Quyết định số 2329/QĐ-TCT Về việc ban hành Quy định đảm bảo an ninh, an toàn thông tin cho Hệ thống thông tin ngành Thuế

- Bảo vệ toàn diện, ngăn chặn các mối đe dọa, giảm thiểu các rủi ro do môi trường bị gián đoạn, lỗi của con người hoặc máy, các cuộc tấn công có mục đích làm mất an toàn thông tin; Đảm bảo an ninh, an toàn thông tin cho ngành Thuế trên môi trường mạng.

- Bảo vệ chống lại hành vi vô tình hay cố ý thay đổi trái phép, phá hủy, làm chậm trễ, trộm cắp, truy cập (khi không được quyền truy cập) gây thiệt hại cho hệ thống, dữ liệu, ứng dụng và thiết bị công nghệ thông tin.

Quy định này bao gồm các điều kiện tối thiểu phải tuân thủ nhằm đảm bảo an ninh, an toàn thông tin trên môi trường máy tính, mạng máy tính và hệ thống thông tin ngành Thuế.

- Các đơn vị, công chức, viên chức, lao động hợp đồng trong ngành Thuế (bao gồm: Cơ quan Tổng cục Thuế, Cục Thuế các tỉnh/thành phố và các Chi cục Thuế trực thuộc): Áp dụng đầy đủ quy định này.

- Cơ quan, tổ chức, cá nhân bên ngoài có kết nối trao đổi thông tin với ngành Thuế; Tham gia xây dựng và phát triển, duy trì hệ thống thông tin ngành Thuế: Áp dụng các quy định trong hoạt động trao đổi thông tin với ngành Thuế.

+ Tài sản vật lý: Là các thiết bị CNTT, phương tiện truyền thông và các thiết bị phục vụ cho hoạt động của hệ thống thông tin.

+ Tài sản thông tin: Là các dữ liệu, tài liệu liên quan đến hệ thống thông tin. Tài sản thông tin được thể hiện bằng văn bản giấy hoặc dữ liệu điện tử.

+ Tài sản phần mềm: Bao gồm các phần mềm ứng dụng, phần mềm hệ thống, cơ sở dữ liệu và công cụ phát triển.

- Tài sản CNTT phải được bố trí, lắp đặt tại các địa điểm an toàn và được bảo vệ để giảm thiểu những rủi ro do các đe dọa, hiểm họa từ môi trường và các xâm nhập trái phép.

- Thiết bị CNTT phải được bảo đảm về nguồn điện và các hệ thống hỗ trợ khi nguồn điện chính bị gián đoạn. Phải có biện pháp chống quá tải hay sụt giảm điện áp, chống sét lan truyền; Hệ thống máy phát điện dự phòng và hệ thống lưu điện đảm bảo thiết bị hoạt động liên tục.

- Các thiết bị thuộc hệ thống quan trọng phải được bảo dưỡng định kỳ và duy trì chế độ bảo hành liên tục hoặc có cơ chế sửa chữa, thay thế đáp ứng yêu cầu về mức độ sẵn sàng của hệ thống trong suốt thời gian sử dụng.

- Dây cáp cung cấp nguồn điện và dây cáp sử dụng trong truyền tải dữ liệu hay những dịch vụ hỗ trợ thông tin phải được bảo vệ khỏi sự xâm phạm hoặc hư hại.

- Tất cả các thiết bị lưu trữ dữ liệu trước khi loại bỏ hoặc tái sử dụng cho mục đích khác, phải được kiểm tra để đảm bảo các dữ liệu quan trọng và phần mềm có bản quyền lưu trữ trên các thiết bị này được xóa bỏ hoặc ghi đè không có khả năng khôi phục.

- Việc sửa chữa, bảo hành thiết bị CNTT do đơn vị bên ngoài thực hiện phải có sự giám sát của cán bộ thuộc bộ phận tin học nhằm đảm bảo an toàn, an ninh dữ liệu, tài nguyên trên máy tính.

- Thiết bị thông tin của đơn vị khi mang đi bảo hành, bảo dưỡng, sửa chữa phải tháo ổ cứng khỏi thiết bị hoặc xóa các thông tin, dữ liệu lưu trữ trên thiết bị (trừ trường hợp mang thiết bị đi khôi phục dữ liệu). Các thiết bị lưu trữ không sử dụng tiếp cho công việc của đơn vị (thanh lý, cho, tặng) phải được xóa nội dung bằng phần mềm hoặc bằng thiết bị hủy dữ liệu chuyên dụng.

- Tài sản CNTT chỉ được đưa ra bên ngoài đơn vị khi có sự cho phép của cấp có thẩm quyền.

- Các trang thiết bị dùng cho hoạt động nghiệp vụ lắp đặt bên ngoài trụ sở của đơn vị phải có biện pháp giám sát, bảo vệ an toàn phòng chống truy cập bất hợp pháp.

- Ban hành và triển khai quy trình quản lý vận hành các hệ thống thông tin nhằm đảm bảo vận hành chính xác và an toàn các trang thiết bị xử lý thông tin.

- Các phần mềm ứng dụng, phần mềm hệ thống phải đảm bảo yêu cầu về an ninh, an toàn thông tin được quy định tại Quy định này trước khi đưa vào vận hành chính thức.

- Kiểm soát sự thay đổi của hệ thống thông tin gồm: Phiên bản phần mềm, cấu hình phần cứng, cấu hình hệ thống, tài liệu, quy trình vận hành; Có phương án dự phòng cho việc phục hồi nếu sự thay đổi không thành công hoặc gặp các sự cố không dự tính được; Ghi chép lại các thay đổi; Lập kế hoạch thực hiện và kiểm tra, thử nghiệm sự thay đổi trước khi áp dụng chính thức.

- Hệ thống thông tin đưa vào vận hành cần đáp ứng các yêu cầu sau:

+ Tách biệt với môi trường phát triển và môi trường kiểm tra, thử nghiệm.

+ Chỉ được phép kết nối Internet khi áp dụng một số giải pháp an ninh thông tin như thiết bị tường lửa, máy chủ proxy truy cập Internet, máy trạm được cài đặt phần mềm diệt virus của ngành.

+ Không cài đặt các công cụ, phương tiện phát triển trên hệ thống vận hành chính thức.

+ Trung tâm dữ liệu, phòng giám sát hệ thống, máy chủ của các Cục Thuế đảm bảo vận hành theo yêu cầu của Quy định này và các quy định hiện hành của ngành.

- Đối với hệ thống tác nghiệp: Các tác vụ cập nhật, chỉnh sửa dữ liệu, truy cập hệ thống phải được lưu vết, sẵn sàng cho kiểm tra, kiểm soát khi cần thiết.

- Có kế hoạch giám sát và kiểm tra các dịch vụ do đối tác cung cấp, đảm bảo khả năng hoạt động tốt, đáp ứng theo thỏa thuận/hợp đồng đã ký kết.

- Đảm bảo triển khai, duy trì các biện pháp an ninh, an toàn thông tin của dịch vụ do đối tác cung cấp.

- Quản lý các thay đổi đối với các dịch vụ do đối tác cung cấp bao gồm: Nâng cấp phiên bản mới; Thay thế giải pháp kỹ thuật; Các công cụ và môi trường phát triển mới. Thực hiện đánh giá đầy đủ các tác động của việc thay đổi, đảm bảo an toàn và kiểm soát được rủi ro trước khi đưa vào sử dụng.

- Xây dựng các yêu cầu, tiêu chuẩn như hiệu năng, thời gian khắc phục sự cố, đảm bảo tính liên tục, đào tạo và chuyển giao kỹ thuật đối với nội dung thay đổi, thực hiện kiểm tra, đánh giá khả năng đáp ứng của hệ thống thông tin mới xây dựng hoặc nâng cấp trước khi đưa vào áp dụng chính thức.

- Giám sát và tối ưu hiệu suất của hệ thống thông tin; Lập kế hoạch về hiệu suất, dung lượng của hệ thống thông tin trong tương lai nhằm đảm bảo tiêu chuẩn cần thiết.

- Đơn vị phải có thiết bị và quy trình, nhân sự phục vụ công tác sao lưu dữ liệu phòng ngừa sự cố cho các hệ thống thông tin quan trọng.

- Lập danh sách các dữ liệu cần được sao lưu, có phân loại theo thời gian lưu trữ, thời gian sao lưu, phương pháp sao lưu và thời gian kiểm tra phục hồi hệ thống từ dữ liệu sao lưu.

- Dữ liệu sao lưu phải được lưu trữ an toàn, phải được kiểm soát và đối chiếu sau khi sao lưu. Thường xuyên kiểm tra kết quả thực hiện việc sao lưu dữ liệu của hệ thống đảm bảo việc sao lưu thành công và đảm bảo sẵn sàng cho việc sử dụng khi cần. Kiểm tra, phục hồi hệ thống từ dữ liệu sao lưu tối thiểu 06 tháng/lần.

- Định kỳ sao lưu toàn bộ dữ liệu. Quản trị hệ thống thực hiện sao lưu ra máy trạm riêng hoặc thiết bị lưu trữ bên ngoài đối với các dữ liệu quan trọng, có mức độ ảnh hưởng lớn tới hoạt động của hệ thống thông tin của đơn vị và cần thực hiện tối thiểu 01 tuần/lần. Có biện pháp bảo vệ dữ liệu được sao lưu trên máy trạm và thiết bị lưu trữ bên ngoài tránh thất thoát dữ liệu.

- Các thiết bị lưu trữ (ổ cứng máy chủ và máy trạm, USB, băng đĩa từ...) chứa dữ liệu đầu vào, đầu ra, tài liệu hệ thống cần được kiểm soát và bảo vệ về mặt vật lý.

- Phổ biến tới người sử dụng tại đơn vị về việc hạn chế sử dụng các thiết bị lưu trữ di động như USB, ổ cứng cắm ngoài, thẻ nhớ,... để tránh lây nhiễm virus từ bên ngoài. Thực hiện quét virus trước khi truy xuất dữ liệu trên thiết bị lưu trữ di động.

- Tất cả các thiết bị lưu trữ khi hết khấu hao, trước khi thanh lý phải được huỷ dữ liệu.

- Các thiết bị lưu trữ sau khi được huỷ dữ liệu phải được dán nhãn để phân biệt với các thiết bị lưu trữ khác.

- Đối với các đơn vị, cá nhân trong ngành Thuế thực hiện theo quy định hiện hành của Bộ Tài chính.

- Đối với các cơ quan, tổ chức, cá nhân ngoài ngành Thuế thực hiện theo quy định tại khoản 2 Điều 7 Quy định này.

- Có biện pháp bảo vệ thông tin trong giao dịch trực tuyến nhằm chống lại các hoạt động gian lận, sửa đổi trái phép:

+ Giao thức truyền thông phải được mã hóa.

+ Sử dụng các phương thức xác thực mạnh như xác thực đa thành phần hoặc chữ ký số cho các thành viên tham gia giao dịch, truy cập hệ thống.

- Thông tin trong các giao dịch trực tuyến phải được truyền đầy đủ, đúng địa chỉ, tránh bị sửa đổi, tiết lộ hoặc nhân bản một cách trái phép.

- Thông tin công khai trên các hệ thống thông tin phải được bảo vệ, nhằm ngăn chặn sự sửa đổi trái phép.

- Không để dữ liệu mật/quan trọng trên các dịch vụ đám mây ngoài Internet, chỉ cho phép để trên dịch vụ đám mây do Tổng cục Thuế triển khai.

- Thực hiện giám sát và ghi nhật ký hoạt động CNTT theo quy định chung của ngành.

- Các chức năng ghi nhật ký và thông tin nhật ký, chống giả mạo và truy cập trái phép phải được bảo vệ.

- Nhật ký hệ thống ghi lại các hoạt động CNTT không được phép chỉnh sửa hay xóa dữ liệu với bất kỳ lý do nào.

- Xây dựng và thực hiện các quy định về quản lý truy cập đối với người sử dụng, nhóm người sử dụng, đảm bảo đáp ứng yêu cầu nghiệp vụ và yêu cầu an toàn, bảo mật. Quy định về quản lý truy cập bao gồm các nội dung cơ bản sau:

- Người sử dụng khi được cấp quyền truy cập phải sử dụng mật khẩu đúng quy định, giữ bí mật mật khẩu, định kỳ thay đổi mật khẩu (tối thiểu 03 tháng/lần), thoát khỏi hệ thống khi không làm việc hoặc tạm thời không làm việc trên hệ thống.

- Không truy cập và sử dụng hộp thư của người khác; Không giả mạo thư điện tử của người khác. Chỉ được phép truy cập vào hộp thư của người khác để xem nội dung thông tin khi được ủy quyền, hoặc được phép của lãnh đạo đơn vị quản lý.

- Khi người sử dụng có nhu cầu truy cập từ xa, căn cứ vào vị trí làm việc, tính chất công việc sẽ được phân quyền truy cập theo từng cấp độ. Việc truy cập bắt buộc sử dụng các giải pháp bảo mật như phương pháp xác thực nhiều yếu tố.

- Trường hợp bộ phận hỗ trợ người sử dụng hoặc cán bộ quản trị tại cơ quan Thuế các cấp có yêu cầu truy cập từ xa vào máy tính của người sử dụng để phục vụ công tác hỗ trợ thì phải được sự đồng ý của người sử dụng.

- Rà soát và thực hiện cấu hình trên hệ thống không cho phép kết nối các thiết bị di động thông minh vào mạng nội bộ của đơn vị.

- Không sử dụng các thiết bị di động thông minh để lưu trữ các tài liệu có nội dung bí mật và không cắm trực tiếp các thiết bị này vào máy tính tại cơ quan.

- Không mang các thiết bị di động thông minh vào các cuộc họp có nội dung bí mật.

- Hạn chế tối đa việc sử dụng các thiết bị thông minh tại nơi làm việc.

- Tất cả kết nối từ xa của người sử dụng tới mạng ngành Thuế phải được ghi vết (log) tối thiểu 03 tháng để theo dõi.

- Khi xây dựng hệ thống thông tin mới hoặc nâng cấp hệ thống thông tin hiện tại, phải đưa ra các yêu cầu về đảm bảo an ninh, an toàn thông tin đồng thời với việc đưa ra các yêu cầu kỹ thuật, nghiệp vụ.

- Mã hoá thông tin bí mật hoặc nhạy cảm bằng thuật toán mã hoá an toàn. Cần lựa chọn các giải pháp mã hóa thông tin cho phù hợp với yêu cầu của cấu trúc ứng dụng và phù hợp với giải pháp mã hoá của ngành.

- Đảm bảo hoạt động ổn định của các thông tin liên kết từ các ứng dụng liên quan đến ứng dụng đang xây dựng.

- Với các dự án nâng cấp ứng dụng, mã nguồn dùng để nâng cấp ứng dụng phải do người quản lý ứng dụng cung cấp. Các mã nguồn thay đổi trong quá trình nâng cấp cần có chú thích các thông tin như ngày thay đổi, nội dung thay đổi, người thay đổi hoặc ghi chú (nếu có).

- Trước khi triển khai, ứng dụng phải được kiểm thử nhằm đảm bảo chức năng, hiệu năng, bảo mật.

- Kiểm tra tính hợp lệ của dữ liệu đầu vào và đầu ra để đảm bảo dữ liệu chính xác và phù hợp.

- Cung cấp tài khoản người sử dụng nhằm kiểm thử hoạt động của hệ thống ứng dụng. Sau khi kết thúc quá trình kiểm thử, đảm bảo các tài khoản người sử dụng và dữ liệu nhập thử phải được xóa sạch trên hệ thống.

- Trong quá trình triển khai, phải sử dụng tài khoản riêng cho việc triển khai để truy cập vào các máy chủ cài đặt hệ thống. Kết thúc quá trình triển khai, cần đảm bảo các tài khoản truy cập các máy chủ phục vụ triển khai phải được gỡ bỏ.

- Thực hiện kiểm soát việc cài đặt phần mềm trên các máy chủ, máy tính của người sử dụng, thiết bị mạng đang hoạt động thuộc hệ thống mạng nội bộ.

- Khi chưa được sự đồng ý bằng văn bản của Tổng cục Thuế, đối tác không được phép sử dụng hoặc cung cấp cho các đơn vị khác mã nguồn hoặc phần mềm do đối tác xây dựng nhưng thuộc bản quyền của Tổng cục Thuế.

- Đối tác xây dựng ứng dụng cho Tổng cục Thuế không được phép chỉnh sửa, bổ sung thêm các chức năng ngoài nội dung đã được thống nhất giữa hai bên, ngoại trừ trường hợp có sự đồng ý bằng văn bản của Tổng cục Thuế.

- Hạn chế truy cập tới mã nguồn chương trình và phải đặt mã nguồn trong môi trường an toàn do bộ phận chuyên trách quản lý. Mã nguồn và tài liệu liên quan tới chương trình được người quản lý lưu giữ trên hệ thống quản lý phiên bản. Người quản lý kiểm soát và bàn giao mã nguồn cho đối tác thực hiện khi có yêu cầu nâng cấp hoặc cung cấp ra bên ngoài.

- Đảm bảo ứng dụng là duy nhất và có bản quyền sở hữu của cơ quan Thuế.

- Theo dõi, nắm bắt thông tin về các lỗ hổng bảo mật mới và cập nhật thường xuyên bản vá lỗi về an ninh, an toàn cho ứng dụng.

- Trường hợp lỗ hổng đã được phát hiện mà chưa có bản vá lỗi của đơn vị sản xuất phần mềm, phải thực hiện đánh giá rủi ro và có biện pháp phòng tránh phù hợp.

- Căn cứ quy mô và mức độ của từng hệ thống thông tin đối với hoạt động của đơn vị, xác định các hệ thống và ứng dụng quan trọng.

- Định kỳ tối thiểu 06 tháng/lần phải kiểm tra, thử nghiệm, đánh giá và cập nhật nội dung các quy trình phù hợp với các quy định hiện hành, đảm bảo hoạt động liên tục của các hệ thống mạng và ứng dụng quan trọng.

- Các quy trình đảm bảo nghiệp vụ hoạt động liên tục phải được kiểm tra, đánh giá và cập nhật thường xuyên để đảm bảo tính hiệu quả.

- Đối với các hệ thống mạng và ứng dụng quan trọng phải có biện pháp dự phòng về thiết bị, phần mềm để đảm bảo hoạt động liên tục của hệ thống.

- Tối thiểu 06 tháng/lần phải chuyển hoạt động từ hệ thống chính sang hệ thống dự phòng để đảm bảo tính đồng nhất và sẵn sàng của hệ thống dự phòng.

- Tối thiểu 03 tháng/lần tiến hành kiểm tra, đánh giá hoạt động của hệ thống dự phòng.

- Các đơn vị phải tổ chức kiểm tra việc tuân thủ Quy định này tối thiểu mỗi năm một lần.

- Kết quả kiểm tra và các kiến nghị, đề xuất phải được ghi nhận và trình lãnh đạo đơn vị phê duyệt.

Hàng năm trước ngày 05/12, Cục Thuế tổng hợp, báo cáo Tổng cục Thuế (qua Cục CNTT) bằng văn bản toàn bộ tình hình quản lý, triển khai, vận hành, khai thác sử dụng hạ tầng hệ thống Công nghệ thông tin (trong đó bao gồm cả hạng mục an ninh, an toàn thông tin) theo quy định nêu trên.

- Tổ chức thực hiện, hướng dẫn và kiểm tra việc thực hiện Quy định này tại các đơn vị trong ngành, các đơn vị có kết nối trao đổi thông tin với cơ quan Thuế.

- Tổng hợp tình hình hoạt động của hệ thống thông tin ngành Thuế.

- Căn cứ vào tình hình triển khai và điều kiện thực tế, hàng năm Cục CNTT thực hiện rà soát, kiểm tra, đánh giá nội dung Quy định và chủ trì trình Tổng cục Thuế các sửa đổi, bổ sung Quy định (nếu có).

- Tổ chức triển khai thực hiện Quy định tại đơn vị.
- Phối hợp với Cục CNTT trong việc triển khai, thực hiện Quy định.
- Phản ánh nhu cầu, vướng mắc trong quá trình triển khai, thực hiện Quy định tại đơn vị tới Cục CNTT để phối hợp xử lý kịp thời.
- Hướng dẫn, kiểm tra việc thực hiện Quy định tại đơn vị và các đơn vị ngoài ngành có kết nối trao đổi thông tin với mạng nội bộ đơn vị.

- Cung cấp danh sách nhân sự tham gia.
- Tuân thủ các quy định về an ninh, an toàn thông tin của cơ quan Thuế.
- Có thỏa thuận an ninh, an toàn thông tin với cơ quan Thuế (nếu được yêu cầu) theo mẫu 02-BM/QĐANTT/ANTT/TCT Phụ lục I của Quy định này.
- Bàn giao lại tài sản thông tin cho cơ quan Thuế khi kết thúc công việc.