QUYẾT ĐỊNH Ban hành Quy chế Bảo đảm an toàn thông tin mạng trong hoạt động ứng dụng công nghệ thông tin của cơ quan nhà nước trên địa bàn tỉnh Bắc Kạn ỦY BAN NHÂN DÂN TỈNH BẮC KẠN

Điều 5 . Yêu cầu chung về quản lý an toàn thông tin mạng
1. Đối với cơ quan, đơn vị :
a) Thực hiện phân loại thông tin do đơn vị mình sở hữu theo thuộc tính bí mật để có biện pháp bảo vệ phù hợp theo quy định của pháp luật về bảo vệ bí mật nhà nước. Khi sử dụng thông tin đã phân loại và chưa phân loại trong hoạt động thuộc lĩnh vực của mình phải xây dựng quy định, thủ tục để xử lý thông tin, xác định nội dung và phương pháp ghi truy nhập được phép vào thông tin đã được phân loại.
b) Áp dụng các biện pháp quản lý và kỹ thuật phù hợp để ngăn chặn mất an toàn thông tin mạng xuất phát từ tần số, kho số, tên miền và địa chỉ Internet của mình. Phối hợp, cung cấp thông tin liên quan đến an toàn tài nguyên viễn thông theo yêu cầu của cơ quan nhà nước có thẩm quyền.
c) Tổ chức các biện pháp bảo vệ hệ thống thông tin, ngăn chặn xung đột thông tin trên mạng thuộc quyền quản lý và phối hợp chặt chẽ với cơ quan nghiệp vụ theo quy định của pháp luật để triển khai các biện pháp ngăn chặn xung đột thông tin trên mạng khi vượt quá thẩm quyền, khả năng.
d) Áp dụng các biện pháp quản lý và kỹ thuật phù hợp để ngăn chặn thông tin phá hoại xuất phát từ hệ thống thông tin của mình. Hợp tác với các cơ quan chức năng xác định nguồn, đẩy lùi, khắc phục hậu quả tấn công mạng được thực hiện thông qua hệ thống thông tin của tổ chức, cá nhân trong nước và nước ngoài.
đ) Xây dựng và công bố công khai biện pháp xử lý, bảo vệ thông tin cá nhân của cơ quan, đơn vị mình. Khi xử lý thông tin cá nhân phải có trách nhiệm bảo đảm an toàn thông tin mạng.
e) Phân công, bố trí cán bộ chuyên trách hoặc phụ trách về công nghệ thông tin, an toàn thông tin mạng phải có trình độ đào tạo hoặc được bồi dưỡng kiến thức, kỹ năng đáp ứng yêu cầu nhiệm vụ về an toàn thông tin.
g) Thường xuyên tuyên truyền, phổ biến, nâng cao nhận thức của cán bộ, công chức, viên chức, người lao động về trách nhiệm bảo đảm an toàn thông tin mạng. Khi tiếp nhận, tuyển dụng nhân sự mới phải quán triệt các quy định, quy chế, quy trình, thủ tục an toàn thông tin mạng. Khi nhân sự chuyển công tác, nghỉ việc, nghỉ theo chế độ phải tổ chức bàn giao, thu hồi tài khoản, quyền truy nhập và tất cả tài sản liên quan tới các hệ thống thông tin của cơ quan, đơn vị.
2. Đối với cán bộ, công chức, viên chức, người lao động:
a) Tự bảo vệ thông tin cá nhân của mình và tuân thủ quy định của pháp luật về cung cấp thông tin cá nhân khi sử dụng dịch vụ trên mạng, có trách nhiệm bảo đảm an toàn thông tin mạng đối với thông tin do mình xử lý.
b) Khi tham gia quản lý và khai thác mạng máy tính của cơ quan, đơn vị phải nghiêm chỉnh chấp hành chế độ an toàn, bảo mật thông tin mạng.
c) Tự quản lý, bảo quản thiết bị được giao sử dụng; không tự ý thay đổi, tháo lắp các thiết bị trên máy tính làm ảnh hưởng đến an toàn thông tin mạng; không được truy cập các trang thông tin điện tử không rõ về nội dung; không tải và cài đặt các phần mềm không rõ nguồn gốc, không liên quan đến công việc chuyên môn; không truy nhập vào các đường dẫn không rõ về nội dung; không thực hiện bất cứ hành vi nào gây tổn hại đến dịch vụ, gây hư hỏng thiết bị mạng; sử dụng mạng để thâm nhập vào các mạng máy tính khi chưa được phép.
d) Chỉ sử dụng tài khoản thư điện tử công vụ trong trao đổi công việc; không sử dụng các dịch vụ thư điện tửcông cộng để trao đổi thông tin liên quan đến công việc chuyên môn của cơ quan, đơn vị.
đ) Khi phát hiện nguy cơ mất an toàn thông tin mạng hoặc dấu hiệu sự cố an toàn thông tin mạng phải báo cáo kịp thời với cấp trên và bộ phận, cán bộ chuyên trách/phụ trách công nghệ thông tin, an toàn thông tin mạng để xem xét xử lý, khắc phục.

Điều 6 . Quản lý đăng nhập, truy nhập hệ thống thông tin
1. Đối với cơ quan, đơn vị chủ quản hệ thống thông tin:
a) Tổ chức cấp tài khoản truy nhập hệ thống thông tin phù hợp với mục đích, yêu cầu, nhiệm vụ quản trị, khai thác, sử dụng hệ thống; bảo đảm tài khoản của mỗi cơ quan, đơn vị, cá nhân đăng nhập, truy nhập vào hệ thống là duy nhất.
b) Các hệ thống thông tin cần giới hạn số lần đăng nhập sai liên tiếp vào hệ thống ( 05 lần ). Hệ thống tự động áp dụng thêm các biện pháp xác thực người dùng ( captcha, xác thực email, sử dụng mật khẩu 1 lần OTP ...) và cảnh báo đến quản trị hệ thống nếu liên tục đăng nhập sai vượt quá số lần quy định. Trước khi tiếp tục cho đăng nhập và có phương thức hỗ trợ cấp lại mật khẩu tài khoản.
c) Cơ quan, đơn vị quản lý, vận hành các hệ thống thông tin dùng chung sẽ không chịu trách nhiệm về những thiệt hại do phía người khai thác, sử dụng không tuân thủ các quy định về bảo vệ bí mật tài khoản dẫn đến thông tin cá nhân bị đánh cắp hay bị sửa đổi, các ứng dụng bị sử dụng mạo danh hay các hậu quả tiêu cực khác.
2. Đối với cá nhân được giao quản trị, khai thác hệ thống thông tin:
a) Thiết lập mật mã truy nhập và chế độ tự động bảo vệ màn hình sau 10 phút không sử dụng cho tất cả máy chủ, máy trạm trong hệ thống thông tin được giao quản lý.
b) Bảo vệ bí mật thông tin tài khoản của cá nhân hoặc tài khoản của cơ quan, đơn vị khi được phân công, đồng thời phải thay đổi ngay mật khẩu tài khoản khi mới được cấp và tự chịu trách nhiệm trong việc quản lý, bảo vệ mật khẩu của tài khoản. Không được cho người khác sử dụng tài khoản của cá nhân hoặc của cơ quan, đơn vị.
c) Thiết lập mật khẩu đăng nhập, truy nhập khai thác, sử dụng hệ thống thông tin có độ phức tạp cao (có độ dài từ 8 ký tự, có ký tự thường, ký tự hoa, ký tự số và ký tự đặc biệt như !, @, #, $, %).Mật khẩu đăng nhập phải được thiết lập có độ phức tạp cao, định kỳ 90 ngày thay đổi mật khẩu nhằm tăng cường công tác bảo mật.

Điều 7 . Phòng, chống phần mềm độc hại
1. Tất cả máy chủ, máy trạm của cơ quan, đơn vị phải được trang bị phần mềm diệt vi rút có bản quyền và đã được cơ quan chức năng khuyến cáo sử dụng.

Điều 8 . Sao lưu dữ liệu dự phòng
1. Cơ quan, đơn vị chủ quản hệ thống và cá nhân khai thác, sử dụng hệ thống thông tin thực hiện sao lưu dữ liệu dự phòng định kỳ đối với các dữ liệu quan trọng, tối thiểu mỗi tháng một lần; trường hợp cần thiết phải áp dụng kỹ thuật mã hóa, thiết lập mật mã, ứng dụng ký số chứng thực.
2. Việc sao lưu dữ liệu dự phòng phải bảo đảm tính đầy đủ, toàn vẹn, và tin cậy. Sau khi sao lưu phải tổ chức lưu trữ bản sao lưu bằng thiết bị lưu trữ ngoài phù hợp, bảo đảm tính bảo mật và sẵn sàng cho việc phục hồi dữ liệu khi cần thiết.

Điều 9 . Ứng cứu sự cố an toàn thông tin mạng
1. Phân loại mức độ sự cố an toàn thông tin mạng:
a) Sự cố mức độ trung bình: Sự cố ảnh hưởng đến một nhóm lớn người khai thác, sử dụng nhưng vẫn chưa gây gián đoạn hay đình trệ hoạt động chính của cơ quan, đơn vị như: Hệ thống mạng của 01 (một) phòng, ban, đơn vị thuộc cơ quan, đơn vị bị ngưng hoạt động; phần mềm độc hại lây nhiễm tất cả các máy tính trạm trong 01 (một) phòng, ban đơn vị thuộc cơ quan, đơn vị.
b) Sự cố mức độ cao: Sự cố làm cho thiết bị, phần mềm hay hệ thống không thể sử dụng được và gây ảnh hưởng đến một trong các hoạt động chính của cơ quan, đơn vị như: Ứng dụng quản lý văn bản và điều hành, hệ thống một cửa điện tử, hệ thống thông tin báo cáo của cơ quan, đơn vị bị ngưng hoạt động; một số thiết bị công nghệ thông tin quan trọng ( bộ chuyển mạch trung tâm, thiết bị định tuyến, thiết bị tường lửa, máy chủ quản lý tệp tin chung ) bị hư hỏng.
c) Sự cố có tính chất nghiêm trọng: Sự cố ảnh hưởng đến sự liên tục của nhiều hoạt động chính của cơ quan, đơn vị như toàn bộ hệ thống thiết bị công nghệ thông tin ngừng hoạt động; hệ thống trang thông tin điện tử bị tin tặc (hacker) tấn công, xâm nhập, thay đổi nội dung; hoặc sự cố có một hoặc nhiều tính chất sau: Có khả năng xảy ra trên diện rộng, lan nhanh; có khả năng phá hoại hệ thống mạng máy tính, lấy cắp dữ liệu; có thể gây thiệt hại lớn cho các hệ thống thông tin quan trọng của tỉnh như: Trung tâm tích hợp dữ liệu tỉnh, Cổng thông tin điện tử, Cổng dịch vụ công và hệ thống thông tin một cửa điện tử, hệ thống quản lý văn bản và điều hành, hệ thống thông tin báo cáo, hệ thống thư điện tử công vụ và các hệ thống thông tin, cơ sở dữ liệu chuyên ngành của các sở, ban, ngành, địa phương, đòi hỏi sự tham gia, điều phối ứng cứu sự cố của cáccơ quan, đơn vị trong tỉnh và sự hỗ trợ của các cơ quan, đơn vị chuyên trách về an toàn thông tin quốc gia để giải quyết.
2. Khi có nguy cơ mất an toàn thông tin mạng hoặc sự cố an toàn thông tin mạng xảy ra ở mức độ thấp thì cơ quan, đơn vị chỉ đạo bộ phận, cán bộ chuyên trách công nghệ thông tin, an toàn thông tin mạng phối hợp với cá nhân bị ảnh hưởng thực hiện tự ngăn chặn, xử lý, khắc phục hoặc liên hệ với đơn vị cung cấp sản phẩm, dịch vụ viễn thông, Internet, công nghệ thông tin, đơn vị triển khai ứng dụng phần mềm để được tư vấn, hỗ trợ ngăn chặn, xử lý, khắc phục.
3. Khi có nguy cơ mất an toàn thông tin mạng hoặc sự cố an toàn thông tin mạng xảy ra ở mức độ trung bình trở lên, hoặc gặp nguy cơ, sự cố thông thường mà cơ quan, đơn vị xét thấy không có khả năng tự ngăn chặn, xử lý được thì thực hiện thông báo hoặc báo cáo cho Đội ứng cứu sự cố mạng, máy tính của tỉnh để tổ chức điều phối, hỗ trợ ứng cứu.
4. Công chức, viên chức các đơn vị là thành viên Đội ứng cứu sự cố mạng, máy tính của tỉnh thực hiện nhiệm vụ theo quy chế hoạt động của Ủy ban nhân dân tỉnh ban hành và theo hướng dẫn tại Thông tư số 20/2017/TT-BTTTT ngày 12 tháng 9 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền thông quy định về điều phối, ứng cứu sự cố an toàn thông tin mạng trên toàn quốc.