Điều 9. Quản lý điều khiển truy xuất
1. Ban hành chính sách, quy trình quản lý điều khiển truy xuất phù hợp với yêu cầu an toàn, ANTT của cơ quan, đơn vị, bao gồm các nội dung cơ bản sau đây:
a) Đăng ký, cấp phát, gia hạn và thu hồi quyền của nhóm người dùng, người dùng.
b) Nhất quán giữa chính sách kiểm soát truy cập và chính sách phân loại thông tin của các hệ thống thông tin khác nhau.
c) Quản lý quyền truy cập trong môi trường mạng phân tán, mạng nội bộ và các kiểu kết nối mạng sẵn có.
d) Thường xuyên kiểm tra, rà soát định kỳ, phân quyền người dùng gắn với trách nhiệm theo mức độ quan trọng của thông tin, tài sản CNTT.
đ) Quản lý cấp phát và vô hiệu, hủy bỏ mật khẩu người dùng trong trường hợp cần thiết.
e) Đăng ký và đăng ký lại ID người dùng duy nhất gắn với trách nhiệm, vai trò của công chức, viên chức đó đối với tài sản CNTT được quyền truy cập; kiểm tra mức quyền truy cập hệ thống phù hợp với mục đích công việc của đơn vị.
g) Yêu cầu các nhân viên hiểu được các quyền và cam kết thực hiện các điều kiện truy cập.
h) Quản lý quyền truy cập gồm: Hệ điều hành, quản trị cơ sở dữ liệu, ứng dụng của đơn vị.
2. Quản lý mật khẩu người dùng cần ban hành quy trình quản lý chính thức bảo đảm các yêu cầu sau:
a) Quy định rõ trách nhiệm nhân viên đăng ký mật khẩu, ký cam kết giữ bí mật mật khẩu cá nhân và mật khẩu nhóm, sử dụng đúng quy định, không lưu trữ trên máy tính hay phương tiện không được bảo vệ; khi không sử dụng hệ thống cần phải thoát ra khỏi hệ thống.
b) Mật khẩu tạm của thiết bị, sản phẩm CNTT của nhà sản xuất cung cấp hoặc các dịch vụ khác kết nối hệ thống CNTT của cơ quan, đơn vị phải được thay đổi khi đưa vào sử dụng chính thức.
c) Quy định độ dài tối thiểu của mật khẩu trong hệ thống gồm ít nhất 06 ký tự (chữ, số và ký hiệu khác được chấp nhận của hệ thống), cần kiểm tra tính hợp lệ tự động mật khẩu khi đăng ký mật khẩu.
3. Kiểm soát truy xuất mạng và dịch vụ mạng nhằm bảo vệ các truy xuất dịch vụ mạng của người không có thẩm quyền cả bên trong hệ thống của cơ quan, đơn vị và ngoài hệ thống. Cơ quan, đơn vị cần thiết lập cổng giao tiếp mạng nội bộ và mạng khác; các mạng công cộng có cơ chế xác thực hợp lý để bảo vệ truy xuất mạng không hợp lệ. Ban hành các quy định, thủ tục, các điều kiện cần thiết để truy cập mạng và dịch vụ mạng.
4. Sử dụng chứng thực cho các kết nối từ xa bên ngoài mạng vào cơ quan, đơn vị đối với giải pháp mạng riêng ảo, khi kết nối dùng kỹ thuật mã hóa để bảo đảm an toàn, an ninh cho hệ thống.
5. Ban hành chính sách kiểm soát truy cập hệ điều hành máy chủ bảo đảm chứng thực người dùng có thẩm quyền, phù hợp với một chính sách kiểm soát truy cập được xác định gồm: Mỗi người sử dụng hệ điều hành phải có một định danh duy nhất và được xác thực, nhận dạng, lưu dấu vết khi truy cập hệ điều hành, ghi nhận các truy cập thành công và thất bại; sử dụng phương tiện xác thực; quy định thời gian phiên làm việc đối với ứng dụng rủi ro cao, ngắt kết nối khi không làm việc.
6. Kiểm soát chặt chẽ sử dụng các tiện ích hệ thống nhằm bảo đảm an toàn, an ninh hệ thống.
7. Kiểm soát truy cập thông tin và ứng dụng: Phân quyền, nhóm quyền cho việc truy cập các thông tin, ứng dụng quan trọng theo chức năng, quyền hạn của nhân viên phù hợp với yêu cầu chính sách an ninh chung của đơn vị:
a) Cung cấp các chức năng điều khiển người dùng: Ghi, xóa, đọc, thực thi lệnh;
b) Các menu, chức năng của ứng dụng;
c) Bảo đảm thông tin quan trọng đầu ra được chuyển đến người có thẩm quyền.