Điều 7. Quản lý an toàn ứng dụng
1. Ứng dụng được phát triển hoặc đưa vào sử dụng trong cơ quan thuế phải đáp ứng các yêu cầu sau:
a) Có cơ chế quản lý định danh, xác thực và kiểm soát truy cập phù hợp với chức năng, nhiệm vụ của người sử dụng đáp ứng theo quy định của quy chế này.
b) Bảo vệ thông tin xác thực và dữ liệu nhạy cảm trong quá trình lưu trữ và truyền nhận.
c) Thiết lập cơ chế quản lý phiên làm việc an toàn.
d) Kiểm tra tính hợp lệ của dữ liệu đầu vào và đầu ra trước khi xử lý hoặc cung cấp cho người sử dụng.
đ) Có cơ chế ghi nhật ký các hoạt động của quản trị, các hoạt động quan trọng người sử dụng (tối thiểu gồm: đăng nhập; khai thác, tra cứu thông tin, chỉnh sửa dữ liệu mức L2, L3, L4...).
e) Có biện pháp bảo vệ ứng dụng trước các nguy cơ, lỗ hổng và hình thức tấn công phổ biến.
g) Bảo đảm tính toàn vẹn, xác thực và chống chối bỏ đối với các giao dịch điện tử theo quy định của pháp luật.
2. Môi trường xây dựng ứng dụng
a) Môi trường phát triển, kiểm thử, đào tạo, vận hành chính thức được tách biệt.
b) Không sử dụng dữ liệu thật chứa thông tin nhạy cảm trên môi trường phát triển hoặc kiểm thử, trừ trường hợp dữ liệu đã được biến đổi.
c) Không lưu trữ thông tin xác thực, khóa mật mã, thông tin bí mật hoặc dữ liệu nhạy cảm trực tiếp trong mã nguồn, tập tin cấu hình hoặc kho mã nguồn.
3. Thành phần phần mềm và mã nguồn
a) Việc phát triển phần mềm, bao gồm cả trường hợp sử dụng AI để hỗ trợ, phải bảo đảm an toàn, bảo mật đối với các thành phần, thư viện, nền tảng và dịch vụ được sử dụng. Sử dụng các công cụ hỗ trợ phát triển phần mềm bằng AI phải tuân thủ theo quy định tại Điều 13 Quy chế này.
b) Quản lý danh mục các thành phần phần mềm của bên thứ ba được sử dụng, đánh giá rủi ro và thường xuyên cập nhật các lỗ hổng bảo mật liên quan khi có thông báo.
c) Sử dụng các thuật toán và cơ chế mật mã đáp ứng quy định của pháp luật.
d) Mã nguồn được quản lý tập trung, kiểm soát phiên bản và bảo vệ khỏi truy cập, sửa đổi hoặc sử dụng trái phép.
4. Đơn vị phát triển phần mềm có trách nhiệm bảo đảm tính bảo mật của thông tin, dữ liệu được tiếp cận trong quá trình thực hiện; không sao chép, sử dụng, tiết lộ hoặc cung cấp cho bên thứ ba khi chưa được cơ quan thuế chấp thuận; chịu trách nhiệm về tính hợp pháp của phần mềm; tuân thủ quy định về quyền sở hữu trí tuệ và các cam kết về bảo mật theo hợp đồng.
5. Vòng đời ứng dụng
a) Trước khi đưa vào vận hành, ứng dụng phải được: Kiểm tra và khắc phục lỗi hỏng bảo mật trong mã nguồn, lỗi hỏng trong thư viện, thành phần mở rộng (component, extension...); kiểm thử xâm nhập và khắc phục các lỗi hỏng bảo mật.
b) Trong quá trình vận hành:
- Theo dõi, giám sát, kịp thời phát hiện các sự cố về hiệu năng, các sự cố bất thường của ứng dụng;
- Cập nhật các bản vá lỗi hỏng, điểm yếu, hệ điều hành;
- Sao lưu cấu hình hiện tại, đánh giá các rủi ro và xây dựng phương án khôi phục khi có sự thay đổi cấu hình hệ thống;
- Rà soát tài khoản và quyền truy cập ứng dụng.
c) Kết thúc sử dụng: Khi ứng dụng không còn sử dụng, đơn vị quản lý thông báo cho đơn vị liên quan để thu hồi tài nguyên theo quy định.