Điều 5. Quản lý an toàn hạ tầng mạng
1. Kiến trúc hạ tầng mạng
a) Kiến trúc mạng phải được thiết kế phù hợp với quy mô, mức độ quan trọng và yêu cầu bảo vệ của hệ thống thông tin.
b) Kiến trúc mạng phải được xây dựng trên cơ sở áp dụng nguyên tắc phòng thủ nhiều lớp, phân vùng mạng, quyền kết nối tối thiểu, mặc định từ chối và bảo đảm tính sẵn sàng.
c) Kiến trúc mạng phải được tài liệu hóa đầy đủ, bao gồm: Kiến trúc tổng thể, kiến trúc chi tiết. Tài liệu kiến trúc mạng phải được cập nhật khi có thay đổi và được rà soát định kỳ hàng năm.
2. Nguyên tắc xây dựng hạ tầng mạng
a) Hệ thống mạng phải được phân chia thành các vùng mạng phù hợp với quy mô, kiến trúc, chức năng, mục đích sử dụng và mức độ quan trọng của hệ thống nhằm hạn chế truy cập trái phép và giảm thiểu nguy cơ lan truyền sự cố an toàn thông tin. Tại Cục Thuế hệ thống mạng được phân chia tối thiểu các vùng mạng sau: Phân vùng mạng trung gian (DMZ) cung cấp dịch vụ Internet, phân vùng mạng biên kết nối với các đơn vị bên ngoài, phân vùng mạng WAN diện rộng, phân vùng lõi chứa các máy chủ, phân vùng mạng phục vụ việc quản trị hệ thống, phân vùng mạng nội bộ, phân vùng mạng cho môi trường kiểm thử, phân vùng mạng cho người dùng, phân vùng mạng riêng cho kết nối Wifi. Tại Thuế tỉnh, thành phố và Thuế cơ sở hệ thống mạng được phân chia tối thiểu các vùng mạng sau: Phân vùng mạng cho người dùng, phân vùng mạng cho máy chủ, phân vùng mạng cho kết nối Internet (trường hợp có kết nối Internet), phân vùng mạng riêng cho kết nối Wifi.
b) An toàn cơ sở hạ tầng mạng phải đảm bảo tối thiểu:
- Có phương án dự phòng cho các thiết bị mạng chính tại Cục Thuế, Thuế TP Hà Nội và Thuế TP HCM;
- Có phương án phòng chống tấn công từ chối dịch vụ, phòng chống tấn công mạng đối với trung tâm dữ liệu của Cục Thuế;
- Có phương án kiểm soát truy cập giữa các vùng mạng; kiểm soát máy tính người dùng kết nối vào mạng;
- Sử dụng các giao thức truyền nhận, giao thức quản trị được mã hóa theo quy định.
3. Quản lý truy cập từ xa (từ Internet)
a) Trường hợp thực hiện công tác quản trị, hỗ trợ hệ thống từ xa, người dùng phải sử dụng mạng riêng ảo (VPN) do Cục Thuế triển khai. Mạng riêng ảo được cấu hình xác thực đa yếu tố.
b) Trường hợp truy cập các ứng dụng, tài nguyên trong nội bộ từ xa, người dùng phải sử dụng hệ thống truy cập từ xa do Cục Thuế triển khai. Hệ thống truy cập từ xa được cấu hình xác thực đa yếu tố.
c) Máy tính sử dụng truy cập từ xa phải đảm bảo: Được khai báo với hệ thống của cơ quan thuế; hệ điều hành còn được hãng hỗ trợ; được cài đặt chương trình phần mềm phòng chống mã độc và bật chức năng quét theo thời gian thực, được cập nhật thường xuyên.
4. Quản lý vòng đời thiết bị mạng
a) Trước khi đưa vào vận hành, khai thác, thiết bị phải được thực hiện: Cấu hình an toàn (phần quyền truy cập, thiết lập giới hạn thời gian chờ (timeout); loại bỏ hoặc vô hiệu hóa các tài khoản, dịch vụ, giao thức và cổng kết nối không cần thiết; giới hạn phạm vi truy cập quản trị thiết bị); cứng hóa thiết bị; đánh giá an toàn bảo mật; thực hiện kiểm tra thiết bị; lập danh sách thiết bị.
b) Trong quá trình vận hành:
- Theo dõi, giám sát, kịp thời phát hiện các sự cố về hiệu năng, các sự cố bất thường của các thiết bị;
- Cập nhật các bản vá lỗ hổng, điểm yếu, hệ điều hành;
- Sao lưu cấu hình hiện tại, đánh giá các rủi ro và xây dựng phương án khôi phục khi có sự thay đổi cấu hình hệ thống;
- Rà soát tài khoản và quyền truy cập định kỳ tối thiểu 06 tháng/lần.
c) Kết thúc sử dụng thiết bị: Thiết bị phải được xóa toàn bộ thông tin cấu hình trước khi dừng hoạt động.