Điều 6. Quản lý tài khoản và truy cập
1. Tài khoản người dùng phải được cấp riêng biệt, gắn định danh công vụ; không dùng chung tài khoản nhằm bảo đảm trách nhiệm cá nhân và khả năng truy vết các hoạt động trên hệ thống. Người dùng phải thực hiện đăng xuất tài khoản sau khi kết thúc phiên làm việc; thường xuyên xóa bộ nhớ đệm (cache) và cookie trên trình duyệt.
2. Quy trình cấp quyền, thay đổi quyền và thu hồi quyền truy cập phải được phê duyệt bằng văn bản của cấp có thẩm quyền hoặc qua hệ thống quản lý người dùng tập trung với các bước xác thực rõ ràng.
3. Mật khẩu phải đáp ứng tiêu chuẩn bảo mật (tối thiểu 08 ký tự, gồm chữ hoa, chữ thường, số, ký tự đặc biệt), được thay đổi tối thiểu 03 tháng/lần để giảm thiểu rủi ro bị lộ mật khẩu. Không sử dụng tính năng lưu mật khẩu tự động hoặc đăng nhập tự động trên trình duyệt hay các ứng dụng khác.
4. Tài khoản quản trị hệ thống phải được thiết lập riêng biệt với tài khoản người dùng thông thường và được phân quyền truy cập ở mức cao nhất. Tài khoản này phải sử dụng phương thức xác thực đa yếu tố (MFA) khi đăng nhập hệ thống.
5. Khi cán bộ, công chức, viên chức, người lao động nghỉ việc, luân chuyển hoặc thay đổi nhiệm vụ, cơ quan chủ quản phải thu hồi tài khoản trong thời gian 24 giờ. Bộ phận làm công tác tổ chức cán bộ có trách nhiệm thông báo cho bộ phận Quản trị hệ thống ngay khi có quyết định nhân sự để thực hiện thu hồi tài khoản.