Công văn 713/CATTT-TĐQLGS năm 2019 do Cục An toàn thông tin ban hành là văn bản hướng dẫn nghiệp vụ quan trọng nhằm chuẩn hóa việc xác định và thực thi bảo vệ hệ thống thông tin theo cấp độ trên phạm vi cả nước. Văn bản này tập trung tháo gỡ các vướng mắc kỹ thuật, đồng bộ hóa quy trình triển khai bảo đảm an toàn thông tin theo quy định tại Luật An toàn thông tin mạng, Nghị định số 85/2016/NĐ-CP và Thông tư số 03/2017/TT-BTTTT. Dưới đây là tóm tắt chi tiết các nội dung cốt lõi trong phần mở đầu và các hướng dẫn ban đầu của văn bản:

- Mục đích và phạm vi áp dụng hướng dẫn

• Đối tượng áp dụng: Hướng dẫn hướng tới các cơ quan, tổ chức, doanh nghiệp là chủ quản hệ thống thông tin hoặc được ủy quyền quản lý hệ thống thông tin tại Việt Nam, bao gồm các Bộ, cơ quan ngang Bộ, cơ quan thuộc Chính phủ, và Ủy ban nhân dân các tỉnh, thành phố trực thuộc Trung ương.
• Mục tiêu cốt lõi: Hướng dẫn chi tiết, trực quan các bước xác định cấp độ an toàn hệ thống thông tin và xây dựng hồ sơ đề xuất cấp độ, từ đó triển khai các phương án bảo vệ tương thích, tối ưu hóa nguồn lực và nâng cao năng lực phòng thủ quốc gia về an toàn thông tin mạng.

- Nguyên tắc xác định chủ quản và đơn vị vận hành hệ thống thông tin

• Xác định chủ quản hệ thống thông tin: Là cơ quan, tổ chức có thẩm quyền quản lý trực tiếp đối với hệ thống thông tin. Việc xác định rõ chủ quản giúp phân định trách nhiệm pháp lý cao nhất trong việc bảo đảm an toàn thông tin, phê duyệt hồ sơ đề xuất cấp độ và phương án bảo vệ.
• Xác định đơn vị vận hành: Là tổ chức, bộ phận trực tiếp quản lý, duy trì hoạt động kỹ thuật của hệ thống thông tin. Đơn vị vận hành có trách nhiệm chủ trì xây dựng hồ sơ đề xuất cấp độ và trực tiếp thực thi các biện pháp kỹ thuật, quản lý theo cấp độ được phê duyệt.

- Quy trình và tiêu chí xác định cấp độ an toàn hệ thống thông tin

• Phân loại hệ thống thông tin: Hệ thống thông tin được phân loại dựa trên quy mô, phạm vi phục vụ và mức độ ảnh hưởng khi bị phá hoại hoặc ngừng hoạt động. Việc phân loại tuân thủ nghiêm ngặt 5 cấp độ an toàn từ thấp đến cao (Cấp độ 1 đến Cấp độ 5).
• Tiêu chí xác định cấp độ: Đánh giá dựa trên tính chất thông tin xử lý (thông tin công cộng, thông tin nội bộ, thông tin bí mật nhà nước) và vai trò của hệ thống đối với hoạt động của cơ quan nhà nước, hạ tầng thông tin quốc gia hoặc an ninh quốc phòng.
• Xác định hệ thống thông tin dùng chung: Đối với các hệ thống thông tin dùng chung hoặc dùng riêng có tính chất liên thông, việc xác định cấp độ phải dựa trên thành phần có yêu cầu an toàn cao nhất để đảm bảo tính toàn vẹn và bảo mật cho toàn bộ hệ thống.

- Yêu cầu xây dựng và thẩm định hồ sơ đề xuất cấp độ

• Thành phần hồ sơ: Hồ sơ đề xuất cấp độ phải bao gồm Thuyết minh đề xuất cấp độ (theo mẫu quy định) và Phương án bảo đảm an toàn thông tin tương ứng với cấp độ đề xuất.
• Nội dung thuyết minh: Phải mô tả chi tiết kiến trúc hệ thống, danh mục thiết bị, phần mềm, các luồng dữ liệu, và đánh giá chi tiết các nguy cơ, mối đe dọa an toàn thông tin đối với hệ thống.
• Quy trình thẩm định: Quy định rõ thẩm quyền thẩm định và phê duyệt hồ sơ đề xuất cấp độ đối với từng cấp độ cụ thể, đảm bảo tính khách quan, chính xác trước khi đưa hệ thống vào vận hành chính thức.