Document: Khoản 2 Điều 1 Quyết định 2409/QĐ-UBND 2014 Đề án Xây dựng áp dụng hệ thống quản lý an toàn thông tin Thừa Thiên Huế

Type: {"issuing_agency": "Tỉnh Thừa Thiên Huế", "promulgation_date": "13/11/2014", "sign_number": "2409/QĐ-UBND", "signer": "Phan Ngọc Thọ", "type": "Quyết định"}
Issuing Agency: {"issuing_agency": "Tỉnh Thừa Thiên Huế", "promulgation_date": "13/11/2014", "sign_number": "2409/QĐ-UBND", "signer": "Phan Ngọc Thọ", "type": "Quyết định"}
Promulgation Date: {"issuing_agency": "Tỉnh Thừa Thiên Huế", "promulgation_date": "13/11/2014", "sign_number": "2409/QĐ-UBND", "signer": "Phan Ngọc Thọ", "type": "Quyết định"}
Sign Number: {"issuing_agency": "Tỉnh Thừa Thiên Huế", "promulgation_date": "13/11/2014", "sign_number": "2409/QĐ-UBND", "signer": "Phan Ngọc Thọ", "type": "Quyết định"}
Signer: {"issuing_agency": "Tỉnh Thừa Thiên Huế", "promulgation_date": "13/11/2014", "sign_number": "2409/QĐ-UBND", "signer": "Phan Ngọc Thọ", "type": "Quyết định"}

Full Text:
Khoản 2 Điều 1 Quyết định 2409/QĐ-UBND 2014 Đề án Xây dựng áp dụng hệ thống quản lý an toàn thông tin Thừa Thiên Huế

Điều 1. Phê duyệt Đề án “Xây dựng và áp dụng hệ thống quản lý an toàn thông tin theo tiêu chuẩn TCVN ISO/IEC 27001:2009 tại Trung tâm Thông tin dữ liệu điện tử - Sở Thông tin và Truyền thông và Trung tâm Tin học hành chính - Văn phòng UBND tỉnh” (gọi tắt là Đề án) với những nội dung chủ yếu sau:
...
2. Giải pháp thực hiện:
- Lựa chọn đơn vị tư vấn đủ năng lực để tư vấn cho Trung tâm Thông tin dữ liệu điện tử và Trung tâm Tin học hành chính xây dựng và áp dụng hệ thống quản lý an ninh thông tin theo tiêu chuẩn ISO 27001 : 2009.
- Lựa chọn nhân sự tham gia xây dựng và áp dụng ISO 27001: do hệ thống quản lý theo tiêu chuẩn ISO 27001 liên quan đến các phạm vi, gồm:
+ Chính sách an ninh;
+ An ninh tổ chức;
+ Quản lý tài sản;
+ An ninh nguồn nhân lực;
+ An ninh vật lý và môi trường;
+ Quản lý vận hành và truyền thông;
+ Kiểm soát truy cập;
+ Tiếp nhận, phát triển và duy trì hệ thống thông tin;
+ Quản lý sự cố, sự tuân thủ.
Mỗi lĩnh vực lại có thể liên quan đến một hay nhiều bộ phận của các Trung tâm nên cần phải lựa chọn nhân sự tham gia xây dựng và triển khai là điều quan trọng để tiếp tục duy trì và vận hành sau này.
III. LỢI ÍCH MANG LẠI
1. Lợi ích trực tiếp
- Giảm thiểu chi phí sửa chữa, bảo trì thiết bị và vận hành hệ thống: quá trình áp dụng sẽ áp các chính sách để kiểm soát việc vận hành tránh được việc tự các đặt các phần mềm không rõ nguồn gốc có thể dẫn đến lỗi phần mềm, hệ điều hành mất thời gian bảo trì, cài đặt lại...
- Các quá trình được tối ưu hóa, được quản lý và kiểm soát một cách có hệ thống: khi xây dựng hệ thống quản lý theo tiêu chuẩn này, các Trung tâm có điều kiện rà soát và tối ưu hóa các quá trình vận hành và tác nghiệp, giúp cán bộ quản lý được chuỗi các quá trình từ đó nâng cao nghiệp vụ quản lý và điều hành.
- Phát hiện được các lỗ hổng của hệ thống thông qua quá trình phân tích và đánh giá rủi ro.
- Phát hiện trước được các nguy cơ có thể xảy ra gây thất thoát, tổn thất cho đơn vị: quá trình này phối hợp với việc phát hiện lỗ hổng ở trên sẽ đánh giá và nhận biết các rủi ro có thể có đối với tài sản thông tin của đơn vị từ đó đề xuất biện pháp kiểm soát thích hợp.
- Đảm bảo duy trì được tính liên tục trong hoạt động chính: từ việc phân tích hệ thống và đánh giá rủi ro, nhiều hoạt động có thể có những nguy cơ gây gián đoạn như: cháy nổ, mất tài liệu, hư hỏng server, bị nhiễm virus, ... do đó đơn vị xây dựng biện pháp nhằm giảm thiểu những vấn đề trên và đảm bảo hoạt động liên tục 24/7.
- Tài sản thông tin của doanh nghiệp được bảo vệ.
- Hệ thống quản lý cũng cung cấp cho đơn vị phương pháp giải quyết các vấn đề an toàn thông tin khi gặp phải, đảm bảo giải quyết nhanh chóng, hiệu quả.
- Tăng sự tin cậy và nhận thức của các bên quan tâm: hệ thống được một bên thứ ba độc lập đánh giá và cấp giấy chứng nhận là một bằng chứng khách quan để tạo lòng tin cho các bên quan tâm.
- Tăng lợi thế, nâng cao uy tín trong cạnh tranh, đấu thầu: hiện nay rất nhiều đơn vị khi mời thầu có đưa vào nội dung doanh nghiệp dự thầu đã xây dựng và áp dụng ISMS và đã đạt chứng chỉ ISO/IEC 27001 do một tổ chức chứng nhận được quốc tế công nhận.
- Việc áp dụng và cải tiến liên tục các quá trình sẽ giúp cho đội ngũ IT làm việc bài bản hơn, khoa học hơn và ứng phó được với các tình huống khẩn cấp.
- Chứng minh được quản lý chuyên nghiệp và ứng phó tốt khi xảy ra sự cố, thảm họa.
- Chứng minh đáp ứng yêu cầu tiêu chuẩn, tuân thủ yêu cầu pháp luật.
2. Lợi ích gián tiếp
- Việc áp dụng các biện pháp kiểm soát sẽ càng ngày càng được cải thiện và bổ sung do nhận thức trong hệ thống này cũng ngày một rõ hơn và lớn lên theo thời gian.
- Với các quá trình được xây dựng thành văn bản, sẽ tạo ra sự minh bạch, rõ ràng trong cách thức và trình tự thực hiện cũng như là trách nhiệm và quyền hạn được định rõ, từ đó các cá nhân tự giác thực hiện các công việc được giao và cũng là cơ sở để xử lý các hành vi vi phạm do vô tình hay cố ý.
- Các kế hoạch và công tác quản lý được cải tiến liên tục.
- Giấy chứng nhận cho hệ thống phù hợp với ISO/IEC 27001 là cơ sở tăng cường niềm tin cho các cơ quan, đơn vị và đối tác là một trong những công cụ cạnh tranh trong ngành.
- Góp phần đảm bảo an toàn an ninh thông tin trong ngành theo định hướng của Chính phủ.
IV. KINH PHÍ THỰC HIỆN
1. Kinh phí dự kiến thực hiện:
- Nguồn kinh phí: Ngân sách tỉnh.
- Tổng mức kinh phí thực hiện tạm tính: 297.000.000 đồng (Hai trăm chín mươi bảy triệu đồng). Giao Sở Thông tin và Truyền thông lập dự toán, gửi Sở Tài chính thẩm định trình UBND tỉnh phê duyệt.
2. Thời gian thực hiện:
Từ năm 2014 đến năm 2015.
V. TỔ CHỨC THỰC HIỆN:
1. Sở Thông tin và Truyền Thông: chủ trì, phối hợp các cơ quan liên quan theo dõi việc triển khai thực hiện Đề án, định kỳ hàng tháng tổng hợp báo cáo kết quả thực hiện cho UBND tỉnh; đảm bảo việc thực hiện Đề án theo đúng lộ trình xây dựng và áp dụng chứng nhận ISO 27001.
2. Trung tâm Thông tin dữ liệu điện tử, Trung tâm Tin học hành chính phối hợp với đơn vị triển khai để đảm bảo hai Trung tâm tâm xây dựng và áp dụng hệ thống quản lý an toàn thông tin theo tiêu chuẩn TCVN ISO/IEC 27001:2009.

Content:
Giải pháp thực hiện:
- Lựa chọn đơn vị tư vấn đủ năng lực để tư vấn cho Trung tâm Thông tin dữ liệu điện tử và Trung tâm Tin học hành chính xây dựng và áp dụng hệ thống quản lý an ninh thông tin theo tiêu chuẩn ISO 27001 : 2009.
- Lựa chọn nhân sự tham gia xây dựng và áp dụng ISO 27001: do hệ thống quản lý theo tiêu chuẩn ISO 27001 liên quan đến các phạm vi, gồm:
+ Chính sách an ninh;
+ An ninh tổ chức;
+ Quản lý tài sản;
+ An ninh nguồn nhân lực;
+ An ninh vật lý và môi trường;
+ Quản lý vận hành và truyền thông;
+ Kiểm soát truy cập;
+ Tiếp nhận, phát triển và duy trì hệ thống thông tin;
+ Quản lý sự cố, sự tuân thủ.
Mỗi lĩnh vực lại có thể liên quan đến một hay nhiều bộ phận của các Trung tâm nên cần phải lựa chọn nhân sự tham gia xây dựng và triển khai là điều quan trọng để tiếp tục duy trì và vận hành sau này.
III. LỢI ÍCH MANG LẠI
1. Lợi ích trực tiếp
- Giảm thiểu chi phí sửa chữa, bảo trì thiết bị và vận hành hệ thống: quá trình áp dụng sẽ áp các chính sách để kiểm soát việc vận hành tránh được việc tự các đặt các phần mềm không rõ nguồn gốc có thể dẫn đến lỗi phần mềm, hệ điều hành mất thời gian bảo trì, cài đặt lại...
- Các quá trình được tối ưu hóa, được quản lý và kiểm soát một cách có hệ thống: khi xây dựng hệ thống quản lý theo tiêu chuẩn này, các Trung tâm có điều kiện rà soát và tối ưu hóa các quá trình vận hành và tác nghiệp, giúp cán bộ quản lý được chuỗi các quá trình từ đó nâng cao nghiệp vụ quản lý và điều hành.
- Phát hiện được các lỗ hổng của hệ thống thông qua quá trình phân tích và đánh giá rủi ro.
- Phát hiện trước được các nguy cơ có thể xảy ra gây thất thoát, tổn thất cho đơn vị: quá trình này phối hợp với việc phát hiện lỗ hổng ở trên sẽ đánh giá và nhận biết các rủi ro có thể có đối với tài sản thông tin của đơn vị từ đó đề xuất biện pháp kiểm soát thích hợp.
- Đảm bảo duy trì được tính liên tục trong hoạt động chính: từ việc phân tích hệ thống và đánh giá rủi ro, nhiều hoạt động có thể có những nguy cơ gây gián đoạn như: cháy nổ, mất tài liệu, hư hỏng server, bị nhiễm virus, ... do đó đơn vị xây dựng biện pháp nhằm giảm thiểu những vấn đề trên và đảm bảo hoạt động liên tục 24/7.
- Tài sản thông tin của doanh nghiệp được bảo vệ.
- Hệ thống quản lý cũng cung cấp cho đơn vị phương pháp giải quyết các vấn đề an toàn thông tin khi gặp phải, đảm bảo giải quyết nhanh chóng, hiệu quả.
- Tăng sự tin cậy và nhận thức của các bên quan tâm: hệ thống được một bên thứ ba độc lập đánh giá và cấp giấy chứng nhận là một bằng chứng khách quan để tạo lòng tin cho các bên quan tâm.
- Tăng lợi thế, nâng cao uy tín trong cạnh tranh, đấu thầu: hiện nay rất nhiều đơn vị khi mời thầu có đưa vào nội dung doanh nghiệp dự thầu đã xây dựng và áp dụng ISMS và đã đạt chứng chỉ ISO/IEC 27001 do một tổ chức chứng nhận được quốc tế công nhận.
- Việc áp dụng và cải tiến liên tục các quá trình sẽ giúp cho đội ngũ IT làm việc bài bản hơn, khoa học hơn và ứng phó được với các tình huống khẩn cấp.
- Chứng minh được quản lý chuyên nghiệp và ứng phó tốt khi xảy ra sự cố, thảm họa.
- Chứng minh đáp ứng yêu cầu tiêu chuẩn, tuân thủ yêu cầu pháp luật.
Lợi ích gián tiếp
- Việc áp dụng các biện pháp kiểm soát sẽ càng ngày càng được cải thiện và bổ sung do nhận thức trong hệ thống này cũng ngày một rõ hơn và lớn lên theo thời gian.
- Với các quá trình được xây dựng thành văn bản, sẽ tạo ra sự minh bạch, rõ ràng trong cách thức và trình tự thực hiện cũng như là trách nhiệm và quyền hạn được định rõ, từ đó các cá nhân tự giác thực hiện các công việc được giao và cũng là cơ sở để xử lý các hành vi vi phạm do vô tình hay cố ý.
- Các kế hoạch và công tác quản lý được cải tiến liên tục.
- Giấy chứng nhận cho hệ thống phù hợp với ISO/IEC 27001 là cơ sở tăng cường niềm tin cho các cơ quan, đơn vị và đối tác là một trong những công cụ cạnh tranh trong ngành.
- Góp phần đảm bảo an toàn an ninh thông tin trong ngành theo định hướng của Chính phủ.
IV. KINH PHÍ THỰC HIỆN
1. Kinh phí dự kiến thực hiện:
- Nguồn kinh phí: Ngân sách tỉnh.
- Tổng mức kinh phí thực hiện tạm tính: 297.000.000 đồng (Hai trăm chín mươi bảy triệu đồng). Giao Sở Thông tin và Truyền thông lập dự toán, gửi Sở Tài chính thẩm định trình UBND tỉnh phê duyệt.
Thời gian thực hiện:
Từ năm 2014 đến năm 2015.
V. TỔ CHỨC THỰC HIỆN:
1. Sở Thông tin và Truyền Thông: chủ trì, phối hợp các cơ quan liên quan theo dõi việc triển khai thực hiện Đề án, định kỳ hàng tháng tổng hợp báo cáo kết quả thực hiện cho UBND tỉnh; đảm bảo việc thực hiện Đề án theo đúng lộ trình xây dựng và áp dụng chứng nhận ISO 27001.
Trung tâm Thông tin dữ liệu điện tử, Trung tâm Tin học hành chính phối hợp với đơn vị triển khai để đảm bảo hai Trung tâm tâm xây dựng và áp dụng hệ thống quản lý an toàn thông tin theo tiêu chuẩn TCVN ISO/IEC 27001:2009.