Điều 27. Quản lý đơn vị cung cấp dịch vụ
1. Thiết lập danh mục các đơn vị cung cấp dịch vụ a) Đơn vị quản lý hợp đồng lập danh mục các đơn vị cung cấp dịch vụ hoặc đơn vị có quyền truy cập hoặc có khả năng tiếp cận vào hệ thống thông tin của cơ quan thuế. Đơn vị cung cấp có thể bao gồm: đơn vị phát triển hoặc bảo trì phần mềm; nhà cung cấp hạ tầng CNTT, dịch vụ điện toán đám mây, đường truyền, trung tâm dữ liệu, dịch vụ giám sát an toàn thông tin; đơn vị bảo trì thiết bị CNTT, điều hòa, UPS, hệ thống phòng cháy chữa cháy, máy in, máy photocopy; đơn vị vệ sinh, bảo vệ, chuyển phát, đơn vị/cá nhân phiên dịch...
b) Danh mục đơn vị cung cấp dịch vụ bao gồm các thông tin sau: Tên nhà cung cấp, số hợp đồng cung cấp, thời hạn hợp đồng, dịch vụ hoặc sản phẩm cung cấp, phạm vi hệ thống được phép truy cập, loại dữ liệu được phép tiếp cận, đầu mối quản lý hợp đồng.
2. Trước khi ký kết hợp đồng hoặc cho phép đơn vị cung cấp dịch vụ truy cập vào hệ thống thông tin, đơn vị quản lý hợp đồng phải thực hiện đánh giá rủi ro an toàn thông tin đối với đơn vị cung cấp dịch vụ để xác định các biện pháp kiểm soát an toàn thông tin phù hợp. Việc đánh giá rủi ro, phân loại mức độ rủi ro và áp dụng các biện pháp kiểm soát an toàn thông tin.
3. Yêu cầu về an toàn thông tin với đơn vị cung cấp dịch vụ phải đáp ứng các nội dung sau:
a) Trách nhiệm bảo mật thông tin.
b) Quy định về quyền kiểm tra, giám sát và đánh giá của cơ quan thuế (nếu cần).
c) Thông báo ngay khi phát hiện sự cố an toàn thông tin hoặc nghi ngờ rò rỉ dữ liệu; các thay đổi có ảnh hưởng đến an toàn thông tin; các lỗ hổng bảo mật nghiêm trọng; các sự cố hoặc nghi ngờ sự cố an toàn thông tin; các thay đổi về nhân sự có quyền truy cập vào hệ thống của cơ quan thuế.
d) Nghĩa vụ phối hợp điều tra, xử lý và khắc phục sự cố.
đ) Yêu cầu về chất lượng dịch vụ.
e) Yêu cầu về duy trì hoạt động liên tục và khôi phục sau thảm họa (nếu có).
4. Quản lý quyền truy cập của đơn vị cung cấp dịch vụ
a) Việc cấp quyền truy cập cho đơn vị cung cấp dịch vụ phải được phê duyệt theo quy định.
b) Chỉ cấp quyền đúng phạm vi công việc, đúng thời gian và đúng hệ thống cần thiết.
c) Quyền truy cập phải được thu hồi ngay sau khi hoàn thành công việc hoặc khi hợp đồng chấm dứt hoặc khi có dấu hiệu vi phạm.
5. Giám sát và đánh giá đơn vị cung cấp dịch vụ
a) Đơn vị quản lý hợp đồng có trách nhiệm kiểm tra, giám sát việc tuân thủ các yêu cầu về an toàn thông tin của đơn vị cung cấp dịch vụ trong suốt quá trình thực hiện hợp đồng.
b) Đơn vị cung cấp dịch vụ báo cáo hoặc cung cấp tài liệu chứng minh việc tuân thủ các yêu cầu về an toàn thông tin, bao gồm các nội dung sau:
- Việc thực hiện các cam kết trong hợp đồng;
- Việc đáp ứng các mức chất lượng dịch vụ;
- Các sự cố an toàn thông tin phát sinh và việc thực hiện các yêu cầu khắc phục sự cố (nếu có);
- Kết quả kiểm tra hoặc đánh giá độc lập (nếu có);
- Việc thực hiện các yêu cầu khắc phục sau đánh giá (nếu có).