Ban hành Khung kiến trúc an ninh mạng quốc gia: hạn chế đầu tư trùng lặp, đưa chỉ số an ninh mạng vào đánh giá người đứng đầu

Tháng 8 vừa qua, Nghị định 331/2026/NĐ-CP đã quy định cách phân loại hệ thống thông tin theo năm cấp độ, ai phê duyệt và mỗi cấp độ phải đáp ứng yêu cầu gì. Nghị định đó chưa vẽ ra bức tranh tổng thể về phòng thủ của khu vực nhà nước: thành phần nào xây một lần rồi dùng chung, thành phần nào từng cơ quan tự đầu tư, và các phần kết nối với nhau ra sao. Quyết định 1875/QĐ-TTg ký ngày 30/9/2026 trả lời câu hỏi đó cho khu vực công và các doanh nghiệp nhà nước vận hành hệ thống trọng yếu.

Văn bản là gì

Quyết định 1875/QĐ-TTg ban hành Khung kiến trúc an ninh mạng quốc gia (Phiên bản 1.0). Phó Thủ tướng Hồ Quốc Dũng thay mặt Thủ tướng Chính phủ ký văn bản ngày 30/9/2026. Theo báo Nhân Dân, quyết định có hiệu lực thi hành từ ngày ký. VTV, Nhân Dân, VietnamPlus, Báo Đầu tư và VietQ đều đưa tin thống nhất về số hiệu, người ký và ngày ký.

Khung này là phần an ninh mạng của Khung kiến trúc tổng thể quốc gia số. Mục tiêu được nêu là “thiết lập quy hoạch tổng thể cấp quốc gia về công nghệ, dữ liệu và quy trình phòng thủ”. Khung cũng cụ thể hóa nguyên tắc dùng chung, chia sẻ tài nguyên, tránh đầu tư thừa và trùng lặp tại Điều 6 và Điều 30 Nghị định 331/2026/NĐ-CP. Báo Nhân Dân mô tả đây là thành phần kiến trúc xuyên suốt, bảo vệ cả bốn lớp của kiến trúc số: hạ tầng, dữ liệu, ứng dụng và kênh tương tác.

Khung kiến trúc không tự đặt ra yêu cầu kỹ thuật. Yêu cầu cho từng cấp độ hệ thống vẫn theo Nghị định 331/2026 và tiêu chuẩn quốc gia TCVN 14423:2026 (An ninh mạng – Hệ thống thông tin – Yêu cầu cơ bản). Theo VietQ, đây là tiêu chuẩn xuất bản lần 2, thay thế TCVN 14423:2025 và TCVN 11930:2017. Tiêu chuẩn đặt yêu cầu cơ bản theo năm cấp độ, và hệ thống thông tin quan trọng về an ninh quốc gia áp dụng mức tương đương cấp độ 5. Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao biên soạn tiêu chuẩn, Bộ Công an đề nghị và Bộ Khoa học và Công nghệ công bố.

Nội dung chính

Các thành phần dùng chung cấp quốc gia. Khung kiến trúc nêu bốn thành phần được xây dựng tập trung. Các cơ quan dùng chung các thành phần này thay vì tự đầu tư lặp lại:

nền tảng điều hành an ninh mạng quốc gia: giám sát, điều phối và chỉ huy ứng phó sự cố thống nhất;
nền tảng phòng vệ mạng quốc gia: lá chắn bảo vệ biên giới số và các hệ thống trọng yếu;
hạ tầng bảo đảm an ninh, an toàn dữ liệu đầu cuối: bảo vệ thiết bị và người dùng cuối trong cơ quan, tổ chức;
các hệ thống chuyên ngành an ninh mạng thuộc nhóm nền tảng số dùng chung quốc gia.

Hai nhóm hợp phần. Kiến trúc tổng thể gồm “hợp phần trụ cột”, tức Kiến trúc an ninh mạng quốc gia, và các “hợp phần vệ tinh”. Hợp phần vệ tinh là phần bảo đảm an ninh mạng trong khung kiến trúc số của từng cơ quan, tổ chức, và phải kết nối với trụ cột.

Bốn lớp. Kiến trúc quốc gia và các mô hình tham chiếu đều có bốn lớp giống nhau: (1) hạ tầng an ninh mạng, (2) dữ liệu an ninh mạng, (3) nền tảng ứng dụng và nghiệp vụ an ninh mạng, (4) kênh tương tác và đo lường. Ở cấp quốc gia, ba lớp đầu được xác định là dùng chung trong toàn hệ thống chính trị.

Mô hình tham chiếu cho các đối tượng phải áp dụng. Khung kiến trúc quy định các yêu cầu cơ bản về kết nối và chia sẻ dữ liệu giám sát an ninh mạng. Cơ quan không được đầu tư trùng với thành phần dùng chung đã được cung cấp và phải đáp ứng yêu cầu tối thiểu theo cấp độ hệ thống. Khung cũng đưa ra mô hình tham chiếu để các đối tượng sau xây dựng hoặc cập nhật phần an ninh mạng trong khung kiến trúc số của mình:

các bộ, cơ quan ngang bộ;
Ủy ban nhân dân các tỉnh, thành phố trực thuộc trung ương;
các tổ chức chính trị - xã hội sử dụng ngân sách nhà nước;
các tập đoàn, tổng công ty, doanh nghiệp nhà nước và đơn vị sự nghiệp công lập vận hành hệ thống thông tin quan trọng về an ninh quốc gia;
các cơ quan của Đảng, Quốc hội, Văn phòng Chủ tịch nước, Ủy ban Trung ương Mặt trận Tổ quốc Việt Nam, Tòa án nhân dân, Viện kiểm sát nhân dân.

Ở địa phương, mô hình xoay quanh Trung tâm an ninh mạng cấp tỉnh do Công an tỉnh chủ trì quản lý, vận hành. Mô hình cho các bộ, ngành và cơ quan trung ương cũng có bốn lớp như vậy, được điều chỉnh theo cách quản lý theo ngành dọc và yêu cầu bảo mật đặc thù.

Mua sắm, trí tuệ nhân tạo và trách nhiệm

Theo báo Nhân Dân, một mục tiêu của Khung kiến trúc là chuyển từ mua sắm trang thiết bị rời rạc sang đầu tư vào năng lực phòng thủ thực chất. Mục đích là tránh lãng phí vào công nghệ lạc hậu hoặc không phù hợp. Với thành phần chưa được cung cấp tập trung, đơn vị và địa phương có thể thuê dịch vụ công nghệ thông tin để bảo đảm an ninh mạng thay vì tự đầu tư.

Văn bản cũng đặt ra nguyên tắc về AI. Việc lãnh đạo, chỉ đạo, điều hành phải dựa trên dữ liệu theo thời gian thực, và ưu tiên ứng dụng trí tuệ nhân tạo cùng tự động hóa trong xử lý nghiệp vụ. Hệ thống AI phải minh bạch, công bằng, an toàn, có trách nhiệm, có khả năng giải trình và không xâm phạm quyền riêng tư. Văn bản yêu cầu riêng việc giám sát rủi ro đặc thù của trợ lý ảo và AI tạo sinh để tránh rò rỉ dữ liệu nhạy cảm.

Trách nhiệm tổ chức thực hiện được phân như sau:

Bộ Công an chủ trì, phối hợp với Bộ Khoa học và Công nghệ, Ban Cơ yếu Chính phủ và các bộ liên quan. Bộ Công an hướng dẫn, đôn đốc, giám sát, đánh giá việc áp dụng Khung trên toàn quốc, đồng thời xây dựng hệ thống tiêu chuẩn, quy chuẩn kỹ thuật quốc gia và hướng dẫn kỹ thuật về an ninh mạng.
Bộ Khoa học và Công nghệ bảo đảm tiêu chuẩn kỹ thuật an ninh mạng của các nền tảng và cơ sở dữ liệu dùng chung tương thích, liên thông với Khung kiến trúc tổng thể quốc gia số.
Các bộ, cơ quan ngang bộ và Ủy ban nhân dân cấp tỉnh phải đối chiếu kế hoạch của mình với Khung và ưu tiên khai thác thành phần dùng chung.
Tổ chức, doanh nghiệp vận hành hệ thống thông tin quan trọng về an ninh quốc gia phải tự bố trí nguồn lực đầu tư thành phần an ninh mạng tại chỗ, ít nhất bằng yêu cầu tối thiểu theo cấp độ hệ thống. Họ cũng phải phối hợp với Bộ Công an trong kết nối, giám sát và ứng phó sự cố.
Bộ Nội vụ hướng dẫn việc dùng kết quả nhóm chỉ số an ninh mạng làm một trong các nội dung đánh giá, xếp loại chất lượng hằng năm đối với người đứng đầu cơ quan, tổ chức.

Ai chịu tác động

Khung kiến trúc áp dụng trực tiếp với khu vực công và doanh nghiệp nhà nước vận hành hệ thống trọng yếu. Doanh nghiệp tư nhân không nằm trong danh sách đối tượng phải áp dụng mô hình tham chiếu, nhưng vẫn chịu ảnh hưởng gián tiếp theo ba cách.

Thứ nhất, với vai trò nhà cung cấp: việc ưu tiên nền tảng dùng chung và thuê dịch vụ sẽ thay đổi những gì bộ, tỉnh mua sắm. Thứ hai, với vai trò chủ quản hệ thống: hệ thống tư nhân đã được xác định cấp độ theo Nghị định 331 vẫn phải đáp ứng nghị định này và TCVN 14423:2026, cũng là các chuẩn mà Khung kiến trúc dẫn chiếu. Thứ ba, Trung tâm an ninh mạng cấp tỉnh do Công an tỉnh vận hành và nền tảng điều hành quốc gia sẽ là đầu mối trong giám sát và thông báo sự cố.

Với khu vực công, thay đổi rõ ràng nhất có lẽ là điểm cuối cùng: kết quả an ninh mạng sẽ được tính vào đánh giá hằng năm của người đứng đầu.

Những điểm còn bỏ ngỏ

Khi bài viết được thực hiện, toàn văn quyết định chưa được đăng trên các cơ sở dữ liệu pháp luật công khai, nên bài dựa vào nội dung các cơ quan báo chí chính thống đưa tin. Các bản tin này không nêu thời hạn áp dụng Khung hay kết nối với hạ tầng giám sát quốc gia. Chúng cũng chưa cho biết nhóm chỉ số an ninh mạng mà Bộ Nội vụ sẽ dùng gồm những gì, hay khi nào có hướng dẫn. Tên gọi “Phiên bản 1.0” cho thấy văn bản sẽ còn được cập nhật. Cũng chưa rõ việc thuê dịch vụ an ninh mạng sẽ gắn với chế độ cấp phép kinh doanh sản phẩm, dịch vụ an ninh mạng theo các nghị định tháng 8 như thế nào. Các trung tâm giám sát hiện có ở bộ, tỉnh sẽ được sáp nhập vào mô hình trung tâm cấp tỉnh do công an vận hành ra sao cũng chưa được làm rõ.

Nguồn

Bài viết mang tính thông tin, không phải tư vấn pháp lý.