Điều 5. Đảm bảo an ninh, an toàn thiết bị; Vật lý và môi trường
1. Đảm bảo an ninh, an toàn vật lý và môi trường
a) Phạm vi kiểm soát:
- Phạm vi kiểm soát truy cập vật lý là khu vực, phương tiện xử lý và lưu trữ thông tin như Trung tâm dữ liệu Tổng cục Thuế (các thiết bị máy chủ, thiết bị lưu trữ, thiết bị mạng, bảo mật...); Phòng máy chủ Cục Thuế/Chi cục Thuế (các thiết bị máy chủ, thiết bị lưu trữ, thiết bị mạng, bảo mật...); Tủ chứa thiết bị mạng tại các tòa nhà; Các phòng vận hành, kiểm soát (quản trị) hệ thống; Văn phòng làm việc của các đơn vị...
b) Thực hiện kiểm soát:
- Đối với các tài sản cần bảo mật ở mức thông thường: Sử dụng vành đai bảo mật (ví dụ như tường, thẻ ra vào hoặc bàn tiếp tân...) để bảo vệ những khu vực chứa thông tin hoặc những phương tiện xử lý thông tin.
- Đối với các tài sản cần bảo mật ở mức cao: Sử dụng các biện pháp kiểm soát ra, vào một cách phù hợp để đảm bảo chỉ những người được sự đồng ý của lãnh đạo đơn vị mới được phép vào.
- Đối với phòng máy chủ và trung tâm dữ liệu: Phải có nội quy hoặc hướng dẫn làm việc; Có mô hình thiết kế hệ thống theo quy định; Yêu cầu phải thiết kế và thực hiện các phương pháp phòng chống hỏa hoạn, lũ lụt, động đất, cháy nổ và những tai họa tự nhiên hoặc do con người gây ra; Hệ thống khóa phải giao cho ít nhất 02 người: 01 quản trị, 01 lãnh đạo phụ trách CNTT.
- Đối với việc di chuyển phòng máy chủ tại Cục Thuế, Chi cục Thuế không được thuê đơn vị bên ngoài ngành Thuế thực hiện để đảm bảo an toàn dữ liệu.
2. Đảm bảo an ninh, an toàn các thiết bị tài sản CNTT
- Tài sản CNTT phải được bố trí, lắp đặt tại các địa điểm an toàn và được bảo vệ để giảm thiểu những rủi ro do các đe dọa, hiểm họa từ môi trường và các xâm nhập trái phép.
- Thiết bị CNTT phải được bảo đảm về nguồn điện và các hệ thống hỗ trợ khi nguồn điện chính bị gián đoạn. Phải có biện pháp chống quá tải hay sụt giảm điện áp, chống sét lan truyền; Hệ thống máy phát điện dự phòng và hệ thống lưu điện đảm bảo thiết bị hoạt động liên tục.
- Các thiết bị thuộc hệ thống quan trọng phải được bảo dưỡng định kỳ và duy trì chế độ bảo hành liên tục hoặc có cơ chế sửa chữa, thay thế đáp ứng yêu cầu về mức độ sẵn sàng của hệ thống trong suốt thời gian sử dụng.
- Dây cáp cung cấp nguồn điện và dây cáp sử dụng trong truyền tải dữ liệu hay những dịch vụ hỗ trợ thông tin phải được bảo vệ khỏi sự xâm phạm hoặc hư hại.
- Tất cả các thiết bị lưu trữ dữ liệu trước khi loại bỏ hoặc tái sử dụng cho mục đích khác, phải được kiểm tra để đảm bảo các dữ liệu quan trọng và phần mềm có bản quyền lưu trữ trên các thiết bị này được xóa bỏ hoặc ghi đè không có khả năng khôi phục.
- Việc sửa chữa, bảo hành thiết bị CNTT do đơn vị bên ngoài thực hiện phải có sự giám sát của cán bộ thuộc bộ phận tin học nhằm đảm bảo an toàn, an ninh dữ liệu, tài nguyên trên máy tính.
- Thiết bị thông tin của đơn vị khi mang đi bảo hành, bảo dưỡng, sửa chữa phải tháo ổ cứng khỏi thiết bị hoặc xóa các thông tin, dữ liệu lưu trữ trên thiết bị (trừ trường hợp mang thiết bị đi khôi phục dữ liệu). Các thiết bị lưu trữ không sử dụng tiếp cho công việc của đơn vị (thanh lý, cho, tặng) phải được xóa nội dung bằng phần mềm hoặc bằng thiết bị hủy dữ liệu chuyên dụng.
- Tài sản CNTT chỉ được đưa ra bên ngoài đơn vị khi có sự cho phép của cấp có thẩm quyền.
- Các trang thiết bị dùng cho hoạt động nghiệp vụ lắp đặt bên ngoài trụ sở của đơn vị phải có biện pháp giám sát, bảo vệ an toàn phòng chống truy cập bất hợp pháp.