ỦY BAN NHÂN DÂN TỈNH NINH THUẬN CỘNG HOÀ XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc Số: 71/2012/QĐ-UBND Ninh Thuận, ngày 12 tháng 12 năm 2012 QUYẾT ĐỊNH Ban hành Quy chế về đảm bảo an toàn, an ninh thông tin trong lĩnh vực ứng dụng công nghệ thông tin của các cơ quan quản lý hành chính Nhà nước và các đơn vị sự nghiệp trên địa bàn tỉnh Ninh Thuận ỦY BAN NHÂN DÂN TỈNH NINH THUẬN

Ban hành kèm theo Quyết định này Quy chế về đảm bảo an toàn, an ninh thông tin trong lĩnh vực ứng dụng công nghệ thông tin của các cơ quan quản lý hành chính Nhà nước và các đơn vị sự nghiệp trên địa bàn tỉnh Ninh Thuận; gồm 05 Chương, 15 Điều.

Quyết định này có hiệu lực thi hành sau 10 (mười) ngày kể từ ngày ký ban hành.
Chánh Văn phòng Ủy ban nhân dân tỉnh, Giám đốc các sở, ban, ngành; Chủ tịch Ủy ban nhân dân các huyện, thành phố và thủ trưởng các cơ quan, tổ chức, cá nhân liên quan chịu trách nhiệm thi hành Quyết định này./.
QUY CHẾ
Về đảm bảo an toàn, an ninh thông tin trong hoạt động ứng dụng công nghệ thông tin của các cơ quan quản lý hành chính Nhà nước và các đơn vị sự nghiệp trên địa bàn tỉnh Ninh Thuận
(Ban hành kèm theo Quyết định số 71/2012/QĐ-UBND ngày 12 tháng 12 năm 2012
của Ủy ban nhân dân tỉnh Ninh Thuận)

Phạm vi điều chỉnh
Quy chế này quy định về công tác đảm bảo an toàn, an ninh thông tin trong hoạt động ứng dụng công nghệ thông tin của các cơ quan quản lý hành chính Nhà nước và các đơn vị sự nghiệp trên địa bàn tỉnh Ninh Thuận.

Đối tượng áp dụng
Quy chế này được áp dụng đối với các cơ quan quản lý hành chính Nhà nước và các đơn vị sự nghiệp thuộc Ủy ban nhân dân tỉnh Ninh Thuận (sau đây gọi tắt là các cơ quan, đơn vị).

Mục đích đảm bảo an toàn, an ninh thông tin
1. Giảm thiểu được các nguy cơ gây sự cố mất an toàn thông tin và đảm bảo an ninh thông tin trong quá trình tác nghiệp của công chức, viên chức.
2. Công tác đảm bảo an toàn, an ninh thông tin, bảo mật trên môi trường mạng là một trong những nhiệm vụ trọng tâm để đảm bảo thành công trong việc ứng dụng công nghệ thông tin trong hoạt động của các cơ quan quản lý hành chính Nhà nước.

Giải thích từ ngữ
Trong Quy chế này, các từ ngữ dưới đây được hiểu như sau:
1. Tính tin cậy: đảm bảo thông tin chỉ có thể được truy nhập bởi những người được cấp quyền sử dụng.
2. Tính toàn vẹn: bảo vệ sự chính xác và đầy đủ của thông tin và các phương pháp xử lý.
3. Tính sẵn sàng: đảm bảo những người được cấp quyền có thể truy nhập thông tin và các tài sản liên quan ngay khi có nhu cầu.
4. TCVN 7562:2005: tiêu chuẩn Việt Nam về mã thực hành quản lý an toàn thông tin.
5. ISO 17799:2005: tiêu chuẩn quốc tế cung cấp các hướng dẫn quản lý an toàn bảo mật thông tin dựa trên quy phạm công nghiệp tốt nhất (tập quy phạm cho quản lý an toàn bảo mật thông tin).
6. ISO 27001:2005: tiêu chuẩn quốc tế về quản lý bảo mật thông tin do tổ chức Chất lượng quốc tế và Hội đồng Điện tử quốc tế xuất bản vào tháng 10 năm 2005.
7. Hệ thống thông tin: là một tập hợp và kết hợp của các phần cứng, phần mềm và các hệ thống mạng truyền thông được xây dựng và sử dụng để thu thập, tái tạo, phân phối và chia sẻ các dữ liệu, thông tin và tri thức nhằm phục vụ các mục tiêu của tổ chức.
8.Virus máy tính: là một chương trình hay một đoạn mã có khả năng tự sao chép chính nó từ đối tượng lây nhiễm này sang đối tượng khác với mục đích gây hại cho máy tính.
9. Cổng giao tiếp (Port): để định danh các ứng dụng gửi và nhận dữ liệu, mỗi ứng dụng sẽ tương ứng với một cổng giao tiếp, những ứng dụng phổ biến được đặt với số hiệu cổng định trước nhằm định danh duy nhất các ứng dụng đó. Khi máy tính sử dụng dịch vụ nào thì cổng giao tiếp tương ứng với dịch vụ đó sẽ mở.
10. Giao thức: là tập hợp các quy tắc, quy ước truyền thông của mạng mà tất cả các thực thể tham gia truyền thông phải tuân theo.
11. Bản ghi nhật ký hệ thống (Logfile): là một tập tin được tạo ra trên mỗi thiết bị của hệ thống thông tin như tường lửa, máy chủ ứng dụng, ... có chứa tất cả thông tin về các hoạt động xảy ra trên thiết bị đó. Bản ghi nhật ký hệ thống dùng để phân tích những sự kiện đã xảy ra, nguồn gốc và các kết quả để có các biện pháp xử lý thích hợp.
12. Mạng ngang hàng: là mạng mà trong đó các máy tính có quyền bình đẳng như nhau, mỗi máy tính có quyền chia sẻ tài nguyên và sử dụng các tài nguyên từ máy tính khác.
13. An toàn thông tin (ATTT): bao gồm các hoạt động quản lý, nghiệp vụ và kỹ thuật đối với hệ thống thông tin nhằm bảo vệ, khôi phục các hệ thống, các dịch vụ và nội dung thông tin đối với nguy cơ tự nhiên hoặc do con người gây ra. Việc bảo vệ thông tin, tài sản và con người trong hệ thống thông tin nhằm bảo đảm cho các hệ thống thực hiện đúng chức năng, phục vụ đúng đối tượng một cách sẵn sàng, chính xác và tin cậy. An toàn thông tin bao hàm các nội dung bảo vệ và bảo mật thông tin, an toàn dữ liệu của máy tính và an toàn mạng.

Các biện pháp quản lý vận hành trong công tác đảm bảo an toàn, an ninh thông tin
1. Đối với các cơ quan, đơn vị:
a) Trang bị đầy đủ các kiến thức bảo mật cơ bản cho cán bộ công chức, viên chức trước khi cho phép truy nhập và sử dụng hệ thống thông tin;
b) Bố trí công chức, viên chức chuyên trách về an toàn hệ thống thông tin (sau đây gọi tắt là công chức, viên chức chuyên trách). Công chức, viên chức chuyên trách được đảm bảo điều kiện học tập, tiếp cận công nghệ, kiến thức an toàn bảo mật thông tin trước khi tiến hành các hoạt động quản lý hay kỹ thuật nghiệp vụ;
c) Xác định và phân bổ kinh phí chi thường xuyên cần thiết cho các hoạt động liên quan đến việc bảo vệ hệ thống thông tin, thông qua việc đầu tư các thiết bị tường lửa, các chương trình chống thư rác, virus máy tính trên các máy trạm, máy chủ, ... và các công việc khác có liên quan đến việc bảo đảm an toàn, an ninh thông tin;
d) Các cơ quan, đơn vị phải bố trí ít nhất 01 máy vi tính riêng, không kết nối mạng nội bộ và mạng internet dùng để quản lý, soạn thảo các tài liệu mật theo quy định;
đ) Người đứng đầu cơ quan Nhà nước phải chịu trách nhiệm về việc ứng dụng công nghệ thông tin thuộc thẩm quyền quản lý của mình;
e) Kiểm tra việc thực hiện các nội dung của

Điều 6 Quy chế này.
2. Đối với công chức, viên chức chuyên trách tại các cơ quan đơn vị:
a) Triển khai, thực hiện các nội dung của

Điều 6 Quy chế này;
b) Tham mưu chuyên môn và vận hành an toàn hệ thống thông tin của đơn vị, triển khai các biện pháp bảo đảm an toàn, an ninh thông tin cho tất cả công chức, viên chức trong đơn vị mình. Nắm vững và thực hiện nghiêm túc Pháp lệnh Bảo vệ bí mật Nhà nước ngày 28 tháng 12 năm 2000. Thường xuyên tự nghiên cứu, cập nhật các kiến thức về an toàn, an ninh thông tin, nguy cơ tiềm ẩn có thể gây mất mát thông tin và các biện pháp phòng tránh khi tiến hành các hoạt động quản lý hay kỹ thuật nghiệp vụ;
c) Thường xuyên thực hiện việc theo dõi bản ghi nhật ký hệ thống (logfile) và các sự kiện khác có liên quan để đánh giá, báo cáo các rủi ro và mức độ nghiêm trọng các rủi ro đó;
d) Phối hợp chặt chẽ với cơ quan Công an trong công tác phòng ngừa, đấu tranh, ngăn chặn các hoạt động xâm phạm an toàn, an ninh thông tin;
đ) Khi tổ chức cấu hình hệ thống thông tin chỉ cung cấp những chức năng thiết yếu nhất; xác định các chức năng, cổng giao tiếp mạng, giao thức và dịch vụ không cần thiết để cấm hoặc hạn chế sử dụng.
3. Đối với công chức, viên chức:
a) Thường xuyên cập nhật những chính sách, thủ tục an toàn thông tin của đơn vị cũng như thực hiện những hướng dẫn về an toàn, an ninh thông tin của công chức, viên chức chuyên trách;
b) Hạn chế việc sử dụng chức năng chia sẻ tài nguyên (sharing), khi sử dụng chức năng này cần bật thuộc tính bảo mật bằng mật khẩu và thực hiện việc thu hồi chức năng này khi đã sử dụng xong;
c) Các máy tính khi không sử dụng trong thời gian dài (quá 2 giờ làm việc) cần tắt máy hoặc ngưng kết nối mạng, để tránh bị các hacker lợi dụng, sử dụng chức năng điều khiển từ xa dùng máy tính của mình tấn công vào các hệ thống thông tin khác;
d) Khi mở các tập tin đính kèm theo thư điện tử, nếu biết rõ người gửi thư thì phải lưu tập tin vào máy tính rồi quét virus trước khi mở, không được mở các thư điện tử có tập tin đính kèm có nguồn gốc không rõ ràng vì rất có thể có virus, phần mềm gián điệp được đính kèm theo thư;
đ) Phải đặt mật khẩu truy nhập vào máy tính của mình; đồng thời thiết lập chế độ bảo vệ màn hình (screen saver) có sử dụng mật khẩu bảo vệ sau một khoảng thời gian nhất định không sử dụng máy tính. Sử dụng các thiết bị lưu trữ (usb, ổ cứng gắn ngoài, ...) an toàn, đúng cách để phòng ngừa virus, phần mềm gián điệp xâm nhập máy tính.

Các biện pháp quản lý kỹ thuật cho công tác đảm bảo an toàn, an ninh thông tin
1. Tổ chức mô hình mạng: cài đặt, cấu hình, tổ chức hệ thống mạng theo mô hình Clients/Server, hạn chế sử dụng mô hình mạng ngang hàng. Đối với các cơ quan, đơn vị có nhiều phòng, ban, đơn vị trực thuộc không nằm trong cùng một khu vực thì cần thiết lập mạng riêng ảo (VPN - Virtual Private Network) để tăng cường an ninh cho hạ tầng mạng nội bộ. Khi thiết lập các dịch vụ trên môi trường mạng internet, chỉ cung cấp những chức năng thiết yếu nhất bảo đảm duy trì hoạt động của hệ thống thông tin; hạn chế sử dụng chức năng, cổng giao tiếp mạng, giao thức và các dịch vụ không cần thiết.
2. Quản lý hệ thống mạng không dây: khi thiết lập mạng không dây để kết nối với mạng cục bộ thông qua các điểm truy nhập (Access Point -AP), cần thiết lập các tham số như: tên, tên của mạng không dây (SSID), mật khẩu, mã hoá dữ liệu và thông báo các thông tin liên quan đến điểm truy nhập để cơ quan sử dụng, định kỳ 3 tháng thay đổi mật khẩu nhằm tăng cường công tác bảo mật.
3. Tổ chức quản lý tài khoản của các hệ thống thông tin, bao gồm: tạo mới, kích hoạt, sửa đổi, vô hiệu hoá và loại bỏ các tài khoản; đồng thời tổ chức kiểm tra các tài khoản của hệ thống thông tin ít nhất 06 tháng/1 lần và triển khai các công cụ tự động để hỗ trợ việc quản lý các tài khoản của hệ thống thông tin. Hủy tài khoản, quyền truy nhập hệ thống thông tin, thu hồi lại tất cả các tài sản liên quan tới hệ thống thông tin (khoá, thẻ nhận dạng, thư mục lưu trữ, ...) đối với công chức, viên chức đã chuyển công tác, chấm dứt hợp đồng lao động.
4. Quản lý đăng nhập hệ thống: các hệ thống thông tin cần giới hạn một số hữu hạn lần đăng nhập sai liên tiếp. Hệ thống tự động khoá tài khoản hoặc cô lập tài khoản trong một khoảng thời gian nhất định trước khi tiếp tục cho đăng nhập nếu liên tục đăng nhập sai vượt quá số lần quy định. Tổ chức theo dõi và kiểm soát tất cả các phương pháp truy nhập từ xa (quay số, internet, …) tới hệ thống thông tin bao gồm cả sự truy nhập có chức năng quản trị, tăng cường việc sử dụng mạng riêng ảo (VPN) khi có nhu cầu làm việc từ xa; yêu cầu người sử dụng đặt mật khẩu với độ an toàn cao, giám sát, nhắc nhở khuyến cáo nên thay đổi thường xuyên mật khẩu. Hệ thống thông tin cần có cơ chế kiểm tra, cho phép ứng với mỗi phương pháp truy nhập từ xa và cơ chế tự động giám sát, điều khiển các truy nhập từ xa.
5. Quản lý Logfile: hệ thống thông tin cần ghi nhận được các sự kiện cần thiết phục vụ quá trình kiểm soát: quá trình đăng nhập hệ thống, các thao tác cấu hình hệ thống, quá trình truy xuất hệ thống, ghi nhận đầy đủ các thông tin trong các bản ghi nhật ký để xác định những sự kiện nào đã xảy ra, nguồn gốc và các kết quả của sự kiện để có cơ chế bảo vệ và lưu giữ nhật ký trong một khoảng thời gian nhất định.
6. Chống mã độc, virus: lựa chọn, triển khai các phần mềm chống virus, thư rác trên các máy chủ, các thiết bị di động trong mạng và những hệ thống thông tin xung yếu như: cổng thông tin điện tử, thư điện tử, “một cửa” điện tử, … để phát hiện, loại trừ những đoạn mã độc hại (virus, trojan, worms, …) và hỗ trợ người sử dụng cài đặt các phần mềm này trên máy trạm. Thường xuyên cập nhật các phiên bản mới, các bản vá lỗi của các phần mềm chống virus để bảo đảm chương trình quét virus của cơ quan trên các máy chủ, máy trạm luôn được cập nhật mới nhất, phù hợp với quy trình và chính sách quản lý hệ thống thông tin của tổ chức, thiết lập chế độ quét thường xuyên ít nhất là hằng tuần.
7. Tổ chức quản lý tài nguyên: kiểm tra, giám sát chức năng chia sẻ thông tin (Network File and Folder Sharing). Tổ chức cấp phát tài nguyên trên máy chủ theo danh mục thư mục cho từng phòng/ban; khuyến cáo người sử dụng cân nhắc việc chia sẻ tài nguyên cục bộ trên máy đang sử dụng, tuyệt đối không được chia sẻ toàn bộ ổ cứng. Khi thực hiện việc chia sẻ tài nguyên trên máy chủ hoặc trên máy cục bộ nên sử dụng mật khẩu để bảo vệ thông tin.
8. Thiết lập cơ chế sao lưu và phục hồi máy chủ, máy trạm:
a) Đối với máy trạm, máy chủ: thực hiện việc sao lưu dữ liệu như hệ điều hành, các phần mềm ứng dụng văn phòng, phần mềm chuyên ngành, ... bằng các phần mềm như Pqmagic, FinalData, Symantec Ghost, ZAR (Zero Assumption Recovery), NovaBackup Professional, Nero BackItUp & Burn, Digital Rescue Premium, ... Sau khi sao lưu mỗi máy được lưu vào các thiết bị lưu trữ như CD, ổ cứng ngoài, ... và thực hiện việc đánh số, dán nhãn để tránh nhầm lẫn nhằm phục vụ cho công tác phục hồi dữ liệu một cách nhanh nhất;
b) Đối với máy chủ: cài đặt các dịch vụ Mirror, Raid, Clustering bảo đảm thiết lập cơ chế sao lưu và phục hồi hệ thống máy chủ. Đối với các máy chủ cài đặt hệ điều hành Windows sử dụng chức năng System Restore để có thể dễ dàng khôi phục lại toàn bộ máy chủ hoặc các tập tin, thư mục được lựa chọn phục hồi.
9. Các biện pháp kỹ thuật bảo đảm an toàn cho trang thông tin điện tử/ cổng thông tin điện tử (gọi tắt là trang Web):
a) Xác định cấu trúc thiết kế trang web: quản lý toàn bộ các phiên bản của mã nguồn, phối hợp với đơn vị thực hiện dịch vụ đăng tải trang tin điện tử (website), truyền tệp (FTP), … và tổ chức mô hình trang tin điện tử hợp lý tránh khả năng tấn công leo thang đặc quyền. Yêu cầu đơn vị cung cấp dịch vụ vụ đăng tải trang tin điện tử (website), truyền tệp (FTP), … phải cài đặt các hệ thống phòng vệ như tường lửa (firewall), thiết bị phát hiện/phòng chống xâm nhập (IDS/IPS), mức ứng dụng web (WAF - Web Application Firewall);
b) Vận hành ứng dụng web an toàn: các trang web khi đưa vào sử dụng hoặc khi bổ sung thêm các chức năng, dịch vụ công mới cần liên hệ với Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT) hoặc liên hệ với các tổ chức an ninh mạng đánh giá kiểm định nhằm tránh được các lỗi bảo mật thường xuyên xảy ra trên ứng dụng web như: SQL Injection, Cross - Site Scripting (XSS), Broken Authentication and Session Management, Insecure Direct Object References, Cross Site Request Forgery (CSRF), Security Misconfiguration, Failure to Restrict URL Access, Insecure Cryptographic Storage, Insufficient Transport Layer Protection, Unvalidated Redirects and Forwards, ...;
c) Thiết lập và cấu hình cơ sở dữ liệu an toàn:
Luôn cập nhật bản vá lỗi mới nhất cho hệ quản trị cơ sở dữ liệu; sử dụng công cụ để đánh giá, tìm kiếm lỗ hổng trên máy chủ cơ sở dữ liệu.
Gỡ bỏ các cơ sở dữ liệu không sử dụng.
Có các cơ chế sao lưu dữ liệu, tài liệu hoá quá trình thay đổi cấu trúc bằng cách xây dựng nhật ký CSDL với các nội dung như: nội dung thay đổi, lý do thay đổi, thời gian, vị trí thay đổi, ...;
d) Phối hợp với các nhà cung cấp dịch vụ đăng tải trang tin điện tử (website), truyền tệp (FTP), … xây dựng phương án phục hồi trang tin điện tử, trong đó chú ý mỗi tháng thực hiện việc sao lưu dự phòng (backup) toàn bộ nội dung trang web 1 lần bao gồm mã nguồn, cơ sở dữ liệu, dữ liệu phi cấu trúc, ... để bảo đảm khi sự cố xảy ra có thể khắc phục lại ngay trong vòng 24 giờ .
10. Xử lý khẩn cấp: khi phát hiện hệ thống bị tấn công, thông qua các dấu hiệu như luồng tin (traffic) tăng lên bất ngờ, nội dung trang chủ bị thay đổi, hệ thống hoạt động rất chậm khác thường, ... cần thực hiện các bước cơ bản sau:
a) Bước 1: ngắt kết nối máy chủ ra khỏi mạng;
b) Bước 2: sao chép logfile và toàn bộ dữ liệu của hệ thống ra thiết bị lưu trữ (phục vụ cho công tác phân tích);
c) Bước 3: khôi phục hệ thống bằng cách chuyển dữ liệu backup mới nhất để hệ thống hoạt động;
d) Bước 4: thực hiện các công việc được quy định tại khoản 2

11.Hệ thống thông tin cần có cơ chế ngăn chặn hoặc hạn chế các sự cố gây ra do tấn công từ chối dịch vụ (Dos, DDos). Công chức, viên chức chuyên trách sử dụng các thiết bị đặt tại biên của mạng lọc gói tin để bảo vệ các thiết bị bên trong, tránh bị ảnh hưởng trực tiếp bởi tấn công từ chối dịch vụ. Đối với hệ thống thông tin cho phép truy nhập công cộng thì có thể được bảo vệ bằng cách tăng dung lượng, băng thông hoặc thiết lập hệ thống dự phòng.

Xây dựng quy chế nội bộ đảm bảo an toàn, an ninh thông tin
1. Các cơ quan, đơn vị phải ban hành quy chế nội bộ, đảm bảo quy định rõ các vấn đề sau:
a)

Xây dựng và áp dụng quy trình đảm bảo an toàn, an ninh thông tin
1. Các cơ quan, đơn vị phải xây dựng và áp dụng quy trình đảm bảo an toàn, an ninh cho hệ thống thông tin của mình nhằm giảm thiểu các nguy cơ gây ra sự cố, tạo điều kiện cho việc khắc phục và truy vết trong trường hợp có sự cố xảy ra. Nội dung của quy trình có thể chia làm các bước cơ bản như:
a) Lập kế hoạch bảo vệ an toàn, an ninh cho hệ thống thông tin;
b) Xây dựng hệ thống bảo vệ an toàn, an ninh thông tin;
c) Quản lý và vận hành hệ thống bảo vệ an toàn, an ninh thông tin;
d) Kiểm tra đánh giá hoạt động của hệ thống bảo vệ an toàn, an ninh thông tin;
đ) Bảo trì và nâng cấp hệ thống bảo vệ an toàn, an ninh thông tin.
2. Các cơ quan, đơn vị tham khảo các bước cơ bản để xây dựng khung quy trình đảm bảo an toàn, an ninh thông tin cho hệ thống thông tin tại Phụ lục 2 kèm theo Quy chế và tiêu chuẩn quốc tế ISO 27001:2005.

Trách nhiệm của các cơ quan, đơn vị
1. Thủ trưởng các cơ quan, đơn vị có trách nhiệm tổ chức thực hiện các quy định tại Quy chế này và chịu trách nhiệm trước Ủy ban nhân dân tỉnh trong công tác bảo vệ an toàn, an ninh thông tin của cơ quan, đơn vị mình.
2. Khi có sự cố hoặc nguy cơ mất an toàn thông tin phải kịp thời áp dụng mọi biện pháp để khắc phục và hạn chế thiệt hại, ưu tiên sử dụng lực lượng kỹ thuật an toàn, an ninh thông tin của đơn vị và lập biên bản, báo cáo bằng văn bản cho cơ quan cấp trên quản lý trực tiếp và Sở Thông tin và Truyền thông. Trường hợp có sự cố nghiêm trọng vượt quá khả năng khắc phục của đơn vị, phải báo cáo ngay cho cơ quan cấp trên quản lý trực tiếp và Sở Thông tin và Truyền thông để được hướng dẫn, hỗ trợ theo biểu mẫu tại Phụ lục 3 của Quy chế này.
3. Phối hợp chặt chẽ với cơ quan Công an trong công tác phòng ngừa, đấu tranh, ngăn chặn các hoạt động xâm phạm an toàn, an ninh thông tin. Tạo điều kiện thuận lợi cho các cơ quan chức năng tham gia khắc phục sự cố và thực hiện đúng theo hướng dẫn.
4. Phối hợp với đoàn kiểm tra để triển khai công tác kiểm tra khắc phục sự cố xảy ra kịp thời nhanh chóng và đạt hiệu quả; đồng thời cung cấp đầy đủ các thông tin khi đoàn kiểm tra yêu cầu.
5. Định kỳ hằng quý, lập báo cáo tình hình an toàn, an ninh thông tin theo biểu mẫu tại Phụ lục 4 của Quy chế này và gửi về Sở Thông tin và Truyền thông qua hộp thư điện tử sotttt@ninhthuan.gov.vn. Riêng báo cáo quý IV hằng năm yêu cầu các đơn vị gửi về Sở Thông tin và Truyền thông bằng văn bản (trước ngày 20 tháng 12).

Trách nhiệm của công chức, viên chức trong các cơ quan, đơn vị
1. Trách nhiệm của công chức, viên chức chuyên trách an toàn an ninh thông tin:
a) Chịu trách nhiệm triển khai các biện pháp quản lý vận hành, quản lý kỹ thuật, tham mưu xây dựng các quy định đảm bảo an toàn, an ninh thông tin cho hệ thống thông tin của đơn vị theo Quy chế này;
b) Phối hợp với các cá nhân, đơn vị có liên quan trong việc kiểm soát, phát hiện và khắc phục các sự cố an toàn, an ninh thông tin.
2. Trách nhiệm của công chức, viên chức trong các cơ quan, đơn vị:
a) Nghiêm chỉnh thi hành các quy chế nội bộ, quy trình về an toàn, an ninh thông tin của cơ quan, đơn vị cũng như các quy định khác của pháp luật, nâng cao ý thức cảnh giác và trách nhiệm đảm bảo an ninh thông tin tại đơn vị;
b) Khi phát hiện sự cố phải báo cáo ngay với cấp trên và bộ phận chuyên trách để kịp thời ngăn chặn, xử lý;
c) Hưởng ứng, tham gia các chương trình đào tạo, hội nghị về an toàn an ninh thông tin do Sở Thông tin và Truyền thông hoặc các đơn vị chuyên môn tổ chức.

Trách nhiệm của Sở Thông tin và Truyền thông
1. Tham mưu Ủy ban nhân dân tỉnh về công tác đảm bảo an toàn, an ninh thông tin trên địa bàn tỉnh và chịu trách nhiệm trước Ủy ban nhân dân tỉnh trong việc đảm bảo an toàn an ninh cho các hệ thống thông tin cấp tỉnh.
2. Hằng năm xây dựng kế hoạch, dự toán nguồn kinh phí để triển khai công tác an toàn và an ninh thông tin phục vụ cho việc vận hành các hệ thống thông tin được Ủy ban nhân dân tỉnh giao quản lý.
3. Chủ trì, phối hợp với các cơ quan liên quan tổ chức kiểm tra theo định kỳ hoặc đột xuất; kịp thời phát hiện và xử lý theo quy định của pháp luật đối với các cơ quan, tổ chức, cá nhân có các dấu hiệu, hành vi vi phạm an toàn, an ninh thông tin trên địa bàn tỉnh.
4. Xây dựng và triển khai các chương trình đào tạo, hội nghị tuyên truyền an toàn, an ninh thông tin trong công tác quản lý Nhà nước trên địa bàn tỉnh.
5. Tùy theo mức độ sự cố, phối hợp Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT) và các đơn vị có liên quan hướng dẫn xử lý, ứng cứu các sự cố mất an toàn, an ninh thông tin.
6. Hướng dẫn, giám sát các cơ quan, đơn vị trên địa bàn tỉnh xây dựng quy chế và thực hiện việc đảm bảo an toàn, an ninh cho hệ thống thông tin theo quy định của Nhà nước.

Kế hoạch kiểm tra hằng năm
1. Sở Thông tin và Truyền thông chủ trì, phối hợp với Công an tỉnh và các đơn vị có liên quan tiến hành kiểm tra công tác đảm bảo an toàn, an ninh thông tin đối với các cơ quan Nhà nước cấp tỉnh, Ủy ban nhân dân các huyện, thành phố định kỳ hằng năm tối thiểu 01 lần.
2. Tiến hành kiểm tra đột xuất các cơ quan, đơn vị khi có dấu hiệu vi phạm an toàn an ninh trong hệ thống thông tin.

Quan hệ phối hợp và trách nhiệm của các cơ quan chức năng liên quan
1. Sở Thông tin và Truyền thông:
a) Chịu trách nhiệm chủ trì, phối hợp với các cơ quan chức năng liên quan để thành lập đoàn kiểm tra công tác đảm bảo an toàn, an ninh thông tin. Tổ chức triển khai và báo cáo công tác kiểm tra an toàn, an ninh thông tin trên quy mô toàn tỉnh;
b) Xử lý theo thẩm quyền các hành vi vi phạm an toàn, an ninh thông tin gây thiệt hại cho hệ thống thông tin các cơ quan Nhà nước trên địa bàn tỉnh;
c) Tuyên truyền công tác an toàn, an ninh thông tin cho các cơ quan trên địa bàn tỉnh.
2. Công an tỉnh:
a) Phối hợp Sở Thông tin và Truyền thông kiểm tra công tác an toàn, an ninh thông tin;
b) Thường xuyên thông báo cho các cơ quan, đơn vị về phương thức, thủ đoạn mới của các loại tội phạm xâm phạm an toàn, an ninh thông tin để có biện pháp phòng ngừa, đấu tranh, ngăn chặn;
c) Điều tra và xử lý các trường hợp vi phạm an toàn, an ninh thông tin theo thẩm quyền.
3. Trách nhiệm các cơ quan liên quan:
a) Cử công chức, viên chức chuyên trách tham gia đoàn kiểm tra, đánh giá công tác an toàn, an ninh thông tin khi có đề nghị từ Sở Thông tin và Truyền thông;
b) Phối hợp xây dựng các tiêu chí và quy trình kỹ thuật kiểm tra công tác an toàn, an ninh thông tin.

Khen thưởng và xử lý vi phạm
1. Hằng năm, Sở Thông tin và Truyền thông dựa trên các điều tra, báo cáo công tác an toàn, an ninh thông tin của các cơ quan, đơn vị để xác lập bảng xếp hạng an toàn, an ninh thông tin, trên cơ sở đó đề xuất Ủy ban nhân dân tỉnh xem xét khen thưởng theo quy định hiện hành.
2. Các cơ quan, đơn vị có hành vi vi phạm Quy chế này tùy theo tính chất, mức độ vi phạm mà bị xử lý theo quy định của pháp luật hiện hành.

Điều khoản thi hành
Sở Thông tin và Truyền thông chủ trì, phối hợp với các sở, ban, ngành, Ủy ban nhân dân các huyện, thành phố và các cơ quan có liên quan triển khai thực hiện Quy chế này.
Trong quá trình thực hiện, nếu có khó khăn, vướng mắc cần điều chỉnh, sửa đổi, bổ sung, đề nghị các cơ quan, đơn vị, địa phương phản ánh về Sở Thông tin và Truyền thông để tổng hợp, báo cáo Ủy ban nhân dân tỉnh xem xét, điều chỉnh cho phù hợp./.
Phụ lục 1
NHỮNG NỘI DUNG CHÍNH CỦA ISO 17799:2005 DÙNG ĐỂ XÂY DỰNG
QUY CHẾ NỘI BỘ ĐẢM BẢO AN TOÀN, AN NINH CHO HỆ THỐNG THÔNG TIN
(Ban hành kèm theo Quyết định số 71/2012/QĐ-UBND
ngày 12 tháng 12 năm 2012 của Ủy ban nhân dân tỉnh Ninh Thuận)
1. Chính sách an toàn, an ninh thông tin: chỉ thị và hướng dẫn về an toàn, an ninh thông tin.
2. An ninh tổ chức:
a) Hạ tầng an ninh thông tin: quản lý an ninh thông tin trong tổ chức;
b) An ninh đối với bên truy cập thứ ba: duy trì an ninh cho các phương tiện xử lý thông tin của các tổ chức và tài sản thông tin do các bên thứ ba truy cập.
3. Phân loại và kiểm soát tài sản:
a) Trách nhiệm giải trình tài sản: duy trì bảo vệ tài sản;
b) Phân loại thông tin tài sản: đảm bảo mỗi loại tài sản có mức bảo vệ thích hợp.
4. An ninh cá nhân:
a) An ninh trong định nghĩa công việc và nguồn nhân lực: giảm rủi ro do các hành vi sai sót của con người;
b) Đào tạo người sử dụng: đảm bảo người sử dụng nhận thức được các mối đe dọa và các vấn đề liên quan đến an ninh thông tin;
c) Đối phó với các sự cố an ninh: giảm thiểu thiệt hại từ các trục trặc và sự cố an ninh, theo dõi, rút kinh nghiệm.
5. An ninh môi trường và vật lý:
a) Phạm vi an ninh: ngăn ngừa việc truy cập, gây hại và can thiệp trái phép vào vùng an ninh và thông tin nghiệp vụ;
b) An ninh thiết bị: để tránh mất mát, lỗi hoặc các sự cố khác liên quan đến tài sản gây ảnh hưởng tới các hoạt động nghiệp vụ;
c) Kiểm soát chung: ngăn ngừa làm hại hoặc đánh cắp thông tin và các phương tiện xử lý thông tin.
6. Quản lý truyền thông và hoạt động:
a) Thủ tục vận hành và trách nhiệm vận hành hệ thống: đảm bảo các phương tiện xử lý thông tin hoạt động đúng và an toàn;
b) Lập kế hoạch hệ thống và công nhận: giảm thiểu rủi ro và lỗi hệ thống;
c) Bảo vệ chống lại phần mềm cố ý gây hại: bảo vệ tính toàn vẹn của phần mềm thông tin;
d) Công việc quản lý: duy trì tính toàn vẹn và sẵn sàng của dịch vụ truyền đạt và xử lý thông tin;
e) Quản trị mạng: đảm bảo việc an toàn, an ninh thông tin trên mạng và bảo vệ cơ sở hạ tầng kỹ thuật;
f) Trao đổi thông tin: ngăn ngừa mất mát, thay đổi hoặc sử dụng sai thông tin được trao đổi giữa các đơn vị.
7. Kiểm soát truy cập:
a) Các yêu cầu nghiệp vụ đối với kiểm soát truy cập: kiểm soát truy cập thông tin;
b) Quản lý truy cập người dùng: để tránh các truy cập không được cấp phép vào hệ thống;
c) Trách nhiệm của người dùng: để tránh các truy cập của người dùng không được cấp phép;
d) Kiểm soát truy cập mạng: bảo vệ các dịch vụ mạng;
e) Kiểm soát truy cập hệ điều hành: tránh truy cập vào các máy tính không được phép;
f) Kiểm soát truy cập ứng dụng: tránh truy cập trái phép vào hệ thống;
g) Giám sát truy cập hệ thống và giám sát sử dụng hệ thống: để phát hiện các hoạt động không được cấp phép;
h) Kiểm soát truy cập từ xa: đảm bảo an toàn, an ninh thông tin khi sử dụng các phương tiện di động.
8. Phát triển và duy trì hệ thống:
a) Yêu cầu an ninh đối với các hệ thống: để đảm bảo các yêu cầu an ninh được đưa vào trong quá trình xây dựng hệ thống;
b) An ninh trong hệ thống ứng dụng: để ngăn ngừa mất mát, thay đổi hoặc lạm dụng cơ sở dữ liệu người sử dụng trong các hệ thống ứng dụng;
c) Các kiểm soát mật mã hoá: để bảo vệ tính tin cậy, xác thực hoặc toàn vẹn của thông tin;
d) An ninh các file hệ thống: đảm bảo rằng các dự án công nghệ thông tin và các hoạt động hỗ trợ được quản lý một cách an toàn;
e) An ninh quá trình hỗ trợ và phát triển: duy trì an ninh của phần mềm và thông tin hệ thống ứng dụng.
9. Sự tuân thủ:
a) Tuân thủ các yêu cầu pháp lý: để tránh bất kỳ các vi phạm Luật Hình sự và Dân sự, các nghĩa vụ có tính luật pháp, nguyên tắt và bất kỳ yêu cầu an ninh nào;
b) Soát xét của chính sách an ninh và yêu cầu kỹ thuật để đảm bảo việc tuân thủ của hệ thống với các chính sách và tiêu chuẩn an ninh của tổ quốc.
c) Xem xét kiểm tra hệ thống: để tối đa tính hiệu lực để giảm thiểu sự can thiệp tới quy trình kiểm tra hệ thống đó.
ỦY BAN NHÂN DÂN
TỈNH NINH THUẬN
CỘNG HOÀ XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
Phụ lục 2
CÁC BƯỚC CƠ BẢN ĐỂ XÂY DỰNG KHUNG QUY TRÌNH
ĐẢM BẢO AN TOÀN, AN NINH THÔNG TIN
(Ban hành kèm theo Quyết định số 71/2012/QĐ-UBND
ngày 12 tháng 12 năm 2012 của Ủy ban nhân dân tỉnh Ninh Thuận)
Bước 1. Lập kế hoạch bảo vệ an toàn cho hệ thống thông tin
Thành lập bộ phận quản lý an toàn, an ninh thông tin;
Xây dựng định hướng cơ bản cho công tác đảm bảo an toàn, an ninh thông tin trong đó chỉ rõ:
+