Điều 7. Đảm bảo an toàn hệ thống mạng nội bộ, đăng nhập hệ thống thông tin và kết nối Internet
1. Hệ thống thông tin tại cơ quan, đơn vị phải được triển khai chức năng giám sát truy cập từ bên ngoài vào hệ thống, và từ hệ thống ra môi trường mạng bên ngoài (ghi log) để phục vụ cho công tác khắc phục sự cố, điều tra, phân tích và làm rõ các nguy cơ gây mất an toàn thông tin, chức năng giới hạn truy cập website không phù hợp quy định hiện hành và gây nguy hiểm cho hệ thống thông tin.
Các cơ quan, đơn vị phải quy định cụ thể trách nhiệm, quyền hạn người dùng khi truy cập, đăng nhập các hệ thống thông tin, đảm bảo mỗi người dùng khi sử dụng hệ thống thông tin phải được cấp và sử dụng tài khoản truy cập với định danh duy nhất gắn với người dùng đó. Trường hợp sử dụng tài khoản dùng chung cho một nhóm người hay một đơn vị, bộ phận phải có cơ chế xác định các cá nhân có trách nhiệm quản lý tài khoản. Người dùng chỉ được truy cập các thông tin phù hợp với chức năng, trách nhiệm, quyền hạn của mình và có trách nhiệm bảo mật tài khoản truy cập được cấp.
2. Mỗi tài khoản truy cập các hệ thống thông tin chỉ được cấp cho một người quản lý và sử dụng.
3. Mỗi cán bộ, công chức, viên chức và người lao động chỉ được phép truy cập các thông tin phù hợp với chức năng, trách nhiệm, quyền hạn của mình, có trách nhiệm bảo mật tài khoản truy cập thông tin.
4. Các hệ thống thông tin cần giới hạn số lần đăng nhập sai liên tiếp vào hệ thống (từ 03 đến 05 lần). Hệ thống tự động khóa tài khoản trong một khoảng thời gian nhất định trước khi tiếp tục cho đăng nhập nếu liên tục đăng nhập sai vượt quá số lần quy định.
5. Tất cả máy chủ, máy trạm phải được thiết lập mật mã truy cập và chế độ tự động bảo vệ màn hình sau 10 phút không sử dụng.
6. Hệ thống mạng nội bộ của các cơ quan, đơn vị phải được tổ chức theo mô hình Clients/Server và khi kết nối với mạng Internet phải thông qua thiết bị tường lửa kiểm soát (tường lửa phải được cập nhật dữ liệu hàng năm), có phân chia hệ thống mạng nội bộ thành các vùng mạng theo phạm vi truy cập, vô hiệu hóa tất cả các dịch vụ không sử dụng tại từng vùng mạng, thực hiện nguyên tắc chỉ mở các dịch vụ cần thiết khi có yêu cầu.
7. Hệ thống mạng không dây (wifi) của các cơ quan, đơn vị phải được đặt mật khẩu (password) khi truy cập. Thiết lập phương pháp hạn chế người dùng truy cập mạng không dây, giám sát và điều khiển truy cập mạng không dây.
8. Mạng riêng ảo (VPN), các giải pháp truy cập từ xa vào hệ thống thông tin của các cơ quan, đơn vị phải được bảo mật, quản lý kiểm soát các kết nối chặt chẽ, nhất là truy cập có sử dụng chức năng quản trị, phải thiết lập mật mã độ an toàn cao, nhắc nhở khuyến cáo thường xuyên thay đổi mật mã, tăng cường sử dụng mạng riêng ảo, hạn chế truy cập từ xa vào mạng nội bộ từ các điểm truy cập Internet công cộng.
9. Tất cả các tài khoản truy cập vào hệ thống máy chủ, thiết bị mạng, máy tính, các ứng dụng phải được đặt mật khẩu đăng nhập, truy cập hệ thống thông tin có độ phức tạp cao (có độ dài tối thiểu 8 ký tự, có ký tự thường, ký tự hoa, ký tự số hoặc ký tự đặc biệt như !, @, #, $, %) và phải được thay đổi ít nhất 03 tháng/lần.
10. Các cơ quan, đơn vị cần rà soát tối thiểu 03 tháng/lần các tài khoản đăng nhập, đảm bảo các tài khoản và quyền truy cập hệ thống được cấp phát đúng, đủ. Khi người dùng thay đổi vị trí công tác, chuyển công tác, thôi việc hoặc nghỉ hưu thì cơ quan, đơn vị phải kịp thời thu hồi tài khoản đã cấp hoặc thông báo cho Trung tâm công nghệ thông tin và truyền thông trực thuộc Sở Thông tin và Truyền thông thu hồi tài khoản được cấp (đối với các hệ thống quản lý tập trung tại Trung tâm Dữ liệu của tỉnh).
11. Thực hiện các hướng dẫn tại Công văn số 3024/BTTTT-VNCERT ngày 01 tháng 9 năm 2016 của Bộ Thông tin và Truyền thông về Hướng dẫn một số giải pháp tăng cường đảm bảo an toàn cho hệ thống thông tin.