Điều 11. Quản lý truyền thông và hoạt động
1. Tài liệu quy trình thủ tục hoạt động hệ thống và các phương tiện xử lý thông tin và truyền thông được chuẩn bị, duy trì, cập nhật và phân phối đến tất cả công chức, viên chức có trách nhiệm đối với tài sản CNTT liên quan, gồm các hoạt động: Quy trình khởi động, tắt máy tính; duy trì các phương tiện lưu trữ (sao chép dự phòng, phục hồi dữ liệu); bảo trì thiết bị phần cứng; quản lý, khắc phục sự cố, lỗi xảy ra trong quá trình vận hành thiết bị CNTT; quản lý thông tin nhật ký hệ thống, các quy trình xử lý E-mail an toàn.
2. Các quy trình, tài liệu hướng dẫn vận hành phải được phê duyệt của người quản lý có thẩm quyền, được cập nhật cho phù hợp với điều kiện môi trường, công nghệ thay thế mới.
3. Kiểm soát sự thay đổi các thiết bị hệ thống, phương tiện CNTT và truyền thông (phần cứng, phần mềm, công cụ hỗ trợ chuyên môn) gồm các hoạt động: Nhận dạng và thu thập các thay đổi tiêu chuẩn kỹ thuật của thiết bị, công tác đánh giá tác động tiềm năng do thay đổi đối với hoạt động chung của hệ thống, phổ biến sự thay đổi đến tất cả các cá nhân có liên quan sử dụng hệ thống, xem xét khả năng nâng cấp các phiên bản của ứng dụng, hệ điều hành ảnh hưởng đến hệ thống, ghi chép lại các thay đổi; lập kế hoạch thực hiện và kiểm tra, thử nghiệm sự thay đổi trước khi áp dụng chính thức.
4. Không phát triển, kiểm thử, cài đặt các ứng dụng thử nghiệm trên hệ thống vận hành chính thức để giảm thiểu rủi ro về an toàn thông tin.
5. Bảo đảm quản lý dịch vụ do các đối tác bên ngoài cơ quan cung cấp: Khi đối tác thứ ba cung cấp dịch vụ, cần thỏa thuận bằng các văn bản hợp đồng bảo đảm về ANTT (gia công chuyển đổi, phương tiện xử lý thông tin, hay bất cứ hoạt động liên quan đến tài sản CNTT của cơ quan, đơn vị); giám sát và xem xét lại việc thực hiện cấp độ các dịch vụ để tuân thủ các thỏa thuận hợp đồng, trách nhiệm quản lý liên quan đến đối tác phải gắn với cá nhân được chỉ định và nhóm quản lý.
6. Quản lý các thay đổi đối với các dịch vụ của bên thứ ba cung cấp bao gồm: Nâng cấp phiên bản mới; sử dụng các kỹ thuật mới, các công cụ và môi trường phát triển mới. Đánh giá đầy đủ tác động của việc thay đổi, bảo đảm an toàn khi được đưa vào sử dụng; cập nhật các quy định, tiêu chuẩn an toàn, ANTT mới cho phù hợp với các thay đổi sản phẩm và dịch vụ mới do bên thứ ba cung cấp.
7. Lập kế hoạch hệ thống và chấp nhận hệ thống thông tin (gồm xây dựng hệ thống thông tin mới, nâng cấp, phiên bản ứng dụng mới) cần đáp ứng các yêu cầu cho tương lai về dung lượng, hiệu năng, tính sẵn sàng, thời gian phục hồi khi có sự cố của hệ thống, khả năng mở rộng hệ thống. Thiết lập các yêu cầu hoạt động hệ thống mới cần tài liệu hướng dẫn, chuyển giao công nghệ cho người dùng và kiểm thử trước khi chấp nhận đưa vào sử dụng chính thức.
8. Kiểm soát chống các mã độc bằng các phương tiện giám sát, ngăn chặn; ban hành các quy định chính thức cấm sử dụng các phần mềm trái phép trong hệ thống khi chưa có sự chấp thuận của người thẩm quyền.
9. Chính sách ngăn chặn các virus, trojan, worms lây lan qua mạng Internet, qua tệp dữ liệu sao chép, hay bất cứ phương tiện khác: cài đặt, nâng cấp thường xuyên các phần mềm diệt vi rút; thiết lập các hệ thống an ninh phát hiện, chống xâm nhập (IDS/IPS); kiểm tra, diệt vi rút, mã độc cho toàn bộ hệ thống CNTT của cơ quan, đơn vị hàng ngày và phương tiện mang tin nhận từ bên ngoài trước khi sử dụng. Đối với cổng/trang tin điện tử cần vận hành, kiểm tra ứng dụng Web an toàn, tổ chức tường lửa (firewall) cứng hoặc bằng phần mềm, sử dụng các giao thức SSL để mã hóa kết nối an toàn, đối phó tấn công từ chối dịch vụ (DDoS) cần vô hiệu hóa các hoạt động botnet.
10. Chuẩn bị các kế hoạch duy trì hoạt động liên tục của đơn vị từ các cuộc tấn công, kế hoạch phục hồi và sao chép dữ liệu, phần mềm dự phòng.
11. Nâng cao nhận thức người dùng chỉ truy cập các trang web đáng tin cậy, không tải các tài liệu đính kèm không rõ nguồn từ các trang web lạ.
12. Lập danh sách các dữ liệu, phần mềm cần được sao lưu, có phân loại theo thời gian lưu trữ, thời gian sao lưu, phương pháp sao lưu và thời gian kiểm tra phục hồi hệ thống từ dữ liệu sao lưu.
13. Xây dựng và thực hiện quy trình sao lưu dự phòng dữ liệu, phần mềm, phương pháp phục hồi dữ liệu và phần mềm khi có sự cố hệ thống. Dữ liệu, thiết bị sao lưu dự phòng cần lưu giữ ở nơi an toàn, bảo đảm an ninh.
14. Quản lý an toàn, an ninh mạng cần thực hiện các công tác ngăn chặn các kết nối mạng không có thẩm quyền, ban hành trách nhiệm và các thủ tục truy nhập mạng từ xa (mạng riêng ảo) cho cá nhân được phép; có các cơ chế đặc biệt nhằm bảo vệ dữ liệu, thông tin nhạy cảm của cơ quan, đơn vị truyền tải qua mạng công cộng hoặc kết nối không dây phải được bảo vệ để bảo toàn tính toàn vẹn và bí mật của thông tin; lưu trữ đầy đủ sơ đồ logic và bản vẽ hệ thống mạng.
15. Áp dụng các công nghệ an toàn dịch vụ mạng như mã hóa thông tin, cơ chế xác thực, và các kiểm soát kết nối mạng khác bảo đảm thiết lập, cấu hình đúng các tham số, tính năng yêu cầu an toàn của thiết bị mạng.
16. Xây dựng và ban hành quy định, thủ tục trao đổi thông tin giữa cơ quan, đơn vị với các tổ chức, cá nhân bên ngoài phải bảo đảm an toàn, ANTT như phát hiện tệp đính kèm có mã độc, cơ chế bảo mật truyền thông không dây, trao đổi tài liệu điện tử trên mạng. Xác định trách nhiệm và nghĩa vụ pháp lý đối với các thành phần tham gia.
17. Giao dịch trực tuyến phải được truyền đầy đủ, đúng địa chỉ, tránh bị sửa đổi, tiết lộ hoặc nhân bản một cách trái phép; sử dụng các cơ chế xác thực mạnh, chữ ký số khi tham gia giao dịch, sử dụng các nghi thức truyền thông an toàn.
18. Công chức, viên chức chuyên trách quản trị hệ thống phải duy trì thường xuyên hoạt động giám sát, ghi nhật ký hệ thống CNTT và người dùng; các sự kiện an ninh hệ thống, lỗi truy nhập trùng lắp phải được ghi lại nhằm trợ giúp cho việc điều tra giám sát, khắc phục sự cố về sau. Phải kiểm toán nhật ký hệ thống thường xuyên: Tài khoản người dùng, ngày, giờ, và chi tiết của sự kiện quan trọng như: Đăng nhập và xuất; ghi dấu vết các cố gắng truy xuất (thành công và từ chối) của hệ thống, cơ sở dữ liệu, thay đổi cấu hình hệ thống, các nghi thức và địa chỉ mạng truy nhập. Phương tiện lưu trữ nhật ký hệ thống và thông tin nhật ký phải được bảo vệ an toàn, bảo mật, không được sửa đổi, xóa bỏ.
19. Thiết lập đồng hồ của tất cả các hệ thống xử lý thông tin có liên quan trong một tổ chức, lĩnh vực an ninh nên được đồng bộ với một nguồn thời gian chính xác, đồng bộ.