Điều 4. Các biện pháp quản lý vận hành trong công tác đảm bảo an toàn, an ninh thông tin
1. Các cơ quan, đơn vị phải trang bị đầy đủ các kiến thức bảo mật cơ bản cho cán bộ công chức trước khi cho phép truy cập và sử dụng hệ thống thông tin.
2. Các cơ quan, đơn vị phải bố trí cán bộ chuyên trách về an toàn, an ninh thông tin (sau đây gọi tắt là cán bộ chuyên trách). Cán bộ chuyên trách được đảm bảo điều kiện học tập, tiếp thu công nghệ, kiến thức an toàn bảo mật thông tin trước khi tiến hành các hoạt động quản lý hay kỹ thuật nghiệp vụ.
3. Cán bộ chuyên trách phải thường xuyên cập nhật cấu hình chuẩn cho các thành phần của hệ thống thông tin, thiết lập cấu hình một cách chặt chẽ nhất cho các sản phẩm an toàn thông tin nhưng vẫn đảm bảo duy trì hoạt động thường xuyên của hệ thống thông tin.
4. Cán bộ chuyên trách phải tổ chức cấu hình hệ thống thông tin chỉ cung cấp những chức năng thiết yếu nhất, đồng thời xác định các chức năng, cổng giao tiếp mạng, giao thức và dịch vụ không cần thiết để cấm hoặc hạn chế sử dụng.
5. Hệ thống thông tin tại các cơ quan, đơn vị phải có cơ chế sao lưu thông tin ở mức người dùng và mức hệ thống (bao gồm: sao lưu trạng thái hệ thống thông tin và lưu trữ thông tin sao lưu tại nơi an toàn), đồng thời thông tin sao lưu phải được tổ chức kiểm tra thường xuyên để đảm bảo tính sẵn sàng và toàn vẹn thông tin.
6. Hệ thống thông tin tại các cơ quan, đơn vị phải được triển khai cơ chế chống virus, thư rác cho những hệ thống xung yếu hiện hữu (firewall, mail server,…) và tại các máy trạm, máy chủ trong mạng; tổ chức sử dụng cơ chế chống virus, thư rác để phát hiện và loại trừ những đoạn mã độc hại (virus, trojan, worms…) có khả năng khai thác các lỗ hổng của hệ thống thông tin, được truyền tải bởi thư điện tử, tập tin đính kèm từ Internet, thiết bị lưu trữ tháo lắp; đồng thời thường xuyên cập nhật cơ chế chống virus, thư rác phù hợp với quy trình và chính sách quản lý cấu hình hệ thống thông tin của cơ quan, đơn vị.
7. Cán bộ chuyên trách phải thường xuyên thực hiện đánh giá, báo cáo các rủi ro và mức độ nghiêm trọng của các rủi ro đó. Các rủi ro có thể xảy ra do nguy cơ tự nhiên, truy cập trái phép, sử dụng trái phép dẫn đến làm mất, thay đổi hoặc phá hủy thông tin và hệ thống thông tin.
8. Đối với cán bộ, công chức hoặc nhân viên đã nghỉ việc, các cơ quan, đơn vị phải thực hiện hủy quyền truy cập hệ thống thông tin và thu hồi các tài sản liên quan tới hệ thống thông tin (như: khóa, thẻ nhận dạng,…) nhưng vẫn đảm bảo khả năng truy cập vào các hồ sơ được tạo ra bởi cán bộ, công chức hoặc nhân viên đó.
9. Các cơ quan, đơn vị quan tâm phân bổ đầu tư cần thiết để đảm bảo và tăng cường an toàn, an ninh thông tin trong hoạt động ứng dụng công nghệ thông tin của đơn vị.