Bảo đảm an toàn thông tin trong thiết kế, xây dựng hệ thống thông tin của Bộ Nội vụ được quy định như thế nào?

Đơn vị thiết kế, xây dựng hệ thống thông tin của Bộ Nội vụ phải cung cấp tài liệu gì?

Căn cứ Điều 9 Quy chế bảo đảm an toàn thông tin, an ninh mạng của Bộ Nội vụ ban hành kèm theo Quyết định 1260/QĐ-BNV năm 2025, đơn vị thiết kế, xây dựng hệ thống thông tin của Bộ Nội vụ cung cấp tài liệu sau:

- Đơn vị thiết kế, xây dựng hệ thống thông tin phải cung cấp tài liệu mô tả quy mô, phạm vi và đối tượng sử dụng, khai thác, quản lý vận hành hệ thống thông tin:

+ Tài liệu phân tích lựa chọn kiến trúc, công nghệ;

+ Tài liệu thiết kế tổng thể hệ thống thể hiện thiết kế hạ tầng và kết nối các thành phần của hệ thống;

+ Các giải pháp, thiết bị của hệ thống thông tin đáp ứng các quy định của Thông tư 12/2022/TT-BTTTT ngày 12/8/2022 của Bộ Thông tin và Truyền thông quy định chi tiết và hướng dẫn một số điều của Nghị định 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ (Thông tư 12/2022/TT-BTTTT).

- Đơn vị thiết kế, xây dựng hệ thống thông tin phải cung cấp các tài liệu “Kiến trúc hệ thống” trong đó có mô tả thiết kế và các thành phần của hệ thống thông tin thông qua một số mô hình kiến trúc khác nhau nhằm miêu tả hệ thống dưới nhiều góc nhìn khác nhau, bao gồm:

+ Thiết kế kiến trúc ứng dụng;

+ Thiết kế kiến trúc dữ liệu;

+ Thiết kế kiến trúc vật lý.

- Đơn vị thiết kế, xây dựng hệ thống thông tin phải cung cấp tài liệu mô tả phương án bảo đảm an toàn thông tin theo cấp độ được quy định tại Thông tư 12/2022/TT-BTTTT.

- Đơn vị thiết kế, xây dựng hệ thống thông tin phải cung cấp tài liệu mô tả phương án lựa chọn giải pháp công nghệ bảo đảm an toàn thông tin, trong đó cần đảm bảo các tiêu chí:

+ Đảm bảo có từ 2 - 3 công nghệ được phân tích và đưa ra phương án lựa chọn;

+ Phân tích các ưu, nhược điểm của từng công nghệ để từ đó chọn ra công nghệ áp dụng phù hợp nhất.

Ngoài ra, khi có thay đổi thiết kế, cần đánh giá lại tính phù hợp của phương án thiết kế đối với các yêu cầu an toàn đặt ra đối với hệ thống.

Khi có thay đổi thiết kế, đơn vị thiết kế, xây dựng hệ thống thông tin, cần phối hợp với các đơn vị liên quan đánh giá lại tính phù hợp của phương án thiết kế đối với các yêu cầu an toàn đặt ra đối với hệ thống, xây dựng kế hoạch trước khi có thay đổi, kèm theo các tài liệu sau:

- Căn cứ thực hiện thay đổi (công văn, tờ trình);

- Kế hoạch chi tiết các bước thực hiện.

Bảo đảm an toàn thông tin trong thiết kế, xây dựng hệ thống thông tin của Bộ Nội vụ được quy định như thế nào? (Hình từ Internet)

Bảo đảm an toàn thông tin trong thiết kế, xây dựng hệ thống thông tin của Bộ Nội vụ đối với việc phát triển phần mềm được quy định như thế nào?

Theo Điều 10 Quy chế bảo đảm an toàn thông tin, an ninh mạng của Bộ Nội vụ ban hành kèm theo Quyết định 1260/QĐ-BNV năm 2025, bảo đảm an toàn thông tin trong thiết kế, xây dựng hệ thống thông tin của Bộ Nội vụ đối với việc phát triển phần mềm được quy định như sau:

- Đối với các nội dung liên quan đến việc phát triển phần mềm, đơn vị được thuê khoán phải đảm bảo có các tài liệu sau:

+ Biên bản làm việc;

+ Biên bản thống nhất nội dung công việc;

+ Hợp đồng giữa các đơn vị;

+ Hồ sơ liên quan đến an toàn thông tin, bảo mật của phần mềm, cơ sở dữ liệu; các cam kết đảm bảo an toàn thông tin, an ninh mạng.

- Nhà phát triển phần mềm phải cung cấp mã nguồn sản phẩm cho đơn vị xây dựng phần mềm theo hình thức ghi đĩa DVD hoặc USB; yêu cầu tệp trên DVD, USB cần phải đặt mật khẩu để đảm bảo an toàn thông tin:

+ Mã nguồn đã được nhà phát triển tự đánh giá và có biên bản kiểm thử, đánh giá Đạt trước khi bàn giao cho đơn vị thuê.

+ Phối hợp với đơn vị chủ quản hệ thống thông tin đánh giá mã nguồn và có phương án xử lý lỗi (nếu có).

- Kiểm thử phần mềm trên môi trường thử nghiệm và nghiệm thu trước khi đưa vào sử dụng. Đơn vị thuê và đơn vị phát triển phối hợp thực hiện kiểm thử phần mềm trên môi trường thử nghiệm và nghiệm thu trước khi đưa vào sử dụng:

+ Mã nguồn phải được đánh giá an toàn thông tin trước khi đưa vào môi trường thử nghiệm và nghiệm thu trước khi đưa vào sử dụng.

+ Tất cả các lỗi liên quan đến mã nguồn (nếu có) sau khi được khắc phục, phải được đánh giá an toàn thông tin và có biên bản đánh giá trước khi đưa vào sử dụng.

- Kiểm tra, đánh giá an toàn thông tin, trước khi đưa vào sử dụng. Hệ thống được đầu tư phải được kiểm định an toàn thông tin trước khi đưa vào vận hành khai thác:

+ Kiểm tra hệ thống, mã nguồn có các lỗ hổng bảo mật không. Thực hiện cập nhật các bản vá an toàn thông tin hoặc nâng cấp lên phiên bản mới nhất của hãng để đảm bảo vá hoàn toàn các lỗ hổng bảo mật.

+ Thực hiện nâng cấp, xử lý điểm yếu an toàn thông tin của thiết bị hệ thống trước khi đưa vào sử dụng.

+ Máy chủ phải được cài đặt hệ điều hành, phần mềm, phần mềm diệt virus có bản quyền.

- Kiểm tra, đánh giá an toàn thông tin cho phần mềm khi thay đổi mã nguồn, kiến trúc phần mềm. Khi có thay đổi thiết kế, đơn vị thuê và đơn vị phát triển phần mềm phối hợp đánh giá lại tính phù hợp của phương án thiết kế đối với các yêu cầu an toàn đặt ra đối với hệ thống, cần xây dựng kế hoạch trước khi có thay đổi bao gồm tối thiểu các tài liệu sau:

+ Căn cứ thực hiện thay đổi (công văn, tờ trình);

+ Kế hoạch chi tiết các bước thực hiện.

- Cam kết đảm bảo tính bí mật của mã nguồn và bản quyền của phần mềm phát triển:

+ Bên phát triển phải có cam kết về bảo đảm tính bí mật của mã nguồn, không cung cấp cho tổ chức hoặc cá nhân khác.

+ Bên phát triển có cam kết không có tranh chấp về bản quyền phát triển của phần mềm.

+ Các cá nhân tham gia phát triển, triển khai hệ thống thông tin phải ký biên bản cam kết bảo mật an toàn thông tin.

Cơ quan nào có trách nhiệm thực hiện thử nghiệm và nghiệm thu hệ thống thông tin của Bộ Nội vụ?

Theo khoản 3 Điều 11 Quy chế bảo đảm an toàn thông tin, an ninh mạng của Bộ Nội vụ ban hành kèm theo Quyết định 1260/QĐ-BNV năm 2025, chủ quản hệ thống thông tin đảm nhiệm thực hiện thử nghiệm và nghiệm thu hệ thống như sau:

- Kiểm thử, nghiệm thu chức năng của hệ thống;

- Kiểm thử, nghiệm thu bảo đảm an toàn thông tin;

- Kiểm thử, nghiệm thu hệ thống nội bộ của đơn vị phát triển.