Điều 7. Quản lý nhân sự đảm bảo an ninh, an toàn thông tin cho hệ thống thông tin ngành Thuế
1. Quản lý nhân sự nội bộ
a) Trong quá trình tuyển dụng: Việc tuyển dụng công chức, viên chức, lao động hợp đồng vào công tác trong ngành Thuế phải được thực hiện đúng theo quy định của Luật công chức, Luật viên chức, các văn bản quy phạm pháp luật hướng dẫn Luật và các quy định của Bộ Tài chính.
b) Trong quá trình làm việc: Đơn vị có trách nhiệm:
- Phổ biến, đào tạo và thường xuyên cập nhật các quy định, chính sách về đảm bảo an ninh, an toàn thông tin cho hệ thống thông tin tới công chức, viên chức, lao động hợp đồng. Tuyệt đối không soạn thảo, in ấn tài liệu mật từ máy tính có nối mạng (các đơn vị bố trí máy tính độc lập không kết nối với mạng bằng mọi hình thức để soạn thảo, in ấn các tài liệu mật theo quy định); Không sao chép, lưu trữ tài liệu có tính chất mật dưới dạng số; Không chuyển tải tài liệu mật trên môi trường mạng.
- Hướng dẫn cán bộ đảm bảo an toàn trong việc sử dụng Internet, email, trao đổi dữ liệu với bên ngoài. Chỉ sử dụng hệ thống thư điện tử của ngành để trao đổi thông tin, tài liệu làm việc. Không sử dụng hệ thống thư điện tử khác, các phương tiện trao đổi thông tin công cộng trên Internet cho mục đích này. Không lưu trữ các dữ liệu quan trọng, tài liệu bí mật của cơ quan Nhà nước trên các loại thiết bị di động thông minh (điện thoại thông minh smart phone, máy tính bảng, thiết bị thu phát media,...).
- Thực hiện kiểm tra việc thi hành các quy định, chính sách về đảm bảo an ninh, an toàn thông tin cho hệ thống thông tin của công chức, viên chức, lao động hợp đồng thuộc đơn vị tối thiểu 01 lần/năm.
- Áp dụng các biện pháp kỷ luật đối với công chức, viên chức, lao động hợp đồng vi phạm quy định về đảm bảo an ninh, an toàn thông tin cho hệ thống thông tin.
- Những nội dung công việc quan trọng như cài đặt, cấu hình hệ thống an ninh mạng (thiết bị tường lửa, thiết bị phát hiện và ngăn chặn xâm nhập), thay đổi tham số hệ điều hành phải được thực hiện bởi ít nhất 02 người hoặc phải có người giám sát của đơn vị.
c) Nghỉ việc hoặc thuyên chuyển công tác:
- Xác định rõ trách nhiệm của công chức, viên chức, lao động hợp đồng và các bên liên quan về hệ thống thông tin.
- Lập biên bản giao tài sản CNTT với công chức, viên chức, lao động hợp đồng.
- Thu hồi hoặc thay đổi quyền truy cập hệ thống thông tin của công chức, viên chức, lao động hợp đồng cho phù hợp với công việc được thay đổi.
2. Quản lý nhân sự bên ngoài
a) Trước khi hợp tác:
- Yêu cầu đối tác cung cấp danh sách nhân sự tham gia (nếu cần).
- Kiểm tra thông tin, tư cách pháp nhân, năng lực chuyên môn của nhân sự tham gia.
- Ký cam kết đảm bảo an ninh, an toàn thông tin với đối tác (nếu cần) theo mẫu 01-BM/QĐANTT/ANTT/TCT (áp dụng đối với cá nhân) hoặc mẫu 02-BM/QĐANTT/ANTT/TCT (áp dụng đối với tổ chức) Phụ lục I của Quy định này.
b) Trong quá trình hợp tác:
- Yêu cầu đối tác tuân thủ các quy định, chính sách về đảm bảo an ninh, an toàn thông tin của đơn vị.
- Giám sát việc thực hiện các quy định về đảm bảo an ninh, an toàn thông tin cho hệ thống thông tin đối với đối tác.
- Có biện pháp bảo vệ, mã hóa đối với các dữ liệu thông tin (cần bảo mật) khi trao đổi.
- Kiểm soát việc cung cấp dữ liệu, trao đổi thông tin với các đơn vị ngoài ngành. Việc cung cấp trao đổi thông tin phải được sự đồng ý của lãnh đạo đơn vị. Trường hợp cung cấp dữ liệu thông tin mật cho các đơn vị ngoài ngành phải yêu cầu đơn vị tiếp nhận thông tin ký cam kết bảo mật theo quy định.
- Các tài liệu quan trọng, tài liệu mật phải được đặt mật khẩu có độ phức tạp cao hoặc được lưu trữ trong một thư mục riêng được mã hóa bằng mật khẩu phức tạp.
- Trường hợp phát hiện vi phạm quy định đảm bảo an ninh, an toàn thông tin cho hệ thống thông tin của nhân sự bên ngoài, đơn vị cần:
+ Tạm dừng hoặc đình chỉ hoạt động của đối tác tùy theo mức độ vi phạm.
+ Thông báo chính thức các vi phạm về đảm bảo an ninh, an toàn thông tin của nhân sự cho đối tác.
+ Kiểm tra, xác định, lập báo cáo mức độ vi phạm và thông báo cho đối tác các thiệt hại xảy ra.
+ Thu hồi quyền truy cập của đối tác.
+ Trường hợp vi phạm nghiêm trọng, gây ảnh hưởng lớn tới hệ thống thông tin, làm thất thoát, ảnh hưởng tới uy tín và hình ảnh của đơn vị sẽ chuyển các cơ quan chức năng xử lý theo quy định của pháp luật.
c) Kết thúc quá trình hợp tác:
- Yêu cầu đối tác bàn giao lại tài sản thông tin sử dụng trong quá trình làm việc.
- Thực hiện cắt quyền truy cập hệ thống.
- Thay đổi hoặc khóa mật khẩu truy cập của đối tác.