Quyết định Ban hành Quy chế bảo đảm an toàn thông tin trong lĩnh vực ứng dụng

trong lĩnh vực ứng dụng công nghệ thông tin trên địa bàn thành phố Đà Nẵng.

định số 9976/QĐ-UBND ngày 21 tháng 11 năm 2011 của UBND thành phố Đà Nẵng ban hành Quy chế bảo đảm an toàn, an ninh thông tin trong lĩnh vực ứng dụng công nghệ thông tin của các cơ quan quản lý hành chính nhà nước thuộc thành phố Đà Nẵng.

ngành; Chủ tịch UBND các quận, huyện, phường, xã và Thủ trưởng các cơ quan, đơn vị, cá nhân liên quan chịu trách nhiệm thi hành Quyết định này./. TM. ỦY BAN NHÂN DÂN CHỦ TỊCH Huỳnh Đức Thơ -- 2 of 34 -- ỦY BAN NHÂN DÂN THÀNH PHỐ ĐÀ NẴNG CỘNG HOÀ XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc Số: /QĐ-UBND Đà Nẵng, ngày tháng năm 2018 QUY CHẾ Bảo đảm an toàn thông tin trong lĩnh vực ứng dụng công nghệ thông tin trên địa bàn thành phố Đà Nẵng (Ban hành kèm theo Quyết định số: 4159/QĐ-UBND ngày 14 tháng 9 năm 2018 của Ủy ban nhân dân thành phố Đà Nẵng) Chương I QUY ĐỊNH CHUNG

1. Phạm vi điều chỉnh Quy chế này quy định các nội dung, biện pháp và trách nhiệm bảo đảm an toàn thông tin trong lĩnh vực ứng dụng công nghệ thông tin (CNTT) trên địa bàn thành phố Đà Nẵng. 2. Đối tượng áp dụng a) Quy chế này được áp dụng đối với tất cả các cơ quan là sở, ban, ngành; UBND các quận, huyện, phường, xã và các tổ chức, đơn vị sự nghiệp do UBND thành phố Đà Nẵng quyết định thành lập (sau đây gọi chung là cơ quan); b) Quy chế áp dụng đối với cán bộ, công chức, viên chức, người lao động (CBCCVC-NLĐ) làm việc tại các cơ quan thuộc UBND thành phố Đà Nẵng; c) Khuyến nghị các tổ chức, cá nhân khác trên địa bàn thành phố Đà Nẵng áp dụng Quy chế này trong công tác bảo đảm an toàn thông tin.

Trong Quy chế này, các từ ngữ dưới đây được hiểu như sau: 1. An toàn thông tin (ATTT) là sự bảo vệ các hệ thống thông tin nhằm phòng, chống và tránh bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép bảo đảm tính toàn vẹn, tính bảo mật và tính khả dụng của thông tin. 2. Hệ thống thông tin (HTTT) là tập hợp phần cứng, phần mềm và cơ sở dữ liệu được thiết lập phục vụ mục đích tạo lập, cung cấp, truyền đưa, thu thập, xử lý, lưu trữ và trao đổi thông tin trên mạng. 3. HTTT quan trọng của thành phố Đà Nẵng là HTTT mà khi bị phá hoại sẽ gây tổn hại nghiêm trọng đến hoạt động quản lý, điều hành của chính quyền thành phố và trật tự an toàn xã hội trên địa bàn thành phố Đà Nẵng. Danh mục HTTT quan trọng của thành phố Đà Nẵng chi tiết tại Phụ lục I kèm theo Quy chế này. -- 3 of 34 -- 4. Chủ quản HTTT là cơ quan, tổ chức có thẩm quyền quyết định đầu tư dự án xây dựng, thiết lập, nâng cấp, mở rộng hoặc cơ quan, tổ chức được cấp có thẩm quyền giao quản lý HTTT đó. 5. Đơn vị vận hành HTTT là cơ quan, tổ chức được chủ quản HTTT giao để vận hành HTTT đó. Trong trường hợp chủ quản HTTT thuê ngoài dịch vụ CNTT, đơn vị vận hành HTTT là bên cung cấp dịch vụ. 6. Sự cố ATTT là trường hợp HTTT và Thông tin bị truy nhập, sử dụng, tiết lộ trái phép hoặc Hệ thống có sự can thiệp cố ý của con người gây ra việc gián đoạn làm ảnh hưởng đến tính toàn vẹn, tính bảo mật và tính khả dụng của thông tin. 7. Ứng cứu sự cố ATTT là hoạt động nhằm xử lý, khắc phục sự cố ATTT, bao gồm: theo dõi, thu thập, phân tích, phát hiện, cảnh báo, điều tra, xác minh và khắc phục sự cố bảo đảm khôi phục lại để HTTT hoạt động trở lại bình thường. 8. Đội ứng cứu sự cố ATTT thành phố Đà Nẵng (sau đây gọi tắt Đội ứng cứu sự cố) là bộ phận thuộc Ban Chỉ đạo Ứng dụng và Phát triển công nghệ thông tin thành phố Đà Nẵng, có trách nhiệm tham gia ứng cứu xử lý các sự cố ATTT trên địa bàn thành phố Đà Nẵng và phối hợp để tham gia hoạt động khi có yêu cầu từ Bộ Thông tin và Truyền thông hoặc các cơ quan có liên quan. 9. Rủi ro ATTT là những nhân tố chủ quan hoặc khách quan có thể xảy ra trong quá trình vận hành các HTTT hoặc ứng cứu sự cố ATTT. 10. Đánh giá rủi ro ATTT là việc phát hiện, phân tích, ước lượng mức độ tổn hại, mối đe dọa đối với thông tin, HTTT. 11. Mật khẩu có độ phức tạp cao là mật khẩu có độ dài tối thiểu 12 ký tự, trong đó kết hợp bao gồm ký tự hoa, thường, chữ số và ký tự đặc biệt. 12. Bản ghi nhật ký hệ thống (logfile) là tập tin được tạo ra trên thiết bị hoặc chương trình của HTTT, nhằm ghi lại tất cả các tác vụ xảy ra trên thiết bị hoặc chương trình.

1. Ngăn chặn việc truyền tải thông tin trên mạng, can thiệp, truy nhập, tiết lộ, gây nguy hại, xóa, thay đổi, sao chép và làm sai lệch thông tin, dữ liệu của tổ chức, cá nhân. 2. Gây ảnh hưởng, cản trở trái pháp luật tới hoạt động bình thường của HTTT, có những tác động chủ ý gây ra sự cố ATTT. 3. Phát tán thư rác, phần mềm độc hại, thiết lập HTTT giả mạo, lừa đảo, chiếm quyền điều khiển... phá hoại HTTT. 4. Thu thập, sử dụng, phát tán, kinh doanh trái pháp luật thông tin cá nhân của người khác; lợi dụng sơ hở, điểm yếu của HTTT để thu thập, khai thác thông tin cá nhân. -- 4 of 34 -- Chương II BIỆN PHÁP BẢO ĐẢM AN TOÀN THÔNG TIN

Đơn vị quản lý, vận hành các máy chủ và các thiết bị mạng có trách nhiệm thực hiện các biện pháp bảo đảm ATTT mức vật lý như sau: 1. Các thiết bị mạng liên quan đến ATTT như tường lửa, thiết bị định tuyến, chuyển mạch, các máy chủ, hệ thống lưu trữ SAN (Storage Area Network), NAS (Network Attached Storage),... phải được đặt trong phòng máy chủ. 2. Phòng máy chủ phải được bố trí ở khu vực riêng biệt, bảo đảm an toàn nhiệt độ, độ ẩm, có trang bị camera, thiết bị bảo đảm an ninh (thiết lập cơ chế bảo vệ, theo dõi, phát hiện xâm nhập trái phép và các biện pháp kiểm soát truy nhập bằng thẻ từ, vân tay), có đầy đủ thiết bị phòng cháy, chữa cháy, nguồn cung cấp điện ổn định và có nguồn điện dự phòng. 3. Phòng máy chủ phải xây dựng quy trình ra, vào phòng máy chủ và phải được ghi nhận trong nhật ký quản lý, các cơ quan quản lý phòng máy chủ có trách nhiệm xây dựng nội quy, hướng dẫn và mô tả các vị trí công việc tại phòng máy.

Đơn vị quản lý, vận hành hạ tầng mạng có trách nhiệm thực hiện các biện pháp sau: 1. Quản lý hạ tầng mạng nội bộ a) Tuân thủ các quy định kiến trúc hệ thống, tiêu chuẩn, quy chuẩn kỹ thuật; cài đặt, cấu hình, tổ chức hệ thống mạng phù hợp với các tiêu chuẩn ứng dụng CNTT của các cơ quan nhà nước, bảo đảm ATTT, hạn chế sử dụng mô hình mạng có nguy cơ ATTT cao. b) Đối với các cơ quan có nhiều phòng, ban, đơn vị trực thuộc có trụ sở làm việc không nằm trong cùng một khu vực, khi cấu hình kết nối trên hệ thống mạng đô thị (MAN) thành phố phải thiết lập mạng riêng ảo (Virtual Private Network - VPN). c) Trang bị thiết bị tường lửa chuyên dụng hoặc phần mềm tường lửa để ngăn chặn và phát hiện xâm nhập trái phép vào mạng nội bộ của cơ quan khi kết nối với hệ thống bên ngoài. d) Khi thực hiện truy nhập từ xa vào mạng nội bộ thực hiện chức năng quản trị, phải sử dụng giao thức mạng có mã hóa thông tin như SSL/TLS, VPN,... và thiết lập mật khẩu có độ phức tạp cao. 2. Quản lý mạng không dây a) Khi thiết lập mạng không dây để kết nối với mạng cục bộ thông qua các điểm truy nhập (Access Point - AP), đơn vị vận hành phải thiết lập các tham số: tên, nhận dạng dịch vụ (Service Set Identifier - SSID), mật khẩu có độ phức tạp cao, cấp phép truy nhập đối với địa chỉ vật lý (MAC Address), mã hóa dữ liệu theo cơ chế bảo mật -- 5 of 34 -- WPA2 hoặc WPA3. b) Mật khẩu đăng nhập phải được thiết lập có độ phức tạp cao, định kỳ 3 tháng thay đổi mật khẩu nhằm tăng cường công tác bảo mật. c) Khi cung cấp truy cập Internet qua mạng không dây cho người ngoài cơ quan, đơn vị vận hành phải tạo thêm một SSID riêng và giới hạn băng thông truy cập phù hợp đối với đối tượng này.

1. Trên hệ thống máy chủ các đơn vị chủ quản, vận hành phải: a) Hệ điều hành được cài đặt là phần mềm có bản quyền (bao gồm bản quyền thương mại hoặc mã nguồn mở có nguồn gốc rõ ràng), các dịch vụ cài đặt trên máy chủ là các dịch vụ được sử dụng dùng chung cho cơ quan, đơn vị, không cài đặt các dịch vụ không sử dụng. b) Thiết lập chế độ tự động cập nhật bản vá hệ điều hành, phần mềm, ứng dụng và hệ quản trị cơ sở dữ liệu được cài đặt trên máy chủ, phải thiết lập mật khẩu truy nhập chế độ tự động bảo vệ màn hình sau 10 phút không sử dụng đối với tất cả máy chủ. c) Các máy chủ cần được cài đặt mật khẩu ở phần cấu hình (setup) của BIOS, trong đó lưu ý việc vô hiệu hóa các cổng USB trên máy chủ. d) Không sử dụng thiết bị lưu trữ cá nhân để sao chép, lưu trữ thông tin, dữ liệu của cơ quan; khi cần khôi phục dữ liệu trong trên máy chủ, máy tính trạm của cơ quan bị hư hỏng, đơn vị quản lý thông báo Sở Thông tin và Truyền thông để được hướng dẫn, hỗ trợ. 2. Cơ quan chủ quản có trách nhiệm trang bị phần mềm phòng chống mã độc (antivirus) cho hệ thống máy chủ; đơn vị vận hành thiết lập chế độ tự động cập nhật phiên bản mới, các bản vá lỗi; chế độ tự động quét mã độc khi sao chép, mở các tập tin; chế độ quét toàn bộ máy tính định kỳ hàng tuần. 3. Định kỳ hàng tuần đơn vị vận hành phải kiểm tra các tiến trình trên máy chủ nhằm sớm phát hiện nguy cơ cài cắm phần mềm độc hại trên máy chủ. 4. Quản lý logfile: Đơn vị vận hành phải thường xuyên kiểm tra, quản lý, sao lưu các logfile theo từng tháng, thời gian lưu trữ logfile trên máy chủ và thiết bị từ 06 - 12 tháng, các tập tin logfile cũ trong 03 năm trước đó cần được lưu trữ trên các ổ cứng ngoài; định kỳ 6 tháng thiết bị giám sát bảo đảm tính toàn vẹn của các logfile, hạn chế tình trạng tràn logfile gây ảnh hưởng đến hoạt động của HTTT. 5. Quản lý lưu ký hệ thống: Việc thực hiện lưu ký HTTT yêu cầu đơn vị cung cấp dịch vụ lưu ký phải tổ chức máy chủ cơ sở dữ liệu và máy chủ ứng dụng nằm trên hai máy chủ khác nhau và được bảo vệ bởi lớp bảo vệ bao gồm: tường lửa, thiết bị phòng chống tấn công từ chối dịch vụ DDoS (Distributed Denial of Service), thiết bị phát hiện và phòng chống xâm nhập trái phép (IPS/IDS),... 6. Quản lý phiên bản: Đơn vị vận hành xây dựng nhật ký quản lý phiên bản -- 6 of 34 -- HTTT bao gồm các thông tin: Chủ đầu tư, Tên HTTT, đơn vị phát triển, tên phiên bản; các chức năng của phiên bản; các chức năng thay đổi so với phiên bản trước, thời gian thay đổi; lưu trữ các phiên bản HTTT tại hệ thống lưu trữ độc lập. 7. Khi thiết lập cung cấp các dịch vụ ra môi trường mạng (tuân thủ theo TCP/UDP Port), đơn vị vận hành yêu cầu nhà cung cấp dịch vụ cấu hình trên máy chủ ứng dụng những dịch vụ thiết yếu nhất để bảo đảm hoạt động của hệ thống, không kích hoạt những chức năng, cổng giao tiếp mạng, giao thức và các dịch vụ không sử dụng (không thiết lập cấu hình các dịch vụ ra môi trường mạng đối với máy chủ cơ sở dữ liệu). 8. Nghiêm cấm sử dụng các tài nguyên tính toán như: các máy chủ và các cổng dịch vụ môi trường mạng để xây dựng các hệ thống thực hiện các hành vi đào tiền ảo, rà quét các lỗ hổng bảo mật, hoặc tham gia các hoạt động bất hợp pháp khác trên môi trường mạng.

1. Quản lý tài khoản và chữ ký số a) Khi cấp tài khoản, chữ ký số lần đầu cho người dùng truy nhập, đơn vị vận hành phải thông báo (qua email, điện thoại,...) và người dùng phải thay đổi mật khẩu sau khi đăng nhập thành công lần đầu. Sau thời gian chậm nhất là 03 ngày, các tài khoản không tuân thủ việc thay đổi mật khẩu các tài khoản của các HTTT tự động vô hiệu hóa. b) Các HTTT khi phân quyền phải thiết lập chế độ giới hạn số lần đăng nhập không hợp lệ vào hệ thống tối đa không quá 05 lần, khi người dùng đăng nhập sai vượt quá số lần quy định, tài khoản chuyển sang chế độ khóa quyền truy cập; các HTTT xác lập chế độ thoát ra khỏi hệ thống nếu người sử dụng không tương tác trên hệ thống của phiên làm việc quá 10 phút. c) Chủ tài khoản, chữ ký số không chia sẻ, giao quyền tài khoản, chữ ký số và mật khẩu truy nhập cho người khác. Không sử dụng tài khoản của người khác (tài khoản thư điện tử, chữ ký số, chứng thư số...) để đăng nhập vào HTTT, cơ sở dữ liệu. d) Tài khoản thư điện tử, chữ ký số chuyên dùng ([email protected] và chữ ký số do Ban Cơ yếu Chính phủ cấp) là tài khoản để phục vụ cho các hoạt động mang tính công vụ, không sử dụng để giao dịch, đăng ký trên mạng xã hội, các trang thông tin điện tử công cộng khác. đ) Khi cá nhân thay đổi vị trí công tác, chuyển công tác, thôi việc, nghỉ hưu, ngay từ thời điểm Quyết định có hiệu lực, đơn vị quản lý cá nhân đó phải thông báo đơn vị vận hành để điều chỉnh, thu hồi, hủy bỏ tài khoản, chữ ký số, chứng thư số,... e) Tài khoản quản trị hệ thống là tài khoản được giao cho cán bộ chuyên trách CNTT phục vụ cho công tác quản trị, phân quyền, cấu hình hệ thống đó Cán bộ quản trị hệ thống không sử dụng cùng một mật khẩu cho nhiều tài khoản khác nhau. g) Khi cá nhân thay đổi vị trí công tác, chuyển công tác, thôi việc, nghỉ hưu, -- 7 of 34 -- ngay từ thời điểm thay đổi có hiệu lực, đơn vị quản lý cá nhân đó phải thông báo đơn vị vận hành để điều chỉnh, thu hồi, hủy bỏ tài khoản và các tài sản liên quan (khóa, thẻ nhận dạng, chữ ký số,...). 2. Các đơn vị khi triển khai dịch vụ sao lưu dự phòng ở mức vật lý cần thiết lập chức năng RAID (Redundant Arrays of Inexpensive Disks hoặc Redundant Arrays of Independent Disks) để tăng tốc độ đọc ghi hoặc bảo đảm khả năng lưu trữ dự phòng. Các đơn vị khi thuê dịch vụ cần yêu cầu nhà cung cấp dịch vụ thiết lập các giải pháp sao lưu tự động đối với dữ liệu trên máy chủ cơ sở dữ liệu và máy chủ ứng dụng và xây dựng các kịch bản có sẵn để khôi phục lại toàn bộ máy chủ hoặc các tập tin, thư mục khi xảy ra sự cố. 3. Đơn vị vận hành, các tổ chức cung cấp dịch vụ phải xây dựng nhật ký về quá trình sao lưu dữ liệu, thay đổi cấu trúc CSDL: Nội dung thay đổi, lý do thay đổi, thời gian, vị trí thay đổi,...; phân quyền đối với các thao tác thay đổi cấu trúc CSDL (tạo CSDL, tạo bảng, thay đổi cấu trúc bảng...); việc thay đổi, hủy,... chữ ký số tuân thủ các quy định pháp luật về chữ ký số. 4. Các tên miền (bao gồm cả tên miền xxx.danang.gov.vn) khi không còn sử dụng có văn bản gửi đến Sở Thông tin và Truyền thông và Trung Tâm Internet Việt Nam (VNNIC) để đề nghị hủy tên miền; các HTTT không sử dụng, chủ quản HTTT thực hiện việc thu hồi máy chủ, thu hồi ứng dụng và thực hiện việc lưu trữ dữ liệu ra thiết bị lưu trữ ngoài và yêu cầu đơn vị cung cấp dịch vụ lưu ký xóa hoàn toàn dữ liệu trên các máy chủ. 5. Khi thực hiện chia sẻ tài nguyên trên máy chủ hoặc máy trạm, đơn vị vận hành phải sử dụng mật khẩu để bảo vệ thông tin, dữ liệu; không thực hiện chia sẻ toàn bộ ổ cứng; theo dõi, giám sát để kết thúc chia sẻ tài nguyên ngay khi hoàn thành. 6. Đơn vị quản lý máy chủ, máy trạm và thiết bị lưu trữ khi mang đi bảo hành, bảo dưỡng, sửa chữa bên ngoài cơ quan phải tháo rời bộ phận lưu trữ khỏi thiết bị và để lại cơ quan, hoặc xóa dữ liệu lưu trữ trên thiết bị. Khi thanh lý thiết bị phải xóa dữ liệu lưu trữ bằng phần mềm hoặc thiết bị hủy dữ liệu chuyên dụng. 7. Thông tin, dữ liệu thuộc phạm vi bí mật nhà nước phải được quản lý theo quy định hiện hành về bảo vệ bí mật nhà nước.

1. Cá nhân khi sử dụng máy tính, thiết bị đầu cuối cài đặt Hệ điều hành là phần mềm có bản quyền (bao gồm bản quyền thương mại hoặc mã nguồn mở có nguồn gốc rõ ràng); thiết lập chế độ tự động cập nhật bản vá hệ điều hành trên máy tính, phải thiết lập mật khẩu truy nhập chế độ tự động bảo vệ màn hình sau 10 phút không sử dụng; các máy tính cần được cài đặt mật khẩu ở phần cấu hình (setup) của BIOS, trong đó lưu ý việc vô hiệu hóa các cổng USB. 2. Trên máy tính cá nhân, sử dụng những trình duyệt an toàn, đáng tin cậy, cài đặt phần mềm phòng chống mã độc, tắt tính năng lưu mật khẩu tự động; thiết lập chế độ tự động cập nhật phần mềm phòng chống mã độc, chế độ tự động rà quét mã độc -- 8 of 34 -- khi sao chép, mở các tập tin, chế độ rà quét máy tính định kỳ hàng tuần. 3. Cá nhân khi mang thiết bị CNTT (máy tính, thiết bị di động) thuộc sở hữu riêng đến cơ quan và kết nối với mạng nội bộ để xử lý công việc phải được sự đồng ý của thủ trưởng cơ quan, đơn vị. Các thiết bị cá nhân này phải tuân thủ Điều 8 Quy chế này. 4. Cá nhân khi sử dụng máy tính, thiết bị đầu cuối được kết nối trong mạng nội bộ cơ quan và sử dụng để xử lý công việc mang tính chất công vụ phải tuân thủ các quy định sau: a) Chỉ truy nhập vào các trang thông tin điện tử (website) tin cậy. Không truy cập vào các đường dẫn, tập tin không rõ nguồn gốc qua thư điện tử hoặc các đường liên kết chia sẻ trên các trang mạng xã hội, tin nhắn của các ứng dụng OTT như Zalo, Viber, Facetime,... b) Thiết lập mật khẩu có độ phức tạp cao, không lưu trữ tài khoản trên máy tính, sử dụng chức năng mã hóa ở mức hệ điều hành bảo đảm các dữ liệu các tập tin văn bản,... được mã hóa trước khi truyền trên môi trường mạng. c) Không sử dụng máy tính cá nhân được cơ quan cấp để kết nối Internet tại các điểm truy cập Internet công cộng để xử lý công vụ. Không sử dụng thư điện tử cá nhân từ hệ thống thư điện tử công cộng (Gmail, Yahoo,...) để trao đổi, gửi, nhận văn bản công vụ. d) Khi phát hiện dấu hiệu máy tính nhiễm mã độc (máy chạy chậm bất thường, cảnh báo từ phần mềm antivirus, mất dữ liệu, xuất hiện các tập tin lạ,...), lập tức tắt máy và thông báo cán bộ chuyên trách CNTT để xử lý.

CBCCVC-NLĐ làm việc tại các cơ quan thuộc UBND thành phố Đà Nẵng khi sử dụng mạng xã hội thực hiện các biện pháp bảo đảm an toàn như sau: 1. Nghiêm cấm cung cấp, tiết lộ, đăng tải thông tin, dữ liệu của cơ quan nhà nước trên mạng xã hội, đặc biệt là các thông tin thuộc nội dung bí mật nhà nước. 2. Nghiêm cấm việc sử dụng mạng xã hội để chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam; gây phương hại đến an ninh quốc gia, trật tự an toàn xã hội; phá hoại khối đại đoàn kết dân tộc; tuyên truyền chiến tranh, khủng bố; gây