Điều 9. Quản lý, vận hành hệ thống thông tin của cơ quan, đơn vị, tổ chức, doanh nghiệp
1. Hệ thống thông tin của các cơ quan, đơn vị, tổ chức, doanh nghiệp phải có cơ chế sao lưu dữ liệu trong phạm vi hệ thống, dữ liệu của các ứng dụng, dữ liệu của người sử dụng; cơ chế sao lưu dữ liệu phải được thực hiện thường xuyên; thiết bị lưu trữ dữ liệu được sao lưu phải bảo đảm yêu cầu kỹ thuật; dữ liệu được sao lưu phải bảo đảm tính sẵn sàng và toàn vẹn đáp ứng yêu cầu phục hồi dữ liệu cho hệ thống thông tin hoạt động bình thường khi có sự cố xảy ra.
2. Hệ thống thông tin của các cơ quan, đơn vị phải được triển khai cơ chế bảo mật, an toàn thông tin bằng các thiết bị phần cứng và phần mềm phù hợp với quy mô của đơn vị.
3. Hệ thống thông tin của cơ quan, đơn vị phải được triển khai chức năng giám sát truy cập từ ngoài vào hệ thống, từ hệ thống gửi ra bên ngoài; ghi lại nhật ký tập tin vết ra, vào hệ thống để phục vụ công tác khắc phục sự cố, điều tra, phân tích và làm rõ các nguy cơ gây mất an toàn, an ninh thông tin; chức năng ngăn chặn người dùng truy cập thông tin trái với các quy định Pháp luật.
4. Hệ thống mạng không dây (wireless) của các cơ quan, đơn vị phải được sử dụng tiêu chuẩn bảo mật mạng không dây với độ dài khóa tối thiểu 128 bit, đồng thời phải thiết lập khóa khi truy cập tối thiểu 8 ký tự, có những kí tự chữ và số, khuyến cáo nên có ký tự đặc biệt.
5. Mạng riêng ảo (VPN) của các cơ quan, đơn vị kết nối để truy cập vào hệ thống thông tin phải được bảo mật, quản lý và kiểm soát chặt chẽ các kết nối; hủy bỏ kết nối khi không còn sử dụng. Bảo đảm chỉ có cán bộ, nhân viên được cấp phép mới có quyền truy cập vào mạng nội bộ thông qua VPN.
6. Hệ thống quản trị mạng tập trung (Network Management System) của cơ quan, đơn vị nhằm theo dõi hoạt động của các thiết bị, dịch vụ và phần mềm trong hệ thống thông tin. Phối hợp với các hệ thống an toàn bảo mật khác để đánh giá và phân tích năng lực hoạt động của toàn bộ hệ thống thông tin, từ đó đưa ra các biện pháp vận hành hợp lý bảo đảm sự ổn định, sẵn sàng của hệ thống.
7. Tất cả các tài khoản truy cập vào hệ thống máy chủ, thiết bị mạng, máy tính, các ứng dụng phải được thiết lập mật khẩu; mật khẩu phải được đặt ở mức bảo mật cao (số lượng ký tự và nội dung của mật khẩu); mật khẩu có tối thiểu 6 ký tự bao gồm chữ hoa, chữ thường, chữ số và ký tự đặc biệt; phải thường xuyên thay đổi mật khẩu với tần suất phù hợp; danh sách tài khoản phải được quản lý, kiểm tra và cập nhật kịp thời; quyền truy cập của tài khoản phải được thiết lập phù hợp cho từng đối tượng.
8. Khi cơ quan, đơn vị, tổ chức, doanh nghiệp có cán bộ chuyển công tác, thay đổi vị trí việc làm hoặc nghỉ hưu, nghỉ việc phải có biện pháp thay đổi hoặc hủy bỏ tài khoản đang sử dụng hiện tại trên hệ thống.