Kiến trúc an ninh đa tầng bảo vệ thông tin học đường đạt chuẩn quốc gia.

Căn cứ theo Luật An toàn thông tin mạng số 86/2015/QH13, Nghị định số 85/2016/NĐ-CP và Thông tư số 12/2022/TT-BTTTT:

Lycero thiết lập đầy đủ Hồ sơ Đề xuất Cấp độ An toàn Hệ thống Thông tin (Cấp độ 3), bao gồm: Thuyết minh thiết kế kỹ thuật, Quy chế bảo đảm an toàn thông tin nội bộ, Báo cáo đánh giá rủi ro an ninh mạng, Kế hoạch quản lý sự cố và Phương án kiểm tra đánh giá định kỳ.

Hệ thống sẵn sàng cung cấp tài liệu kỹ thuật phục vụ công tác thanh tra, thẩm định chuyên môn của Cục An toàn thông tin (Bộ TT&TT) và các cơ quan quản lý giáo dục.

Lycero áp dụng kiến trúc mật mã phong bì hai tầng độc quyền (Envelope Encryption Architecture):

Tầng 1 — Khóa Mã hóa Dữ liệu (DEK - Data Encryption Key): Mỗi trường học, lớp học và khối dữ liệu nhạy cảm được cấp một khóa DEK ngẫu nhiên riêng biệt, sử dụng thuật toán mã hóa đối xứng AES-256-GCM kết hợp xác thực toàn vẹn tin nhắn (Authenticated Encryption).

Tầng 2 — Khóa Chủ (Master KEK - Key Encryption Key): Khóa DEK được bọc kín và giải mã thông qua mô-đun Quản lý Khóa chuyên dụng (Key Management Service - KMS) chuẩn FIPS 140-2 Level 3. Ngay cả khi tin tặc chiếm quyền kiểm soát máy chủ vật lý, dữ liệu lưu trữ thô vẫn hoàn toàn không thể giải mã.

Toàn bộ cụm máy chủ, cơ sở dữ liệu quan hệ PostgreSQL 16, pgvector và kho lưu trữ tệp MinIO S3 của Lycero được đặt tại các Trung tâm Dữ liệu đạt chuẩn Tier 3 quốc tế tại Hà Nội và TP. Hồ Chí Minh (hạ tầng do Viettel IDC và VNPT Data cung ứng).

Trung tâm dữ liệu được trang bị nguồn điện dự phòng N+1, hệ thống chữa cháy khí sạch FM200, kiểm soát an ninh sinh trắc học 24/7 và đạt đầy đủ các chứng nhận quốc tế: ISO/IEC 27001:2013 (Hệ thống Quản lý An toàn Thông tin), ISO/IEC 27017 (An toàn Đám mây) và ISO 22301 (Quản lý Hoạt động Liên tục).

Hệ thống áp dụng cơ chế phân quyền chi tiết đến từng phân hệ và tính năng (Granular Role-Based Access Control):

Tài khoản Quản trị Trường học: Chỉ có quyền quản lý danh sách giáo viên, cấu hình môn học và xem báo cáo tổng hợp; tuyệt đối không thể can thiệp sửa đổi giáo án riêng tư của giáo viên nếu chưa được cấp quyền cộng tác.
Tài khoản Giáo viên: Toàn quyền với không gian làm việc của mình, chỉ tiếp cận lớp học được phân công giảng dạy trong thời khóa biểu.
Xác thực Đa Yếu tố (MFA): Bắt buộc áp dụng đối với mọi tài khoản quản trị trường học và cán bộ quản lý qua mã OTP gửi về ứng dụng di động hoặc tin nhắn an toàn.

Lớp biên mạng của Lycero được che chắn bởi Tường lửa Ứng dụng Web (Web Application Firewall - WAF) và mạng lưới phòng vệ phân tán:

Chống Tấn công DDoS: Hệ thống lọc lưu lượng thông minh có khả năng hấp thụ và ngăn chặn các cuộc tấn công từ chối dịch vụ phân tán quy mô lớn ở cả Tầng 3/4 (Network) và Tầng 7 (Application).
Lọc Đầu vào (Input Sanitization & Injection Prevention): Toàn bộ dữ liệu người dùng gửi lên qua cổng tRPC API đều được kiểm tra hợp lệ nghiêm ngặt bằng Zod schemas, ngăn chặn 100% các lỗ hổng SQL Injection, Cross-Site Scripting (XSS), CSRF và Command Injection theo tiêu chuẩn OWASP Top 10.

Mọi hành vi trọng yếu trên hệ thống — bao gồm: Đăng nhập, thay đổi quyền, bóc tách điểm số OCR, xuất dữ liệu học bạ, cấp đồng thuận hoặc yêu cầu xóa dữ liệu — đều được ghi nhận tự động vào Nhật ký Kiểm toán An ninh (Audit Log).

Nhật ký kiểm toán được lưu trữ dạng bất biến (Write-Once-Read-Many) với mã băm toàn vẹn SHA-256. Bất kỳ sự can thiệp chỉnh sửa nhật ký nào đều bị phát hiện ngay lập tức. Nhật ký được lưu trữ tối thiểu 12 tháng để phục vụ công tác điều tra sự cố và kiểm toán định kỳ theo quy định của pháp luật.

Lycero duy trì Đội Ứng cứu Sự cố An ninh Mạng (Lycero CSIRT) hoạt động thường trực 24/7/365, liên kết chặt chẽ với Mạng lưới Ứng cứu Sự cố An toàn Thông tin Mạng Quốc gia (VNCERT/CC):

Mục tiêu Phục hồi Dữ liệu (RPO - Recovery Point Objective): Dưới 15 phút nhờ cơ chế đồng bộ liên tục (Write-Ahead Logging Replication) giữa cụm máy chủ chính và cụm máy chủ dự phòng.
Mục tiêu Thời gian Phục hồi (RTO - Recovery Time Objective): Dưới 60 phút khi xảy ra sự cố phần cứng diện rộng tại trung tâm dữ liệu chính.