Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.LQ.1. Phạm vi điều chỉnh
Luật này quy định về hoạt động an toàn thông tin mạng, quyền, trách nhiệm của cơ quan, tổ chức, cá nhân trong việc bảo đảm an toàn thông tin mạng; mật mã dân sự; tiêu chuẩn, quy chuẩn kỹ thuật về an toàn thông tin mạng; kinh doanh trong lĩnh vực an toàn thông tin mạng; phát triển nguồn nhân lực an toàn thông tin mạng; quản lý nhà nước về an toàn thông tin mạng.
(Điều 1 Luật số 86/2015/QH13 An toàn thông tin mạng ngày 19/11/2015 của Quốc hội, có hiệu lực thi hành kể từ ngày 01/07/2016)
(Điều này có nội dung liên quan đến Điều 14. Bảo đảm an toàn trong giao dịch điện tử trong hoạt động tài chính của Nghị định 165/2018/NĐ-CP Về giao dịch điện tử trong hoạt động tài chính ban hành ngày 24/12/2018 )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.LQ.2. Đối tượng áp dụng
Luật này áp dụng đối với cơ quan, tổ chức, cá nhân Việt Nam, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động an toàn thông tin mạng tại Việt Nam.
(Điều 2 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.NĐ.1.1. Phạm vi Điều chỉnh
Nghị định này quy định chi Tiết về kinh doanh sản phẩm, dịch vụ mật mã dân sự và xuất khẩu, nhập khẩu sản phẩm mật mã dân sự; ban hành Danh Mục sản phẩm, dịch vụ mật mã dân sự, Danh Mục sản phẩm mật mã dân sự xuất khẩu, nhập khẩu theo giấy phép; thanh tra, kiểm tra, xử lý vi phạm hành chính trong lĩnh vực mật mã dân sự.
(Điều 1 Nghị định số 58/2016/NĐ-CP Quy định chi tiết về kinh doanh sản phẩm, dịch vụ mật mã dân sự và xuất khẩu, nhập khẩu sản phẩm mật mã dân sự ngày 01/07/2016 của Chính phủ, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.NĐ.1.2. Đối tượng áp dụng
1. Doanh nghiệp kinh doanh sản phẩm, dịch vụ mật mã dân sự; xuất khẩu, nhập khẩu sản phẩm mật mã dân sự và các tổ chức, cá nhân khác có liên quan.
2. Tổ chức, cá nhân có hành vi vi phạm hành chính trong lĩnh vực mật mã dân sự; người có thẩm quyền lập biên bản, xử phạt vi phạm hành chính trong lĩnh vực mật mã dân sự và các tổ chức, cá nhân khác có liên quan.
(Điều 2 Nghị định số 58/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.NĐ.2.1. Phạm vi điều chỉnh
Nghị định này quy định chi tiết về tiêu chí, thẩm quyền, trình tự, thủ tục xác định cấp độ an toàn hệ thống thông tin và trách nhiệm bảo đảm an toàn hệ thống thông tin theo từng cấp độ.
(Điều 1 Nghị định số 85/2016/NĐ-CP Về bảo đảm an toàn hệ thống thông tin theo cấp độ ngày 01/07/2016 của Chính phủ, có hiệu lực thi hành kể từ ngày 01/07/2016)
(Điều này có nội dung liên quan đến Điều 14. Bảo đảm an toàn trong giao dịch điện tử trong hoạt động tài chính của Nghị định 165/2018/NĐ-CP Về giao dịch điện tử trong hoạt động tài chính ban hành ngày 24/12/2018 ; Điều 3.3.TT.38.8. Tiêu chí bảo đảm an toàn thông tin của )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.NĐ.2.2. Đối tượng áp dụng
Nghị định này áp dụng đối với cơ quan, tổ chức, cá nhân tham gia hoặc có liên quan đến hoạt động xây dựng, thiết lập, quản lý, vận hành, nâng cấp, mở rộng hệ thống thông tin tại Việt Nam phục vụ ứng dụng công nghệ thông tin trong hoạt động của cơ quan, tổ chức nhà nước, ứng dụng công nghệ thông tin trong việc cung cấp dịch vụ trực tuyến phục vụ người dân và doanh nghiệp.
Khuyến khích tổ chức, cá nhân liên quan khác áp dụng các quy định tại Nghị định này để bảo vệ hệ thống thông tin.
(Điều 2 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.NĐ.3.1. Phạm vi điều chỉnh
1. Nghị định này quy định về:
a) Điều kiện, quy trình, thủ tục, hồ sơ cấp Giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng;
b) Sản phẩm, dịch vụ an toàn thông tin mạng;
c) Sản phẩm an toàn thông tin mạng nhập khẩu theo giấy phép.
2. Nghị định này không điều chỉnh hoạt động kinh doanh sản phẩm, dịch vụ mật mã dân sự và hoạt động kinh doanh dịch vụ chứng thực chữ ký điện tử.
(Điều 1 Nghị định số 108/2016/NĐ-CP Quy định chi tiết điều kiện kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng ngày 01/07/2016 của Chính phủ, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.NĐ.3.2. Đối tượng áp dụng
Nghị định này áp dụng đối với tổ chức, doanh nghiệp trực tiếp tham gia hoặc có liên quan đến hoạt động sản xuất, nhập khẩu sản phẩm an toàn thông tin mạng và cung cấp dịch vụ an toàn thông tin mạng tại Việt Nam.
(Điều 2 Nghị định số 108/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.NĐ.4.1. Phạm vi điều chỉnh
Nghị định này quy định nguyên tắc, nội dung, biện pháp, hợp tác quốc tế và trách nhiệm của cơ quan, tổ chức, cá nhân đối với hoạt động ngăn chặn xung đột thông tin trên mạng tại Việt Nam.
(Điều 1 Nghị định số 142/2016/NĐ-CP Về ngăn chặn xung đột thông tin trên mạng ngày 14/10/2016 của Chính phủ, có hiệu lực thi hành kể từ ngày 01/12/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.NĐ.4.2. Đối tượng áp dụng
1. Cơ quan, tổ chức, cá nhân Việt Nam; tổ chức, cá nhân nước ngoài và tổ chức quốc tế tại Việt Nam tham gia hoặc có liên quan đến xung đột thông tin trên mạng.
2. Tổ chức quốc tế, tổ chức, cá nhân nước ngoài hoặc người không có quốc tịch, không hoạt động hoặc không sinh sống trên lãnh thổ Việt Nam nhưng có các hoạt động gây xung đột thông tin trên mạng tại Việt Nam.
(Điều 2 Nghị định số 142/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/12/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.QĐ.1.1. Phạm vi áp dụng
Quyết định này quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia.
Hệ thống thông tin do Bộ Quốc phòng, Bộ Công an quản lý không thuộc phạm vi điều chỉnh của Quyết định này.
(Điều 1 Quyết định số 05/2017/QĐ-TTg Ban hành quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia ngày 16/03/2017 của Thủ tướng Chính phủ, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.QĐ.1.2. Đối tượng áp dụng
Quyết định này áp dụng đối với các cơ quan, tổ chức, doanh nghiệp, cá nhân trực tiếp tham gia hoặc có liên quan đến hoạt động ứng cứu sự cố bảo đảm an toàn thông tin mạng tại Việt Nam.
(Điều 2 Quyết định số 05/2017/QĐ-TTg, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.TT.1.1. Phạm vi áp dụng
Thông tư này quy định việc quản lý và sử dụng kinh phí thực hiện Dự án Đào tạo ngắn hạn về an toàn, an ninh thông tin (ATANTT) trong nước thuộc Đề án Đào tạo và phát triển nguồn nhân lực an toàn, an ninh thông tin đến năm 2020 đã được Thủ tướng Chính phủ phê duyệt tại Quyết định số 99/QĐ-TTg ngày 14/01/2014 (sau đây gọi tắt là Đề án 99).
(Điều 1 Thông tư số 166/2015/TT-BTC Quy định việc quản lý và sử dụng kinh phí thực hiện Dự án Đào tạo ngắn hạn về an toàn, an ninh thông tin trong nước thuộc Đề án Đào tạo và phát triển nguồn nhân lực an toàn, an ninh thông tin đến năm 2020 ngày 05/11/2015 của Bộ Tài chính, có hiệu lực thi hành kể từ ngày 01/01/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.TT.1.2. Đối tượng thực hiện
1. Các Bộ, cơ quan ngang Bộ, cơ quan thuộc Chính phủ, cơ quan khác ở Trung ương.
2. Ủy ban nhân dân các tỉnh, thành phố trực thuộc Trung ương.
3. Các doanh nghiệp, tổ chức tài chính, ngân hàng, tổng công ty, tập đoàn kinh tế nhà nước.
(Điều 2 Thông tư số 166/2015/TT-BTC, có hiệu lực thi hành kể từ ngày 01/01/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.TT.2.1. Phạm vi điều chỉnh
1. Thông tư này quy định chi tiết và hướng dẫn bảo đảm an toàn hệ thống thông tin theo cấp độ, bao gồm: Hướng dẫn xác định hệ thống thông tin và cấp độ an toàn hệ thống thông tin; Yêu cầu bảo đảm an toàn hệ thống thông tin theo cấp độ; Kiểm tra, đánh giá an toàn thông tin; Tiếp nhận và thẩm định hồ sơ đề xuất cấp độ; Báo cáo, chia sẻ thông tin.
2. Hệ thống thông tin phục vụ hoạt động quốc phòng, an ninh do Bộ Quốc phòng, Bộ Công an quản lý không thuộc phạm vi điều chỉnh của Thông tư này.
(Điều 1 Thông tư số 03/2017/TT-BTTTT Quy định chi tiết và hướng dẫn một số điều của Nghị định 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ ngày 24/04/2017 của Bộ Thông tin và Truyền thông, có hiệu lực thi hành kể từ ngày 01/07/2017)
(Điều này có nội dung liên quan đến Điều 32.2.LQ.35. Trách nhiệm của Chính phủ, bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ và Ủy ban nhân dân các cấp trong việc bảo đảm thực hiện quyền tiếp cận thông tin của Luật 104/2016/QH13 Tiếp cận thông tin ban hành ngày 06/04/2016 ; Điều 3.3.TT.31.21. Bảo đảm an toàn thông tin và dữ liệu ; Điều 3.3.TT.38.8. Tiêu chí bảo đảm an toàn thông tin )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.TT.2.2. Đối tượng áp dụng
Đối tượng áp dụng Thông tư này được thực hiện theo quy định tại Điều 2 Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ (sau đây gọi tắt là Nghị định 85/2016/NĐ-CP).
(Điều 2 Thông tư số 03/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/07/2017)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.TT.3.1. Phạm vi và đối tượng áp dụng
1. Thông tư này quy định về các hoạt động điều phối, ứng cứu sự cố an toàn thông tin mạng trên toàn quốc (không bao gồm hoạt động điều phối ứng cứu sự cố an toàn thông tin mạng nghiêm trọng quy định tại Quyết định số 05/2017/QĐ-TTg ngày 16 tháng 3 năm 2017 của Thủ tướng Chính phủ quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia (sau đây gọi tắt là Quyết định số 05/2017/QĐ-TTg));
Các sự cố của hệ thống thông tin do Bộ Quốc phòng, Bộ Công an quản lý không thuộc phạm vi điều chỉnh của Thông tư này.
2. Đối tượng áp dụng là các cơ quan, tổ chức, cá nhân có liên quan tới hoạt động điều phối, ứng cứu sự cố an toàn thông tin mạng.
(Điều 1 Thông tư số 20/2017/TT-BTTTT Quy định về điều phối, ứng cứu sự cố an toàn thông tin mạng trên toàn quốc ngày 12/09/2017 của Bộ Thông tin và Truyền thông, có hiệu lực thi hành kể từ ngày 01/11/2017)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.TT.4.1. Phạm vi điều chỉnh
Thông tư này quy định về hoạt động giám sát an toàn hệ thống thông tin (sau đây gọi tắt là giám sát) trên toàn quốc, không bao gồm các hệ thống thông tin do Bộ Quốc phòng và Bộ Công an quản lý.
(Điều 1 Thông tư số 31/2017/TT-BTTTT Quy định hoạt động giám sát an toàn hệ thống thông tin ngày 15/11/2017 của Bộ Thông tin và Truyền thông, có hiệu lực thi hành kể từ ngày 15/01/2018)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.TT.4.2. Đối tượng áp dụng
Thông tư này áp dụng đối với cơ quan, tổ chức, doanh nghiệp, cá nhân trực tiếp tham gia hoặc có liên quan đến hoạt động giám sát trên toàn quốc.
(Điều 2 Thông tư số 31/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 15/01/2018)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.TT.5.1. Phạm vi điều chỉnh và đối tượng áp dụng
1. Thông tư này quy định về bảo đảm an toàn hệ thống thông tin trong hoạt động ngân hàng.
2. Thông tư này áp dụng đối với các tổ chức tín dụng (trừ quỹ tín dụng nhân dân, tổ chức tài chính vi mô), chi nhánh ngân hàng nước ngoài, các tổ chức cung ứng dịch vụ trung gian thanh toán (sau đây gọi chung là tổ chức).
(Điều 1 Thông tư số 18 /2018/TT-NHNN Quy định về an toàn hệ thống thông tin trong hoạt động ngân hàng ngày 21/08/2018 của Ngân hàng Nhà nước, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.TT.6.1. Phạm vi điều chỉnh
Thông tư này quy định Danh mục sản phẩm an toàn thông tin mạng nhập khẩu theo giấy phép và trình tự, thủ tục, hồ sơ cấp Giấy phép nhập khẩu sản phẩm an toàn thông tin mạng (sau đây gọi tắt là Giấy phép nhập khẩu).
(Điều 1 Thông tư số 13/2018/TT-BTTTT Quy định Danh mục sản phẩm an toàn thông tin mạng nhập khẩu theo giấy phép và trình tự, thủ tục, hồ sơ cấp Giấy phép nhập khẩu sản phẩm an toàn thông tin mạng ngày 15/10/2018 của Bộ Thông tin và Truyền thông, có hiệu lực thi hành kể từ ngày 01/12/2018)
(Điều này có nội dung liên quan đến Điều 34.3.NĐ.8.7. Hàng hóa xuất khẩu, nhập khẩu theo giấy phép, theo điều kiện )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.TT.6.2. Đối tượng áp dụng
Thông tư này áp dụng đối với các doanh nghiệp đã được cấp Giấy phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng thực hiện hoạt động nhập khẩu sản phẩm an toàn thông tin mạng thuộc Danh mục.
(Điều 2 Thông tư số 13/2018/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/12/2018)
(Điều này có nội dung liên quan đến Điều 34.3.NĐ.8.7. Hàng hóa xuất khẩu, nhập khẩu theo giấy phép, theo điều kiện )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.TT.7.1. Phạm vi điều chỉnh
Thông tư này quy định về lập dự toán, quản lý, sử dụng và quyết toán kinh phí chi thường xuyên để thực hiện công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng.
(Điều 1 Thông tư số 121/2018/TT-BTC Quy định về lập dự toán, quản lý, sử dụng và quyết toán kinh phí để thực hỉện công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng ngày 12/12/2018 của Bộ Tài chính, có hiệu lực thi hành kể từ ngày 01/02/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.TT.7.2. Đối tượng áp dụng
1. Các Bộ, cơ quan ngang Bộ, cơ quan thuộc Chính phủ, cơ quan khác ở Trung ương.
2. Ủy ban nhân dân các tỉnh, thành phố trực thuộc Trung ương.
3. Ban Chỉ đạo quốc gia về ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng (sau đây gọi là Ban Chỉ đạo quốc gia) và Ban Chỉ đạo ứng cứu khẩn cấp sự cố an toàn thông tin mạng của các Bộ, cơ quan thuộc Chính phủ và Ủy ban nhân dân các tỉnh, thành phố trực thuộc trung ương (sau đây gọi là Ban chỉ đạo cấp Bộ, tỉnh); Ban Điều phối ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia; Cơ quan thường trực về ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia; Cơ quan điều phối quốc gia về ứng cứu sự cố.
4. Thành viên mạng lưới ứng cứu sự cố an toàn thông tin quốc gia; đơn vị chuyên trách về ứng cứu sự cố, an toàn thông tin mạng; bộ phận tác nghiệp ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia; đội ứng cứu sự cố an toàn thông tin mạng.
5. Các doanh nghiệp, tổ chức, cá nhân có liên quan đến hoạt động ứng cứu sự cố, bảo đảm an toàn thông tin mạng.
(Điều 2 Thông tư số 121/2018/TT-BTC, có hiệu lực thi hành kể từ ngày 01/02/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.LQ.3. Giải thích từ ngữ
Trong Luật này, các từ ngữ dưới đây được hiểu như sau:
1. An toàn thông tin mạng là sự bảo vệ thông tin, hệ thống thông tin trên mạng tránh bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép nhằm bảo đảm tính nguyên vẹn, tính bảo mật và tính khả dụng của thông tin.
2. Mạng là môi trường trong đó thông tin được cung cấp, truyền đưa, thu thập, xử lý, lưu trữ và trao đổi thông qua mạng viễn thông và mạng máy tính.
3. Hệ thống thông tin là tập hợp phần cứng, phần mềm và cơ sở dữ liệu được thiết lập phục vụ mục đích tạo lập, cung cấp, truyền đưa, thu thập, xử lý, lưu trữ và trao đổi thông tin trên mạng.
4. Hệ thống thông tin quan trọng quốc gia là hệ thống thông tin mà khi bị phá hoại sẽ làm tổn hại đặc biệt nghiêm trọng tới quốc phòng, an ninh quốc gia.
5 . Chủ quản hệ thống thông tin là cơ quan, tổ chức, cá nhân có thẩm quyền quản lý trực tiếp đối với hệ thống thông tin.
6. Xâm phạm an toàn thông tin mạng là hành vi truy nhập, sử dụng, tiết lộ, làm gián đoạn, sửa đổi, phá hoại trái phép thông tin, hệ thống thông tin.
7. Sự cố an toàn thông tin mạng là việc thông tin, hệ thống thông tin bị gây nguy hại, ảnh hưởng tới tính nguyên vẹn, tính bảo mật hoặc tính khả dụng.
8. Rủi ro an toàn thông tin mạng là những nhân tố chủ quan hoặc khách quan có khả năng ảnh hưởng tới trạng thái an toàn thông tin mạng.
9. Đánh giá rủi ro an toàn thông tin mạng là việc phát hiện, phân tích, ước lượng mức độ tổn hại, mối đe dọa đối với thông tin, hệ thống thông tin.
10. Quản lý rủi ro an toàn thông tin mạng là việc đưa ra các biện pháp nhằm giảm thiểu rủi ro an toàn thông tin mạng.
11. Phần mềm độc hại là phần mềm có khả năng gây ra hoạt động không bình thường cho một phần hay toàn bộ hệ thống thông tin hoặc thực hiện sao chép, sửa đổi, xóa bỏ trái phép thông tin lưu trữ trong hệ thống thông tin.
12. Hệ thống lọc phần mềm độc hại là tập hợp phần cứng, phần mềm được kết nối vào mạng để phát hiện, ngăn chặn, lọc và thống kê phần mềm độc hại.
13. Địa chỉ điện tử là địa chỉ được sử dụng để gửi, nhận thông tin trên mạng bao gồm địa chỉ thư điện tử, số điện thoại, địa chỉ Internet và hình thức tương tự khác.
14. Xung đột thông tin là việc hai hoặc nhiều tổ chức trong nước và nước ngoài sử dụng biện pháp công nghệ, kỹ thuật thông tin gây tổn hại đến thông tin, hệ thống thông tin trên mạng.
15 . Thông tin cá nhân là thông tin gắn với việc xác định danh tính của một người cụ thể.
16. Chủ thể thông tin cá nhân là người được xác định từ thông tin cá nhân đó.
17. Xử lý thông tin cá nhân là việc thực hiện một hoặc một số thao tác thu thập, biên tập, sử dụng, lưu trữ, cung cấp, chia sẻ, phát tán thông tin cá nhân trên mạng nhằm mục đích thương mại.
18. Mật mã dân sự là kỹ thuật mật mã và sản phẩm mật mã được sử dụng để bảo mật hoặc xác thực đối với thông tin không thuộc phạm vi bí mật nhà nước.
19. Sản phẩm an toàn thông tin mạng là phần cứng, phần mềm có chức năng bảo vệ thông tin, hệ thống thông tin.
20. Dịch vụ an toàn thông tin mạng là dịch vụ bảo vệ thông tin, hệ thống thông tin.
(Điều 3 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
(Điều này có nội dung liên quan đến Điều 82. Thanh tra chuyên ngành về tài nguyên nước của Luật 28/2023/QH15 Luật Tài nguyên nước 2023 ban hành ngày 27/11/2023 )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.NĐ.2.3. Giải thích từ ngữ
Trong Nghị định này, các từ ngữ dưới đây được hiểu như sau:
1. Chủ quản hệ thống thông tin là cơ quan, tổ chức, cá nhân có thẩm quyền quản lý trực tiếp đối với hệ thống thông tin. Đối với cơ quan, tổ chức nhà nước, chủ quản hệ thống thông tin là các bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ, Ủy ban nhân dân các tỉnh, thành phố trực thuộc trung ương hoặc là cấp có thẩm quyền quyết định đầu tư dự án xây dựng, thiết lập, nâng cấp, mở rộng hệ thống thông tin đó.
2. Xử lý thông tin là việc thực hiện một hoặc một số thao tác tạo lập, cung cấp, thu thập, biên tập, sử dụng, lưu trữ, truyền đưa, chia sẻ, trao đổi thông tin trên mạng.
3. Đơn vị vận hành hệ thống thông tin là cơ quan, tổ chức được chủ quản hệ thống thông tin giao nhiệm vụ vận hành hệ thống thông tin. Trong trường hợp chủ quản hệ thống thông tin thuê ngoài dịch vụ công nghệ thông tin, đơn vị vận hành hệ thống thông tin là bên cung cấp dịch vụ.
4. Đơn vị chuyên trách về công nghệ thông tin là đơn vị chuyên trách về công nghệ thông tin của các bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ; Sở Thông tin và Truyền thông các tỉnh, thành phố trực thuộc trung ương hoặc đơn vị chuyên trách về công nghệ thông tin của chủ quản hệ thống thông tin do chủ quản hệ thống thông tin chỉ định.
5. Đơn vị chuyên trách về an toàn thông tin là đơn vị có chức năng, nhiệm vụ bảo đảm an toàn thông tin của chủ quản hệ thống thông tin.
6. Bộ phận chuyên trách về an toàn thông tin là bộ phận do chủ quản hệ thống thông tin thành lập hoặc chỉ định để thực thi nhiệm vụ bảo đảm an toàn thông tin và ứng cứu sự cố an toàn thông tin mạng.
7. Dịch vụ trực tuyến là dịch vụ do doanh nghiệp hoặc cơ quan nhà nước cung cấp trên môi trường mạng cho các tổ chức, cá nhân.
(Điều 3 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.NĐ.4.3. Giải thích từ ngữ
Trong Nghị định này, các từ ngữ dưới đây được hiểu như sau:
1. Ngăn chặn xung đột thông tin trên mạng là việc thực hiện các biện pháp công nghệ, kỹ thuật để giám sát, phát hiện, cảnh báo, xác định nguồn gốc, chặn lọc, khắc phục và loại trừ xung đột thông tin trên mạng.
2. Chặn lọc thông tin trên mạng là biện pháp công nghệ, kỹ thuật nhằm tách lọc, ngăn chặn không cho các tín hiệu, gói tin, luồng thông tin gây xung đột đến thông tin, hệ thống thông tin.
3. Khắc phục xung đột thông tin trên mạng là hoạt động nhằm xử lý sự cố gây xung đột thông tin trên mạng.
4. Loại trừ xung đột thông tin trên mạng là hoạt động bảo vệ và đáp trả hợp pháp vào nguồn thông tin gây xung đột trên mạng.
5. Không gian mạng là môi trường được tạo từ cơ sở hạ tầng thông tin và hoạt động của các thành phần xã hội trên cơ sở hạ tầng thông tin đó nhằm cung cấp, truyền đưa, thu thập, xử lý, lưu trữ và trao đổi thông tin.
6. Chủ quyền quốc gia trên không gian mạng là tất cả các quyền của nhà nước đối với không gian mạng, phù hợp với quy định của luật pháp quốc tế.
7. Cơ quan nghiệp vụ ngăn chặn xung đột thông tin trên mạng là các đơn vị nghiệp vụ của Bộ Quốc phòng, Bộ Công an, Bộ Thông tin và Truyền thông được giao nhiệm vụ tham mưu, tổ chức, trực tiếp thực hiện ngăn chặn xung đột thông tin trên mạng (sau đây viết gọn là cơ quan nghiệp vụ).
(Điều 3 Nghị định số 142/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/12/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.TT.2.3. Giải thích từ ngữ
Trong Thông tư này, các từ ngữ dưới đây được hiểu như sau:
1. Xác thực đa nhân t ố là phương pháp xác thực không chỉ dựa vào một mà là kết hợp một số yếu tố liên quan đến người dùng, bao gồm: những thông tin mà người dùng biết (mật khẩu, mã số truy cập, ...), những thông tin mà người dùng sở hữu (chứng thư số, thẻ thông minh, ...) hoặc những thông tin về sinh trắc học của người dùng (vân tay, mống mắt, ...).
2. Dự phòng nóng là khả năng thay thế chức năng của thiết bị khi xảy ra sự cố mà không làm gián đoạn hoạt động của hệ thống.
3. Độ phức tạp cần thiết của mật khẩu là việc bảo đảm mật khẩu có trên 8 ký tự, trong đó bao gồm cả ký tự chữ cái hoa, chữ cái thường, ký tự đặc biệt và chữ số.
4. Thiết bị mạng chính hoặc quan trọng là các thiết bị khi ngừng một phần hay toàn bộ hoạt động mà không có kế hoạch trước sẽ làm gián đoạn hoạt động bình thường của hệ thống thông tin.
(Điều 3 Thông tư số 03/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/07/2017)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.TT.3.2. Giải thích từ ngữ
1. Sự cố an toàn thông tin mạng là việc thông tin, hệ thống thông tin bị tấn công hoặc gây nguy hại, ảnh hưởng tới tính nguyên vẹn, tính bảo mật hoặc tính khả dụng (sau đây gọi tắt là sự cố).
2. Ứng cứu sự cố an toàn thông tin mạng là hoạt động nhằm xử lý, khắc phục sự cố gây mất an toàn thông tin mạng gồm: theo dõi, thu thập, phân tích, phát hiện, cảnh báo, điều tra, xác minh sự cố, ngăn chặn sự cố, khôi phục dữ liệu và khôi phục hoạt động bình thường của hệ thống thông tin.
3. Đầu mối ứng cứu sự cố là bộ phận hoặc cá nhân được thành viên mạng lưới ứng cứu sự cố an toàn thông tin mạng quốc gia cử để thay mặt cho thành viên liên lạc và trao đổi thông tin với Cơ quan điều phối quốc gia về ứng cứu sự cố hoặc các thành viên khác trong hoạt động điều phối, ứng cứu sự cố.
(Điều 2 Thông tư số 20/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/11/2017)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.TT.5.2. Giải thích từ ngữ
Trong Thông tư này, các từ ngữ dưới đây được hiểu như sau:
1. Hệ thống thông tin là một tập hợp các trang thiết bị phần cứng, phần mềm, cơ sở dữ liệu và hệ thống mạng để tạo lập, truyền nhận, thu thập, xử lý, lưu trữ và trao đổi thông tin số phục vụ cho một hoặc nhiều hoạt động kỹ thuật, nghiệp vụ của tổ chức.
2. Tính bí mật của thông tin là bảo đảm thông tin chỉ được tiếp cận bởi những người được cấp quyền tương ứng.
3. Tính toàn vẹn của thông tin là bảo vệ sự chính xác và đầy đủ của thông tin và thông tin chỉ được thay đổi bởi những người được cấp quyền.
4. Tính sẵn sàng của thông tin là bảo đảm những người được cấp quyền có thể truy xuất thông tin ngay khi có nhu cầu.
5. An toàn thông tin là sự bảo vệ thông tin số, hệ thống thông tin tránh bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép nhằm bảo đảm tính bí mật, tính toàn vẹn và tính sẵn sàng của thông tin.
6. Rủi ro công nghệ thông tin là khả năng xảy ra tổn thất khi thực hiện các hoạt động liên quan đến hệ thống thông tin. Rủi ro công nghệ thông tin liên quan đến quản lý, sử dụng phần cứng, phần mềm, truyền thông, giao diện hệ thống, vận hành và con người.
7. Sự cố an ninh mạng (cybersecurity incident) là việc thông tin số, hệ thống thông tin bị tấn công hoặc bị gây nguy hại, ảnh hưởng tới tính bí mật, tính toàn vẹn, tính sẵn sàng.
8. Điểm yếu về mặt kỹ thuật là thành phần trong hệ thống thông tin dễ bị khai thác, lợi dụng khi bị tấn công hoặc xâm nhập bất hợp pháp.
9. Trung tâm dữ liệu bao gồm hạ tầng kỹ thuật (nhà trạm, hệ thống cáp) và hệ thống máy tính cùng các thiết bị phụ trợ được lắp đặt vào đó để xử lý, lưu trữ, trao đổi và quản lý tập trung dữ liệu.
10. Thiết bị di động là thiết bị số được thiết kế có thể di chuyển mà không ảnh hưởng tới khả năng hoạt động, có hệ điều hành, có khả năng xử lý, kết nối mạng và có màn hình hiển thị như máy tính xách tay, máy tính bảng, điện thoại di động thông minh.
11. Vật mang tin là các phương tiện vật chất dùng để lưu giữ và truyền nhận thông tin số.
12. Tường lửa là tập hợp các thành phần hoặc một hệ thống các trang thiết bị, phần mềm được đặt giữa hai mạng, nhằm kiểm soát tất cả các kết nối từ bên trong ra bên ngoài mạng hoặc ngược lại.
13. Mạng không tin cậy là mạng bên ngoài có kết nối vào mạng của tổ chức và không thuộc sự quản lý của tổ chức hoặc tổ chức tín dụng nước ngoài mà tổ chức có quan hệ như là đơn vị phụ thuộc, hiện diện thương mại tại Việt Nam.
14. Dịch vụ điện toán đám mây là các dịch vụ cung cấp tài nguyên máy tính (computing resources) qua môi trường mạng cho phép nhiều đối tượng sử dụng, có thể điều chỉnh và thanh toán theo nhu cầu sử dụng.
15. Tài khoản người sử dụng (tài khoản) là một tập hợp thông tin đại diện duy nhất cho người sử dụng trên hệ thống thông tin, được sử dụng để đăng nhập và truy cập các tài nguyên được cấp phép trên hệ thống thông tin đó.
16. Bên thứ ba là các cá nhân, doanh nghiệp (không bao gồm tổ chức tín dụng nước ngoài và các thành viên thuộc tổ chức tín dụng nước ngoài trong trường hợp tổ chức là đơn vị phụ thuộc, hiện diện thương mại tại Việt Nam của tổ chức tín dụng nước ngoài) có thỏa thuận bằng văn bản (gọi chung là hợp đồng sử dụng dịch vụ) với tổ chức nhằm cung cấp dịch vụ công nghệ thông tin.
17. Cấp có thẩm quyền là chức danh hoặc người được người đại diện hợp pháp của tổ chức phân cấp quản lý, phân công, ủy quyền bằng văn bản để thực hiện một hoặc một số chức năng, nhiệm vụ của tổ chức.
(Điều 2 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.LQ.4. Nguyên tắc bảo đảm an toàn thông tin mạng
1. Cơ quan, tổ chức, cá nhân có trách nhiệm bảo đảm an toàn thông tin mạng. Hoạt động an toàn thông tin mạng của cơ quan, tổ chức, cá nhân phải đúng quy định của pháp luật, bảo đảm quốc phòng, an ninh quốc gia, bí mật nhà nước, giữ vững ổn định chính trị, trật tự, an toàn xã hội và thúc đẩy phát triển kinh tế - xã hội.
2. Tổ chức, cá nhân không được xâm phạm an toàn thông tin mạng của tổ chức, cá nhân khác.
3. Việc xử lý sự cố an toàn thông tin mạng phải bảo đảm quyền và lợi ích hợp pháp của tổ chức, cá nhân, không xâm phạm đến đời sống riêng tư, bí mật cá nhân, bí mật gia đình của cá nhân, thông tin riêng của tổ chức.
4. Hoạt động an toàn thông tin mạng phải được thực hiện thường xuyên, liên tục, kịp thời và hiệu quả.
(Điều 4 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.NĐ.2.4. Nguyên tắc bảo đảm an toàn hệ thống thông tin theo cấp độ
1. Việc bảo đảm an toàn hệ thống thông tin theo cấp độ trong hoạt động của cơ quan, tổ chức được thực hiện thường xuyên, liên tục từ khâu thiết kế, xây dựng, vận hành đến khi hủy bỏ; tuân thủ theo tiêu chuẩn, quy chuẩn kỹ thuật.
2. Việc bảo đảm an toàn hệ thống thông tin theo cấp độ trong hoạt động của cơ quan, tổ chức được thực hiện một cách tổng thể, đồng bộ, tập trung trong việc đầu tư các giải pháp bảo vệ, có sự dùng chung, chia sẻ tài nguyên để tối ưu hiệu năng, tránh đầu tư thừa, trùng lặp.
3. Việc phân bổ, bố trí nguồn lực để bảo đảm an toàn hệ thống thông tin thực hiện theo thứ tự ưu tiên từ cấp độ cao xuống cấp độ thấp.
(Điều 4 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.NĐ.2.5. Nguyên tắc xác định cấp độ
1. Việc xác định hệ thống thông tin để xác định cấp độ căn cứ trên nguyên tắc như sau:
a) Hệ thống thông tin chỉ có một chủ quản hệ thống thông tin;
b) Hệ thống thông tin có thể hoạt động độc lập, được thiết lập nhằm trực tiếp phục vụ hoặc hỗ trợ hoạt động nghiệp vụ, sản xuất, kinh doanh cụ thể của cơ quan, tổ chức thuộc một trong các loại hình hệ thống thông tin quy định tại khoản 2 Điều 6 Nghị định này.
2. Trong trường hợp hệ thống thông tin bao gồm nhiều hệ thống thành phần, mỗi hệ thống thành phần lại tương ứng với một cấp độ khác nhau, thì cấp độ hệ thống thông tin được xác định là cấp độ cao nhất trong các cấp độ của các hệ thống thành phần cấu thành.
(Điều 5 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.TT.5.3. Nguyên tắc chung
1. Tổ chức có trách nhiệm bảo đảm an toàn thông tin theo nguyên tắc xác định rõ quyền hạn, trách nhiệm từng bộ phận và cá nhân trong tổ chức.
2. Phân loại hệ thống thông tin theo mức độ quan trọng và áp dụng chính sách an toàn thông tin phù hợp.
3. Nhận biết, phân loại, đánh giá kịp thời và xử lý có hiệu quả các rủi ro công nghệ thông tin có thể xảy ra trong tổ chức.
4. Xây dựng, triển khai quy chế an toàn thông tin trên cơ sở các quy định tại Thông tư này và hài hòa giữa lợi ích, chi phí và mức độ chấp nhận rủi ro của tổ chức.
(Điều 3 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.LQ.5. Chính sách của Nhà nước về an toàn thông tin mạng
1. Đẩy mạnh đào tạo, phát triển nguồn nhân lực và xây dựng cơ sở hạ tầng, kỹ thuật an toàn thông tin mạng đáp ứng yêu cầu ổn định chính trị, phát triển kinh tế - xã hội, bảo đảm quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội.
2. Khuyến khích nghiên cứu, phát triển, áp dụng biện pháp kỹ thuật, công nghệ, hỗ trợ xuất khẩu, mở rộng thị trường cho sản phẩm, dịch vụ an toàn thông tin mạng do tổ chức, cá nhân trong nước sản xuất, cung cấp; tạo điều kiện nhập khẩu sản phẩm, công nghệ hiện đại mà tổ chức, cá nhân trong nước chưa có năng lực sản xuất, cung cấp.
3. Bảo đảm môi trường cạnh tranh lành mạnh trong hoạt động kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng; khuyến khích, tạo điều kiện cho tổ chức, cá nhân tham gia đầu tư, nghiên cứu, phát triển và cung cấp sản phẩm, dịch vụ an toàn thông tin mạng.
4. Nhà nước bố trí kinh phí để bảo đảm an toàn thông tin mạng của cơ quan nhà nước và an toàn thông tin mạng cho hệ thống thông tin quan trọng quốc gia.
(Điều 5 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
(Điều này có nội dung liên quan đến Điều 34.3.LQ.6. Trách nhiệm quản lý nhà nước về ngoại thương )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.LQ.6. Hợp tác quốc tế về an toàn thông tin mạng
1. Hợp tác quốc tế về an toàn thông tin mạng phải tuân thủ các nguyên tắc sau đây:
a) Tôn trọng độc lập, chủ quyền và toàn vẹn lãnh thổ quốc gia, không can thiệp vào công việc nội bộ của nhau, bình đẳng và các bên cùng có lợi;
b) Phù hợp với quy định của pháp luật Việt Nam, điều ước quốc tế mà Cộng hòa xã hội chủ nghĩa Việt Nam là thành viên.
2. Nội dung hợp tác quốc tế về an toàn thông tin mạng gồm:
a) Hợp tác quốc tế trong đào tạo, nghiên cứu và ứng dụng khoa học, kỹ thuật, công nghệ về an toàn thông tin mạng;
b) Hợp tác quốc tế trong phòng, chống hành vi vi phạm pháp luật về an toàn thông tin mạng; điều tra, xử lý sự cố an toàn thông tin mạng, ngăn chặn hoạt động lợi dụng mạng để khủng bố;
c) Hoạt động hợp tác quốc tế khác về an toàn thông tin mạng.
(Điều 6 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
(Điều này có nội dung liên quan đến Điều 1.9.LQ.25. Kiểm soát hoạt động xuất bản, báo chí, bưu chính, viễn thông và các hình thức thông tin khác )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.LQ.7. Các hành vi bị nghiêm cấm
1. Ngăn chặn việc truyền tải thông tin trên mạng, can thiệp, truy nhập, gây nguy hại, xóa, thay đổi, sao chép và làm sai lệch thông tin trên mạng trái pháp luật.
2. Gây ảnh hưởng, cản trở trái pháp luật tới hoạt động bình thường của hệ thống thông tin hoặc tới khả năng truy nhập hệ thống thông tin của người sử dụng.
3. Tấn công, vô hiệu hóa trái pháp luật làm mất tác dụng của biện pháp bảo vệ an toàn thông tin mạng của hệ thống thông tin; tấn công, chiếm quyền điều khiển, phá hoại hệ thống thông tin.
4. Phát tán thư rác, phần mềm độc hại, thiết lập hệ thống thông tin giả mạo, lừa đảo.
5. Thu thập, sử dụng, phát tán, kinh doanh trái pháp luật thông tin cá nhân của người khác; lợi dụng sơ hở, điểm yếu của hệ thống thông tin để thu thập, khai thác thông tin cá nhân.
6. Xâm nhập trái pháp luật bí mật mật mã và thông tin đã mã hóa hợp pháp của cơ quan, tổ chức, cá nhân; tiết lộ thông tin về sản phẩm mật mã dân sự, thông tin về khách hàng sử dụng hợp pháp sản phẩm mật mã dân sự; sử dụng, kinh doanh các sản phẩm mật mã dân sự không rõ nguồn gốc.
(Điều 7 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
(Điều này có nội dung liên quan đến Điều 5. Quyền, nghĩa vụ và các hành vi không được làm của tổ chức, cá nhân có yêu cầu thực hiện thủ tục hành chính trên môi trường điện tử của Nghị định 45/2020/NĐ-CP Về thực hiện thủ tục hành chính trên môi trường điện tử ban hành ngày 08/04/2020 ; Điều 3.3.NĐ.10.3. Giải thích thuật ngữ )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 3.1.LQ.8. Xử lý vi phạm pháp luật về an toàn thông tin mạng
Người nào có hành vi vi phạm quy định của Luật này thì tùy theo tính chất, mức độ vi phạm mà bị xử lý kỷ luật, xử phạt vi phạm hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.
(Điều 8 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
(Chương này có nội dung liên quan đến Điều 37.5.NQ.3.11. Bảo đảm an ninh, an toàn, bảo mật thông tin của Nghị quyết 04/2016/NQ-HĐTP Hướng dẫn thi hành một số quy định của Bộ luật Tố Tụng dân sự số 92/2015/QH13, Luật Tố tụng hành chính số 93/2015/QH13 về gửi, nhận đơn khởi kiện, tài liệu, chứng cứ và cấp, tống đạt, thông báo văn bản tố tụng bằng phương tiện điện tử ban hành ngày 30/12/2016 )
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.LQ.9. Phân loại thông tin
1. Cơ quan, tổ chức sở hữu thông tin phân loại thông tin theo thuộc tính bí mật để có biện pháp bảo vệ phù hợp.
2. Thông tin thuộc phạm vi bí mật nhà nước được phân loại và bảo vệ theo quy định của pháp luật về bảo vệ bí mật nhà nước.
Cơ quan, tổ chức sử dụng thông tin đã phân loại và chưa phân loại trong hoạt động thuộc lĩnh vực của mình phải có trách nhiệm xây dựng quy định, thủ tục để xử lý thông tin; xác định nội dung và phương pháp ghi truy nhập được phép vào thông tin đã được phân loại.
(Điều 9 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.LQ.10. Quản lý gửi thông tin
1. Việc gửi thông tin trên mạng phải bảo đảm các yêu cầu sau đây:
a) Không giả mạo nguồn gốc gửi thông tin;
b) Tuân thủ quy định của Luật này và quy định khác của pháp luật có liên quan.
2. Tổ chức, cá nhân không được gửi thông tin mang tính thương mại vào địa chỉ điện tử của người tiếp nhận khi chưa được người tiếp nhận đồng ý hoặc khi người tiếp nhận đã từ chối, trừ trường hợp người tiếp nhận có nghĩa vụ phải tiếp nhận thông tin theo quy định của pháp luật.
3. Doanh nghiệp viễn thông, doanh nghiệp cung cấp dịch vụ ứng dụng viễn thông và doanh nghiệp cung cấp dịch vụ công nghệ thông tin gửi thông tin có trách nhiệm sau đây:
a) Tuân thủ quy định của pháp luật về lưu trữ thông tin, bảo vệ thông tin cá nhân, thông tin riêng của tổ chức, cá nhân;
b) Áp dụng biện pháp ngăn chặn, xử lý khi nhận được thông báo của tổ chức, cá nhân về việc gửi thông tin vi phạm quy định của pháp luật;
c) Có phương thức để người tiếp nhận thông tin có khả năng từ chối việc tiếp nhận thông tin;
d) Cung cấp điều kiện kỹ thuật và nghiệp vụ cần thiết để cơ quan nhà nước có thẩm quyền thực hiện nhiệm vụ quản lý, bảo đảm an toàn thông tin mạng khi có yêu cầu.
(Điều 10 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.LQ.11. Phòng ngừa, phát hiện, ngăn chặn và xử lý phần mềm độc hại
1. Cơ quan, tổ chức, cá nhân có trách nhiệm thực hiện phòng ngừa, ngăn chặn phần mềm độc hại theo hướng dẫn, yêu cầu của cơ quan nhà nước có thẩm quyền.
2. Chủ quản hệ thống thông tin quan trọng quốc gia triển khai hệ thống kỹ thuật nghiệp vụ nhằm phòng ngừa, phát hiện, ngăn chặn và xử lý kịp thời phần mềm độc hại.
3. Doanh nghiệp cung cấp dịch vụ thư điện tử, truyền đưa, lưu trữ thông tin phải có hệ thống lọc phần mềm độc hại trong quá trình gửi, nhận, lưu trữ thông tin trên hệ thống của mình và báo cáo cơ quan nhà nước có thẩm quyền theo quy định của pháp luật.
4. Doanh nghiệp cung cấp dịch vụ Internet có biện pháp quản lý, phòng ngừa, phát hiện, ngăn chặn phát tán phần mềm độc hại và xử lý theo yêu cầu của cơ quan nhà nước có thẩm quyền.
5. Bộ Thông tin và Truyền thông chủ trì, phối hợp với Bộ Quốc phòng, Bộ Công an và bộ, ngành có liên quan tổ chức phòng ngừa, phát hiện, ngăn chặn và xử lý phần mềm độc hại gây ảnh hưởng đến quốc phòng, an ninh quốc gia.
(Điều 11 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.LQ.12. Bảo đảm an toàn tài nguyên viễn thông
1. Cơ quan, tổ chức, cá nhân sử dụng tài nguyên viễn thông có trách nhiệm sau đây:
a) Áp dụng biện pháp quản lý và kỹ thuật để ngăn chặn mất an toàn thông tin mạng xuất phát từ tần số, kho số, tên miền và địa chỉ Internet của mình;
b) Phối hợp, cung cấp thông tin liên quan đến an toàn tài nguyên viễn thông theo yêu cầu của cơ quan nhà nước có thẩm quyền.
2. Doanh nghiệp cung cấp dịch vụ trên Internet có trách nhiệm quản lý, phối hợp ngăn chặn mất an toàn thông tin mạng xuất phát từ tài nguyên Internet, từ khách hàng của mình; cung cấp đầy đủ thông tin theo yêu cầu của cơ quan nhà nước có thẩm quyền; phối hợp kết nối, định tuyến để bảo đảm hệ thống máy chủ tên miền quốc gia Việt Nam hoạt động an toàn, ổn định.
3. Bộ Thông tin và Truyền thông có trách nhiệm thực hiện bảo đảm an toàn thông tin mạng cho hệ thống máy chủ tên miền quốc gia Việt Nam.
(Điều 12 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.LQ.13. Ứng cứu sự cố an toàn thông tin mạng
1. Ứng cứu sự cố an toàn thông tin mạng là hoạt động nhằm xử lý, khắc phục sự cố gây mất an toàn thông tin mạng.
2. Ứng cứu sự cố an toàn thông tin mạng phải tuân thủ các nguyên tắc sau đây:
a) Kịp thời, nhanh chóng, chính xác, đồng bộ và hiệu quả;
b) Tuân thủ quy định của pháp luật về điều phối ứng cứu sự cố an toàn thông tin mạng;
c) Có sự phối hợp giữa cơ quan, tổ chức, doanh nghiệp trong nước và nước ngoài.
3. Bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ, Ủy ban nhân dân cấp tỉnh, doanh nghiệp viễn thông, chủ quản hệ thống thông tin quan trọng quốc gia phải thành lập hoặc chỉ định bộ phận chuyên trách ứng cứu sự cố an toàn thông tin mạng.
4. Bộ Thông tin và Truyền thông có trách nhiệm điều phối ứng cứu sự cố an toàn thông tin mạng trên toàn quốc; quy định chi tiết về điều phối ứng cứu sự cố an toàn thông tin mạng.
(Điều 13 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.QĐ.1.6. Đơn vị chuyên trách về ứng cứu sự cố an toàn thông tin mạng
1. Đơn vị chuyên trách về ứng cứu sự cố an toàn thông tin mạng là Cơ quan chuyên trách về an toàn thông tin hoặc cơ quan chuyên trách về công nghệ thông tin của các bộ, ngành, Ủy ban nhân dân cấp tỉnh (sau đây gọi tắt là Đơn vị chuyên trách ứng cứu sự cố).
Các doanh nghiệp viễn thông, Internet, các cơ quan, tổ chức, doanh nghiệp chủ quản hệ thống thông tin lớn thành lập hoặc chỉ định đơn vị chuyên trách ứng cứu sự cố an toàn thông tin mạng tại cơ quan, tổ chức mình.
2. Đơn vị chuyên trách ứng cứu sự cố có trách nhiệm trình thành lập Đội ứng cứu sự cố và tổ chức hoạt động ứng cứu sự cố trong lĩnh vực, địa bàn, phạm vi mình quản lý; tham gia hoạt động ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia khi có yêu cầu từ Cơ quan thường trực hoặc Cơ quan điều phối.
(Điều 6 Quyết định số 05/2017/QĐ-TTg, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.QĐ.1.7. Mạng lưới ứng cứu sự cố an toàn thông tin mạng quốc gia
1. Thành viên có nghĩa vụ phải tham gia mạng lưới ứng cứu sự cố an toàn thông tin mạng quốc gia (sau đây gọi tắt là mạng lưới ứng cứu sự cố) gồm:
a) Đơn vị chuyên trách về ứng cứu sự cố, an toàn thông tin hoặc công nghệ thống tin của các bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ, cơ quan trung ương; Sở Thông tin và Truyền thông các tỉnh, thành phố trực thuộc trung ương;
b) Cơ quan, đơn vị có chức năng liên quan thuộc Bộ Thông tin và Truyền thông: Cục An toàn thông tin, Trung tâm Ứng cứu khẩn cấp máy tính Việt nam (VNCERT), Trung tâm Internet Việt Nam (VNNIC), Cục Bưu điện Trung ương;
c) Cơ quan, đơn vị có chức năng liên quan thuộc Bộ Công an: Cục An ninh mạng; Cục Cảnh sát phòng, chống tội phạm sử dụng công nghệ cao;
d) Cơ quan, đơn vị có chức năng liên quan thuộc Bộ Quốc phòng: Cục Công nghệ thông tin; Ban Cơ yếu Chính phủ;
đ) Các doanh nghiệp cung cấp dịch vụ hạ tầng viễn thông, Internet (ISP); các tổ chức, doanh nghiệp cung cấp dịch vụ trung tâm dữ liệu, cho thuê không gian lưu trữ thông tin số; đơn vị quản lý, vận hành cơ sở dữ liệu quốc gia; đơn vị chuyên trách về an toàn thông tin, công nghệ thông tin của các tổ chức ngân hàng, tài chính, kho bạc, thuế, hải quan;
e) Các tổ chức, doanh nghiệp quản lý, vận hành các hệ thống thông tin quan trọng, các hệ thống điều khiển công nghiệp (SCADA) thuộc các lĩnh vực: Năng lượng, công nghiệp, y tế, tài nguyên và môi trường, giáo dục và đào tạo, dân cư và đô thị.
2. Thành viên tự nguyện tham gia mạng lưới: Là các tổ chức, doanh nghiệp không thuộc danh sách quy định tại khoản 1 Điều này, có năng lực về an toàn thông tin hoặc công nghệ thông tin, có đăng ký và được Cơ quan điều phối quốc gia chấp thuận tham gia mạng lưới. Khuyến khích các tổ chức, doanh nghiệp hoạt động trong lĩnh vực an toàn thông tin, công nghệ thông tin; các tổ chức, doanh nghiệp quản lý, vận hành hệ thống thông tin quy mô lớn, hệ thống thông tin chuyên ngành ngân hàng, tài chính, hệ thống điều khiển công nghiệp (SCADA); và các đơn vị khác có năng lực về an toàn thông tin đăng ký tham gia mạng lưới.
3. Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (Trung tâm VNCERT) là Cơ quan điều phối quốc gia về ứng cứu sự cố (gọi tắt là Cơ quan điều phối quốc gia hay Cơ quan điều phối), có trách nhiệm:
a) Thực hiện chức năng điều phối các hoạt động ứng cứu sự cố trên toàn quốc; có quyền huy động, điều phối các thành viên mạng lưới ứng cứu sự cố và các tổ chức, đơn vị liên quan phối hợp ngăn chặn, xử lý, khắc phục sự cố tại Việt Nam; có quyền quyết định hình thức điều phối các hoạt động ứng cứu sự cố và chịu trách nhiệm về các lệnh/yêu cầu điều phối;
b) Chủ trì xây dựng quy chế hoạt động của mạng lưới; tổ chức và điều hành hoạt động của mạng lưới; tổng hợp và chia sẻ thông tin, cảnh báo sự cố trong mạng lưới; đề xuất và tiếp nhận, quản lý các khoản đóng góp, tài trợ của các thành viên và các tổ chức, cá nhân và nguồn thu hợp pháp khác để chi cho các hoạt động của mạng lưới; là đầu mối quốc gia hợp tác với các tổ chức, doanh nghiệp nước ngoài trong công tác ứng cứu sự cố bảo đảm an toàn thông tin mạng.
c) Bộ Thông tin và Truyền thông thành lập Ban điều hành mạng lưới do lãnh đạo Cơ quan điều phối làm trưởng ban, thành viên là đại diện lãnh đạo một số thành viên mạng lưới để điều hành, phối hợp và tổ chức các hoạt động cho mạng lưới.
4. Các thành viên mạng lưới có trách nhiệm tuân thủ quy chế hoạt động của mạng lưới, tuân thủ các yêu cầu điều phối của cơ quan điều phối, tham gia, đóng góp tích cực cho hoạt động của mạng lưới. Doanh nghiệp viễn thông, nhà cung cấp dịch vụ Internet ISP có trách nhiệm lưu trữ và cung cấp thông tin liên quan đến các địa chỉ IP thuê bao, máy chủ, thiết bị IOT, các log file, nhật ký dịch vụ phân giải tên miền DNS trong phạm vi quản lý của doanh nghiệp; thiết lập môi trường để lắp đặt thiết bị quan trắc, lấy mẫu và cung cấp luồng dữ liệu mạng để phục vụ giám sát, phát hiện sự cố theo yêu cầu của cơ quan điều phối quốc gia; thiết lập đầu mối thường trực 24/7, bố trí nhân, vật lực sẵn sàng phối hợp, triển khai các giải pháp nhằm ứng cứu, khắc phục hậu quả sự cố trong trường hợp nguồn tấn công được xác định xuất phát từ thuê bao thuộc doanh nghiệp mình hoặc khi được yêu cầu từ cơ quan điều phối quốc gia.
(Điều 7 Quyết định số 05/2017/QĐ-TTg, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.3.5. Mạng lưới ứng cứu sự cố
1. Mạng lưới ứng cứu sự cố hoạt động trên toàn quốc, gồm thành viên là các đơn vị chuyên trách về ứng cứu sự cố và các cơ quan, tổ chức, doanh nghiệp liên quan được quy định chi tiết tại Điều 7 Quyết định số 05/2017/QĐ-TTg.
2. Mạng lưới ứng cứu sự cố hoạt động theo Quy chế hoạt động của Mạng lưới và hướng dẫn liên quan của Cơ quan điều phối quốc gia (Trung tâm ứng cứu khẩn cấp máy tính Việt Nam). Ban điều hành mạng lưới do Bộ Thông tin và Truyền thông thành lập theo quy định tại Điều 7 Quyết định số 05/2017/QĐ-TTg.
3. Các thành viên mạng lưới khai báo hồ sơ theo Biểu mẫu số 01 ban hành kèm theo Thông tư này, định kỳ cập nhật hàng năm, gửi Cơ quan điều phối quốc gia. C á c t ổ ch ứ c, doanh nghiệp, cá nhân tự nguyện đăng ký tham gia mạng lưới phải có đơn đăng ký tham gia theo Biểu mẫu số 02, gửi C ơ quan điều phối qu ố c gia.
(Điều 5 Thông tư số 20/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/11/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.3.6. Trách nhiệm, quyền hạn của các thành viên mạng lưới
1. Thành viên mạng lưới có các trách nhiệm và quyền hạn sau:
a) Thực hiện các trách nhiệm và quyền hạn quy định tại Quyết định số 05/2017/QĐ-TTg ;
b) C ử Đ ầ u m ối ứ ng c ứ u sự cố có đủ năng lực, trình độ chuyên môn và kỹ n ă ng nghi ệ p vụ đ ể thực hiện c á c hoạt động phối hợp ứng cứu sự cố ; bảo đảm duy trì liên lạc thông su ố t, liên tục 24/7; công bố thông tin về địa chỉ tiếp nhận sự cố trên Trang/Cổng thông tin điện tử; cung cấp, cập nhật thông tin về Đầu m ố i ứng cứu sự cố, nhân lực kỹ thuật an toàn thông tin, ứng cứu sự cố thuộc phạm vi quản lý tới Cơ quan điều phối quốc gia; cập nhật thông tin về Đầu mối ứng cứu sự cố, trong vòng 24 giờ khi có thay đổi;
c) Tổng hợp, xây dựng báo cáo định kỳ 06 tháng (trước ngày 20 tháng 6) 01 năm (trước ngày 15 tháng 12) theo Biểu mẫu số 05 gửi Cơ quan điều phối quốc gia; báo cáo đột xuất khi có yêu cầu của Cơ quan điều phối quốc gia ;
d) Báo cáo với Cơ quan điều phối quốc gia khi tiếp nhận thông tin, phát hiện các sự cố đối với hệ th ố ng thông tin trong phạm vi quản lý ;
đ) Xây dựng và triển khai kế hoạch ứng phó sự cố, hướng dẫn hoạt động ứ ng cứu sự cố, tổ chức và điều hành hoạt động của Đội ứng cứu sự cố trong phạm vi quản lý;
e) Có quyền đề nghị thành viên mạng lưới hướng dẫn, hỗ trợ xử lý và ứng cứu sự cố khi c ầ n thiết; được tham gia các hội thảo, hội nghị giao ban, tập huấn b ồ i dưỡng, đào tạo, hu ấ n luyện, diễn tập và các hoạt động khác trong mạng lưới ;
g) Có quyền được chia sẻ thông tin, kinh nghiệm, cảnh báo về sự cố và tình h ì nh an toàn thông tin mạng trong và ngoài nước;
h) Các thành viên mạng lưới là cơ quan, đơn vị chức năng thuộc Bộ Công an và Bộ Quốc phòng không phải thực hiện Điểm c và Điểm d Khoản này.
2. Trách nhiệm và quyền hạn của Cơ quan điều phối quốc gia:
a) Thực hiện các trách nhiệm và quyền hạn quy định tại Quyết định số 05/2017/QĐ-TTg ;
b) Công khai trên Trang thông tin điện tử của mình số điện thoại, số fax địa chỉ thư điện tử (email), đường dây nóng và bảo đảm nguồn lực để duy trì trực đường dây nóng liên tục, kịp thời tiếp nhận và xử lý sự cố; tổng hợp thông tin liên lạc (địa chỉ, số điện thoại, số fax, địa chỉ thư điện tử) và thông tin về đầu m ố i ứng cứu sự cố, nhân lực kỹ thuật an toàn thông tin, ứng cứu sự cố của các thành viên mạng lưới và Đội ứng cứu sự cố của các thành viên mạng lưới ;
c) Xây dựng, triển khai và vận hành cổng thông tin mạng lưới, hệ thống kỹ thuật hỗ trợ cho hoạt động liên lạc, trao đổi thông tin trong mạng lưới và các hệ thống kỹ thuật phục vụ các hoạt động điều phối, ứng cứu, xử lý, khắc phục sự cố;
d) Hướng dẫn hoạt động thông báo và hỏi đáp về sự cố an toàn thông tin mạng tr ê n to à n qu ố c; điều hành mạng lưới; nghiên cứu, đ ề xuất các biện pháp nhằm tăng cường nguồn lực cho mạng lưới hoạt động có hiệu quả ;
đ) Tập hợp, tiếp nhận, xử lý, chuẩn bị thông tin, cảnh báo tới người có thẩm quyền và các cơ quan, tổ chức, đơn vị liên quan về các nguy cơ sự cố an toàn thông tin mạng và các biện pháp phòng ngừa, ngăn chặn, x ử l ý;
e) Tổ chức hội thảo, hội nghị giao ban, phổ biến, trao đổi thông tin, tập hu ấ n, b ồ i dưỡng, đào tạo, huấn luyện, diễn tập về an toàn thông tin mạng ứng cứu sự cố; tổ chức các hoạt động chung của mạng lưới.
(Điều 6 Thông tư số 20/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/11/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.3.7. Các hoạt động chính của mạng lưới ứng cứu sự cố
Ban điều hành mạng lưới tổ chức triển khai các nhiệm vụ của mạng lưới ứng cứu sự cố, gồm các hoạt động chính sau:
1. Nghiên cứu, thu thập, tiếp nhận, phân tích, xác minh, đánh giá, cảnh báo về sự cố, rủi ro an toàn thông tin mạng và phần mềm độc hại.
2. Phối hợp thực hiện ứng cứu, xử lý, ngăn chặn và khắc phục sự cố; kiểm tra, đốc thúc việc xây dựng, triển khai kế hoạch ứng phó sự cố an toàn thông tin mạng và việc thực hiện các trách nhiệm, nghĩa vụ của thành viên mạng lưới<;
3. Xây dựng, nâng cao năng lực cho các thành viên mạng lưới và các Đội ứng cứu sự cố, gồm:
a) Huấn luyện, diễn tập, đào tạo, tập huấn nâng cao trình độ, kỹ năng và nghiệp vụ; tổ chức các chuyến công tác trong và ngoài nước để khảo sát, học hỏi kinh nghiệm, trao đổi, hợp tác;
b) Giao ban định kỳ, tổ chức hội thảo, hội nghị, tọa đàm trao đổi và chia sẻ thông tin, kinh nghiệm về điều phối, ứng cứu sự cố, bảo đảm an toàn thông tin mạng;
c) Hỗ trợ xây dựng và áp dụng các quy trình quản lý, vận hành hệ thống thông tin theo các tiêu chuẩn quốc gia, quy chuẩn kỹ thuật quốc gia và tiêu chuẩn quốc tế về an toàn thông tin, ứng cứu sự cố;
d) Tổ chức các nghiên cứu chuyên môn, xây dựng các báo cáo, tài liệu hướng dẫn, thống kê về an toàn thông tin mạng và các vấn đề liên quan để chia sẻ, phổ biến trong mạng lưới.
4. Tham gia các hoạt động thông tin, tuyên truyền nâng cao nhận thức về phòng ngừa, ứng cứu sự cố, bảo đảm an toàn thông tin mạng.
5. Tổ chức, duy trì hoạt động của Ban điều hành mạng lưới; và triển khai các hoạt động khác liên quan đến điều phối, ứng cứu sự cố, bảo đảm an toàn thông tin mạng.
(Điều 7 Thông tư số 20/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/11/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.QĐ.1.11. Báo cáo sự cố an toàn thông tin mạng
1. Báo cáo sự cố an toàn thông tin mạng:
a) Đơn vị vận hành hệ thống thông tin có trách nhiệm báo cáo sự cố tới cơ quan chủ quản, đơn vị chuyên trách ứng cứu sự cố cùng cấp, Cơ quan điều phối quốc gia chậm nhất 5 ngày kể từ khi phát hiện sự cố; trường hợp xác định sự cố có thể vượt khả năng xử lý của mình, đơn vị vận hành hệ thống thông tin phải thực hiện quy trình báo cáo khẩn cấp theo quy định tại khoản 2 đến khoản 5 Điều này ngay khi phát hiện sự cố hoặc xác định sự cố có thể vượt khả năng xử lý của mình.
b) Các tổ chức, cá nhân khi phát hiện dấu hiệu tấn công hoặc sự cố an toàn thông tin mạng cần nhanh chóng thông báo cho đơn vị vận hành hệ thống thông tin, cơ quan chủ quản hệ thống thông tin liên quan, cơ quan điều phối quốc gia và đơn vị chuyên trách ứng cứu sự cố hoặc thành viên mạng lưới ứng cứu sự cố có trách nhiệm liên quan.
2. Báo cáo sự cố phải được thực hiện ngay lập tức và được duy trì trong suốt quá trình ứng cứu sự cố gồm: Báo cáo ban đầu; báo cáo diễn biến tình hình; báo cáo phương án ứng cứu cụ thể; báo cáo xin ý kiến chỉ đạo, chỉ huy; báo cáo đề nghị hỗ trợ, phối hợp; báo cáo kết thúc ứng phó.
3. Hình thức báo cáo bằng công văn, fax, thư điện tử, nhắn tin đa phương tiện hoặc thông qua hệ thống báo cáo, cảnh báo sự cố an toàn mạng quốc gia; mẫu báo cáo theo quy định về điều phối ứng cứu, hoặc theo hướng dẫn của cơ quan điều phối quốc gia.
4. Nội dung báo cáo ban đầu gồm:
a) Tên, địa chỉ Đơn vị vận hành hệ thống thông tin; cơ quan chủ quản hệ thống thông tin; hệ thống thông tin bị sự cố; thời điểm phát hiện sự cố;
b) Đầu mối liên lạc về sự cố của đơn vị vận hành hệ thống bị sự cố: Tên, chức vụ, điện thoại, thư điện tử;
c) Mô tả về sự cố: Loại sự cố, hiện tượng, đánh giá sơ bộ mức độ nguy hại, mức độ lây lan, tác động của sự cố đến hoạt động bình thường của tổ chức;
d) Đơn vị cung cấp dịch vụ hạ tầng công nghệ thông tin, viễn thông;
đ) Liệt kê các biện pháp đã triển khai hoặc dự kiến triển khai để xử lý khắc phục sự cố;
e) Các tổ chức, doanh nghiệp đang hỗ trợ ứng cứu, xử lý và kết quả xử lý sự cố tính đến thời điểm báo cáo;
g) Kết quả ứng cứu sự cố ban đầu;
h) Kiến nghị đề xuất hướng ứng cứu xử lý sự cố (nếu có).
5. Nguyên tắc báo cáo, trao đổi thông tin trong ứng cứu sự cố:
a) Đơn vị vận hành hệ thống thông tin báo cáo Chủ quản hệ thống thông tin, đơn vị chuyên trách ứng cứu sự cố cùng cấp, đồng gửi Cơ quan điều phối quốc gia;
b) Đơn vị chuyên trách ứng cứu sự cố báo cáo Chủ quản hệ thống thông tin, Ban Chỉ đạo cấp trên trực tiếp và Cơ quan điều phối quốc gia;
c) Ban Chỉ đạo cấp bộ, tỉnh và cơ quan điều phối quốc gia báo cáo Cơ quan thường trực và Ban Chỉ đạo quốc gia.
(Điều 11 Quyết định số 05/2017/QĐ-TTg, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.3.9. Thông báo, báo cáo sự cố an toàn thông tin mạng
1. Các h ì nh thức thông báo, báo cáo sự cố
a) Hình thức thông báo sự cố: Bằng công văn, fax, thư điện tử, nhắn tin đa phương tiện hoặc thông qua hệ thống kỹ thuật báo cáo sự cố an toàn thông tin mạng theo hướng dẫn của Cơ quan điều phối quốc gia;
b) Hình thức báo cáo sự cố: Bằng văn bản giấy hoặc văn bản điện tử (có ký tên và đóng dấu hoặc chữ ký số của người có thẩm quyền).
2. Báo cáo sự cố an toàn thông tin mạng
a) Đơn vị, cá nhân vận hành hệ th ố ng thông tin có trách nhiệm chậm nhất 05 ngày kể từ khi phát hiện sự cố phải thông báo các thông tin của sự cố theo nội dung tại Điểm a Khoản 3 Điều này (Thông báo sự cố) tới đồng thời các cơ quan, đơn vị sau: Chủ quản hệ thống thông tin, Cơ quan điều phối quốc gia, Đơn vị chuyên trách về ứng cứu sự cố và thành viên mạng lưới ứng cứu sự cố có trách nhiệm liên quan (nếu có). Tại thời điểm báo cáo, nếu chưa hoàn thành việc xử lý sự cố, đơn vị, cá nhân vận hành hệ thống phải cập nhật lại thông tin của sự c ố cho các cơ quan, đơn vị đã nhận thông tin trước đó ngay khi kết thúc việc xử lý sự cố;
b) Trường hợp đơn vị, cá nhân vận hành hệ thống thông tin xác định sự cố có thể vượt khả năng xử lý của mình phải xây dựng ngay Báo cáo ban đầu sự cố, báo cáo Chủ quản hệ thống thông tin, Đơn vị chuyên trách về ứng cứu sự cố chịu trách nhiệm ứng cứu (n ế u có) và Cơ quan điều phối quốc gia; sau khi kết thúc ứng cứu sự cố, chậm nhất trong vòng 05 ngày phải hoàn thiện Báo cáo kết thúc ứng phó sự cố để báo cáo Chủ quản hệ thống thông tin và Cơ quan điều ph ố i qu ố c gia. Cơ quan điều ph ố i quốc gia chỉ ghi nhận sự cố đã hoàn thành ứng cứu sự cố sau khi đã nhận được Báo cáo kết th ú c ứng phó sự cố ;
c) Các tổ chức, cá nhân không phải là đơn vị, cá nhân vận hành hệ thống thông tin khi phát hiện dấu hiệu tấn công hoặc sự cố an toàn thông tin mạng cần nhanh chóng thông báo thông tin của sự cố (Thông báo sự cố) tới đồng thời hoặc một trong các cơ quan, đơn vị sau: Đơn vị, cá nhân vận hành hệ thống thông tin Chủ quản hệ thống thông tin, Cơ quan điều phối quốc gia, Đơn vị chuyên tr á c h về ứng cứu sự cố hoặc thành viên mạng lưới ứng cứu sự cố có trách nhiệm liên quan.
3. Các loại thông báo, báo cáo sự cố:
a) Thông báo sự cố, nội dung gồm: Tên, địa chỉ đơn vị, cá nhân thông báo sự cố; tên hoặc tên mi ề n, địa chỉ IP của hệ thống thông tin bị sự cố; tên địa chỉ của đơn vị, cá nhân vận hành và cơ quan chủ quản hệ thống thông tin bị sự cố (n ế u biết); mô tả sự cố và thời điểm phát hiện sự cố; kết quả xử lý sự cố đề xuất, kiến nghị và các thông tin liên quan khác (nếu có) ;
b) Báo cáo ban đầu sự cố, nội dung theo Biểu mẫu số 03 Phụ lục I ban hành kèm theo Thông tư này;
c) Báo cáo diễn biến tình hình;
d) Báo cáo phương án ứng cứu cụ thể;
đ) Báo cáo đề nghị hỗ trợ, phối hợp;
e) Báo cáo kết thúc ứng phó sự cố, nội dung theo Biểu mẫu số 04 Phụ lục I ban hành kèm theo Thông tư này.
4. Trong quá trình ứng cứu sự cố, đơn vị, cá nhân vận hành hệ thống phải chủ trì, phối hợp với các cơ quan, đơn vị liên quan xây dựng và duy trì thực hiện các báo cáo ứng cứu sự cố theo quy định và yêu cầu của cơ quan có thẩm quyền.
Phụ lục I.doc
(Điều 9 Thông tư số 20/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/11/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.QĐ.1.12. Tiếp nhận, phát hiện, phân loại và xử lý ban đầu sự cố an toàn thông tin mạng
1. Đơn vị chuyên trách về ứng cứu sự cố hoặc thành viên mạng lưới ứng cứu sự cố, khi phát hiện sự cố hoặc nhận được thông báo, báo cáo sự cố an toàn thông tin mạng trong phạm vi mình chịu trách nhiệm phải thực hiện:
a) Ghi nhận, tiếp nhận thông báo, báo cáo sự cố an toàn thông tin mạng theo đúng quy trình;
b) Thông báo ngay thông tin sự cố đến Cơ quan điều phối quốc gia, đơn vị vận hành hệ thống thông tin, cơ quan chủ quản hệ thống thông tin và các cơ quan chức năng liên quan;
c) Phản hồi cho tổ chức, cá nhân gửi thông báo, báo cáo ban đầu ngay sau khi nhận được để xác nhận về việc đã nhận được thông báo, báo cáo sự cố;
d) Thẩm tra, xác minh và phân loại sự cố an toàn thông tin mạng để lựa chọn phương án ứng cứu phù hợp hoặc đề xuất với Ban chỉ đạo cấp trên trực tiếp và cơ quan điều phối quốc gia trong trường hợp vượt thẩm quyền;
đ) Chủ động hỗ trợ đơn vị vận hành hệ thống thông tin ứng cứu, xử lý sự cố trong khả năng và trách nhiệm của mình;
e) Giám sát diễn biến tình hình ứng cứu sự cố và báo cáo Ban Chỉ đạo cấp trên trực tiếp và cơ quan điều phối quốc gia; đề xuất, xin ý kiến chỉ đạo trong trường hợp không thuộc thẩm quyền, phạm vi trách nhiệm của mình hoặc vượt khả năng xử lý của mình;
g) Tổng hợp báo cáo Cơ quan điều phối quốc gia theo định kỳ 6 tháng một lần và báo cáo đột xuất khi được yêu cầu.
2. Cơ quan điều phối quốc gia có trách nhiệm:
a) Công khai trên trang tin điện tử của mình số điện thoại, số fax và email đường dây nóng và bảo đảm nguồn lực để duy trì trực đường dây nóng liên tục để kịp thời tiếp nhận và xử lý sự cố;
b) Ghi nhận, tiếp nhận thông báo, báo cáo sự cố an toàn thông tin mạng theo đúng quy trình;
c) Phản hồi cho tổ chức, cá nhân gửi thông báo, báo cáo ban đầu ngay sau khi nhận được để xác nhận về việc đã nhận được thông báo, báo cáo sự cố;
d) Cung cấp đầu mối liên lạc riêng đối với sự cố nghiêm trọng;
đ) Thẩm tra, xác minh và phân loại sự cố để thực hiện các cảnh báo, điều phối lựa chọn phương án, tổ chức ứng cứu và báo cáo; đề xuất với Cơ quan thường trực quyết định sự cố nghiêm trọng và phương án ứng cứu khẩn cấp phù hợp; báo cáo, đề xuất với Cơ quan thường trực và Ban Chỉ đạo quốc gia các vấn đề vượt thẩm quyền;
e) Tổ chức hoạt động phối hợp với các tổ chức ứng cứu sự cố mạng quốc tế để tiếp nhận các cảnh báo sớm, thông tin về sự cố, nguy cơ về mất an toàn thông tin mạng và phối hợp ứng cứu sự cố, tấn công xuyên biên giới;
g) Thực hiện các trách nhiệm khác của Cơ quan điều phối quốc gia.
3. Đơn vị vận hành hệ thống thông tin khi phát hiện hoặc nhận được thông báo sự cố đối với hệ thống thông tin do mình quản lý, phải thực hiện:
a) Ghi nhận, tiếp nhận thông báo, báo cáo sự cố và tập hợp các thông tin liên quan theo đúng quy trình;
b) Phản hồi cho tổ chức, cá nhân gửi thông báo, báo cáo ban đầu ngay sau khi nhận được để xác nhận về việc đã nhận được thông báo, báo cáo sự cố;
c) Chủ trì, phối hợp cùng đơn vị cung cấp dịch vụ an toàn thông tin mạng (nếu có) và các đơn vị chức năng liên quan tiến hành phân tích, xác minh, đánh giá tình hình, sơ bộ phân loại sự cố và triển khai ngay các hoạt động ứng cứu sự cố và báo cáo theo quy định;
d) Báo cáo về sự cố, diễn biến tình hình ứng cứu sự cố, đề xuất hỗ trợ ứng cứu sự cố hoặc nâng cấp nghiêm trọng của sự cố (khi cần) cho chủ quản hệ thống thông tin, Cơ quan điều phối quốc gia và đơn vị chuyên trách ứng cứu sự cố cùng cấp.
(Điều 12 Quyết định số 05/2017/QĐ-TTg, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.3.10. Phát hiện, tiếp nhận, xác minh, xử lý ban đầu và phân loại sự cố an toàn thông tin mạng
1 . Đơn vị, cá nhân vận hành hệ thống thông tin, có trách nhiệm:
a) Khi phát hiện sự cố: Tổ chức theo dõi, ghi chép và tập hợp các thông tin liên quan đến sự cố và tổ chức thông báo hoặc báo cáo sự cố theo quy định tại Điều 9 của Thông tư này;
b) Khi tiếp nhận thông báo sự cố: Phản hồi ngay cho tổ chức, cá nhân gửi thông báo sự cố để xác nhận thông tin;
c) Xác minh sự cố và xử lý ban đầu: Chủ trì, phối hợp với đơn vị chịu trách nhiệm bảo đảm an toàn thông tin (nếu có), đơn vị chuyên trách về ứng cứu sự cố liên quan và các doanh nghiệp viễn thông, Internet (ISP) để tiến hành phân tích, xác minh, đánh giá sự cố; thực hiện ngay các hoạt động ứng cứu sự cố ban đầu, triển khai quy trình ứng cứu sự cố theo kế hoạch ứng phó sự cố an toàn thông tin mạng đã được cấp thẩm quyền phê duyệt hoặc quy trình tại Điều 11 của Thông tư này; trường hợp xác định sự cố có khả năng là sự cố nghiêm trọng, cần báo cáo ngay với chủ quản hệ thống thông tin, đơn vị chuyên trách về ứng cứu sự cố liên quan để đề xuất nâng cấp sự cố nghiêm trọng, đồng thời gửi Cơ quan điều phối quốc gia.
2. Đơn vị chuyên trách về ứng cứu sự cố hoặc thành viên mạng lưới ứng cứu sự cố, có trách nhiệm:
a) Khi phát hiện sự cố: Thông báo sự cố ngay đến đơn vị, cá nhân vận hành hệ thống thông tin, chủ quản hệ thống thông tin và Cơ quan điều phối quốc gia;
b) Khi tiếp nhận thông báo hoặc báo cáo sự cố: Ghi nhận, tiếp nhận đúng quy định và phản hồi cho tổ chức, cá nhân gửi thông báo hoặc báo cáo sự cố ngay sau khi nhận được để xác nhận thông tin;
c) Tổ chức xác minh và xử lý sự cố: Phối hợp với đơn vị, cá nhân vận hành hệ thống thông tin để thẩm tra, xác minh và xử lý sự cố trong khả năng và trách nhiệm của mình; trường hợp xác định sự cố có khả năng vượt qua khả năng xử lý của mình hoặc có khả năng là sự cố nghiêm trọng, cần báo cáo ngay chủ quản hệ thống thông tin và Cơ quan điều phối quốc gia;
d) Giám sát diễn biến tình hình ứng cứu sự cố và báo cáo h o ặc đề xuất, xin ý kiến chỉ đạo của chủ quản hệ thống thông tin và Ban Chỉ đạo ứng cứu sự cố cấp bộ, tỉnh trong trường hợp vượt thẩm quyền, phạm vi trách nhiệm của mình hoặc vượt khả năng xử lý của mình;
đ) Tổng hợp, báo cáo Cơ quan điều phối quốc gia về diễn biến sự cố khi được yêu cầu.
3. Cơ quan điều phối quốc gia có trách nhiệm:
a) Ghi nhận, tiếp nhận thông báo, báo cáo sự cố an toàn thông tin mạng theo đúng quy trình;
b) Phản hồi cho tổ chức, cá nhân gửi thông báo, báo cáo sự cố ngay sau khi nhận được để xác nhận thông tin;
c) Thẩm tra, xác minh và phân loại sự cố để thực hiện các cảnh báo, điều ph ố i lựa chọn phương án, tổ chức ứng cứu và báo cáo, đề xuất với Cơ quan thường trực xem xét, quyết định sự cố nghiêm trọng và phương án ứng cứu khẩn cấp phù hợp. Trường hợp phân loại là sự cố nghiêm trọng, Cơ quan điều phối quốc gia chủ trì, phối hợp với các cơ quan liên quan triển khai các bước theo quy trình ứng cứu sự cố nghiêm trọng quy định tại Quyết định số 05/2017/QĐ-TTg ;
d) Tổ chức hoạt động phối hợp với các tổ chức ứng cứu sự cố mạng quốc t ế đ ể tiếp nhận các cảnh báo sớm, thông tin về sự cố, nguy cơ về mất an toàn thông tin mạng và phối hợp ứng c ứ u sự cố, tấn công xuyên biên giới ;
đ) Thực hiện c á c tr á ch nhi ệ m khác của Cơ quan điều ph ố i quốc gia báo cáo đề xuất với Cơ quan thường trực các vấn đề vượt thẩm quyền.
(Điều 10 Thông tư số 20/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/11/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.QĐ.1.13. Quy trình ứng cứu sự cố an toàn thông tin mạng thông thường
Quy trình ứng cứu sự cố an toàn thông tin mạng thông thường theo các văn bản hướng dẫn, quy định của Bộ Thông tin và Truyền thông và Cơ quan điều phối quốc gia.
Phụ lục I.doc
(Điều 13 Quyết định số 05/2017/QĐ-TTg, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.3.4. Nguyên tắc điều phối, ứng cứu sự cố
1. Tuân thủ các quy định pháp luật về điều phối, ứng cứu sự cố an toàn thông tin mạng.
2. Chủ động, kịp thời, nhanh chóng, chính xác, đồng bộ và hiệu quả.
3. Phối hợp chặt chẽ, chính xác, đồng bộ và hiệu quả giữa các cơ quan tổ chức, doanh nghiệp trong nước và nước ngoài.
4. Ứng cứu sự cố trước hết phải được thực hiện, xử lý bằng lực lượng tại chỗ và trách nhiệm ch ính của chủ quản hệ thống thông tin.
5 . Tuân thủ các điều kiện, nguyên tắc ưu tiên về duy trì hoạt động của hệ thống thông tin đã được cấp thẩm quyền phê duyệt trong kế hoạch ứng ph ó sự cố.
6. Thông tin trao đổi trong mạng lưới phải được kiểm tra, xác thực đối tượng trước khi thực hiện các bước tác nghiệp tiếp theo.
7. Bảo đảm bí mật thông tin biết được khi tham gia, thực hiện các hoạt đ ộ ng ứ ng c ứ u sự c ố theo yêu cầu của Cơ quan điều ph ố i quốc gia hoặc cơ quan tổ chức, cá nhân gặp sự cố.
(Điều 4 Thông tư số 20/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/11/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.3.8. Hoạt động điều phối ứng cứu sự cố
1. Điều phối ứng cứu sự cố là hoạt động của Cơ quan điều phối quốc gia và cơ quan có thẩm quyền nhằm huy động, điều hành, phối hợp thống nhất các nguồn lực g ồ m: nhân lực, vật lực (trang thiết bị), tài lực (tài chính, ngân sách) để phòng ngừa, theo dõi, thu thập, phát hiện, cảnh báo sự cố; tiếp nhận, phân tích xác minh, phân loại sự cố; điều hành, phối hợp, tổ chức ứng cứu sự cố, sẵn sàng ứng phó, khắc phục sự cố nhằm giảm thiểu các rủi ro, thiệt hại do sự cố gây ra.
2. Cơ quan điều phối quốc gia thực hiện chức năng cảnh báo, điều phối ứng cứu sự cố trên toàn quốc; có quyền huy động, điều phối các thành viên mạng lưới ứng cứu sự cố và các tổ chức, đơn vị liên quan phối hợp ngăn chặn, xử lý, khắc phục sự cố trên toàn quốc; ban hành và chịu trách nhiệm về các lệnh/yêu cầu điều phối theo Biểu mẫu số 06 ban hành kèm theo Thông tư này;
3. Các tác nghiệp của hoạt động điều phối ứng cứu sự cố:
a) Theo dõi, phân tích, phát hiện, cảnh báo các nguy cơ, đe dọa, lỗ hổng, sự cố, tấn công mạng và các giải pháp phòng ngừa sự cố;
b) Xây dựng, đề xuất phương án, kế hoạch ứng phó với sự cố;
c) Tổ chức huấn luyện, diễn tập ứng cứu sự cố, bảo đảm an toàn thông tin mạng;
d) Điều hành, huy động các nguồn lực để ứng cứu sự cố theo thẩm quyền; cung cấp các hỗ trợ kỹ thuật và thực hiện các biện pháp để đối phó, phòng chống t ấ n công mạng;
đ) Điều tra, phân tích, xác định nguồn gốc, cách thức, phương pháp tấn công đ ể đối phó, ngăn chặn, đồng thời cảnh báo và hướng dẫn để ngăn ngừa sự cố lây lan diện rộng; thu thập, xây dựng báo cáo tổng hợp sự cố;
e) Chia sẻ, trao đổi, cung cấp thông tin giữa các cơ quan, tổ chức có trách nhiệm liên quan về ứng cứu sự cố, hoạt động điều phối ứng cứu sự cố và quá trình xử lý sự cố;
g) Các hoạt động khác liên quan đến ứng cứu sự cố theo quyết định Bộ Thông tin và Truyền thông.
4. Hình thức trao đổi thông tin về điều phối ứng cứu sự cố được thực hiện bằng một hoặc nhiều hình thức như: Công văn, thư điện tử, điện thoại, fax, nhắn tin đa phương tiện hoặc hệ thống kỹ thuật truyền thông tiên tiến; và đảm bảo tuân thủ theo các quy định pháp luật liên quan khi trao đổi thông tin mật.
(Điều 8 Thông tư số 20/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/11/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.3.11. Quy trình ứng cứu sự cố an toàn thông tin mạng
Quy trình ứng c ứ u sự cố an toàn thông tin mạng theo sơ đồ tại Phụ lục II cụ thể gồm:
1. Tiếp nhận, phân tích, ứng cứu ban đầu và thông báo sự cố
a) Tiếp nhận, xác minh sự cố
Đơn vị chủ trì: Đơn vị, cá nhân vận hành hệ thống thông tin.
Đơn vị phối hợp: Đơn vị chuyên trách về ứng cứu sự cố, Cơ quan điều phối quốc gia.
N ộ i dung thực hiện: Theo dõi, tiếp nhận, phân tích các cảnh báo, dấu hiệu sự cố từ các nguồn bên trong và bên ngoài. Khi phân tích, xác minh sự cố đã xảy ra, cần tổ chức ghi nhận, thu thập chứng cứ, xác định nguồn gốc sự cố.
b) Triển khai các bước ưu tiên ứng cứu ban đầu
Đơn vị chủ trì: Đơn vị, cá nhân vận hành hệ thống thông tin.
Đơn vị phối hợp: Đơn vị chuyên trách về ứng cứu sự cố, thành viên mạng lưới có liên quan và Cơ quan điều phối quốc gia.
Nội dung: Sau khi đã xác định sự cố xảy ra, đơn vị, cá nhân vận hành hệ thống t hô ng t in căn cứ vào bản chất, dấ u hiệu của sự cố tổ chức triển khai các bước ưu tiên ban đầu để xử lý sự cố theo kế hoạch ứng phó sự cố đã được cấp thẩm quyền phê duyệt hoặc theo hướng dẫn của Đơn vị chuyên trách về ứng cứu sự cố liên quan hoặc Cơ quan điều phối quốc gia.
c) Triển khai lựa chọn phương án ứng cứu
Đơn vị chủ trì: Đơn vị, cá nhân vận hành hệ thống thông tin.
Đơn vị phối hợp: Đơn vị chuyên trách về ứng cứu sự cố, thành viên mạng lưới có liên quan, Cơ quan điều ph ố i quốc gia.
Nội dung thực hiện: Căn cứ theo kế hoạch ứng phó sự cố đã được cấp thẩm quyền phê duyệt hoặc theo hướng dẫn của Đơn vị chuyên trách về ứng cứu sự cố hoặc Cơ quan điều phối quốc gia để lựa chọn phương án ngăn chặn và xử lý sự cố; báo cáo, đề xuất Chủ quản hệ thống thông tin, Ban Chỉ đạo ứng cứu sự c ố cấp bộ, tỉnh xin ý kiến chỉ đạo nếu cần.
d) Chỉ đạo xử lý sự cố (nếu cần)
Đơn vị chủ trì: Ban Chỉ đạo ứng cứu sự cố cấp bộ, tỉnh.
Đơn vị phối hợp: Chủ quản hệ thống thông tin.
Nội dung thực hiện: Căn cứ theo báo cáo, đề xuất của Đơn vị, cá nhân vận hành hệ thống thông tin, Ban Chỉ đạo ứng cứu sự cố cấp bộ, tỉnh phối hợp với chủ quản hệ thống thông tin và tham khảo ý kiến Cơ quan điều phối quốc gia (nếu cần) thực hiện chỉ đạo Đơn vị chuyên trách về ứng cứu sự cố, triệu tập Đội/bộ phận ứng cứu sự cố thuộc phạm vi quản lý triển khai công tác ứng cứu, xử lý sự cố; chỉ đạo, phân công hoạt động phát ngôn, cung cấp thông tin. Trong quá trình ứng cứu, tùy thuộc vào diễn biến tình h ì nh thực tế, Ban Chỉ đạo ứng cứu sự cố cấp bộ, tỉnh có thể quyết định bổ sung thành phần tham gia Đội/bộ phận ứng cứu sự cố, chỉ đạo điều chỉnh phương án ứng cứu sự cố.
đ) Báo cáo sự cố
Đơn vị chủ trì: Đơn vị, cá nhân vận hành hệ thống thông tin.
Đơn vị phối hợp: Đơn vị chuyên trách về ứ ng cứu sự cố liên quan/chịu trách nhiệm, các doanh nghiệp viễn thông, Internet (ISP).
Nội dung thực hiện: Sau khi đã triển khai các bước ưu tiên ứng cứu ban đầu, Đơn vị vận hành hệ thống thông tin tổ chức thông báo, báo cáo sự cố đến các tổ chức, cá nhân liên quan bên trong và bên ngoài cơ quan tổ chức theo quy định tại Điều 9 Thông tư này và quy định nội bộ (nếu có).
e) Điều phối công tác ứng cứu
Đơn vị chủ trì: Ban Chỉ đạo ứng cứu sự cố cấp bộ, tỉnh; Cơ quan điều phối quốc gia.
Đơn vị phối hợp: Đơn vị, cá nhân vận hành hệ thống thông tin, Đơn vị chuyên trách về ứng cứu sự cố, thành viên mạng lưới có liên quan.
Nội dung thực hiện: Căn cứ vào tính chất sự cố, đề nghị hỗ trợ của Đơn vị, cá nhân vận hành hệ thống thông tin và Đơn vị chuyên trách về ứng cứu sự cố, Ban Chỉ đạo ứng cứu sự cố cấp bộ, tỉnh và Cơ quan điều phối quốc gia thực hiện công tác điều phối, giám sát cơ chế phối hợp, chia sẻ thông tin theo phạm vi, chức năng, nhiệm vụ của mình để huy động nguồn lực ứng cứu sự cố.
2. Triển khai ứng cứu, ngăn chặn và xử lý sự cố
Đơn vị chủ trì: Đơn vị, cá nhân vận hành hệ thống thông tin; Đội/bộ phận ứng cứu sự cố .
Đơn vị phối hợp: Đơn vị chịu trách nhiệm bảo đảm an toàn thông tin cho hệ thống bị sự cố, Đơn vị chuyên trách về ứng cứu sự cố, thành viên mạng lưới có liên quan, Cơ quan điều phối quốc gia.
Nội dung thực hiện:
a) Triển khai thu thập chứng cứ, phân tích, xác định phạm vi, đối tượng bị ảnh hưởng.
b) Triển khai phân tích, xác định nguồn gốc tấn công, tổ chức ứng cứu và ngăn chặn, giảm thiểu tác động, thiệt hại đến hệ thống thông tin.
3. Xử lý sự cố, gỡ bỏ và khôi phục
a) Xử lý sự cố, gỡ bỏ
Đơn vị chủ trì: Đơn vị, cá nhân vận hành hệ thống thông tin; Đội/bộ phận ứng cứu sự cố.
Đơn vị phối hợp: Đơn vị chịu trách nhiệm bảo đảm an toàn thông tin cho hệ th ố ng bị sự cố; Đơn vị chuyên trách về ứng cứu sự cố, thành viên mạng lưới có liên quan, Cơ quan điều phối quốc gia.
Nội dung thực hiện: Sau khi đã triển khai ngăn chặn sự cố, đơn vị, cá nhân vận hành hệ thống thông tin, Đơn vị chuyên trách về ứng cứu sự cố, Đội/bộ phận ứng cứu sự cố triển khai tiêu diệt, gỡ bỏ các mã độc, phần mềm độc hại khắc phục các điểm yếu an toàn thông tin của hệ thống thông tin.
b) Khôi phục
Đơn vị chủ trì: Đơn vị, cá nhân vận hành hệ thống thông tin;.
Đơn vị phối hợp: Đội/bộ phận ứng cứu sự cố, Đơn vị chịu trách nhiệm bảo đảm an toàn thông tin cho hệ th ố ng bị sự cố, Đơn vị chuyên trách về ứng cứu sự cố, thành viên mạng lưới có liên quan, Cơ quan điều phối quốc gia.
Nội dung thực hiện: Đơn vị, cá nhân vận hành hệ thống chủ trì phối hợp với các đơn vị liên quan triển khai các hoạt động khôi phục hệ thống thông tin dữ liệu và kết n ố i; cấu hình hệ thống an toàn; bổ sung các thiết bị, phần cứng phần mềm bảo đảm an toàn thông tin cho hệ thống thông tin.
c) Kiểm tra, đánh giá hệ thống thông tin
Đơn vị chủ trì: Đơn vị, cá nhân vận hành hệ thống thông tin.
Đơn vị phối hợp: Đơn vị chịu trách nhiệm bảo đảm an toàn thông tin cho hệ thống bị sự cố, Đơn vị chuyên trách về ứng cứu sự cố, chủ quản hệ thống thông tin, Cơ quan điều phối quốc gia.
Nội dung thực hiện: Đơn vị, cá nhân vận hành hệ thống và các đơn vị liên quan triển khai kiểm tra, đánh giá hoạt động của toàn bộ hệ thống thông tin sau khi khắc phục sự cố. Trường hợp hệ thống chưa hoạt động ổn định, cần ti ế p tục tổ chức thu thập, xác minh lại nguyên nhân và tổ chức các bước tương ứng tại Khoản 2 và Khoản 3 của Điều này để xử lý dứt điểm, khôi phục hoạt động bình thường của hệ thống thông tin.
4. Tổng kết, đánh giá
Đơn vị chủ trì: Đơn vị, cá nhân vận hành hệ thống thông tin.
Đơn vị phối hợp: Đơn vị chuyên trách về ứng cứu sự cố; Đội/bộ phận ứng cứu sự cố; Chủ quản hệ thống thông tin; Ban Chỉ đạo ứng cứu sự cố cấp bộ, tỉnh; Cơ quan điều phối quốc gia.
Nội dung thực hiện: Đơn vị, cá nhân vận hành hệ thống bị sự cố phối hợp với Đơn vị chuyên trách về ứng cứu sự cố và Đội/bộ phận ứng cứu sự cố triển khai tổng hợp toàn bộ các thông tin, báo cáo, phân tích có liên quan đến sự cố, công tác triển khai phương án ứng cứu sự cố, báo cáo Chủ quản hệ thống thông tin, Ban Chỉ đạo ứng cứu sự cố cấp bộ, tỉnh và Cơ quan điều phối quốc gia; tổ chức phân tích nguyên nhân, rút kinh nghiệm trong hoạt động xử lý sự cố và đề xuất các biện pháp bổ sung nhằm phòng ngừa, ứng cứu đối với các sự cố tương tự trong tương lai.
Phụ lục II.doc
(Điều 11 Thông tư số 20/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/11/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.44. Quy trình xử lý sự cố
Tổ chức quản lý sự cố như sau:
1. Ban hành quy trình xử lý sự cố an toàn thông tin bao gồm những nội dung tối thiểu sau:
a) Tiếp nhận thông tin về sự cố phát sinh;
b) Đánh giá mức độ, phạm vi ảnh hưởng của sự cố đến hoạt động của hệ thống thông tin. Tùy theo mức độ, phạm vi ảnh hưởng của sự cố phải báo cáo đến các cấp quản lý tương ứng để chỉ đạo xử lý;
c) Thực hiện các biện pháp xử lý, khắc phục sự cố;
d) Ghi nhận hồ sơ và báo cáo kết quả xử lý sự cố.
2. Quy định trách nhiệm của cá nhân, tập thể trong việc báo cáo, tiếp nhận, xử lý các sự cố an toàn thông tin.
3. Xây dựng các mẫu biểu để ghi nhận, lưu trữ hồ sơ xử lý sự cố.
(Điều 44 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.45. Kiểm soát và khắc phục sự cố
Tổ chức kiểm soát và khắc phục sự cố như sau:
1. Lập danh sách sự cố an toàn thông tin và phương án xử lý sự cố đối với các hệ thống thông tin từ mức độ 2 trở lên; tối thiểu 6 tháng một lần thực hiện rà soát, cập nhật danh sách, phương án ứng cứu sự cố.
2. Lập tức báo cáo đến cấp có thẩm quyền và những người có liên quan khi phát sinh sự cố an toàn thông tin để có biện pháp khắc phục trong thời gian sớm nhất.
3. Trong quá trình kiểm tra, xử lý, khắc phục sự cố thu thập, ghi chép, bảo vệ chứng cứ và lưu trữ tại tổ chức.
4. Đánh giá xác định nguyên nhân và thực hiện các biện pháp phòng ngừa tránh sự cố tái diễn sau khi khắc phục sự cố,.
5. Trong trường hợp sự cố an toàn thông tin có liên quan đến các vi phạm pháp luật, tổ chức có trách nhiệm thu thập và cung cấp chứng cứ cho cơ quan có thẩm quyền đúng theo quy định của pháp luật.
(Điều 45 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.46. Trung tâm điều hành an ninh mạng
Trung tâm điều hành an ninh mạng thực hiện các nhiệm vụ sau:
1. Chủ động theo dõi, thu thập, tiếp nhận các thông tin, cảnh báo về các nguy cơ, rủi ro an toàn thông tin từ bên trong và bên ngoài.
2. Xây dựng hệ thống quản lý và phân tích sự kiện an toàn thông tin (SIEM), thực hiện thu thập và lưu trữ tập trung tối thiểu các thông tin: nhật ký của các hệ thống thông tin từ mức độ 2 trở lên; cảnh báo, nhật ký của trang thiết bị an ninh mạng (tường lửa, IPS/IDS).
3. Phân tích thông tin để phát hiện và cảnh báo về các rủi ro và các nguy cơ tấn công mạng, sự cố an ninh mạng và phải gửi cảnh báo đến người quản trị hệ thống khi phát hiện sự cố liên quan đến các hệ thống: (i) Hệ thống thông tin phục vụ khách hàng yêu cầu hoạt động 24/7; (ii) Hệ thống cung cấp giao dịch trực tuyến; (iii) Hệ thống thông tin mức độ 3.
4. Tổ chức điều phối ứng cứu sự cố và khoanh vùng, ngăn chặn, giảm thiểu tác động, thiệt hại đến hệ thống thông tin khi sự cố phát sinh.
5. Điều tra, xác định nguồn gốc, cách thức, phương pháp tấn công và thực hiện các biện pháp phòng ngừa tránh sự số tái diễn.
6. Cung cấp thông tin theo yêu cầu của Ngân hàng Nhà nước để phục vụ giám sát an ninh mạng ngành Ngân hàng.
(Điều 46 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.47. Hoạt động ứng cứu sự cố an ninh mạng
1. Mạng lưới ứng cứu sự cố an ninh mạng trong ngành Ngân hàng (Mạng lưới) có nhiệm vụ phối hợp các nguồn lực trong và ngoài ngành ứng phó hiệu quả sự cố an ninh mạng, góp phần bảo đảm hệ thống ngân hàng hoạt động an toàn.
2. Mạng lưới bao gồm:
a) Ban điều hành mạng lưới do Thống đốc Ngân hàng Nhà nước thành lập;
b) Cơ quan điều phối là Cục Công nghệ thông tin (Ngân hàng Nhà nước);
c) Các thành viên mạng lưới: Cục Công nghệ thông tin (Ngân hàng Nhà nước), tổ chức tín dụng (bộ phận chuyên trách an toàn thông tin) và thành viên tự nguyện tham gia mạng lưới là các cơ quan, tổ chức tự nguyện tham gia.
3. Nguyên tắc trong hoạt động điều phối và ứng cứu sự cố
a) Các tổ chức theo quy định tại điểm c khoản 2 Điều này phải có trách nhiệm cung cấp nguồn lực và tham gia làm thành viên mạng lưới;
b) Khi gặp sự cố an ninh mạng, các thành viên phải báo cáo Cơ quan điều phối theo quy định tại khoản 1 Điều 53 Thông tư này;
c) Khi gặp sự cố nghiêm trọng không tự khắc phục được, các thành viên phải gửi yêu cầu hỗ trợ đến Cơ quan điều phối;
d) Căn cứ vào từng sự cố, Cơ quan điều phối sẽ đề nghị các thành viên mạng lưới hỗ trợ hoặc các cơ quan nhà nước có thẩm quyền hỗ trợ, ứng cứu.
4. Nguyên tắc quản lý, sử dụng thông tin trong hoạt động điều phối và ứng cứu sự cố:
a) Thông tin được trao đổi, cung cấp trong quá trình điều phối và ứng cứu sự cố là thông tin bí mật;
b) Nghiêm cấm tổ chức, cá nhân sử dụng thông tin trao đổi trong quá trình điều phối và ứng cứu sự cố để làm ảnh hưởng đến uy tín, hình ảnh của tổ chức cung cấp thông tin.
(Điều 47 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.LQ.14. Ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia
1. Ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia là hoạt động ứng cứu sự cố trong tình huống thảm họa hoặc theo yêu cầu của cơ quan nhà nước có thẩm quyền nhằm bảo đảm an toàn thông tin mạng quốc gia.
2. Ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia phải tuân thủ các nguyên tắc sau đây:
a) Tổ chức thực hiện theo phân cấp;
b) Thực hiện tại chỗ, nhanh chóng, nghiêm ngặt, phối hợp chặt chẽ;
c) Áp dụng các biện pháp kỹ thuật, bảo đảm hiệu quả, khả thi.
3. Hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia gồm:
a) Phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia;
b) Phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng của cơ quan nhà nước, tổ chức chính trị, tổ chức chính trị - xã hội;
c) Phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng của địa phương;
d) Phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng của doanh nghiệp viễn thông.
4. Trách nhiệm bảo đảm an toàn thông tin mạng quốc gia được quy định như sau:
a) Thủ tướng Chính phủ quyết định hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia;
b) Bộ Thông tin và Truyền thông có trách nhiệm chủ trì điều phối công tác ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia;
c) Bộ, ngành, Ủy ban nhân dân các cấp và cơ quan, tổ chức có liên quan trong phạm vi nhiệm vụ, quyền hạn của mình có trách nhiệm phối hợp, chỉ đạo ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia;
d) Doanh nghiệp viễn thông có trách nhiệm thực hiện biện pháp ứng cứu khẩn cấp, phối hợp với Bộ Thông tin và Truyền thông, bộ, ngành, Ủy ban nhân dân các cấp có liên quan để bảo đảm an toàn thông tin mạng quốc gia.
(Điều 14 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.QĐ.1.3. Ban Chỉ đạo quốc gia về ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng
1. Ban Chỉ đạo an toàn thông tin quốc gia đảm nhiệm chức năng Ban Chỉ đạo quốc gia về ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng (sau đây gọi là Ban Chỉ đạo quốc gia).
2. Ban Chỉ đạo quốc gia có trách nhiệm chỉ đạo Bộ Thông tin và Truyền thông Bộ Công an, Bộ Quốc phòng và các bộ, ngành, địa phương liên quan trong công tác ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia.
(Điều 3 Quyết định số 05/2017/QĐ-TTg, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.QĐ.1.4. Cơ quan thường trực về ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia
1. Bộ Thông tin và Truyền thông là cơ quan thường trực, giúp việc cho Ban Chỉ đạo quốc gia (sau đây gọi là Cơ quan thường trực) có nhiệm vụ, quyền hạn cụ thể sau:
a) Quyết định lựa chọn phương án ứng cứu và chủ trì, chỉ đạo công tác ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia;
b) Chỉ đạo Cơ quan điều phối quốc gia tiếp nhận, thu thập, xử lý thông tin, báo cáo về sự cố mất an toàn thông tin mạng quốc gia và đề xuất phương án ứng cứu;
c) Triệu tập, chỉ đạo Bộ phận tác nghiệp ứng cứu sự cố an toàn thông tin mạng quốc gia theo đề xuất của Cơ quan điều phối quốc gia; chỉ đạo, phân công nhiệm vụ cho các đơn vị chuyên trách về ứng cứu sự cố, các thành viên mạng lưới ứng cứu để triển khai phương án ứng cứu;
d) Làm đầu mối hoặc chỉ định Cơ quan điều phối làm đầu mối quốc gia phối hợp với các đơn vị chức năng của các quốc gia khác hoặc các tổ chức quốc tế trong hoạt động ứng cứu, xử lý các sự cố liên quốc gia;
đ) Kiểm tra, giám sát, đôn đốc việc chấp hành của các đơn vị liên quan, báo cáo Ban Chỉ đạo quốc gia về công tác ứng cứu khẩn cấp sự cố an toàn thông tin mạng quốc gia.
2. Trường hợp cần thiết, Bộ Thông tin và Truyền thông chủ trì thành lập Ban điều phối ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia (gọi tắt là Ban điều phối ứng cứu quốc gia), với thành phần gồm: 01 lãnh đạo Bộ Thông tin và Truyền thông làm Trưởng ban, Cơ quan điều phối quốc gia làm thường trực và thành viên là các lãnh đạo cấp Cục, Vụ của một số bộ ngành, tổ chức có liên quan.
(Điều 4 Quyết định số 05/2017/QĐ-TTg, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.3.3. Phân cấp tổ chức thực hiện ứng cứu sự cố bảo đảm an toàn thông tin mạng trên toàn quốc
Phân cấp tổ chức thực hiện ứng cứu sự cố bảo đảm an toàn thông tin mạng trên toàn quốc là các cơ quan, tổ chức, đơn vị thực hiện ứng cứu sự cố bảo đảm an toàn thông tin mạng quốc gia được quy định tại Quyết định số 05/2017/QĐ-TTg. Các cơ quan, tổ chức tham gia hoạt động điều phối, ứng cứu sự cố trên toàn quốc gồm:
1. Bộ Thông tin và Truyền thông - Cơ quan thường trực về ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia (gọi tắt là Cơ quan thường trực quốc gia) và Ban điều phối ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia (gọi tắt là Ban điều phối ứng cứu quốc gia); Trung tâm <Ứ
2. Ban Chỉ đạo ứng cứu khẩn cấp sự cố an toàn thông tin mạng của các Bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ và Ủy ban nhân dân các tỉnh, thành phố trực thuộc Trung ương (gọi tắt là Ban Chỉ đạo ứng cứu sự cố cấp bộ, t<ỉ
3. Đơn vị chuyên trách về ứng cứu sự cố an toàn thông tin mạng (sau đây gọi tắt là Đơn vị chuyên trách về ứng cứu sự cố); Đội ứng cứu sự cố hoặc bộ phận ứng cứu sự cố tại Bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ và Ủy ban nhân dân các tỉnh, thành phố trực thuộc Trung ương (sau đây gọi t<ắ
4. Mạng lưới ứng cứu sự cố an toàn thông tin mạng quốc gia (gọi tắt là Mạng lưới ứng cứu sự cố); và Ban Điều hành mạng lưới.
5. Chủ quản hệ thống thông tin; đơn vị vận hành hệ th<ố
(Điều 3 Thông tư số 20/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/11/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.QĐ.1.5. Ban Chỉ đạo ứng cứu khẩn cấp sự cố an toàn thông tin mạng của các bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ và Ủy ban nhân đân các tỉnh, thành phố trực thuộc trung ương
1. Ban Chỉ đạo ứng dụng công nghệ thông tin của các bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ và Ủy ban nhân dân các tỉnh, thành phố trực thuộc trung ương đảm nhiệm chức năng Ban Chỉ đạo ứng cứu khẩn cấp sự cố an toàn thông tin mạng trong phạm vi địa bàn, lĩnh vực mình phụ trách (sau đây gọi là Ban Chỉ đạo cấp bộ, tỉnh).
Trong trường hợp chưa có Ban Chỉ đạo ứng dụng công nghệ thông tin hoặc điều kiện đặc thù cần thiết, bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ, Ủy ban nhân dân cấp tỉnh xem xét thành lập Ban Chỉ đạo ứng cứu khẩn cấp sự cố an toàn thông tin mạng trong phạm vi bộ, ngành, địa phương mình do 1 lãnh đạo bộ hoặc lãnh đạo Ủy ban nhân dân cấp tỉnh trực tiếp chỉ đạo.
2. Trách nhiệm, quyền hạn của Ban chỉ đạo cấp bộ, tỉnh:
a) Chỉ đạo công tác điều phối, ứng cứu sự cố trong phạm vi ngành, lĩnh vực, địa phương mình; chỉ đạo các cơ quan, đơn vị trực thuộc phối hợp, tuân thủ yêu cầu của Cơ quan điều phối quốc gia trong điều phối, ứng cứu sự cố;
b) Triệu tập, chỉ đạo Đội ứng cứu sự cố hoặc Bộ phận tác nghiệp ứng cứu sự cố an toàn thông tin mạng cùng cấp theo đề xuất của đơn vị chuyên trách ứng cứu sự cố;
c) Báo cáo tình hình và xin ý kiến của Ban Chỉ đạo quốc gia qua Cơ quan thường trực về các vấn đề phát sinh vượt thẩm quyền trong quá trình thực hiện nhiệm vụ; chịu sự chỉ đạo, điều hành của Ban Chỉ đạo quốc gia qua Cơ quan thường trực và Cơ quan điều phối quốc gia.
(Điều 5 Quyết định số 05/2017/QĐ-TTg, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.QĐ.1.8. Bộ phận tác nghiệp ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia
1. Bộ phận tác nghiệp ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia (sau đây gọi tắt là Bộ phận tác nghiệp ứng cứu khẩn cấp) do Cơ quan thường trực triệu tập và chịu sự điều hành của Cơ quan thường trực với sự tham gia của các đơn vị sau:
a) Cơ quan điều phối quốc gia (Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam VNCERT - thường trực);
b) Cục An toàn thông tin, Bộ Thông tin và Truyền thông;
c) Cục An ninh mạng, Cục Cảnh sát phòng, chống tội phạm sử dụng công nghệ cao - Bộ Công an;
d) Cục Công nghệ thông tin, Bộ Tổng tham mưu, Bộ Quốc phòng;
đ) Một số đơn vị chuyên trách về ứng cứu sự cố an toàn thông tin mạng của các bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ, Ủy ban nhân dân cấp tỉnh, doanh nghiệp viễn thông, Internet, chủ quản hệ thống thông tin quan trọng quốc gia.
2. Quyền hạn của Bộ phận tác nghiệp ứng cứu khẩn cấp
a) Sử dụng các biện pháp nghiệp vụ, trang thiết bị, phương tiện kỹ thuật và các biện pháp khác theo chức năng nhiệm vụ được giao và tuân thủ quy định của pháp luật;
b) Yêu cầu cơ quan, tổ chức, cá nhân cung cấp thông tin, tài liệu, thiết bị khi có căn cứ xác định liên quan đến sự cố nhằm phục vụ hoạt động ứng cứu;
c) Kiểm tra hệ thống thông tin của cơ quan, tổ chức, cá nhân khi có căn cứ xác định liên quan đến sự cố nhằm phục vụ hoạt động ứng cứu;
d) Yêu cầu cơ quan, tổ chức, doanh nghiệp viễn thông, Internet có liên quan phối hợp thực hiện các công việc cần thiết cho hoạt động ứng cứu, khắc phục sự cố.
3. Cơ chế phối hợp và chia sẻ thông tin giữa các đơn vị tham gia bộ phận tác nghiệp ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia theo quy định của pháp luật và quyết định của Thủ tướng Chính phủ.
(Điều 8 Quyết định số 05/2017/QĐ-TTg, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.QĐ.1.9. Phân nhóm sự cố an toàn thông tin mạng
Sự cố an toàn thông tin mạng nghiêm trọng là sự cố đáp ứng đồng thời các tiêu chí sau:
1. Hệ thống thông tin bị sự cố là hệ thống thông tin cấp độ 4, cấp độ 5 hoặc thuộc Danh mục hệ thống thông tin quan trọng quốc gia và bị một trong số các sự cố sau:
a) Hệ thống bị gián đoạn dịch vụ;
b) Dữ liệu tuyệt mật hoặc bí mật nhà nước có khả năng bị tiết lộ;
c) Dữ liệu quan trọng của hệ thống không bảo đảm tính toàn vẹn và không có khả năng khôi phục được;
d) Hệ thống bị mất quyền điều khiển;
đ) Sự cố có khả năng xảy ra trên diện rộng hoặc gây ra các ảnh hưởng dây chuyền, làm tổn hại cho các hệ thống thông tin cấp độ 4 hoặc cấp độ 5 khác.
2. Chủ quản hệ thống thông tin không đủ khả năng tự kiểm soát, xử lý được sự cố.
(Điều 9 Quyết định số 05/2017/QĐ-TTg, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.QĐ.1.10. Hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia
1. Phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia là phương án ứng cứu cho sự cố an toàn thông tin mạng nghiêm trọng đáp ứng các tiêu chí tại Điều 9 và hệ thống thông tin bị sự cố là hệ thống thông tin cấp độ 5 hoặc, thuộc Danh mục Hệ thống thông tin quan trọng quốc gia.
2. Phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng của cơ quan nhà nước, tổ chức chính trị, tổ chức chính trị - xã hội là phương án ứng cứu cho sự cố an toàn thông tin mạng nghiêm trọng đáp ứng các tiêu chí tại Điều 9; hệ thống thông tin bị sự cố là hệ thống thông tin cấp độ 4 và chủ quản hệ thống thông tin thuộc các bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ và các cơ quan nhà nước, tổ chức chính trị, tổ chức chính trị - xã hội ở trung ương (gọi chung là cơ quan trung ương).
3. Phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng của địa phương là phương án ứng cứu cho sự cố an toàn thông tin mạng nghiêm trọng đáp ứng các tiêu chí tại Điều 9, hệ thống thông tin bị sự cố là hệ thống thông tin cấp độ 4 và chủ quản hệ thống thông tin thuộc Ủy ban nhân dân hoặc Tỉnh ủy, Thành ủy các tỉnh, thành phố trực thuộc trung ương quản lý (gọi chung là cơ quan địa phương).
4. Phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng của doanh nghiệp là phương án ứng cứu cho sự cố an toàn thông tin mạng nghiêm trọng đáp ứng các tiêu chí tại Điều 9, hệ thống thông tin bị sự cố là hệ thống thông tin cấp độ 4 và chủ quản hệ thống thông tin là doanh nghiệp viễn thông, doanh nghiệp nhà nước có quản lý các hệ thống thông tin từ cấp độ 4 trở lên, hoặc tổ chức, doanh nghiệp có quản lý hệ thống thông tin thuộc Danh mục Hệ thống thông tin quan trọng quốc gia (sau đây gọi chung là doanh nghiệp quản lý hạ tầng thông tin quan trọng).
(Điều 10 Quyết định số 05/2017/QĐ-TTg, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.QĐ.1.14. Quy trình ứng cứu sự cố an toàn thông tin mạng nghiêm trọng
Quy trình ứng cứu khẩn cấp sự cố an toàn thông tin mạng nghiêm trọng sau đây được sử dụng chung cho cả bốn phương án ứng cứu khẩn cấp nêu trong Điều 10 Quyết định này, cụ thể bao gồm các bước sau:
1. Phát hiện hoặc tiếp nhận sự cố
Đơn vị chủ trì: Đơn vị vận hành hệ thống thông tin; Cơ quan điều phối quốc gia.
Đơn vị phối hợp: Đơn vị chuyên trách về ứng cứu sự cố; Chủ quản hệ thống thông tin.
Nội dung thực hiện: Đơn vị vận hành hệ thống thông tin chịu trách nhiệm liên tục theo dõi, phát hiện các tấn công, sự cố đối với hệ thống mình được giao quản lý, vận hành. Cơ quan điều phối quốc gia là đơn vị đầu mối tổ chức các hoạt động theo dõi, giám sát, phát hiện các sự cố và tiếp nhận thông báo về sự cố an toàn thông tin mạng từ các nguồn khác nhau.
2. Xác minh, phân tích, đánh giá và phân loại sự cố
Đơn vị chủ trì: Cơ quan điều phối quốc gia.
Đơn vị phối hợp: Chủ quản hệ thống thông tin; Đơn vị chuyên trách về ứng cứu sự cố; Đơn vị vận hành hệ thống thông tin.
Nội dung thực hiện:
a) Cơ quan điều phối quốc gia phối hợp cùng chủ quản hệ thống thông tin (hoặc đơn vị được ủy quyền như đơn vị chuyên trách về ứng cứu sự cố hoặc đơn vị vận hành hệ thống thông tin) xác minh sự cố bao gồm các thông tin sau: Tình trạng sự cố; mức độ sự cố; phạm vi ảnh hưởng của sự cố; đối tượng, địa điểm xảy ra sự cố.
b) Sau khi xác minh được sự cố, Cơ quan điều phối quốc gia có trách nhiệm phân loại sự cố và triển khai tiếp như sau:
- Trường hợp sự cố được phân loại thông thường (không đạt các tiêu chí quy định tại Điều 9 Quyết định này) thì Cơ quan điều phối quốc gia thông báo cho các bên liên quan để tiếp tục triển khai theo phương án ứng cứu sự cố an toàn thông tin mạng thông thường;
- Trường hợp sự cố được phân loại nghiêm trọng (đạt các tiêu chí quy định tại Điều 9 Quyết định này) thì Cơ quan điều phối quốc gia báo cáo Cơ quan thường trực về sự cố nghiêm trọng cùng với các đề xuất: Phương án ứng cứu; các đơn vị tham gia lực lượng ứng cứu; nguồn lực cần thiết để ứng cứu sự cố; dự kiến triệu tập bộ phận tác nghiệp ứng cứu khẩn cấp và thực hiện tiếp theo khoản 3 Điều này.
3. Cơ quan thường trực quyết định lựa chọn phương án và triệu tập các thành viên của bộ phận tác nghiệp ứng cứu khẩn cấp.
Đơn vị chủ trì: Cơ quan thường trực.
Nội dung thực hiện:
a) Cơ quan thường trực căn cứ theo báo cáo của Cơ quan điều phối quốc gia xem xét quyết định lựa chọn phương án ứng cứu khẩn cấp quốc gia và triệu tập bộ phạn tác nghiệp ứng cứu khẩn cấp để ứng cứu, xử lý sự cố. Tùy theo tình hình thực tế, bộ phận tác nghiệp ứng cứu khẩn cấp được huy động từ số các đơn vị theo quy định tại Điều 8 Quyết định này phù hợp với phương án ứng cứu được lựa chọn và đặc thú của sự cố.
b) Nguyên tắc phân công nhiệm vụ triển khai các biện pháp ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia như sau:
- Chỉ đạo điều hành hoạt động ứng cứu và giám sát cơ chế phối hợp, chia sẻ thông tin: Bộ Thông tin và Truyền thông, Ban điều phối ứng cứu quốc gia;
- Thu thập, tổng hợp thông tin và chia sẻ, báo cáo: Cơ quan điều phối quốc gia, chủ quản hệ thống thông tin (qua đơn vị vận hành hệ thống thông tin và đơn vị chuyên trách ứng cứu sự cố);
- Phân tích thông tin: Cơ quan điều phối quốc gia, đơn vị vận hành hệ thống thông tin, đơn vị chuyên trách ứng cứu sự cố và các đơn vị tham gia tác nghiệp ứng cứu khẩn cấp;
- Ngăn chặn, xử lý sự cố: Đơn vị vận hành hệ thống thông tin, đơn vị chuyên trách ứng cứu sự cố, Cơ quan điều phối quốc gia và các đơn vị tham gia tác nghiệp ứng cứu khẩn cấp;
- Khắc phục, gỡ bỏ, khôi phục dữ liệu và hoạt động bình thường: Chủ quản hệ thống thông tin, các đơn vị được chủ quản hệ thống thông tin lựa chọn;
- Xử lý hậu quả: Chủ quản hệ thống thông tin, các đơn vị tham gia tác nghiệp ứng cứu khẩn cấp;
- Công bố và xử lý khủng hoảng thông tin: Cơ quan thường trực, Cơ quan điều phối quốc gia.
4. Triển khai phương án ứng cứu ban đầu
Đơn vị chủ trì: Cơ quan điều phối quốc gia, Chủ quản hệ thống thông tin.
Nội dung thực hiện: Cơ quan điều phối quốc gia nhanh chóng phối hợp với chủ quản hệ thống thông tin tiến hành ngay các biện pháp ứng cứu ban đầu, bao gồm:
a) Xác định phạm vi, đối tượng, mục tiêu cần ứng cứu:
- Các sự cố liên quan đã xảy ra;
- Đối tượng đang bị ảnh hưởng;
- Phạm vi bị ảnh hưởng;
- Các mục tiêu ưu tiên trong khắc phục sự cố (khôi phục hoạt động, bảo đảm bí mật dữ liệu; bảo đảm tính toàn vẹn dữ liệu);
- Diễn biến tình hình và phương thức thủ đoạn tấn công;
- Dự đoán các diễn biến tiếp theo có thể xảy ra.
b) Điều phối các hoạt động ứng cứu ban đầu: Cơ quan thường trực chỉ đạo Cơ quan điều phối quốc gia thực hiện điều phối và chia sẻ thông tin, tài liệu liên quan đến tình huống ứng cứu cho các thành viên tham gia theo chức năng, nhiệm vụ được giao.
c) Cảnh báo sự cố trên mạng lưới ứng cứu quốc gia: Cơ quan điều phối quốc gia thực hiện cảnh báo cho các thành viên mạng lưới và các đối tượng có liên quan hoặc có khả năng xảy ra các sự cố tương tự.
d) Tiến hành các biện pháp khôi phục tạm thời:
Căn cứ vào mục tiêu được ưu tiên trong khắc phục sự cố, Chủ quản hệ thống thông tin phối hợp với Cơ quan điều phối quốc gia, các nhà cung cấp dịch vụ và các cơ quan chức năng khác tiến hành khôi phục một số hoạt động, dữ liệu hoặc kết nối cần thiết nhất để giảm thiểu thiệt hại đối với hệ thống thông tin, ảnh hưởng uy tín của cơ quan chủ quản, quản lý hệ thống hoặc gây ảnh hưởng xấu tới xã hội.
Chủ quản hệ thống thông tin phải phối hợp chặt chẽ, cung cấp đầy đủ thông tin để Cơ quan điều phối quốc gia thực hiện giám sát, theo dõi quá trình phục hồi và các tấn công, ảnh hưởng trong thời gian chưa khắc phục triệt để sự cố.
đ) Xử lý hậu quả ban đầu: Chủ quản hệ thống thông tin cần nhanh chóng tiến hành các biện pháp khắc phục khẩn cấp các hậu quả, thiệt hại do tấn công mạng gây ra làm ảnh hưởng đến người dân, xã hội, cơ quan, tổ chức khác theo yêu cầu của Cơ quan thường trực.
e) Ngăn chặn, xử lý các hành vi đã được phát hiện: Cơ quan thường trực điều phối hoặc chỉ đạo Cơ quan điều phối quốc gia thực hiện điều phối các cơ quan chức năng triển khai hỗ trợ phát hiện và xử lý các nguồn phát tán tấn công, ngăn chặn các tấn công từ bên ngoài vào hệ thống thông tin bị sự cố. Cơ quan thường trực cung cấp hoặc chỉ đạo cung cấp các thông tin, chứng cứ liên quan đến các hành vi vi phạm pháp luật có yếu tố cấu thành tội phạm (nếu có) để các cơ quan chức năng thuộc Bộ Công an tiến hành điều tra, xác minh và ngăn chặn tội phạm.
5. Triển khai phương án ứng cứu khẩn cấp
a) Chỉ đạo xử lý sự cố
Đơn vị chủ trì: Cơ quan thường trực, Ban Chỉ đạo ứng cứa sự cố cấp bộ, tỉnh.
Nội dung thực hiện: Căn cứ theo phương án ứng cứu được lựa chọn, Cơ quan thường trực chỉ đạo chủ quản hệ thống thông tin, Cơ quan điều phối quốc gia, bộ phận tác nghiệp ứng cứu sự cố triển khai công tác ứng cứu, xử lý sự cố. Trong quá trình ứng cứu, tùy thuộc vào diễn biến tình hình thực tế, Cơ quan thường trực có thể quyết định bổ sung thành phần tham gia tác nghiệp ứng cứu khẩn cấp.
b) Điều phối công tác ứng cứu
Đơn vị chủ trì: Ban điều phối ứng cứu quốc gia, Cơ quan điều phối quốc gia.
Nội dung thực hiện: Căn cứ theo phương án ứng cứu được lựa chọn, Ban Điều phối ứng cứu quốc gia hoặc Cơ quan điều phối quốc gia thực hiện công tác điều phối ứng cứu theo chức năng nhiệm vụ của mình và giám sát cơ chế phối hợp, chia sẻ thông tin.
c) Phát ngôn và công bố thông tin
Cơ quan thường trực chịu trách nhiệm chỉ định người phát ngôn, cung cấp thông tin; quyết định địa điểm, nội dung, thời điểm phát ngôn, cung cấp thông tin cho các cơ quan thông tin đại chúng, các cá nhân và tổ chức có liên quan đến sự cố.
d) Thu thập thông tin
Đơn vị chủ trì: Cơ quan điều phối quốc gia, chủ quản hệ thống thông tin.
Nội dung thực hiện: Căn cứ theo yêu cầu cung cấp thông tin cho các đơn vị thuộc thành phần tác nghiệp ứng cứu khẩn cấp, cơ quan điều phối quốc gia cùng chủ quản hệ thống thông tin phối hợp tiến hành thu thập, tổng hợp và chia sẻ, cung cấp thông tin.
đ) Phân tích, giám sát tình hình liên quan sự cố
Cơ quan điều phối quốc gia chủ trì, phối hợp với chủ quản hệ thống thông tin thực hiện giám sát liên tục diễn biến sự cố và thông báo, cập nhật đến các đơn vị trong bộ phận tác nghiệp ứng cứu khẩn cấp.
Các đơn vị thuộc bộ phận tác nghiệp ứng cứu khẩn cấp dựa trên các thông tin thu thập được, sử dụng các nguồn lực, phương tiện và các quy trình nghiệp vụ của mình để tiến hành phân tích sự cố. Kết quả phân tích sự cố được báo cáo Cơ quan thường trực, Cơ quan điều phối quốc gia và chia sẻ trong bộ phận tác nghiệp ứng cứu khẩn cấp để phục vụ ứng cứu, khắc phục sự cố.
e) Khắc phục sự cố, gỡ bỏ mã độc
Đơn vị chủ trì: Chủ quản hệ thống thông tin.
Đơn vị phối hợp: Cơ quan điều phối quốc gia, các đơn vị khác thuộc Bộ phận tác nghiệp ứng cứu khẩn cấp.
Nội dung thực hiện:
- Sao lưu hệ thống trước và sau khi xử lý sự cố;
- Tiêu diệt các mã độc, phần mềm độc hại;
- Khôi phục hệ thống, dữ liệu và kết nối;
- Cấu hình hệ thống an toàn;
- Kiểm tra thử toàn bộ hệ thống sau khi khắc phục sự cố;
- Khắc phục các điểm yếu an toàn thông tin;
- Bổ sung các thiết bị, phần cứng, phần mềm bảo đảm an toàn thông tin cho hệ thống;
- Triển khai theo dõi, giám sát, ngăn chặn khả năng lặp lại sự cố hoặc xảy ra các sự cố tương tự.
g) Ngăn chặn, xử lý hậu quả
Chủ quản hệ thống thông tin có trách nhiệm xử lý các hậu quả do sự cố hệ thống thông tin của mình gây ra ảnh hưởng đến người dân, cơ quan, tổ chức khác.
Các đơn vị thuộc thành phần tham gia tác nghiệp ứng cứu khẩn cấp, dựa trên các kết quả phân tích, điều tra, sử dụng các nguồn lực, phương tiện và nghiệp vụ của mình để tiến hành ngăn chặn các hành vi gây ra sự cố và hỗ trợ xử lý hậu quả.
h) Xác minh nguyên nhân và truy tìm nguồn gốc
Các đơn vị tham gia tác nghiệp ứng cứu khẩn cấp sau khi phân tích sự cố, tham khảo các kết quả phân tích sự cố của các đơn vị khác, sử dụng các nguồn tin và quy trình nghiệp vụ của mình, chủ động điều tra chi tiết nguyên nhân và truy tìm nguồn gốc, gửi Cơ quan thường trực, Cơ quan điều phối quốc gia để tổng hợp, xác minh, báo cáo Ban Chỉ đạo quốc gia các thông tin liên quan, cụ thể bao gồm:
- Đối tượng bị tấn công;
- Phương thức thủ đoạn tấn công (quy trình, kỹ thuật, mẫu mã đọc, phần mềm độc hại);
- Thời gian tấn công;
- Các thiệt hại đã xảy ra;
- Đối tượng tấn công;
- Dự đoán khả năng xảy ra các tấn công tương tự và thiệt hại.
6. Đánh giá kết quả triển khai phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia
Đơn vị chủ trỉ: Ban Chỉ đạo quốc gia
Nội dung thực hiện: Cơ quan thường trực tổng hợp toàn bộ các báo cáo phân tích có liên quan đến triển khai phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia để báo cáo với Ban Chỉ đạo quốc gia và họp phân tích nguyên nhân, rút kinh nghiệm trong hoạt động xử lý sự cố và đề xuất các biện pháp bổ sung cho các sự cố tương tự.
7. Kết thúc
Đơn vị chủ trì: Cơ quan điều phối quốc gia
Đơn vị phối hợp: Chủ quản hệ thống thông tin, các đơn vị thuộc Bộ phận tác nghiệp ứng cứu khẩn cấp.
Nội dung thực hiện: Cơ quan điều phối quốc gia căn cứ kết quả đánh giá của Ban Chỉ đạo quốc gia sẽ thực hiện hoàn tất các nhiệm vụ sau, kết thúc hoạt động ứng cứu sự cố khẩn cấp:
- Lưu hồ sơ, tài liệu lưu trữ;
- Xây dựng, đúc rút các bài học, kinh nghiệm;
- Đề xuất các kiến nghị về kỹ thuật, chính sách để hạn chế thiệt hại khi xảy ra các tấn công tương tự;
- Báo cáo cơ quan cấp trên, tổ chức họp báo hoặc gửi thông tin cho truyền thông nếu cần thiết.
(Điều 14 Quyết định số 05/2017/QĐ-TTg, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.QĐ.1.15. Trưng dụng tài sản và đình chỉ phương tiện thông tin phục vụ ứng cứu khẩn cấp sự cố an toàn thông tin mạng quốc gia
Trong quá trình triển khai ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia, khi được Cơ quan thường trực yêu cầu, các cơ quan có chức năng thẩm quyền theo quy định của pháp luật thực hiện:
1. Tạm đình chỉ hoặc đình chỉ việc sử dụng phương tiện thông tin liên lạc hoặc các hoạt động khác từ hệ thống thông tin khi có căn cứ xác định các hoạt động này gây nguy hại đặc biệt nghiêm trọng đến lợi ích công cộng hoặc tổn hại nghiêm trọng, đặc biệt nghiêm trọng tới quốc phòng, an ninh.
2. Trưng dụng phương tiện thông tin, phương tiện, giao thông, phương tiện khác và người đang sử dụng, điều khiển phương tiện đó trong trường hợp cấp bách để thực hiện nhiệm vụ ứng cứu khẩn cấp hoặc để ngăn chặn hậu quả thiệt hại cho xã hội đang xảy ra hoặc có nguy cơ xảy ra.
3. Huy động các nguồn lực trong phạm vi ngành, lĩnh vực, địa phương mình quản lý để triển khai thực hiện ứng cứu sự cố.
(Điều 15 Quyết định số 05/2017/QĐ-TTg, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.QĐ.1.16. Xây dựng và triển khai kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng
1. Các cơ quan, đơn vị xây dựng và thực hiện kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng (sau đây gọi tắt là kế hoạch ứng phó sự cố) để đảm bảo nhân lực, vật lực, tài lực và các điều kiện cần thiết để sẵn sàng triển khai kịp thời, hiệu quả phương án ứng cứu sự cố bảo đảm an toàn thông tin mạng, cụ thể như sau:
a) Cơ quan điều phối quốc gia xây dựng, trình Bộ Thông tin và Truyền thông phê duyệt để thực hiện kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng quốc gia và kế hoạch hoạt động của mạng lưới ứng cứu sự cố.
b) Đơn vị chuyên trách về ứng cứu sự cố của các bộ, cơ quan trung ương xây dựng, trình thủ trưởng cơ quan chủ quản phê duyệt để thực hiện kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng cho cơ quan nhà nước, tổ chức chính trị, tổ chức chính trị - xã hội trong phạm vi bộ, ngành mình quản lý.
c) Đơn vị chuyên trách về ứng cứu sự cố của các tỉnh, thành phố trực thuộc trung ương xây dựng, trình Chủ tịch Ủy ban nhân dân cấp tỉnh phê duyệt để thực hiện kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng của địa phương;
d) Các thành viên mạng lưới, tổ chức, doanh nghiệp có quản lý hệ thống thông tin thuộc Danh mục hệ thống thông tin quan trọng quốc gia, hệ thống thông tin lớn, hệ thống điều khiển công nghiệp (SCADA) xây dựng, phê duyệt và thực hiện kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng trong tổ chức, doanh nghiệp mình.
2. Các cơ quan, đơn vị xây dựng kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng theo đề cương tại Phụ lục II của Quyết định này, trong đó chú trọng các nội dung: Các kịch bản tấn công, các nguy cơ, tình huống sự cố có khả năng xảy ra, các phương án ứng cứu theo các kịch bản, tình huống dự kiến và công tác huấn luyện, diễn tập. Trường hợp cần thiết, Bộ Thông tin và Truyền thông xem xét điều chỉnh một số điểm trong đề cương cho phù hợp với tình hình và yêu cầu sự cố an toàn thông tin mạng.
3. Cơ quan điều phối quốc gia hướng dẫn việc xây dựng, triển khai kế hoạch ứng phó sự cố, dự phòng ứng cứu, xử lý sự cố an toàn thông tin mạng; tổ chức hoạt động huấn luyện, diễn tập theo vùng, miền và quốc gia, quốc tế; định kỳ kiểm tra, đánh giá việc triển khai kế hoạch ứng phó sự cố an toàn thông tin mạng của các bộ, ngành, địa phương và của các tổ chức, doanh nghiệp.
Phụ lục II.doc
(Điều 16 Quyết định số 05/2017/QĐ-TTg, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.3.12. Xây dựng và triển khai kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng
1. Các cơ quan, tổ chức và doanh nghiệp xây dựng và triển khai kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng của cơ quan, tổ chức và doanh nghiệp mình, trong đó:
a) Đối với các hệ thống thông tin đã được phê duyệt cấp độ 04, cấp độ 05 hoặc thuộc Danh mục hệ thống thông tin quan trọng quốc gia, theo Đề cương Kế hoạch ứng phó sự cố an toàn thông tin mạng quy định tại Điều 16 của Quyết định số 05/2017/QĐ-TTg.
b) Đối với các hệ thống thông tin không thuộc Điểm a Khoản 1 Điều này, theo Phụ lục III ban hành kèm theo Thông tư này.
2. Các chủ quản hệ thống thông tin và cơ quan, đơn vị có thẩm quyền phê duyệt Kế hoạch ứng phó sự cố cần xác định các điều kiện, nguyên tắc ưu tiên để duy trì hoạt động của hệ thống thông tin khi triển khai ứng cứu sự cố và coi nội dung này là một yêu cầu bắt buộc trong Kế hoạch ứng phó sự cố.
3. Cơ quan điều phối quốc gia hướng dẫn việc xây dựng, triển khai kế hoạch ứng phó sự cố, dự phòng ứng cứu, xử lý sự cố an toàn thông tin mạng; tổ chức hoạt động huấn luyện, diễn tập theo vùng, miền và quốc gia, quốc tế; xây dựng kế hoạch và tổ chức định kỳ kiểm tra, đánh giá về việc triển khai phương án ứng phó sự cố an toàn thông tin mạng của các bộ, ngành, địa phương và của các tổ chức, doanh nghiệp.
Phụ lục III.doc
(Điều 12 Thông tư số 20/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/11/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.QĐ.1.17. Kinh phí
1. Kinh phí để thực hiện các phương án, kế hoạch, hoạt động điều phối, ứng cứu, khắc phục sự cố an toàn thông tin mạng được lấy từ các nguồn: Ngân sách trung ương; ngân sách địa phương; kinh phí của doanh nghiệp và các nguồn vốn hợp pháp khác theo quy định.
2. Kinh phí thực hiện các hoạt động ứng cứu sự cố an toàn thông tin mạng được bố trí trong dự toán chi ngân sách nhà nước của các bộ, cơ quan trung ương và các địa phương (bao gồm chi đầu tư phát triển và chi thường xuyên) và được quản lý, sử dụng, thanh quyết toán theo phân cấp ngân sách quy định tại Luật ngân sách nhà nước và các văn bản hướng dẫn thi hành. Việc bố trí kinh phí thực hiện theo nguyên tắc: Hoạt động, lực lượng thuộc cơ quan cấp nào thì bố trí kinh phí và sử dụng từ nguồn kinh phí của cơ quan cấp đó, cụ thể:
a) Ngân sách trung ương bảo đảm cho:
- Hoạt động chỉ đạo, điều hành, kiểm tra, giám sát ứng cứu sự cố của Ban Chỉ đạo quốc gia, Ban Điều phối ứng cứu quốc gia, Cơ quan thường trực ứng cứu sự cố quốc gia;
- Hoạt động của Cơ quan điều phối quốc gia gồm: Kinh phí triển khai các hoạt động liên quan thuộc trách nhiệm của cơ quan điều phối quốc gia quy định tại các Điều 7, Điều 11, Điều 12, Điều 13, Điều 14 và Điều 16 Quyết định này; kinh phí bảo đảm hoạt động thường xuyên; tổ chức giám sát phát hiện, cảnh báo; huấn luyện, diễn tập, đào tạo; mua sắm, nâng cấp, gia hạn bản quyền phần mềm, trang thiết bị, bảo dưỡng phương tiện, công cụ tham gia, phối hợp các hoạt động hợp tác quốc tế về an toàn mạng; kinh phí xây dựng và triển khai kế hoạch ứng phó sự cố, kinh phí dự phòng ứng cứu xử lý sự cố nghiêm trọng quốc gia; hỗ trợ các bộ, ngành, địa phương trong điều phối, ứng cứu sự cố; kinh phí thuê dịch vụ kỹ thuật, tổ chức và duy trì đội chuyên gia ứng cứu sự cố và bộ phận tác nghiệp ứng cứu sự cố; kinh phí điều hành và tổ chức các hoạt động của Mạng lưới ứng cứu sự cố, tuyên truyền, tập huấn, hội thảo, giao ban mạng lưới, nghiên cứu chuyên môn, duy trì bộ phận chuyên gia kỹ thuật, nâng cao năng lực và phát triển các đội ứng cứu sự cố; kinh phí kiểm tra, rà quét, đánh giá an toàn thông tin; tạo lập, thu thập, phân tích và chia sẻ thông tin về sự cố; hỗ trợ xây dựng, áp dụng chuẩn ISO 27xxx và các chuẩn quốc tế về an toàn thông tin mạng; triển khai các hoạt động nghiệp vụ đặc thù bảo đảm an toàn thông tin mạng cho các hệ thống thông tin quan trọng của Nhà nước;
- Các bộ, cơ quan trung ương căn cứ các nội dung quy định tại Quyết định này lập dự toán kinh phí hàng năm để triển khai các hoạt động liên quan thuộc trách nhiệm của bộ, ngành mình quy định tại các Điều 7, Điều 11, Điều 12, Điều 13, Điều 14 và Điều 16 Quyết định này; kinh phí xây dựng và triển khai kế hoạch ứng phó sự cố trong bộ, ngành mình; kinh phí dự phòng ứng cứu, xử lý sự cố cho các hệ thống thông tin do bộ, ngành mình quản lý; kinh phí tổ chức đào tạo, huấn luyện, diễn tập và hoạt động của Đội ứng cứu sự cố; kinh phí giám sát, kiểm tra, rà quét, đánh giá an toàn thông tin; hỗ trợ xây dựng, áp dụng chuẩn ISO 27xxx và triển khai các hoạt động nghiệp vụ đặc thù bảo đảm an toàn thông tin mạng cho các hệ thống thông tin thuộc phạm vi quản lý.
b) Ngân sách địa phương bảo đảm cho hoạt động của Ban Chỉ đạo, đơn vị chuyên trách ứng cứu sự cố, đội ứng cứu sự cố của địa phương, gồm: Kinh phí để triển khai các hoạt động liên quan thuộc trách nhiệm của địa phương quy định tại các Điều 7, Điều 11, Điều 12, Điều 13, Điều 14 và Điều 16 Quyết định này; kinh phí triển khai kế hoạch ứng phó sự cố của địa phương; kinh phí dự phòng ứng cứu, xử lý sự cố cho các hệ thống thông tin thuộc địa phương quản lý; kinh phí tổ chức đào tạo, huấn luyện, diễn tập và hoạt động của Đội ứng cứu sự cố; kinh phí giám sát, kiểm tra, rà quét, đánh giá an toàn thông tin; hỗ trợ xây dựng, áp dụng chuẩn ISO 27xxx và triển khai các hoạt động nghiệp vụ đặc thù bảo đảm an toàn thông tin mạng cho các hệ thống thông tin thuộc phạm vi quản lý.
c) Nguồn kinh phí của doanh nghiệp đảm bảo để triển khai các hoạt động liên quan thuộc trách nhiệm của doanh nghiệp quy định tại khoản 4 Điều 7, Điều 11 Điều 12, Điều 13, Điều 14 và Điều 16 Quyết định này; triển khai kế hoạch ứng phó sự cố của doanh nghiệp, dự phòng ứng cứu, xử lý sự cố cho các hệ thống thông tin do doanh nghiệp quản lý; phối hợp giám sát, cung cấp thông tin, tham gia ứng cứu sự cố; tổ chức đào tạo, huấn luyện, diễn tập, duy trì hoạt động của Đội ứng cứu sự cố và các nhiệm vụ khác do doanh nghiệp thực hiện và được hạch toán vào chi phí kinh doanh để thực hiện. Các doanh nghiệp viễn thông, Internet bảo đảm kinh phí để giám sát, ứng cứu sự cố bảo đảm an toàn thông tin mạng trên các kênh kết nối Internet của doanh nghiệp mình và được hạch toán vào chi phí kinh doanh để thực hiện.
d) Chủ quản hệ thống thông tin phải bố trí kinh phí để thực hiện kế hoạch, phương án ứng cứu sự cố, dự phòng kinh phí xử lý sự cố, khắc phục hậu quả, khôi phục dữ liệu và hoạt động bình thường của hệ thống thông tin của mình.
đ) Nguồn vốn từ Quỹ dịch vụ viễn thông công ích Việt Nam được bố trí cho một số hoạt động, nhiệm vụ về điều phối, ứng cứu sự cố bảo đảm an toàn thông tin mạng mà ngân sách nhà nước không chi hoặc chi không đủ của cơ quan điều phối quốc gia, bộ phận tác nghiệp ứng cứu sự cố do cơ quan thường trực triệu tập, hoạt động của mạng lưới ứng cứu sự cố quốc gia, thuê dịch vụ kỹ thuật, tổ chức và duy trì đội chuyên gia ứng cứu sự cố thuộc cơ quan điều phối quốc gia, chi trả cho hao tổn của các doanh nghiệp viễn thông, Internet do triển khai giải pháp ứng cứu, ngăn chặn, xử lý sự cố nghiêm trọng quốc gia, và các hoạt động khác liên quan mà ngân sách nhà nước không chi hoặc chi không đủ.
e) Bộ Tài chính chủ trì, phối hợp với Bộ Thông tin và Truyền thông hướng dẫn chi tiết kinh phí cho công tác điều phối, ứng cứu sự cố bảo đảm an toàn thông tin mạng quy định tại Điều này.
(Điều 17 Quyết định số 05/2017/QĐ-TTg, có hiệu lực thi hành kể từ ngày 16/03/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.3.13. Kinh phí
Kinh phí triển khai các hoạt động điều phối, ứng cứu sự cố an toàn thông tin mạng trên toàn quốc thực hiện theo quy định tại Điều 17 Quyết định số 05/2017/QĐ-TTg và các văn bản hướng dẫn liên quan.
(Điều 13 Thông tư số 20/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/11/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.LQ.15. Trách nhiệm của cơ quan, tổ chức, cá nhân trong bảo đảm an toàn thông tin mạng
1. Cơ quan, tổ chức, cá nhân tham gia hoạt động an toàn thông tin mạng có trách nhiệm phối hợp với cơ quan nhà nước có thẩm quyền và tổ chức, cá nhân khác trong việc bảo đảm an toàn thông tin mạng.
2. Cơ quan, tổ chức, cá nhân sử dụng dịch vụ trên mạng có trách nhiệm thông báo kịp thời cho doanh nghiệp cung cấp dịch vụ hoặc bộ phận chuyên trách ứng cứu sự cố khi phát hiện các hành vi phá hoại hoặc sự cố an toàn thông tin mạng.
(Điều 15 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.16. Yêu cầu chung đối với nơi lắp đặt trang thiết bị công nghệ thông tin
1. Bảo vệ bằng tường bao, cổng ra vào hoặc có các biện pháp kiểm soát, hạn chế rủi ro xâm nhập trái phép.
2. Thực hiện các biện pháp phòng chống nguy cơ do cháy nổ, ngập lụt.
3. Các khu vực có yêu cầu cao về an toàn, bảo mật như khu vực lắp đặt máy chủ, thiết bị lưu trữ, thiết bị an ninh bảo mật, thiết bị truyền thông phải được cách ly với khu vực dùng chung, phân phối, chuyển hàng; ban hành nội quy, hướng dẫn làm việc và áp dụng biện pháp kiểm soát ra vào khu vực đó.
(Điều 16 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.17. Yêu cầu đối với trung tâm dữ liệu
Ngoài việc bảo đảm yêu cầu tại Điều 16 Thông tư này, Trung tâm dữ liệu phải bảo đảm các yêu cầu sau:
1. Cổng vào ra tòa nhà trung tâm dữ liệu phải có người kiểm soát 24/7.
2. Cửa vào ra trung tâm dữ liệu phải chắc chắn, có khả năng chống cháy, sử dụng ít nhất hai loại khóa khác nhau và phải có biện pháp bảo vệ và giám sát 24/7.
3. Khu vực lắp đặt thiết bị phải được tránh nắng chiếu rọi trực tiếp, chống thấm dột nước, tránh ngập lụt. Khu vực lắp đặt thiết bị của hệ thống thông tin từ mức độ 2 trở lên phải được bảo vệ, giám sát 24/7.
4. Có tối thiểu một nguồn điện lưới và một nguồn điện máy phát. Có hệ thống chuyển mạch tự động giữa hai nguồn điện, khi cắt điện lưới máy phát phải tự động khởi động cấp nguồn. Nguồn điện phải đấu nối qua hệ thống lưu điện để cấp nguồn cho thiết bị, bảo đảm khả năng duy trì hoạt động liên tục của hệ thống thông tin.
5. Có hệ thống điều hòa không khí bảo đảm khả năng hoạt động liên tục.
6. Có hệ thống chống sét trực tiếp và lan truyền.
7. Có hệ thống báo cháy và chữa cháy tự động bảo đảm khi chữa cháy không làm hư hỏng thiết bị lắp đặt bên trong.
8. Có hệ thống sàn kỹ thuật hoặc lớp cách ly chống nhiễm điện; hệ thống tiếp địa.
9. Có hệ thống camera giám sát, lưu trữ dữ liệu giám sát tối thiểu 100 ngày.
10. Có hệ thống theo dõi, kiểm soát nhiệt độ, độ ẩm.
11. Có hồ sơ nhật ký kiểm soát vào ra trung tâm dữ liệu.
(Điều 17 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.18. An toàn tài sản vật lý
1.Tài sản vật lý phải được bố trí, lắp đặt tại các địa điểm an toàn và được bảo vệ để giảm thiểu những rủi ro do các đe dọa, hiểm họa từ môi trường và các xâm nhập trái phép.
2.Tài sản vật lý thuộc hệ thống thông tin từ mức độ 2 trở lên phải được bảo đảm về nguồn điện và các hệ thống hỗ trợ khi nguồn điện chính bị gián đoạn. Phải có biện pháp chống quá tải hay sụt giảm điện áp, chống sét lan truyền; có hệ thống tiếp địa; có hệ thống máy phát điện dự phòng và hệ thống lưu điện bảo đảm thiết bị hoạt động liên tục.
3.Dây cáp cung cấp nguồn điện và dây cáp truyền thông sử dụng trong truyền tải dữ liệu hay những dịch vụ hỗ trợ thông tin phải được bảo vệ khỏi sự xâm phạm hoặc hư hại.
4.Các trang thiết bị dùng cho hoạt động nghiệp vụ lắp đặt bên ngoài trụ sở làm việc của tổ chức phải có biện pháp giám sát, bảo vệ an toàn phòng chống truy cập bất hợp pháp.
(Điều 18 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.19. Trách nhiệm quản lý và quy trình vận hành của tổ chức
1. Tổ chức ban hành các quy trình vận hành đối với hệ thống thông tin từ mức độ 2 trở lên, tối thiểu bao gồm: quy trình bật, tắt hệ thống; quy trình sao lưu, phục hồi dữ liệu; quy trình vận hành ứng dụng; quy trình xử lý sự cố; quy trình giám sát và ghi nhật ký hoạt động của hệ thống. Trong đó phải xác định rõ phạm vi, trách nhiệm của người sử dụng, vận hành hệ thống. Định kỳ tối thiểu mỗi năm một lần, tổ chức thực hiện rà soát, cập nhật, bổ sung các quy trình vận hành hệ thống thông tin để phù hợp thực tế.
2. Tổ chức triển khai các quy trình đến toàn bộ các đối tượng tham gia vận hành và giám sát tuân thủ việc thực hiện các quy trình đã ban hành.
3. Môi trường vận hành của hệ thống thông tin từ mức độ 2 trở lên phải đáp ứng yêu cầu:
a) Tách biệt với các môi trường phát triển, kiểm tra và thử nghiệm;
b) Áp dụng các giải pháp bảo đảm an toàn thông tin;
c) Không cài đặt các công cụ, phương tiện phát triển ứng dụng;
d) Loại bỏ hoặc tắt các tính năng, phần mềm tiện ích không sử dụng trên hệ thống thông tin.
4. Đối với hệ thống thông tin xử lý giao dịch khách hàng phải đáp ứng yêu cầu sau:
a) Không để một cá nhân được đồng thời thực hiện các công việc khởi tạo và phê duyệt một giao dịch;
b) Áp dụng các biện pháp bảo đảm tính toàn vẹn dữ liệu giao dịch;
c) Mọi thao tác trên hệ thống phải được lưu vết, sẵn sàng cho kiểm tra, kiểm soát khi cần thiết.
(Điều 19 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.20. Lập kế hoạch và chấp nhận hệ thống thông tin
1. Tổ chức xây dựng tiêu chuẩn, định mức, yêu cầu kỹ thuật để bảo đảm hoạt động bình thường đối với tất cả các hệ thống thông tin hiện có và các hệ thống thông tin khác trước khi đưa vào áp dụng chính thức.
2. Căn cứ các tiêu chuẩn, định mức, yêu cầu kỹ thuật đã xây dựng, tổ chức giám sát, tối ưu hiệu suất của hệ thống thông tin; đánh giá khả năng đáp ứng, tình trạng hoạt động, cấu hình hệ thống của hệ thống thông tin để dự báo, lập kế hoạch mở rộng, nâng cấp bảo đảm khả năng đáp ứng trong tương lai.
3. Tổ chức rà soát, cập nhật tiêu chuẩn, định mức, yêu cầu kỹ thuật khi có sự thay đổi đối với hệ thống thông tin; thực hiện đào tạo và chuyển giao kỹ thuật đối với những nội dung thay đổi cho các nhân sự có liên quan.
(Điều 20 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.21. Sao lưu dự phòng
Tổ chức thực hiện sao lưu dự phòng bảo đảm an toàn dữ liệu như sau:
1. Lập danh sách hệ thống thông tin theo mức độ quan trọng cần được sao lưu, kèm theo thời gian lưu trữ, định kỳ sao lưu, phương pháp sao lưu và thời gian kiểm tra phục hồi hệ thống từ dữ liệu sao lưu.
2. Dữ liệu của các hệ thống thông tin từ mức độ 2 trở lên phải có phương án tự động sao lưu phù hợp với tần suất thay đổi của dữ liệu và bảo đảm nguyên tắc dữ liệu phát sinh phải được sao lưu trong vòng 24 giờ. Dữ liệu sao lưu phải được lưu trữ ra phương tiện lưu trữ ngoài (như băng từ, đĩa cứng, đĩa quang hoặc phương tiện lưu trữ khác) và cất giữ, bảo quản an toàn tách rời với khu vực lắp đặt hệ thống thông tin nguồn.
3. Đối với hệ thống thông tin từ mức độ 2 trở lên phải kiểm tra, phục hồi dữ liệu sao lưu từ phương tiện lưu trữ ngoài tối thiểu sáu tháng một lần.
4. Tổ chức có cả hệ thống thông tin chính và dự phòng đặt ngoài lãnh thổ Việt Nam phải thực hiện lưu trữ thông tin cá nhân, dữ liệu giao dịch của khách hàng tại Việt Nam theo quy định của pháp luật Việt Nam.
(Điều 21 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.22. Quản lý an toàn, bảo mật hệ thống mạng
Tổ chức thực hiện quản lý an toàn, bảo mật hệ thống mạng như sau:
1. Xây dựng quy định về quản lý an toàn, bảo mật hệ thống mạng và quản lý các thiết bị đầu cuối của toàn bộ hệ thống mạng.
2. Lập, lưu trữ hồ sơ về sơ đồ logic và vật lý đối với hệ thống mạng, bao gồm cả mạng diện rộng (WAN/Intranet) và mạng nội bộ (LAN).
3. Xây dựng hệ thống mạng của tổ chức đáp ứng yêu cầu tối thiểu sau:
a) Chia tách thành các vùng mạng khác nhau theo đối tượng sử dụng, mục đích sử dụng và hệ thống thông tin, tối thiểu: (i) Có phân vùng mạng riêng cho máy chủ của hệ thống thông tin từ mức độ 2 trở lên; (ii) Có phân vùng mạng trung gian (DMZ) để cung cấp dịch vụ trên mạng Internet; (iii) Có phân vùng mạng riêng để cung cấp dịch vụ mạng không dây;
b) Có thiết bị có chức năng tường lửa để kiểm soát các kết nối, truy cập vào ra các vùng mạng quan trọng;
c) Có thiết bị có chức năng tường lửa và chức năng phát hiện phòng chống xâm nhập để kiểm soát kết nối, truy cập từ mạng không tin cậy vào hệ thống mạng của tổ chức;
d) Có giải pháp kiểm soát, phát hiện và ngăn chặn kịp thời các kết nối, truy cập trái phép vào hệ thống mạng nội bộ của tổ chức có hệ thống thông tin từ mức độ 2 trở lên;
đ) Có phương án cân bằng tải và phương án ứng phó tấn công từ chối dịch vụ đối với các hệ thống thông tin từ mức độ 2 trở lên cung cấp dịch vụ trên mạng Internet.
4. Thiết lập, cấu hình các tính năng theo thiết kế của các trang thiết bị an ninh mạng; thực hiện các biện pháp, giải pháp để dò tìm và phát hiện kịp thời các điểm yếu, lỗ hổng về mặt kỹ thuật của hệ thống mạng; thường xuyên kiểm tra, phát hiện những kết nối, trang thiết bị, phần mềm cài đặt bất hợp pháp vào mạng.
(Điều 22 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.23. Trao đổi thông tin
Trách nhiệm của tổ chức trong việc trao đổi thông tin với khách hàng và bên thứ ba:
1. Ban hành quy định về trao đổi thông tin tối thiểu gồm: loại thông tin trao đổi; quyền và trách nhiệm của cá nhân khi tiếp cận thông tin; phương tiện trao đổi thông tin; biện pháp bảo đảm tính toàn vẹn, bảo mật khi truyền nhận, xử lý, lưu trữ thông tin; chế độ bảo quản thông tin.
2. Khi trao đổi thông tin nội bộ và thông tin bí mật với bên ngoài phải có văn bản thỏa thuận, xác định trách nhiệm và nghĩa vụ của các bên tham gia trong việc sử dụng, bảo đảm an toàn thông tin.
3. Các thông tin bí mật phải được mã hóa hoặc áp dụng các biện pháp bảo mật thông tin trước khi trao đổi.
4. Thực hiện biện pháp bảo vệ trang thiết bị, phần mềm phục vụ trao đổi thông tin nhằm hạn chế việc xâm nhập, khai thác bất hợp pháp.
5. Thực hiện các biện pháp quản lý, giám sát và kiểm soát chặt chẽ các trang thông tin điện tử cung cấp thông tin, dịch vụ, giao dịch trực tuyến cho khách hàng.
(Điều 23 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.24. Quản lý dịch vụ giao dịch trực tuyến
1. Yêu cầu đối với hệ thống thông tin của tổ chức thực hiện cung cấp dịch vụ giao dịch trực tuyến cho khách hàng:
a) Bảo đảm tính toàn vẹn của dữ liệu trao đổi với khách hàng trong giao dịch trực tuyến;
b) Dữ liệu trên đường truyền phải bảo đảm tính bí mật và phải được truyền đầy đủ, đúng địa chỉ và có biện pháp bảo vệ để tránh bị sửa đổi hoặc nhân bản trái phép;
c) Đánh giá mức độ rủi ro trong giao dịch trực tuyến theo đối tượng khách hàng, loại giao dịch, hạn mức giao dịch để cung cấp giải pháp xác thực giao dịch phù hợp theo quy định của Ngân hàng Nhà nước;
d) Trang thông tin điện tử giao dịch trực tuyến phải được áp dụng các biện pháp chứng thực chống giả mạo và ngăn chặn, chống sửa đổi trái phép.
2. Xác thực giao dịch của khách hàng phải được thực hiện trực tiếp tại hệ thống thông tin của tổ chức. Trường hợp tổ chức sử dụng dịch vụ xác thực của bên thứ ba thì tổ chức phải quản lý tối thiểu một yếu tố xác thực.
3. Hệ thống dịch vụ giao dịch trực tuyến phải được áp dụng các biện pháp để giám sát chặt chẽ và phát hiện, cảnh báo về:
a) Giao dịch đáng ngờ dựa vào các tiêu chí tối thiểu gồm: thời gian giao dịch, địa điểm giao dịch (vị trí địa lý, địa chỉ IP mạng), tần suất giao dịch, số tiền giao dịch, số lần xác thực sai quy định;
b) Hoạt động bất thường của hệ thống;
c) Các cuộc tấn công từ chối dịch vụ (DoS - Denial of Service attack), tấn công từ chối dịch vụ phân tán (DDoS - Distributed Denial of Service attack).
4. Tổ chức hướng dẫn các biện pháp bảo đảm an toàn thông tin và cảnh bảo rủi ro cho khách hàng trước khi tham gia sử dụng dịch vụ giao dịch trực tuyến và theo định kỳ.
5. Khi cung cấp phần mềm ứng dụng giao dịch trực tuyến trên Internet phải áp dụng các biện pháp bảo đảm tính toàn vẹn của phần mềm.
(Điều 24 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.25. Giám sát và ghi nhật ký hoạt động của hệ thống thông tin
Tổ chức thực hiện giám sát và ghi nhật ký hoạt động của hệ thống thông tin như sau:
1. Ghi và lưu trữ nhật ký về hoạt động của hệ thống thông tin và người sử dụng, các lỗi phát sinh, các sự cố an toàn thông tin. Dữ liệu nhật ký của các hệ thống thông tin từ mức độ 2 trở lên phải được lưu trữ trực tuyến tối thiểu 3 tháng theo hình thức tập trung và sao lưu tối thiểu một năm.
2. Bảo vệ các chức năng ghi nhật ký và thông tin nhật ký, chống giả mạo và truy cập trái phép; bảo đảm người quản trị hệ thống và người sử dụng không thể xóa hay sửa đổi nhật ký hệ thống ghi lại các hoạt động của chính họ.
3. Thực hiện việc đồng bộ thời gian giữa các hệ thống thông tin.
(Điều 25 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.26. Phòng chống mã độc
Tổ chức xây dựng và thực hiện quy định về phòng chống mã độc như sau:
1. Xác định trách nhiệm của cá nhân và các bộ phận liên quan trong công tác phòng chống mã độc.
2. Triển khai biện pháp, giải pháp phòng chống mã độc cho toàn bộ hệ thống thông tin của tổ chức.
3. Cập nhật mẫu mã độc và phần mềm phòng chống mã độc mới.
4. Kiểm tra, diệt mã độc đối với vật mang tin nhận từ bên ngoài trước khi sử dụng.
5. Kiểm soát việc cài đặt phần mềm bảo đảm tuân thủ theo quy chế an toàn thông tin của tổ chức.
6. Kiểm soát thư điện tử lạ, các tệp tin đính kèm hoặc các liên kết trong các thư lạ.
(Điều 26 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.27. Yêu cầu đối với kiểm soát truy cập
1. Tổ chức quy định về quản lý truy cập đối với người sử dụng, nhóm người sử dụng, các thiết bị, công cụ sử dụng để truy cập hệ thống thông tin bảo đảm đáp ứng yêu cầu nghiệp vụ và yêu cầu an toàn thông tin, bao gồm các nội dung cơ bản sau:
a) Đăng ký, cấp phát, gia hạn và thu hồi quyền truy cập của người sử dụng;
b) Mỗi tài khoản truy cập hệ thống phải được gán cho một người sử dụng duy nhất; trường hợp chia sẻ tài khoản dùng chung để truy cập hệ thống thông tin thì phải được phê duyệt bởi cấp có thẩm quyền và xác định được trách nhiệm cá nhân tại mỗi thời điểm sử dụng;
c) Đối với hệ thống thông tin từ mức độ 2 trở lên, phải giới hạn và kiểm soát các truy cập sử dụng tài khoản có quyền quản trị: (i) Thiết lập cơ chế kiểm soát việc tạo tài khoản có quyền quản trị để bảo đảm không một tài khoản nào sử dụng được khi chưa được cấp có thẩm quyền phê duyệt; (ii) Phải có biện pháp giám sát việc sử dụng tài khoản có quyền quản trị; (iii) Việc sử dụng tài khoản có quyền quản trị phải được giới hạn trong khoảng thời gian đủ để thực hiện công việc và phải được thu hồi ngay sau khi kết thúc công việc;
d) Quản lý, cấp phát mã khóa bí mật truy cập hệ thống thông tin;
đ) Rà soát, kiểm tra, xét duyệt lại quyền truy cập của người sử dụng;
e) Yêu cầu, điều kiện an toàn thông tin đối với các thiết bị, công cụ sử dụng để truy cập.
2. Tổ chức xây dựng quy định về quản lý mã khóa bí mật đáp ứng các yêu cầu sau:
a) Mã khóa bí mật phải có độ dài từ sáu ký tự trở lên, cấu tạo gồm các ký tự số, chữ hoa, chữ thường và các ký tự đặc biệt khác nếu hệ thống cho phép; các yêu cầu mã khóa bí mật hợp lệ phải được kiểm tra tự động khi thiết lập mã khóa bí mật;
b) Các mã khóa bí mật mặc định của nhà sản xuất cài đặt sẵn trên các trang thiết bị, phần mềm, cơ sở dữ liệu phải được thay đổi trước khi đưa vào sử dụng;
c) Phần mềm quản lý mã khóa bí mật phải có các chức năng: (i) Yêu cầu thay đổi mã khóa bí mật lần đầu đăng nhập (không áp dụng với mã khóa bí mật sử dụng một lần); (ii) thông báo người sử dụng thay đổi mã khóa bí mật sắp hết hạn sử dụng; (iii) huỷ hiệu lực của mã khóa bí mật hết hạn sử dụng; (iv) hủy hiệu lực của mã khóa bí mật khi người sử dụng nhập sai quá số lần cho phép; (v) cho phép thay đổi ngay mã khóa bí mật bị lộ, có nguy cơ bị lộ hoặc theo yêu cầu của người sử dụng; (vi) ngăn chặn việc sử dụng lại mã khóa bí mật cũ trong một khoảng thời gian nhất định.
3. Tổ chức xây dựng quy định về trách nhiệm của người sử dụng khi được cấp quyền truy cập bao gồm các nội dung: sử dụng mã khóa bí mật đúng quy định; giữ bí mật mã khóa bí mật; sử dụng thiết bị, công cụ để truy cập; thoát khỏi hệ thống khi không làm việc hoặc tạm thời không làm việc trên hệ thống.
(Điều 27 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.28. Quản lý truy cập mạng nội bộ
Tổ chức xây dựng và triển khai các chính sách quản lý truy cập mạng nội bộ đáp ứng các yêu cầu sau:
1. Xây dựng và triển khai quy định quản lý truy cập mạng và các dịch vụ mạng gồm các nội dung cơ bản sau:
a) Các mạng và dịch vụ mạng được phép sử dụng, cách thức, phương tiện và các điều kiện an toàn thông tin để truy cập;
b) Trách nhiệm của người quản trị, người truy cập;
c) Thủ tục cấp phát, thay đổi, thu hồi quyền kết nối;
d) Kiểm soát việc quản trị, truy cập, sử dụng mạng.
2. Thực hiện các biện pháp kiểm soát chặt chẽ các kết nối từ mạng không tin cậy vào mạng nội bộ của tổ chức bảo đảm an toàn thông tin.
3. Kiểm soát việc cài đặt, sử dụng các công cụ phần mềm hỗ trợ truy cập từ xa.
4. Kiểm soát truy cập các cổng dùng để cấu hình và quản trị thiết bị mạng.
5. Cấp quyền truy cập mạng và dịch vụ mạng phải bảo đảm nguyên tắc quyền vừa đủ để thực hiện nhiệm vụ được giao.
6. Kết nối từ mạng Internet vào mạng nội bộ của tổ chức để phục vụ công việc phải sử dụng mạng riêng ảo và xác thực đa thành tố.
(Điều 28 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.29. Quản lý truy cập hệ thống thông tin và ứng dụng
Tổ chức xây dựng và triển khai việc quản lý truy cập đáp ứng yêu cầu sau:
1. Kiểm soát những phần mềm tiện ích có khả năng ảnh hưởng đến hệ thống thông tin.
2. Quy định thời gian truy cập vào ứng dụng tương ứng với thời gian hoạt động nghiệp vụ và dịch vụ mà ứng dụng cung cấp. Tự động ngắt phiên làm việc của người sử dụng sau một thời gian không sử dụng nhằm ngăn chặn sự truy cập trái phép.
3. Quản lý và phân quyền truy cập thông tin và ứng dụng bảo đảm nguyên tắc cấp quyền vừa đủ để thực hiện nhiệm vụ được giao của người sử dụng:
a) Phân quyền truy cập đến từng thư mục, chức năng của chương trình;
b) Phân quyền đọc, ghi, xóa, thực thi đối với thông tin, dữ liệu, chương trình.
4. Các hệ thống thông tin sử dụng chung nguồn tài nguyên phải được cấp có thẩm quyền phê duyệt.
5. Đối với máy chủ thuộc hệ thống thông tin từ mức độ 2 trở lên phải sử dụng giao thức kết nối an toàn và có phương án chống đăng nhập tự động.
(Điều 29 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.30. Quản lý kết nối Internet
Tổ chức quy định và triển khai việc quản lý kết nối Internet đáp ứng yêu cầu sau:
1. Quy định quản lý kết nối, truy cập sử dụng Internet gồm các nội dung cơ bản sau:
a) Trách nhiệm cá nhân và các bộ phận có liên quan trong khai thác sử dụng Internet;
b) Đối tượng được phép truy cập, kết nối sử dụng Internet;
c) Các hành vi bị cấm, hạn chế;
d) Kiểm soát kết nối, truy cập sử dụng Internet;
đ) Các biện pháp bảo đảm an toàn thông tin khi kết nối Internet.
2. Thực hiện quản lý tập trung, thống nhất các cổng kết nối Internet trong toàn bộ tổ chức.
3. Triển khai các giải pháp an ninh mạng tại các cổng kết nối Internet để bảo đảm an toàn trước các hiểm họa tấn công từ Internet vào mạng nội bộ của tổ chức.
4. Sử dụng các công cụ để dò tìm và phát hiện kịp thời các điểm yếu, lỗ hổng và các tấn công, truy cập bất hợp pháp vào hệ thống mạng nội bộ của tổ chức thông qua cổng kết nối Internet.
(Điều 30 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.52. Kiểm tra nội bộ
Tổ chức thực hiện kiểm tra nội bộ như sau:
1. Xây dựng quy định kiểm tra nội bộ về công tác bảo đảm an toàn thông tin của tổ chức.
2. Xây dựng kế hoạch và thực hiện công tác tự kiểm tra việc tuân thủ các quy định tại Thông tư này và các quy định nội bộ của tổ chức về bảo đảm an toàn thông tin tối thiểu mỗi năm một lần.
3. Kết quả kiểm tra về công tác bảo đảm an toàn thông tin của tổ chức phải được lập thành báo cáo gửi người đại diện theo pháp luật và cấp có thẩm quyền, trong đó các vấn đề còn tồn tại chưa bảo đảm tuân thủ các quy định về an toàn thông tin (nếu có) phải có phương án xử lý, kế hoạch thực hiện.
4. Tổ chức thực hiện và báo cáo kết quả khắc phục các tồn tại nêu trong báo cáo theo quy định tại khoản 3 Điều này.
(Điều 52 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG
Điều 3.1.TT.5.53. Chế độ báo cáo
Tổ chức có trách nhiệm gửi báo cáo về Ngân hàng Nhà nước (Cục Công nghệ thông tin) các nội dung sau:
1. Báo cáo sự cố an ninh mạng trong vòng 24 giờ kể từ thời điểm sự cố được phát hiện và 05 ngày làm việc sau khi hoàn thành khắc phục sự cố theo Phụ lục kèm theo Thông tư này về địa chỉ thư điện tử cntt@sbv.gov.vn.
2. Báo cáo đánh giá rủi ro theo quy định tại khoản 3 Điều 32 Thông tư này trực tiếp hoặc qua đường bưu điện về Ngân hàng Nhà nước (Cục Công nghệ thông tin, 64 Nguyễn Chí Thanh, Hà Nội) khi thuê ngoài toàn bộ công việc quản trị hệ thống thông tin từ mức độ 2 trở lên trước thời điểm triển khai tối thiểu 10 ngày làm việc.
Phụ luc.docx
(Điều 53 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN
Điều 3.1.LQ.16. Nguyên tắc bảo vệ thông tin cá nhân trên mạng
1. Cá nhân tự bảo vệ thông tin cá nhân của mình và tuân thủ quy định của pháp luật về cung cấp thông tin cá nhân khi sử dụng dịch vụ trên mạng.
2. Cơ quan, tổ chức, cá nhân xử lý thông tin cá nhân có trách nhiệm bảo đảm an toàn thông tin mạng đối với thông tin do mình xử lý.
3. Tổ chức, cá nhân xử lý thông tin cá nhân phải xây dựng và công bố công khai biện pháp xử lý, bảo vệ thông tin cá nhân của tổ chức, cá nhân mình.
4. Việc bảo vệ thông tin cá nhân thực hiện theo quy định của Luật này và quy định khác của pháp luật có liên quan.
5. Việc xử lý thông tin cá nhân phục vụ mục đích bảo đảm quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc không nhằm mục đích thương mại được thực hiện theo quy định khác của pháp luật có liên quan.
(Điều 16 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN
Điều 3.1.LQ.17. Thu thập và sử dụng thông tin cá nhân
1. Tổ chức, cá nhân xử lý thông tin cá nhân có trách nhiệm sau đây:
a) Tiến hành thu thập thông tin cá nhân sau khi có sự đồng ý của chủ thể thông tin cá nhân về phạm vi, mục đích của việc thu thập và sử dụng thông tin đó;
b) Chỉ sử dụng thông tin cá nhân đã thu thập vào mục đích khác mục đích ban đầu sau khi có sự đồng ý của chủ thể thông tin cá nhân;
c) Không được cung cấp, chia sẻ, phát tán thông tin cá nhân mà mình đã thu thập, tiếp cận, kiểm soát cho bên thứ ba, trừ trường hợp có sự đồng ý của chủ thể thông tin cá nhân đó hoặc theo yêu cầu của cơ quan nhà nước có thẩm quyền.
2. Cơ quan nhà nước chịu trách nhiệm bảo mật, lưu trữ thông tin cá nhân do mình thu thập.
3. Chủ thể thông tin cá nhân có quyền yêu cầu tổ chức, cá nhân xử lý thông tin cá nhân cung cấp thông tin cá nhân của mình mà tổ chức, cá nhân đó đã thu thập, lưu trữ.
(Điều 17 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN
Điều 3.1.LQ.18. Cập nhật, sửa đổi và hủy bỏ thông tin cá nhân
1. Chủ thể thông tin cá nhân có quyền yêu cầu tổ chức, cá nhân xử lý thông tin cá nhân cập nhật, sửa đổi, hủy bỏ thông tin cá nhân của mình mà tổ chức, cá nhân đó đã thu thập, lưu trữ hoặc ngừng cung cấp thông tin cá nhân của mình cho bên thứ ba.
2. Ngay khi nhận được yêu cầu của chủ thể thông tin cá nhân về việc cập nhật, sửa đổi, hủy bỏ thông tin cá nhân hoặc đề nghị ngừng cung cấp thông tin cá nhân cho bên thứ ba, tổ chức, cá nhân xử lý thông tin cá nhân có trách nhiệm sau đây:
a) Thực hiện yêu cầu và thông báo cho chủ thể thông tin cá nhân hoặc cung cấp cho chủ thể thông tin cá nhân quyền tiếp cận để tự cập nhật, sửa đổi, hủy bỏ thông tin cá nhân của mình;
b) Áp dụng biện pháp phù hợp để bảo vệ thông tin cá nhân; thông báo cho chủ thể thông tin cá nhân đó trong trường hợp chưa thực hiện được yêu cầu do yếu tố kỹ thuật hoặc yếu tố khác.
3. Tổ chức, cá nhân xử lý thông tin cá nhân phải hủy bỏ thông tin cá nhân đã được lưu trữ khi đã hoàn thành mục đích sử dụng hoặc hết thời hạn lưu trữ và thông báo cho chủ thể thông tin cá nhân biết, trừ trường hợp pháp luật có quy định khác.
(Điều 18 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN
Điều 3.1.LQ.19. Bảo đảm an toàn thông tin cá nhân trên mạng
1. Tổ chức, cá nhân xử lý thông tin cá nhân phải áp dụng biện pháp quản lý, kỹ thuật phù hợp để bảo vệ thông tin cá nhân do mình thu thập, lưu trữ; tuân thủ các tiêu chuẩn, quy chuẩn kỹ thuật về bảo đảm an toàn thông tin mạng.
2. Khi xảy ra hoặc có nguy cơ xảy ra sự cố an toàn thông tin mạng, tổ chức, cá nhân xử lý thông tin cá nhân cần áp dụng biện pháp khắc phục, ngăn chặn trong thời gian sớm nhất.
(Điều 19 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN
Điều 3.1.LQ.20. Trách nhiệm của cơ quan quản lý nhà nước trong bảo vệ thông tin cá nhân trên mạng
1. Thiết lập kênh thông tin trực tuyến để tiếp nhận kiến nghị, phản ánh của tổ chức, cá nhân liên quan đến bảo đảm an toàn thông tin cá nhân trên mạng.
2. Định kỳ hằng năm tổ chức thanh tra, kiểm tra đối với tổ chức, cá nhân xử lý thông tin cá nhân; tổ chức thanh tra, kiểm tra đột xuất trong trường hợp cần thiết.
(Điều 20 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.LQ.21. Phân loại cấp độ an toàn hệ thống thông tin
1. Phân loại cấp độ an toàn hệ thống thông tin là việc xác định cấp độ an toàn thông tin của hệ thống thông tin theo cấp độ tăng dần từ 1 đến 5 để áp dụng biện pháp quản lý và kỹ thuật nhằm bảo vệ hệ thống thông tin phù hợp theo cấp độ.
2. Hệ thống thông tin được phân loại theo cấp độ an toàn như sau:
a) Cấp độ 1 là cấp độ mà khi bị phá hoại sẽ làm tổn hại tới quyền và lợi ích hợp pháp của tổ chức, cá nhân nhưng không làm tổn hại tới lợi ích công cộng, trật tự, an toàn xã hội, quốc phòng, an ninh quốc gia;
b) Cấp độ 2 là cấp độ mà khi bị phá hoại sẽ làm tổn hại nghiêm trọng tới quyền và lợi ích hợp pháp của tổ chức, cá nhân hoặc làm tổn hại tới lợi ích công cộng nhưng không làm tổn hại tới trật tự, an toàn xã hội, quốc phòng, an ninh quốc gia;
c) Cấp độ 3 là cấp độ mà khi bị phá hoại sẽ làm tổn hại nghiêm trọng tới sản xuất, lợi ích công cộng và trật tự, an toàn xã hội hoặc làm tổn hại tới quốc phòng, an ninh quốc gia;
d) Cấp độ 4 là cấp độ mà khi bị phá hoại sẽ làm tổn hại đặc biệt nghiêm trọng tới lợi ích công cộng và trật tự, an toàn xã hội hoặc làm tổn hại nghiêm trọng tới quốc phòng, an ninh quốc gia;
đ) Cấp độ 5 là cấp độ mà khi bị phá hoại sẽ làm tổn hại đặc biệt nghiêm trọng tới quốc phòng, an ninh quốc gia.
3. Chính phủ quy định chi tiết về tiêu chí, thẩm quyền, trình tự, thủ tục xác định cấp độ an toàn hệ thống thông tin và trách nhiệm bảo đảm an toàn hệ thống thông tin theo từng cấp độ.
(Điều 21 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.NĐ.2.6. Phân loại thông tin và hệ thống thông tin
1. Thông tin xử lý thông qua hệ thống thông tin được phân loại theo thuộc tính bí mật như sau:
a) Thông tin công cộng là thông tin trên mạng của một tổ chức, cá nhân được công khai cho tất cả các đối tượng mà không cần xác định danh tính, địa chỉ cụ thể của các đối tượng đó;
b) Thông tin riêng là thông tin trên mạng của một tổ chức, cá nhân mà tổ chức, cá nhân đó không công khai hoặc chỉ công khai cho một hoặc một nhóm đối tượng đã được xác định danh tính, địa chỉ cụ thể;
c) Thông tin cá nhân là thông tin trên mạng gắn với việc xác định danh tính một người cụ thể;
d) Thông tin bí mật nhà nước là thông tin ở mức Mật, Tối Mật, Tuyệt Mật theo quy định của pháp luật về bảo vệ bí mật nhà nước.
2. Hệ thống thông tin được phân loại theo chức năng phục vụ hoạt động nghiệp vụ như sau:
a) Hệ thống thông tin phục vụ hoạt động nội bộ là hệ thống chỉ phục vụ hoạt động quản trị, vận hành nội bộ của cơ quan, tổ chức;
b) Hệ thống thông tin phục vụ người dân, doanh nghiệp là hệ thống trực tiếp hoặc hỗ trợ cung cấp dịch vụ trực tuyến, bao gồm dịch vụ công trực tuyến và dịch vụ trực tuyến khác trong các lĩnh vực viễn thông, công nghệ thông tin, thương mại, tài chính, ngân hàng, y tế, giáo dục và các lĩnh vực chuyên ngành khác;
c) Hệ thống cơ sở hạ tầng thông tin là tập hợp trang thiết bị, đường truyền dẫn kết nối phục vụ chung hoạt động của nhiều cơ quan, tổ chức như mạng diện rộng, cơ sở dữ liệu, trung tâm dữ liệu, điện toán đám mây; xác thực điện tử, chứng thực điện tử, chữ ký số; kết nối liên thông các hệ thống thông tin;
d) Hệ thống thông tin điều khiển công nghiệp là hệ thống có chức năng giám sát, thu thập dữ liệu, quản lý và kiểm soát các hạng mục quan trọng phục vụ điều khiển, vận hành hoạt động bình thường của các công trình xây dựng;
đ) Hệ thống thông tin khác.
(Điều 6 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.NĐ.2.7. Tiêu chí xác định cấp độ 1
Hệ thống thông tin cấp độ 1 là hệ thống thông tin phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý thông tin công cộng.
(Điều 7 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.NĐ.2.8. Tiêu chí xác định cấp độ 2
Hệ thống thông tin cấp độ 2 là hệ thống thông tin có một trong các tiêu chí cụ thể như sau:
1. Hệ thống thông tin phục vụ hoạt động nội bộ của cơ quan, tổ chức và có xử lý thông tin riêng, thông tin cá nhân của người sử dụng nhưng không xử lý thông tin bí mật nhà nước.
2. Hệ thống thông tin phục vụ người dân, doanh nghiệp thuộc một trong các loại hình như sau:
a) Cung cấp thông tin và dịch vụ công trực tuyến từ mức độ 2 trở xuống theo quy định của pháp luật;
b) Cung cấp dịch vụ trực tuyến không thuộc danh mục dịch vụ kinh doanh có điều kiện;
c) Cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của dưới 10.000 người sử dụng.
3. Hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của một cơ quan, tổ chức.
(Điều 8 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.NĐ.2.9. Tiêu chí xác định cấp độ 3
Hệ thống thông tin cấp độ 3 là hệ thống thông tin có một trong các tiêu chí cụ thể như sau:
1. Hệ thống thông tin xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh khi bị phá hoại sẽ làm tổn hại tới quốc phòng, an ninh quốc gia.
2. Hệ thống thông tin phục vụ người dân, doanh nghiệp thuộc một trong các loại hình như sau:
a) Cung cấp thông tin và dịch vụ công trực tuyến từ mức độ 3 trở lên theo quy định của pháp luật;
b) Cung cấp dịch vụ trực tuyến thuộc danh mục dịch vụ kinh doanh có điều kiện;
c) Cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của từ 10.000 người sử dụng trở lên.
3. Hệ thống cơ sở hạ tầng thông tin dùng chung phục vụ hoạt động của các cơ quan, tổ chức trong phạm vi một ngành, một tỉnh hoặc một số tỉnh.
4. Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của các công trình xây dựng cấp II, cấp III hoặc cấp IV theo phân cấp của pháp luật về xây dựng.
(Điều 9 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
(Điều này có nội dung liên quan đến Điều 19.5.TT.43.5a. An toàn, an ninh thông tin mạng của Cơ sở dữ liệu quốc gia về khoa học và công nghệ )
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.NĐ.2.10. Tiêu chí xác định cấp độ 4
Hệ thống thông tin cấp độ 4 là hệ thống thông tin có một trong các tiêu chí cụ thể như sau:
1. Hệ thống thông tin xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh, khi bị phá hoại sẽ làm tổn hại nghiêm trọng quốc phòng, an ninh quốc gia.
2. Hệ thống thông tin quốc gia phục vụ phát triển Chính phủ điện tử, yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước.
3. Hệ thống cơ sở hạ tầng thông tin dùng chung phục vụ hoạt động của các cơ quan, tổ chức trên phạm vi toàn quốc, yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước.
4. Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của các công trình xây dựng cấp I theo phân cấp của pháp luật về xây dựng.
(Điều 10 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.NĐ.2.11. Tiêu chí xác định cấp độ 5
Hệ thống thông tin cấp độ 5 là hệ thống thông tin có một trong các tiêu chí cụ thể như sau:
1. Hệ thống thông tin xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh, khi bị phá hoại sẽ làm tổn hại đặc biệt nghiêm trọng tới quốc phòng, an ninh quốc gia.
2. Hệ thống thông tin phục vụ lưu trữ dữ liệu tập trung đối với một số loại hình thông tin, dữ liệu đặc biệt quan trọng của quốc gia.
3. Hệ thống cơ sở hạ tầng thông tin quốc gia phục vụ kết nối liên thông hoạt động của Việt Nam với quốc tế.
4. Hệ thống thông tin điều khiển công nghiệp trực tiếp phục vụ điều khiển, vận hành hoạt động bình thường của công trình xây dựng cấp đặc biệt theo phân cấp của pháp luật về xây dựng hoặc công trình quan trọng liên quan đến an ninh quốc gia theo pháp luật về an ninh quốc gia.
5. Hệ thống thông tin khác theo quyết định của Thủ tướng Chính phủ.
(Điều 11 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.NĐ.2.12. Thẩm quyền thẩm định và phê duyệt cấp độ
1. Đối với hệ thống thông tin được đề xuất là cấp độ 1 hoặc cấp độ 2:
Đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin thực hiện thẩm định, phê duyệt hồ sơ đề xuất cấp độ đối với hệ thống thông tin được đề xuất là cấp độ 1 hoặc cấp độ 2.
2. Đối với hệ thống thông tin được đề xuất là cấp độ 3:
a) Đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin thực hiện thẩm định hồ sơ đề xuất cấp độ;
b) Chủ quản hệ thống thông tin phê duyệt hồ sơ đề xuất cấp độ.
3. Đối với hệ thống thông tin được đề xuất là cấp độ 4 hoặc cấp độ 5:
a) Bộ Thông tin và Truyền thông chủ trì, phối hợp với Bộ Quốc phòng, Bộ Công an và các bộ, ngành liên quan thực hiện thẩm định hồ sơ đề xuất cấp độ, trừ trường hợp quy định tại điểm b và điểm c khoản 3 Điều này;
b) Bộ Quốc phòng chủ trì, phối hợp với Bộ Thông tin và Truyền thông và bộ, ngành liên quan thực hiện thẩm định hồ sơ đề xuất cấp độ đối với hệ thống thông tin do Bộ Quốc phòng quản lý;
c) Bộ Công an chủ trì, phối hợp với Bộ Thông tin và Truyền thông và bộ, ngành liên quan thực hiện thẩm định hồ sơ đề xuất cấp độ đối với hệ thống thông tin do Bộ Công an quản lý;
d) Chủ quản hệ thống thông tin phê duyệt hồ sơ đề xuất cấp độ đối với hệ thống thông tin cấp độ 4; phê duyệt phương án bảo đảm an toàn thông tin đối với hệ thống thông tin cấp độ 5;
đ) Thủ tướng Chính phủ phê duyệt Danh mục hệ thống thông tin cấp độ 5 (Danh mục hệ thống thông tin quan trọng quốc gia).
(Điều 12 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.NĐ.2.13. Trình tự, thủ tục xác định cấp độ đối với dự án đầu tư xây dựng mới hoặc mở rộng, nâng cấp hệ thống thông tin
1. Chủ đầu tư xây dựng thuyết minh đề xuất cấp độ, lồng ghép vào nội dung của báo cáo nghiên cứu khả thi, dự án khả thi ứng dụng công nghệ thông tin hoặc báo cáo đầu tư của dự án, gửi cơ quan chức năng thẩm định, trình cơ quan có thẩm quyền phê duyệt báo cáo nghiên cứu khả thi; dự án khả thi ứng dụng công nghệ thông tin hoặc báo cáo đầu tư theo quy định của pháp luật về đầu tư và quy định Nghị định này.
2. Trong trường hợp thuê dịch vụ công nghệ thông tin, đơn vị chủ trì thuê dịch vụ xây dựng thuyết minh đề xuất cấp độ, lồng ghép vào nội dung của kế hoạch, dự án thuê dịch vụ, gửi cơ quan chức năng thẩm định, trình cơ quan có thẩm quyền phê duyệt theo quy định của pháp luật về thuê dịch vụ công nghệ thông tin và quy định của Nghị định này.
3. Tài liệu thuyết minh đề xuất cấp độ theo quy định tại Điều 15 Nghị định này.
(Điều 13 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.NĐ.2.14. Trình tự, thủ tục xác định cấp độ đối với hệ thống thông tin đang vận hành
1. Lập hồ sơ đề xuất cấp độ:
a) Đơn vị vận hành hệ thống thông tin lập hồ sơ đề xuất cấp độ theo quy định tại Điều 15 Nghị định này;
b) Đối với hệ thống thông tin được đề xuất là cấp độ 1 hoặc cấp độ 2:
Đơn vị vận hành hệ thống thông tin gửi hồ sơ đề xuất cấp độ tới đơn vị thẩm định để thực hiện thẩm định theo quy định tại khoản 1 Điều 12 Nghị định này;
c) Đối với hệ thống thông tin được đề xuất là cấp độ 3:
Đơn vị vận hành hệ thống thông tin gửi hồ sơ đề xuất cấp độ tới đơn vị thẩm định để thực hiện thẩm định theo quy định tại điểm a khoản 2 Điều 12 Nghị định này;
d) Đối với hệ thống thông tin được đề xuất là cấp độ 4 hoặc cấp độ 5:
- Đơn vị vận hành hệ thống thông tin gửi hồ sơ đề xuất cấp độ tới đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin để xin ý kiến chuyên môn về sự phù hợp của đề xuất cấp độ và phương án bảo đảm an toàn hệ thống thông tin theo cấp độ;
- Đơn vị vận hành hệ thống thông tin trình chủ quản hệ thống thông tin hồ sơ đề xuất cấp độ gửi tới cơ quan thẩm định quy định tại điểm a, điểm b hoặc điểm c khoản 3 Điều 12 Nghị định này.
2. Thẩm định hồ sơ đề xuất cấp độ:
Cơ quan có thẩm quyền thực hiện thẩm định hồ sơ đề xuất cấp độ theo quy định tại Điều 16 Nghị định này.
3. Phê duyệt đề xuất cấp độ:
a) Đối với hệ thống thông tin được đề xuất là cấp độ 1 hoặc cấp độ 2:
Đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin phê duyệt đề xuất cấp độ, gửi báo cáo chủ quản hệ thống thông tin;
b) Đối với hệ thống thông tin được đề xuất là cấp độ 3 hoặc cấp độ 4:
Đơn vị vận hành hệ thống thông tin trình chủ quản hệ thống thông tin phê duyệt đề xuất cấp độ;
c) Đối với hệ thống thông tin được đề xuất là cấp độ 5:
- Trên cơ sở kết quả thẩm định hồ sơ đề xuất cấp độ, Bộ Thông tin và Truyền thông chủ trì, phối hợp với Bộ Quốc phòng, Bộ Công an và bộ, ngành có liên quan trình Thủ tướng Chính phủ phê duyệt Danh mục hệ thống thông tin cấp độ 5;
- Đơn vị vận hành hệ thống thông tin trình chủ quản hệ thống thông tin phê duyệt phương án bảo đảm an toàn thông tin.
(Điều 14 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.NĐ.2.15. Hồ sơ đề xuất cấp độ
Hồ sơ đề xuất cấp độ bao gồm:
1. Tài liệu mô tả, thuyết minh tổng quan về hệ thống thông tin.
2. Tài liệu thiết kế là một trong những tài liệu sau:
a) Đối với dự án đầu tư xây dựng mới hoặc mở rộng, nâng cấp hệ thống thông tin: Thiết kế sơ bộ hoặc tài liệu có giá trị tương đương;
b) Đối với hệ thống thông tin đang vận hành: Thiết kế thi công đã được cấp có thẩm quyền phê duyệt hoặc tài liệu có giá trị tương đương.
3. Tài liệu thuyết minh về việc đề xuất cấp độ căn cứ trên các tiêu chí theo quy định của pháp luật.
4. Tài liệu thuyết minh phương án bảo đảm an toàn thông tin theo cấp độ tương ứng.
5. Ý kiến về mặt chuyên môn của đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin đối với hệ thống thông tin đề xuất cấp độ 4 hoặc cấp độ 5.
Phụ lục.docx
(Điều 15 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.NĐ.2.16. Thẩm định hồ sơ đề xuất cấp độ
1. Nội dung thẩm định hồ sơ đề xuất cấp độ:
a) Sự phù hợp về việc đề xuất cấp độ;
b) Sự phù hợp của phương án bảo đảm an toàn hệ thống thông tin trong thiết kế sơ bộ, thiết kế thi công hoặc tài liệu có giá trị tương đương theo cấp độ tương ứng;
c) Sự phù hợp của phương án bảo đảm an toàn hệ thống thông tin trong quá trình vận hành hệ thống theo cấp độ tương ứng.
2. Thời gian thẩm định hồ sơ xác định cấp độ:
a) Đối với hệ thống thông tin đề xuất cấp độ 3, thời gian thẩm định tối đa là 15 ngày kể từ ngày nhận đủ hồ sơ hợp lệ;
b) Đối với hệ thống thông tin đề xuất cấp độ 4 hoặc cấp độ 5, thời gian thẩm định tối đa là 30 ngày kể từ ngày nhận đủ hồ sơ hợp lệ.
Phụ lục.docx
(Điều 16 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.2.14. Nộp và tiếp nhận hồ sơ đề xuất cấp độ để thẩm định
1. Đối với hệ thống thông tin được đề xuất cấp độ 1,2,3:
Đơn vị vận hành hệ thống thông tin gửi 01 bản chính và 02 bản sao hợp lệ hồ sơ đề xuất cấp độ tới đơn vị chuyên trách về an toàn thông tin để thẩm định.
2. Đối với hệ thống thông tin được đề xuất cấp độ 4,5:
a) Chủ quản hệ thống thông tin gửi 01 bản chính và 04 bản sao hợp lệ hồ sơ đề xuất cấp độ về Bộ Thông tin và Truyền thông (Cục An toàn thông tin) để thẩm định;
b) Tổ chức tiếp nhận hồ sơ và địa chỉ tiếp nhận hồ sơ đối với hệ thống thông tin được đề xuất cấp độ 4,5:
Bộ Thông tin và Truyền thông (Cục An toàn thông tin), Tầng 8, Tòa nhà 115 Trần Duy Hưng, Quận Cầu Giấy, Hà Nội.
Trong trường hợp thay đổi địa chỉ tiếp nhận hồ sơ, Cục An toàn thông tin thông báo công khai việc thay đổi địa chỉ theo quy định.
3. Trong vòng 05 ngày làm việc kể từ ngày tiếp nhận, tổ chức tiếp nhận hồ sơ đề xuất cấp độ kiểm tra tính hợp lệ của hồ sơ. Trong trường hợp hồ sơ không hợp lệ, tổ chức tiếp nhận hồ sơ đề xuất cấp độ thông báo bằng văn bản cho tổ chức nộp hồ sơ biết để bổ sung, hoàn thiện hồ sơ.
(Điều 14 Thông tư số 03/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/07/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.2.15. Tổ chức thẩm định hồ sơ đề xuất cấp độ
1. Đối với hệ thống thông tin được đề xuất cấp độ 1,2,3:
Đơn vị chuyên trách về an toàn thông tin thực hiện thẩm định hồ sơ đề xuất cấp độ theo quy định tại Điều 16 Nghị định 85/2016/NĐ-CP.
Trong quá trình thẩm định, trong trường hợp cần thiết, đơn vị chuyên trách về an toàn thông tin lấy ý kiến bằng văn bản của các đơn vị liên quan.
2. Đối với hệ thống thông tin được đề xuất cấp độ 4,5:
Bộ Thông tin và Truyền thông thực hiện thẩm định hồ sơ đề xuất cấp độ theo quy định tại Điều 16 Nghị định 85/2016/NĐ-CP. Việc tổ chức thẩm định hồ sơ đề xuất cấp độ được thực hiện theo quy trình sau:
a) Cục An toàn thông tin lấy ý kiến bằng văn bản của Vụ Pháp chế và đơn vị liên quan khác thuộc Bộ Thông tin và Truyền thông trong trường hợp cần thiết theo chức năng, nhiệm vụ của các đơn vị;
b) Bộ Thông tin và Truyền thông lấy ý kiến bằng văn bản của Bộ Quốc phòng, Bộ Công an theo quy định.
c) Căn cứ ý kiến bằng văn bản của Bộ Quốc phòng, Bộ Công an và các đơn vị liên quan, trong trường hợp cần thiết, Bộ Thông tin và Truyền thông thành lập Hội đồng thẩm định để trao đổi, thảo luận, cho ý kiến cụ thể. Chủ tịch Hội đồng thẩm định do Bộ trưởng Bộ Thông tin và Truyền thông phân công, đại diện Lãnh đạo Cục An toàn thông tin, Vụ Pháp chế, Trung tâm VNCERT - Bộ Thông tin và Truyền thông, đại diện Lãnh đạo đơn vị chức năng của Bộ Công an, Bộ Quốc phòng và một số chuyên gia độc lập (nếu cần thiết) làm thành viên.
(Điều 15 Thông tư số 03/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/07/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.2.16. Cơ chế phối hợp thẩm định
1. Đơn vị vận hành hệ thống thông tin có trách nhiệm phối hợp với đơn vị thẩm định hồ sơ đề xuất cấp độ trong việc xác định sự phù hợp của hồ sơ đề xuất cấp độ đối với yêu cầu hoạt động của hệ thống thông tin tương ứng.
2. Trong trường hợp cần thiết, đơn vị thẩm định hồ sơ đề xuất cấp độ thực hiện kiểm tra, đánh giá thực tế các phương án bảo đảm an toàn hệ thống thông tin theo cấp độ được đề xuất. Việc kiểm tra, đánh giá bảo đảm không gây ảnh hưởng đến hoạt động bình thường của hệ thống thông tin và có thông báo cho chủ quản hệ thống thông tin, đơn vị vận hành khi phát hiện các điểm yếu an toàn thông tin cần khắc phục.
…………………………..
bảo vệ bí mật nguồn gốc, nội dung thông tin theo thống nhất giữa các bên tham gia chia sẻ thông tin.
4. Việc chia sẻ thông tin được thực hiện ít nhất mỗi quý một lần và phù hợp với thực tế hoạt động của hệ thống thông tin tương ứng.
5. Các thông tin được chia sẻ bao gồm:
a) Thông tin chưa được phân tích hoặc đã được phân tích về nguy cơ mất an toàn thông tin; thông tin về các cuộc tấn công mạng đã xảy ra:
- Các loại hình tấn công mạng ghi nhận được tại hệ thống;
- Số lượng các sự kiện tấn công mạng ghi nhận được tại hệ thống;
- Mẫu dữ liệu tấn công mạng thu thập được;
- Các dữ liệu khác theo thống nhất của các bên tham gia chia sẻ thông tin.
b) Các hoạt động bảo đảm an toàn hệ thống thông tin như tuyên truyền, đào tạo, diễn tập và các thông tin khác.
(Điều 16 Thông tư số 03/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/07/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.NĐ.2.17. Hồ sơ phê duyệt đề xuất cấp độ
1. Hồ sơ phê duyệt đề xuất cấp độ bao gồm:
a) Hồ sơ đề xuất cấp độ;
b) Ý kiến thẩm định của cơ quan chủ trì thẩm định đối với hệ thống thông tin đề xuất từ cấp độ 3 trở lên.
2. Thời gian xử lý hồ sơ phê duyệt cấp độ:
Thời gian xử lý tối đa là 07 ngày làm việc kể từ ngày nhận đủ hồ sơ hợp lệ.
Phụ lục.docx
(Điều 17 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.NĐ.2.18. Trình tự, thủ tục xác định lại cấp độ đối với hệ thống thông tin đã được phê duyệt cấp độ
Đối với hệ thống thông tin đã được phê duyệt cấp độ, trong trường hợp phải xác định lại cấp độ cho phù hợp với tình hình thực tế thì thực hiện theo trình tự, thủ tục xác định lần đầu.
(Điều 18 Nghị định số 85/2016/NĐ-CP, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.2.4. Hướng dẫn xác định hệ thống thông tin cụ thể
1. Việc xác định hệ thống thông tin để xác định cấp độ căn cứ trên nguyên tắc quy định tại khoản 1 Điều 5 Nghị định 85/2016/NĐ-CP.
2. Hệ thống thông tin được thiết lập, hình thành thông qua một hoặc một số hình thức sau: Đầu tư xây dựng, thiết lập mới; nâng cấp, mở rộng, tích hợp với hệ thống đã có; thuê hoặc chuyển giao hệ thống.
3. Hệ thống thông tin phục vụ hoạt động nội bộ là hệ thống chỉ phục vụ hoạt động quản trị, vận hành nội bộ của cơ quan, tổ chức, bao gồm:
a) Hệ thống thư điện tử;
b) Hệ thống quản lý văn bản và điều hành;
c) Hệ thống họp, hội nghị truyền hình trực tuyến;
d) Hệ thống quản lý thông tin cụ thể (nhân sự, tài chính, tài sản hoặc lĩnh vực chuyên môn nghiệp vụ cụ thể khác) hoặc hệ thống quản lý thông tin tổng thể (tích hợp quản lý nhiều chức năng, nghiệp vụ khác nhau);
đ) Hệ thống xử lý thông tin nội bộ.
4. Hệ thống thông tin phục vụ người dân, doanh nghiệp là hệ thống trực tiếp hoặc hỗ trợ cung cấp dịch vụ trực tuyến, bao gồm dịch vụ công trực tuyến và dịch vụ trực tuyến khác trong các lĩnh vực viễn thông, công nghệ thông tin, thương mại, tài chính, ngân hàng, y tế, giáo dục và lĩnh vực chuyên ngành khác, bao gồm:
a) Hệ thống thư điện tử;
b) Hệ thống quản lý văn bản và điều hành;
c) Hệ thống một cửa điện tử;
d) Hệ thống trang, cổng thông tin điện tử;
đ) Hệ thống cung cấp hoặc hỗ trợ cung cấp dịch vụ trực tuyến;
e) Hệ thống chăm sóc khách hàng.
5. Hệ thống cơ sở hạ tầng thông tin là tập hợp trang thiết bị, đường truyền dẫn kết nối phục vụ chung hoạt động của nhiều cơ quan, tổ chức, bao gồm:
a) Mạng nội bộ, mạng diện rộng, mạng truyền số liệu chuyên dùng;
b) Hệ thống cơ sở dữ liệu, trung tâm dữ liệu, điện toán đám mây;
c) Hệ thống xác thực điện tử, chứng thực điện tử, chữ ký số;
d) Hệ thống kết nối liên thông, trục tích hợp các hệ thống thông tin.
6. Hệ thống thông tin điều khiển công nghiệp là hệ thống có chức năng giám sát, thu thập dữ liệu, quản lý và kiểm soát các hạng mục quan trọng phục vụ điều khiển, vận hành hoạt động bình thường của các công trình xây dựng, bao gồm:
a) Hệ thống điều khiển lập trình được (PLCs);
b) Hệ thống điều khiển phân tán (DCS);
c) Hệ thống giám sát và thu thập dữ liệu (SCADA).
7. Hệ thống thông tin khác là hệ thống thông tin không thuộc các loại hình trên, được sử dụng để trực tiếp phục vụ hoặc hỗ trợ hoạt động nghiệp vụ, sản xuất, kinh doanh cụ thể của cơ quan, tổ chức theo lĩnh vực chuyên ngành.
(Điều 4 Thông tư số 03/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/07/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.2.5. Chủ quản hệ thống thông tin
1. Đối với cơ quan, tổ chức nhà nước, chủ quản hệ thống thông tin là một trong các trường hợp sau:
a) Bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ;
b) Ủy ban nhân dân các tỉnh, thành phố trực thuộc Trung ương;
c) Cấp có thẩm quyền quyết định đầu tư dự án xây dựng, thiết lập, nâng cấp, mở rộng hệ thống thông tin.
2. Đối với doanh nghiệp và tổ chức khác, chủ quản hệ thống thông tin là cấp có thẩm quyền quyết định đầu tư dự án xây dựng, thiết lập, nâng cấp, mở rộng hệ thống thông tin.
3. Chủ quản hệ thống thông tin có thể ủy quyền cho một tổ chức thay mặt mình thực hiện quyền quản lý trực tiếp đối với hệ thống thông tin và trách nhiệm bảo đảm an toàn hệ thống thông tin theo quy định tại khoản 2 Điều 20 Nghị định 85/2016/NĐ-CP.
Việc ủy quyền phải được thực hiện bằng văn bản, trong đó nêu rõ phạm vi và thời hạn ủy quyền. Tổ chức được ủy quyền phải trực tiếp thực hiện quyền và nghĩa vụ của chủ quản hệ thống thông tin mà không được ủy quyền lại cho bên thứ ba.
(Điều 5 Thông tư số 03/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/07/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.2.6. Đơn vị vận hành hệ thống thông tin
1. Đơn vị vận hành hệ thống thông tin là cơ quan, tổ chức được chủ quản hệ thống thông tin giao nhiệm vụ vận hành hệ thống thông tin.
2. Trong trường hợp hệ thống thông tin bao gồm nhiều hệ thống thành phần hoặc phân tán, có nhiều hơn một đơn vị vận hành hệ thống thông tin, chủ quản hệ thống thông tin phải có trách nhiệm chỉ định một đơn vị làm đầu mối để thực hiện quyền và nghĩa vụ của đơn vị vận hành hệ thống thông tin theo quy định của pháp luật.
3. Trong trường hợp chủ quản hệ thống thông tin thuê ngoài dịch vụ công nghệ thông tin, đơn vị vận hành hệ thống thông tin là bên cung cấp dịch vụ.
(Điều 6 Thông tư số 03/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/07/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.2.7. Hướng dẫn xác định và thuyết minh cấp độ an toàn hệ thống thông tin
Việc xác định cấp độ và thuyết minh cấp độ an toàn hệ thống thông tin thực hiện như sau:
1. Xác định và phân loại hệ thống thông tin; xác định chủ quản hệ thống thông tin, đơn vị vận hành hệ thống thông tin căn cứ theo quy định tại các Điều 5, 6 Nghị định 85/2016/NĐ-CP và các Điều 4,5,6 Thông tư này.
2. Xác định loại thông tin được xử lý thông qua hệ thống thông tin căn cứ theo quy định tại khoản 1 Điều 6 Nghị định 85/2016/NĐ-CP.
3. Xác định cấp độ căn cứ theo quy định tại các điều từ Điều 7 đến Điều 11 Nghị định 85/2016/NĐ-CP. Đối với hệ thống thông tin đề xuất là cấp độ 4 hoặc cấp độ 5, thuyết minh đề xuất cấp độ làm rõ các nội dung sau đây:
a) Xác định các hệ thống thông tin khác có liên quan hoặc có kết nối đến hoặc có ảnh hưởng quan trọng tới hoạt động bình thường của hệ thống thông tin được đề xuất; trong đó, xác định rõ mức độ ảnh hưởng đến hệ thống thông tin đang được đề xuất cấp độ khi các hệ thống này bị mất an toàn thông tin.
b) Danh mục đề xuất các thành phần, thiết bị mạng quan trọng, các loại thông tin quan trọng được xử lý trong hệ thống (nếu có);
c) Thuyết minh về mức độ quan trọng của các thành phần, thiết bị mạng quan trọng, các loại thông tin, dữ liệu được xử lý hoặc lưu trữ trên hệ thống (nếu có);
d) Thuyết minh về các nguy cơ tấn công mạng, mất an toàn thông tin đối với hệ thống, các thành phần hệ thống và các thiết bị mạng quan trọng; ảnh hưởng của các nguy cơ tấn công mạng, mất an toàn thông tin này đối với các tiêu chí xác định cấp độ theo Điều 10, 11 Nghị định 85/2016/NĐ-CP;
đ) Đánh giá phạm vi và mức độ ảnh hưởng tới lợi ích công cộng, trật tự an toàn xã hội hoặc quốc phòng, an ninh quốc gia khi bị tấn công mạng gây mất an toàn thông tin hoặc gián đoạn hoạt động của từng hệ thống đã được xác định.
Đối với hệ thống thông tin cấp độ 4, thuyết minh yêu cầu cần phải vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước;
e) Thuyết minh khác (nếu có) trên cơ sở thực tế hoạt động của hệ thống thông tin.
(Điều 7 Thông tư số 03/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 01/07/2017)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.LQ.22. Nhiệm vụ bảo vệ hệ thống thông tin
1. Xác định cấp độ an toàn thông tin của hệ thống thông tin.
2. Đánh giá và quản lý rủi ro an toàn hệ thống thông tin.
3. Đôn đốc, giám sát, kiểm tra công tác bảo vệ hệ thống thông tin.
4. Tổ chức triển khai các biện pháp bảo vệ hệ thống thông tin.
5. Thực hiện chế độ báo cáo theo quy định.
6. Tổ chức tuyên truyền, nâng cao nhận thức về an toàn thông tin mạng.
(Điều 22 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.5.36. Yêu cầu về an toàn, bảo mật các hệ thống thông tin
Khi xây dựng mới hoặc nâng cấp hệ thống thông tin do tổ chức quản lý trực tiếp, tổ chức phải thực hiện phân loại hệ thống thông tin theo mức độ quan trọng quy định tại khoản 2 Điều 4 Thông tư này. Đối với hệ thống thông tin từ mức độ 2 trở lên, tổ chức thực hiện:
1. Xây dựng tài liệu thiết kế, mô tả về các phương án bảo đảm an toàn hệ thống thông tin. Trong đó các yêu cầu về an toàn, bảo mật được xây dựng đồng thời với việc xây dựng các yêu cầu kỹ thuật, nghiệp vụ.
2. Xây dựng phương án kiểm tra, xác minh hệ thống được triển khai tuân thủ theo đúng tài liệu thiết kế và yêu cầu bảo đảm an toàn thông tin trước khi nghiệm thu. Kết quả kiểm tra phải lập thành báo cáo và được cấp có thẩm quyền phê duyệt trước khi đưa vào vận hành chính thức.
3. Giám sát, quản lý chặt chẽ việc thuê mua phần mềm bên ngoài theo quy định tại Điều 35 Thông tư này.
(Điều 36 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.5.37. Bảo đảm an toàn, bảo mật ứng dụng
Các chương trình ứng dụng nghiệp vụ phải đáp ứng các yêu cầu tối thiểu sau:
1. Kiểm tra tính hợp lệ của dữ liệu nhập vào các ứng dụng, bảo đảm dữ liệu được nhập vào chính xác và hợp lệ.
2. Kiểm tra tính hợp lệ của dữ liệu cần được xử lý tự động trong các ứng dụng nhằm phát hiện thông tin sai lệch do các lỗi trong quá trình xử lý hoặc các hành vi sửa đổi thông tin có chủ ý.
3. Có các biện pháp bảo đảm tính xác thực và bảo vệ sự toàn vẹn của dữ liệu được xử lý trong các ứng dụng.
4. Kiểm tra tính hợp lệ của dữ liệu xuất ra từ các ứng dụng, bảo đảm quá trình xử lý thông tin của các ứng dụng là chính xác và hợp lệ.
5. Mã khóa bí mật của người sử dụng trong các hệ thống thông tin từ mức độ 2 trở lên phải được mã hóa ở lớp ứng dụng.
(Điều 37 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.5.38. Quản lý mã hóa
Tổ chức quản lý mã hóa như sau:
1. Quy định và đưa vào sử dụng các biện pháp mã hóa theo quy chuẩn kỹ thuật quốc gia về mã hóa dữ liệu sử dụng trong lĩnh vực ngân hàng hoặc tiêu chuẩn quốc tế đã được công nhận.
2. Có biện pháp quản lý khóa mã hóa để bảo vệ thông tin của tổ chức.
(Điều 38 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.5.39. An toàn, bảo mật trong quá trình phát triển phần mềm
1. Tổ chức thực hiện quản lý quá trình phát triển phần mềm như sau:
a) Quản lý, kiểm soát chương trình nguồn. Việc truy cập, tiếp cận chương trình nguồn phải được sự phê duyệt của cấp có thẩm quyền;
b) Quản lý, bảo vệ tệp tin cấu hình hệ thống.
2. Tổ chức lựa chọn, kiểm soát đối với dữ liệu kiểm tra, thử nghiệm. Không sử dụng dữ liệu thật của hệ thống thông tin vận hành chính thức cho hoạt động kiểm thử khi chưa thực hiện các biện pháp che giấu hoặc thay đổi đối với dữ liệu chứa thông tin khách hàng và thông tin bí mật.
(Điều 39 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.5.40. Quản lý sự thay đổi hệ thống thông tin
Tổ chức ban hành quy trình, biện pháp quản lý và kiểm soát sự thay đổi hệ thống thông tin, tối thiểu bao gồm:
1. Thực hiện ghi chép lại các thay đổi; lập kế hoạch thay đổi; thực hiện kiểm tra, thử nghiệm sự thay đổi, báo cáo kết quả; phê duyệt kế hoạch thay đổi trước khi áp dụng chính thức thay đổi phiên bản phần mềm, cấu hình phần cứng, tham số phần mềm hệ thống, quy trình vận hành. Có phương án dự phòng cho việc phục hồi hệ thống trong trường hợp thực hiện thay đổi không thành công hoặc gặp các sự cố không có khả năng dự tính trước.
2. Kiểm tra, đánh giá tác động để bảo đảm hệ thống thông tin hoạt động ổn định, an toàn trên môi trường mới đối với hệ thống thông tin từ mức độ 2 trở lên khi thay đổi phiên bản hoặc thay đổi hệ điều hành, cơ sở dữ liệu, phần mềm lớp giữa phải.
(Điều 40 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.5.41. Đánh giá an ninh bảo mật hệ thống thông tin
1. Nội dung đánh giá hệ thống thông tin của tổ chức về an ninh bảo mật phải bao gồm các nội dung sau:
a) Đánh giá về kiến trúc hệ thống để xác định tính phù hợp của các thiết bị lắp đặt với kiến trúc hệ thống tổng thể và yêu cầu về an ninh bảo mật;
b) Kiểm tra cấu hình các thiết bị bảo mật, các hệ thống cấp quyền truy cập tự động, hệ thống quản lý thiết bị đầu cuối, danh sách tài khoản;
c) Kiểm tra thử nghiệm mức độ an toàn mạng (Penetration Test), bắt buộc phải thực hiện đối với các hệ thống thông tin có kết nối và cung cấp thông tin, dịch vụ ra Internet, kết nối với khách hàng và bên thứ ba (không áp dụng đối với bên thứ ba là thành viên cùng tập đoàn).
2. Tổ chức thực hiện đánh giá an ninh bảo mật đối với hệ thống thông tin từ mức độ 2 trở lên theo các nội dung quy định tại khoản 1 Điều này trước khi đưa vào vận hành chính thức.
3. Trong quá trình vận hành hệ thống thông tin, tổ chức định kỳ thực hiện đánh giá an ninh bảo mật tối thiểu như sau:
a) Sáu tháng một lần đối với hệ thống thông tin mức độ 3 theo các nội dung tại khoản 1 Điều này;
b) Một năm một lần đối với các hệ thống thông tin mức độ 2 và các trang thiết bị giao tiếp trực tiếp với môi trường bên ngoài như Internet, kết nối với khách hàng và bên thứ ba theo các nội dung tại khoản 1 Điều này;
c) Hai năm một lần đối với hệ thống thông tin mức độ 1.
4. Kết quả đánh giá phải được lập thành văn bản báo cáo người đại diện hợp pháp và cấp có thẩm quyền. Đối với các nội dung chưa tuân thủ quy định về an toàn thông tin (nếu có) phải đề xuất biện pháp, kế hoạch, thời hạn xử lý, khắc phục.
(Điều 41 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.5.42. Quản lý các điểm yếu về mặt kỹ thuật
Tổ chức quản lý các điểm yếu về mặt kỹ thuật như sau:
1. Xây dựng quy định về việc đánh giá, quản lý và kiểm soát các điểm yếu về mặt kỹ thuật của các hệ thống thông tin đang sử dụng.
2. Chủ động phát hiện các điểm yếu về mặt kỹ thuật thông qua các hoạt động:
a) Thường xuyên cập nhật thông tin liên quan đến lỗ hổng, điểm yếu về mặt kỹ thuật;
b) Thực hiện dò quét, phát hiện các mã độc, lỗ hổng, điểm yếu về mặt kỹ thuật của các hệ thống thông tin đang sử dụng định kỳ tối thiểu như sau: (i) Ba tháng một lần đối với hệ thống thông tin mức độ 3 hoặc các hệ thống thông tin có kết nối với mạng Internet; (ii) Sáu tháng một lần đối với các hệ thống thông tin còn lại.
3. Đánh giá mức độ tác động, rủi ro của từng lỗ hổng, điểm yếu về mặt kỹ thuật được phát hiện của các hệ thống thông tin đang sử dụng và đưa ra phương án, kế hoạch xử lý.
4. Xây dựng, tổ chức triển khai các giải pháp xử lý, khắc phục và báo cáo kết quả xử lý.
(Điều 42 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.5.43. Quản lý bảo trì hệ thống thông tin
Tổ chức quản lý bảo trì hệ thống thông tin như sau:
1. Ban hành quy định bảo trì hệ thống thông tin ngay sau khi đưa vào hoạt động chính thức. Quy định bảo trì tối thiểu bao gồm các nội dung sau:
a) Phạm vi, các đối tượng được bảo trì;
b) Thời điểm, tần suất bảo trì;
c) Quy trình, kịch bản kỹ thuật để thực hiện bảo trì của từng cấu phần và toàn bộ hệ thống thông tin;
d) Khi thực hiện bảo trì nếu phát hiện, phát sinh sự cố phải báo cáo cấp có thẩm quyền để xử lý;
đ) Phân công và xác định trách nhiệm của bộ phận thực hiện bảo trì và giám sát bảo trì.
2. Thực hiện bảo trì theo quy định tại khoản 1 Điều này đối với hệ thống thông tin do tổ chức quản lý trực tiếp.
3. Rà soát quy định bảo trì tối thiểu một năm một lần hoặc khi hệ thống thông tin có sự thay đổi.
(Điều 43 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.5.48. Nguyên tắc bảo đảm hoạt động liên tục
1. Tổ chức thực hiện các yêu cầu tối thiểu sau:
a) Phân tích tác động và đánh giá rủi ro đối với việc gián đoạn hoặc ngừng hoạt động của hệ thống thông tin;
b) Xây dựng quy trình và kịch bản bảo đảm hoạt động liên tục hệ thống thông tin theo quy định tại Điều 50 Thông tư này;
c) Tổ chức triển khai bảo đảm hoạt động liên tục theo quy định tại Điều 51 Thông tư này.
2. Trên cơ sở phân tích tác động và đánh giá rủi ro tại điểm a khoản 1 Điều này, tổ chức lập danh sách các hệ thống thông tin cần bảo đảm hoạt động liên tục tối thiểu bao gồm:
a) Hệ thống thông tin phục vụ hoạt động nội bộ hàng ngày của tổ chức và không chấp nhận ngừng vận hành quá 4 giờ làm việc;
b) Hệ thống phục vụ khách hàng yêu cầu hoạt động 24/7;
c) Hệ thống cung cấp giao dịch trực tuyến cho khách hàng;
d) Hệ thống thông tin mức độ 3.
3. Các hệ thống cần bảo đảm hoạt động liên tục tại Khoản 2 Điều này phải bảo đảm tính sẵn sàng cao và có hệ thống dự phòng thảm họa.
(Điều 48 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.5.49. Xây dựng hệ thống dự phòng thảm họa
1. Tổ chức xây dựng hệ thống dự phòng thảm họa đáp ứng các yêu cầu sau:
a) Đánh giá rủi ro và xem xét khả năng xảy ra các thảm họa ảnh hưởng đồng thời tới cả hệ thống thông tin chính và hệ thống thông tin dự phòng thảm họa khi lựa chọn địa điểm đặt hệ thống dự phòng thảm họa như: thảm họa tự nhiên như động đất, lũ lụt, bão, đại dịch; thảm họa do yếu tố con người và công nghệ như các sự cố về mạng lưới điện, hỏa hoạn, giao thông, tấn công an ninh mạng;
b) Địa điểm đặt hệ thống dự phòng phải đáp ứng các yêu cầu quy định tại Điều 16 Thông tư này;
c) Hệ thống dự phòng phải bảo đảm khả năng thay thế hệ thống chính trong khoảng thời gian: (i) 4 giờ đồng hồ đối với: hệ thống thông tin phục vụ hoạt động nội bộ hàng ngày của tổ chức và không chấp nhận ngừng vận hành quá 4 giờ làm việc, hệ thống phục vụ khách hàng yêu cầu hoạt động 24/7, hệ thống cung cấp giao dịch trực tuyến cho khách hàng, hệ thống thông tin mức độ 3; (ii) 24 giờ đồng hồ đối với các hệ thống khác.
2. Các tổ chức chỉ có một trụ sở làm việc tại Việt Nam phải có văn phòng dự phòng tại một địa điểm khác tách biệt trụ sở làm việc và có trang thiết bị để bảo đảm hoạt động liên tục thay thế trụ sở làm việc.
(Điều 49 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.5.50. Xây dựng quy trình, kịch bản bảo đảm hoạt động liên tục
Tổ chức xây dựng quy trình, kịch bản bảo đảm hoạt động liên tục như sau:
1. Xây dựng quy trình xử lý các tình huống mất an toàn, gián đoạn hoạt động của từng cấu phần trong hệ thống thông tin từ mức độ 2 trở lên.
2. Xây dựng kịch bản chuyển đổi hệ thống dự phòng thay thế cho hoạt động của hệ thống chính, bao gồm nội dung công việc, trình tự thực hiện, dự kiến thời gian hoàn thành đáp ứng các nội dung sau:
a) Có các nguồn lực, phương tiện và các yêu cầu cần thiết để thực hiện;
b) Có các mẫu biểu ghi nhận kết quả;
c) Bố trí và phân công trách nhiệm cho nhân sự tham gia với các vai trò: chỉ đạo thực hiện, giám sát, thực hiện chuyển đổi, vận hành chính thức và kiểm tra kết quả;
d) Áp dụng biện pháp bảo đảm an toàn thông tin;
đ) Có phương án bảo đảm hoạt động liên tục khi việc chuyển đổi không thành công.
3. Các tổ chức chỉ có một trụ sở làm việc tại Việt Nam phải xây dựng kịch bản chuyển đổi hoạt động sang văn phòng dự phòng.
4. Quy trình, kịch bản chuyển đổi phải được kiểm tra và cập nhật khi có sự thay đổi của hệ thống thông tin, cơ cấu tổ chức, nhân sự và phân công trách nhiệm của các bộ phận có liên quan trong tổ chức.
(Điều 50 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.5.51. Tổ chức triển khai bảo đảm hoạt động liên tục
1. Tổ chức phải có kế hoạch và tổ chức triển khai bảo đảm hoạt động liên tục hệ thống thông tin theo các yêu cầu sau:
a) Tối thiểu sáu tháng một lần, tiến hành kiểm tra, đánh giá hoạt động của hệ thống dự phòng;
b) Định kỳ hàng năm, thực hiện chuyển hoạt động chính thức từ hệ thống chính sang hệ thống dự phòng tối thiểu 1 ngày làm việc của từng hệ thống thông tin theo danh sách tại khoản 2 Điều 48 Thông tư này; đánh giá kết quả và cập nhật các quy trình, kịch bản chuyển đổi (nếu có).
2. Các tổ chức chỉ có một trụ sở làm việc tại Việt Nam phải tổ chức thực hiện diễn tập bảo đảm hoạt động liên tục định kỳ hàng năm.
3. Thông báo kế hoạch diễn tập chuyển đổi hoạt động liên tục cho Ngân hàng Nhà nước (Cục Công nghệ thông tin) chậm nhất là 05 ngày làm việc trước khi thực hiện.
(Điều 51 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.LQ.23. Biện pháp bảo vệ hệ thống thông tin
1. Ban hành quy định về bảo đảm an toàn thông tin mạng trong thiết kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp, hủy bỏ hệ thống thông tin.
2. Áp dụng biện pháp quản lý, kỹ thuật theo tiêu chuẩn, quy chuẩn kỹ thuật an toàn thông tin mạng để phòng, chống nguy cơ, khắc phục sự cố an toàn thông tin mạng.
3. Kiểm tra, giám sát việc tuân thủ quy định và đánh giá hiệu quả của các biện pháp quản lý và kỹ thuật được áp dụng.
4. Giám sát an toàn hệ thống thông tin.
(Điều 23 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.5.4. Phân loại thông tin và hệ thống thông tin
1. Thông tin xử lý, lưu trữ thông qua hệ thống thông tin được phân loại theo thuộc tính bí mật như sau:
a) Thông tin công cộng là thông tin được công khai cho tất cả các đối tượng mà không cần xác định danh tính, địa chỉ cụ thể của các đối tượng đó;
b) Thông tin nội bộ là thông tin của tổ chức được phân quyền quản lý, khai thác cho một hoặc một nhóm đối tượng trong tổ chức được xác định danh tính;
c) Thông tin bí mật là thông tin: (i) Được xếp ở mức Mật theo quy định của tổ chức và hạn chế đối tượng được tiếp cận; (ii) Mật, Tối Mật, Tuyệt Mật theo quy định của pháp luật về bảo vệ bí mật nhà nước.
2. Tiêu chí phân loại theo mức độ quan trọng hệ thống thông tin của các tổ chức:
a) Hệ thống thông tin thông thường (mức độ 1) là hệ thống thông tin phục vụ hoạt động nội bộ của tổ chức hoặc phục vụ khách hàng nhưng không xử lý thông tin bí mật.
b) Hệ thống thông tin quan trọng (mức độ 2) là hệ thống thông tin có một trong các tiêu chí sau: (i) Hệ thống thông tin có xử lý thông tin bí mật; (ii) Hệ thống thông tin phục vụ hoạt động nội bộ hàng ngày của tổ chức và không chấp nhận ngừng vận hành quá 4 giờ làm việc; (iii) Hệ thống thông tin phục vụ khách hàng yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước; (iv) Hệ thống thông tin cung cấp dịch vụ giao dịch trực tuyến cho khách hàng.
c) Hệ thống thông tin đặc biệt quan trọng (mức độ 3) là hệ thống thông tin có một trong các tiêu chí sau: (i) Hệ thống thông tin quốc gia trong ngành Ngân hàng phục vụ phát triển Chính phủ điện tử, yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước; (ii) Hệ thống cơ sở hạ tầng thông tin dùng chung trong ngành Ngân hàng phục vụ hoạt động của các cơ quan, tổ chức trên phạm vi toàn quốc yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước.
d) Trong trường hợp hệ thống thông tin bao gồm nhiều hệ thống thành phần, mỗi hệ thống thành phần lại tương ứng với một mức độ quan trọng khác nhau, thì phân loại hệ thống thông tin xác định theo mức độ quan trọng của hệ thống thành phần cung cấp hoạt động kỹ thuật, nghiệp vụ chính.
3. Tổ chức thực hiện phân loại hệ thống thông tin theo mức độ quan trọng quy định tại khoản 2 Điều này. Danh sách hệ thống thông tin theo mức độ quan trọng phải được người đại diện hợp pháp phê duyệt.
(Điều 4 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.5.5. Quy chế an toàn thông tin
1. Tổ chức xây dựng quy chế an toàn thông tin phù hợp với hệ thống thông tin, cơ cấu tổ chức, yêu cầu quản lý và hoạt động của tổ chức. Quy chế an toàn thông tin phải được người đại diện hợp pháp ký ban hành và triển khai thực hiện trong toàn tổ chức.
2. Quy chế an toàn thông tin tối thiểu gồm các nội dung cơ bản sau:
a) Quản lý tài sản công nghệ thông tin;
b) Quản lý nguồn nhân lực;
c) Bảo đảm an toàn về mặt vật lý và môi trường lắp đặt;
d) Quản lý vận hành và trao đổi thông tin;
đ) Quản lý truy cập;
e) Quản lý sử dụng dịch vụ công nghệ thông tin của bên thứ ba;
g) Quản lý tiếp nhận, phát triển, duy trì hệ thống thông tin;
h) Quản lý sự cố an toàn thông tin;
i) Bảo đảm hoạt động liên tục của hệ thống thông tin;
k) Kiểm tra nội bộ và chế độ báo cáo.
3. Tổ chức rà soát quy chế an toàn thông tin tối thiểu mỗi năm một lần, bảo đảm sự đầy đủ của quy chế theo các quy định tại Thông tư này. Khi phát hiện những bất cập, bất hợp lý gây ra mất an toàn thông tin hoặc theo yêu cầu của cơ quan có thẩm quyền, tổ chức tiến hành chỉnh sửa, bổ sung ngay quy chế an toàn thông tin đã ban hành.
(Điều 5 Thông tư số 18 /2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2019)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.LQ.24. Giám sát an toàn hệ thống thông tin
1. Giám sát an toàn hệ thống thông tin là hoạt động lựa chọn đối tượng giám sát, thu thập, phân tích trạng thái thông tin của đối tượng giám sát nhằm xác định những nhân tố ảnh hưởng đến an toàn hệ thống thông tin; báo cáo, cảnh báo hành vi xâm phạm an toàn thông tin mạng hoặc hành vi có khả năng gây ra sự cố an toàn thông tin mạng đối với hệ thống thông tin; tiến hành phân tích yếu tố then chốt ảnh hưởng tới trạng thái an toàn thông tin mạng; đề xuất thay đổi biện pháp kỹ thuật.
2. Đối tượng giám sát an toàn hệ thống thông tin gồm tường lửa, kiểm soát truy nhập, tuyến thông tin chủ yếu, máy chủ quan trọng, thiết bị quan trọng hoặc thiết bị đầu cuối quan trọng.
3. Doanh nghiệp viễn thông, doanh nghiệp cung cấp dịch vụ công nghệ thông tin, doanh nghiệp cung cấp dịch vụ an toàn thông tin mạng có trách nhiệm phối hợp với chủ quản hệ thống thông tin trong việc giám sát an toàn hệ thống thông tin theo yêu cầu của cơ quan nhà nước có thẩm quyền.
(Điều 24 Luật số 86/2015/QH13, có hiệu lực thi hành kể từ ngày 01/07/2016)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.4.3. Nguyên tắc giám sát
1. Đảm bảo được thực hiện thường xuyên, liên tục.
2. Chủ động theo dõi, phân tích, phòng ngừa để kịp thời phát hiện, ngăn chặn rủi ro, sự cố an toàn thông tin mạng.
3. Đảm bảo hoạt động ổn định, bí mật cho thông tin được cung cấp, trao đổi trong quá trình giám sát.
4. Có sự điều phối, kết hợp chặt chẽ, hiệu quả giữa hoạt động giám sát của Bộ Thông tin và Truyền thông và hoạt động giám sát của chủ quản hệ thống thông tin; từng bước xây dựng khả năng liên thông giữa hệ thống giám sát của Bộ Thông tin và Truyền thông và hệ thống giám sát của chủ quản hệ thống thông tin trên phạm vi toàn quốc.
(Điều 3 Thông tư số 31/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 15/01/2018)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.4.4. Phương thức giám sát
1. Giám sát được thực hiện qua phương thức giám sát trực tiếp hoặc phương thức giám sát gián tiếp. Chủ quản hệ thống thông tin có thể trực tiếp triển khai hoặc thuê dịch vụ giám sát. Trong trường hợp cần thiết, căn cứ vào năng lực, tình hình và nguồn lực thực tế chủ quản hệ thống thông tin đề nghị các đơn vị chức năng liên quan của Bộ Thông tin và Truyền thông hỗ trợ giám sát phù hợp với nguồn lực thực tế.
2. Giám sát trực tiếp là hoạt động giám sát được tiến hành bằng cách đặt các thiết bị có chức năng phân tích luồng dữ liệu (quan trắc), thu nhận trực tiếp thông tin nhật ký, cảnh báo hệ thống được giám sát để phát hiện ra các dấu hiệu tấn công, rủi ro, sự cố an toàn thông tin mạng. Giám sát trực tiếp bao gồm các hoạt động sau:
a) Phân tích, thu thập các thông tin an toàn thông tin mạng:
- Phân tích, quan trắc an toàn thông tin mạng trên đường truyền mạng/luồng thông tin tại các cổng kết nối Internet bằng các công cụ có khả năng phân tích đường truyền mạng để phát hiện tấn công, rủi ro, sự cố an toàn thông tin mạng như thiết bị phát hiện/ngăn ngừa tấn công phù hợp với đối tượng được giám sát (ví dụ: IDS/IPS/Web Firewall v.v...);
- Thu thập nhật ký (log file), cảnh báo an toàn thông tin mạng phản ánh hoạt động các ứng dụng, hệ thống thông tin, thiết bị an toàn thông tin.
b) Tổng hợp, đồng bộ, xác minh và xử lý các thông tin an toàn thông tin mạng để phát hiện ra các tấn công, rủi ro, sự cố an toàn thông tin mạng hoặc loại bỏ các thông tin không chính xác.
3. Giám sát gián tiếp là hoạt động giám sát thực hiện các kỹ thuật thu thập thông tin từ các nguồn thông tin có liên quan; kiểm tra, rà soát đối tượng cần giám sát để phát hiện tình trạng hoạt động, khả năng đáp ứng và kết hợp với một số yếu tố khác có liên quan để phân tích nhằm phát hiện ra các tấn công, rủi ro, sự cố an toàn thông tin mạng. Giám sát gián tiếp bao gồm các hoạt động sau:
a) Thu thập, phân tích, xác minh các thông tin về tấn công, rủi ro, sự cố an toàn thông tin mạng liên quan đến đối tượng giám sát từ các nguồn thông tin có liên quan;
b) Kiểm tra, rà soát từ xa hoặc trực tiếp các đối tượng được giám sát để đánh giá tình trạng, phát hiện tấn công, rủi ro, sự cố an toàn thông tin mạng có khả năng bị khai thác, tấn công, gây hại.
(Điều 4 Thông tư số 31/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 15/01/2018)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.4.6. Hoạt động giám sát của doanh nghiệp
Doanh nghiệp viễn thông, doanh nghiệp cung cấp dịch vụ công nghệ thông tin, doanh nghiệp cung cấp dịch vụ an toàn thông tin mạng có trách nhiệm:
1. Phối hợp với chủ quản hệ thống thông tin trong việc giám sát theo yêu cầu của Bộ Thông tin và Truyền thông.
2. Cung cấp các thông tin về hạ tầng, kỹ thuật, hệ thống mạng và thực hiện các hỗ trợ kỹ thuật theo yêu cầu của Bộ Thông tin và Truyền thông phục vụ cho hoạt động giám sát của Bộ Thông tin và Truyền thông.
3. Thực hiện các nhiệm vụ giám sát theo quy định tại Điều 7 Quyết định số 05/2017/QĐ-TTg của Thủ tướng Chính phủ.
(Điều 6 Thông tư số 31/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 15/01/2018)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.4.7. Đầu mối giám sát, cảnh báo
1. Chủ quản hệ thống thông tin có trách nhiệm cử cá nhân hoặc bộ phận làm đầu mối giám sát, cảnh báo an toàn thông tin mạng để phối hợp với đơn vị chức năng của Bộ Thông tin và Truyền thông.
2. Đầu mối giám sát phải đảm bảo khả năng cung cấp, tiếp nhận thông tin kịp thời, liên tục. Đầu mối giám sát có chức năng thực hiện hoạt động giám sát trong phạm vi hệ thống thông tin của mình.
3. Đầu mối giám sát thực hiện cung cấp, trao đổi thông tin theo một hay đồng thời nhiều cách như công văn, thư điện tử, điện thoại, fax, hoặc trao đổi trên một phần mềm trao đổi thông tin chuyên biệt nhằm đảm bảo thông tin được bảo mật.
4. Thông tin đầu mối giám sát bao gồm: Họ tên cá nhân, tên bộ phận, chức vụ, địa chỉ, số điện thoại (cố định và di động), địa chỉ thư điện tử, chữ ký số (nếu đã có).
(Điều 7 Thông tư số 31/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 15/01/2018)
Chương II - BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG - Mục 1 - BẢO VỆ THÔNG TIN MẠNG - Mục 2 - BẢO VỆ THÔNG TIN CÁ NHÂN - Mục 3 - BẢO VỆ HỆ THỐNG THÔNG TIN
Điều 3.1.TT.4.8. Trao đổi, cung cấp, chia sẻ thông tin
1. Khuyến khích các đầu mối giám sát trao đổi, cung cấp thông tin cho nhau nhằm mục đích phối hợp trong công tác giám sát, cảnh báo, ứng cứu sự cố và tăng tính chủ động đối phó với các nguy cơ, mối đe dọa, phương thức, thủ đoạn tấn công an toàn thông tin mạng của tổ chức, cá nhân.
2. Các thông tin chia sẻ, cung cấp và trao đổi bao gồm các thông tin về tấn công, rủi ro, sự cố an toàn thông tin mạng; các phương thức, thủ đoạn, nguồn gốc tấn công; các tác động, ảnh hưởng do sự cố gây ra; biện pháp quản lý, kỹ thuật để xử lý, khắc phục.
3. Nguyên tắc trao đổi, cung cấp thông tin
a) Kịp thời, chính xác và áp dụng các biện pháp quản lý, kỹ thuật phù hợp để bảo mật thông tin trao đổi;
b) Chủ động xác minh thông tin trao đổi nhằm đảm bảo tính xác thực của thông tin;
c) Sử dụng một hoặc đồng thời nhiều hình thức trao đổi thông tin như website, công văn, thư điện tử, tin nhắn, điện thoại, fax;
d) Khi cung cấp, trao đổi thông tin với đơn vị chức năng của Bộ Thông tin và Truyền thông cần thực hiện theo hướng dẫn của Bộ Thông tin và Truyền thông.
(Điều 8 Thông tư số 31/2017/TT-BTTTT, có hiệu lực thi hành kể từ ngày 15/01/2018)