Điều 5. Các biện pháp quản lý vận hành trong công tác đảm bảo an toàn thông tin
1. Đối với Thủ trưởng các cơ quan, đơn vị
a) Trang bị đầy đủ các kiến thức bảo mật cơ bản cho cán bộ, công chức, viên chức, người lao động trước khi cho phép truy nhập và sử dụng hệ thống thông tin;
b) Bố trí cán bộ chuyên trách về an toàn hệ thống thông tin (sau đây gọi tắt là cán bộ chuyên trách). Cán bộ chuyên trách được đảm bảo điều kiện học tập, tiếp cận công nghệ, kiến thức an toàn bảo mật thông tin trước khi tiến hành các hoạt động quản lý hay kỹ thuật nghiệp vụ;
c) Xác định và phân bổ kinh phí chi thường xuyên cần thiết cho các hoạt động liên quan đến việc bảo vệ hệ thống thông tin, thông qua việc đầu tư các thiết bị tường lửa, các chương trình chống thư rác, vi rút máy tính trên các máy trạm, máy chủ và các công việc khác có liên quan đến việc bảo đảm an toàn thông tin;
d) Phải bố trí ít nhất 01 máy vi tính riêng, không kết nối mạng nội bộ và mạng Internet dùng để quản lý, soạn thảo các tài liệu mật theo quy định;
đ) Kiểm tra việc thực hiện các nội dung của Điều 6 Quy chế này.
2. Đối với cán bộ chuyên trách tại các cơ quan, đơn vị
a) Triển khai, thực hiện các nội dung của Điều 6 Quy chế này;
b) Tham mưu chuyên môn và vận hành an toàn hệ thống thông tin của cơ quan, đơn vị, triển khai các biện pháp bảo đảm an toàn thông tin cho tất cả cán bộ, công chức, viên chức, người lao động trong cơ quan, đơn vị mình. Thường xuyên tự nghiên cứu, cập nhật các kiến thức về an toàn thông tin, về nguy cơ tiềm ẩn có thể gây mất thông tin và các biện pháp phòng tránh khi tiến hành các hoạt động quản lý hay kỹ thuật nghiệp vụ;
c) Thường xuyên cập nhật cấu hình chuẩn cho các thành phần của hệ thống thông tin, thiết lập cấu hình chặt chẽ nhất cho các sản phẩm an toàn thông tin nhưng vẫn duy trì yêu cầu hoạt động bình thường của hệ thống thông tin;
d) Khi tổ chức cấu hình hệ thống thông tin chỉ cung cấp những chức năng cần thiết; xác định rõ các chức năng, cổng giao tiếp mạng, giao thức và dịch vụ không cần thiết để cấm hoặc hạn chế không sử dụng;
đ) Thường xuyên thực hiện việc theo dõi bản ghi nhật ký hệ thống (logfile) và các sự kiện khác có liên quan để đánh giá, báo cáo các rủi ro và mức độ nghiêm trọng các rủi ro đó. Các rủi ro đó có thể xảy ra do sự truy cập trái phép, sử dụng trái phép, mất, thay đổi hoặc phá hủy thông tin và hệ thống thông tin;
e) Kiểm soát chặt chẽ cài đặt phần mềm vào máy trạm và máy chủ.
3. Đối với cán bộ, công chức, viên chức, người lao động
a) Thường xuyên cập nhật những chính sách, thủ tục an toàn thông tin của cơ quan, đơn vị cũng như thực hiện những hướng dẫn về an toàn thông tin của cán bộ chuyên trách;
b) Hạn chế việc sử dụng chức năng chia sẻ tài nguyên (sharing), khi sử dụng chức năng này cần bật thuộc tính bảo mật bằng mật khẩu và thực hiện việc thu hồi chức năng này khi đã sử dụng xong;
c) Các máy tính khi không sử dụng trong thời gian dài (quá 4 giờ làm việc) cần tắt máy hoặc ngưng kết nối mạng, để tránh bị những người xâm nhập từ bên ngoài (hacker) lợi dụng, sử dụng chức năng điều khiển từ xa dùng máy tính của mình tấn công vào các hệ thống thông tin khác;
d) Chỉ mở các tập tin đính kèm theo thư điện tử khi biết rõ người gửi thư; phải lưu tập tin vào máy tính rồi quét vi rút trước khi mở; không được mở các thư điện tử có tập tin đính kèm có nguồn gốc không rõ ràng vì rất có thể có vi rút, phần mềm gián điệp được đính kèm theo thư;
đ) Phải đặt mật khẩu truy nhập vào máy tính của mình, đồng thời thiết lập chế độ bảo vệ màn hình (screen saver) có sử dụng mật khẩu bảo vệ sau một khoảng thời gian nhất định không sử dụng máy tính. Sử dụng các thiết bị lưu trữ (USB, ổ cứng gắn ngoài...) an toàn, đúng cách để phòng ngừa vi rút, phần mềm gián điệp xâm nhập máy tính: khi gắn thiết bị lưu trữ vào máy tính, không được trực tiếp truy cập ngay mà phải quét vi rút trước.