Kiểm tra an toàn thông tin cần thực hiện như thế nào?

Về bản chất, kiểm tra không chỉ nhằm tìm xem hệ thống có lỗ hổng hay không. Chủ quản hệ thống phải tổ chức kiểm tra, đánh giá an ninh mạng và quản lý rủi ro; kết quả phải đủ cơ sở để xác định mức độ tuân thủ, hiệu quả của biện pháp bảo vệ, các điểm yếu còn tồn tại và phương án khắc phục. Việc tự đánh giá nội bộ có thể được thực hiện nhưng bộ phận đánh giá phải độc lập với đơn vị trực tiếp vận hành hệ thống và phải tuân thủ tiêu chí, biểu mẫu, phương pháp do cơ quan có thẩm quyền ban hành.

Kiểm tra an toàn thông tin phải đánh giá những nội dung nào?

Có thể chia hoạt động kiểm tra thành ba lớp chính: tuân thủ, hiệu quả biện pháp bảo vệ và khả năng phát hiện, xử lý điểm yếu kỹ thuật. Đây cũng là cách tiếp cận giúp tránh tình trạng chỉ thực hiện một lần quét lỗ hổng rồi kết luận hệ thống đã an toàn.

Kiểm tra mức độ tuân thủ

Trước hết phải kiểm tra chủ quản, đơn vị chuyên trách và đơn vị vận hành có thực hiện đúng trách nhiệm được giao hay không. Nội dung có thể bao gồm việc lập, thẩm định và phê duyệt hồ sơ đề xuất cấp độ; triển khai phương án bảo đảm an ninh mạng đã được phê duyệt; tổ chức quản lý rủi ro; đào tạo, tuyên truyền và diễn tập.

Điểm quan trọng là kiểm tra hồ sơ phải đi cùng kiểm tra thực tế triển khai. Một hệ thống có quy chế, phương án hoặc hồ sơ đầy đủ nhưng các biện pháp thực tế chưa được triển khai thì vẫn tồn tại khoảng cách tuân thủ cần được ghi nhận và xử lý.

Đánh giá hiệu quả của biện pháp bảo vệ

Lớp đánh giá thứ hai xem các biện pháp đã triển khai có thực sự giảm rủi ro hay chỉ đáp ứng trên giấy tờ.

Nội dung kiểm tra bao gồm:

·         Tính đầy đủ và phù hợp của quy chế bảo đảm an ninh mạng

·         Việc tuân thủ quy trình trong quá trình vận hành, khai thác, kết thúc hoặc hủy bỏ hệ thống

·         Thiết kế hệ thống so với phương án đã được phê duyệt

·         Cấu hình hệ thống so với yêu cầu bảo vệ

·         Cấu hình và tăng cường bảo mật cho thiết bị, hệ điều hành, ứng dụng, cơ sở dữ liệu và các thành phần liên quan

Như vậy, câu hỏi cần trả lời không chỉ là “đã có biện pháp bảo vệ chưa?”, mà còn là “biện pháp đó có phù hợp và có làm giảm rủi ro thực tế hay không?”

Kiểm tra lỗ hổng, mã độc và thử nghiệm xâm nhập

Lớp kỹ thuật tập trung vào khả năng hệ thống bị khai thác trên thực tế. Phạm vi gồm dò quét và phát hiện mã độc, lỗ hổng, điểm yếu; thử nghiệm tấn công xâm nhập; đánh giá an toàn mã nguồn đối với phần mềm nội bộ; đồng thời xây dựng phương án xử lý đối với những nội dung chưa đạt.

Hoạt động kiểm thử có thể thực hiện theo ba hình thức:

·         Black box

·         Gray box

·         White box

Việc lựa chọn hình thức phải phù hợp với mục tiêu và phạm vi đánh giá, thay vì mặc định rằng một hình thức kiểm thử có thể phản ánh toàn bộ trạng thái an toàn của hệ thống.

Kiểm tra an toàn thông tin cần đánh giá những rủi ro nào?

Đánh giá rủi ro phải đi từ tài sản và dữ liệu đến mối đe dọa, điểm yếu, khả năng xảy ra và mức độ tác động.

Theo quy định hiện hành, các yếu tố tối thiểu cần xem xét gồm:

·         Tài sản và chức năng trọng yếu của hệ thống

·         Loại thông tin được xử lý, lưu trữ và truyền đưa

·         Mối đe dọa, điểm yếu và lỗ hổng có khả năng bị khai thác

·         Khả năng xảy ra sự cố

·         Mức độ tác động, hậu quả đối với an ninh quốc gia, trật tự và an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân và lợi ích công cộng

·         Năng lực hiện có trong phòng ngừa, phát hiện, ứng phó và khắc phục sự cố

Điều này cho thấy một lỗ hổng không nên được đánh giá tách rời khỏi bối cảnh hệ thống. Cùng một điểm yếu kỹ thuật nhưng nếu nằm trên tài sản trọng yếu, xử lý dữ liệu nhạy cảm hoặc có khả năng gây gián đoạn dịch vụ quan trọng thì mức rủi ro có thể khác đáng kể.

Vì vậy, báo cáo kiểm tra nên liên kết được ít nhất bốn yếu tố: tài sản bị ảnh hưởng → điểm yếu hoặc mối đe dọa → khả năng khai thác → hậu quả nếu xảy ra sự cố. Cách liên kết này giúp kết quả đánh giá có giá trị quản trị hơn một danh sách lỗ hổng đơn thuần.

Kiểm tra an toàn thông tin được thực hiện theo quy trình nào?

Một quy trình thực tế nên bắt đầu từ việc xác định phạm vi, sau đó mới thực hiện kiểm tra và kết thúc bằng xử lý phát hiện.

Bước 1: Xác định hệ thống và phạm vi kiểm tra

Cần xác định rõ hệ thống nào được đánh giá, các thành phần nằm trong phạm vi, dữ liệu được xử lý, đơn vị vận hành và cấp độ của hệ thống. Đây là cơ sở để xác định tiêu chí, mức độ kiểm tra và nguồn lực cần thiết.

Bước 2: Xác định tiêu chí và phương án đánh giá

Tiêu chí phải bám vào cấp độ, phương án bảo đảm an ninh mạng đã được phê duyệt, quy chế nội bộ, tiêu chuẩn hoặc yêu cầu kỹ thuật áp dụng. Không nên sử dụng một checklist giống nhau cho mọi hệ thống nếu mức độ rủi ro và yêu cầu bảo vệ khác nhau.

Bước 3: Kiểm tra tuân thủ và hiệu quả

Đối chiếu hồ sơ với thực tế triển khai, kiểm tra cấu hình, quy trình vận hành, kiểm soát truy cập, bảo vệ dữ liệu và các biện pháp kỹ thuật liên quan. Mục tiêu là xác định khoảng cách giữa yêu cầu và trạng thái thực tế.

Bước 4: Kiểm tra kỹ thuật

Tùy phạm vi, thực hiện dò quét, phân tích điểm yếu, kiểm thử xâm nhập hoặc đánh giá mã nguồn. Những phát hiện kỹ thuật phải được gắn với tài sản và mức độ rủi ro thay vì chỉ liệt kê số lượng lỗ hổng.

Bước 5: Đánh giá rủi ro và mức độ ảnh hưởng

Không dừng ở việc xác định “có lỗi”. Cần xác định khả năng khai thác, phạm vi ảnh hưởng và hậu quả để ưu tiên xử lý.

Bước 6: Lập phương án khắc phục và kiểm tra lại

Với nội dung chưa đạt, phải có phương án và kế hoạch xử lý lỗ hổng, điểm yếu hoặc tăng cường cấu hình bảo mật. Sau khi khắc phục, cần đánh giá lại để xác định rủi ro đã được giảm đến mức chấp nhận được hay chưa.

Khi nào phải kiểm tra và đánh giá lại an toàn thông tin?

Theo khung hiện hành, hoạt động kiểm tra, giám sát và đánh giá hiệu quả được thực hiện định kỳ theo cấp độ hệ thống và mức độ rủi ro, đồng thời được thực hiện thường xuyên thông qua hoạt động giám sát an ninh mạng, đột xuất khi có dấu hiệu vi phạm hoặc nguy cơ mất an ninh mạng, và theo yêu cầu của cơ quan có thẩm quyền.

Ngoài chu kỳ định kỳ, việc đánh giá điều kiện an ninh mạng còn được đặt ra trong các trường hợp như:

·         Trước khi đưa hệ thống vào vận hành

·         Khi hệ thống có thay đổi lớn về chức năng, quy mô, công nghệ hoặc mức độ rủi ro

·         Khi có yêu cầu của cơ quan có thẩm quyền

Vì vậy, không nên hiểu nghĩa vụ kiểm tra là “mỗi năm làm một lần rồi kết thúc”. Đối với hệ thống có thay đổi lớn hoặc phát sinh nguy cơ mới, việc đánh giá phải được kích hoạt lại để phản ánh trạng thái rủi ro thực tế.

Ai chịu trách nhiệm và kết quả kiểm tra phải được sử dụng như thế nào?

Trách nhiệm chính thuộc chủ quản hệ thống thông tin. Chủ quản phải tổ chức kiểm tra, đánh giá an ninh mạng và quản lý rủi ro trong phạm vi cơ quan, tổ chức của mình, đồng thời chịu trách nhiệm về tính trung thực, đầy đủ và chính xác của kết quả đánh giá. Việc tự đánh giá nội bộ được phép nhưng phải bảo đảm tính độc lập giữa người đánh giá và đơn vị trực tiếp vận hành.

Đơn vị chuyên trách có vai trò tham mưu, tổ chức thực thi, đôn đốc, kiểm tra và giám sát; đồng thời phối hợp với đơn vị vận hành trong kiểm tra, đánh giá rủi ro, dò quét điểm yếu và kiểm thử xâm nhập. Đơn vị vận hành có trách nhiệm thực hiện các biện pháp bảo vệ theo phương án được phê duyệt và định kỳ đánh giá hiệu quả để báo cáo chủ quản điều chỉnh khi cần.

Do đó, kết quả kiểm tra không nên chỉ là một báo cáo “đạt/không đạt”. Một kết quả có giá trị cần thể hiện được:

·         Nội dung đã kiểm tra

·         Phát hiện và bằng chứng

·         Mức độ rủi ro

·         Tác động dự kiến

·         Nguyên nhân hoặc điểm yếu liên quan

·         Biện pháp khắc phục

·         Đơn vị chịu trách nhiệm

·         Thời hạn xử lý

·         Kết quả kiểm tra lại

Mục tiêu cuối cùng của kiểm tra là tạo căn cứ để khắc phục tồn tại, giảm rủi ro và điều chỉnh biện pháp bảo vệ khi không còn phù hợp, chứ không chỉ hoàn thành một thủ tục kiểm tra.

Một lưu ý quan trọng về thời điểm pháp lý: Nghị định 331/2026/NĐ-CP đã thiết lập khung mới từ tháng 8/2026. Với một số hệ thống đang trong quá trình đầu tư, xây dựng trước ngày 01/07/2026, nghị định có quy định chuyển tiếp liên quan đến việc hoàn thành thẩm định, phê duyệt cấp độ theo Nghị định 85/2016/NĐ-CP và thời hạn chuyển sang các yêu cầu mới. Vì vậy, khi xác định nghĩa vụ cụ thể cho một hệ thống đang tồn tại, cần kiểm tra cả tình trạng đầu tư, cấp độ và điều khoản chuyển tiếp thay vì áp dụng máy móc quy định cũ.

Tóm lại, kiểm tra an toàn thông tin phải được thực hiện như một chu trình quản trị rủi ro, gồm kiểm tra tuân thủ, đánh giá hiệu quả biện pháp bảo vệ, kiểm tra kỹ thuật, nhận diện và lượng hóa rủi ro, khắc phục và kiểm tra lại. Theo khung pháp lý hiện hành, trọng tâm không còn là chứng minh hệ thống “đã có biện pháp bảo vệ”, mà phải chứng minh các biện pháp đó phù hợp, có hiệu quả và đủ khả năng giảm thiểu rủi ro thực tế.