3 việc phải làm ngay trước khi vận hành chính thức hệ thống thông tin
Theo Quyết định 1964/QĐ-TTg, chủ quản và đơn vị vận hành phải hoàn tất xác định cấp độ, triển khai đầy đủ phương án bảo vệ và dứt điểm khắc phục lỗ hổng trước khi đưa hệ thống vào vận hành chính thức.
Mục lục nội dungThu gọn
Trách nhiệm hoàn thiện điều kiện an ninh mạng trước khi vận hành
Quy trình chuẩn bị đưa hệ thống thông tin vào hoạt động đòi hỏi sự tuân thủ nghiêm ngặt về tiêu chuẩn an toàn kỹ thuật. Theo Quyết định 1964/QĐ-TTg, giai đoạn 2027 - 2028 sắp tới triển khai thử nghiệm Chỉ số bảo đảm an ninh mạng với các tiêu chí cụ thể. Để đáp ứng yêu cầu, chủ quản hệ thống thông tin cùng đơn vị vận hành hệ thống thông tin cấp độ 4 trở lên cần thực hiện tuần tự và hoàn tất dứt điểm các bước bắt buộc.
| Bước thực hiện | Nội dung trọng tâm | Chủ thể thực hiện | Vị trí quy định |
|---|---|---|---|
| Bước 1 | Xác định cấp độ hệ thống thông tin | Chủ quản hệ thống thông tin | Bước 1 |
| Bước 2 | Triển khai đầy đủ phương án bảo đảm an ninh mạng theo cấp độ | Chủ quản hệ thống thông tin | Phụ lục V, Mục I.2.1.1 |
| Bước 3 | Kiểm thử xâm nhập và khắc phục lỗ hổng bảo mật | Đơn vị vận hành hệ thống thông tin cấp độ 4 trở lên | Mục II.16.9.2 |
1. Xác định cấp độ của hệ thống thông tin
Công tác rà soát, phân loại là điều kiện tiên quyết cho toàn bộ hoạt động kiểm tra, thiết lập rào chắn kỹ thuật. Theo Bước 1, chủ quản hệ thống thông tin có trách nhiệm “thực hiện xác định cấp độ của hệ thống thông tin cần đánh giá.”
Hệ thống không thể áp dụng đúng bộ tiêu chí kỹ thuật nếu chưa được phân loại rõ ràng. Việc nhận diện đúng cấp độ giúp định hình chính xác phạm vi, tiêu chuẩn áp dụng cũng như mức độ kiểm soát rủi ro tương ứng trong suốt vòng đời vận hành.
2. Triển khai đầy đủ phương án bảo đảm an ninh mạng theo cấp độ
Sau khi xác định được cấp độ, chủ quản hệ thống phải tổ chức thực thi các biện pháp phòng vệ tương xứng. Theo Phụ lục V, Mục I.2.1.1, tiêu chí đặt ra là: “Hệ thống thông tin đã triển khai đầy đủ phương án bảo đảm an ninh mạng theo cấp độ đã được phê duyệt.”
Chủ quản hệ thống thông tin không được rút gọn hay bỏ qua các hạng mục bảo vệ đã được phê duyệt. Mọi giải pháp từ phòng ngừa sự cố, quản lý quyền truy cập cho đến bảo đảm an toàn dữ liệu đều phải kích hoạt đồng bộ trước ngày vận hành chính thức.
3. Kiểm thử xâm nhập và khắc phục lỗ hổng bảo mật
Đối với các hạ tầng trọng yếu, yêu cầu rà soát lỗ hổng kỹ thuật ở mức cao nhất. Theo Mục II.16.9.2, đơn vị vận hành hệ thống thông tin cấp độ 4 trở lên phải bảo đảm: “Đã thực hiện kiểm thử xâm nhập và khắc phục các lỗ hổng bảo mật trước khi đưa vào vận hành chính thức.”
Hoạt động kiểm thử xâm nhập giúp phát hiện sớm các điểm yếu, nguy cơ tấn công tiềm ẩn trong mã nguồn, cấu hình máy chủ và phân quyền mạng. Đơn vị vận hành phải xử lý dứt điểm các lỗi phát hiện được, không để tồn tại lỗ hổng an ninh khi kết nối dữ liệu thật.
Nguồn để đối chiếu
Kiểm tra văn bản gốc, thời điểm và phạm vi áp dụng trước khi sử dụng thông tin.
Mở nguồn chính thức