Điều 13. Quản lý truy cập
1. Các quy định về quản lý truy cập vào hệ thống thông tin, mạng máy tính, thiết bị, phần mềm ứng dụng của cơ quan phải được quy định chi tiết và tổ chức thực hiện nghiêm túc, phù hợp với các quy định của pháp luật về an toàn , an ninh thông tin.
2. Mỗi tài khoản truy cập các hệ thống thông tin chỉ được giao cho một người quản lý, sử dụng và chịu trách nhiệm chính về bảo mật an toàn, an ninh thông tin truy cập tài khoản.
3. Mỗi cán bộ, công chức, viên chức và người lao động chỉ được phép truy cập các thông tin phù hợp với chức năng, trách nhiệm, quyền hạn của mình, có trách nhiệm bảo mật tài khoản truy cập thông tin.
4. Các hệ thống thông tin cần giới hạn số lần đăng nhập sai liên tiếp (không quá 05 lần) vào hệ thống. Hệ thống tự động khoá tài khoản trong một khoảng thời gian nhất định trước khi tiếp tục cho đăng nhập nếu liên tục đăng nhập sai vượt quá số lần quy định.
5. Tất cả máy trạm, máy chủ và các hệ thống thông tin phải được đặt mật khẩu truy cập và thiết lập chế độ tự động bảo vệ màn hình sau 12 phút không sử dụng.
6. Khi thiết lập mạng không dây trong nội bộ cơ quan, phải đặt mật khẩu truy cập vào mạng không dây và chỉ cho phép truy cập Internet.
7. Các hệ thống thông tin phải thiết lập chế độ mật khẩu đăng nhập vào các hệ thống phải có độ phức tạp cao (có độ dài tối thiểu 8 ký tự, có ký tự thường, có ký tự hoa, ký tự số và ký tự đặc biệt như !, @, #, $, %) và phải được thay đổi ít nhất 3 tháng/lần. Các hệ thống thông tin phải thiết lập thời gian không truy cập của các tài khoản (trong 3 tháng), trong khoảng thời gian quy định này, các tài khoản không truy cập vào hệ thống sẽ bị khóa tài khoản.
8. Các hệ thống thông tin cần thiết lập thời hạn sử dụng của mật khẩu, sau 01 thời gian xác định mà người dùng không đổi mật khẩu thì sẽ tự động khóa tài khoản; và triển khai việc thiết lập hệ thống bảo mật mật khẩu bằng hình thức xác thực mật khẩu 02 lớp.