🇷🇺 Оригинал документа на вьетнамском
Вьетнамские законы публикуются только на вьетнамском. Ниже - оригинальный текст. Используйте встроенный переводчик Chrome / Edge / Safari, или:
Quyết định40/2025/QĐ-UBND· 09/10/2025
Quyết định số 40/2025/QĐ-UBND Ban hành Quy chế bảo đảm an ninh mạng, an toàn thông tin trên địa bàn tỉnh Bắc Ninh
CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúcĐiều 22. Nghị định số 85/2016/NĐ-CP. đ) Ban hành, tham mưu ban hành Quy chế quản lý, vận hành, khai thác, đảm bảo an ninh an toàn hệ thống thông tin. e) Đối với hệ thống thông tin đáp ứng tiêu chí hệ thống thông tin quan trọng về an ninh quốc gia, đơn vị vận hành hệ thống thông tin lập hồ sơ đề nghị đưa hệ thống thông tin vào Danh mục hệ thống thông tin quan trọng về an ninh quốc gia, trình UBND tỉnh (thông qua Công an tỉnh) gửi Bộ Công an thẩm định.
Điều 6. Bảo đảm, quản lý nguồn nhân lực 1. Việc tuyển dụng công chức, viên chức làm về an ninh an toàn mạng thực hiện theo quy định của pháp luật. 2. Trong quá trình làm việc a) Đối với người dùng - Có trách nhiệm tuân thủ các quy định, hướng dẫn bảo đảm an ninh an toàn mạng, bảo vệ dữ liệu cá nhân và các quy định khác của pháp luật đối với từng vị trí công việc; - Thông báo ngay cho đơn vị chủ quản hệ thống thông tin khi nghi ngờ hoặc phát hiện sự cố, hiện tượng bất thường của hệ thống thông tin; - Tham gia đầy đủ các lớp tập huấn, đào tạo và tự cập nhật kiến thức về an ninh an toàn mạng; - Đổi mật khẩu ngay sau khi được cấp tài khoản đăng nhập các dịch vụ, ứng dụng của UBND. Giữ bí mật tài khoản cá nhân khi tham gia khai thác, sử dụng, không ghi mật khẩu ra những nơi người khác có thể biết; không lưu trữ, truyền, gửi mật khẩu khi chưa được mã hóa an toàn và chia sẻ mật khẩu của cá nhân cho người khác; định kỳ 3 tháng phải thay đổi mật khẩu hoặc ngay sau khi nghi ngờ tài khoản có dấu hiệu bị lộ, lọt; - Chịu trách nhiệm quản lý, sử dụng trang thiết bị CNTT được giao bảo đảm an ninh an toàn mạng; không được giao cho các tổ chức, cá nhân khác sử dụng trang thiết bị CNTT đã được giao sử dụng; không được sử dụng trang thiết bị CNTT cá nhân để kết nối, truy cập vào các hệ thống thông tin nội bộ nếu chưa được phép của đơn vị chủ quản; không tự thay thế, lắp mới, thay đổi thành phần của máy tính công vụ; không mang tài sản CNTT của đơn vị ra ngoài nếu chưa được phép của thủ trưởng đơn vị; có trách nhiệm bàn giao cho đơn vị quản lý các trang thiết bị CNTT khi chuyển công tác, thay đổi vị trí việc làm hoặc nghỉ việc; - Thực hiện soạn thảo văn bản chứa nội dung bí mật nhà nước, lưu trữ tài liệu mật tại máy tính được trang bị cho việc soạn thảo, lưu trữ văn bản mật theo quy định. Không sử dụng thiết bị lưu trữ ngoài để lưu thông tin, tài liệu mật, trừ trường hợp có áp dụng các biện pháp mã hóa do Ban Cơ yếu Chính phủ cung cấp; - Không tự ý thay đổi, gỡ bỏ biện pháp an toàn thông tin cài đặt trên máy tính phục vụ công việc. b) Đối với cán bộ quản lý, vận hành hệ thống - Tuân thủ nghiêm ngặt theo các quy trình, quy định, nội quy đơn vị đã được ban hành và phải chịu trách nhiệm nếu sự cố xảy ra nghiêm trọng; - Phân rõ trách nhiệm quản lý, vận hành hệ thống thông tin đến từng cá nhân; không giao cho một người quản trị tất cả chức năng về an ninh an toàn mạng của hệ thống thông tin; - Việc khai thác thông tin, dữ liệu phải bảo đảm nguyên tắc bảo mật, an toàn thông tin, không được tự ý cung cấp thông tin, dữ liệu ra bên ngoài; - Khi thực hiện các nghiệp vụ chuyên môn có sự tác động đến các thiết bị, hệ thống phải được ghi chép cụ thể vào sổ Nhật ký hệ thống. c) Đối với cơ quan, tổ chức - Định kỳ hằng năm tổ chức phổ biến, tuyên truyền nâng cao nhận thức về an ninh an toàn mạng cho người dùng; - Định kỳ hằng năm tổ chức đào tạo hoặc cử đi đào tạo về an ninh an toàn mạng cho cán bộ kỹ thuật, cán bộ quản lý, người sử dụng trong hệ thống; - Phối hợp với Công an tỉnh tham mưu xây dựng, triển khai kế hoạch đào tạo, bồi dưỡng, tập huấn về công tác bảo đảm an ninh an toàn mạng cho đội ngũ công chức, viên chức của cơ quan, đơn vị. 3. Đối với công chức, viên chức, người lao động nghỉ việc hoặc thay đổi công việc a) Công chức, viên chức, người lao động nghỉ việc hoặc thay đổi công việc phải tuân thủ: - Phải bàn giao lại công việc, tài khoản truy cập hệ thống thông tin, tài sản CNTT của cơ quan, đơn vị; - Phải có cam kết giữ bí mật thông tin liên quan đến tổ chức sau khi nghỉ việc: Không tiết lộ thông tin được tiếp xúc trong quá trình công tác tại đơn vị cho các cá nhân, tổ chức gây ảnh hưởng bất lợi đến lợi ích của đơn vị; Không sử dụng các thông tin được tiếp xúc trong quá trình công tác tại đơn vị vào mục đích trục lợi cá nhân. b) Quy trình thực hiện vô hiệu hóa tất cả các quyền ra, vào, truy cập tài nguyên, quản trị hệ thống sau khi công chức, viên chức, người lao động thôi việc: - Thu hồi tài khoản truy cập, các trang thiết bị máy móc, phần cứng và các tài sản khác thuộc sở hữu của đơn vị quản lý; - Vô hiệu hóa các thông tin của công chức, viên chức, người lao động thôi việc được lưu trên các phương tiện lưu trữ, phần mềm; - Vô hiệu hóa tất cả các quyền truy cập của công chức, viên chức, người lao động thôi việc vào tài nguyên, hệ thống phần mềm của đơn vị quản lý; - Kiểm tra lại các quyền ra vào, truy cập tài nguyên, quản trị hệ thống đã cấp cho công chức, viên chức, người lao động thôi việc để bảo đảm đã hoàn toàn được gỡ bỏ khỏi hệ thống.
Điều 7. Thiết kế an toàn hệ thống thông tin 1. Khi thiết kế, xây dựng hệ thống thông tin phải mô tả quy mô, phạm vi và đối tượng sử dụng, khai thác, quản lý vận hành hệ thống thông tin: a) Tài liệu phân tích lựa chọn kiến trúc, công nghệ. b) Tài liệu thiết kế tổng thể hệ thống thể hiện thiết kế hạ tầng và kết nối các thành phần của hệ thống. c) Các vùng mạng trong hệ thống: Vùng mạng nội bộ; vùng mạng biên; vùng mạng DMZ; vùng máy chủ nội bộ; vùng mạng không dây (nếu có) tách riêng, độc lập với các vùng mạng khác; vùng mạng máy chủ cơ sở dữ liệu; vùng quản trị; vùng quản trị thiết bị hệ thống. d) Các giải pháp, thiết bị của hệ thống thông tin đáp ứng các quy định của Thông tư số 12/2022/TT-BTTTT ngày 12 tháng 8 năm 2022 của Bộ Thông tin và Truyền thông quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ (Thông tư số 12/2022/TT-BTTTT). 2. Khi thiết kế, xây dựng hệ thống thông tin phải mô tả “Kiến trúc hệ thống” trong đó có mô tả thiết kế và các thành phần của hệ thống thông tin thông qua một số mô hình kiến trúc khác nhau nhằm mô tả hệ thống dưới nhiều góc nhìn khác nhau, bao gồm: a) Thiết kế kiến trúc ứng dụng; b) Thiết kế kiến trúc dữ liệu; c) Thiết kế kiến trúc vật lý. 3. Khi thiết kế, xây dựng hệ thống thông tin phải mô tả phương án bảo đảm an toàn thông tin theo từng cấp độ tương ứng với hồ sơ đề xuất cấp độ được quy định tại Thông tư số 12/2022/TT-BTTTT. 4. Khi thiết kế, xây dựng hệ thống thông tin phải mô tả phương án lựa chọn giải pháp công nghệ bảo đảm an toàn thông tin, trong đó cần bảo đảm các tiêu chí: a) Bảo đảm có từ 2 - 3 công nghệ được phân tích và đưa ra phương án lựa chọn. b) Phân tích các ưu, nhược điểm của từng công nghệ để từ đó chọn ra công nghệ áp dụng phù hợp nhất. 5. Khi có thay đổi thiết kế, đơn vị được giao chủ trì cần phối hợp với các đơn vị liên quan đánh giá lại tính phù hợp của phương án thiết kế đối với các yêu cầu an ninh an toàn mạng đặt ra đối với hệ thống, xây dựng lại hồ sơ đề xuất cấp độ cho hệ thống và trình cấp có thẩm quyền thẩm định, phê duyệt theo quy định. 6. Phương án quản lý và bảo vệ hồ sơ thiết kế a) Hồ sơ thiết kế không được tùy tiện cung cấp cho cá nhân, đơn vị khác không có đủ thẩm quyền; b) Hồ sơ thiết kế được bảo quản, lưu trữ theo quy định.
Điều 8. Phát triển và nghiệm thu phần mềm, hệ thống 1. Đối với các nội dung liên quan đến việc phát triển phần mềm thuê khoán, nhà phát triển phải bảo đảm có các cam kết bảo đảm an ninh an toàn mạng. Có biên bản, hợp đồng và các cam kết đối với bên thuê khoán các nội dung liên quan đến việc phát triển phần mềm thuê khoán. 2. Nhà phát triển phải cung cấp mã nguồn sản phẩm cho đơn vị thuê theo hình thức ghi đĩa DVD hoặc USB; yêu cầu DVD, USB cần phải đặt mật khẩu để bảo đảm an ninh an toàn mạng; Mã nguồn đã được nhà phát kiểm thử nội bộ trước khi bàn giao. 3. Phần mềm phải được kiểm thử tại ít nhất một đơn vị thụ hưởng trước khi nghiệm thu, bàn giao đưa vào khai thác, sử dụng. 4. Phần mềm phải được kiểm tra, đánh giá an ninh an toàn mạng trước khi đưa vào sử dụng. 5. Hoạt động thử nghiệm và nghiệm thu hệ thống thực hiện theo hướng dẫn tại Thông tư số 16/2024/TT-BTTTT ngày 30/12/2024 của Bộ Thông tin và Truyền thông quy định chi tiết nội dung công tác triển khai, giám sát công tác triển khai, nghiệm thu đối với dự án đầu tư ứng dụng công nghệ thông tin; xác định yêu cầu về chất lượng dịch vụ và các nội dung đặc thù của hợp đồng thuê dịch vụ đối với thuê dịch vụ công nghệ thông tin theo yêu cầu riêng.
Điều 9. Quản lý an toàn mạng 1. Quản lý, vận hành hoạt động bình thường của hệ thống a) Bảo đảm cho hệ điều hành, phần mềm cài đặt trên máy chủ hoạt động liên tục, ổn định và an toàn. b) Thường xuyên kiểm tra cấu hình, các file nhật ký hoạt động của hệ điều hành, phần mềm nhằm kịp thời phát hiện và xử lý những sự cố nếu có. c) Quản lý các thay đổi cấu hình kỹ thuật của hệ điều hành, phần mềm. d) Thường xuyên cập nhật các bản vá lỗi hệ điều hành, phần mềm từ nhà cung cấp. đ) Loại bỏ các thành phần của hệ điều hành, phần mềm không cần thiết hoặc không còn nhu cầu sử dụng. e) Các bản quyền phần mềm cần được thống kê, quản lý thời gian phục vụ cho việc gia hạn. g) Triển khai hệ thống phát hiện phòng chống xâm nhập giữa các vùng mạng quan trọng. h) Sử dụng thêm các phương pháp xác thực đa nhân tố đối với các thiết bị mạng quan trọng. i) Triển khai phương án cảnh báo thời gian thực trực tiếp đến người quản trị hệ thống thông qua hệ thống giám sát khi phát hiện sự cố trên các thiết bị mạng. k) Duy trì ít nhất 02 kết nối mạng Internet từ các ISP sử dụng hạ tầng kết nối trong nước khác nhau (nếu hệ thống buộc phải có kết nối mạng Internet). 2. Cập nhật, sao lưu dự phòng và khôi phục sau khi xảy ra sự cố a) Triển khai hệ thống/phương tiện lưu trữ độc lập với hệ thống lưu trữ trên các máy chủ dịch vụ để sao lưu dự phòng; phân loại và quản lý thông tin, dữ liệu được lưu trữ theo từng loại/nhóm thông tin được gán nhãn khác nhau; thực hiện sao lưu, dự phòng các thông tin, dữ liệu cơ bản sau: tập tin cấu hình hệ thống, ảnh hệ điều hành máy chủ, cơ sở dữ liệu; dữ liệu, thông tin nghiệp vụ. b) Triển khai phương án dự phòng nóng cho các thiết bị mạng chính bảo đảm khả năng vận hành liên tục của hệ thống; năng lực của thiết bị dự phòng phải đáp ứng theo quy mô hoạt động của hệ thống. c) Triển khai hệ thống/phương tiện lưu trữ nhật ký độc lập và phù hợp với hoạt động của các thiết bị mạng. Dữ liệu nhật ký phải được lưu tối thiểu 06 tháng. d) Triển khai hệ thống/phương tiện chống thất thoát dữ liệu trong hệ thống. 3. Truy cập và quản lý cấu hình hệ thống a) Cán bộ quản lý, nhân viên vận hành truy cập, khai thác thông tin tại hệ thống theo trách nhiệm và phân quyền được quy định; việc khai thác thông tin phải bảo đảm nguyên tắc bảo mật, không được tự ý cung cấp thông tin ra bên ngoài. b) Cán bộ quản lý, nhân viên vận hành có trách nhiệm theo dõi và phát hiện các trường hợp truy cập hệ thống trái phép hoặc thao tác vượt quá giới hạn, báo cáo cho cán bộ quản lý để tiến hành ngăn chặn, thu hồi, khóa quyền truy cập của các tài khoản vi phạm. c) Quy trình kết nối thiết bị đầu cuối của người sử dụng vào hệ thống mạng; truy nhập và quản lý cấu hình hệ thống. 4. Cấu hình tối ưu, tăng cường bảo mật cho thiết bị mạng, bảo mật (cứng hóa) trong hệ thống và thực hiện quy trình trước khi đưa hệ thống vào vận hành khai thác.
Điều 10. Quản lý an toàn máy chủ và ứng dụng 1. Quy định với máy chủ a) Hệ thống máy chủ phải có tính năng sẵn sàng cao, c
Trình bày theo thể thức NĐ 30/2020/NĐ-CP. Đối chiếu PDF gốc trên đầu trang.
Оригинал на вьетнамском языке. При необходимости используйте перевод браузера.