Điều 10. Phát triển, duy trì hệ thống thông tin
1. Yêu cầu về an ninh, an toàn thông tin cho hệ thống thông tin
- Khi xây dựng hệ thống thông tin mới hoặc nâng cấp hệ thống thông tin hiện tại, phải đưa ra các yêu cầu về đảm bảo an ninh, an toàn thông tin đồng thời với việc đưa ra các yêu cầu kỹ thuật, nghiệp vụ.
2. Đảm bảo an ninh, an toàn thông tin các ứng dụng do đơn vị phát triển hoặc thuê phát triển
- Mã hoá thông tin bí mật hoặc nhạy cảm bằng thuật toán mã hoá an toàn. Cần lựa chọn các giải pháp mã hóa thông tin cho phù hợp với yêu cầu của cấu trúc ứng dụng và phù hợp với giải pháp mã hoá của ngành.
- Đảm bảo hoạt động ổn định của các thông tin liên kết từ các ứng dụng liên quan đến ứng dụng đang xây dựng.
- Với các dự án nâng cấp ứng dụng, mã nguồn dùng để nâng cấp ứng dụng phải do người quản lý ứng dụng cung cấp. Các mã nguồn thay đổi trong quá trình nâng cấp cần có chú thích các thông tin như ngày thay đổi, nội dung thay đổi, người thay đổi hoặc ghi chú (nếu có).
- Trước khi triển khai, ứng dụng phải được kiểm thử nhằm đảm bảo chức năng, hiệu năng, bảo mật.
- Kiểm tra tính hợp lệ của dữ liệu đầu vào và đầu ra để đảm bảo dữ liệu chính xác và phù hợp.
- Cung cấp tài khoản người sử dụng nhằm kiểm thử hoạt động của hệ thống ứng dụng. Sau khi kết thúc quá trình kiểm thử, đảm bảo các tài khoản người sử dụng và dữ liệu nhập thử phải được xóa sạch trên hệ thống.
- Trong quá trình triển khai, phải sử dụng tài khoản riêng cho việc triển khai để truy cập vào các máy chủ cài đặt hệ thống. Kết thúc quá trình triển khai, cần đảm bảo các tài khoản truy cập các máy chủ phục vụ triển khai phải được gỡ bỏ.
- Thực hiện kiểm soát việc cài đặt phần mềm trên các máy chủ, máy tính của người sử dụng, thiết bị mạng đang hoạt động thuộc hệ thống mạng nội bộ.
- Khi chưa được sự đồng ý bằng văn bản của Tổng cục Thuế, đối tác không được phép sử dụng hoặc cung cấp cho các đơn vị khác mã nguồn hoặc phần mềm do đối tác xây dựng nhưng thuộc bản quyền của Tổng cục Thuế.
- Đối tác xây dựng ứng dụng cho Tổng cục Thuế không được phép chỉnh sửa, bổ sung thêm các chức năng ngoài nội dung đã được thống nhất giữa hai bên, ngoại trừ trường hợp có sự đồng ý bằng văn bản của Tổng cục Thuế.
- Hạn chế truy cập tới mã nguồn chương trình và phải đặt mã nguồn trong môi trường an toàn do bộ phận chuyên trách quản lý. Mã nguồn và tài liệu liên quan tới chương trình được người quản lý lưu giữ trên hệ thống quản lý phiên bản. Người quản lý kiểm soát và bàn giao mã nguồn cho đối tác thực hiện khi có yêu cầu nâng cấp hoặc cung cấp ra bên ngoài.
- Đảm bảo ứng dụng là duy nhất và có bản quyền sở hữu của cơ quan Thuế.
3. Đảm bảo an ninh, an toàn thông tin cho ứng dụng, phần mềm mua dạng đóng gói
- Theo dõi, nắm bắt thông tin về các lỗ hổng bảo mật mới và cập nhật thường xuyên bản vá lỗi về an ninh, an toàn cho ứng dụng.
- Trường hợp lỗ hổng đã được phát hiện mà chưa có bản vá lỗi của đơn vị sản xuất phần mềm, phải thực hiện đánh giá rủi ro và có biện pháp phòng tránh phù hợp.