Điều 9. Quản lý truy cập
1. Quản lý truy cập người sử dụng
- Xây dựng và thực hiện các quy định về quản lý truy cập đối với người sử dụng, nhóm người sử dụng, đảm bảo đáp ứng yêu cầu nghiệp vụ và yêu cầu an toàn, bảo mật. Quy định về quản lý truy cập bao gồm các nội dung cơ bản sau:
a) Đăng ký, cấp phát quyền truy cập của người sử dụng:
- Khi người sử dụng có nhu cầu tạo tài khoản cá nhân trên hệ thống phải lập phiếu yêu cầu và được phê duyệt bởi lãnh đạo đơn vị hoặc người có thẩm quyền.
- Cấp phát quyền truy cập, sử dụng và khai thác ứng dụng; Tài nguyên trên mạng phải đảm bảo chặt chẽ, đúng mục đích sử dụng. Mỗi người sử dụng hệ thống chỉ được cấp một tài khoản và được phân quyền đủ để thực hiện nhiệm vụ được phân công.
b) Kiểm soát truy cập và xác thực người sử dụng:
- Việc quản lý, xác thực được người sử dụng truy nhập trên hệ thống đảm bảo đầy đủ thông tin người sử dụng hệ thống bao gồm: Họ tên, chức vụ, đơn vị công tác, số điện thoại,... trên hệ thống CSDL.
- Người sử dụng chỉ đăng nhập vào ứng dụng và khai thác dữ liệu bằng tài khoản được cấp. Nghiêm cấm dò tìm mật khẩu, sử dụng tài khoản của người khác để vào ứng dụng và khai thác dữ liệu.
- Kiểm tra và loại bỏ kịp thời tài khoản của người sử dụng hệ thống đã chuyển công tác, nghỉ hưu, hết hạn sử dụng hoặc không còn làm việc tại đơn vị trên hệ thống và cập nhật trên các tài liệu liên quan.
- Tạm dừng quyền sử dụng đối với tài khoản của người sử dụng đã được đăng ký trên hệ thống nhưng không làm việc trong hệ thống từ 60 ngày trở lên.
- Giới hạn số lần đăng nhập không thành công vào hệ thống là 05 lần. Sau 05 lần không đăng nhập thành công, tài khoản sẽ bị khóa trong 30 phút.
- Phát hiện và xử lý kịp thời những trường hợp người sử dụng truy nhập bất hợp pháp hoặc thao tác vượt quá giới hạn được giao.
c) Quản lý, cấp phát mật khẩu:
- Quản lý mật khẩu thực hiện theo Quy chế quản lý, triển khai, vận hành hạ tầng hệ thống công nghệ thông tin của ngành.
- Triển khai chính sách mật khẩu phức tạp trên hệ thống AD cho người sử dụng tại Cục Thuế và Chi cục Thuế.
d) Rà soát quyền truy cập:
- Quyền truy cập của mỗi cá nhân cần được rà soát định kỳ (tối thiểu 03 tháng/lần) hoặc ngay sau khi có sự thay đổi, luân phiên, luân chuyển, bổ nhiệm, miễn nhiệm vị trí công tác của công chức, viên chức.
2. Trách nhiệm người sử dụng
- Người sử dụng khi được cấp quyền truy cập phải sử dụng mật khẩu đúng quy định, giữ bí mật mật khẩu, định kỳ thay đổi mật khẩu (tối thiểu 03 tháng/lần), thoát khỏi hệ thống khi không làm việc hoặc tạm thời không làm việc trên hệ thống.
- Không truy cập và sử dụng hộp thư của người khác; Không giả mạo thư điện tử của người khác. Chỉ được phép truy cập vào hộp thư của người khác để xem nội dung thông tin khi được ủy quyền, hoặc được phép của lãnh đạo đơn vị quản lý.
6. Kiểm soát thiết bị di động và làm việc từ xa
- Khi người sử dụng có nhu cầu truy cập từ xa, căn cứ vào vị trí làm việc, tính chất công việc sẽ được phân quyền truy cập theo từng cấp độ. Việc truy cập bắt buộc sử dụng các giải pháp bảo mật như phương pháp xác thực nhiều yếu tố.
- Trường hợp bộ phận hỗ trợ người sử dụng hoặc cán bộ quản trị tại cơ quan Thuế các cấp có yêu cầu truy cập từ xa vào máy tính của người sử dụng để phục vụ công tác hỗ trợ thì phải được sự đồng ý của người sử dụng.
- Rà soát và thực hiện cấu hình trên hệ thống không cho phép kết nối các thiết bị di động thông minh vào mạng nội bộ của đơn vị.
- Không sử dụng các thiết bị di động thông minh để lưu trữ các tài liệu có nội dung bí mật và không cắm trực tiếp các thiết bị này vào máy tính tại cơ quan.
- Không mang các thiết bị di động thông minh vào các cuộc họp có nội dung bí mật.
- Hạn chế tối đa việc sử dụng các thiết bị thông minh tại nơi làm việc.
- Tất cả kết nối từ xa của người sử dụng tới mạng ngành Thuế phải được ghi vết (log) tối thiểu 03 tháng để theo dõi.