Điều 6. Quy định quản lý kỹ thuật hệ thống thông tin đảm bảo an toàn thông tin số
1. Hệ thống thông tin của các cơ quan phải được thiết lập cấu hình theo những nguyên tắc sau:
a) Chỉ cung cấp những chức năng thiết yếu nhất cho người sử dụng theo yêu cầu quản lý và sử dụng hệ thống thông tin phục vụ công việc;
b) Các thành phần của hệ thống thông tin phải được thường xuyên cập nhật cấu hình chuẩn theo hướng dẫn, khuyến nghị của nhà sản xuất thiết bị, đơn vị cung cấp phần mềm ứng dụng hoặc cơ quan quản lý nhà nước chuyên ngành;
c) Thực hiện cấm hoặc hạn chế sử dụng các chức năng, cổng giao tiếp, giao thức và dịch vụ mạng không cần thiết nhưng vẫn đảm bảo duy trì hoạt động thường xuyên của hệ thống thông tin.
2. Các cơ quan phải tổ chức quản lý định danh đối với tất cả người dùng tham gia sử dụng hệ thống thông tin của cơ quan.
3. Các cơ quan phải tổ chức quản lý các tài khoản của hệ thống thông tin, bao gồm: Tạo mới, kích hoạt, sửa đổi, vô hiệu hóa và loại bỏ các tài khoản, đồng thời tổ chức kiểm tra các tài khoản của hệ thống thông tin ít nhất 01 lần/01 năm và triển khai các công cụ tự động để hỗ trợ việc quản lý các tài khoản của hệ thống thông tin.
4. Các cơ quan phải triển khai các biện pháp quản lý truy cập vào hệ thống thông tin, bao gồm:
a) Thiết lập cơ chế giới hạn một số hữu hạn lần (không quá 05 lần) đăng nhập sai liên tiếp vào các thành phần của hệ thống thông tin. Nếu liên tục đăng nhập sai vượt quá số lần quy định thì hệ thống phải tự động khóa tài khoản trong một khoảng thời gian nhất định;
b) Thực hiện theo dõi, giám sát, điều khiển tất cả các kết nối truy cập từ xa và ngăn chặn tất cả các kết nối truy cập từ xa trái phép vào hệ thống thông tin của cơ quan;
c) Sử dụng chứng thực và mã hóa để bảo vệ truy cập không dây tới hệ thống thông tin của cơ quan, đồng thời triển khai các biện pháp theo dõi, giám sát, điều khiển, cho phép, hạn chế hoặc ngăn chặn các truy cập mạng không dây trái phép;
d) Ghi nhận và lưu giữ trong một khoảng thời gian nhất định các sự kiện về quá trình đăng nhập, cấu hình, truy xuất hệ thống và các thông tin liên quan vào các bản ghi nhật ký nhằm xác định những sự kiện đã xảy ra, nguồn gốc và các kết quả của sự kiện đó để có cơ chế bảo vệ an toàn thông tin số hiệu quả cho hệ thống thông tin của cơ quan;
đ) Các biện pháp khác theo hướng dẫn của cơ quan quản lý chuyên ngành.
5. Hệ thống thông tin tại các cơ quan, đơn vị phải có cơ chế ngăn chặn hoặc hạn chế các sự cố gây ra do tấn công từ chối dịch vụ bằng cách sử dụng các thiết bị đặt tại biên của mạng để lọc các gói tin nhằm bảo vệ các thiết bị bên trong, tránh bị ảnh hưởng trực tiếp bởi tấn công từ chối dịch vụ.