Điều 6. Trang thiết bị và hạ tầng công nghệ thông tin
1. Phòng máy chủ:
a) Các thiết bị mạng quan trọng như tường lửa, thiết bị định tuyến, hệ thống máy chủ và các trang thiết bị mạng phải được đặt trong phòng máy chủ và có các biện pháp bảo vệ, ngăn chặn xâm nhập trái phép vào phòng máy chủ; phải có hệ thống lưu điện đủ công suất và duy trì được thời gian hoạt động của các máy chủ tối thiểu 30 phút khi xảy ra sự cố mất điện. Trong trường hợp do yêu cầu bắt buộc thì phải lắp đặt máy phát điện để đảm bảo hệ thống thiết bị và máy chủ được duy trì liên tục.
b) Chỉ những người có trách nhiệm theo quy định của Thủ trưởng cơ quan mới được phép vào phòng máy chủ; quá trình vào, ra phòng máy chủ phải được ghi nhận vào nhật ký quản lý phòng máy chủ.
c) Bố trí cán bộ có năng lực chuyên môn cao để quản lý, vận hành phòng máy chủ và duy trì chế độ trực phù hợp để bảo đảm an toàn thông tin mạng.
2. Máy chủ: Cấu hình máy chủ phải đủ mạnh để đáp ứng công việc. Máy chủ của các cơ quan, đơn vị chỉ dùng để triển khai phần mềm hệ thống, các dữ liệu lưu trữ cần thiết và các phần mềm chống vi-rút.
3. Thiết bị chống sét, phòng cháy, chữa cháy: Các cơ quan, đơn vị phải lắp đặt thiết bị chống sét, trang bị thiết bị phòng cháy, chữa cháy cho phòng máy chủ theo quy định pháp luật.
4. Thiết bị chuyển mạch: Thiết bị chuyển mạch mạng tin học của các cơ quan phải đảm bảo khả năng cung cấp các chức năng quản trị nhằm tăng cường độ an toàn và bảo mật cho hệ thống mạng như: Cung cấp khả năng từ chối các kết nối không mong muốn hay trái phép vào hệ thống và khống chế số lượng kết nối vào hệ thống mạng nội bộ thông qua thiết bị chuyển mạch. Phải có ít nhất 01 thiết bị chuyển mạch hỗ trợ định tuyến cho mỗi mạng nội bộ, hỗ trợ chức năng điều khiển truy cập, chức năng xác thực thiết bị, xác thực người sử dụng và chức năng bảo mật quản trị mạng.
5. Tường lửa: Các cơ quan, đơn vị phải xây dựng tường lửa đảm bảo các yêu cầu gồm khả năng xử lý được số lượng kết nối đồng thời cao và chịu được thông lượng cao, hỗ trợ các công nghệ mạng riêng ảo thông dụng và có khả năng mã hóa dữ liệu, cung cấp đầy đủ các cơ chế bảo mật cơ bản, quản lý luồng dữ liệu ra, vào và có khả năng bảo vệ hệ thống trước các loại tấn công từ chối dịch vụ.