|
Kính
gửi:
|
- Các Bộ, cơ quan ngang Bộ, cơ
quan thuộc Chính phủ;
- Ủy ban nhân dân các tỉnh, thành phố trực thuộc Trung ương;
- Các Tập đoàn kinh tế, tổng công ty Nhà nước.
|
Thực hiện chức năng quản lý nhà
nước về an toàn thông tin của Bộ Thông tin và Truyền thông tại Nghị định số
17/2017/NĐ-CP ngày 17 tháng 02 năm 2017 của Chính phủ quy định chức năng, nhiệm
vụ, quyền hạn và cơ cấu tổ chức của Bộ Thông tin và Truyền thông;
Thực hiện chỉ đạo của Thủ tướng
Chính phủ tại Quyết định số 28/2018/QĐ-TTg ngày 12 tháng 7 năm 2018 của Thủ
tướng Chính phủ về gửi, nhận văn bản điện tử giữa các cơ quan trong hệ thống
hành chính nhà nước;
Bộ Thông tin và Truyền thông hướng
dẫn đảm bảo an toàn thông tin cho hệ thống Quản lý văn bản và điều hành của cơ
quan, tổ chức nhà nước. Nội dung hướng dẫn bao gồm: Các thành phần cơ bản, các
yêu cầu an toàn cơ bản và phương án thực thi để bảo đảm an toàn thông tin cho
hệ thống Quản lý văn bản và điều hành.
Bản mềm tài liệu hướng dẫn có thể
được tải về từ cổng thông tin điện tử của Bộ Thông tin và Truyền thông tại địa
chỉ: http://www.mic.gov.vn
hoặc từ cổng thông tin điện tử của Cục An toàn thông tin tại địa chỉ https://www.ais.gov.vn/huong-dan-bao-dam-an-toan-thong-tin-cho-he-thong-
quan-ly-van-ban-dieu-hanh.
Chi tiết liên hệ ông Nguyễn Tiến
Đức, Phòng Thẩm định và Quản lý giám sát, Cục An toàn thông tin, Điện thoại:
0934578162; Thư điện tử: [email protected].vn.
Trong quá trình thực hiện, nếu có điều
gì vướng mắc, đề nghị các cơ quan, tổ chức, phản ánh về Bộ Thông tin và Truyền
thông (Cục An toàn thông tin) đề được hướng dẫn giải quyết./.
|
Nơi nhận:
- Như trên;
- Bộ trưởng (để b/c);
- Các Thủ trưởng;
- Cổng Thông tin điện tử Chính phủ;
- Đơn vị chuyên trách về CNTT của các Bộ, cơ quan ngang Bộ, cơ quan thuộc
Chính phủ;
- Đơn vị chuyên trách về CNTT của Văn phòng Trung ương Đảng, Văn phòng Chủ
tịch nước, Văn phòng Quốc hội, Tòa án nhân dân tối cao, Viện kiểm sát nhân
dân tối cao, Kiểm toán nhà nước;
- Đơn vị chuyên trách về CNTT của Cơ quan Trung ương của các đoàn thể;
- Sở TT&TT các tỉnh, thành phố trực thuộc Trung ương;
- Cổng thông tin điện tử Bộ TT&TT;
- Lưu: VT, CATTT.
|
KT.
BỘ TRƯỞNG
THỨ TRƯỞNG
Nguyễn Thành Hưng
|
TÀI LIỆU HƯỚNG DẪN
BẢO ĐẢM AN TOÀN THÔNG TIN CHO HỆ THỐNG QUẢN LÝ VĂN BẢN VÀ ĐIỀU
HÀNH CỦA CƠ QUAN, TỔ CHỨC NHÀ NƯỚC
(Kèm theo Công văn số 3001/BTTTT-CATTT ngày 06 tháng 9 năm 2019 của Bộ Thông
tin và Truyền thông)
Chương I
PHẠM VI, ĐỐI TƯỢNG ÁP
DỤNG
1.1. Phạm vi
áp dụng
a) Tài liệu này hướng dẫn các thành
phần cơ bản, các yêu cầu an toàn cơ bản và phương án thực thi bảo đảm an toàn
thông tin cho hệ thống Quản lý văn bản và điều hành (sau đây gọi là hệ thống
QLVBĐH) chạy trên nền tảng ứng dụng Web, sử dụng trong các cơ quan, tổ chức nhà
nước.
b) Tài liệu này đưa ra các yêu cầu
an toàn thông tin cơ bản, hướng dẫn bảo đảm an toàn thông tin cho hệ thống
QLVBĐH.
1.2. Đối
tượng áp dụng
a) Tài liệu này áp dụng đối với các
cơ quan, tổ chức, cá nhân có liên quan đến việc sử dụng, quản lý và vận hành hệ
thống QLVBĐH trong các cơ quan, tổ chức nhà nước.
b) Khuyến khích các doanh nghiệp,
tổ chức khác áp dụng hướng dẫn này để bảo đảm an toàn thông tin cho hệ thống
QLVBĐH thuộc phạm vi quản lý.
1.3. Thuật
ngữ, định nghĩa
a) An toàn dữ liệu (data security):
Tập hợp các biện pháp quản lý và kỹ thuật nhằm bảo đảm tính bảo mật, tính
nguyên vẹn và tính khả dụng của thông tin, dữ liệu khi lưu trữ, xử lý, truy nhập,
cung cấp, thu thập và truyền đưa dữ liệu qua môi trường mạng.
b) An toàn mạng (network security):
Tập hợp các biện pháp quản lý và kỹ thuật nhằm bảo đảm việc thiết lập, xây
dựng, quản lý, vận hành hạ tầng mạng (bao gồm: kênh kết nối, thiết bị mạng,
thiết bị bảo mật, thiết bị phụ trợ và các thành phần khác nếu có) bảo đảm an
toàn.
c) An toàn máy chủ (server
security): Tập hợp các biện pháp quản lý và kỹ thuật nhằm bảo đảm an toàn cho
máy chủ trong quá trình thiết lập, quản lý, vận hành và hủy bỏ.
d) An toàn ứng dụng (application
security): Tập hợp các biện pháp quản lý và kỹ thuật nhằm bảo đảm các ứng dụng,
dịch vụ cung cấp bởi hệ thống bảo đảm an toàn trong quá trình thiết lập, quản
lý, vận hành và gỡ bỏ.
đ) Chống thất thoát dữ liệu (data
leak prevention): Giải pháp giúp cơ quan, tổ chức bảo vệ dữ liệu quan trọng của
mình tránh việc bị đánh cắp, rò rỉ hoặc khi dữ liệu bị vô ý mất mát, thất lạc
thì bên thứ ba không thể khai thác dữ liệu đó trái phép.
e) Dự phòng nóng (hot standby): Khả
năng thay thế chức năng của thiết bị khi xảy ra sự cố mà không làm gián đoạn
hoạt động của hệ thống.
g) Giám sát an toàn hệ thống thông
tin (information system security monitoring): Hoạt động lựa chọn đối tượng,
công cụ giám sát, thu thập, phân tích thông tin trạng thái của đối tượng giám
sát, báo cáo, cảnh báo hành vi xâm phạm an toàn thông tin hoặc có khả năng gây
ra sự cố an toàn thông tin đối với hệ thống thông tin.
h) Giám sát hệ thống thông tin
(information system monitoring): Biện pháp giám sát, theo dõi trạng thái hoạt động
của hệ thống để phát hiện, cảnh báo sớm các sự cố có thể gây gián đoạn hoạt
động của hệ thống và làm mất tính khả dụng của hệ thống thông tin.
i) Nhật ký hệ thống (system log):
Những sự kiện được hệ thống ghi lại liên quan đến trạng thái hoạt động, sự cố,
sự kiện an toàn thông tin và các thông tin khác liên quan đến hoạt động của hệ
thống (nếu có).
k) Phần mềm độc hại (malware): Phần
mềm có khả năng gây ra hoạt động không bình thường cho một phần hay toàn bộ hệ
thống thông tin hoặc thực hiện sao chép, sửa đổi, xóa bỏ trái phép thông tin
lưu trữ trong hệ thống thông tin.
l) Phần mềm phòng chống mã độc
(anti-malware software): Phần mềm có chức năng phát hiện, cảnh báo và xử lý
phần mềm độc hại.
m) Quản lý tài khoản đặc quyền
(privileged identity management - PIM): Biện pháp quản lý tập trung các tài khoản
có quyền quản trị cao nhất (có đầy đủ các quyền hệ thống cung cấp) trên hệ
thống.
n) Thiết bị mạng chính (core
network device): Thiết bị gây gián đoạn hoạt động của toàn bộ hệ thống khi xảy
ra sự cố. Ví dụ: thiết bị chuyển mạch trung tâm, thiết bị định tuyến biên,
tường lửa trung tâm và các thiết bị khác có chức năng và vị trí tương đương.
o) Vùng DMZ (demilitarized zone):
Vùng mạng được thiết lập để đặt các máy chủ công cộng, cho phép truy cập trực
tiếp từ các mạng bên ngoài và mạng Internet.
p) Vùng máy chủ nội bộ (internal
server zone): Vùng mạng được thiết lập để đặt các máy chủ nội bộ, cung cấp các
ứng dụng, dịch vụ phục vụ hoạt động nội bộ của tổ chức và các hoạt động khác mà
không cho phép truy cập trực tiếp từ các mạng bên ngoài.
q) Vùng quản trị (management zone):
Vùng mạng được thiết lập để đặt các máy chủ, máy quản trị và các thiết bị
chuyên dụng khác phục vụ việc quản lý, vận hành và giám sát hệ thống.
r) Vùng quản trị thiết bị hệ thống
(device management zone): Vùng mạng riêng cho các địa chỉ quản trị của các
thiết bị hệ thống cho phép thiết lập chính sách chung và quản lý tập trung các
thiết bị hệ thống.
s) Vùng máy chủ cơ sở dữ liệu
(database server zone): Vùng mạng được thiết lập để đặt các máy chủ cơ sở dữ
liệu. Các máy chủ trong vùng này được triển khai tách biệt với các máy chủ ứng
dụng cho phép quản lý chính sách truy cập hoặc thiết lập các biện pháp bảo vệ
tập trung cho các máy chủ trong vùng mạng này.
t) Máy chủ đại diện (Reverse
proxy): Máy chủ trung gian giữa một máy chủ web và các máy trạm. Máy chủ này
kiểm soát yêu cầu từ các trạm để kiểm tra tính hợp lệ của yêu cầu trước khi gửi
đến máy chủ web.
Chương II
TỔNG QUAN VỀ HỆ THỐNG
QUẢN LÝ VĂN BẢN VÀ ĐIỀU HÀNH
2.1. Mô hình
và thành phần cơ bản của hệ thống QLVBĐH
Thành phần cơ bản của hệ thống
QLVBĐH bao gồm:
Hình
1. Thành phần cơ bản để phục vụ hoạt động của hệ thống QLVBĐH
a) Máy chủ đại diện (Reverse proxy)
là máy chủ tiếp nhận yêu cầu trực tiếp từ các máy ngoài Internet. Máy chủ này đại
diện cho các máy khách từ bên ngoài Internet để gửi yêu cầu tới máy chủ ứng
dụng Web trong vùng mạng nội bộ. Việc sử dụng máy chủ Reverse proxy để hạn chế
việc truy cập trực tiếp từ các máy khách đến máy chủ ứng dụng Web làm giảm
thiểu nguy cơ mất an toàn thông tin cho máy chủ này.
Máy chủ đại diện có thể được triển
khai trên nhiều nền tảng khác nhau: (1) Triển khai dưới dạng máy chủ cài đặt hệ
thống Reverse Proxy như: Nginx, Apache, IIS ARR...; (2) sử dụng thiết bị tường
lửa ứng dụng web chuyên dụng như: Fortiweb, Big-IP LTM, NetScaler...
Máy chủ Reverse proxy được đặt tại
vùng DMZ. Các máy chủ trong vùng DMZ được thiết lập hệ thống bảo vệ để kiểm
soát truy nhập, phòng chống xâm nhập, tấn công mạng và tấn công từ chối dịch vụ
DoS/DDoS.
b) Máy chủ ứng dụng web là máy chủ
quản lý hoạt động của toàn bộ hệ thống QLVBĐH. Máy chủ này thực hiện chức năng
tiếp nhận các yêu cầu gửi đến, xử lý, kết nối cơ sở dữ liệu và phản hồi yêu cầu
gửi đến.
Máy chủ ứng dụng web có thể được
triển khai trên nhiều nền tảng khác nhau như: IIS, Apache, Tomcat... tùy thuộc
vào ứng dụng quản lý văn bản được phát triển.
Máy chủ ứng dụng được đặt tại vùng
máy chủ nội bộ và không cho truy cập trực tiếp từ bên ngoài Internet. Các máy
chủ trong vùng máy chủ nội bộ được thiết lập hệ thống bảo vệ để kiểm soát truy
nhập, phòng chống xâm nhập và tấn công mạng.
c) Máy chủ cơ sở dữ liệu lưu trữ và
quản lý cơ sở dữ liệu của hệ thống QLVBĐH. Máy chủ này được đặt trong một vùng
mạng riêng cho các máy chủ cơ sở dữ liệu và không cho phép kết nối, truy cập
trực tiếp từ các mạng bên ngoài. Thông thường, các máy chủ trong vùng mạng này
chỉ cho phép truy cập từ vùng máy chủ nội bộ và vùng mạng quản trị.
Máy chủ cơ sở dữ liệu có thể được
triển khai trên nhiều nền tảng khác nhau như: Oracle, MSSQL, MySQL...tùy thuộc
vào ứng dụng quản lý văn bản được phát triển.
Các máy chủ trong vùng cơ sở dữ
liệu được thiết lập hệ thống bảo vệ để kiểm soát truy nhập, phòng chống xâm
nhập và tấn công mạng.
d) Thành phần kết nối tới Trục liên
thông văn bản quốc gia (VBQG) bao gồm: Bộ kết nối (Local Adapter) và máy chủ
bảo mật (Security Server). Căn cứ vào điều kiện thực tế của cơ quan, tổ chức mà
thành phần này có thể chia thành hai máy chủ độc lập hoặc trên cùng một máy
chủ.
Trường hợp bộ kết nối và máy chủ
bảo mật nằm trên một máy chủ thì máy chủ đó phải có 02 giao diện. Một giao diện
kết nối với máy chủ bảo mật của Trục liên thông VBQG và một giao diện kết nối
với hệ thống QLVBĐH.
Trường hợp bộ kết nối và máy chủ
bảo mật nằm trên 02 máy chủ khác nhau thì máy chủ bảo mật phải có 02 giao diện.
Một giao diện kết nối với máy chủ bảo mật của Trục liên thông VBQG và một giao
diện kết nối với hệ thống QLVBĐH và bộ kết nối.
Để giảm thiểu sự ảnh hưởng hoạt
động giữa việc cung cấp dịch vụ quản lý văn bản và việc kết nối vào Trục liên
thông VBQG, hệ thống cần thiết kế một vùng mạng riêng để kết nối giao diện bên
trong của máy chủ bảo mật, máy chủ của hệ thống QLVBĐH và máy chủ của bộ kết
nối.
2.2. Đối
tượng kết nối và chia sẻ thông tin với hệ thống QLVBĐH
Về cơ bản, đối tượng kết nối và chia
sẻ thông tin với hệ thống QLVBĐH bao gồm các đối tượng sau:
a) Người sử dụng truy cập vào hệ
thống QLVBĐH để quản lý, vận hành và sử dụng dịch vụ của hệ thống thông qua
mạng nội bộ hoặc qua kết nối mạng Internet.
b) Hệ thống Trục liên thông văn bản
quốc gia để gửi nhận văn bản điện tử giữa các cơ quan, tổ chức nhà nước. Kết
nối giữa hệ thống QLVBĐH với hệ thống Trục liên thông văn bản quốc gia sử dụng
mạng TSLCD cấp I hoặc cấp II.
c) Hệ thống QLVBĐH của cơ quan, tổ
chức khác trên địa bàn. Kết nối giữa hệ thống QLVBĐH với các hệ thống QLVBĐH
của cơ quan, tổ chức khác sử dụng mạng thông tin diện rộng (mạng WAN) của địa
phương đó.
2.3. Một số
nguy cơ mất an toàn thông tin đối với hệ thống QLVBĐH
Nguy cơ mất an toàn đối với hệ
thống QLVBĐH chủ yếu từ bên ngoài Internet qua giao diện mà hệ thống QLVBĐH
cung cấp dịch vụ công cộng.
Ngoài ra, nguy cơ mất an toàn thông
tin có thể xuất phát từ các thành phần khác bên trong hệ thống hoặc các hệ
thống khác có kết nối trực tiếp với hệ thống QLVBĐH.
Về cơ bản, một số nguy cơ mất an
toàn thông tin có thể xảy ra với hệ thống QLVBĐH bao gồm:
a) Tấn công từ chối dịch vụ làm mất
tính khả dụng của hệ thống QLVBĐH trong việc cung cấp dịch vụ.
b) Tấn công khai thác điểm yếu, lỗ
hổng chiếm quyền điều khiển, thay đổi giao diện... của máy chủ và ứng dụng
triển khai hệ thống QLVBĐH.
c) Thực hiện các hình thức tấn
công, nghe lén để đánh cắp thông tin, dữ liệu quan trọng, nhạy cảm.
d) Thực hiện tấn công mã độc vào
các máy tính người sử dụng để lợi dụng chiếm quyền, nâng quyền kiểm soát đối
với các hệ thống khác bên trong hệ thống.
đ) Tấn công vào nền tảng phần cứng
(các thiết bị mạng và máy chủ) của hệ thống có tồn tại điểm yếu an toàn thông
tin để chiếm quyền điều khiển hoặc tấn công từ chối dịch vụ.
2.4. Thành
phần cơ bản bảo đảm an toàn thông tin cho hệ thống QLVBĐH
Thành phần bảo đảm an toàn thông
tin cho hệ thống QLVBĐH bao gồm các thành phần cơ bản sau:
a) Tường lửa: Sử dụng để quản lý
truy cập giữa các mạng bên ngoài vào hệ thống mạng và giữa các vùng mạng trong
hệ thống của cơ quan, tổ chức
Tùy thuộc vào năng lực thực tế của
mỗi hệ thống thông tin, tường lửa có thể triển khai theo nhiều phương án khác
nhau: (1) sử dụng thiết bị tường lửa tập trung và phân các vùng mạng bởi các
giao diện của tường lửa; (2) chia thiết bị tường lửa vật lý và nhiều tường lửa
logic và triển khai độc lập cho mỗi vùng mạng; (3) triển khai thiết bị tường
lửa độc lập, chuyên dụng cho mỗi vùng mạng.
Trường hợp hệ thống QLVBĐH được xác
định là hệ thống thông tin cấp độ 4 hoặc 5 thì hệ thống tường lửa trực tiếp
quản lý truy cập và bảo vệ các vùng mạng DMZ, máy chủ nội bộ và cơ sở dữ liệu
cần được triển khai dưới dạng thiết bị độc lập, chuyên dụng.
Hình
2. Mô hình hệ thống các thành phần bảo đảm an toàn thông tin
b) Phòng chống và phát hiện xâm
nhập: Phát hiện xâm nhập và tấn công mạng từ các mạng bên ngoài vào hệ thống
mạng và giữa các vùng mạng trong hệ thống của cơ quan, tổ chức
Tương tự như với cách triển khai
đối với thiết bị tường lửa, thiết bị phòng chống xâm nhập cũng có thể triển
khai theo 03 cách ở trên. Tuy nhiên, việc đặt thiết bị phòng chống xâm nhập sẽ
làm giảm hiệu năng hoạt động của hệ thống mạng. Do đó, căn cứ vào khả năng xử
lý của thiết bị phòng chống xâm nhập để triển khai vị trí phù hợp. Trường hợp
thiết bị phòng chống xâm nhập có hiệu năng xử lý cao có thể triển khai tại vùng
mạng biên để giám sát tổng thể lưu lượng mạng. Trường hợp năng lực xử lý hạn
chế thì xem xét ưu tiên bảo vệ các vùng mạng như vùng DMZ, vùng máy chủ nội bộ,
vùng máy chủ cơ sở dữ liệu.
c) Phòng chống tấn công từ chối dịch
vụ: Bảo vệ, phòng chống tấn công từ chối dịch vụ (DoS/DDoS) vào hệ thống máy
chủ dịch vụ của hệ thống
Thiết bị này được triển khai tại
vùng mạng biên để phòng chống DoS/DDoS. Trên thực tế có nhiều thiết bị tường
lửa có tích hợp chức năng phòng chống tấn công DoS/DDoS. Trường hợp hệ thống
QLVBĐH được xác định là hệ thống thông tin cấp độ 4 hoặc 5 thì hệ thống phòng
chống tấn công DoS/DDoS cần được triển khai dưới dạng thiết bị độc lập, chuyên
dụng.
Một điểm cần chú ý là việc triển
khai giải pháp phòng chống tấn công DoS/DDoS tại hệ thống thông tin cần bảo vệ
chỉ hiệu quả khi lưu lượng tấn công nhỏ hơn băng thông kết nối mạng Internet
của hệ thống (thường là các cuộc tấn công DoS/DDoS vào lóp ứng dụng). Do đó, để
có phương án phòng chống tấn công DoS/DDoS tổng thể cần kết hợp giữa việc triển
khai giải pháp tại hệ thống thông tin với thuê dịch vụ phòng chống tấn công
DoS/DDoS chuyên nghiệp của doanh nghiệp.
d) Kết nối mạng riêng ảo VPN: Phục
vụ việc thiết lập và quản lý kênh kết nối mạng an toàn, cho phép quản trị hệ
thống từ xa.
Việc quản trị, cấu hình hệ thống
hay quản lý dữ liệu cho hệ thống QLVBĐH khi thực hiện trực tiếp qua Internet là
tiềm ẩn nhiều nguy cơ mất an toàn thông tin.
Để bảo đảm an toàn thông tin các
máy chủ ứng dụng web và máy chủ cơ sở dữ liệu không cho phép kết nối trực tiếp
từ mạng Internet mà thông thường phải thông qua một máy chủ quản trị trong vùng
mạng quản trị. Do đó, cần thiết phải có thiết bị hoặc phương án kết nối VPN cho
phép kết nối từ xa vào máy quản trị để từ máy đó thực hiện quản trị cấu hình và
dữ liệu của hệ thống.
đ) Tường lửa chuyên dụng bảo vệ máy
chủ cơ sở dữ liệu: Phục vụ việc quản lý và phòng chống tấn công vào máy chủ cơ
sở dữ liệu thông qua các cấu truy vấn cơ sở dữ liệu độc hại để vượt quyền truy
cập hoặc khai thác điểm yếu của hệ quản trị cơ sở dữ liệu.
Máy chủ cơ sở dữ liệu là máy chủ
đặc biệt quan trọng của hệ thống. Bên cạnh các dạng tấn công mạng thông thường
mà máy chủ này phải đối mặt thì còn có dạng tấn công riêng đối với ứng dụng cơ
sở dữ liệu. Do đó, máy chủ này ngoài các giải pháp bảo vệ như tường lửa, phòng
chống xâm nhập, mã độc thì cần triển khai thiết bị tường lửa chuyên dụng để
phát hiện và phòng chống tấn công vào hệ thống cơ sở dữ liệu.
e) Hệ thống phòng chống phần mềm
độc hại trên môi trường mạng: Phục vụ việc phát hiện và chặn lọc phần mềm độc
hại trên môi trường mạng
Một trong các nguy cơ mất an toàn
thông tin phổ biến là việc các máy tính/máy chủ bị lây nhiễm mã độc và bị điều
khiển từ xa, bị lợi dụng để tấn công các thành phần bên trong của hệ thống
thông tin.
Để triển khai phương án phòng chống
phần mềm độc hại hiệu quả, giải pháp cần kết hợp giữa việc triển khai phần mềm
phòng chống mã độc trên các máy với việc triển khai giải pháp trên môi trường
mạng. Việc triển khai giải pháp trên môi trường mạng cho phép phát hiện các kết
nối tới máy chủ C&C (Máy chủ điều khiển hoạt động của mạng máy tính ma -
botnet, các máy tính bị nhiễm mã độc) và các hành vi mã độc khác tại các điểm
có lưu lượng mạng tập trung.
Ngoài ra, một số thiết bị phần cứng
cũng có khả năng bị nhiễm phần mềm độc hại và bị điều khiển từ xa. Trong khi
các thiết bị này khó có thể cài đặt phần mềm phòng chống mã độc trên đó. Do đó,
việc triển khai giải pháp phòng chống mã độc trong các trường hợp như vậy là
rất cần thiết.
Phương án triển khai giải pháp này
tương tự như với phương án triển khai hệ thống tường lửa và phát hiện xâm nhập.
Căn cứ vào năng lực của thiết bị để lựa chọn vị trí triển khai giải pháp cho
phù hợp. Trường hợp năng lực của thiết bị đủ lớn thì có thể triển khai thiết bị
tại điểm giám sát tập trung toàn bộ lưu lượng mạng của hệ thống ra Internet.
Trường hợp năng lực của hệ thống hạn chế thì ưu tiên triển khai giải pháp tại điểm
tập trung lưu lượng mạng của người sử dụng ra Internet hoặc vùng mạng máy chủ
mà có kết nối hoặc cho truy cập Internet.
g) Hệ thống giám sát hệ thống thông
tin tập trung: Phục vụ giám sát, theo dõi thời gian thực hoạt động của hệ thống
mạng nhằm bảo đảm tính khả dụng của hệ thống.
Hệ thống này nhận thông tin hoặc
kết nối tới các thiết bị mạng, máy chủ và ứng dụng để thu thập các thông tin
liên quan đến trạng thái, tài nguyên hệ thống, cho phép người quản trị theo dõi
thời gian thực trạng thái của toàn hệ thống để đưa ra những hành động kiểm soát
kịp thời. Hệ thống này được sử dụng để bảo đảm tính khả dụng của hệ thống trong
quá trình vận hành, khai thác.
h) Hệ thống giám sát an toàn hệ
thống thông tin tập trung: Phục vụ việc quản lý, phân tích, giám sát sự kiện an
toàn thông tin tập trung để phát hiện và cảnh báo sớm nguy cơ mất an toàn thông
tin.
Tương tự như đối với hệ thống giám
sát hệ thống thông tin tập trung, hệ thống này cũng nhận thông tin hoặc kết nối
tới các thiết bị mạng, máy chủ và ứng dụng để thu thập các thông tin liên quan
đến sự kiện bảo mật, thay đổi chính sách hay truy nhập để phát hiện tấn công
mạng và các hành vi dị thường. Hệ thống này cho phép người quản trị theo dõi,
phát hiện và cảnh báo sớm các nguy cơ mất an toàn thông tin có thể xảy ra trên
hệ thống.
i) Hệ thống lưu trữ tập trung: Phục
vụ việc quản lý và sao lưu dự phòng tập trung.
Hệ thống này được sử dụng để lưu
trữ dữ liệu của toàn bộ hệ thống bao gồm: các ảnh của hệ điều hành (nếu hệ
thống triển khai trên nền ảo hóa), các tệp tin cấu hình hệ thống, cơ sở dữ liệu
và các thông tin riêng của tổ chức, cá nhân nếu có.
Hệ thống này cho phép thiết lập
chính sách mã hóa, quản lý truy cập, sao lưu dự phòng nhằm tăng cường khả năng
bảo mật, tính khả dụng cho toàn bộ dữ liệu của hệ thống.
k) Hệ thống phòng chống mã độc trên
máy chủ/máy trạm: Hệ thống phần mềm được cài đặt trên máy chủ/máy trạm và được
quản lý bởi một hệ thống tập trung cho phép quản lý phát hiện và phòng chống mã
độc trên các máy chủ/máy trạm.
l) Hệ thống phòng chống thất thoát
dữ liệu: Phục vụ việc theo dõi, giám sát và phòng chống thất thoát thông tin/dữ
liệu quan trọng qua môi trường mạng.
Hệ thống này được triển khai trên
môi trường mạng hoặc dưới dạng phần mềm cài đặt trực tiếp trên máy chủ cho phép
phát hiện nguy cơ lộ, lọt thông tin bí mật của hệ thống.
m) Hệ thống quản lý tài khoản đặc
quyền: Phục vụ việc quản lý tài khoản và phân quyền truy nhập vào các thành
phần của hệ thống tập trung.
Căn cứ vào việc xác định cấp độ an
toàn thông tin cho hệ thống QLVBĐH để xác định thành phần bảo đảm an toàn cơ
bản cho hệ thống này đáp ứng các yêu cầu an toàn tối thiểu theo quy định của
pháp luật.
Chương III
YÊU CẦU AN TOÀN CƠ BẢN
ĐỐI VỚI HỆ THỐNG QUẢN LÝ VĂN BẢN VÀ ĐIỀU HÀNH
Hệ thống QLVBĐH là hệ thống thông
tin thành phần của hệ thống thông tin tổng thể. Do đó, căn cứ vào cấp độ của hệ
thống QLVBĐH, phương án bảo đảm an toàn thông tin phải đáp ứng các yêu cầu an
toàn tối thiểu theo quy định của pháp luật và các yêu cầu cụ thể tại hướng dẫn
này.
3.1. Yêu cầu
chung
Hệ thống QLVBĐH là một hệ thống
thành phần trong hệ thống thông tin tổng thể. Để bảo đảm an toàn thông tin cho
hệ thống này ngoài việc bảo đảm an toàn thông tin cho các thành phần trực tiếp
phục vụ hoạt động của hệ thống này thì các thành phần khác liên quan đến hoạt
động của hệ thống QLVBĐH trong hệ thống tổng thể cũng phải được bảo đảm an
toàn. Do đó, yêu cầu an toàn thông tin tổng thể để bảo đảm an toàn thông tin
cho hệ thống QLVBĐH bao gồm các yêu cầu dưới đây:
a) Yêu cầu an toàn thông tin đưa ra
trong Tài liệu này bao gồm yêu cầu về quản lý và yêu cầu về kỹ thuật.
Yêu cầu về quản lý bao gồm các nhóm
yêu cầu: (1) Thiết lập chính sách an toàn thông tin; (2) Tổ chức bảo đảm an
toàn thông tin; (3) Bảo đảm nguồn nhân lực; (4) Quản lý thiết kế, xây dựng hệ
thống; (5) Quản lý vận hành hệ thống.
Yêu cầu về kỹ thuật bao gồm: (1)
Yêu cầu bảo đảm an toàn mạng; (2) Yêu cầu bảo đảm an toàn máy chủ; (3) Yêu cầu
bảo đảm an toàn ứng dụng; (4) Yêu cầu bảo đảm an toàn dữ liệu.
b) Yêu cầu an toàn về quản lý đối
với hệ thống QLVBĐH phải đáp ứng các yêu cầu quản lý chung đối với hệ thống
thông tin với cấp độ tương ứng theo quy định tại điểm b, khoản
3, Điều 8 Thông tư số 03/2017/TT-BTTTT.
c) Yêu cầu an toàn về kỹ thuật đối
với hệ thống QLVBĐH phải đáp ứng các yêu cầu quản lý chung đối với hệ thống
thông tin với cấp độ tương ứng theo quy định tại điểm a, khoản
3, Điều 8 Thông tư số 03/2017/TT-BTTTT.
d) Cơ quan, tổ chức tham khảo Tiêu
chuẩn quốc gia TCVN 11930:2017 và hướng dẫn dưới đây để xác định các yêu cầu an
toàn cụ thể đối với hệ thống QLVBDH.
3.2. Yêu cầu
an toàn hạ tầng mạng
a) Phương án bảo đảm an toàn thông
tin, thiết kế hệ thống và các thiết bị phục vụ hoạt động của hệ thống QLVBĐH
cần được thiết kế, thiết lập, cấu hình bảo mật đáp ứng các yêu cầu tối thiểu
sau:
- Các vùng mạng bao gồm: Có vùng
mạng DMZ để đặt máy chủ đại diện; có vùng mạng máy chủ nội bộ để đặt máy chủ
ứng dụng web; vùng máy chủ cơ sở dữ liệu để đặt máy chủ cơ sở dữ liệu; có vùng
mạng quản trị để đặt máy quản trị các máy chủ và các thành phần khác bên trong
hệ thống; có vùng mạng để kết nối hệ thống QLVBĐH với Trục liên thông văn bản
quốc gia.
- Có hệ thống tường lửa tích hợp
chức năng phát hiện xâm nhập và phòng chống mã độc trên môi trường mạng;
- Có tường lửa ứng dụng web;
- Phần mềm phòng chống mã độc trên
các máy chủ.
b) Đối với hệ thống QLVBĐH được xác
định là từ cấp độ 3 trở lên thì cần bổ sung các yêu cầu sau:
- Các thiết bị mạng chính được
triển khai phương án cân bằng tải, dự phòng nóng;
- Có tường lửa cơ sở dữ liệu;
- Có hệ thống phòng chống tấn công
từ chối dịch vụ;
- Có hệ thống giám sát an toàn hệ
thống thông tin tập trung;
- Có hệ thống quản lý sao lưu dự
phòng tập trung.
c) Ngoài ra yêu cầu an toàn hạ tầng
mạng còn bao gồm các nhóm yêu cầu: (1) Thiết kế hệ thống; (2) Kiểm soát truy
cập từ bên ngoài mạng; (3) Kiểm soát truy cập từ bên trong mạng; (4) Nhật ký hệ
thống; (5) Phòng chống xâm nhập; (6) Phòng chống phần mềm độc hại trên môi
trường mạng; (7) Bảo vệ thiết bị hệ thống.
Cơ quan, tổ chức có thể tham khảo
tiêu chuẩn quốc gia TCVN 11930:2017 để lựa chọn, bổ sung thêm các yêu cầu an
toàn cơ bản theo cấp độ của hệ thống QLVBĐH, như bảng dưới đây:
Bảng
1. Bảng tham chiếu yêu cầu an toàn cơ bản hạ tầng mạng theo Tiêu chuẩn TCVN
11930:2017
|
STT
|
Thiết
kế hệ thống
|
Kiểm
soát truy cập từ bên ngoài mạng
|
Kiểm
soát truy cập từ bên trong mạng
|
Nhật
ký hệ thống
|
Phòng
chống xâm nhập
|
Phòng
chống mã độc trên môi trường mạng
|
Bảo
vệ thiết bị hệ thống
|
|
Cấp
độ 1
|
5.2.1.1
|
5.2.1.2
|
|
5.2.1.3
|
5.2.1.4
|
|
5.2.1.5
|
|
Cấp
độ 2
|
6.2.1.1
|
6.2.1.2
|
6.2.1.3
|
6.2.1.4
|
6.2.1.5
|
|
6.2.1.6
|
|
Cấp
độ 3
|
7.2.1.1
|
7.2.1.2
|
7.2.1.3
|
7.2.1.4
|
7.2.1.5
|
7.2.1.6
|
7.2.1.7
|
|
Cấp
độ 4
|
8.2.1.1
|
8.2.1.2
|
8.2.1.3
|
8.2.1.4
|
8.2.1.5
|
8.2.1.6
|
8.2.1.7
|
|
Cấp
độ 5
|
9.2.1.1
|
9.2.1.2
|
9.2.1.3
|
9.2.1.4
|
9.2.1.5
|
9.2.1.6
|
9.2.1.7
|
3.3. Yêu cầu
bảo đảm an toàn máy chủ
a) Hệ thống QLVBĐH cần được thiết
kế thành các máy chủ độc lập bao gồm: Máy chủ đại diện, máy chủ ứng dụng web và
máy chủ cơ sở dữ liệu. Tùy thuộc vào tài nguyên thực tế của hệ thống, các máy
chủ này có thể triển khai trên các máy chủ vật lý độc lập hoặc máy chủ ảo để
tận dụng và tối ưu tài nguyên hệ thống.
b) Các máy chủ phục vụ kết nối hệ
thống QLVBĐH với Trục liên thông văn bản quốc gia bao gồm: Máy chủ bộ kết nối,
máy chủ bảo mật. Tùy thuộc vào tài nguyên thực tế của hệ thống, các máy chủ này
có thể triển khai trên các máy chủ vật lý độc lập hoặc máy chủ ảo để tận dụng
và tối ưu tài nguyên hệ thống.
c) Việc bảo đảm an toàn thông tin
cho máy chủ là bảo đảm an toàn thông tin cho hệ điều hành máy chủ và các ứng
dụng, dịch vụ hệ thống và các thành phần khác liên quan. Do đó, sau khi hệ điều
hành được cài đặt thì người quản trị cần thực hiện cấu hình, tối ưu, cứng hóa
và triển khai các phương án bảo đảm an toàn thông tin khác để đáp ứng các yêu
cầu cơ bản.
d) Yêu cầu cơ bản đối với máy chủ
bao gồm: (1) Xác thực; (2) Kiểm soát truy cập; (3) Nhật ký hệ thống; (4) Phòng
chống xâm nhập; (5) Phòng chống phần mềm độc hại; (6) Xử lý máy chủ khi chuyển
giao.
Cơ quan tổ chức có thể tham khảo
tiêu chuẩn quốc gia TCVN 11930:2017 để xác định các yêu cầu an toàn cơ bản theo
cấp độ của hệ thống QLVBĐH, như bảng dưới đây:
Bảng
2. Bảng tham chiếu yêu cầu an toàn cơ bản cho máy chủ theo Tiêu chuẩn TCVN
11930:2017
|
STT
|
Xác
thực
|
Kiểm
soát truy cập
|
Nhật
ký hệ thống
|
Phòng
chống xâm nhập
|
Phòng
chống phần mềm độc hại
|
Xử
lý máy chủ khi chuyển giao
|
|
Cấp
độ 1
|
5.2.2.1
|
5.2.2.2
|
5.2.2.3
|
5.2.2.4
|
5.2.2.5
|
|
|
Cấp
độ 2
|
6.2.2.1
|
6.2.2.2
|
6.2.2.3
|
6.2.2.4
|
6.2.2.5
|
|
|
Cấp
độ 3
|
7.2.2.1
|
7.2.2.2
|
7.2.2.3
|
7.2.2.4
|
7.2.2.5
|
7.2.2.6
|
|
Cấp
độ 4
|
8.2.2.1
|
8.2.2.2
|
8.2.2.3
|
8.2.2.4
|
8.2.2.5
|
8.2.2.6
|
|
Cấp
độ 5
|
9.2.2.1
|
9.2.2.2
|
9.2.2.3
|
9.2.2.4
|
9.2.2.5
|
9.2.2.6
|
đ) Cơ quan, tổ chức có thể tham
khảo Phụ lục hướng dẫn thiết lập cấp hình bảo mật an toàn cho máy chủ Windows
và Linux.
3.4. Yêu cầu
bảo đảm an toàn ứng dụng
a) Ứng dụng phục vụ hoạt động của
hệ thống QLVBĐH bao gồm các ứng dụng thành phần khác nhau bao gồm: ứng dụng máy
chủ web (IIS, Apache, Nginx, Tomcat...), Hệ quản trị cơ sở dữ liệu (MSSQL,
MySQL, Oracle,...) và các ứng dụng nghiệp vụ cụ thể được triển khai trên các
nền tảng khác nhau như ASP,PHP, JSP...
Việc bảo đảm an toàn thông tin cho
hệ thống QLVBĐH thì cần bảo đảm an toàn thông tin cho các thành phần phục vụ
hoạt động của các hệ thống này.
b) Yêu cầu cơ bản đối với ứng dụng
bao gồm: (1) Xác thực; (2) Kiểm soát truy cập; (3) Nhật ký hệ thống; (4) Bảo
mật thông tin liên lạc; (5) Chống chối bỏ; (6) An toàn ứng dụng và mã nguồn.
Cơ quan tổ chức có thể tham khảo
tiêu chuẩn quốc gia TCVN 11930:2017 để xác định các yêu cầu an toàn cơ bản theo
cấp độ của hệ thống QLVBĐH, như bảng dưới đây:
Bảng
3. Bảng tham chiếu yêu cầu an toàn cơ bản cho ứng dụng theo Tiêu chuẩn TCVN
11930:2017
|
STT
|
Xác
thực
|
Kiểm
soát truy cập
|
Nhật
ký hệ thống
|
Bảo
mật thông tin liên lạc
|
Chống
chối bỏ
|
An
toàn ứng dụng và mã nguồn
|
|
Cấp
độ 1
|
5.2.3.1
|
5.2.3.2
|
5.2.3.3
|
|
|
|
|
Cấp
độ 2
|
6.2.3.1
|
6.2.3.2
|
6.2.3.3
|
|
|
6.2.3.4
|
|
Cấp
độ 3
|
7.2.3.1
|
7.2.3.2
|
7.2.3.3
|
7.2.3.4
|
7.2.3.5
|
7.2.3.6
|
|
Cấp
độ 4
|
8.2.3.1
|
8.2.3.2
|
8.2.3.3
|
8.2.3.4
|
8.2.3.5
|
8.2.3.6
|
|
Cấp
độ 5
|
9.2.3.1
|
9.2.3.2
|
9.2.3.3
|
9.2.3.4
|
9.2.3.5
|
9.2.3.6
|
3.5. Yêu cầu
bảo đảm an toàn dữ liệu
a) Dữ liệu cần được bảo vệ bao gồm
02 nhóm dữ liệu: (1) Nhóm dữ liệu của hệ thống và (2) Dữ liệu nghiệp vụ.
Nhóm dữ liệu hệ thống là những dữ
liệu phục vụ hoạt động của hệ thống hoặc được tạo ra trong quá trình quản lý
vận hành như: tệp tin cấu hình hệ thống, ảnh hệ điều hành, nhật ký hệ thống...
Nhóm dữ liệu nghiệp vụ là những dữ
liệu của cơ quan, tổ chức tạo ra như: thông tin riêng, thông tin cá nhân và có
thể bao gồm thông tin bí mật nhà nước.
b) Để bảo đảm an toàn dữ liệu cho
hệ thống QLVBĐH, hệ thống lưu trữ tập trung cần được triển khai để quản lý và
lưu trữ tập trung các dữ liệu hệ thống và dữ liệu nghiệp vụ.
c) Các máy chủ cần được triển khai
trên nền tảng ảo hóa để thuận tiện trong việc sao lưu, dự phòng và khôi phục
sau sự cố.
d) Yêu cầu cơ bản đối với dữ liệu
bao gồm: (1) Nguyên vẹn dữ liệu; (2) Bảo mật dữ liệu; (3) Sao lưu dự phòng.
Cơ quan tổ chức có thể tham khảo
tiêu chuẩn quốc gia TCVN 11930:2017 để xác định các yêu cầu an toàn cơ bản theo
cấp độ của hệ thống QLVBĐH, như bảng dưới đây:
Bảng
4. Bảng tham chiếu yêu cầu an toàn cơ bản cho dữ liệu theo Tiêu chuẩn TCVN
11930:2017
|
STT
|
Nguyên
vẹn dữ liệu
|
Bảo
mật dữ liệu
|
Sao
lưu dự phòng
|
|
Cấp
độ 1
|
5.2.4.1
|
|
|
|
Cấp
độ 2
|
6.2.4.1
|
|
6.2.4.2
|
|
Cấp
độ 3
|
7.2.4.1
|
7.2.4.2
|
7.2.4.3
|
|
Cấp
độ 4
|
8.2.4.1
|
8.2.4.2
|
8.2.4.3
|
|
Cấp
độ 5
|
9.2.4.1
|
9.2.4.2
|
9.2.4.3
|
Chương IV
HƯỚNG DẪN ĐẢM BẢO AN
TOÀN THÔNG TIN CHO HỆ THỐNG QUẢN LÝ VĂN BẢN VÀ ĐIỀU HÀNH
4.1. Trách
nhiệm bảo đảm an toàn thông tin cho hệ thống QLVBĐH
a) Chủ quản hệ thống thông tin, đơn
vị vận hành có trách nhiệm: (1) Trách nhiệm đối với những sự cố mất an toàn
thông tin đối với hệ thống thông tin thuộc phạm vi quản lý nói chung và hệ
thống QLVBĐH nói riêng; (2) Trách nhiệm đối với các sự cố mất an toàn thông tin
xảy ra xuất phát từ hệ thống của mình tới các hệ thống thông tin của cơ quan,
tổ chức khác; (3) Trách nhiệm phối hợp với cơ quan, tổ chức có thẩm quyền trong
công tác bảo đảm an toàn thông tin cho hệ thống thông tin thuộc phạm vi quản lý
nói chung và hệ thống QLVBĐH nói riêng.
b) Trách nhiệm cụ thể của chủ quản
hệ thống thông tin liên quan đến công tác bảo đảm an toàn thông tin được quy
định theo quy định tại Điều 20 Nghị định số 85/2016/NĐ-CP.
c) Trách nhiệm cụ thể của đơn vị
vận hành liên quan đến công tác bảo đảm an toàn thông tin được quy định tại Điều 22 Nghị định số 85/2016/NĐ-CP.
4.2. Phương
án triển khai bảo đảm an toàn thông tin cho hệ thống QLVBĐH
a) Chủ quản hệ thống thông tin
thành lập hoặc chỉ định đơn vị chuyên trách về an toàn thông tin mạng để làm
công tác tham mưu, tổ chức thực thi, đôn đốc, kiểm tra, xử lý khắc phục sự cố,
giám sát công tác bảo đảm an toàn, an ninh mạng theo quy định của pháp luật.
b) Mỗi hệ thống thông tin cần chỉ
định bộ phận thực thi nhiệm vụ giám sát, ứng cứu sự cố an toàn thông tin mạng,
bảo vệ hệ thống thông tin theo các phương án sau: Tự thực hiện giám sát, ứng
cứu sự cố an toàn thông tin mạng, bảo vệ hệ thống thông tin thuộc quyền quản lý
hoặc lựa chọn tổ chức, doanh nghiệp có đủ năng lực để thực hiện.
c) Mỗi hệ thống thông tin cần chỉ
định bộ phận thực thi nhiệm vụ kiểm tra, đánh giá an toàn thông tin mạng theo
các phương án sau: Lựa chọn tổ chức, doanh nghiệp độc lập với tổ chức, doanh
nghiệp giám sát, bảo vệ để định kỳ kiểm tra, đánh giá an toàn thông tin mạng
đối với hệ thống thông tin thuộc quyền quản lý hoặc đột xuất khi có yêu cầu
theo quy định của pháp luật.
d) Cơ quan, tổ chức có thể căn cứ
vào quy định liên quan tại Thông tư sổ 121/2018/TT-BTC ngày 12/12/2018 của Bộ
Tài chính quy định về lập dự toán, quản lý, sử dụng và quyết toán kinh phí để
thực hiện công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng để có sở cứ
lập dự toán triển khai các phương án bảo đảm an toàn thông tin cho hệ thống
QLVBĐH.
4.3. Triển
khai giám sát an toàn thông tin
Việc triển khai giám sát an toàn
thông tin nhằm bảo đảm tính khả dụng của hệ thống và khả năng phát hiện sớm
nguy cơ mất an toàn thông tin có thể xảy ra đối với hệ thống. Cơ quan, tổ chức
có thể triển khai giám sát an toàn thông tin theo hướng dẫn sau:
a) Thực hiện phương án giám sát:
(1) Giám sát hoạt động của hệ thống để có được thông tin trạng thái hoạt động
của hệ thống về hiệu năng, trạng thái tăng/giảm (Up/Down), băng thông kết nối;
(2) Giám sát an toàn thông tin để phát hiện và cảnh báo sớm tấn công mạng và
các nguy cơ mất an toàn thông tin.
b) Xác định đối tượng giám sát: Là
các thiết bị mạng, lưu lượng mạng, máy chủ, ứng dụng, dịch vụ có trong hệ
thống. Đối với hệ thống QLVBĐH thì đối tượng giám sát tối thiểu bao gồm: (1)
Máy chủ đại diện, máy chủ ứng dụng web, máy chủ cơ sở dữ liệu, bộ kết nối, máy
chủ bảo mật; (2) Các thiết bị mạng, thiết bị bảo mật trực tiếp phục vụ hoạt
động của hệ thống QLVBĐH.
c) Xây dựng các quy định, quy trình
quản lý hoạt động giám sát, bao gồm: Quản lý vận hành hoạt động bình thường của
hệ thống giám sát; Đối tượng giám sát bao gồm; Kết nối và gửi nhật ký hệ thống;
Truy cập và quản trị hệ thống giám sát; Loại thông tin cần được giám sát; Lưu
trữ và bảo vệ thông tin giám sát; Theo dõi, giám sát và cảnh báo sự cố; Bố trí
nguồn lực và tổ chức giám sát.
d) Cơ quan, tổ chức tham khảo văn
bản “Hướng dẫn triển khai hoạt động giám sát an toàn thông tin trong cơ quan,
tổ chức nhà nước “ do Bộ Thông tin và Truyền thông công bố để có phương án
triển khai giám sát an toàn toàn thông tin tổng thể.
4.4. Kiểm
tra, đánh giá an toàn thông tin
Việc kiểm tra đánh giá an toàn
thông tin nhằm rà soát, kiểm tra các nguy cơ mất an toàn thông tin thông qua
việc khai thác điểm yếu, lỗ hổng bảo mật trên hệ thống. Cơ quan, tổ chức có thể
triển khai kiểm tra, đánh giá an toàn thông tin theo hướng dẫn sau:
a) Xác định đối tượng được kiểm
tra, đánh giá an toàn thông tin tối thiểu bao gồm: (1) Hạ tầng mạng, (2) Hệ
thống máy chủ, (3) ứng dụng dịch vụ, (4) Hệ thống cơ sở dữ liệu.
b) Hệ thống QLVBĐH cần thực hiện
kiểm tra đánh giá tối thiểu các đối tượng sau: Máy chủ đại diện, máy chủ ứng
dụng web, máy chủ cơ sở dữ liệu, bộ kết nối, máy chủ bảo mật; Các thiết bị
mạng, thiết bị bảo mật trực tiếp phục vụ hoạt động của hệ thống QLVBĐH.
c) Nội dung kiểm tra, đánh giá an
toàn thông tin bao gồm: Đối với hạ tầng mạng cần kiểm tra việc thiết kế hệ
thống, thiết lập cấu hình trên các thiết bị và có điểm yếu an toàn thông tin
trên các thiết bị mạng hay không. Đối với máy chủ cần kiểm tra việc thiết lập
cấu hình bảo mật và các điểm yếu an toàn thông tin trên hệ điều hành máy chủ và
các dịch vụ hệ thống chạy cùng hệ điều hành. Đối với ứng dụng cần kiểm tra việc
thiết lập cấu hình bảo mật và các điểm yếu an toàn thông tin cho ứng dụng và hệ
thống cơ sở dữ liệu.
d) Hệ thống QLVBĐH cấp độ 3 trở lên
thì các thành phần của hệ thống yêu cầu thực hiện kiểm tra đánh giá an toàn
thông tin trước khi đưa vào sử dụng, các hệ thống ở cấp độ khác khuyến nghị
thực hiện để tăng cường bảo đảm an toàn thông tin. Hoạt động kiểm tra, đánh giá
phải được thực hiện thường xuyên, định kỳ theo quy định của pháp luật.
đ) Cơ quan, tổ chức tham khảo văn
bản “Hướng dẫn triển khai hoạt động kiểm tra, đánh giá an toàn thông tin trong
cơ quan, tổ chức nhà nước “ do Bộ Thông tin và Truyền thông công bố để có phương
án kiểm tra, đánh giá an toàn toàn thông tin tổng thể.
4.5. Xây dựng
phương án ứng cứu sự cố an toàn thông tin mạng
Việc xây dựng phương án ứng cứu sự
cố an toàn thông tin mạng giúp cơ quan, tổ chức chủ động hơn trong việc xử lý
sự cố và khôi phục hệ thống sau sự cố. Cơ quan, tổ chức có thể triển khai
phương án ứng cứu sự cố an toàn thông tin mạng theo hướng dẫn sau:
a) Xây dựng phương án quản lý sự cố
an toàn thông tin có thể xảy ra đối với hệ thống QLVBĐH, tối thiểu bao gồm các
nội dung: Đưa ra chính sách/quy trình thực hiện quản lý sự cố an toàn thông tin
của tổ chức, bao gồm: Phân nhóm sự cố an toàn thông tin; Phương án tiếp nhận,
phát hiện, phân loại và xử lý thông tin; Kế hoạch ứng phó sự cố an toàn thông
tin; Giám sát, phát hiện và cảnh báo sự cố an toàn thông tin; Quy trình ứng cứu
sự cố an toàn thông tin thông thường; Quy trình ứng cứu sự cố an toàn thông tin
nghiêm trọng; Cơ chế phối hợp trong việc xử lý, khắc phục sự cố an toàn thông
tin; Diễn tập phương án xử lý sự cố an toàn thông tin.
b) Thực hiện phân nhóm sự cố an
toàn thông tin mạng; Xây dựng hệ thống phương án ứng cứu khẩn cấp bảo đảm an
toàn thông tin mạng quốc gia; và thực hiện các trách nhiệm liên quan được quy
định tại Quyết định số 05/2017/NĐ-CP ngày 16/3/2017 quy định về hệ thống phương
án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia.
c) Định kỳ hàng năm tổ chức diễn
tập bảo đảm an toàn thông tin và thực hành phương án xử lý sự cố an toàn thông
tin có thể xảy ra đối với hệ thống QLVBĐH.