Điều 21. Bảo đảm an ninh vật lý — Quyết định 1225/QĐ-CT

a) Khu vực sân, đường nội bộ xung quanh tòa nhà: Các khu vực này được kiểm soát vào/ra bởi bộ phận bảo vệ cơ quan thuế; có hệ thống camera giám sát an ninh được duy trì ghi hình toàn bộ các hoạt động.

b) Khu vực công cộng và sử dụng chung bên trong tòa nhà gồm: Sảnh, hành lang các tầng; cầu thang máy và cầu thang bộ; tầng hầm (nếu có); căng tin; hội trường. Các khu vực này được kiểm soát an ninh vào/ra bằng thẻ từ hoặc được bộ phận lễ tân kiểm soát, tiếp đón tại sảnh.

c) Khu vực phục vụ (gồm các phòng làm việc của người lao động/phục vụ vệ sinh (phòng tạp vụ)): Được bố trí tại các phòng góc tại tòa nhà để tập kết các dụng cụ, thiết bị làm sạch, vệ sinh và nghỉ ngơi giữa giờ. Phòng Tạp vụ có khóa cửa, ngoài những người lao động/phục vụ vệ sinh được phép mở khóa để vào/ra, khu vực này còn được bộ phận kỹ thuật quản trị tòa nhà có quyền truy cập (vào/ra bằng chìa khóa dự phòng) để xử lý các vấn đề liên quan đến hệ thống thiết bị kỹ thuật tòa nhà có trong các phòng này khi có phát sinh.

d) Khu vực làm việc (phòng làm việc chung của các công chức): Các phòng làm việc đều có khóa cửa, các công chức khi ra vào phòng làm việc đều đóng/khóa cửa để đảm bảo không có người lạ vào phòng. Tất cả các công chức không thể vào được các phòng làm việc khác, ngoại trừ những phòng/khu vực họ được phân công, bố trí làm việc. Sau khi hết giờ làm việc các phòng làm việc đều được khóa và chỉ có những người trong phòng mới có thể mở khóa để ra vào phòng. Nếu thời gian nghỉ kéo dài (ngày lễ, tết) ngoài việc khóa phòng, các cửa còn được niêm phong bảo mật theo quy định.

d) Khu vực an ninh hạn chế (phòng điều hành thiết bị kỹ thuật tòa nhà, trạm biến áp, phòng đặt máy phát điện dự phòng, phòng kỹ thuật PCCC, phòng kiểm soát công nghệ thông tin, các phòng kỹ thuật điện/kỹ thuật mạng/kỹ thuật điều hòa; các phòng kho lưu trữ tài liệu của cơ quan thuế): Được đóng/khóa an toàn và chỉ có những người có nhiệm vụ (nhân viên kỹ thuật Văn phòng) mới được truy cập, mở cửa để vào thực hiện nhiệm vụ.

e) Khu vực an ninh cao (khu vực/phòng làm việc của Tổ chuyên trách trao đổi thông tin): Khu vực hoạt động, làm việc của TDTT sẽ được bố trí riêng biệt, đảm bảo tính biệt lập và hạn chế tiếp cận đối với người không có nhiệm vụ, thẩm quyền. Khu vực này thiết lập chế độ kiểm soát truy cập bằng khóa điện tử hoặc thiết bị sinh trắc học được phân quyền truy cập cho người có thẩm quyền theo quy định và có camera giám sát theo dõi xung quanh khu vực kèm theo hệ thống cảnh báo qua loa kết nối với hệ thống giám sát hình ảnh đặt tại phòng giám sát hệ thống kỹ thuật tòa nhà.

a) Nguyên tắc đặc quyền tối thiểu: Quyền truy cập vào các khu vực an ninh hạn chế và cao chỉ được cấp cho những cá nhân có công việc hợp lệ, được phê duyệt bằng văn bản bởi cấp có thẩm quyền.

b) Ghi nhận và rà soát: Toàn bộ quyền truy cập phải được phân quyền định danh cá nhân và lưu vết tự động. Định kỳ 06 tháng/lần rà soát lại danh sách quyền truy cập.

c) Thu hồi khẩn cấp: Kịp thời thu hồi quyền truy cập vật lý (thẻ từ, dấu vân tay, tài khoản) khi công chức thay đổi vị trí công tác, nghỉ việc, chấm dứt hợp đồng hoặc khi phát hiện nguy cơ an ninh.

a) Xác minh danh tính bằng giấy tờ tùy thân hợp pháp và đăng ký đầy đủ thông tin (họ tên, đơn vị, mục đích, thời gian).

b) Chỉ được di chuyển và tác nghiệp trong phạm vi được cấp phép.

c) Phải có công chức phụ trách của đơn vị đi kèm và giám sát trực tiếp trong suốt quá trình làm việc tại khu vực hạn chế và an ninh cao.

d) Nhật ký ra vào của bên thứ ba phải được lưu trữ tập trung và bảo vệ an toàn để phục vụ công tác hậu kiểm.

a) Sử dụng thẻ nhận dạng (thẻ chức danh có dán ảnh) đối với toàn bộ công chức.

b) Triển khai hệ thống kiểm soát cửa tự động (Access Control) bằng thẻ từ, mã số hoặc công nghệ sinh trắc học (vân tay, khuôn mặt).

c) Đối với khu vực an ninh cao, bắt buộc áp dụng xác thực đa yếu tố vật lý (ví dụ: Kết hợp thẻ từ và sinh trắc học) và thiết kế hệ thống cửa phân tách chống bám đuôi (Anti-passback).

a) Biện pháp giám sát: Kết hợp lực lượng nhân viên bảo vệ và bộ phận kỹ thuật theo dõi hệ thống camera giám sát (CCTV) hoạt động liên tục 24/7/365. Hệ thống CCTV phải bao quát được toàn bộ các lối ra vào, hành lang của khu vực hạn chế và an ninh cao.

b) Thời hạn lưu trữ dữ liệu: Nhật ký truy cập hệ thống cửa và dữ liệu ghi hình từ camera giám sát phải được lưu trữ an toàn, liên tục trong thời gian tối thiểu là 30 ngày (đối với khu vực thông thường) và 03 tháng (đối với khu vực an ninh cao).

c) Bảo vệ dữ liệu trực quan: Dữ liệu ghi hình camera phải được mã hóa, phân quyền truy cập. Không được bố trí góc quét của camera hướng trực tiếp vào màn hình máy tính, bàn làm việc, máy in, hoặc nơi có thể đọc được thông tin trên tài liệu giấy và thông tin nhạy cảm của người nộp thuế.

d) Quy định mặt bàn sạch và màn hình sạch (Clear Desk/ Clear Screen): Công chức phải khóa màn hình máy tính khi rời khỏi vị trí làm việc; không để lộ tài liệu chứa dữ liệu thuế trên mặt bàn khi hết giờ làm việc; toàn bộ tài liệu mật phải được lưu giữ trong tủ khóa.

a) Các biện pháp kiểm soát truy cập vật lý phải được đánh giá, báo cáo định kỳ hàng năm hoặc ngay khi có thay đổi lớn về hạ tầng, nhân sự, tổ chức hoặc khi xảy ra sự cố an ninh thông tin.

b) Các biện pháp kiểm soát bổ sung (như bố trí thêm nhân sự giám sát kép, cô lập vùng mạng vật lý) phải được triển khai ngay lập tức khi kết quả đánh giá rủi ro định kỳ chỉ ra các lỗ hổng hoặc mối đe dọa mới.

c) Định kỳ hàng năm hoặc đột xuất, đơn vị quản lý trụ sở tổ chức kiểm thử hệ thống an toàn thông tin vật lý của tòa nhà gồm:

a) Đối với trụ sở Cơ quan Cục Thuế phải bảo đảm các điều kiện an toàn vật lý theo các khoản 1, 2, 3, 4, 5, 6 tại Điều này.

b) Đối với trụ sở Thuế tỉnh, thành phố và Thuế cơ sở: