Điều 5. Các biện pháp quản lý vận hành trong công tác đảm bảo an toàn, an ninh thông tin
1. Đối với các cơ quan, đơn vị:
a) Trang bị đầy đủ các kiến thức bảo mật cơ bản cho cán bộ công chức, viên chức trước khi cho phép truy nhập và sử dụng hệ thống thông tin;
b) Bố trí công chức, viên chức chuyên trách về an toàn hệ thống thông tin (sau đây gọi tắt là công chức, viên chức chuyên trách). Công chức, viên chức chuyên trách được đảm bảo điều kiện học tập, tiếp cận công nghệ, kiến thức an toàn bảo mật thông tin trước khi tiến hành các hoạt động quản lý hay kỹ thuật nghiệp vụ;
c) Xác định và phân bổ kinh phí chi thường xuyên cần thiết cho các hoạt động liên quan đến việc bảo vệ hệ thống thông tin, thông qua việc đầu tư các thiết bị tường lửa, các chương trình chống thư rác, virus máy tính trên các máy trạm, máy chủ, ... và các công việc khác có liên quan đến việc bảo đảm an toàn, an ninh thông tin;
d) Các cơ quan, đơn vị phải bố trí ít nhất 01 máy vi tính riêng, không kết nối mạng nội bộ và mạng internet dùng để quản lý, soạn thảo các tài liệu mật theo quy định;
đ) Người đứng đầu cơ quan Nhà nước phải chịu trách nhiệm về việc ứng dụng công nghệ thông tin thuộc thẩm quyền quản lý của mình;
e) Kiểm tra việc thực hiện các nội dung của Điều 6 Quy chế này.
2. Đối với công chức, viên chức chuyên trách tại các cơ quan đơn vị:
a) Triển khai, thực hiện các nội dung của Điều 6 Quy chế này;
b) Tham mưu chuyên môn và vận hành an toàn hệ thống thông tin của đơn vị, triển khai các biện pháp bảo đảm an toàn, an ninh thông tin cho tất cả công chức, viên chức trong đơn vị mình. Nắm vững và thực hiện nghiêm túc Pháp lệnh Bảo vệ bí mật Nhà nước ngày 28 tháng 12 năm 2000. Thường xuyên tự nghiên cứu, cập nhật các kiến thức về an toàn, an ninh thông tin, nguy cơ tiềm ẩn có thể gây mất mát thông tin và các biện pháp phòng tránh khi tiến hành các hoạt động quản lý hay kỹ thuật nghiệp vụ;
c) Thường xuyên thực hiện việc theo dõi bản ghi nhật ký hệ thống (logfile) và các sự kiện khác có liên quan để đánh giá, báo cáo các rủi ro và mức độ nghiêm trọng các rủi ro đó;
d) Phối hợp chặt chẽ với cơ quan Công an trong công tác phòng ngừa, đấu tranh, ngăn chặn các hoạt động xâm phạm an toàn, an ninh thông tin;
đ) Khi tổ chức cấu hình hệ thống thông tin chỉ cung cấp những chức năng thiết yếu nhất; xác định các chức năng, cổng giao tiếp mạng, giao thức và dịch vụ không cần thiết để cấm hoặc hạn chế sử dụng.
3. Đối với công chức, viên chức:
a) Thường xuyên cập nhật những chính sách, thủ tục an toàn thông tin của đơn vị cũng như thực hiện những hướng dẫn về an toàn, an ninh thông tin của công chức, viên chức chuyên trách;
b) Hạn chế việc sử dụng chức năng chia sẻ tài nguyên (sharing), khi sử dụng chức năng này cần bật thuộc tính bảo mật bằng mật khẩu và thực hiện việc thu hồi chức năng này khi đã sử dụng xong;
c) Các máy tính khi không sử dụng trong thời gian dài (quá 2 giờ làm việc) cần tắt máy hoặc ngưng kết nối mạng, để tránh bị các hacker lợi dụng, sử dụng chức năng điều khiển từ xa dùng máy tính của mình tấn công vào các hệ thống thông tin khác;
d) Khi mở các tập tin đính kèm theo thư điện tử, nếu biết rõ người gửi thư thì phải lưu tập tin vào máy tính rồi quét virus trước khi mở, không được mở các thư điện tử có tập tin đính kèm có nguồn gốc không rõ ràng vì rất có thể có virus, phần mềm gián điệp được đính kèm theo thư;
đ) Phải đặt mật khẩu truy nhập vào máy tính của mình; đồng thời thiết lập chế độ bảo vệ màn hình (screen saver) có sử dụng mật khẩu bảo vệ sau một khoảng thời gian nhất định không sử dụng máy tính. Sử dụng các thiết bị lưu trữ (usb, ổ cứng gắn ngoài, ...) an toàn, đúng cách để phòng ngừa virus, phần mềm gián điệp xâm nhập máy tính.