Văn bản về hạ tầng công nghệ thông tin và đảm bảo an toàn thông tin

2. Xây dựng cơ sở dữ liệu quốc gia về công dân, đất đai, nhà ở, doanh nghiệp, làm cơ sở cho việc ứng dụng công nghệ thông tin quản lý các nguồn lực phát triển đất nước. Đẩy nhanh tiến trình thực hiện thẻ công dân điện tử, Chính phủ điện tử và cam kết ASEAN điện tử.

3. Đẩy mạnh ứng dụng công nghệ thông tin vào quản lý, khai thác, vận hành hệ thống kết cấu hạ tầng kinh tế, xã hội và toàn bộ nền kinh tế. Coi thúc đẩy phát triển và ứng dụng công nghệ thông tin là nhiệm vụ ưu tiên hàng đầu trong lộ trình công nghiệp hoá, hiện đại hoá trong từng ngành, từng lĩnh vực. Phát triển mạnh công nghiệp công nghệ thông tin, thúc đẩy ngành công nghiệp phần mềm phát triển nhanh, bền vững.

4. Nâng cao năng lực làm chủ công nghệ và hiệu lực, hiệu quả quản lý hệ thống hạ tầng thông tin, nội dung thông tin phục vụ lãnh đạo, chỉ đạo, điều hành của Đảng, Nhà nước; đáp ứng yêu cầu cung cấp, trao đổi thông tin của xã hội, thúc đẩy phát triển kinh tế - xã hội, bảo đảm quốc phòng, an ninh; bảo đảm an toàn, an ninh thông tin, chủ quyền quốc gia về không gian mạng.

1. 
   Tổ chức mô hình mạng: Cài đặt, cấu hình, tổ chức hệ thống mạng theo mô hình Clients/Server, hạn chế sử dụng mô hình mạng ngang hàng. Đối với các cơ quan, đơn vị có nhiều phòng ban, đơn vị trực thuộc không nằm trong cùng một khu vực thì cần thiết lập mạng riêng ảo (VPN) để tăng cường an ninh cho hệ thống mạng nội bộ. Khi thiết lập các dịch vụ trên môi trường mạng Internet, chỉ cung cấp những chức năng thiết yếu nhất bảo đảm duy trì hoạt động của hệ thống thông tin; hạn chế sử dụng chức năng, cổng giao tiếp mạng, giao thức và các dịch vụ không cần thiết.
   
2. 
   Các cơ quan, đơn vị tổ chức quản lý các tài khoản của hệ thống thông tin, bao gồm: Tạo mới, kích hoạt, sửa đổi, vô hiệu hóa và loại bỏ các tài khoản. Đồng thời tổ chức kiểm tra các tài khoản của hệ thống thông tin ít nhất 01 lần/năm và triển khai các công cụ tự động để hỗ trợ việc quản lý các tài khoản của hệ thống thông tin.
   
3. 
   Quản lý hệ thống mạng không dây: Khi thiết lập mạng không dây để kết nối với mạng cục bộ thông qua các điểm truy nhập (Access Point - AP), cần thiết lập các tham số như: tên, SSID, mật khẩu, mã hóa dữ liệu và thông báo các thông tin liên quan đến AP để cơ quan sử dụng, định kỳ 3 tháng thay đổi mật khẩu nhằm tăng cường công tác bảo mật.
   
4. 
   Hệ thống thông tin giới hạn một số hữu hạn lần đăng nhập sai liên tiếp. Hệ thống tự động khóa tài khoản hoặc cô lập tài khoản trong một khoảng thời gian nhất định trước khi tiếp tục cho đăng nhập nếu liên tục đăng nhập sai vượt quá số lần quy định.
   
5. 
   Tổ chức theo dõi, và kiểm soát tất cả các phương pháp truy nhập từ xa (quay số, Internet,…) tới hệ thống thông tin bao gồm cả sự truy nhập có chức năng đặc quyền. Hệ thống cần có quá trình kiểm tra, cho phép ứng với mỗi phương pháp truy nhập từ xa và chỉ cho phép những người thật sự cần thiết truy nhập từ xa vào. Đồng thời tổ chức triển khai cơ chế tự động giám sát và điều khiển các truy nhập từ xa.
   
6. 
   Tổ chức quản lý định danh người dùng.
   
7. 
   Hệ thống thông tin cần ngăn chặn hoặc hạn chế các sự cố gây ra do tấn công từ chối dịch vụ (DOS). Công chức chuyên trách có thể sử dụng các thiết bị đặt tại biên của mạng lọc gói tin để bảo vệ các thiết bị bên trong, tránh bị ảnh hưởng trực tiếp bởi tấn công từ chối dịch vụ. Đối với hệ thống thông tin cho phép truy nhập công cộng thì có thể được bảo vệ bằng cách tăng dung lượng, băng thông hoặc thiết lập hệ thống dự phòng.
   
8. 
   Thiết lập cơ chế sao lưu và phục hồi máy chủ, máy trạm. Đồng thời, hệ thống thông tin cần có cơ chế ngăn chặn hoặc hạn chế các sự cố gây ra do tấn công từ chối dịch vụ (DoS, DDoS).
   

2. 
   Đối với các cơ quan, đơn vị:
   

1. 
   Trang bị đầy đủ các kiến thức bảo mật cơ bản cho cán bộ công chức, viên chức trước khi cho phép truy nhập và sử dụng hệ thống thông tin;
   
2. 
   Các cơ quan, đơn vị quản lý hành chính nhà nước phải ban hành quy định nội bộ về bảo đảm an toàn, an ninh thông tin.
   
3. 
   Cần bố trí công chức chuyên trách về an toàn hệ thống thông tin. Công chức này cần phải có các kiến thức về an toàn, an ninh thông tin trước khi tiến hành các hoạt động quản lý hay kỹ thuật nghiệp vụ; Tạo điều kiện cho cán bộ chuyên trách có điều kiện học tập, tiếp thu công nghệ, kiến thức an toàn bảo mật thông tin.
   
4. 
   Cần hủy bỏ quyền truy nhập hệ thống thông tin, bảo đảm việc thu hồi lại tất cả các tài sản liên quan tới hệ thống thông tin (khóa, thẻ nhận dạng,…) đối với nhân viên đã chấm dứt hợp đồng và đảm bảo khả năng vẫn truy nhập được vào các hồ sơ được tạo ra bởi nhân viên đó nhằm tránh tình trạng truy cập trái phép vào hệ thống.
   

2. 
   Đối với công chức chuyên trách tại các cơ quan đơn vị:
   

1. 
   Thường xuyên cập nhật cấu hình chuẩn cho các thành phần của hệ thống khi tiến hành cài đặt và thiết lập cấu hình chặt chẽ nhất cho các sản phẩm an toàn thông tin nhưng vẫn duy trì yêu cầu hoạt động của hệ thống thông tin;
   
2. 
   Chịu trách nhiệm tham mưu chuyên môn và vận hành an toàn hệ thống thông tin của đơn vị, triển khai các biện pháp bảo đảm an toàn, an ninh thông tin cho tất cả cán bộ, công chức, viên chức trong đơn vị mình. Thường xuyên tự nghiên cứu, cập nhật các kiến thức về an toàn, an ninh thông tin , nguy cơ tiềm ẩn có thể gây mất mát thông tin và các biện pháp phòng tránh khi tiến hành các hoạt động quản lý hay kỹ thuật nghiệp vụ.
   
3. 
   Thường xuyên cập nhật cấu hình chuẩn cho các thành phần của hệ thống khi tiến hành cài đặt và thiết lập cấu hình chặt chẽ nhất cho các sản phẩm an toàn thông tin nhưng vẫn duy trì yêu cầu hoạt động của hệ thống thông tin;
   
4. 
   Cấu hình hệ thống thông tin chỉ cung cấp những chức năng thiết yếu nhất; cấm, hạn chế sử dụng chức năng, cổng giao tiếp mạng, giao thức, và dịch vụ không cần thiết;
   

e) Triển khai cơ chế chống virus, thư rác cho những hệ thống xung yếu hiện hữu (firewall, mail server,…) và tại các máy trạm, máy chủ, các thiết bị di động trong mạng. Tổ chức sử dụng cơ chế chống virus, thư rác để phát hiện và loại trừ những đoạn mã độc hại (virus, trojan, worms…)

g) Thực hiện việc đánh giá, báo cáo các rủi ro và mức độ nghiêm trọng các rủi ro đó. Các rủi ro đó có thể xẩy ra do sự truy cập trái phép, sử dụng trái phép, mất, thay đổi hoặc phá hủy thông tin và hệ thống thông tin.

h) Có trách nhiệm tổ chức, theo dõi và kiểm soát tất cả các phương pháp truy cập từ xa (quay số, Internet…) tới hệ thống thông tin, bao gồm cả sự truy cập có chức năng đặc quyền. Hệ thống thông tin tại các cơ quan, đơn vị phải có cơ chế kiểm tra, cho phép tương ứng với mỗi phương pháp truy cập từ xa và cơ chế tự động giám sát, điều khiển các truy cập từ xa.

2. 
   Đối với cán bộ, công chức, viên chức:
   

1. 
   Hạn chế việc sử dụng chức năng chia sẻ tài nguyên (sharing), khi sử dụng chức năng này cần bật thuộc tính bảo mật bằng mật khẩu và thực hiện việc thu hồi chức năng này khi đã sử dụng xong.
   
2. 
   Thường xuyên cập nhật những chính sách, thủ tục an toàn thông tin của đơn vị cũng như thực hiện những hướng dẫn về an toàn, an ninh thông tin của cán bộ chuyên trách.
   
3. 
   Các máy tính khi không sử dụng trong thời gian dài (quá 04 giờ làm việc) cần tắt máy hoặc ngưng kết nối mạng để tránh bị các hacker lợi dụng, sử dụng chức năng điều khiển từ xa dùng máy tính của mình tấn công vào các hệ thống thông tin khác.
   
4. 
   Khi mở các tập tin đính kèm theo thư điện tử, nếu biết rõ người gửi thư thì phải lưu tập tin vào máy tính rồi quét virus trước khi mở, không được mở các thư điện tử có tập tư đính kèm có nguồn gốc không rõ ràng vì rất có thể có virus, phần mềm gián điệp được đính kèm theo thư.
   
5. 
   Phải đặt mật khẩu truy nhập vào máy tính của mình, đồng thời thiết lập chế độ bảo vệ màn hình (screen saver) có sử dụng mật khẩu bảo vệ sau một khoảng thời gian nhất định không sử dụng máy tính. Sử dụng các thiết bị lưu trữ (USB, ổ cứng cắm ngoài…) an toàn, đúng cách để phòng ngừa virus, phần mềm gián điệp xâm nhập máy tính: khi gắn thiết bị lưu trữ vào máy tính, không được trực tiếp truy cập ngay mà phải quét virus trước.