|
BỘ TÀI CHÍNH
-------
|
CỘNG HÒA XÃ HỘI
CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------
|
|
Số: 2405/QĐ-BTC
|
Hà Nội, ngày 08
tháng 7 năm 2025
|
QUYẾT ĐỊNH
BAN
HÀNH QUY CHẾ AN TOÀN THÔNG TIN MẠNG VÀ AN NINH MẠNG BỘ TÀI CHÍNH
BỘ TRƯỞNG BỘ TÀI CHÍNH
Căn cứ Luật An toàn thông tin mạng ngày
19/11/2015;
Căn cứ Luật An ninh mạng ngày 12/6/2018;
Căn cứ Luật Bảo vệ bí mật nhà nước ngày
15/11/2018;
Căn cứ Nghị định số 85/2016/NĐ-CP ngày 01/7/2016
của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;
Căn cứ Nghị định số 142/2016/NĐ-CP ngày
01/7/2016 của Chính phủ về ngăn chặn xung đột thông tin trên mạng;
Căn cứ Nghị định số 53/2022/NĐ-CP ngày 15/8/2022
của Chính phủ về việc quy định chi tiết một số điều của Luật An ninh mạng;
Căn cứ Nghị định số 13/2023/NĐ-CP ngày 17/4/2023
của Chính phủ về bảo vệ dữ liệu cá nhân;
Căn cứ Nghị định số 29/2025/NĐ-CP ngày 24/2/2025
của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Bộ
Tài chính;
Căn cứ Nghị định số 166/2025/NĐ-CP ngày 30/6/2025
của Chính phủ sửa đổi, bổ sung một số điều của Nghị định số 29/2025/NĐ-CP ngày
24/02/2025 của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ
chức của Bộ Tài chính;
Căn cứ Quyết định số 05/2017/QĐ-TTg ngày
16/3/2017 của Thủ tướng Chính phủ ban hành Quy định về hệ thống phương án ứng cứu
khẩn cấp bảo đảm an toàn thông tin mạng quốc gia;
Căn cứ Thông báo số 52/TB-BCA-A05 ngày 06/5/2025
của Bộ Công an về việc tuân thủ quy định của pháp luật về bảo đảm an toàn hệ thống
thông tin theo cấp độ;
Theo đề nghị của Cục trưởng Cục Công nghệ thông
tin và chuyển đổi số.
QUYẾT ĐỊNH:
Điều 1. Ban hành kèm theo
Quyết định này Quy chế An toàn thông tin mạng và An ninh mạng Bộ Tài chính.
Điều 2. Quyết định này có
hiệu lực từ ngày ký, thay thế Quyết định số 1013/QĐ-BTC ngày 19 tháng 5 năm
2023 của Bộ trưởng Bộ Tài chính về việc ban hành Quy chế An toàn thông tin mạng
và An ninh mạng Bộ Tài chính.
Điều 3. Cục trưởng Cục Công
nghệ thông tin và chuyển đổi số, Thủ trưởng các tổ chức hành chính, sự nghiệp
thuộc cơ cấu tổ chức của Bộ Tài chính; các đơn vị và cá nhân thuộc Bộ Tài chính
có liên quan chịu trách nhiệm thi hành Quyết định này./.
|
Nơi nhận:
- Như Điều 3;
- Bộ Công an;
- Bộ Quốc phòng;
- Lưu: VT, CNTT.
|
KT. BỘ TRƯỞNG
THỨ TRƯỞNG
Bùi Văn Khắng
|
QUY CHẾ
AN
TOÀN THÔNG TIN MẠNG VÀ AN NINH MẠNG BỘ TÀI CHÍNH
(Kèm theo Quyết định số 2405/QĐ-BTC ngày 08 tháng 7 năm 2025 của Bộ Tài
chính)
Chương I
QUY ĐỊNH CHUNG
Điều 1. Phạm vi điều chỉnh, đối
tượng áp dụng
1. Quy chế này quy định về công tác an toàn thông
tin mạng và an ninh mạng của Bộ Tài chính.
2. Quy chế này áp dụng với các cơ quan hành chính,
đơn vị sự nghiệp, đơn vị đặc thù, các tổ chức cá nhân tham gia hoặc có liên
quan trong công tác an toàn thông tin mạng và an ninh mạng tại Bộ Tài chính.
Điều 2. Giải thích từ ngữ sử
dụng trong Quy chế
1. An toàn an ninh mạng là viết tắt của an
toàn thông tin mạng và an ninh mạng.
2. Người dùng là người được cấp quyền truy cập,
sử dụng các ứng dụng, dịch vụ công nghệ thông tin do Bộ Tài chính cung cấp.
3. Chủ quản hệ thống thông tin là Bộ Tài
chính hoặc cấp có thẩm quyền phê duyệt thuê dịch vụ công nghệ thông tin, quyết
định đầu tư dự án xây dựng, thiết lập, nâng cấp, mở rộng hệ thống thông tin.
Trường hợp không xác định được cấp có thẩm quyền
phê duyệt dịch vụ công nghệ thông tin, quyết định đầu tư dự án xây dựng, thiết
lập, nâng cấp, mở rộng hệ thống thông tin, chủ quản hệ thống thông tin là đơn vị
có thẩm quyền quản lý trực tiếp hệ thống thông tin.
4. Đơn vị vận hành hệ thống thông tin do Bộ Tài
chính là chủ quản (viết tắt là Đơn vị vận hành hệ thống thông tin): Các Cục,
Kho bạc Nhà nước, Ủy ban Chứng khoán Nhà nước, Bảo hiểm xã hội Việt Nam, đơn vị
sự nghiệp công lập, trường, học viện, doanh nghiệp thuộc Bộ, đáp ứng một trong
các điều kiện sau:
a) Là đơn vị được Bộ Tài chính giao nhiệm vụ quản
lý, vận hành hệ thống thông tin.
b) Là chủ đầu tư dự án đối với các dự án đầu tư, chủ
trì thuê dịch vụ công nghệ thông tin.
5. Mật khẩu mạnh là mật khẩu đáp ứng các yêu
cầu: Có tối thiểu 12 ký tự, gồm tối thiểu 3 trong 4 loại ký tự sau: chữ cái viết
hoa (A - Z), chữ cái viết thường (a - z), chữ số (0 - 9), các ký tự khác (` ~ !
@ # $ % A & * ( ) _ - + = { } [ ] \ I : ; " ' < > , . ? /);
không chứa tên tài khoản, tên người sử dụng, năm sinh người sử dụng; không bao
gồm các chuỗi liên tiếp dễ đoán (123456, abcd...).
Điều 3. Nguyên tắc an toàn an
ninh mạng tại Bộ Tài chính
1. Tuân thủ quy định của pháp luật về an toàn thông
tin mạng, an ninh mạng; bảo vệ bí mật nhà nước, bí mật công tác, dữ liệu cá
nhân; giao dịch điện tử và các quy định khác có liên quan. Trường hợp có văn bản
quy định cập nhật, thay thế hoặc quy định khác tại văn bản quy phạm pháp luật,
quyết định của cấp có thẩm quyền cao hơn thì áp dụng quy định tại văn bản đó.
2. An toàn an ninh mạng phải gắn liền và hỗ trợ các
hoạt động ứng dụng công nghệ thông tin, giao dịch điện tử, chuyển đổi số của Bộ
Tài chính; hỗ trợ việc sử dụng thiết bị xử lý thông tin để xử lý công việc của
cán bộ, công chức, viên chức, người lao động thuộc Bộ Tài chính.
3. Mỗi cán bộ, công chức, viên chức, người lao động
tại các đơn vị thuộc Bộ Tài chính nêu cao tinh thần chủ động, tự giác trong việc
áp dụng các biện pháp an toàn an ninh mạng.
Điều 4. Xác định cấp độ an toàn
hệ thống thông tin do Bộ Tài chính làm chủ quản
1. Đối với hệ thống thông tin đề xuất cấp độ 1, 2
Đơn vị vận hành hệ thống thông tin gửi Cục Công nghệ
thông tin và chuyển đổi số thẩm định và phê duyệt cấp độ đối với hệ thống thông
tin.
2. Đối với hệ thống thông tin đề xuất cấp độ 3
a) Đơn vị vận hành hệ thống thông tin gửi Cục Công
nghệ thông tin và chuyển đổi số hồ sơ đề xuất cấp độ để thẩm định.
b) Đơn vị vận hành hệ thống thông tin phê duyệt hồ
sơ đề xuất cấp độ. Cục Công nghệ thông tin và chuyển đổi số trình Bộ quyết định
ủy quyền phê duyệt hồ sơ đề xuất cấp độ cho Đơn vị vận hành hệ thống thông tin.
3. Cục Công nghệ thông tin và chuyển đổi số trình Bộ
Tài chính thành lập Hội đồng thẩm định độc lập thực hiện thẩm định hồ sơ đề xuất
cấp độ đối với các hệ thống thông tin đề xuất cấp độ 1, 2, 3 do Cục Công nghệ
thông tin và chuyển đổi số vận hành.
4. Đối với hệ thống thông tin đề xuất cấp độ 4, 5
a) Đơn vị vận hành hệ thống thông tin gửi Cục Công
nghệ thông tin và chuyển đổi số hồ sơ đề xuất cấp độ để có ý kiến về chuyên
môn.
b) Đơn vị vận hành hệ thống thông tin trình Bộ ký
văn bản gửi Bộ Công an thẩm định hồ sơ đề xuất cấp độ.
c) Bộ Tài chính phê duyệt hồ sơ đề xuất cấp độ 4;
phê duyệt phương án bảo đảm an toàn thông tin hệ thống thông tin đề xuất cấp độ
5.
Điều 5. Xác định hệ thống thông
tin quan trọng về an ninh quốc gia
Đối với hệ thống thông tin đáp ứng tiêu chí hệ thống
thông tin quan trọng về an ninh quốc gia, đơn vị vận hành hệ thống thông tin lập
hồ sơ đề nghị đua hệ thống thông tin vào Danh mục hệ thống thông tin quan trọng
về an ninh quốc gia, trình Bộ Tài chính (thông qua Cục Công nghệ thông tin và
chuyển đổi số) gửi Bộ Công an thẩm định.
Điều 6. Bảo đảm an toàn an ninh
mạng đối với hệ thống thông tin, thiết bị xử lý thông tin
1. Chủ quản hệ thống thông tin, đơn vị vận hành hệ
thống thông tin, đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống
thông tin thực hiện các nhiệm vụ sau:
a) Xác định cấp độ an toàn của hệ thống thông tin
(lập hồ sơ đề xuất cấp độ; tổ chức thẩm định, phê duyệt hồ sơ đề xuất cấp độ)
và triển khai phương án bảo đảm an toàn hệ thống thông tin theo cấp độ theo quy
định của pháp luật về an toàn thông tin mạng và Điều 4 của Quy
chế này và quy định, hướng dẫn khác của cơ quan chức năng (nếu có).
b) Bảo đảm an ninh mạng cho hệ thống thông tin quan
trọng về an ninh quốc gia theo quy định của pháp luật về an ninh mạng.
2. Đơn vị không thuộc phạm vi khoản 1 Điều này và
có thẩm quyền tự trang bị thiết bị xử lý thông tin sử dụng tại đơn vị có trách
nhiệm:
a) Bảo đảm an toàn an ninh mạng cho máy tính của
người sử dụng thuộc đơn vị: sử dụng hệ điều hành được hỗ trợ bản vá lỗ hổng bảo
mật; chỉ cài đặt tiện ích thiết yếu được cung cấp kèm theo hệ điều hành và các phần
mềm phục vụ công việc, có bản quyền hoặc được các cơ quan chức năng đánh giá,
xác nhận an toàn; cài đặt phần mềm phòng, diệt mã độc và cập nhật thường xuyên
mẫu nhận diện mã độc.
b) Bảo đảm an toàn an ninh mạng cho thiết bị mạng,
thiết bị an ninh mạng sử dụng tại đơn vị: không sử dụng thiết bị không còn được
hỗ trợ khắc phục lỗ hổng bảo mật; thực hiện khắc phục lỗ hổng bảo mật ngay khi nhận
được cảnh báo, hướng dẫn từ cơ quan chức năng; thay đổi mật khẩu mặc định và giừ
bí mật mật khẩu quản trị thiết bị.
3. Đơn vị mua sắm, sử dụng camera giám sát phải
tuân thủ quy chuẩn kỹ thuật quốc gia về an toàn thông tin mạng cơ bản cho
camera giám sát, theo Chỉ thị số 23/CT-TTg ngày 26/12/2022 của Thủ tướng Chính
phủ về tăng cường công tác bảo đảm an toàn thông tin mạng, an ninh thông tin
cho thiết bị camera giám sát.
Điều 7. Quản lý rủi ro, lỗ hổng,
điểm yếu an toàn an ninh mạng
1. Đơn vị vận hành hệ thống thông tin tổ chức quản
lý lỗ hổng, điểm yếu an toàn an ninh mạng theo các nội dung sau:
a) Lập danh sách toàn bộ thiết bị, phần mềm công
nghệ thông tin đang sử dụng trong phạm vi quản lý của chủ quản hệ thống thông
tin: nhãn hiệu phần cứng, tên phần mềm và phiên bản (hệ điều hành, cơ sở dữ liệu,
ứng dụng, các tiện ích khác).
b) Thiết lập, duy trì kênh tiếp nhận thông tin về lỗ
hổng, điểm yếu an toàn an ninh mạng từ các cơ quan, tổ chức có chức năng cảnh
báo về an toàn an ninh mạng; các đơn vị cung cấp thiết bị, phần mềm công nghệ
thông tin thuộc phạm vi điểm a khoản này.
c) Quản lý, giám sát việc cài đặt bản vá lỗ hổng, điểm
yếu an toàn an ninh mạng. Sử dụng và cập nhật liên tục các công cụ dò quét lỗ hổng,
điểm yếu an toàn an ninh mạng để các công cụ này có thể phát hiện được các lỗ hổng
bảo mật mới nhất; hoặc sử dụng kết quả kiểm tra, đánh giá an toàn an ninh mạng
để xác định các lỗ hổng, điểm yếu của hệ thống thông tin.
d) Triển khai cài đặt bản vá lỗ hổng, điểm yếu an
toàn an ninh mạng sau khi bản vá được phát hành; Áp dụng các biện pháp bảo vệ tạm
thời trong trường hợp bản vá bảo mật chưa được phát hành hoặc chưa đủ điều kiện
để triển khai.
2. Đơn vị vận hành hệ thống thông tin triển khai quản
lý rủi ro an toàn an ninh mạng trên cơ sở quản lý lỗ hổng, điểm yếu an toàn an
ninh mạng theo quy định tại khoản 1 Điều này và theo hướng dẫn của cơ quan chức
năng.
Điều 8. Giám sát an toàn an
ninh mạng
1. Cục Công nghệ thông tin và chuyển đổi số, Cục
Thuế, Cục Hải quan, Cục Dự trữ Nhà nước, Cục Thống kê, Kho bạc Nhà nước, Ủy ban
Chứng khoán Nhà nước, Bảo hiểm xã hội Việt Nam, Cục Quản lý đấu thầu, Cục Phát
triển doanh nghiệp tư nhân và kinh tế tập thể, đơn vị sự nghiệp công lập, doanh
nghiệp thuộc Bộ tự thực hiện giám sát hoặc lựa chọn tổ chức, doanh nghiệp có đủ
năng lực thực hiện giám sát an toàn hệ thống thông tin theo quy định của pháp
luật và hướng dẫn của cơ quan chức năng. Cục Công nghệ thông tin và chuyển đổi
số thiết lập hệ thống tiếp nhận thông tin giám sát từ các đơn vị thuộc Bộ Tài
chính và hướng dẫn các đơn vị thuộc Bộ kết nối, chia sẻ thông tin về Bộ Tài
chính; làm đầu mối thực hiện kết nối, chia sẻ thông tin giám sát từ các đơn vị
của Bộ Tài chính với hệ thống giám sát của cơ quan chức năng.
2. Đơn vị vận hành hệ thống thông tin quan trọng về
an ninh quốc gia phối hợp với Cục An ninh mạng và phòng chống tội phạm công nghệ
cao của Bộ Công an triển khai giám sát an ninh mạng đối với hệ thống thông tin
quan trọng về an ninh quốc gia theo quy định của pháp luật về an ninh mạng.
Điều 9. Phòng chống mã độc
1. Cục Công nghệ thông tin và chuyển đổi số, Cục
Thuế, Cục Hải quan, Cục Dự trữ Nhà nước, Cục Thống kê, Kho bạc Nhà nước, Ủy ban
Chứng khoán Nhà nước, Bảo hiểm xã hội Việt Nam, Cục Quản lý đấu thầu, Cục Phát
triển doanh nghiệp tư nhân và kinh tế tập thể, đơn vị sự nghiệp công lập, doanh
nghiệp thuộc Bộ tổ chức triển khai hệ thống phòng chống mã độc tập trung đáp ứng
các yêu cầu kỹ thuật của cơ quan chức năng; chia sẻ thông tin lây nhiễm mã độc
trên hệ thống mạng do đơn vị vận hành hệ thống thông tin theo hướng dẫn của Cục
Công nghệ thông tin và chuyển đổi số.
2. Cục Công nghệ thông tin và chuyển đổi số tổ chức
thực hiện chia sẻ thông tin lây nhiễm mã độc trong toàn ngành với hệ thống giám
sát của cơ quan chức năng.
Điều 10. Kiểm tra, đánh giá an
toàn an ninh mạng
1. Về kiểm tra, đánh giá việc tuân thủ quy định của
pháp luật về an toàn an ninh mạng; kiểm tra, đánh giá hiệu quả của các biện
pháp bảo đảm an toàn thông tin theo phương án bảo đảm an toàn thông tin được
phê duyệt:
a) Cục Công nghệ thông tin và chuyển đổi số thực hiện
kiểm tra, đánh giá các đơn vị thuộc Bộ, đơn vị sự nghiệp trực thuộc Bộ Tài
chính trong chương trình, kế hoạch kiểm tra công tác ứng dụng công nghệ thông
tin hàng năm hoặc chương trình kiểm tra theo chuyên đề về an toàn an ninh mạng
được Bộ trưởng Bộ Tài chính phê duyệt.
b) Các đơn vị thuộc Bộ tự kiểm tra, đánh giá hàng
năm trong nội bộ đơn vị, trong phạm vi trách nhiệm của đơn vị đối với công tác
an toàn an ninh mạng theo quy định của pháp luật và quy định tại Quy chế này.
2. Cục Công nghệ thông tin và chuyển đổi số, Cục
Thuế, Cục Hải quan, Cục Dự trữ Nhà nước, Cục Thống kê, Kho bạc Nhà nước, Ủy ban
Chứng khoán Nhà nước, Bảo hiểm xã hội Việt Nam, Cục Quản lý đấu thầu, Cục Phát
triển doanh nghiệp tư nhân và kinh tế tập thể lựa chọn tổ chức, doanh nghiệp có
chức năng hoặc được cấp phép thực hiện kiểm tra, đánh giá phát hiện mã độc, lỗ
hổng, điểm yếu, thử nghiệm xâm nhập hệ thống thông tin, theo quy định của pháp
luật về an toàn thông tin mạng; kiểm tra, đánh giá an ninh mạng theo quy định của
pháp luật về an ninh mạng và theo hướng dẫn của Bộ Công an. Tổ chức, doanh nghiệp
cung cấp dịch vụ kiểm tra, đánh giá an toàn an ninh mạng phải độc lập với tổ chức,
doanh nghiệp cung cấp dịch vụ giám sát an toàn, an ninh mạng cho đơn vị.
Điều 11. Điều phối, diễn tập, ứng
phó sự cố an toàn an ninh mạng
1. Đơn vị vận hành hệ thống thông tin xây dựng, phê
duyệt kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng; phương án ứng phó,
khắc phục sự cố an ninh mạng cho các hệ thống thông tin thuộc quản lý của đơn vị
theo quy định của pháp luật; tổ chức triển khai kế hoạch, phương án sau khi phê
duyệt. Đối với nội dung (thuộc kế hoạch ứng phó sự cố bảo đảm an toàn thông tin
mạng; phương án ứng phó, khắc phục sự cố an ninh mạng) vượt thẩm quyền quyết định
của đơn vị, đơn vị lấy ý kiến của các đơn vị liên quan, báo cáo Lãnh đạo Bộ Tài
chính xem xét, quyết định.
2. Đối với hệ thống thông tin không phải hệ thống
thông tin quan trọng về an ninh quốc gia, áp dụng quy trình ứng cứu sự cố thông
thường theo quy định của pháp luật. Đối với hệ thống thông tin quan trọng về an
ninh quốc gia, áp dụng trình tự, thủ tục ứng phó, khắc phục sự cố an ninh mạng
theo quy định của pháp luật về an ninh mạng. Trong quá trình ứng cứu, ứng phó sự
cố đối với hệ thống thông tin cấp độ 4, 5 và hệ thống thông tin quan trọng về
an ninh quốc gia, các cục có trách nhiệm báo cáo Lãnh đạo Bộ Tài chính, đồng thời
cung cấp thông tin diễn biến tình hình cho Cục Công nghệ thông tin và chuyển đổi
số để phối hợp xử lý.
3. Đơn vị chuyên trách về an toàn thông tin của chủ
quản hệ thống thông tin có trách nhiệm theo dõi, nắm bắt thông tin trên phương
tiện thông tin đại chúng và mạng Internet về các sự kiện mất an toàn an ninh mạng
có thể tác động tới đơn vị; chủ động kiểm tra, rà soát trong nội bộ đơn vị theo
các văn bản cảnh báo, hướng dẫn của các cơ quan chức năng và các tổ chức về an
toàn thông tin (gửi trực tiếp cho đơn vị hoặc do Văn phòng Bộ, Cục Công nghệ
thông tin và chuyển đổi số sao gửi chủ quản hệ thống thông tin); Thiết lập kênh
trao đổi thông tin với các đối tác cung cấp thiết bị, phần mềm, giải pháp an
toàn thông tin của đơn vị để nắm bắt kịp thời vấn đề, sự cố có khả năng tác động
tới hệ thống thông tin của đơn vị. Đơn vị chuyên trách về an toàn thông tin của
chủ quản hệ thống thông tin cử 01 lãnh đạo chịu trách nhiệm triển khai công tác
an toàn an ninh mạng và 01 cán bộ làm đầu mối tiếp nhận cảnh báo an toàn thông
tin từ Cục Công nghệ thông tin và chuyển đổi số, các cơ quan, tổ chức có chức
năng cảnh báo an toàn thông tin mạng, an ninh mạng (thông qua thư điện tử hoặc
các kênh trao đổi thông tin khác).
4. Khi xảy ra sự cố an toàn thông tin mạng thuộc loại
hình tấn công mạng, đơn vị vận hành hệ thống thông tin thực hiện báo cáo theo
quy định pháp luật về an ninh mạng và hướng dẫn của Bộ Công an, đồng thời gửi
báo cáo cho Cục Công nghệ thông tin và chuyển đổi số để tổng hợp, báo cáo Lãnh
đạo Bộ Tài chính. Chủ quản hệ thống thông tin phải thông báo rộng rãi về đầu mối
tiếp nhận thông tin để các cá nhân, tổ chức thuộc đơn vị liên lạc trong trường
hợp: nghi ngờ, phát hiện dấu hiệu tấn công, sự cố an toàn thông tin mạng; dấu
hiệu, hành vi khủng bố mạng; tình huống nguy hiểm về an ninh mạng; hành vi vi
phạm pháp luật về an ninh mạng liên quan đến các hệ thống thông tin do đơn vị
quản lý.
5. Định kỳ hàng năm, Cục Công nghệ thông tin và
chuyển đổi số chủ trì tổ chức diễn tập thực chiến an toàn an ninh mạng cho Lực
lượng bảo vệ an ninh mạng Bộ Tài chính và các đơn vị thuộc Bộ Tài chính, theo kế
hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng và phương án ứng phó, khắc
phục sự cố an ninh mạng được phê duyệt, trong phạm vi các hệ thống thông tin do
Bộ Tài chính làm chủ quản. Các cục tổ chức huấn luyện, diễn tập ứng cứu sự cố
theo kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng và phương án ứng
phó, khắc phục sự cố an ninh mạng được phê duyệt, trong phạm vi các hệ thống
thông tin do đơn vị làm chủ quản. Đơn vị là thành viên mạng lưới ứng cứu sự cố
an toàn thông tin mạng quốc gia tham gia đầy đủ các cuộc diễn tập quốc gia, quốc
tế do cơ quan chức năng tổ chức.
6. Các đơn vị chuyên trách về an toàn thông tin của
chủ quản hệ thống thông tin có trách nhiệm đăng ký tham gia Mạng lưới ứng cứu sự
cố an toàn thông tin mạng quốc gia. Khuyến khích các đơn vị khác thuộc Bộ đăng
ký tham gia Mạng lưới ứng cứu sự cố an toàn thông tin mạng quốc gia với tư cách
thành viên tự nguyện.
Điều 12. Phòng ngừa, xử lý
hành vi xâm phạm an ninh mạng
1. Đơn vị chuyên trách về an toàn thông tin của chủ
quản hệ thống thông tin phối hợp với đơn vị vận hành hệ thống thông tin thực hiện
các nhiệm vụ sau trong phạm vi hệ thống thông tin thuộc quản lý của chủ quản hệ
thống thông tin, theo quy định của Luật An ninh mạng và Nghị định số
53/2022/NĐ-CP:
a) Triển khai biện pháp quản lý, kỹ thuật để phòng ngừa,
phát hiện, ngăn chặn, gỡ bỏ thông tin có nội dung: tuyên truyền chống Nhà nước
Cộng hòa xã hội chủ nghĩa Việt Nam; kích động gây bạo loạn, phá rối an ninh,
gây rối trật tự công cộng; làm nhục, vu khống; xâm phạm trật tự quản lý kinh tế
trên hệ thống thông tin;
b) Triển khai biện pháp quản lý, kỹ thuật để phòng
ngừa, phát hiện, ngăn chặn hoạt động xâm nhập bất hợp pháp, hành vi gián điệp mạng,
xâm phạm bí mật nhà nước, bí mật công tác, bí mật kinh doanh, bí mật cá nhân,
bí mật gia đình và đời tư trên hệ thống thông tin và kịp thời gỡ bỏ thông tin
liên quan đến hành vi này;
c) Áp dụng biện pháp kỹ thuật để phòng ngừa, ngăn
chặn hành vi tấn công mạng và hành vi có liên quan đến tấn công mạng đối với hệ
thống thông tin; Thường xuyên rà soát, kiểm tra hệ thống thông tin nhằm loại trừ
nguy cơ khủng bố mạng;
d) Phối hợp, thực hiện yêu cầu của Cục An ninh mạng
và Phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) về phòng, chống
gián điệp mạng, bảo vệ thông tin thuộc bí mật nhà nước, bí mật công tác, bí mật
kinh doanh, bí mật cá nhân, bí mật gia đình và đời tư trên hệ thống thông tin;
về áp dụng biện pháp xác định nguồn gốc tấn công mạng, thu thập chứng cứ khi xảy
ra tấn công mạng xâm phạm hoặc đe dọa xâm phạm chủ quyền, lợi ích, an ninh quốc
gia, gây tổn hại nghiêm trọng trật tự, an toàn xã hội; về gỡ bỏ các nội dung buộc
phải gỡ bỏ theo quy định của pháp luật trên hệ thống thông tin; về thực hiện biện
pháp phòng ngừa, phát hiện, xử lý tình huống nguy hiểm về an ninh mạng.
2. Đơn vị chuyên trách về an toàn thông tin của chủ
quản hệ thống thông tin khi tiếp nhận tin báo về tình huống nguy hiểm về an
ninh mạng hoặc khủng bố mạng liên quan đến hệ thống thông tin thuộc phạm vi quản
lý của chủ quản hệ thống thông tin, cần thông báo kịp thời cho Cục An ninh mạng
và Phòng, chống tội phạm sử dụng công nghệ cao.
3. Chủ quản hệ thống thông tin có trách nhiệm thông
báo cho Cục An ninh mạng và Phòng, chống tội phạm sử dụng công nghệ cao khi
phát hiện hành vi vi phạm pháp luật về an ninh mạng trên hệ thống thông tin thuộc
phạm vi quản lý.
Điều 13. Phổ biến, tuyên truyền,
đào tạo, bồi dưỡng về an toàn an ninh mạng
1. Cục Công nghệ thông tin và chuyển đổi số phối hợp
với Văn phòng Bộ và các đơn vị liên quan lập kế hoạch và triển khai công tác
tuyên truyền, phổ biến chủ trương, chính sách, pháp luật, biện pháp an toàn an
ninh mạng, thông qua các hình thức: văn bản hướng dẫn; hội nghị, hội thảo; đăng
bài trên Cổng thông tin điện tử Bộ Tài chính, báo, tạp chí của ngành Tài chính;
gửi thư điện tử và các hình thức khác phù hợp với quy định của pháp luật. Các
đơn vị thuộc Bộ Tài chính có trách nhiệm thực hiện quán triệt, tuyên truyền, phổ
biến, nâng cao nhận thức, trách nhiệm về an toàn an ninh mạng cho cán bộ, công
chức, viên chức, người lao động thuộc đơn vị.
2. Cục Công nghệ thông tin và chuyển đổi số tổ chức
đào tạo, bồi dưỡng theo các chương trình đào tạo ngắn hạn nâng cao kiến thức, kỹ
năng về an toàn an ninh mạng cho công chức, viên chức chuyên trách về công nghệ
thông tin, an toàn an ninh mạng tại các đơn vị thuộc Bộ Tài chính. Các đơn vị vận
hành hệ thống, đơn vị sự nghiệp trực thuộc Bộ tổ chức đào tạo, bồi dưỡng hoặc cử
cán bộ của đơn vị tham gia đào tạo, bồi dưỡng về an toàn an ninh mạng.
Điều 14. Báo cáo an toàn an
ninh mạng
1. Đối với báo cáo năm về an toàn thông tin mạng,
chủ quản hệ thống thông tin, đơn vị vận hành hệ thống thông tin lập báo cáo
theo hướng dẫn của Cục Công nghệ thông tin và chuyển đổi số trước ngày 20 tháng
12 hàng năm. Cục Công nghệ thông tin và chuyển đổi số tổng hợp, xây dựng Báo
cáo an toàn thông tin định kỳ hàng năm của Bộ Tài chính, trình Lãnh đạo Bộ phê
duyệt, gửi Bộ Công an trước ngày 25 tháng 12 hàng năm.
2. Cục Công nghệ thông tin và chuyển đổi số chủ
trì, phối hợp với các chủ quản hệ thống thông tin thuộc Bộ Tài chính xây dựng
các báo cáo đột xuất về an toàn an ninh mạng theo yêu cầu của Bộ Công an, Bộ Quốc
phòng, trình Lãnh đạo Bộ Tài chính phê duyệt.
Chương II
QUY ĐỊNH VỀ AN TOÀN AN
NINH MẠNG ĐỐI VỚI CÁC HỆ THỐNG, THIẾT BỊ KẾT NỐI SỬ DỤNG HỆ THỐNG MẠNG NỘI BỘ BỘ
TÀI CHÍNH
Điều 15. Quy định về tài khoản
thông tin
1. Tài khoản thông tin (gọi tắt là tài khoản) là tập
hợp gồm tên đăng nhập và mật khẩu hoặc/và hình thức xác thực khác, được gắn với
quyền truy cập thực hiện một số tác vụ trên hệ thống thông tin hoặc trên thiết
bị xử lý thông tin tại Bộ Tài chính, bao gồm các loại sau:
a) Tài khoản định danh: mỗi tài khoản định danh chỉ
cấp cho một người dùng duy nhất và được gắn quyền truy cập các hệ thống thông
tin mà người dùng đó được sử dụng.
b) Tài khoản truy cập hệ thống gắn với một nhiệm vụ
cụ thể, được gắn với quyền truy cập thực hiện các tác vụ cần thiết cho nhiệm vụ
đó (ví dụ: tài khoản văn thư, tài khoản biên tập,...).
c) Tài khoản quản trị gắn với quyền cài đặt, cấu
hình các thông số và cấp quyền truy cập trên hệ thống thông tin, gồm: quản trị
nội dung, quản trị ứng dụng, quản trị cơ sở dữ liệu, quản trị hệ điều hành, quản
trị thiết bị.
2. Cục Công nghệ thông tin và chuyển đổi số cấp tài
khoản định danh cho người dùng trong thời gian không quá 03 ngày làm việc, tính
từ thời điểm nhận được văn bản đề nghị cấp tài khoản của đơn vị quản lý người
dùng; điều chỉnh quyền truy cập, thu hồi tài khoản định danh của cá nhân trong
thời gian không quá 03 ngày làm việc tính từ ngày người dùng chính thức được bổ
nhiệm, điều động, chuyển công tác, thôi việc, nghỉ hưu hoặc từ thời điểm nhận
được văn bản đề nghị dừng tài khoản của đơn vị quản lý người dùng. Trường hợp cần
duy trì tài khoản định danh sau thời điểm người dùng dừng làm việc tại đơn vị,
đơn vị quản lý người dùng phải có văn bản gửi Cục Công nghệ thông tin và chuyển
đổi số, trong đó nêu rõ lý do, phạm vi các quyền cần duy trì và thời gian duy
trì tài khoản.
3. Cục Công nghệ thông tin và chuyển đổi số hoặc
đơn vị vận hành hệ thống thông tin cấp tài khoản nhiệm vụ cho người dùng được
đơn vị quản lý người dùng phân công thực hiện nhiệm vụ. Khi kết thúc thời gian
thực hiện nhiệm vụ, người dùng bàn giao tài khoản nhiệm vụ cho người dùng được
phân công tiếp nhận nhiệm vụ hoặc giao trả tài khoản cho đơn vị quản lý người
dùng.
4. Tài khoản quản trị được giao cho cá nhân, đơn vị
thực hiện nhiệm vụ quản trị ứng dụng, quản trị cơ sở dữ liệu, quản trị hệ điều
hành, quản trị thiết bị. Cục Công nghệ thông tin và chuyển đổi số giữ ít nhất
01 tài khoản quản trị hệ điều hành của tất cả các máy chủ hoạt động trong mạng
nội bộ của Bộ. Trường hợp thuê dịch vụ quản trị hệ thống, đơn vị chủ trì thuê dịch
vụ phải quản lý việc sử dụng tài khoản quản trị của đơn vị cung cấp dịch vụ: lập
danh sách cá nhân được giao tài khoản quản trị, thời điểm cá nhân tiếp nhận tài
khoản, thời điểm kết thúc sử dụng; cập nhật danh sách khi có thay đổi về nhân sự
giữ tài khoản.
5. Tài khoản phải được thiết lập mật khẩu mạnh. Mật
khẩu phải được giữ bí mật và được đổi ngay sau khi tài khoản được bàn giao giữa
các cá nhân, đơn vị hoặc khi nghi ngờ bị lộ. Mật khẩu phải được thay đổi ít nhất
một lần trong 06 tháng. Khuyến nghị sử dụng mật khẩu có độ dài từ 14 ký tự trở
lên với các tài khoản có vai trò quản trị.
6. Cá nhân được cấp hoặc giao tài khoản chịu trách
nhiệm về các hành vi của tài khoản được ghi nhận trên thiết bị xử lý thông tin,
hệ thống thông tin, hệ thống giám sát an toàn an ninh mạng.
7. Cục Công nghệ thông tin và chuyển đổi số, đơn vị
vận hành hệ thống thông tin thường xuyên rà soát các tài khoản đang hoạt động,
phát hiện và thu hồi các tài khoản không sử dụng hoặc không hợp lệ, điều chỉnh
thông tin tài khoản chưa phản ánh chính xác thông tin thực tế tại thời điểm rà
soát.
8. Các ứng dụng hoạt động trên mạng Internet có xác
thực đăng nhập phải thực hiện xác thực đa yếu tố (ngoài sử dụng tên đăng nhập
và mật khẩu, phải sử dụng thêm phương thức xác thực khác như mật khẩu sử dụng một
lần (OTP), xác thực sinh trắc học, thiết bị ...).
Điều 16. Quy định về máy tính
của người dùng
1. Máy tính do cơ quan trang bị có kết nối vào mạng
nội bộ phải đáp ứng đầy đủ các yêu cầu sau:
a) Đặt tên máy theo quy tắc:
- Đối với máy cá nhân: Tên viết tắt của đơn vị
(theo quy định của Bộ Tài chính)-Số phòng-Tên của người dùng (ví dụ:
CNTT-212-AN), trường hợp trong một phòng có người trùng tên thì thêm Họ và
tên đệm (ví dụ: CNTT-212-ANNT) và thêm số thứ tự (nếu cần thiết);
- Đối với máy dùng chung: hoặc Tên viết tắt của đơn
vị-Số phòng-Chức năng dùng chung (ví dụ: CNTT-210-AN NINH).
b) Sử dụng hệ điều hành được hỗ trợ bản vá lỗ hổng
bảo mật; trường hợp đã hết hỗ trợ phải có kế hoạch nâng cấp, thay thế. Chỉ cài
đặt tiện ích thiết yếu được cung cấp kèm theo hệ điều hành và các phần mềm phục
vụ công việc, có bản quyền hoặc được các cơ quan chức năng đánh giá, xác nhận
an toàn. Cài đặt phần mềm phòng diệt mã độc và cập nhật mẫu nhận diện mã độc từ
hệ thống quản lý phần mềm phòng diệt mã độc tập trung do Cục Công nghệ thông
tin và chuyển đổi số vận hành.
c) Không kết nối với mạng không dây (wifi), mạng dữ
liệu di động (3G/4G/5G...).
d) Căn cứ yêu cầu về bảo đảm an toàn an ninh mạng,
Cục Công nghệ thông tin và chuyển đổi số có thể cài đặt thêm phần mềm giám sát
an toàn an ninh mạng đối với các máy tính đáp ứng hiệu năng yêu cầu.
đ) Máy tính trước khi kết nối vào mạng nội bộ Bộ
Tài chính phải được Cục Công nghệ thông tin và chuyển đổi số kiểm tra đáp ứng
các quy định tại điểm a, b, c của khoản này. Cục Công nghệ thông tin và chuyển
đổi số có trách nhiệm giám sát, đảm bảo máy tính kết nối vào mạng nội bộ tuân
thủ các quy định tại khoản này; ngắt kết nối mạng của máy tính không đáp ứng
quy định.
e) Máy tính khi được chuyển sử dụng từ cá nhân này
sang cá nhân khác hoặc không tiếp tục sử dụng cho công việc của cơ quan phải thực
hiện xóa toàn bộ dữ liệu trên ổ cứng và có biên bản về việc xóa dữ liệu. Máy
tính khi mang đi bảo hành, bảo dưỡng, sửa chữa, phải tháo ổ cứng hoặc xóa dữ liệu
lưu trên ổ cứng.
2. Máy tính soạn thảo văn bản chứa nội dung bí mật
nhà nước, lưu trữ bí mật nhà nước:
a) Sử dụng hệ điều hành và các phần mềm soạn thảo
văn bản có bản quyền. Không kết nối vào mạng Internet, mạng nội bộ, mạng không
dây, mạng viễn thông, trừ trường hợp đã áp dụng các biện pháp bảo vệ theo hướng
dẫn của Ban Cơ yếu Chính phủ. Không sử dụng thiết bị lưu trữ ngoài không do Ban
Cơ yếu Chính phủ cung cấp, trừ trường hợp cần cài đặt hệ điều hành, sửa chữa,
nâng cấp phần mềm cho máy tính hoặc phục vụ công tác kiểm tra, thanh tra về an
toàn an ninh mạng.
b) Phân quyền truy cập máy tính theo tên người hoặc
đơn vị cấp phòng được giao soạn thảo bí mật nhà nước.
c) Trường hợp ổ cứng lỗi cần mang đi bảo hành, phải
thực hiện biện pháp xóa dữ liệu vĩnh viễn trước khi mang ổ cứng ra khỏi cơ quan
và có biên bản ghi nhận về việc xóa dữ liệu giữa đơn vị sử dụng máy tính và đơn
vị nhận ổ cứng. Việc sửa chữa, nâng cấp phần mềm cho máy tính (sau khi đã đưa
vào sử dụng), nêu yêu cầu phải tiếp cận các tệp tin trên ổ cứng, phải thực hiện
dưới sự giám sát của đơn vị sử dụng máy tính, đảm bảo không lộ lọt dữ liệu trên
ổ cứng máy tính ra bên ngoài trong quá trình này (có biên bản giữa đơn vị sử dụng
máy tính và đơn vị sửa chữa, nâng cấp phần mềm).
d) Đơn vị được cấp sử dụng máy tính soạn thảo, lưu
trữ bí mật nhà nước chịu trách nhiệm giám sát, đảm bảo việc sử dụng máy tính
tuân thủ đúng quy định tại khoản này.
3. Trường hợp máy tính xách tay được cơ quan trang
bị để sử dụng bên ngoài trụ sở Bộ, nếu kết nối Internet, phải cài đặt hệ điều
hành được hỗ trợ bản vá lỗ hổng bảo mật và phần mềm phòng diệt mã độc, phải cập
nhật thường xuyên bản vá cho hệ điều hành và mẫu nhận diện mã độc do nhà sản xuất
cung cấp.
4. Đối với máy tính bảng được cơ quan trang bị để
phục vụ công việc phải sử dụng hệ điều hành được hỗ trợ bản vá lỗ hổng bảo mật;
chỉ cài đặt phần mềm phục vụ công việc và các phần mềm bảo đảm an toàn an ninh
mạng do Cục Công nghệ thông tin và chuyển đổi số hoặc các cơ quan chức năng về
an toàn an ninh mạng cung cấp; cấu hình bảo đảm an toàn an ninh mạng theo hướng
dẫn của Cục Công nghệ thông tin và chuyển đổi số.
5. Máy tính do người dùng tự trang bị, khi kết nối
vào mạng nội bộ hoặc chạy ứng dụng của Bộ Tài chính từ địa điểm bên ngoài mạng
nội bộ của Bộ Tài chính, phải đáp ứng đầy đủ các điều kiện dưới đây:
a) Cài đặt đầy đủ các bản vá lỗ hổng bảo mật của hệ
điều hành; cài đặt phần mềm phòng diệt mã độc và cập nhật mẫu nhận diện mã độc
mới nhất;
b) Không cài đặt, sử dụng phần mềm, công cụ có tính
năng hoặc tạo rủi ro mất an toàn an ninh mạng (cấp phát địa chỉ mạng, dò quét mật
khẩu, dò quét cổng mạng, giả lập tấn công...);
c) Khi kết nối vào mạng nội bộ Bộ Tài chính, người
dùng cần thực hiện: đăng ký với Cục Công nghệ thông tin và chuyển đổi số để được
kiểm tra máy tính trước khi kết nối; ngắt các kết nối vào các hệ thống mạng
khác (mạng không dây, mạng dữ liệu di động...), không sử dụng máy tính như một điểm
phát sóng không dây.
Điều 17. Quy định đối với người
dùng
Người dùng tại cơ quan Bộ Tài chính có trách nhiệm:
1. Đảm bảo an toàn mật khẩu các tài khoản thông tin
mà người dùng được cấp, theo quy định tại khoản 5 Điều 15 của
Quy chế này. Nếu phát hiện có dấu hiệu lộ mật khẩu, thực hiện các việc sau:
đổi mật khẩu tại máy tính làm việc tại cơ quan; quét mã độc trên các thiết bị của
cá nhân đã từng được sử dụng để truy cập thư điện tử công vụ hoặc các ứng dụng
của Bộ Tài chính trước đó; cung cấp thông tin về sự việc, hiện tượng cho bộ phận
hỗ trợ kỹ thuật của Cục Công nghệ thông tin và chuyển đổi số.
2. Sử dụng tài khoản định danh cá nhân khi đăng nhập
vào máy tính có kết nối vào mạng nội bộ.
3. Không lưu thông tin ngoài phạm vi công việc và
hoạt động của cơ quan trên ổ đĩa mạng. Chia sẻ thông tin trên ổ đĩa mạng đúng
phạm vi cần chia sẻ. Xóa thông tin trên ổ đĩa mạng do bản thân tạo ra sau khi
thông tin hết giá trị sử dụng.
4. Nếu nghi ngờ hoặc phát hiện thư điện tử nhận được
là thư rác, thư giả mạo, người dùng chuyển tiếp thư này cho hòm thư điện tử của
bộ phận hỗ trợ kỹ thuật của Cục Công nghệ thông tin và chuyển đổi số để áp dụng
biện pháp ngăn chặn. Không mở các địa chỉ trong nội dung thư, mở tệp đính kèm
hoặc thực hiện theo hướng dẫn của thư điện tử có địa chỉ nhận không rõ nguồn gốc.
Không mở thư điện tử công vụ và các phần mềm nội bộ của Bộ Tài chính trên máy
tính công cộng hoặc máy tính không đáp ứng các yêu cầu quy định tại khoản 3, 4, 5 Điều 16 của Quy chế này. Không sử dụng địa chỉ
thư điện tử công vụ để đăng ký sử dụng các ứng dụng, dịch vụ ngoài phạm vi công
việc. Mã hóa hoặc đặt mật khẩu các tệp tin có nội dung nhạy cảm trước khi gửi
qua thư điện tử và gửi mật khẩu cho người nhận bằng phương thức khác.
5. Thực hiện quét mã độc thiết bị lưu trữ ngoài (thẻ
nhớ, ổ đĩa ngoài,...) trước khi sử dụng. Bảo vệ thiết bị lưu trữ ngoài, không để
thất thoát thông tin, tài liệu của cơ quan. Mã hóa hoặc đặt mật khẩu các tệp
tin có nội dung nhạy cảm khi lưu trữ trên thiết bị lưu trữ ngoài và xóa thông
tin, tài liệu của cơ quan trên thiết bị lưu trữ ngoài sau khi hoàn thành xử lý
công việc cần sử dụng thiết bị lưu trữ ngoài.
6. Thực hiện soạn thảo văn bản chứa nội dung bí mật
nhà nước, lưu trữ tài liệu mật tại máy tính được trang bị cho việc soạn thảo,
lưu trữ văn bản mật theo quy định. Không sử dụng thiết bị lưu trữ ngoài để lưu
thông tin, tài liệu mật, trừ trường hợp có áp dụng các biện pháp mã hóa do Ban
Cơ yếu Chính phủ cung cấp.
7. Đối với bí mật công tác, bí mật kinh doanh, dữ
liệu cá nhân do người dùng được phân công xử lý: áp dụng mã hóa dữ liệu trong
trường hợp cần lưu trữ, truyền đưa trên môi trường mạng hoặc thiết bị lưu trữ
ngoài; giới hạn phạm vi truy cập trong phạm vi các cá nhân có trách nhiệm tham
gia xử lý.
8. Khoá máy tính (sử dụng tính năng của hệ điều
hành) khi rời khỏi nơi đặt máy tính; tắt máy tính khi rời khỏi cơ quan.
9. Cập nhật bản vá hệ điều hành và quét mã độc thường
xuyên máy tính xách tay hoặc máy do người dùng tự trang bị và sử dụng để truy cập
ứng dụng của Bộ Tài chính từ Internet.
10. Phối hợp với Cục Công nghệ thông tin và chuyển đổi
số trong việc triển khai các biện pháp an toàn an ninh mạng trên máy tính của
người dùng, gỡ mã độc (nếu phát hiện có mã độc mà phần mềm phòng diệt mã độc
không có khả năng xử lý), điều tra nguyên nhân mất an toàn an ninh mạng liên
quan đến người dùng hoặc máy tính của người dùng.
11. Không tự ý thay đổi, gỡ bỏ biện pháp an toàn
thông tin cài đặt trên máy tính phục vụ công việc.
Điều 18. Quy định về hệ thống
mạng nội bộ
1. Hệ thống mạng nội bộ của Bộ Tài chính phải được
tổ chức thành các vùng mạng theo chức năng, tối thiểu gồm: vùng mạng người
dùng; vùng mạng kết nối Internet; vùng mạng kết nối với các đơn vị trong ngành
Tài chính; vùng mạng kết nối với cơ quan, đơn vị ngoài ngành Tài chính và mạng
truyền số liệu chuyên dùng Chính phủ; vùng mạng máy chủ cung cấp ứng dụng, dịch
vụ ra Internet; vùng mạng máy chủ nội bộ, máy chủ cơ sở dữ liệu; vùng mạng hệ
thống quản lý tập trung, quản trị thiết bị; vùng mạng phục vụ công tác quản trị;
vùng mạng hệ thống giám sát an toàn an ninh mạng. Sử dụng tường lửa mạng để kiểm
soát truy cập giữa các vùng mạng: Chỉ cho phép truy cập các ứng dụng, dịch vụ
theo từng ứng dụng, dịch vụ cụ thể; chặn tất cả truy cập tới các dịch vụ, ứng dụng
không sử dụng hoặc không phục vụ công việc. Thiết lập phòng chống xâm nhập và
phòng chống phần mềm độc hại trên môi trường mạng cho các vùng mạng máy chủ.
2. Các kết nối mạng để xác thực, truy cập thông
tin, trao đổi thông tin, quản trị ứng dụng/thiết bị/hệ thống phải áp dụng mã
hóa.
3. Các thiết bị mạng lõi, thiết bị mạng các vùng mạng
máy chủ, thiết bị an toàn an ninh mạng phải được cấu hình gửi nhật ký hệ thống
tới hệ thống giám sát an toàn an ninh mạng. Nhật ký hệ thống của các thiết bị mạng
phải được lưu trữ tối thiểu 03 tháng.
4. Các thiết bị mạng phải được cấu hình xác thực để
xác thực truy cập quản trị. Chỉ cho phép truy cập quản trị thiết bị mạng từ
vùng mạng phục vụ công tác quản trị.
5. Truy cập quản trị hệ thống từ Internet phải
thông qua cổng truy cập SSL VPN của Bộ Tài chính và thực hiện xác thực 02 yếu tố;
Thiết lập giới hạn thời gian chờ để đóng phiên kết nối khi cổng SSL VPN không
nhận được tín hiệu từ người truy cập (tối đa 60 phút).
6. Các thiết bị kết nối vào mạng nội bộ phải đồng bộ
thời gian với máy chủ thời gian (được đồng bộ với nguồn thời gian tin cậy trên
Internet).
7. Thiết bị mạng, thiết bị an toàn an ninh mạng phải
được xử lý lỗ hổng, điểm yếu đã công bố trước khi đưa vào sử dụng và khi có cảnh
báo về lỗ hổng bảo mật mới. Thực hiện kiểm tra, đánh giá an toàn an ninh mạng đối
với hệ thống mạng nội bộ định kỳ hàng năm.
8. Đối với hệ thống mạng không dây
a) Được trang bị phủ sóng các trụ sở của Bộ, các
phòng làm việc, phòng họp, phục vụ kết nối Internet cho thiết bị di động, được
quản lý tập trung thống nhất, sử dụng tài khoản định danh tập trung để xác thực.
b) Truy cập giữa thiết bị di động với các hệ thống ứng
dụng nội bộ và ứng dụng trên mạng Internet phải được kiểm soát thông qua hệ thống
thiết bị bảo mật.
c) Cục Công nghệ thông tin và chuyển đổi số tổ chức
thực hiện, bảo đảm an toàn, an ninh mạng cho hệ thống mạng không dây.
9. Tài liệu mô tả hệ thống mạng phải được cập nhật
thường xuyên, phản ánh chính xác thực tế các cấu hình, chính sách đang áp dụng
cho hệ thống mạng.
Điều 19. Quy định về kết nối
Internet
1. Kết nối Internet từ mạng nội bộ phải áp dụng các
biện pháp kiểm soát truy cập, bảo đảm an toàn an ninh mạng do Cục Công nghệ
thông tin và chuyển đổi số thiết lập.
2. Kênh truyền Internet sử dụng để công khai ứng dụng,
dịch vụ công nghệ thông tin của Bộ trên mạng Internet được trang bị tối thiểu
02 kênh vật lý từ 02 nhà cung cấp dịch vụ viễn thông độc lập, được VNNIC cấp
phát dải địa chỉ IPv4, IPv6 riêng cho Bộ Tài chính sử dụng.
3. Kênh truyền Internet sử dụng cho người dùng mạng
nội bộ để truy cập các ứng dụng, dịch vụ trên mạng Internet được trang bị tối
thiểu 02 kênh vật lý độc lập.
4. Đối với máy chủ và thiết bị xử lý thông tin
khác, chi thiết lập kết nối Internet cho các hệ thống được thiết kế có giao tiếp
với Internet.
5. Các ứng dụng, dịch vụ của Bộ công khai trên mạng
Internet được giới hạn truy cập theo vùng mạng quốc gia (IP Geolocation), chỉ
cho phép các vùng mạng có nhu cầu sử dụng được truy cập.
Điều 20. Quy định về hệ thống
thông tin
1. Phần mềm ứng dụng triển khai trên hệ thống mạng
nội bộ của Bộ Tài chính phải đáp ứng các yêu cầu sau:
a) Áp dụng Khung phát triển phần mềm an toàn theo
hướng dẫn của cơ quan chức năng.
b) Sử dụng hệ điều hành, cơ sở dữ liệu, công cụ
phát triển phần mềm có bản quyền hoặc được các cơ quan chức năng đánh giá, xác
nhận an toàn; được cung cấp bản vá lỗ hổng, điểm yếu bảo mật trong thời hoạt động
trên hệ thống mạng.
c) Có kiến trúc phù hợp với phân chia vùng mạng quy
định tại khoản 1 Điều 18 của Quy chế này. Truy cập ứng dụng
web phải thông qua tường lửa ứng dụng web; sử dụng chứng thư số SSL đặt trên tường
lửa ứng dụng web để mã hóa kết nối giữa người dùng, người quản trị và hệ thống
thông tin. Tách riêng địa chỉ truy cập dành cho người dùng và truy cập dành cho
quản trị ứng dụng; địa chỉ quản trị ứng dụng không được phép truy cập trực tiếp
từ Internet.
d) Có khả năng tích hợp với hệ thống quản lý người
dùng tập trung để xác thực người dùng tại cơ quan Bộ. Có tính năng cho phép người
dùng đổi mật khẩu. Cho phép cấu hình đảm bảo an toàn mật khẩu người sử dụng đối
với tài khoản xác thực tại ứng dụng: Yêu cầu thay đổi mật khẩu mặc định; Cho
phép thiết lập quy tắc đặt mật khẩu về số ký tự, loại ký tự; Cho phép thiết lập
thời gian yêu cầu thay đổi mật khẩu; Cho phép thiết lập thời gian mật khẩu hợp
lệ; Hạn chế số lần đăng nhập sai trong khoảng thời gian nhất định với tài khoản
nhất định. Mã hóa thông tin xác thực đối với tài khoản xác thực tại ứng dụng
theo tiêu chuẩn mã hóa do cơ quan chức năng quy định. Cho phép cấu hình giới hạn
thời gian chờ để đóng phiên kết nối khi ứng dụng không nhận được yêu cầu từ người
dùng (cấu hình ban đầu 60 phút và điều chỉnh trong quá trình hoạt động để phù hợp
với yêu cầu thực tế của từng ứng dụng).
đ) Có tính năng kiểm tra tính hợp lệ của dữ liệu dầu
vào, đầu ra; lọc bỏ, ngăn chặn dữ liệu không hợp lệ.
e) Có tính năng ghi nhật ký hệ thống và gửi nhật ký
hệ thống tới hệ thống giám sát an toàn an ninh mạng. Giới hạn kích thước tệp nhật
ký hệ thống lưu trên máy chủ ở mức độ phù hợp để không làm ảnh hưởng đến hiệu
năng của ứng dụng. Nhật ký hệ thống của ứng dụng phải được lưu trữ tối thiểu 03
tháng.
g) Có phương án sao lưu dự phòng sự cố sử dụng hệ
thống sao lưu dữ liệu do Cục Công nghệ thông tin và chuyển đổi số quản lý.
h) Có thiết kế đáp ứng yêu cầu bảo đảm an toàn hệ
thống thông tin theo cấp độ. Khi có thay đổi thiết kế, phải đánh giá lại tính
phù hợp của phương án thiết kế đối với các yêu cầu an toàn đặt ra đối với hệ thống.
i) Áp dụng biện pháp bảo vệ theo hướng dẫn của Ban
Cơ yếu Chính phủ đối với ứng dụng có xử lý bí mật nhà nước.
2. Dữ liệu xử lý trong hệ thống thông tin:
a) Trường hợp hệ thống thông tin cần thu thập, xử
lý, lưu trữ dữ liệu cá nhân, phải đáp ứng các yêu cầu sau: Chỉ thu thập các dữ
liệu cá nhân được phép thu thập theo quy định của pháp luật; Thông báo tới người
dùng các loại dữ liệu cá nhân được thu thập, xử lý, lưu trữ thông tin trong hệ
thống thông tin và biện pháp bảo vệ; Chỉ cơ quan, đơn vị có trách nhiệm được
phân quyền truy cập, sử dụng dữ liệu cá nhân.
b) Bí mật nhà nước của ngành Tài chính phải được mã
hoá bằng giải pháp do Ban Cơ yếu Chính phủ cung cấp.
c) Áp dụng chữ ký số trong trường hợp cần đảm bảo
chống từ chối nguồn gốc dữ liệu.
3. Máy chủ hoạt động trên hệ thống mạng nội bộ Bộ
Tài chính phải đáp ứng các yêu cầu sau:
a) Đặt tên máy theo quy tắc: Viết tắt tên của hệ thống
thông tin-Viết tắt chức năng của máy chủ và số thứ tự (nếu có từ 2 máy trở lên
cùng chức năng) (ví dụ: VBDH-APP01).
b) Sử dụng hệ điều hành được cung cấp bản vá lỗ hổng,
điểm yếu. Chỉ cài đặt các dịch vụ, tiện ích thiết yếu được cung cấp kèm theo hệ
điều hành và các phần mềm phục vụ hoạt động của máy chủ, có nguồn gốc an toàn
và không nhiễm mã độc. Cài đặt phần mềm phòng diệt mã độc và cập nhật mẫu nhận
diện mã độc từ hệ thống quản lý phần mềm phòng diệt mã độc tập trung do Cục
Công nghệ thông tin và chuyển đổi số vận hành; Cài đặt phần mềm giám sát an
toàn an ninh mạng, cấu hình tự động tải bản vá lỗ hổng bảo mật mức hệ điều hành
từ hệ thống quản lý bản vá lỗ hổng bảo mật tập trung (đối với máy chủ sử dụng hệ
điều hành Windows).
c) Thiết lập chính sách xác thực trên máy chủ đáp ứng
quy định về mật khẩu của tài khoản thông tin quy định tại khoản
5 Điều 15 của Quy chế này; yêu cầu thay đổi mật khẩu mặc định. Cấu hình giới
hạn thời gian chờ để đóng phiên kết nối khi máy chủ không nhận được yêu cầu từ
người dùng (tối đa 60 phút).
d) Cấu hình gửi nhật ký hệ thống tới hệ thống giám
sát an toàn an ninh mạng. Nhật ký hệ thống của máy chủ phải được lưu trữ tối
thiểu 03 tháng.
đ) Không kết nối với mạng không dây, mạng dữ liệu
di động.
e) Thực hiện cài đặt bản vá lỗ hổng bảo mật mức hệ điều
hành trong vòng 07 ngày làm việc sau khi bản vá được phát hành.
g) Không lưu mã nguồn ứng dụng; tài liệu thiết kế,
cài đặt, quản trị, vận hành, bảo đảm an toàn an ninh mạng hệ thống thông tin
trên máy chủ không có chức năng lưu trữ mà nguồn và tài liệu về hệ thống thông
tin.
4. Hệ thống thông tin phải được triển khai, cấu
hình và duy trì hoạt động đáp ứng các quy định tại Điều này và theo phương án bảo
đảm an toàn thông tin đã được phê duyệt theo hồ sơ đề xuất cấp độ; được kiểm
tra, đánh giá an toàn an ninh mạng trước khi đưa vào sử dụng và định kỳ hàng
năm trong quá trình vận hành.
5. Tài liệu về hệ thống thông tin phải được cập nhật
trong quá trình vận hành, đảm bảo phản ánh chính xác hiện trạng của hệ thống.
Tài liệu về hệ thống thông tin phải được lưu giữ an toàn, chỉ được cung cấp cho
các đối tượng có trách nhiệm đối với hệ thống thông tin.
Điều 21. Quy định về kết thúc
sử dụng hệ thống thông tin
1. Hệ thống thông tin phải kết thúc sử dụng khi: đã
được thay thế hoàn toàn bằng hệ thống thông tin khác; hoặc không còn giá trị sử
dụng; hoặc sử dụng phiên bản phần mềm có lỗ hổng bảo mật nghiêm trọng và không
có biện pháp ngăn chặn việc khai thác các lỗ hổng bảo mật này; hoặc các thành phần
tài sản của hệ thống thông tin đã hết thời gian khấu hao sử dụng theo quy định
pháp luật về quản lý, sử dụng tài sản công và được cấp có thẩm quyền cho phép dừng
sử dụng.
2. Thủ tục kết thúc vận hành, khai thác, hủy bỏ hệ
thống thông tin:
a) Đơn vị vận hành hệ thống thông tin báo cáo chủ
quản hệ thống thông tin cho phép kết thúc vận hành, khai thác hệ thống thông
tin.
b) Cục Công nghệ thông tin và chuyển đổi số thực hiện
sao lưu dữ liệu hệ thống thông tin; dừng hoạt động của hệ thống; thu hồi tài
nguyên máy chủ ảo hóa (nếu hệ thống thông tin sử dụng nền tảng ảo hóa) hoặc xóa
bỏ hoàn toàn (không có khả năng phục hồi) nội dung thông tin, dữ liệu trên thiết
bị vật lý trước khi chuyển sang bộ phận quản lý tài sản chờ thanh lý; thu hồi địa
chỉ mạng, cấu hình trên hệ thống mạng, hệ thống an toàn an ninh mạng áp dụng
cho hệ thống thông tin.
Điều 22. Quy định về sao lưu dữ
liệu phòng ngừa sự cố
1. Cục Công nghệ thông tin và chuyển đổi số thực hiện
sao lưu thông tin, dữ liệu của hệ thống thông tin thuộc phạm vi quản lý của Cục
và các đơn vị sử dụng hệ thống mạng nội bộ Bộ Tài chính như sau:
a) Loại dữ liệu cần sao lưu: Cơ sở dữ liệu, thông
tin về cấu hình của phần mềm nội bộ, thông tin cấu hình thiết bị, hệ điều hành
của thiết bị và những thông tin, dữ liệu khác (nếu có) thuộc môi trường sản xuất,
môi trường dự phòng cần phải sao lưu phục vụ công tác quản lý, khai thác sử dụng.
b) Đối với cơ sở dữ liệu, thông tin về cấu hình của
phần mềm nội bộ: Thực hiện sao lưu ngoài giờ hành chính.
c) Đối với thông tin cấu hình thiết bị, hệ điều
hành của thiết bị và những thông tin, dữ liệu khác (nếu có): Thực hiện sao lưu
01 bản sao lưu sau mỗi lần cài đặt, thay đổi cấu hình.
d) Lưu giữ tối thiểu 07 bản sao lưu gần nhất.
2. Dữ liệu sao lưu được khôi phục trong các trường
hợp: có yêu cầu khôi phục dữ liệu từ người dùng; ứng dụng, cơ sở dữ liệu đang
hoạt động bị sự cố, cần khôi phục từ bản sao lưu; hoặc theo yêu cầu của cơ quan
có thẩm quyền.
Chương III
TRÁCH NHIỆM CỦA CƠ QUAN,
ĐƠN VỊ, CÁ NHÂN THUỘC BỘ TÀI CHÍNH
Điều 23. Trách nhiệm của các
cơ quan, đơn vị thuộc Bộ Tài chính
1. Cục, Vụ, đơn vị sự nghiệp công lập, doanh nghiệp:
a) Ban hành quy chế/quy định/nội quy về an toàn an
ninh mạng của đơn vị phù hợp với trách nhiệm của đơn vị theo Quy chế này và các
quy định của pháp luật về an toàn an ninh mạng.
b) Tổ chức triển khai thực hiện Quy chế này và các
quy định của pháp luật, văn bản chỉ đạo và hướng dẫn của các cơ quan có thẩm
quyền về an toàn an ninh mạng trong phạm vi đơn vị.
c) Đơn vị sử dụng hệ thống mạng nội bộ Bộ Tài chính
(Vụ Tổ chức cán bộ, Văn phòng Bộ, đơn vị có thẩm quyền quyết định về nhân sự)
có trách nhiệm gửi Cục Công nghệ thông tin và chuyển đổi số quyết định về tiếp
nhận, bổ nhiệm, điều động, chuyển công tác, thôi việc, nghỉ hưu, dừng công tác
tại thời điểm phát hành văn bản.
d) Đơn vị vận hành hệ thống thông tin: Ban hành quy
trình vận hành hệ thống thông tin, sao lưu phục hồi dữ liệu; Thực hiện bảo vệ hệ
thống thông tin theo quy định của pháp luật và hướng dẫn, tiêu chuẩn, quy chuẩn
an toàn thông tin.
2. Cục Công nghệ thông tin và chuyển đổi số
a) Tham mưu cho Bộ Tài chính về việc triển khai
công tác an toàn an ninh mạng; Hướng dẫn các quy định của pháp luật, văn bản chỉ
đạo và hướng dẫn của các cơ quan có thẩm quyền về an toàn an ninh mạng trong phạm
vi các cơ quan, đơn vị, tổ chức thuộc Bộ Tài chính; Thực hiện trách nhiệm của
đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin; Tổ chức
triển khai Quy chế này và các quy định của pháp luật về an toàn an ninh mạng đối
với các hệ thống thông tin do Cục Công nghệ thông tin và chuyển đổi số quản lý
vận hành;
b) Xây dựng, trình Bộ trưởng ban hành Kế hoạch bảo
đảm an toàn, an ninh mạng tổng thể của Bộ Tài chính; Tổng hợp kế hoạch, báo cáo
định kỳ, đột xuất về an toàn an ninh mạng, trình Lãnh đạo Bộ Tài chính gửi các
cơ quan quản lý về an toàn an ninh mạng; Xử lý các việc đột xuất về an toàn an
ninh mạng (chưa quy định tại Quy chế này) theo phân công của Lãnh đạo Bộ;
c) Định kỳ hàng năm, tổ chức rà soát, kiểm tra tính
phù hợp của Quy chế này với các quy định của pháp luật về an toàn thông tin mạng,
an ninh mạng và các quy định, tiêu chuẩn liên quan; kiểm tra tính đáp ứng của
Quy chế này với yêu cầu thực tế của Bộ Tài chính; báo cáo Bộ về việc sửa đổi, bổ
sung Quy chế trong trường hợp cần thiết.
Điều 24. Trách nhiệm cá nhân
thuộc Bộ Tài chính
1. Thủ trưởng đơn vị thuộc đối tượng áp dụng của
Quy chế này có trách nhiệm: phổ biến tới từng cán bộ, công chức, viên chức, người
lao động của đơn vị; thường xuyên kiểm tra việc thực hiện Quy chế này tại đơn vị;
chịu trách nhiệm trước pháp luật và Lãnh đạo Bộ Tài chính về các vi phạm, thất
thoát thông tin, dữ liệu mật thuộc phạm vi quản lý của đơn vị do không tổ chức,
chỉ đạo, kiểm tra cán bộ của đơn vị thực hiện đúng quy định.
2. Cán bộ, công chức, viên chức, người lao động thuộc
Bộ Tài chính, các đơn vị thuộc Bộ và các đơn vị khác thuộc đối tượng áp dụng của
quy định có trách nhiệm: tuân thủ Quy chế; thông báo các vấn đề bất thường liên
quan tới an toàn an ninh mạng cho đơn vị chuyên trách về an toàn thông tin của
chủ quản hệ thống thông tin; chịu trách nhiệm trước pháp luật và Lãnh đạo đơn vị
về các vi phạm, thất thoát dữ liệu mật của ngành Tài chính do không tuân thủ
Quy chế.
3. Tập thể, cá nhân vi phạm Quy chế này làm ảnh hưởng
đến việc thực hiện nhiệm vụ chính trị của Bộ Tài chính hoặc gây phương hại đến
an ninh quốc gia thì tùy theo tính chất, mức độ của hành vi vi phạm sẽ bị xử lý
hành chính, xử lý kỷ luật hoặc truy cứu trách nhiệm hình sự. Nếu gây thiệt hại
về tài sản thì phải bồi thường theo quy định của pháp luật.
Điều 25. Tổ chức thực hiện
1. Cục Công nghệ thông tin và chuyển đổi số chịu
trách nhiệm hướng dẫn, theo dõi, kiểm tra, đôn đốc việc thực hiện Quy chế này.
2. Đơn vị vận hành hệ thống thông tin tổ chức rà
soát, thống kê, cập nhật danh mục hệ thống thông tin thuộc phạm vi quản lý. Đối
với các hệ thống thông tin đã phê duyệt cấp độ, chủ quản hệ thống thông tin quyết
định điều chỉnh thông tin chủ quản hệ thống thông tin, đơn vị được giao vận
hành hệ thống thông tin phù hợp với tổ chức bộ máy. Cục Công nghệ thông tin và
chuyển đổi số thực hiện rà soát, trình Bộ quyết định điều chỉnh thông tin chủ
quản hệ thống thông tin, đơn vị vận hành hệ thống thông tin do bộ, cơ quan
ngang bộ là chủ quản hệ thống thông tin sáp nhập với Bộ Tài chính.
3. Trong quá trình thực hiện Quy chế này, nếu phát
sinh khó khăn, vướng mắc, các đơn vị, cá nhân gửi ý kiến về Cục Công nghệ thông
tin và chuyển đổi số để tổng hợp, báo cáo, đề xuất trình Bộ trưởng xem xét, quyết
định./.