Quyết định 31/2013/QĐ-UBND Quy chế đảm bảo an toàn, an ninh thông tin trong lĩnh vực ứng dụng công nghệ thông tin của cơ quan nhà nước thuộc tỉnh Thái Nguyên

QUYẾT ĐỊNH

BAN HÀNH QUY CHẾ ĐẢM BẢO AN TOÀN, AN NINH THÔNG TIN THUỘC LĨNH VỰC CÔNG NGHỆ THÔNG TIN TRONG HOẠT ĐỘNG CỦA CÁC CƠ QUAN NHÀ NƯỚC TRÊN ĐỊA BÀN TỈNH THÁI NGUYÊN

ỦY BAN NHÂN DÂN TỈNH THÁI NGUYÊN

Căn cứ Luật Tổ chức Hội đồng nhân dân và Uỷ ban nhân dân ngày 26 tháng 11 năm 2003;

Căn cứ Luật Công nghệ thông tin ngày 29 tháng 06 năm 2006;

Căn cứ Luật Giao dịch điện tử ngày 29 tháng 11 năm 2005;

Căn cứ Nghị định số 64/2007/NĐ-CP ngày 10 tháng 4 năm 2007 của Chính phủ về việc ứng dụng Công nghệ thông tin trong hoạt động của cơ quan nhà nước;

Căn cứ Nghị định số 26/2007/NĐ-CP ngày 15 tháng 02 năm 2007 của Chính phủ Quy định chi tiết thi hành Luật Giao dịch điện tử về chữ ký số và dịch vụ chứng thực chữ ký số;

Thực hiện Quyết định số 63/QĐ-TTg, ngày 13 tháng 01 năm 2010 của Thủ tướng Chính phủ về việc Phê duyệt Quy hoạch phát triển an toàn thông tin số quốc gia đến năm 2020;

Xét đề nghị của Sở Thông tin và Truyền thông tại Tờ trình số 699/TTr-STTTT ngày 13 tháng 11 năm 2013 và ý kiến thẩm định của Sở Tư pháp tại Văn bản số 500/STP-XDVB ngày 12 tháng 11 năm 2013,

QUYẾT ÐỊNH:

Điều1.BanhànhkèmtheoQuyếtđịnhnàyQuychếđảm bảoantoàn,anninh thôngtintronglĩnhvựcứngdụngcôngnghệthôngtincủacáccơquannhànước thuộc tỉnhThái Nguyên.

Điều 2.Quyếtđịnhnàycóhiệulực thi hành sau10ngàykểtừngàyký.

Điều3.ChánhVănphòngUỷ bannhândântỉnh;Giám đốccácsở,ban,ngành; ChủtịchUBNDcáchuyện,thànhphố,thịxãvàThủtrưởngcáccơquan, tổchức,cá nhânliênquanchịutráchnhiệmthihànhQuyết định này./.

QUY CHẾ

ĐẢM BẢO AN TOÀN, AN NINH THÔNG TIN THUỘC LĨNH VỰC CÔNG NGHỆ THÔNG TIN TRONG HOẠT ĐỘNG CỦA CÁC CƠ QUAN NHÀ NƯỚC TRÊN ĐỊA BÀN TỈNH THÁI NGUYÊN
 (BanhànhkèmtheoQuyếtđịnh số:31/2013/QĐ/UBND ngày16tháng12năm2013 củaUỷ bannhândântỉnhThái Nguyên)

ChươngI

QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh

Quychếnàyquyđịnhvềnộidung,biệnphápđảm bảoantoàn,anninhthôngtin thuộclĩnh vựccông nghệ thôngtinphục vụchocông tác điều hành và quảnlý nhà nước trênđịa bàntỉnhThái Nguyên.

Điều 2. Đốitượngáp dụng

Quychếnàyđượcápdụngđốivớitấtcảcáccơquannhànướctrênđịabàntỉnh Thái Nguyên(kểcả các cơ quanTrungươngđặt tạiđịabàntỉnhThái Nguyên).

Điều 3.Giảithích từngữ

Trong Quy chế này, các từ ngữ dưới đây được hiểu như sau:

1. Cán bộ chuyên trách Công nghệ thông tin (CNTT): Là cán bộ kỹ thuật hoặc cán bộ quản lý có chuyên môn về lĩnh vực CNTT, trực tiếp tham mưu cho lãnh đạo khai thác, quản lý và thực hiện công tác ứng dụng CNTT tại cơ quan, đơn vị, bảo đảm kỹ thuật và an toàn, an ninh thông tin cho việc khai thác, vận hành hệ thống CNTT tại đơn vị.

2. Tính tin cậy: bảo đảm thông tin chỉ có thể được truy cập bởi những người được cấp quyền sử dụng.

3. Tính toàn vẹn: bảo vệ sự chính xác và đầy đủ của thông tin và các phương pháp xử lý.

4. Tính sẵn sàng: bảo đảm những người được cấp quyền có thể truy cập thông tin và các tài sản liên quan ngay khi có nhu cầu.

5. An toàn, an ninh thông tin (ATANTT): bao gồm các hoạt động quản lý, nghiệp vụ và kỹ thuật đối với hệ thống thông tin nhằm bảo vệ, khôi phục các hệ thống, các dịch vụ và nội dung thông tin đối với nguy cơ tự nhiên hoặc do con người gây ra. Việc bảo vệ thông tin, tài sản và con người trong hệ thống thông tin nhằm bảo đảm cho các hệ thống thực hiện đúng chức năng, phục vụ đúng đối tượng, tính sẵn sàng cao với yêu cầu chính xác và tin cậy. An toàn, an ninh thông tin bao hàm các nội dung bảo vệ và bảo mật thông tin, an toàn dữ liệu của máy tính và an toàn mạng.

6. TCVN 7562:2005: Tiêu chuẩn Việt Nam về mã thực hành quản lý an toàn thông tin.

7. ISO 17799:2005: Tiêu chuẩn quốc tế cung cấp các hướng dẫn quản lý an toàn, bảo mật thông tin dựa trên những quy phạm công nghiệp tốt nhất (tập quy phạm cho quản lý an toàn bảo mật thông tin).

8. ISO 27001:2005: Tiêu chuẩn quốc tế về quản lý bảo mật thông tin do Tổ chức Chất lượng Quốc tế và Hội đồng Điện tử Quốc tế xuất bản vào tháng 10/2005.

9. Các từ tiếng Anh, từ kỹ thuật, từ chuyên ngành, từ được giải thích, ghi chú tại Phụ lục 2 của Quy chế này.

ChươngII

NỘI DUNG ĐẢM BẢO AN TOÀN, AN NINH THÔNG TIN

Điều4.Cácbiệnphápquản lýkỹthuật cơbảnchocôngtác antoàn, an ninh thôngtin

1.Tổchứcmôhìnhmạng:Cài đặt,cấuhình,tổchứchệ thốngmạngtheomôhình Clients/Server, hạnchế sửdụngmôhìnhmạngngang hàng.Đốivớicác sở, ngành, huyện,thànhphố,thịxãcónhiềuphòng,ban,đơnvịtrựcthuộckhôngnằmtrong cùngmộtkhuvực thìcầnthiếtlậpmạngriêngảo(VPN–VirtualPrivate Network) để tăngcườnganninhchohạtầngmạngnộibộ.Khithiếtlậpcácdịchvụtrênmôi trườngmạngInternet,chỉcungcấpnhữngchứcnăngthiếtyếunhấtbảođảm duy trì hoạtđộngcủahệ thốngthôngtin;hạnchế sửdụngchức năng, cổnggiaotiếpmạng, giaothứcvà cácdịchvụkhôngcầnthiết.

2.Quảnlýhệthốngmạngkhôngdây:Khithiếtlậpmạngkhôngdâyđểkếtnối vớimạngcụcbộthôngquacácđiểm truynhập(AccessPoint-AP),cầnthiếtlậpcác thamsốnhư:tên,SSID,mậtkhẩu,mãhóadữliệuvàthôngbáocácthôngtinliên quanđếnAPđểcơquansửdụng,địnhkỳ3thángthayđổimậtkhẩunhằmtăng cườngcông tácbảo mật.

3.Tổchứcquảnlýtàikhoản:Cáctài khoảnvà định danh ngườidùng tronghệ thốngthôngtin, baogồm:tạomới,kíchhoạt, sửađổivà loạibỏcác tàikhoản,đồng thờitổchứckiểm tracáctàikhoảncủahệthốngthôngtinítnhất6tháng1lầnthông quacáccôngcụcủa hệthống.Hủytàikhoản,quyềntruynhậphệthống thông tin,thu hồilạitấtcảcáctàisảnliênquantớihệthốngthôngtin(khóa,thẻnhậndạng,thư mụclưutrữ,...)đốivớicánbộ,nhânviênđãchuyểncôngtác,chấm dứthợpđồnglao động.

4.Quảnlýđăngnhậphệ thống:Cáchệ thốngthôngtincầngiớihạn số lầnđăng nhậpvàohệthống.Hệthốngtựđộngkhóatàikhoảnhoặccôlậptàikhoảnkhiliên tụcđăngnhậpsaivượtquásốlầnquyđịnh.Tổchứctheodõi,giám sáttấtcảcác phươngphápđăngnhậptừ xa(quay số,internet,…), nhấtlàcácđăng nhậpcóchức năngquảntrị, tăngcườngviệcsử dụngVPNkhicónhucầulàm việctừ xa;yêucầu ngườisửdụngđặtmậtkhẩuvớiđộantoàncao,giám sát,nhắcnhởkhuyếncáonên thayđổithườngxuyênmật khẩu.

5.QuảnlýLogfile:Hệthống thông tincầnghinhậncác sựkiện: quátrình đăng nhậpvàohệthống,cácthaotáccấuhìnhhệthống.Thườngxuyênkiểm tra,saolưu (backup)các logfiletheotừngthángđể lưuvếttheo dõi, xác định những sự kiệnđã xảy racủa hệthốngvàhạnchế việc trànlogfile gây ảnhhưởng đếnhoạtđộngcủa hệ thống.

6.Chốngmãđộc,virútmáytính:Lựachọn,triểnkhaicácphầnmềmchốngvi rútmáy tính,thưrác trêncácmáychủ,cácthiếtbịdiđộngtrongmạngvànhữnghệ thống thôngtinxungyếunhư:Cổngthông tin điện tử, thưđiệntử,mộtcửađiện tử,… đểpháthiện,loạitrừnhữngđoạnmãđộchại(Virútmáytính,trojan,worms…)và hỗtrợngườisửdụngcàiđặtcácphầnmềmnàytrênmáytrạm.Thườngxuyêncập nhậtcácphiên bản(Version)mới,cácbảnvá lỗicủacác phầnmềm chống virútmáy tính để bảođảmchương trìnhquétvirútmáytínhcủacơquantrêncácmáychủ,máy trạm luônđượccậpnhậtmớinhất,thiếtlậpchếđộquétthườngxuyênítnhấtlàhằng tuần.

7.Tổchứcquảnlýtàinguyên:Kiểm tra,giám sátchứcnăngchiasẻthôngtin (NetworkFileandFolderSharing).Tổchứccấppháttàinguyêntrênmáy chủtheo danhmụcthưmụcchotừngphòng/ban;khuyếncáongườisửdụngcânnhắcviệc chiasẻtàinguyêncụcbộtrênmáyđangsửdụng,tuyệtđốikhôngđượcchiasẻtoàn bộổcứng.Khithực hiệnviệcchia sẻtàinguyêntrênmáychủhoặctrênmáycụcbộ nên sử dụngmật khẩu đểbảo vệthôngtin.

8.Cácbiệnphápkỹthuậtđảm bảoantoànchoTrangthông tinđiệntử/Cổng thôngtinđiện tử(gọitắtlà trangweb):

a)Xácđịnhcấu trúc thiếtkếtrangweb:Quảnlýtoànbộcác phiênbảncủamã nguồn,phốihợpvới đơnvịthựchiệndịchvụhostingtổchứcmôhìnhtrangwebhợp lý tránhkhả năngtấncông leothang đặc quyền.Yêucầu đơn vịcungcấp dịchvụ hostingphảicài đặtcáchệ thốngphòng vệ như tườnglửa (firewall),thiết bịphát hiện/phòng chống xâm nhập (IDS/IPS) ở mức ứng dụng web (WAF- Web ApplicationFirewall);

b)Vậnhànhứngdụngwebantoàn:Các trangwebkhi đưa vào sửdụng hoặc khi bổsungthêm cácchứcnăng,dịchvụcôngmớicầnliênhệvớiTrungtâm Côngnghệ thông tinvàTruyền thôngTháiNguyên hoặcliênhệ vớicác tổchứcanninhmạng đánhgiákiểmđịnhnhằmtránhđượccáclỗibảomậtthườngxảyratrênứngdụng webnhư:SQL Injection,Cross-SiteScripting(xss), BrokenAuthenticationand SessionManagement,InsecureDirectObjectReferences, CrossSiteRequestForgery (CSRF),Security Misconfiguration,FailuretoRestrictURLAccess,Insecure Cryptographic Storage, Insufficient Transport Layer Protection, Unvalidated Redirects andForwards...;

c) Thiếtlậpvà cấuhìnhcơ sởdữ liệu(CSDL) an toàn:

-Luôncậpnhậtbảnválỗimớinhấtchohệquảntrịcơsởdữliệu;sửdụngcông cụđể đánhgiá, tìmkiếmlỗhổngtrênmáychủcơ sởdữ liệu;

- Gỡ bỏcác cơ sở dữliệukhôngsử dụng;

-Cócáccơchế saolưudữliệu, tàiliệuhóaquátrìnhthay đổicấutrúc bằngcách xây dựngnhậtkýCSDLvớicácnộidungnhư:nộidungthay đổi, lýdothay đổi,thời gian, vịtríthayđổi...

d)Phốihợpvớicác nhàcungcấpdịchvụhostingxây dựngphươngánphụchồi trangweb,trongđóchúýmỗithángthựchiệnviệcbackuptoànbộnộidungtrang web1 lần bao gồm mãnguồn,cơ sở dữliệu,dữliệu phicấu trúc,... để bảo đảmkhicó sựcốcóthểkhắc phục lạingaytrongvòng24giờ.

9. Thiếtlậpcơ chế sao lưu vàphụchồimáychủ,máytrạm:

a)Đốivớimáy trạm,máychủ:Thực hiện việcsaolưu dữliệu nhưhệđiều hành, cácphầnmềm ứngdụngvănphòng,phầnmềm chuyênngành...bằngcácphầnmềm như Pqmagic, FinalData, Symantec Ghost, ZAR (ZeroAssumptionRecovery), NovaBackupProfessional, NeroBackItUp&Burn, DigitalRescuePremium... Sau khisaolưumỗimáy được lưuvàocácthiếtbịlưutrữnhưCD, ổcứngngoài...và thực hiệnviệcđánhsố,dánnhãnđểtránhnhầmlẫnnhằmphụcvụchocôngtácphụchồi dữliệumộtcáchnhanhnhất;

b)Đốivớimáychủ:CàiđặtcácdịchvụMirror,Raid,Clusteringbảođảmthiết lậpcơchế saolưuvà phụchồihệthốngcủamáy chủ.Đốivớicácmáy chủcàiđặthệ điềuhànhWindowssửdụngchứcnăngSystem Restoređểcóthểdễdàngkhôiphục lạitoànbộmáychủhoặc các tậptin,thưmục đượclựa chọnphục hồi.

10.Xử lýkhẩncấp:Khipháthiện hệthống bịtấncông,thông quacác dấuhiệu như luồngtin(traffic)tănglênbấtngờ, nộidung trangchủbịthay đổi, hệthốnghoạt độngrấtchậmkhácthường,...cầnthựchiệncácbước cơbản sau:

a) Bước 1: Ngắt kếtnốimáychủra khỏimạng;

b)Bước2:Saochéplogfilevàtoànbộdữliệucủahệthốngrathiếtbịlưutrữ (phụcvụchocôngtác phântích);

c)Bước3:Khôiphụchệthốngbằngcáchchuyểndữliệubackupmớinhất đểhệ thốnghoạtđộng;

d) Bước4:Thựchiệncác côngviệc của khoản2Điều8.

Điều 5. Các biện pháp quản lý vận hành trong công tác an toàn, an ninh thông tin

1. Đốivớicác cơ quan,đơn vị:

a)Phổbiến, hướngdẫnthựchiệncácquychếchungliênquanđếncôngtácứng dụngCNTT đãđược Ủy ban nhândân(UBND)tỉnhbanhành nhưQuychếquảnlý, vậnhành và sửdụng hệ thốngthưđiện tửdùngchungtỉnhTháiNguyên(theoQuyết địnhsố957/QĐ-UBNDngày22/5/2013củaỦybannhândântỉnhTháiNguyên), QuychếquảnlýhoạtđộngvàcungcấpthôngtincủaCổngthôngtinđiệntửtỉnh TháiNguyên(theoQuyết địnhsố40/2012/QĐ-UBND ngày 06/11/2012củaỦyban nhândântỉnhThái Nguyên),...

b)Kiểm traviệcthựchiệncácnộidungcủaĐiều4vềcácbiệnphápquảnlýkỹ thuậtcơ bảnchocôngtácantoàn, anninhthôngtincủacán bộchuyêntráchcông nghệthôngtin;

c)Tổchứcđàotạotạiđơnvịhoặccửcánbộtham giacáclớpđàotạođểtrangbị cáckiến thức vềantoànthông tincơbảnchocán bộ,côngchức, viênchức trướckhi cho phép truynhập,vậnhành, khaithácvàsử dụng hệ thốngthôngtin;

d)Xácđịnhvàphânbổkinhphíchithườngxuyêncầnthiếtchocáchoạtđộng liênquan đếnviệc bảo vệ hệ thốngthôngtin,thôngquaviệc đầutưcác thiết bị tường lửa,các chươngtrìnhchốngSpam,Virút máytínhtrêncác máytrạm,máychủ...

2. ĐốivớiCán bộchuyên tráchCNTT:

a)Triểnkhai,thựchiệncácnộidungcủaĐiều4vềcácbiệnphápquảnlýkỹ thuậtcơbảnchocông tác antoàn,anninhthôngtin;

b)Thammưuchuyênmônvàvậnhànhantoànhệthốngthôngtincủađơnvị, triểnkhaicácbiệnphápđảm bảoantoàn,anninhthôngtinchotấtcảcánbộ,công chức, viênchứctrongđơnvịmình;

c)NắmvữngvàthựchiệnnghiêmtúcPháplệnhbảovệbímậtNhànướcngày 28/12/2008. Thườngxuyêntựcậpnhậtcáckiếnthức vềantoàn,anninhthôngtin, nguycơtiềm ẩncóthểgâymấtmátthôngtinvàcác biệnphápphòngtránhkhitiến hànhcác hoạtđộngquảnlý haykỹthuậtnghiệpvụ;

d)Thựchiệnviệcđánhgiá,báocáocácrủirovàmứcđộnghiêmtrọngcủacác rủirođó.Cácrủirođócóthểxảyradosựtruycậptráiphép, sửdụngtráiphép,mất, thayđổihoặcphá hủythôngtinvàhệ thốngthôngtin;

e)Phối hợpchặtchẽ vớicơquanCôngan trongcông tác phòngngừa,đấutranh, ngănchặncáchoạtđộngxâmphạman toàn,anninhthôngtin.

3. Đốivớicán bộ,côngchức, viênchức:

a)Thườngxuyêncập nhậtnhữngchính sách,thủ tụcantoànthôngtincủa đơnvị cũngnhưthực hiệnnhững hướng dẫn về an toàn,anninhthông tincủa cán bộchuyên tráchnhưmột phầncủa côngviệc chuyênmôn;

b)Hạnchế việcsử dụngchứcnăngchia sẻtàinguyên(sharing), khisửdụngchức năngnày cầnbậtthuộctínhbảomậtbằngmậtkhẩuvàthựchiệnviệcthuhồichức năngnàykhiđã sửdụngxong;

c)Cácmáytínhkhikhôngsửdụngtrongthờigiandài(quá2giờlàmviệc)cần tắtmáyhoặcngưngkếtnốimạng, đểtránh bịcáchackerlợi dụng, sửdụngchứcnăng điềukhiển từ xa dùngmáytínhcủa mìnhtấncông vàocác hệthốngthôngtinkhác;

d) Sử dụng chức năng mã hóa ở mức hệ điều hành bảo đảm các dữ liệu nhạy cảm như tài khoản, mật khẩu, các tập tin văn bản… được mã hóa trước khi truyền trên môi trường mạng. Các tập tin gửi đính kèm bởi thư điện tử hoặc được tải xuống từ Internet hay các thiết bị lưu trữ gắn vào hệ thống cần được kiểm tra để phòng chống lây nhiễm vi rút máy tính hoặc phần mềm gián điệp gây mất mát thông tin.

Điều 6. Xâydựngquychế nộibộđảmbảoan toàn chohệ thốngthôngtin

1.Thủtrưởngcáccơquan,đơn vị đượcquy địnhtạiĐiều2của Quychếnàyphải ban hànhquychế nộibộ, bảođảmquyđịnhrõcác vấnđề sau:

a)Mụctiêuvàphươnghướngthựchiệncôngtácđảm bảoantoànanninhchohệ thốngthôngtin;

b)Nguyêntắcphânloại vàquảnlýmứcđộưutiênđốivớicác tài nguyêncủahệ thốngthôngtin(phầnmềm,dữliệu,trangthiếtbị,…);

c)Quảnlýphânquyềnvàtráchnhiệmđốivớitừngcánhânkhitham giasửdụng hệ thốngthôngtin;

d)Quảnlý và điều hànhmáychủ,thiết bị mạng,thiết bị bảovệ mạngmộtcáchan toàn;

e)Kiểm tra,ràsoátvàkhắcphụcsựcốantoànanninhcủahệ thốngthôngtinsử dụngcácbiệnpháptrongĐiều4, Điều5và Điều7của Quychế này;

f)Nguyêntắcchungsửdụngantoànvàhiệuquảđốivớitoànbộcánhântham giasử dụnghệ thốngthôngtin;

g) Tổchức thực hiện.

2.Cáccơquan,đơnvịxây dựngquy chếantoànanninhchođơnvịcăncứcác tiêuchuẩnkỹthuậtquảnlýantoàncủabộtiêuchuẩnTCVN7562:2005vàISO/IEC 17799:2005 tạiPhụ lục 1 để có sựlựa chọnápdụng phù hợpvớicơ quanmình.

Điều7.Xâydựngvàápdụngquytrìnhđảm bảoantoàn, anninhchohệ thốngthôngtin

1.Cáccơquannhànướcphảixây dựngvàápdụngquy trìnhđảm bảoantoàn,an ninhchohệthốngthôngtinnhằm giảm thiểucácnguycơgây rasựcố,tạođiềukiện choviệckhắc phục và truyvếttrong trường hợpcó sựcố xảyra.

Nộidungcủaquytrìnhnênchialàmcác bước cơ bản sau:

a) Lậpkế hoạch bảovệ antoàn,anninh chohệ thốngthôngtin;

b) Xâydựnghệ thốngbảovệ antoàn,anninhthôngtin;

c) Quảnlý vàvận hànhhệ thốngbảovệ antoàn,anninhthông tin;

d) Kiểmtra đánhgiá hoạtđộngcủa hệthốngbảo vệantoàn,an ninhthôngtin;

e) Bảotrìvànângcấp hệthốngbảovệ antoàn,an ninhthôngtin.

2.Cáccơquan,đơnvịtham khảocácbướccơbảnđểxây dựngkhungquy trình đảm bảoantoàn,anninhthôngtinchohệthốngthôngtintại Phụ lục 3 củaQuychế nàyvà tiêuchuẩnquốc tế ISO27001.

ChươngIII

TRÁCH NHIỆM ĐẢM BẢO AN TOÀN, AN NINH THÔNG TIN

Điều 8.Trách nhiệmcủacác cơ quan,đơn vị

1.Thủtrưởngcáccơquan,đơnvịcótráchnhiệm thựchiệnĐiều6vàĐiều7của Quychếnày vàchịutráchnhiệm thựchiệncácquyđịnhcủaphápluậttrongcôngtác bảo vệ antoànhệ thốngthôngtincủa đơnvị.

2.Khicósựcốhoặcnguy cơmấtantoànthôngtin,kịpthờiápdụngmọibiện phápđể khắcphụcvàhạnchếthiệthại,ưutiênsửdụnglựclượngkỹ thuậtanninh thông tin củađơnvị vàlập biên bảnbáocáobằng văn bảnchocơquancấptrên quản lý trựctiếp và Sở ThôngtinvàTruyềnthôngtheo biểumẫutạiPhụ lục 4 của Quy chế này.