noname002/tmquan-phapdien-moj-gov-vn huggingface dataset:
1. Đơn vị phải phân công nhân sự giám sát, theo dõi hoạt động của hệ thống, phát hiện và xử lý các sự cố kỹ thuật, các cuộc tấn công mạng. 2. Đơn vị phải phân công nhân sự tiếp nhận thông tin, hỗ trợ khách hàng, kịp thời liên lạc với khách hàng khi phát hiện các giao dịch bất thường. 3. Nhân sự quản trị, giám sát và vận hành hệ thống Internet Banking phải tham gia các khóa đào tạo cập nhật kiến thức an ninh, bảo mật hằng năm. 4. Việc cấp phát, phân quyền tài khoản quản trị hệ thống Internet Banking phải đượ
1. Đơn vị không cài đặt, lưu trữ phần mềm phát triển ứng dụng, mã nguồn trên môi trường vận hành. 2. Các máy tính của nhân sự quản trị, giám sát và vận hành phải được đặt trong phân vùng mạng quản trị, được cài đặt phần mềm phòng chống vi rút và phải thiết lập chính sách tự động khóa màn hình sau một khoảng thời gian không sử dụng do đơn vị quy định, nhưng không quá 05 phút. 3. Đơn vị phải thiết lập chính sách cấm truy cập Internet đối với các máy tính của nhân sự quản trị, giám sát và vận hành.
Đơn vị phải thực hiện quản lý các lỗ hổng, điểm yếu của hệ thống Internet Banking với các nội dung cơ bản sau: 1. Có biện pháp phòng, chống, dò tìm phát hiện các thay đổi của website, ứng dụng Internet Banking. 2. Thiết lập cơ chế phát hiện, phòng chống xâm nhập, tấn công mạng vào hệ thống Internet Banking. 3. Phối hợp với các đơn vị quản lý nhà nước, các đối tác công nghệ thông tin kịp thời nắm bắt các sự cố, tình huống mất an toàn, bảo mật thông tin để có biện pháp ngăn chặn kịp thời. 4. Rà soát, kiểm tra
1. Đơn vị phải thiết lập hệ thống giám sát, theo dõi hoạt động của hệ thống Internet Banking. 2. Đơn vị phải xây dựng các tiêu chí và phần mềm để xác định các giao dịch bất thường dựa vào thời gian, vị trí địa lý, tần suất giao dịch, số tiền giao dịch, số lần đăng nhập sai quá quy định và các dấu hiệu bất thường khác. 3. Đơn vị phải bố trí phòng điều khiển tách biệt với khu vực làm việc chung để thực hiện việc quản trị, giám sát, theo dõi hoạt động của hệ thống Internet Banking đáp ứng yêu cầu sau: a) Nhân
Đơn vị phải thiết lập biện pháp ghi nhận, theo dõi và xử lý các sự cố an ninh thông tin. Định kỳ ba tháng một lần đơn vị thực hiện đánh giá, tìm nguyên nhân và chủ động thực hiện các biện pháp phòng tránh tái diễn.
Đơn vị phải xây dựng hệ thống dự phòng thảm hoạ, quy trình, kịch bản đảm bảo hoạt động liên tục cho hệ thống Internet Banking theo quy định của Ngân hàng Nhà nước về đảm bảo an toàn, bảo mật hệ thống công nghệ thông tin trong hoạt động ngân hàng. Ngoài ra, đơn vị phải thực hiện: 1. Phân tích, xác định các tình huống có thể gây mất an ninh thông tin và gián đoạn hoạt động của hệ thống Internet Banking. Xác định, đánh giá mức độ rủi ro, khả năng có thể xảy ra đối với từng tình huống tối thiểu sáu tháng một lầ
1. Đơn vị phải cung cấp thông tin về dịch vụ Internet Banking cho khách hàng trước khi đăng ký sử dụng dịch vụ, tối thiểu gồm: a) Cách thức cung cấp dịch vụ: trên Internet, thiết bị di động, viễn thông. Cách thức truy cập dịch vụ Internet Banking ứng với từng phương tiện truy cập dịch vụ trên Internet, thiết bị di động, viễn thông; b) Hạn mức giao dịch và các biện pháp xác thực giao dịch; c) Điều kiện cần thiết về trang thiết bị khi sử dụng dịch vụ: thiết bị tạo OTP, số điện thoại di động, thư điện tử, chứn
1. Đơn vị phải xây dựng quy trình, tài liệu hướng dẫn cài đặt, sử dụng các phần mềm, ứng dụng, thiết bị thực hiện các giao dịch Internet Banking và cung cấp, hướng dẫn khách hàng sử dụng các quy trình, tài liệu này. 2. Đơn vị phải hướng dẫn khách hàng thực hiện các biện pháp đảm bảo an toàn, bảo mật khi sử dụng dịch vụ Internet Banking, tối thiểu gồm các nội dung sau: a) Bảo vệ bí mật mã khóa bí mật, OTP và không chia sẻ các thiết bị lưu trữ các thông tin này; b) Cách thiết lập mã khóa bí mật và thay đổi mã
Đơn vị phải áp dụng các biện pháp đảm bảo an toàn, bảo mật cơ sở dữ liệu khách hàng, tối thiểu bao gồm: 1. Dữ liệu nhạy cảm của khách hàng khi lưu trữ, truyền trên mạng Internet phải được mã hóa hoặc che dấu. 2. Thiết lập quyền truy cập đúng chức năng, nhiệm vụ cho nhân sự thực hiện nhiệm vụ truy cập dữ liệu khách hàng; có biện pháp giám sát mỗi lần truy cập. 3. Có biện pháp quản lý truy cập, tiếp cận các thiết bị, phương tiện lưu trữ dữ liệu về thông tin khách hàng để phòng chống nguy cơ lộ, lọt thông tin
Các đơn vị cung cấp dịch vụ Internet Banking có trách nhiệm gửi báo cáo bằng văn bản về Ngân hàng Nhà nước Việt Nam (Cục Công nghệ tin học) như sau: 1. Báo cáo cung cấp dịch vụ Internet Banking: a) Thời hạn gửi báo cáo: Tối thiểu 10 ngày làm việc trước khi cung cấp chính thức dịch vụ Internet Banking; b) Nội dung báo cáo: (i) Địa chỉ website hoặc hoặc kho ứng dụng cung cấp dịch vụ; (ii) Các sản phẩm, dịch vụ hiện đang cung cấp; (iii) Ngày cung cấp chính thức; (iv) Đơn vị cung cấp sản phẩm hệ thống Internet
1. Cục Công nghệ tin học có trách nhiệm: a) Theo dõi, tổng hợp báo cáo Thống đốc Ngân hàng Nhà nước tình hình thực hiện việc đảm bảo an toàn, bảo mật hệ thống công nghệ thông tin cung cấp dịch vụ Internet Banking của các đơn vị theo quy định tại Điều 20 Thông tư này; b) Chủ trì, phối hợp với các đơn vị liên quan thuộc Ngân hàng Nhà nước xử lý các vướng mắc phát sinh trong quá trình triển khai thực hiện Thông tư này. 2. Cơ quan Thanh tra, giám sát ngân hàng có trách nhiệm phối hợp với Cục Công nghệ tin học k
1. Kiến trúc logic mạng Ngân hàng Nhà nước: a) Kiến trúc logic mạng cục bộ Ngân hàng Nhà nước bao gồm các lớp chính sau: lớp mạng lõi, lớp mạng phân phối, lớp mạng truy cập; b) Kiến trúc logic mạng cục bộ Ngân hàng Nhà nước tại Trung tâm dữ liệu bao gồm các phân vùng chính sau: phân vùng mạng cho máy chủ nghiệp vụ, phân vùng mạng Internet, phân vùng mạng Intranet, phân vùng mạng Extranet, phân vùng DMZ và phân vùng mạng quản trị; c) Kiến trúc logic mạng cục bộ tại các đơn vị hành chính thuộc cơ cấu tổ chức
1. Mạng Ngân hàng Nhà nước phải được thiết kế, xây dựng có khả năng mở rộng và ứng dụng công nghệ mạng tiên tiến, có tính sẵn sàng cao, đảm bảo an toàn, bảo mật và băng thông đáp ứng nhu cầu hoạt động, nghiệp vụ của Ngân hàng Nhà nước. 2. Mạng Ngân hàng Nhà nước được thiết kế, xây dựng theo định hướng mạng thông minh, ảo hóa hạ tầng mạng để hướng tới tối ưu hóa công tác quản lý, sử dụng tài nguyên mạng và hướng đến hỗ trợ xây dựng điện toán đám mây của Ngân hàng Nhà nước. 3. Mạng Ngân hàng Nhà nước được quả
1. Tài nguyên mạng Ngân hàng Nhà nước gồm: a) Hạ tầng truyền dẫn, các trang thiết bị mạng; b) Hệ thống địa chỉ IP, hệ thống tên miền, tên định danh các thiết bị. 2. Dịch vụ mạng Ngân hàng Nhà nước gồm: dịch vụ truyền dữ liệu, dịch vụ hội nghị truyền hình, dịch vụ giám sát, quản trị mạng và các dịch vụ mạng khác.
1. Mạng Ngân hàng Nhà nước phải được trang bị hệ thống kỹ thuật cho việc quản lý, giám sát mạng nhằm phát hiện, ngăn chặn các truy cập trái phép và đảm bảo an toàn dữ liệu trao đổi trên môi trường mạng. 2. Kết nối mạng giữa các tổ chức bên ngoài với mạng Ngân hàng Nhà nước phải được kiểm soát bởi các hệ thống an ninh mạng và tuân thủ quy định của Ngân hàng Nhà nước về an toàn hệ thống thông tin trong hoạt động ngân hàng. 3. Việc kết nối giữa mạng Ngân hàng Nhà nước với các đơn vị cấp trung ương, hội sở chín
1. Hoạt động lắp đặt mới, nâng cấp hoặc sửa chữa mạng cục bộ Ngân hàng Nhà nước phải đáp ứng yêu cầu về kiến trúc mạng Ngân hàng Nhà nước được quy định tại Điều 3 Thông tư này và kiến trúc hạ tầng an ninh bảo mật hệ thống công nghệ thông tin Ngân hàng Nhà nước. 2. Đối với lắp đặt mới và nâng cấp hạ tầng truyền dẫn mạng cục bộ: Các đơn vị quản lý tài sản lập hồ sơ thiết kế hạ tầng truyền dẫn gửi Cục Công nghệ thông tin thẩm định về mặt kỹ thuật trước khi trình cấp có thẩm quyền phê duyệt. 3. Đối với lắp đặt
1. Quy định về bảo trì: a) Mạng cục bộ Ngân hàng Nhà nước tại Trung tâm dữ liệu phải được bảo trì định kỳ tối thiểu 02 lần trong một năm; Mạng cục bộ tại các đơn vị hành chính thuộc cơ cấu tổ chức của Ngân hàng Nhà nước phải được bảo trì định kỳ tối thiểu 01 lần trong một năm; b) Việc thực hiện bảo trì không được làm gián đoạn và ảnh hưởng đến hoạt động nghiệp vụ của Ngân hàng Nhà nước; c) Quá trình bảo trì phải được ghi nhật ký về tình trạng hoạt động trước và sau khi bảo trì; d) Đối với các trang thiết bị
1. Các thiết bị đầu cuối chỉ được phép kết nối vào lớp mạng truy cập. 2. Cục Công nghệ thông tin quy định việc cấp phát, sử dụng thống nhất địa chỉ IP, tên định danh các trang thiết bị và kiểm soát các thiết bị kết nối vào mạng cục bộ Ngân hàng Nhà nước.
1. Hàng năm, Cục Công nghệ thông tin lập kế hoạch lắp đặt mới hoặc nâng cấp mạng diện rộng trình cấp có thẩm quyền phê duyệt. Cục Công nghệ thông tin thực hiện lắp đặt mới và nâng cấp mạng diện rộng theo kế hoạch đã được phê duyệt. 2. Cục Công nghệ thông tin đầu mối tổ chức thực hiện việc sửa chữa các trang thiết bị mạng diện rộng Ngân hàng Nhà nước.
1. Quy định về bảo trì: a) Mạng diện rộng phải được bảo trì định kỳ tối thiểu 02 lần một năm, gồm 01 lần bảo trì tại chỗ và 01 lần bảo trì từ xa; b) Việc bảo trì mạng diện rộng không được làm gián đoạn và ảnh hưởng đến hoạt động nghiệp vụ của Ngân hàng Nhà nước; c) Quá trình bảo trì phải thực hiện theo đúng kịch bản được phê duyệt, ghi nhật ký về tình trạng hoạt động trước và sau khi bảo trì; d) Cục Công nghệ thông tin xây dựng kế hoạch, phương án bảo trì, chủ trì và thông báo cho các đơn vị quản lý tài sản
Cục Công nghệ thông tin chịu trách nhiệm: 1. Quản trị và kiểm soát tập trung mạng diện rộng Ngân hàng Nhà nước. 2. Xây dựng, cập nhật và lưu trữ tài liệu thiết kế và bản vẽ hoàn công mạng diện rộng khi lắp đặt mới, nâng cấp hoặc sửa chữa. 3. Ghi nhật ký hoạt động hàng ngày và lập báo cáo đánh giá tổng thể hệ thống mạng diện rộng định kỳ 01 lần trong sáu tháng.
1. Ngân hàng Nhà nước (Cục Công nghệ thông tin) thống nhất quản lý phương thức kết nối và dải địa chỉ IP đối với các thiết bị đầu cuối của các tổ chức bên ngoài khi kết nối với mạng Ngân hàng Nhà nước. 2. Các tổ chức bên ngoài thực hiện kết nối, thay đổi kết nối với mạng Ngân hàng Nhà nước theo quy định tại Điều 15 Thông tư này; hủy kết nối với mạng Ngân hàng Nhà nước theo quy định tại Điều 16 Thông tư này. 3. Trường hợp bổ sung thiết bị, thay đổi đường truyền, các tổ chức bên ngoài gửi văn bản, tài liệu th
1. Tuân thủ các quy định về kết nối mạng Ngân hàng Nhà nước. 2. Đảm bảo an toàn bảo mật theo quy định về an toàn hệ thống thông tin trong hoạt động của Ngân hàng Nhà nước đối với các thiết bị đầu cuối, thiết bị mạng và đường truyền kết nối với mạng Ngân hàng Nhà nước. 3. Có đủ trang thiết bị kỹ thuật để kết nối mạng và đảm bảo an toàn bảo mật thông tin trên đường truyền theo quy định hiện hành của Ngân hàng Nhà nước. 4. Có đội ngũ cán bộ kỹ thuật có trình độ, khả năng quản trị các thiết bị đầu cuối kết nối,
1. Tổ chức bên ngoài có nhu cầu kết nối hoặc thay đổi kết nối với mạng Ngân hàng Nhà nước lập văn bản đề nghị hướng dẫn kết nối, thay đổi kết nối theo Phụ lục 01 kèm theo Thông tư này gửi qua đường bưu điện hoặc nộp trực tiếp tại Ngân hàng Nhà nước (Cục Công nghệ thông tin) hoặc qua cổng dịch vụ công của Ngân hàng Nhà nước. 2. Trong thời hạn 07 ngày làm việc kể từ ngày nhận được văn bản đề nghị, Cục Công nghệ thông tin thông báo đến các đơn vị liên quan và hướng dẫn thực hiện kết nối.
Phụ lục 01 TT 34.2018.
1. Tổ chức bên ngoài không còn nhu cầu kết nối với mạng Ngân hàng Nhà nước, lập văn bản đề nghị hướng dẫn hủy kết nối theo Phụ lục 02 kèm theo Thông tư này gửi qua đường bưu điện hoặc nộp trực tiếp tại Ngân hàng Nhà nước (Cục Công nghệ thông tin) hoặc qua cổng dịch vụ công của Ngân hàng Nhà nước. 2. Trong thời hạn 05 ngày làm việc kể từ ngày nhận được văn bản đề nghị, Công nghệ thông tin thông báo đến các đơn vị liên quan và hướng dẫn thực hiện hủy kết nối.
Phụ lục 02 TT 34.2018.TT.NHNN.docx
1. Các máy tính thuộc mạng cục bộ Ngân hàng Nhà nước kết nối Internet phải thông qua các cổng kết nối tập trung do Cục Công nghệ thông tin thiết lập và quản lý. 2. Các máy tính thuộc mạng cục bộ Ngân hàng Nhà nước kết nối sử dụng hệ thống thông tin có cấp độ từ 3 trở lên của Ngân hàng Nhà nước theo quy định Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ không được kết nối Internet. 3. Trường hợp các đơn vị có máy tính thuộc mạng cục bộ Ngân hàng Nhà nước có nhu cầu kết nối trực tiếp Internet kh
1. Các thiết bị đầu cuối kết nối Internet thông qua cổng kết nối tập trung do Cục Công nghệ thông tin quản lý phải tham gia Domain Ngân hàng Nhà nước, cài đặt các phần mềm phòng, chống mã độc, phần mềm an ninh và được cập nhật bản vá hệ điều hành, các phần mềm khác theo hướng dẫn của Cục Công nghệ thông tin. 2. Người sử dụng kết nối Internet qua cổng kết nối tập trung do Cục Công nghệ thông tin quản lý phải sử dụng tài khoản truy cập do Cục Công nghệ thông tin cấp.
1. Cục Công nghệ thông tin chịu trách nhiệm thiết lập hệ thống an ninh mạng đảm bảo an toàn bảo mật giữa mạng Ngân hàng Nhà nước và Internet. 2. Cục Công nghệ thông tin chịu trách nhiệm quản lý, thiết lập chính sách và kiểm soát các thiết bị thuộc mạng Ngân hàng Nhà nước kết nối ra Internet. 3. Cục Công nghệ thông tin quản lý và cấp phát tài khoản truy cập Internet của người sử dụng. Trong trường hợp cần thiết, để đảm bảo an toàn cho hệ thống mạng Ngân hàng Nhà nước, Cục Công nghệ thông tin có quyền chủ độn
1. Hệ thống mạng không dây kết nối Internet của Ngân hàng Nhà nước phải được thiết kế, xây dựng độc lập với hệ thống mạng Ngân hàng Nhà nước. 2. Cục Công nghệ thông tin quản lý hoạt động của các thiết bị mạng cung cấp dịch vụ không dây kết nối Internet và kiểm soát thiết bị truy cập mạng không dây đến mạng Ngân hàng Nhà nước.
1. Quản lý kỹ thuật mạng Ngân hàng Nhà nước. 2. Quản lý việc cấp phát và sử dụng tài nguyên mạng Ngân hàng Nhà nước trong phạm vi phân cấp quản lý. 3. Theo dõi, giám sát hoạt động của hệ thống mạng Ngân hàng Nhà nước đảm bảo hoạt động liên tục, ổn định và an toàn. 4. Cảnh báo và hướng dẫn các đơn vị Ngân hàng Nhà nước khắc phục các lỗ hổng bảo mật và các nguy cơ rủi ro đến hoạt động của mạng Ngân hàng Nhà nước sau khi phát hiện và đánh giá về mức độ nghiêm trọng. 5. Thông báo cho đơn vị quản lý tài sản tối
1. Tổ chức hướng dẫn và kiểm tra việc sử dụng mạng cục bộ do đơn vị quản lý. 2. Phối hợp với Cục Công nghệ thông tin trong việc kết nối, thay đổi kết nối và hủy kết nối mạng đối với các tổ chức có kết nối về đơn vị mình. 3. Kiểm tra kết nối mạng của các tổ chức bên ngoài với mạng Ngân hàng Nhà nước thông qua cổng kết nối do Cục Công nghệ thông tin thiết lập và quản lý. 4. Phối hợp với Cục Công nghệ thông tin trong công tác quản lý kết nối mạng của các tổ chức bên ngoài có kết nối đến đơn vị. 5. Phân công cá
1. Sử dụng tài nguyên, khai thác thông tin trên mạng Ngân hàng Nhà nước và Internet trong phạm vi cho phép và chịu sự giám sát, kiểm soát của Cục Công nghệ thông tin. 2. Tuân thủ quy định của Ngân hàng Nhà nước về an toàn hệ thống thông tin trong hoạt động ngân hàng và các quy định của pháp luật có liên quan. 3. Tuân thủ các quy định của Ngân hàng Nhà nước và của pháp luật về việc kết nối, sử dụng, khai thác Internet. 4. Chỉ được sử dụng, cài đặt các công cụ, phần mềm theo quy định của Ngân hàng Nhà nước kh
1. Tổ chức có trách nhiệm bảo đảm an toàn thông tin theo nguyên tắc xác định rõ quyền hạn, trách nhiệm từng bộ phận và cá nhân trong tổ chức. 2. Hệ thống thông tin được phân loại theo cấp độ quy định tại Điều 5 Thông tư này và áp dụng chính sách an toàn thông tin phù hợp. 3. Các rủi ro công nghệ thông tin có thể xảy ra trong tổ chức được nhận biết, phân loại, đánh giá kịp thời và xử lý có hiệu quả. 4. Việc xây dựng, triển khai quy chế an toàn thông tin được thực hiện trên cơ sở các quy định tại Thông tư này
Thông tin xử lý, lưu trữ thông qua hệ thống thông tin được phân loại theo thuộc tính bí mật như sau: 1. Thông tin công cộng là thông tin được công khai cho tất cả các đối tượng mà không cần xác định danh tính, địa chỉ cụ thể của các đối tượng đó; 2. Thông tin riêng (hoặc thông tin nội bộ) là thông tin được phân quyền quản lý, khai thác cho một hoặc một nhóm đối tượng được xác định danh tính; 3. Thông tin cá nhân là thông tin định danh khách hàng và các thông tin sau đây: thông tin về tài khoản, thông tin về
1. Đối với hệ thống thông tin cung cấp dịch vụ trực tuyến cho khách hàng, các tổ chức thực hiện phân loại theo quy định tại Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ quy định về bảo đảm an toàn hệ thống thông tin theo cấp độ. Đối với các hệ thống thông tin khác, thực hiện phân loại theo quy định tại khoản 2, 3, 4, 5, 6, 7 Điều này. 2. Hệ thống thông tin cấp độ 1 là hệ thống thông tin phục vụ hoạt động nội bộ của tổ chức và chỉ xử lý thông tin công cộng. 3. Hệ thống thông tin cấp độ 2 là hệ thố
1. Các loại tài sản công nghệ thông tin bao gồm: a) Tài sản thông tin: các dữ liệu, thông tin ở dạng số được xử lý, lưu trữ thông qua hệ thống thông tin; b) Tài sản vật lý: các thiết bị công nghệ thông tin, phương tiện truyền thông, vật mang tin và các thiết bị phục vụ cho hoạt động của hệ thống thông tin; c) Tài sản phần mềm: các phần mềm hệ thống, phần mềm tiện ích, phần mềm lớp giữa, hệ quản trị cơ sở dữ liệu, chương trình ứng dụng, mã nguồn và công cụ phát triển. 2. Tổ chức lập danh sách của tất cả các
1. Với mỗi hệ thống thông tin, tổ chức phải lập danh sách tài sản thông tin, quy định về thẩm quyền, trách nhiệm của cá nhân hoặc bộ phận của tổ chức được tiếp cận, khai thác và quản lý. 2. Tài sản thông tin phải phân loại theo loại thông tin quy định tại Điều 4 Thông tư này. 3. Tài sản thông tin thuộc loại thông tin bí mật phải được mã hóa hoặc có biện pháp bảo vệ để bảo mật thông tin trong quá trình tạo lập, trao đổi, lưu trữ. 4. Tài sản thông tin trên hệ thống thông tin từ cấp độ 3 trở lên phải áp dụng p
1. Tài sản vật lý là thiết bị di động, vật mang tin, ngoài các quy định tại Điều này, phải được quản lý theo quy định tại Điều 11, Điều 12 Thông tư này. 2. Với mỗi hệ thống thông tin do tổ chức trực tiếp quản lý, tổ chức phải lập danh sách tài sản vật lý gồm các thông tin cơ bản sau: tên tài sản, giá trị, vị trí lắp đặt, chủ thể quản lý, mục đích sử dụng, tình trạng sử dụng, hệ thống thông tin tương ứng. 3. Tài sản vật lý phải được giao, gán trách nhiệm cho cá nhân hoặc bộ phận quản lý, sử dụng. 4. Tài sản
1. Với mỗi hệ thống thông tin do tổ chức quản lý trực tiếp phải lập danh sách tài sản phần mềm với các thông tin cơ bản gồm: tên tài sản, giá trị, mục đích sử dụng, phạm vi sử dụng, chủ thể quản lý, thông tin về bản quyền, phiên bản, hệ thống thông tin thành phần (nếu có). 2. Tài sản phần mềm phải được gắn trách nhiệm cho cá nhân hoặc bộ phận quản lý. 3. Tài sản phần mềm phải được tổ chức định kỳ rà soát và cập nhật các bản vá lỗi về an ninh bảo mật. 4. Tài sản phần mềm khi lưu trữ trên vật mang tin phải tu
1. Các thiết bị di động khi kết nối vào hệ thống mạng nội bộ của tổ chức phải được đăng ký để kiểm soát. 2. Giới hạn phạm vi kết nối từ thiết bị di động đến các dịch vụ, hệ thống thông tin của tổ chức; kiểm soát các kết nối từ thiết bị di động tới các hệ thống thông tin được phép sử dụng tại tổ chức. 3. Quy định trách nhiệm của cá nhân trong tổ chức khi sử dụng thiết bị di động để phục vụ công việc. 4. Thiết bị di động được sử dụng để phục vụ công việc phải áp dụng các biện pháp kỹ thuật tối thiểu sau: a) T
Tổ chức phải quản lý sử dụng vật mang tin theo quy định sau: 1. Kiểm soát việc đấu nối, gỡ bỏ vật mang tin với thiết bị thuộc hệ thống thông tin. 2. Triển khai các biện pháp bảo đảm an toàn vật mang tin khi vận chuyển, lưu trữ. 3. Thực hiện biện pháp bảo vệ đối với thông tin bí mật chứa trong vật mang tin. 4. Quy định trách nhiệm của cá nhân trong quản lý, sử dụng vật mang tin.
1. Người đại diện hợp pháp phải trực tiếp tham gia chỉ đạo và có trách nhiệm trong công tác xây dựng chiến lược, kế hoạch về bảo đảm an toàn thông tin, ứng cứu các sự cố an toàn thông tin xảy ra tại tổ chức. 2. Tổ chức chỉ có hệ thống thông tin từ cấp độ 2 trở xuống chỉ định bộ phận có trách nhiệm đảm bảo an toàn thông tin. 3. Tổ chức quản lý trực tiếp hệ thống thông tin từ cấp độ 3 trở lên thực hiện: a) Thành lập hoặc chỉ định bộ phận chuyên trách về an toàn thông tin có chức năng, nhiệm vụ bảo đảm an toàn
Tổ chức tuyển dụng nhân sự và phân công nhiệm vụ theo quy định sau: 1. Xác định trách nhiệm trong việc bảo đảm an toàn thông tin của vị trí cần tuyển dụng hoặc phân công. 2. Xem xét, đánh giá tư cách đạo đức, trình độ chuyên môn thông qua lý lịch, lý lịch tư pháp trước khi phân công nhân sự làm việc tại các vị trí quan trọng của hệ thống thông tin như: vận hành hệ thống thông tin từ cấp độ 3 trở lên hoặc quản trị hệ thống thông tin. 3. Yêu cầu người được tuyển dụng cam kết bảo mật thông tin bằng văn bản riê
1. Bảo vệ bằng tường bao, cổng ra vào hoặc có các biện pháp kiểm soát, hạn chế rủi ro xâm nhập trái phép. 2. Thực hiện các biện pháp phòng chống nguy cơ do cháy nổ, ngập lụt. 3. Các khu vực có yêu cầu cao về an toàn, bảo mật như khu vực lắp đặt máy chủ, thiết bị lưu trữ, thiết bị an ninh bảo mật, thiết bị truyền thông của hệ thống thông tin từ cấp độ 3 trở lên phải được cách ly với khu vực dùng chung, phân phối, chuyển hàng; ban hành nội quy, hướng dẫn làm việc và áp dụng biện pháp kiểm soát ra vào khu vực
Ngoài việc bảo đảm yêu cầu tại Điều 17 Thông tư này, trung tâm dữ liệu phải bảo đảm các yêu cầu sau: 1. Cổng vào ra tòa nhà trung tâm dữ liệu phải có người kiểm soát 24/7. 2. Cửa vào ra trung tâm dữ liệu phải chắc chắn, có khả năng chống cháy, sử dụng ít nhất hai loại khóa khác nhau và phải có biện pháp bảo vệ và giám sát 24/7. 3. Khu vực lắp đặt thiết bị phải được tránh nắng chiếu rọi trực tiếp, chống thấm dột nước, tránh ngập lụt. Khu vực lắp đặt thiết bị của hệ thống thông tin từ cấp độ 3 trở lên phải đư
1. Tài sản vật lý phải được bố trí, lắp đặt tại các địa điểm an toàn và được bảo vệ để giảm thiểu những rủi ro do các đe dọa, hiểm họa từ môi trường và các xâm nhập trái phép. 2. Tài sản vật lý thuộc hệ thống thông tin từ cấp độ 3 trở lên phải được bảo đảm về nguồn điện và các hệ thống hỗ trợ khi nguồn điện chính bị gián đoạn. Phải có biện pháp chống quá tải hay sụt giảm điện áp, chống sét lan truyền; có hệ thống tiếp địa; có hệ thống máy phát điện dự phòng và hệ thống lưu điện bảo đảm thiết bị hoạt động li
1. Tổ chức ban hành các quy trình, tài liệu vận hành đối với hệ thống thông tin từ cấp độ 3 trở lên, tối thiểu bao gồm các nội dung: quy trình bật, tắt hệ thống; quy trình sao lưu, phục hồi dữ liệu; quy trình vận hành ứng dụng; quy trình xử lý sự cố; quy trình giám sát và ghi nhật ký hoạt động của hệ thống. Trong đó phải xác định rõ phạm vi, trách nhiệm của người sử dụng, vận hành hệ thống. Định kỳ tối thiểu mỗi năm một lần, tổ chức thực hiện rà soát, cập nhật, bổ sung các quy trình vận hành hệ thống thông
Tổ chức thực hiện sao lưu dự phòng bảo đảm an toàn dữ liệu như sau: 1. Lập danh sách hệ thống thông tin theo cấp độ quan trọng cần được sao lưu, kèm theo thời gian lưu trữ, định kỳ sao lưu, phương pháp sao lưu và thời gian kiểm tra phục hồi hệ thống từ dữ liệu sao lưu. 2. Dữ liệu của các hệ thống thông tin từ cấp độ 3 trở lên phải có phương án tự động sao lưu phù hợp với tần suất thay đổi của dữ liệu và bảo đảm nguyên tắc dữ liệu phát sinh phải được sao lưu trong vòng 24 giờ; dữ liệu của các hệ thống thông
Khi thực hiện trao đổi thông tin với khách hàng và bên thứ ba, tổ chức có trách nhiệm sau: 1. Ban hành quy định về trao đổi thông tin tối thiểu gồm: loại thông tin trao đổi; quyền và trách nhiệm của cá nhân khi tiếp cận thông tin; phương tiện trao đổi thông tin; biện pháp bảo đảm tính toàn vẹn, bảo mật khi truyền nhận, xử lý, lưu trữ thông tin; chế độ bảo quản thông tin. 2. Khi trao đổi thông tin cá nhân, thông tin nội bộ và thông tin bí mật với bên ngoài, tổ chức phải có văn bản thỏa thuận, xác định trách
1. Hệ thống thông tin cung cấp dịch vụ trực tuyến cho khách hàng phải tuân thủ tiêu chuẩn TCVN 11930:2017 (tiêu chuẩn Công nghệ thông tin – Các kỹ thuật an toàn – Yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ) và các yêu cầu sau: a) Bảo đảm tính toàn vẹn của dữ liệu trao đổi với khách hàng trong giao dịch trực tuyến; b) Dữ liệu trên đường truyền phải bảo đảm tính bí mật và phải được truyền đầy đủ, đúng địa chỉ và có biện pháp bảo vệ để phát hiện các thay đổi hoặc sao chép trái phép; c) Đánh giá c