QUYẾT ĐỊNH Ban hành quy chế bảo đảm an toàn thông tin trong hoạt động ứng dụng công nghệ thông tin của cơ quan nhà nước trên địa bàn Tỉnh Bắc Ninh ỦY BAN NHÂN DÂN TỈNH BẮC NINH

Ban hành kèm theo Quyết định này Quy chế bảo đảm an toàn thông tin trong hoạt động ứng dụng công nghệ thông tin của cơ quan nhà nước trên địa bàn tỉnh Bắc Ninh.

Quyết định này có hiệu lực thi hành sau 10 ngày kể từ ngày ký.

Chánh Văn phòng UBND tỉnh, Giám đốc các Sở, Ban, ngành; Công an tỉnh; Chủ tịch UBND các huyện, thị xã, thành phố; Chủ tịch UBND các xã, phường, thị trấn và Thủ trưởng các cơ quan, tổ chức, cá nhân liên quan chịu trách nhiệm thi hành Quyết định này./.
TM. ỦY BAN NHÂN DÂN
KT. CHỦ TỊCH
PHÓ CHỦ TỊCH
(Đã Ký)
Nguyễn Tiến Nhường
QUY CHẾ
Bảo đảm an toàn thông tin trong hoạt động ứng dụng công nghệ thông tin của cơ quan nhà nước trên địa bàn Tỉnh Bắc Ninh
(Ban hành kèm theo Quyết định số:456 /2014/QĐ-UBND ngày 24 tháng 10 năm 2014 của UBND tỉnh Bắc Ninh)

Phạm vi điều chỉnh
Quy chế này quy định về bảo đảm an toàn thông tin trong hoạt động ứng dụng công nghệ thông tin của cơ quan nhà nước trên địa bàn tỉnh Bắc Ninh.

Đối tượng áp dụng
Quy chế này áp dụng đối với các tổ chức, cá nhân sau:
1. Các sở, ban, ngành, Công an tỉnh, UBND các huyện, thị xã, thành phố và các đơn vị sự nghiệp trực thuộc; UBND các xã, phường, thị trấn (sau đây gọi tắt là cơ quan, đơn vị).
2. Cán bộ, công chức, viên chức đang làm việc trong các cơ quan, đơn vị nêu tại Khoản 1 Điều này.

Giải thích từ ngữ
Trong Quy chế này, các từ ngữ dưới đây được hiểu như sau:
1. An toàn thông tin là sự bảo vệ thông tin và hệ thống thông tin tránh bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép nhằm bảo đảm tính nguyên vẹn, tính bảo mật và tính khả dụng của thông tin.
2. Hệ thống thông tin là tập hợp thiết bị phần cứng, phần mềm và cơ sở dữ liệu được thiết lập phục vụ mục đích tạo lập, cung cấp, truyền đưa, thu thập, xử lý, lưu trữ và trao đổi thông tin.
3. Xâm phạm an toàn thông tin là hành vi truy nhập, sử dụng, tiết lộ, làm gián đoạn, sửa đổi, làm sai lệch chức năng, phá hoại trái phép thông tin và hệ thống thông tin.
4. Nguy cơ mất an toàn thông tin là những nhân tố bên trong hoặc bên ngoài có khả năng ảnh hưởng tới trạng thái an toàn thông tin.
5. Đánh giá rủi ro an toàn thông tin là việc xác định, phân tích nguy cơ mất an toàn thông tin có thể có và dự báo mức độ, phạm vi ảnh hưởng và khả năng gây thiệt hại khi xảy ra sự cố mất an toàn thông tin.
6. Quản lý rủi ro an toàn thông tin là việc thực hiện đánh giá rủi ro an toàn thông tin, xác định yêu cầu bảo vệ thông tin và hệ thống thông tin và áp dụng giải pháp phòng, chống, giảm thiểu thiệt hại khi có sự cố mất an toàn thông tin.
7. Mạng là khái niệm chỉ mạng viễn thông cố định, di động, Internet và mạng máy tính.
8.

Các hành vi bị nghiêm cấm
1. Ngăn chặn trái pháp luật việc truyền tải thông tin trên mạng; can thiệp, truy nhập, gây nguy hại, xóa, thay đổi, sửa chữa, sao chép, làm sai lệch trái phép thông tin trên mạng.
2. Cản trở trái pháp luật, gây ảnh hưởng tới sự hoạt động bình thường của hệ thống thông tin hoặc cản trở trái pháp luật, gây ảnh hưởng tới khả năng truy nhập hợp pháp của người sử dụng tới hệ thống thông tin.
3. Tấn công, vô hiệu hóa trái pháp luật làm mất tác dụng của biện pháp bảo vệ an toàn thông tin cho hệ thống thông tin; lợi dụng sơ hở, điểm yếu của hệ thống thông tin, tấn công, chiếm quyền điều khiển trái phép đối với hệ thống thông tin.
4. Phát tán thư rác, tin nhắn rác, phần mềm độc hại, thiết lập hệ thống thông tin giả mạo, lừa đảo.
5. Lợi dụng mạng để truyền bá thông tin, quan điểm, thực hiện các hành vi gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội, lợi ích quốc gia trên mạng; phá hại khối đại đoàn kết toàn dân; tuyên truyền chiến tranh xâm lược, khủng bố; gây hận thù, mâu thuẫn giữa các dân tộc, sắc tộc, tôn giáo và bài ngoại.
6. Lợi dụng mạng để truyền bá trái phép tài liệu, hình ảnh, âm thanh hoặc dạng thông tin khác nhằm kích động bạo lực, dâm ô, đồi trụy, tội ác, tệ nạn xã hội, mê tín dị đoan, phá hoại thuần phong, mỹ tục của dân tộc; bôi nhọ, gây thù hận, xâm hại tới quyền và lợi ích hợp pháp của tổ chức, cá nhân.
7. Các hành vi bị nghiêm cấm khác theo quy định của pháp luật.

Các biện pháp quản lý kỹ thuật cơ bản trong công tác bảo đảm an toàn thông tin
1. Tổ chức mô hình mạng: Cài đặt, cấu hình, tổ chức hệ thống mạng theo mô hình Máy khách/Máy chủ (Client/Server), hạn chế sử dụng mô hình mạng ngang hàng. Khi thiết lập các dịch vụ trên môi trường mạng Internet, chỉ cung cấp những chức năng cần thiết nhất để bảo đảm duy trì hoạt động của hệ thống thông tin; hạn chế sử dụng chức năng, cổng giao tiếp mạng, giao thức và các dịch vụ không cần thiết.
2. Quản lý hệ thống mạng: Quản lý chặt chẽ việc kết nối vào mạng cục bộ (LAN) để phòng ngừa, ngăn chặn truy cập trái phép hoặc lạm dụng quyền truy cập để gây mất an toàn thông tin. Khi thiết lập mạng không dây (Wireless LAN), cần thiết lập các thông số an toàn và định kỳ ít nhất 3 tháng thay đổi mật khẩu truy cập nhằm tăng cường công tác bảo mật.
3. Tổ chức quản lý tài khoản: Tiến hành rà soát ít nhất 6 tháng một lần các tài khoản và định danh người dùng trong hệ thống thông tin. Hủy tài khoản, quyền truy nhập hệ thống thông tin, thu hồi lại tất cả các tài sản liên quan tới hệ thống thông tin (khóa, thẻ nhận dạng, thư mục lưu trữ,…) đối với cán bộ, công chức, viên chức, người lao động không còn công tác hoặc không còn sử dụng.
4. Quản lý đăng nhập hệ thống: Các hệ thống thông tin cần giới hạn số lần đăng nhập vào hệ thống, tự động khóa tài khoản khi liên tục đăng nhập sai vượt quá số lần nhất định. Tổ chức theo dõi, giám sát tất cả các phương pháp đăng nhập từ xa, nhất là các trường hợp đăng nhập vào hệ thống với mục đích quản trị. Tăng cường việc sử dụng mạng riêng ảo (VPN - Virtual Private Network) khi có nhu cầu làm việc từ xa; yêu cầu người sử dụng đặt mật khẩu với độ an toàn cao.
5. Quản lý nhật ký sự kiện (logfile): Hệ thống thông tin cần ghi nhận các sự kiện: quá trình đăng nhập hệ thống, các thao tác cấu hình hệ thống, quá trình truy xuất hệ thống... Thường xuyên kiểm tra, sao lưu (backup) các nhật ký sự kiện theo từng tháng để theo dõi, xác định những sự kiện đã xảy ra của hệ thống và hạn chế việc tràn nhật ký sự kiện gây ảnh hưởng đến hoạt động của hệ thống.
6. Chống phần mềm độc hại: Triển khai các phần mềm chống mã độc trên các máy tính, thiết bị di động trong mạng để phát hiện, loại trừ phần mềm độc hại. Thường xuyên cập nhật các phiên bản mới, các bản vá lỗi của các phần mềm chống virus để bảo đảm chương trình quét virus của cơ quan trên các máy chủ, máy trạm luôn được cập nhật mới nhất; thiết lập chế độ quét thường xuyên ít nhất 1 lần/tuần. Thường xuyên cập nhật bản vá các lỗ hổng bảo mật của hệ điều hành và các phần mềm ứng dụng trên máy tính để hạn chế tối đa rủi ro mất an toàn thông tin.
7. Tổ chức quản lý tài nguyên: Kiểm tra, giám sát chức năng chia sẻ thông tin (Network File and Folder Sharing). Tổ chức cấp phát tài nguyên trên máy chủ theo danh mục thư mục cho từng phòng, đơn vị trực thuộc; khuyến cáo người sử dụng cân nhắc việc chia sẻ tài nguyên trên máy đang sử dụng, tuyệt đối không được chia sẻ toàn bộ ổ cứng. Khi thực hiện việc chia sẻ tài nguyên trên máy chủ hoặc trên máy cục bộ cần sử dụng mật khẩu để bảo vệ thông tin.
8. Bảo đảm an toàn cho Cổng/Trang thông tin điện tử: Thực hiện theo hướng dẫn tại công văn số 2132/BTTTT-VNCERT ngày 18 tháng 7 năm 2011 của Bộ Thông tin và Truyền thông về việc hướng dẫn đảm bảo an toàn thông tin cho các Cổng/Trang thông tin điện tử.
9. Thiết lập cơ chế sao lưu và phục hồi cho máy chủ, máy trạm: Máy chủ và máy trạm cần được thực hiện các biện pháp sao lưu dữ liệu, thông tin quan trọng nhằm phục vụ cho công tác phục hồi dữ liệu một cách nhanh nhất.
10. Xử lý khẩn cấp: Khi phát hiện hệ thống thông tin bị tấn công cần thực hiện các bước cơ bản sau:
a) Bước 1: Ngắt kết nối máy chủ ra khỏi mạng;
b) Bước 2: Sao chép nhật ký sự kiện và toàn bộ dữ liệu của hệ thống ra thiết bị lưu trữ (phục vụ cho hoạt động phân tích, điều tra);
c) Bước 3: Khôi phục hệ thống bằng cách chuyển dữ liệu sao lưu mới nhất để hệ thống hoạt động trở lại;
d) Bước 4: Thực hiện các công việc của khoản 3

Các biện pháp quản lý vận hành trong công tác bảo đảm an toàn thông tin.
1. Đối với các cơ quan, đơn vị: Ngoài việc thực hiện các biện pháp quản lý kỹ thuật quy định tại

Điều 5 Quy chế này, phải thực hiện các nội dung sau:
a) Phổ biến, hướng dẫn thực hiện các quy định về ứng dụng CNTT đã được UBND tỉnh Bắc Ninh ban hành;
b) Trang bị các kiến thức, kỹ năng về an toàn thông tin cho cán bộ, công chức, viên chức để vận hành, khai thác, sử dụng các hệ thống thông tin một cách an toàn;
c) Xác định và phân bổ kinh phí cần thiết cho các hoạt động liên quan đến việc bảo đảm an toàn thông tin;
2. Đối với cán bộ chuyên trách CNTT: Ngoài việc thực hiện các biện pháp quản lý kỹ thuật quy định tại

Điều 5 Quy chế này, phải thực hiện các nội dung sau:
a) Tham mưu cho lãnh đạo cơ quan, đơn vị về công tác bảo đảm an toàn thông tin; vận hành an toàn các hệ thống thông tin của cơ quan, đơn vị; triển khai các biện pháp bảo đảm an toàn thông tin cho tất cả cán bộ, công chức, viên chức trong cơ quan, đơn vị mình;
b) Nắm vững và thực hiện nghiêm túc các quy định về bảo vệ bí mật Nhà Nước. Thường xuyên tự cập nhật các kiến thức về an toàn thông tin, nguy cơ tiềm ẩn có thể gây mất thông tin và các biện pháp phòng tránh khi tiến hành các hoạt động quản lý hay kỹ thuật nghiệp vụ;
c) Thực hiện việc đánh giá, báo cáo các rủi ro gây mất an toàn thông tin và mức độ nghiêm trọng của các rủi ro đó. Các rủi ro gây mất an toàn thông tin có thể xảy ra do sự truy cập trái phép, sử dụng trái phép, mất, thay đổi hoặc phá hủy thông tin và hệ thống thông tin;
d) Phối hợp chặt chẽ với cơ quan Công an trong công tác phòng ngừa, đấu tranh, ngăn chặn các hoạt động xâm phạm an toàn thông tin.
3. Đối với cán bộ, công chức, viên chức:
a) Thường xuyên cập nhật, nghiêm túc chấp hành những chính sách, quy trình, thủ tục an toàn thông tin của đơn vị cũng như thực hiện những hướng dẫn về an toàn thông tin của cán bộ chuyên trách công nghệ thông tin;
b) Hạn chế việc sử dụng chức năng chia sẻ tài nguyên, khi sử dụng chức năng này cần bật thuộc tính bảo mật bằng mật khẩu và thực hiện việc thu hồi chức năng này khi đã sử dụng xong;
c) Các tài khoản đăng nhập hệ điều hành cần phải đặt mật khẩu an toàn, khi không sử dụng thì phải khóa tài khoản. Nếu không sử dụng máy tính trong thời gian quá 2 giờ cần tắt máy hoặc ngắt kết nối mạng để tránh bị các tin tặc lợi dụng, điều khiển máy tính từ xa;
d) Sử dụng chức năng mã hóa ở mức hệ điều hành để bảo đảm các dữ liệu nhạy cảm như tài khoản, mật khẩu, các tập tin quan trọng,... được mã hóa. Các tập tin đính kèm thư điện tử, tải xuống từ Internet hoặc sao chép từ thiết bị lưu trữ cần được kiểm tra để tránh lây nhiễm các phần mềm độc hại;
đ) Không sử dụng tên tài khoản công vụ làm tên tài khoản các mạng xã hội, các diễn đàn và các trang thông tin khác trên mạng Internet. Chỉ sử dụng thư điện tử công vụ trong các hoạt động công vụ;
e) Không cài đặt phần mềm không rõ nguồn gốc. Tuân thủ các quy định về bảo đảm an toàn sử dụng thư điện tử.

Xây dựng quy chế nội bộ về bảo đảm an toàn thông tin
1. Các cơ quan, đơn vị phải ban hành quy chế nội bộ về bảo đảm an toàn thông tin tùy theo điều kiện cụ thể, quy định rõ các vấn đề sau:
a)

Xây dựng và áp dụng quy trình bảo đảm an toàn thông tin
1. Các cơ quan, đơn vị phải xây dựng và áp dụng quy trình bảo đảm an toàn cho hệ thống thông tin nhằm giảm thiểu các nguy cơ gây ra sự cố, tạo điều kiện cho việc khắc phục và truy vết trong trường hợp có sự cố xảy ra.
Nội dung của quy trình bao gồm các bước cơ bản sau:
a) Lập kế hoạch bảo vệ an toàn cho hệ thống thông tin;
b) Xây dựng hệ thống bảo vệ an toàn thông tin;
c) Quản lý và vận hành hệ thống bảo vệ an toàn thông tin;
d) Kiểm tra đánh giá hoạt động của hệ thống bảo vệ an toàn thông tin;
đ) Bảo trì và nâng cấp hệ thống bảo vệ an toàn thông tin.
2. Sở Thông tin và Truyền thông hướng dẫn các cơ quan, đơn vị các bước cơ bản để xây dựng quy trình bảo đảm an toàn thông tin cho hệ thống thông tin.

Trách nhiệm của Sở Thông tin và Truyền thông
1. Tham mưu giúp UBND tỉnh về công tác bảo đảm an toàn thông tin trong hoạt động ứng dụng công nghệ thông tin của các cơ quan nhà nước tỉnh Bắc Ninh.
2. Hàng năm xây dựng kế hoạch, dự toán nguồn kinh phí để triển khai công tác bảo đảm an toàn thông tin cho các hệ thống thông tin được UBND tỉnh giao quản lý.
3. Chủ trì, phối hợp với các cơ quan liên quan thành lập đoàn kiểm tra an toàn thông tin định kỳ hàng năm hoặc kiểm tra đột xuất khi phát hiện có các dấu hiệu vi phạm an toàn thông tin.
4. Xây dựng và triển khai các chương trình đào tạo, tổ chức các hội nghị, hội thảo về an toàn thông tin nhằm phổ biến, cập nhật kiến thức về an toàn thông tin.
5. Khi có sự cố mất an toàn thông tin thì tùy theo mức độ sự cố, phối hợp Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT) và các đơn vị có liên quan hướng dẫn xử lý, ứng cứu; thực hiện đúng các yêu cầu điều phối ứng cứu sự cố và báo cáo, phản hồi đầy đủ kết quả thực hiện cho Trung tâm VNCERT; thực hiện nghĩa vụ thành viên mạng lưới ứng cứu sự cố mạng Internet.
6. Hướng dẫn, giám sát các đơn vị xây dựng quy chế, quy trình bảo đảm an toàn cho hệ thống thông tin theo quy định của Nhà nước; thông báo cho các cơ quan, đơn vị biết và có biện pháp phòng ngừa, ngăn chặn các nguy cơ mất an toàn thông tin.

Trách nhiệm của Công an tỉnh
1. Phối hợp với Sở Thông tin và Truyền thông thanh tra, kiểm tra công tác bảo đảm an toàn thông tin.
2. Thường xuyên thông báo cho các cơ quan, đơn vị về phương thức, thủ đoạn mới của các loại tội phạm xâm phạm an toàn, an ninh thông tin để có biện pháp phòng ngừa, đấu tranh, ngăn chặn.

Trách nhiệm của các cơ quan, đơn vị và người đứng đầu
1. Xác định và phân bổ kinh phí chi thường xuyên cho việc triển khai các biện pháp bảo đảm an toàn thông tin trong hoạt động ứng dụng CNTT của cơ quan, đơn vị.
2. Bố trí cán bộ chuyên trách công nghệ thông tin làm công tác bảo đảm an toàn thông tin tại cơ quan, đơn vị.
3. Xây dựng quy chế, quy trình nội bộ về bảo đảm an toàn thông tin theo quy định tại

Điều 7 và

Điều 8 và các quy định của pháp luật.
4. Khi có sự cố mất an toàn thông tin phải kịp thời chỉ đạo khắc phục ngay, ưu tiên sử dụng cán bộ kỹ thuật chuyên trách trong cơ quan, đơn vị và thông báo bằng văn bản cho Sở Thông tin và Truyền thông, cơ quan cấp trên quản lý trực tiếp để biết và phối hợp xử lý.
5. Phối hợp chặt chẽ với cơ quan Công an trong công tác phòng ngừa, đấu tranh, ngăn chặn các hoạt động xâm phạm an toàn thông tin. Tạo điều kiện thuận lợi cho các cơ quan chức năng tham gia khắc phục sự cố và thực hiện đúng theo hướng dẫn.
6. Báo cáo tình hình và kết quả thực hiện công tác bảo đảm an toàn thông tin tại cơ quan, đơn vị và gửi Sở Thông tin và Truyền thông khi có yêu cầu.

Trách nhiệm của cán bộ, công chức, viên chức
1. Nghiêm chỉnh chấp hành các quy chế nội bộ, quy trình về an toàn thông tin của cơ quan cũng như quy định khác của pháp luật, nâng cao ý thức cảnh giác và trách nhiệm bảo đảm an toàn thông tin tại đơn vị.
2. Khi phát hiện sự cố phải báo ngay với cơ quan cấp trên và bộ phận chuyên trách CNTT để kịp thời ngăn chặn, xử lý.

Khen thưởng và xử lý vi phạm
Hàng năm, Sở Thông tin và Truyền thông căn cứ kết quả kiểm tra, đánh giá, báo cáo công các bảo đảm an toàn thông tin của các cơ quan, đề xuất UBND tỉnh xem xét khen thưởng cho các cá nhân, đơn vị có nhiều thành tích trong công tác bảo đảm an toàn thông tin theo quy định hiện hành.
Tổ chức, cá nhân có hành vi vi phạm quy chế này thì tùy theo tính chất, mức độ vi phạm mà bị xử lý kỷ luật, xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự, nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.

Điều khoản thi hành
Sở Thông tin và Truyền thông chủ trì, phối hợp với các Sở, Ban, Ngành, UBND các huyện, thị xã, thành phố và các cơ quan có liên quan triển khai thực hiện Quy chế này.
Trong quá trình thực hiện nếu có phát sinh khó khăn, vướng mắc cần sửa đổi, bổ sung các cơ quan, đơn vị kịp thời báo cáo về Sở Thông tin và Truyền thông tổng hợp trình UBND tỉnh xem xét, giải quyết./.