Thông tin về việc một số đơn vị chuẩn bị vận hành sàn tài sản mã hóa tại Việt Nam hoàn tất thẩm định an toàn thông tin cấp độ 4 đang thu hút sự quan tâm lớn từ giới quan sát tài chính.
Nhiều người thường nhầm lẫn đây là một danh hiệu mang tính quảng bá thương hiệu, nhưng trên thực tế, đây là một cấp độ kỹ thuật bắt buộc được quy định chặt chẽ trong hệ thống pháp luật Việt Nam.
Mức độ này chỉ dành riêng cho những hệ thống thông tin đặc biệt quan trọng, nơi mà bất kỳ sự cố gián đoạn hay xâm nhập nào cũng có thể dẫn đến những tổn thất tài chính và xã hội khôn lường.
Thước đo an ninh cho hạ tầng kỹ thuật số
Căn cứ theo Luật An toàn thông tin mạng và Nghị định 85 ban hành năm 2016, toàn bộ hệ thống thông tin tại Việt Nam được phân loại thành năm cấp độ, tính từ mức một đến mức năm. Điểm đáng lưu ý trong phương pháp tiếp cận của nhà quản lý là tiêu chí phân cấp không phụ thuộc vào quy mô vốn hay mức độ hiện đại của thiết bị, mà dựa hoàn toàn vào mức độ tổn hại nếu hệ thống bị tê liệt hoặc phá hoại.
Hệ thống thông tin cấp độ 4 được định nghĩa là hạ tầng kỹ thuật phục vụ lợi ích công cộng hoặc phát triển kinh tế xã hội, nếu bị tấn công sẽ gây ra hậu quả đặc biệt nghiêm trọng, hoặc làm ảnh hưởng nghiêm trọng đến an ninh quốc gia. Khung quy định này thường chỉ áp dụng cho các hệ thống thuộc nhóm hạ tầng huyết mạch như cổng thanh toán quốc gia, hệ thống ngân hàng lõi hay mạng lưới điều hành viễn thông trọng yếu.
Do đó, việc đặt các nền tảng giao dịch tài sản số vào khung cấp độ 4 cho thấy cơ quan quản lý nhìn nhận loại hình dịch vụ này có tầm ảnh hưởng ngang hàng với các tổ chức tài chính lớn.
Tiêu chuẩn khắt khe từ quản trị đến công nghệ vận hành
Để đáp ứng đầy đủ yêu cầu của cấp độ 4 theo tiêu chuẩn quốc gia TCVN 11930 ban hành năm 2017, doanh nghiệp phải vượt qua những tiêu chí sàng lọc khắt khe về cả mặt quy trình lẫn hạ tầng kỹ thuật. Ở khía cạnh quản trị, đơn vị chủ quản phải xây dựng chính sách an toàn thông tin toàn diện, thiết lập bộ phận chuyên trách giàu kinh nghiệm, kiểm soát chặt chẽ lý lịch nhân sự và duy trì các phương án phản ứng nhanh trước sự cố.
Về mặt công nghệ, hạ tầng kỹ thuật phải được thiết kế theo mô hình phòng thủ nhiều tầng, bao gồm phân vùng mạng độc lập, kiểm soát quyền truy cập nghiêm ngặt và mã hóa dữ liệu ở mức độ cao nhất.
Hệ thống này cũng bắt buộc phải trang bị cơ chế tự động ghi nhật ký truy cập, duy trì trung tâm dữ liệu dự phòng có khoảng cách địa lý an toàn và có khả năng phục hồi hoạt động gần như ngay lập tức khi xảy ra thảm họa. Điểm vượt trội của cấp độ 4 so với các cấp độ thấp hơn nằm ở khả năng giám sát liên tục suốt ngày đêm và sức chống chịu bền bỉ trước các cuộc tấn công mạng quy mô lớn.
Tại sao các sàn giao dịch cần áp dụng khung kiểm soát cao
Theo Nghị quyết 05 năm 2025 của Chính phủ về việc triển khai thí điểm thị trường tài sản mã hóa, các đơn vị cung cấp dịch vụ bắt buộc phải đạt tiêu chuẩn an toàn thông tin cấp độ 4 trước khi chính thức mở cửa đón khách hàng. Có ba nguyên nhân trọng yếu giải thích cho sự nghiêm ngặt này.
Đầu tiên, sàn giao dịch là nơi tập trung khối lượng tài sản rất lớn và luôn trở thành mục tiêu tấn công của các tổ chức tội phạm mạng quốc tế. Khác với giao dịch ngân hàng truyền thống có thể can thiệp tạm dừng hoặc phong tỏa dòng tiền, các giao dịch trên mạng lưới chuỗi khối một khi đã được thực hiện thì không thể đảo ngược. Những vụ đánh cắp hàng trăm triệu USD từng xảy ra trên thế giới trong các năm qua đã chứng minh mức độ tàn phá khủng khiếp khi hệ thống phòng thủ của một sàn giao dịch xuất hiện sơ hở.
Thứ hai, dữ liệu định danh khách hàng trên sàn giao dịch có mức độ nhạy cảm rất cao. Để tuân thủ quy định pháp luật, sàn được cấp phép phải thu thập và lưu trữ thông tin cá nhân, hình ảnh giấy tờ tùy thân và lịch sử luân chuyển tiền tệ của từng người tham gia. Nếu kho dữ liệu này bị rò rỉ, người dùng không chỉ đối mặt với nguy cơ mất quyền riêng tư mà còn có thể trở thành nạn nhân của các vụ lừa đảo tài chính tinh vi.
Thứ ba, sự an toàn của sàn giao dịch tác động trực tiếp đến niềm tin vào toàn bộ thị trường đang trong giai đoạn thử nghiệm. Bất kỳ một sự cố an ninh nghiêm trọng nào tại một đơn vị được cấp phép cũng có thể gây ra tâm lý hoang mang trên diện rộng, làm tổn hại đến nỗ lực xây dựng khung pháp lý minh bạch của cơ quan quản lý. Đặc biệt, với những sàn giao dịch nằm trong hệ sinh thái của các ngân hàng thương mại, rủi ro an ninh mạng còn có thể lan truyền và ảnh hưởng trực tiếp đến uy tín của hệ thống tài chính truyền thống.
Hệ thống thông tin cấp độ 4 - Bước chạy đà trong cuộc đua cấp phép
Một ví dụ tiêu biểu cho tiến trình chuẩn bị này là trường hợp của Công ty Cổ phần Sàn giao dịch Tài sản mã hóa Việt Nam Thịnh Vượng (CAEX), đơn vị thuộc hệ sinh thái VPBank. Doanh nghiệp này vừa qua đã được Cục An ninh mạng thuộc Bộ Công an thẩm định và chấp thuận hồ sơ đề xuất an toàn hệ thống thông tin cấp độ 4.
Hồ sơ kỹ thuật của doanh nghiệp bao gồm toàn bộ giải pháp bảo vệ cho hệ thống khớp lệnh, hạ tầng ví lưu ký nóng và lạnh, cơ chế quản lý khóa bảo mật chuyên dụng và năng lực giám sát dòng tiền phòng chống rửa tiền trên nền tảng điện toán đám mây riêng biệt. Dù vậy, sàn giao dịch này vẫn chưa thể đón người dùng ngay, bởi hoạt động kinh doanh chỉ được triển khai sau khi hoàn tất đầy đủ giấy phép theo quy định pháp luật.
Quy trình để một hệ thống đạt chuẩn cấp độ 4 là một chặng đường dài, bắt đầu từ việc lập hồ sơ thiết kế, trình cơ quan có thẩm quyền thẩm định, phê duyệt, sau đó mới đến bước thi công và duy trì đánh giá định kỳ trong suốt quá trình hoạt động. Việc được thông qua hồ sơ thẩm định là một tín hiệu đáng mừng, khẳng định doanh nghiệp có sự đầu tư bài bản và nghiêm túc, nhưng nhiệm vụ bảo vệ an toàn là một hành trình liên tục không bao giờ có điểm dừng.
Đối với cộng đồng nhà đầu tư, tiêu chuẩn an toàn thông tin cấp độ 4 là một thước đo tin cậy để nhận diện những nền tảng được quản lý nghiêm cẩn. Dù vậy, chuẩn mực kỹ thuật này không phải là chiếc khiên bảo vệ tuyệt đối trước mọi rủi ro, bởi nhiều sự cố lớn trong lịch sử bắt nguồn từ sự bất cẩn trong quy trình vận hành và yếu tố con người. Người tham gia thị trường vẫn cần kết hợp xem xét nhiều khía cạnh khác như giấy phép hoạt động hợp pháp, cơ chế phân tách tài sản người dùng và sự minh bạch trong công bố thông tin để bảo vệ an toàn cho nguồn vốn của mình.
