Điều 25. Yêu cầu nghiệp vụ đối với kiểm soát truy cập
1. Quy định về quản lý truy cập đối với người sử dụng, nhóm người sử dụng, các thiết bị, công cụ sử dụng để truy cập đảm bảo đáp ứng yêu cầu nghiệp vụ và yêu cầu an toàn, bảo mật, bao gồm các nội dung cơ bản sau:
a. Đăng ký, cấp phát, gia hạn và thu hồi quyền truy cập của người sử dụng;
b. Giới hạn và kiểm soát các truy cập sử dụng tài khoản quản trị hệ thống công nghệ thông tin;
c. Quản lý, cấp phát mã khóa bí mật về truy cập mạng, hệ điều hành, truy cập hệ thống thông tin và ứng dụng;
d. Rà soát, kiểm tra, xét duyệt lại quyền truy cập của người sử dụng;
đ) Yêu cầu, điều kiện an toàn, bảo mật đối với các thiết bị, công cụ sử dụng để truy cập.
2. Quy định về quản lý mã khóa bí mật phải đáp ứng các yêu cầu sau:
a. Mã khóa bí mật phải có độ dài từ sáu ký tự trở lên, cấu tạo gồm các ký tự số, chữ hoa, chữ thường và các ký tự đặc biệt khác nếu hệ thống cho phép. Các yêu cầu mã khóa bí mật hợp lệ phải được kiểm tra tự động khi thiết lập mã khóa bí mật;
b. Các mã khóa bí mật mặc định của nhà sản xuất cài đặt sẵn trên các trang thiết bị, phần mềm, cơ sở dữ liệu phải được thay đổi trước khi đưa vào sử dụng;
c. Phần mềm quản lý mã khóa bí mật phải có các chức năng: Thông báo người sử dụng thay đổi mã khóa bí mật sắp hết hạn sử dụng; huỷ hiệu lực của mã khóa bí mật hết hạn sử dụng; cho phép thay đổi ngay mã khóa bí mật bị lộ, có nguy cơ bị lộ hoặc theo yêu cầu của người sử dụng; ngăn chặn việc sử dụng lại mã khóa bí mật cũ trong một khoảng thời gian nhất định.
3. Quy định trách nhiệm người sử dụng khi được cấp quyền truy cập: Sử dụng mã khóa bí mật đúng quy định, giữ bí mật mã khóa bí mật, sử dụng thiết bị, công cụ để truy cập theo đúng quy định, thoát khỏi hệ thống khi không làm việc trên hệ thống hoặc tạm thời không làm việc trên hệ thống.