QUYẾT ĐỊNH Ban hành Quy chế đảm bảo an toàn thông tin trong hoạt động ứng dụng công nghệ thông tin của các cơ quan nhà nước tỉnh Trà Vinh ỦY BAN NHÂN DÂN TỈNH TRÀ VINH Căn cứ Luật Tổ chức Hội đồng nhân dân và Ủy ban nhân dân ngày 26 tháng 11 năm 2003

Ban hành kèm theo Quyết định này Quy chế đảm bảo an toàn thông tin trong hoạt động ứng dụng công nghệ thông tin của các cơ quan nhà nước tỉnh Trà Vinh.

Quyết định này có hiệu lực sau 10 ngày kể từ ngày ký.

Chánh Văn phòng Ủy ban nhân dân tỉnh; Giám đốc các Sở, Ban, ngành tỉnh, Chủ tịch Ủy ban nhân dân các huyện, thị xã, thành phố và các tổ chức, cá nhân có liên quan chịu trách nhiệm thi hành Quyết định này./.
TM. ỦY BAN NHÂN DÂN
CHỦ TỊCH
đã ký
Đồng Văn Lâm
QUY CHẾ
Đảm bảo an toàn thông tin trong hoạt động ứng dụng
công nghệ thông tin của các cơ quan nhà nước tỉnh Trà Vinh
(Ban hành kèm theo Quyết định số 25/2015/QĐ-UBND
ngày 25/9/2015 của UBND tỉnh)

Phạm vi điều chỉnh và đối tượng áp dụng
1. Quy chế này quy định việc đảm bảo an toàn thông tin trong hoạt động ứng dụng công nghệ thông tin của các cơ quan nhà nước bao gồm: Các Sở, Ban, ngành tỉnh trực thuộc Ủy ban nhân dân tỉnh; Ủy ban nhân dân cấp huyện; Ủy ban nhân dân cấp xã; các đơn vị sự nghiệp có sử dụng ngân sách nhà nước thuộc tỉnh và đoàn thể trên địa bàn tỉnh Trà Vinh (sau đây gọi tắt là cơ quan).
2. Quy chế này được áp dụng đối với các tổ chức, cá nhân có liên quan đến việc quản lý, sử dụng hệ thống thông tin trong các cơ quan theo quy định tại khoản 1 Điều này.

Giải thích từ ngữ
Trong Quy chế này, các từ ngữ dưới đây được hiểu như sau:
1. An toàn thông tin: Bao gồm các hoạt động quản lý, nghiệp vụ và kỹ thuật đối với hệ thống thông tin nhằm bảo vệ, khôi phục các hệ thống, các dịch vụ và nội dung thông tin đối với nguy cơ tự nhiên hoặc do con người gây ra. Việc bảo vệ thông tin, tài sản và con người trong hệ thống thông tin nhằm bảo đảm cho các hệ thống thực hiện đúng chức năng, phục vụ đúng đối tượng một cách sẵn sàng, chính xác và tin cậy. An toàn thông tin bao hàm các nội dung bảo vệ và bảo mật thông tin, an toàn dữ liệu, an toàn máy tính và an toàn mạng.
2. Tính tin cậy: Đảm bảo thông tin chỉ có thể được truy cập bởi những người được cấp quyền sử dụng.
3. Tính nguyên vẹn: Bảo vệ tính chính xác và tính đầy đủ của thông tin và các phương pháp xử lý thông tin.
4. Tính sẵn sàng: Đảm bảo những người được cấp quyền có thể truy cập thông tin và các tài sản liên quan ngay khi có nhu cầu.
5. Hệ thống thông tin: Là một tập hợp và kết hợp của các phần cứng, phần mềm và các hệ mạng truyền thông được xây dựng và sử dụng để thu thập, tạo, tái tạo, phân phối và chia sẻ các dữ liệu, thông tin và tri thức nhằm phục vụ các mục tiêu của tổ chức.
6. Cấu hình chuẩn: Là cấu hình được các nhà sản xuất thiết bị, phần mềm, khuyến nghị áp dụng, nhằm loại bỏ các xung đột, lỗ hỏng có thể xảy ra trong quá trình cấu hình thiết bị.
7. Cổng giao tiếp (Port): Để định danh các ứng dụng gửi và nhận dữ liệu, mỗi ứng dụng sẽ tương ứng với một cổng giao tiếp, những ứng dụng phổ biến được đặt với số hiệu cổng định trước, nhằm định danh duy nhất các ứng dụng đó. Khi máy tính sử dụng dịch vụ nào thì cổng giao tiếp tương ứng với dịch vụ đó sẽ mở.
8. Giao thức (Protocol): Là tập hợp các qui tắc, qui ước truyền thông của mạng mà tất cả các thực thể tham gia truyền thông phải tuân theo.
9. Vi rút máy tính: Là chương trình máy tính có khả năng lây lan, gây ra hoạt động không bình thường cho thiết bị số hoặc sao chép, sửa đổi, xoá bỏ thông tin lưu trữ trong thiết bị số.
10. Bản ghi nhật ký hệ thống (Logfile): Là một tập tin được tạo ra trên mỗi thiết bị của hệ thống thông tin như tường lửa, máy chủ ứng dụng, có chứa tất cả thông tin về các hoạt động xảy ra trên thiết bị đó.
11. TCVN 7562: 2005: Tiêu chuẩn Việt Nam về mã thực hành quản lý an toàn thông tin.
12. ISO 17799:2005: Tiêu chuẩn quốc tế cung cấp các hướng dẫn quản lý an toàn bảo mật thông tin dựa trên quy phạm công nghiệp tốt nhất.
13. ISO 27001:2005: Tiêu chuẩn quốc tế về quản lý bảo mật thông tin do Tổ chức Chất lượng Quốc tế và Hội đồng Điện tử Quốc tế xuất bản vào tháng 10 năm 2005.

Nguyên tắc đảm bảo an toàn thông tin
Thực hiện theo quy định tại

Điều 41 Nghị định số 64/2007/NĐ-CP ngày 10 tháng 4 năm 2007 của Chính phủ, cụ thể như sau:
1. Việc bảo đảm an toàn thông tin là yêu cầu bắt buộc trong quá trình thiết kế, xây dựng, vận hành, nâng cấp và huỷ bỏ các hạ tầng kỹ thuật của cơ quan nhà nước.
2. Thông tin số thuộc quy định danh mục bí mật nhà nước của các cơ quan nhà nước phải được phân loại, lưu trữ, bảo vệ trên cơ sở quy định của pháp luật về bảo vệ bí mật nhà nước.
3. Cơ quan nhà nước phải xây dựng nội quy bảo đảm an toàn thông tin; có cán bộ phụ trách quản lý an toàn thông tin; áp dụng, hướng dẫn và kiểm tra định kỳ việc thực hiện các biện pháp bảo đảm cho hệ thống thông tin trên mạng đáp ứng các tiêu chuẩn, quy chuẩn kỹ thuật về an toàn thông tin.
4. Áp dụng quy trình bảo đảm an toàn dữ liệu bao gồm:
a) Lưu trữ dự phòng.
b) Sử dụng mật mã để bảo đảm an toàn và bảo mật dữ liệu trong lưu trữ và giao dịch theo quy định của Nhà nước về mật mã.
c) Quản lý chặt chẽ việc di chuyển các trang thiết bị công nghệ thông tin lưu trữ các thông tin thuộc danh mục bí mật nhà nước.
d) Giám sát các khâu tạo lập, xử lý và hủy bỏ dữ liệu.
đ) Các quy trình bảo đảm an toàn dữ liệu khác.
5. Áp dụng quy trình quản lý an toàn hạ tầng kỹ thuật bao gồm:
a) Các giải pháp bảo vệ nhằm ngăn chặn và phát hiện sớm việc truy cập trái phép vào mạng máy tính hay thiết bị lưu trữ dữ liệu.
b) Áp dụng các công nghệ xác thực, cơ chế quản lý quyền truy cập và cơ chế ghi biên bản hoạt động của hệ thống để quản lý và kiểm tra việc truy cập mạng.
c) Kiểm soát chặt chẽ việc cài đặt các phần mềm mới lên máy chủ và máy trạm.
d) Theo dõi thường xuyên tình trạng lây nhiễm và thực hiện loại bỏ phần mềm độc hại khỏi hệ thống.
đ) Các quy trình quản lý an toàn hạ tầng kỹ thuật khác.
6. Điều kiện bảo đảm thực hiện nhiệm vụ an toàn thông tin:
a) Cán bộ, công chức, viên chức phải nắm vững các quy định của pháp luật và nội quy của cơ quan về an toàn thông tin.
b) Cán bộ kỹ thuật về an toàn thông tin phải được tuyển chọn, đào tạo, huấn luyện, thường xuyên bồi dưỡng nghiệp vụ phù hợp với nhiệm vụ được giao và được tạo điều kiện làm việc phù hợp.
c) Cơ quan nhà nước ưu tiên sử dụng lực lượng kỹ thuật về an toàn thông tin của mình; khi cần thiết có thể sử dụng dịch vụ của các tổ chức bảo đảm an toàn thông tin đủ năng lực được Nhà nước công nhận.
d) Hạ tầng kỹ thuật phải được kiểm tra định kỳ, đánh giá hoặc kiểm định về mặt an toàn thông tin phù hợp các tiêu chuẩn, quy chuẩn kỹ thuật quy định.

Các hành vi bị nghiêm cấm
Thực hiện theo quy định tại

Điều 12 Luật Công nghệ thông tin số 67/2006/QH11 ngày 29 tháng 6 năm 2006, cụ thể như sau:
1. Cản trở hoạt động hợp pháp hoặc hỗ trợ hoạt động bất hợp pháp về ứng dụng và phát triển công nghệ thông tin; cản trở bất hợp pháp hoạt động của hệ thống máy chủ tên miền quốc gia; phá hoại cơ sở hạ tầng thông tin, phá hoại thông tin trên môi trường mạng.
2. Cung cấp, trao đổi, truyền đưa, lưu trữ, sử dụng thông tin số nhằm mục đích sau đây:
a) Chống Nhà nước Cộng hoà xã hội chủ nghĩa Việt Nam, phá hoại khối đoàn kết toàn dân.
b) Kích động bạo lực, tuyên truyền chiến tranh xâm lược, gây hận thù giữa các dân tộc và nhân dân các nước, kích động dâm ô, đồi trụy, tội ác, tệ nạn xã hội, mê tín dị đoan, phá hoại thuần phong mỹ tục của dân tộc.
c) Tiết lộ bí mật nhà nước, bí mật quân sự, an ninh, kinh tế, đối ngoại và những bí mật khác đã được pháp luật quy định.
d) Xuyên tạc, vu khống, xúc phạm uy tín của tổ chức, danh dự, nhân phẩm, uy tín của công dân.
đ) Quảng cáo, tuyên truyền hàng hoá, dịch vụ thuộc danh mục cấm đã được pháp luật quy định.
3. Xâm phạm quyền sở hữu trí tuệ trong hoạt động công nghệ thông tin; sản xuất, lưu hành sản phẩm công nghệ thông tin trái pháp luật; giả mạo trang thông tin điện tử của tổ chức, cá nhân khác; tạo đường dẫn trái phép đối với tên miền của tổ chức, cá nhân sử dụng hợp pháp tên miền đó.

Quản lý an toàn hạ tầng mạng nội bộ
1. Sơ đồ hệ thống mạng của cơ quan phải bảo mật theo quy định. Các cơ quan có nhiều phòng, ban, đơn vị trực thuộc không nằm trong cùng một khu vực cần thiết lập mạng riêng ảo (Virtual Private Network - VPN) để đảm bảo an toàn thông tin cho mạng nội bộ.
2. Khi triển khai các ứng dụng và cung cấp dịch vụ qua mạng internet cơ quan cần tổ chức mô hình mạng 03 lớp gồm: Lớp trình diễn (Web Server), lớp ứng dụng (Web Application) và lớp cơ sở dữ liệu (Database Server). Trong trường hợp khó khăn, hạn chế nguồn lực xây dựng đầy đủ theo mô hình 03 lớp thì vẫn áp dụng tối thiểu mô hình 02 lớp với lớp cơ sở dữ liệu được tách biệt độc lập.
3. Trong một mô hình mạng cần phân biệt giữa các vùng mạng theo chức năng và thiết lập chính sách an toàn thông tin riêng cho từng vùng theo yêu cầu thực tế của cơ quan:
a) Vùng mạng Internet (hay Untrused Network): Vùng mạng ngoài.
b) Vùng mạng DMZ Network: Đặt các máy chủ cung cấp dịch vụ trực tiếp ra mạng internet như: Web Server, mail server, FTP Server,…
c) Vùng Server Network (hay Server Farm): Đặt các máy chủ không trực tiếp cung cấp dịch vụ ra internet.
d) Vùng mạng Private Network: Đặt các thiết bị mạng, máy trạm và các máy chủ thuộc mạng nội bộ của cơ quan.
4. Khi thiết lập mạng không dây để kết nối với mạng cục bộ thông qua các điểm truy nhập, cần thiết lập các tham số như: Tên, SSID, mật khẩu, mã hóa dữ liệu và thường xuyên thay đổi mật khẩu nhằm tăng cường công tác an toàn thông tin.
5. Triển khai các biện pháp phòng ngừa phù hợp với đặc thù và điều kiện của cơ quan như:
a) Lập chính sách quản lý phù hợp và thiết lập tường lửa (Firewall) để áp đặt các chính sách quản lý hỗ trợ phát hiện xâm nhập, bảo vệ hệ thống khi bị tấn công và hỗ trợ điều tra sự cố.
b) Sử dụng các thiết bị phát hiện/phòng, chống xâm nhập (IDS/IPS) và đặt ở các vị trí phù hợp nhằm phát hiện và ngăn chặn xâm nhập trái phép của tin tặc vào hệ thống.

Thiết lập và cấu hình hệ thống máy chủ an toàn
1. Đối với hệ thống cài đặt mới cần đảm bảo về khả năng hỗ trợ từ các bản phân phối (thông tin vá lỗi, thời gian cập nhật, nâng cấp, kênh hỗ trợ kỹ thuật); khả năng vận hành và sử dụng hệ thống của người quản trị.
2. Các dịch vụ hệ thống đang chạy phải thiết lập với tài khoản có quyền tối thiểu; vô hiệu hóa các dịch vụ và cổng không cần thiết.
3. Thực hiện quản lý chặt chẽ các tài khoản của hệ thống thông tin, bao gồm: Tạo mới, kích hoạt, sửa đổi, vô hiệu hóa và loại bỏ các tài khoản; đồng thời, tổ chức kiểm tra các tài khoản của hệ thống thông tin ít nhất 01 lần/01 năm và triển khai các công cụ tự động để hỗ trợ việc quản lý các tài khoản của hệ thống thông tin.
4. Quản lý đăng nhập hệ thống: Yêu cầu người dùng đặt mật khẩu với độ an toàn cao (có chữ thường, có chữ in hoa, có số và ký tự đặc biệt như: @,#,!...) và thường xuyên thay đổi mật khẩu. Hệ thống thông tin tại các cơ quan phải có cơ chế giới hạn một số hữu hạn lần đăng nhập sai liên tiếp (tối đa 03 lần), khi liên tục đăng nhập sai vượt quá số lần quy định thì hệ thống sẽ tự động khóa hoặc cô lập tài khoản trong một khoảng thời gian nhất định trước khi tiếp tục cho đăng nhập.
5. Theo dõi, và kiểm soát tất cả các phương pháp truy nhập từ xa (quay số, internet,…) tới hệ thống thông tin, bao gồm cả sự truy nhập có chức năng quản trị, tăng cường sử dụng mạng riêng ảo khi có nhu cầu làm việc từ xa.
6. Quản lý bản ghi nhật ký hệ thống: Hệ thống thông tin cần ghi nhận đầy đủ thông tin trong các bản ghi nhật ký (quá trình đăng nhập hệ thống, các thao tác cấu hình hệ thống, quá trình truy xuất hệ thống,…), lưu giữ nội dung nhật ký trong khoảng thời gian nhất định để phục vụ việc quản lý, kiểm soát hệ thống thông tin.
7. Chống mã độc, virus: Lựa chọn, triển khai các phần mềm chống virus, thư rác có hiệu quả trên các máy chủ, máy trạm, các thiết bị, phương tiện kỹ thuật trong mạng, các hệ thống thông tin quan trọng như: Cổng/Trang thông tin điện tử, thư điện tử, một cửa điện tử,…; đồng thời, thường xuyên cập nhật phiên bản mới, bản vá lỗi của các phần mềm chống virus nhằm kịp thời phát hiện, loại trừ mã độc máy tính (virus, trojan, worms,…).
a) Tổ chức quản lý tài nguyên: Kiểm tra, giám sát chức năng chia sẻ thông tin. Tổ chức cấp phát tài nguyên trên máy chủ theo danh mục thư mục cho từng phòng/ban; khuyến cáo người sử dụng cân nhắc việc chia sẽ tài nguyên cục bộ trên máy đang sử dụng, khi thực hiện việc chia sẽ tài nguyên cần phải sử dụng mật khẩu để bảo vệ thông tin.
b) Thiết lập cơ chế sao lưu và phục hồi hệ thống: Hệ thống thông tin phải có cơ chế sao lưu thông tin ở mức người dùng và mức hệ thống, được lưu trữ tại nơi an toàn; đồng thời, thường xuyên kiểm tra để đảm bảo tính sẵn sàng phục hồi và toàn vẹn thông tin.
c) Xử lý khẩn cấp: Khi phát hiện hệ thống máy chủ bị tấn công, thông qua các dấu hiệu như: Luồng tin tăng lên bất ngờ, nội dung trang chủ bị thay đổi, hệ thống hoạt động rất chậm khác thường,... cần thực hiện các bước cơ bản sau:
Bước 1: Ngắt kết nối máy chủ ra khỏi mạng;
Bước 2: Sao chép logfile và toàn bộ dữ liệu của hệ thống ra thiết bị lưu trữ (phục vụ cho công tác phân tích);
Bước 3: Khôi phục hệ thống bằng cách chuyển dữ liệu backup mới nhất để hệ thống hoạt động;
Bước 4: Thông báo cho cơ quan chức năng để được hướng dẫn, hỗ trợ.
d) Hệ thống thông tin tại các cơ quan có cơ chế ngăn chặn hoặc hạn chế các sự cố gây ra do tấn công từ chối dịch vụ (DoS, DDoS). Sử dụng các thiết bị đặt tại biên của mạng để lọc các gói tin nhằm bảo vệ các thiết bị bên trong, tránh bị ảnh hưởng trực tiếp bởi tấn công từ chối dịch vụ. Đối với hệ thống thông tin cho phép truy nhập công cộng có thể thực hiện bảo vệ bằng cách tăng dung lượng, băng thông hoặc thiết lập hệ thống dự phòng.

Xây dựng quy chế nội bộ đảm bảo an toàn thông tin
1. Các cơ quan quản lý hành chính nhà nước phải ban hành quy chế nội bộ, đảm bảo quy định các vấn đề sau:
a)

Xây dựng và áp dụng quy trình đảm bảo an toàn thông tin
1. Các cơ quan phải xây dựng và áp dụng quy trình đảm bảo an toàn cho hệ thống thông tin nhằm giảm thiểu các nguy cơ gây sự cố, tạo điều kiện cho việc khắc phục và truy vết trong trường hợp có sự cố xảy ra. Nội dung của quy trình chia làm các bước cơ bản như:
a) Lập kế hoạch bảo vệ an toàn thông tin cho hệ thống thông tin.
b) Xây dựng hệ thống bảo vệ an toàn thông tin.
c) Quản lý và vận hành hệ thống bảo vệ an toàn thông tin.
d) Kiểm tra đánh giá hoạt động hệ thống bảo vệ an toàn thông tin.
đ) Bảo trì và nâng cấp hệ thống bảo vệ an toàn thông tin.
2. Các cơ quan tham khảo các bước cơ bản để xây dựng khung quy trình đảm bảo an toàn thông tin cho hệ thống thông tin tại Phụ lục II kèm theo Quy chế này và tiêu chuẩn Quốc tế ISO 27001:2005.

Trách nhiệm của cán bộ chuyên trách
1. Chịu trách nhiệm trước lãnh đạo cơ quan trong công tác đảm bảo an toàn hệ thống thông tin của cơ quan.
2. Tham mưu lãnh đạo cơ quan ban hành các quy định, quy trình nội bộ, triển khai các giải pháp kỹ thuật đảm bảo an toàn thông tin cho hệ thống thông tin của cơ quan theo Quy chế này.
3. Phối hợp với các cá nhân có liên quan trong việc kiểm tra, phát hiện và khắc phục sự cố mất an toàn thông tin.

Trách nhiệm của Sở Thông tin và Truyền thông
1. Tham mưu Ủy ban nhân dân tỉnh về công tác đảm bảo an toàn thông tin trên địa bàn tỉnh và chịu trách nhiệm trước Ủy ban nhân dân tỉnh trong việc đảm bảo an toàn an ninh cho các hệ thống thông tin được giao quản lý.
2. Chủ trì, phối hợp với Công an tỉnh và các cơ quan có liên quan xây dựng kế hoạch và kiểm tra theo định kỳ hoặc đột xuất về an toàn thông tin; kịp thời phát hiện và xử lý theo quy định của pháp luật đối với các cơ quan, tổ chức, cá nhân có các dấu hiệu, hành vi vi phạm an toàn thông tin trên địa bàn tỉnh.
3. Hàng năm xây dựng và triển khai các chương trình đào tạo chuyên sâu về an toàn thông tin cho lực lượng đảm bảo an toàn thông tin của các cơ quan.
4. Lồng ghép nội dung công tác đảm bảo an toàn thông tin vào kế hoạch ứng dụng công nghệ thông tin hàng năm để triển khai thực hiện. Tổ chức hội nghị, hội thảo chuyên đề và tuyên truyền về an toàn thông tin trong công tác quản lý nhà nước trên địa bàn tỉnh.
5. Hỗ trợ các cơ quan khắc phục sự cố khi có yêu cầu; tùy theo mức độ sự cố phối hợp với Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT) và các cơ quan có liên quan hướng dẫn xử lý, ứng cứu các sự cố mất an toàn thông tin.
6. Hướng dẫn, giám sát các cơ quan trên địa bàn tỉnh xây dựng quy chế nội bộ và thực hiện việc đảm bảo an toàn cho hệ thống thông tin theo quy định của Nhà nước.
7. Tổng hợp và báo cáo tình hình an toàn thông tin theo định kỳ cho Bộ Thông tin và Truyền thông, Ủy ban nhân dân tỉnh và các cơ quan có liên quan.

Trách nhiệm của Công an tỉnh
1. Chủ trì, phối hợp với Sở Thông tin và Truyền thông, các cơ quan có liên quan trong công tác phòng ngừa, ngăn chặn, đấu tranh, xử lý các loại tội phạm lợi dụng hệ thống thông tin gây hại đến an toàn thông tin trong cơ quan nhà nước.
2. Kịp thời thông báo về các âm mưu, phương thức, thủ đoạn mới của các thế lực thù địch và các loại tội phạm trên lĩnh vực công nghệ thông tin.
3. Phối hợp với các cơ quan chức năng triển khai các biện pháp bảo vệ an toàn thông tin trên địa bàn tỉnh.
4. Điều tra, xử lý các trường hợp vi phạm pháp luật về an toàn thông tin theo thẩm quyền.
5. Thực hiện nhiệm vụ bảo vệ an toàn các công trình quan trọng về an ninh quốc gia trên lĩnh vực công nghệ thông tin.

Trách nhiệm của Sở Kế hoạch và Đầu tư, Sở Tài chính
Phối hợp Sở Thông tin và Truyền thông ưu tiên bố trí kinh phí thực hiện các nhiệm vụ đảm bảo an toàn thông tin trên địa bàn tỉnh.

Sửa đổi, bổ sung
Trong quá trình triển khai và tổ chức thực hiện, nếu có những vấn đề khó khăn, vướng mắc các cơ quan phản ánh kịp thời về Sở Thông tin và Truyền thông để tổng hợp, báo cáo Ủy ban nhân dân tỉnh xem xét điều chỉnh, bổ sung cho phù hợp./.