|
BỘ TÀI CHÍNH
-------
|
CỘNG
HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------
|
|
Số: 2615/QĐ-BTC
|
Hà
Nội, ngày 19 tháng 10
năm 2012
|
QUYẾT ĐỊNH
BAN HÀNH QUY ĐỊNH VỀ VIỆC ĐẢM BẢO AN TOÀN THÔNG TIN TRÊN MÔI TRƯỜNG MÁY
TÍNH VÀ MẠNG MÁY TÍNH
BỘ TRƯỞNG BỘ TÀI CHÍNH
Căn cứ Nghị định số 118/2008/NĐ-CP
ngày 27/11/2008 của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Bộ Tài chính;
Căn cứ Nghị định số 64/2007/NĐ-CP ngày 10/4/2007 của Chính phủ về việc ứng dụng
công nghệ thông tin trong hoạt động của cơ quan Nhà nuớc;
Căn cứ Nghị định số 33/2002/NĐ-CP ngày 28/3/2002 của Chính phủ về việc quy định chi
tiết thi hành Pháp lệnh bảo vệ bí mật Nhà nước;
Căn cứ Quyết định số
196/2003/QĐ-BTC ngày 02/12/2003 của Bộ trưởng Bộ Tài chính về việc ban hành Quy
chế bảo vệ bí mật nhà nước của ngành Tài chính;
Theo đề nghị của Cục trưởng Cục
Tin học và Thống kê tài chính,
QUYẾT ĐỊNH:
Điều 1. Ban hành kèm theo Quyết định này Quy định về việc
đảm bảo an toàn thông tin trên môi trường máy tính và mạng máy tính.
Điều 2. Quyết định này có hiệu lực thi hành từ ngày ký.
Điều 3. Cục trưởng Cục Tin học và Thống kê tài chính,
Chánh Văn phòng Bộ, Thủ trưởng các cơ quan hành chính, đơn vị sự nghiệp thuộc Bộ
Tài chính, Sở Tài chính các tỉnh, thành phố trực thuộc Trung ương, Phòng Kế hoạch
Tài chính thuộc Sở Tài chính các địa phương và các, đơn vị, cá nhân có liên
quan chịu trách nhiệm thi hành Quyết định này./.
|
Nơi nhận:
- Lãnh đạo Bộ;
- Các đơn vị thuộc Bộ;
- Sở Tài chính các tỉnh, thành phố trực thuộc TW;
- Lưu: VT, Cục THTK.
|
KT. BỘ TRƯỞNG
THỨ TRƯỞNG
Phạm Sỹ Danh
|
QUY ĐỊNH
VỀ VIỆC ĐẢM BẢO AN TOÀN THÔNG TIN TRÊN MÔI TRƯỜNG MÁY TÍNH VÀ MẠNG MÁY
TÍNH
(Ban hành kèm theo Quyết định số 2615/QĐ-BTC ngày 19 tháng 10 năm 2012 của Bộ
trưởng Bộ Tài chính)
Chương 1.
QUY ĐỊNH CHUNG
Điều 1. Phạm vi
và đối tượng áp dụng
1. Phạm vi áp dụng:
Quy định này bao gồm các điều kiện tối
thiểu phải tuân thủ nhằm đảm bảo an toàn thông tin trên
môi trường máy tính, mạng máy tính và các hệ thống có khả năng tiếp cận thông tin số của ngành Tài chính. Thông tin được đảm bảo an toàn
bao gồm tất cả các loại thông tin của Bộ Tài chính và các đơn vị thuộc Bộ,
thông tin tại các cơ quan tài chính địa phương thuộc lĩnh vực do Bộ Tài chính
quản lý, thông tin do các cơ quan, tổ chức khác gửi đến Bộ Tài chính và các đơn
vị thuộc Bộ.
2. Đối tượng áp dụng:
a) Các đơn vị
thuộc Bộ Tài chính và cán bộ, công chức, viên chức, nhân viên của đơn vị: áp dụng đầy đủ Quy định này.
b) Các Sở Tài chính, Phòng Kế hoạch
Tài chính và cán bộ, công chức, viên chức, nhân viên của đơn vị: áp dụng Quy định này cho các máy tính, mạng máy tính và ứng dụng phục
vụ hoạt động chuyên môn của đơn vị thuộc lĩnh vực quản lý của Bộ Tài chính.
c) Cơ quan, tổ chức, cá nhân có hoạt
động trao đổi thông tin với các đơn vị thuộc Bộ Tài chính
(Đối tác tham gia tư vấn, xây dựng, triển khai, hỗ trợ, vận
hành, thử nghiệm hệ thống công nghệ thông tin; Cơ quan, tổ chức, cá nhân có kết nối mạng để trao đổi thông
tin với các đơn vị thuộc ngành Tài chính): áp dụng quy định trong hoạt động
trao đổi thông tin với ngành Tài chính.
Điều 2. Giải
thích từ ngữ
1. “Đảm bảo an toàn thông tin” là đảm
bảo tính bí mật, tính toàn vẹn và tính sẵn sàng của thông tin, trong đó:
a) Tính bí mật: thông tin không bị tiết
lộ tới các đối tượng không có thẩm quyền đối với thông
tin.
b) Tính toàn vẹn: thông tin không bị
sửa đổi làm sai lệch nội dung.
c) Tính sẵn sàng: thông tin cung cấp
được tới đối tượng sử dụng có thẩm quyền đối với thông
tin.
2. “Mạng nội bộ cơ quan Bộ Tài
chính”: hệ thống mạng máy tính tại trụ sở cơ quan Bộ Tài chính, phần mở rộng của mạng này tới trụ sở của các đơn vị
thuộc Bộ đặt ngoài trụ sở cơ quan Bộ Tài chính và Đại diện Văn phòng Bộ Tài chính tại thành phố Hồ Chí Minh.
3. “Hạ tầng truyền thông thống nhất
ngành Tài chính”: hệ thống mạng diện rộng kết nối các mạng máy tính của các đơn
vị thuộc ngành Tài chính.
4. “Mật khẩu phức tạp”: là mật khẩu
đáp ứng yêu cầu sau:
- Có tối thiểu 8 ký tự.
- Gồm tối thiểu 3 trong số 4 loại ký
tự sau: chữ cái viết hoa (A-Z), chữ cái viết thường (a-z), chữ số (0-9), các ký
tự khác trên bàn phím máy tính (~, !, …)
5 .“Thuật toán mã hóa an toàn” là thuật
toán mã hóa theo tiêu chuẩn Việt Nam hoặc thế giới mà tại thời điểm áp dụng
chưa có công bố thuật toán đó đã bị giải hoặc nếu có khả
năng giải thì thời gian giải thuật toán này dài hơn thời gian dữ liệu cần được
bảo vệ dưới dạng mã hóa.
6. “Bí mật nhà nước”: thông tin thuộc
Danh mục Bí mật Nhà nước cấp độ tuyệt mật, tối mật, mật của ngành Tài chính
theo quy định hiện hành và bí mật nhà nước của các cơ quan, đơn vị khác gửi đến Bộ Tài chính.
7. “Đơn vị”: các đơn vị thuộc phạm vi
áp dụng của quy định này.
8. “Đơn vị hệ thống
thuộc Bộ”: Tổng cục Thuế, Tổng cục Hải quan, Tổng cục Dự trữ Nhà nước, Kho bạc
Nhà nước, Ủy ban Chứng khóan Nhà nước, Học viện Tài chính.
9. “Người dùng”: cán bộ, công chức,
viên chức, nhân viên hợp đồng của đơn vị được sử dụng máy tính tại đơn vị để xử lý công việc.
Điều 3. Nguyên
tắc chung về đảm bảo an toàn thông tin
1. Việc bảo đảm an toàn thông tin là
yêu cầu bắt buộc trong quá trình tạo lập, xử lý, sử dụng
thông tin và quá trình thiết kế, xây dựng, vận hành, nâng
cấp, hủy bỏ các hạ tầng kỹ thuật công nghệ thông tin.
2. Đơn vị, người dùng thực hiện các
công đoạn liên quan đến thông tin nêu tại mục 1 điều này
có trách nhiệm đảm bảo an toàn thông tin theo quy định của Nhà nước và của Bộ
Tài chính và hướng dẫn của các cơ quan, đơn vị có thẩm quyền trong lĩnh vực đảm bảo an toàn thông tin.
3. Người dùng phải được tập huấn kiến
thức chung về an toàn thông tin trên môi trường máy tính, mạng máy tính và kiến
thức nâng cao về an toàn thông tin phù hợp với công việc được phân công.
4. Thông tin thuộc danh mục bí mật
nhà nước trên môi trường máy tính và mạng máy tính phải được bảo vệ theo các
quy định của Nhà nước, Quy chế bảo vệ bí mật nhà nước của ngành Tài chính và
các nội dung tương ứng trong quy định này.
Chương 2.
QUY ĐỊNH CỤ THỂ
Điều 4. Đảm bảo
an toàn mức vật lý
1. Các khu vực sau phải được kiểm
soát truy cập vật lý để phòng tránh truy cập trái phép hoặc sai mục đích: Trung
tâm dữ liệu, khu vực chứa máy chủ và thiết bị lưu trữ, các
tủ mạng và đấu nối, thiết bị nguồn điện và dự phòng điện khẩn cấp, các phòng vận
hành, kiểm soát (quản trị) hệ thống. Đơn vị quản lý các vùng thiết bị trên phải
có nội quy hoặc hướng dẫn làm việc trong các khu vực này.
2. Người dùng sử dụng các thiết bị
lưu trữ dữ liệu di động (máy tính xách tay, thiết bị số cầm tay, thẻ nhớ USB, ổ
cứng ngoài, băng từ...) để lưu thông tin thuộc phạm vi bảo vệ quy định tại Điều
1 có trách nhiệm bảo vệ các thiết bị này và thông tin lưu trên thiết bị, tránh
làm mất, lộ thông tin. Không mang ra nước ngoài thông tin của cơ quan, Nhà nước
không liên quan tới nội dung công việc thực hiện ở nước ngoài. Nghiêm cấm sử dụng
thiết bị do cá nhân tự trang bị để lưu giữ bí mật Nhà nước.
3. Các thiết bị lưu trữ không sử dụng
tiếp cho công việc của đơn vị (thanh lý, cho, tặng) phải được xóa nội dung bằng
phần mềm hoặc bằng thiết bị hủy dữ liệu chuyên dụng hay phá hủy vật lý.
Điều 5. Đảm bảo
an toàn máy tính làm việc
1. Máy tính phục
vụ công việc (bao gồm máy chủ, máy quản trị và máy tính phục vụ công việc của
người dùng tại đơn vị):
a) Máy tính làm việc chỉ được cài đặt
phần mềm theo danh mục phần mềm do đơn vị quy định và do bộ
phận công nghệ thông tin của đơn vị quản lý hoặc được cung cấp theo các chương
trình ứng dụng công nghệ thông tin của Bộ Tài chính hoặc
các cơ quan Nhà nước khác có thẩm quyền, được cập nhật bản
vá lỗi hệ điều hành về an ninh, cài đặt phần mềm phòng diệt virus và cập nhật mẫu
phát hiện virus gần nhất.
b) Bộ phận công nghệ thông tin của
đơn vị chịu trách nhiệm cài đặt phần
mềm cho máy tính phục vụ công việc. Người dùng không được
can thiệp (cài đặt mới, thay đổi, gỡ bỏ,...) các phần mềm đã cài đặt trên máy
tính khi chưa được sự đồng ý của bộ phận công nghệ thông
tin của đơn vị.
c) Người dùng phải thực hiện thao tác
khóa máy tính (sử dụng tính năng cài đặt sẵn trên máy) khi
rời khỏi nơi đặt máy tính và tắt máy tính khi rời khỏi cơ quan.
2. Nghiêm cấm máy tính của cá nhân
chưa cài đặt phần mềm phòng diệt virus và cập nhật mẫu phát hiện virus kết nối
vào hệ thống mạng nội bộ của đơn vị và các hệ thống mạng của ngành Tài chính.
Điều 6. Đảm bảo
an toàn hệ thống mạng máy tính
1. Kết nối mạng diện rộng phải được
thiết lập và vận hành theo Quy chế quản lý, vận hành và sử dụng hạ tầng truyền
thông thống nhất ngành Tài chính ban hành tại Quyết định số 109/QĐ-BTC ngày 15/01/2009 của Bộ trưởng Bộ Tài chính và các văn bản sửa
đổi, cập nhật quy chế này nếu có.
2. Hệ thống mạng nội bộ phải được bảo
vệ bằng tường lửa đáp ứng các yêu cầu sau:
a) Phân chia hệ thống mạng nội bộ
thành các vùng mạng theo phạm vi truy cập và kiểm soát
truy cập giữa các vùng bằng tường lửa.
Mạng nội bộ cơ quan Bộ Tài chính và
các đơn vị hệ thống thuộc Bộ tại cấp Trung ương phải phân
chia tối thiểu thành các vùng mạng sau:
- Vùng mạng cho truy cập từ Internet
(áp dụng đối với các đơn vị có cổng thông tin điện tử, dịch vụ công hoặc ứng dụng
cung cấp ra Internet đặt tại đơn vị).
- Vùng mạng truy cập Internet (trung
chuyển các yêu cầu truy cập Internet từ người dùng hoặc
máy chủ);
- Vùng mạng máy chủ nội bộ;
- Vùng mạng quản trị hệ thống (các hoạt động quản trị hệ thống phải được thực hiện thông
qua vùng mạng này);
- Vùng mạng người dùng, trong đó tách
riêng vùng mạng cho kết nối có dây và không dây.
- Vùng mạng riêng cho khách (áp dụng
đối với các đơn vị cho phép khách đến làm việc được truy cập
hệ thống mạng của đơn vị để sử dụng Internet).
b) Vô hiệu hóa tất cả các dịch vụ không sử dụng tại từng vùng mạng;
c) Che giấu và tránh truy cập trực tiếp
các địa chỉ mạng bên trong từ bên ngoài (Internet, hạ tầng truyền thông ngành
Tài chính).
d) Cài đặt các bản cập nhật, vá lỗi
đúng hạn cho các tường lửa để khắc phục các điểm yếu an ninh nghiêm trọng; Có
chế độ bảo hành hoặc thiết bị dự phòng để đảm bảo sự hoạt động liên tục của tường
lửa.
3. Mạng nội bộ của cơ quan Bộ Tài
chính và các đơn vị hệ thống thuộc Bộ tại cấp Trung ương phải được giám sát bởi
hệ thống phát hiện và phòng chống tấn
công.
4. Hệ thống mạng không dây (nếu có)
phải đáp ứng các điều kiện tối thiểu sau:
a) Thiết bị phần cứng phải có chứng
nhận Wi-Fi (chứng nhận của Liên minh Wi-Fi (www.wi-fi.org) cho sản phẩm đạt tiêu
chuẩn 802.11);
b) Áp dụng mã hóa dữ liệu truyền nhận
sử dụng thuật toán mã hóa an toàn;
c) Người dùng không dây phải được
cung cấp định danh duy nhất và xác thực qua kênh mã hóa.
d) Các điểm truy cập không dây được bảo
vệ tránh bị tiếp cận trái phép.
5. Đối với truy cập từ xa vào hệ thống
mạng nội bộ:
a) Máy tính dùng để kết nối tới mạng
của đơn vị phải được đảm bảo an toàn theo quy định tại Điều
5;
b) Kết nối truy cập từ xa phải sử dụng
mã hóa kênh truyền;
c) Truy cập từ xa cho mục đích quản
trị hệ thống phải áp dụng xác thực tối thiểu 2 nhân tố.
Điều 7. Đảm bảo
an toàn kết nối Internet
1. Đơn vị áp dụng các biện pháp cần
thiết để đảm bảo an toàn thông tin trong hoạt động kết nối Internet của người
dùng tại đơn vị, tối thiểu đáp ứng yêu cầu sau:
a) Có tường lửa kiểm soát truy cập
Internet.
b) Lọc bỏ, không cho phép truy cập
các trang tin có nghi ngờ chứa mã độc hoặc các nội dung không phù hợp (phản động
hoặc trái thuần phong mỹ tục).
c) Máy tính chứa dữ liệu quan trọng
hoặc có khả năng tiếp cận các dữ liệu, ứng dụng quan trọng
của ngành Tài chính không được mở trang tin hoặc ứng dụng
Internet ngay trên máy này hoặc chỉ được phép truy cập vào các trang tin trên
Internet phục vụ công việc của đơn vị.
Cục Tin học và Thống kê Tài chính căn
cứ các quy định của pháp luật và ý kiến của các đơn vị tại trụ sở Bộ Tài chính
xác định và trình Bộ phê duyệt danh sách các loại dữ liệu
và ứng dụng quan trọng trên hệ thống mạng nội bộ cơ quan Bộ Tài chính cần được
bảo vệ trong kết nối Internet.
Đối với các đơn vị hệ thống thuộc Bộ
và các Sở Tài chính, lãnh đạo đơn vị quyết định các loại dữ liệu và ứng dụng
quan trọng của đơn vị cần bảo vệ
trong kết nối Internet của người dùng.
d) Kết nối
Internet cho máy tính làm việc của người dùng tại đơn vị bị thu hẹp phạm vi hoặc
bị ngắt trong các trường hợp sau:
- Có công văn từ Bộ Tài chính yêu cầu
thu hẹp phạm vi kết nối Internet hoặc ngắt kết nối Internet (áp dụng trong các
trường hợp khẩn cấp).
- Lãnh đạo đơn vị quyết định phải hạn
chế phạm vi kết nối hoặc ngắt hoàn toàn kết nối Internet máy tính làm việc của
người dùng để đảm bảo an toàn cho hệ thống mạng của đơn vị và hạn chế các ảnh
hưởng khác của Internet tới hoạt động của đơn vị.
đ) Người dùng không được sử dụng các
thiết bị của cá nhân (modem 3G, điện thoại di động,...) để kết nối máy tính làm việc vào Internet khi chưa được sự đồng ý của bộ
phận công nghệ thông tin.
2. Đối với máy chủ và thiết bị công
nghệ thông tin khác, chỉ thiết lập kết nối Internet cho
các hệ thống cần phải có giao tiếp với Internet (các máy chủ, thiết bị cung cấp
giao diện ra Internet của trang tin điện tử, dịch vụ công, thư điện tử; thiết bị
cập nhật bản vá hệ điều hành, mẫu phòng diệt virus, các mẫu lỗ hổng bảo mật, mẫu
tấn công,...).
3. Nghiêm cấm máy tính dùng để soạn
thảo, in ấn, lưu trữ bí mật Nhà nước kết nối vào Internet.
Điều 8. Đảm bảo
an toàn mức ứng dụng
1. Yêu cầu về đảm bảo an toàn thông
tin phải được đưa vào tất cả các công đoạn liên quan đến ứng dụng (thiết kế,
xây dựng, triển khai và vận hành, sử dụng,...).
2. Ứng dụng do đơn vị phát triển hoặc
thuê phát triển phải đáp ứng yêu cầu sau:
- Mã hóa thông tin bí mật hoặc nhạy cảm
bằng thuật toán mã hóa an toàn.
- Kiểm tra tính hợp lệ của dữ liệu đầu
vào và đầu ra để đảm bảo dữ liệu chính xác và phù hợp.
- Thực hiện các quy trình kiểm soát
việc cài đặt phần mềm trên các máy chủ, máy tính của người dùng, thiết bị mạng
đang hoạt động thuộc hệ thống mạng nội bộ.
- Hạn chế truy cập tới mã nguồn
chương trình và phải đặt mã nguồn trong môi trường an toàn
do bộ phận chuyên trách quản lý.
- Thực hiện kiểm tra phát hiện và khắc
phục lỗ hổng bảo mật của ứng dụng trước khi đưa vào sử dụng và định kỳ tối thiểu
6 tháng một lần trong quá trình sử dụng.
3. Đối với ứng dụng
mua ở dạng đóng gói:
- Theo dõi nắm bắt thông tin về các lỗ
hổng bảo mật mới và cập nhật thường xuyên bản vá lỗi về an
ninh, cho ứng dụng.
- Trường hợp lỗ hổng đã được phát hiện
mà chưa có bản vá lỗi của đơn vị sản
xuất phần mềm, phải thực hiện đánh giá rủi ro và có biện pháp phòng tránh phù hợp.
Điều 9. Đảm bảo
an toàn mức dữ liệu
1. Các nội dung
mật, quan trọng hoặc nhạy cảm khi lưu trữ trên thiết bị di động hoặc truyền nhận
trên hệ thống mạng phải được mã hóa, trong đó:
- Bí mật nhà nước của ngành Tài chính
phải được mã hóa bằng giải pháp do Ban Cơ yếu Chính phủ
cung cấp hoặc chấp nhận sử dụng trong ngành Tài chính; trường hợp chưa có hướng
dẫn của Ban Cơ yếu Chính phủ thì phải được sự đồng ý của Bộ Tài chính và đảm bảo
tuân thủ quy định của Nhà nước về cơ yếu.
- Áp dụng mã hóa kênh kết nối cho các
hoạt động sau: quản trị hệ thống;
đăng nhập mạng, ứng dụng; gửi nhận dữ liệu tự động giữa các máy chủ; nhập và
biên tập dữ liệu; tra cứu dữ liệu mật, nhạy cảm.
- Khuyến khích áp dụng công nghệ chữ
ký số để xác thực và bảo mật dữ liệu, đặc biệt trong trường hợp cần đảm bảo chống
từ chối nguồn gốc dữ liệu.
- Văn bản điện tử có nội dung cần hạn chế tiếp cận nhưng không thuộc
danh mục bí mật Nhà nước được sử dụng tính năng mã hóa (đặt mật khẩu) của các ứng dụng văn phòng (phần mềm soạn thảo,
đọc văn bản, nén tệp), nhưng phải sử dụng thuật toán mã hóa an toàn.
2. Các cá nhân thực hiện soạn thảo, gửi,
nhận dữ liệu có trách nhiệm xác định mức độ mật, nhạy cảm của dữ liệu để thực
hiện phương thức bảo vệ dữ liệu phù hợp hoặc yêu cầu bộ phận
công nghệ thông tin hướng dẫn, hỗ trợ phương thức bảo vệ trong trường hợp cần
thiết.
3. Chỉ sử dụng hệ thống thư điện tử
và các công cụ trao đổi thông tin do đơn vị quản lý trực tiếp, hoặc các cơ quan Nhà nước,
các tổ chức có thẩm quyền cung cấp để trao đổi thông tin,
tài liệu làm việc. Không sử dụng các phương tiện trao đổi
thông tin công cộng trên Internet cho mục đích này.
Điều 10. Đảm bảo
an toàn trong hoạt động trao đổi thông tin với các tổ chức, cá nhân ngoài ngành
Tài chính
1. Các tổ chức và cá nhân thuộc phạm
vi quy định tại điểm c khoản 2 Điều 1 phải có cam kết bảo mật thông tin của đơn vị và của ngành Tài chính trước khi bắt đầu thực hiện công việc theo hợp đồng, thỏa
thuận giữa hai bên.
2. Khi trao đổi các thông tin cần bảo
mật của đơn vị và của ngành Tài chính giữa đối tác và đơn
vị thông qua hệ thống mạng (thư điện tử, truyền tệp,...)
phải thực hiện mã hóa trước khi trao đổi theo quy định tại
Điều 9 của Quy định này.
4. Đối với trường hợp tổ chức, cá nhân bên ngoài có thiết lập kết nối mạng với đơn vị:
a) Phải thực hiện phân tích rủi ro về
an toàn thông tin trước khi thực hiện kết nối mạng giữa
đơn vị với tổ chức, cá nhân bên ngoài và có biện pháp kiểm soát các rủi ro này.
b) Hai bên phải thỏa thuận bằng văn bản các điều kiện cụ thể mà tổ chức, cá nhân bên ngoài
phải đáp ứng khi thiết lập kết nối mạng tới đơn vị và thực
hiện kiểm tra định kỳ việc thực hiện thỏa thuận này của tổ
chức, cá nhân bên ngoài.
Điều kiện tổ chức, cá nhân bên ngoài
phải đáp ứng tối thiểu bao gồm: phân đoạn mạng của tổ chức, cá nhân bên ngoài
được sử dụng để kết nối với hệ thống mạng của đơn vị phải
được kiểm soát bằng tường lửa, các máy tính trong phân đoạn mạng này phải được
cập nhật bản vá hệ điều hành, mẫu phòng diệt virus, các tài khoản truy cập hệ
thống tối thiểu phải áp dụng mật khẩu phức tạp, chỉ được kết nối Internet trong
trường hợp kết nối này phục vụ cho công việc của đơn vị
thuộc ngành Tài chính.
Điều 11. Sao
lưu, dự phòng sự cố
1. Đơn vị phải có thiết bị và quy
trình, nhân sự phục vụ công tác sao lưu dữ liệu phòng ngừa sự cố; định kỳ kiểm
tra tác dụng của dữ liệu sao lưu và phục hồi thử hệ thống từ dữ liệu sao lưu.
2. Đối với các hệ thống mạng và ứng dụng
quan trọng phải có biện pháp dự phòng về thiết bị, phần mềm, để đảm bảo sự hoạt
động liên tục của hệ thống.
Điều 12. Tài khoản
công nghệ thông tin
1. Tài khoản người dùng:
a) Mỗi người dùng khi sử dụng hệ thống
mạng, ứng dụng của đơn vị và của ngành Tài chính phải được cấp tài khoản truy cập với định danh duy nhất gắn với
người dùng đó. Trường hợp sử dụng tài khoản dùng chung cho một nhóm người hay một đơn vị phải có
cơ chế xác định các cá nhân có trách nhiệm quản lý tài khoản.
b) Tài khoản truy cập mạng của người
sử dụng không được có quyền quản trị trên máy tính nối mạng.
Tài khoản quản trị máy tính chỉ được sử dụng trong trường
hợp cài đặt phần mềm trên máy tính. Tài khoản quản trị máy tính để bàn phải do
bộ phận công nghệ thông tin của đơn vị nắm giữ. Đối với máy tính xách tay, người
dùng phải được hướng dẫn sử dụng đúng cách tài khoản quản trị máy tính và có
trách nhiệm thực hiện theo đúng hướng dẫn.
c) Các quyết định, thông báo về việc
người dùng điều chuyển công tác, thôi việc hoặc nghỉ việc phải được đồng thời
chuyển cho bộ phận quản lý tài khoản công nghệ thông tin để thực hiện điều chỉnh,
thu hồi, hủy bỏ các quyền sử dụng của người dùng đối với hệ
thống mạng và ứng dụng của đơn vị và của ngành Tài chính.
2. Tài khoản quản trị hệ thống (thiết
bị, mạng, ứng dụng, cơ sở dữ liệu) phải tách biệt với tài khoản truy cập mạng, ứng
dụng với tư cách người dùng thông thường. Tài khoản quản trị hệ thống phải được giao đích danh cá nhân làm công tác quản trị hệ thống.
Nghiêm cấm dùng chung tài khoản quản trị.
3. Phương tiện xác thực tài khoản:
a) Mật khẩu phức tạp phải được áp dụng
cho tất cả các tài khoản truy cập, sử dụng, quản trị hệ thống mạng, ứng dụng
trên hệ thống mạng máy tính nội bộ của đơn vị và của ngành Tài chính.
b) Thực hiện đổi mật khẩu định kỳ, tối
thiểu 3 tháng một lần đối với tài khoản của người dùng và 2 tháng một lần đối với
tài khoản quản trị hệ thống.
c) Người dùng, người làm công tác quản trị hệ thống có trách nhiệm bảo vệ thông tin tài khoản
được cấp, không tiết lộ mật khẩu hoặc đưa cho người khác phương tiện xác thực
tài khoản của mình ngoại trừ các trường hợp: cần xử lý công việc khẩn cấp của
đơn vị; cần cung cấp, bàn giao cho đơn vị các thông tin, tài liệu do cá nhân quản
lý. Chủ tài khoản phải đổi mật khẩu ngay sau khi kết thúc
xử lý các việc này.
Điều 13. Đảm bảo
an toàn trong công tác quản trị hệ thống
1. Máy tính dùng để quản trị hệ thống chỉ được cài đặt các phần mềm cần thiết cho hoạt động quản
trị hệ thống, đặt trong vùng mạng phục vụ công tác quản trị
hệ thống và chỉ được cấp quyền truy cập cho các cá nhân được
giao trách nhiệm quản trị hệ thống.
2. Thay đổi tên
tài khoản và mật khẩu mặc định của quản trị hệ thống được cung cấp khi hệ thống
được thiết lập.
3. Sử dụng kênh trao đổi thông tin an toàn (có mã hóa) cho truy cập quản trị hệ thống.
Điều 14. Quản lý
an toàn thông tin
1. Đơn vị phải phân công nhân sự quản
lý an toàn thông tin trên môi trường máy tính và mạng máy tính (bao gồm công
tác giám sát, kiểm tra việc thực hiện quy định này tại đơn
vị).
2. Đơn vị phải
ban hành quy trình cụ thể về việc phát hiện, báo cáo, xử lý và quản lý hoạt động
khắc phục các sự cố liên quan đến an toàn thông tin tại đơn vị.
3. Các hệ thống an ninh mạng (cập nhật
bản vá hệ điều hành, phòng diệt virus máy tính, tường lửa, phát hiện và phòng
chống tấn công,...) phải được giám sát thường xuyên để đảm
bảo tác dụng của hệ thống, đồng thời phát hiện và xử lý sớm các vấn đề về an
toàn thông tin. Thực hiện kết xuất định kỳ hàng tháng hoặc hàng quý các báo cáo
từ hệ thống an ninh mạng để theo dõi, đánh giá các vấn đề của hệ thống.
4. Người dùng phải được tập huấn kiến
thức về an toàn thông tin phù hợp phạm vi công việc và mức độ tham gia sử dụng
máy tính; được bộ phận công nghệ thông tin của đơn vị hướng dẫn, hỗ trợ, cung cấp các công cụ cần thiết để thực hiện trách nhiệm đảm bảo an toàn thông tin theo quy định.
Chương 3.
TRÁCH NHIỆM CỦA
ĐƠN VỊ, CÁ NHÂN
Điều 15. Trách
nhiệm của các đơn vị
1. Cục Tin học và Thống kê
tài chính:
a) Tổ chức phổ biến và triển khai thực
hiện Quy định này tại cơ quan Bộ Tài chính và các đơn vị có kết nối vào mạng nội
bộ cơ quan Bộ Tài chính.
b) Trình Bộ phê duyệt và tổ chức triển
khai kế hoạch ứng phó trong tình huống khẩn cấp (phát hiện có tấn công ăn cắp
bí mật nhà nước của ngành Tài chính qua đường mạng, các hệ thống thông tin quan
trọng của ngành Tài chính bị chiếm quyền điều khiển...).
c) Hướng dẫn, kiểm tra việc thực hiện
Quy định này của các Đơn vị hệ thống thuộc Bộ, các Sở Tài chính, các đơn vị có
kết nối trao đổi thông tin với mạng nội bộ cơ quan Bộ Tài chính.
d) Hướng dẫn, kiểm tra các đơn vị thuộc
Bộ Tài chính về việc thực hiện các yêu cầu của các cơ quan Nhà nước có thẩm quyền
về đảm bảo an toàn thông tin trên môi trường máy tính và mạng máy tính.
đ) Tổng hợp, báo cáo Bộ theo định kỳ
hàng quý về công tác đảm bảo an toàn thông tin của toàn ngành Tài chính theo
các nội dung của Quy định này và các vấn đề về an toàn thông tin trên môi trường
máy tính và mạng máy tính phát sinh trong kỳ báo cáo.
e) Trình Bộ sửa đổi, bổ sung Quy định
này để phù hợp với tình hình và điều kiện thực tế.
2. Các đơn vị hệ thống thuộc
Bộ Tài chính, Sở Tài chính:
a) Tổ chức triển khai thực hiện Quy định
này tại đơn vị.
b) Triển khai hoạt động ứng phó khẩn
cấp theo kế hoạch được Bộ phê duyệt và hướng dẫn của Cục
Tin học và Thống kê Tài chính.
c) Các đơn vị hệ thống thuộc Bộ Tài
chính hướng dẫn, kiểm tra việc thực hiện quy định của các đơn vị trực thuộc. Sở
Tài chính hướng dẫn, kiểm tra việc thực hiện quy định của các
Phòng Kế hoạch Tài chính trên cùng địa bàn tỉnh, thành phố.
d) Thực hiện các yêu cầu, hướng dẫn về
an toàn thông tin trên môi trường máy tính và mạng máy tính của các cơ quan Nhà
nước có thẩm quyền và của Cục Tin học và Thống kê Tài chính.
đ) Báo cáo Bộ (qua Cục Tin học và Thống
kê Tài chính) theo định kỳ hàng quý tình hình công tác đảm bảo an toàn thông
tin của đơn vị theo các nội dung của Quy định này và các vấn đề về an toàn thông tin trên môi trường máy tính và mạng máy tính phát
sinh trong kỳ báo cáo.
e) Phản ánh các vướng mắc, đề xuất sửa
đổi, bổ sung Quy định này trong quá trình thực hiện tới Cục Tin học và Thống kê Tài chính.
3. Các đơn vị tham gia sử dụng
hệ thống mạng nội bộ cơ quan Bộ Tài chính
a) Phối hợp với Cục Tin học và Thống
kê Tài chính trong việc triển khai, thực hiện quy định áp dụng cho đối tượng người
dùng tại đơn vị.
b) Phối hợp với Cục Tin học và Thống
kê Tài chính triển khai kế hoạch ứng phó tấn công khẩn cấp về các nội dung liên
quan tới đơn vị.
c) Phản ánh nhu cầu, vướng mắc trong
quá trình triển khai, thực hiện đảm bảo an ninh thông tin
tại đơn vị tới Cục Tin học và Thống kê tài chính.
Điều 16. Trách
nhiệm của cá nhân
1. Thủ trưởng đơn vị thuộc đối tượng
áp dụng của Quy định này có trách nhiệm phổ biến tới từng cán bộ, công chức,
viên chức, nhân viên của đơn vị; thường xuyên kiểm tra việc
thực hiện Quy định này tại đơn vị, định kỳ hàng quý báo cáo Bộ (qua Cục Tin học
và Thống kê Tài chính) chịu trách nhiệm trước pháp luật và
Lãnh đạo Bộ Tài chính về các vi phạm, thất thoát thông tin, dữ liệu mật thuộc
phạm vi quản lý của đơn vị do không tổ chức, chỉ đạo, kiểm tra sát sao cán bộ của đơn vị thực hiện đúng quy định.
2. Cán bộ, công chức, viên chức, nhân
viên của Bộ Tài chính, các đơn vị thuộc Bộ và các đơn vị
khác thuộc đối tượng áp dụng của quy định này chịu trách
nhiệm trước pháp luật và Lãnh đạo đơn vị về các vi phạm, thất thoát dữ liệu mật của ngành Tài chính do
không tuân thủ quy định./.