Điều 20. Bảo đảm an toàn thiết bị và người dùng đầu cuối
1. Trên máy tính công vụ phải thực hiện đầy đủ các biện pháp bảo mật phần mềm (cập nhật hệ điều hành, cài đặt phần mềm phòng chống mã độc, giám sát thiết bị đầu cuối, phòng chống thất thoát dữ liệu…), thiết lập mật khẩu truy cập bảo vệ màn hình khi không sử dụng; cài đặt, sử dụng phần mềm hợp lệ (phần mềm có bản quyền, phần mềm nội bộ được đầu tư hoặc phần mềm mã nguồn mở có nguồn gốc rõ ràng) và thuộc danh mục phần mềm được phép sử dụng do cơ quan có thẩm quyền ban hành (nếu có); không truy cập các trang tin nghi ngờ chứa mã độc hoặc các nội dung không phù hợp; thiết lập chế độ rà quét mã độc máy tính định kỳ.
2. Các cơ quan, đơn vị đầu tư, thuê, mua sắm thiết bị đảm bảo an toàn thông tin ưu tiên các sản phẩm, dịch vụ sản xuất trong nước theo quy định tại Thông tư số 40/2020/TT-BTTTT. Cấu hình thiết bị phải bảo đảm tiêu chuẩn, yêu cầu theo hướng dẫn của các bộ ngành Trung ương, cơ quan chuyên môn liên quan (nếu có) và bảo đảm việc vận hành, khai thác, sử dụng và triển khai đầy đủ các giải pháp bảo đảm an ninh mạng, an toàn thông tin.
3. Kết nối máy vi tính/thiết bị đầu cuối của người sử dụng vào hệ thống
a) Người sử dụng khi truy cập, sử dụng tài nguyên nội bộ, truy cập mạng và tài nguyên trên Internet phải tuân thủ các quy định của pháp luật về bảo đảm an toàn thông tin và các quy định của cơ quan, tổ chức.
b) Khi cài đặt, kết nối máy vi tính/thiết bị đầu cuối phải thực hiện theo hướng dẫn/quy trình dưới sự giám sát của bộ phận chuyên trách về an toàn thông tin.
c) Đối với hệ thống thông tin từ cấp độ 3 trở lên, máy vi tính/thiết bị đầu cuối phải được cơ quan, đơn vị chuyên trách công nghệ thông tin kiểm tra, rà soát xử lý điểm yếu, cấu hình cứng hóa bảo mật trước khi kết nối vào hệ thống.
4. Trong quá trình sử dụng thiết bị đầu cuối
a) Người sử dụng chỉ được phân quyền tối thiểu để sử dụng máy vi tính được trang cấp, không được phép tự ý cài đặt các phần mềm, sao chép tài liệu, dữ liệu điện tử hoặc kết nối các thiết bị ngoại vi chưa rõ nguồn gốc xuất xứ vào máy vi tính công vụ. Việc cài đặt và phân quyền do cán bộ chuyên trách về công nghệ thông tin của đơn vị thực hiện hoặc giám sát thực hiện.
b) Nghiêm túc chấp hành các quy định, quy trình nội bộ và các quy định khác của pháp luật về an ninh mạng, an toàn thông tin, bảo vệ bí mật nhà nước và dữ liệu cá nhân. Chịu trách nhiệm bảo đảm an toàn an ninh mạng trong phạm vi trách nhiệm và quyền hạn được giao.
c) Có trách nhiệm tự quản lý, bảo quản trang, thiết bị, máy vi tính, tài khoản, ứng dụng mà mình được giao để sử dụng.
d) Khi phát hiện nguy cơ hoặc sự cố mất an ninh mạng, an toàn thông tin phải báo cáo ngay với cấp trên trực tiếp và bộ phận phụ trách công nghệ thông tin của cơ quan, đơn vị để kịp thời ngăn chặn và xử lý.