Điều 12. Quản lý an toàn tài khoản và quyền truy cập
1. Tài khoản là tập hợp gồm tên đăng nhập và mật khẩu hoặc hình thức xác thực khác, được gắn với quyền truy cập thực hiện một số tác vụ trên hệ thống thông tin hoặc trên thiết bị xử lý thông tin, bao gồm các loại sau:
a) Tài khoản định danh (tài khoản của người dùng cuối) được cấp cho một người dùng duy nhất và được gắn quyền truy cập các hệ thống thông tin.
b) Tài khoản chức năng dùng để truy cập hệ thống gắn với một nhiệm vụ cụ thể để thực hiện nhiệm vụ của cơ quan (ví dụ: Tài khoản văn thư, tài khoản biên tập,...). Tài khoản này phải được bàn giao cho công chức, viên chức, người lao động cụ thể quản lý. Khi kết thúc thời gian thực hiện nhiệm vụ, người dùng bàn giao tài khoản chức năng cho người dùng được phân công tiếp nhận nhiệm vụ hoặc bàn giao tài khoản cho đơn vị quản lý người dùng.
c) Tài khoản kỹ thuật là tài khoản chỉ được thực hiện xác thực giữa các ứng dụng hoặc ứng dụng với cơ sở dữ liệu. Không cho phép người dùng tương tác/đăng nhập trực tiếp.
d) Tài khoản quản trị là tài khoản có quyền cài đặt, cấu hình các thông số và cấp quyền truy cập trên hệ thống thông tin. Tài khoản quản trị được giao cho cá nhân, đơn vị thực hiện nhiệm vụ quản trị ứng dụng, quản trị cơ sở dữ liệu, quản trị hệ điều hành, quản trị thiết bị. Trường hợp thuê ngoài, đơn vị chủ trì quản lý: lập danh sách cá nhân được giao tài khoản quản trị; thời điểm cá nhân tiếp nhận/kết thúc sử dụng; cập nhật danh sách khi có thay đổi về nhân sự giữ tài khoản.
2. Quy định về quản lý tài khoản:
a) Mỗi tài khoản truy cập phải được gán cho một người quản lý/sử dụng duy nhất. Cá nhân được cấp hoặc giao quản lý tài khoản chịu trách nhiệm về các hành vi của tài khoản được ghi nhận trên thiết bị xử lý thông tin, hệ thống thông tin, hệ thống giám sát an toàn thông tin mạng. Trường hợp chia sẻ tài khoản dùng chung, phải mô tả rõ trách nhiệm của mỗi cá nhân tại thời điểm sử dụng và được phê duyệt bởi lãnh đạo cơ quan thuế.
b) Mỗi tài khoản chỉ được cấp quyền tối thiểu. Việc cấp tài khoản và quyền truy cập tuân thủ quy định của nghiệp vụ, quy trình cấp mới, thay đổi và thu hồi quyền truy cập vào các tài sản của cơ quan, tổ chức.
c) Thay đổi hoặc vô hiệu hóa tài khoản mặc định trên phần mềm, thiết bị (tài khoản root, administrator, tài khoản cấu hình sẵn của nhà cung cấp dịch vụ).
d) Các loại tài khoản sau phải được tách biệt không sử dụng chung một tài khoản: Tài khoản quản trị, tài khoản hệ thống, tài khoản người dùng, tài khoản kỹ thuật, tài khoản dịch vụ.
đ) Tài khoản (trừ tài khoản hệ thống, tài khoản kỹ thuật) bị tạm khóa trong thời gian 05 phút nếu đăng nhập sai quá 05 lần liên tục.
e) Xoá hoặc vô hiệu hóa các tài khoản không hoạt động sau 45 ngày hoặc ngay khi có thay đổi nhân sự quản lý tài khoản hoặc nhân sự quản lý tài khoản bị nghi ngờ có hành vi vi phạm an toàn thông tin.
3. Quy định về mật khẩu:
a) Mật khẩu gồm: Ký tự viết thường, ký tự viết hoa, ký tự đặc biệt, chữ số, không chứa tên tài khoản và có tối thiểu 14 ký tự.
b) Mật khẩu phải được giữ bí mật, thay đổi trong lần đăng nhập đầu tiên (trừ tài khoản hệ thống, tài khoản kỹ thuật) và định kỳ 06 tháng/01 lần. Riêng tài khoản quản trị thay đổi mật khẩu định kỳ 02 tháng/01 lần. Mật khẩu mới không được trùng với 10 mật khẩu trước đó.
c) Mật khẩu của tài khoản thay thế tài khoản root/administrator phải được đóng phong bì kín bàn giao cho Lãnh đạo bộ phận CNTT và được lưu trong tủ cá nhân có khóa.
4. Quy định về xác thực đa nhân tố:
a) Các hệ thống cho phép truy cập từ Internet đối với người dùng công chức cơ quan thuế, người dùng là quản trị, hỗ trợ bắt buộc sử dụng tối thiểu xác thực 2 yếu tố.
b) Ưu tiên sử dụng xác thực tối thiểu 2 yếu tố để tăng cường an toàn bảo mật đối với các hệ thống quan trọng.
5. Thiết lập và duy trì hệ thống quản lý tài khoản:
a) Lập danh sách tài khoản thiết bị/phần mềm.
b) Danh sách tài khoản bao gồm các thông tin: loại tài khoản, tên tài khoản, trạng thái tài khoản, tên thiết bị/phần mềm, địa chỉ IP, tên người quản lý, phòng ban, ngày kích hoạt tài khoản, ngày vô hiệu hoá tài khoản (nếu có).
c) Danh sách tài khoản phải được rà soát định kỳ tối thiểu 01 lần/quý, loại bỏ các tài khoản không sử dụng, các tài khoản không còn hợp lệ trên hệ thống thông tin.