Võ Hồng Như Ý

TCVN 14423:2026 thay thế đồng thời TCVN 11930:2017 và TCVN 14423:2025. Tôi so sánh ba tiêu chuẩn này để xem yêu cầu bảo vệ hệ thống thông tin (HTTT) thay đổi như thế nào, từ cấu trúc phân loại cho đến các nhóm biện pháp quản lý, kỹ thuật và vận hành.

Đây là bài viết tổng hợp và so sánh theo quan điểm cá nhân, không đại diện cho cơ quan, tổ chức nào.

1. Tổng quan ba tiêu chuẩn

TCVN 11930:2017 có tên “Công nghệ thông tin – Các kỹ thuật an toàn – Yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ”. Tiêu chuẩn này có các yêu cầu riêng đối với HTTT từ cấp độ 1 đến cấp độ 5, chia thành yêu cầu quản lý và yêu cầu kỹ thuật; các yêu cầu kỹ thuật chủ yếu nhóm theo mạng, máy chủ, ứng dụng và dữ liệu.

TCVN 14423:2025 có tên “An ninh mạng – Yêu cầu đối với hệ thống thông tin quan trọng”. Tiêu chuẩn phân thành hai đối tượng: hệ thống thông tin của cơ quan nhà nước (Điều 4, 15 nhóm yêu cầu) và hệ thống thông tin quan trọng về an ninh quốc gia (Điều 5, 18 nhóm yêu cầu). Đây không phải cách phân chia riêng từng cấp độ 1–5.

TCVN 14423:2026 có tên “An ninh mạng – Hệ thống thông tin – Yêu cầu cơ bản”. Theo lời nói đầu, tiêu chuẩn này thay thế cả hai tiêu chuẩn trên ở cấp độ tiêu chuẩn kỹ thuật và tổ chức lại yêu cầu cơ bản theo các cấp độ 1–5. Việc thay thế tiêu chuẩn không tự nó giải quyết toàn bộ hiệu lực của hồ sơ, hợp đồng hoặc yêu cầu pháp lý đã viện dẫn tiêu chuẩn cũ. Hệ thống thông tin quan trọng về an ninh quốc gia áp dụng yêu cầu tương đương cấp độ 5 theo mục 1 của tiêu chuẩn.

2. Bảng so sánh

3. Yêu cầu đối với từng cấp độ

Việc cùng có 18 nhóm kiểm soát ở cấp độ 3, 4 và 5 không có nghĩa nội dung yêu cầu hay mức bảo vệ giống nhau. Qua cấu trúc này, có thể thấy sự khác nhau giữa các cấp độ không đơn thuần là số nhóm yêu cầu. Các cấp độ có thể cùng tên nhóm kiểm soát nhưng nội dung cụ thể, phạm vi và mức yêu cầu được quy định tại từng điều khác nhau. Vì vậy, không nên sử dụng bảng kiểm của một cấp độ cho tất cả hệ thống.

4. Những thay đổi đáng chú ý

4.1. Quản lý rủi ro và tài sản

TCVN 14423:2026 đưa quản lý rủi ro, tài sản phần cứng, phần mềm và tài sản thông tin thành các nhóm yêu cầu riêng ở cả năm cấp độ. TCVN 11930:2017 đã có những nội dung liên quan, nhưng được đặt trong các yêu cầu quản lý và kỹ thuật. Cách trình bày này cũng kế thừa những nhóm nội dung đã xuất hiện trong TCVN 14423:2025.

Quan điểm cá nhân: Tôi thấy lợi ích lớn nhất là thuận tiện hơn khi kiểm kê, phân công trách nhiệm và đối chiếu giữa hồ sơ với hệ thống đang vận hành. Danh sách tài sản phải đi cùng người phụ trách, tình trạng sử dụng và các rủi ro thực tế.

4.2. Cấu hình, tài khoản, lỗ hổng và bản vá

Cả ba tiêu chuẩn đều đề cập đến những biện pháp bảo vệ này dưới các hình thức tổ chức khác nhau. Ở TCVN 14423:2026, yêu cầu được đặt thành nhóm quản lý cấu hình, tài khoản và quyền truy cập, lỗ hổng bảo mật trong từng cấp độ.

Quan điểm cá nhân: Tôi quan tâm đến khả năng kiểm chứng: có cấu hình chuẩn để đối chiếu không, tài khoản hết nhu cầu đã được thu hồi chưa, lỗ hổng có hạn xử lý và kiểm tra lại không. Có quy trình nhưng không có kết quả thực hiện thì rất khó biết biện pháp bảo vệ có hiệu quả.

4.3. Nhật ký, giám sát và phòng thủ

Trong TCVN 11930:2017, nhật ký và giám sát được đề cập ở nhiều nhóm yêu cầu quản lý, kỹ thuật. TCVN 14423:2025 tách nhóm nhật ký; riêng HTTT quan trọng về an ninh quốc gia còn có nhóm giám sát và phòng thủ. TCVN 14423:2026 có nhóm quản lý nhật ký ở cả năm cấp độ và nhóm giám sát, phòng thủ từ cấp độ 3.

Quan điểm cá nhân: Thu thập được log chưa có nghĩa đã giám sát tốt. Cần đánh giá độ phủ nguồn log, khả năng phát hiện, cảnh báo và quy trình xử lý khi phát sinh dấu hiệu bất thường.

4.4. Dữ liệu, sao lưu và phục hồi

Yêu cầu bảo vệ dữ liệu, sao lưu và khôi phục đã có trong TCVN 11930:2017. TCVN 14423:2025 và 14423:2026 tiếp tục thể hiện thành các nhóm kiểm soát riêng, gắn với quản lý tài sản thông tin và khôi phục dữ liệu.

Quan điểm cá nhân: Với tôi, điều quan trọng nhất không phải chỉ là có bản sao lưu, mà là đã thử khôi phục và kiểm tra được dữ liệu, ứng dụng có trở lại trạng thái mong muốn hay không.

4.5. Hạ tầng mạng và truy cập từ xa

TCVN 11930:2017 chú trọng các yêu cầu kỹ thuật về phân vùng và bảo vệ mạng. Hai phiên bản TCVN 14423 tiếp tục có nhóm quản lý hạ tầng mạng, với yêu cầu chi tiết theo loại HTTT ở bản 2025 và theo cấp độ ở bản 2026.

Quan điểm cá nhân: Sơ đồ mạng, quy tắc firewall, kết nối đến nhà cung cấp và kênh quản trị từ xa cần được rà soát trên hiện trạng. Không nên chỉ đánh giá dựa trên sơ đồ thiết kế ban đầu.

4.6. Nhà cung cấp và phát triển ứng dụng

Quản lý nhà cung cấp là nhóm kiểm soát xuyên suốt các cấp độ trong TCVN 14423:2026. Phát triển ứng dụng an toàn là nhóm riêng từ cấp độ 3 đến 5. Trong bản 2025, nhóm phát triển ứng dụng an toàn xuất hiện đối với HTTT quan trọng về an ninh quốc gia.

Quan điểm cá nhân: Một phần dịch vụ được thuê ngoài không đồng nghĩa với việc có thể bỏ qua khâu kiểm soát. Ngoài điều khoản hợp đồng, tôi cho rằng cần có cách theo dõi quyền truy cập, thành phần bên thứ ba, thay đổi ứng dụng và phối hợp xử lý sự cố.

4.7. Ứng phó sự cố và kiểm tra an ninh mạng

Nhóm quản trị ứng phó sự cố xuất hiện ở cả năm cấp độ trong TCVN 14423:2026. Quản lý kiểm tra an ninh mạng được tổ chức thành nhóm riêng từ cấp độ 3. Trong TCVN 14423:2025, hai nhóm này cùng được nêu riêng đối với HTTT quan trọng về an ninh quốc gia.

Quan điểm cá nhân: Runbook, diễn tập, kết quả kiểm tra và việc khắc phục các phát hiện là những bằng chứng tôi quan tâm. Một phương án ứng cứu cần được thử nghiệm, không chỉ tồn tại dưới dạng văn bản.

5. Rà soát và áp dụng trong thực tế

• Xác nhận cấp độ HTTT và phạm vi áp dụng của từng hệ thống; đối với HTTT quan trọng về an ninh quốc gia, đối chiếu yêu cầu tương đương cấp độ 5.
• Xác định điều tương ứng của TCVN 14423:2026: Điều 3, 4, 5, 6 hoặc 7; không lấy yêu cầu riêng của cấp độ 4 để áp dụng chung.
• Lập bảng mapping từng yêu cầu cũ sang yêu cầu mới, đánh dấu yêu cầu kế thừa, điều chỉnh và bổ sung.
• Kiểm tra hiện trạng với bằng chứng cụ thể: danh mục tài sản, cấu hình, tài khoản, quyền truy cập, nhật ký, phương án sao lưu, kết quả kiểm tra và hồ sơ ứng phó sự cố.
• Phân loại trạng thái đáp ứng, xác định rủi ro, người phụ trách, nguồn lực, thời hạn xử lý và kế hoạch đánh giá lại.
• Rà soát các tài liệu quản trị, hồ sơ kỹ thuật và hợp đồng dịch vụ liên quan để thống nhất căn cứ áp dụng.

6. Kết luận

Theo tôi, điểm đáng chú ý của TCVN 14423:2026 là kết hợp cách phân loại theo cấp độ đã có từ TCVN 11930:2017 với cấu trúc các nhóm kiểm soát về quản trị, vận hành và phòng thủ an ninh mạng được thể hiện rõ trong TCVN 14423:2025.

TCVN là tiêu chuẩn quốc gia. Việc áp dụng tiêu chuẩn về nguyên tắc mang tính tự nguyện, nhưng có thể trở thành yêu cầu cần tuân thủ trong trường hợp được viện dẫn theo quy định pháp luật, hợp đồng, hồ sơ được phê duyệt hoặc căn cứ áp dụng cụ thể. Đối với hồ sơ, hợp đồng và dự án đã xác lập trước khi tiêu chuẩn bị bãi bỏ hoặc thay thế, cần kiểm tra điều khoản chuyển tiếp và căn cứ áp dụng; không mặc nhiên coi tất cả yêu cầu cũ đều hết giá trị. Khi xác định nghĩa vụ của một hệ thống cụ thể, cần đối chiếu quy định pháp luật, hồ sơ phê duyệt cấp độ và các căn cứ áp dụng. Không nên đồng nhất toàn bộ nội dung của tiêu chuẩn với nghĩa vụ pháp lý bắt buộc áp dụng cho mọi tổ chức. Đối với mọi hệ thống từ cấp độ 1 đến cấp độ 5, việc chuyển đổi cần bắt đầu từ đúng yêu cầu theo cấp độ, sau đó mới đánh giá khoảng cách so với hiện trạng. Việc đáp ứng không nên chỉ dừng ở danh sách thiết bị hoặc hồ sơ quy trình mà cần thể hiện được bằng chứng triển khai và hiệu quả vận hành.

7. Một số tình huống thực tế

1. Hệ thống cấp độ 2 có phải triển khai đủ 18 nhóm kiểm soát theo TCVN 14423:2026?

Xét riêng cấu trúc TCVN 14423:2026, Điều 4 dành cho cấp độ 2 gồm 15 nhóm yêu cầu, còn Điều 5–7 dành cho cấp độ 3–5 gồm 18 nhóm. Điều đó không tự nó xác định toàn bộ nghĩa vụ của một HTTT cụ thể: vẫn cần xem xét quy định pháp luật, hồ sơ phê duyệt, hợp đồng và các yêu cầu bổ sung có liên quan.

2. Hệ thống thông tin quan trọng về an ninh quốc gia nên đối chiếu Điều 5 hay Điều 7?

Mục 1 TCVN 14423:2026 nêu hệ thống thông tin quan trọng về an ninh quốc gia áp dụng yêu cầu tương đương hệ thống thông tin cấp độ 5. Vì vậy, cần đối chiếu Điều 7, thay vì nhầm với Điều 5 chỉ vì bản TCVN 14423:2025 có Điều 5 dành cho nhóm hệ thống này.

3. Đã có bảng kiểm đáp ứng TCVN 11930:2017 thì có thể đổi tên tiêu chuẩn thành TCVN 14423:2026 để dùng tiếp không?

Không nên chỉ đổi tên văn bản, cũng không mặc nhiên kết luận mọi hồ sơ viện dẫn tiêu chuẩn cũ phải thay đổi ngay. Cần lập bảng đối chiếu từng yêu cầu, xác định nội dung kế thừa, bổ sung hoặc thay đổi theo cấp độ và kiểm tra bằng chứng thực tế. Ví dụ: quản lý tài sản, nhà cung cấp và ứng phó sự cố được thể hiện thành các nhóm rõ ràng trong TCVN 14423:2026.

Rà soát nội dung: 29/10/2026. Các nhận xét dưới đây phản ánh quan điểm cá nhân trên cơ sở tài liệu công khai; khi áp dụng cho từng hệ thống cần đối chiếu văn bản gốc và căn cứ pháp lý cụ thể.

Tài liệu tham khảo

• TCVN 11930:2017 – Công nghệ thông tin – Các kỹ thuật an toàn – Yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ (trang tra cứu chính thức).
• TCVN 14423:2025 – An ninh mạng – Yêu cầu đối với hệ thống thông tin quan trọng (trang tra cứu chính thức).
• TCVN 14423:2026 – An ninh mạng – Hệ thống thông tin – Yêu cầu cơ bản (trang tra cứu chính thức).

If you found this helpful, you can buy me a coffee and keep me going. Thank you!
https://buymeacoffee.com/vohongnhuy1996
Y – 29/10/2026