Hệ thống thông tin cấp độ 5 phải đặt dự phòng cách nhau tối thiểu 30 km

Định mức kỹ thuật an ninh mạng giai đoạn mới

Quyết định 1964/QĐ-TTg ban hành Chỉ số bảo đảm an ninh mạng đặt ra các yêu cầu kỹ thuật bắt buộc cho cơ quan, tổ chức vận hành hệ thống thông tin. Các chỉ số kỹ thuật tập trung vào kiểm soát rủi ro, bảo vệ dữ liệu và bảo đảm tính liên tục của hệ thống thông tin từ cấp độ 3 đến cấp độ 5. Giai đoạn 2027 - 2028 triển khai thử nghiệm Chỉ số gồm 03 nhóm tiêu chí với 29 tiêu chí thành phần, làm căn cứ hoàn thiện trước khi áp dụng chính thức.

Số 30: Khoảng cách địa lý tối thiểu 30 km cho dự phòng cấp độ 5

Hệ thống thông tin cấp độ 5 giữ vai trò tối quan trọng, đòi hỏi mức độ dự phòng thảm họa cao nhất. Căn cứ Mục II.12.2.1, đơn vị vận hành phải bảo đảm điều kiện kỹ thuật:

"Có phương án dự phòng hệ thống ở vị trí địa lý khác nhau, cách nhau tối thiểu 30 km."

Quy chuẩn khoảng cách tối thiểu 30 km triệt tiêu nguy cơ gián đoạn do sự cố diện rộng tại một khu vực địa lý, bảo đảm khả năng phục hồi hoạt động ngay lập tức.

Quy tắc 3-2-1: Chuẩn hóa sao lưu và phục hồi dữ liệu

Dữ liệu vận hành đối mặt thường trực với nguy cơ mã hóa tống tiền, tấn công phá hoại hoặc lỗi phần cứng. Theo Mục II.11.3.1, bộ phận vận hành cơ sở dữ liệu phải thực thi quy định:

"Đã áp dụng quy tắc sao lưu 3-2-1 hoặc có biện pháp tương đương bảo vệ bản sao lưu dữ liệu đảm bảo tính toàn vẹn, tính sẵn sàng và khả năng khôi phục của dữ liệu."

Quy tắc yêu cầu duy trì 3 bản sao dữ liệu, lưu trữ trên 2 loại phương tiện khác nhau, có ít nhất 1 bản lưu ngoại vi hoặc tách biệt vật lý. Giải pháp bảo đảm dữ liệu luôn toàn vẹn, sẵn sàng khôi phục khi có sự cố nghiêm trọng.

Số 1: Tần suất xác định rủi ro an ninh mạng tối thiểu 01 lần/năm

Hệ thống thông tin cấp độ 3 yêu cầu rà soát định kỳ nghiêm ngặt nhằm phát hiện lỗ hổng và mối đe dọa mới. Theo Phụ lục VI, Mục II.1.2.3, đơn vị vận hành phải bảo đảm:

"Đã thực hiện xác định rủi ro an ninh mạng định kỳ hoặc khi có thay đổi liên quan đến hệ thống thông tin (thay đổi hệ thống, lỗ hổng bảo mật mới, các sự kiện an ninh mạng...): - Cấp độ 3: tối thiểu 01 lần/năm"

Bên cạnh chu kỳ định kỳ tối thiểu hằng năm, quy định bắt buộc kích hoạt quy trình đánh giá rủi ro ngay khi xuất hiện biến động cấu hình, lỗ hổng bảo mật mới hoặc phát sinh sự kiện an ninh mạng thực tế.

Bảng tổng hợp định mức kỹ thuật theo cấp độ hệ thống