Điều 7. Bảo đảm an toàn hệ thống thông tin thu thập, lưu trữ, xử lý dữ liệu cá nhân
Các hệ thống thông tin của cơ quan, đơn vị, địa phương có thu thập, lưu trữ, xử lý dữ liệu cá nhân phải thực hiện yêu cầu bảo đảm an toàn hệ thống thông tin như sau:
1. Thực hiện bảo đảm an toàn, an ninh mạng đối với hệ thống thông tin theo cấp độ và bảo vệ an ninh mạng đối với các hệ thống thông tin thu thập, lưu trữ, xử lý dữ liệu cá nhân theo đúng quy định của pháp luật về an ninh mạng. Hệ thống thông tin phải đáp ứng các yêu cầu bảo vệ ở cấp độ tương ứng theo quy định hiện hành; tuân thủ các tiêu chuẩn, quy chuẩn kỹ thuật về an ninh mạng. Đối với các hệ thống thông tin do Ủy ban nhân dân thành phố làm chủ quản, thực hiện theo các quy định tại Quy chế bảo đảm an ninh mạng của Ủy ban nhân dân thành phố (nếu có); đối với hệ thống thông tin do cơ quan, đơn vị cấp dưới làm chủ quản hoặc được phân cấp, ủy quyền quản lý theo quy định pháp luật thì thực hiện theo quy chế bảo đảm an ninh mạng của đơn vị chủ quản đó.
2. Áp dụng các biện pháp xác thực, mã hóa để bảo vệ dữ liệu cá nhân trong
quá trình truyền đưa qua các kênh kết nối giữa các hệ thống thông tin với nhau và
giữa người dùng với hệ thống thông tin.
3. Hệ thống thông tin thu thập, lưu trữ, xử lý dữ liệu cá nhân phải có tính
năng ghi và lưu trữ nhật ký hệ thống trong quá trình xử lý dữ liệu cá nhân; khuyến
khích thiết kế để hiển thị trên giao diện người dùng thông tin về căn cứ pháp lý
của việc xử lý dữ liệu cá nhân.
4. Các thành phần, thiết bị, phần mềm, ứng dụng thuộc hệ thống thông tin có chức năng thu thập, lưu trữ, xử lý dữ liệu cá nhân phải được kiểm tra, đánh giá an ninh mạng trước khi đưa vào vận hành và được kiểm tra, đánh giá định kỳ hoặc đột xuất khi có thay đổi cấu hình, phát sinh sự cố, sửa chữa, bảo dưỡng theo yêu cầu của cơ quan có thẩm quyền và phải bao gồm kiểm tra việc tuân thủ quy định pháp luật về bảo vệ dữ liệu cá nhân; kịp thời phát hiện các lỗ hổng bảo mật, điểm yếu trong hệ thống thông tin, triển khai, áp dụng các biện pháp tương ứng để khắc phục, phòng ngừa rủi ro, nguy cơ lộ, mất dữ liệu cá nhân.
5. Không được xử lý dữ liệu cá nhân trên hệ thống thông tin thử nghiệm
hoặc trong quá trình thử nghiệm giải pháp phần mềm, trừ trường hợp được cho
phép theo quy định. Trường hợp cần thử nghiệm, chỉ được phép sử dụng dữ liệu
không phải dữ liệu cá nhân, dữ liệu cá nhân đã được khử nhận dạng hoặc áp dụng
kỹ thuật ẩn danh dữ liệu cá nhân tuân theo quy chuẩn và quy định của pháp luật.
6. Triển khai các giải pháp, phần mềm phòng chống mã độc trên máy chủ và máy trạm của hệ thống thông tin thu thập, lưu trữ, xử lý dữ liệu cá nhân tuân thủ quy định pháp luật về an ninh mạng. Định kỳ bảo trì, bảo dưỡng, nâng cấp phần cứng, phần mềm của hệ thống thông tin. Kịp thời cập nhật các bản vá bảo mật cho hệ điều hành, cơ sở dữ liệu và ứng dụng, duy trì, cải thiện hiệu suất và tính bảo mật của hệ thống.
7. Cơ quan, đơn vị quản lý hệ thống thông tin thu thập, lưu trữ, xử lý dữ
liệu cá nhân có trách nhiệm trang bị và duy trì các hệ thống giám sát an ninh mạng, hệ thống ngăn chặn thất thoát dữ liệu đối với hệ thống thông tin xử lý dữ liệu cá nhân từ cấp độ 3 trở lên để theo dõi liên tục hoạt động của hệ thống mạng, máy chủ. Các hệ thống này phải được cấu hình để phát hiện các hành vi bất thường hoặc truy cập trái phép vào dữ liệu và đưa ra cảnh báo sớm để có biện pháp xử lý kịp thời.
8. Thực hiện xóa an toàn toàn bộ dữ liệu cá nhân trên hệ thống thông tin thu thập, lưu trữ, xử lý dữ liệu cá nhân khi hệ thống kết thúc vận hành, trừ trường hợp được phép lưu trữ theo quy định pháp luật.