Quyết định 326/QĐ-BYT 2024 Quy chế đảm bảo an toàn thông tin an ninh mạng của Bộ Y tế

• Số hiệu: 326/QĐ-BYT
• Loại văn bản: Quyết định
• Nơi ban hành: Bộ Y tế
• Người ký: Trần Văn Thuấn
• Ngày ban hành: 07/02/2024

BỘ Y TẾ -------	CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc ---------------
Số: 326/QĐ-BYT	Hà Nội, ngày 07 tháng 02 năm 2024

QUYẾT ĐỊNH

BAN HÀNH QUY CHẾ BẢO ĐẢM AN TOÀN THÔNG TIN, AN NINH MẠNG CỦA BỘ Y TẾ

Căn cứ Luật An toàn thông tin mạng ngày 19 tháng 11 năm 2015;

Căn cứ Luật An ninh mạng ngày 12 tháng 6 năm 2018;

Căn cứ Nghị định số 95/2022/NĐ-CP ngày 15 tháng 11 năm 2022 của Chính phủ quy định chức năng, nhiệm vụ quyền hạn và cơ cấu tổ chức của Bộ Y tế;

Căn cứ Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;

Căn cứ Nghị định số 04/2019/NĐ-CP ngày 27 tháng 12 năm 2019 của Chính phủ quy định chi tiết trình tự, thủ tục áp dụng một số biện pháp bảo vệ an ninh mạng;

Căn cứ Nghị định số 53/2022/NĐ-CP ngày 15 tháng 8 năm 2022 của Chính phủ quy định chi tiết một số điều của Luật An ninh mạng;

Căn cứ Nghị định số 13/2023/NĐ-CP ngày 17 tháng 4 năm 2023 của Chính phủ về bảo vệ dữ liệu cá nhân;

Căn cứ Quyết định số 05/2017/QĐ-TTg ngày 16 tháng 3 năm 2017 của Thủ tướng Chính phủ ban hành quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia;

Căn cứ Quyết định số 12/QĐ-TTg ngày 01 tháng 02 năm 2019 của Thủ tướng Chính phủ ban hành Kế hoạch triển khai thi hành Luật An ninh mạng;

Căn cứ Chỉ thị số 01/CT-TTg ngày 18 tháng 02 năm 2021 của Thủ tướng Chính phủ về tăng cường công tác bảo vệ an ninh mạng trong tình hình hiện nay;

Căn cứ Thông tư số 20/2017/TT-BTTTT ngày 12 tháng 9 năm 2017 của Bộ Thông tin và Truyền thông quy định về điều phối, ứng cứu sự cố An toàn thông tin mạng trên toàn quốc;

Căn cứ Thông tư số 27/2017/TT-BTTTT ngày 20 tháng 10 năm 2017 của Bộ Thông tin và Truyền thông quy định về quản lý, vận hành, kết nối, sử dụng và bảo đảm an toàn thông tin trên mạng truyền số liệu chuyên dùng của các cơ quan Đảng, Nhà nước; Thông tư số 12/2019/TT-BTTTT ngày 05 tháng 11 năm 2019 của Bộ Thông tin và Truyền thông về Sửa đổi, bổ sung một số điều của Thông tư số 27/2017/TT-BTTTT ngày 20 tháng 10 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền thông quy định về quản lý, vận hành, kết nối, sử dụng và bảo đảm an toàn thông tin trên mạng truyền số liệu chuyên dùng của các cơ quan Đảng, Nhà nước;

Căn cứ Thông tư số 31/2017/TT-BTTTT ngày 15 tháng 11 năm 2017 của Bộ Thông tin và Truyền thông quy định hoạt động giám sát an toàn hệ thống thông tin;

Căn cứ Thông tư số 12/2022/TT-BTTTT ngày 12 tháng 8 năm 2022 của Bộ Thông tin và Truyền thông quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;

Theo đề nghị của Cục trưởng Cục Khoa học công nghệ và Đào tạo;

QUYẾT ĐỊNH:

Điều 1. Ban hành kèm theo Quyết định này “Quy chế bảo đảm an toàn thông tin, an ninh mạng của Bộ Y tế”.

Điều 2. Quyết định này có hiệu lực thi hành kể từ ngày ký, ban hành và thay thế Quyết định số 4159/QĐ-BYT ngày 13 tháng 10 năm 2014 của Bộ trưởng Bộ Y tế ban hành quy định về bảo đảm an toàn thông tin y tế điện tử tại các đơn vị trong ngành y tế.

Điều 3. Các Ông / Bà: Chánh Văn phòng Bộ, Cục trưởng Cục Khoa học công nghệ và Đào tạo, Giám đốc Trung tâm Thông tin y tế Quốc gia, Thủ trưởng các đơn vị thuộc và trực thuộc Bộ; các cơ quan, đơn vị, tổ chức và cá nhân liên quan chịu trách nhiệm thi hành Quyết định này./.

Nơi nhận: - Như Điều 3; - Bộ trưởng (để báo cáo); - Các Thứ trưởng (để phối hợp); - Các Bộ: Công an, TTTT; - Lưu: VT, K2ĐT.

KT. BỘ TRƯỞNG THỨ TRƯỞNG Trần Văn Thuấn

QUY CHẾ

BẢO ĐẢM AN TOÀN THÔNG TIN, AN NINH MẠNG CỦA BỘ Y TẾ
(Kèm theo Quyết định số 326/QĐ-BYT ngày 07/02/2024 của Bộ trưởng Bộ Y tế)

Chương I

QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh và đối tượng áp dụng

1. Phạm vi điều chỉnh: Quy chế này quy định về bảo đảm an toàn thông tin, an ninh mạng trong các hoạt động ứng dụng công nghệ thông tin của Bộ Y tế (sau đây gọi tắt là Bộ).

2. Đối tượng áp dụng:

a) Các cơ quan, đơn vị thuộc và trực thuộc Bộ (sau đây gọi tắt là đơn vị) và cán bộ, công chức, viên chức, người lao động của các đơn vị thuộc và trực thuộc Bộ (sau đây gọi tắt là cá nhân) tham gia hoạt động ứng dụng công nghệ thông tin của Bộ.

b) Cơ quan, tổ chức, cá nhân có kết nối vào hệ thống mạng của Bộ.

c) Cơ quan, tổ chức, cá nhân cung cấp dịch vụ công nghệ thông tin và an toàn thông tin mạng cho các đơn vị thuộc, trực thuộc Bộ.

Điều 2. Giải thích từ ngữ

Trong Quy chế này, các từ ngữ dưới đây được hiểu như sau:

1. Trung tâm dữ liệu (Data center): là tòa nhà hoặc một phần của tòa nhà có chức năng chính là chứa một phòng máy chủ và các khu vực hỗ trợ.

2. Phòng máy chủ: bao gồm hệ thống máy chủ, thiết bị chuyển mạch, thiết bị định tuyến, thiết bị lưu trữ, thiết bị bảo đảm an toàn thông tin mạng, thiết bị ngoại vi, thiết bị phụ trợ, đường truyền kết nối Internet và thiết bị phòng cháy, chữa cháy, chống sét và các thiết bị khác theo quy định.

3. Trang thiết bị công nghệ thông tin cá nhân: bao gồm máy tính để bàn, máy tính xách tay, thiết bị số (máy tính bảng, điện thoại thông minh,...) cá nhân.

Điều 3. Phạm vi bảo đảm an toàn thông tin, an ninh mạng

1. Trung tâm dữ liệu/Phòng máy chủ của Bộ và các đơn vị thuộc, trực thuộc Bộ.

2. Hệ thống mạng nội bộ (LAN), mạng diện rộng (WAN), mạng có kết nối Internet.

3. Máy tính, thiết bị ngoại vi, hệ thống thông tin, phần mềm, ứng dụng nghiệp vụ và cơ sở dữ liệu phục vụ công tác quản lý, điều hành, nghiệp vụ của Bộ và các đơn vị thuộc, trực thuộc Bộ.

4. Các hệ thống thông tin và cơ sở dữ liệu phục vụ công tác quản lý, điều hành nghiệp vụ của Bộ.

5. Các trang thiết bị công nghệ thông tin cá nhân.

Điều 4. Nguyên tắc bảo đảm an toàn thông tin, an ninh mạng

1. Bảo đảm an toàn thông tin, an ninh mạng là yêu cầu bắt buộc, thường xuyên, liên tục, đồng bộ từ khi thiết kế, xây dựng, vận hành, nâng cấp và hủy bỏ (dừng hoạt động) hệ thống thông tin. Bảo đảm an toàn thông tin, an ninh mạng phải tuân thủ các nguyên tắc chung, được quy định tại Điều 4 Luật An toàn thông tin mạng, Điều 4 Luật An ninh mạng, Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ (Nghị định số 85/2016/NĐ-CP).

2. Đơn vị vận hành hệ thống thông tin có trách nhiệm bảo đảm an toàn thông tin, an ninh mạng đối với hệ thống thông tin của đơn vị mình quản lý và sử dụng; bố trí nhân sự để sẵn sàng xử lý sự cố an toàn thông tin, an ninh mạng đối với các hệ thống thông tin do đơn vị mình quản lý.

3. Cá nhân có trách nhiệm bảo đảm an toàn thông tin, an ninh mạng trong phạm vi xử lý công việc của mình theo quy định của Nhà nước và của Bộ.

4. Thông tin mật, thông tin thuộc Danh mục bí mật nhà nước ngành y tế phải được bảo vệ theo quy định của Nhà nước, quy định của Bộ Y tế về công tác bảo vệ bí mật nhà nước và các nội dung tương ứng trong Quy chế này.

5. Xử lý sự cố an toàn thông tin, an ninh mạng phải phù hợp với trách nhiệm, quyền hạn, bảo đảm lợi ích hợp pháp của đơn vị, cá nhân liên quan và theo quy định của pháp luật.

Điều 5. Các hành vi bị nghiêm cấm

1. Các hành vi bị nghiêm cấm được quy định tại Điều 7 Luật An toàn thông tin mạng và Điều 8 Luật An ninh mạng.

2. Tự ý đấu nối thiết bị mạng, thiết bị cấp phát địa chỉ mạng, thiết bị phát sóng như điểm truy cập mạng không dây của cá nhân vào mạng nội bộ; trên cùng một thiết bị thực hiện đồng thời truy cập vào mạng nội bộ và truy cập Internet bằng thiết bị kết nối Internet của cá nhân (như điện thoại di động, máy tính bảng, máy tính xách tay, USB 3G/4G/5G, ...).

3. Tự ý thay đổi, gỡ bỏ các biện pháp an toàn thông tin, an ninh mạng được cài đặt trên thiết bị công nghệ thông tin phục vụ công việc; tự ý thay thế, lắp mới, tráo đổi thành phần của máy tính phục vụ công việc.

4. Tạo ra, cài đặt, phát tán phần mềm độc hại.

5. Cản trở hoạt động cung cấp dịch vụ của hệ thống thông tin; ngăn chặn việc truy nhập đến thông tin của cơ quan, cá nhân khác trên môi trường mạng, trừ trường hợp pháp luật cho phép.

6. Bẻ khóa, trộm cắp, sử dụng mật khẩu, khóa mật mã và thông tin của cơ quan, cá nhân khác trên môi trường mạng.

7. Các hành vi khác làm mất an toàn, bí mật thông tin của cơ quan, cá nhân khác được trao đổi, truyền đưa, lưu trữ trên môi trường mạng.

Chương II

QUY ĐỊNH BẢO ĐẢM AN TOÀN THÔNG TIN, AN NINH MẠNG

Điều 6. Bảo đảm an toàn thông tin, an ninh mạng tại Trung tâm dữ liệu/Phòng máy chủ

1. Trung tâm Thông tin y tế Quốc gia là đơn vị quản lý, vận hành Trung tâm dữ liệu của Bộ, có trách nhiệm xây dựng nội quy, quy chế quản lý, vận hành, bảo đảm an toàn thông tin, an ninh mạng đối với Trung tâm dữ liệu của Bộ.

2. Đơn vị quản lý vận hành Trung tâm dữ liệu/Phòng máy chủ của các đơn vị có trách nhiệm xây dựng nội quy, quy chế quản lý, vận hành, bảo đảm an toàn thông tin, an ninh mạng đối với Trung tâm dữ liệu/Phòng máy chủ của đơn vị.

3. Bảo đảm vận hành Trung tâm dữ liệu/Phòng máy chủ

a) Trung tâm dữ liệu/Phòng máy chủ là khu vực hạn chế tiếp cận, chỉ những cá nhân có quyền, nhiệm vụ theo quy định của thủ trưởng đơn vị mới được phép vào Trung tâm dữ liệu/Phòng máy chủ. Việc vào, ra Trung tâm dữ liệu/Phòng máy chủ phải được kiểm soát bằng thiết bị bảo vệ (quẹt thẻ, vân tay, sinh trắc học,...);

b) Các thiết bị kết nối mạng, thiết bị bảo mật quan trọng như tường lửa (firewall), thiết bị định tuyến (router), hệ thống máy chủ, hệ thống lưu trữ SAN, NAS, ... phải được đặt trong Trung tâm dữ liệu/Phòng máy chủ và phải được thiết lập cơ chế bảo vệ, theo dõi phát hiện xâm nhập, biện pháp kiểm soát truy nhập, kết nối vật lý phù hợp với từng khu vực: máy chủ và hệ thống lưu trữ; tủ mạng và đầu nối; thiết bị nguồn điện và dự phòng điện khẩn cấp; vận hành, kiểm soát, quản trị hệ thống. Đơn vị chủ quản Trung tâm dữ liệu/Phòng máy chủ có trách nhiệm xây dựng nội quy hoặc hướng dẫn làm việc khu vực này.

c) Trung tâm dữ liệu/Phòng máy chủ phải được trang bị hệ thống lưu điện đủ công suất và duy trì thời gian hoạt động của các máy chủ ít nhất 15 phút khi có sự cố mất điện.

Điều 7. Bảo đảm an toàn thông tin, an ninh của hệ thống mạng

1. Hệ thống mạng nội bộ (LAN) phải được thiết kế số lượng phân vùng mạng theo cấp độ hệ thống thông tin. Dữ liệu trao đổi giữa các vùng mạng phải được quản lý giám sát bởi các hệ thống các thiết bị mạng, thiết bị bảo mật. Căn cứ điều kiện, yêu cầu thực tế về bảo mật dữ liệu, đơn vị là chủ quản hệ thống mạng nội bộ chủ động triển khai xây dựng mô hình, giải pháp an toàn, bảo mật bao gồm:

a) Kiểm soát truy nhập từ bên ngoài mạng (sử dụng các giao thức mạng có hỗ trợ chức năng mã hóa thông tin như SSH, SSL/TLS, VPN hoặc tương đương).

b) Kiểm soát truy nhập từ bên trong mạng (quản lý các thiết bị đầu cuối, máy tính người sử dụng kết nối vào hệ thống mạng; giám sát, phát hiện và ngăn chặn truy nhập từ bên trong mạng đến các địa chỉ Internet bị cấm truy nhập).

c) Phòng, chống xâm nhập và phần mềm độc hại, bảo vệ các vùng mạng máy chủ công cộng, máy chủ nội bộ, máy chủ cơ sở dữ liệu và vùng mạng nội bộ. Phát hiện và vô hiệu hóa tất cả các dịch vụ không cần thiết tại từng vùng mạng có thể gây mất an toàn, an ninh thông tin.

d) Cấu hình chức năng xác thực trên các thiết bị kết nối mạng để xác thực người sử dụng quản trị thiết bị trực tiếp hoặc từ xa.

đ) Đối với mạng không dây, phải có giải pháp bảo toàn tính toàn vẹn và bí mật của thông tin được truyền đưa trên môi trường mạng, có hướng dẫn bảo đảm an toàn thông tin dành cho các thiết bị đầu cuối khi kết nối vào mạng. Việc thay đổi mật khẩu định kỳ, các điểm truy nhập không dây phải được bảo vệ, tránh bị tiếp cận trái phép.

e) Hệ thống máy chủ phải có chức năng tự động cập nhật bản ghi và lưu nhật ký hệ thống trong khoảng thời gian nhất định (tối thiểu 06 tháng), lưu trữ thông tin kết nối mạng, quá trình đăng nhập vào máy chủ, các thao tác cấu hình hệ thống, lỗi phát sinh trong quá trình hoạt động và các thông tin liên quan về an toàn thông tin để bảo đảm công tác khắc phục sự cố, điều tra về an toàn thông tin. Xóa sạch thông tin, dữ liệu trên máy chủ khi chuyển giao hoặc thay đổi mục đích sử dụng.

2. Áp dụng các biện pháp kỹ thuật cần thiết bảo đảm an toàn thông tin, an ninh mạng trong hoạt động kết nối Internet, tối thiểu đáp ứng các yêu cầu sau:

a) Có hệ thống tường lửa, hệ thống bảo vệ kiểm soát truy nhập Internet, đáp ứng nhu cầu kết nối đồng thời; hỗ trợ các công nghệ mạng riêng ảo; quản lý luồng dữ liệu ra, vào và có khả năng bảo vệ hệ thống trước các loại tấn công mạng.

b) Lọc bỏ, không cho phép truy nhập các trang tin có nghi ngờ chứa mã độc hoặc các nội dung không phù hợp.

c) Chỉ thiết lập kết nối Internet cho các máy chủ và thiết bị công nghệ thông tin cần phải có giao tiếp với Internet.

3. Các đường truyền dữ liệu, đường truyền Internet và các hệ thống dây dẫn mạng LAN, WAN phải được lắp đặt trong ống, máng che đậy kín, hạn chế khả năng tiếp cận trái phép. Ngắt kết nối cổng Ethernet không sử dụng, đặc biệt là ở khu vực làm việc chung của các cơ quan, đơn vị.

Điều 8. Bảo đảm an toàn thông tin, an ninh mạng đối với các hệ thống thông tin quản lý và các cơ sở dữ liệu của Bộ

1. Bảo đảm an toàn thông tin, an ninh mạng trong xây dựng, nâng cấp hệ thống thông tin và các cơ sở dữ liệu,

a) Khi xây dựng mới hoặc nâng cấp hệ thống thông tin, các cơ sở dữ liệu, đơn vị vận hành hệ thống thông tin có trách nhiệm xây dựng phương án bảo đảm an toàn, an ninh cho các hệ thống thông tin, cơ sở dữ liệu; rà soát cấp độ an toàn của hệ thống thông tin và thực hiện điều chỉnh hồ sơ đề xuất cấp độ trong trường hợp cần thiết.

b) Quá trình tổ chức xây dựng, nâng cấp hệ thống thông tin phải tuân thủ phương án bảo đảm an toàn thông tin, an ninh mạng và các quy định liên quan.

2. Bảo đảm an toàn thông tin, an ninh mạng khi đưa vào khai thác sử dụng hệ thống thông tin và các cơ sở dữ liệu.

a) Bảo đảm an toàn thông tin, an ninh mạng trong quản lý hệ thống thông tin:

- Chủ quản hệ thống thông tin chịu trách nhiệm bảo đảm an toàn thông tin cho các hệ thống thông tin theo quy định tại các Điều 22, 23, 24 Luật An toàn thông tin mạng và Khoản 2 Điều 17, các Điều 18, 19, 20, 21, 22 của Luật An ninh mạng.

b) Bảo đảm an toàn thông tin, an ninh mạng trong vận hành hệ thống thông tin:

- Đơn vị vận hành hệ thống thông tin phải thực hiện các quy định về bảo đảm an toàn thông tin theo Điều 22 Nghị định số 85/2016/NĐ-CP.

- Đơn vị vận hành hệ thống thông tin thường xuyên kiểm tra, giám sát an toàn hệ thống thông tin; tuân thủ quy trình vận hành, quy trình xử lý sự cố đã xây dựng; lưu trữ đầy đủ nhật ký hệ thống thông tin để phục vụ quản lý và kiểm soát thông tin.

c) Bảo đảm an toàn thông tin, an ninh mạng trong quản lý và sử dụng tài khoản truy cập các hệ thống thông tin:

- Khi được cấp tài khoản sử dụng hệ thống thông tin, cá nhân phải đổi mật khẩu trong lần đăng nhập đầu tiên; mật khẩu phải đủ mạnh (có độ dài ít nhất 8 ký tự, gồm: chữ cái hoa và thường, chữ số và ký tự đặc biệt); thay đổi mật khẩu tối thiểu 06 tháng/lần. Cá nhân có trách nhiệm bảo mật thông tin tài khoản truy nhập, không chia sẻ mật khẩu với người khác. Đăng xuất hệ thống thông tin khi không sử dụng.

- Khi cá nhân thay đổi vị trí, chuyển công tác, thôi việc, nghỉ hưu hoặc cần tạm khóa quyền truy cập tài khoản người sử dụng, đơn vị quản lý cá nhân đó phải thông báo cho đơn vị vận hành hệ thống thông tin thực hiện điều chỉnh, tạm khóa, thu hồi hoặc hủy bỏ tài khoản.

- Đơn vị vận hành hệ thống thông tin có quyền khóa quyền truy cập của tài khoản trong trường hợp tài khoản đó thực hiện các hành vi tấn công hoặc để xảy ra vấn đề mất an toàn thông tin. Hạn chế dùng chung tài khoản quản trị.

d) Bảo đảm an toàn thông tin mức ứng dụng

- Yêu cầu về bảo đảm an toàn thông tin phải được đưa vào tất cả các công đoạn thiết kế, xây dựng, triển khai và vận hành, sử dụng phần mềm, ứng dụng.

- Phần mềm, ứng dụng phải đáp ứng các yêu cầu sau: cấu hình phần mềm, ứng dụng để xác thực người sử dụng; giới hạn số lần đăng nhập sai liên tiếp; giới hạn thời gian để chờ đóng phiên kết nối; mã hóa thông tin xác thực trên hệ thống; không khuyến khích việc đăng nhập tự động.

- Thiết lập, phân quyền truy nhập, quản trị, sử dụng tài nguyên khác nhau của phần mềm, ứng dụng với người sử dụng/nhóm người sử dụng có chức năng, yêu cầu nghiệp vụ khác nhau; tách biệt cổng giao tiếp quản trị phần mềm ứng dụng với cổng giao tiếp cung cấp dịch vụ; đóng các cổng giao tiếp không sử dụng.

- Chỉ cho phép sử dụng các giao thức mạng có hỗ trợ chức năng mã hóa thông tin như SSH, SSL, VPN hoặc tương đương khi truy nhập, quản trị phần mềm, ứng dụng từ xa trên môi trường mạng; hạn chế truy cập đến mã nguồn của phần mềm, ứng dụng và phải đặt mã nguồn trong môi trường an toàn do bộ phận chuyên trách công nghệ thông tin quản lý.

- Ghi và lưu giữ bản ghi nhật ký hệ thống của phần mềm, ứng dụng trong khoảng thời gian tối thiểu 03 tháng với những thông tin cơ bản: thời gian, địa chỉ, tài khoản (nếu có), nội dung truy nhập và sử dụng phần mềm, ứng dụng; các lỗi phát sinh trong quá trình hoạt động; thông tin đăng nhập khi quản trị.

- Phần mềm, ứng dụng cần được kiểm tra phát hiện và khắc phục các điểm yếu về an toàn, an ninh thông tin trước khi đưa vào sử dụng và trong quá trình sử dụng.

- Phần mềm, ứng dụng cần được kiểm tra phát hiện và khắc phục các điểm yếu về an toàn, an ninh thông tin trước khi đưa vào thiết bị kết nối mạng đang hoạt động thuộc hệ thống mạng nội bộ.

đ) Bảo đảm an toàn thông tin mức dữ liệu, cơ sở dữ liệu

- Đơn vị phải thực hiện bảo vệ thông tin, dữ liệu liên quan đến hoạt động công vụ, thông tin có nội dung quan trọng, nhạy cảm hoặc không phải là thông tin công khai bằng các biện pháp như: thiết lập phương án bảo đảm tính bí mật, nguyên vẹn và khả dụng của thông tin, dữ liệu; mã hóa thông tin, dữ liệu khi lưu trữ trên hệ thống/thiết bị lưu trữ dữ liệu di động; sử dụng chữ ký số để xác thực và bảo mật thông tin, dữ liệu.

- Đơn vị cần triển khai hệ thống/phương tiện lưu trữ độc lập với hệ thống lưu trữ trên các máy chủ dịch vụ để sao lưu dự phòng; phân loại và quản lý thông tin, dữ liệu được lưu trữ theo từng loại/nhóm thông tin được gán nhãn khác nhau; thực hiện sao lưu dự phòng các thông tin, dữ liệu cơ bản sau: tập tin cấu hình hệ thống, ảnh hệ điều hành máy chủ, cơ sở dữ liệu; dữ liệu, thông tin nghiệp vụ.

- Đơn vị cần bố trí máy tính riêng không kết nối mạng, đặt mật khẩu, mã hóa dữ liệu và các biện pháp bảo mật khác bảo đảm an toàn thông tin để soạn thảo, lưu trữ dữ liệu, thông tin và tài liệu quan trọng ở các mức độ mật, tuyệt mật, tối mật.

- Các đơn vị thuộc, trực thuộc Bộ phải thường xuyên kiểm tra, giám sát các hoạt động chia sẻ, gửi, nhận thông tin, dữ liệu trong hoạt động nội bộ của mình; khuyến cáo việc chia sẻ, gửi, nhận thông tin trên môi trường mạng cần phải sử dụng mật khẩu để bảo vệ thông tin.

- Đối với hoạt động trao đổi thông tin, dữ liệu với bên ngoài, đơn vị và cá nhân thực hiện trao đổi thông tin, dữ liệu ra bên ngoài cam kết và có biện pháp bảo mật thông tin, dữ liệu được trao đổi. Giao dịch trực tuyến phải được truyền đầy đủ, đúng địa chỉ, tránh bị sửa đổi, tiết lộ hoặc nhân bản một cách trái phép; sử dụng các cơ chế xác thực mạnh, chữ ký số khi tham gia giao dịch, sử dụng các giao thức truyền thông an toàn.

Điều 9. Bảo đảm an toàn thông tin, an ninh mạng khi sử dụng máy tính và thiết bị ngoại vi

1. Máy tính và thiết bị ngoại vi của đơn vị phải được cài đặt hệ điều hành, phần mềm soạn thảo văn bản, phần mềm chuyên dụng để xử lý công việc và tuân thủ các quy định sau:

a) Chỉ cài đặt phần mềm hợp lệ (phần mềm có bản quyền thương mại, phần mềm nội bộ hoặc phần mềm mã nguồn mở được đầu tư (hoặc thuê dịch vụ) có nguồn gốc rõ ràng) và thuộc danh mục phần mềm được phép sử dụng do đơn vị có thẩm quyền của Bộ Y tế ban hành (nếu có); không được tự ý cài đặt hoặc gỡ bỏ các phần mềm khi chưa có sự đồng ý của bộ phận chuyên trách về công nghệ thông tin; thường xuyên cập nhật phần mềm và hệ điều hành.

b) Cài đặt phần mềm xử lý phần mềm độc hại và thiết lập chế độ tự động cập nhật cơ sở dữ liệu cho phần mềm; thực hiện kiểm tra, rà quét phần mềm độc hại khi sao chép, mở các tập tin hoặc trước khi kết nối các thiết bị lưu trữ dữ liệu di động với máy tính của mình.

c) Khi phát hiện bất kỳ dấu hiệu nào liên quan đến việc bị nhiễm phần mềm độc hại trên máy tính (máy chạy chậm bất thường, cảnh báo từ phần mềm phòng, chống phần mềm độc hại, mất dữ liệu,...), phải tắt máy và báo trực tiếp cho bộ phận chuyên trách về công nghệ thông tin để được xử lý kịp thời.

d) Chỉ truy nhập vào các trang/cổng thông tin điện tử, ứng dụng trực tuyến tin cậy và các thông tin phù hợp với chức năng, trách nhiệm, quyền hạn của mình; sử dụng những trình duyệt an toàn; không truy nhập, mở các trang tin, thư điện tử không rõ nguồn gốc; không sử dụng tính năng lưu mật khẩu tự động hoặc đăng nhập tự động.

đ) Có trách nhiệm bảo mật tài khoản truy nhập thông tin, không chia sẻ mật khẩu, thông tin cá nhân với người khác. Đặt mật khẩu với độ an toàn cao (tối thiểu 8 ký tự bao gồm: có chữ thường, có chữ in hoa, có số và ký tự đặc biệt như @, #, !,...) và thay đổi mật khẩu tối thiểu 6 tháng/lần; các tài khoản đăng nhập các hệ thống phải được đăng xuất khi không sử dụng; thường xuyên xóa bộ nhớ cache và cookie trong trình duyệt trên máy tính.

e) Thực hiện thao tác khóa máy tính (sử dụng tính năng có sẵn trên máy tính) khi rời khỏi nơi đặt máy tính; tắt máy tính khi rời khỏi đơn vị.

2. Trước khi mang máy tính, thiết bị công nghệ thông tin có kết nối mạng thuộc sở hữu riêng đến nơi làm việc và kết nối với mạng nội bộ để thực hiện xử lý công việc phải báo cáo và phải được lãnh đạo đơn vị đồng ý, cho phép. Trong trường hợp này, cá nhân phải tuân thủ đầy đủ các quy định tại các điểm a, b, c, d, đ, e khoản 1 Điều này và chịu sự giám sát của bộ phận chuyên trách về công nghệ thông tin của đơn vị.

3. Đối với văn bản có nội dung bí mật nhà nước:

a) Các đơn vị phải bố trí ít nhất một máy tính, máy in (hoặc máy phô-tô) không kết nối mạng Internet, mạng máy tính, mạng viễn thông để soạn thảo các văn bản có nội dung bí mật nhà nước.

b) Công chức, viên chức, nhân viên được giao nhiệm vụ trong quá trình xử lý công việc, soạn thảo văn bản có nội dung bí mật nhà nước chỉ sử dụng máy vi tính không kết nối mạng Internet, mạng máy tính, mạng viễn thông; việc lưu trữ văn bản phải được thực hiện ở các thiết bị riêng biệt (như USB, ổ cứng di động đã được kiểm định hoặc vật có tính năng tương tự). Trường hợp không có thiết bị lưu trữ, khi soạn thảo tài liệu có nội dung bí mật phải đặt mã khóa bảo vệ bản mềm tại máy tính soạn thảo để bảo vệ bí mật nhà nước theo đúng quy định.

Điều 10. Quản lý trang thiết bị công nghệ thông tin, an toàn, an ninh thông tin đối với cá nhân

1. Quản lý trang thiết bị công nghệ thông tin đối với cá nhân:

a) Giao, gắn trách nhiệm cho cá nhân hoặc tập thể quản lý, sử dụng trang thiết bị công nghệ thông tin.

b) Quy định việc sử dụng, giữ gìn bảo vệ trang thiết bị công nghệ thông tin trong các trường hợp như: mang ra khỏi cơ quan, trang thiết bị công nghệ thông tin liên quan đến dữ liệu nhạy cảm, cài đặt và cấu hình.

c) Trang thiết bị công nghệ thông tin có lưu trữ dữ liệu nhạy cảm khi thay đổi mục đích sử dụng hoặc thanh lý, đơn vị phải thực hiện các biện pháp xóa, tiêu hủy dữ liệu đó đảm bảo không có khả năng phục hồi. Trường hợp không thể tiêu hủy được dữ liệu, đơn vị phải thực hiện tiêu hủy cấu phần lưu trữ dữ liệu trên trang thiết bị công nghệ thông tin đó.

d) Thiết bị tính toán có bộ phận lưu trữ hoặc thiết bị lưu trữ khi mang đi bảo hành, bảo dưỡng, sửa chữa bên ngoài hoặc ngừng sử dụng phải tháo bộ phận lưu trữ khỏi thiết bị hoặc xóa thông tin, dữ liệu lưu trữ trên thiết bị (trừ trường hợp để khôi phục dữ liệu).

đ) Các đơn vị trực thuộc Bộ có trách nhiệm bảo dưỡng, bảo trì và hướng dẫn cách sử dụng, quản lý, vận hành hệ thống hạ tầng kỹ thuật của mình; chỉ định bộ phận chuyên trách về công nghệ thông tin thực hiện quản lý, vận hành và định kỳ kiểm tra, sửa chữa, bảo trì thiết bị (bao gồm thiết bị đang hoạt động và thiết bị dự phòng).

2. Quản lý an toàn, an ninh thông tin đối với cá nhân:

a) Các đơn vị thuộc, trực thuộc Bộ phải xây dựng các yêu cầu, trách nhiệm bảo đảm an toàn, an ninh thông tin đối với từng vị trí công việc. Sau khi tuyển dụng, tiếp nhận nhân sự mới, đơn vị phải có trách nhiệm phổ biến cho nhân sự mới các quy định về bảo đảm an toàn, an ninh thông tin tại đơn vị; đối với các vị trí tiếp xúc, quản lý các thông tin, dữ liệu quan trọng hoặc quản trị các hệ thống thông tin quan trọng, đơn vị phải yêu cầu nhân sự mới cam kết bảo mật thông tin bằng văn bản hoặc cam kết trong hợp đồng làm việc, hợp đồng lao động.

b) Các đơn vị thuộc, trực thuộc Bộ phải thường xuyên tổ chức quán triệt các quy định về an toàn, an ninh thông tin, nhằm nâng cao nhận thức về trách nhiệm bảo đảm an toàn thông tin của từng cá nhân trong đơn vị.

c) Các đơn vị thuộc, trực thuộc Bộ phải xây dựng quy trình cấp mới, quản lý và thu hồi tài khoản, phân quyền truy cập các hệ thống thông tin và tất cả các tài sản liên quan đến hệ thống thông tin đối với các cá nhân do đơn vị quản lý.

d) Khi cá nhân chấm dứt hoặc thay đổi công việc, cơ quan, đơn vị phải:

- Xác định rõ trách nhiệm của cán bộ, nhân viên và các bên liên quan trong quản lý, sử dụng các tài sản công nghệ thông tin được giao.

- Lập biên bản bàn giao tài sản công nghệ thông tin.

- Thay đổi hoặc thu hồi quyền truy cập các hệ thống thông tin.

Điều 11. Xác định cấp độ và phương án bảo đảm an toàn thông tin, an ninh mạng hệ thống thông tin

1. Các hệ thống thông tin phải thực hiện bảo đảm an toàn thông tin, an ninh mạng theo cấp độ theo quy định tại Nghị định số 85/2016/NĐ-CP và Nghị định số 53/2022/NĐ-CP

2. Chủ quản hệ thống thông tin

a) Bộ Y tế là chủ quản hệ thống thông tin đối với các hệ thống do Bộ quyết định đầu tư hoặc Bộ được giao làm chủ đầu tư nhiệm vụ, dự án xây dựng, thiết lập, nâng cấp, mở rộng hệ thống thông tin. Bộ Y tế ủy quyền cho các đơn vị thuộc, trực thuộc Bộ quản lý trực tiếp các hệ thống do Bộ làm chủ quản thông qua một trong các văn bản sau: Quyết định phê duyệt dự án, trong đó giao đơn vị làm chủ đầu tư dự án; Thông tư của Bộ Y tế hoặc Quyết định của Bộ trưởng Bộ Y tế có nội dung giao đơn vị làm nhiệm vụ quản lý hệ thống; Văn bản ủy quyền theo quy định tại khoản 3 Điều 4 Thông tư số 12/2022/TT-BTTTT ngày 12 tháng 8 năm 2022 của Bộ Thông tin và Truyền thông quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ (Thông tư số 12/2022/TT-BTTTT).

b) Các đơn vị thuộc, trực thuộc Bộ là chủ quản hệ thống thông tin do đơn vị quyết định đầu tư dự án xây dựng, thiết lập, nâng cấp, mở rộng hệ thống thông tin; là chủ quản hệ thống thông tin do đơn vị phê duyệt đề cương, dự toán chi tiết; quản lý trực tiếp các hệ thống do Bộ Y tế ủy quyền theo quy định tại điểm a khoản này.

c) Chủ quản hệ thống thông tin (hoặc đơn vị được ủy quyền quản lý trực tiếp hệ thống thông tin) thực hiện trách nhiệm theo quy định tại Điều 20 Nghị định 85/2016/NĐ-CP.

3. Đơn vị vận hành hệ thống thông tin

a) Các hệ thống thông tin trước khi đưa vào khai thác, sử dụng phải được giao cho đơn vị quản lý, vận hành.

b) Đơn vị vận hành hệ thống thông tin theo quy định tại Điều 5 Thông tư số 12/2022/TT-BTTTT.

4. Đơn vị chuyên trách về an toàn thông tin

a) Cục Khoa học công nghệ và Đào tạo là đơn vị chuyên trách về an toàn thông tin của Bộ Y tế.

b) Đơn vị (hoặc bộ phận) chuyên trách về công nghệ thông tin đồng thời là đơn vị chuyên trách về an toàn thông tin tại các đơn vị thuộc, trực thuộc Bộ.

5. Thẩm quyền xác định cấp độ an toàn hệ thống thông tin

a) Đơn vị lập hồ sơ đề xuất cấp độ: Đối với các hệ thống thông tin thuộc các nhiệm vụ, dự án đang trong giai đoạn lập dự án, đơn vị lập dự án lập hồ sơ đề xuất cấp độ; Đối với các hệ thống thông tin thuê dịch vụ công nghệ thông tin, đơn vị chủ trì thuê dịch vụ lập hồ sơ đề xuất cấp độ; Đối với các hệ thống thông tin đang trong giai đoạn triển khai, đơn vị chủ trì triển khai lập hồ sơ đề xuất cấp độ; Đối với các hệ thống thông tin đang vận hành, đơn vị vận hành lập hồ sơ đề xuất cấp độ.

b) Đối với các hệ thống thông tin được đề xuất từ cấp độ 3 trở lên, đơn vị chuyên trách về an toàn thông tin của các đơn vị thuộc, trực thuộc Bộ cần gửi xin ý kiến chuyên môn của Cục Khoa học công nghệ và Đào tạo trước khi trình các cấp có thẩm quyền thẩm định, phê duyệt cấp độ.

c) Thẩm quyền thẩm định và phê duyệt cấp độ theo quy định tại điểm b, Khoản 1, Điều 12 của Thông tư số 12/2022/TT-BTTTT.

6. Trình tự, thủ tục xác định cấp độ hệ thống thông tin

a) Việc xác định, phân loại hệ thống thông tin theo quy định tại Điều 7 Thông tư số 12/2022/TT-BTTTT.

b) Nội dung của hồ sơ đề xuất cấp độ hệ thống thông tin theo quy định tại Điều 15 Nghị định 85/2016/NĐ-CP.

d) Nội dung, thời gian thẩm định hồ sơ đề xuất cấp độ hệ thống thông tin quy định tại Điều 16 Nghị định 85/2016/NĐ-CP.

e) Trình tự, thủ tục xác định cấp độ hệ thống thông tin theo quy định tại Điều 13, Điều 14 Nghị định 85/2016/NĐ-CP.

7. Phương án bảo đảm an toàn hệ thống thông tin

a) Phương án bảo đảm an toàn hệ thống thông tin phải phù hợp với cấp độ của hệ thống thông tin và đáp ứng yêu cầu quy định tại Thông tư số 12/2022/TT-BTTTT, phù hợp với tiêu chuẩn TCVN 11930:2017, các tiêu chuẩn, quy chuẩn kỹ thuật khác và chính sách an toàn thông tin mạng của Bộ Y tế, chính sách an toàn thông tin mạng của các đơn vị thuộc, trực thuộc Bộ (nếu có).

b) Chủ quản hệ thống thông tin hoặc đơn vị được ủy quyền quản lý trực tiếp hệ thống thông tin tổ chức triển khai phương án bảo đảm an toàn hệ thống thông tin sau khi hồ sơ đề xuất cấp độ hoặc phương án bảo đảm an toàn hệ thống được phê duyệt.

c) Đơn vị/bộ phận chuyên trách về an toàn thông tin thuộc đơn vị chịu trách nhiệm giám sát việc triển khai các phương án bảo đảm an toàn thông tin đã được phê duyệt.

2. Phương án bảo đảm an toàn thông tin, an ninh mạng hệ thống thông tin phải phù hợp với cấp độ của hệ thống thông tin và đáp ứng yêu cầu quy định tại Nghị định số 85/2016/NĐ-CP, Điều 24, Điều 25 của Nghị định số 53/2022/NĐ-CP, Thông tư số 12/2022/TT-BTTTT ngày 12/8/2022 của Bộ Thông tin và Truyền thông, đáp ứng tiêu chuẩn TCVN 11930:2017 và quy định về an toàn thông tin mạng của Bộ.

Điều 12. Giám sát an toàn thông tin, an ninh mạng

1. Các hệ thống thông tin phải được thực hiện giám sát an toàn thông tin, an ninh mạng.

2. Đơn vị vận hành hệ thống thông tin có trách nhiệm phối hợp với Trung tâm Thông tin y tế Quốc gia tổ chức thực hiện việc giám sát hệ thống thông tin theo Điều 15 của Nghị định số 53/2022/NĐ-CP và Thông tư số 31/2017/TT-BTTTT ngày 15/11/2017 của Bộ Thông tin và Truyền thông về quy định hoạt động giám sát an toàn hệ thống thông tin.

3. Đối với hệ thống thông tin quan trọng về an ninh quốc gia, thực hiện giám sát an ninh mạng theo Điều 14 Luật An ninh mạng.

Điều 13. Ứng cứu sự cố an toàn hệ thống thông tin

1. Đơn vị chuyên trách ứng cứu khẩn cấp sự cố an toàn thông tin mạng:

a) Trung tâm Thông tin Y tế Quốc gia là đơn vị chuyên trách về ứng cứu sự cố an toàn thông tin mạng của Bộ. Đơn vị/bộ phận chuyên trách về an toàn thông tin mạng tại các đơn vị thuộc, trực thuộc Bộ đảm nhiệm vai trò chuyên trách về ứng cứu sự cố an toàn thông tin mạng trong phạm vi quản lý công nghệ thông tin của đơn vị. Đơn vị/bộ phận chuyên trách về ứng cứu sự cố an toàn thông tin mạng thực hiện trách nhiệm quy định tại khoản 2 Điều 6 Quyết định số 05/2017/QĐ-TTg.

c) Bộ thành lập Đội ứng cứu an toàn thông tin mạng của Bộ và tổ chức ứng cứu sự cố trong phạm vi của Bộ quản lý.

2. Kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng

a) Các đơn vị thuộc, trực thuộc Bộ tổ chức xây dựng, phê duyệt kế hoạch ứng phó sự cố cho các hệ thống thông tin do đơn vị trực tiếp quản lý theo đề cương tại Phụ lục II Quyết định số 05/2017/QĐ-TTg (bao gồm các điều chỉnh do Bộ Thông tin và Truyền thông ban hành nếu có) và tổ chức triển khai kế hoạch sau khi phê duyệt.

b) Các kế hoạch ứng phó sự cố sau khi được phê duyệt phải gửi Trung tâm Thông tin Y tế Quốc gia và Cục Khoa học công nghệ và Đào tạo tổng hợp thành kế hoạch chung của Bộ.

3. Quy trình ứng cứu sự cố an toàn thông tin mạng

a) Các tổ chức, cá nhân khi phát hiện dấu hiệu tấn công hoặc sự cố an toàn thông tin mạng cần nhanh chóng báo cho đơn vị vận hành hệ thống thông tin, đơn vị chủ quản hệ thống thông tin liên quan, Trung tâm Thông tin Y tế Quốc gia. Trung tâm Thông tin Y tế Quốc gia có trách nhiệm cập nhật, công khai thông tin liên lạc, đường dây nóng của các đơn vị/bộ phận tiếp nhận thông tin sự cố của Bộ.

b) Khi xảy ra sự cố an toàn thông tin mạng thuộc loại hình tấn công mạng, đơn vị vận hành hệ thống thông tin thực hiện báo cáo theo quy định tại Điểm a Khoản 1 Điều 11 Quyết định số 05/2017/QĐ-TTg và Điều 9 Thông tư 20/2017/TT-BTTTT, đồng thời báo cáo Trung tâm Thông tin Y tế Quốc gia để tổng hợp, báo cáo Lãnh đạo Bộ. Trách nhiệm của các đơn vị khi phát hiện, tiếp nhận xác minh, xử lý ban đầu và phân loại sự cố an toàn thông tin mạng theo quy định tại Điều 12 Quyết định 05/2017/QĐ-TTg và Điều 10 Thông tư số 20/2017/TT-BTTTT.

c) Quy trình ứng cứu sự cố an toàn thông tin mạng theo quy định tại Điều 13, Điều 14 Quyết định số 05/2017/QĐ-TTg và Điều 11 Thông tư số 20/2017/TT-BTTTT.

4. Diễn tập ứng cứu sự cố an toàn thông tin mạng

a) Chủ quản hệ thống thông tin tổ chức diễn tập ứng cứu sự cố theo kế hoạch ứng phó sự cố được phê duyệt.

b) Trung tâm Thông tin Y tế Quốc gia chủ trì, phối hợp với các đơn vị trực thuộc Bộ tham gia các cuộc diễn tập quốc gia, quốc tế do Cơ quan điều phối quốc gia, Bộ Thông tin và Truyền thông tổ chức và tổ chức diễn tập ứng cứu sự cố trong phạm vi Bộ theo tần suất quy định tại điểm b Nhiệm vụ 4 mục II Điều 1 Quyết định số 1622/QĐ-TTg ngày 25/10/2017 của Thủ tướng Chính phủ.

Điều 14. Kiểm tra, đánh giá an toàn thông tin

1. Chủ quản hệ thống thông tin có thẩm quyền yêu cầu kiểm tra, đánh giá đối với các hệ thống thông tin thuộc thẩm quyền quản lý. Đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin có thẩm quyền yêu cầu kiểm tra, đánh giá đối với các hệ thống thông tin do đơn vị này phê duyệt hồ sơ đề xuất cấp độ.

2. Đơn vị chủ trì kiểm tra, đánh giá là đơn vị được cấp có thẩm quyền giao nhiệm vụ hoặc được lựa chọn để thực hiện việc kiểm tra, đánh giá. Đối tượng kiểm tra, đánh giá là chủ quản hệ thống thông tin hoặc đơn vị vận hành hệ thống thông tin và các hệ thống thông tin có liên quan.

3. Nội dung, hình thức kiểm tra, đánh giá theo quy định tại Điều 11 Thông tư số 12/2022/TT-BTTTT.

4. Cục Khoa học công nghệ và Đào tạo thực hiện việc kiểm tra việc tuân thủ quy định của pháp luật về bảo đảm an toàn hệ thống thông tin theo cấp độ tại Bộ theo quy định tại Điều 12 Thông tư số 12/2022/TT-BTTTT.

5. Cục Khoa học công nghệ và Đào tạo, đơn vị chuyên trách về an toàn thông tin của các đơn vị thuộc, trực thuộc Bộ thực hiện việc đánh giá hiệu quả của các biện pháp bảo đảm an toàn thông tin theo thẩm quyền. Nội dung đánh giá là cơ sở để điều chỉnh phương án bảo đảm an toàn thông tin cho phù hợp.

Điều 15. Đào tạo, bồi dưỡng nghiệp vụ, tuyên truyền, phổ biến nâng cao nhận thức về an toàn thông tin mạng

1. Các đơn vị thuộc, trực thuộc Bộ xác định nhu cầu về đào tạo cho nguồn nhân lực để bảo đảm an toàn thông tin tại đơn vị mình gửi Cục Khoa học công nghệ và Đào tạo tổng hợp.

2. Các đơn vị thuộc, trực thuộc Bộ tổ chức đào tạo, bồi dưỡng nghiệp vụ về an toàn thông tin cho cán bộ công nghệ thông tin, cán bộ chuyên trách an toàn thông tin mạng các đơn vị trực thuộc; đào tạo cơ bản về an toàn thông tin cho cán bộ quản lý, người sử dụng máy tính thuộc đơn vị.

3. Các đơn vị thuộc, trực thuộc Bộ phải thường xuyên tổ chức các hoạt động tuyên truyền, phổ biến nâng cao nhận thức về bảo đảm an toàn, an ninh thông tin mạng đến toàn thể cán bộ, công chức, viên chức và người lao động tại đơn vị.

Chương III

TỔ CHỨC THỰC HIỆN

Điều 16. Trách nhiệm của Cục Khoa học Công nghệ và Đào tạo

1. Chủ trì, phối hợp với cơ quan, đơn vị liên quan để hướng dẫn, theo dõi, đôn đốc, kiểm tra và đánh giá việc thực hiện Quy chế này.

2. Là đơn vị chuyên trách về an toàn thông tin, an ninh mạng của Bộ, chủ trì phối hợp với Trung tâm Thông tin y tế Quốc gia tổ chức thẩm định, trình Lãnh đạo Bộ phê duyệt hồ sơ đề xuất cấp độ, thẩm định phương án bảo đảm an toàn thông tin theo cấp độ cho các hệ thống thông tin trong phạm vi quản lý của Bộ theo quy định.

3. Phối hợp với Trung tâm Thông tin y tế Quốc gia giám sát, kiểm tra, đánh giá việc triển khai các phương án bảo đảm an toàn thông tin, an ninh mạng đã được phê duyệt đối với các hệ thống thông tin trong phạm vi quản lý của Bộ.

4. Phối hợp với Trung tâm Thông tin y tế Quốc gia và các cơ quan, đơn vị liên quan để tham mưu cho Lãnh đạo Bộ Y tế thành lập Đội ứng cứu sự cố an toàn thông tin mạng của Bộ Y tế; xây dựng và trình lãnh đạo Bộ ban hành Kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng ngành y tế.

5. Tổng hợp nhu cầu của các đơn vị thuộc, trực thuộc Bộ và gửi Vụ Kế hoạch - Tài chính để đề xuất dự toán kinh phí cho các hoạt động bảo đảm an toàn, an ninh thông tin mạng.

6. Xây dựng và trình Bộ kế hoạch tuyên truyền, phổ biến nâng cao nhận thức về an toàn, an ninh thông tin mạng tại Bộ Y tế và thực hiện các nội dung theo kế hoạch đã được phê duyệt.

Điều 17. Trách nhiệm của Trung tâm Thông tin y tế Quốc gia

1. Tổ chức triển khai các quy định bảo đảm an toàn thông tin, an ninh mạng của Bộ theo phân công tại Quy chế này.

2. Là đơn vị chuyên trách về tiếp nhận thông báo sự cố, ứng cứu sự cố an toàn thông tin, an ninh mạng của Bộ, thực hiện trách nhiệm quy định tại Khoản 2 Điều 6 Quyết định số 05/2017/QĐ-TTg ngày 16/03/2017 của Thủ tướng Chính phủ. Chủ trì phối hợp với Cục Khoa học công nghệ và Đào tạo và các cơ quan, đơn vị liên quan có trách nhiệm xây dựng và trình lãnh đạo Bộ ban hành Kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng ngành y tế.

3. Phối hợp với Cục Khoa học công nghệ và Đào tạo tổ chức thẩm định, trình Lãnh đạo Bộ phê duyệt hồ sơ đề xuất cấp độ, thẩm định phương án bảo đảm an toàn thông tin theo cấp độ cho các hệ thống thông tin trong phạm vi quản lý của Bộ theo quy định

4. Phối hợp với Cục Khoa học công nghệ và Đào tạo tham mưu thành lập Đội ứng cứu sự cố an toàn thông tin mạng của Bộ Y tế.

5. Chịu trách nhiệm bảo đảm an toàn thông tin, an ninh mạng cho các hệ thống thông tin dùng chung của Bộ. Hỗ trợ các đơn vị, cá nhân về công tác bảo đảm an toàn thông tin, an ninh mạng.

6. Chủ trì, phối hợp với các đơn vị thuộc và trực thuộc Bộ để tổ chức, tham gia các cuộc diễn tập quốc gia, quốc tế do Cơ quan điều phối quốc gia về ứng cứu sự cố an toàn thông tin; hàng năm tổ chức diễn tập ứng cứu sự cố an toàn thông tin mạng trong phạm vi của Bộ theo Quyết định số 1622/QĐ-TTg ngày 25/10/2017 của Thủ tướng Chính phủ.

6. Phối hợp với Cục Khoa học công nghệ và Đào tạo tổ chức các khóa tập huấn, đào tạo về an toàn thông tin, an ninh mạng cho cán bộ, công chức, viên chức, người lao động của Bộ.

Điều 18. Trách nhiệm của Vụ Kế hoạch - Tài chính

1. Tổ chức triển khai các quy định bảo đảm an toàn thông tin, an ninh mạng của Bộ theo phân công tại Quy chế này.

2. Chủ trì, phối hợp với Cục Khoa học công nghệ và Đào tạo để đề xuất và báo cáo Lãnh đạo Bộ phê duyệt dự toán kinh phí hằng năm cho các hoạt động bảo đảm an toàn, an ninh thông tin mạng của các đơn vị thuộc, trực thuộc Bộ.

Điều 19. Trách nhiệm của các đơn vị thuộc và trực thuộc Bộ

1. Tổ chức phổ biến, đảm bảo việc tuân thủ Quy chế này và các quy định của Nhà nước về an toàn thông tin, an ninh mạng đối với các cá nhân, tập thể thuộc đơn vị mình.

2. Lập hồ sơ đề xuất cấp độ an toàn thông tin cho các hệ thống thông tin (nếu có) tại đơn vị và báo cáo với Cục Khoa học công nghệ và Đào tạo để thẩm định phương án bảo đảm an toàn thông tin theo cấp độ cho các hệ thống thông tin theo quy định.

3. Thường xuyên kiểm tra, đôn đốc việc triển khai an toàn thông tin, an ninh mạng trong công việc của các cá nhân, tập thể do đơn vị quản lý.

4. Đơn vị chủ trì xây dựng hệ thống thông tin (nếu có) khi bàn giao hệ thống thông tin về Trung tâm Thông tin y tế Quốc gia vận hành phải bàn giao đầy đủ hồ sơ xây dựng hệ thống theo quy định, trong đó có hồ sơ về an toàn thông tin gồm: hồ sơ thiết kế, hồ sơ kiểm thử, hồ sơ đề xuất cấp độ an toàn thông tin và nhật ký vận hành hệ thống thông tin tới thời điểm bàn giao để phục vụ việc kiểm tra, đánh giá an toàn thông tin hệ thống trước khi đưa vào vận hành chính thức.

5. Có trách nhiệm tổ chức triển khai phương án bảo đảm an toàn hệ thống thông tin sau khi được phê duyệt; tổ chức, triển khai, tham gia diễn tập ứng cứu sự cố theo kế hoạch ứng phó sự cố đã được Bộ phê duyệt.

6. Thực hiện các báo cáo định kỳ hoặc theo yêu cầu gửi Cục Khoa học Công nghệ và Đào tạo và Trung tâm Thông tin y tế Quốc gia để tổng hợp, báo cáo Bộ Y tế và các cơ quan có thẩm quyền.

Điều 20. Trách nhiệm của các cơ quan, tổ chức có kết nối vào hệ thống mạng của Bộ và cơ quan, tổ chức cung cấp dịch vụ công nghệ thông tin, an toàn thông tin, an ninh mạng cho các đơn vị thuộc, trực thuộc Bộ

1. Thực hiện trách nhiệm theo quy định tại Quy chế này và các nhiệm vụ do chủ quản hệ thống thông tin phân công.

2. Chỉ đạo, phân công các bộ phận kỹ thuật thuộc đơn vị (quản lý ứng dụng; quản lý dữ liệu; vận hành hệ thống thông tin; triển khai và hỗ trợ kỹ thuật) triển khai công tác bảo đảm an toàn thông tin trong tất cả các công đoạn liên quan đến hệ thống thông tin.

3. Phối hợp với Trung tâm Thông tin y tế Quốc gia rà soát, đánh giá các phương án bảo đảm an toàn thông tin trong quá trình vận hành, sử dụng các hệ thống thông tin, máy chủ, thiết bị công nghệ thông tin của mình có kết nối với các hệ thống thông tin của chủ quản hệ thống thông tin.

4. Thông báo sự cố hoặc các hành vi phá hoại, xâm nhập về Cục Khoa học Công nghệ và Đào tạo, Trung tâm Thông tin y tế Quốc gia để xem xét, hỗ trợ, điều phối và xử lý.

Điều 21.Trách nhiệm của cá nhân

1. Thực hiện các quy định liên quan tại Quy chế này về bảo đảm an toàn thông tin, an ninh mạng.

2. Tham gia đầy đủ các lớp đào tạo ngắn hạn, các hội thảo, hội nghị phổ biến, nâng cao nhận thức, diễn tập an toàn thông tin và ứng cứu sự cố để bảo đảm an toàn thông tin, an ninh mạng.

3. Chịu trách nhiệm về các vi phạm làm mất an toàn thông tin, an ninh mạng do không tuân thủ Quy chế này.

Điều 22. Kinh phí thực hiện

1. Kinh phí bảo đảm an toàn thông tin, an ninh mạng được bố trí từ nguồn ngân sách nhà nước và các nguồn kinh phí hợp pháp khác.

2. Căn cứ vào kế hoạch hàng năm, các đơn vị liên quan có trách nhiệm xây dựng kế hoạch, đề xuất dự toán cho các hoạt động bảo đảm an toàn, an ninh thông tin mạng gửi Cục Khoa học công nghệ và Đào tạo, Vụ Kế hoạch - Tài chính tổng hợp, trình Bộ phê duyệt.

Điều 23. Công tác kiểm tra

1. Các đơn vị thuộc, trực thuộc Bộ phải thường xuyên kiểm tra, theo dõi và đánh giá công tác bảo đảm an toàn, an ninh thông tin mạng tại Cơ quan, đơn vị mình, coi đây là nhiệm vụ trọng tâm của đơn vị.

2. Giao Cục Khoa học công nghệ và Đào tạo kiểm tra và báo cáo Bộ việc thực hiện Quy chế này tại các đơn vị thuộc, trực thuộc Bộ.

Điều 24. Chế độ, nội dung báo cáo

Quy định về chế độ báo cáo và nội dung báo cáo được quy định tại Điều 13, Điều 14 của Thông tư số 12/2022/TT-BTTTT.

Điều 25. Trách nhiệm thi hành

1. Quy chế này có hiệu lực từ ngày ký, ban hành.

2. Thủ trưởng các đơn vị thuộc và trực thuộc Bộ có trách nhiệm triển khai thực hiện, phổ biến, quán triệt đến toàn bộ cán bộ, công chức, viên chức, người lao động trong đơn vị Quy chế này; thường xuyên kiểm tra việc thực hiện Quy chế tại đơn vị; chịu trách nhiệm trước pháp luật và trước Bộ trưởng Bộ Y tế về các vi phạm, thất thoát thông tin, dữ liệu thuộc phạm vi quản lý của đơn vị.

3. Trong quá trình thực hiện, nếu có những vấn đề khó khăn, vướng mắc, các đơn vị phản ảnh về Cục Khoa học công nghệ và Đào tạo để tổng hợp, trình Bộ trưởng xem xét, sửa đổi, bổ sung Quy chế này./.

Tiếng Anh (English)

MINISTRY OF HEALTH OF VIETNAM --------	THE SOCIALIST REPUBLIC OF VIETNAM Independence - Freedom – Happiness ---------------
No. 326/QD-BYT	Hanoi, February 07, 2024

DECISION

ON PROMULGATION OF THE REGULATION ON INFORMATION SECURITY AND CYBERSECURITY OF THE MINISTRY OF HEALTH

Pursuant to the Law on Cyber Information Security dated November 19, 2015;

Pursuant to the Law on Cybersecurity dated June 12, 2018;

Pursuant to Decree No. 95/2022/ND-CP dated November 15, 2022 of the Government on functions, tasks, powers and organizational structure of the Ministry of Health of Vietnam;

Pursuant to Decree No. 85/2016/ND-CP dated July 01, 2016 of the Government on level-based security of information systems;

Pursuant to Decree No. 04/2019/ND-CP dated December 27, 2019 of the Government on procedures for application of a number of solutions for cybersecurity;

Pursuant to Decree No. 53/2022/ND-CP dated August 15, 2022 of the Government elaborating a number of articles of the Law on Cybersecurity;

...

...

...

Pursuant to Decree No. 05/2017/QD-TTg dated March 16, 2017 of the Prime Minister on emergency response plans to ensure national cyber information security;

Pursuant to Decree No. 12/QD-TTg dated February 01, 2019 of the Prime Minister on promulgation of the Plan for implementation of the Law on Cybersecurity;

Pursuant to Directive No. 01/CT-TTg dated February 18, 2021 of the Prime Minister on strengthening cybersecurity in the current situation;

Pursuant to Circular No. 20/2017/TT-BTTTT dated September 12, 2017 of the Ministry of Information and Communications on coordination and response to nation-wide cyber information security incidents;

Pursuant to Circular No. 27/2017/TT-BTTTT dated October 20, 2017 of the Ministry of Information and Communications on management, operation, connection, use and assurance of cyber information security for the specialized data transmission network of the Communist Party of Vietnam and State authorities; Circular No. 12/2019/TT-BTTTT dated November 05, 2019 of the Ministry of Information and Communications on amendments to some articles of the Circular No. 27/2017/TT-BTTTT dated October 20, 2017 of the Ministry of Information and Communications on management, operation, connection, use and assurance of cyber information security for the specialized data transmission network of the Communist Party of Vietnam and State authorities;

Pursuant to Circular No. 31/2017/TT-BTTTT dated November 15, 2017 of the Ministry of Information and Communications on surveillance of information system security;

Pursuant to Circular No. 12/2022/TT-BTTTT dated August 12, 2022 of the Ministry of Information and Communications on elaboration and guidelines on Decree No. 85/2016/ND-CP dated July 1, 2016 of the Government on level-based information system security;

At the request of the head of the Administration of Science Technology and Training;

HEREBY DECIDES:

...

...

...

Article 2. This Decision takes effect from the date on which it is signed and promulgated. It replaces the Decision No. 4159/QD-BYT dated October 13, 2014 of the Ministry of Health on promulgation of provisions on the security of electronic medical information at units of the health sector.

Article 3. The Chief of Office; head of the Administration of Science Technology and Training; Director of the National Health Information Center; heads of units under and affiliated to the Ministry; relevant authorities, organizations and individuals are responsible for implementing this Decision./.

MINISTER
DEPUTY MINISTER




Tran Van Thuan

REGULATION

ON INFORMATION SECURITY AND CYBERSECURITY OF THE MINISTRY OF HEALTH
(Attached to Decision No. 326/QD-BYT dated February 07, 2024 of the Ministry of Health)

Chapter I

GENERAL PROVISIONS

...

...

...

1. Scope: This Regulation regulates the information security and cybersecurity for the application of information technology of the Ministry of Health (hereinafter referred to as "Ministry").

2. Regulated entities:

a) Authorities, units under/affiliated to the Ministry (hereinafter referred to as “affiliates”); officials, public employees and employees of the affiliates (hereinafter referred to as “individuals”) participating in the application of information technology (hereinafter referred to as “IT") of the Ministry.

b) Authorities, organizations and individuals having connection to the network system of the Ministry.

c) Authorities, organizations, individuals providing services related to IT and cyber information security for the affiliates.

Article 2. Definitions

For the purposes of this Regulation, the terms below shall be construed as follows:

1. Data center means a building or a part of a building for storing a server room and supporting areas.

2. Server room includes the system of servers, switching devices, routing devices, storage devices, cyber information security devices, peripheral devices, auxiliary devices, Internet cables, fire prevention and firefighting equipment, lightning protection devices, and other devices as prescribed by law.

...

...

...

Article 3. Scope of information security and cybersecurity

1. The Data center/server room of the Ministry and affiliates.

2. Local Area Network (LAN), Wide Area Network (WAN), Internet.

3. Computers, peripheral devices, information systems, software, professional applications, and databases serving the management, administration, and professional activities of the Ministry and affiliates.

4. Information systems and databases serving the management and administration of professional activities of the Ministry.

5. Personal information technology devices.

Article 4. Principles of information security and cybersecurity

1. Information security and cybersecurity is a compulsory, continuous and synchronized requirement during the design, development, operation, upgrade and shutdown of the information system. Information security and cybersecurity shall comply with the principles prescribed in Article 4 of the Law on Cyber Information Security, Law on Cybersecurity, Decree No. 85/2016/ND-CP dated July 01, 2016 of the Government on level-based security of information systems (hereinafter referred to as “Decree No. 85/2016/ND-CP”).

2. The unit operating the information system is responsible for ensuring information security and cybersecurity for the information system of the unit under its management; allocating personnel to handle information security and cybersecurity incidents related to the information system of the unit under its management.

...

...

...

4. Confidential information and information included in the List of State secrets in health sector shall be protected in accordance with regulations of the State, the Ministry of Health on the protection of state secrets and the corresponding provisions in this Regulation.

5. Handling information security and cybersecurity incidents shall comply with the responsibilities and jurisdiction; ensure the legitimate interests of the relevant units and individuals; and comply with the provisions of the law.

Article 5. Prohibited activities

1. Perform prohibited activities prescribed in Article 7 of the Law on Cyber Information Security and Article 8 of the Law on Cybersecurity.

2. Voluntarily connect network devices, network address allocation devices, or broadcasting devices such as personal wireless access points to the internal network; simultaneously access the internal network and the Internet on the same device using a personal Internet connection device (such as mobile phones, tablets, laptops, 3G/4G/5G USB broadband modems, etc.).

3. Voluntarily make changes, remove information security, cybersecurity solutions installed on IT devices for works; voluntarily replace, install or swap components of work-related computers.

4. Create, install and distribute malware.4

5. Obstruct the services of information system; prevent access to the information of other authorities and individuals on the Internet except for cases prescribed by law.

6. Crack, steal, use passwords, cryptographic keys and information of other authorities or individuals on the Internet.

...

...

...

Chapter II

REGULATIONS ON INFORMATION SECURITY AND CYBERSECURITY

Article 6. Information security and cybersecurity at the Data center/server room

1. The National Health Information Center shall manage and operate the Data center of the Ministry. It is responsible for developing internal regulations, regulation on management, operation, assurance of information security and cybersecurity for the Data center of the Ministry.

2. The unit operating the Data center/ server room of the units is responsible for developing internal regulations, regulation on management, operation, assurance of information security and cybersecurity for the Data center of the units.

3. Assurance of operations of the Data center/server room is as follows:

a) The Data center/server room is a restricted area. Only individuals with the rights and tasks as prescribed by the head of the units are allowed to enter the Data center/server room. Entry and exit of the Data center/server room shall be controlled by security devices such as card readers, fingerprint scanners, biometrics, etc).;

b) Network connection devices, critical security equipment such as firewalls, routers, server systems, SAN and NAS storage systems, etc., shall be placed in the Data center/server room and shall be equipped with mechanisms for protection, intrusion detection, access control, and physical connection control appropriate to each area including servers and storage systems; network cabinets and connectors; power supply and emergency backup power devices; and mechanisms for operation, control, and system administration. The unit in charge of the Data center/server room is responsible for developing internal regulations or work instructions for this area.

c) The Data center/server room shall be equipped with the uninterruptible power supply (UPS) system with sufficient capacity to maintain the operation of servers for at least 15 minutes after a power outage occurs.

...

...

...

1. The LAN shall be designed with a number of network segments according to the information system levels. Data exchanged between network segments shall be managed and supervised by network devices and security devices. Based on actual conditions and data security requirements, the unit in charge of the internal network system shall proactively develop safety and security models and solutions including:

a) Control access from outside the network using network protocols that support information encryption such as SSH, SSL/TLS, VPN or equivalent.

b) Control access from within the network such as managing end-user devices, computers connected to the network system; supervising, detecting and preventing internal network access to prohibited Internet addresses).

c) Prevent intrusions and malware; protect public server network segments, internal servers, database servers, and internal network segments. Detecting and disabling all unnecessary services in each network segment that may compromise information security and safety.

d)  Configure authentication functions on network-connected devices to authenticate users managing the devices, either locally or remotely.

dd) Establish solutions for wireless network to ensure the integrity and confidentiality of information transmitted on the network environment; establish guidelines to ensure information security for end devices when connecting to the network. Periodically make changes to passwords; protect wireless access points to prevent unauthorized access.

e) The server system shall be capable of automatically updating records and storing system logs for a specific period (at least 6 months), storing information on network connections, server login activities, system configuration operations, errors occurring during operation, and other relevant information on information security to effectively handle and investigate information security incidents; delete all information and data on the server upon transferring or changing the purpose of use.

2. Necessary technical solutions shall satisfy the following requirements to ensure information security and cybersecurity for Internet connectivity activities:

a) Have a firewall system and Internet access control protection system that supports simultaneous connection; supports virtual private network (VPN) technologies; manages incoming and outgoing data flows; and protects the system against various types of cyber attacks.

...

...

...

c) Only establish Internet connections for servers and IT devices that require communication with the Internet.

3. 3. Data transmission cables, Internet cables and LAN/WAN network cabling systems shall be installed inside conduits or enclosed trays to limit the possibility of unauthorized access. Unused Ethernet ports, especially in common work areas of affiliates, shall be disconnected.

Article 8. Information security and cybersecurity for management information systems and databases of the Ministry

1. Information security and cybersecurity for developing and upgrading information systems and databases

a) When developing or upgrading information systems or databases, the units operating the information systems are responsible for developing plans to ensure the safety and security of the information systems and databases; reviewing the security level of the information systems; and making adjustments to the level proposal dossiers if necessary.

b) The development and upgrade of information systems shall comply with information security and cybersecurity plans and relevant regulations.

2. The information security and cybersecurity shall be ensure when deploying and operating information systems and databases.

a) Ensure information security and cybersecurity for the management of information systems:

- The units in charge of information system owners are responsible for ensuring information security for the information systems in accordance with Articles 22, 23 and 24 of the Law on Cyber Information Security and clause 2, Article 17; Articles 18, 19, 20, 21, and 22 of the Law on Cybersecurity.

...

...

...

- The units operating the information systems shall comply with the information security requirements prescribed in Article 22 of Decree No. 85/2016/ND-CP.

- The unit operating the information system shall regularly check and supervise the security of the information system; comply with the established procedures for operation and incident handling; and store all information system logs to support management and information control.

c) Ensure information security and cybersecurity for the management and use of accounts for access to information systems:

- When granted an account to access the information system, individuals must change their password upon their first login. The password must be strong (having at least 8 characters including uppercase and lowercase letters, numbers, and special characters). Passwords shall be changed at least once every 6 months. Individuals are responsible for keeping their access account confidential and not sharing their passwords with others. Individuals shall log out of the information system when they do not use it.

- When an individual changes working position, transfers to another department, resigns, retires, or requires temporary suspension of his/her account, the superior unit of that individual shall notify the unit operating the information system to make the necessary adjustments, temporarily suspend, revoke or cancel the account.

- The unit operating the information system has the right to lock the access of an account if that account engages in attack activities or causes information security incidents. The use of shared administrative accounts shall be limited.

d) Ensure information security for applications

- The requirements for information security shall be applied to all stages of designing, developing, deploying, operating and using software and applications.

- Software and applications shall satisfy the following requirements: configuring software and applications to authenticate users; limiting the number of consecutive failed login attempts; setting a timeout period to close inactive sessions; encrypting authentication information in the system; limiting the use of automatic login.

...

...

...

- The use of network protocols that support information encryption such as SSH, SSL, VPN, or their equivalents is only allowed when accessing or administering software and applications remotely on the Internet. The access to the software and application source code shall be restricted. The source code shall be stored in a secure environment managed by the dedicated IT department.

- The following basic information of the system log files of the software and applications shall be recorded and stored for a minimum period of 03 months: time, address, account (if any); content of access and use of the software and applications; errors occurring during operation; login information during administration.

- Software and applications shall be tested to identify and remediate security vulnerabilities before being deployed and during their operation.

- Software and applications shall be tested to identify and remediate security vulnerabilities before being deployed on network-connected devices operating within the internal network system.

dd) Ensure information security for data and databases

- The units shall protect information and data related to public activities; important, sensitive information; or non-public information by the following solutions: establishing plans to ensure the confidentiality, integrity and availability of information and data; encrypting information and data stored on systems or mobile data storage devices; using digital signatures to authenticate and secure information and data.

- The units shall deploy storage systems/devices independent from the storage systems on service servers for backup purposes; classify and manage stored information and data according to different labeled categories/groups; perform backup of the following essential information and data: system configuration files, server operating system images, databases; professional data and information.

- The units shall equip separated computers that are not connected to the Internet, set passwords, encrypt data and apply other security solutions to ensure information security for drafting and storing important data, information and documents classified as confidential, secret, or top secret.

- The affiliates shall regularly conduct inspection and supervision of activities involving sharing, sending and receiving information and data within their internal operations; giving recommendations on using passwords when sharing, sending, and receiving information on the Internet.

...

...

...

Article 9. Information security and cybersecurity when using computers and peripheral devices

1. The computers and peripheral devices of the units shall have the operating system, word processor software and specialized software installed for tasks, and comply with the following regulations:

a) Only install valid software (commercial software, internal software, or open-source software that has been invested in or contracted with a clear origin) in the List of approved software issued by the competent unit of the Ministry of Health (if any). Installation or removal of software without the consent of the IT department is prohibited. Software and operating systems shall be regularly updated.

b) Install anti-malware software and configure it to automatically update its database. Malware scans shall be performed when copying, opening files, or before connecting portable data storage devices to your computer.

c) If any signs of malware infection are detected on a computer such as unusually slow performance, alerts from anti-malware software, data loss, etc., immediately shut down the computer and report directly to the IT department for timely resolution.

d) Only access trusted websites/portals, online applications and information appropriate to the functions, responsibilities and jurisdiction; use secure browsers; do not access or open websites or emails from unknown sources; do not use automatic password saving or auto-login features.

dd) Take responsibility to keep accounts confidential and not to share passwords or personal information with others. Set strong passwords (at least 8 characters including lowercase letters, uppercase letters, numbers, and special characters such as @, #, !, etc.) and change passwords at least once every 6 months; log out of all system accounts when not in use; regularly clear the browser cache and cookies on the computer.

e) Lock the computer (using the built-in feature) when leaving the workstation; shut down the computer when leaving the office.

2. Before bringing a personal network-connected computers or IT devices to the workplace and connecting them to the internal network for work purposes, individuals shall report and obtain approval from the leaders of the units. In this case, individuals shall comply with points a, b, c, d, dd, e, clause 1 of this Article and be subject to supervision of the IT department of the affiliates.

...

...

...

a) The units shall equip at least one computer and one printer (or photocopier) that are not connected to the Internet, computer networks or telecommunications networks to draft documents containing state secrets.

b) Individuals shall only draft documents containing state secrets on computers that are not connected to the Internet, computer networks or telecommunications networks. The documents shall be stored on separate devices such as certified USB drives, portable hard drives, or similar devices. If the storage device is not available when drafting documents containing secrets, a password shall be set to protect the soft copies on the drafting computer to protect state secret in accordance with the law.

Article 10. Management of IT devices and management of information security for individuals

1. Management of IT devices for individuals:

a) Assign responsibility to individuals/groups for managing and using IT devices.

b) Establish regulations on the use, maintenance and protection of IT devices in the following cases: taking devices out of the office; IT devices related to sensitive data; during the installation and configuration.

c) When changing the purpose of use or liquidating the IT devices storing sensitive data, the units shall erase or destroy such data to ensure that that data cannot be recovered. In cases where the data cannot be destroyed, the units shall destroy the components storing the data of that IT device.

d) Storage components or storage devices of computing devices shall be removed, or the stored information and data shall be erased before being sent for external warranty, maintenance, repair, or when taken out of use (except in cases where data recovery is required).

dd) The affiliates are responsible for maintaining and providing instructions for the use, management and operation of their technical infrastructure systems; designating an IT department to management, operate, periodically inspect, repair and maintain devices including both active and standby devices.

...

...

...

a) The affiliates shall establish requirements and responsibilities to ensure information security for each job position. After recruiting or onboarding new personnel, the affiliates are responsible for informing them of the regulations on information security of their unit. For positions involving access to or management of important information and data, or administration of critical information systems, the affiliates shall require the new personnel to commit to information confidentiality in writing or through a commitment clause in the employment contract.

b) The affiliates shall regularly disseminate the understanding of regulations on information security in order to raise awareness of each individual's responsibility for ensuring information security within their unit.

c) The affiliates shall establish procedures for issuing, managing and revoking accounts; assigning access permissions to information systems and all assets related to the information systems for individuals under their management.

d) When an individual terminates or changes his/her job, the authority/unit shall:

- Determine the responsibilities of officials, employees and relevant parties in management and use of assigned IT assets.

- Make a record for handover of IT assets.

- Change or revoke the access rights to information systems.

Article 11. Determination of the levels and methods for information security and cybersecurity of information systems

1. Information systems shall comply with regulations on level-based information security and cybersecurity prescribed in Decree No. 85/2016/ND-CP and Decree No. 53/2022/ND-CP.

...

...

...

a) The Ministry of Health is in charge of information systems in which the Ministry decides on the investment or the Ministry is assigned as the investor for tasks or projects for development, establishment, upgrade or expansion of information systems. The Ministry of Health shall authorize the affiliates to manage the systems of which the Ministry is in charge by one of the following documents: Decision on approval of the project, which assigns a unit as the project investor; Circular of the Ministry of Health or Decision of the Minister of Health including the assignment of a unit to manage the system; Authorization document in accordance with clause 3, Article 4 of Circular No. 12/2022/TT-BTTTT dated August 12, 2022 of the Ministry of Information and Communications on elaboration and guidelines on Decree No. 85/2016/ND-CP dated July 1, 2016 of the Government on level-based information system security (hereinafter referred to as Circular No. 12/2022/TT-BTTTT).

b) The affiliates are in charge of the information systems for which they decide on the investment in projects involving the development, establishment, upgrade, or expansion of the information systems; in charge of information systems for which they approve the detailed outline and estimates; responsible for managing the systems authorized by the Ministry of Health in accordance with point a of this clause.

c) The units in charge of information systems or the units authorized to directly manage the information systems shall fulfill responsibilities prescribed in Article 20 of Decree No. 85/2016/ND-CP.

3. Units operating information systems

a) All information systems shall be assigned to a management and operation unit before being put into use.

b) The units operating the information systems shall comply with Article 5 of Circular No. 12/2022/TT-BTTTT.

4. Units in charge of information security

a) The Administration of Science Technology and Training is responsible for information security of the Ministry of Health.

b) IT units/departments are responsible for information security at the affiliates.

...

...

...

a) For information systems of tasks or projects in the planning phase, the unit developing the project shall prepare the level proposal dossier. For information systems that use outsourced IT services, the unit in charge of outsourcing the services shall prepare the level proposal dossier. For information systems in the implementation phase, the unit in charge of the implementation shall prepare the level proposal dossier. For information systems in operation, the operating unit shall prepare the level proposal dossier.

b) For information systems proposed to be at level 3 or higher, the units in charge of information security of the affiliates shall submit a request for expert feedback to the Administration of Science Technology and Training before submitting to the competent authorities for appraisal and approval of the level.

c) The jurisdiction for appraisal and approval of the levels is prescribed in point b, clause 1, Article 12 of Circular No. 12/2022/TT-BTTTT.

6. Procedures for determination of the security levels of the information systems

a) The determination and classification of the information systems shall comply with Article 7 of Circular No. 12/2022/TT-BTTTT.

b) The content of the level proposal dossier for information systems shall comply with Article 15 of Decree No. 85/2016/ND-CP.

d) The content and appraisal duration of the level proposal dossier for information systems shall comply with Article 16 of Decree No. 85/2016/ND-CP.

e) Procedures for determination of the security levels of the information systems shall comply with Articles 13 and 14 of Decree No. 85/2016/ND-CP.

7. Methods for information system security

...

...

...

b) The units in charge of information systems or the units authorized to directly manage the information systems shall implement the methods for information system security after the level proposal dossier or the methods for information system security have been approved.

b) Units/departments in charge of information security are responsible for supervising the implementation of the approved methods for information system security.

2. The methods for information security and cybersecurity for the information systems shall be in conformity with the system’s security level and in accordance with the requirements prescribed in Decree No. 85/2016/ND-CP; Articles 24 and 25 of Decree No. 53/2022/ND-CP; Circular No. 12/2022/TT-BTTTT dated August 12, 2022 issued by the Ministry of Information and Communications; the standards of the Vietnamese Standards TCVN 11930:2017; and network information security regulations of the Ministry.

Article 12. Supervision of information security and cybersecurity

1. The supervision of information security and cybersecurity shall be conducted for all information systems.

2. The units operating information systems are responsible for cooperating with the National Health Information Center in supervising the information systems in accordance with Article 15 of Decree No. 53/2022/ND-CP and Circular No. 31/2017/TT-BTTTT dated November 15, 2017 of the Ministry of Information and Communications on surveillance of information system security.

3. For information systems important to national security, cybersecurity supervision shall be conducted in accordance with Article 14 of the Law on Cybersecurity.

Article 13. Response to information system security incidents

1. Units responsible for response to cyber information security incidents:

...

...

...

c) The Ministry shall establish the Ministry’s Cybersecurity Incident Response Team and organize incident response within the scope of management of the Ministry.

2. Plan for response to cyber information security incidents

a) The affiliates shall develop and approve incident response plans for the information systems directly managed by the units in accordance with the outline in Appendix II of Decision No. 05/2017/QD-TTg (including any amendments issued by the Ministry of Information and Communications, if any) and organize the implementation of the plans after approval.

b) Incident response plans shall be sent to the National Health Information Center and the Administration of Science Technology and Training after being approved for consolidation into the Ministry’s general plan.

3. Procedures for response to cyber information security incidents

a) Organizations and individuals shall immediately report to the unit operating the information system, the unit in charge of the relevant information system, and the National Health Information Center when detecting signs of cyberattacks or cyber information security incidents. The National Health Information Center shall update, disclose contacts and hotlines of units/departments receiving incident reports of the Ministry.

b) When a cyberattack occurs, the unit operating the information system shall report in accordance with point a, clause 1, Article 11 of Decision No. 05/2017/QD-TTg and Article 9 of Circular No. 20/2017/TT-BTTTT, and report to the National Health Information Center for consolidation and report to the leaders of the Ministry. Responsibilities of units detecting, receiving, verifying, performing initial handling and classifying cyber information security incidents shall comply with Article 12 of Decision No. 05/2017/QD-TTg and Article 10 of Circular No. 20/2017/TT-BTTTT.

c) Procedures for response to cyber information security incidents are prescribed in Articles 13 and 14 of Decision No. 05/2017/QD-TTg and Article 11 of Circular No. 20/2017/TT-BTTTT.

4. Cyber information incident response drill

...

...

...

b) The National Health Information Center shall take charge and cooperate with the affiliates in participating in national and international drills organized by the National Coordination Agency and the Ministry of Information and Communications; and organizing incident response drills within the Ministry at the frequency prescribed in point b, Task 4, Section II, Article 1 of Decision No. 1622/QD-TTg dated October 25, 2017 of the Prime Minister.

Article 14. Inspection and evaluation of information security

1. The competent unit in charge of the information system shall request for inspection and evaluation of the information systems within its jurisdiction. The unit responsible for information security of the competent unit in charge of the information system shall request for inspection and evaluation of the information systems for which it has approved the level proposal documents.

2. The unit in charge of inspection and evaluation is authorized by the competent authority or selected to carry out the inspection and evaluation. The entities subject to inspection and evaluation are the units in charge of the information systems, the units operating the information systems or relevant information systems.

3. Contents, methods for inspection and evaluation shall comply with Article 11 of Circular No. 12/2022/TT-BTTTT.

4. The Administration of Science Technology and Training shall inspect the compliance with the law on level-based information system security as prescribed in Article 12 of Circular No. 12/2022/TT-BTTTT.

5. The Administration of Science Technology and Training, the units responsible for information security of the affiliates shall evaluate the effectiveness of information security solutions within their jurisdiction. The evaluation content serves as the basis for adjusting the information security plan accordingly.

Article 15. Training for professional activities, dissemination and raising awareness about cyber information security

1. The affiliates shall determine their needs for training personnel to ensure information security at their units and report to the Administration of Science Technology and Training for consolidation.

...

...

...

3. The affiliates shall regularly organize dissemination activities to raise awareness about cyber information security among all officials, public employees and employees of the units.

Chapter III

IMPLEMENTATION

Article 16. Responsibilities of the Administration of Science Technology and Training

1. Take charge and cooperate with relevant authorities and units in providing guidelines, supervising, inspecting and evaluating the implementation of this Regulation.

2. Be responsible for information security and cybersecurity of the Ministry; take charge in cooperating with the National Health Information Center in appraising and reporting to the leaders of the Ministry for approval of the level proposal dossiers and appraising methods for level-based information system security within the scope of management of the Ministry as prescribed by law.

3. Cooperate with the National Health Information Center in supervising, inspecting and evaluating the implementation of the approved methods for information security and cybersecurity for information systems within the scope of management of the Ministry.

4. Cooperate with the National Health Information Center, relevant authorities and units in advising the leaders of the Ministry of Health on establishment of the Cybersecurity Incident Response Team of the Ministry of Health; develop and report to the leaders of the Ministry the incident response plans for information security in the health sector.

5. Consolidate the needs of the affiliates, and report to the Department of Planning - Finance to propose the budget estimate for information security activities.

...

...

...

Article 17. Responsibilities of the National Health Information Center

1. Organize the implementation of the regulations on information security and cybersecurity of the Ministry as assigned in this Regulation.

2. Be responsible for receiving incident notifications and responding to information security and cybersecurity incidents of the Ministry; perform the responsibilities prescribed in clause 2, Article 6 of Decision No. 05/2017/QD-TTg dated March 16, 2017 issued by the Prime Minister. Cooperate with the Administration of Science Technology and Training, relevant authorities and units in developing and reporting to the leaders of the Ministry the incident response plans for information security in the health sector.

3. Cooperate with the Administration of Science Technology and Training in appraising and reporting to the leaders of the Ministry for approval of level proposal dossiers, appraisal of methods for level-based information system security within the scope of management of the Ministry as prescribed by law.

4. Cooperate with the Administration of Science Technology and Training in advising on the establishment of the Cybersecurity Incident Response Team of the Ministry of Health.

5. Be responsible for information security and cybersecurity for shared information systems of the Ministry. Support units and individuals in information security and cybersecurity activities.

6. Take charge and cooperate with the affiliates in organizing and participating in national and international drills organized by the Vietnam Cybersecurity Emergency Response Teams/Coordination Center; annually organize cybersecurity incident response drills within the Ministry in accordance with Decision No. 1622/QD-TTg dated October 25, 2017 of the Prime Minister.

6. Cooperate with the Administration of Science Technology and Training in organizing training courses on information security and cybersecurity for officials, public employees and employees of the Ministry.

Article 18. Responsibilities of the Department of Planning - Finance

...

...

...

2. Take charge and cooperate with the Administration of Science Technology and Training in proposing and reporting to the leaders of the Ministry for approval of the annual budget estimates for information security and cybersecurity activities of the affiliates.

Article 19. Responsibilities of the affiliates

1. Organize dissemination for compliance with this Regulation and the regulations of the State on information security and cybersecurity among individuals and collectives within the unit.

2. Prepare level proposal dossiers for the information systems (if any) of the unit and report to the Administration of Science Technology and Training for appraisal of level-based information security for information systems as prescribed.

3. Regularly inspect and urge the implementation of information security and cybersecurity of individuals and collectives managed by the unit.

4. The unit in charge of developing information system (if any) shall fully transfer the following documents of dossiers for development of the system when handing over the information system to the National Health Information Center for operation: design dossiers, testing dossiers, level proposal dossiers and the system operation logs up to the handover time to serve the inspection and evaluation of the system’s information security before official operation.

5. Be responsible for implementing the approved information system security plans; organize, implement and participate in incident response drills in accordance with the incident response plans approved by the Ministry.

6. Submit periodic reports or reports upon request to the Administration of Science Technology and Training and National Health Information Center for consolidation and report to the Ministry of Health and competent authorities.

Article 20. Responsibilities of authorities and organizations connected to the Ministry’s network system; and of authorities and organizations providing IT, information security and cybersecurity services to the affiliates.

...

...

...

2. Direct and assign technical departments of the unit (application management; data management; information system operation; deployment and technical support) to implement information security tasks in all stages related to the information system.

3. Cooperate with the National Health Information Center in reviewing and evaluating information security solutions during the operation and use of information systems, servers, and IT devices that are connected to the information systems of the units in charge of the systems.

4. Report incidents or acts of sabotage and intrusion to the Administration of Science Technology and Training and the National Health Information Center for review, support, cooperation and resolution.

Article 21. Responsibilities of individuals

1. Implement relevant regulations prescribed in this Regulation on information security and cybersecurity.

2. Fully participate in short-term training courses, workshops and conferences on awareness-raising, information security and incident response drills for information security and cybersecurity.

3. Be responsible for violations causing information security and cybersecurity breaches due to non-compliance with this Regulation.

Article 22. Funding for implementation

1. The funding for information security and cybersecurity is allocated from the state budget and other legitimate sources of funding.

...

...

...

Article 23. Inspection

1. The affiliates shall regularly inspect, supervise and evaluate the work of information security and cybersecurity at their units; and consider this work a core responsibility of their units.

2. The Administration of Science Technology and Training shall inspect and report to the Ministry the implementation of this Regulation of the affiliates.

Article 24. Reporting regime and content

Regulations on reporting regime and content shall comply with Articles 13 and 14 of Circular No. 12/2022/TT-BTTTT.

Article 25. Implementation

1. This Regulation comes into force from the day on which it is signed and issued.

2. The heads of the affiliates are responsible for implementing and disseminating this Regulation to all officers, public employees, and employees of their units; regularly inspecting the compliance with the Regulation of their units; and be accountable to the law and to the Minister of Health for any violations or loss of information and data within the scope of management of the units.

3. Should any difficulties and issues arise during the implementation, units shall report to the Administration of Science Technology and Training for consolidation and report to the Minister for consideration and amendment to this Regulation./.

...

...

...