Điều 12. Quy định quản lý kiểm soát truy cập và xác thực
1. Các nguyên tắc kiểm soát truy cập
a) Tất cả các thông tin quan trọng trong hệ thống phải được bảo vệ khỏi truy cập trái phép thông qua chính sách kiểm soát truy cập.
b) Quyền truy cập được thiết lập dựa trên yêu cầu nghiệp vụ và yêu cầu về an toàn thông tin của Trung tâm dữ liệu.
c) Quyền truy cập phải được rà soát, định kỳ.
d) Quyền truy cập phải được loại bỏ khi không còn nhu cầu sử dụng.
đ) Ghi nhật ký, theo dõi giám sát người sử dụng truy cập vào hệ thống thông tin quan trọng.
2. Cấp phát quyền truy cập từ xa hoặc truy cập trực tiếp để sử dụng và khai thác ứng dụng, tài nguyên của Trung tâm dữ liệu phải đảm bảo chặt chẽ, đúng mục đích sử dụng. Khuyến khích sử dụng xác thực 02 lớp (qua tin nhắn, token) để đảm bảo an toàn thông tin mạng. Mỗi người dùng, quản trị viên hệ thống chỉ được cấp một tài khoản và được phân quyền đủ để thực hiện nhiệm vụ được phân công.
3. Lãnh đạo đơn vị vận hành chịu trách nhiệm kiểm tra và vô hiệu tài khoản của quản trị viên hệ thống trên hệ thống trong vòng 01 giờ sau khi quản trị viên hệ thống không còn làm việc.
4. Giới hạn số lần đăng nhập không thành công vào hệ thống là 05 lần. Sau 05 lần không đăng nhập thành công, tài khoản sẽ bị khóa trong 30 phút.
5. Quản trị viên hệ thống có trách nhiệm theo dõi và phát hiện các trường hợp truy cập hệ thống trái phép hoặc hành vi vượt quá giới hạn, báo cáo cho cán bộ quản lý để tiến hành ngăn chặn, thu hồi, khóa quyền truy cập các tài khoản vi phạm.