Nghị định 331/2026: Chuẩn hóa phân loại và bảo vệ hệ thống thông tin

1. Ma trận 5 cấp độ phân loại hệ thống

Các cơ quan, tổ chức sẽ dựa vào quy mô dữ liệu và tầm quan trọng để tự đối chiếu hệ thống của mình:

• Cấp độ 1 & 2 (Nhóm phổ thông): Dành cho các hệ thống nội bộ hoặc cung cấp dịch vụ trực tuyến không chứa bí mật nhà nước. Nhóm này chỉ xử lý thông tin công cộng hoặc dữ liệu cá nhân ở quy mô vừa và nhỏ (dưới 100.000 dữ liệu cơ bản hoặc dưới 10.000 dữ liệu nhạy cảm).

• Cấp độ 3 (Nhóm rủi ro cao): Hệ thống bắt đầu xử lý bí mật nhà nước, cổng dịch vụ công giải quyết thủ tục hành chính, hoặc lưu trữ dữ liệu cá nhân quy mô lớn. Việc hệ thống này bị phá hoại đã có khả năng làm tổn hại đến an ninh quốc gia.

• Cấp độ 4 & 5 (Nhóm chiến lược): Bao gồm cơ sở hạ tầng Chính phủ điện tử yêu cầu chạy xuyên suốt 24/7, kho dữ liệu tập trung quốc gia, hệ thống kết nối quốc tế, hoặc điều khiển công trình xây dựng cấp I/cấp đặc biệt. Sự cố tại đây sẽ gây hậu quả từ "nghiêm trọng" đến "đặc biệt nghiêm trọng".

2. Định diện hệ thống quan trọng về an ninh quốc gia

Nghị định khoanh vùng một nhóm đặc biệt gọi là "Hệ thống thông tin quan trọng về an ninh quốc gia". Toàn bộ hệ thống Cấp độ 5 đều mặc nhiên lọt vào nhóm này.

Ngoài ra, các hệ thống điều hành viễn thông, công trình trọng điểm cũng sẽ bị liệt vào nhóm này nếu sự cố ngưng trệ tại đó có thể châm ngòi cho các thảm họa:

• Uy hiếp trực tiếp đến chủ quyền, toàn vẹn lãnh thổ và nền kinh tế quốc dân.

• Đe dọa sinh mạng con người và môi trường sinh thái.

• Làm gián đoạn việc chỉ đạo điều hành của các cơ quan đầu não ở Trung ương.

3. Vòng lặp "phòng thủ" bắt buộc

Để bảo vệ các hệ thống trên, chủ quản hệ thống không thể làm theo cảm tính mà phải tuân thủ kỷ luật bảo mật:

• Bảo mật từ trong trứng nước: Yêu cầu an ninh mạng phải được tích hợp vào mọi giai đoạn: thiết kế, xây dựng, vận hành, nâng cấp và thậm chí là khi hủy bỏ hệ thống.

• Kiểm duyệt trước khi chạy (Go-live): Bắt buộc phải lập hồ sơ đề xuất cấp độ. Hệ thống chỉ được phép vận hành chính thức sau khi đã vượt qua khâu đánh giá điều kiện an ninh mạng.

• Giám sát liên tục: Phải áp dụng đúng các biện pháp kỹ thuật theo Tiêu chuẩn quốc gia và tuân thủ quy trình ứng phó, khắc phục sự cố do Bộ trưởng Bộ Công an ban hành.