An toàn hệ thống thông tin cấp độ 4 là gì, vì sao sàn tài sản mã hóa phải đạt?

An toàn hệ thống thông tin cấp độ 4 vốn dành cho hạ tầng quốc gia, nay là điều kiện bắt buộc trước khi một sàn tài sản mã hóa đi vào vận hành.

Trong hai ngày 22 và 23/10/2026, ba doanh nghiệp CAEX, SCEX và TCEX lần lượt công bố hồ sơ an toàn hệ thống thông tin cấp độ 4 của mình đã vượt qua vòng thẩm định tại Cục An ninh mạng (A05), Bộ Công an.

Với nhiều người dùng, cụm từ cấp độ 4 nghe khá kỹ thuật và khó hình dung. Thực chất, đó là một nấc trong thang phân loại 5 cấp mà Nhà nước dùng để quyết định một hệ thống thông tin cần lớp bảo vệ dày tới đâu, dựa trên loại dữ liệu hệ thống xử lý và hậu quả nếu hệ thống ngừng chạy hoặc rơi vào tay kẻ tấn công.

Với các sàn tài sản mã hóa, cấp độ 4 mang thêm một ý nghĩa pháp lý cụ thể. Nghị quyết 05/2025/NQ-CP của Chính phủ về thí điểm thị trường tài sản mã hóa yêu cầu hệ thống công nghệ thông tin của tổ chức cung cấp dịch vụ phải đạt chuẩn an toàn cấp độ 4 trước khi đưa vào vận hành, khai thác.

Thang 5 cấp độ và vị trí của cấp độ 4 trong quy định pháp luật

Nền tảng của khái niệm nằm ở Nghị định 85/2016/NĐ-CP ngày 1/7/2016 về bảo đảm an toàn hệ thống thông tin theo cấp độ, văn bản hướng dẫn Luật An toàn thông tin mạng năm 2015. Nghị định chia thông tin thành bốn loại gồm thông tin công cộng, thông tin riêng, thông tin cá nhân và thông tin bí mật nhà nước, đồng thời chia hệ thống theo chức năng phục vụ.

Ở nấc thấp nhất, cấp độ 1 dành cho hệ thống nội bộ chỉ xử lý thông tin công cộng. Cấp độ 2 bao gồm các dịch vụ trực tuyến xử lý thông tin cá nhân của dưới 10.000 người dùng. Khi con số chạm mốc 10.000 người dùng, hoặc dịch vụ thuộc danh mục ngành nghề kinh doanh có điều kiện, hệ thống chuyển lên cấp độ 3.

Thang 5 cấp và vị trí an toàn hệ thống thông tin cấp độ 4 tại Việt Nam. Chú thích ảnh có thể ghi: Thang phân loại 5 cấp độ theo Nghị định 85/2016/NĐ-CP.

Cấp độ 4 nằm ngay dưới mức cao nhất. Theo Điều 10 Nghị định 85/2016/NĐ-CP, một hệ thống thuộc cấp độ 4 khi đáp ứng một trong bốn tiêu chí. Thứ nhất là hệ thống xử lý bí mật nhà nước hoặc phục vụ quốc phòng, an ninh mà hành vi phá hoại có thể gây tổn hại nghiêm trọng tới an ninh quốc gia.

Thứ hai là hệ thống thông tin quốc gia phục vụ Chính phủ điện tử, phải chạy liên tục 24/7 và không chấp nhận ngừng ngoài kế hoạch. Thứ ba là hạ tầng thông tin dùng chung cho các cơ quan, tổ chức trên phạm vi toàn quốc, cũng với yêu cầu vận hành 24/7. Thứ tư là hệ thống điều khiển công nghiệp trực tiếp vận hành các công trình xây dựng cấp I.

Phía trên cấp độ 4 chỉ còn cấp độ 5, nhóm hệ thống thông tin quan trọng quốc gia mà Thủ tướng Chính phủ phê duyệt danh mục. Nhóm cấp độ 5 bao gồm hệ thống lưu trữ tập trung dữ liệu đặc biệt quan trọng và hạ tầng kết nối Việt Nam với quốc tế.

Đối chiếu bốn tiêu chí an toàn hệ thống thông tin cấp độ 4, sàn tài sản mã hóa không thuộc trọn vẹn nhóm nào. Theo thang tiêu chí gốc, một nền tảng giao dịch trực tuyến phục vụ trên 10.000 người dùng thường rơi vào cấp độ 3. Yêu cầu cấp độ 4 với nhóm doanh nghiệp đến trực tiếp từ khoản 7 Điều 8 Nghị quyết 05/2025/NQ-CP.

Một cách lý giải là sàn giữ tài sản thật của người dùng, khớp lệnh liên tục và luôn nằm trong tầm ngắm của các nhóm tin tặc quy mô lớn. Tháng 9/2026, sàn quốc tế Bitget cho biết một vụ tấn công ảnh hưởng tới khoảng 351,6 triệu USD tài sản số, cho thấy mức thiệt hại một sự cố có thể gây ra với loại hình kinh doanh đó.

Hồ sơ cấp độ 4 phải chứng minh những gì trước cơ quan thẩm định

Hồ sơ an toàn hệ thống thông tin cấp độ 4 không dừng ở việc doanh nghiệp tự nhận mình thuộc nhóm nào. Theo Điều 15 Nghị định 85/2016/NĐ-CP, hồ sơ đề xuất gồm tài liệu mô tả tổng quan hệ thống, tài liệu thiết kế, thuyết minh căn cứ đề xuất cấp độ và thuyết minh phương án bảo đảm an toàn.

Thành phần thứ năm là ý kiến chuyên môn của đơn vị chuyên trách an toàn thông tin thuộc chủ quản hệ thống, chỉ bắt buộc với hồ sơ cấp độ 4 và cấp độ 5. Cơ quan thẩm định có tối đa 30 ngày để xem xét một bộ hồ sơ cấp độ 4 hợp lệ, gấp đôi thời hạn 15 ngày áp cho cấp độ 3.

Phương án bảo đảm an toàn phải bao trùm toàn bộ vòng đời hệ thống, từ khâu thiết kế, xây dựng, vận hành tới kiểm tra đánh giá, quản lý rủi ro, giám sát, dự phòng và khôi phục sau thảm họa. Phương án cũng phải tính tới giai đoạn kết thúc vận hành, thanh lý và hủy bỏ hệ thống.

Phần nội dung kỹ thuật bám theo Thông tư 12/2022/TT-BTTTT và tiêu chuẩn quốc gia TCVN 11930:2017. Hai văn bản chia yêu cầu thành hai nhóm. Nhóm quản lý gồm chính sách an toàn thông tin, tổ chức bộ máy, nhân lực, quản lý thiết kế, vận hành và quản lý rủi ro. Nhóm kỹ thuật gồm bảo vệ mạng, máy chủ, ứng dụng và dữ liệu.

Sau khi có cấp độ, nghĩa vụ vẫn tiếp diễn. Chủ quản hệ thống cấp độ 3 và cấp độ 4 phải kiểm tra, đánh giá an toàn thông tin cùng rủi ro hằng năm. Đơn vị đứng ra đánh giá phải là tổ chức chuyên môn có giấy phép, tổ chức sự nghiệp nhà nước có chức năng phù hợp hoặc đơn vị mà cơ quan có thẩm quyền chỉ định.

Từ ngày 1/7/2026, Luật An ninh mạng số 116/2025/QH15 có hiệu lực, kéo theo Nghị định 331/2026/NĐ-CP ngày 19/8/2026 về bảo vệ an ninh mạng đối với hệ thống thông tin. Những hệ thống đã có cấp độ theo Luật An toàn thông tin mạng tiếp tục giữ cấp độ đó trong giai đoạn chuyển tiếp.

Với hệ thống đầu tư, xây dựng trước ngày 1/7/2026, chủ quản phải hoàn tất thẩm định, phê duyệt cấp độ theo Nghị định 85/2016/NĐ-CP trong 6 tháng. Trong 12 tháng kể từ ngày luật mới có hiệu lực, hệ thống phải đáp ứng đủ điều kiện và biện pháp bảo vệ tương ứng với cấp độ theo nghị định mới.

Nghị định 331/2026/NĐ-CP cho phép hệ thống cấp độ 3 và cấp độ 4 dùng chung hạ tầng vật lý tại trung tâm dữ liệu hoặc nền tảng điện toán đám mây. Điều kiện đi kèm là doanh nghiệp phải tách riêng về mặt lô gíc phần hệ thống, phân vùng mạng và phân vùng lưu trữ dữ liệu, qua đó giảm chi phí đầu tư phần cứng riêng.

CAEX, SCEX và TCEX đạt cấp độ 4, giấy phép vẫn ở phía trước

CAEX là Công ty cổ phần Sàn giao dịch Tài sản mã hóa Việt Nam Thịnh Vượng, thành viên hệ sinh thái VPBank. Ngày 22/10/2026, doanh nghiệp công bố Cục An ninh mạng đã thẩm định và đồng ý với đề xuất an toàn hệ thống thông tin cấp độ 4 của sàn.

Bảo vệ thông tin nhạy cảm trong các trung tâm dữ liệu đòi hỏi một chiến lược toàn diện bao gồm cả các biện pháp an ninh vật lý cho cơ sở và các biện pháp phòng thủ ảo chống lại các mối đe dọa mạng, đảm bảo một cách tiếp cận đa lớp để bảo vệ dữ liệu. Nguồn: ENCOR