công tác.
• Bật ghi nhật ký đăng nhập; rà soát đăng nhập bất thường.

Bảo đảm an toàn dữ liệu

• Sao lưu theo nguyên tắc 3-2-1: ba bản, hai loại phương tiện, một bản để tách biệt khỏi hệ thống.
• Đã thử phục hồi ít nhất một lần và có biên bản — sao lưu chưa từng phục hồi thử thì chưa thể coi là có sao lưu.
• Dữ liệu cá nhân được xác định rõ, hạn chế người truy cập, có nhật ký truy cập.
• Dữ liệu đặt tại máy chủ trong nước; không đẩy lên dịch vụ đám mây nước ngoài khi chưa có căn cứ pháp lý.

Quản lý và con người

• Quy chế an toàn thông tin đã ban hành, có chữ ký, đã phổ biến.
• Phân công người phụ trách an toàn thông tin bằng văn bản.
• Có kế hoạch và bằng chứng tập huấn cho cán bộ — yếu tố con người vẫn là đường vào phổ biến nhất.
• Có phương án ứng cứu sự cố kèm danh sách liên hệ, đã diễn tập.

9. Sáu lỗi khiến hồ sơ bị trả lại

• Sơ đồ mạng vẽ chung chung, không khớp thiết bị thật.
• Chép phương án của đơn vị khác, còn sót tên hệ thống cũ trong văn bản.
• Khai có tường lửa, có sao lưu nhưng không có bằng chứng.
• Bỏ quên hệ thống camera dù đang thu hình ảnh người dân.
• Quy chế không ai ký, không phân công người phụ trách cụ thể.
• Lập hồ sơ sau khi đã mua sắm — sai trình tự.

Kết luận

Hồ sơ cấp độ làm đúng có giá trị thực tế: nó buộc cơ quan nhìn lại toàn bộ hệ thống mình đang có, chỉ ra chỗ hở, và tạo căn cứ để bố trí kinh phí khắc phục. Làm hình thức thì tốn công mà không giảm được rủi ro nào — và sẽ lộ ra ngay lần kiểm tra đầu tiên hoặc lần sự cố đầu tiên.

Xem tiếp phần kỹ thuật: chọn và cấu hình tường lửa FortiGate cho trụ sở xã, phân vùng mạng bằng VLAN. BINHDINH.JSC nhận khảo sát hiện trạng, lập hồ sơ đề xuất cấp độ và triển khai phương án kỹ thuật kèm theo — liên hệ tư vấn.