Điều 13. Trách nhiệm của các đơn vị về đảm bảo an toàn, an ninh mạng và thông tin trên mạng truyền số liệu chuyên dùng (TSLCD)
1. Trang bị đầy đủ các kiến thức cơ bản về máy tính, mạng máy tính bảo mật thông tin cho cán bộ, công chức, viên chức trước khi truy nhập và sử dụng hệ thống thông tin qua mạng TSLCD.
2. Có trách nhiệm phân bổ quyền lực đầu tư hợp lý để thiết lập hệ thống mạng nội bộ kết nối vào mạng TSLCD theo tiêu chuẩn quy định của Nhà nước do Sở Thông tin và Truyền thông hướng dẫn nhằm bảo đảm an toàn, an ninh thông tin trong hoạt động ứng dụng công nghệ thông tin của đơn vị.
3. Đối với cán bộ, công chức, viên chức nghỉ hưu, chuyển công tác hoặc chấm dứt hợp đồng thì cán bộ chuyên trách CNTT của đơn vị phải hủy bỏ quyền truy nhập vào hệ thống thông tin và thu hồi lại các tài liệu, hồ sơ, thông tin liên quan tới các tài khoản bị hủy bỏ nhằm tránh tình trạng truy cập trái phép vào hệ thống.
4. Tạo điều kiện cho cán bộ chuyên trách CNTT của đơn vị có điều kiện học tập, tiếp thu công nghệ, kiến thức an toàn bảo mật thông tin.
5. Tổ chức quản lý các tài khoản của hệ thống thông tin qua mạng TSLCD bao gồm: tạo mới, kích hoạt, sửa đổi, vô hiệu hóa và loại bỏ các tài khoản, đồng thời tổ chức kiểm tra các tài khoản của hệ thống thông tin ít nhất 01 lần/03 tháng.
6. Tổ chức quản lý tài khoản, phân quyền người sử dụng theo nhóm; quy định về quyền hạn người sử dụng, giới hạn về thời gian truy nhập hệ thống. Nếu liên tục đăng nhập sai vượt quá số lần quy định thì hệ thống tự động khóa tài khoản hoặc cô lập tài khoản với khoảng thời gian nhất định trước khi tiếp tục cho đăng nhập.
7. Hệ thống thông tin phải ghi nhận các sự kiện sau: quá trình đăng nhập, truy xuất, các thao tác cấu hình hệ thống. Đồng thời ghi nhận đầy đủ các thông tin trong các bản ghi nhật ký để xác định những sự kiện nào đã xảy ra, nguồn gốc và kết quả của sự kiện để có cơ chế bảo vệ và lưu giữ nhật ký trong một khoảng thời gian nhất định.
8. Phải thiết lập, tổ chức theo dõi, kiểm soát tất cả các phương pháp truy nhập từ xa, truy nhập mạng không dây, truy nhập có chức năng độc quyền, tổ chức sử dụng và mã hóa chứng thực để bảo vệ truy nhập tới hệ thống thông tin; ngăn chặn các sự cố gây ra do tấn công từ chối dịch vụ. Đồng thời tổ chức triển khai cơ chế tự động giám sát và điều khiển các truy nhập từ xa.
9. Đối với hệ thống thông tin cho phép truy nhập công cộng thì phải được bảo vệ bằng các trang thiết bị chuyên dụng hoặc sử dụng tổng hợp các biện pháp kỹ thuật và thiết lập hệ thống dự phòng.
10. Trong việc sử dụng mạng TSLCD, đơn vị phải quy định một số nội dung đảm bảo an toàn, an ninh thông tin như sau:
a) Mục tiêu và phương hướng thực hiện công tác đảm bảo an toàn, an ninh cho hệ thống thông tin.
b) Nguyên tắc phân loại và quản lý mức độ ưu tiên đối với tài nguyên của hệ thống thông tin (phần mềm, dữ liệu, trang thiết bị..).
c) Quản lý phân quyền và quy định trách nhiệm đối với từng cá nhân khi tham gia sử dụng hệ thống thông tin.
d) Quản lý và điều hành hệ thống máy chủ, thiết bị mạng, thiết bị bảo vệ mạng; việc lưu trữ, sao chép, truyền tải những tài liệu thuộc bí mật Nhà nước, sử dụng hộp thư điện tử, thiết bị tháo lắp (USB, thiết bị không dây, máy tính xách tay… ).
đ) Nguyên tắc sử dụng an toàn và hiệu quả đối với tất cả cá nhân tham gia sử dụng hệ thống thông tin.
e) Báo cáo tổng hợp tình hình đảm bảo an toàn, an ninh thông tin và bảo mật hệ thống thông tin theo định kỳ.
f) Nơi tiếp nhận thông tin, xử lý các sự cố hoặc nguy cơ mất an toàn, an ninh thông tin và bảo mật hệ thống thông tin.
g) Khi quy định về an toàn, an ninh thông tin cho đơn vị phải tham khảo các tiêu chuẩn kỹ thuật quản lý an toàn thông tin theo quy định hiện hành (Tiêu chuẩn quốc gia TCVN 7562:2005... ) để có sự lựa chọn áp dụng phù hợp cho đơn vị mình.
11. Trách nhiệm của cán bộ chuyên trách CNTT về an toàn, an ninh thông tin, bảo mật trên mạng TSLCD:
a) Chịu trách nhiệm tham mưu và vận hành an toàn hệ thống thông tin của đơn vị.
b) Cập nhật cấu hình chuẩn cho các thành phần của hệ thống khi tiến hành cài đặt, thiết lập cấu hình tối ưu cho các thiết bị an toàn thông tin của hệ thống thông tin đạt hiệu quả nhất.
c) Thường xuyên sao lưu hệ thống thông tin và lưu trữ thông tin ở nơi an toàn. Đồng thời tổ chức kiểm tra thông tin sao lưu để bảo đảm tính sẵn sàng và toàn vẹn của thông tin.
d) Triển khai các biện pháp phòng, chống lây nhiễm virus máy tính, mã độc và thư rác trong hệ thống thông tin; Sử dụng thiết bị, phần mềm để phát hiện, ngăn chặn, tiêu diệt virus, mã độc, thư rác được truyền tải bởi: Internet, tập tin đính kèm từ thư điện tử, thiết bị lưu trữ di động nhằm khai thác lỗ hổng của hệ thống thông tin. Đồng thời, cập nhật thường xuyên các phần mềm diệt virus, chống mã độc và thư rác sao cho phù hợp với quy trình quản lý cấu hình hệ thống thông tin.
đ) Phòng tránh các rủi ro có thể xảy ra do truy nhập, sử dụng trái phép; làm thay đổi hoặc phá hủy hệ thống thông tin có liên quan đến hoạt động của đơn vị.
e) Tổng hợp báo cáo, đánh giá mức độ nghiêm trọng của các rủi ro có thể xảy ra và thực hiện các biện pháp phòng chống các rủi ro.
12. Trách nhiệm của đơn vị khi tham gia khai thác mạng TSLCD:
a) Tổ chức xây dựng quy chế nội bộ về việc bảo đảm an toàn thông tin cho hệ thống thông tin của đơn vị mình quản lý và có cán bộ phụ trách quản lý an toàn thông tin.
b) Hàng năm lập kinh phí trong các dự án ứng dụng công nghệ thông tin của đơn vị để đầu tư thiết bị và triển khai các giải pháp kỹ thuật bảo đảm an toàn thông tin.