Điều 10. Đảm bảo an ninh thông tin
1. An ninh thông tin phải được đảm bảo ở 4 mức, cụ thể như sau:
a) Đảm bảo an ninh thông tin ở mức vật lý:
- Máy chủ cơ sở dữ liệu GISHue không kết nối trực tiếp với internet; Chỉ kết nối internet các máy chủ cung cấp dịch vụ GISHue.
- Sử dụng các hệ thống tường lửa (firewall) đối với phần cứng và phần mềm, thiết lập các mạng trong - ngoài riêng biệt để bảo vệ hệ thống.
- Bố trí phòng để máy chủ cơ sở dữ liệu cách ly với các phòng khác, có cửa khoá kiên cố, bảo vệ tránh đột nhập lấy cắp hoặc phá hoại thiết bị.
b) Đảm bảo an ninh ở mức hệ điều hành:
- Trung tâm Thông tin dữ liệu điện tử thiết lập các khoá với mật khẩu mạnh để tránh tấn công bằng mọi phương pháp.
- Giám đốc Trung tâm Thông tin dữ liệu điện tử và một chuyên viên được ủy quyền chịu trách nhiệm trước pháp luật quản lý mật khẩu đăng nhập hệ điều hành máy chủ.
c) Đảm bảo an ninh thông tin ở mức cơ sở dữ liệu:
- Giám đốc Trung tâm Thông tin dữ liệu điện tử chịu trách nhiệm trước pháp luật quản lý mật khẩu quản trị hệ thống. Một chuyên viên quản trị cơ sở dữ liệu chịu trách nhiệm trước Giám đốc Trung tâm Thông tin dữ liệu điện tử quản lý mật khẩu quản trị hệ thống.
- Các công chức, viên chức của các cơ quan, tổ chức được giao nhiệm vụ cập nhật, nâng cấp cơ sở dữ liệu GISHue được phân nhóm theo mức độ tác động đến dữ liệu gồm:
+ Nhóm toàn quyền cập nhật, nâng cấp, sửa đổi toàn bộ một cơ sở dữ liệu;
+ Nhóm nâng cấp, sửa đổi cấu trúc hệ thống bảng;
+ Nhóm nâng cấp, sửa đổi các thủ tục hệ thống;
+ Nhóm thực hiện nâng cấp, sửa đổi mã nguồn phần mềm dịch vụ;
+ Nhóm chỉ đọc dữ liệu (Read Only).
Trung tâm Thông tin dữ liệu điện tử chịu trách nhiệm hướng dẫn việc cấp phát và huỷ bỏ quyền truy cập của các người dùng thuộc các nhóm này.
d) Đảm bảo an ninh thông tin ở mức người dùng
- Mỗi người dùng cần đăng ký một tài khoản người dùng (user account) để khai thác và sử dụng các cơ sở dữ liệu GISHue.
- Các tài khoản người dùng có thời hạn sử dụng cố định. Trước khi hết hạn một tuần, hệ thống thông báo để người dùng đăng ký gia hạn tài khoản. Sau thời hạn, người dùng không đăng ký gia hạn tài khoản sẽ bị khóa không truy cập được.
- Tất cả các thao tác của người dùng đều được ghi lại một cách tự động trong nhật ký sử dụng, hệ thống nhật ký được lưu trữ trong một thời hạn nhất định để theo dõi, quản lý.
2. Thông tin trên máy chủ dữ liệu GISHue phải được bảo mật theo các quy định của Nhà nước và Uỷ ban nhân dân tỉnh về bảo vệ bí mật Nhà nước. Thông tin riêng hợp pháp của tổ chức, cá nhân trao đổi, truyền dẫn, lưu trữ trên cơ sở dữ liệu GISHue phải được bảo đảm bí mật theo quy định của pháp luật.