Điều 4. Các biện pháp quản lý vận hành trong công tác an toàn an ninh thông tin
1. Trang bị đầy đủ các kiến thức bảo mật cơ bản cho cán bộ công chức trước khi cho phép truy nhập và sử dụng hệ thống thông tin.
2. Các cơ quan, đơn vị cần xác định cán bộ chuyên trách về an toàn hệ thống thông tin. Cán bộ này cần phải có các kiến thức về an toàn, an ninh thông tin trước khi tiến hành các hoạt động quản lý hay kỹ thuật nghiệp vụ.
3. Cán bộ chuyên trách tại các cơ quan, đơn vị được thủ trưởng đơn vị đảm bảo điều kiện học tập, tiếp thu công nghệ, kiến thức an toàn bảo mật thông tin.
4. Cán bộ chuyên trách an toàn hệ thống thông tin chịu trách nhiệm tham mưu chuyên môn và vận hành an toàn hệ thống thông tin của đơn vị theo nhiệm vụ được thủ trưởng đơn vị phân công.
5. Cán bộ chuyên trách cần cập nhật cấu hình chuẩn cho các thành phần của hệ thống khi tiến hành cài đặt và thiết lập cấu hình chặt chẽ nhất cho các sản phẩm an toàn thông tin nhưng vẫn duy trì yêu cầu hoạt động của hệ thống thông tin.
6. Cán bộ chuyên trách cần cấu hình hệ thống thông tin chỉ cung cấp những chức năng thiết yếu nhất; cấm, hạn chế sử dụng chức năng, cổng giao tiếp mạng, giao thức, và các dịch vụ không cần thiết.
7. Cán bộ chuyên trách cần sao lưu thông tin ở mức người dùng và mức hệ thống (bao gồm trạng thái hệ thống thông tin) và lưu trữ thông tin sao lưu tại nơi an toàn. Đồng thời tổ chức kiểm tra thông tin sao lưu để đảm bảo tính sẵn sàng và toàn vẹn thông tin.
8. Cán bộ chuyên trách cần triển khai cơ chế chống virus, thư rác cho những hệ thống xung yếu, hiện hữu (Firewall, mail server,…) và tại các máy trạm, máy chủ, các thiết bị di động trong mạng. Tổ chức sử dụng cơ chế chống virus, thư rác để phát hiện và loại trừ những đoạn mã độc hại (Virus, trojan, worms…) được truyền tải bởi thư điện tử, tập tin đính kèm từ internet, thiết bị lưu trữ tháo lắp, vá các bản vá lỗ hổng cần thiết nhằm chống đột nhập trái phép hệ thống thông tin. Đồng thời cập nhật cơ chế chống virus, thư rác thường xuyên sao cho phù hợp với quy trình và chính sách quản lý cấu hình hệ thống thông tin của tổ chức. Cần cân nhắc việc sử dụng phần mềm chống virus từ nhiều hãng phân phối khác nhau.
9. Cán bộ chuyên trách cần thực hiện việc đánh giá, báo cáo các rủi ro và mức độ nghiêm trọng của các rủi ro đó. Các rủi ro đó có thể xảy ra do sự truy cập trái phép, sử dụng trái phép, mất, thay đổi hoặc phá hủy thông tin và hệ thống thông tin.
10. Các cơ quan, đơn vị cần hủy quyền truy nhập hệ thống thông tin, đảm bảo việc thu hồi lại tất cả các tài sản liên quan tới hệ thống thông tin (khóa, thẻ nhận dạng…) đối với nhân viên đã chấm dứt hợp đồng và đảm bảo khả năng vẫn truy nhập được vào các hồ sơ được tạo bởi nhân viên đó.
11. Các cơ quan, đơn vị xác định và phân bổ đầu tư cần thiết để bảo vệ hệ thống thông tin.