QCVN 12:2026/BCA về an ninh mạng cho hệ thống thông tin lưu trữ tài liệu điện tử

Quá trình chuyển đổi số tại các cơ quan Đảng, Nhà nước đang làm thay đổi phương thức tạo lập, quản lý, khai thác và lưu trữ tài liệu. Thay vì chủ yếu được quản lý dưới dạng hồ sơ giấy, nhiều tài liệu được tạo lập trực tiếp trên môi trường điện tử, lưu trữ trong cơ sở dữ liệu và truy cập thông qua hệ thống thông tin. Cách thức này giúp việc tìm kiếm, trao đổi và khai thác tài liệu thuận tiện hơn, nhưng cũng đặt ra yêu cầu cao hơn về bảo vệ dữ liệu.

Khi tài liệu được lưu trữ trên hệ thống mạng, nguy cơ không chỉ đến từ các cuộc tấn công mạng mà còn có thể xuất phát từ lỗ hổng phần mềm, tài khoản bị chiếm quyền, thiết bị không được quản lý hoặc thao tác sai trong quá trình vận hành. Dữ liệu có thể bị truy cập, sao chép, sửa đổi hoặc xóa trái phép; hệ thống cũng có nguy cơ gián đoạn, ảnh hưởng đến khả năng khai thác tài liệu và hoạt động của cơ quan.

Đáng chú ý, tài liệu lưu trữ điện tử không chỉ cần được bảo vệ khỏi nguy cơ mất cắp mà còn phải duy trì tính toàn vẹn, khả năng đọc và truy cập trong thời gian dài. Nếu nội dung bị thay đổi mà không được phát hiện, hoặc dữ liệu không thể khôi phục sau sự cố, giá trị sử dụng của tài liệu có thể bị ảnh hưởng. Đây là những yêu cầu đặt ra đối với công tác quản lý, vận hành hệ thống lưu trữ trong môi trường số. 

Trước yêu cầu đó, ngày 12/5/2026, Bộ Công an ban hành Thông tư số 47/2026/TT-BCA kèm theo Quy chuẩn kỹ thuật quốc gia QCVN 12:2026/BCA về an ninh mạng cho hệ thống thông tin lưu trữ tài liệu điện tử trong các cơ quan Đảng, Nhà nước. Thông tư có hiệu lực từ ngày 1/7/2026, tạo cơ sở kỹ thuật để các cơ quan, tổ chức triển khai biện pháp bảo vệ phù hợp trong quá trình quản lý và khai thác tài liệu điện tử. 

QCVN 12:2026/BCA đặt ra yêu cầu thống nhất hơn đối với công tác bảo vệ hệ thống lưu trữ tài liệu điện tử. Ảnh minh họa

Kiểm soát từ tài khoản, thiết bị đến tính toàn vẹn dữ liệu

QCVN 12:2026/BCA áp dụng đối với cơ quan, tổ chức, cá nhân liên quan đến hoạt động quản lý, vận hành và bảo đảm an ninh mạng cho hệ thống thông tin lưu trữ tài liệu điện tử không chứa thông tin thuộc phạm vi bí mật nhà nước. Quy chuẩn không áp dụng đối với hệ thống lưu trữ tài liệu điện tử có chứa bí mật nhà nước và các giải pháp bảo mật, xác thực trong hoạt động nghiệp vụ lưu trữ thuộc lĩnh vực quản lý nhà nước về cơ yếu, chữ ký số chuyên dùng công vụ. Nội dung QCVN 12:2026/BCA.

Một trong những yêu cầu trọng tâm là quản lý rủi ro an ninh mạng. Chủ quản hệ thống phải xác định cấp độ hệ thống thông tin, áp dụng biện pháp bảo vệ tương ứng và thực hiện kiểm tra, đánh giá định kỳ. Việc đánh giá cần nhận diện các tài sản phần cứng, phần mềm, thông tin, những lỗ hổng và nguy cơ có thể ảnh hưởng đến hệ thống; kết quả phải được sử dụng để xây dựng chính sách, biện pháp kỹ thuật xử lý rủi ro. Quy chuẩn đồng thời yêu cầu rà soát, áp dụng bổ sung các yêu cầu liên quan tại TCVN 14423:2025 về an ninh mạng đối với hệ thống thông tin quan trọng.

Về quản lý tài sản, hệ thống phải kiểm kê, quản lý phần cứng, phần mềm và thông tin; phân loại, gán nhãn mức độ nhạy cảm đối với tài sản thông tin. Các thiết bị, phần mềm và dữ liệu thuộc hệ thống cần được nhận diện, cập nhật, lưu hồ sơ để phục vụ kiểm soát. Cùng với đó là yêu cầu bảo đảm an toàn vật lý tại khu vực máy chủ, nơi lưu trữ; kiểm soát người ra vào, ghi nhật ký hoạt động và thu hồi quyền truy cập khi cá nhân không còn nhiệm vụ.

Đối với tài liệu điện tử, quy chuẩn đặt ra yêu cầu cụ thể về bảo đảm tính toàn vẹn. Nội dung và cấu trúc tài liệu không được thay đổi trái phép kể từ khi tiếp nhận vào hệ thống cho đến khi tiêu hủy hoặc chuyển giao. Hệ thống phải sử dụng thuật toán băm an toàn để tạo giá trị băm cho từng tài liệu, lưu trữ giá trị này an toàn và tự động kiểm tra định kỳ nhằm phát hiện thay đổi hoặc can thiệp trái phép. Khi phát hiện tài liệu mất tính toàn vẹn, hệ thống phải có khả năng tự động phục hồi theo yêu cầu quy chuẩn.

Bên cạnh đó, các tài liệu có yêu cầu bảo mật khi lưu trữ ngoại tuyến hoặc truyền đưa trên môi trường mạng phải được bảo vệ bằng mật khẩu trực tiếp trên tệp tin hoặc mã hóa nội dung. Quy định này hướng đến việc hạn chế nguy cơ lộ lọt thông tin trong quá trình lưu trữ, sao chép và trao đổi dữ liệu. QCVN 12:2026/BCA, mục 2.2.5 về quản lý tài sản thông tin.

Yêu cầu sao lưu, giám sát và sẵn sàng khôi phục

Ngoài bảo vệ dữ liệu, QCVN 12:2026/BCA quy định nhiều yêu cầu đối với hoạt động vận hành hệ thống. Các nội dung gồm quản lý tài khoản và quyền truy cập người dùng; quản lý lỗ hổng bảo mật, nhật ký an ninh mạng; bảo vệ trình duyệt web, dịch vụ thư điện tử; phòng chống phần mềm độc hại; quản lý hạ tầng mạng; giám sát và phòng thủ an ninh mạng. Quy chuẩn cũng đề cập trách nhiệm của nhân sự vận hành, quản trị hệ thống, quản lý nhà cung cấp sản phẩm, dịch vụ và phát triển ứng dụng an toàn.

Đối với dữ liệu lưu trữ, yêu cầu sao lưu và khôi phục có ý nghĩa quan trọng trong việc duy trì hoạt động khi xảy ra sự cố hoặc mất mát. Quy chuẩn đưa nội dung này thành một nhóm yêu cầu kỹ thuật riêng, đồng thời quy định về ứng phó sự cố, kiểm tra an ninh mạng, bảo trì hệ thống và bảo đảm phục hồi. Trường hợp sử dụng dịch vụ lưu trữ đám mây của nhà cung cấp, tài liệu điện tử được ủy thác phải được lưu trữ trong lãnh thổ Việt Nam, bảo đảm điều kiện đã thỏa thuận và đáp ứng yêu cầu an ninh mạng theo quy định. QCVN 12:2026/BCA, các mục về sao lưu, nhà cung cấp và ứng phó sự cố.

Quy chuẩn cũng hướng dẫn phương pháp đánh giá đối với từng nhóm yêu cầu kỹ thuật, tạo căn cứ để kiểm tra mức độ đáp ứng của hệ thống. Việc đánh giá phải được thực hiện theo cách không ảnh hưởng đến tính sẵn sàng của hệ thống; dữ liệu cần được sao lưu đầy đủ trước khi tiến hành để phục vụ khôi phục khi phát sinh sự cố.

Về lộ trình, các hệ thống thông tin lưu trữ tài liệu điện tử đã được xây dựng trước thời điểm quy chuẩn có hiệu lực vẫn được phép hoạt động bình thường. Tuy nhiên, kể từ ngày 1/7/2026, hệ thống cấp độ 3, 4 và 5 phải hoàn thành đáp ứng các yêu cầu kỹ thuật trong thời hạn 12 tháng; hệ thống cấp độ 1 và 2 có thời hạn 18 tháng.

Việc ban hành QCVN 12:2026/BCA đặt ra yêu cầu thống nhất hơn đối với công tác bảo vệ hệ thống lưu trữ tài liệu điện tử trong các cơ quan Đảng, Nhà nước. Không chỉ tập trung vào phòng ngừa tấn công mạng, quy chuẩn còn chú trọng quản lý dữ liệu, kiểm soát truy cập, duy trì tính toàn vẹn và khả năng khôi phục. Đây là những yếu tố cần thiết để tài liệu điện tử được lưu giữ an toàn, phục vụ hiệu quả hoạt động quản lý và quá trình chuyển đổi số.

An Dương