Điều 19. Bảo đảm an toàn dữ liệu
1. Quản lý tài khoản truy cập
a) Khi cấp tài khoản lần đầu cho người dùng, đơn vị vận hành hệ thống thông tin phải thông báo cho người dùng. Người dùng có trách nhiệm thay đổi mật khẩu sau khi đăng nhập thành công lần đầu. Chậm nhất là 03 ngày, các tài khoản không tuân thủ việc thay đổi mật khẩu phải được tự động vô hiệu hóa.
b) Các hệ thống thông tin phải thiết lập giới hạn số lần đăng nhập không hợp lệ tối đa không quá 05 lần; tự động kết thúc phiên làm việc nếu quá 30 phút người dùng không tương tác với hệ thống.
c) Khi cá nhân thay đổi vị trí công tác, chuyển công tác, thôi việc, nghỉ hưu, đơn vị quản lý cá nhân đó phải thông báo cho đơn vị vận hành hệ thống thông tin để điều chỉnh, thu hồi hoặc hủy bỏ tài khoản.
d) Tài khoản quản trị hệ thống (mạng, hệ điều hành, thiết bị kết nối mạng, phần mềm, ứng dụng, cơ sở dữ liệu) phải tách biệt với tài khoản truy cập của người dùng thông thường. Được giao đích danh cá nhân đảm nhiệm vai trò quản trị hệ thống quản lý.
e) Tài khoản quản trị, tài khoản người dùng phải được rà soát hàng năm, đảm bảo các tài khoản và quyền truy cập hệ thống được cấp phát theo đúng chức năng, nhiệm vụ, quyền hạn của cán bộ, công chức. Các tài khoản không sử dụng trong thời gian 03 tháng phải bị khóa hoặc xóa bỏ (sau khi trao đổi, xác nhận với cơ quan, đơn vị sử dụng).
2. Cơ quan, đơn vị phải thực hiện bảo vệ thông tin, dữ liệu liên quan đến hoạt động công vụ, thông tin có nội dung quan trọng, nhạy cảm hoặc không phải là thông tin công khai bằng các biện pháp như: Thiết lập phương án bảo đảm tính bí mật, nguyên vẹn và khả dụng của thông tin, dữ liệu; mã hóa thông tin, dữ liệu khi lưu trữ trên hệ thống/thiết bị lưu trữ dữ liệu di động; sử dụng chữ ký số để xác thực và bảo mật thông tin, dữ liệu; xây dựng quy trình quản lý và phân công cán bộ quản lý.
3. Không soạn thảo, lưu giữ, truyền đưa tài liệu chứa bí mật nhà nước trên máy vi tính, các thiết bị khác đã kết nối hoặc đang kết nối với mạng Internet, mạng máy vi tính, mạng viễn thông, trừ trường hợp lưu giữ bí mật nhà nước theo quy định của pháp luật về cơ yếu.
4. Các cơ quan, đơn vị phải thường xuyên kiểm tra, giám sát các hoạt động chia sẻ, gửi, nhận thông tin, tài liệu, dữ liệu điện tử trong hoạt động nội bộ trên môi trường mạng; khuyến cáo việc chia sẻ, gửi, nhận thông tin trên môi trường mạng cần phải sử dụng mật khẩu mạnh để bảo vệ an toàn thông tin.
5. Giao dịch trực tuyến phải được truyền tải đầy đủ thông tin, đúng địa chỉ, tránh bị sửa đổi, tiết lộ hoặc nhân bản một cách trái phép; sử dụng các cơ chế xác thực đủ mạnh theo quy định, dùng chữ ký số khi tham gia giao dịch và sử dụng các giao thức truyền thông an toàn.
6. Sao lưu và khôi phục: thực hiện chiến lược sao lưu 3-2-1-1-0 (trong đó có ít nhất một bản sao bất biến/air-gap); kiểm thử khôi phục dữ liệu định kỳ tối thiểu 02 lần/năm; quy định mục tiêu thời gian khôi phục hệ thống sau sự cố/mục tiêu điểm khôi phục dữ liệu cho từng hệ thống.
7. Dữ liệu cá nhân được thực hiện theo Nghị định số 13/2023/NĐ-CP; Luật Bảo vệ dữ liệu cá nhân và các văn bản hướng dẫn thi hành.