Điều 10. Tiếp nhận, phát triển và bảo trì hệ thống thông tin
1. Khi đầu tư mới, nâng cấp hệ thống thông tin từ hệ thống hiện có, cơ quan, đơn vị phải tiến hành phân tích các đặc điểm, tiêu chuẩn kỹ thuật yêu cầu an toàn, ANTT của hệ thống, thực hiện đồng thời với quy trình nghiệp vụ của cơ quan, đơn vị nhằm kiểm soát an toàn, ANTT; kiểm soát ANTT được thiết kế, mô tả rõ ràng, đầy đủ ngay từ lúc khởi động thiết kế một dự án CNTT, yêu cầu các bên cung cấp, thi công dự án bảo đảm đúng yêu cầu về an toàn thông tin theo các tiêu chuẩn kỹ thuật của Bộ Thông tin và Truyền thông đã ban hành.
2. Xử lý đúng các ứng dụng nhằm ngăn chặn các lỗi, sai, sử dụng trái phép hoặc sử dụng thông tin sai trong ứng dụng; thực hiện các cơ chế kiểm soát dữ liệu đầu vào hợp lệ, quá trình xử lý bên trong hệ thống và kết xuất thông tin phải bảo đảm chính xác, thích hợp với hoạt động của cơ quan, đơn vị. Để bảo đảm dữ liệu hợp lệ và ngăn chặn các sai sót do nhập vào hệ thống, cần có kiểm tra tự động từ ứng dụng (như vùng hợp lệ dữ liệu, kiểu dữ liệu, dữ liệu không đầy đủ), cần xem xét lại định kỳ các nội dung thông tin quan trọng và xác nhận tính tin cậy và hợp lệ của dữ liệu, bảo đảm tính ràng buộc toàn vẹn dữ liệu khi thiết kế cơ sở dữ liệu.
3. Giao trách nhiệm cho các công chức, viên chức liên quan trong quá trình xử lý nhập thông tin vào hệ thống ứng dụng; tạo nhật ký ghi quá trình nhập dữ liệu vào hệ thống.
4. Kiểm tra xác nhận xử lý dữ liệu bên trong ứng dụng nhằm phát hiện ngăn chặn các chế biến dữ liệu trái phép, hành vi cố ý khác làm mất an toàn thông tin (các yếu tố cần xem xét như sử dụng chức năng thêm, xóa, sửa dữ liệu); sử dụng các chương trình phục hồi thích hợp nhằm phục hồi các xử lý thất bại để bảo đảm chính xác, toàn vẹn của xử lý dữ liệu.
5. Kiểm tra tính xác thực, tính toàn vẹn hoặc bất kỳ tính năng bảo mật dữ liệu đối với phần mềm khác tải về hoặc tải lên, giữa các máy tính trung tâm và máy từ xa; kiểm tra tính hợp lệ của dữ liệu xuất ra từ các ứng dụng, bảo đảm quá trình xử lý thông tin của các ứng dụng là chính xác và hợp lệ.
6. Quản lý mã hóa và khóa phải được áp dụng đối với thông tin tối quan trọng của cơ quan, đơn vị (thông tin lưu trữ và truyền tải qua mạng hay các phương tiện khác) nhằm bảo đảm tính bảo mật, xác thực và ràng buộc toàn vẹn của thông tin bằng các giải thuật, phương pháp được quy định chuẩn do quốc tế và quốc gia công nhận gồm:
a) Giải thuật RSA (Rivest-Shamir-Adleman);
b) Giải thuật băm cho chữ ký số SHA-2 (Secure Hash Algorithm);
c) Mã hóa giải thuật 3DES (Triple Data Encryption Standard);
d) Giải pháp xác thực người sử dụng SAML v2.0 (Security Assertion Markup Language);
đ) An toàn trao đổi bản tin XML (XML Encryption Syntax and Processing);
e) AES: Advanced Encryption Standard;
g) Các giải thuật khác theo chuẩn quy định của Bộ Thông tin và Truyền thông.
7. Bảo đảm an toàn, bảo mật tệp hệ thống và các mã nguồn của phần mềm dự án CNTT: Ban hành quy định, quy trình cài đặt, nâng cấp các phần mềm ứng dụng của cơ quan, đơn vị, hệ điều hành máy chủ, các thư viện của chương trình ứng dụng. Công chức, viên chức chuyên trách về quản trị hệ thống cần được huấn luyện, cập nhật kiến thức, tiêu chuẩn, chức năng của phần mềm được nâng cấp phù hợp với hệ thống hiện tại; lưu trữ an toàn tài liệu tệp cấu hình hệ thống hiện tại, các phiên bản phần mềm ứng dụng trước được lưu trữ như biện pháp dự phòng, có kế hoạch phục hồi lại hoàn toàn trước khi các thay đổi được thực hiện.
8. Khi thay đổi hệ điều hành phiên bản mới hơn cần xem xét tính tương thích với các ứng dụng hiện có, bảo đảm hệ thống hoạt động ổn định, an toàn; kiểm soát chặt chẽ việc nâng cấp, mở rộng các gói phần mềm ứng dụng trong hệ thống (các mô đun chương trình ứng dụng), hạn chế việc thay đổi các gói phần mềm đang sử dụng.
9. Đối với các đối tác cung cấp các chương trình ứng dụng, phần mềm nghiệp vụ cần quy định an toàn, ANTT, chỉ cho phép truy cập vật lý và logic hệ thống khi thực sự cần thiết và có sự chấp thuận của người có thẩm quyền, các hoạt động của đối tác phải được giám sát, quản lý chặt chẽ.
10. Các thông tin (tài khoản cá nhân, dữ liệu quan trọng) không được dùng cho mục đích thử nghiệm chương trình (như ứng dụng cơ sở dữ liệu).
11. Bảo đảm an toàn, ANTT trong quy trình hỗ trợ và phát triển: Phải có quy định kiểm soát khi có sự thay đổi hệ thống, cần phân tích đánh giá tác động của thay đổi phần mềm hệ thống đối với cơ quan, đơn vị, sự thay đổi phải được chấp thuận của người có thẩm quyền.
12. Quản lý lỗ hổng kỹ thuật dễ bị tổn thương cần thực hiện thường xuyên, xem xét phân tích đánh giá các tổn thương kỹ thuật trong hệ thống thông tin nhằm hạn chế rủi ro an toàn thông tin; định nghĩa, thiết lập vai trò và trách nhiệm quản lý các điểm yếu về kỹ thuật bao gồm việc giám sát điểm yếu kỹ thuật, đánh giá các rủi ro tiềm ẩn, theo dõi tài sản và bất cứ trách nhiệm điều phối yêu cầu cần thiết khác. Định kỳ đánh giá, lập báo cáo về các điểm yếu kỹ thuật của các hệ thống CNTT đang sử dụng. Xây dựng giải pháp, hệ thống giám sát, phát hiện, ngăn chặn việc tấn công các điểm yếu kỹ thuật nhằm hạn chế rủi ro ANTT.