|
ỦY BAN NHÂN DÂN
TỈNH BẮC KẠN
-------
|
CỘNG HÒA XÃ HỘI
CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------
|
|
Số:
11/2023/QĐ-UBND
|
Bắc Kạn, ngày 18
tháng 5 năm 2023
|
QUYẾT ĐỊNH
BAN HÀNH QUY CHẾ QUẢN TRỊ, QUẢN LÝ, VẬN HÀNH, KHAI THÁC HỆ
THỐNG HẠ TẦNG, ỨNG DỤNG, CƠ SỞ DỮ LIỆU DÙNG CHUNG TẠI TRUNG TÂM TÍCH HỢP DỮ LIỆU
TỈNH BẮC KẠN
ỦY BAN NHÂN DÂN TỈNH BẮC KẠN
Căn cứ Luật Tổ chức chính
quyền địa phương ngày 19 tháng 6 năm 2015; Luật sửa đổi bổ sung một số điều của
Luật Tổ chức Chính phủ và Luật Tổ chức chính quyền địa phương ngày 22 tháng 11
năm 2019;
Căn cứ Luật Công nghệ thông
tin ngày 29 tháng 6 năm 2006;
Căn cứ Luật An toàn thông
tin mạng ngày 19 tháng 11 năm 2015;
Căn cứ Luật An ninh mạng
ngày 12 tháng 6 năm 2018;
Căn cứ Nghị định số
85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống
thông tin theo cấp độ;
Căn cứ Thông tư số
03/2013/TT-BTTTT ngày 22 tháng 01 năm 2013 của Bộ Trưởng Bộ Thông tin và Truyền
thông quy định áp dụng tiêu chuẩn, quy chuẩn kỹ thuật đối với Trung tâm dữ liệu;
Căn cứ Thông tư số
31/2017/TT-BTTTT ngày 15 tháng 11 năm 2017 của Bộ Trưởng Thông tin và Truyền
thông quy định hoạt động giám sát an toàn hệ thống thông tin;
Căn cứ Thông tư số
27/2017/TT-BTTTT ngày 20 tháng 10 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền
thông quy định về quản lý, vận hành, kết nối, sử dụng và bảo đảm an toàn thông
tin trên mạng truyền số liệu chuyên dùng của các cơ quan đảng, nhà nước;
Căn cứ Thông tư số
12/2019/TT-BTTT ngày 5 tháng 11 năm 2019 của Bộ trưởng Bộ Thông tin và Truyền
thông về sửa đổi, bổ sung một số điều của Thông tư số 27/2017/TT-BTTTT ngày 20
tháng 10 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền thông quy định về quản
lý, vận hành, kết nối, sử dụng và bảo đảm an toàn thông tin trên mạng truyền số
liệu chuyên dùng của các cơ quan đảng, nhà nước;
Căn cứ Thông tư số
12/2022/TT-BTTTT ngày 12 tháng 8 năm 2022 của Bộ Trưởng Bộ Thông tin và Truyền
thông quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP
ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin
theo cấp độ;
Căn cứ Thông tư số
23/2022/TT-BTTTT ngày 30 tháng 11 năm 2022 của Bộ trưởng Bộ Thông tin và Truyền
thông về sửa đổi, bổ sung một số điều của Thông tư số 03/2013/TT-BTTTT ngày 22
tháng 01 năm 2013 của Bộ trưởng Bộ Thông tin và Truyền thông quy định áp dụng
tiêu chuẩn, kỹ thuật đối với trung tâm dữ liệu.
Theo đề nghị của Giám đốc Sở
Thông tin và Truyền thông.
QUYẾT ĐỊNH:
Điều 1.
Ban hành kèm theo Quyết định này Quy chế quản trị, quản
lý, vận hành, khai thác hệ thống hạ tầng, ứng dụng, cơ sở dữ liệu dùng chung tại
Trung tâm tích hợp dữ liệu tỉnh Bắc Kạn.
Điều 2.
Quyết định này có hiệu lực thi hành kể từ ngày 29
tháng 5 năm 2023.
Điều 3.
Chánh Văn phòng Ủy ban nhân dân tỉnh; Giám đốc Sở
Thông tin và Truyền thông; Thủ trưởng các sở, ban, ngành; Chủ tịch Ủy ban nhân
dân các huyện, thành phố; Chủ tịch Ủy ban nhân dân các xã phường, thị trấn và
các cơ quan, tổ chức, cá nhân có liên quan chịu trách nhiệm thi hành Quyết định
này./.
|
Nơi nhận:
Gửi bản giấy:
- Văn phòng chính phủ
- Vụ PC- Bộ Thông tin và Truyền thông;
- Cục kiểm tra VBQPPL- Bộ Tư pháp;
Gửi bản điện tử:
- Như Điều 3 (t/h);
- TT Tỉnh ủy;
- TT HĐND tỉnh;
- CT, các PCT UBND tỉnh;
- Ủy ban MTTQVN tỉnh;
- Đoàn ĐBQH tỉnh;
- Sở Tư pháp;
- LĐVP;
- Trung tâm CB-TH;
- Lưu: VT, Việt, Hòa.
|
TM. ỦY BAN NHÂN
DÂN
CHỦ TỊCH
Nguyễn Đăng Bình
|
QUY CHẾ
QUẢN TRỊ, QUẢN LÝ, VẬN HÀNH, KHAI THÁC HỆ THỐNG HẠ TẦNG, ỨNG
DỤNG, CƠ SỞ DỮ LIỆU DÙNG CHUNG TẠI TRUNG TÂM TÍCH HỢP DỮ LIỆU TỈNH BẮC KẠN
(Ban hành kèm theo Quyết định số: 11/2023/QĐ-UBND ngày 18 tháng 5 năm 2023 của
Ủy ban nhân dân tỉnh Bắc Kạn)
Chương I
QUY ĐỊNH CHUNG
Điều 1.
Phạm vi điều chỉnh, đối tượng áp dụng
1. Phạm vi điều chỉnh:
Quy chế này quy định việc quản
trị, quản lý, vận hành, khai thác hệ thống hạ tầng, ứng dụng, cơ sở dữ liệu
dùng chung và các biện pháp nhằm bảo đảm an toàn thông tin Trung tâm tích hợp dữ
liệu.
2. Đối tượng áp dụng:
Các cơ quan hành chính, đơn vị sự
nghiệp công lập, các tổ chức đoàn thể trên địa bàn tỉnh Bắc Kạn; các tổ chức,
cá nhân có liên quan tham gia quản lý, vận hành, khai thác và đảm bảo an toàn
thông tin Trung tâm tích hợp dữ liệu.
Điều 2.
Giải thích từ ngữ
Trong Quy chế này, các từ ngữ
dưới đây được hiểu như sau:
1. Trung tâm tích hợp dữ liệu:
Là nơi tập trung các thiết bị công nghệ thông tin và viễn thông chuyên dụng với
khả năng lưu trữ dữ liệu lớn, hệ thống kết nối, hệ thống mạng, hệ thống bảo mật
an toàn dữ liệu, hệ thống phụ trợ và các phần mềm dùng chung.
2. Ứng dụng dùng chung: Là các
phần mềm (hệ phần mềm) ứng dụng, cung cấp dịch vụ cho các cơ quan, đơn vị
và người sử dụng được Ủy ban nhân dân tỉnh Bắc Kạn thống nhất triển khai đưa
vào hoạt động tại Trung tâm tích hợp dữ liệu.
3. Mạng diện rộng (Mạng WAN
- Wide Area Network): Là mạng tin học được thiết lập bằng việc kết nối giữa
Trung tâm tích hợp dữ liệu và mạng nội bộ của các cơ quan, đơn vị trên địa bàn
tỉnh thông qua hạ tầng mạng của nhà cung cấp dịch vụ và cho phép kết nối với mạng
của Chính phủ khi có yêu cầu.
4. Mạng truyền số liệu chuyên
dùng trong các cơ quan nhà nước tỉnh Bắc Kạn: Là hệ thống thông tin quan
trọng quốc gia, được sử dụng riêng trong hoạt động truyền số liệu và ứng dụng
công nghệ thông tin của các cơ quan Đảng, Nhà nước do Cục Bưu điện Trung ương
là chủ mạng, quản lý, điều hành hoạt động.
5. Hạ tầng kỹ thuật: Là tập hợp
thiết bị công nghệ thông tin (thiết bị định tuyến, thiết bị chuyển mạch, thiết
bị lưu trữ dữ liệu, các thiết bị giám sát, bảo mật, máy chủ, máy trạm…),
thiết bị điện (điều hòa chính xác, tủ điện, chống sét, máng cáp điện…),
nhà trạm, hệ thống cáp, thiết bị phòng cháy, chữa cháy, thiết bị viễn thông,
thiết bị ngoại vi, mạng nội bộ, mạng diện rộng, mạng truyền số liệu chuyên dùng
và các thiết bị kỹ thuật chuyên dùng khác.
6. An toàn an ninh thông tin:
Bao gồm các hoạt động quản lý, nghiệp vụ và kỹ thuật đối với hệ thống thông tin
nhằm bảo vệ, khôi phục các hệ thống, các dịch vụ và nội dung thông tin trước
các nguy cơ tự nhiên hoặc do con người gây ra. Việc bảo vệ thông tin, thiết bị
mạng, tài sản và con người trong hệ thống thông tin nhằm bảo đảm cho các hệ thống
thông tin thực hiện đúng chức năng, phục vụ đúng đối tượng một cách sẵn sàng,
chính xác và tin cậy. An toàn, an ninh thông tin bao hàm các nội dung bảo vệ và
bảo mật thông tin, an toàn dữ liệu, an toàn máy tính và an toàn mạng. Là sự bảo
vệ thông tin và hệ thống thông tin tránh bị truy nhập, sử dụng, tiết lộ, gián
đoạn, sửa đổi hoặc phá hoại trái phép nhằm bảo đảm tính nguyên vẹn, tính bảo mật
và tính khả dụng của thông tin.
7. Cơ quan chủ quản Trung tâm
tích hợp dữ liệu: Ủy ban nhân dân tỉnh Bắc Kạn.
8. Cơ quan chịu trách nhiệm quản
lý Trung tâm tích hợp dữ liệu (cơ quan quản lý): Sở Thông tin và Truyền
thông tỉnh Bắc Kạn.
9. Đơn vị trực tiếp quản trị, vận
hành Trung tâm tích hợp dữ liệu (đơn vị vận hành): Trung tâm Công nghệ
Thông tin và Truyền thông - Sở Thông tin và Truyền thông Bắc Kạn.
Điều 3.
Kiến trúc và dịch vụ của Trung tâm tích hợp dữ liệu
1. Kiến trúc của Trung tâm tích
hợp dữ liệu được chia làm các phân hệ sau:
a) Phân hệ mạng và truyền dẫn:
Phân hệ mạng được chia làm nhiều vùng khác nhau, mỗi vùng được thiết lập các
chính sách an ninh và truy cập riêng để phục vụ các mục đích khác nhau. Trung
tâm tích hợp dữ liệu sử dụng đường truyền số liệu chuyên dùng để kết nối mạng
WAN của tỉnh phục vụ các cơ quan, địa phương, đơn vị trên địa bàn tỉnh khai
thác hệ thống dữ liệu dùng chung, sử dụng đường truyền riêng để cung cấp dịch vụ
truy cập qua Internet.
b) Phân hệ an ninh: Bao gồm các
thiết bị tường lửa cho lớp mạng và lớp ứng dụng, các thiết bị ngăn chặn xâm nhập
trái phép, thiết bị cân bằng tải và các ứng dụng an ninh hệ thống, an ninh máy
chủ. Mỗi thành phần trong phân hệ an ninh đều được thiết kế bảo đảm tính dự
phòng và bổ sung, hỗ trợ lẫn nhau trong toàn bộ hệ thống của Trung tâm tích hợp
dữ liệu.
c) Phân hệ máy chủ: Bao gồm hệ
thống máy chủ đã được đầu tư hoặc được đặt tại Trung tâm tích hợp dữ liệu với
khả năng sẵn sàng cho việc mở rộng số lượng máy chủ trong tương lai. Hệ thống
máy chủ có khả năng cung cấp năng lực tính toán cho nhiều nền tảng với nhiều mục
đích khác nhau như: Các ứng dụng dùng chung của tỉnh, ứng dụng chuyên ngành và
các hệ thống ứng dụng thông tin khác.
d) Phân hệ lưu trữ: Bao gồm hệ
thống lưu trữ tập trung với năng lực xử lý ở mức cao, khả năng lưu trữ lớn và hệ
thống sao lưu, phục hồi dữ liệu. Phân hệ được thiết kế bảo đảm khả năng mở rộng,
đáp ứng nhu cầu phát triển nguồn dữ liệu trong tương lai.
đ) Phân hệ cơ sở dữ liệu: Là hệ
thống các hệ cơ sở dữ liệu dùng chung hoặc chuyên ngành được xây dựng nhằm liên
kết, tích hợp các ứng dụng dùng chung và chuyên ngành phục vụ ứng dụng công nghệ
thông tin trong các cơ quan, đơn vị và phục vụ công dân, doanh nghiệp.
e) Phân hệ các hệ thống phụ trợ:
Bao gồm hệ thống nguồn điện, điều hòa chính xác, thiết bị lưu điện, máy phát điện,
sàn nâng, hệ thống máng, cáp, hệ thống phòng cháy chữa cháy, camera an ninh và
các thiết bị có liên quan khác.
2. Các ứng dụng và dịch vụ được
cung cấp tại Trung tâm tích hợp dữ liệu bao gồm:
a) Các ứng dụng dùng chung phục
vụ cho công tác chỉ đạo điều hành, tác nghiệp của các cơ quan Nhà nước, tổ chức
chính trị, chính trị - xã hội trên địa bàn tỉnh.
b) Các dịch vụ:
- Dịch vụ máy chủ, máy chủ ảo.
- Dịch vụ phân vùng cài đặt, vận
hành ứng dụng (Hosting).
- Dịch vụ tạo lập, số hóa, lưu
trữ dữ liệu.
- Dịch vụ thư mục (Active
Directory).
- Dịch vụ rà quét, đánh giá, ứng
cứu, khắc phục sự cố bảo mật ứng dụng.
- Dịch vụ quản trị hạ tầng, vận
hành ứng dụng.
- Dịch vụ hỗ trợ cung cấp kết nối,
chia sẻ dữ liệu.
- Các dịch vụ công nghệ thông
tin khác.
Điều 4.
Nguyên tắc về quản lý, vận hành, khai thác hệ thống hạ tầng, ứng dụng, cơ sở dữ
liệu dùng chung Trung tâm tích hợp dữ liệu
1. Tuân thủ các nguyên tắc, bảo
đảm cơ sở hạ tầng và hệ thống thông tin phục vụ ứng dụng, phát triển công nghệ
thông tin theo Luật Công nghệ thông tin.
2. Bảo đảm các yêu cầu về an
toàn thông tin theo Luật An toàn thông tin mạng, Luật An ninh mạng và các văn bản
pháp lý hiện hành.
3. Việc thiết lập, vận hành hệ
thống quản lý An toàn thông tin (ISMS) đảm bảo tuân thủ theo tiêu chuẩn
quốc tế ISO/IEC 27001:2013 về quản lý bảo mật thông tin.
4. Việc duy trì, vận hành, nâng
cấp Trung tâm tích hợp dữ liệu phải tuân thủ các tiêu chuẩn, quy chuẩn kỹ thuật
theo Thông tư số 03/2013/TT-BTTTT ngày 22/01/2013 của Bộ Trưởng Bộ Thông tin và
Truyền thông quy định áp dụng tiêu chuẩn, quy chuẩn kỹ thuật đối với Trung tâm
dữ liệu; Thông tư số 23/2022/TT-BTTTT ngày 30/11/2022 của Bộ trưởng Bộ Thông
tin và Truyền thông về sửa đổi, bổ sung một số điều của Thông tư số
03/2013/TT-BTTTT ngày 22/01/2013 của Bộ trưởng Bộ Thông tin và Truyền thông quy
định áp dụng tiêu chuẩn, kỹ thuật đối với trung tâm dữ liệu và phù hợp với Kiến
trúc Chính quyền điện tử tỉnh Bắc Kạn.
5. Việc quản lý, kết nối và
chia sẻ dữ liệu số không chứa thông tin bí mật nhà nước của Trung tâm tích hợp
dữ liệu phải tuân thủ theo Nghị định số 47/2020/NĐ-CP ngày 09 tháng 04 năm 2020
của Chính phủ quy định về quản lý, kết nối và chia sẻ dữ liệu số của cơ quan
nhà nước.
6. Việc chia sẻ dữ liệu số chứa
thông tin thuộc phạm vi bí mật nhà nước được thực hiện theo Luật Bảo vệ bí mật
nhà nước và các văn bản pháp lý hiện hành.
7. Đơn vị quản trị, vận hành sử
dụng, quản lý tài sản theo đúng các quy định hiện hành về quản lý, sử dụng tài
sản công và đảm bảo khai thác an toàn, hiệu quả hạ tầng Trung tâm tích hợp dữ
liệu hiện có.
8. Kinh phí ngân sách nhà nước
thường xuyên hàng năm bảo đảm cho công tác duy trì, quản lý, vận hành Trung tâm
tích hợp dữ liệu thực hiện theo quy định của Luật Ngân sách Nhà nước và các văn
bản quy phạm pháp luật có liên quan.
Chương II
QUẢN LÝ, VẬN HÀNH, KHAI
THÁC VÀ ĐẢM BẢO AN TOÀN, AN NINH THÔNG TIN TẠI TRUNG TÂM TÍCH HỢP DỮ LIỆU
Mục 1. QUẢN
LÝ, VẬN HÀNH, KHAI THÁC TRUNG TÂM TÍCH HỢP DỮ LIỆU
Điều 5. Làm
việc; vào, ra Trung tâm tích hợp dữ liệu
1. Yêu cầu đối với cán bộ quản
lý, vận hành hệ thống:
Cán bộ quản lý, vận hành hệ thống
tại Trung tâm tích hợp dữ liệu thực hiện theo nhiệm vụ được giao. Không tự ý
can thiệp vào các phần mềm, ứng dụng, dữ liệu do các cơ quan, đơn vị khác đang
được cài đặt và triển khai tại Trung tâm tích hợp dữ liệu. Việc khai thác thông
tin, dữ liệu phải bảo đảm nguyên tắc bảo mật, an toàn thông tin, không được tự
ý cung cấp thông tin, dữ liệu ra bên ngoài.
2. Yêu cầu đối với tổ chức, cá
nhân đến làm việc, sử dụng dịch vụ tại Trung tâm tích hợp dữ liệu:
a) Tuân thủ nghiêm ngặt theo
các quy trình, quy định làm việc tại Trung tâm tích hợp dữ liệu.
b) Không được mang, sử dụng các
thiết bị điện thoại, máy tính xách tay, máy tính bảng hoặc các thiết bị điện tử
cá nhân khác (máy chụp hình, máy quay phim, thiết bị lưu trữ…) khi vào
bên trong Trung tâm tích hợp dữ liệu, trừ các yêu cầu tác nghiệp đặc biệt của
các cơ quan chức năng có thẩm quyền theo luật định.
Điều 6. Đảm
bảo an toàn hoạt động
1. Trung tâm tích hợp dữ liệu
chỉ được đặt các thiết bị đang hoạt động, thiết bị chuyên dụng phục vụ vận hành
hệ thống; không đặt các thiết bị không đúng mục đích sử dụng (các thiết bị hỏng,
thiết bị chờ thanh lý, tài liệu, vật tư, vật dụng dễ gây cháy nổ,…).
2. Môi trường hoạt động: Đảm bảo
khô ráo, sạch sẽ, độ ẩm, nhiệt độ phải phù hợp cho các thiết bị công nghệ thông
tin.
3. Hệ thống phòng cháy, chữa
cháy, hệ thống chống sét: Bắt buộc trang bị và được kiểm tra thường xuyên, vừa
đảm bảo an toàn tuyệt đối cho toàn hệ thống thiết bị, vừa đảm bảo an toàn cho
người quản trị các hệ thống tại Trung tâm tích hợp dữ liệu.
4. Hệ thống điện: Phải có ít nhất
2 nguồn ổn định, được trang bị hệ thống lưu điện (UPS) và máy phát điện
dự phòng để đảm bảo cho hệ thống vẫn hoạt động trong thời gian nguồn điện lưới
gặp sự cố.
5. Hệ thống camera: Giám sát
toàn bộ Trung tâm tích hợp dữ liệu liên tục 24/24 giờ trong ngày; dữ liệu hình ảnh
phải được lưu trữ tối thiểu trong thời gian là 30 ngày.
6. Hệ thống quản lý vào ra (Access
Control): Phải hoạt động 24/24 giờ và ghi đầy đủ nhật ký nhằm đảm bảo an
ninh, chính xác và linh hoạt cho Trung tâm tích hợp dữ liệu.
Điều 7. Quản
lý thiết bị
1. Thiết bị công nghệ thông tin
đặt tại Trung tâm tích hợp dữ liệu phải được đặt tên và dán nhãn tài sản nhà nước
theo quy định.
2. Đơn vị vận hành có trách nhiệm
tổng hợp tình hình quản lý, sử dụng thiết bị tại Trung tâm tích hợp dữ liệu
hàng quý, năm và báo cáo đơn vị quản lý theo quy định.
3. Việc sửa chữa, thay thế thiết
bị hỏng được thực hiện thường xuyên bởi đơn vị quản trị, vận hành trên nguồn
ngân sách nhà nước cấp hàng năm cho đơn vị theo quy định.
4. Trường hợp thiết bị hỏng là
thiết bị quan trọng (gây ảnh hưởng đến hoạt động của Trung tâm tích hợp dữ
liệu), đơn vị vận hành phải báo cáo ngay cơ quan quản lý để có biện pháp khắc
phục nhanh chóng, kịp thời.
5. Ghi nhật ký, quy định thời
gian lưu trữ các thông tin về hoạt động của các thiết bị, người sử dụng, lỗi
phát sinh và các sự cố nhằm trợ giúp cho việc điều tra giám sát về sau.
Điều 8. Quản
lý vận hành hạ tầng mạng
1. Hệ thống mạng phải bảo đảm:
a) Hoạt động liên tục 24/24 giờ
trong ngày, ổn định, an toàn và đáp ứng được yêu cầu về băng thông cho các ứng
dụng trong hệ thống.
b) Áp dụng các giải pháp kiểm
soát việc truy cập mạng để đảm bảo các quy định về an ninh, các chính sách bảo
mật.
c) Tuân theo các tiêu chuẩn của
Trung tâm tích hợp dữ liệu về bấm dây, dán nhãn, chuẩn cáp mạng, cách thức đi
dây, đấu nối, phân bổ nút mạng.
d) Đối với các kết nối Internet
phải có các giải pháp, chính sách bảo mật đảm bảo hệ thống không bị tấn công
xâm nhập, lây lan virus, phần mềm độc hại từ bên ngoài; ngăn chặn, không để
phát tán virus, phần mềm độc hại từ các thiết bị ngoại vi khác.
đ) Đường truyền Internet cho
Trung tâm tích hợp dữ liệu tối thiểu phải từ 2 (hai) nhà cung cấp dịch vụ
khác nhau, có giải pháp chia tải, cân bằng tải đường truyền để đảm bảo độ dự
phòng cao và tính sẵn sàng cho hệ thống.
e) Cán bộ quản trị, vận hành hệ
thống không được sử dụng trình duyệt hoặc các phần mềm để truy cập Internet từ
các máy tính có IP chung hệ thống máy chủ thuộc Trung tâm tích hợp dữ liệu.
2. Đơn vị vận hành chịu trách
nhiệm giám sát, kiểm tra nội dung và băng thông truy cập, ngăn chặn, đề xuất
các biện pháp xử lý các hành vi vi phạm.
Điều 9. Quản
lý mạng truyền số liệu chuyên dùng
1. Đơn vị vận hành là đơn vị đầu
mối triển khai các ứng dụng hoạt động trên Mạng truyền số liệu chuyên dùng tỉnh
Bắc Kạn.
2. Các đơn vị sử dụng mạng truyền
số liệu chuyên dùng kết nối vào các ứng dụng của Trung tâm tích hợp dữ liệu phải
tuân thủ các quy định về quản lý, vận hành, kết nối, sử dụng và bảo đảm an toàn
thông tin trên mạng truyền số liệu chuyên dùng theo Thông tư số
12/2019/TT-BTTTT ngày 05 tháng 11 năm 2019 của Bộ trưởng Bộ Thông tin và Truyền
thông về sửa đổi, bổ sung một số điều của Thông tư số 27/2017/TT-BTTTT ngày 20
tháng 10 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền thông quy định về quản
lý, vận hành, kết nối, sử dụng và bảo đảm an toàn thông tin trên mạng truyền số
liệu chuyên dùng của các cơ quan đảng, nhà nước; Thông tư số 27/2017/TT-BTTTT
ngày 20 tháng 10 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền thông quy định về
quản lý, vận hành, kết nối, sử dụng và bảo đảm an toàn thông tin trên mạng truyền
số liệu chuyên dùng của các cơ quan đảng, nhà nước.
Điều 10.
Quản trị các hệ thống phần mềm
1. Danh sách tài sản phần mềm
được lập với các thông tin cơ bản gồm: Tên tài sản, giá trị, mức độ quan trọng,
mục đích sử dụng, phạm vi sử dụng, chủ thể quản lý, thông tin về bản quyền,
phiên bản, nơi lưu giữ.
2. Đơn vị vận hành phải phân loại
và đánh giá mức độ rủi ro dựa trên yêu cầu về tính bảo mật, tính toàn vẹn, tính
sẵn sàng cho việc sử dụng của tài sản phần mềm để thực hiện các biện pháp quản
lý, bảo vệ phù hợp.
3. Các phần mềm, chương trình ứng
dụng sử dụng tại Trung tâm tích hợp dữ liệu phải có bản quyền và sử dụng theo
đúng quy định của pháp luật.
4. Cài đặt và sử dụng các hệ thống
phần mềm:
a) Tất cả máy chủ, máy trạm tại
Trung tâm tích hợp dữ liệu phải được trang bị hệ điều hành và phần mềm diệt vi
rút có bản quyền và đã được cơ quan chức năng khuyến cáo sử dụng. Phần mềm diệt
vi rút phải được thiết lập chế độ tự động cập nhật và chế độ tự động quét phần
mềm độc hại khi sao chép, mở các tệp tin và phải được cấu hình vô hiệu hóa tính
năng tự động thực thi (autoplay) các tệp tin trên các thiết bị lưu trữ
thiết bị ngoại vi kết nối hệ thống.
b) Hệ điều hành, phần mềm cài đặt
trên máy chủ, máy trạm phải được cập nhật vá lỗ hổng bảo mật thường xuyên, kịp
thời.
c) Máy tính xách tay, thiết bị
di động (máy tính bảng, điện thoại thông minh, thiết bị có phần mềm hệ điều
hành) trước khi kết nối vào mạng nội bộ (LAN) của Trung tâm tích hợp
dữ liệu phải được bộ phận kỹ thuật chuyên trách kiểm duyệt, đảm bảo an toàn, bảo
mật thông tin.
e) Máy chủ chỉ được dùng để cài
đặt các phần mềm, dịch vụ dùng chung của cơ quan, đơn vị; không cài đặt phần mềm
không rõ nguồn gốc, phần mềm phục vụ mục đích cá nhân và không phục vụ công việc.
f) Tất cả các tệp tin, thư mục
phải được quét phần mềm độc hại trước khi sao chép, sử dụng, truyền đưa, trao đổi.
5. Không phát tán, chia sẻ các
hệ thống phần mềm tại Trung tâm tích hợp dữ liệu dưới bất kỳ hình thức nào khi
chưa được sự đồng ý của cơ quan chủ quản.
Điều 11.
Quản trị sao lưu, phục hồi dữ liệu
1. Thực hiện lưu trữ đầy đủ các
dữ liệu của người dùng, ứng dụng và hệ thống. Tùy theo từng loại dữ liệu, thực
hiện lưu trữ đúng và đủ thời hạn, đảm bảo phục hồi nguyên trạng khi có sự cố xảy
ra.
2. Đơn vị vận hành có trách nhiệm
xây dựng và triển khai thực hiện Quy trình sao lưu, phục hồi dữ liệu dự phòng
cho toàn Trung tâm tích hợp dữ liệu.
3. Dữ liệu phải được phân loại
để lưu trữ theo thứ tự ưu tiên về mức độ quan trọng, sao lưu theo thời gian, loại
thông tin, nơi lưu trữ. Đối với các dữ liệu quan trọng phải được lưu trữ tối
thiểu tại hai thiết bị hoặc hai địa điểm cách biệt nhau.
4. Tần suất sao lưu tùy thuộc
vào mức độ quan trọng dữ liệu và phải được kiểm soát, đối chiếu sau khi sao
lưu.
Điều 12.
Quản lý hồ sơ
1. Danh sách các loại hồ sơ lưu
trữ:
a) Quy định về quản lý, triển
khai, vận hành các hệ thống.
b) Các quy trình vận hành kỹ
thuật các hệ thống.
c) Các quy trình bảo hành, bảo
trì, bảo dưỡng hệ thống.
d) Hồ sơ thiết kế, thuyết minh
kỹ thuật, hoàn công.
đ) Hồ sơ quản trị các hệ thống
thông tin.
e) Hồ sơ lưu các dịch vụ cung cấp.
g) Bảng thống kê danh sách thiết
bị tại Trung tâm tích hợp dữ liệu. Danh sách các thiết bị hỏng, hết khấu hao sử
dụng chờ thanh lý. Biên bản bàn giao thiết bị cho người quản trị, người sử dụng
(nếu có).
h) Tài liệu, biên bản kiểm tra,
đánh giá của Trung tâm tích hợp dữ liệu.
i) Báo cáo quản trị hệ thống,
nhật ký vận hành hệ thống.
k) Các hồ sơ, tài liệu kỹ thuật
khác.
2. Hồ sơ phải được lưu bằng văn
bản, tập tin bản mềm trên máy tính hoặc phần mềm quản lý điều hành và phải được
cập nhật khi có sự thay đổi.
Điều 13. Xử
lý sự cố trong quá trình quản lý, vận hành, khai thác
1. Khi phát hiện có sự cố, quản
trị viên vận hành hoặc trực hệ thống có trách nhiệm báo cáo kịp thời cho lãnh đạo
đơn vị vận hành, lãnh đạo cơ quan quản lý để có biện pháp cô lập và xác định
nguyên nhân xảy ra sự cố, hạn chế tối đa ảnh hưởng tới hoạt động của hệ thống.
2. Tùy thuộc vào mức độ ảnh hưởng
của sự cố, đánh giá và phân loại theo 03 mức:
a) Các sự cố thông thường (không
gây ảnh hưởng đến hoạt động của Trung tâm tích hợp dữ liệu): Đơn vị vận
hành nhanh chóng xử lý sự cố.
b) Các sự cố nghiêm trọng (sự
cố liên quan đến thiết bị mạng, thiết bị bảo mật, máy chủ, đường truyền dữ liệu,
cơ sở dữ liệu, các sự cố liên quan đến an ninh thông tin, mất dữ liệu, gây ảnh
hưởng trực tiếp đến hoạt động của Trung tâm tích hợp dữ liệu): Ngay sau khi
phát hiện sự cố, đơn vị vận hành cần đánh giá ảnh hưởng của sự cố và thực hiện
báo cáo về cơ quan quản lý để phối hợp với các đơn vị chuyên trách thuộc Bộ
Thông tin và Truyền thông hướng dẫn xử lý.
c) Các sự cố đặc biệt nghiêm trọng
(gây ngưng trệ đến toàn bộ hoạt động của Trung tâm tích hợp dữ liệu):
Đơn vị vận hành và cơ quan quản lý phải có đánh giá ảnh hưởng của sự cố, phối hợp
với các cơ quan bộ, ngành liên quan đồng thời thực hiện báo cáo nhanh về Ủy ban
nhân dân tỉnh để có chỉ đạo xử lý.
3. Quy định khắc phục sự cố:
a) Thực hiện sao lưu dữ liệu
trước khi khắc phục sự cố (ưu tiên dữ liệu quan trọng).
b) Đảm bảo an toàn cho người và
thiết bị hệ thống.
c) Ghi nhật ký diễn biến sự cố,
phương án khắc phục.
4. Đối với các sự cố vượt khả
năng xử lý, đơn vị quản trị, vận hành phải báo cáo lãnh đạo Cơ quan quản lý để
đề nghị đơn vị tư vấn, đơn vị cung cấp, các đơn vị chuyên trách thuộc Bộ Thông
tin và Truyền thông để được hỗ trợ ứng phó và khắc phục sự cố.
Điều 14. Bảo
trì, bảo dưỡng Trung tâm tích hợp dữ liệu
1. Đơn vị quản trị, vận hành có
trách nhiệm thực hiện bảo trì, bảo dưỡng hệ thống theo quy trình và kế hoạch được
cấp có thẩm quyền phê duyệt.
2. Việc thực hiện bảo trì, bảo
dưỡng các hệ thống do đơn vị quản trị, vận hành thực hiện hoặc thuê dịch vụ.
3. Thời gian bảo trì, bảo dưỡng
từng thiết bị, phần mềm thực hiện theo yêu cầu thực tiễn và khuyến nghị của nhà
cung cấp. Bảo trì, bảo dưỡng tổng thể toàn bộ hệ thống ít nhất 01 lần/năm.
4. Việc thực hiện bảo trì, bảo
dưỡng không được làm gián đoạn và ảnh hưởng đến hoạt động của Trung tâm tích hợp
dữ liệu. Quá trình bảo trì, bảo dưỡng phải thực hiện theo đúng kịch bản, quy
trình và ghi nhật ký về tình trạng hoạt động trước và sau khi thực hiện.
Điều 15.
Quản lý mật khẩu hệ thống Trung tâm tích hợp dữ liệu
1. Mật khẩu phải bảo đảm độ an
toàn về độ phức tạp, thời gian sử dụng, lưu trữ:
a) Độ dài của mật khẩu:
- Đối với mật khẩu của nhân
viên và người sử dụng (dùng để đăng nhập thư điện tử, ứng dụng nghiệp vụ,
máy tính cá nhân và các ứng dụng khác): Tối thiểu là 08 ký tự.
- Đối với mật khẩu quản trị hệ
thống (sử dụng cho quản trị các hệ thống mạng, bảo mật, máy chủ, thư điện tử,
ứng dụng dùng chung): Tối thiểu là 11 ký tự.
b) Nội dung mật khẩu:
- Không bao gồm các từ dễ nhớ
như: Tên, ngày tháng năm sinh, số điện thoại.
- Đối với mật khẩu quản trị hệ
thống phải bao gồm các loại ký tự sau: Chữ cái in thường, chữ cái in hoa, ký tự
đặc biệt, số.
c) Thời gian sử dụng mật khẩu:
Đối với mật khẩu của nhân viên
vận hành, của người quản trị hệ thống (không phải quản trị cấp cao nhất) định
kỳ phải được thay đổi ít nhất 60 ngày một lần. Trường hợp có thay đổi về nhân sự
hoặc yêu cầu tăng cường bảo mật về an toàn, an ninh thông tin thì Thủ trưởng
đơn vị vận hành Trung tâm tích hợp dữ liệu quyết định việc thay đổi toàn bộ mật
khẩu quản trị của Trung tâm tích hợp dữ liệu.
d) Quy định lưu trữ mật khẩu:
- Không lưu trữ mật khẩu trên
máy tính cá nhân, các thiết bị điện tử hoặc khi cần thiết phải lưu trữ trên máy
tính và các thiết bị điện tử, mật khẩu phải được mã hóa an toàn.
- Các tài liệu liên quan đến mật
mã được xem là tài liệu tối mật, không soạn thảo trên máy tính có nối mạng
Internet.
Điều 16.
Kiểm soát truy nhập và xác thực
1. Cấp phát quyền truy cập từ
xa hoặc kết nối trực tiếp để sử dụng và khai thác ứng dụng, tài nguyên thuộc
Trung tâm tích hợp dữ liệu phải đảm bảo chặt chẽ, đúng mục đích sử dụng. Mỗi
người dùng sẽ chỉ được cấp một tài khoản và được phân quyền đủ để thực hiện nhiệm
vụ được phân công.
2. Hệ thống sẽ thực hiện khóa tạm
thời tài khoản, không cho người sử dụng tiếp tục sử dụng tài khoản nếu xác thực
sai liên tiếp 05 lần trong vòng 30 phút. Tài khoản chỉ được mở khóa khi có đề
nghị của chủ thể sở hữu tài khoản.
3. Tạm dừng quyền sử dụng đối với
tài khoản đã hết hạn thời gian đăng ký trên hệ thống và những tài khoản không
làm việc trong hệ thống từ 30 ngày trở lên.
Điều 17.
Cung cấp, tiếp nhận máy móc, thiết bị và phần mềm của các đơn vị tại Trung tâm
tích hợp dữ liệu
1. Việc triển khai các dự án,
nhiệm vụ ứng dụng Công nghệ thông tin trên hạ tầng Trung tâm tích hợp dữ liệu
phải được quy định cụ thể trong thiết kế kỹ thuật được cơ quan có thẩm quyền
phê duyệt.
2. Đối với các cơ quan, đơn vị có
nhu cầu cung cấp hoặc đặt máy chủ để triển khai ứng dụng trên nền hạ tầng Trung
tâm tích hợp dữ liệu: Các cơ quan, đơn vị gửi văn bản đề nghị về Sở Thông tin
và Truyền thông xem xét, quyết định. Thủ tục cung cấp, tiếp nhận đặt máy chủ,
cài đặt phần mềm và quản lý tài sản do đơn vị quản trị, vận hành quy định.
3. Các đơn vị có thiết bị hoặc ứng
dụng đặt tại Trung tâm tích hợp dữ liệu chịu trách nhiệm quản trị nội dung, phần
mềm của cơ quan mình (thực hiện từ xa hoặc trực tiếp); đồng thời, tuân
thủ các nguyên tắc và đảm bảo an toàn an ninh hệ thống.
4. Đảm bảo yêu cầu về quản lý
thiết kế, xây dựng hệ thống (quy định chi tiết tại Điều 33 quy chế này).
Điều 18. Kết
thúc vận hành, khai thác, thanh lý, hủy bỏ
Đơn vị quản trị, vận hành sử dụng,
quản lý tài sản theo đúng các quy định hiện hành về quản lý, sử dụng tài sản
công
1. Hàng năm, cơ quan quản lý, vận
hành thực hiện tổng hợp, cập nhật tình hình quản lý, sử dụng hệ thống phần mềm,
thiết bị.
2. Đối với thiết bị hỏng còn bảo
hành, cơ quan quản lý, vận hành yêu cầu đơn vị cung cấp sửa chữa. Thiết bị hỏng
đã hết bảo hành, xây dựng phương án sửa chữa, thay thế.
3. Trường hợp thiết bị hỏng là
thiết bị quan trọng (máy chủ, thiết bị định tuyến, thiết bị chuyển mạch, thiết
bị tường lửa), cơ quan quản lý, vận hành phải có biện pháp khắc phục nhanh.
4. Hàng năm, đơn vị quản trị, vận
hành phải phân loại, đánh giá mức độ an toàn thông tin để đề xuất, thực hiện
các giải pháp quản lý, bảo vệ, nâng cấp cho phù hợp, đáp ứng các quy định hiện
hành của pháp luật.
Mục 2. ĐẢM
BẢO AN TOÀN, AN NINH THÔNG TIN TẠI TRUNG TÂM TÍCH HỢP DỮ LIỆU
Điều 19. Mục
tiêu, nguyên tắc bảo đảm an toàn thông tin
1. Mục tiêu bảo đảm an toàn
thông tin:
Bảo vệ thông tin, hệ thống
thông tin trên mạng tránh bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc
phá hoại trái phép nhằm bảo đảm tính nguyên vẹn, tính bảo mật và tính khả dụng
các Hệ thống thông tin thuộc Trung tâm tích hợp dữ liệu.
2. Nguyên tắc:
a) Cơ quan, tổ chức thuộc đối
tượng áp dụng Quy chế này có trách nhiệm bảo đảm an toàn thông tin và hệ thống
thông tin trong phạm vi xử lý công việc của mình theo quy định của pháp luật,
hướng dẫn của cơ quan, đơn vị có thẩm quyền và các quy định tại Quy chế này.
b) Bảo đảm an toàn thông tin là
yêu cầu bắt buộc, phải được thực hiện thường xuyên, liên tục trong quá trình:
- Thu thập, tạo lập, xử lý,
truyền tải, lưu trữ và sử dụng thông tin, dữ liệu.
- Thiết kế, thiết lập và vận
hành, nâng cấp, hủy bỏ hệ thống thông tin.
c) Việc bảo đảm an toàn thông
tin cho các hệ thống thông tin thuộc Trung tâm tích hợp dữ liệu được thực hiện
một cách tổng thể, đồng bộ, tập trung trong việc đầu tư các giải pháp bảo vệ,
có sự dùng chung, chia sẻ tài nguyên để tối ưu hiệu năng, tránh đầu tư thừa,
trùng lặp.
Điều 20.
Quản lý an toàn mạng
1. Quản lý, vận hành hoạt động bình
thường của hệ thống máy chủ và dịch vụ theo khoản 1 Điều 21 quy chế này
2. Truy cập và quản lý cấu hình
hệ thống:
a) Cán bộ quản lý, nhân viên vận
hành có trách nhiệm theo dõi và phát hiện các trường hợp truy cập hệ thống trái
phép hoặc thao tác vượt quá giới hạn, báo cáo cho cán bộ quản lý để tiến hành
ngăn chặn, thu hồi, khóa quyền truy cập của các tài khoản vi phạm.
b) Cấu hình tối ưu, tăng cường
bảo mật cho thiết bị hệ thống (cứng hóa) trước khi đưa vào vận hành,
khai thác.
c) Quy trình kết nối thiết bị đầu
cuối của người sử dụng vào hệ thống mạng; truy nhập và quản lý cấu hình hệ thống;
cấu hình tối ưu, tăng cường bảo mật cho thiết bị mạng, bảo mật (cứng hóa) trong
hệ thống và thực hiện quy trình trước khi đưa hệ thống vào vận hành khai thác
Điều 21.
Quản lý an toàn máy chủ và ứng dụng
1. Quản lý, vận hành hoạt động
bình thường của hệ thống máy chủ và dịch vụ:
a) Bảo đảm cho hệ điều hành, phần
mềm cài đặt trên máy chủ hoạt động liên tục, ổn định và an toàn.
b) Thường xuyên kiểm tra cấu hình,
các file nhật ký hoạt động của hệ điều hành, phần mềm nhằm kịp thời phát hiện
và xử lý những sự cố nếu có.
c) Quản lý các thay đổi cấu
hình kỹ thuật của hệ điều hành, phần mềm.
d) Có phương án cập nhật bản
vá, xử lý điểm yếu an toàn thông tin cho hệ điều hành và các dịch vụ hệ thống
trên máy chủ.
đ) Loại bỏ các thành phần của hệ
điều hành, phần mềm không cần thiết hoặc không còn nhu cầu sử dụng.
e) Các bản quyền phần mềm cần
được thống kê, quản lý thời gian hạn phục vụ cho việc gia hạn.
2. Truy cập mạng của máy chủ:
Bảo đảm các kết nối mạng trên
máy chủ hoạt động liên tục, ổn định và an toàn. Cấu hình, kiểm soát các kết nối,
các cổng dịch vụ từ bên trong đi ra cũng như bên ngoài vào hệ thống.
3. Truy cập và quản trị máy chủ
và ứng dụng:
a) Thay đổi các tài khoản, mật
khẩu mặc định ngay khi đưa hệ điều hành, phần mềm vào sử dụng.
b) Cấp quyền quản lý truy cập của
người sử dụng trên máy chủ cài đặt hệ điều hành.
c) Toàn bộ máy chủ và thiết bị
công nghệ thông tin không phải máy tính, ngoại trừ các hệ thống bắt buộc phải
có giao tiếp với Internet (các hệ thống phục vụ truy cập Internet; cung cấp
giao diện ra Internet của trang tin điện tử, dịch vụ công, thư điện tử;
phục vụ cập nhật bản vá hệ điều hành, mẫu mã độc, mẫu điểm yếu, mẫu tấn công) không
được kết nối Internet.
4. Cập nhật, sao lưu dự phòng
và khôi phục sau khi xảy ra sự cố:
Triển khai hệ thống/phương tiện
lưu trữ độc lập với hệ thống lưu trữ trên các máy chủ dịch vụ để sao lưu dự
phòng; phân loại và quản lý thông tin, dữ liệu được lưu trữ theo từng loại/nhóm
thông tin được gán nhãn khác nhau; thực hiện sao lưu, dự phòng các thông tin, dữ
liệu cơ bản sau: tập tin cấu hình hệ thống, hệ điều hành máy chủ, cơ sở dữ liệu;
dữ liệu, thông tin nghiệp vụ.
Điều 22.
Quản lý an toàn dữ liệu
1. Yêu cầu an toàn đối với
phương pháp mã hóa:
a) Phải xây dựng và áp dụng quy
định sử dụng các phương thức mã hóa thích hợp theo các chuẩn quốc gia hoặc quốc
tế đã được công nhận để bảo vệ thông tin.
b) Phải có biện pháp quản lý
khóa mã hóa thích hợp để hỗ trợ việc sử dụng các kỹ thuật mã hóa.
2. Phân loại, quản lý và sử dụng
khóa bí mật và dữ liệu mã hóa.
3. Cơ chế mã hóa và kiểm tra
tính nguyên vẹn của dữ liệu.
4. Sao lưu dự phòng và khôi phục
dữ liệu: Tần suất sao lưu dự phòng, phương tiện lưu trữ, thời gian lưu trữ; nơi
lưu trữ, phương thức lưu trữ và phương thức lấy dữ liệu ra khỏi phương tiện lưu
trữ.
Điều 23.
Quản lý an toàn thiết bị đầu cuối
Quy định về quản lý an toàn thiết
bị đầu cuối bao gồm:
1. Thông tin về thiết bị đầu cuối
(tên, chủng loại, địa chỉ MAC, địa chỉ IP) phải được quản lý và cập nhật.
2. Khi truy cập và sử dụng thiết
bị đầu cuối từ xa phải có cơ chế xác thực và sử dụng giao thức mạng an toàn.
3. Việc cài đặt, kết nối và gỡ
bỏ thiết bị đầu cuối trong hệ thống phải được cho phép bởi người có thẩm quyền
và thực hiện theo quy trình được phê duyệt.
Điều 24.
Quản lý phòng chống phần mềm độc hại
1. Tất cả các máy trạm, máy chủ
phải được trang bị phần mềm phòng chống mã độc. Các phần mềm phòng chống mã độc
phải được thiết lập chế độ tự động cập nhật; chế độ tự động quét mã độc khi sao
chép, mở các tập tin.
2. Khi phát hiện ra bất kỳ dấu
hiện nào liên quan đến việc bị nhiễm mã độc trên máy trạm (ví dụ: Máy hoạt động
chậm bất thường, cảnh báo từ phần mềm phòng chống mã độc, mất dữ liệu,…), người
sử dụng phải báo trực tiếp cho bộ phận có trách nhiệm của đơn vị để xử lý.
3. Phần mềm ứng dụng trước khi
được cài đặt, sử dụng phải được kiểm tra xem có phần mềm độc hại tồn tại hay
không. Tất cả các tập tin, thư mục phải được quét mã độc trước khi sao chép, sử
dụng.
4. Định kỳ hàng năm thực hiện
kiểm tra và dò quét phần mềm độc hại trên toàn bộ hệ thống; thực hiện kiểm tra
và xử lý phần mềm độc hại khi phát hiện dấu hiệu hoặc cảnh báo về dấu hiệu phần
mềm độc hại xuất hiện trên hệ thống.
Điều 25.
Giám sát thiết bị hệ thống, máy chủ, ứng dụng, dịch vụ và các thành phần khác
trong hệ thống
1. Toàn bộ thiết bị trong hệ thống
phải được giám sát vận hành và giám sát an ninh liên tục.
2. Toàn bộ dữ liệu báo cáo, xử
lý sự cố, quản lý ticket… hình thành cũng như trao đổi qua hệ thống.
3. Dữ liệu cần phải được mã hóa
trong quá trình truyền trên mạng giữa nhà cung cấp dịch vụ và các điểm giám
sát, cũng như với bộ phận giám sát tại Trung tâm tích hợp dữ liệu của tỉnh tối
thiểu đạt AES 256 bit và gửi qua mail mã hóa hoặc kênh mã hóa riêng.
4. Hệ thống phải có cơ chế có
thể chủ động truy cập và giám sát hoạt động từ xa.
Điều 26. Kết
nối và gửi nhật ký hệ thống từ đối tượng giám sát về hệ thống giám sát
1. Sở Thông tin và Truyền thông
tổ chức kết nối, điều phối các cơ quan, đơn vị trên địa bàn tỉnh tham gia vào hệ
thống đảm bảo an toàn, an ninh thông tin (SOC) để đảm bảo an toàn thông tin cho
các hoạt động của cơ quan nhà nước trên không gian mạng; đặc biệt nêu cao vai
trò giám sát hệ thống và xử lý sự cố, lỗ hổng, điểm yếu bảo mật của Đội ứng cứu
sự cố mạng, máy tính (BKCert) tỉnh, quản trị đơn vị tham mưu Ủy ban nhân
dân tỉnh.
2. Xây dựng, quản lý, vận hành
hệ thống phòng, chống phần mềm độc hại tập trung cho các máy chủ, máy trạm của
các cơ quan nhà nước trên địa bàn tỉnh.
3. Tổ chức kết nối, chia sẻ
thông tin với hệ thống giám sát quốc gia: Kết nối, chia sẻ thông tin giám sát
an toàn thông tin với Trung tâm giám sát an toàn không gian mạng quốc gia trực
thuộc Cục An toàn thông tin, Bộ Thông tin và Truyền thông.
Điều 27.
Quản lý điểm yếu an toàn thông tin
1. Quản lý điểm yếu an toàn
thông tin đối với từng thành phần có trong hệ thống (hệ điều hành, máy chủ, ứng
dụng, dịch vụ…), phân loại mức độ nguy hiểm của điểm yếu. Xây dựng phương
án và quy trình xử lý đối với từng mức độ nguy hiểm của điểm yếu.
2. Quản trị hệ thống hoặc trực
hệ thống báo cáo lãnh đạo/cán bộ quản lý ngay khi phát hiện điểm yếu an toàn
thông tin ở mức độ nghiêm trọng. Thực hiện cảnh báo và xử lý điểm yếu an toàn
thông tin theo chỉ đạo. Việc xử lý điểm yếu an toàn thông tin phải bảo đảm
không làm ảnh hưởng/gián đoạn hoạt động của hệ thống.
3. Xây dựng phương án xử lý tạm
thời đối với trường hợp điểm yếu an toàn thông tin chưa được khắc phục và
phương án khôi phục hệ thống trong trường hợp xử lý điểm yếu thất bại.
4. Đơn vị vận hành và chủ quản
hệ thống thông tin có trách nhiệm phối hợp với các nhóm chuyên gia, bên cung cấp
dịch vụ hỗ trợ trong việc xử lý, khắc phục điểm yếu an toàn thông tin đối với
các điểm yếu khi cần thiết.
5. Kiểm tra, đánh giá và xử lý
điểm yếu an toàn thông tin cho thiết bị hệ thống, máy chủ, dịch vụ trước khi
đưa vào sử dụng.
6. Hàng năm kiểm tra, đánh giá
điểm yếu an toàn thông tin cho toàn bộ hệ thống thông tin. Thực hiện quy trình
kiểm tra, đánh giá, xử lý điểm yếu an toàn thông tin khi có thông tin hoặc nhận
được cảnh báo về điểm yếu an toàn thông tin đối với thành phần cụ thể trong hệ
thống.
Điều 28.
Quản lý sự cố an toàn thông tin
Đơn vị vận hành và cơ quan đơn
vị có hệ thống thông tin đặt tại Trung tâm tích hợp dữ liệu thực hiện quản lý sự
cố an toàn thông tin như sau:
1. Phân nhóm sự cố an toàn
thông tin mạng theo quy định tại Quyết định số 05/2017/QĐ-TTg ngày 16 tháng 3
năm 2017 của Thủ tướng Chính phủ quy định về hệ thống phương án ứng cứu khẩn cấp
bảo đảm an toàn thông tin mạng quốc gia.
2. Xây dựng quy trình ứng cứu sự
cố an toàn thông tin mạng thông thường và nghiêm trọng theo quy định tại Điều
13 và Điều 14 Quyết định số 05/2017/QĐ-TTg ngày 16 tháng 3 năm 2017 của Thủ tướng
Chính phủ quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông
tin mạng quốc gia.
3. Xây dựng và triển khai kế hoạch
ứng phó sự cố an toàn thông tin theo quy định tại Điều 16 Quyết định số
05/2017/QĐ-TTg ngày 16 tháng 3 năm 2017 của Thủ tướng Chính phủ quy định về hệ
thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia.
4. Đơn vị vận hành quyết định
toàn diện về mặt kỹ thuật đối với các cơ quan trong quá trình khắc phục sự cố về
an toàn thông tin, hỗ trợ, phối hợp và hướng dẫn các cơ quan khắc phục sự cố mất
an toàn thông tin, yêu cầu ngưng hoạt động một phần hoặc toàn bộ các hệ thống
thông tin của các cơ quan nhằm phục vụ công tác khắc phục sự cố về an toàn
thông tin, phối hợp với đơn vị chức năng trong điều tra các nguyên nhân gây ra
sự cố mất an toàn thông tin theo hướng dẫn của đơn vị chuyên trách về an toàn
thông tin.
5. Phối hợp với cơ quan chức
năng, các nhóm chuyên gia, bên cung cấp dịch vụ hỗ trợ trong việc xử lý, khắc
phục sự cố an toàn thông tin; Yêu cầu bên cung cấp, hỗ trợ cung cấp quy trình xử
lý sự cố cho các dịch vụ do bên cung cấp, hỗ trợ cung cấp liên quan đến hệ thống.
6. Tổ chức diễn tập phương án xử
lý sự cố an toàn thông tin theo hướng dẫn của đơn vị chuyên trách về an toàn
thông tin.
Điều 29.
Quản lý an toàn người sử dụng đầu cuối
1. Kết nối máy tính/thiết bị đầu
cuối của người sử dụng vào hệ thống:
a) Người sử dụng khi truy cập,
sử dụng tài nguyên nội bộ, truy cập mạng và tài nguyên trên Internet phải tuân
thủ các quy định của pháp luật về bảo đảm an toàn thông tin và các quy định của
cơ quan, tổ chức.
b) Khi cài đặt, kết nối máy
tính/thiết bị đầu cuối phải thực hiện theo hướng dẫn/quy trình dưới sự giám sát
của bộ phận chuyên trách về an toàn thông tin.
c) Máy tính/thiết bị đầu cuối
phải được xử lý điểm yếu an toàn thông tin, cấu hình cứng hóa bảo mật trước khi
kết nối vào hệ thống.
2. Cài đặt và sử dụng máy tính
an toàn:
a) Chỉ cài đặt phần mềm hợp lệ,
thuộc danh mục phần mềm được phép sử dụng do cơ quan, đơn vị có thẩm quyền của
Bộ Thông tin và Truyền thông ban hành (nếu có) trên máy tính được cơ
quan, đơn vị cấp cho mình; không tự ý cài đặt hoặc gỡ bỏ các phần mềm khi chưa
có sự đồng ý của bộ phận chuyên trách về công nghệ thông tin; thường xuyên cập
nhật phần mềm và hệ điều hành.
b) Cài đặt phần mềm xử lý phần
mềm độc hại và thiết lập chế độ tự động cập nhật cơ sở dữ liệu cho phần mềm; thực
hiện kiểm tra, rà quét phần mềm độc hại khi sao chép, mở các tập tin hoặc trước
khi kết nối các thiết bị lưu trữ dữ liệu di động với máy tính của mình.
c) Khi phát hiện ra bất kỳ dấu
hiệu nào liên quan đến việc bị nhiễm phần mềm độc hại trên máy tính (máy chạy
chậm bất thường, cảnh báo từ phần mềm phòng, chống phần mềm độc hại, mất dữ liệu,...),
phải tắt máy và báo trực tiếp cho bộ phận chuyên trách về công nghệ thông
tin để được xử lý kịp thời.
d) Chỉ truy nhập vào các
trang/cổng thông tin điện tử, ứng dụng trực tuyến tin cậy và các thông tin phù
hợp với chức năng, trách nhiệm, quyền hạn của mình; sử dụng những trình duyệt
an toàn; không truy nhập, mở các trang tin, thư điện tử không rõ nguồn gốc;
không sử dụng tính năng lưu mật khẩu tự động hoặc đăng nhập tự động.
đ) Có trách nhiệm bảo mật tài
khoản truy nhập thông tin, không chia sẻ mật khẩu, thông tin cá nhân với người
khác. Đặt mật khẩu với độ an toàn cao (có chữ thường, có chữ in hoa, có số
và ký tự đặc biệt như @, #, !,...) và định kỳ 90 ngày thay đổi mật khẩu;
các tài khoản đăng nhập các hệ thống phải được đăng xuất khi không sử dụng; thường
xuyên xóa các biểu mẫu, mật khẩu, bộ nhớ cache và cookie trong trình duyệt trên
máy tính.
e) Thực hiện thao tác khóa máy
tính (sử dụng tính năng có sẵn trên máy tính) khi rời khỏi nơi đặt máy
tính; tắt máy tính khi rời khỏi cơ quan.
3. Trong quá trình sử dụng:
a) Nghiêm túc chấp hành các quy
chế, quy trình nội bộ và các quy định khác của pháp luật về an toàn thông tin mạng.
Chịu trách nhiệm bảo đảm an toàn thông tin mạng trong phạm vi trách nhiệm và
quyền hạn được giao.
b) Có trách nhiệm tự quản lý, bảo
quản thiết bị, tài khoản, ứng dụng mà mình được giao sử dụng.
c) Khi phát hiện nguy cơ hoặc sự
cố mất an toàn thông tin mạng phải báo cáo ngay với cấp trên và bộ phận phụ
trách công nghệ thông tin của cơ quan, đơn vị để kịp thời ngăn chặn và xử lý.
d) Tham gia các chương trình
đào tạo, hội nghị về an toàn thông tin mạng được tỉnh hoặc đơn vị chuyên môn tổ
chức.
Điều 30.
Quản lý giám sát an toàn hệ thống thông tin
1. Quản lý, vận hành hoạt động
bình thường của hệ thống giám sát:
a) Triển khai hệ thống giám sát
trung tâm phải đáp ứng yêu cầu tại khoản 1, Điều 5 Thông tư số 31/2017/TT-BTTTT
ngày 15 tháng 11 năm 2017 của Bộ Trưởng Bộ Thông tin và Truyền thông quy định
hoạt động giám sát an toàn hệ thống thông tin.
b) Thông tin giám sát và danh mục
các đối tượng giám sát phải đáp ứng yêu cầu tại khoản 2, Điều 5 Thông tư số
31/2017/TT-BTTTT ngày 15 tháng 11 năm 2017 của Bộ Trưởng Bộ Thông tin và Truyền
thông quy định hoạt động giám sát an toàn hệ thống thông tin
c) Kết nối và gửi nhật ký hệ thống
từ đối tượng giám sát về hệ thống giám sát.
d) Thực thi nhiệm vụ giám sát
theo quy định tại khoản 3, Điều 5 Thông tư số 31/2017/TT-BTTTT ngày 15 tháng 11
năm 2017 của Bộ Trưởng Bộ Thông tin và Truyền thông quy định hoạt động giám sát
an toàn hệ thống thông tin.
2. Giám sát an toàn thông tin mạng
toàn diện 24/7. Bố trí nhân sự xử lý các sự cố theo hình thức từ xa và tại chỗ.
3. Giám sát an toàn thông tin
liên tục và phát hiện mối đe dọa an ninh (24/7 Security monitoring &
Threat response): Đảm bảo mọi sự kiện an toàn thông tin được phát hiện và xử
lý kịp thời để ngăn chặn các mối đe dọa an toàn an ninh thông tin.
4. Xử lý sự cố an toàn thông
tin: Quy định quy trình, trình tự xử lý đối với tất cả các sự cố an toàn thông
tin xảy ra đối với hệ thống mạng, hệ thống Công nghệ thông tin, máy chủ, máy
tính người dùng, dịch vụ, ứng dụng (như sự cố website bị tấn công xâm nhập,
sự cố mất an toàn thông tin do mã độc gây ra, sự cố tấn công từ chối dịch vụ,
…).
5. Giám sát, phát hiện và cảnh
báo sự cố an toàn thông tin:
a) Hoạt động giám sát, phát hiện,
cảnh báo sự cố an toàn thông tin thông tin phải được cơ quan nghiệp vụ và chủ
quản hệ thống thông tin thực hiện thường xuyên, liên tục, các hệ thống thông
tin quan trọng quốc gia phải được triển khai các giải pháp giám sát, phát hiện
và cảnh báo cố an toàn thông tin.
b) Chủ quản hệ thống thông tin,
phải có trách nhiệm phối hợp với cơ quan nghiệp vụ để xây dựng, triển khai, huấn
luyện, duy trì hệ thống giám sát, phát hiện và cảnh báo sự cố an toàn thông
tin.
c) Thông tin giám sát phải được
cơ quan nghiệp vụ tiếp nhận, phân tích, xử lý và cảnh báo đến các tổ chức, cá
nhân liên quan.
6. Thông tin về nhật ký an toàn
thông tin từ tất cả các thiết bị, các nguồn dữ liệu - từ phi cấu trúc, có cấu
trúc, liên quan ngữ cảnh thông qua syslog, API, JDBC, WMI… hoặc công cụ giám
sát máy chủ, các agent:
a) Các thiết bị mạng, thiết bị
bảo mật như: Router, Switch, Firewall/IPS/IDS, Sandbox, WAF, Network APT...
b) Các máy chủ hệ thống (cả
máy chủ vật lý và ảo hóa) trên các nền tảng khác nhau: Windows, Linux,
Unix...
c) Các ứng dụng: (1) ứng dụng
phục vụ hoạt động của hệ thống: DHCP, DNS, NTP, VPN, Proxy Server...; (2) ứng dụng
cung cấp dịch vụ: Web, Mail, FPT, TFTP và các hệ quản trị cơ sở dữ liệu Oracle,
SQL, MySQL.
d) Các thiết bị đầu cuối: Máy
tính người sử dụng, máy in, máy fax, IP Phone, IP Camera...
đ) Thông tin về điểm giám sát
trên đường truyền: Điểm giám sát biên tại giao diện kết nối của thiết bị định
tuyến biên với các mạng bên ngoài; điểm giám sát tại mỗi vùng mạng của hệ thống.
7. Lưu trữ và bảo vệ thông tin
giám sát (nhật ký hệ thống):
a) Lưu trữ thông tin, dữ liệu
hình thành trong quá trình giám sát tối thiểu 6 tháng.
b) Việc lưu trữ phải quy định đầy
đủ về: Tần suất sao lưu dự phòng, phương tiện, thời gian lưu trữ, nơi lưu trữ,
phương thức lưu trữ và phương thức lấy dữ liệu ra khỏi phương tiện lưu trữ.
c) Dữ liệu giám sát khi lưu trữ
phải được mã hóa để đảm bảo tính an toàn cho thông tin, bảo vệ dữ liệu số khi
lưu trữ.
8. Đồng bộ thời gian giữa hệ thống
giám sát và thiết bị được giám sát:
a) Có khả năng giám sát một
cách chủ động trạng thái an ninh của toàn bộ hệ thống theo thời gian thực trên
một giao diện quản lý tập trung duy nhất; quản lý nhật ký và phản hồi; kịp thời
phát hiện và có biện pháp xử lý các lỗ hổng trong hệ thống. Xếp hạng cảnh báo bất
thường tại từng nút mạng hoặc trên từng thiết bị, mức độ nghiêm trọng tỉ lệ thuận
với mức độ khẩn trương loại bỏ mối đe dọa.
b) Cảnh báo sớm các điểm yếu,
nguy cơ an ninh có thể xảy ra và điều chỉnh phòng thủ. Hỗ trợ ứng cứu và xử lý
các sự cố an ninh mạng.
c) Thông báo các sự cố qua thư
điện tử (email), theo dõi qua tài khoản từ hệ thống theo các cấp độ quản
lý.
d) Thu thập, xử lý, phân tích
log: Có khả năng tiếp nhận log của 04 nguồn log thiết yếu (thiết bị mạng
(router, switch), thiết bị bảo mật (firewall, nids, endpoint server),
hệ điều hành (linux, windows), ứng dụng (web, mail).
e) Phân tích phát hiện tấn công
dựa vào phân tích lưu lượng mạng: Có khả năng phát hiện tấn công cơ bản lớp mạng
và có khả năng phát hiện kết nối đến máy chủ điều khiển của mã độc.
f) Phân tích phát hiện tấn công
Endpoints, Server: Có khả năng phát hiện các hành vi bất thường.
g) Quản lý, phân tích, cảnh
báo: Có hệ thống ticket đảm bảo có các thông tin chi tiết về sự cố, tương quan
giữa các sự kiện, mức độ, tình trạng xử lý.
Điều 31.
Kiểm tra, đánh giá và quản lý rủi ro an toàn thông tin
1. Nội dung kiểm tra, đánh giá
và quản lý rủi ro an toàn thông tin:
a) Kiểm tra việc tuân thủ quy định
của pháp luật về bảo đảm an toàn hệ thống thông tin theo cấp độ.
b) Đánh giá hiệu quả của biện
pháp bảo đảm an toàn hệ thống thông tin.
c) Đánh giá phát hiện mã độc, lỗ
hổng, điểm yếu, thử nghiệm xâm nhập hệ thống.
d) Kiểm tra, đánh giá khác do
chủ quản hệ thống thông tin quy định.
2. Hình thức kiểm tra, đánh giá
và quản lý rủi ro an toàn thông tin:
a) Định kỳ theo kế hoạch của chủ
quản hệ thống thông tin.
b) Kiểm tra, đánh giá đột xuất
theo yêu cầu của cấp có thẩm quyền.
Điều 32. Bảo
đảm nguồn nhân lực
1. Cán bộ được tuyển dụng vào vị
trí làm về an toàn thông tin có trình độ, chuyên ngành về lĩnh vực công nghệ
thông tin, an toàn thông tin, phù hợp với vị trí tuyển dụng.
2. Xây dựng kế hoạch và định kỳ
hàng năm, tổ chức đào tạo các kỹ năng cơ bản về an toàn thông tin cho người sử
dụng.
3. Trách nhiệm bảo đảm an toàn
thông tin cho cán bộ quản lý và vận hành hệ thống.
a) Cán bộ chuyên trách phải thiết
lập phương pháp hạn chế truy cập mạng không dây, giám sát và điều khiển truy cập
không dây, tổ chức sử dụng chứng thực và mã hóa để bảo vệ truy cập không dây tới
hệ thống thông tin.
b) Cán bộ chuyên trách phải tổ
chức quản lý định danh đối với tất cả người dùng tham gia sử dụng hệ thống
thông tin.
c) Các cơ quan, địa phương và
các tổ chức, cá nhân tham gia sử dụng các dịch vụ của hệ thống phải tuân thủ
các quy định về bảo đảm an toàn, an ninh thông tin và chịu trách nhiệm đối với
mọi hoạt động trên tài khoản truy cập của mình đã được cấp trên hệ thống.
4. Quy định đối với cán bộ nghỉ
hoặc thay đổi công việc:
a) Cán bộ nghỉ hoặc thay đổi
công việc phải thu hồi thẻ truy cập, thông tin được lưu trên các phương tiện
lưu trữ, các trang thiết bị máy móc, phần cứng, phần mềm và các tài sản khác
thuộc sở hữu của tổ chức.
b) Cán bộ quản trị phải vô hiệu
hóa tất cả các quyền ra, vào, truy cập tài nguyên, quản trị hệ thống sau khi
cán bộ thôi việc.
c) Cán bộ nghỉ hoặc thay đổi
công việc phải có cam kết giữ bí mật thông tin liên quan đến tổ chức sau khi
nghỉ việc.
Điều 33. Quản
lý thiết kế, xây dựng hệ thống
1. Thiết kế an toàn hệ thống
thông tin, phải có tài liệu mô tả về:
a) Quy mô, phạm vi và đối tượng
sử dụng, khai thác, quản lý vận hành hệ thống thông tin.
b) Thiết kế và các thành phần của
hệ thống thông tin.
c) Phương án bảo đảm an toàn
thông tin theo cấp độ.
d) Phương án lựa chọn giải pháp
công nghệ bảo đảm an toàn thông tin.
đ) Khi có thay đổi thiết kế,
đánh giá lại tính phù hợp của phương án thiết kế đối với các yêu cầu an toàn đặt
ra đối với hệ thống.
2. Phát triển phần mềm thuê
khoán:
a) Có biên bản, hợp đồng và các
cam kết đối với bên thuê khoán các nội dung liên quan đến việc phát triển phần
mềm thuê khoán.
b) Đơn vị cung cấp dịch vụ,
phát triển phần mềm phải cung cấp mã nguồn phần mềm cho chủ quản hệ thống thông
tin và đơn vị vận hành.
c) Phần mềm phải được kiểm thử,
kiểm tra, đánh giá an toàn thông tin và nghiệm thu trước khi đưa vào sử dụng.
3. Thử nghiệm và nghiệm thu hệ
thống:
a) Thực hiện thử nghiệm và nghiệm
thu hệ thống trước khi bàn giao và đưa vào sử dụng.
b) Có nội dung, kế hoạch, quy
trình thử nghiệm và nghiệm thu hệ thống.
c) Việc thử nghiệm và nghiệm
thu hệ thống được thực hiện bởi đơn vị độc lập (bên thứ ba) hoặc bộ phận
độc lập thuộc đơn vị thực hiện tư vấn và giám sát quá trình thử nghiệm và nghiệm
thu hệ thống.
đ) Có báo cáo nghiệm thu được
xác nhận của bộ phận chuyên trách và phê duyệt của chủ quản hệ thống thông tin
trước khi đưa vào sử dụng.
Điều 34.
Tiếp nhận, phát hiện, phân loại và xử lý ban đầu sự cố an toàn thông tin
1. Phân loại mức độ sự cố an
toàn thông tin mạng:
a) Sự cố mức độ thấp: Sự cố gây
ảnh hưởng cá nhân và không làm gián đoạn hay đình trệ hoạt động chính của cơ
quan, đơn vị
b) Sự cố mức độ trung bình: Thực
hiện theo điểm a, khoản 1, Điều 9 Quy chế đảm bảo an toàn thông tin mạng trong
hoạt động ứng dụng công nghệ thông tin của các cơ quan nhà nước trên địa bàn tỉnh
Bắc Kạn ban hành kèm theo Quyết định số 22/2021/QĐ-UBND ngày 03 tháng 12 năm
2021 của Ủy ban nhân dân tỉnh.
c) Sự cố mức độ cao: Thực hiện
theo điểm b, khoản 1, Điều 9 Quy chế đảm bảo an toàn thông tin mạng trong hoạt
động ứng dụng công nghệ thông tin của các cơ quan nhà nước trên địa bàn tỉnh Bắc
Kạn ban hành kèm theo Quyết định số 22/2021/QĐ-UBND ngày 03 tháng 12 năm 2021 của
Ủy ban nhân dân tỉnh.
d) Sự cố có tính chất nghiêm trọng:
Thực hiện theo điểm c, khoản 1, Điều 9 Quy chế đảm bảo an toàn thông tin mạng
trong hoạt động ứng dụng công nghệ thông tin của các cơ quan nhà nước trên địa
bàn tỉnh Bắc Kạn ban hành kèm theo Quyết định số 22/2021/QĐ-UBND ngày 03 tháng
12 năm 2021 của Ủy ban nhân dân tỉnh.
2. Xử lý ban đầu sự cố an toàn
thông tin: Thực hiện theo khoản 2, khoản 3, khoản 4 Điều 9 Quy chế đảm bảo an
toàn thông tin mạng trong hoạt động ứng dụng công nghệ thông tin của các cơ
quan nhà nước trên địa bàn tỉnh Bắc Kạn ban hành kèm theo Quyết định số
22/2021/QĐ-UBND ngày 03 tháng 12 năm 2021 của Ủy ban nhân dân tỉnh.
3. Quy trình ứng cứu sự cố an
toàn thông tin mạng: Thực hiện theo Điều 13 và Điều 14 Quyết định số
05/2017/QĐ-TTg ngày 16/3/2017 của Thủ tướng Chính phủ ban hành quy định về hệ
thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng Quốc gia.
Chương
III
TRÁCH NHIỆM CỦA CÁC CƠ
QUAN, TỔ CHỨC, CÁ NHÂN TRONG VIỆC QUẢN LÝ, VẬN HÀNH VÀ KHAI THÁC TRUNG TÂM TÍCH
HỢP DỮ LIỆU
Điều 35.
Trách nhiệm của Sở Thông tin và Truyền thông
1. Chịu trách nhiệm trước Ủy
ban nhân dân tỉnh về việc quản lý, vận hành sử dụng Trung tâm tích hợp dữ liệu
đảm bảo ổn định, liên tục, an toàn bảo mật thông tin, quản lý tài sản,… theo
đúng quy định.
2. Tham mưu Ủy ban nhân dân tỉnh
nâng cấp và mở rộng Trung tâm tích hợp dữ liệu đáp ứng nhu cầu cho các ứng dụng
công nghệ thông tin, xây dựng chính quyền điện tử, đô thị thông minh của tỉnh Bắc
Kạn.
3. Thanh tra, kiểm tra và giám
sát việc vận hành, khai thác dịch vụ của đơn vị vận hành Trung tâm tích hợp dữ
liệu.
4. Thực hiện chế độ báo cáo định
kỳ hàng năm, báo cáo đột xuất cho Ủy ban nhân dân tỉnh về tình hình hoạt động
Trung tâm tích hợp dữ liệu.
5. Nghiên cứu, đề xuất nhiệm vụ
tích hợp chung theo hướng chuẩn hóa, thống nhất các ứng dụng Công nghệ thông
tin trên Trung tâm tích hợp dữ liệu.
6. Hằng năm xây dựng kế hoạch,
tổng hợp nhu cầu của các cơ quan, đơn vị để triển khai công tác an toàn thông
tin mạng trong hoạt động ứng dụng công nghệ thông tin của cơ quan nhà nước trên
địa bàn tỉnh theo quy định.
7. Xây dựng và triển khai các
chương trình đào tạo, bồi dưỡng, tập huấn, diễn tập, các hội nghị, hội thảo
tuyên truyền, phổ biến, cập nhật kiến thức, kỹ năng an toàn thông tin mạng
trong hoạt động ứng dụng công nghệ thông tin của các cơ quan nhà nước trên địa
bàn tỉnh; thường xuyên cập nhật thông tin, thông báo cho các cơ quan, đơn vị biết
và có biện pháp phòng ngừa, ngăn chặn các rủi ro, nguy cơ mất an toàn thông tin
do phần mềm độc hại, xung đột thông tin, tấn công mạng gây ra.
Điều 36.
Trách nhiệm của Trung tâm Công nghệ thông tin và Truyền thông
1. Đầu mối liên hệ, phối hợp với
các cơ quan, tổ chức có thẩm quyền quản lý về an toàn thông tin trong việc thực
hiện, tiếp nhận và xử lý các sự cố về an toàn thông tin các Hệ thống thông tin
tại Trung tâm tích hợp dữ liệu: Tùy theo mức độ sự cố, phối hợp với các cơ
quan, đơn vị có liên quan hướng dẫn xử lý, ứng cứu các sự cố an toàn thông tin
mạng.
2. Phân định vai trò, trách nhiệm,
cơ chế phối hợp của các bộ phận, cán bộ trong đơn vị theo chức năng nhiệm vụ để
thực hiện việc quản lý và xử lý sự cố về an toàn thông tin các Hệ thống thông
tin tại Trung tâm tích hợp dữ liệu.
3. Ban hành nội quy làm việc tại
Trung tâm tích hợp dữ liệu; xây dựng kế hoạch, bố trí cán bộ trực vận hành hệ
thống Trung tâm tích hợp dữ liệu 24/24 giờ.
4. Quy định thủ tục chuyển giao
thiết bị, cài đặt phần mềm và quản lý tài sản của Trung tâm tích hợp dữ liệu;
ban hành quy trình vận hành, tổ chức thực hiện sao lưu dữ liệu, bảo trì, bảo dưỡng,
sửa chữa thiết bị và khắc phục sự cố hệ thống.
5. Quy hoạch tài nguyên hệ thống,
tham mưu cơ quan quản lý các giải pháp, phương án kỹ thuật, kế hoạch phát triển
Trung tâm tích hợp dữ liệu.
6. Xem xét, tiếp nhận các yêu cầu
cung cấp hạ tầng, dịch vụ của các tổ chức, cá nhân trong phạm vi quy định và
triển khai cung cấp theo đúng với tiêu chuẩn chất lượng, quy trình và trên cơ sở
khai thác, sử dụng hiệu quả hạ tầng Trung tâm tích hợp dữ liệu.
7. Hàng năm, xây dựng kinh phí
đảm bảo duy trì, vận hành, bảo dưỡng, sửa chữa, thay thế trang thiết bị, xây dựng
hoặc nâng cấp, cập nhật phần mềm quản lý Trung tâm tích hợp dữ liệu và chế độ
trực 24/24 giờ cho cán bộ quản trị, vận hành tổng hợp chung trong dự toán chi
nghiệp vụ chuyên môn của đơn vị, trình cấp có thẩm quyền phê duyệt.
8. Đào tạo cán bộ quản lý, vận
hành có chuyên môn đáp ứng yêu cầu, được trang bị các kiến thức liên quan tới
hoạt động của Trung tâm tích hợp dữ liệu.
9. Tham gia các hoạt động, công
tác bảo đảm an toàn thông tin khi có yêu cầu của tổ chức có thẩm quyền.
Điều 37.
Trách nhiệm của các cơ quan, đơn vị, người sử dụng dịch vụ
1. Sử dụng hạ tầng, dịch vụ của
Trung tâm tích hợp dữ liệu theo quy chế này và các hướng dẫn khác của đơn vị quản
lý, đơn vị vận hành Trung tâm tích hợp dữ liệu.
2. Tuân thủ theo Quyết định số
22/2021/QĐ-UBND ngày 03 tháng 12 năm 2021 của Ủy ban nhân dân tỉnh Bắc Kạn về
việc ban hành Quy chế bảo đảm an toàn thông tin mạng trong hoạt động ứng dụng
công nghệ thông tin của cơ quan nhà nước trên địa bàn tỉnh Bắc Kạn, các quy định
về an toàn bảo mật thông tin trong quản lý, vận hành và khai thác Trung tâm
tích hợp dữ liệu.
3. Đối với cơ quan, đơn vị:
Tuân thủ các quy định về an toàn bảo mật thông tin, duy trì hoạt động các ứng dụng,
hệ thống thông tin đồng thời chịu trách nhiệm về các nội dung, thông tin lưu trữ
tại Trung tâm tích hợp dữ liệu do cơ quan, đơn vị cung cấp, cập nhật phù hợp với
quy định pháp luật. Sao lưu dữ liệu thường xuyên của đơn vị, theo sự hướng dẫn
của đơn vị vận hành.
4. Đối với người sử dụng: Sử dụng
dịch vụ Trung tâm tích hợp dữ liệu trong phạm vi cho phép, tuân thủ các quy định
về an toàn bảo mật thông tin, quản lý vận hành Trung tâm tích hợp dữ liệu.
5. Trường hợp phát sinh sự cố,
phải thông báo ngay cho cán bộ kỹ thuật của đơn vị vận hành để phối hợp trong
việc xử lý sự cố và xác nhận kết quả xử lý.
Điều 38. Tổ
chức thực hiện
1. Trường hợp các văn bản quy
phạm pháp luật được dẫn chiếu trong Quy chế này mà sửa đổi, bổ sung, thay thế
thì áp dụng theo văn bản được sửa đổi, bổ sung, thay thế đó.
2 . Trong quá trình thực hiện,
nếu có khó khăn, vướng mắc, phát sinh mà cần sửa đổi, bổ sung, các cơ quan, đơn
vị kịp thời phản ánh về Sở Thông tin và Truyền thông để tổng hợp, báo cáo Ủy
ban nhân dân tỉnh xem xét, quyết định./.