Điều 24. Quản lý sự thay đổi
1. Quản lý sự thay đổi nhằm bảo đảm mọi thay đổi đối với hạ tầng CNTT, hạ tầng vật lý được thực hiện theo quy trình kiểm soát chặt chẽ, đánh giá đầy đủ rủi ro an toàn thông tin trước khi triển khai, nhằm duy trì tính bảo mật, toàn vẹn và sẵn sàng của dữ liệu.
2. Phân loại thay đổi bao gồm: Thay đổi tiêu chuẩn; thay đổi thông thường; thay đổi khẩn cấp.
3. Chủ trì thực hiện thay đổi:
a) Bộ phận CNTT là đơn vị chủ trì thực hiện các thay đổi đối với hạ tầng CNTT, bao gồm cả phòng máy chủ trong phạm vi cơ quan thuế.
b) Bộ phận văn phòng các đơn vị là đơn vị chủ trì thực hiện các thay đổi đối với hạ tầng vật lý.
4. Các đơn vị chủ trì xây dựng quy trình quản lý sự thay đổi, gồm các nội dung sau:
a) Lập yêu cầu thay đổi tối thiểu bao gồm:
- Mục tiêu và nội dung thay đổi;
- Hệ thống, dịch vụ hoặc quy trình bị ảnh hưởng;
- Lý do thực hiện thay đổi;
- Đề xuất thời gian triển khai;
b) Đánh giá tác động và rủi ro
- Tác động nghiệp vụ: Ảnh hưởng tới người nộp thuế; ảnh hưởng tới quy trình nghiệp vụ; ảnh hưởng tới chất lượng dịch vụ;
- Tác động đến hạ tầng CNTT/hạ tầng vật lý;
- Tác động an toàn thông tin: tính bí mật, tính toàn vẹn, tính sẵn sàng;
- Tác động đến tính liên tục dịch vụ: thời gian gián đoạn, khả năng phục hồi;
- Tác động pháp lý và tuân thủ: quy định pháp luật, quy định nội bộ, các quy định khác.
c) Phê duyệt thay đổi: Người thực hiện phê duyệt thay đổi. Việc phê duyệt có thể phân cấp.
5. Kiểm thử thay đổi
a) Thay đổi phải được kiểm thử trước khi triển khai chính thức.
b) Việc kiểm thử phải được thực hiện trên môi trường độc lập với môi trường vận hành chính thức, trừ trường hợp không thể tách biệt về mặt kỹ thuật.
c) Dữ liệu phải thực hiện che giấu, ẩn danh hoặc giả lập dữ liệu.
d) Kết quả kiểm thử phải được ghi nhận và lưu trữ làm căn cứ phê duyệt triển khai.
đ) Các hệ thống không có môi trường kiểm thử cần phải sao lưu và có phương án khôi phục ban đầu.
6. Triển khai
a) Việc triển khai thay đổi phải được thực hiện theo kế hoạch đã được phê duyệt.
b) Trước khi triển khai phải xây dựng phương án sao lưu và phương án hoàn nguyên.
c) Đối với các thay đổi có nguy cơ ảnh hưởng đến hoạt động của hệ thống, phải có kế hoạch khôi phục dịch vụ trong trường hợp triển khai không thành công.
d) Sau khi triển khai phải thực hiện kiểm tra, xác nhận kết quả và giám sát hệ thống trong thời gian phù hợp.
7. Lưu trữ hồ sơ thay đổi:
a) Hồ sơ thay đổi phải được lưu trữ, theo dõi và phục vụ công tác kiểm tra, đánh giá, kiểm toán an toàn thông tin.
b) Định kỳ hàng năm rà soát quy trình quản lý sự thay đổi nhằm bảo đảm phù hợp với yêu cầu vận hành và an toàn thông tin.