Điều 5. Quy trình quản lý, vận hành hệ thống thông tin
1. Cơ quan chủ quản hệ thống thông tin có trách nhiệm ban hành quy trình vận hành cụ thể đối với từng hệ thống thông tin, bao gồm các nội dung chính sau:
a) Quản lý cấu hình, thay đổi và cập nhật hệ thống
Quy trình này phải mô tả rõ ràng các bước để quản lý cấu hình ban đầu của hệ thống, quy trình phê duyệt và thực hiện các thay đổi cấu hình, cũng như quy trình cập nhật phần mềm, bản vá bảo mật và các thành phần khác của hệ thống. Mỗi thay đổi phải được ghi nhận, kiểm soát phiên bản và có khả năng khôi phục về trạng thái trước đó;
b) Quản lý truy cập và nhật ký hệ thống
Quy trình cần xác định rõ cách thức cấp phát, thu hồi quyền truy cập cho người dùng và quản trị viên; các chính sách về mật khẩu, xác thực đa yếu tố. Đồng thời, phải quy định việc thu thập, lưu trữ, phân tích và kiểm tra định kỳ nhật ký hệ thống (log) để phát hiện các hoạt động bất thường hoặc truy cập trái phép;
c) Sao lưu, phục hồi dữ liệu
Quy trình này phải thể hiện chi tiết tần suất sao lưu (hằng ngày, hằng tuần, hằng tháng), phương pháp sao lưu (toàn bộ, gia tăng, khác biệt), nơi lưu trữ bản sao lưu (trung tâm dữ liệu dự phòng, kho lưu trữ an toàn) và quy trình kiểm thử khả năng phục hồi dữ liệu sau sự cố;
d) Giám sát hoạt động và khắc phục sự cố kỹ thuật
Quy trình phải bao gồm các hoạt động giám sát liên tục hiệu năng, trạng thái hoạt động và các chỉ số an toàn của hệ thống. Khi phát hiện sự cố kỹ thuật, quy trình phải hướng dẫn các bước để phân loại sự cố, thông báo, chẩn đoán nguyên nhân, khắc phục và ghi nhận lại toàn bộ quá trình xử lý.
2. Đơn vị vận hành có trách nhiệm:
a) Xác định cấp độ và phương án bảo vệ an ninh mạng đối với hệ thống thông tin đang vận hành theo quy định tại Điều 13 Quy chế này;
b) Đơn vị vận hành phải thiết lập và duy trì hệ thống ghi nhật ký (log) đối với thông tin đăng nhập, hoạt động truy cập dữ liệu, thay đổi cấu hình hệ thống, lỗi và cảnh báo bảo mật phục vụ cho việc giám sát, kiểm tra và điều tra khi có sự cố;
c) Thiết lập và thực hiện quy trình quản lý thay đổi đối với phần mềm, phần cứng và cấu hình hệ thống đảm bảo mọi thay đổi phải được phê duyệt, lưu trữ hồ sơ (bao gồm: lý do, người thực hiện, thời gian, kết quả) và đảm bảo khả năng khôi phục trạng thái ổn định của hệ thống trước khi thay đổi nếu có sự cố phát sinh;
d) Cập nhật bản vá bảo mật, phần mềm hệ thống, trình điều khiển và các dịch vụ định kỳ tối thiểu 01 lần/quý hoặc theo khuyến nghị của nhà sản xuất, cơ quan, tổ chức chuyên môn về an ninh mạng để phòng ngừa các lỗ hổng bảo mật;
đ) Kiểm thử toàn bộ hệ thống sau mỗi lần cập nhật hoặc nâng cấp
Sau mỗi lần thực hiện cập nhật hoặc nâng cấp hệ thống (bao gồm cả phần mềm và phần cứng), đơn vị vận hành phải tiến hành kiểm thử toàn diện để bảo đảm các thay đổi không gây ra lỗi mới, không ảnh hưởng đến chức năng hoạt động bình thường và không tạo ra các lỗ hổng bảo mật tiềm ẩn.
3. Bảo đảm tính sẵn sàng và liên tục:
a) Căn cứ cấp độ an toàn được phê duyệt, các cơ quan, đơn vị phải xây dựng phương án dự phòng bảo đảm tính liên tục của hệ thống thông tin để sẵn sàng chuyển đổi hoạt động khi xảy ra sự cố mất an toàn thông tin;
b) Xây dựng kế hoạch khôi phục khi xảy ra sự cố an ninh mạng để nhanh chóng đưa hệ thống trở lại hoạt động bình thường
Kế hoạch phải được xây dựng chi tiết, bao gồm các bước cụ thể để phục hồi hệ thống và dữ liệu trong trường hợp xảy ra sự cố nghiêm trọng như hỏa hoạn, lũ lụt, tấn công mạng quy mô lớn hoặc các thảm họa tự nhiên khác. Kế hoạch phải xác định rõ vai trò, trách nhiệm của từng cá nhân, đội ngũ, các công cụ và quy trình cần thiết để đưa hệ thống trở lại trạng thái hoạt động bình thường trong thời gian ngắn nhất có thể;
c) Tổ chức kiểm tra hoặc diễn tập phương án khôi phục hệ thống tối thiểu 01 lần/năm để bảo đảm tính khả thi và khả năng sẵn sàng ứng phó khi xảy ra sự cố; kịp thời phát hiện các hạn chế, bất cập để hoàn thiện quy trình ứng cứu sự cố và bảo đảm đội ngũ nhân sự sẵn sàng tham gia ứng cứu khi xảy ra sự cố.