Điều 23. Quản lý tài sản
1. Thiết lập và duy trì hệ thống quản lý danh mục tài sản phần cứng
a) Lập danh sách tài sản phần cứng: Bộ phận CNTT lập danh sách thiết bị của người dùng cuối, thiết bị di động, thiết bị lưu trữ ngoài, máy in, máy scan, thiết bị mạng, thiết bị bảo mật, máy chủ trong môi trường vật lý, ảo hóa và điện toán đám mây; bộ phận văn phòng lập danh sách các thiết bị OT/IoT và máy photocopy.
b) Danh sách tài sản phần cứng bao gồm các thông tin cơ bản sau: Tên tài sản, mã nhận diện serial number, đơn vị sản xuất, model, vị trí vật lý lắp đặt, vị trí lắp đặt trong hệ thống mạng, đơn vị/cá nhân chịu trách nhiệm quản lý tài sản, địa chỉ mạng IP (đối với thiết bị đặt địa chỉ IP tĩnh), hệ điều hành/firmware, thời gian hết bảo hành, thời gian ngừng hỗ trợ kỹ thuật của hãng, các tài khoản và vai trò được phép truy cập tài sản, mục đích sử dụng, tình trạng sử dụng. Bộ phận CNTT và bộ phận văn phòng thực hiện cập nhật khi có thay đổi và kiểm kê danh sách định kỳ 01 lần/năm.
2. Thiết lập và duy trì hệ thống quản lý danh mục tài sản phần mềm
a) Bộ phận CNTT lập danh sách, theo dõi, cập nhật trạng thái của tất cả tài sản phần mềm hiện đang được cài đặt trên các tài sản phần cứng tại khoản 1 của Điều này.
b) Danh sách tài sản phần mềm bao gồm các thông tin sau: Tên tài sản, phiên bản (nếu có), nhà sản xuất, loại license, đơn vị/cá nhân chịu trách nhiệm quản lý/vận hành tài sản, thời gian hết bảo hành, thời gian ngừng hỗ trợ kỹ thuật của hãng, mục đích sử dụng, tình trạng sử dụng, tài sản phần cứng đang cài đặt, các tài khoản được phép truy cập tài sản (nếu có). Bộ phận CNTT thực hiện cập nhật khi có thay đổi và kiểm kê danh sách định kỳ 01 lần/năm.
3. Thiết lập và duy trì hệ thống quản lý danh mục tài sản dữ liệu
a) Bộ phận CNTT lập danh sách các CSDL để theo dõi, cập nhật trạng thái.
b) Danh sách tài sản dữ liệu bao gồm các thông tin sau: Tên CSDL, tên hệ quản trị CSDL, phiên bản, nhà sản xuất, địa chỉ IP máy chủ, đơn vị/cá nhân chịu trách nhiệm quản lý tài sản, thời gian hết bảo hành, thời gian ngừng hỗ trợ kỹ thuật của hãng, mục đích sử dụng, tình trạng sử dụng, tài sản phần cứng đang cài đặt, các tài khoản và vai trò được phép truy cập tài sản, thông tin dữ liệu (dữ liệu cá nhân, dữ liệu NNT, dữ liệu công cộng, dữ liệu trao đổi thông tin, ...). Bộ phận CNTT thực hiện cập nhật khi có thay đổi và kiểm kê danh sách định kỳ tối thiểu 01 lần/năm.
4. Xử lý với các tài sản đã lỗi thời
a) Tài sản đã lỗi thời là tài sản không còn được nhà sản xuất hoặc nhà cung cấp hỗ trợ kỹ thuật, cập nhật phần mềm, bản vá bảo mật hoặc đã hết thời hạn bảo hành mà không còn khả năng gia hạn, dẫn đến không còn đáp ứng yêu cầu vận hành hoặc an toàn thông tin.
b) Đối với tài sản đã lỗi thời, cơ quan thuế cần ưu tiên thay thế để đảm bảo tài sản luôn trong tình trạng bảo hành hoặc còn được hỗ trợ của hãng. Trường hợp, chưa thể thay thế, cơ quan thuế cần phải thể hiện rõ trong danh mục tài sản, đồng thời triển khai các biện pháp giảm thiểu rủi ro (với các thiết bị mà phần cứng còn được hãng bảo hành cần triển khai sao lưu dữ liệu, cấu hình hàng ngày; với các thiết bị có hệ điều hành, hệ quản trị CSDL không còn được hãng hỗ trợ, tăng cường vận hành hàng ngày để kịp thời phát hiện sự cố, không truy cập Internet)