Quy trình ứng phó sự cố an toàn thông tin
PHẦN I – MỤC ĐÍCH, ĐỊNH NGHĨA VÀ CĂN CỨ
Điều 1. Mục đích
1.1. Quy trình này thiết lập khung hành động chuẩn để HiTechCloud phát hiện, phân tích, ngăn chặn, khắc phục, phục hồi và rút kinh nghiệm sau sự cố an toàn thông tin (Security Incident), nhằm: (a) hạn chế thiệt hại; (b) duy trì cam kết SLA với Khách hàng; (c) bảo vệ dữ liệu cá nhân theo PDPD; (d) tuân thủ nghĩa vụ thông báo cho cơ quan có thẩm quyền và Khách hàng bị ảnh hưởng.
Điều 2. Định nghĩa
2.1. “Sự kiện bảo mật” (Security Event): quan sát có khả năng liên quan đến bảo mật (đăng nhập sai, scan port). “Sự cố bảo mật” (Security Incident): sự kiện đã xác nhận gây vi phạm hoặc đe dọa vi phạm chính sách bảo mật. “Vi phạm dữ liệu” (Data Breach): sự cố làm lộ, mất, sửa đổi hoặc tiêu hủy trái phép dữ liệu. “CSIRT”: đội ứng phó sự cố an toàn thông tin nội bộ của HiTechCloud.
Căn cứ pháp lý:
- Luật An ninh mạng 2025 (Luật số 116/2025/QH15, hiệu lực 01/7/2026 — hợp nhất, thay thế Luật An ninh mạng 2018 và Luật An toàn thông tin mạng 2015), về bảo vệ an ninh mạng và điều phối, ứng cứu sự cố;
- Nghị định 85/2016/NĐ-CP về bảo đảm an toàn hệ thống thông tin theo cấp độ và các nghị định hướng dẫn Luật An ninh mạng 2025;
- Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15) và Nghị định 356/2025/NĐ-CP về thông báo vi phạm dữ liệu cá nhân;
- Quyết định 05/2017/QĐ-TTg về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia và mạng lưới ứng cứu sự cố (VNCERT/CC);
- GDPR (Điều 33, 34) — áp dụng đối với dữ liệu của chủ thể thuộc phạm vi điều chỉnh.
PHẦN II – TỔ CHỨC ĐỘI ỨNG PHÓ SỰ CỐ (CSIRT)
Điều 3. Thành phần CSIRT
3.1. CSIRT gồm: (a) Chỉ huy sự cố (Incident Commander) – Quản trị viên Bảo mật (CISO/ISO); (b) nhân sự kỹ thuật phản ứng (Tier 1/Tier 2 NOC + SOC); (c) chuyên gia điều tra số (Digital Forensics); (d) đại diện pháp chế và DPO (đối với sự cố ảnh hưởng dữ liệu cá nhân); (e) đại diện truyền thông và quan hệ Khách hàng; (f) quan sát viên Ban Giám đốc (đối với sự cố P1).
3.2. CSIRT hoạt động 24/7 với chế độ trực luân phiên. Email: csirt@photuesoftware.com.
Điều 4. Phân cấp sự cố
4.1. Sự cố được phân thành 4 mức: P1 – CRITICAL (ngừng dịch vụ toàn hệ thống, vi phạm dữ liệu Cấp 4, ransomware lan rộng, lộ key/secret — phản hồi ≤ 15 phút); P2 – HIGH (ngừng dịch vụ một cụm khách hàng quan trọng, xâm nhập trái phép hệ thống sản xuất, lộ dữ liệu Cấp 3 — phản hồi ≤ 30 phút); P3 – MEDIUM (malware trên 1–2 máy chủ, brute-force từ một IP, lỗ hổng Critical chưa khai thác — phản hồi ≤ 2 giờ); P4 – LOW (scan port, đăng nhập sai bất thường, anomaly nhẹ — phản hồi ≤ 1 ngày làm việc). Mức phân loại thống nhất với phân loại dữ liệu tại Chính sách Bảo mật Hệ thống ATTT và mức ưu tiên P1–P4 tại SLA.
PHẦN III – QUY TRÌNH 6 BƯỚC (THAM CHIẾU NIST SP 800-61)
Điều 5. Bước 1 – Chuẩn bị (Preparation)
5.1. HiTechCloud duy trì: (a) runbook xử lý sự cố theo loại (DDoS, ransomware, data leak, phishing, insider threat), cập nhật 12 tháng/lần; (b) toolkit forensic chuẩn (FTK Imager, Volatility, Wireshark, GRR, Velociraptor, OSSEC, Wazuh); (c) diễn tập sự cố (tabletop + live drill) tối thiểu 6 tháng/lần; (d) danh sách liên hệ khẩn cấp: cơ quan nhà nước, đối tác hạ tầng, luật sư, công ty bảo hiểm.
Điều 6. Bước 2 – Phát hiện và Phân tích (Detection & Analysis)
6.1. Nguồn phát hiện: (a) SIEM – tổng hợp log tập trung; (b) IDS/IPS, EDR/XDR cảnh báo real-time; (c) báo cáo từ Khách hàng qua ticket/hotline/email report@photuesoftware.com (theo Chính sách Báo cáo Lạm dụng); (d) thông báo từ bên thứ ba (VNCERT/CC, đối tác CDN, threat intel feed).
6.2. Khi nhận tín hiệu, SOC Tier 1 đánh giá sơ bộ trong ≤ 15 phút và phân loại P1–P4. Sự cố P1/P2 được nâng cấp lên Tier 2 và Incident Commander ngay lập tức.
Điều 7. Bước 3 – Ngăn chặn (Containment)
7.1. Ngăn chặn ngắn hạn: cách ly host bị xâm phạm, chặn IP/domain độc hại tại NGFW/DNS, tạm khóa tài khoản nghi vấn, snapshot máy ảo trước khi cô lập.
7.2. Ngăn chặn dài hạn: tái cài hệ thống, rotate toàn bộ secret/key, vá lỗ hổng gốc rễ, áp dụng cấu hình tăng cứng (hardening) mới.
7.3. Quyết định ngăn chặn do Incident Commander phê duyệt; đối với P1, thông báo Ban Giám đốc trong 1 giờ.
Điều 8. Bước 4 – Loại bỏ (Eradication)
8.1. Sau khi ngăn chặn, đội kỹ thuật xác định nguyên nhân gốc rễ, tiêu diệt mã độc, đóng tài khoản giả mạo, xóa artefact của attacker.
8.2. Mọi hành động eradication phải ghi nhật ký đầy đủ (timestamp, người thực hiện, hành động, host bị tác động).
Điều 9. Bước 5 – Phục hồi (Recovery)
9.1. Khôi phục dịch vụ từ backup sạch (xác nhận chưa nhiễm) theo Chính sách Sao lưu & Phục hồi.
9.2. Trước khi đưa hệ thống trở lại sản xuất, phải hoàn thành: quét lỗ hổng, kiểm tra integrity file quan trọng, giám sát tăng cường 7 ngày sau phục hồi.
Điều 10. Bước 6 – Bài học kinh nghiệm (Lessons Learned)
10.1. Sau mỗi sự cố P1/P2, CSIRT họp tổng kết trong 5 ngày làm việc và phát hành báo cáo phân tích nguyên nhân gốc rễ (RCA) trong 10 ngày làm việc.
10.2. RCA gồm: timeline sự cố, nguyên nhân kỹ thuật và quy trình, tổn thất ước tính, hành động khắc phục, biện pháp phòng ngừa tái diễn.
PHẦN IV – NGHĨA VỤ THÔNG BÁO
Điều 11. Thông báo cho Khách hàng
11.1. Đối với sự cố ảnh hưởng đến dịch vụ của Khách hàng, HiTechCloud thông báo qua: email đăng ký, bảng trạng thái status.hitechcloud.vn, ticket hệ thống và (đối với P1) gọi điện trực tiếp khi có thể.
11.2. Thời gian thông báo đầu tiên: ≤ 30 phút kể từ khi xác nhận P1; ≤ 2 giờ với P2; ≤ 8 giờ với P3/P4. Thông báo cập nhật tối thiểu mỗi 2 giờ đối với P1 cho tới khi khắc phục.
Điều 12. Thông báo cho cơ quan nhà nước
12.1. Đối với sự cố an toàn thông tin mạng: phối hợp, thông báo với cơ quan quản lý nhà nước về an toàn, an ninh mạng (Bộ Khoa học và Công nghệ; VNCERT/CC) và Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05, Bộ Công an) theo Luật An ninh mạng 2025 và Quyết định 05/2017/QĐ-TTg.
12.2. Đối với sự cố vi phạm dữ liệu cá nhân: thông báo cho A05 (Bộ Công an) theo thời hạn quy định tại Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP, đồng thời thông báo chủ thể dữ liệu/Khách hàng bị ảnh hưởng khi có rủi ro cao. HiTechCloud đặt mục tiêu vận hành thông báo trong vòng 72 giờ kể từ khi xác nhận vi phạm, trừ khi pháp luật quy định thời hạn khác.
Điều 13. Thông báo theo vùng tài phán quốc tế
13.1. Đối với dữ liệu của chủ thể tại EU/EEA: thông báo cho cơ quan giám sát liên quan trong 72 giờ theo Điều 33 GDPR và thông báo chủ thể dữ liệu theo Điều 34 GDPR khi có rủi ro cao.
13.2. Đối với chủ thể tại các vùng tài phán khác có yêu cầu thông báo (UK, California, Singapore…): tuân thủ yêu cầu của từng vùng tài phán.
PHẦN V – BẢO QUẢN BẰNG CHỨNG VÀ HỢP TÁC ĐIỀU TRA
Điều 14. Chain of Custody
14.1. Mọi bằng chứng số (disk image, memory dump, log, packet capture) được thu thập theo nguyên tắc Chain of Custody: ghi nhận người thu thập, thời gian, hash SHA-256, phương pháp, mục đích.
14.2. Bằng chứng được lưu trữ tại kho riêng biệt, kiểm soát truy cập chặt chẽ, tối thiểu 24 tháng kể từ ngày kết thúc sự cố (hoặc lâu hơn theo yêu cầu của cơ quan có thẩm quyền/vụ việc pháp lý đang xử lý).
Điều 15. Hợp tác với cơ quan điều tra
15.1. HiTechCloud hợp tác với cơ quan công an, viện kiểm sát, tòa án khi có yêu cầu hợp pháp bằng văn bản.
15.2. Mọi yêu cầu cung cấp dữ liệu phải qua bộ phận pháp chế xem xét tính hợp pháp và phạm vi trước khi cung cấp; việc cung cấp dữ liệu cá nhân tuân thủ nguyên tắc tối thiểu cần thiết theo PDPD.
PHẦN VI – HIỆU LỰC
Điều 16. Hiệu lực và rà soát
16.1. Quy trình có hiệu lực từ ngày 01/07/2026, được rà soát tối thiểu 12 tháng/lần.
16.2. Mọi sửa đổi phải được Giám đốc phê duyệt và thông báo nội bộ tối thiểu 5 ngày làm việc trước ngày áp dụng.
