Câu hỏi: Quản lý tiêu chuẩn, quy chuẩn kỹ thuật về an toàn thông tin như thế nào?

1. Chứng nhận sự phù hợp của hệ thống thông tin với quy chuẩn kỹ thuật an toàn thông tin (chứng nhận hợp quy) là việc xác nhận hệ thống thông tin phù hợp với quy chuẩn kỹ thuật về an toàn thông tin do Bộ Thông tin và Truyền thông ban hành, tiêu chuẩn về an toàn thông tin do Bộ Thông tin và Truyền thông quy định bắt buộc áp dụng.  2. Công bố sự phù hợp của hệ thống thông tin với quy chuẩn kỹ thuật về an toàn thông tin (công bố hợp quy) là việc tổ chức, doanh nghiệp công bố về sự phù hợp của hệ thống thông tin với tiêu chuẩn, quy chuẩn kỹ thuật về an toàn thông tin.  3. Tổ chức, doanh nghiệp sở hữu hệ thống thông tin phải thực hiện việc chứng nhận hợp quy và công bố hợp quy theo quy định của Bộ Thông tin và Truyền thông.  4. Tổ chức chứng nhận hợp quy về an toàn thông tin là đơn vị sự nghiệp hoạt động dịch vụ kỹ thuật được Bộ Thông tin và Truyền thông thừa nhận hoặc chỉ định để thực hiện công tác chứng nhận hợp quy.  5. Bộ Thông tin và Truyền thông quy định cụ thể hoạt động chứng nhận hợp quy, công bố hợp quy về an toàn thông tin; ban hành danh mục các hệ thống thông tin bắt buộc phải chứng nhận hợp quy và công bố hợp quy; chỉ định, thừa nhận tổ chức chứng nhận hợp quy.

1. Việc bảo đảm thông tin là yêu cầu bắt buộc trong quá trình thiết kế, xây dựng, vận hành, nâng cấp và hủy bỏ các hạ tầng kỹ thuật của cơ quan nhà nước.  2. Thông tin số thuộc quy định danh mục bí mật nhà nước của các cơ quan nhà nước phải được phân loại, lưu trữ, bảo vệ trên cơ sở quy định của pháp luật về bảo vệ bí mật nhà nước.  3. Cơ quan nhà nước phải xây dựng nội quy bảo đảm an toàn thông tin; có cán bộ phụ trách quản lý an toàn thông; áp dụng, hướng dẫn và kiểm tra định kỳ việc thực hiện các biện pháp bảo đảm cho hệ thống thông tin trên mạng đáp ứng các tiêu chuẩn, quy chuẩn kỹ thuật về an toàn thông tin.  4. Áp dụng quy trình bảo đảm an toàn dữ liệu bao gồm:  a) Lưu trữ dự phòng;  b) Sử dụng mật mã để bảo đảm an toàn và bảo mật dữ liệu trong lưu trữ và giao dịch theo quy định của Nhà nước về mật mã;  c) Quản lý chặt chẽ việc di chuyển các trang thiết bị công nghệ thông tin lưu trữ các thông tin thuộc danh mục bí mật nhà nước;  d) Giám sát các khâu tạo lập, xử lý và hủy bỏ dữ liệu;  đ) Các quy trình bảo đảm an toàn dữ liệu khác.  5. Áp dụng quy trình quản lý an toàn hạ tầng kỹ thuật bao gồm:  a) Các giải pháp bảo vệ nhằm ngăn chặn và phát hiện sớm việc truy cập trái phép vào mạng máy tính hay thiết bị lưu trữ dữ liệu;b) Áp dụng các công nghệ xác thực, cơ chế quản lý quyền truy cập và cơ chế ghi biên bản hoạt động của hệ thống để quản lý và kiểm tra việc truy cập mạng;  c) Kiểm soát chặt chẽ việc cài đặt các phần mềm mới lên máy chủ và máy trạm;  d) Theo dõi thường xuyên tình trạng lây nhiễm và thực hiện loại bỏ phần mềm độc hại khỏi hệ thống;  đ) Các quy trình quản lý an toàn hạ tầng kỹ thuật khác.  6. Điều kiện bảo đảm thực hiện an toàn thông tin:  a) Cán bộ, công chức, viên chức phải nắm vững các quy định của pháp luật và nội quy của cơ quan về an toàn thông tin;  b) Cán bộ kỹ thuật về an toàn thông tin phải được tuyển chọn, đào tạo, huấn luyện, thường xuyên bồi dưỡng nghiệp vụ phù hợp với nhiệm vụ được giao và được tạo điều kiện làm việc phù hợp;  c) Cơ quan nhà nước ưu tiên sử dụng lực lượng kỹ thuật về an toàn thông tin của mình; khi cần thiết có thể sử dụng dịch vụ của các tổ chức bảo đảm an toàn thông tin đủ năng lực được Nhà nước công nhận;  d) Hạ tầng kỹ thuật phải được định kỳ kiểm tra, đánh giá hoặc kiểm định về mặt an toàn thông tin phù hợp các tiêu chuẩn, quy chuẩn kỹ thuật quy định.

1. Nhiệm vụ  a) Duy trì, bảo hành, bảo dưỡng các hệ thống đảm bảo an toàn cho các hệ thống thông tin của đơn vị, ngành theo nhiệm vụ được giao; phối hợp giải quyết các sự cố về an toàn thông tin hệ thống phần mềm, hệ thống thông tin, cơ sở dữ liệu khi có yêu cầu;  b) Thực hiện quy trình thao tác chuẩn phản ứng, xử lý sự cố máy tính;  c) Tham gia thực hiện các chương trình, đề án, dự án về an toàn thông tin của cơ quan, đơn vị;  d) Tham gia hỗ trợ biên soạn các tài liệu hướng dẫn kỹ thuật, quy trình, quy phạm về an toàn thông tin;  đ) Tham gia đề tài nghiên cứu khoa học chuyên ngành an toàn thông tin;  e) Tham gia thực hiện các nhiệm vụ phối hợp về an ninh mạng theo quy định hoặc theo yêu cầu của cơ quan có thẩm quyền.  2. Tiêu chuẩn về năng lực chuyên môn, nghiệp vụ  a) Nắm được chủ trương, đường lối của Đảng, pháp luật và định hướng phát triển, chiến lược, chính sách của ngành an toàn thông tin;  b) Nắm được tình hình và xu thế phát triển của ngành an toàn thông tin trong nước và thế giới; có khả năng tổ chức nghiên cứu, cập nhật, ứng dụng công nghệ mới trong hoạt động nghề nghiệp;  c) Thực hiện có hiệu quả nhiệm vụ theo quy định của pháp luật về an toàn thông tin và các quy định của pháp luật khác có liên quan;  d) Có khả năng làm việc độc lập hoặc làm việc nhóm, có kỹ năng soạn thảo văn bản nghiệp vụ và thuyết trình các vấn đề được giao tham mưu, đề xuất.  3. Tiêu chuẩn về trình độ đào tạo, bồi dưỡng  a) Có bằng tốt nghiệp cao đẳng trở lên các ngành đào tạo về công nghệ thông tin hoặc các ngành gần đào tạo về công nghệ thông tin;  b) Có chứng chỉ bồi dưỡng theo tiêu chuẩn chức danh nghề nghiệp an toàn thông tin.

1. Nhiệm vụ:  a) Chủ trì xây dựng và tổ chức thực hiện các chương trình, đề án, dự án về an toàn thông tin quy mô cấp bộ, ngành hoặc tương đương trở lên;  b) Chỉ đạo tổ chức thiết kế, xây dựng và triển khai phương án bảo đảm an toàn hệ thống thông tin theo cấp độ cho các hệ thống thông tin, cơ sở dữ liệu chuyên ngành, cơ sở dữ liệu tích hợp quy mô quốc gia, toàn ngành, liên ngành, cấp bộ hoặc cho vùng kinh tế hoặc liên tỉnh, tỉnh;  c) Chỉ đạo xây dựng kế hoạch bảo vệ hệ thống thông tin; xây dựng chính sách an toàn thông tin mạng; thực hiện kiểm tra, đánh giá mức độ chấp hành phương án đảm bảo an toàn hệ thống thông tin theo cấp độ đã được phê duyệt;  d) Thẩm định các đề án, dự án về an toàn thông tin cho hệ thống thông tin, cơ sở dữ liệu chuyên ngành, cơ sở dữ liệu tích hợp;  đ) Giải quyết các vấn đề phức tạp về an toàn thông tin; trực tiếp tham gia duy trì, bảo hành, bảo dưỡng các hệ thống đảm bảo an toàn cho các hệ thống thông tin của đơn vị, ngành theo nhiệm vụ được giao; ứng cứu, khắc phục sự cố về an toàn thông tin mạng, gián đoạn hoạt động hạ tầng kỹ thuật, hệ thống thông tin, cơ sở dữ liệu khi có yêu cầu;  e) Chủ trì biên soạn các tài liệu hướng dẫn kỹ thuật, quy chế, quy trình an toàn thông tin; xây dựng chương trình, tài liệu và tập huấn, bồi dưỡng nghiệp vụ cho viên chức an toàn thông tin hạng thấp hơn.  g) Chủ trì hoặc tham gia đề tài nghiên cứu khoa học chuyên ngành an toàn thông tin; tổng kết rút kinh nghiệm chuyên môn, nghiệp vụ, quản lý kỹ thuật và triển khai an toàn thông tin trong thực tiễn;  h) Tham gia thực hiện các nhiệm vụ phối hợp về an ninh mạng theo quy định hoặc theo yêu cầu của cơ quan có thẩm quyền.  2. Tiêu chuẩn về năng lực chuyên môn, nghiệp vụ  a) Am hiểu chủ trương, đường lối của Đảng, pháp luật và định hướng phát triển, chiến lược, chính sách của ngành an toàn thông tin;  b) Thành thạo nghiệp vụ chuyên ngành; am hiểu tình hình và xu thế phát triển của ngành an toàn thông tin trong nước và thế giới; có khả năng tổ chức nghiên cứu, cập nhật, ứng dụng công nghệ, nền tảng và tiêu chuẩn mới trong hoạt động nghề nghiệp;  c) Thực hiện có hiệu quả nhiệm vụ theo quy định của pháp luật về an toàn thông tin và các quy định của pháp luật khác có liên quan;  d) Có năng lực tổ chức chỉ đạo thực hiện nhiệm vụ, có kỹ năng soạn thảo văn bản nghiệp vụ và thuyết trình các vấn đề được giao tham mưu, đề xuất;  đ) Sử dụng được ngoại ngữ hoặc tiếng dân tộc thiểu số (đối với viên chức công tác ở vùng dân tộc thiểu số) theo yêu cầu của vị trí việc làm.  3. Tiêu chuẩn về trình độ đào tạo, bồi dưỡng  a) Có bằng tốt nghiệp đại học trở lên các ngành đào tạo về công nghệ thông tin hoặc các ngành gần đào tạo về công nghệ thông tin;  b) Có chứng chỉ bồi dưỡng theo tiêu chuẩn chức danh nghề nghiệp an toàn thông tin.  4. Yêu cầu đối với viên chức dự thi hoặc xét thăng hạng lên chức danh nghề nghiệp an toàn thông tin hạng I  a) Có thời gian giữ chức danh nghề nghiệp an toàn thông tin hạng II hoặc tương đương tối thiểu là 06 năm (đủ 72 tháng). Trường hợp có thời gian tương đương thì phải có ít nhất 01 năm (đủ 12 tháng) giữ chức danh nghề nghiệp an toàn thông tin hạng II tính đến ngày hết thời hạn nộp hồ sơ đăng ký dự thi hoặc xét thăng hạng;  b) Trong thời gian giữ chức danh nghề nghiệp an toàn thông tin hạng II hoặc tương đương đã chủ trì nghiên cứu, xây dựng ít nhất 02 (hai) đề tài, đề án, dự án, chương trình về lĩnh vực an toàn thông tin cấp nhà nước, cấp bộ, cấp ban, ngành hoặc cấp tỉnh mà đơn vị sử dụng viên chức được giao chủ trì nghiên cứu, xây dựng đã được cấp có thẩm quyền nghiệm thu, ban hành; hoặc chủ trì xây dựng phương án đảm bảo an toàn hệ thống thông tin đối với ít nhất 02 (hai) hệ thống thông tin cấp độ 4,5 được cấp có thẩm quyền phê duyệt; hoặc chủ trì nghiên cứu, phát triển ít nhất 01 (một) sản phẩm, giải pháp an toàn thông tin đạt giải thưởng cấp bộ hoặc tương đương trở lên.

1. Nhiệm vụ:  a) Chủ trì hoặc tham gia xây dựng và tổ chức thực hiện các chương trình, đề án, dự án về an toàn thông tin của cơ quan, đơn vị;  b) Chủ trì hoặc tham gia tổ chức thiết kế, xây dựng và triển khai phương án bảo đảm an toàn hệ thống thông tin theo cấp độ cho các hệ thống thông tin, cơ sở dữ liệu chuyên ngành, cơ sở dữ liệu tích hợp quy mô quốc gia, toàn ngành, liên ngành, cấp bộ hoặc cho vùng kinh tế hoặc liên tỉnh, tỉnh;  c) Chủ trì hoặc tham gia xây dựng kế hoạch bảo vệ hệ thống thông tin; thực hiện kiểm tra, đánh giá mức độ chấp hành phương án đảm bảo an toàn hệ thống thông tin theo cấp độ đã được phê duyệt;  d) Thẩm định các đề án, dự án về an toàn thông tin cho hệ thống thông tin, cơ sở dữ liệu chuyên ngành, cơ sở dữ liệu tích hợp;  đ) Giải quyết các vấn đề phức tạp về an toàn thông tin; trực tiếp tham gia duy trì, bảo hành, bảo dưỡng các hệ thống đảm bảo an toàn cho các hệ thống thông tin của đơn vị, ngành theo nhiệm vụ được giao; ứng cứu, khắc phục sự cố về an toàn thông tin mạng, gián đoạn hoạt động hạ tầng kỹ thuật, hệ thống phần mềm, hệ thống thông tin, cơ sở dữ liệu khi có yêu cầu;  e) Chủ trì hoặc tham gia biên soạn các tài liệu hướng dẫn kỹ thuật, quy chế, quy trình, quy phạm về an toàn thông tin; xây dựng chính sách an toàn thông tin; xây dựng chương trình, tài liệu và tập huấn, bồi dưỡng nghiệp vụ cho viên chức an toàn thông tin hạng thấp hơn;  g) Chủ trì hoặc tham gia đề tài nghiên cứu khoa học chuyên ngành an toàn thông tin; tổng kết rút kinh nghiệm chuyên môn, nghiệp vụ, quản lý kỹ thuật và triển khai an toàn thông tin trong thực tiễn;  h) Tham gia xây dựng các định mức kinh tế - kỹ thuật trong phân tích, thiết kế và triển khai các hệ thống an toàn thông tin;  i) Tham gia thực hiện các nhiệm vụ phối hợp về an ninh mạng theo quy định hoặc theo yêu cầu của cơ quan có thẩm quyền.  2. Tiêu chuẩn về năng lực chuyên môn, nghiệp vụ:  a) Nắm vững chủ trương, đường lối của Đảng, pháp luật và định hướng phát triển, chiến lược, chính sách của ngành an toàn thông tin;  b) Thành thạo nghiệp vụ chuyên ngành; nắm vững tình hình và xu thế phát triển của ngành an toàn thông tin trong nước và thế giới; có khả năng tổ chức nghiên cứu, cập nhật, ứng dụng công nghệ, nền tảng và tiêu chuẩn mới trong hoạt động nghề nghiệp;  c) Thực hiện có hiệu quả nhiệm vụ theo quy định của pháp luật về an toàn thông tin và các quy định của pháp luật khác có liên quan;  d) Có khả năng làm việc độc lập hoặc làm việc nhóm, có kỹ năng soạn thảo văn bản nghiệp vụ và thuyết trình các vấn đề được giao tham mưu, đề xuất;  đ) Sử dụng được ngoại ngữ hoặc tiếng dân tộc thiểu số (đối với viên chức công tác ở vùng dân tộc thiểu số) theo yêu cầu của vị trí việc làm.  3. Tiêu chuẩn về trình độ đào tạo, bồi dưỡng:  a) Có bằng tốt nghiệp đại học trở lên các ngành đào tạo về công nghệ thông tin hoặc các ngành gần đào tạo về công nghệ thông tin;  b) Có chứng chỉ bồi dưỡng theo tiêu chuẩn chức danh nghề nghiệp an toàn thông tin.  4. Yêu cầu đối với viên chức dự thi hoặc xét thăng hạng lên chức danh nghề nghiệp an toàn thông tin hạng II  a) Có thời gian giữ chức danh nghề nghiệp an toàn thông tin hạng III hoặc tương đương tối thiểu là 09 năm (đủ 108 tháng, không kể thời gian tập sự, thử việc). Trường hợp có thời gian tương đương thì phải có ít nhất 01 năm (đủ 12 tháng) giữ chức danh nghề nghiệp an toàn thông tin hạng III tính đến ngày hết thời hạn nộp hồ sơ đăng ký dự thi hoặc xét thăng hạng;  b) Trong thời gian giữ chức danh nghề nghiệp an toàn thông tin hạng III hoặc tương đương đã chủ trì hoặc tham gia nghiên cứu, xây dựng ít nhất 02 (hai) đề tài, đề án, dự án, chương trình về lĩnh vực an toàn thông tin từ cấp cơ sở trở lên mà đơn vị sử dụng viên chức được giao chủ trì nghiên cứu đã được cấp có thẩm quyền nghiệm thu, ban hành; hoặc chủ trì hoặc tham gia xây dựng phương án đảm bảo an toàn hệ thống thông tin theo cấp độ đối với ít nhất 02 (hai) hệ thống thông tin cấp độ 3 trở lên được cấp có thẩm quyền nghiệm thu; hoặc chủ trì xây dựng ít nhất 02 (hai) quy chế, quy định, quy trình kỹ thuật về an toàn thông tin được cấp có thẩm quyền ban hành; hoặc tham gia nghiên cứu, phát triển ít nhất 01 (một) sản phẩm, giải pháp an toàn thông tin đạt giải thưởng cấp bộ, cấp tỉnh hoặc tương đương trở lên.

1. Nhiệm vụ:  a) Duy trì, bảo hành, bảo dưỡng các hệ thống đảm bảo an toàn cho các hệ thống thông tin của đơn vị, ngành theo nhiệm vụ được giao; giải quyết các sự cố về an toàn thông tin hệ thống phần mềm, hệ thống thông tin, CSDL khi có yêu cầu;  b) Xây dựng và triển khai phương án bảo đảm an toàn hệ thống thông tin theo cấp độ cho các hệ thống thông tin, cơ sở dữ liệu;  c) Thẩm định các đề án, dự án về an toàn thông tin cho hệ thống thông tin, cơ sở dữ liệu chuyên ngành, cơ sở dữ liệu tích hợp; thực hiện kiểm tra, đánh giá mức độ chấp hành phương án đảm bảo an toàn hệ thống thông tin theo cấp độ đã được phê duyệt;  d) Xây dựng quy trình thao tác chuẩn phản ứng, xử lý sự cố máy tính;  đ) Tham gia xây dựng và tổ chức thực hiện các chương trình, đề án, dự án về an toàn thông tin của cơ quan, đơn vị.  đ) Tham gia biên soạn các tài liệu hướng dẫn kỹ thuật, quy trình, quy phạm về an toàn thông tin; tập huấn, bồi dưỡng nghiệp vụ cho viên chức an toàn thông tin hạng thấp hơn; xây dựng các định mức kinh tế - kỹ thuật trong phân tích, thiết kế và triển khai các hệ thống an toàn thông tin.  e) Tham gia đề tài nghiên cứu khoa học chuyên ngành an toàn thông tin; tổng kết rút kinh nghiệm chuyên môn, nghiệp vụ, quản lý kỹ thuật và triển khai an toàn thông tin trong thực tiễn;  g) Tham gia thực hiện các nhiệm vụ phối hợp về an ninh mạng theo quy định hoặc theo yêu cầu của cơ quan có thẩm quyền.  2. Tiêu chuẩn về năng lực chuyên môn, nghiệp vụ  a) Nắm được chủ trương, đường lối của Đảng, pháp luật và định hướng phát triển, chiến lược, chính sách của ngành an toàn thông tin;  b) Nắm được tình hình và xu thế phát triển của ngành an toàn thông tin trong nước và thế giới; có khả năng tổ chức nghiên cứu, cập nhật, ứng dụng công nghệ, nền tảng và tiêu chuẩn mới trong hoạt động nghề nghiệp;  c) Thực hiện có hiệu quả nhiệm vụ theo quy định của pháp luật về an toàn thông tin và các quy định của pháp luật khác có liên quan;  d) Có khả năng làm việc độc lập hoặc làm việc nhóm, có kỹ năng soạn thảo văn bản nghiệp vụ và thuyết trình các vấn đề được giao tham mưu, đề xuất;  đ) Sử dụng được ngoại ngữ hoặc tiếng dân tộc thiểu số (đối với viên chức công tác ở vùng dân tộc thiểu số) theo yêu cầu của vị trí việc làm.  3. Tiêu chuẩn về trình độ đào tạo, bồi dưỡng  a) Có bằng tốt nghiệp đại học trở lên các ngành đào tạo về công nghệ thông tin hoặc các ngành gần đào tạo về công nghệ thông tin;  b) Có chứng chỉ bồi dưỡng theo tiêu chuẩn chức danh nghề nghiệp an toàn thông tin.  4. Yêu cầu đối với viên chức dự thi hoặc xét thăng hạng lên chức danh nghề nghiệp an toàn thông tin hạng III Có thời gian giữ chức danh nghề nghiệp an toàn thông tin hạng IV hoặc tương đương tối thiểu là 02 năm (đủ 24 tháng, không kể thời gian tập sự, thử việc). Trường hợp có thời gian tương đương thì phải có ít nhất 01 năm (đủ 12 tháng) giữ chức danh nghề nghiệp an toàn thông tin hạng IV tính đến ngày hết thời hạn nộp hồ sơ đăng ký dự thi hoặc xét thăng hạng.