Điều 26. Đảm bảo hoạt động liên tục của nghiệp vụ
1. Lập kế hoạch duy trì hoạt động liên tục nhằm bảo đảm các hoạt động trọng yếu (các hoạt động có ảnh hưởng đến nghĩa vụ, trách nhiệm của người nộp thuế, các hoạt động trao đổi thông tin mang tính quốc tế) của cơ quan thuế được duy trì hoặc được khôi phục trong thời gian phù hợp khi xảy ra sự cố hoặc thảm họa.
2. Kế hoạch duy trì hoạt động liên tục phải được xây dựng trên cơ sở đánh giá rủi ro và đánh giá mức độ ảnh hưởng đối với hoạt động của cơ quan thuế, bao gồm các nội dung sau:
a) Xác định các kịch bản có khả năng gây gián đoạn hoạt động, bao gồm: không có địa điểm làm việc do thiên tai, hỏa hoạn, dịch bệnh, mất điện diện rộng; không đảm bảo hạ tầng kỹ thuật do tấn công mạng, tấn công mã độc, sự cố hạ tầng kỹ thuật, gián đoạn dịch vụ của nhà cung cấp.
b) Xây dựng phương án bảo đảm an toàn cho con người, tài sản, hệ thống thông tin và thông tin, dữ liệu; bảo đảm tính bảo mật, toàn vẹn và khả dụng của thông tin, dữ liệu trong quá trình ứng phó, duy trì và khôi phục hoạt động; kiểm soát quyền truy cập, xác thực người dùng, giám sát và xử lý các nguy cơ mất an toàn, an ninh thông tin;
c) Đánh giá mức độ ảnh hưởng của từng kịch bản đối với các quy trình nghiệp vụ, hệ thống thông tin, hoạt động quản lý thuế, thu ngân sách nhà nước, trao đổi thông tin quốc tế và các hoạt động trọng yếu khác; xác định các hoạt động và hệ thống cần ưu tiên duy trì hoặc khôi phục.
d) Xây dựng kế hoạch duy trì hoạt động liên tục, bao gồm:
- Điều kiện và thẩm quyền kích hoạt kế hoạch duy trì hoạt động liên tục;
- Phương án bảo đảm an toàn cho con người, tài sản và thông tin, dữ liệu;
- Phương án duy trì hoạt động khi không thể sử dụng trụ sở làm việc;
- Phương án duy trì hoạt động các dịch vụ hạ tầng CNTT;
- Danh sách đầu mối liên hệ và các nhà cung cấp trọng yếu tham gia ứng cứu, khôi phục;
- Điều kiện, trình tự và thẩm quyền quyết định chuyển từ trạng thái ứng phó sự cố sang trạng thái vận hành bình thường.
đ) Đối với các quy trình nghiệp vụ phụ thuộc vào hệ thống thông tin, kế hoạch duy trì hoạt động liên tục phải xác định rõ việc phối hợp và kích hoạt kế hoạch khôi phục sau thảm họa để bảo đảm khôi phục hệ thống công nghệ thông tin phục vụ hoạt động nghiệp vụ.
3. Bộ phận CNTT/ bộ phận văn phòng có trách nhiệm xây dựng, duy trì, kiểm thử và cập nhật Kế hoạch khôi phục sau thảm họa đối với các hệ thống thuộc phạm vi quản lý, bảo đảm 01 lần/năm.
4. Đào tạo và diễn tập: Kế hoạch duy trì hoạt động liên tục phải được đơn vị nghiệp vụ chủ trì quy trình kiểm thử 01 lần/năm thông qua hình thức diễn tập mô phỏng hoặc diễn tập thực tế. Kết quả kiểm thử phải được lập thành báo cáo và lưu giữ theo quy định. Ban TCCB/phòng TCCB có trách nhiệm tổ chức đào tạo, phổ biến và nâng cao nhận thức về kế hoạch duy trì hoạt động liên tục cho công chức và người lao động có liên quan theo kế hoạch của Cục Thuế, đảm bảo 01 lần/năm. Đơn vị quản lý quy trình nghiệp vụ, Ban CDS và các đơn vị có liên quan chịu trách nhiệm xây dựng nội dung chuyên môn, kịch bản diễn tập, quy mô tổ chức và phối hợp triển khai khi có kế hoạch và đề nghị của Ban TCCB.