Thiết lập khuôn khổ đánh giá thống nhất về an ninh mạng
Trong bối cảnh chuyển đổi số diễn ra mạnh mẽ, các hệ thống thông tin, cơ sở dữ liệu và nền tảng số ngày càng giữ vai trò thiết yếu trong hoạt động quản lý nhà nước, sản xuất, kinh doanh và cung cấp dịch vụ. Các cuộc tấn công mạng, khai thác lỗ hổng bảo mật, mã hóa dữ liệu tống tiền, đánh cắp thông tin và rò rỉ dữ liệu có thể gây gián đoạn hoạt động, thiệt hại về tài chính, ảnh hưởng đến uy tín của tổ chức, thậm chí tác động đến an ninh quốc gia khi những hệ thống trọng yếu bị xâm phạm. Trước thực tế đó, bảo đảm an ninh mạng không thể chỉ dựa vào việc đầu tư công nghệ hay triển khai những giải pháp bảo vệ riêng lẻ, mà cần được tổ chức thành một quá trình quản trị liên tục, có khả năng đo lường và đánh giá hiệu quả.
Một trong những yêu cầu đặt ra là phải có công cụ đánh giá đủ toàn diện để xác định mức độ đáp ứng các yêu cầu bảo đảm an ninh mạng của hệ thống thông tin, đồng thời giúp nhận diện những tồn tại, hạn chế và xác định các nội dung cần ưu tiên khắc phục. Khi có phương pháp đánh giá thống nhất, các cơ quan quản lý sẽ thuận lợi hơn trong việc theo dõi tình hình triển khai, tổng hợp dữ liệu và đề xuất giải pháp nâng cao năng lực bảo vệ hệ thống.
Việc ban hành Chỉ số bảo đảm an ninh mạng theo Quyết định số 1964/QĐ-TTg hướng đến đáp ứng yêu cầu này. Với cấu trúc gồm 3 nhóm tiêu chí và 29 tiêu chí thành phần, Chỉ số tạo cơ sở để xem xét nhiều khía cạnh của công tác bảo đảm an ninh mạng, từ đáp ứng yêu cầu hồ sơ, phương án bảo vệ đến quản lý tài sản, kiểm soát lỗ hổng, giám sát phòng thủ, ứng phó sự cố và theo dõi thiệt hại.
Ba nhóm tiêu chí bao quát các khía cạnh trọng yếu
Chỉ số bảo đảm an ninh mạng được cấu thành từ ba nhóm tiêu chí với chức năng và phạm vi áp dụng khác nhau. Nhóm I và Nhóm II được sử dụng để tính toán Chỉ số, trong khi Nhóm III phục vụ công tác chỉ đạo, điều hành, không dùng để tính toán Chỉ số.
Nhóm I: Nhóm tiêu chí đánh giá chung
Nhóm I áp dụng đối với mọi hệ thống thông tin và chủ quản hệ thống thông tin, gồm 2 tiêu chí thành phần: Đáp ứng hồ sơ đề xuất cấp độ và đáp ứng phương án bảo đảm an ninh mạng theo cấp độ. Đây là nhóm tiêu chí đặt nền tảng cho việc đánh giá mức độ tuân thủ những yêu cầu cơ bản trong tổ chức bảo đảm an ninh mạng. Việc xác định cấp độ hệ thống thông tin và xây dựng phương án bảo vệ phù hợp có ý nghĩa quan trọng trong việc lựa chọn, triển khai các biện pháp quản lý và kỹ thuật tương ứng với tính chất, mức độ quan trọng của hệ thống.
Thông qua nhóm tiêu chí này, các cơ quan, tổ chức có thể rà soát việc hoàn thiện hồ sơ, phương án bảo vệ và trách nhiệm tổ chức thực hiện. Đây cũng là cơ sở để bảo đảm các biện pháp bảo vệ được triển khai có định hướng, tránh tình trạng đầu tư dàn trải hoặc chỉ tập trung vào những giải pháp kỹ thuật mà chưa chú trọng đầy đủ đến yêu cầu quản trị.
Nhóm II: Nhóm tiêu chí đánh giá các yêu cầu đặc thù
Nhóm II áp dụng đối với hệ thống thông tin cấp độ 3 trở lên và chủ quản hệ thống thông tin cấp độ 3 trở lên, gồm 18 tiêu chí thành phần: Quản lý rủi ro an ninh mạng; Quản lý tài sản phần cứng; Quản lý tài sản phần mềm; Quản lý tài sản thông tin; Cấu hình an toàn cho phần cứng và phần mềm; Quản lý tài khoản và quyền truy cập tài khoản của người dùng; Quản lý lỗ hổng bảo mật; Quản lý nhật ký an ninh mạng; Bảo vệ cho trình duyệt web, dịch vụ thư điện tử; Phòng chống phần mềm độc hại; Sao lưu và khôi phục dữ liệu; Quản lý hạ tầng mạng; Giám sát phòng thủ an ninh mạng; Nhân sự vận hành, quản trị hệ thống, bảo vệ an ninh mạng; Quản lý nhà cung cấp sản phẩm, dịch vụ; Phát triển ứng dụng an toàn; Quản trị ứng phó sự cố an ninh mạng; Quản lý kiểm tra an ninh mạng.
Phạm vi các tiêu chí cho thấy bảo đảm an ninh mạng là nhiệm vụ tổng thể, đòi hỏi sự phối hợp giữa công nghệ, quy trình quản lý và con người. Chẳng hạn, việc quản lý tài sản giúp xác định đầy đủ những thành phần cần bảo vệ, quản lý lỗ hổng hỗ trợ phát hiện và khắc phục điểm yếu, giám sát phòng thủ giúp nhận diện dấu hiệu bất thường, trong khi cơ chế ứng phó sự cố và sao lưu, khôi phục dữ liệu góp phần hạn chế thiệt hại, duy trì hoạt động khi xảy ra tấn công.
Bên cạnh đó, việc đưa các nội dung liên quan đến nhân sự, nhà cung cấp và phát triển ứng dụng an toàn vào hệ thống tiêu chí cũng phản ánh yêu cầu mở rộng phạm vi quản trị rủi ro. Nguy cơ an ninh mạng không chỉ xuất phát từ những điểm yếu kỹ thuật bên trong hệ thống mà còn có thể phát sinh từ sai sót trong quá trình vận hành, quyền truy cập không phù hợp hoặc các thành phần do bên thứ ba cung cấp.
Vì vậy, nhóm tiêu chí này có ý nghĩa trong việc thúc đẩy các cơ quan, tổ chức tiếp cận công tác bảo đảm an ninh mạng theo hướng toàn diện, có quy trình và chú trọng phòng ngừa, thay vì chỉ xử lý khi sự cố đã xảy ra.
Nhóm III: Nhóm tiêu chí phục vụ chỉ đạo, điều hành
Khác với hai nhóm tiêu chí được sử dụng để tính toán Chỉ số, Nhóm III gồm 9 tiêu chí thành phần phục vụ công tác chỉ đạo, điều hành, áp dụng đối với mọi hệ thống thông tin và chủ quản hệ thống thông tin: Tỷ lệ biện pháp xử lý rủi ro được thực hiện đúng hạn theo kế hoạch (%); Tỷ lệ sự cố an ninh mạng được kiểm soát và xử lý kịp thời trên tổng số lượng sự cố an ninh mạng (%); Số lượng sự cố an ninh mạng nghiêm trọng xảy ra (số vụ); Số bản ghi dữ liệu cá nhân của công dân bị lộ lọt (số bản ghi); Số Gigabyte dữ liệu bị lộ lọt (GB); Số Gigabyte dữ liệu bị mất, mã hoá (GB); Số vụ lộ bí mật nhà nước trên không gian mạng do sự cố an ninh mạng gây ra (vụ); Số đầu tài liệu bí mật nhà nước bị đăng tải, truyền đưa trên không gian mạng do sự cố an ninh mạng gây ra (tài liệu); Thiệt hại tài chính do các sự cố an ninh mạng gây ra trên tổng ngân sách chi cho công tác bảo đảm an ninh mạng (%).
Việc xây dựng nhóm tiêu chí riêng phục vụ chỉ đạo, điều hành giúp bổ sung góc nhìn về kết quả thực tế của hoạt động bảo vệ hệ thống. Thông qua các số liệu về sự cố, dữ liệu bị ảnh hưởng và thiệt hại tài chính, cơ quan quản lý có thêm căn cứ để nhận diện xu hướng rủi ro, đánh giá hiệu quả xử lý và xác định những lĩnh vực cần ưu tiên nguồn lực. Đặc biệt, các chỉ tiêu liên quan đến dữ liệu cá nhân và bí mật nhà nước cho thấy công tác bảo đảm an ninh mạng gắn chặt với yêu cầu bảo vệ thông tin, dữ liệu và lợi ích của Nhà nước, tổ chức, cá nhân. Đây cũng là cơ sở để tăng cường trách nhiệm của các chủ quản hệ thống thông tin trong việc chủ động phòng ngừa, hạn chế nguy cơ lộ lọt thông tin và nâng cao khả năng ứng phó khi phát sinh sự cố.
Triển khai thử nghiệm, từng bước hoàn thiện phương pháp đánh giá
Chỉ số bảo đảm an ninh mạng được triển khai thử nghiệm trong giai đoạn 2027 - 2028. Đây là giai đoạn có ý nghĩa quan trọng nhằm kiểm nghiệm tính khả thi của bộ tiêu chí, phương pháp đánh giá và cơ chế tổ chức thực hiện trước khi xem xét áp dụng chính thức.
Trong giai đoạn này, các bộ, cơ quan và địa phương tổ chức đánh giá thử nghiệm đối với những hệ thống thông tin thuộc phạm vi quản lý trên cơ sở các quy định, nguyên tắc và phương pháp tại Quyết định cùng các phụ lục kèm theo. Các cơ quan, tổ chức khác có nhu cầu cũng có thể nghiên cứu, tham khảo để tự tổ chức đánh giá. Trong thời gian thử nghiệm, các nội dung của Chỉ số có thể được rà soát, cập nhật và điều chỉnh nhằm bảo đảm phù hợp với thực tiễn. Kết quả đánh giá thử nghiệm không được tổng hợp làm căn cứ xét thi đua, khen thưởng hoặc đánh giá mức độ hoàn thành nhiệm vụ của các bộ, cơ quan ngang bộ và Ủy ban nhân dân cấp tỉnh; thay vào đó, được sử dụng làm cơ sở thực tiễn để hoàn thiện Chỉ số.
Theo lộ trình tại Quyết định, việc sơ kết giai đoạn thử nghiệm được thực hiện trong quý II/2028. Trên cơ sở kết quả sơ kết, cơ quan thường trực báo cáo, đề xuất Thủ tướng Chính phủ xem xét, quyết định việc áp dụng chính thức Chỉ số trong giai đoạn 2029 - 2030 và định hướng các năm tiếp theo.
Cách tiếp cận theo lộ trình cho phép các cơ quan triển khai nhận diện những khó khăn trong thu thập dữ liệu, xác định mức độ đáp ứng tiêu chí, chuẩn bị tài liệu minh chứng và tổ chức đánh giá. Đồng thời, kết quả thử nghiệm cũng là căn cứ để điều chỉnh phương pháp tính toán, hướng dẫn thực hiện và cơ chế phối hợp, qua đó nâng cao tính khả thi khi triển khai trên phạm vi rộng.
Tăng cường trách nhiệm phối hợp và ứng dụng công nghệ trong đánh giá
Để tổ chức triển khai Chỉ số, Thủ tướng Chính phủ giao Bộ Công an là cơ quan thường trực theo dõi, đánh giá và tổng hợp kết quả đánh giá hằng năm. Bộ Công an chủ trì, phối hợp với Bộ Khoa học và Công nghệ, Bộ Quốc phòng cùng các bộ, cơ quan, địa phương đề xuất điều chỉnh Chỉ số; tổ chức sơ kết, tổng kết việc triển khai thử nghiệm; hướng dẫn phương pháp đánh giá, phạm vi và thời điểm thu thập dữ liệu, việc áp dụng tiêu chuẩn, quy chuẩn kỹ thuật và xử lý các vấn đề phát sinh trong quá trình thực hiện.
Các bộ, cơ quan và địa phương có trách nhiệm tổ chức đánh giá đối với hệ thống thông tin thuộc phạm vi quản lý, xây dựng cơ chế theo dõi, thống kê và tổng hợp số liệu, bảo đảm thông tin cập nhật thường xuyên, đầy đủ và chính xác. Công an cấp tỉnh là đầu mối tham mưu Ủy ban nhân dân cấp tỉnh tổ chức triển khai Quyết định, phối hợp với các cơ quan, tổ chức liên quan trong công tác theo dõi, tổng hợp và báo cáo kết quả.
Cùng với việc bảo đảm tính thống nhất của dữ liệu, công tác đánh giá phải tuân thủ các quy định về bảo vệ thông tin, đặc biệt là những nội dung thuộc bí mật nhà nước. Đây là yêu cầu quan trọng nhằm bảo đảm quá trình tổng hợp, báo cáo và khai thác kết quả đánh giá không làm phát sinh nguy cơ mất an toàn thông tin hoặc lộ lọt dữ liệu nhạy cảm.
Việc phân công trách nhiệm cụ thể giữa cơ quan thường trực, các bộ, ngành và địa phương tạo cơ sở để nâng cao hiệu quả phối hợp, đồng thời xác định rõ trách nhiệm trong quá trình tổ chức thực hiện. Khi được kết hợp với công cụ hỗ trợ phù hợp và cơ chế quản lý dữ liệu chặt chẽ, Chỉ số có thể trở thành nguồn thông tin hữu ích phục vụ công tác chỉ đạo, điều hành và hoạch định chính sách về an ninh mạng.
Nâng cao năng lực quản trị rủi ro, tăng cường khả năng phòng ngừa, phát hiện và ứng phó sự cố an ninh mạng
Việc ban hành Chỉ số bảo đảm an ninh mạng có ý nghĩa trong bối cảnh các nguy cơ trên không gian mạng ngày càng đa dạng, khó dự báo và có khả năng gây ra những hậu quả nghiêm trọng. Thông qua một khuôn khổ đánh giá gồm nhiều nhóm tiêu chí, Chỉ số góp phần thúc đẩy các cơ quan, tổ chức chuyển từ cách tiếp cận chủ yếu dựa trên kiểm tra từng biện pháp riêng lẻ sang quản trị an ninh mạng có hệ thống, gắn với yêu cầu đánh giá và cải tiến liên tục.
Trong quá trình triển khai, cần tránh cách tiếp cận coi việc hoàn thành tiêu chí hoặc đạt điểm đánh giá là mục tiêu cuối cùng. Giá trị thực chất của Chỉ số nằm ở khả năng giúp cơ quan, tổ chức nhận diện đúng rủi ro, khắc phục điểm yếu và nâng cao năng lực bảo vệ hệ thống thông tin trong thực tế. Việc đánh giá cần gắn với hoạt động kiểm tra, giám sát, quản lý rủi ro và cải tiến thường xuyên, bảo đảm các kết quả thu được phản ánh sát tình hình triển khai.
Với lộ trình thử nghiệm, cơ chế phối hợp và định hướng ứng dụng công nghệ trong đánh giá, Quyết định số 1964/QĐ-TTg đặt nền tảng cho việc từng bước chuẩn hóa hoạt động đánh giá bảo đảm an ninh mạng tại Việt Nam. Nếu được triển khai đồng bộ, thực chất và phù hợp với đặc điểm của từng hệ thống thông tin, Chỉ số sẽ góp phần nâng cao năng lực quản trị rủi ro, tăng cường khả năng phòng ngừa, phát hiện và ứng phó sự cố, qua đó hỗ trợ xây dựng môi trường số an toàn, tin cậy và bền vững.
Theo antoanthongtin.vn