Điều 9. Quản lý truy cập
1. Các quy định về quản lý truy cập vào hệ thống thông tin, mạng máy tính thiết bị, phần mềm của cơ quan, đơn vị phải chi tiết và tổ chức thực hiện nghiêm túc, phù hợp với các quy định của pháp luật về ATTT.
2. Mỗi tài khoản truy cập các hệ thống thông tin chỉ được cấp cho một người quản lý và sử dụng.
3. Cán bộ, công chức, viên chức chỉ được phép truy cập các thông tin phù hợp với chức năng, trách nhiệm, quyền hạn của mình, có trách nhiệm bảo mật tài khoản truy cập thông tin.
4. Các hệ thống thông tin cần giới hạn số lần đăng nhập sai liên tiếp vào hệ thống. Hệ thống tự động khóa tài khoản trong một khoảng thời gian nhất định trước khi cho đăng nhập lại.
5. Tất cả các máy chủ, máy trạm phải được đặt mật khẩu truy cập và thiết lập chế độ tự khóa sau 1 thời gian nhất định không sử dụng
6. Khi triển khai lắp đặt các thiết bị: router, switch, wifi... phải thiết lập mật khẩu mới thay cho mật khẩu mặc định của thiết bị.
7. Khi thiết lập mạng không dây trong nội bộ cơ quan, đơn vị phải cài đặt mật khẩu truy cập vào mạng và chỉ cho phép truy cập vào mạng Internet.
8. Mật khẩu đăng nhập vào hệ thống thông tin phải đảm bảo độ phức tạp cao (có ít nhất 8 ký tự bao gồm ký tự thường, ký tự số và ký hiệu đặc biệt). Đối với hệ thống phần mềm mới đưa vào sử dụng phải tiến hành đổi mật khẩu người dùng ngay khi được cấp, tiếp nhận tài khoản. Định kỳ thay đổi mật khẩu (ít nhất 30 ngày đổi một lần), không đặt chế độ ghi nhớ mật khẩu khi sử dụng.
9. Cán bộ chuyên trách CNTT của các cơ quan, đơn vị phải thực hiện hủy tài khoản, quyền truy cập hệ thống các hệ thống thông tin, thu hồi lại tất cả các tài sản liên quan đến hệ thống thông tin (khóa, thẻ nhận dạng, thư mục lưu trữ thư điện tử, chữ ký số, máy vi tính...) đối với các cá nhân nghỉ việc, chuyển công tác.