Điều 17. Bảo đảm an ninh dữ liệu; sao lưu dự phòng và khôi phục
1. Cơ quan, đơn vị xây dựng và tổ chức thực hiện chính sách/quy trình quản lý dữ liệu (phân loại dữ liệu, phân quyền truy cập, lưu trữ, sao lưu, khôi phục, tiêu hủy), bảo đảm tính bí mật, tính toàn vẹn và tính sẵn sàng, trong đó tối thiểu bao gồm: kiểm soát truy cập, ghi nhật ký, mã hóa phù hợp đối với dữ liệu quan trọng/nhạy cảm khi lưu trữ và khi truyền nhận, quản lý khóa mã hóa theo thẩm quyền. Các cơ quan, đơn vị khi thuê dịch vụ cần yêu cầu bên cung cấp dịch vụ thiết lập các giải pháp sao lưu tự động đối với dữ liệu trên máy chủ cơ sở dữ liệu và máy chủ ứng dụng và xây dựng các kịch bản có sẵn để khôi phục lại toàn bộ máy chủ hoặc các tập tin, thư mục khi xảy ra sự cố.
2. Khuyến khích triển khai các giải pháp tăng tính sẵn sàng cho lưu trữ như RAID/nhân bản/cluster… để giảm gián đoạn dịch vụ, lưu ý các cơ chế này không thay thế sao lưu.
3. Đối với công tác sao lưu dự phòng và khôi phục dữ liệu (tần suất sao lưu dự phòng, phương tiện lưu trữ, thời gian lưu trữ, nơi lưu trữ, phương thức lưu trữ và phương thức lấy dữ liệu ra khỏi phương tiện lưu trữ):
a) Lập danh sách các dữ liệu, phần mềm cần được sao lưu, có phân loại theo thời gian lưu trữ, thời gian sao lưu, phương pháp sao lưu và thời gian kiểm tra phục hồi hệ thống từ dữ liệu sao lưu;
b) Xây dựng tài liệu, quy trình hướng dẫn sao lưu/phục hồi dữ liệu: Đơn vị chủ quản hệ thống thông tin thực hiện xây dựng tài liệu hướng dẫn sao lưu cụ thể đối với từng hệ thống cung cấp dịch vụ, hệ thống điều hành mà đơn vị quản lý.
4. Bộ phận hoặc cán bộ chuyên trách/phụ trách về an ninh mạng phối hợp với các cơ quan, đơn vị có liên quan thực hiện phân loại tài sản thông tin, phần mềm, thực hiện quy trình sao lưu dự phòng và phục hồi cho các phần mềm, dữ liệu cần thiết theo quy định, quy trình sao lưu, lưu trữ hiện có. Các nội dung thực hiện gồm: Lập danh sách các dữ liệu (thông tin cấu hình của mạng, máy chủ), phần mềm ứng dụng, cơ sở dữ liệu, tệp tin ghi nhật ký hệ thống được sao lưu, có phân loại theo thời gian lưu trữ, thời gian sao lưu, phương pháp sao lưu và thời gian kiểm tra phục hồi hệ thống từ dữ liệu sao lưu; thực hiện quy trình sao lưu dự phòng và phục hồi.
5. Dữ liệu sao lưu phải được lưu giữ trên Hệ thống lưu trữ dự phòng, thiết bị lưu trữ ngoài và được kiểm tra thường xuyên đảm bảo sẵn sàng cho việc sử dụng khi cần; việc kiểm tra, phục hồi hệ thống từ dữ liệu sao lưu tối thiểu 6 tháng một lần (hoặc khi có yêu cầu đột xuất).
6. Khi thực hiện chia sẻ tài nguyên trên máy chủ hoặc máy trạm, đơn vị vận hành hệ thống thông tin phải sử dụng mật khẩu để bảo vệ thông tin, dữ liệu; không thực hiện chia sẻ toàn bộ ổ cứng; theo dõi, giám sát để kết thúc chia sẻ tài nguyên ngay khi hoàn thành. Các thông tin, tài liệu, dữ liệu nhạy cảm phải được mã hóa trước khi trao đổi, truyền nhận qua mạng máy tính.
7. Thông tin, dữ liệu thuộc phạm vi bí mật nhà nước thực hiện theo pháp luật về bảo vệ bí mật nhà nước; dữ liệu cá nhân thực hiện theo pháp luật về bảo vệ dữ liệu cá nhân và văn bản hướng dẫn thi hành.