Bảo mật của doanh nghiệp bạn được chấm "sao": Giải thích dễ hiểu về chương trình xếp hạng SCS của Nhật Bản (Những điều cần biết trước khi khách hàng hỏi đến)

"Công ty anh chị cũng đạt ★3 được chứ?" Từ mùa xuân năm 2027, ngày càng nhiều doanh nghiệp tại Nhật Bản sẽ nghe câu hỏi này từ khách hàng của mình. Ngôi sao đó đến từ chương trình xếp hạng SCS, do Chính phủ Nhật Bản (Bộ Kinh tế, Thương mại và Công nghiệp cùng Văn phòng Nội các) xây dựng và IPA (Cơ quan Xúc tiến Công nghệ Thông tin Nhật Bản) vận hành. Tên chính thức của chương trình là "Chương trình xếp hạng bảo mật nhằm tăng cường chuỗi cung ứng". Ngày 28 tháng 10 năm 2026, các hướng dẫn đánh giá và sổ tay giải thích đã được công bố, và đến nay chương trình gần như đã được xác định đầy đủ.

Bài viết này giải thích, với càng ít thuật ngữ CNTT càng tốt, vì sao chương trình ra đời, các ngôi sao có ý nghĩa gì, điều gì xảy ra khi bạn đạt sao, chi phí bao nhiêu và khi nào bắt đầu. Chi tiết kỹ thuật (cụ thể cần cấu hình những gì) có trong hướng dẫn dành cho kỹ sư, còn tác động đến kinh doanh và các quyết định quản trị có trong hướng dẫn dành cho lãnh đạo doanh nghiệp. Ngoài ra còn có phiên bản manga để bạn đọc cùng con.

Bài viết này cũng được đăng bằng tiếng Anh tại sitescouter.net và nkzw.jp, và bằng tiếng Nhật tại sitescouter.net. Đây là bản tiếng Việt trên Site Scouter, dịch từ bản tiếng Anh.

Vì sao lại là "chuỗi cung ứng"?

Những năm gần đây liên tục xảy ra các sự cố trong đó không phải bản thân doanh nghiệp lớn mà là một nhà cung cấp hoặc công ty con của họ bị tấn công, khiến nhà máy hoặc hoạt động logistics của doanh nghiệp lớn bị đình trệ. Chỉ cần một công ty trong chuỗi bị xâm nhập, dù là đơn vị cung cấp linh kiện, bảo trì hệ thống hay lưu giữ dữ liệu, thiệt hại sẽ lan sang mọi công ty có liên kết với nó. Đó là "tấn công chuỗi cung ứng".

Cho đến nay, các doanh nghiệp lớn kiểm tra nhà cung cấp bằng cách gửi cho họ bảng câu hỏi kiểm tra riêng của mình. Với các doanh nghiệp vừa và nhỏ ở phía nhận, điều đó có nghĩa là phải trả lời những câu hỏi tương tự hết lần này đến lần khác, mỗi khách hàng một mẫu khác nhau, và đây là gánh nặng lớn. Về phía bên gửi, họ cũng không chắc bảng kiểm tra của mình đã đủ hay chưa. Mục tiêu của chương trình là giải quyết cả hai vấn đề bằng một thước đo chung do Chính phủ đặt ra.

Điểm quan trọng là thước đo này không chỉ chạm đến các công ty giao dịch trực tiếp với doanh nghiệp lớn, mà còn đến các nhà cung cấp cấp 2, cấp 3 ở phía dưới. Công ty đạt ★4 có nghĩa vụ nắm được tình trạng bảo mật của chính các nhà cung cấp của mình (yêu cầu 2-1-3). Cách dễ nhất để nắm được là "đề nghị nhà cung cấp cũng đạt sao", vì vậy nhu cầu về sao ngày càng lan xuống sâu hơn trong chuỗi.

Ngôi sao cho biết "bạn được bảo vệ tốt đến mức nào"

Có ba cấp: ★3, ★4 và ★5. Không có ★1 hay ★2 (cam kết một sao và hai sao trong chương trình riêng của IPA là "SECURITY ACTION" đóng vai trò nền tảng). ★5 vẫn đang được nghiên cứu, nên hiện tại ★3 và ★4 là hai cấp được áp dụng trên thực tế.

26 và 43 hạng mục này được chia thành 7 lĩnh vực lớn: "chỉ định người chịu trách nhiệm", "nắm rõ quan hệ với nhà cung cấp", "nắm rõ mình có những máy tính và máy chủ nào", "ngăn chặn tấn công", "phát hiện tấn công", "ứng phó khi có sự cố" và "khôi phục hoạt động kinh doanh". Nghe có vẻ mang tính kỹ thuật, nhưng phần lớn ★3 là về việc chứng minh bằng văn bản rằng bạn đã đặt ra quy tắc, phổ biến cho nhân viên và rà soát lại mỗi năm một lần.

Ví dụ về những gì ★3 thực sự yêu cầu

Từ các tài liệu viết cho chuyên gia, dưới đây là những hạng mục liên quan nhiều nhất đến các chủ doanh nghiệp thông thường:

• Chỉ định người chịu trách nhiệm. Nêu tên lãnh đạo phụ trách bảo mật và bộ phận chịu trách nhiệm, đồng thời lập danh sách liên lạc
• Lập sổ quản lý máy tính và máy chủ: có bao nhiêu máy và mỗi máy chạy hệ điều hành nào
• Quy tắc mật khẩu. Luôn đổi mật khẩu ban đầu, cấm các từ dễ đoán, không bao giờ dùng lại mật khẩu. Tối thiểu 8 ký tự (tối thiểu 10 ký tự nếu không có cơ chế khóa tài khoản hoặc xác thực hai bước)
• Luôn dùng xác thực hai bước (đa yếu tố) cho các dịch vụ đám mây xử lý thông tin quan trọng
• Cài đặt bản cập nhật trong vòng 14 ngày kể từ khi phát hành (với các bản cập nhật nghiêm trọng). Ngừng dùng phần mềm cũ đã hết hỗ trợ, hoặc ngắt nó khỏi internet
• Cài phần mềm diệt virus trên mọi máy tính và máy chủ
• Sao lưu dữ liệu, lưu thông tin quan trọng ở cả một địa điểm riêng, và ghi lại cách khôi phục
• Đổi mật khẩu quản trị của router và tường lửa để không ai có thể xâm nhập từ bên ngoài
• Quyết định trước cần làm gì và liên hệ với ai khi xảy ra sự cố (bao gồm khách hàng, cảnh sát và bộ quản lý ngành)

Bạn không bắt buộc phải mua bất kỳ sản phẩm bảo mật cụ thể nào. Một lời chào hàng nói rằng "không có sản phẩm này thì không đạt được sao" là không đúng với nội dung của chương trình.

Cách đạt sao

Với ★3

1. Quyết định đăng ký cho toàn công ty, cho một bộ phận kinh doanh hay cho cả tập đoàn
2. Điền kết quả tự kiểm tra 26 hạng mục vào bảng đánh giá (một tệp Excel) do IPA cung cấp
3. Nhờ một chuyên gia bảo mật SCS đã đăng ký với IPA xác nhận và ký tên
4. Giám đốc hoặc ban lãnh đạo đưa ra tự tuyên bố phù hợp rằng "chúng tôi đáp ứng các yêu cầu"
5. Nộp đơn đăng ký lên IPA. Sau khi thẩm định, công ty bạn được đưa vào danh sách trên website của IPA và có thể sử dụng biểu trưng (logo)

Với ★4

Sau bước 2, thay vì nhờ chuyên gia xác nhận, bạn thuê một tổ chức đánh giá. Tổ chức đánh giá sẽ xem xét tài liệu của bạn, đến kiểm toán tại chỗ trong 1 đến 2 ngày, rồi dành thêm 1 đến 2 ngày kiểm tra các thiết bị có thể truy cập từ bên ngoài qua internet (thiết bị VPN, router, v.v.) để tìm điểm yếu. Nếu phát hiện điểm yếu nghiêm trọng, bạn phải khắc phục trong vòng 14 ngày và cho kiểm tra lại. Khi nhận được báo cáo đánh giá, bạn chuyển sang bước tự tuyên bố và nộp đơn đăng ký.

Chi phí bao nhiêu?

Phí đăng ký nộp cho IPA được nêu trong bảng ở trên: ¥10,000 mỗi năm cho ★3. Tuy nhiên, phí trả cho chuyên gia và tổ chức đánh giá là khoản riêng. Các khoản này không có trong biểu phí của chương trình và do thị trường quyết định.

Một điều khác thường bị bỏ qua là chi phí và thời gian cho chính các biện pháp bảo mật. Triển khai xác thực hai bước, thay máy tính và phần mềm cũ, thiết lập sao lưu có thể mất vài tháng tùy quy mô công ty. Trong ngành thường nhắc đến kinh nghiệm "2 đến 3 tháng cho các biện pháp kỹ thuật, 1 đến 2 tháng cho tài liệu và bằng chứng".

Đối với doanh nghiệp vừa và nhỏ, IPA đang chuẩn bị "Dịch vụ Cyber Security Otasuketai (loại mới)", một dịch vụ hỗ trợ nhằm giúp họ đạt ★3 và ★4 (vẫn đang ở giai đoạn thí điểm tính đến tháng 10 năm 2026).

Khi nào bắt đầu?

Còn khoảng 5 tháng nữa là bắt đầu nhận hồ sơ, nhưng vì các biện pháp cần vài tháng để triển khai, những công ty có khả năng được khách hàng yêu cầu nên bắt đầu kiểm tra hiện trạng ngay từ bây giờ để vừa kịp. Bảng đánh giá hiện đã có thể tải về.

Nếu không đạt sao thì sao?

Một khi tiêu chuẩn mua sắm của khách hàng ghi "từ ★3 trở lên", những công ty không có sao sẽ không còn được chọn làm nhà cung cấp. Doanh nghiệp lớn không thể ký hợp đồng với công ty không đáp ứng tiêu chuẩn mua sắm của chính họ. Người phụ trách không có quyền tự quyết, vì ký hợp đồng với công ty không đạt tiêu chuẩn sẽ là vi phạm tuân thủ. Với giao dịch mới, đây là điều kiện ngay từ đầu; với giao dịch hiện có, điều kiện này được bổ sung khi gia hạn hợp đồng. Và như đã thấy ở mục 1, yêu cầu không dừng lại ở nhà cung cấp cấp 1 mà lan xuống tận các nhà cung cấp cấp 2 và cấp 3.

Về mặt pháp lý, chương trình mang tính tự nguyện. Phần câu hỏi thường gặp (FAQ) của IPA nêu rằng "việc đạt sao là tự nguyện" và "không đáp ứng mọi yêu cầu không có nghĩa là giao dịch bị dừng ngay lập tức". Việc chương trình có trở thành yêu cầu trong đấu thầu công hay không là do từng cơ quan mua sắm quyết định. Dù vậy, cách tiếp cận thực tế là chuẩn bị trên cơ sở "tự nguyện theo luật, nhưng trên thực tế là bắt buộc trong kinh doanh". Nắm rõ ngay từ bây giờ công ty mình đã đáp ứng các yêu cầu đến đâu sẽ giúp cả việc đàm phán lẫn chuẩn bị dễ dàng hơn so với việc cuống cuồng sau khi khách hàng hỏi đến.

Cảnh giác với những lời chào hàng ép buộc

Tháng 4 năm 2026, Bộ Kinh tế, Thương mại và Công nghiệp cùng Văn phòng Nội các đã đưa ra cảnh báo về các lời chào hàng không phù hợp khẳng định "không có sao thì sẽ không thể làm ăn được" hoặc "chúng tôi là tổ chức hỗ trợ được công nhận". Trong chương trình không có vai trò nào gọi là "tổ chức hỗ trợ được công nhận". Các vai trò chính thức duy nhất là bốn vai trò do IPA chỉ định hoặc đăng ký: tổ chức đánh giá, đơn vị kiểm tra kỹ thuật, đơn vị đào tạo và chuyên gia bảo mật SCS. Danh sách sẽ được công bố trên website của IPA từ tháng 12 năm 2026.

Bạn có thể đối chiếu một tên gọi hay chức danh có thật hay không với danh sách trên website của IPA. Ở thời điểm này, trước khi danh sách được công bố, không công ty nào có thể chính đáng tự nhận là "được công nhận".

Trước tiên, hãy xem công ty bạn trông như thế nào từ bên ngoài

Các yêu cầu bao gồm cài đặt bản cập nhật trong vòng 14 ngày và không sử dụng phần mềm đã hết hỗ trợ. Việc website hoặc máy chủ của bạn có đang công bố phiên bản cũ ra bên ngoài hay không có thể kiểm tra mà không cần đăng ký, chỉ bằng cách nhập URL vào công cụ kiểm tra thông tin máy chủ của Site Scouter. Hãy dùng nó như một bước kiểm tra đầu tiên trong một phút trước khi bạn bắt đầu chuẩn bị để đạt sao.

Ghi chú về phương pháp và giới hạn

Bài viết này dựa trên website của chương trình do IPA vận hành, phần FAQ, các yêu cầu và tiêu chí đánh giá (SCS-400 Ver.1.1), sổ tay (SCS-620), hướng dẫn kiểm tra kỹ thuật (SCS-430), thông báo về phí và thông cáo báo chí ngày 28 tháng 10 năm 2026, theo nội dung công bố tại thời điểm ngày 30 tháng 10 năm 2026. Hướng dẫn nộp đơn đăng ký chưa được công bố, nên các chi tiết thủ tục có thể thay đổi. Tác giả làm việc trong lĩnh vực tên miền, hosting và bảo mật, và không phải là tổ chức đánh giá hay chuyên gia theo chương trình này.

Câu hỏi thường gặp

Chương trình có áp dụng cho cả công ty nhỏ không?

Chương trình áp dụng bất kể ngành nghề hay quy mô. IPA kỳ vọng lợi ích lớn nhất sẽ thuộc về các doanh nghiệp vừa và nhỏ vốn có ít nhân lực và ngân sách cho bảo mật.

Chương trình có liên quan đến các nhà cung cấp cấp 3 không giao dịch trực tiếp với doanh nghiệp lớn không?

Có. Công ty đạt ★4 có nghĩa vụ nắm được tình trạng bảo mật của các nhà cung cấp, nên càng nhiều công ty ở phía trên đạt sao thì càng nhiều công ty ở phía dưới bị yêu cầu đạt sao. Không có giới hạn về việc yêu cầu lan xuống bao nhiêu cấp.

Có thể đăng ký ★4 mà không cần ★3 không?

Có. Cấp sao cao hơn bao gồm toàn bộ yêu cầu của các cấp thấp hơn, nên bạn có thể đăng ký thẳng ★4.

Nếu đã có ISMS hoặc PrivacyMark thì có còn cần nữa không?

Có. Phần FAQ của IPA mô tả ISMS và chương trình này là bổ sung cho nhau.

Các công ty được chứng nhận có được công khai không?

Có. Các tổ chức đã đăng ký được đưa vào danh sách trên website của IPA và có thể sử dụng biểu trưng (logo).

Có thể đặt câu hỏi ở đâu?

Nhóm Chứng nhận Bảo mật thuộc Trung tâm Bảo mật của IPA tiếp nhận câu hỏi qua email. Không tiếp nhận câu hỏi qua điện thoại.

Tài liệu tham khảo

Kiểm tra lần cuối: 2026-10-30. Thông số kỹ thuật và chính sách có thể thay đổi; hãy kiểm tra nguồn thông tin gốc trước khi hành động.

• IPA: Security Rating Scheme for Strengthening Supply Chains (SCS rating scheme)
• IPA: Overview of the level-based assessment
• IPA: Requirements, evaluation criteria and assessment guides
• IPA: Frequently asked questions
• IPA: Fee notice (2026-09-18, PDF)
• IPA: Press release on the assessment guides (2026-10-28)
• METI: SCS rating scheme special site
• IPA: SECURITY ACTION