Điều 14. Quản lý an toàn hạ tầng mạng
1. An toàn cho mạng nội bộ (LAN)
a) Phải sử dụng thiết bị tường lửa chuyên dụng hoặc phần mềm tường lửa để ngăn chặn và phát hiện xâm nhập trái phép vào mạng nội bộ của cơ quan khi kết nối với hệ thống bên ngoài.
b) Khi kết nối từ xa vào mạng nội bộ, phải sử dụng giao thức mạng có mã hóa thông tin và thiết lập mật khẩu đủ mạnh theo quy định.
c) Mạng LAN phải được phân chia lớp bằng VLAN hoặc phân chia vật lý theo vùng bảo mật và chức năng, tối thiểu gồm:
(i) Vùng máy chủ/trung tâm dữ liệu;
(ii) Vùng máy trạm người dùng;
(iii) Vùng thiết bị chuyên dụng (IoT, thiết bị giám sát, camera…);
(iv) Vùng quản trị/thiết bị mạng;
(v) Vùng mạng trung gian đối với dịch vụ công bố ra Internet (nếu có).
d) Lưu lượng giữa các lớp/VLAN chỉ được phép đi qua thiết bị lớp 3 hoặc tường lửa; áp dụng nguyên tắc mặc định chặn, cho phép theo quy tắc; giới hạn quyền truy cập theo nhu cầu tối thiểu. Trên thiết bị chuyển mạch/định tuyến phải triển khai danh sách kiểm soát truy cập để kiểm soát truy cập giữa các VLAN và ghi nhật ký đầy đủ các kết nối liên VLAN theo quy định. Nghiêm cấm cấu hình định tuyến chéo trực tiếp giữa các VLAN trên thiết bị chuyển mạch khi không áp dụng cơ chế kiểm soát, giám sát và ghi nhật ký. Việc tạo, sửa đổi, hủy VLAN và điều chỉnh danh sách kiểm soát truy cập phải được quản lý tập trung, có phê duyệt theo thẩm quyền và lưu vết hồ sơ phục vụ kiểm tra, giám sát.
2. Mạng không dây để kết nối với mạng nội bộ phải thiết lập mật khẩu mạnh, mã hóa dữ liệu theo cơ chế bảo mật WPA2 hoặc WPA3. Mật khẩu truy cập phải được thay đổi định kỳ 03 tháng/lần.
3. Hệ điều hành, phần mềm tích hợp trên các thiết bị mạng phải có bản quyền và thường xuyên được cập nhật các bản vá lỗi theo khuyến nghị của nhà sản xuất.
4. Phải lưu nhật ký khi thay đổi cấu hình kỹ thuật của các thiết bị mạng.