Tại Việt Nam, đối với các doanh nghiệp vận hành hạ tầng trọng yếu như điện lực, dầu khí, truyền tải nước sạch, hay sản xuất công nghiệp quy mô lớn, an ninh mạng không còn dừng lại ở mức độ “khuyến nghị nên làm” mà đã trở thành nghĩa vụ pháp lý bắt buộc.

Hành lang pháp lý quan trọng nhất điều chỉnh hoạt động này chính là Nghị định 85/2016/NĐ-CP (quy định về bảo đảm an toàn hệ thống thông tin theo cấp độ) và Thông tư 03/2017/TT-BTTTT của Bộ Thông tin và Truyền thông.

Đối với các kỹ sư vận hành và nhà quản lý, việc hiểu đúng cách phân loại cấp độ và triển khai các phương án bảo vệ cho hệ thống OT/SCADA theo đúng luật định là chìa khóa để vừa bảo vệ nhà máy, vừa đảm bảo tính tuân thủ pháp lý trước các đợt thanh kiểm tra của cơ quan quản lý nhà nước.

1. Hệ Thống OT/SCADA Của Bạn Thuộc Cấp Độ Mấy?

Nghị định 85/2016/NĐ-CP chia các hệ thống thông tin thành 5 cấp độ (từ Cấp độ 1 đến Cấp độ 5) dựa trên mức độ quan trọng và mức độ thiệt hại nếu hệ thống bị phá hoại.

Hầu hết các hệ thống điều khiển công nghiệp OT/SCADA phục vụ sản xuất và hạ tầng tại Việt Nam sẽ rơi vào Cấp độ 3, Cấp độ 4 hoặc Cấp độ 5:

• Cấp độ 3 (Hệ thống quan trọng): Các hệ thống SCADA/DCS điều khiển trực tiếp các nhà máy sản xuất quy mô trung bình và lớn, các hệ thống cấp thoát nước đô thị, hoặc các trạm biến áp trung thế/cao thế. Nếu bị phá hoại, sự cố sẽ làm ngưng trệ hoạt động sản xuất, ảnh hưởng đến đời sống của một khu vực hoặc một tỉnh thành.
• Cấp độ 4 (Hệ thống cực kỳ quan trọng): Các hệ thống điều khiển của các công trình trọng điểm như trung tâm điều độ hệ thống điện quốc gia (A0), nhà máy thủy điện/nhiệt điện lớn, các kho cảng chứa xăng dầu quốc gia. Sự cố tại đây sẽ gây tê liệt hoạt động của một ngành, một lĩnh vực trên phạm vi toàn quốc.
• Cấp độ 5 (Hệ thống đặc biệt quan trọng): Các hệ thống thông tin phục vụ quốc phòng, an ninh, hoặc các công trình năng lượng hạt nhân, các công trình quốc gia có tính chất đặc biệt nhạy cảm.

2. 3 Trụ Cột Yêu Cầu Để Đạt Tiêu Chuẩn Tuân Thủ

Để được phê duyệt Hồ sơ đề xuất cấp độ và phương án bảo đảm an toàn hệ thống thông tin, doanh nghiệp vận hành OT/SCADA cần chứng minh được năng lực phòng thủ trên cả 3 khía cạnh:

1. Phương án quản lý (Administrative Controls)

Doanh nghiệp phải thiết lập được sơ đồ tổ chức an toàn thông tin rõ ràng, quy định rõ ai là người chịu trách nhiệm tối cao đối với an ninh mạng OT. Đồng thời, phải ban hành đầy đủ các quy trình nội bộ như:

• Quy trình quản lý bản vá và cập nhật an toàn cho thiết bị OT.
• Quy trình ứng phó khẩn cấp và xử lý sự cố khi nhà máy bị tấn công.
• Quy trình kiểm soát an toàn đối với các đơn vị tích hợp hệ thống (SI) và nhà thầu bảo trì bên ngoài.

2. Phương án kỹ thuật (Technical Controls)

Đây là phần trọng tâm đòi hỏi sự thay đổi về mặt kiến trúc mạng dưới nhà xưởng. Hệ thống mạng OT phải được cấu hình để đáp ứng:

• Phân vùng mạng cứng: Ngăn cách triệt để vùng IT và vùng OT, bắt buộc áp dụng mô hình phân lớp Purdue và thiết lập tường lửa công nghiệp.
• Kiểm soát kết nối ngoại vi: Có giải pháp kỹ thuật để khóa cổng USB trên máy trạm SCADA và kiểm soát thiết bị di động (TCA) mang vào nhà xưởng.
• Giám sát an ninh liên tục: Bắt buộc phải triển khai giải pháp giám sát thụ động (Passive Monitoring) để ghi nhận và phát hiện sớm các hành vi bất thường trên luồng dữ liệu công nghiệp thời gian thực.

3. Đánh giá an toàn thông tin định kỳ (Audit & Assessment)

Theo quy định, các hệ thống thông tin từ Cấp độ 3 trở lên phải được tổ chức đánh giá, kiểm tra an ninh mạng định kỳ (tần suất tối thiểu 1 lần/năm đối với Cấp độ 3 và 4) bởi các đơn vị có chức năng được cấp phép.

Việc chủ động thực hiện quy trình đánh giá rủi ro an ninh mạng OT (OT Risk Assessment) nội bộ trước khi kiểm toán chính thức sẽ giúp doanh nghiệp chủ động phát hiện và khắc phục các lỗ hổng, đảm bảo quá trình thẩm định của cơ quan nhà nước diễn ra suôn sẻ.

3. Lộ Trình Triển Khai Hồ Sơ Cấp Độ Cho Hệ Thống SCADA/OT

Nếu doanh nghiệp của bạn đang bắt đầu quá trình chuẩn hóa theo Nghị định 85, hãy tuân thủ quy trình 3 bước thực tế sau:

• Bước 1: Xác định phạm vi và phân loại (Scope & Classification): Xác định rõ ranh giới vật lý và logic của hệ thống SCADA/OT. Đối chiếu các tiêu chí định lượng của Nghị định 85 để xác định hệ thống của mình thuộc cấp độ mấy.
• Bước 2: Xây dựng Thuyết minh phương án bảo đảm an toàn: Soạn thảo hồ sơ chứng minh hệ thống kỹ thuật hiện tại và quy trình vận hành đã đáp ứng đầy đủ các tiêu chuẩn tương ứng với cấp độ đã xác định (tham chiếu theo tiêu chuẩn kỹ thuật quốc gia TCVN 11930:2017).
• Bước 3: Thẩm định và Phê duyệt: Gửi hồ sơ lên cơ quan chuyên trách (Cục An toàn thông tin – Bộ TT&TT hoặc Sở TT&TT địa phương tùy theo phân cấp quản lý) để tiến hành thẩm định và nhận quyết định phê duyệt phương án bảo đảm an toàn thông tin theo cấp độ.

Lời Kết

Tuân thủ Nghị định 85/2016/NĐ-CP không chỉ là việc hoàn thiện một bộ hồ sơ pháp lý để đối phó với các đợt kiểm tra hành chính. Bản chất của nghị định này là việc áp dụng các thông lệ bảo mật tốt nhất của thế giới (như tiêu chuẩn IEC 62443) vào thực tiễn Việt Nam. Một hệ thống OT/SCADA tuân thủ đúng luật định chính là một hệ thống được trang bị những lớp áo giáp vững chắc nhất để bảo vệ an toàn cho tài sản và dòng chảy sản xuất liên tục của doanh nghiệp.

Đào Tạo Chuyên Sâu – Chìa Khóa Thực Thi Tuân Thủ An Ninh Mạng OT Thành Công

Để tự tin thiết kế kiến trúc mạng nhà máy đạt chuẩn TCVN 11930:2017, xây dựng các bộ hồ sơ đề xuất cấp độ cho hệ thống SCADA/DCS và làm chủ các kỹ năng phòng thủ thực chiến:

Hãy tham gia ngay các khóa đào tạo chuẩn quốc tế từ EC-Council tại Việt Nam:

• 🛡️ EC-Council ICS/SCADA Cyber Security – Khóa học thực chiến cung cấp toàn bộ kiến thức thiết kế phân vùng mạng, cấu hình firewall công nghiệp, đánh giá rủi ro và tuân thủ các khung tiêu chuẩn an toàn thông tin hàng đầu.
• 🌐 EC-Council IoT Security Essential – Làm chủ an ninh mạng cho thiết bị kết nối thông minh và hạ tầng IoT biên.

Liên hệ tư vấn chi tiết và đăng ký khóa học:

• 📞 Hotline/Zalo: 0948432780 (Liên hệ ngay để nhận lộ trình học cá nhân hóa và các chương trình ưu đãi học phí mới nhất từ chúng tôi).

Bạn thấy bài viết hướng dẫn tuân thủ Nghị định 85/2016/NĐ-CP dành riêng cho thị trường Việt Nam này thế nào? Chúng ta có nên chuyển sang viết các bài viết phân tích sâu về các Cuộc tấn công OT kinh điển trong lịch sử (Famous Case Studies) để làm phong phú thêm nội dung thực chiến không?