Tiêu chuẩn pháp lý dịch vụ thư điện tử (Email) bảo đảm an toàn hệ thống thông tin cấp độ 3
Áp dụng cho hệ thống cung cấp dịch vụ thư điện tử HiTechMail – vMail – Email Relay – Email Hybrid do HiTechCloud là chủ quản và đơn vị vận hành
Ban hành bởi Công ty Cổ phần Giải pháp Công nghệ và Phần mềm Phổ Tuệ (HiTechCloud) – Tháng 09/2026
Mã tài liệu: TCPL-20-CĐ3 – Ngày hiệu lực: 03/09/2026 – Ngày rà soát tiếp theo: sau 12 tháng kể từ ngày hiệu lực
Tài liệu này là tài liệu chuyên đề, bổ sung cho Tiêu chuẩn pháp lý dịch vụ Email – HiTechMail – vMail – Email Relay – Email Hybrid (mã TCPL-20) và không thay thế tài liệu đó. Khi có khác biệt về nội dung an toàn, an ninh mạng theo cấp độ, Tài liệu này được ưu tiên áp dụng; các nội dung thương mại, phí, mức dịch vụ áp dụng theo TCPL-20, Cam kết Chất lượng Dịch vụ (SLA) và hợp đồng đã ký.
PHẦN I – PHẠM VI VÀ ĐỐI TƯỢNG ÁP DỤNG
1.1. Tài liệu này quy định các yêu cầu pháp lý và kỹ thuật mà Công ty Cổ phần Giải pháp Công nghệ và Phần mềm Phổ Tuệ (“HiTechCloud”, “Công ty”) áp dụng để bảo đảm an toàn, an ninh mạng theo cấp độ đối với hệ thống thông tin cung cấp dịch vụ thư điện tử cho khách hàng, gồm: HiTechMail, vMail, Email Relay và Email Hybrid (“Hệ thống dịch vụ thư điện tử”, “Dịch vụ”).
1.2. Tài liệu áp dụng đối với: (i) các bộ phận của Công ty tham gia thiết kế, triển khai, vận hành, giám sát, bảo trì và thanh lý Hệ thống dịch vụ thư điện tử; (ii) nhà thầu, đối tác kỹ thuật được cấp quyền truy cập Hệ thống; (iii) Khách hàng sử dụng Dịch vụ, trong phần trách nhiệm thuộc về Khách hàng theo mô hình trách nhiệm chung nêu tại Phần VIII.
1.3. Tài liệu KHÔNG áp dụng cho: (i) hệ thống thư điện tử và cộng tác nội bộ phục vụ hoạt động quản trị của chính Công ty — hệ thống này được phân loại riêng trong Hồ sơ đề xuất cấp độ an toàn, an ninh mạng đối với hệ thống thông tin của Công ty; (ii) hệ thống thư điện tử do Khách hàng tự làm chủ quản và tự vận hành trên hạ tầng thuê của Công ty, trường hợp này Khách hàng là chủ quản hệ thống thông tin và tự thực hiện nghĩa vụ xác định cấp độ, Công ty phối hợp cung cấp thông tin trong phạm vi hạ tầng do Công ty quản lý.
1.4. Tài liệu là bộ phận không tách rời của Thỏa thuận Sử dụng Dịch vụ và hệ thống chính sách công bố tại https://hitechcloud.vn/tai-lieu-ho-tro/.
PHẦN II – GIẢI THÍCH TỪ NGỮ
2.1. “Cấp độ an toàn hệ thống thông tin” (trong Tài liệu này còn gọi là “cấp độ”) là mức phân loại hệ thống thông tin theo mức độ quan trọng và mức độ rủi ro, làm căn cứ áp dụng yêu cầu bảo vệ tương ứng. Pháp luật hiện hành phân thành 05 cấp độ, cấp độ càng cao thì yêu cầu bảo vệ và thẩm quyền phê duyệt càng chặt chẽ.
2.2. “Chủ quản hệ thống thông tin” là cơ quan, tổ chức, cá nhân có thẩm quyền quản lý trực tiếp đối với hệ thống thông tin. Đối với Hệ thống dịch vụ thư điện tử nêu tại mục 1.1, HiTechCloud là chủ quản.
2.3. “Hồ sơ đề xuất cấp độ” là tập hợp tài liệu do chủ quản lập, gồm thuyết minh hệ thống, tài liệu thiết kế, căn cứ xác định cấp độ và phương án bảo đảm an toàn, an ninh mạng tương ứng với cấp độ đề xuất.
2.4. “Phương án bảo đảm an toàn, an ninh mạng theo cấp độ” là tập hợp biện pháp quản lý, biện pháp kỹ thuật, biện pháp bảo vệ vật lý và biện pháp đối với con người được xác định cho hệ thống theo cấp độ đã phê duyệt.
2.5. “SPF”, “DKIM”, “DMARC” là các cơ chế xác thực nguồn gửi thư điện tử trên hệ thống tên miền, dùng để xác minh máy chủ được phép gửi thư nhân danh một tên miền, ký số nội dung thư và công bố chính sách xử lý thư không vượt qua kiểm tra xác thực.
2.6. “Thư điện tử rác” được hiểu theo Nghị định số 91/2020/NĐ-CP về chống tin nhắn rác, thư điện tử rác, cuộc gọi rác.
2.7. “Vi phạm quy định về bảo vệ dữ liệu cá nhân” được hiểu theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP.
2.8. “Nhật ký hệ thống” là dữ liệu ghi lại sự kiện phát sinh trên hệ thống, gồm tối thiểu nhật ký kết nối, nhật ký xác thực, nhật ký gửi nhận thư và nhật ký thao tác quản trị.
PHẦN III – XÁC ĐỊNH CẤP ĐỘ AN TOÀN HỆ THỐNG THÔNG TIN
3.1. Khung pháp lý áp dụng tại thời điểm ban hành
3.1.1. Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 01/7/2026 và bãi bỏ Luật An toàn thông tin mạng số 86/2015/QH13 (đã được sửa đổi, bổ sung) cùng Luật An ninh mạng số 24/2018/QH14 kể từ ngày Luật này có hiệu lực.
3.1.2. Nghị định số 331/2026/NĐ-CP ngày 19/8/2026 của Chính phủ về bảo vệ an ninh mạng đối với hệ thống thông tin là văn bản trực tiếp quy định tiêu chí phân loại cấp độ, thẩm quyền, trình tự, thủ tục xác định cấp độ và biện pháp, trách nhiệm bảo đảm an ninh mạng theo từng cấp độ. Đây là căn cứ chính để xác định cấp độ đối với Hệ thống dịch vụ thư điện tử.
3.1.3. Việc luật mẹ bị bãi bỏ không đương nhiên làm chấm dứt hiệu lực của văn bản dưới luật. Tại thời điểm rà soát, cơ sở dữ liệu văn bản quy phạm pháp luật của cơ quan quản lý nhà nước vẫn ghi nhận Nghị định số 85/2016/NĐ-CP về bảo đảm an toàn hệ thống thông tin theo cấp độ và Thông tư số 12/2022/TT-BTTTT hướng dẫn Nghị định này ở tình trạng còn hiệu lực. Nghị định số 331/2026/NĐ-CP có điều khoản chuyển tiếp, theo đó hệ thống thông tin đang đầu tư, xây dựng trước ngày 01/7/2026 được tiếp tục hoàn thành việc thẩm định, phê duyệt cấp độ theo Nghị định số 85/2016/NĐ-CP trong thời hạn chuyển tiếp kể từ ngày Luật An ninh mạng số 116/2025/QH15 có hiệu lực.
3.1.4. Nguyên tắc áp dụng của Công ty: lấy Nghị định số 331/2026/NĐ-CP làm căn cứ pháp lý chính; sử dụng Nghị định số 85/2016/NĐ-CP, Thông tư số 12/2022/TT-BTTTT và tiêu chuẩn quốc gia TCVN 11930:2017 làm căn cứ chuyển tiếp và làm tham chiếu kỹ thuật, trong phạm vi không trái với Nghị định số 331/2026/NĐ-CP. Trước mỗi lần lập hoặc cập nhật hồ sơ, Bộ phận Pháp chế – Tuân thủ phải đối chiếu lại hiệu lực của từng văn bản và trích dẫn đúng bản gốc đang có hiệu lực.
3.2. Đối chiếu tiêu chí phân loại
3.2.1. Bảng dưới đây đối chiếu đặc điểm thực tế của Hệ thống dịch vụ thư điện tử với các nhóm tiêu chí phân loại cấp độ. Ngưỡng số lượng cụ thể phải lấy theo đúng quy định tại Nghị định số 331/2026/NĐ-CP tại thời điểm lập hồ sơ; con số ghi tại cột “Ghi chú” chỉ để tham chiếu lịch sử.
Nhóm tiêu chí:
Xử lý thông tin thuộc phạm vi bí mật nhà nước; phục vụ quốc phòng, an ninh — Thực trạng Hệ thống dịch vụ thư điện tử: Hệ thống không được thiết kế để xử lý thông tin thuộc phạm vi bí mật nhà nước. Khách hàng bị cấm sử dụng Dịch vụ để trao đổi thông tin thuộc phạm vi bí mật nhà nước.. Kết quả: Không thỏa mãn. Ghi chú: Nếu phát sinh, phải xác định lại cấp độ theo tiêu chí cao hơn và lấy ý kiến cơ quan có thẩm quyền.
Cung cấp dịch vụ trực tuyến thuộc ngành, nghề đầu tư kinh doanh có điều kiện — Thực trạng Hệ thống dịch vụ thư điện tử: Dịch vụ thư điện tử là dịch vụ viễn thông theo Luật Viễn thông số 24/2023/QH15; việc cung cấp phải thực hiện thủ tục thông báo với cơ quan quản lý nhà nước về viễn thông theo Nghị định số 163/2024/NĐ-CP. Công ty đã có văn bản xác nhận thông báo cung cấp dịch vụ viễn thông cơ bản trên Internet (thư điện tử).. Kết quả: Thỏa mãn, cần xác nhận lại theo Danh mục ngành, nghề đầu tư kinh doanh có điều kiện hiện hành. Ghi chú: Phải đối chiếu Phụ lục Danh mục ngành, nghề đầu tư kinh doanh có điều kiện của Luật Đầu tư đang có hiệu lực.
Xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu — Thực trạng Hệ thống dịch vụ thư điện tử: Hệ thống lưu trữ và xử lý địa chỉ thư điện tử, thông tin định danh hộp thư, nội dung thư, danh sách người nhận và nhật ký gửi nhận của nhiều tổ chức khách hàng trên nền tảng dùng chung; số lượng chủ thể dữ liệu vượt xa ngưỡng của hệ thống quy mô hạn chế.. Kết quả: Thỏa mãn khi số lượng chủ thể dữ liệu thực tế vượt ngưỡng quy định. Ghi chú: Nghị định số 85/2016/NĐ-CP trước đây đặt ngưỡng 10.000 người sử dụng đối với dịch vụ trực tuyến có xử lý thông tin riêng, thông tin cá nhân.
Hạ tầng thông tin dùng chung phục vụ hoạt động của cơ quan, tổ chức trong phạm vi một ngành, một tỉnh hoặc nhiều tỉnh — Thực trạng Hệ thống dịch vụ thư điện tử: Hệ thống là nền tảng dùng chung nhiều khách hàng (multi-tenant) nhưng phục vụ khách hàng thương mại, không phải hạ tầng dùng chung của cơ quan nhà nước.. Kết quả: Không thỏa mãn. Ghi chú: Trường hợp có khách hàng khu vực công, phải đánh giá lại theo phần trách nhiệm chủ quản của khách hàng.
Hệ thống vận hành liên tục phục vụ phạm vi toàn quốc, sự cố gây tác động nghiêm trọng nhiều ngành, nhiều địa phương (nhóm cấp độ 4) — Thực trạng Hệ thống dịch vụ thư điện tử: Không thỏa mãn tại thời điểm ban hành.. Kết quả: Không thỏa mãn. Ghi chú: Rà soát lại khi có khách hàng thuộc lĩnh vực trọng yếu.
3.3. Kết luận về cấp độ
3.3.1. Căn cứ đối chiếu tại mục 3.2, Hệ thống dịch vụ thư điện tử của HiTechCloud được xác định ở CẤP ĐỘ 3. Tiêu chí quyết định là: (i) hệ thống cung cấp dịch vụ trực tuyến thuộc ngành, nghề đầu tư kinh doanh có điều kiện; và (ii) hệ thống xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu vượt ngưỡng do pháp luật quy định.
3.3.2. Kết luận tại mục 3.3.1 chỉ áp dụng cho hệ thống cung cấp dịch vụ thư điện tử ra bên ngoài cho khách hàng. Hệ thống thư điện tử và cộng tác dùng cho nội bộ Công ty, do quy mô chủ thể dữ liệu hạn chế và không cung cấp dịch vụ ra bên ngoài, được phân loại ở cấp độ thấp hơn theo Hồ sơ đề xuất cấp độ của Công ty. Hai hệ thống này phải được tách bạch rõ về ranh giới, kết nối và tài khoản trong hồ sơ.
3.3.3. Kết luận về cấp độ phải được rà soát lại và có thể thay đổi khi: (i) quy mô chủ thể dữ liệu thay đổi vượt hoặc xuống dưới ngưỡng; (ii) thay đổi kiến trúc, phạm vi hoặc loại thông tin được xử lý; (iii) bổ sung khách hàng thuộc lĩnh vực trọng yếu hoặc khu vực công; (iv) thay đổi vị trí đặt hệ thống hoặc nhà cung cấp hạ tầng; (v) pháp luật về an ninh mạng thay đổi. Trường hợp thay đổi dẫn tới thay đổi cấp độ, Công ty lập hồ sơ đề xuất cấp độ mới và trình phê duyệt trước khi đưa phần thay đổi vào vận hành.
3.3.4. Công ty không tuyên bố Hệ thống dịch vụ thư điện tử đã được cơ quan nhà nước có thẩm quyền cấp bất kỳ chứng nhận, chứng chỉ an toàn thông tin nào. Việc xác định cấp độ là nghĩa vụ tự thực hiện của chủ quản hệ thống thông tin, được thẩm định và phê duyệt theo thẩm quyền quy định tại pháp luật, không phải là thủ tục cấp phép.
3.4. Hồ sơ đề xuất cấp độ
3.4.1. Hồ sơ đề xuất cấp độ đối với Hệ thống dịch vụ thư điện tử gồm tối thiểu các thành phần sau:
– Thuyết minh tổng thể hệ thống: mục đích, chức năng, đối tượng sử dụng, quy mô, vị trí đặt hệ thống, các kết nối ra bên ngoài.
– Tài liệu thiết kế: sơ đồ kiến trúc, sơ đồ mạng, sơ đồ luồng dữ liệu thư, danh mục thiết bị và phần mềm kèm phiên bản, danh mục dịch vụ được cung cấp (hộp thư, webmail, IMAP, POP3, SMTP, Relay, Hybrid).
– Phân loại thông tin và dữ liệu được xử lý: loại dữ liệu cá nhân cơ bản, dữ liệu cá nhân nhạy cảm nếu có, số lượng chủ thể dữ liệu ước tính, dữ liệu quan trọng nếu có.
– Tài liệu thuyết minh căn cứ xác định cấp độ: đối chiếu từng tiêu chí pháp lý với đặc điểm thực tế, nêu rõ tiêu chí cao nhất được thỏa mãn.
– Phương án bảo đảm an toàn, an ninh mạng theo cấp độ đề xuất: biện pháp quản lý, biện pháp kỹ thuật, biện pháp bảo vệ vật lý, biện pháp đối với con người, phương án giám sát, phương án ứng phó sự cố và phương án bảo đảm hoạt động liên tục.
– Kế hoạch và tiến độ triển khai các biện pháp còn thiếu, kèm nguồn lực và người chịu trách nhiệm.
– Danh sách nhân sự phụ trách an ninh mạng của hệ thống và thông tin liên hệ.
– Cam kết của người đại diện theo pháp luật về tính chính xác của hồ sơ và về việc triển khai đầy đủ phương án đã đề xuất.
3.4.2. Thành phần hồ sơ, biểu mẫu và thời hạn giải quyết cụ thể phải được đối chiếu với quy định hiện hành tại Nghị định số 331/2026/NĐ-CP và văn bản hướng dẫn trước khi trình; Tài liệu này không thay thế biểu mẫu do cơ quan có thẩm quyền ban hành.
3.5. Thẩm quyền thẩm định và phê duyệt
3.5.1. Đối với hệ thống thông tin cấp độ 3, hồ sơ đề xuất cấp độ được thẩm định theo trình tự quy định và do chủ quản hệ thống thông tin phê duyệt. Đối với hệ thống cấp độ 4 và cấp độ 5, thủ tục thẩm định có sự chủ trì hoặc ý kiến chuyên môn của cơ quan nhà nước có thẩm quyền và, ở cấp độ 5, danh mục do Thủ tướng Chính phủ phê duyệt.
3.5.2. Áp dụng tại Công ty: Giám đốc Công ty là người phê duyệt hồ sơ đề xuất cấp độ với tư cách chủ quản hệ thống thông tin; Hội đồng an ninh mạng nội bộ thực hiện thẩm định nội bộ trước khi trình; Bộ phận Pháp chế – Tuân thủ là đầu mối làm việc với cơ quan nhà nước có thẩm quyền.
3.5.3. Trình tự nội bộ: (1) lập, cập nhật danh mục hệ thống và xác định ranh giới hệ thống; (2) phân loại thông tin, ước lượng số lượng chủ thể dữ liệu; (3) đánh giá tác động khi hệ thống bị xâm phạm về tính bí mật, tính toàn vẹn, tính sẵn sàng; (4) đối chiếu tiêu chí và đề xuất cấp độ; (5) xây dựng phương án bảo đảm an toàn, an ninh mạng; (6) tập hợp hồ sơ; (7) thẩm định nội bộ và trình Giám đốc; (8) thực hiện thủ tục với cơ quan nhà nước có thẩm quyền theo quy định; (9) triển khai đầy đủ phương án đã phê duyệt và đánh giá điều kiện an ninh mạng trước khi vận hành chính thức; (10) lưu hồ sơ, cập nhật sổ theo dõi cấp độ và đặt lịch rà soát.
3.5.4. Hệ thống mới hoặc hệ thống được nâng cấp lớn chỉ được đưa vào vận hành chính thức sau khi hoàn thành đánh giá điều kiện về an toàn, an ninh mạng và được Giám đốc chấp thuận bằng văn bản. Tồn tại ở mức rủi ro cao chưa được khắc phục thì không đưa hệ thống vào vận hành.
PHẦN IV – YÊU CẦU BẢO ĐẢM AN TOÀN THEO CẤP ĐỘ 3
4.0. Yêu cầu đối với cấp độ 3 bao gồm đầy đủ yêu cầu của cấp độ thấp hơn và bổ sung các biện pháp tăng cường. Các yêu cầu được chia thành bốn nhóm: quản lý, kỹ thuật, bảo vệ vật lý và con người. Trong triển khai kỹ thuật, Công ty tham chiếu tiêu chuẩn quốc gia TCVN 11930:2017 về yêu cầu cơ bản đối với an toàn hệ thống thông tin theo cấp độ và tiêu chuẩn TCVN ISO/IEC 27001:2019, bảo đảm không trái với yêu cầu bắt buộc tại Nghị định số 331/2026/NĐ-CP và văn bản hướng dẫn.
4.1. Nhóm yêu cầu quản lý
Yêu cầu – Biện pháp HiTechCloud triển khai:
Chính sách và quy định: Ban hành quy định an toàn riêng cho Hệ thống dịch vụ thư điện tử; quy trình vận hành chuẩn được phê duyệt và rà soát tối thiểu 12 tháng một lần.
Tổ chức và phân công: Bố trí nhân sự chuyên trách an ninh mạng cho Hệ thống; phân công người chịu trách nhiệm cho từng nhóm biện pháp; thành lập Hội đồng an ninh mạng nội bộ để thẩm định và giám sát.
Quản lý tài sản: Lập danh mục tài sản thông tin của Hệ thống (máy chủ thư, máy chủ Relay, cơ sở dữ liệu hộp thư, hệ thống lọc, phương tiện lưu trữ sao lưu); gắn chủ sở hữu cho từng tài sản; kiểm kê định kỳ 06 tháng; quản lý vòng đời phương tiện lưu trữ và tiêu hủy có biên bản.
Quản lý truy cập: Cấp tài khoản theo vai trò và nguyên tắc đặc quyền tối thiểu; bắt buộc xác thực đa yếu tố cho tài khoản quản trị; tài khoản đặc quyền cấp theo phiên và ghi lại phiên; rà soát quyền tối thiểu 03 tháng một lần.
Quản lý nhà cung cấp: Đánh giá an ninh mạng trước khi ký kết với đối tác kỹ thuật và đơn vị vận hành trung tâm dữ liệu; đưa điều khoản bảo mật và quyền kiểm tra vào hợp đồng; truy cập của nhà cung cấp theo phiên có giám sát và giới hạn thời gian.
Quản lý thay đổi: Áp dụng quy trình đề nghị – phê duyệt – kiểm thử – triển khai – hoàn tác; cấm thay đổi trực tiếp trên môi trường sản xuất; đánh giá tác động tới cấp độ trước khi thực hiện thay đổi lớn.
Quản lý sự cố: Quy trình ứng cứu sự cố đầy đủ; đội ứng cứu được phân công; diễn tập định kỳ; báo cáo cơ quan nhà nước có thẩm quyền khi thuộc trường hợp phải báo cáo.
Kiểm tra, đánh giá: Tự kiểm tra hằng năm; rà quét lỗ hổng theo chu kỳ; kiểm thử xâm nhập theo Kế hoạch kiểm tra, đánh giá an toàn thông tin định kỳ; lưu kết quả cùng hồ sơ đề xuất cấp độ.
Quản lý hồ sơ: Mọi kết luận về cấp độ, biện pháp đã triển khai và mỗi lần rà soát đều lập thành hồ sơ phục vụ thẩm định, kiểm tra và hậu kiểm.
4.2. Nhóm yêu cầu kỹ thuật
Yêu cầu – Biện pháp HiTechCloud triển khai:
An toàn mạng: Phân vùng mạng chi tiết theo chức năng (vùng tiếp nhận thư từ Internet, vùng xử lý, vùng lưu trữ hộp thư, vùng quản trị); tường lửa tại biên và giữa các vùng; hệ thống phát hiện và ngăn chặn xâm nhập; truy cập quản trị bắt buộc qua trạm trung gian; kiểm soát lưu lượng đi ra.
An toàn máy chủ: Cài đặt tối thiểu dịch vụ; áp dụng chuẩn cấu hình an toàn được phê duyệt cho máy chủ thư và máy chủ Relay; kiểm tra tuân thủ cấu hình tự động; quản lý bản vá; kiểm soát ứng dụng được phép chạy; giám sát toàn vẹn tệp cấu hình.
An toàn ứng dụng: Kiểm tra an toàn mã nguồn trước phát hành đối với webmail và cổng quản trị; quản lý bí mật ứng dụng tập trung; kiểm thử an toàn trước mỗi phiên bản lớn; kiểm tra dữ liệu đầu vào, chống chèn mã và chống chiếm quyền phiên.
Bảo vệ dữ liệu: Mã hóa dữ liệu khi truyền và khi lưu trữ; quản lý khóa tập trung; kiểm soát sao chép và xuất dữ liệu; ẩn danh hoặc giả danh dữ liệu trong môi trường không phải môi trường vận hành.
Giám sát và nhật ký: Thu thập nhật ký tập trung, chống sửa đổi; giám sát an ninh mạng liên tục; cảnh báo theo kịch bản (đăng nhập bất thường, gửi vượt ngưỡng, thay đổi bản ghi xác thực); đồng bộ thời gian toàn hệ thống.
Dự phòng và khôi phục: Dự phòng thiết bị và đường truyền; sao lưu định kỳ và kiểm thử khôi phục; cơ sở dự phòng; diễn tập chuyển đổi định kỳ theo Kế hoạch duy trì hoạt động liên tục và khắc phục thảm họa.
4.3. Nhóm yêu cầu bảo vệ vật lý
Yêu cầu – Biện pháp HiTechCloud triển khai:
Khu vực đặt thiết bị: Thiết bị của Hệ thống đặt trong trung tâm dữ liệu có kiểm soát ra vào. Hạ tầng vật lý do đối tác của HiTechCloud sở hữu và vận hành; nghĩa vụ công bố sự phù hợp tiêu chuẩn trung tâm dữ liệu thuộc về đơn vị vận hành trung tâm dữ liệu đó. HiTechCloud thuê chỗ đặt thiết bị và không tự nhận sở hữu trung tâm dữ liệu.
Kiểm soát ra vào: Áp dụng Quy chế vận hành và kiểm soát ra vào trung tâm dữ liệu; phân vùng an ninh; nguyên tắc hai người đối với khu vực trọng yếu; nhật ký ra vào được lưu và đối chiếu.
Bảo vệ phương tiện lưu trữ: Phương tiện lưu trữ chứa dữ liệu hộp thư và bản sao lưu được quản lý theo danh mục, vận chuyển có biên bản, tiêu hủy hoặc xóa an toàn có biên bản khi thanh lý.
Vị trí lưu trữ dữ liệu: Dữ liệu hộp thư được lưu trữ trên hạ tầng đặt tại lãnh thổ Việt Nam, trừ khi Khách hàng lựa chọn cấu hình khác và tự chịu trách nhiệm về nghĩa vụ tuân thủ phát sinh, trong đó có nghĩa vụ về chuyển dữ liệu cá nhân ra nước ngoài.
Hạ tầng phụ trợ: Nguồn điện, làm mát, phòng cháy chữa cháy và giám sát môi trường theo tiêu chuẩn của đơn vị vận hành trung tâm dữ liệu; Công ty theo dõi và yêu cầu báo cáo sự cố hạ tầng ảnh hưởng đến Dịch vụ.
4.4. Nhóm yêu cầu đối với con người
Yêu cầu – Biện pháp HiTechCloud triển khai:
Tuyển dụng và bố trí: Xác minh thông tin ứng viên đối với vị trí nhạy cảm trong phạm vi pháp luật cho phép; ký cam kết bảo mật trước khi cấp quyền truy cập Hệ thống.
Đào tạo, nâng cao nhận thức: Đào tạo an toàn thông tin cho toàn bộ nhân sự tiếp xúc với Hệ thống ít nhất mỗi năm một lần; đào tạo chuyên sâu cho nhân sự chuyên trách; huấn luyện nhận biết thư giả mạo và tấn công phi kỹ thuật.
Phân tách nhiệm vụ: Tách bạch vai trò phát triển, vận hành và kiểm soát; người phê duyệt thay đổi không đồng thời là người thực hiện thay đổi trên môi trường sản xuất.
Chấm dứt và thay đổi công việc: Thu hồi toàn bộ quyền truy cập và thiết bị ngay khi chấm dứt hoặc thay đổi vị trí công tác; lập biên bản bàn giao.
Thiết bị đầu cuối của người vận hành: Máy trạm quản trị được quản lý tập trung, mã hóa ổ đĩa, cấm sử dụng thiết bị lưu trữ ngoài không được phê duyệt, kiểm soát cài đặt phần mềm.
Nghĩa vụ bảo mật sau khi chấm dứt: Nghĩa vụ bảo mật tồn tại 03 (ba) năm sau khi chấm dứt quan hệ lao động hoặc hợp đồng; đối với bí mật kinh doanh và dữ liệu cá nhân, nghĩa vụ bảo mật là vô thời hạn.
PHẦN V – YÊU CẦU RIÊNG CỦA DỊCH VỤ THƯ ĐIỆN TỬ
5.1. Xác thực gửi nhận
5.1.1. Kết nối của người dùng tới hộp thư qua IMAP, POP3, SMTP và webmail bắt buộc sử dụng kênh mã hóa; Công ty từ chối các kết nối không mã hóa tới hộp thư.
5.1.2. Khách hàng phải cấu hình đầy đủ SPF, DKIM và DMARC trên tên miền của mình theo hướng dẫn trước khi gửi thư qua Email Relay. Công ty có quyền từ chối gửi đối với tên miền chưa hoàn tất xác thực.
5.1.3. Cổng ra 25 (outbound SMTP) bị chặn theo mặc định trên toàn bộ hạ tầng nhằm ngăn ngừa phát tán thư rác và bảo vệ uy tín dải địa chỉ IP dùng chung. Việc mở cổng 25 chỉ được thực hiện sau khi Khách hàng gửi yêu cầu bằng văn bản hoặc qua cổng dịch vụ, nêu rõ mục đích sử dụng, tên miền đã cấu hình đầy đủ SPF, DKIM, DMARC, sản lượng gửi dự kiến, nguồn gốc hợp pháp của danh sách người nhận và đầu mối xử lý khiếu nại lạm dụng; Công ty xác minh trước khi mở, có quyền mở theo hạn mức tăng dần và có quyền đóng lại ngay khi phát hiện dấu hiệu lạm dụng.
5.1.4. Tài khoản quản trị tên miền thư điện tử và tài khoản quản trị hệ thống bắt buộc bật xác thực đa yếu tố.
5.2. Chống thư rác và thư giả mạo
5.2.1. Công ty duy trì hệ thống lọc thư rác và mã độc hai chiều, giám sát uy tín dải địa chỉ IP gửi và thông báo cho Khách hàng khi phát hiện dấu hiệu lạm dụng phát sinh từ tài khoản của Khách hàng.
5.2.2. Việc gửi thư điện tử quảng cáo qua Dịch vụ chịu sự điều chỉnh của Nghị định số 91/2020/NĐ-CP và pháp luật về quảng cáo. Khách hàng là người quảng cáo hoặc người gửi theo quy định của Nghị định này và chịu trách nhiệm chính về việc tuân thủ, gồm: chỉ gửi tới người nhận đã đồng ý trước, ghi rõ nhãn quảng cáo, thông tin người quảng cáo và cơ chế từ chối nhận, xử lý yêu cầu từ chối nhận trong thời hạn luật định và không gửi tiếp sau đó.
5.2.3. Nghiêm cấm: gửi thư điện tử rác; gửi thư lừa đảo; giả mạo địa chỉ người gửi hoặc tiêu đề thư; phát tán mã độc qua tệp đính kèm hoặc liên kết; sử dụng Email Relay làm open relay; gửi hộ bên thứ ba không được định danh; luân chuyển thư qua nhiều hệ thống nhằm né tránh cơ chế chống thư rác; mua, bán, trao đổi danh sách địa chỉ thư điện tử chứa dữ liệu cá nhân.
5.2.4. Vi phạm quy định chống thư rác dẫn đến khóa Dịch vụ ngay lập tức, không hoàn phí và không phụ thuộc thủ tục thông báo trước, do tính chất lây lan và ảnh hưởng đến toàn bộ khách hàng dùng chung hạ tầng gửi.
5.2.5. Đối với báo cáo lạm dụng mức khẩn cấp, đặc biệt là trang lừa đảo và mã độc, Công ty kiểm tra và áp dụng biện pháp xử lý trong thời hạn tối đa 24 (hai mươi bốn) giờ kể từ khi tiếp nhận báo cáo hợp lệ. Đối với yêu cầu ngăn chặn, gỡ bỏ thông tin vi phạm của cơ quan nhà nước có thẩm quyền, Công ty thực hiện chậm nhất 24 (hai mươi bốn) giờ kể từ khi nhận được yêu cầu, hoặc 06 (sáu) giờ trong trường hợp khẩn cấp; việc cung cấp thông tin người dùng cho lực lượng chuyên trách bảo vệ an ninh mạng được thực hiện chậm nhất 24 (hai mươi bốn) giờ, hoặc 03 (ba) giờ trong trường hợp khẩn cấp. Trường hợp pháp luật chuyên ngành quy định thời hạn ngắn hơn, Công ty thực hiện theo thời hạn ngắn hơn đó.
5.3. Mã hóa khi truyền và khi lưu
5.3.1. Toàn bộ kênh truyền giữa người dùng và hệ thống, giữa các thành phần của hệ thống và giữa hệ thống với hệ thống của Khách hàng trong mô hình Email Hybrid được mã hóa.
5.3.2. Dữ liệu hộp thư và bản sao lưu được mã hóa khi lưu trữ. Khóa mã hóa được quản lý tập trung, tách biệt khỏi dữ liệu, có quy trình tạo, luân chuyển, thu hồi và tiêu hủy khóa.
5.3.3. Việc sử dụng sản phẩm, dịch vụ mật mã dân sự tuân thủ pháp luật về mật mã dân sự. Công ty không tuyên bố sở hữu giấy phép kinh doanh sản phẩm, dịch vụ mật mã dân sự nếu chưa được cấp; khi thuộc diện phải có giấy phép, Công ty hoàn tất thủ tục trước khi cung cấp.
5.4. Sao lưu và khôi phục
5.4.1. Dữ liệu hộp thư được sao lưu định kỳ theo chính sách sao lưu công bố; bản sao lưu được kiểm thử khôi phục theo chu kỳ và kết quả kiểm thử được lập biên bản.
5.4.2. Mục tiêu thời gian khôi phục (RTO) và mục tiêu điểm khôi phục (RPO) áp dụng theo Phụ lục SLA của gói dịch vụ tương ứng; Tài liệu này không tự ấn định chỉ tiêu.
5.4.3. Khi Khách hàng yêu cầu xóa dữ liệu hoặc khi hợp đồng chấm dứt, bản sao lưu chứa dữ liệu tương ứng được xóa chậm nhất 30 (ba mươi) ngày kể từ thời điểm xóa dữ liệu chính, phù hợp với chu kỳ luân chuyển bản sao lưu.
5.5. Nhật ký và thời hạn lưu
5.5.1. Công ty lưu nhật ký hệ thống phục vụ vận hành, đối soát và đáp ứng yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền theo pháp luật an ninh mạng, gồm tối thiểu: nhật ký kết nối, nhật ký xác thực đăng nhập, nhật ký gửi nhận thư, nhật ký thao tác quản trị và thông tin định danh địa chỉ IP cấp phát cho Khách hàng.
5.5.2. Thời hạn lưu nhật ký tối thiểu 12 (mười hai) tháng, bảo đảm tính toàn vẹn và bảo mật, đủ để truy vấn phục vụ yêu cầu xác minh, điều tra và xử lý vi phạm pháp luật. Nhật ký được thu thập tập trung, chống sửa đổi và đồng bộ thời gian.
5.5.3. Nhật ký không được sử dụng cho mục đích ngoài phạm vi nêu tại mục 5.5.1. Việc truy cập nhật ký được phân quyền và chính việc truy cập cũng được ghi nhận.
5.6. Kiểm soát truy cập hộp thư
5.6.1. Nội dung thư điện tử của Khách hàng không bị nhân viên Công ty đọc thủ công. Hệ thống chỉ quét tự động phục vụ lọc thư rác, chống mã độc và bảo đảm an toàn hệ thống.
5.6.2. Công ty chỉ cung cấp nội dung thư điện tử của Khách hàng cho bên thứ ba khi có yêu cầu hợp pháp bằng văn bản của cơ quan nhà nước có thẩm quyền và thông báo cho Khách hàng trong phạm vi pháp luật cho phép.
5.6.3. Trường hợp cần truy cập kỹ thuật vào hộp thư để xử lý sự cố, việc truy cập phải: (i) có yêu cầu hoặc chấp thuận bằng văn bản của Khách hàng, trừ trường hợp khẩn cấp để ngăn chặn thiệt hại; (ii) được phê duyệt theo phiên, giới hạn phạm vi và thời gian; (iii) được ghi nhật ký đầy đủ và thông báo lại cho Khách hàng.
5.6.4. Khách hàng chịu trách nhiệm quản lý mật khẩu, bật xác thực đa yếu tố cho tài khoản quản trị của mình và chịu trách nhiệm đối với thư điện tử được gửi từ tài khoản bị lộ do lỗi bảo mật phía Khách hàng.
5.7. Xử lý khi lộ lọt
5.7.1. Khi phát hiện sự cố an toàn thông tin hoặc dấu hiệu lộ lọt dữ liệu, Công ty thực hiện ngay các bước: cô lập phạm vi ảnh hưởng, bảo toàn chứng cứ và nhật ký, đánh giá sơ bộ mức độ, khôi phục dịch vụ và thông báo cho các bên liên quan theo mốc thời gian tại Phần VI.
5.7.2. Trường hợp sự cố thuộc diện phải báo cáo theo pháp luật về an ninh mạng, Công ty phối hợp với cơ quan nhà nước có thẩm quyền và cung cấp hồ sơ kỹ thuật, nhật ký, báo cáo phân tích theo yêu cầu hợp pháp.
5.7.3. Sau mỗi sự cố, Công ty thực hiện phân tích nguyên nhân gốc, xác định biện pháp khắc phục và biện pháp ngăn ngừa tái diễn, cập nhật phương án bảo đảm an toàn, an ninh mạng và, khi cần, cập nhật hồ sơ đề xuất cấp độ.
PHẦN VI – BẢO VỆ DỮ LIỆU CÁ NHÂN
6.1. Trong quan hệ xử lý dữ liệu cá nhân phát sinh từ Dịch vụ (địa chỉ thư điện tử, thông tin định danh hộp thư, nội dung thư, danh sách người nhận, nhật ký gửi nhận), Khách hàng là Bên Kiểm soát dữ liệu cá nhân và HiTechCloud là Bên Xử lý dữ liệu cá nhân. Đối với dữ liệu cá nhân của chính Khách hàng phát sinh từ quan hệ hợp đồng (thông tin đăng ký, thanh toán, liên hệ), HiTechCloud là Bên Kiểm soát dữ liệu cá nhân.
6.2. HiTechCloud chỉ xử lý dữ liệu cá nhân theo chỉ dẫn hợp pháp được ghi nhận của Khách hàng, áp dụng biện pháp kỹ thuật và tổ chức phù hợp, và không sử dụng dữ liệu cá nhân của Khách hàng cho mục đích riêng.
6.3. Mốc thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân:
– Không chậm hơn 24 (hai mươi bốn) giờ kể từ thời điểm phát hiện: HiTechCloud thông báo cho Khách hàng bằng văn bản hoặc thư điện tử tới đầu mối đã đăng ký, nhằm bảo đảm Khách hàng với tư cách Bên Kiểm soát dữ liệu cá nhân thực hiện được nghĩa vụ thông báo của mình.
– Trong thời hạn 72 (bảy mươi hai) giờ: nghĩa vụ thông báo tới cơ quan nhà nước có thẩm quyền theo khoản 1 Điều 23 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Đối với dữ liệu cá nhân mà HiTechCloud là Bên Kiểm soát dữ liệu cá nhân, HiTechCloud trực tiếp thực hiện nghĩa vụ này và lập biên bản xác nhận theo quy định.
– Trong thời hạn 15 (mười lăm) ngày kể từ ngày thông báo ban đầu: HiTechCloud gửi Khách hàng báo cáo nguyên nhân gốc và kế hoạch khắc phục.
6.4. Hồ sơ vi phạm dữ liệu cá nhân được lưu giữ tối thiểu 05 (năm) năm.
6.5. Khách hàng, với tư cách Bên Kiểm soát dữ liệu cá nhân, xây dựng và công bố quy trình, thủ tục, biểu mẫu tiếp nhận yêu cầu của chủ thể dữ liệu và đáp ứng trong thời hạn quy định tại Nghị định số 356/2025/NĐ-CP. HiTechCloud phối hợp trong thời hạn đủ để Khách hàng đáp ứng đúng các mốc đó.
6.6. Nghĩa vụ bảo mật của mỗi Bên tồn tại 03 (ba) năm sau khi Dịch vụ chấm dứt; đối với bí mật kinh doanh và dữ liệu cá nhân, nghĩa vụ bảo mật là vô thời hạn.
6.7. Việc chuyển dữ liệu cá nhân ra khỏi lãnh thổ Việt Nam, nếu phát sinh, phải tuân thủ pháp luật về bảo vệ dữ liệu cá nhân và được ghi nhận trong Thỏa thuận xử lý dữ liệu và hồ sơ đánh giá tác động tương ứng.
PHẦN VII – GIÁM SÁT, ĐÁNH GIÁ VÀ DUY TRÌ
7.1. Giám sát liên tục: Hệ thống được giám sát an ninh mạng liên tục; cảnh báo được thiết lập theo kịch bản và được xử lý theo quy trình ứng cứu sự cố.
7.2. Rà soát định kỳ: rà soát toàn bộ danh mục hệ thống thông tin và cấp độ tương ứng tối thiểu 12 (mười hai) tháng một lần; kết quả rà soát phải kết luận rõ cấp độ giữ nguyên hay thay đổi. Nếu thay đổi thì phải lập lại hồ sơ đề xuất cấp độ và thực hiện thủ tục theo quy định.
7.3. Rà soát đột xuất: thực hiện khi có thay đổi lớn về kiến trúc, phạm vi, loại thông tin xử lý, quy mô chủ thể dữ liệu, vị trí đặt hệ thống, nhà cung cấp hạ tầng, hoặc khi pháp luật về an ninh mạng thay đổi, hoặc sau sự cố nghiêm trọng.
7.4. Rà quét lỗ hổng và kiểm thử xâm nhập: rà quét lỗ hổng theo chu kỳ; kiểm thử xâm nhập theo Kế hoạch kiểm tra, đánh giá an toàn thông tin định kỳ. Tần suất, phạm vi và đơn vị thực hiện do Công ty ấn định trong Kế hoạch nêu trên; Tài liệu này không tự ấn định tần suất.
7.5. Diễn tập: diễn tập ứng cứu sự cố và diễn tập khôi phục sau thảm họa theo lịch trong Kế hoạch duy trì hoạt động liên tục và khắc phục thảm họa; kết quả diễn tập được lập biên bản và là đầu vào cho việc cập nhật phương án.
7.6. Kiểm kê và đánh giá tuân thủ: kiểm kê tài sản thông tin định kỳ 06 (sáu) tháng; đánh giá tuân thủ hằng năm, kết quả báo cáo Giám đốc và lưu cùng hồ sơ đề xuất cấp độ; điểm chưa đạt phải có kế hoạch khắc phục với thời hạn và người chịu trách nhiệm cụ thể.
7.7. Báo cáo: Công ty thực hiện nghĩa vụ báo cáo định kỳ và báo cáo đột xuất với cơ quan nhà nước có thẩm quyền theo quy định của pháp luật về an ninh mạng và pháp luật về viễn thông.
PHẦN VIII – TRÁCH NHIỆM CỦA KHÁCH HÀNG TRONG MÔ HÌNH TRÁCH NHIỆM CHUNG
8.1. Ranh giới trách nhiệm: HiTechCloud chịu trách nhiệm bảo đảm an toàn đối với hạ tầng, nền tảng và phần dịch vụ do HiTechCloud quản lý. Khách hàng chịu trách nhiệm đối với dữ liệu, tài khoản, cấu hình phía Khách hàng và hành vi sử dụng Dịch vụ.
8.2. Khách hàng có trách nhiệm:
– Cấu hình đầy đủ và duy trì hiệu lực các bản ghi SPF, DKIM, DMARC trên tên miền của mình.
– Quản lý tài khoản người dùng và tài khoản quản trị của mình, bật xác thực đa yếu tố, thu hồi quyền kịp thời khi nhân sự thay đổi.
– Bảo đảm tính hợp pháp của việc thu thập địa chỉ thư điện tử của người nhận và xuất trình bằng chứng đồng ý khi có yêu cầu của HiTechCloud hoặc cơ quan nhà nước có thẩm quyền.
– Tự xác định mình có thuộc diện phải đăng ký tên định danh người gửi hay không và hoàn tất thủ tục trước khi gửi thư điện tử quảng cáo. Thẩm quyền cấp tên định danh thuộc cơ quan quản lý nhà nước; HiTechCloud chỉ hỗ trợ thủ tục khi được yêu cầu bằng văn bản và không cam kết thời gian cấp.
– Lưu giữ, trong suốt thời gian sử dụng Dịch vụ và tối thiểu 01 (một) năm sau khi chấm dứt: bằng chứng đồng ý nhận quảng cáo của từng người nhận, nhật ký xử lý yêu cầu từ chối nhận và mẫu nội dung quảng cáo đã gửi.
– Thông báo ngay cho HiTechCloud khi phát hiện dấu hiệu lộ lọt tài khoản, lộ lọt dữ liệu hoặc sự cố an toàn thông tin liên quan đến việc sử dụng Dịch vụ.
– Với hệ thống thông tin do Khách hàng làm chủ quản, tự thực hiện nghĩa vụ xác định cấp độ, lập hồ sơ đề xuất cấp độ và triển khai phương án bảo đảm an toàn, an ninh mạng của mình.
8.3. HiTechCloud có trách nhiệm phối hợp và cung cấp thông tin, hồ sơ kỹ thuật, nhật ký, báo cáo phân tích trong phạm vi hạ tầng do HiTechCloud quản lý để Khách hàng thực hiện các nghĩa vụ nêu tại mục 8.2.
8.4. Giới hạn trách nhiệm: tổng trách nhiệm bồi thường của HiTechCloud phát sinh từ hoặc liên quan đến Dịch vụ trong mọi trường hợp không vượt quá tổng phí Dịch vụ mà Khách hàng đã thực trả cho chu kỳ thanh toán gần nhất. Giới hạn trách nhiệm nêu trên KHÔNG áp dụng đối với: (i) lỗi cố ý hoặc gian lận; (ii) vi phạm nghĩa vụ bảo mật và bảo vệ dữ liệu cá nhân; (iii) xâm phạm quyền sở hữu trí tuệ; (iv) thiệt hại về tính mạng, sức khỏe; (v) hoàn trả tiền giữ hộ hoặc thu không có căn cứ; (vi) trách nhiệm mà pháp luật không cho phép loại trừ.
8.5. Chỉ tiêu kỹ thuật và mức dịch vụ (độ khả dụng, tỷ lệ gửi thành công, thời gian phản hồi, RTO, RPO) áp dụng theo Phụ lục SLA của gói dịch vụ tương ứng và Cam kết Chất lượng Dịch vụ do Công ty công bố. Tài liệu này không tự ấn định các chỉ tiêu đó.
PHẦN IX – HIỆU LỰC VÀ RÀ SOÁT
9.1. Tài liệu có hiệu lực kể từ ngày ghi tại phần đầu và được rà soát tối thiểu 12 (mười hai) tháng một lần hoặc khi pháp luật thay đổi.
9.2. Trường hợp văn bản quy phạm pháp luật được dẫn chiếu tại Tài liệu này được sửa đổi, bổ sung hoặc thay thế, Tài liệu được hiểu là dẫn chiếu đến văn bản sửa đổi, bổ sung hoặc thay thế tương ứng.
9.3. Tài liệu được điều chỉnh và giải thích theo pháp luật Việt Nam.
PHẦN X – CĂN CỨ PHÁP LÝ
10.1. Tài liệu này được xây dựng trên cơ sở các văn bản sau đây, đã được rà soát hiệu lực tại thời điểm ban hành:
– Cybersecurity Law No. 116/2025/QH15, được Quốc hội khóa XV thông qua tại Kỳ họp thứ 10 ngày 10/12/2025, có hiệu lực thi hành từ ngày 01/7/2026; khoản 2 Điều 44 quy định Luật An toàn thông tin mạng số 86/2015/QH13 (đã được sửa đổi, bổ sung một số điều theo Luật số 35/2018/QH14) và Luật An ninh mạng số 24/2018/QH14 hết hiệu lực kể từ ngày Luật này có hiệu lực thi hành.
– Nghị định số 331/2026/NĐ-CP ngày 19/8/2026 của Chính phủ về bảo vệ an ninh mạng đối với hệ thống thông tin, có hiệu lực từ ngày 19/8/2026 — quy định tiêu chí, thẩm quyền, trình tự, thủ tục xác định cấp độ và biện pháp, trách nhiệm, nghĩa vụ bảo đảm an ninh mạng theo từng cấp độ.
– Nghị định số 333/2026/NĐ-CP ngày 19/8/2026 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng, có hiệu lực từ ngày 19/8/2026 — trong đó có nghĩa vụ của doanh nghiệp về lưu trữ, quản lý nhật ký hệ thống với thời hạn cho phép truy vấn dữ liệu tối thiểu 12 tháng và các mốc thời hạn xử lý yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng.
– Nghị định số 332/2026/NĐ-CP ngày 19/8/2026 của Chính phủ về kinh doanh sản phẩm, dịch vụ an ninh mạng, có hiệu lực từ ngày 19/8/2026.
– Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ, có hiệu lực từ ngày 01/7/2016; tại thời điểm rà soát, cơ sở dữ liệu văn bản quy phạm pháp luật của cơ quan quản lý nhà nước ghi nhận văn bản còn hiệu lực. Điều 9 quy định tiêu chí hệ thống thông tin cấp độ 3, trong đó có tiêu chí cung cấp dịch vụ trực tuyến thuộc danh mục dịch vụ kinh doanh có điều kiện và tiêu chí cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của từ 10.000 người sử dụng trở lên; Điều 12 quy định thẩm quyền thẩm định, phê duyệt hồ sơ đề xuất cấp độ; Điều 15 quy định thành phần hồ sơ đề xuất cấp độ.
– Thông tư số 12/2022/TT-BTTTT ngày 12/8/2022 của Bộ trưởng Bộ Thông tin và Truyền thông quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ, có hiệu lực từ ngày 01/10/2022; tại thời điểm rà soát được ghi nhận còn hiệu lực.
– TCVN 11930:2017 Công nghệ thông tin – Các kỹ thuật an toàn – Yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ (tiêu chuẩn quốc gia, dùng làm tham chiếu kỹ thuật).
– TCVN ISO/IEC 27001:2019 Công nghệ thông tin – Các kỹ thuật an toàn – Hệ thống quản lý an toàn thông tin – Các yêu cầu (tiêu chuẩn quốc gia, dùng làm tham chiếu kỹ thuật).
– Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025, có hiệu lực từ ngày 01/01/2026; khoản 1 Điều 23 quy định thời hạn thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân là 72 giờ.
– Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 01/01/2026.
– Nghị định số 91/2020/NĐ-CP ngày 14/8/2020 của Chính phủ về chống tin nhắn rác, thư điện tử rác, cuộc gọi rác, có hiệu lực từ ngày 01/10/2020.
– Telecommunications Law No. 24/2023/QH15 (Luật Viễn thông số 24/2023/QH15) ngày 24/11/2023, có hiệu lực từ ngày 01/7/2024.
– Nghị định số 163/2024/NĐ-CP ngày 24/12/2024 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Viễn thông — quy định nghĩa vụ thông báo cung cấp dịch vụ viễn thông, trong đó có dịch vụ thư điện tử.
– Nghị định số 147/2024/NĐ-CP ngày 09/11/2024 của Chính phủ về quản lý, cung cấp, sử dụng dịch vụ Internet và thông tin trên mạng.
– Nghị định số 174/2026/NĐ-CP ngày 15/5/2026 của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực bưu chính, viễn thông, tần số vô tuyến điện, giao dịch điện tử và công nghệ thông tin, có hiệu lực từ ngày 01/7/2026.
– Quyết định số 05/2017/QĐ-TTg ngày 16/3/2017 của Thủ tướng Chính phủ ban hành quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia; tại thời điểm rà soát được ghi nhận còn hiệu lực trên cơ sở dữ liệu văn bản của cơ quan quản lý nhà nước.
– Luật Giao dịch điện tử số 20/2023/QH15 ngày 22/6/2023, có hiệu lực từ ngày 01/7/2024 và Nghị định số 23/2025/NĐ-CP ngày 21/02/2025 của Chính phủ quy định về chữ ký điện tử và dịch vụ tin cậy.
– Bộ luật Dân sự số 91/2015/QH13 ngày 24/11/2015 và Luật Thương mại số 36/2005/QH11 ngày 14/6/2005.
10.2. Ghi chú về hiệu lực: Luật An toàn thông tin mạng số 86/2015/QH13 đã hết hiệu lực từ ngày 01/7/2026. Việc luật này hết hiệu lực không đương nhiên làm chấm dứt hiệu lực của Nghị định số 85/2016/NĐ-CP và Thông tư số 12/2022/TT-BTTTT; hai văn bản này vẫn được ghi nhận còn hiệu lực tại thời điểm rà soát và được sử dụng làm căn cứ chuyển tiếp, trong phạm vi không trái với Luật An ninh mạng số 116/2025/QH15 và Nghị định số 331/2026/NĐ-CP. Trước mỗi lần lập hoặc cập nhật hồ sơ đề xuất cấp độ, Bộ phận Pháp chế – Tuân thủ phải kiểm tra lại tình trạng hiệu lực của từng văn bản nêu trên.
Tài liệu do Công ty Cổ phần Giải pháp Công nghệ và Phần mềm Phổ Tuệ (HiTechCloud) ban hành – Bản 1.0, tháng 09/2026. Tài liệu bổ sung cho Tiêu chuẩn pháp lý dịch vụ Email (TCPL-20) và có thể được sửa đổi với thông báo trước 30 (ba mươi) ngày trên https://hitechcloud.vn/tai-lieu-ho-tro/.
