Điều 8. Quản lý vận hành hệ thống thông tin
1. Hệ thống thông tin phải được chạy vận hành thử nghiệm và kiểm tra an toàn thông tin trước khi đưa vào sử dụng; phải có tài liệu hướng dẫn sử dụng, quy trình vận hành và thủ tục vận hành, quy trình quản lý sự cố liên quan đến an toàn thông tin; phải có các văn bản xác định vai trò, trách nhiệm của từng cá nhân trong quá trình vận hành và sử dụng.
2. Quản lý nhật ký quá trình vận hành hệ thống thông tin:
a) Cơ quan, tổ chức phải tổ chức thực hiện việc ghi nhật ký trên các thiết bị mạng máy tính, phần mềm ứng dụng, hệ điều hành, cơ sở dữ liệu nhằm bảo đảm các sự kiện quan trọng xảy ra trên hệ thống thông tin được ghi nhận và lưu giữ. Các bản ghi nhật ký này phải được bảo vệ an toàn nhằm sử dụng để phục vụ công tác kiểm tra, phân tích khi cần thiết;
b) Các sự kiện tối thiểu phải được ghi nhật ký gồm: quá trình đăng nhập hệ thống; tạo, cập nhật hoặc xóa dữ liệu; các hành vi xem, thiết lập cấu hình hệ thống; việc thiết lập các kết nối bất thường vào và ra hệ thống; thay đổi quyền truy nhập hệ thống;
c) Cơ quan, tổ chức thường xuyên theo dõi bản ghi nhật ký của hệ thống thông tin và các sự kiện khác có liên quan để đánh giá, báo cáo các rủi ro an toàn thông tin mạng và mức độ nghiêm trọng các rủi ro đó.
3. Quản lý vận hành đối với trung tâm dữ liệu, phòng máy chủ.
a) Các thiết bị kết nối mạng, thiết bị bảo mật quan trọng như bộ chuyển mạch trung tâm, thiết bị định tuyến, thiết bị tường lửa, hệ thống máy chủ, hệ thống lưu trữ SAN, NAS, thiết bị cảm biến, giám sát an toàn thông tin, thiết bị phòng chống tấn công mạng phải đặt trong trung tâm dữ liệu hoặc phòng máy chủ và được thiết lập, thực hiện các cơ chế, biện pháp kiểm soát truy nhập, kết nối vật lý, bảo vệ, theo dõi phát hiện xâm nhập phù hợp;
b) Trung tâm dữ liệu, phòng máy chủ phải được trang bị hệ thống lưu điện, hệ thống phát điện dự phòng, hệ thống làm mát, điều hòa không khí, độ ẩm, hệ thống cảnh báo nguồn điện, hệ thống chống sét lan truyền, hệ thống cảnh báo cháy, hệ thống chữa cháy tự động bằng khí, thiết bị phòng cháy, chữa cháy khẩn cấp bảo đảm tiêu chuẩn, quy chuẩn kỹ thuật và tương xứng với quy mô, tính chất, yêu cầu phục vụ;
c) Cơ quan, tổ chức quản lý trung tâm dữ liệu điện tử, phòng máy chủ có trách nhiệm xây dựng nội quy hoặc hướng dẫn làm việc và cử cán bộ thường xuyên giám sát thiết bị, hạ tầng tại trung tâm dữ liệu điện tử, phòng máy chủ. Việc vào, ra trung tâm dữ liệu, phòng máy chủ phải được kiểm soát bằng nhật ký hoặc thiết bị bảo vệ (mật khẩu, quẹt thẻ, sinh trắc học) nếu đã có đầy đủ công nghệ.