Điều 7. Các giải pháp vận hành bảo đảm an toàn thông tin số
1. Công tác bảo đảm an toàn thông tin số
a) Đối với các cơ quan nhà nước:
- Trang bị đầy đủ các kiến thức bảo mật cơ bản cho CBCC-VC trước khi cho phép truy nhập và sử dụng hệ thống thông tin;
- Phân công CBCC-VC chuyên trách CNTT, để quản lý kỹ thuật nghiệp vụ về an toàn thông tin tại đơn vị;
- Thủ trưởng đơn vị tạo điều kiện CBCC-VC chuyên trách CNTT học tập, tiếp thu công nghệ, kiến thức an toàn thông tin;
- Các cá nhân đã chấm dứt hợp đồng, thôi việc, chuyển công tác, … tiến hành hủy các quyền truy cập hệ thống thông tin; thu hồi hoặc hủy các tài sản liên quan tới hệ thống thông tin nếu có (khóa, thẻ nhận dạng,…); đảm bảo việc chuyển đầy đủ quyền truy cập thông tin, dữ liệu số từ các tài khoản cá nhân nêu trên, đến cá nhân khác được giao nhiệm vụ thay thế;
- Hàng năm, xác định các nhiệm vụ bảo đảm an toàn thông tin hệ thống (mở rộng, nâng cấp trang thiết bị; đào tạo, bồi dưỡng kiến thức CNTT, ...), để đề xuất kinh phí đến cơ quan có thẩm quyền hoặc phân bổ kinh phí duy trì hoạt động hệ thống thông tin hiệu quả.
b) Nguồn kinh phí thực hiện nhiệm vụ chuyên môn thuộc công tác bảo đảm an toàn, an ninh thông tin do ngân sách nhà nước bảo đảm, theo quy định của Luật Ngân sách nhà nước và các văn bản pháp luật khác có liên quan.
2. Các giải pháp cơ bản đảm bảo trong vận hành an toàn hệ thống:
a) Hệ thống bảo vệ máy chủ đảm bảo chống sét, hệ thống làm mát,…; đảm bảo cung cấp nguồn điện hoạt động liên tục và ổn định.
b) Quản lý các tài khoản của hệ thống thông tin, tài khoản người dùng bao gồm: Tạo mới, sửa đổi, hủy các tài khoản. Thường xuyên kiểm tra các tài khoản của hệ thống thông tin; triển khai các công cụ để hỗ trợ việc quản lý các tài khoản của hệ thống thông tin;
c) Hệ thống thông tin giới hạn tối đa 03 (ba) lần đăng nhập liên tiếp sai tài khoản người dùng, hệ thống tự động khóa tài khoản hoặc cô lập tài khoản trong một khoảng thời gian nhất định, để được đăng nhập hệ thống thông tin lần kế tiếp;
d) Kiểm soát và theo dõi tất cả các phương pháp truy cập từ xa tới hệ thống thông tin, triển khai nhiều cơ chế giám sát, cam kết từ các truy cập từ xa; phát hiện sớm việc truy cập trái phép vào mạng máy tính hay thiết bị lưu trữ dữ liệu;
đ) Giám sát, kiểm tra truy cập không dây, sử dụng chứng thực, mã hóa để bảo vệ truy cập không dây tới hệ thống thông tin;
e) Thiết lập hệ thống thông tin ghi nhận và lưu vết các sự kiện: Quá trình đăng nhập hệ thống, các thao tác cấu hình hệ thống, quá trình truy xuất hệ thống,...Ghi nhận đầy đủ các thông tin trong các bản ghi nhật ký, thời gian lưu trữ các bản ghi nhật ký hệ thống tối thiểu 01 năm;
g) Cập nhật và lưu trữ cấu hình chuẩn các thành phần của hệ thống, trước khi tiến hành cài đặt, thiết lập cấu hình lại hệ thống thông tin, đảm bảo duy trì hoạt động của hệ thống thông tin; Kiểm soát quá trình cài đặt trên máy chủ;
h) Cấu hình hệ thống thông tin cung cấp những chức năng cơ bản cho người dùng; thiết lập các chế độ phân quyền truy cập theo chỉ đạo của Thủ trưởng đơn vị;
i) Định kỳ sao lưu (backup) thông tin, dữ liệu của đơn vị và lưu trữ thông tin sao lưu ở nơi an toàn theo quy định; thường xuyên kiểm tra thông tin, dữ liệu sao lưu để đảm bảo tính sẵn sàng và toàn vẹn;
k) Triển khai cơ chế phòng, chống vi rút máy tính, các sự cố do tấn công mạng, như: cài đặt tường lửa (firewall), phần mềm diệt vi rút máy tính,....
l) Sử dụng mật khẩu: đặt cho tài khoản sử dụng ở dạng phức tạp (bao gồm chữ hoa, chữ thường trong bảng chữ cái, số hoặc các ký tự đặc biệt), độ dài tối thiểu 8 ký tự. Không tiết lộ, chia sẻ mật khẩu cho người khác, khi kết thúc công việc hoặc chuyển giao máy tính cho người khác sử dụng phải thoát khỏi tài khoản người dùng.