Điều 7. Bảo đảm an toàn hệ thống thông tin theo cấp độ
1. Người đứng đầu cơ quan, đơn vị trực tiếp chỉ đạo và phụ trách công tác bảo đảm ATTT mạng; chịu trách nhiệm trước pháp luật và Chủ tịch UBND tỉnh nếu để hệ thống thông tin thuộc phạm vi quản lý không bảo đảm ATTT mạng, để xảy ra sự cố nghiêm trọng.
2. Việc đảm bảo an toàn hệ thống thông tin theo cấp độ trong hoạt động của cơ quan, đơn vị phải được thực hiện thường xuyên, liên tục từ khâu thiết kế, xây dựng, vận hành đến khi hủy bỏ; tuân thủ theo tiêu chuẩn, quy chuẩn kỹ thuật của Bộ Thông tin và Truyền thông và các quy định có liên quan khác.
3. Chủ quản hệ thống thông tin có trách nhiệm chỉ đạo, tổ chức thực hiện phương án đảm bảo an toàn hệ thống thông tin theo cấp độ theo quy định tại Nghị định số 85/2016/NĐ-CP.
4. Đơn vị vận hành hệ thống thông tin thực hiện xác định cấp độ và lập hồ sơ đề xuất cấp độ trình cấp có thẩm quyền phê duyệt, đồng thời triển khai kịp thời các phương án đảm bảo ATTT theo hồ sơ cấp độ đã được phê duyệt.
5. Hệ thống thông tin khi được đầu tư xây dựng mới hoặc mở rộng, nâng cấp cần được kiểm thử về tính an toàn, bảo mật trước khi nghiệm thu, bàn giao đưa vào khai thác, sử dụng theo quy định tại điểm b khoản 3 Điều 10 Thông tư số 24/2020/TT-BTTTT ngày 09 tháng 9 năm 2020 của Bộ trưởng Bộ Thông tin và Truyền thông quy định về công tác triển khai, giám sát công tác triển khai và nghiệm thu dự án đầu tư ứng dụng CNTT sử dụng nguồn vốn ngân sách nhà nước.
6. Lưu trữ nhật ký kết nối, chia sẻ, khai thác thông tin với Cơ sở dữ liệu quốc gia về dân cư tuân thủ theo quy định tại khoản 2 Điều 8 Thông tư số 46/2022/TT-BCA ngày 04 tháng 11 năm 2022 của Bộ trưởng Bộ Công an quy định về việc kết nối, chia sẻ và khai thác thông tin giữa cơ sở dữ liệu quốc gia về dân cư với Cơ sở dữ liệu quốc gia, cơ sở dữ liệu chuyên ngành và hệ thống thông tin khác.
7. Hệ thống thông tin có kết nối, chia sẻ và khai thác thông tin với Cơ sở dữ liệu quốc gia về dân cư phải bảo đảm các cơ chế: xác thực đăng nhập; yêu cầu người dùng đặt mật khẩu mạnh; việc thay đổi mật khẩu mặc định, mật khẩu đăng nhập lần đầu không được trùng với mật khẩu mặc định; sau 05 lần đăng nhập mật khẩu không thành công thì hệ thống tự động khóa tài khoản người dùng; mật khẩu được yêu cầu thay đổi định kỳ ít nhất 06 tháng một lần; ngăn chặn tấn công vét cạn mật khẩu (mã Captcha); xác thực đăng nhập 02 lớp hoặc nhiều yếu tố xác thực khi đăng nhập; ghi nhận dấu hiệu bất thường liên quan đến việc sử dụng tài khoản người dùng, quản trị khai thác dữ liệu hệ thống và quy định pháp luật.