3 điều cấm tuyệt đối khi vận hành hệ thống thông tin theo Quyết định 1964/QĐ-TTg

Yêu cầu kiểm soát an ninh hệ thống thông tin

Quyết định 1964/QĐ-TTg đã ban hành khung Chỉ số bảo đảm an ninh mạng giai đoạn 2027 - 2028, định hướng đến năm 2030. Các tiêu chí đánh giá đặt ra những giới hạn kỹ thuật bắt buộc nhằm triệt tiêu nguy cơ lộ lọt bí mật, xâm nhập trái phép và chiếm quyền điều khiển hạ tầng. Đối với cơ quan quản lý dữ liệu, đội ngũ lập trình và quản trị viên vận hành hệ thống thông tin từ cấp độ 4 trở lên, việc tuân thủ 3 điều cấm trọng yếu là thước đo trực tiếp đánh giá mức độ an toàn không gian mạng.

Chi tiết 3 quy định cấm vận hành hệ thống

Khung tiêu chí kỹ thuật phân định rõ trách nhiệm của từng nhóm đối tượng đối với từng lớp bảo vệ: từ lớp lưu trữ dữ liệu, phân vùng mạng quản trị đến chu trình phát triển mã nguồn ứng dụng.

1. Cấm dùng tài sản, môi trường mức nhạy cảm thấp để xử lý dữ liệu nhạy cảm cao

Theo Mục II.4.7.2, nguyên tắc bảo vệ dữ liệu yêu cầu:

Không sử dụng các tài sản/ môi trường dành cho dữ liệu nhạy cảm thấp để lưu trữ và xử lý dữ liệu có mức độ nhạy cảm cao.

Quy định này buộc các cơ quan, tổ chức quản lý dữ liệu phải thực hiện phân loại thông tin ngay từ khâu tiếp nhận. Mọi hành vi lưu chuyển dữ liệu chứa bí mật nội bộ, thông tin nghiệp vụ quan trọng sang máy chủ dùng chung, dịch vụ đám mây công cộng hoặc môi trường thử nghiệm chưa được kiểm định an toàn đều vi phạm tiêu chuẩn kỹ thuật. Việc hạ thấp cấp độ môi trường xử lý làm vô hiệu hóa các cơ chế mã hóa, giám sát truy cập và kiểm soát quyền hạn vốn chỉ được thiết lập trên các phân vùng bảo mật chuyên dụng.

2. Cấm kết nối tài nguyên phục vụ quản trị hệ thống với Internet

Đối với hệ thống thông tin cấp độ 4 trở lên, Mục II.12.8.1 quy định rõ biện pháp thiết lập hạ tầng quản trị:

Thiết lập và duy trì các nguồn tài nguyên dành riêng cho công tác quản trị, tách biệt về mặt vật lý hoặc logic; được phân tách với mạng chính của hệ thống và không kết nối với Internet.

Quản trị viên hệ thống tuyệt đối không mở cổng điều khiển từ xa thông qua mạng công cộng. Việc tiếp cận giao diện quản trị, thiết bị mạng, máy chủ cơ sở dữ liệu phải thông qua mạng nội bộ chuyên dụng hoặc kênh truyền riêng biệt đã được mã hóa. Mọi hành vi bắc cầu kết nối từ mạng quản trị ra Internet đều tạo ra điểm hổng nghiêm trọng, khiến kẻ tấn công có thể khai thác mã độc và chiếm đoạt toàn bộ quyền quản trị hệ thống cấp cao.

3. Cấm ghi trực tiếp thông tin xác thực và dữ liệu bí mật vào mã nguồn

Tại Mục II.16.5.1, quy trình phát triển và kiểm thử phần mềm quy định:

trong đó yêu cầu không lưu trữ thông tin xác thực, thông tin bí mật trên mã nguồn ứng dụng.

Các lập trình viên thường mắc lỗi cấu hình cứng (hard-code) các tham số nhạy cảm như tên đăng nhập, mật khẩu quản trị, khóa API, chứng chỉ số hoặc chuỗi kết nối cơ sở dữ liệu vào mã nguồn. Khi mã nguồn được đồng bộ lên kho lưu trữ dùng chung, môi trường thử nghiệm hoặc bàn giao cho bên thứ ba, các thông tin này lập tức bị lộ lọt. Tiêu chuẩn an ninh mạng bắt buộc toàn bộ dữ liệu bí mật phải được tách rời khỏi mã nguồn, quản lý qua các kho lưu trữ khóa tập trung và truyền nạp qua biến môi trường bảo mật.

Biện pháp phòng ngừa và kiểm soát rủi ro vi phạm

Để bảo đảm tuân thủ các chỉ số an ninh mạng trước khi bước vào giai đoạn áp dụng chính thức, các đơn vị vận hành cần rà soát lại toàn bộ kiến trúc hệ thống và quy trình kỹ thuật.