Điều 11. Điều kiện kết nối với Cơ sở dữ liệu quốc gia về dân cư
1. Hệ thống thông tin của các cơ quan, tổ chức kết nối với Cơ sở dữ liệu quốc gia về dân cư phải đáp ứng các yêu cầu bảo đảm an ninh mạng hệ thống thông tin theo cấp độ. Việc xác định cấp độ cho hệ thống thông tin tuân thủ quy định tại Nghị định bảo vệ an ninh mạng hệ thống thông tin.
2. Trước khi thực hiện kết nối hoặc sau khi thực hiện kết nối với Cơ sở dữ liệu quốc gia về dân cư mà hệ thống thông tin của các cơ quan, tổ chức có sự điều chỉnh, thay đổi về thiết kế hệ thống thì phải được kiểm tra, đánh giá lại về an ninh mạng. Việc kiểm tra, đánh giá được tiến hành bằng các thiết bị, phần mềm nghiệp vụ của lực lượng Công an nhân dân. Nội dung kiểm tra, đánh giá gồm:
a) Việc thiết lập cấu hình bảo mật trên thiết bị hệ thống, máy chủ, ứng dụng và cơ sở dữ liệu; việc vận hành các giải pháp bảo đảm an ninh, an toàn cho hệ thống;
b) Phát hiện mã độc, lỗ hổng, điểm yếu, thử nghiệm xâm nhập hệ thống đối với thiết bị hệ thống, máy chủ và ứng dụng;
c) An toàn thông tin cho mã nguồn ứng dụng;
d) An ninh, an toàn thông tin phần cứng;
đ) Đánh giá an toàn thiết bị và người sử dụng đầu cuối, bao gồm việc quản lý, cấu hình bảo mật, kiểm soát mã độc, thiết bị lưu trữ, thiết bị ngoại vi, tài khoản, mật khẩu, quyền truy cập và việc chấp hành quy định về bảo mật thông tin, bảo vệ dữ liệu trong quá trình kết nối, truy cập, khai thác hệ thống;
e) Việc ban hành các quy định, chính sách quản lý tài khoản, ra, vào khu vực máy chủ, quản lý mật khẩu các tài khoản quản trị, quản lý truy cập, các văn bản thỏa thuận về quyền, nghĩa vụ, trách nhiệm của chủ thể tham gia quản lý, vận hành, cung cấp dịch vụ đối với hệ thống thông tin;
g) Hồ sơ đề xuất cấp độ hệ thống thông tin có yêu cầu kết nối hệ thống Cơ sở dữ liệu quốc gia về dân cư;
h) An ninh dữ liệu (tạo dữ liệu, truyền đưa dữ liệu, lưu trữ dữ liệu, khai thác, sử dụng dữ liệu, xóa bỏ dữ liệu...).
3. Đối với các hệ thống thông tin quân sự và hệ thống thông tin cơ yếu thuộc Ban Cơ yếu Chính phủ, việc đánh giá, kiểm tra an ninh mạng được thực hiện theo quy định tại Điều 11 Luật An ninh mạng.
4. Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao chủ trì, phối hợp với Cục Kỹ thuật nghiệp vụ, cơ quan quản lý Cơ sở dữ liệu quốc gia về dân cư Bộ Công an và đơn vị có liên quan thực hiện:
a) Kiểm tra, đánh giá an ninh mạng của hệ thống thông tin có yêu cầu kết nối với Cơ sở dữ liệu quốc gia về dân cư trước khi kết nối và có văn bản xác nhận việc bảo đảm an ninh mạng. Trường hợp các hệ thống thông tin có yêu cầu kết nối với Cơ sở dữ liệu quốc gia về dân cư đã được kết nối với nền tảng định danh và xác thực điện tử thì không phải kiểm tra, đánh giá an ninh mạng theo quy định tại khoản 2 Điều này;
b) Kiểm tra, đánh giá đột xuất việc bảo đảm an ninh mạng của hệ thống thông tin quan trọng về an ninh quốc gia kết nối với Cơ sở dữ liệu quốc gia về dân cư theo nội dung quy định tại khoản 2 Điều này;
c) Kiểm tra, đánh giá định kỳ theo quy định của pháp luật bảo đảm an ninh mạng của hệ thống thông tin kết nối với Cơ sở dữ liệu quốc gia về dân cư theo nội dung quy định tại khoản 2 Điều này; trừ hệ thống thông tin quân sự và hệ thống thông tin cơ yếu thuộc Ban Cơ yếu Chính phủ; hệ thống thông tin đã được chia sẻ trực tuyến dữ liệu về giám sát an ninh mạng cho Bộ Công an hoặc hệ thống thông tin đã được cơ quan có thẩm quyền tiến hành kiểm tra, đánh giá, xác nhận việc bảo đảm an ninh, an toàn không quá 01 năm theo quy định pháp luật về bảo vệ an ninh mạng đối với hệ thống thông tin;
d) Trường hợp qua kiểm tra, đánh giá, giám sát thường xuyên hoặc đột xuất phát hiện hệ thống thông tin kết nối với Cơ sở dữ liệu quốc gia về dân cư có dấu hiệu mất an ninh mạng, không còn đáp ứng điều kiện bảo đảm an ninh mạng hoặc vi phạm quy định về kết nối, chia sẻ, khai thác, sử dụng thông tin, Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao có trách nhiệm thông báo, kiến nghị cơ quan quản lý Cơ sở dữ liệu quốc gia về dân cư thuộc Bộ Công an xem xét, quyết định tạm dừng kết nối, yêu cầu khắc phục hoặc xử lý theo quy định của pháp luật.