Điều 15. Điều kiện kết nối với Cơ sở dữ liệu căn cước — Thông tư 117/2026/TT-BCA

a) Hệ thống thông tin của cơ quan, tổ chức đề nghị kết nối với Cơ sở dữ liệu căn cước phải đáp ứng các yêu cầu bảo đảm an ninh mạng hệ thống thông tin theo cấp độ. Việc xác định cấp độ cho hệ thống thông tin tuân thủ quy định tại Nghị định bảo vệ an ninh mạng hệ thống thông tin;

b) Có phương án bảo đảm an ninh mạng, phương án ứng cứu, khắc phục sự cố và phương án bảo vệ dữ liệu, dữ liệu sinh trắc học đã được người đứng đầu cơ quan, tổ chức phê duyệt;

c) Chỉ được kết nối sau khi có văn bản chấp thuận của cơ quan quản lý Cơ sở dữ liệu căn cước thuộc Bộ Công an.

a) Trước khi thực hiện kết nối hoặc khi có sự điều chỉnh, thay đổi về kiến trúc, thiết kế, chức năng, phạm vi khai thác thông tin của hệ thống thông tin đã kết nối, cơ quan, tổ chức phải thực hiện kiểm tra, đánh giá an ninh mạng;

b) Việc kiểm tra, đánh giá phải được thực hiện bắt buộc bằng thiết bị, phần mềm nghiệp vụ chuyên dụng của lực lượng Công an hoặc do lực lượng Công an chỉ định;

c) Chỉ được kết nối hoặc duy trì kết nối sau khi có văn bản xác nhận đáp ứng yêu cầu an ninh mạng của cơ quan có thẩm quyền thuộc Bộ Công an.

a) Việc thiết lập cấu hình bảo mật trên thiết bị hệ thống, máy chủ, ứng dụng và cơ sở dữ liệu; việc vận hành các giải pháp bảo đảm an ninh, an toàn cho hệ thống;

b) Kiểm tra, phát hiện mã độc, lỗ hổng, điểm yếu bảo mật; thử nghiệm xâm nhập đối với hệ thống, máy chủ, ứng dụng và giao diện kết nối;

c) Đánh giá an ninh mạng đối với mã nguồn ứng dụng, đặc biệt là các chức năng liên quan đến truy cập, xử lý, truyền nhận dữ liệu căn cước và dữ liệu sinh trắc học;

d) Đánh giá an ninh, an toàn thông tin phần cứng, thiết bị lưu trữ, thiết bị bảo mật chuyên dụng;

đ) Đánh giá an toàn thiết bị và người sử dụng đầu cuối, bao gồm việc quản lý, cấu hình bảo mật, kiểm soát mã độc, thiết bị lưu trữ, thiết bị ngoại vi, tài khoản, mật khẩu, quyền truy cập và việc chấp hành quy định về bảo mật thông tin, bảo vệ dữ liệu trong quá trình kết nối, truy cập, khai thác hệ thống;

e) Việc ban hành, tổ chức thực hiện các quy chế, chính sách quản lý tài khoản, phân quyền truy cập, quản lý mật khẩu, quản lý nhật ký truy cập; kiểm soát ra, vào khu vực đặt máy chủ; các thỏa thuận, cam kết về trách nhiệm của các chủ thể tham gia quản lý, vận hành, khai thác hệ thống thông tin;

g) Hồ sơ đề xuất cấp độ hệ thống thông tin có yêu cầu kết nối hệ thống Cơ sở dữ liệu về căn cước;

h) An ninh dữ liệu (tạo dữ liệu, truyền đưa dữ liệu, lưu trữ dữ liệu, khai thác, sử dụng dữ liệu, xóa bỏ dữ liệu...).

a) Kiểm tra, đánh giá an ninh mạng của hệ thống thông tin trước khi kết nối và ban hành văn bản xác nhận đủ điều kiện kết nối; trường hợp hệ thống thông tin đã được kết nối, xác thực thông qua nền tảng định danh và xác thực điện tử do Bộ Công an quản lý thì được xem xét miễn kiểm tra theo khoản 2 Điều này;

b) Kiểm tra, đánh giá đột xuất khi phát hiện dấu hiệu mất an ninh mạng, vi phạm quy định về khai thác, sử dụng thông tin căn cước hoặc theo yêu cầu công tác bảo đảm an ninh quốc gia, trật tự, an toàn xã hội;

c) Kiểm tra, đánh giá định kỳ theo quy định của pháp luật đối với các hệ thống thông tin kết nối với Cơ sở dữ liệu căn cước; trừ trường hợp hệ thống thông tin đã chia sẻ trực tuyến dữ liệu giám sát an ninh mạng cho Bộ Công an hoặc đã được cơ quan có thẩm quyền kiểm tra, đánh giá, xác nhận đáp ứng yêu cầu an ninh mạng trong thời hạn không quá 01 năm theo quy định pháp luật về bảo vệ an ninh mạng đối với hệ thống thông tin.