Chỉ thị 23/CT-TTg 2022 tăng cường bảo đảm an toàn thông tin mạng thiết bị camera giám sát

• Số hiệu: 23/CT-TTg
• Loại văn bản: Chỉ thị
• Nơi ban hành: Thủ tướng Chính phủ
• Người ký: Vũ Đức Đam
• Ngày ban hành: 26/12/2022

THỦ TƯỚNG CHÍNH PHỦ --------	CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc ---------------
Số: 23/CT-TTg	Hà Nội, ngày 26 tháng 12 năm 2022

CHỈ THỊ

VỀ TĂNG CƯỜNG CÔNG TÁC BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG, AN NINH THÔNG TIN CHO THIẾT BỊ CAMERA GIÁM SÁT

Hiện nay, hàng triệu camera giám sát dựa trên nền tảng giao thức mạng (sau đây gọi tắt là “camera giám sát”) đang được triển khai và sử dụng phổ biến. Phần lớn các thiết bị này chưa được quản lý nên tiềm ẩn nhiều nguy cơ bảo mật có thể bị khai thác nhằm phục vụ các hành vi vi phạm pháp luật, như: thu thập trái phép dữ liệu, thông tin của cơ quan, tổ chức, người dùng cho các mục đích lừa đảo, chiếm đoạt tài sản; chiếm quyền điều khiển thiết bị và sử dụng cho các cuộc tấn công mạng, phát tán phần mềm độc hại; có thể làm lộ bí mật nhà nước, làm ảnh hưởng đến an ninh quốc gia, trật tự an toàn xã hội.

Để khắc phục các tồn tại và rủi ro về an toàn thông tin mạng, an ninh thông tin liên quan đến camera giám sát, Thủ tướng Chính phủ chỉ thị:

1. Các bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ, Ủy ban nhân dân các tỉnh, thành phố trực thuộc Trung ương, tập đoàn, tổng công ty nhà nước thực hiện hiệu quả các biện pháp sau:

a) Xác định cấp độ an toàn hệ thống thông tin và triển khai phương án bảo đảm an toàn hệ thống thông tin theo cấp độ, theo quy định của pháp luật và tiêu chuẩn, quy chuẩn kỹ thuật quốc gia về an toàn hệ thống thông tin theo cấp độ khi triển khai các hệ thống thông tin có sử dụng camera giám sát.

Thời hạn hoàn thành: Xác định và phê duyệt cấp độ an toàn hệ thống thông tin có sử dụng camera giám sát, hoàn thành chậm nhất trong tháng 3 năm 2023; triển khai đầy đủ phương án bảo đảm an toàn hệ thống thông tin theo cấp độ đối với các hệ thống thông tin có sử dụng camera giám sát đang vận hành, hoàn thành chậm nhất trong tháng 9 năm 2023.

b) Chỉ đạo các cơ quan, đơn vị trực thuộc khi đầu tư, mua sắm camera giám sát hoặc thuê dịch vụ công nghệ thông tin có sử dụng camera giám sát thực hiện kiểm tra, đánh giá an toàn thông tin mạng theo quy định của pháp luật; thực hiện kiểm tra, đánh giá an toàn thông tin mạng định kỳ theo quy định đối với các hệ thống thông tin có sử dụng camera giám sát.

c) Sử dụng camera giám sát đáp ứng các yêu cầu về bảo đảm an toàn thông tin mạng theo quy định; không sử dụng camera giám sát không có chứng nhận xuất xứ, chất lượng sản phẩm hoặc đã được cơ quan có thẩm quyền cảnh báo không bảo đảm an toàn thông tin mạng.

d) Đáp ứng nguồn lực, kinh phí bảo đảm an toàn thông tin mạng cho các hệ thống thông tin có sử dụng camera giám sát; chịu trách nhiệm trước Thủ tướng Chính phủ nếu để xảy ra mất an toàn thông tin mạng, an ninh thông tin, lộ bí mật nhà nước từ các hệ thống thông tin có sử dụng camera giám sát thuộc phạm vi quản lý.

đ) Xây dựng và rà soát, sửa đổi, bổ sung quy chế bảo đảm an toàn thông tin mạng của cơ quan, đơn vị, trong đó quy định rõ sử dụng camera giám sát phải bảo đảm an toàn thông tin mạng.

e) Sau khi quy chuẩn kỹ thuật quốc gia về yêu cầu an toàn thông tin mạng cơ bản cho camera giám sát được ban hành, các bộ, ngành có liên quan khẩn trương nghiên cứu, tổ chức thực hiện áp dụng quy chuẩn kỹ thuật này trong phạm vi quản lý.

2. Bộ Thông tin và Truyền thông có trách nhiệm:

a) Ưu tiên lồng ghép các nội dung tuyên truyền, hướng dẫn bảo đảm an toàn thông tin mạng cho camera giám sát trong quá trình triển khai Đề án “Tuyên truyền, nâng cao nhận thức và phổ biến kiến thức về an toàn thông tin giai đoạn 2021 - 2025” theo Quyết định số 1907/QĐ-TTg ngày 23 tháng 11 năm 2020 của Thủ tướng Chính phủ.

b) Xây dựng bộ tiêu chí về yêu cầu an toàn thông tin mạng cơ bản cho camera giám sát. Thời hạn hoàn thành: tháng 3 năm 2023.

c) Ban hành quy chuẩn kỹ thuật quốc gia về yêu cầu an toàn thông tin mạng cơ bản cho camera giám sát và tuyên truyền, phổ biến, tổ chức hướng dẫn áp dụng quy chuẩn kỹ thuật này. Thời hạn hoàn thành: tháng 11 năm 2023.

d) Công bố danh mục camera giám sát đáp ứng quy chuẩn kỹ thuật quốc gia về yêu cầu an toàn thông tin mạng cơ bản cho camera giám sát.

đ) Chủ trì tổ chức triển khai, hướng dẫn, đôn đốc, theo dõi, kiểm tra việc thực hiện các nội dung tại Chỉ thị này; báo cáo Thủ tướng Chính phủ kết quả thực hiện.

3. Bộ Công an có trách nhiệm:

a) Tăng cường công tác phòng ngừa, đấu tranh và xử lý nghiêm theo quy định của pháp luật đối với các cơ quan, tổ chức và cá nhân lợi dụng camera giám sát để xâm phạm an ninh quốc gia, trật tự an toàn xã hội.

b) Tổ chức đánh giá an ninh thông tin đối với hệ thống camera giám sát tại các công trình quan trọng liên quan đến an ninh quốc gia, các hệ thống thông tin quan trọng về an ninh quốc gia trước khi đưa vào vận hành, sử dụng.

c) Nghiên cứu, xây dựng quy định về việc thiết lập, quản lý, vận hành, bảo trì hệ thống camera phục vụ công tác đảm bảo an ninh trật tự của lực lượng Công an nhân dân để thống nhất thực hiện trên phạm vi toàn quốc.

4. Bộ Tài chính có trách nhiệm tăng cường quản lý hoạt động nhập khẩu camera giám sát theo quy chuẩn kỹ thuật quốc gia về yêu cầu an toàn thông tin mạng cơ bản cho camera giám sát.

5. Bộ Công Thương có trách nhiệm tăng cường quản lý, kiểm tra hoạt động kinh doanh camera giám sát, không để các camera giám sát không đáp ứng quy chuẩn kỹ thuật quốc gia về yêu cầu an toàn thông tin mạng cơ bản cho camera giám sát lưu thông trên thị trường; đấu tranh chống các hành vi vi phạm pháp luật về làm giả, nhập lậu camera giám sát.

6. Đài Truyền hình Việt Nam, Đài Tiếng nói Việt Nam, Thông tấn xã Việt Nam và các cơ quan báo chí có trách nhiệm bố trí chuyên mục, kênh phát sóng, thời gian phát sóng chương trình, tin bài về an toàn thông tin mạng, trong đó có nội dung liên quan đến camera giám sát để nâng cao nhận thức và phổ biến kỹ năng cơ bản bảo đảm an toàn thông tin mạng cho người sử dụng.

7. Các doanh nghiệp sản xuất, kinh doanh, nhập khẩu camera giám sát:

a) Sản xuất hoặc kinh doanh, nhập khẩu camera giám sát đáp ứng quy chuẩn kỹ thuật quốc gia về yêu cầu an toàn thông tin mạng cơ bản cho camera giám sát.

b) Doanh nghiệp sản xuất chủ động thông báo và cung cấp bản cập nhật, nâng cấp phần mềm cho camera giám sát khi phát hiện điểm yếu, lỗ hổng bảo mật; hợp tác, hỗ trợ khắc phục xử lý sự cố mất an toàn thông tin mạng, an ninh thông tin liên quan đến camera giám sát do doanh nghiệp sản xuất khi có yêu cầu của cơ quan có thẩm quyền.

8. Các doanh nghiệp cung cấp dịch vụ viễn thông, Internet:

a) Chủ động kiểm tra và xử lý các camera giám sát không bảo đảm an toàn thông tin mạng do doanh nghiệp cung cấp trên hạ tầng mạng lưới của doanh nghiệp.

b) Chủ động thông báo cho người sử dụng dịch vụ của doanh nghiệp khi phát hiện camera giám sát của người sử dụng không bảo đảm an toàn thông tin mạng.

c) Phối hợp với cơ quan chức năng của Bộ Thông tin và Truyền thông trong việc theo dõi, phát hiện, ngăn chặn và xử lý các camera giám sát không bảo đảm an toàn thông tin mạng.

d) Phối hợp với cơ quan chức năng của Bộ Công an trong việc phát hiện và xử lý tổ chức, cá nhân lợi dụng camera giám sát để xâm phạm an ninh quốc gia, trật tự an toàn xã hội.

9. Các Bộ trưởng, Thủ trưởng cơ quan ngang bộ, Thủ trưởng cơ quan thuộc Chính phủ, Chủ tịch Ủy ban nhân dân tỉnh, thành phố trực thuộc trung ương, Thủ trưởng các cơ quan, đơn vị và các tổ chức, cá nhân liên quan có trách nhiệm thực hiện nghiêm túc Chỉ thị này.

Nơi nhận: - Ban Bí thư Trung ương Đảng; - Thủ tướng, các Phó Thủ tướng Chính phủ; - Các bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ; - HĐND, UBND các tỉnh, thành phố trực thuộc trung ương; - Văn phòng Trung ương và các Ban của Đảng; - Văn phòng Tổng Bí thư; - Văn phòng Chủ tịch nước; - Hội đồng Dân tộc và các Ủy ban của Quốc hội; - Văn phòng Quốc hội; - Tòa án nhân dân tối cao; - Viện kiểm sát nhân dân tối cao; - Kiểm toán nhà nước; - Các tập đoàn, tổng công ty nhà nước; - VPCP: BTCN, các PCN, Trợ lý TTg, TGĐ Cổng TTĐT, các Vụ, Cục, đơn vị trực thuộc; - Lưu: VT, KSTT (2).

KT. THỦ TƯỚNG PHÓ THỦ TƯỚNG Vũ Đức Đam

Tiếng Anh (English)

PRIME MINISTER OF VIETNAM --------	SOCIALIST REPUBLIC OF VIETNAM Independence - Freedom - Happiness ----------------
No. 23/CT-TTg	Hanoi, December 26, 2022

DIRECTIVE

IMPROVEMENT TO CYBERINFORMATION SECURITY AND INFORMATION SECURITY FOR SURVEILLANCE CAMERA

Currently, millions of internet protocol cameras (hereinafter referred to as “surveillance cameras”) are being installed and used with increasing popularity. The majority of these equipment has not been governed and thus pose various security risks which can be exploited for the purpose of violating the law, such as: illegally collecting data and/or information of authorities, organizations, or users for the purpose of fraud and/or property appropriation; taking control of equipment and using it for cyberattack or spreading malware; potentially disclosing state secrets, and affecting national security, social order and safety.

In order to rectify the drawbacks and risks pertaining to cyberinformation security and information security of surveillance cameras, the Prime Minister hereby directs:

1. Ministries, ministerial agencies, Governmental agencies, People’s Committees of provinces and central-affiliated cities, groups, state corporations to effectively execute the solutions below:

a) Determining security level of information system and implementing solutions for maintaining information system security based on security level, regulations and law, national standards, and national technical regulations pertaining to level-based information system security upon deploying information systems that utilize security cameras.

Time limit: Determining and approving security level of information system that utilizes surveillance cameras, by the end of March 2023; adequately implementing solutions for maintaining security of information system based on levels in regard to existing information systems that utilize surveillance cameras, by the end of September 2023.

b) Ordering affiliated agencies and entities to inspect and assess cyberinformation security as per the law upon investment or procurement of surveillance cameras or hire information technology that employ surveillance cameras to inspect and assess cyberinformation security as per the law upon investment or procurement of surveillance cameras; inspecting and assessing cyberinformation security on a periodic basis in regard to information systems that utilize surveillance cameras.

...

...

...

d) Satisfying resources and expenditure on maintaining cyberinformation security of information systems that utilize surveillance cameras; being responsible to the Prime Minister of Vietnam for any violation of cyberinformation security, information security, or disclosure of state secrets which originate from information systems that utilize surveillance cameras under their management.

dd) Developing, reviewing, amending, and adding regulations on maintaining cyberinformation security of agencies and entities which prescribe compliance with cyberinformation security in the use of surveillance cameras.

e) Requesting relevant ministries and central departments to research and organize implementation of national technical regulations on basic cyberinformation security requirements for surveillance cameras within their field of governing as soon as these national technical regulations are promulgated.

2. Ministry of Information and Communications is responsible for:

a) Integrating propaganda and guidelines pertaining to maintaining cyberinformation security of surveillance cameras during the implementation of the Scheme for “Disseminating, raising awareness, and popularizing information security knowledge of the period 2021 - 2025” under Decision No. 1907/QD-TTg dated November 23, 2020 of the Prime Minister of Vietnam.

b) Developing criteria for basic cyberinformation security requirements for surveillance cameras. Time limit: by March 2023.

c) Promulgating national technical regulation pertaining to basic cyberinformation security requirements for surveillance cameras and disseminating, popularizing, and organizing the application of this technical regulation. Time limit: by November 2023.

d) Publicizing the list of surveillance cameras that meet national technical regulation pertaining to basic cyberinformation security requirements for surveillance cameras.

dd) Organizing implementation, guiding, expediting, monitoring, and inspecting the implementation of this Directive; submitting report on implementation results to the Government.

...

...

...

a) Preventing, fighting, and taking strict actions as per the law against agencies, organizations, and individuals that exploit surveillance cameras to violate national security or social order and safety.

b) Organizing cyberinformation security assessment for surveillance camera systems in important constructions that are related to national security and important information systems in terms of national security prior to operation and use.

c) Researching and developing regulations pertaining to establishment, management, operation, and maintenance of surveillance camera system to serve security and order control tasks of the People’s Public Security for joint implementation on a nationwide scale.

4. Ministry of Finance is responsible for increasing management of surveillance camera import in accordance with national technical regulation on basic cyberinformation security requirements for surveillance cameras.

5. Ministry of Industry and Trade is responsible for increasing management and inspection of the sale of surveillance cameras and preventing the sale of surveillance cameras that do not meet national technical regulation on basic cyberinformation security requirements for surveillance cameras; taking actions against violations of the law pertaining to counterfeit or illegally imported surveillance cameras.

6. Vietnam Television, Voice of Vietnam, Vietnam News Agency, and other press authorities are responsible for dedicating sections, columns, channels, and screen time to broadcasting programs and news pertaining to cyberinformation security, including contents relating to surveillance cameras in order to raise awareness and teach basic skills for users to maintain cyberinformation security.

7. Enterprises manufacturing, selling, and importing surveillance cameras shall:

a) Manufacture or sell, import surveillance cameras that meet national technical regulation on basic cyberinformation security requirements for surveillance cameras.

b) Manufacturing enterprises shall notify and release software update or upgrade for surveillance cameras upon discovering security breach; cooperate and assist in dealing with cyberinformation security and information security risks relating to their manufactured surveillance cameras at request of competent authorities.

...

...

...

a) Inspect and take actions against surveillance cameras that they have provided and do not meet cyberinformation security requirements on their network infrastructures.

b) Notify users upon discovering their surveillance cameras' failure to meet cyberinformation security.

c) Cooperate with authorities affiliated to the Ministry of Information and Communications in monitoring, discovering, interfering, and dealing with surveillance cameras that do not qualify for cyberinformation security.

d) Cooperate with authorities affiliated to the Ministry of Public Security in discovering and taking actions against organizations and individuals that exploit surveillance cameras to violate national security and social order and safety.

9. Ministers, heads of ministerial agencies, heads of Governmental agencies, Chairpersons of People’s Committees of provinces and central-affiliated cities, heads of agencies, entities, and relevant organizations and individuals are responsible for the strict implementation of this Directive.

PP. PRIME MINISTER
DEPUTY PRIME MINISTER




Vu Duc Dam

...

...

...