Điều 8. Quản lý vận hành và truyền thông
1. Quản lý vận hành
- Ban hành và triển khai quy trình quản lý vận hành các hệ thống thông tin nhằm đảm bảo vận hành chính xác và an toàn các trang thiết bị xử lý thông tin.
- Các phần mềm ứng dụng, phần mềm hệ thống phải đảm bảo yêu cầu về an ninh, an toàn thông tin được quy định tại Quy định này trước khi đưa vào vận hành chính thức.
- Kiểm soát sự thay đổi của hệ thống thông tin gồm: Phiên bản phần mềm, cấu hình phần cứng, cấu hình hệ thống, tài liệu, quy trình vận hành; Có phương án dự phòng cho việc phục hồi nếu sự thay đổi không thành công hoặc gặp các sự cố không dự tính được; Ghi chép lại các thay đổi; Lập kế hoạch thực hiện và kiểm tra, thử nghiệm sự thay đổi trước khi áp dụng chính thức.
- Hệ thống thông tin đưa vào vận hành cần đáp ứng các yêu cầu sau:
+ Tách biệt với môi trường phát triển và môi trường kiểm tra, thử nghiệm.
+ Chỉ được phép kết nối Internet khi áp dụng một số giải pháp an ninh thông tin như thiết bị tường lửa, máy chủ proxy truy cập Internet, máy trạm được cài đặt phần mềm diệt virus của ngành.
+ Không cài đặt các công cụ, phương tiện phát triển trên hệ thống vận hành chính thức.
+ Trung tâm dữ liệu, phòng giám sát hệ thống, máy chủ của các Cục Thuế đảm bảo vận hành theo yêu cầu của Quy định này và các quy định hiện hành của ngành.
- Đối với hệ thống tác nghiệp: Các tác vụ cập nhật, chỉnh sửa dữ liệu, truy cập hệ thống phải được lưu vết, sẵn sàng cho kiểm tra, kiểm soát khi cần thiết.
2. Quản lý các dịch vụ do đối tác cung cấp
- Có kế hoạch giám sát và kiểm tra các dịch vụ do đối tác cung cấp, đảm bảo khả năng hoạt động tốt, đáp ứng theo thỏa thuận/hợp đồng đã ký kết.
- Đảm bảo triển khai, duy trì các biện pháp an ninh, an toàn thông tin của dịch vụ do đối tác cung cấp.
- Quản lý các thay đổi đối với các dịch vụ do đối tác cung cấp bao gồm: Nâng cấp phiên bản mới; Thay thế giải pháp kỹ thuật; Các công cụ và môi trường phát triển mới. Thực hiện đánh giá đầy đủ các tác động của việc thay đổi, đảm bảo an toàn và kiểm soát được rủi ro trước khi đưa vào sử dụng.
3. Quản lý lập kế hoạch và chấp nhận hệ thống
- Xây dựng các yêu cầu, tiêu chuẩn như hiệu năng, thời gian khắc phục sự cố, đảm bảo tính liên tục, đào tạo và chuyển giao kỹ thuật đối với nội dung thay đổi, thực hiện kiểm tra, đánh giá khả năng đáp ứng của hệ thống thông tin mới xây dựng hoặc nâng cấp trước khi đưa vào áp dụng chính thức.
- Giám sát và tối ưu hiệu suất của hệ thống thông tin; Lập kế hoạch về hiệu suất, dung lượng của hệ thống thông tin trong tương lai nhằm đảm bảo tiêu chuẩn cần thiết.
4. Quản lý sao lưu, phục hồi dữ liệu
- Đơn vị phải có thiết bị và quy trình, nhân sự phục vụ công tác sao lưu dữ liệu phòng ngừa sự cố cho các hệ thống thông tin quan trọng.
- Lập danh sách các dữ liệu cần được sao lưu, có phân loại theo thời gian lưu trữ, thời gian sao lưu, phương pháp sao lưu và thời gian kiểm tra phục hồi hệ thống từ dữ liệu sao lưu.
- Dữ liệu sao lưu phải được lưu trữ an toàn, phải được kiểm soát và đối chiếu sau khi sao lưu. Thường xuyên kiểm tra kết quả thực hiện việc sao lưu dữ liệu của hệ thống đảm bảo việc sao lưu thành công và đảm bảo sẵn sàng cho việc sử dụng khi cần. Kiểm tra, phục hồi hệ thống từ dữ liệu sao lưu tối thiểu 06 tháng/lần.
- Định kỳ sao lưu toàn bộ dữ liệu. Quản trị hệ thống thực hiện sao lưu ra máy trạm riêng hoặc thiết bị lưu trữ bên ngoài đối với các dữ liệu quan trọng, có mức độ ảnh hưởng lớn tới hoạt động của hệ thống thông tin của đơn vị và cần thực hiện tối thiểu 01 tuần/lần. Có biện pháp bảo vệ dữ liệu được sao lưu trên máy trạm và thiết bị lưu trữ bên ngoài tránh thất thoát dữ liệu.
5. Quản lý an ninh mạng
a) Thực hiện việc quản lý và kiểm soát mạng nhằm ngăn ngừa các hiểm họa và duy trì an toàn cho các hệ thống, ứng dụng sử dụng mạng:
- Có sơ đồ logic và vật lý về thiết kế hệ thống mạng theo quy định.
- Hệ thống mạng nội bộ tại các Cục Thuế và các Chi cục Thuế có từ 200 người sử dụng trở lên phải được bảo vệ bằng tường lửa. Các Chi cục Thuế không có thiết bị tường lửa phải kết nối Internet thông qua hệ thống quản lý kết nối Internet (Firewall, Proxy, Web Gateway) tại Cục Thuế.
- Phân chia hệ thống mạng nội bộ tại Cục Thuế thành các vùng mạng theo phạm vi truy cập và kiểm soát truy cập giữa các vùng bằng tường lửa. Mạng nội bộ phải phân chia tối thiểu thành các vùng mạng sau:
+ Vùng mạng cho truy cập từ Internet (áp dụng đối với các đơn vị có cổng thông tin điện tử, dịch vụ công hoặc ứng dụng cung cấp ra Internet đặt tại đơn vị).
+ Vùng mạng truy cập Internet (trung chuyển các yêu cầu truy cập Internet từ người sử dụng hoặc máy chủ).
- + Vùng mạng máy chủ nội bộ.
- + Vùng mạng người sử dụng, trong đó tách riêng vùng mạng cho kết nối có dây và không dây.
- + Vùng mạng riêng cho khách (áp dụng đối với các đơn vị cho phép khách đến làm việc được truy cập hệ thống mạng của đơn vị để sử dụng Internet).
- - Vô hiệu hoá tất cả các dịch vụ không sử dụng tại từng vùng mạng.
- - Che giấu và tránh truy cập trực tiếp các địa chỉ mạng bên trong từ bên ngoài (Internet, hạ tầng truyền thông ngành Thuế).
- - Cài đặt các bản cập nhật, vá lỗi đúng hạn cho tường lửa để khắc phục các điểm yếu an ninh nghiêm trọng; Có chế độ bảo hành hoặc thiết bị dự phòng để đảm bảo hoạt động liên tục của tường lửa.
- - Rà soát việc cài đặt phần mềm diệt virus cho toàn bộ máy chủ, máy trạm tại Cục Thuế và các Chi cục Thuế. Theo dõi hàng ngày tình trạng hoạt động của phần mềm trên máy chủ, máy trạm nhằm đảm bảo phần mềm luôn được kết nối đến máy chủ quản trị diệt virus và được cập nhật mẫu virus mới nhất.
- - Thực hiện thay đổi ngay mật khẩu đối với các tài khoản quản trị hệ thống, ứng dụng đảm bảo mật khẩu có độ phức tạp cao, định kỳ thực hiện thay đổi mật khẩu theo quy định.
- - Tăng cường theo dõi tình hình virus tại Cục Thuế và Chi cục Thuế, xử lý triệt để các nguồn lây nhiễm virus. Đối với các trường hợp không xử lý được, thực hiện cách ly khỏi mạng nội bộ và báo cáo Tổng cục để có phương án xử lý. Không kết nối vào mạng nội bộ các máy tính chưa được cài phần mềm diệt virus.
- - Thực hiện việc cập nhật các bản vá lỗi hỏng bảo mật có mức độ nguy hiểm cao (critical) cho các máy trạm qua máy chủ Microsoft WSUS.
- - Đặt tên máy trạm theo đúng quy định, join domain, sử dụng tài khoản domain khi làm việc, tuyệt đối không sử dụng tài khoản quản trị (Administrator) hoặc thuộc nhóm quản trị (nhóm Administrators) để tránh bị chiếm quyền điều khiển, lây nhiễm và phát tán virus trong mạng nội bộ.
- - Rà soát việc cài đặt các phần mềm trên máy tính người sử dụng đúng theo quy định, đỡ bỏ các phần mềm lạ, phần mềm bẻ khóa, phần mềm không bản quyền.
- - Hệ thống mạng không dây được thiết lập và quản lý phải đáp ứng các điều kiện tối thiểu sau:
- + Thiết bị phần cứng phải có chứng nhận Wi-Fi theo tiêu chuẩn hiện hành.
+ Áp dụng mã hoá dữ liệu truyền nhận sử dụng thuật toán mã hoá an toàn.
+ Người sử dụng mạng không dây phải được cung cấp định danh duy nhất và xác thực qua kênh mã hoá.
+ Các điểm truy cập không dây (thiết bị phát sóng làm cầu nối giữa mạng có dây và không dây) của đơn vị phải được bảo vệ tránh bị tiếp cận trái phép.
b) Sử dụng các công cụ để dò tìm và phát hiện kịp thời các điểm yếu, lỗ hổng và các truy cập bất hợp pháp vào hệ thống mạng. Thường xuyên kiểm tra, phát hiện những kết nối, trang thiết bị, phần mềm cài đặt bất hợp pháp vào hệ thống mạng.
c) Thực hiện các biện pháp nhằm tăng cường bảo vệ hệ thống mạng, bảo mật hệ thống dữ liệu của cơ quan, kiểm soát việc ra vào, tiếp cận các vùng chứa thông tin, dữ liệu của đơn vị (phòng máy chủ, hệ thống mạng, phòng lưu trữ hồ sơ). Sử dụng biện pháp kiểm soát việc kết nối các thiết bị ngoại vi (máy tính để bàn, máy tính xách tay, điện thoại di động, thiết bị phát sóng không dây...) vào mạng nội bộ.
d) Không được phép truy cập từ xa hệ thống mạng nội bộ trừ mục đích quản trị hệ thống. Xác định và ghi rõ các tính năng an toàn, mức độ bảo mật và yêu cầu quản lý trong các thỏa thuận đối với dịch vụ mạng do đối tác cung cấp.
6. Quản lý các thiết bị lưu trữ
- Các thiết bị lưu trữ (ổ cứng máy chủ và máy trạm, USB, băng đĩa từ...) chứa dữ liệu đầu vào, đầu ra, tài liệu hệ thống cần được kiểm soát và bảo vệ về mặt vật lý.
- Phổ biến tới người sử dụng tại đơn vị về việc hạn chế sử dụng các thiết bị lưu trữ di động như USB, ổ cứng cắm ngoài, thẻ nhớ,... để tránh lây nhiễm virus từ bên ngoài. Thực hiện quét virus trước khi truy xuất dữ liệu trên thiết bị lưu trữ di động.
- Tất cả các thiết bị lưu trữ khi hết khấu hao, trước khi thanh lý phải được huỷ dữ liệu.
- Các thiết bị lưu trữ sau khi được huỷ dữ liệu phải được dán nhãn để phân biệt với các thiết bị lưu trữ khác.
7. Quản lý trao đổi thông tin
- Đối với các đơn vị, cá nhân trong ngành Thuế thực hiện theo quy định hiện hành của Bộ Tài chính.
- Đối với các cơ quan, tổ chức, cá nhân ngoài ngành Thuế thực hiện theo quy định tại khoản 2 Điều 7 Quy định này.
8. Quản lý dịch vụ công và giao dịch trực tuyến
- Có biện pháp bảo vệ thông tin trong giao dịch trực tuyến nhằm chống lại các hoạt động gian lận, sửa đổi trái phép:
+ Giao thức truyền thông phải được mã hóa.
+ Sử dụng các phương thức xác thực mạnh như xác thực đa thành phần hoặc chữ ký số cho các thành viên tham gia giao dịch, truy cập hệ thống.
- Thông tin trong các giao dịch trực tuyến phải được truyền đầy đủ, đúng địa chỉ, tránh bị sửa đổi, tiết lộ hoặc nhân bản một cách trái phép.
- Thông tin công khai trên các hệ thống thông tin phải được bảo vệ, nhằm ngăn chặn sự sửa đổi trái phép.
- Không để dữ liệu mật/quan trọng trên các dịch vụ đám mây ngoài Internet, chỉ cho phép để trên dịch vụ đám mây do Tổng cục Thuế triển khai.
9. Quản lý giám sát và ghi nhật ký hoạt động CNTT
- Thực hiện giám sát và ghi nhật ký hoạt động CNTT theo quy định chung của ngành.
- Các chức năng ghi nhật ký và thông tin nhật ký, chống giả mạo và truy cập trái phép phải được bảo vệ.
- Nhật ký hệ thống ghi lại các hoạt động CNTT không được phép chỉnh sửa hay xóa dữ liệu với bất kỳ lý do nào.