Điều 29. Yêu cầu kỹ thuật về đảm bảo an toàn thông tin trong quản lývận hành, khai thác cơ sở dữ liệu
1. Yêu cầu về phân quyền truy cập
a) Thực hiện quản trị định danh và phân quyền truy cập theo mô hình phù hợp;
b) Ghi nhận và lưu vết mọi thay đổi về phân quyền;
c) Định kỳ rà soát tài khoản, nhóm quyền và thu hồi hoặc khóa quyền truy cập khi không còn phù hợp.
2. Yêu cầu về duy trì và bảo đảm an toàn
a) Cập nhật bản vá bảo mật cho hệ điều hành, cơ sở dữ liệu, ứng dụng, dịch vụ;
b) Phần mềm, dịch vụ được sử dụng phải bảo đảm có nguồn gốc rõ ràng vẫn đang hoạt động;
c) Thực hiện kiểm thử sau khi cập nhật và áp dụng biện pháp thay thế nếu phần mềm, dịch vụ không còn được cập nhật bản nâng cấp, vá lỗi.
3. Yêu cầu về sao lưu
a) Thực hiện sao lưu dữ liệu tối thiểu hàng ngày đối với dữ liệu cốt lõi, quan trọng, bảo đảm khả năng khôi phục khi cần thiết;
b) Việc sao lưu và lưu trữ bản sao thực hiện theo yêu cầu kỹ thuật quy định tại khoản 5 Điều 30 Thông tư này.
4. Yêu cầu về quản trị bảo mật hệ thống thông tin
a) Đảm bảo hệ thống giám sát an toàn thông tin 24/7;
b) Kết nối và chia sẻ cảnh báo với đơn vị chuyên trách khi có dấu hiệu tấn công hoặc sự cố;
c) Việc thiết lập cơ chế, công cụ và cấu hình kỹ thuật giám sát thực hiện theo yêu cầu quy định tại khoản 7 Điều 30 Thông tư này.
5. Yêu cầu về tổ chức kiểm tra, đánh giá an toàn định kỳ
a) Việc tổ chức kiểm tra, đánh giá an toàn định kỳ được thực hiện tối thiểu 01 lần/năm hoặc sau mỗi thay đổi lớn (kiến trúc, nền tảng, tích hợp, dữ liệu);
b) Nội dung kiểm tra, đánh giá bao gồm quét lỗ hổng và kiểm thử xâm nhập phù hợp cấp độ; việc khắc phục các điểm yếu, lỗ hổng trước khi tiếp tục vận hành.
6. Các yêu cầu đối với việc khai thác thông tin, dữ liệu từ cơ sở dữ liệu quốc gia về biến đổi khí hậu
a) Việc khai thác thông tin, dữ liệu từ cơ sở dữ liệu quốc gia về biến đổi khí hậu phải tuân thủ phân quyền truy cập, mục đích sử dụng và quy định bảo mật đã được quy định;
b) Mọi hoạt động khai thác dữ liệu phải được ghi nhật ký đầy đủ, bảo đảm khả năng truy xuất nguồn gốc và kiểm tra khi cần thiết;
c) Không cho phép truy cập trực tiếp vào dữ liệu gốc đối với các đối tượng không có thẩm quyền;
d) Dữ liệu chia sẻ ra ngoài phải được áp dụng biện pháp bảo vệ phù hợp, bao gồm lọc bỏ thông tin không cần thiết, xử lý hoặc mã hóa để đáp ứng yêu cầu bảo mật.