QUYẾT ĐỊNH

VỀ VIỆC BAN HÀNH QUY CHẾ BẢO ĐẢM AN TOÀN, AN NINH THÔNG TIN MẠNG TỔNG CỤC HẢI QUAN

TỔNG CỤC TRƯỞNG TỔNG CỤC HẢI QUAN

Căn cứ Luật An ninh mạng ngày 12 tháng 06 năm 2018;

Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;

Căn cứ Quyết định số 65/2015/QĐ-TTg ngày 17/12/2015 của Thủ tướng Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Tổng cục Hải quan trực thuộc Bộ Tài chính;

Căn cứ Quyết định số 1622/QĐ-TTg ngày 25 tháng 10 năm 2017 của Thủ tướng Chính phủ về việc phê duyệt Đề án đẩy mạnh hoạt động của mạng lưới ứng cứu sự cố, tăng cường năng lực cho cán bộ, bộ phận chuyên trách ứng cứu sự cố an toàn thông tin mạng trên toàn quốc đến 2020, định hướng đến 2025;

Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;

Căn cứ Thông tư số 31/2017/TT-BTTTT ngày 15 tháng 11 năm 2017 của Bộ Thông tin và Truyền thông quy định hoạt động giám sát an toàn hệ thống thông tin;

Căn cứ Quyết định 201/QĐ-BTC ngày 12/02/2018 của Bộ trưởng Bộ Tài chính ban hành Quy chế An toàn thông tin mạng Bộ Tài chính;

Căn cứ Quyết định 2323/QĐ-BTTTT ngày 31/12/2019 của Bộ trưởng Bộ Thông tin và Truyền thông ban hành Khung Kiến trúc Chính phủ điện tử Việt Nam, phiên bản 2.0;

Xét đề nghị của Cục trưởng Cục Công nghệ thông tin và Thống kê Hải quan,

QUYẾT ĐỊNH:

Điều 2. Quyết định này có hiệu lực từ ngày ký, thay thế Quyết định số 2926/QĐ-TCHQ ngày 06/10/2014 của Tổng cục trưởng Tổng cục Hải quan về việc “Ban hành quy chế bảo đảm an ninh, an toàn hệ thống Công nghệ thông tin Hải quan”.

QUY CHẾ

BẢO ĐẢM AN TOÀN, AN NINH THÔNG TIN MẠNG TỔNG CỤC HẢI QUAN
(Ban hành kèm Quyết định số 1048/QĐ-TCHQ ngày 14 tháng 4 năm 2020 của Tổng cục trưởng Tổng cục Hải quan)

QUY ĐỊNH CHUNG

1. Phạm vi điều chỉnh: Quy chế này quy định về bảo đảm an toàn, an ninh thông tin mạng trong các hoạt động của Tổng cục Hải quan và các đơn vị thuộc và trực thuộc Tổng cục Hải quan.

a) Các đơn vị thuộc và trực thuộc Tổng cục Hải quan.

c) Cơ quan, tổ chức, cá nhân có kết nối vào hệ thống mạng của Tổng cục Hải quan.

Điều 2. Giải thích từ ngữ

1. An toàn thông tin mạng là sự bảo vệ thông tin số và các hệ thống thông tin trên mạng tránh bị truy cập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép nhằm bảo đảm tính nguyên vẹn, tính bảo mật và tính khả dụng của thông tin.

3. Hạ tầng kỹ thuật là tập hợp các thiết bị tính toán, lưu trữ, thiết bị ngoại vi, thiết bị kết nối mạng, thiết bị phụ trợ, đường truyền, mạng nội bộ, mạng diện rộng;

5. Cổng thông tin điện tử là điểm truy cập duy nhất của cơ quan, đơn vị trên môi trường mạng, liên kết, tích hợp các kênh thông tin, các dịch vụ và các ứng dụng mà qua đó người dùng có thể khai thác, sử dụng và cá nhân hóa việc hiển thị thông tin;

7. Mạng LAN là hệ thống mạng nội bộ bao gồm mạng dây và mạng không dây;

9. Dữ liệu nhạy cảm là dữ liệu có thông tin mật, thông tin lưu hành nội bộ của đơn vị hoặc do đơn vị quản lý, nếu lộ lọt ra ngoài sẽ gây ảnh hưởng xấu đến danh tiếng, tài chính và hoạt động của đơn vị;

11. Người quản trị là cán bộ, công chức, viên chức, người lao động được giao nhiệm vụ quản trị, vận hành hệ thống CNTT (bao gồm trang thiết bị phần cứng, phần mềm hệ thống, phần mềm ứng dụng, cơ sở dữ liệu, hệ thống mạng, hệ thống an toàn bảo mật,...);

13. An toàn, an ninh thông tin mạng: An toàn thông tin mạng và an ninh thông tin mạng;

15. Cục CNTT&TK Hải quan: Cục Công nghệ thông tin & Thống kê Hải quan;

Điều 3. Nguyên tắc bảo đảm an toàn, an ninh thông tin mạng

Điều 4 Luật An toàn thông tin mạng và Điều 4 Nghị định số 85/2016/NĐ-CP.

3. Cán bộ, công chức, viên chức và người lao động trong ngành Hải quan có trách nhiệm bảo đảm an toàn, an ninh thông tin mạng trong phạm vi xử lý công việc của mình theo quy định của Nhà nước và của ngành Hải quan.

5. Xử lý sự cố an toàn thông tin mạng phải phù hợp với trách nhiệm, quyền hạn và bảo đảm lợi ích hợp pháp của cơ quan, đơn vị, cá nhân liên quan và theo quy định của pháp luật.

1. Các hành vi bị nghiêm cấm quy định tại Điều 7 Luật An toàn thông tin mạng.

3. Tự ý thay đổi, gỡ bỏ biện pháp an toàn thông tin cài đặt trên thiết bị công nghệ thông tin phục vụ công việc; tự ý thay thế, lắp mới, tráo đổi thành phần của máy tính phục vụ công việc.

5. Cản trở hoạt động cung cấp dịch vụ của hệ thống thông tin; ngăn chặn việc truy cập đến thông tin của cơ quan, cá nhân khác trên môi trường mạng, trừ trường hợp pháp luật cho phép.

7. Các hành vi khác làm mất an toàn, bí mật thông tin của cơ quan, cá nhân khác được trao đổi, truyền đưa, lưu trữ trên môi trường mạng.

QUY ĐỊNH BẢO ĐẢM AN TOÀN, AN NINH THÔNG TIN

1. Việc xác định cấp độ hệ thống thông tin và xây dựng phương án bảo vệ hệ thống thông tin theo cấp độ phục vụ mục đích đánh giá an toàn thông tin và bảo đảm an toàn thông tin cho các hệ thống thông tin. Nguyên tắc bảo đảm an toàn thông tin theo cấp độ và nguyên tắc xác định cấp độ căn cứ trên các nguyên tắc quy định tại Điều 4, Điều 5 Nghị định 85/2016/NĐ-CP.

a) Tổng cục Hải quan là chủ quản hệ thống thông tin đối với các hệ thống do Tổng cục Hải quan quyết định đầu tư dự án xây dựng, thiết lập, nâng cấp, mở rộng hệ thống thông tin; là chủ quản hệ thống thông tin do Tổng cục Hải quan phê duyệt đề cương, dự toán chi tiết; quản lý trực tiếp các hệ thống do Bộ Tài chính ủy quyền theo quy định tại điểm a, khoản 1, Điều 5 Quyết định 201/QĐ-BTC.

khoản 3 Điều 5 Thông tư số 03/2017/TT-BTTTT.

c) Chủ quản hệ thống thông tin (hoặc đơn vị được ủy quyền quản lý trực tiếp hệ thống thông tin) thực hiện trách nhiệm theo quy định tại Điều 20 Nghị định 85/2016/NĐ-CP.

a) Cục CNTT&TK Hải quan là đơn vị vận hành các hệ thống thông tin Tổng cục Hải quan làm chủ quản và các hệ thống thông tin được triển khai tập trung tại Trung tâm quản lý vận hành Hệ thống CNTT Hải quan do các Cục thuộc Tổng cục Hải quan làm chủ quản.

c) Các hệ thống thông tin trước khi đưa vào khai thác, sử dụng phải được giao cho đơn vị quản lý, vận hành. Đơn vị vận hành hệ thống thông tin thực hiện trách nhiệm theo quy định tại khoản 2, 3, 4, 5 Điều 22 Nghị định 85/2016/NĐ-CP và Điều 6 Thông tư số 03/2017/TT-BTTTT.

a) Cục CNTT&TK Hải quan là đơn vị chuyên trách về an toàn thông tin của Tổng cục Hải quan và các đơn vị thuộc Tổng cục Hải quan.

c) Đơn vị chuyên trách về an toàn thông tin thực hiện trách nhiệm theo quy định tại khoản 1 Điều 21 Nghị định 85/2016/NĐ-CP.

a) Đơn vị lập hồ sơ đề xuất cấp độ: Đối với các hệ thống thông tin thuộc các nhiệm vụ, dự án đang trong giai đoạn lập dự án, đơn vị lập dự án lập hồ sơ đề xuất cấp độ; Đối với các hệ thống thông tin thuê dịch vụ, đơn vị chủ trì thuê dịch vụ lập hồ sơ đề xuất cấp độ; Đối với các hệ thống thông tin đang trong giai đoạn triển khai, đơn vị chủ trì triển khai lập hồ sơ đề xuất cấp độ; Đối với các hệ thống thông tin đang vận hành, đơn vị vận hành lập hồ sơ đề xuất cấp độ.

- Đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin thực hiện thẩm định, phê duyệt hồ sơ đề xuất cấp độ đối với hệ thống thông tin được đề xuất là cấp độ 1 hoặc cấp độ 2.

- Đối với các hệ thống thông tin được đề xuất cấp độ 4, 5: Việc đề xuất cấp độ, thẩm định, phê duyệt cấp độ thực hiện theo quy định tại khoản 2 Điều 6 của Quyết định 201/QĐ-BTC.

Thực hiện theo quy định tại Điều 7 của Quyết định 201/QĐ-BTC.

Thực hiện theo quy định tại Điều 8 của Quyết định 201/QĐ-BTC.

Thực hiện theo quy định tại Điều 9, 10 của Quyết định 201/QĐ-BTC.

Khi thực hiện nâng cấp, mở rộng, thay thế một phần hệ thống thông tin, phải rà soát cấp độ, phương án bảo đảm an toàn hệ thống thông tin của hệ thống thông tin và thực hiện điều chỉnh, bổ sung hoặc thay mới hồ sơ đề xuất cấp độ trong trường hợp cần thiết.

- Chủ quản hệ thống thông tin hoặc đơn vị được ủy quyền quản lý trực tiếp hệ thống thông tin tổ chức triển khai phương án bảo đảm an toàn hệ thống thông tin sau khi hồ sơ đề xuất cấp độ hoặc phương án bảo đảm an toàn hệ thống thông tin được phê duyệt.

Điều 6. Quản lý tài sản công nghệ thông tin

a) Tài sản phần cứng (vật lý): là các trang thiết bị phần cứng công nghệ thông tin, phương tiện truyền thông và các trang thiết bị phục vụ cho hoạt động của hệ thống thông tin;

c) Tài sản thông tin: các thông tin, dữ liệu ở dạng số hóa.

a) Giao, gắn trách nhiệm cho cá nhân hoặc tập thể quản lý, sử dụng tài sản công nghệ thông tin.

c) Tài sản phần cứng có lưu trữ dữ liệu nhạy cảm khi thay đổi mục đích sử dụng hoặc thanh lý, đơn vị phải thực hiện các biện pháp xóa, tiêu hủy dữ liệu đó đảm bảo không có khả năng phục hồi. Trường hợp không thể tiêu hủy được dữ liệu, đơn vị phải thực hiện tiêu hủy cấu phần lưu trữ dữ liệu trên trang thiết bị công nghệ thông tin đó.

đ) Các đơn vị có trách nhiệm bảo dưỡng, bảo trì và hướng dẫn cách sử dụng, quản lý, vận hành hệ thống hạ tầng kỹ thuật của mình; chỉ định bộ phận chuyên trách về công nghệ thông tin thực hiện quản lý, vận hành và định kỳ kiểm tra, sửa chữa, bảo trì thiết bị (bao gồm thiết bị đang hoạt động và thiết bị dự phòng).

1. Phân công nhiệm vụ:

b) Đảm bảo người được phân công làm việc tại các vị trí có tiếp xúc với thông tin, dữ liệu nhạy cảm phải qua bước đánh giá, thẩm tra nhân thân và lý lịch tư pháp.

2. Sử dụng nguồn nhân lực:

a) Sau khi tuyển dụng, tiếp nhận nhân sự mới, đơn vị phải có trách nhiệm phổ biến cho nhân sự mới các quy định về bảo đảm an toàn, an ninh thông tin tại đơn vị; đối với các vị trí tiếp xúc, quản lý các thông tin, dữ liệu quan trọng hoặc quản trị các hệ thống thông tin quan trọng, đơn vị phải yêu cầu nhân sự mới cam kết bảo mật thông tin bằng văn bản hoặc cam kết trong hợp đồng làm việc, hợp đồng lao động.

c) Thường xuyên rà soát, kiểm tra quyền truy cập vào các hệ thống thông tin đối với tất cả cán bộ, công chức, viên chức và người lao động đảm bảo quyền truy cập phù hợp với nhiệm vụ được giao.

đ) Thực hiện đúng quy trình cấp mới, quản lý và thu hồi tài khoản, phân quyền truy cập các hệ thống thông tin và tất cả các tài sản liên quan đến hệ thống thông tin đối với các cá nhân do đơn vị quản lý.

Khi cán bộ, công chức, viên chức và người lao động chấm dứt hoặc thay đổi công việc, cơ quan, đơn vị phải:

b) Lập biên bản bàn giao tài sản công nghệ thông tin.

d) Rà soát, kiểm tra đối chiếu định kỳ giữa bộ phận quản lý nhân sự và bộ phận quản lý cấp phát, thu hồi quyền truy cập hệ thống thông tin để đảm bảo tài khoản người dùng của cán bộ, công chức, viên chức và người lao động đã nghỉ việc được thu hồi.

1. Các thiết bị kết nối mạng, thiết bị bảo mật quan trọng như tường lửa (firewall), thiết bị định tuyến (router), hệ thống máy chủ, hệ thống lưu trữ SAN, NAS,... phải được đặt trong trung tâm dữ liệu/phòng máy chủ và phải được thiết lập cơ chế bảo vệ, theo dõi phát hiện xâm nhập và biện pháp kiểm soát truy cập, kết nối vật lý phù hợp với từng khu vực: máy chủ và hệ thống lưu trữ; tủ mạng và đầu nối; thiết bị nguồn điện và dự phòng điện khẩn cấp; vận hành, kiểm soát, quản trị hệ thống. Đơn vị chủ quản trung tâm dữ liệu/phòng máy chủ có trách nhiệm xây dựng nội quy hoặc hướng dẫn làm việc khu vực này.

3. Tiêu chuẩn kỹ thuật của Trung tâm dữ liệu/ phòng máy chủ: tuân thủ Tiêu chuẩn hạ tầng kỹ thuật phòng máy chủ ngành Hải quan tại Quyết định số 1727/QĐ-TCHQ ngày 18/6/2019.

1. Hệ thống mạng nội bộ (LAN):

b) Dữ liệu trao đổi giữa các vùng mạng phải được quản lý, giám sát bởi hệ thống các thiết bị mạng, thiết bị bảo mật.

d) Ngắt kết nối (shutdown hoặc disable) cổng mạng không sử dụng.

e) Không được tiết lộ thiết kế, thông số cấu hình hệ thống mạng LAN cho tổ chức, cá nhân khác khi không được phép.

2. Hệ thống mạng diện rộng (WAN):

b) Các đơn vị Hải quan sử dụng hệ thống mạng WAN của ngành Hải quan và ngành Tài chính có trách nhiệm bảo đảm an toàn thông tin đối với hệ thống mạng nội bộ và các thiết bị của mình khi thực hiện kết nối vào mạng WAN; Thông báo sự cố hoặc các hành vi phá hoại, xâm nhập về Cục CNTT&TK Hải quan để xử lý.

d) Không được tiết lộ thông số cấu hình hệ thống mạng WAN cho tổ chức, cá nhân khác.

3. Kết nối Internet:

- Cung cấp thông tin; cung cấp dịch vụ công trực tuyến, các dịch vụ trong phạm vi quy định của pháp luật.

- Cung cấp cổng truy cập ứng dụng nội bộ cho người dùng từ Internet.

b) Cán bộ, công chức, viên chức và người lao động các đơn vị được truy cập Internet tại cơ quan cho các mục đích: Cập nhật thông tin tình hình kinh tế, chính trị, xã hội của Việt Nam và thế giới; Tra cứu văn bản quy phạm pháp luật và các tài liệu, thông tin tham khảo phục vụ công việc; Sử dụng các dịch vụ hành chính công; Giao dịch với các cơ quan, tổ chức liên quan tới công việc được giao; Nghiên cứu, học tập nâng cao trình độ.

- Các đơn vị phải áp dụng các biện pháp kỹ thuật cần thiết bảo đảm an toàn thông tin trong hoạt động kết nối Internet, tối thiểu đáp ứng các yêu cầu sau: có hệ thống tường lửa và hệ thống bảo vệ truy cập Internet, đáp ứng nhu cầu kết nối đồng thời, hỗ trợ các công nghệ mạng riêng ảo thông dụng và có phần cứng mã hóa tích hợp để tăng tốc độ mã hóa dữ liệu và có khả năng bảo vệ hệ thống trước các loại tấn công từ chối dịch vụ (DDoS); Lọc bỏ, không cho phép truy cập các trang tin có nghi ngờ chứa mã độc hoặc các nội dung không phù hợp.

d) Không kết nối Internet cho các trường hợp sau:

- Máy tính xử lý thông tin trên hệ thống thông tin cấp độ 4 trở lên;

- Toàn bộ máy chủ và thiết bị công nghệ thông tin không phải máy tính ngoại trừ các hệ thống bắt buộc phải có giao tiếp với Internet (các hệ thống phục vụ truy cập Internet; cung cấp giao diện ra Internet của trang tin điện tử, dịch vụ công, thư điện tử; phục vụ cập nhật bản vá hệ điều hành, mẫu mã độc, mẫu điểm yếu, mẫu tấn công).

e) Mạng riêng hoặc mạng không dây chỉ phục vụ truy cập Internet phải được cách ly với mạng làm việc (từ vùng mạng riêng hoặc mạng không dây này không truy cập được vào vùng mạng làm việc).

Điều 10. Bảo đảm an toàn thông tin khi sử dụng máy tính

2. Không tự tiện thay đổi cấu hình, phần cứng của máy tính cá nhân. Cán bộ, công chức, viên chức và người lao động chỉ cài đặt phần mềm hợp lệ và thuộc danh mục phần mềm được phép sử dụng do cơ quan có thẩm quyền ban hành trên máy tính được đơn vị cấp cho mình; không được tự ý cài đặt hoặc gỡ bỏ các phần mềm khi chưa có sự đồng ý của bộ phận chuyên trách về công nghệ thông tin; thường xuyên cập nhật phần mềm và hệ điều hành.

4. Chỉ truy cập vào các trang/cổng thông tin điện tử, ứng dụng trực tuyến tin cậy và các thông tin phù hợp với chức năng, trách nhiệm, quyền hạn của mình; có trách nhiệm bảo mật tài khoản truy cập thông tin, không chia sẻ mật khẩu, thông tin cá nhân với người khác.

6. Việc sử dụng thiết bị lưu trữ di động như ổ cứng di động, ổ USB, ...:

- Thực hiện các biện pháp bảo đảm an ninh, an toàn cho thiết bị lưu trữ di động như quét mã độc định kỳ, mã hóa dữ liệu.

Điều 11. Quản lý tài khoản truy cập

a) Mỗi người dùng khi sử dụng hệ thống thông tin phải được cấp và sử dụng tài khoản truy cập với định danh duy nhất gắn với người dùng đó. Trường hợp sử dụng tài khoản dùng chung cho một nhóm người hay một đơn vị phải có cơ chế xác định các cá nhân có trách nhiệm quản lý tài khoản.

c) Trường hợp người dùng thay đổi vị trí công tác, chuyển công tác, thôi việc hoặc nghỉ hưu phải thông báo kịp thời cho bộ phận quản lý tài khoản công nghệ thông tin để thực hiện điều chỉnh, thu hồi, hủy bỏ các quyền sử dụng của người dùng đối với hệ thống mạng, ứng dụng. Quy định cụ thể như sau:

- Tài khoản công nghệ thông tin phải được điều chỉnh, thu hồi, hủy bỏ trong thời gian không quá 03 ngày làm việc tính từ ngày người dùng chính thức chuyển công tác ra khỏi ngành Hải quan, thôi việc, nghỉ hưu; không quá 05 ngày làm việc trong trường hợp thay đổi vị trí công tác trong nội bộ đơn vị hoặc chuyển công tác tới đơn vị khác thuộc ngành Hải quan.

2. Tài khoản quản trị hệ thống:

b) Trường hợp cần thiết để đảm bảo an toàn, an ninh cho hệ thống, phải triển khai hệ thống quản lý tài khoản đặc quyền để thực hiện quản lý, lưu giữ, cấp phát tài khoản quản trị hệ thống.

a) Mật khẩu tài khoản công nghệ thông tin dùng để truy cập hoặc sử dụng hoặc quản trị hệ thống thông tin; truy cập thiết bị lưu khóa bí mật phải:

- Gồm tối thiểu 3 trong 4 loại ký tự sau: chữ cái viết hoa (A - Z); chữ cái viết thường (a - z); chữ số (0 - 9); các ký tự khác trên bàn phím máy tính (' ~ ! @ # $ % ^ & *() _ - + = { } [ ] \ I : ; ” ’ , . ? /) và dấu cách.

b) Mật khẩu phải được đổi ngay sau khi nhận bàn giao từ người khác hoặc có thông báo về sự cố an toàn thông tin, điểm yếu liên quan đến khả năng lộ mật khẩu; mật khẩu phải được đổi tối thiểu 03 tháng một lần đối với tài khoản của người dùng và 02 tháng một lần đối với tài khoản quản trị hệ thống.

4. Khi có yêu cầu khóa quyền truy cập hệ thống thông tin của tài khoản đang hoạt động, lãnh đạo đơn vị Hải quan (Cục Hải quan và tương đương, Chi cục Hải quan và tương đương) đang quản lý người dùng có tài khoản cần khóa phải yêu cầu bằng văn bản gửi đơn vị chủ quản hệ thống thông tin. Đơn vị vận hành hệ thống thông tin thực hiện việc khóa quyền truy cập của tài khoản khi có chỉ đạo của đơn vị chủ quản hệ thống thông tin. Đơn vị chủ quản hệ thống thông tin có quyền khóa quyền truy cập của tài khoản trong trường hợp tài khoản đó thực hiện các hành vi tấn công hoặc để xảy ra vấn đề mất an toàn, an ninh thông tin.

Điều 12. Quản lý an toàn thông tin mức ứng dụng

2. Phần mềm, ứng dụng phải đáp ứng các yêu cầu sau: cấu hình phần mềm, ứng dụng để xác thực người dùng; giới hạn số lần đăng nhập sai liên tiếp; giới hạn thời gian để chờ đóng phiên kết nối; mã hóa thông tin xác thực trên hệ thống; không khuyến khích việc đăng nhập tự động.

4. Chỉ cho phép sử dụng các giao thức mạng có hỗ trợ chức năng mã hóa thông tin như SSH, SSL, VPN hoặc tương đương khi truy cập, quản trị phần mềm, ứng dụng từ xa trên môi trường mạng; hạn chế truy cập đến mã nguồn của phần mềm, ứng dụng và phải đặt mã nguồn trong môi trường an toàn do bộ phận chuyên trách công nghệ thông tin quản lý.

6. Phần mềm, ứng dụng cần được kiểm tra phát hiện và khắc phục các điểm yếu về an toàn, an ninh thông tin trước khi đưa vào sử dụng và trong quá trình sử dụng.

Điều 13. Quản lý an toàn thông tin mức dữ liệu

2. Chủ quản hệ thống thông tin hoặc đơn vị được ủy quyền quản lý trực tiếp hệ thống thông tin triển khai hệ thống/phương tiện lưu trữ độc lập với hệ thống lưu trữ trên các máy chủ dịch vụ để sao lưu dự phòng; phân loại và quản lý thông tin, dữ liệu được lưu trữ theo từng loại/nhóm thông tin được gán nhãn khác nhau; thực hiện sao lưu dự phòng các thông tin, dữ liệu cơ bản sau: tập tin cấu hình hệ thống, ảnh hệ điều hành máy chủ, cơ sở dữ liệu; dữ liệu, thông tin nghiệp vụ.

4. Các đơn vị thuộc và trực thuộc Tổng cục Hải quan phải thường xuyên kiểm tra, giám sát các hoạt động chia sẻ, gửi, nhận thông tin, dữ liệu trong hoạt động nội bộ của mình; khuyến cáo việc chia sẻ, gửi, nhận thông tin trên môi trường mạng cần phải sử dụng mật khẩu để bảo vệ thông tin.

Điều 14. Phòng chống mã độc

a) Cục CNTT&TK Hải quan:

- Chịu trách nhiệm chính trong việc triển khai cài đặt, giám sát phòng chống mã độc, xử lý các sự cố liên quan đến mã độc hại tại Trung tâm dữ liệu (Trung tâm quản lý vận hành hệ thống CNTT Hải quan), Trung tâm dữ liệu dự phòng Tổng cục Hải quan và các đơn vị thuộc Tổng cục Hải quan.

b) Các Cục Hải quan tỉnh, thành phố:

- Chủ trì triển khai cài đặt, giám sát phòng chống mã độc tại đơn vị mình.

- Tổ chức xử lý các sự cố liên quan đến mã độc hại tại đơn vị mình.

3. Cập nhập thường xuyên về các loại mã độc hại mới, triển khai các hành động phòng ngừa tại đơn vị khi có các nguy cơ về các loại mã độc này.

5. Xây dựng các kế hoạch phục hồi đối với từng hệ thống CNTT trong trường hợp xảy ra các sự cố về mã độc máy tính.

7. Thống kê, thông báo các sự cố liên quan đến mã độc máy tính trong cơ quan, đơn vị mình theo các kỳ báo cáo.

Chủ quản hệ thống thông tin hoặc đơn vị được ủy quyền quản lý trực tiếp hệ thống thông tin thực hiện quản lý sao lưu dự phòng bảo đảm an toàn dữ liệu như sau:

2. Dữ liệu của các hệ thống thông tin từ mức độ 2 trở lên phải có phương án tự động sao lưu phù hợp với tần suất thay đổi của dữ liệu và bảo đảm nguyên tắc dữ liệu phát sinh phải được sao lưu trong vòng 24 giờ. Dữ liệu sao lưu phải được lưu trữ ra phương tiện lưu trữ ngoài (như băng từ, đĩa cứng, đĩa quang hoặc phương tiện lưu trữ khác) và cất giữ, bảo quản an toàn tách rời với khu vực lắp đặt hệ thống thông tin nguồn.

Điều 16. Giám sát và ghi nhật ký hoạt động (Log) của hệ thống thông tin

1. Thực hiện ghi nhật ký và lưu trữ nhật ký về hoạt động của hệ thống thông tin và người sử dụng, các lỗi phát sinh, các sự cố an toàn thông tin. Dữ liệu nhật ký của các hệ thống thông tin từ mức độ 2 trở lên phải được lưu trữ trực tuyến tối thiểu 3 tháng theo hình thức tập trung và sao lưu tối thiểu một năm.

3. Thực hiện việc đồng bộ thời gian giữa các hệ thống thông tin.

QUẢN LÝ TIẾP NHẬN, PHÁT TRIỂN, DUY TRÌ HỆ THỐNG THÔNG TIN

Khi xây dựng mới hoặc nâng cấp hệ thống thông tin, chủ đầu tư chỉ định đơn vị lập dự án (với trường hợp xây dựng mới) hoặc Chủ quản hệ thống thông tin hoặc đơn vị được ủy quyền quản lý trực tiếp hệ thống thông tin (với trường hợp nâng cấp) thực hiện xác định cấp độ hệ thống thông tin theo quy định tại Điều 5 Quyết định này. Đối với hệ thống thông tin từ cấp độ 2 trở lên, đơn vị thực hiện:

2. Xây dựng phương án kiểm tra, xác minh hệ thống được triển khai tuân thủ theo đúng tài liệu thiết kế và yêu cầu bảo đảm an toàn thông tin trước khi nghiệm thu. Kết quả kiểm tra phải lập thành báo cáo và được cấp có thẩm quyền phê duyệt trước khi đưa vào vận hành chính thức.

Các chương trình ứng dụng nghiệp vụ phải đáp ứng các yêu cầu tối thiểu sau:

2. Kiểm tra tính hợp lệ của dữ liệu cần được xử lý tự động trong các ứng dụng nhằm phát hiện thông tin sai lệch do các lỗi trong quá trình xử lý hoặc các hành vi sửa đổi thông tin có chủ ý.

4. Kiểm tra tính hợp lệ của dữ liệu xuất ra từ các ứng dụng, bảo đảm quá trình xử lý thông tin của các ứng dụng là chính xác và hợp lệ.

Điều 19. Quản lý mã hóa

2. Có biện pháp quản lý khóa mã hóa để bảo vệ thông tin của tổ chức.

1. Chủ quản hệ thống thông tin hoặc đơn vị được ủy quyền quản lý trực tiếp hệ thống thông tin thực hiện quản lý quá trình phát triển phần mềm như sau:

b) Quản lý, bảo vệ tệp tin cấu hình hệ thống.

Điều 21. Quản lý sự thay đổi hệ thống thông tin

1. Thực hiện ghi chép lại các thay đổi; lập kế hoạch thay đổi; thực hiện kiểm tra. thử nghiệm sự thay đổi, báo cáo kết quả; phê duyệt kế hoạch thay đổi trước khi áp dụng chính thức thay đổi phiên bản phần mềm, cấu hình phần cứng, tham số phần mềm hệ thống, quy trình vận hành. Có phương án dự phòng cho việc phục hồi hệ thống trong trường hợp thực hiện thay đổi không thành công hoặc gặp các sự cố không có khả năng dự tính trước.

Điều 22. Đánh giá an ninh bảo mật hệ thống thông tin

a) Đánh giá về kiến trúc hệ thống để xác định tính phù hợp của các thiết bị lắp đặt với kiến trúc hệ thống tổng thể và yêu cầu về an ninh bảo mật;

c) Kiểm tra thử nghiệm mức độ an toàn mạng (Penetration Test), bắt buộc phải thực hiện đối với các hệ thống thông tin có kết nối và cung cấp thông tin, dịch vụ ra Internet, kết nối với doanh nghiệp và bên thứ ba.

3. Trong quá trình vận hành hệ thống thông tin, Chủ quản hệ thống thông tin hoặc đơn vị được ủy quyền quản lý trực tiếp hệ thống thông tin định kỳ thực hiện đánh giá an ninh bảo mật tối thiểu như sau:

b) Một năm một lần đối với các hệ thống thông tin mức độ 3, 4 và các trang thiết bị giao tiếp trực tiếp với môi trường bên ngoài như Internet, kết nối với khách hàng và bên thứ ba theo các nội dung tại Khoản 1 Điều này;

4. Kết quả đánh giá phải được lập thành văn bản báo cáo người đại diện hợp pháp và cấp có thẩm quyền. Đối với các nội dung chưa tuân thủ quy định về an toàn thông tin (nếu có) phải đề xuất biện pháp, kế hoạch, thời hạn xử lý, khắc phục.

1. Chủ quản hệ thống thông tin hoặc đơn vị được ủy quyền quản lý trực tiếp hệ thống thông tin thực hiện các biện pháp đánh giá, quản lý và kiểm soát các điểm yếu về mặt kỹ thuật của các hệ thống thông tin đang sử dụng: ghi chép, quản lý thông tin các thành phần có trong hệ thống có khả năng tồn tại điểm yếu an toàn thông tin (như: thiết bị phần cứng, phần mềm hệ điều hành, ứng dụng, cơ sở dữ liệu, và các thành phần khác (nếu có)).

a) Thường xuyên cập nhật thông tin liên quan đến lỗ hổng, điểm yếu về mặt kỹ thuật;

3. Đánh giá mức độ tác động, rủi ro của từng lỗ hổng, điểm yếu về mặt kỹ thuật được phát hiện của các hệ thống thông tin đang sử dụng và đưa ra phương án, kế hoạch xử lý.

Điều 24. Quản lý bảo trì hệ thống thông tin

1. Ban hành quy định bảo trì hệ thống thông tin ngay sau khi đưa vào hoạt động chính thức. Quy định bảo trì tối thiểu bao gồm các nội dung sau:

b) Thời điểm, tần suất bảo trì;

d) Khi thực hiện bảo trì nếu phát hiện, phát sinh sự cố phải báo cáo cấp có thẩm quyền để xử lý;

2. Thực hiện bảo trì theo quy định tại Khoản 1 Điều này đối với hệ thống thông tin do đơn vị quản lý trực tiếp.

Chương IV

QUẢN LÝ SẢN PHẨM, DỊCH VỤ CỦA BÊN THỨ BA

1. Xác định rõ trách nhiệm, quyền hạn và nghĩa vụ của các bên về an toàn, an ninh công nghệ thông tin khi ký hợp đồng. Hợp đồng với bên thứ ba phải bao gồm các điều khoản và nghĩa vụ về an toàn, an ninh thông tin, cam kết không tiết lộ thông tin, trách nhiệm xử lý, vá lỗ hổng phần mềm, điều khoản xử lý vi phạm và trách nhiệm bồi thường thiệt hại của bên thứ ba do vi phạm của bên thứ ba gây ra.

Điều 26. Trách nhiệm của các đơn vị thuộc và trực thuộc Tổng cục Hải quan trong quản lý các dịch vụ do bên thứ ba cung cấp

2. Các đơn vị thuộc và trực thuộc Tổng cục Hải quan đầu mối làm việc với đối tác phải lập hồ sơ nhật ký giám sát dịch vụ của đối tác cung cấp, bao gồm tốt thiểu các thông tin sau:

- Dịch vụ cung cấp;

- Các vấn đề về an toàn, an ninh thông tin (sự cố gây gián đoạn, mất hay lộ thông tin, lỗ hổng phần mềm, thời gian khắc phục lỗ hổng...);

3. Đảm bảo triển khai, duy trì các biện pháp an toàn, an ninh của dịch vụ do bên thứ ba cung cấp theo đúng thỏa thuận.

5. Áp dụng các biện pháp giám sát chặt chẽ và giới hạn quyền truy cập của bên thứ ba khi cho phép họ truy cập vào hệ thống thông tin của đơn vị.

7. Thu hồi quyền truy cập hệ thống thông tin đã được cấp cho bên thứ ba, thay đổi các khóa, mã khóa bí mật nhận bàn giao từ bên thứ ba ngay sau khi hoàn thành công việc hoặc kết thúc hợp đồng.

1. Ký và thực hiện cam kết bảo mật thông tin cả trong quá trình triển khai và sau khi hoàn tất hợp đồng.

3. Bàn giao tài sản, quyền truy cập hệ thống thông tin do bên ký kết hợp đồng cung cấp khi hoàn thành công việc hoặc kết thúc hợp đồng.

GIÁM SÁT, CẢNH BÁO, ỨNG CỨU SỰ CỐ AN TOÀN THÔNG TIN MẠNG

1. Chủ quản hệ thống thông tin chỉ đạo việc giám sát đối với các hệ thống thông tin thuộc phạm vi quản lý; phối hợp với Cục CNTT&TK Hải quan và các đơn vị chuyên môn của quốc gia (như Cục an toàn thông tin - Bộ Thông tin và truyền thông; Cục An ninh mạng - Bộ Công An; Bộ tư lệnh 89 - Bộ Quốc phòng; VNCert; ...) giám sát theo quy định.

3. Thời gian giám sát tối thiểu: Giám sát 24 giờ/ngày và 7 ngày/tuần đối với hệ thống cấp độ 4, 5; Giám sát trong giờ làm việc đối với hệ thống cấp độ 3.

Điều 5 Thông tư số 31/2017/TT-BTTTT.

1. Đơn vị chuyên trách về an toàn thông tin cử 01 lãnh đạo đơn vị chuyên trách an toàn thông tin và 01 cán bộ thuộc đơn vị chuyên trách về an toàn thông tin làm đầu mối tiếp nhận cảnh báo an toàn thông tin trong ngành Hải quan từ Cục CNTT&TK Hải quan, các cơ quan, tổ chức có chức năng cảnh báo an toàn thông tin mạng của Bộ Tài chính, Bộ Thông tin và truyền thông, Bộ Công An, Bộ Quốc Phòng.

2. Đơn vị chuyên trách về an toàn thông tin có trách nhiệm theo dõi, nắm bắt thông tin trên phương tiện thông tin đại chúng và mạng Internet về các sự kiện mất an toàn thông tin có thể tác động tới đơn vị; Chủ động kiểm tra, rà soát trong nội bộ đơn vị theo các văn bản cảnh báo, hướng dẫn của Tổng cục Hải quan, Bộ Tài chính, Bộ Thông tin và truyền thông, Bộ Công An, Bộ Quốc Phòng, các cơ quan chức năng và các tổ chức về an toàn thông tin; Thiết lập kênh trao đổi thông tin với các đối tác cung cấp thiết bị, phần mềm, kênh truyền, giải pháp an toàn thông tin của đơn vị để nắm bắt kịp thời vấn đề, sự cố có khả năng tác động tới hệ thống thông tin của đơn vị.

1. Sự cố an toàn thông tin mạng là việc thông tin số, hệ thống thông tin bị tấn công (tấn công từ chối dịch vụ; tấn công giả mạo; tấn công sử dụng mã độc; truy cập trái phép, chiếm quyền điều khiển; tấn công thay đổi giao diện; tấn công mã hóa phần mềm, dữ liệu, thiết bị; phá hoại thông tin, dữ liệu, phần mềm; nghe trộm, gián điệp, lấy cắp thông tin, dữ liệu; các hình thức tấn công mạng khác) hoặc bị gây nguy hại, ảnh hưởng tới tính bí mật, tính toàn vẹn, tính sẵn sàng

a) Ban Chỉ đạo ứng cứu sự cố an toàn thông tin mạng Tổng cục Hải quan do Tổng cục trưởng Tổng cục Hải quan quyết định. Ban Chỉ đạo ứng cứu sự cố an toàn thông tin mạng Tổng cục Hải quan thực hiện trách nhiệm theo quy định tại khoản 2 Điều 5 Quyết định số 05/2017/QĐ-TTg.

khoản 2 Điều 6 Quyết định số 05/2017/QĐ-TTg.

Đội ứng cứu sự cố có trách nhiệm phối hợp với các bên liên quan phân tích, xử lý sự cố an toàn thông tin mạng đối với các sự cố diễn ra trong phạm vi hệ thống thuộc quản lý của chủ quản hệ thống thông tin hoặc phạm vi hệ thống được Tổng cục Hải quan ủy quyền quản lý trực tiếp.

a) Các đơn vị thuộc và trực thuộc Tổng cục Hải quan tổ chức xây dựng kế hoạch ứng phó sự cố cho các hệ thống thông tin do đơn vị trực tiếp quản lý theo đề cương tại Phụ lục II Quyết định số 05/2017/QĐ-TTg (bao gồm các điều chỉnh do Bộ Thông tin và Truyền thông ban hành nếu có) và tổ chức triển khai kế hoạch sau khi phê duyệt. Cục CNTT&TK Hải quan, Cục Tài vụ quản trị - Tổng cục Hải quan (đối với các nội dung yêu cầu có kinh phí) xem xét cho ý kiến, tổng hợp thành kế hoạch chung toàn ngành, trình Tổng cục Hải quan phê duyệt.

4. Quy trình ứng cứu sự cố an toàn thông tin mạng

b) Khi xảy ra sự cố an toàn thông tin mạng thuộc loại hình tấn công mạng, đơn vị vận hành hệ thống thông tin thực hiện báo cáo theo quy định tại Điểm a Khoản 1 Điều 11 Quyết định 05/2017/QĐ-TTg và Điều 9 Thông tư 20/2017/TT-BTTTT, đồng thời báo cáo Cục CNTT&TK Hải quan để tổng hợp, báo cáo Ban Chỉ đạo ứng cứu sự cố an toàn thông tin mạng Tổng cục Hải quan. Trách nhiệm của các đơn vị khi phát hiện, tiếp nhận xác minh, xử lý ban đầu và phân loại sự cố an toàn thông tin mạng theo quy định tại Điều 12 Quyết định 05/2017/QĐ-TTg và Điều 10 Thông tư số 20/2017/TT-BTTTT.

Điều 13, Điều 14 Quyết định 05/2017/QĐ-TTg và Điều 11 Thông tư số 20/2017/TT- BTTTT

a) Chủ quản hệ thống thông tin tổ chức diễn tập ứng cứu sự cố theo kế hoạch ứng phó sự cố được phê duyệt.

điểm b Nhiệm vụ 4 mục II Điều 1 Quyết định số 1622/QĐ-TTg ngày 25/10/2017 của Thủ tướng Chính phủ.

1. Các đơn vị thuộc và trực thuộc Tổng cục Hải quan xác định nhu cầu về đào tạo nguồn nhân lực bảo đảm an toàn thông tin tại đơn vị mình gửi Cục CNTT&TK Hải quan. Cục CNTT&TK Hải quan tổng hợp, xây dựng trình Tổng cục Hải quan phê duyệt kế hoạch dài hạn, kế hoạch hàng năm về đào tạo, bồi dưỡng nghiệp vụ an toàn, an ninh thông tin cho cán bộ, công chức, viên chức và người lao động của Tổng cục Hải quan và thực hiện tổ chức đào tạo theo kế hoạch đã phê duyệt.

3. Các đơn vị trực thuộc Tổng cục Hải quan phải thường xuyên tổ chức các hoạt động tuyên truyền, phổ biến nâng cao nhận thức về bảo đảm an toàn, an ninh thông tin mạng đến toàn thể bộ cán bộ, công chức, viên chức và người lao động tại đơn vị.

Điều 32. Chế độ báo cáo

a) Báo cáo an toàn thông tin định kỳ hàng năm gồm các nội dung quy định tại khoản 3 Điều 17 Thông tư 03/2017/TT-BTTTT.

2. Báo cáo đột xuất: Báo cáo về công tác khắc phục mã độc, lỗ hổng, điểm yếu, triển khai cảnh báo an toàn thông tin và các báo cáo đột xuất khác theo yêu cầu của các cơ quan quản lý nhà nước về an toàn thông tin.

a) Các đơn vị thuộc và trực thuộc Tổng cục Hải quan chịu trách nhiệm:

- Lập báo cáo hoạt động giám sát của chủ quản hệ thống thông tin theo quy định tại điểm b khoản 1 điều này, gửi Cục CNTT&TK Hải quan trước ngày 01 tháng 6 và 01 tháng 12 hàng năm để tổng hợp báo cáo Cục Tin học & Thống kê Tài chính.

b) Cục CNTT&TK Hải quan chịu trách nhiệm tập hợp, tổng hợp báo cáo của các đơn vị, báo cáo các cơ quan quản lý nhà nước về an toàn thông tin.

TỔ CHỨC THỰC HIỆN

1. Cục CNTT&TK Hải quan:

b) Hướng dẫn triển khai Quy chế này và các quy định liên quan của Nhà nước.

d) Xây dựng kế hoạch, báo cáo về an toàn thông tin mạng của Tổng cục Hải quan.

a) Thực hiện trách nhiệm của chủ quản hệ thống thông tin trong trường hợp có hệ thống thông tin thuộc quản lý trực tiếp của đơn vị theo quy định của Quy chế này.

c) Thực hiện các báo cáo theo quy định, gửi Cục CNTT&TK Hải quan tổng hợp, báo cáo các cấp có thẩm quyền.

a) Thực hiện trách nhiệm của đơn vị vận hành hệ thống thông tin theo quy định tại Quy chế này và các nhiệm vụ do chủ quản hệ thống thông tin phân công.

4. Các đơn vị chuyên trách về an toàn thông tin:

b) Phối hợp chặt chẽ với các bộ phận kỹ thuật thuộc đơn vị vận hành hệ thống thông tin trong việc bảo đảm an toàn thông tin trong tất cả các công đoạn liên quan đến hệ thống thông tin.

Điều 34. Trách nhiệm tập thể, cá nhân

2. Cán bộ, công chức, viên chức, người lao động trong ngành Hải quan thuộc đối tượng áp dụng của quy định có trách nhiệm: Tuân thủ Quy chế; thông báo các vấn đề bất thường liên quan tới an toàn thông tin cho đơn vị, bộ phận chuyên trách về an toàn thông tin mạng của đơn vị; chịu trách nhiệm trước pháp luật và Lãnh đạo đơn vị về các vi phạm, thất thoát dữ liệu mật của ngành Hải quan do không tuân thủ Quy chế.

Điều 35. Kinh phí thực hiện

2. Căn cứ vào kế hoạch hàng năm, các đơn vị thuộc và trực thuộc Tổng cục Hải quan quan có trách nhiệm xây dựng kế hoạch, đề xuất dự toán cho các hoạt động bảo đảm an toàn, an ninh thông tin mạng gửi Cục CNTT&TK Hải quan để tổng hợp, báo cáo các cấp có thẩm quyền xem xét phê duyệt để thực hiện theo phân cấp.

1. Các đơn vị thuộc và trực thuộc Tổng cục Hải quan phải thường xuyên kiểm tra, theo dõi và đánh giá công tác bảo đảm an toàn, an ninh thông tin mạng tại cơ quan, đơn vị mình, coi đây là nhiệm vụ trọng tâm của đơn vị.

Điều 37. Trách nhiệm thi hành

2. Trong quá trình thực hiện, nếu có những vấn đề khó khăn, vướng mắc, các đơn vị phản ánh về Cục CNTT&TK Hải quan để tổng hợp, trình Lãnh đạo Tổng cục xem xét, sửa đổi, bổ sung quy chế./.