Kính gửi: Các đơn vị cung cấp dịch vụ hạ tầng công nghệ thông tin.
Căn cứ Luật Đấu thầu ngày 23 tháng 6 năm 2023;
Căn cứ Luật số 57/2024/QH15 sửa đổi, bổ sung một số điều của Luật Quy hoạch, Luật Đầu tư, Luật Đầu tư theo phương thức đối tác công tư và Luật Đấu thầu ngày 29 tháng 11 năm 2024;
Căn cứ Luật số 90/2025/QH15 sửa đổi, bổ sung một số điều của Luật Đấu thầu, Luật Đầu tư theo phương thức đối tác công tư, Luật Hải quan, Luật Thuế giá trị gia tăng, Luật Thuế xuất khẩu, thuế nhập khẩu, Luật Đầu tư, Luật Đầu tư công, Luật Quản lý, sử dụng tài sản công ngày 25 tháng 6 năm 2025;
Căn cứ Quyết định số 1488/QĐ-QLĐT ngày 25 tháng 6 năm 2026 của Cục trưởng Cục Quản lý đấu thầu quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Trung tâm Hỗ trợ đấu thầu thuộc Cục Quản lý đấu thầu;
Căn cứ Quyết định số 22/QĐ-TTHT ngày 05 tháng 8 năm 2025 của Giám đốc Trung tâm Hỗ trợ đấu thầu về việc ban hành Quy chế mua sắm, lựa chọn nhà thầu của Trung tâm Hỗ trợ đấu thầu;
Trung tâm Hỗ trợ đấu thầu đang triển khai kế hoạch thuê hạ tầng công nghệ thông tin phục vụ vận hành Hệ thống quản lý cấp chứng chỉ nghiệp vụ chuyên môn về đấu thầu. Để có cơ sở xây dựng giá dự toán và lựa chọn nhà thầu, Trung tâm trân trọng kính mời các đơn vị có đủ năng lực và kinh nghiệm gửi báo giá cho gói dịch vụ với các nội dung chi tiết như sau:
1. Phạm vi công việc và yêu cầu kỹ thuật:
– Phạm vi công việc: Cung cấp hạ tầng máy chủ ảo (VM), hệ thống bảo mật, lưu trữ, sao lưu dữ liệu và thực hiện rà soát, hoàn thiện kiến trúc phân vùng mạng (DMZ, vùng máy chủ ứng dụng, vùng cơ sở dữ liệu) nhằm đáp ứng yêu cầu của TCVN 11930:2017. Chi tiết cấu hình tài nguyên tại Phụ lục đính kèm.
– Yêu cầu kỹ thuật:
+ Rà soát, hoàn thiện và cấu hình kiến trúc phân vùng mạng theo tiêu chuẩn TCVN 11930:2017 đối với hệ thống thông tin cấp độ 3.
+ Thực hiện phân tách rạch ròi các phân vùng mạng: Vùng mạng biên, vùng Core, vùng DMZ, vùng máy chủ ứng dụng nội bộ và vùng cơ sở dữ liệu.
+ Thiết lập phòng thủ nhiều lớp (defense-in-depth), cô lập hoàn toàn vùng DMZ. Đảm bảo các máy chủ tiếp xúc Internet chỉ kết nối qua tường lửa đến vùng nội bộ, tuyệt đối không kết nối trực tiếp đến vùng cơ sở dữ liệu.
+ Tăng cường kiểm soát luồng kết nối và áp dụng nguyên tắc phân quyền truy cập tối thiểu giữa các vùng mạng.
+ Thực hiện di chuyển dữ liệu khi phát sinh yêu cầu của Chủ đầu tư.
2. Yêu cầu năng lực, kinh nghiệm của nhà thầu:
– Nhà thầu được lựa chọn phải đáp ứng tư cách hợp lệ theo quy định tại các điểm a, b, c, d, e, g và i khoản 1 Điều 5 của Luật Đấu thầu;
– Nhà thầu đã có kinh nghiệm thực hiện tối thiểu 02 hợp đồng tương tự về cho thuê hạ tầng máy chủ ảo hoặc dịch vụ Cloud cho các hệ thống thông tin được phê duyệt từ Cấp độ 3 trở lên, ưu tiên các đơn vị đã từng triển khai các gói thầu có tính chất kỹ thuật tương đồng với hệ thống quản lý dữ liệu nghiệp vụ đấu thầu. Tài liệu chứng minh: Bản chụp Hợp đồng tương tự và biên bản nghiệm thu hoặc thanh lý hợp đồng hoặc các tài liệu khác tương đương;
– Đội ngũ chuyên gia kỹ thuật trực tiếp thực hiện gói thầu phải đảm bảo có năng lực, cụ thể như sau:
+ Bằng Đại học hoặc Thạc sĩ chuyên ngành CNTT (bao gồm các ngành đào tạo về CNTT và các ngành gần đào tạo về CNTT theo giải thích từ ngữ tại Thông tư số 08/2022/TT-BTTTT ngày 30/6/2022 của Bộ Thông tin và Truyền thông).
+ Các chứng chỉ chuyên môn quốc tế về quản trị hệ thống và an toàn thông tin (như CISSP, CEH, CCNA, MCITP, MCTS hoặc tương đương).
+ Có kinh nghiệm trong lĩnh vực công nghệ thông tin và có kinh nghiệm thực tế trong việc rà soát và thiết kế kiến trúc mạng theo tiêu chuẩn an toàn thông tin tại Việt Nam.
3. Hồ sơ báo giá bao gồm:
– Báo giá chi tiết (đã bao gồm các loại thuế, phí theo quy định);
– Hiệu lực báo giá tối thiểu 30 ngày;
– Hồ sơ năng lực của nhà thầu.
4. Thông tin tiếp nhận báo giá:
– Cách thức nộp báo giá: Nhà thầu có thể nộp báo giá cung cấp dịch vụ theo một trong các cách thức sau:
+ Nộp trực tiếp tại địa chỉ: Trung tâm Hỗ trợ đấu thầu – Tòa nhà NIC, ngõ 7 Tôn Thất Thuyết, phường Cầu Giấy, thành phố Hà Nội.
+ Gửi qua email: chungchidauthau.mof@gmail.com.
– Thời hạn tiếp nhận báo giá gói thầu: Muộn nhất 17h ngày 10/07/2026.
Các hồ sơ, tài liệu nhận sau thời hạn trên sẽ không được xem xét.
- Thông tin liên hệ của người tiếp nhận báo giá:
– Họ và tên: Đoàn Minh Hiếu;
– Chức vụ: Chuyên viên Phòng Đào tạo đấu thầu;
– Số điện thoại: 034.559.4095.
Trung tâm Hỗ trợ đấu thầu xin thông báo./.
Tải file đính kèm tại: Thư mời báo giá dịch vụ-THTMC-CPS-07.07.2026
Yêu cầu về kỹ thuật
Dịch vụ Thuê hạ tầng máy chủ ảo phục vụ hoạt động của Hệ thống quản lý cấp chứng chỉ nghiệp vụ chuyên môn về đấu thầu
– Địa điểm thực hiện: Trung tâm Hỗ trợ đấu thầu;
– Loại hợp đồng: Hợp đồng theo đơn giá cố định trên từng tháng nhà thầu cung cấp dịch vụ;
– Thời gian thực hiện: 12 tháng.
1. Yêu cầu chung:
Yêu cầu kỹ thuật của hạ tầng máy chủ ảo phục vụ hoạt động của Hệ thống quản lý cấp chứng chỉ nghiệp vụ chuyên môn về đấu thầu (Hệ thống).
– Hạ tầng máy chủ ảo và các dịch vụ bảo mật chạy ổn định, xuyên suốt trong suốt quá trình thực hiện hợp đồng;
– Các dịch vụ bảo mật được cung cấp đáp ứng yêu cầu về đảm bảo an toàn thông tin đối với hệ thống công nghệ thông tin cấp độ 3;
– Việc hỗ trợ kỹ thuật thực hiện xuyên suốt, kịp thời, đáp ứng yêu cầu của Chủ đầu tư;
– Việc hỗ trợ của nhà thầu trong việc cảnh báo tấn công, lỗ hổng bảo mật và ứng cứu, xử lý sự cố giúp Hệ thống quản lý cấp chứng chỉ nghiệp vụ chuyên môn về đấu thầu tránh được rủi ro bảo mật, tránh các cuộc tấn công hoặc xử lý được các cuộc tấn công mà không làm ảnh hưởng đến Hệ thống hay lộ lọt thông tin.
– Mức cam kết dịch vụ (SLA) đạt tối thiểu 99,99%;
– Nhà thầu phải bảo mật thông tin dữ liệu trên Hệ thống theo các quy định của Chủ đầu tư;
– Nhà thầu phải đảm bảo tuân thủ lưu trữ dữ liệu tại Việt Nam đáp ứng quy định của Nghị định số 53/2022/NĐ-CP ngày 15/8/2022;
– Nhà thầu phải cung cấp dịch vụ cung cấp đáp ứng các quy định về bảo đảm an toàn thông tin theo cấp độ 3 đáp ứng quy định của Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 về bảo đảm an toàn hệ thống thông tin theo cấp độ, Thông tư 12/2022/TT-BTTT của Bộ Thông tin và Truyền thông ngày 12/8/2022 và tiêu chuẩn quốc gia TCVN 11930:2017;
– Nhà thầu phải đền bù thiệt hại cho Chủ đầu tư nếu xảy ra sự cố gây thất thoát hoặc mất dữ liệu;
– Nhà thầu không được sử dụng bất kỳ thành phần tài nguyên nào do Chủ đầu tư thuê để làm thành phần cấu thành cho dịch vụ của nhà thầu cung cấp cho các bên khác.
– Trong quá trình thực hiện hợp đồng, chủ đầu tư có quyền tăng hoặc giảm khối lượng máy chủ cần thuê theo tình hình thực tế.
2. Sơ đồ Hệ thống:
Mô tả thiết kế:
– Hệ thống ứng dụng được triển khai trên VPC đảm bảo riêng biệt và bảo mật với các hệ thống khác trên hạ tầng Cloud.
– Quy hoạch các phân vùng mạng riêng dành cho phân vùng DMZ – phân vùng có các địa chỉ IP Public, phân vùng máy chủ Application, phân vùng máy chủ Database và phân vùng máy chủ SIEM.
– Cụm máy chủ ứng dụng VM01 và VM02 với thiết kế mô hình phân tải qua các ELB, được thiết kế có thể triển khai các VM trên các AZ khác nhau của hạ tầng. Đảm bảo dự phòng trong trường hợp 01 VM ứng dụng xảy ra sự cố thì ứng dụng vẫn hoạt động bình thường.
– Các máy chủ cơ sở dữ liệu DB 01 và DB 02 được thiết kế mô hình hoạt động Replication có thể triển khai các node DB Replicate trên các AZ khác nhau của hạ tầng. Đảm bảo dự phòng trong trường hợp 01 node DB xảy ra sự cố thì ứng dụng vẫn hoạt động bình thường.
– Máy chủ ứng dụng được sao lưu và lưu trữ với giải pháp đề xuất BaaS Veeam để xuất ra các bản sao lưu dự phòng và lưu trữ khi cần khôi phục lại.
– Máy chủ DB được sao lưu và lưu trữ với giải pháp đề xuất Cloud Backup để xuất ra các bản sao lưu dự phòng và lưu trữ khi cần khôi phục lại.
– Hệ thống được giám sát toàn diện hiệu suất sử dụng với dịch vụ Cloud Monitoring: CPU, RAM, Disk, Network.
3. Kiến trúc vùng mạng
Thiết kế kiến trúc phân vùng mạng theo TCVN 11930:2017:
+ Mô hình 6 phân vùng mạng (Mạng biên – Mạng Core – DMZ – Máy chủ nội bộ – Máy chủ CSDL – Mạng quản trị) nhưng bố trí lại rõ ranh giới và luồng truy cập giữa các vùng.
+ Kiểm soát luồng đến vùng CSDL: Máy chủ nội bộ (chứa thành phần backend của ứng dụng) được phép kết nối một chiều đến Vùng máy chủ CSDL. Các vùng khác (bao gồm DMZ) không có đường dẫn trực tiếp đến CSDL.
+ Cô lập Vùng DMZ: Các máy chủ tiếp xúc Internet (trực thuộc DMZ, gồm CCHN_PORTAL, CCHN_EXAM) chỉ kết nối qua firewall đến Vùng Máy chủ nội bộ, không có kết nối trực tiếp đến Vùng CSDL. Vùng DMZ được trang bị tường lửa và phần mềm diệt virus (antivirus) để bảo vệ lớp biên.
+ Bảo vệ luồng mạng: Các kết nối giữa các vùng được quản lý chặt chẽ. Ví dụ, để truy cập và quản trị từ xa chỉ cho phép qua các kênh an toàn (VPN, SSH with MFA, v.v). Các chính sách firewall, ACL được định nghĩa rõ ràng giữa từng phân vùng.
+ Kiến trúc phân vùng mạng sau điều chỉnh minh bạch hơn, tuân thủ nguyên tắc đa lớp (defense-in-depth) và đáp ứng yêu cầu phân vùng, kiểm soát truy cập của TCVN 11930:2017 (cấp độ 3).
4. Yêu cầu đối với phạm vi cung cấp
4.1. Thông số hạ tầng máy chủ cần đáp ứng:
a) Thông số máy chủ
| STT | Máy chủ | Thông số chi tiết | Ghi chú |
| 1 | Máy chủ ảo 01
(Virtual machine)
|
1. Số lượng máy chủ: 02 máy (2 VM)
2. Yêu cầu chung cần đảm bảo: – Cân bằng tải (ELB): đáp ứng cho tối thiểu 330 CCU – IP Public: 01 2. Yêu cầu cụ thể cho mỗi máy: – vCPU: 8core – RAM: 16GB – SSD: 1000GB – VPC: 01 |
– Thời điểm tải thường: 8h – 17h hàng ngày từ thứ 2 đến thứ 4;
– Thời điểm cao tải: 8h – 17h thứ 5 đến chủ nhật; – Thời điểm thấp tải: những thời điểm còn lại |
| 2 | Máy chủ ảo 02
(Virtual machine) |
1. Số lượng máy chủ: 03 máy (2 VM)
2. Yêu cầu chung cần đảm bảo: – Cân bằng tải (ELB): đáp ứng cho tối thiểu 3000 – 5000 CCU – IP Public: 01 3. Yêu cầu cụ thể cho mỗi máy: – vCPU: 8core – RAM: 16GB – SSD: 300GB – VPC: 01 |
|
| 3 | Máy chủ 03 (Virtual machine)
|
1. Số lượng máy chủ: 01 máy (1 VM)
2. Yêu cầu cụ thể: – vCPU: 4core – RAM: 16GB – SSD: 200GB – VPC: 01 – IP Public: 01 |
b) Thông số Dịch vụ dữ liệu:
| STT | Máy chủ | Thông số chi tiết |
| 1 | Dịch vụ lưu trữ cơ sở dữ liệu 01 | 1. Phần mềm quản lý Database: MySQL
2. Số lượng máy chủ: 03 3. Thông số Database: – vCPU: 08 vCPU/Core mỗi máy – RAM: 08 GB mỗi máy – SSD: SSD 500 GB mỗi máy – Loại ổ đĩa: SSD tốc độ cao – Mô hình triển khai: 01 Database Master + 02 Database Replica – Đồng bộ dữ liệu Replication từ Master sang Replica – Khả năng mở rộng: Hỗ trợ mở rộng Replica khi nhu cầu tăng – Chức năng Master: Ghi dữ liệu (Read/Write), quản lý giao dịch – Chức năng Replica: Đọc dữ liệu (Read Only), báo cáo, dự phòng |
| 2 | Dịch vụ lưu trữ cơ sở dữ liệu 02 | 1. Phần mềm quản lý Database: MySQL
2. Số lượng máy chủ: 03 3. Thông số Database: – vCPU: 08 vCPU/Core mỗi máy – RAM: 08 GB mỗi máy – SSD: SSD 500 GB mỗi máy – Loại ổ đĩa: SSD tốc độ cao – Mô hình triển khai: 01 Database Master + 02 Database Replica – Đồng bộ dữ liệu Replication từ Master sang Replica – Khả năng mở rộng: Hỗ trợ mở rộng Replica khi nhu cầu tăng – Chức năng Master: Ghi dữ liệu (Read/Write), quản lý giao dịch – Chức năng Replica: Đọc dữ liệu (Read Only), báo cáo, dự phòng |
| 3 | Dịch vụ backup dữ liệu | 1. Nhà cung cấp thực hiện backup toàn hệ thống dữ liệu.
2. Backup storage: 4800GB |
| 4 | Dịch vụ Storage | Storage size: 4800GB |
c) Thông số Dịch vụ bảo mật và các thành phần khác đáp ứng cấp độ 3:
| STT | Máy chủ | Thông số chi tiết |
| 1 | Dịch vụ bảo mật cho máy chủ và các thành phần khác đáp ứng cấp độ 3 | Thông số bảo mật áp dụng cho toàn bộ máy chủ nêu trên và đáp ứng 3.000 người dùng đồng thời:
1. WAF: 02 HA 2. DDoS: nhà mạng hoặc giải pháp có sẵn 3. FW Core: tối thiểu 02 và có HA (Có license Anti Virus lớp mạng, IPS hoặc IDS, VPN) 4. Switch core: tối thiểu 02 và có HA 5. Máy chủ Anti Virus hoặc EDR 6. Máy chủ giám sát hiệu năng (giám sát tài nguyên Ram, Core, HDD/SDD …) 7. SIEM 8. Cần DLP (phòng chống thất thoát dữ liệu) 5, 6, 7, 8 có thể là 01 máy chủ |
d) Băng thông:
| STT | Băng thông | Thông số chi tiết |
| 1 | Băng thông | – Băng thông trong nước: tối thiểu 500Mbps
– Băng thông quốc tế: tối thiểu 50Mbps – Băng thông nội bộ: tối thiểu 10Gbps – Dữ liệu lưu chuyển: Không giới hạn – Máy chủ có khả năng nâng cấp, mở rộng |
4.2. Yêu cầu chi tiết:
| STT | Nội dung | Yêu cầu kỹ thuật, chất lượng dịch vụ tối thiểu |
| I | Yêu cầu về Trung tâm dữ liệu nơi được nhà cung cấp sử dụng cho máy chủ ảo phục vụ hoạt động của Hệ thống quản lý cấp chứng chỉ nghiệp vụ chuyên môn về đấu thầu | |
| 1 | Tiêu chuẩn trung tâm dữ liệu | – Đáp ứng TCVN 9250:2021 về Trung tâm dữ liệu, yêu cầu về hạ tầng kỹ thuật viễn thông;
– Có chứng nhận đáp ứng tối thiểu Uptime Tier 3 hoặc tương đương; – Có tối thiểu 2 Kênh truyền từ 2 nhà cung cấp ISP khác nhau hoặc có tối thiểu 02 kết nối peering với 2 nhà cung cấp ISP khác nhau để dự phòng; – Được thiết kế xây dựng trên hạ tầng có tính dự phòng và có hỗ trợ dịch vụ DraaS; – Có chứng nhận/xác nhận chứng minh hạ tầng đáp ứng tối thiểu cấp độ 03 về bảo đảm an toàn hệ thống thông tin theo cấp độ tại Nghị định số 85/2016/NĐ-CP, Thông tư số 12/2022/TT-BTTTT và tiêu chuẩn quốc gia TCVN 11930:2017 đã được đánh giá nội bộ hoặc được đánh giá bởi đơn vị khác |
| 2 | Tiêu chuẩn bảo mật thông tin | – Có chứng nhận ISO/IEC 27001:2022 về bảo mật thông tin, an ninh mạng và bảo vệ quyền riêng tư; |
| 3 | Hệ thống quản lý chất lượng | – Có chứng nhận ISO 9001:2015 về hệ thống quản lý chất lượng; |
| II | Yêu cầu kỹ thuật dịch vụ hạ tầng máy chủ ảo và dịch vụ bảo mật | |
| 1 | Tiêu chuẩn/Yêu cầu với hạ tầng máy chủ ảo | – Khả năng Auto Scaling: máy chủ có thể auto scaling dựa trên mức độ sử dụng tài nguyên (CPU, RAM, Network) của các máy chủ để thực hiện tự động tăng hoặc giảm số lượng máy chủ theo nhu cầu;
– Khả năng cân bằng tải (LbaaS): Hỗ trợ cân bằng tải dựa vào Layer 4 và Layer 7; – Khả năng phục hồi ổ cứng: Có khả năng phục hồi nhanh trong vòng 15 phút. |
| 2 | Tiêu chuẩn với dịch vụ bảo mật | – Đáp ứng yêu cầu về bảo đảm an toàn thông tin của hệ thống thông tin cấp độ 3 theo quy định tại Thông tư 12/2022/TT-BTTT của Bộ Thông tin và Truyền thông ngày 12/8/2022 (Theo Phụ lục 03) và tiêu chuẩn quốc gia TCVN 11930:2017.
– Đáp ứng Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ. |
| 3 | Yêu cầu với dịch vụ backup dữ liệu | – Đảm bảo backup dữ liệu toàn bộ hệ thống dữ liệu |
| 4 | Yêu cầu về khả năng mở rộng | – Khả năng mở rộng tức thời, đáp ứng yêu cầu nâng cấp mở rộng của Chủ đầu tư;
– Khả năng mở rộng không gây gián đoạn dịch vụ, không ảnh hưởng đến dữ liệu đã được sao lưu trước đó. |
| 5 | Quản trị | – Nhà thầu cung cấp cho Chủ đầu tư portal để quản trị riêng không gian tài nguyên hạ tầng máy chủ ảo trong quá trình khai thác, sử dụng. Việc khởi tạo và phân quyền người dùng truy cập portal quản trị theo yêu cầu của Chủ đầu tư, số lượng người dùng khởi tạo là không giới hạn. |
| 6 | Hỗ trợ kỹ thuật | – Nhà thầu hỗ trợ Chủ đầu tư trong việc khởi tạo cài đặt hạ tầng máy chủ ảo;
– Nhà thầu đề xuất quy trình hỗ trợ rõ ràng, đảm bảo xử lý kịp thời và hiệu quả các vấn đề phát sinh. – Kênh hỗ trợ, tiếp nhận thông tin: Hỗ trợ 24/7 qua nhiều kênh khác nhau (hotline, ticket; email); – Thời gian tiếp nhận và xử lý yêu cầu trong thời gian tối đa 15 phút và đưa ra phương án khắc phục sự cố trong thời gian tối đa 60 phút kể từ khi Chủ đầu tư gửi yêu cầu. |
| 7 | Khác | – Nhà thầu đảm bảo thường xuyên khuyến cáo cho Chủ đầu tư sử dụng dịch vụ được an toàn, hiệu quả và tư ấn cho Chủ đầu tư phương án khai thác hạ tầng máy chủ ảo tốt nhất;
– Nhà thầu đảm bảo phối hợp với Chủ đầu tư cùng xử lý các vấn đề liên quan đến tấn công, sự cố, v.v… |
5. Các yêu cầu khác
Nhà thầu có trách nhiệm thực hiện và gửi chủ đầu tư các báo cáo định kỳ và đột suất sau:
– Báo cáo vận hành ATTT hàng tháng: Gửi cho Chủ đầu tư vào cuối mỗi tháng đối với các nội dung công việc liên quan đến vận hành an toàn thông tin.
– Báo cáo giám sát định kỳ:
+ Hàng tuần và hàng tháng: Báo cáo tổng quan về tình hình an toàn thông tin thông qua hệ thống giám sát.
+ Báo cáo định kỳ hàng tuần/tháng về các phát hiện, cảnh báo và sự cố phát sinh trong quá trình giám sát tập trung (SIEM).
– Báo cáo phân tích sự cố (đột xuất):
+ Khi có sự cố xảy ra, nhà thầu cung cấp báo cáo phân tích chi tiết về cuộc tấn công, cách thức mã độc xâm nhập và các biện pháp phòng ngừa.
+ Báo cáo chi tiết về các sự cố liên quan đến thất thoát dữ liệu (DLP) để phân tích nguyên nhân và đánh giá rủi ro.
– Báo cáo kỹ thuật chuyên sâu:
+ Báo cáo rà quét mã độc, đánh giá rủi ro mức độ ảnh hưởng và khuyến nghị nâng cao bảo mật.
+ Báo cáo sau các cuộc họp xem xét mối đe dọa (Threat Review Meetings) định kỳ hàng quý (nếu có).
– Các cảnh báo thời gian thực: Cảnh báo tấn công DDoS hoặc mã độc được gửi tự động qua email, SMS hoặc Portal quản trị ngay khi phát hiện.
Yêu cầu về An toàn thông tin (ATTT)
Vận hành hệ thống phải đáp ứng tiêu chuẩn An toàn thông tin cấp độ 3. Các thành phần bảo mật bắt buộc bao gồm:
– Tường lửa thế hệ mới (NGFW): Trang bị 02 máy chủ tường lửa (như Fortinet) chạy dự phòng (HA) với các tính năng IPS, Antivirus, và kiểm soát ứng dụng.
– Tường lửa ứng dụng Web (WAF): Bảo vệ ứng dụng trước Top 10 lỗ hổng OWASP và chống tấn công DDoS tầng ứng dụng (Layer 7).
– Phòng chống mã độc (EDR): Cài đặt agent giám sát liên tục trên các máy chủ để phát hiện hành vi bất thường và các cuộc tấn công zero-day.
– Giám sát tập trung (SIEM/SOC): Thu thập và phân tích log tập trung 24/7 từ toàn bộ thiết bị, máy chủ và ứng dụng thông qua API hoặc Syslog.
– Phòng chống thất thoát dữ liệu (DLP): Giám sát dữ liệu ở trạng thái nghỉ, đang sử dụng và đang truyền tải để ngăn chặn rò rỉ thông tin.
Yêu cầu về Sao lưu và Phục hồi (Backup & Recovery)
Cơ chế sao lưu: Phải có lịch sao lưu tự động hàng ngày (Incremental và Full backup). Hệ thống cần lưu trữ tối đa 30 bản sao lưu để đảm bảo khả năng khôi phục trong vòng 30 ngày gần nhất.
Cam kết thời gian phục hồi (RTO): Đây là yêu cầu kỹ thuật quan trọng, nhà thầu phải đảm bảo:
– Phục hồi bản sao lưu dung lượng 200GB trong vòng 6 phút.
– Phục hồi toàn bộ máy chủ dung lượng 170GB trong vòng 5 phút.
Công cụ Quản trị và Giám sát
– Portal quản trị: Cung cấp giao diện quản lý tập trung cho phép chủ đầu tư theo dõi tài nguyên (vCPU, RAM, Disk, Network) và thực hiện các thao tác quản trị như bật/tắt máy chủ.
– Quản lý định danh (IAM): Cho phép tạo người dùng và phân quyền chi tiết (theo nhóm hoặc theo từng loại tài nguyên cụ thể) để kiểm soát quyền truy cập hệ thống.
– Cloud Trace Service: Lưu lại toàn bộ log thao tác trên Portal để phục vụ việc kiểm tra và giám sát lịch sử vận hành.
Cam kết Chất lượng Dịch vụ (SLA) và Nhân sự
– Độ ổn định: Thời gian hoạt động (uptime) của hạ tầng máy chủ ảo và dịch vụ lưu trữ S3 phải đạt tối thiểu 99,99%.
– Thời gian phản hồi hỗ trợ kỹ thuật:
+ Tiếp nhận yêu cầu hỗ trợ: Tối đa sau 15 phút.
+ Phản hồi cảnh báo an ninh mức độ cao (High): Trong vòng 10 phút.
+ Đưa ra phương án khắc phục sự cố: Tối đa 60 phút kể từ khi nhận thông tin.
– Báo cáo định kỳ: Nhà thầu có trách nhiệm gửi báo cáo vận hành ATTT hàng tháng và báo cáo giám sát định kỳ hàng tuần/tháng.