Quyết định Ban hành Quy chế bảo đảm an toàn thông tin mạng trong hoạt động ứng dụng

mạng trong hoạt động ứng dụng công nghệ thông tin của Ủy ban nhân dân xã Vĩnh Sơn.

các phòng chuyên môn, các cơ quan, đơn vị trực thuộc Ủy ban nhân dân xã Vĩnh Sơn và các tổ chức, cá nhân có liên quan chịu trách nhiệm thi hành Quyết định này./. Nơi nhận: - Như Điều 3; - TT Đảng ủy xã (b/c); - TT HĐND xã (b/c); - CT, các PCT UBND xã; - Các cơ quan, đơn vị thuộc xã; - Trang TTĐT UBND xã; - Lưu: VT, VHXH. TM. ỦY BAN NHÂN DÂN CHỦ TỊCH Nguyễn Văn Phúng -- 2 of 23 -- 3 ỦY BAN NHÂN DÂN CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM XÃ VĨNH SƠN Độc lập - Tự do - Hạnh phúc QUY CHẾ Bảo đảm an toàn thông tin mạng trong hoạt động ứng dụng công nghệ thông tin của Ủy ban nhân dân xã Vĩnh Sơn (Ban hành kèm theo Quyết định số 119/QĐ-UBND ngày 19 tháng 3 năm 2026 của Ủy ban nhân dân xã Vĩnh Sơn) Chương I. QUY ĐỊNH CHUNG

1. Phạm vi điều chỉnh Quy chế này quy định các chính sách quản lý và các biện pháp nhằm bảo đảm an toàn thông tin cho các Hệ thống thông tin của Ủy ban nhân dân xã Vĩnh Sơn (sau đây gọi tắt là các Hệ thống thông tin). 2. Đối tượng áp dụng a) Các bộ phận, cán bộ, công chức của Ủy ban nhân dân xã Vĩnh Sơn. b) Cơ quan, tổ chức, cá nhân có kết nối, sử dụng các hệ thống thông tin. c) Các tổ chức, cá nhân cung cấp dịch vụ công nghệ thông tin, an toàn thông tin, an ninh mạng tham gia kết nối vào các hệ thống thông tin của tỉnh hoặc có liên quan trực tiếp đến công tác bảo đảm an toàn thông tin, an ninh mạng của Ủy ban nhân dân xã Vĩnh Sơn.

Trong quy chế này, các từ ngữ dưới đây được hiểu như sau: 1. An toàn thông tin mạng: là sự bảo vệ thông tin số và các hệ thống thông tin trên mạng tránh bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép nhằm bảo đảm tính nguyên vẹn, tính bảo mật và tính khả dụng của thông tin. 2. An ninh mạng: là việc bảo đảm thông tin trên mạng không gây phương hại đến an ninh quốc gia, trật tự an toàn xã hội, bí mật nhà nước, quyền và lợi ích hợp pháp của tổ chức, cá nhân. 3. Hệ thống thông tin: là tập hợp phần cứng, phần mềm và cơ sở dữ liệu được thiết lập phục vụ mục đích tạo lập, cung cấp, truyền đưa, thu thập, xử lý, lưu trữ và trao đổi thông tin trên mạng. 4. Chủ quản hệ thống thông tin: là cơ quan, tổ chức, cá nhân có thẩm quyền quản lý trực tiếp đối với hệ thống thông tin. -- 3 of 23 -- 4 5. Đơn vị vận hành hệ thống thông tin: là cơ quan, tổ chức được chủ quản hệ thống thông tin giao nhiệm vụ vận hành hệ thống thông tin. 6. Sự cố an toàn thông tin mạng: là việc thông tin, hệ thống thông tin bị gây nguy hại, ảnh hưởng tới tính nguyên vẹn, tính bảo mật hoặc tính khả dụng. 7. Phần mềm độc hại: là phần mềm có khả năng gây ra hoạt động bất thường hoặc thực hiện sao chép, sửa đổi, xóa bỏ trái phép thông tin lưu trữ trong hệ thống thông tin. 8. Tường lửa (Firewall): là một hệ thống an ninh mạng (phần cứng hoặc phần mềm) giám sát và kiểm soát lưu lượng mạng đến và đi dựa trên các quy tắc bảo mật đã được xác định trước. 9. Nhật ký (log): là một tập hợp các bản ghi được tạo ra liên tục bởi một hệ thống, ứng dụng hoặc thiết bị, ghi lại các sự kiện, trạng thái, cảnh báo hoặc lỗi xảy ra trong quá trình hoạt động. 10. Mạng riêng ảo (VPN): là công nghệ cho phép tạo một kết nối an toàn, được mã hóa qua một mạng công cộng (như Internet) tới một mạng riêng. 11. Dữ liệu nhạy cảm: là dữ liệu có thông tin mật, thông tin lưu hành nội bộ của đơn vị hoặc do đơn vị quản lý, mà việc tiết lộ trái phép có thể gây ảnh hưởng tiêu cực đến danh tiếng, tài chính và hoạt động của đơn vị. 12. Dữ liệu cá nhân: là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể.

1. Bảo đảm an toàn thông tin, an ninh mạng là yêu cầu bắt buộc, thường xuyên, liên tục, xuyên suốt quá trình thiết kế, xây dựng, quản lý vận hành, bảo trì, bảo dưỡng, nâng cấp, hủy bỏ hệ thống thông tin. 2. Việc bảo đảm an toàn thông tin phải được thực hiện trên cơ sở tuân thủ các quy định của pháp luật về an toàn thông tin, an ninh mạng, bảo vệ bí mật nhà nước, bảo vệ dữ liệu cá nhân và các quy định khác có liên quan. 3. Trường hợp có văn bản, quy định cập nhật, thay thế hoặc quy định khác tại văn bản quy phạm pháp luật, quyết định của cấp có thẩm quyền cao hơn thì áp dụng quy định tại văn bản đó. 4. Thông tin thuộc Danh mục bí mật nhà nước được bảo vệ theo quy định của pháp luật về bảo vệ bí mật nhà nước. -- 4 of 23 -- 5 5. Việc xử lý sự cố an toàn thông tin, an ninh mạng phải phù hợp với trách nhiệm, quyền hạn và bảo đảm lợi ích hợp pháp của cơ quan, đơn vị, cá nhân liên quan và theo quy định của pháp luật. 6. Mỗi cán bộ, công chức, viên chức, người lao động tại các đơn vị phải có trách nhiệm chủ động, tự giác áp dụng các biện pháp an toàn thông tin, an ninh mạng.

1. Nghiêm cấm các hành vi quy định tại Điều 8 Luật An ninh mạng năm 2018,

năm 2018 và các quy định khác của pháp luật có liên quan. 2. Tự ý đấu nối thiết bị mạng, thiết bị cấp phát địa chỉ mạng, thiết bị phát sóng như điểm truy cập không dây của cá nhân vào mạng nội bộ. 3. Tự ý thay đổi, gỡ bỏ biện pháp an toàn thông tin cài đặt trên thiết bị công nghệ thông tin phục vụ công việc; tự ý thay thế, lắp mới, tráo đổi thành phần của máy tính phục vụ công việc.

tư, nâng cấp, mở rộng hệ thống thông tin 1. Xây dựng các tài liệu mô tả quy mô, phạm vi và đối tượng sử dụng, khai thác, -- 6 of 23 -- 7 quản lý vận hành hệ thống thông tin. 2. Xây dựng các tài liệu mô tả thiết kế và các thành phần của hệ thống thông tin, tối thiểu gồm có: a) Tổng quan kiến trúc hệ thống mạng; b) Sơ đồ cấp chi tiết của hệ thống mạng; c) Ghi chú các tài liệu đặc tả kỹ thuật, tài liệu thống kê. 3. Xây dựng các tài liệu mô tả phương án lựa chọn giải pháp công nghệ bảo đảm an toàn thông tin. 4. Xây dựng các tài liệu mô tả phương án bảo đảm an toàn thông tin theo cấp độ. 5. Khi có thay đổi thiết kế, đánh giá lại tính phù hợp của phương án thiết kế đối với các yêu cầu an toàn đặt ra đối với hệ thống. 6. Thu thập tối thiểu các loại nhật ký sau: nhật ký truy cập hệ thống, nhật ký tiến trình hoạt động, nhật ký ứng dụng, nhật ký cảnh báo của các thiết bị bảo mật, đảm bảo việc thu thập nhật ký được áp dụng trên toàn bộ tài sản CNTT chứa dữ liệu nhạy cảm của tổ chức cụ thể: a) Nhật ký truy cập hệ thống tối thiểu bao gồm: địa chỉ nguồn (IP/ tên máy, tên miền), địa chỉ đích (IP/ tên máy, tên miền), tài khoản đích (tên người dùng/ mã định danh), thời điểm xảy rа. b) Nhật ký tiến trình hoạt động tối thiểu bao gồm: thông tin thiết bị (IP/ tên thiết bị, tên miền), thông tin tiến trình (tên, mã định danh, tiến trình cha, lệnh khởi tạo), tài khoản đích (tên người dùng/ mã định danh), thời điểm xảy ra. c) Nhật ký cảnh báo tối thiểu bao gồm: tên cảnh báo, thiết bị, mức độ, địa chỉ nguồn, loại cảnh báo, thời điểm xảy ra. Nhật ký hệ thống phải được lưu trữ tối thiểu 12 tháng, được bảo vệ chống sửa đổi, xóa trái phép và sẵn sàng cung cấp phục vụ công tác giám sát, kiểm tra, điều tra sự cố an toàn thông tin theo quy định.

1. Có điều khoản hợp đồng và các cam kết đối với bên thuê khoán khi thực hiện các nội dung liên quan đến việc phát triển phần mềm thuê khoán. 2. Có biên bản, hợp đồng và cam kết bảo mật đối với bên thuê khoán các nội dung liên quan đến phát triển phần mềm thuê khoán. Trong đó, yêu cầu cung cấp mã nguồn phần mềm. 3. Phần mềm thuê khoán phải được kiểm thử phần mềm trên môi trường thử nghiệm trước khi bàn giao và đưa vào sử dụng. -- 7 of 23 -- 8 a) Bên triển khai xây dựng kế hoạch, nội dung thử nghiệm hệ thống, trình cấp có thẩm quyền phê duyệt, trước khi thực hiện thử nghiệm và nghiệm thu hệ thống. b) Hệ thống phải được thực hiện kiểm thử hệ thống trước khi đưa vào vận hành, khai thác sử dụng theo nội dung, kế hoạch được phê duyệt. c) Thiết lập và duy trì “Danh sách phần mềm được phép sử dụng (whitelist)” đối với từng nhóm thiết bị; mọi phần mềm ngoài danh sách chỉ được cài đặt khi có phê duyệt của cấp có thẩm quyền. Các phần mềm không thuộc danh sách này chỉ được cài đặt, sử dụng khi có văn bản phê duyệt của cấp có thẩm quyền và phải được áp dụng các biện pháp kiểm soát an toàn thông tin phù hợp. 4. Phần mềm thuê khoán phải được kiểm tra, đánh giá an toàn thông tin, trước khi đưa vào sử dụng. a) Bên triển khai xây dựng kế hoạch, nội dung đánh giá, kiểm tra hệ thống theo quy định, trình cấp có thẩm quyền phê duyệt, trước khi thực hiện kiểm tra, đánh giá an toàn thông tin. b) Hệ thống phải được thực hiện kiểm tra, đánh giá an toàn thông tin trước khi đưa vào vận hành, khai thác sử dụng theo nội dung, kế hoạch được phê duyệt. 5. Trong quá trình thực hiện thử nghiệm và nghiệm thu hệ thống, giao cho bộ phận chuyên trách an toàn thông tin mạng là đầu mối phối hợp với đơn vị phát triển để triển khai thực hiện.

1. Thiết lập và duy trì hệ thống quản lý danh mục tài sản phần cứng: a) Thực hiện lập danh sách, theo dõi, cập nhật trạng thái của tất cả tài sản phần cứng có khả năng lưu trữ hoặc xử lý dữ liệu, bao gồm: thiết bị của người dùng cuối, thiết bị di động, thiết bị lưu trữ ngoài, thiết bị văn phòng, thiết bị mạng, thiết bị OT/IoT và máy chủ trong môi trường vật lý, ảo hóa, truy cập từ xa và điện toán đám mây. b) Danh sách tài sản phần cứng phải bao gồm tối thiểu các thông tin cơ bản sau: tên tài sản, địa chỉ mạng IP (đối với thiết bị đặt địa chỉ IP tĩnh), địa chỉ phần cứng MAC/ mã nhận diện serial, thời gian ngừng hỗ trợ kỹ thuật của hãng (nếu có), vị trí lắp đặt địa lý, vị trí lắp đặt trong hệ thống mạng, mục đích sử dụng, tình trạng sử dụng. Tài sản vật lý phải được giao, gán trách nhiệm cho cá nhân hoặc bộ phận quản lý, sử dụng. 2. Tất cả tài sản vật lý phải được kiểm tra an ninh bởi cơ quan, tổ chức có thẩm quyền theo quy định của pháp luật trước khi đưa vào sử dụng. 3. Thiết lập và duy trì hệ thống quản lý danh mục tài sản phần mềm: -- 8 of 23 -- 9 a) Lập danh sách, theo dõi, cập nhật trạng thái của tất cả tài sản phần mềm hiện đang được cài đặt trên các tài sản phần cứng thuộc hệ thống thông tin của cơ quan, tổ chức. b) Danh sách tài sản phần mềm phải bao gồm tối thiểu các thông tin cơ bản sau: tên tài sản, mục đích sử dụng, thời gian ngừng hỗ trợ kỹ thuật (nếu có), phạm vi sử dụng, chủ thể quản lý, thông tin về bản quyền, phiên bản, hệ thống thông tin thành phần (nếu có). Tài sản phần mềm phải được gắn trách nhiệm cho cá nhân hoặc bộ phận quản lý, sử dụng. c) Thiết lập và duy trì “Danh sách phần mềm được phép sử dụng (whitelist)” đối với từng nhóm thiết bị; mọi phần mềm ngoài danh sách chỉ được cài đặt khi có phê duyệt của cấp có thẩm quyền. 4. Xây dựng, ban hành và đảm bảo tuân thủ quy trình phát hiện và xử lý các phần mềm trái phép định kỳ tối thiểu 01 lần/quý hoặc khi phát hiện dấu hiệu nghi ngờ mất an toàn thông tin, trong đó: a) Những phần mềm trái phép nhưng vẫn cần thiết đối với hoạt động của cơ quan, tổ chức phải được đưa vào danh sách ngoại lệ để quản lý. Danh sách ngoại lệ này phải thể hiện chi tiết các biện pháp kiểm soát giảm thiểu nguy cơ an ninh mạng ảnh hưởng đến hệ thống. b) Những phần mềm trái phép không nằm trong danh sách ngoại lệ phải có kế hoạch xóa/ gỡ bỏ hoàn toàn khỏi các tài sản phần cứng của cơ quan, tổ chức trong thời gian sớm nhất. Chương III. BẢO ĐẢM AN TOÀN THÔNG TIN TRONG QUẢN LÝ VẬN HÀNH HỆ THỐNG THÔNG TIN

1. Hệ thống mạng phải được thiết kế thống nhất, được quản lý định danh, xác thực đối với tất cả người sử dụng nhằm mục đích quản lý và bảo đảm an toàn và bảo mật. Hệ thống mạng nội bộ phải được thiết kế phân vùng theo chức năng và mức độ an toàn, bao gồm tối thiểu: vùng mạng người dùng, vùng mạng máy chủ công cộng, vùng mạng máy chủ nội bộ và vùng mạng quản trị. 2. Hệ thống mạng nội bộ (LAN) phải được bảo vệ bằng tường lửa có khả năng bảo vệ trước các loại tấn công từ chối dịch vụ (DDoS); thực hiện lọc bỏ, ngăn chặn truy cập các trang tin được xác định là chứa mã độc hoặc nội dung không phù hợp. -- 9 of 23 -- 10 3. Mạng không dây (WIFI), cần thiết lập các thông số an toàn và định kỳ ít nhất 06 tháng thay đổi mật khẩu truy cập nhằm tăng cường công tác bảo mật. Hệ thống mạng không dây phải được bảo vệ bởi mật khẩu an toàn. 4. Quản lý, vận hành hoạt động bình thường của hệ thống máy chủ và dịch vụ a) Bảo đảm cho hệ điều hành, phần mềm cài đặt trên máy chủ hoạt động liên tục, ổn định và an toàn. b) Thường xuyên kiểm tra cấu hình, các file nhật ký hoạt động của hệ điều hành, phần mềm nhằm kịp thời phát hiện và xử lý những sự cố nếu có. c) Quản lý các thay đổi cấu hình kỹ thuật của hệ điều hành, phần mềm. d) Thường xuyên cập nhật các bản vá lỗi hệ điều hành, phần mềm từ nhà cung cấp. đ) Loại bỏ các thành phần của hệ điều hành, phần mềm không cần thiết hoặc không còn nhu cầu sử dụng. e) Các bản quyền phần mềm cần được thống kê, quản lý thời gian hạn phục vụ cho việc gia hạn. f) Bảo đảm các kết nối mạng trên máy chủ hoạt động liên tục, ổn định và an toàn. Cấu hình, kiểm soát các kết nối, các cổng dịch vụ từ bên trong đi ra cũng như bên ngoài vào hệ thống. 5. Cán bộ quản lý, nhân viên vận hành truy cập, khai thác thông tin các thiết bị quan trọng của cơ quan đơn vị theo trách nhiệm và phân quyền được quy định; việc khai thác thông tin phải bảo đảm nguyên tắc bảo mật, không được tự ý cung cấp thông tin ra bên ngoài. Đảm bảo phân tách nhiệm vụ đối với mọi loại tài khoản. 6. Truy cập và quản trị máy chủ và ứng dụng: a) Mật khẩu của người dùng phải tuân thủ định nghĩa về mật khẩu mạnh và phải được thay đổi định kỳ tối thiểu 90 ngày/lần. Hệ thống có cơ chế bắt buộc người dùng thay đổi mật khẩu ngay trong lần đăng nhập đầu tiên và có chức năng tự động khóa tài khoản tạm thời sau 05 lần đăng nhập sai liên