Điều 6. Quản lý an toàn máy chủ
1. Máy chủ phải được đặt vào các vùng mạng phù hợp chức năng, mục đích sử dụng và mức độ quan trọng.
2. Quản lý vòng đời máy chủ
a) Trước khi đưa vào vận hành, khai thác, máy chủ phải được: Cấu hình an toàn (phần quyền truy cập, thiết lập giới hạn thời gian chờ (timeout), loại bỏ hoặc vô hiệu hóa các tài khoản, dịch vụ, giao thức và cổng kết nối không cần thiết, giới hạn phạm vi truy cập quản trị máy chủ, cài đặt phần mềm và cấu hình bảo mật theo quy định); cứng hóa thiết bị; đánh giá an toàn bảo mật; lập danh sách máy chủ.
b) Trong quá trình vận hành
- Theo dõi, giám sát, phát hiện các sự cố của máy chủ: hiệu năng CPU, dung lượng lưu trữ, cập nhật nhật ký hệ thống;
- Cập nhật các bản vá lỗ hổng, điểm yếu, phần mềm được cài đặt trên hệ thống máy chủ;
- Sao lưu cấu hình hiện tại, đánh giá các rủi ro và xây dựng phương án khôi phục khi có sự thay đổi cấu hình hệ thống;
- Định kỳ 06 tháng/lần rà soát tài khoản và quyền truy cập.
c) Kết thúc sử dụng máy chủ: Khi thiết bị không còn sử dụng, máy chủ phải được xóa toàn bộ thông tin cấu hình, dữ liệu đảm bảo không có khả năng khôi phục.