Điều 4. Những quy định bảo đảm an toàn thông tin mạng
1. Các cơ quan, đơn vị phải phổ biến những kiến thức cơ bản về an toàn thông tin mạng cho cán bộ, công chức, viên chức trước khi tham gia sử dụng hệ thống thông tin mạng.
2. Các cơ quan, đơn vị bố trí công chức, viên chức thực hiện nhiệm vụ hoặc chuyên trách về công nghệ thông tin phải có chuyên ngành phù hợp hoặc tương đương và được đào tạo, bồi dưỡng chuyên môn đối với lĩnh vực an toàn thông tin mạng.
3. Xác định và ưu tiên phân bổ kinh phí cho các hoạt động chuyển đổi số, ứng dụng công nghệ thông tin của các cơ quan, đơn vị cho hạng mục về an toàn thông tin mạng.
4. Cán bộ, công chức, viên chức tham gia đoàn kiểm tra công tác bảo đảm an toàn thông tin mạng phải được trang bị đầy đủ những kiến thức và được tập huấn về công tác bảo đảm an toàn thông tin mạng.
Điều5. Bảo đảm an toàn thông tin mạng các hệ thống thông tin và máy chủ
1. Các hoạt động liên quan đến xây dựng, thiết lập, nâng cấp, mở rộng, quản lý, vận hành hệ thống thông tin phải thực hiện xác định cấp độ và phương án bảo đảm an toàn thông tin mạng theo quy định tại Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ (sau đây viết tắt là Nghị định số 85/2016/NĐ-CP); Thông tư số 12/2022/TT-BTTTT ngày 12 tháng 8 năm 2022 của Bộ trưởng Bộ Thông tin và Truyền thông quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ (sau đây viết tắt là Thông tư số 12/2022/TT-BTTTT).
2. Quản lý, xác định hệ thống thông tin và cấp độ an toàn hệ thống thông tin; thực hiện các yêu cầu bảo đảm an toàn hệ thống thông tin theo cấp độ; thực hiện kiểm tra, đánh giá an toàn thông tin mạng; tiếp nhận và thẩm định hồ sơ đề xuất cấp độ; báo cáo, chia sẻ thông tin thực hiện theo hướng dẫn của Bộ Thông tin và Truyền thông tại Thông tư số 12/2022/TT-BTTTT.
3. Các cơ quan, đơn vị chủ quản hệ thống thông tin phải tổ chức kiểm tra, đánh giá định kỳ về an toàn thông tin mạng của các hệ thống thông tin đang quản lý. Đảm bảo an toàn thông tin mạng cho các hệ thống thông tin theo quy định tại Quyết định số 33/2023/QĐ-UBND ngày 22 tháng 8 năm 2023 của Ủy ban nhân dân tỉnh về ban hành Quy chế quản lý, khai thác và vận hành Trung tâm Giám sát An ninh mạng (SOC) tỉnh Bến Tre.
4. Bảo đảm an toàn mạng
a) Phòng đặt thiết bị công nghệ thông tin (đối với các cơ quan, đơn vị đang quản lý, vận hành các hệ thống thông tin, cơ sở dữ liệu ngành của tỉnh) phải đảm bảo các điều kiện đáp ứng các yêu cầu cơ bản (được bố trí ở khu vực có điều kiện an ninh tốt; khô ráo, có điều hòa không khí; nguồn cung cấp điện ổn định và có nguồn điện dự phòng; có bình chữa cháy hoặc hệ thống tự động cảnh báo, chữa cháy khẩn cấp; phòng, chống sét; có nội quy, quy trình làm việc trong khu vực an toàn bảo mật).
b) Trang bị các thiết bị phần cứng, phần mềm về bảo mật như tường lửa (Firewall), thiết bị phát hiện, phòng, chống xâm nhập trái phép (IDS hoặc IPS); tổ chức mô hình mạng hợp lý, phù hợp với quy mô hệ thống thông tin của cơ quan, đơn vị; cung cấp những chức năng cơ bản cho người dùng; thiết lập các chế độ phân quyền truy cập theo chỉ đạo của Thủ trưởng đơn vị.
c) Hệ thống thông tin của cơ quan, đơn vị phải được triển khai nhiều cơ chế giám sát truy cập từ ngoài vào hệ thống, từ hệ thống gửi ra bên ngoài; ghi lại nhật ký (logfile) ra vào hệ thống để phục vụ công tác khắc phục sự cố, điều tra, phân tích và làm rõ các nguy cơ gây mất an toàn thông tin mạng; Kiểm soát và theo dõi tất cả các phương pháp truy cập từ xa tới hệ thống thông tin, phát hiện sớm việc truy cập trái phép vào mạng máy tính hay thiết bị lưu trữ dữ liệu; Ghi nhận đầy đủ các thông tin trong các bản ghi nhật ký, thời gian lưu trữ các bản ghi nhật ký hệ thống tối thiểu 01 năm.
d) Hệ thống thông tin giới hạn tối đa 05 (năm) lần đăng nhập liên tiếp sai tài khoản người dùng, hệ thống tự động khóa tài khoản hoặc cô lập tài khoản trong một khoảng thời gian nhất định (tối thiểu 24 giờ), để được đăng nhập hệ thống thông tin lần kế tiếp.
đ) Cập nhật và lưu trữ cấu hình chuẩn các thành phần của hệ thống, trước khi tiến hành cài đặt, thiết lập cấu hình lại hệ thống thông tin, đảm bảo duy trì hoạt động của hệ thống thông tin; Kiểm soát quá trình cài đặt trên máy chủ.
e) Hệ thống mạng không dây (wireless) của các cơ quan, đơn vị phải được thiết lập các tham số: tên, nhận dạng dịch vụ (Service Set Identifier - SSID), thiết lập mật khẩu truy cập có độ phức tạp cao (độ dài tối thiểu 8 ký tự và bao gồm chữ hoa, chữ thường trong bảng chữ cái, số và các ký tự đặc biệt), mã hóa dữ liệu theo cơ chế bảo mật WPA2 hoặc WPA3.
g) Mạng riêng ảo (VPN) của các cơ quan, đơn vị kết nối để truy cập vào hệ thống thông tin phải được bảo mật, quản lý và kiểm soát chặt chẽ các kết nối; hủy bỏ kết nối khi không còn sử dụng.
h) Tất cả các tài khoản truy cập vào hệ thống máy chủ, thiết bị mạng, máy tính, các ứng dụng phải được thiết lập mật khẩu; mật khẩu phải được đặt ở mức bảo mật, có độ phức tạp cao (độ dài tối thiểu 08 ký tự và bao gồm chữ hoa, chữ thường trong bảng chữ cái, số và các ký tự đặc biệt); mật khẩu phải thường xuyên thay đổi với tần suất tối thiểu 03 tháng/lần; danh sách tài khoản phải được quản lý, kiểm tra và cập nhật kịp thời; quyền truy cập của tài khoản phải được thiết lập phù hợp cho từng đối tượng.
i) Khuyến khích cài đặt, cấu hình, tổ chức hệ thống mạng nội bộ (LAN) theo mô hình Server-Client, hạn chế sử dụng mô hình mạng ngang hàng. Các cơ quan, đơn vị có nhiều phòng, ban, đơn vị trực thuộc không nằm trong cùng một khu vực, cần thiết lập mạng riêng ảo (VPN) để đảm bảo an toàn thông tin mạng cho mạng nội bộ.
k) Các cơ quan, đơn vị tham gia sử dụng mạng chuyên dùng thực hiện nghiêm túc các nội dung về bảo đảm an toàn thông tin mạng theo quy định về quản lý, vận hành, kết nối, sử dụng và bảo đảm an toàn thông tin trên mạng truyền số liệu chuyên dùng của các cơ quan Đảng, nhà nước.
5. Bảo đảm an toàn thông tin máy chủ
a) Thiết lập ghi lại nhật ký thông tin đăng nhập vào máy chủ, thông tin thay đổi cấu hình, thông tin truy cập dữ liệu và dịch vụ quan trọng trên máy chủ (nếu có).
b) Vô hiệu hóa, đóng tất cả các cổng (port) dịch vụ khi không sử dụng; thiết lập chế độ tự động cập nhật bản vá lỗ hổng bảo mật cho phần mềm hệ điều hành, phần mềm cơ sở dữ liệu được cài đặt trên các máy chủ.
c) Khi kết nối từ xa, nhất là từ Internet vào máy chủ để quản trị, cài đặt phải sử dụng phương thức kết nối có mã hóa như SSH, VPN…