Directive 60/CT-BTTTT 2021 conducting cybersecurity management drills

• Official number: 60/CT-BTTTT
• Legislation Type: Directive
• Organization: The Ministry Of Information And Transmitation
• Signer: Nguyen Manh Hung
• Issued Date: 16/09/2021

BỘ THÔNG TIN VÀ TRUYỀN THÔNG -------	CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc ---------------
Số: 60/CT-BTTTT	Hà Nội, ngày 16 tháng 9 năm 2021

CHỈ THỊ

VỀ VIỆC TỔ CHỨC TRIỂN KHAI DIỄN TẬP THỰC CHIẾN BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG

Bảo đảm an toàn thông tin mạng là nhiệm vụ then chốt, liên quan mật thiết tới sự phát triển bền vững của quá trình chuyển đổi số. Việc đảm bảo an toàn thông tin mạng gắn liền với việc nâng cao năng lực chuyên môn của đội ứng cứu sự cố của cơ quan, tổ chức, doanh nghiệp.

Thời gian vừa qua, hoạt động diễn tập bảo đảm an toàn thông tin, ứng cứu sự cố mạng (gọi tắt là diễn tập) đã được một số cơ quan, tổ chức, doanh nghiệp triển khai nhưng số lượng vẫn còn rất ít, nặng về hình thức, “diễn” nhiều hơn “tập”, thường theo những kịch bản có sẵn và thực hiện trên các hệ thống mô phỏng, giả lập. Hạn chế của hình thức diễn tập này là các đội ứng cứu sự cố không có nhiều cơ hội cọ sát thực tế, năng lực cải thiện không đáng kể, phần lớn chưa có khả năng đối phó với các cuộc tấn công phức tạp, quy mô, kéo dài.

Trong khi đó, nguy cơ các hệ thống thông tin của bộ, ngành, địa phương, doanh nghiệp bị tấn công, khai thác là hiện hữu. Để các đội ứng cứu sự cố có đủ năng lực xử lý sự cố xảy ra trong hệ thống của mình, hoạt động diễn tập cần chuyển sang hình thức diễn tập thực chiến, với phương thức, phạm vi, tính chất mới. Diễn tập thực chiến được thực hiện trên hệ thống thật, không có kịch bản trước nhưng được quy định về mục tiêu, đối tượng tham gia, công cụ sử dụng, mức độ khai thác và thời gian diễn ra nhằm giảm thiểu rủi ro.

Diễn tập thực chiến gắn hoạt động diễn tập vào chính hệ thống mà đội ứng cứu sự cố có trách nhiệm bảo vệ, qua đó kinh nghiệm xử lý sự cố của đội ứng cứu sự cố đối với các hệ thống đang vận hành càng được nâng cao.

Diễn tập thực chiến chuyển diễn tập từ trạng thái “tĩnh” sang “động”, thay vì có kịch bản trước, giới hạn trong thời gian ngắn thì diễn ra không cần kịch bản, trong thời gian đủ dài để thành viên tham gia có thể phát huy các kỹ năng tấn công và đưa đội ứng cứu vào trạng thái luôn thường trực, sẵn sàng xử lý sự cố, như các cuộc tấn công trong thực tế.

Diễn tập thực chiến chuyển từ diễn tập “ít” sang “nhiều”, từ diễn tập sự vụ sang các đợt kéo dài, diễn ra càng thường xuyên thì khả năng phòng thủ, ứng cứu lại càng được cải thiện, rủi ro càng được giảm thiểu, diễn tập mở rộng cho nhiều đối tượng tham gia, qua đó càng có nhiều cơ hội phát hiện điểm yếu, lỗ hổng đang tồn tại trong công nghệ, quy trình, con người để kịp thời xử lý.

Trên cơ sở đó, để triển khai hoạt động diễn tập thực chiến trong thời gian tới, Bộ trưởng Bộ Thông tin và Truyền thông chỉ thị:

1. Đơn vị chuyên trách về an toàn thông tin của các Bộ, cơ quan ngang Bộ, cơ quan thuộc Chính phủ; Sở Thông tin và Truyền thông của các tỉnh, thành phố trực thuộc Trung ương

a) Tham mưu cho các Bộ, cơ quan ngang Bộ, cơ quan thuộc Chính phủ, Ủy ban nhân dân các tỉnh, thành phố trực thuộc Trung ương về kế hoạch, bố trí kinh phí hàng năm để tổ chức ít nhất 01 cuộc diễn tập thực chiến chuyên đề an toàn thông tin, ứng cứu sự cố mạng trong phạm vi của bộ, ngành, địa phương mình theo chỉ đạo của Thủ tướng Chính phủ tại Nhiệm vụ 4, Mục II, Quyết định 1622/QĐ-TTg 25 tháng 10 năm 2017 phê duyệt đề án đẩy mạnh hoạt động của mạng lưới ứng cứu sự cố, tăng cường năng lực cho các cán bộ, bộ phận chuyên trách ứng cứu sự cố an toàn thông tin mạng trên toàn quốc đến 2020, định hướng đến 2025 và Quyết định 05/2017/QĐ-TTg ngày 16 tháng 3 năm 2017 ban hành quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia (gọi tắt là Quyết định 05).

b) Triển khai hoạt động diễn tập thực chiến trên hệ thống đang vận hành, cung cấp dịch vụ như cổng thông tin điện tử, cổng dịch vụ công trực tuyến, hệ thống thư điện tử, hệ thống quản lý văn bản điều hành hoặc các hệ thống cần thiết khác; chú trọng diễn tập trên các hệ thống hiện diện trên mạng Internet, đặc biệt là các hệ thống, nền tảng phục vụ chính phủ điện tử, thành phố thông minh, chuyển đổi số.

c) Chuẩn bị kỹ lưỡng, bài bản, sẵn sàng các phương án bảo vệ nhằm giảm thiểu rủi ro, bảo đảm hệ thống luôn được an toàn trong quá trình diễn tập; phải xác định rõ hệ thống là mục tiêu diễn tập, công cụ, kỹ thuật được sử dụng để không gây hậu quả hoặc hậu quả xảy ra trong giới hạn cho phép; xây dựng phương án dự phòng xử lý rủi ro và sẵn sàng ứng cứu khi xảy ra sự cố trong quá trình diễn tập.

d) Tự tổ chức hoạt động diễn tập thực chiến hoặc lựa chọn tổ chức, doanh nghiệp có đủ năng lực để triển khai diễn tập thực chiến.

đ) Phối hợp với Cục An toàn thông tin trong quá trình diễn tập để đánh giá hiệu quả diễn tập, đánh giá rủi ro và hỗ trợ điều phối ứng cứu khi xảy ra sự cố.

e) Đảm bảo vừa nâng cao năng lực cho đội ứng cứu sự cố, vừa tăng cường bảo vệ cho hệ thống thông tin đồng thời giúp tuyên truyền cho cơ quan, tổ chức, người dân về công tác đảm bảo an toàn thông tin mạng trong quá trình tổ chức diễn tập.

g) Tham gia đầy đủ vào các chương trình diễn tập thực chiến an toàn thông tin, ứng cứu sự cố mạng do Bộ Thông tin và Truyền thông (Cục An toàn thông tin) tổ chức; đôn đốc đội ứng cứu sự cố thuộc phạm vi quản lý của mình tham gia tích cực vào các hoạt động diễn tập thực chiến do đơn vị khác tổ chức nhằm nâng cao năng lực.

2. Các tổ chức, doanh nghiệp là thành viên mạng lưới ứng cứu sự cố an toàn thông tin mạng quốc gia

a) Hàng năm tổ chức ít nhất 01 cuộc diễn tập thực chiến an toàn thông tin, ứng cứu sự cố mạng đối với các hệ thống thông tin thuộc phạm vi quản lý của mình.

b) Triển khai hoạt động diễn tập thực chiến trên các hệ thống đang vận hành, cung cấp dịch vụ; chú trọng diễn tập trên các hệ thống hiện diện trên mạng Internet.

c) Thực hiện các nội dung tại Khoản c, d, đ, g Mục 1 của Chỉ thị này.

d) Phối hợp, hỗ trợ các cơ quan, tổ chức, doanh nghiệp khác trong quá trình diễn tập thực chiến, sẵn sàng tham gia ứng cứu, xử lý sự cố khi các đơn vị diễn tập gặp rủi ro trong quá trình diễn tập.

3. Cục An toàn thông tin

a) Hướng dẫn thực hiện hoạt động diễn tập thực chiến.

b) Đôn đốc, kiểm tra cơ quan, tổ chức, doanh nghiệp là thành viên Mạng lưới ứng cứu sự cố an toàn thông tin mạng quốc gia triển khai hoạt động diễn tập thực chiến.

c) Sử dụng kết quả diễn tập thực chiến là một trong những tiêu chí để đánh giá năng lực đội ứng cứu sự cố của thành viên Mạng lưới ứng cứu sự cố an toàn thông tin mạng quốc gia.

d) Chủ trì tổ chức các chương trình diễn tập thực chiến an toàn thông tin, ứng cứu sự cố mạng cấp quốc gia hàng năm.

e) Tổ chức đánh giá kết quả diễn tập thực chiến của thành viên Mạng lưới và báo cáo kết quả hàng năm cho Bộ trưởng Bộ Thông tin và Truyền thông; đề xuất các biện pháp nhằm cải tiến hoạt động diễn tập thực chiến.

4. Tổ chức thực hiện

Các cơ quan, tổ chức, doanh nghiệp là thành viên Mạng lưới ứng cứu sự cố an toàn thông tin mạng quốc gia căn cứ nội dung tại Chỉ thị, tập trung triển khai các nhiệm vụ nhằm nâng cao hiệu quả trong công tác diễn tập thực chiến.

Cục An toàn thông tin có trách nhiệm theo dõi, đôn đốc các cơ quan, tổ chức, doanh nghiệp triển khai hiệu quả nhiệm vụ được giao. Định kỳ hàng năm tổng hợp báo cáo Bộ trưởng tình hình, kết quả thực hiện Chỉ thị./.

Nơi nhận: - Thủ tướng Chính phủ (để b/c); - Các Phó Thủ tướng Chính phủ (để b/c); - Văn phòng Chính phủ; - Bộ TT&TT: Bộ trưởng và các Thứ trưởng, các cơ quan, đơn vị thuộc Bộ, Cổng TTĐT; - Cơ quan, tổ chức, doanh nghiệp là thành viên Mạng lưới ứng cứu sự cố an toàn thông tin mạng quốc gia; - Các hội, hiệp hội hoạt động trong ngành TT&TT; - Lưu: VT, Cục ATTT.

BỘ TRƯỞNG Nguyễn Mạnh Hùng

English

MINISTRY OF INFORMATION AND COMMUNICATIONS -------	SOCIALIST REPUBLIC OF VIETNAM Independence - Freedom - Happiness ---------------
No. 60/CT-BTTTT	Hanoi, September 16, 2021

DIRECTIVE

ON ORGANIZING AND CONDUCTING CYBERSECURITY MANAGEMENT DRILLS    

Protecting, promoting cybersecurity or preventing cybersecurity threats (hereinafter referred to as cybersecurity management) is a key mission closely associated with the sustainable growth in the digital transformation process.   The practice of cybersecurity management is closely aligned with the improvement of professional qualification and competence of cybersecurity incident response teams in the workplace.

In recent times, a number of exercises to protect and promote information security and respond to cybersecurity incidents (hereinafter referred to as exercise(s)) have been conducted by institutional and business entities. However, very few of them are organized just as a formality, i.e. they are more “discussion-based” than “operations-based”; use ready-made scenarios, mock-up or simulated systems. The weaknesses and disadvantages of these exercises organized in such a fashion are that incident response teams do not have many opportunities for acquisition of hands-on experience and dramatic improvement of their competence, which leads to the consequence that most of them have not yet been capable of response to complex, massive and long-running cyberattacks.

Meanwhile, the exposure of IT systems of ministries, central or local authorities and enterprises to cyber attack, fraud or hack threats exists.  In order for incident response teams to be capable of responding to incidents occurring in systems in their workplace, all exercises that they join need to change to the drills in which new methods, scopes and attributes should be innovated. As a drill, it must be performed on a real system without a ready-made scenario, but may specify objectives, participants, implementation tools, level and time in order to minimize risks.

Activities involved in a drill are integrated with the system that the incident response team is responsible for protecting, thereby helping the team enhance the experience of response to incidents happening to systems in operation.

The drill should change from the static to dynamic state; instead of being conducted according to the given scenario and for a short time, should take place without any scenario and for the duration long enough for response team members to bring their offensive skills into full play and get the response team into a state of full alert and readiness for any incidents like real-life cyberattacks.

The drill should shift from lesser to greater training loads; from the one executed on a case-by-case basis to the one executed on a more long-term and regular basis in order to help trainees improve on their defense and response skills and minimize risks; be accessible to a large number of participants, thereby having more chances of detecting existent weaknesses and defects in technology, technical processes and personnel for timely actions to be taken.

...

...

...

1. Units in charge of cybersecurity of Ministries, Ministry-level agencies, Governmental bodies; Departments of Information and Communications of centrally-affiliated cities and provinces

a) Advise Ministries, ministerial-level agencies, Governmental bodies, People's Committees of provinces and centrally-affiliated cities on the annual plan and budget to organize at least one drill on cybersecurity and response to cyber incidents falling within the remit of their host ministries, central or local authorities according to the guidelines that the Prime Minister issues in Task 4 of Section II of the Decision No. 1622/QD-TTg dated October 25 in 2017, approving the project to promote the operation of the incident response network, enhance the capacity of manpower and units in charge of responding to cybersecurity incidents nationwide by 2020 with vision toward 2025, and the Decision No. 05/2017/QD-TTg dated March 16, 2017, providing for the set of national cybersecurity emergency response plans (hereinafter referred to as Decision 05).

b) Deploy drills on systems that are in operation or rendering services, such as electronic portals, online public service portals, email systems, regulatory document management systems or other necessary systems; focus on carrying out drills on systems available on the Internet, especially software systems and platforms for e-government, smart city, and digital transformation web portals.

c) Carefully and methodically prepare cybersecurity protection plans to reduce risks and ensure that systems involved in drills are always safe when drills are conducted; need to clearly identify which system is the target of the drill, tools and techniques used in the drill so as to prevent any consequences or put any consequences likely to arise within the allowable limit; develop contingency plans to handle risks and get ready for response in case of any incident occurring during the drill.

d) Organize drills by themselves or designate qualified organizations or enterprises to carry out drills. 

dd) Collaborate with the Authority of Information Security during the drills in evaluating the effectiveness of the drills, risks, and assisting in response coordination in case of emergency.

e) Ensure both capacity building for incident response teams and strengthened protection of IT systems and help to raise awareness of cybersecurity management implications amongst agencies, organizations and people during the drill.

g) Fully participate in cybersecurity and cybersecurity incident response drills host by the Ministry of Information and Communications (the Authority of Information Security); encourage the incident response teams under their management to actively participate in drills organized by other units in order to improve their capacity.

2. Organizations and enterprises that are members of the national cybersecurity incident response network

...

...

...

b) Conduct drills on systems that are in operation or rendering services; focus on drills involving systems available on the Internet.

c) Implement the regulations laid down in clause c, d, dd and g of Section 1 herein.

d) Cooperate with and assist others in drills; get ready to take part in activities involved in response to emergencies likely to occur during drills.

3. Authority of Information Security

a) Give instructions on how to carry out drills.

b) Facilitate and supervise implementation of drills by those that are members of the national cybersecurity incident response network

c) Use drill results as one of the benchmarks for assessment of the capacity of incident response teams that are members of the national cybersecurity incident response network.

d) Host a national cybersecurity and cybersecurity incident response drill each year.

e) Evaluate drill results of the network’s members and report on these results to the Minister of Information and Communications on an annual basis; recommend measures to improve drills.

...

...

...

Organizations and enterprises that are members of the national cybersecurity incident response network shall consult the instructions given herein and concentrate on carrying out tasks according to these instructions in order to improve the effectiveness of drills. 

The Authority of Information Security shall supervise and help organizations and enterprises in effectively performing assigned tasks.  Each year, submit progress and review reports on implementation of this Directive to the Minister./.

MINISTER




Nguyen Manh Hung