QUYẾT ĐỊNH

BAN HÀNH QUY CHẾ QUẢN LÝ, VẬN HÀNH, KHAI THÁC VÀ ĐẢM BẢO AN TOÀN THÔNG TIN TẠI TRUNG TÂM DỮ LIỆU TỈNH TRÀ VINH

ỦY BAN NHÂN DÂN TỈNH TRÀ VINH

Căn cứ Luật Tổ chức chính quyền địa phương ngày 19 tháng 6 năm 2015;

Căn cứ Luật sửa đổi, bổ sung một số điều của Luật Tổ chức Chính phủ và Luật Tổ chức chính quyền địa phương ngày 22 tháng 11 năm 2019;

Căn cứ Luật Giao dịch điện tử ngày 22 tháng 6 năm 2023;

Căn cứ Luật Công nghệ thông tin ngày 29 tháng 6 năm 2006;

Căn cứ Luật An toàn thông tin mạng ngày 19 tháng 11 năm 2015;

Căn cứ Nghị định số 64/20077NĐ-CP ngày 10 tháng 4 năm 2007 của Chính phủ ứng dụng công nghệ thông tin trong hoạt động của cơ quan nhà nước;

Căn cứ Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;

Căn cứ Thông tư số 03/2013/TT-BTTTT ngày 22 tháng 01 năm 2013 của Bộ trưởng Bộ Thông tin và Truyền thông quy định áp dụng tiêu chuẩn, quy chuẩn kỹ thuật đối với trung tâm dữ liệu;

Căn cứ Thông tư số 12/2022/TT-BTTTT ngày 12 tháng 8 năm 2022 của Bộ trưởng Bộ Thông tin và Truyền thông quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;

Căn cứ Thông tư số 23/2022/TT-BTTTT ngày 30 tháng 11 năm 2022 của Bộ trưởng Bộ Thông tin và Truyền thông sửa đổi, bổ sung một số điều của Thông tư số 03/2013/TT-BTTTT ngày 22 tháng 01 năm 2013 của Bộ trưởng Bộ Thông tin và Truyền thông quy định áp dụng tiêu chuẩn, quy chuẩn kỹ thuật đối với trung tâm dữ liệu;

Theo đề nghị của Giám đốc Sở Thông tin và Truyền thông.

QUYẾT ĐỊNH:

Điều 1. Ban hành kèm theo Quyết định này Quy chế quản lý, vận hành, khai thác và đảm bảo an toàn thông tin tại Trung tâm dữ liệu tỉnh Trà Vinh.

Điều 2. Giao Sở Thông tin và Truyền thông chủ trì, phối hợp với các sở, ban, ngành tỉnh, Ủy ban nhân dân các huyện, thị xã, thành phố và các cơ quan, đơn vị có liên quan tổ chức thực hiện Quyết định này.

Điều 3. Quyết định này có hiệu lực thi hành kể từ ngày ký và thay thế Quyết định số 1383/QĐ-UBND ngày 26 tháng 7 năm 2019 của Ủy ban nhân dân tỉnh ban hành Quy chế quản lý, vận hành và khai thác Trung tâm dữ liệu tỉnh Trà Vinh.

Điều 4. Chánh Văn phòng Ủy ban nhân dân tỉnh; Giám đốc các Sở: Thông tin và Truyền thông, Tài chính; Thủ trưởng các sở, ban, ngành tỉnh; Chủ tịch Ủy ban nhân dân các huyện, thị xã, thành phố và các cơ quan, tổ chức, cá nhân có liên quan chịu trách nhiệm thi hành Quyết định này./.

QUY CHẾ

QUẢN LÝ, VẬN HÀNH, KHAI THÁC VÀ ĐẢM BẢO AN TOÀN THÔNG TIN TẠI TRUNG TÂM DỮ LIỆU TỈNH TRÀ VINH
(Kèm theo Quyết định số 1289/QĐ-UBND ngày 29 tháng 7 năm 2024 của Ủy ban nhân dân tỉnh Trà Vinh)

Chương I

QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh

Quy chế này quy định việc quản lý, vận hành, khai thác (hạ tầng kỹ thuật công nghệ thông tin và các dịch vụ ứng dụng dùng chung) và đảm bảo an toàn thông tin tại Trung tâm dữ liệu tỉnh Trà Vinh (sau đây gọi tắt là Trung tâm dữ liệu).

Điều 2. Đối tượng áp dụng

Quy chế này áp dụng đối với các sở, ban, ngành tỉnh, Ủy ban nhân dân các huyện, thị xã, thành phố và các cơ quan, tổ chức, cá nhân có liên quan tham gia quản lý, vận hành, khai thác và đảm bảo an toàn thông tin tại Trung tâm dữ liệu.

Điều 3. Giải thích từ ngữ

1. Cơ quan quản lý: Sở Thông tin và Truyền thông.

2. Cơ quan vận hành: Trung tâm Công nghệ thông tin và Truyền thông thuộc Sở Thông tin và Truyền thông.

3. Người sử dụng: là cán bộ, công chức, viên chức, cá nhân có liên quan tham gia sử dụng các dịch vụ của Trung tâm dữ liệu.

4. Trung tâm dữ liệu: là nơi tập trung hệ thống máy chủ, thiết bị mạng, thiết bị bảo mật, hệ thống lưu trữ và các phần mềm ứng dụng, cơ sở dữ liệu, hệ thống phụ trợ và mạng diện rộng của tỉnh; tuân thủ các tiêu chuẩn kỹ thuật theo quy định của Bộ Thông tin và Truyền thông; đảm bảo hệ thống hoạt động, ổn định, có tính dự phòng và kết nối, chia sẻ dữ liệu với các hệ thống thông tin khác.

5. Hệ thống thông tin: là tập hợp phần cứng, phần mềm và cơ sở dữ liệu được thiết lập phục vụ mục đích tạo lập, cung cấp, truyền đưa, thu thập, xử lý, lưu trữ và trao đổi thông tin trên mạng.

6. An toàn thông tin: là các hoạt động quản lý, nghiệp vụ và kỹ thuật đối với hệ thống thông tin nhằm bảo vệ, khôi phục các hệ thống, dịch vụ và nội dung thông tin trước các nguy cơ do thiên tai hoặc do con người gây ra. Việc bảo vệ thông tin, thiết bị mạng, tài sản trong hệ thống thông tin nhằm bảo đảm cho các hệ thống thông tin thực hiện đúng chức năng, phục vụ đúng đối tượng một cách sẵn sàng, chính xác và tin cậy. An toàn thông tin bao hàm các nội dung bảo vệ và bảo mật thông tin, an toàn dữ liệu, an toàn máy tính và an toàn mạng.

Điều 4. Kiến trúc của Trung tâm dữ liệu

1. Phân hệ mạng và truyền dẫn: bao gồm các kết nối Internet cho phép mở rộng khi có nhu cầu. Phân hệ mạng được chia làm nhiều vùng khác nhau, mỗi vùng được thiết lập các chính sách an ninh và truy cập riêng để phục vụ cho các mục đích khác nhau.

2. Phân hệ an toàn thông tin: bao gồm các thiết bị có liên quan nhằm bảo đảm sự an toàn về thông tin cho lớp mạng, lớp ứng dụng, lớp cơ sở dữ liệu nhằm ngăn chặn xâm nhập trái phép vào các hệ thống tại Trung tâm dữ liệu. Mỗi thiết bị trong phân hệ an toàn thông tin được thiết kế có tính dự phòng và bổ sung hỗ trợ lẫn nhau.

3. Phân hệ máy chủ: bao gồm hệ thống máy chủ đã được đầu tư phục vụ cho Chính quyền điện tử, Chuyển đổi số với khả năng sẵn sàng cho việc mở rộng số lượng máy chủ trong tương lai. Hệ thống máy chủ có khả năng cung cấp năng lực tính toán cho nhiều nền tảng với nhiều mục đích khác nhau như ứng dụng chuyên ngành, trang thông tin điện tử, cơ sở dữ liệu chuyên ngành,...

4. Phân hệ lưu trữ: là hệ thống lưu trữ tập trung các hệ thống thông tin, cơ sở dữ liệu của tỉnh bảo đảm cho mục đích lưu trữ, sao lưu, phục hồi dữ liệu cho toàn bộ hệ thống. Hệ thống được thiết kế bảo đảm khả năng mở rộng trong gia tăng dữ liệu trong tương lai.

5. Phân hệ các hệ thống phụ trợ: bao gồm các hệ thống phụ trợ, giúp cho Trung tâm dữ liệu hoạt động ổn định, liên tục như: hệ thống điện, máy lạnh, thiết bị lưu điện (UPS), máy phát điện, hệ thống phòng cháy chữa cháy, hệ thống chống sét, camera an ninh.

Điều 5. Mục tiêu, nguyên tắc về quản lý, vận hành, khai thác và đảm bảo an toàn thông tin tại Trung tâm dữ liệu

1. Mục tiêu: đảm bảo Trung tâm dữ liệu hoạt động ổn định, liên tục tránh bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép nhằm bảo đảm tính nguyên vẹn, tính bảo mật và tính khả dụng của hệ thống thông tin.

2. Nguyên tắc

a) Tuân thủ các nguyên tắc, biện pháp bảo đảm cơ sở hạ tầng thông tin phục vụ ứng dụng và phát triển công nghệ thông tin theo Luật Công nghệ thông tin ngày 29 tháng 6 năm 2006.

b) Tuân thủ các tiêu chuẩn, quy chuẩn kỹ thuật quy định áp dụng đối với Trung tâm dữ liệu theo Thông tư số 03/2013/TT-BTTTT ngày 22 tháng 01 năm 2013 của Bộ trưởng Bộ Thông tin và Truyền thông quy định áp dụng tiêu chuẩn, quy chuẩn kỹ thuật đối với trung tâm dữ liệu; Thông tư số 23/2022/TT-BTTTT ngày 30 tháng 11 năm 2022 của Bộ trưởng Bộ Thông tin và Truyền thông sửa đổi, bổ sung một số điều của Thông tư số 03/2013/TT-BTTTT ngày 22 tháng 01 năm 2013 của Bộ trưởng Bộ Thông tin và Truyền thông quy định áp dụng tiêu chuẩn, quy chuẩn kỹ thuật đối với trung tâm dữ liệu; Thông tư số 12/2022/TT- BTTTT ngày 12 tháng 8 năm 2022 của Bộ trưởng Bộ Thông tin và Truyền thông quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ; Tiêu chuẩn quốc gia TCVN ISO/IEC 27001:2013 về Công nghệ thông tin - Hệ thống quản lý an toàn thông tin - Các yêu cầu; Tiêu chuẩn quốc gia TCVN 11930:2017 về Công nghệ thông tin - Các kỹ thuật an toàn - Yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ.

c) Bảo đảm các yêu cầu về an toàn thông tin theo quy định của Luật An toàn thông tin mạng ngày 19 tháng 11 năm 2015.

d) Tuân thủ nguyên tắc xây dựng, quản lý, khai thác, bảo vệ và duy trì cơ sở dữ liệu được quy định tại Điều 13 Nghị định số 64/2007/NĐ-CP ngày 10 tháng 4 năm 2007 của Chính phủ ứng dụng công nghệ thông tin trong hoạt động của cơ quan nhà nước.

đ) Cơ quan vận hành Trung tâm dữ liệu triển khai cung cấp dịch vụ cho các cơ quan, đơn vị theo quy định của pháp luật và trên cơ sở khai thác hiệu quả hạ tầng Trung tâm dữ liệu.

e) Khi sử dụng dịch vụ tại Trung tâm dữ liệu phải tuân thủ các quy định của pháp luật, hướng dẫn của cơ quan, đơn vị có thẩm quyền về bảo đảm an toàn thông tin và các quy định tại Quy chế này, người sử dụng chịu trách nhiệm cho mọi hoạt động trên tài khoản truy cập của mình.

g) Việc bảo đảm an toàn thông tin được thực hiện một cách tổng thể, đồng bộ, tập trung trong việc đầu tư các giải pháp bảo vệ, có sự dùng chung, chia sẻ tài nguyên để tối ưu hiệu năng, tránh đầu tư trùng lặp.

h) Kinh phí ngân sách Nhà nước thường xuyên hàng năm bảo đảm cho công tác quản lý, vận hành, khai thác và đảm bảo an toàn thông tin tại Trung tâm dữ liệu.

Điều 6. Bảo đảm nguồn nhân lực tại Trung tâm dữ liệu

1. Viên chức được tuyển dụng vào vị trí làm việc về an toàn thông tin có trình độ, chuyên ngành về lĩnh vực công nghệ thông tin, an toàn thông tin phù hợp với vị trí tuyển dụng.

2. Xây dựng kế hoạch và định kỳ hàng năm, tổ chức đào tạo các kỹ năng cơ bản về an toàn thông tin cho viên chức vận hành.

Chương II

QUY ĐỊNH VỀ QUẢN LÝ, VẬN HÀNH VÀ KHAI THÁC TRUNG TÂM DỮ LIỆU

Điều 7. Quy định chung về vận hành Trung tâm dữ liệu

1. Đảm bảo thiết bị phần cứng, phần mềm ứng dụng, hệ thống mạng, các hệ thống phụ trợ tại Trung tâm dữ liệu được hoạt động ổn định liên tục 24 giờ/ngày và 7 ngày/tuần.

2. Việc quản lý, vận hành các phân hệ tại Trung tâm dữ liệu phải thực hiện trong phạm vi, trách nhiệm được quy định; phải bảo đảm nguyên tắc bảo mật, không được phép cung cấp thông tin hệ thống ra bên ngoài khi chưa được sự cho phép của cơ quan quản lý.

3. Việc khai thác, cung cấp dịch vụ tại Trung tâm dữ liệu phải tuân thủ theo các nội quy, quy trình, quy định tại Trung tâm dữ liệu.

4. Việc cài đặt, nâng cấp các phân hệ tại Trung tâm dữ liệu phải được sự cho phép của cơ quan quản lý.

5. Chỉ những viên chức được giao nhiệm vụ trực tiếp quản lý, vận hành hệ thống mới được phép ra/vào Trung tâm dữ liệu. Trong các trường hợp đặc biệt như có đoàn công tác hoặc bảo trì, bảo dưỡng, sửa chữa thiết bị cần thiết vào trong Trung tâm dữ liệu thì phải được sự đồng ý của lãnh đạo cơ quan vận hành. Không được tự ý ghi âm, ghi hình khi vào bên trong Trung tâm dữ liệu, trừ trường hợp có sự đồng ý của lãnh đạo cơ quan quản lý hoặc lãnh đạo cơ quan vận hành Trung tâm dữ liệu.

6. Thực hiện vô hiệu hóa tất cả các quyền ra, vào Trung tâm dữ liệu; các quyền truy cập vào tài nguyên, quản trị hệ thống sau khi viên chức không còn thực hiện nhiệm vụ tại Trung tâm dữ liệu.

Điều 8. Quy định về bảo trì, bảo dưỡng

1. Việc bảo trì bảo dưỡng phải được thực hiện định kỳ hàng năm, gồm các phân hệ trong kiến trúc của Trung tâm dữ liệu quy định tại Điều 4 của Quy chế này.

2. Hàng năm, cơ quan vận hành Trung tâm dữ liệu lập dự toán kinh phí, kế hoạch, danh mục các thiết bị, hệ thống cần thuê dịch vụ sửa chữa, bảo trì, bảo dưỡng và tổ chức thực hiện theo quy định pháp luật hiện hành.

3. Yêu cầu về bảo trì, bảo dưỡng

a) Việc thực hiện bảo trì, bảo dưỡng không được làm gián đoạn, ảnh hưởng đến quá trình hoạt động và cung cấp dịch vụ của Trung tâm dữ liệu.

b) Quá trình bảo trì, bảo dưỡng phải thực hiện theo đúng kế hoạch được phê duyệt.

Điều 9. Quy định về quản lý hồ sơ

1. Danh sách các loại hồ sơ lưu trữ

a) Các quy định vận hành kỹ thuật, bảo trì, bảo dưỡng các hệ thống.

b) Hồ sơ thiết kế, thuyết minh kỹ thuật, hoàn công.

c) Hồ sơ quản trị các hệ thống thông tin (báo cáo định kỳ, báo cáo sự cố).

d) Hồ sơ lưu các dịch vụ cung cấp.

đ) Bảng thống kê danh sách thiết bị; danh sách các thiết bị hỏng, hết khấu hao sử dụng chờ thanh lý; biên bản bàn giao thiết bị.

e) Tài liệu, biên bản kiểm tra, đánh giá của Trung tâm dữ liệu.

g) Các hồ sơ, tài liệu kỹ thuật khác.

2. Hồ sơ phải được lưu bằng văn bản, tập tin bản mềm trên máy tính và phải được cập nhật khi có sự thay đổi.

Điều 10. Quy định về an toàn hoạt động

1. Bảo đảm cho máy chủ, thiết bị, hệ thống giám sát hoạt động liên tục, ổn định và an toàn.

2. Trung tâm dữ liệu chỉ được đặt các thiết bị đang hoạt động phục vụ vận hành hệ thống, tuyệt đối không đặt các thiết bị khác: thiết bị hỏng, thiết bị chờ thanh lý, tài liệu, vật tư, các vật dụng dễ cháy nổ,...

3. Trung tâm dữ liệu phải đảm bảo vệ sinh công nghiệp: môi trường khô ráo, sạch sẽ, không dột, không thấm nước, không bị ánh nắng chiếu rọi trực tiếp; độ ẩm, nhiệt độ đạt tiêu chuẩn quy định cho các thiết bị công nghệ thông tin.

4. Hệ thống phòng cháy, chữa cháy phải được cấp giấy phép của Phòng Cảnh sát Phòng cháy, chữa cháy và Cứu nạn cứu hộ, Công an tỉnh Trà Vinh.

5. Hệ thống điện phải được trang bị, thiết bị tích điện, máy phát điện dự phòng để đảm bảo cho hệ thống hoạt động trong thời gian nguồn điện chính gặp sự cố.

6. Hệ thống điều hoà phải bảo đảm nhiệt độ cho phòng máy chủ theo đúng tiêu chuẩn quy định đối với Trung tâm dữ liệu.

7. Hệ thống camera giám sát phải bảo đảm giám sát toàn bộ Trung tâm dữ liệu liên tục 24 giờ/ngày và 7 ngày/tuần; bảo đảm dữ liệu hình ảnh phải được lưu trữ ít nhất trong thời gian 30 ngày.

Chương III

BẢO ĐẢM AN TOÀN THÔNG TIN TRONG QUẢN LÝ, VẬN HÀNH VÀ KHAI THÁC TRUNG TÂM DỮ LIỆU

Điều 11. Quản lý an toàn mạng

1. Chỉ cho phép truy cập, cấu hình thiết bị hệ thống từ vùng mạng quản trị. Khi có yêu cầu cần truy cập, cấu hình thiết bị hệ thống từ bên ngoài hệ thống phải thông qua kết nối VPN.

2. Phân quyền truy cập từ bên ngoài vào hệ thống thông qua kết nối VPN theo địa chỉ IP nguồn đối với truy cập quản trị hệ thống dành cho viên chức quản trị và truy cập sử dụng tài nguyên, ứng dụng, dịch vụ đối với người sử dụng.

3. Mỗi viên chức quản trị, vận hành Trung tâm dữ liệu được cấp một tài khoản VPN và được phân quyền đủ để thực hiện nhiệm vụ được phân công.

4. Viên chức quản lý hệ thống chịu trách nhiệm kiểm tra và loại bỏ tài khoản của viên chức trên các hệ thống sau khi viên chức đó không còn làm việc tại cơ quan vận hành Trung tâm dữ liệu.

5. Giới hạn số lần đăng nhập không thành công vào hệ thống là 05 lần. Sau 05 lần không đăng nhập thành công, tài khoản sẽ bị khóa trong 30 phút.

6. Viên chức vận hành hệ thống có trách nhiệm theo dõi và phát hiện các trường hợp truy cập hệ thống trái phép hoặc thao tác vượt quá giới hạn, báo cáo cho viên chức quản lý để tiến hành ngăn chặn, thu hồi, khỏa quyền truy cập của các tài khoản vi phạm.

7. Toàn bộ thao tác thay đổi, thiết lập cấu hình thiết bị hệ thống phải được ghi nhật ký hệ thống.

8. Sơ đồ thiết kế hệ thống về logic và vật lý phải được cập nhật khi có sự thay đổi về thiết kế và được sao lưu dự phòng theo từng phiên bản khác nhau.

Điều 12. Quản lý an toàn máy chủ và ứng dụng

1. Truy cập mạng của máy chủ

a) Bảo đảm các kết nối mạng trên máy chủ hoạt động liên tục, ổn định và an toàn.

b) Tường lửa hệ thống và tường lửa máy chủ phải được thiết lập để quản lý kết nối mạng từ các địa chỉ bên ngoài vào máy chủ theo ứng dụng, dịch vụ máy chủ cung cấp và địa chỉ nguồn truy cập. Các dịch vụ khác, không sử dụng phải vô hiệu hóa và chặn kết nối từ bên ngoài.

c) Tường lửa hệ thống và tường lửa máy chủ phải được thiết lập để quản lý kết nối mạng từ máy chủ đi ra các mạng bên ngoài; chỉ mở truy cập máy chủ theo hướng đi ra đối với các dịch vụ cơ bản như HTTP, HTTPS, các kết nối khác phục vụ cập nhật hệ điều hành và các dịch vụ nghiệp vụ cụ thể mà máy chủ yêu cầu phải kết nối ra bên ngoài.

2. Truy cập, quản trị máy chủ và ứng dụng

a) Thay đổi các tài khoản, mật khẩu mặc định ngay khi đưa máy chủ, phần mềm ứng dụng vào khai thác, sử dụng.

b) Cấp quyền quản lý truy cập máy chủ cho viên chức vận hành khi cài đặt, cập nhật hệ điều hành hoặc cài đặt, cập nhật dịch vụ trên máy chủ.

c) Các máy chủ thuộc phân vùng quản trị (MGMT), cơ sở dữ liệu (DB) không được phép truy cập internet trừ trường hợp phục vụ cập nhật bản vá hệ điều hành, phần mềm phòng chống mã độc, phiên bản phần mềm dịch vụ... Sau khi hoàn thành tiến hành ngắt kết nối đối với các máy chủ này.

d) Kiểm tra tính toàn vẹn của các tệp tin hệ thống và tính toàn vẹn của các quyền đã được cấp trên các tài khoản hệ thống.

đ) Chỉ cho phép truy cập, cấu hình thiết bị hệ thống từ vùng mạng quản trị. Khi có yêu cầu cần truy cập, cấu hình thiết bị hệ thống từ bên ngoài hệ thống phải thông qua kết nối VPN; kết nối VPN chỉ cho phép truy cập đến IP của máy chủ cần cấu hình, sau khi hoàn thành khóa tài khoản VPN.

3. Cập nhật, sao lưu dự phòng và khôi phục sau khi xảy ra sự cố: thực hiện sao lưu đầy đủ mã nguồn, tập tin cấu hình, tập tin đính kèm, cơ sở dữ liệu của các ứng dụng; hệ điều hành máy chủ; dữ liệu, thông tin nghiệp vụ và các thông tin, dữ liệu quan trọng khác trên hệ thống (nếu có). Dữ liệu sao lưu dự phòng phải được lưu trữ trên thiết bị và hệ thống lưu trữ độc lập.

4. Cài đặt, gỡ bỏ hệ điều hành, dịch vụ, phần mềm trên hệ thống máy chủ và ứng dụng

a) Trước khi cài đặt hệ điều hành, dịch vụ, phần mềm trên hệ thống chính phải thực hiện cài đặt trên môi trường thử nghiệm để đánh giá mức độ an toàn, ổn định.

b) Định kỳ hàng tháng cập nhật bản vá hệ điều hành cho máy chủ.

c) Dịch vụ, phần mềm trên máy chủ ứng dụng không phục vụ hoạt động của máy chủ theo chức năng phải gỡ bỏ.

d) Xóa dữ liệu của hệ điều hành, dịch vụ, phần mềm sau khi được gỡ bỏ.

5. Kết nối và gỡ bỏ hệ thống máy chủ và dịch vụ khỏi hệ thống

a) Máy chủ hệ thống phải được kiểm tra, đánh giá và xử lý các điểm yếu an toàn thông tin; không còn tồn tại điểm yếu ở mức trung bình trở lên, trước khi kết nối vào hệ thống.

b) Máy chủ phải được cấu hình tối ưu và tăng cường bảo mật trước khi kết nối vào hệ thống.

c) Khi gỡ bỏ máy chủ khỏi hệ thống, toàn bộ chính sách bảo mật, cấu hình hệ thống phải được gỡ bỏ.

d) Toàn bộ dữ liệu, hệ điều hành máy chủ phải được xóa bỏ trước khi gỡ bỏ máy chủ khỏi hệ thống.

6. Cấu hình tối ưu và tăng cường bảo mật cho hệ thống máy chủ trước khi đưa vào vận hành, khai thác.

Điều 13. Quản lý an toàn dữ liệu

1. Yêu cầu an toàn đối với phương pháp sao lưu dự phòng

a) Cơ quan vận hành có trách nhiệm xây dựng và triển khai thực hiện quy trình sao lưu dữ liệu dự phòng cho Trung tâm dữ liệu.

b) Dữ liệu phải được phân loại để lưu trữ theo thứ tự ưu tiên về mức độ quan trọng, sao lưu theo thời gian, loại thông tin, nơi lưu trữ. Thực hiện sao lưu đầy đủ các dữ liệu của người dùng, ứng dụng và hệ thống.

c) Dữ liệu phải được kiểm soát và đối chiếu sau khi sao lưu. Đối với các dữ liệu quan trọng, thay đổi liên tục phải thực hiện sao lưu dữ liệu hàng ngày.

2. Định kỳ hoặc khi có thay đổi cấu hình trên hệ thống thực hiện quy trình sao lưu dự phòng: tập tin cấu hình hệ thống, bản dự phòng hệ điều hành máy chủ, cơ sở dữ liệu; dữ liệu, thông tin nghiệp vụ và các thông tin, dữ liệu quan trọng khác trên hệ thống.

Điều 14. Quản lý an toàn thiết bị đầu cuối

1. Thiết bị đặt tại Trung tâm dữ liệu phải được đặt tên và dán nhãn theo đúng quy định.

2. Viên chức vận hành phải thực hiện tổng hợp tình hình quản lý, sử dụng thiết bị tại Trung tâm dữ liệu hàng quý.

3. Cơ quan vận hành kịp thời đề xuất đầu tư, nâng cấp thêm thiết bị và các thiết bị phụ trợ khác trong trường hợp thiết bị hết bảo hành, bị hỏng. Thiết bị đầu cuối được trang bị phải tuân theo các tiêu chuẩn về thiết bị cho Trung tâm dữ liệu.

4. Trường hợp thiết bị hỏng là thiết bị quan trọng (máy chủ, thiết bị định tuyến, thiết bị chuyển mạch, thiết bị tường lửa), cơ quan vận hành phải báo cáo ngay về cơ quan quản lý để có biện pháp khắc phục nhanh.

5. Khi truy cập và sử dụng thiết bị đầu cuối từ xa phải có cơ chế xác thực và sử dụng giao thức mạng an toàn.

6. Việc cài đặt, kết nối và gỡ bỏ thiết bị đầu cuối trong hệ thống phải được cho phép bởi người có thẩm quyền và thực hiện theo quy trình được phê duyệt.

Điều 15. Quản lý phòng chống phần mềm độc hại

1. Cài đặt, cập nhật, sử dụng phần mềm phòng chống mã độc; dò quét, kiểm tra phần mềm độc hại trên máy tính, máy chủ và thiết bị di động.

2. Các phần mềm, chương trình ứng dụng cài đặt tại Trung tâm dữ liệu phải có bản quyền sử dụng theo đúng quy định của pháp luật.

3. Chỉ được cài đặt và sử dụng các phần mềm đã mua bản quyền. Các phần mềm mã nguồn mở, phần mềm miễn phí phải được xác thực nguồn gốc và được cơ quan quản lý phê duyệt trước khi cài đặt; phải xử lý điểm yếu an toàn thông tin, cập nhật lên phiên bản mới nhất trước khi sử dụng.

4. Cơ quan vận hành tổ chức quản lý, theo dõi sử dụng các bản quyền phần mềm tại Trung tâm dữ liệu.

5. Không phát tán, chia sẻ phần mềm có bản quyền của Trung tâm dữ liệu ra bên ngoài.

6. Kịp thời báo cáo đề xuất cơ quan quản lý mua sắm phần mềm khi sắp hết hạn.

7. Hệ thống phải được trang bị giải pháp kỹ thuật để quản lý và ngăn chặn truy cập đến các trang thông tin độc hại trên mạng.

8. Định kỳ hàng năm thực hiện kiểm tra và dò quét phần mềm độc hại trên toàn bộ hệ thống; thực hiện kiểm tra và xử lý phần mềm độc hại khi phát hiện dấu hiệu hoặc cảnh báo về dấu hiệu phần mềm độc hại xuất hiện trên hệ thống.

Điều 16. Quản lý giám sát an toàn hệ thống thông tin

1. Đối tượng giám sát bao gồm: thiết bị hệ thống, máy chủ, máy trạm, ứng dụng và dịch vụ có trong hệ thống.

2. Kết nối và gửi nhật ký hệ thống từ đối tượng giám sát về hệ thống giám sát.

3. Chỉ được truy cập và quản trị hệ thống giám sát từ vùng mạng quản trị. Khi có yêu cầu cần truy cập, cấu hình, quản trị từ bên ngoài hệ thống phải thông qua kết nối VPN.

4. Loại thông tin cần được giám sát bao gồm tối thiểu các loại sau: thông tin giám sát lớp mạng, các máy chủ, các ứng dụng, cơ sở dữ liệu và thiết bị đầu cuối.

5. Lưu trữ và bảo vệ thông tin giám sát phải được lưu trữ tập trung đầy đủ các loại thông tin tại khoản 4 Điều này theo thời gian thực.

6. Toàn bộ thành phần trong hệ thống giám sát, máy chủ, thiết bị hệ thống và ứng dụng phải được đồng bộ thời gian.

7. Trung tâm điều hành an toàn thông tin mạng (SOC) thực hiện theo dõi, giám sát an toàn hệ thống thông tin 24 giờ/ngày và 7 ngày/tuần để kịp thời phát hiện và cảnh báo sự cố mất an toàn thông tin tại Trung tâm dữ liệu.

Điều 17. Quản lý điểm yếu an toàn thông tin

1. Quản lý thông tin điểm yếu an toàn thông tin đối với từng thành phần có trong hệ thống (hệ điều hành, máy chủ, ứng dụng, dịch vụ,...); phân loại mức độ nguy hiểm của điểm yếu, có phương án và quy trình xử lý đối với từng mức độ nguy hiểm của điểm yếu.

2. Cơ quan vận hành làm đầu mối phối hợp với các đơn vị cung cấp dịch vụ (phần mềm, phần cứng) tiến hành xử lý điểm yếu an toàn thông tin tại Trung tâm dữ liệu.

3. Kiểm tra, đánh giá và xử lý điểm yếu an toàn thông tin cho thiết bị hệ thống, máy chủ, dịch vụ trước khi đưa vào sử dụng.

4. Định kỳ hàng năm kiểm tra, đánh giá điểm yếu an toàn thông tin cho toàn bộ hệ thống thông tin; thực hiện quy trình kiểm tra, đánh giá, xử lý điểm yếu an toàn thông tin khi có thông tin hoặc nhận được cảnh báo về điểm yếu an toàn thông tin đối với thành phần cụ thể trong hệ thống.

Điều 18. Quản lý sự cố an toàn thông tin

1. Khi phát hiện có sự cố, viên chức vận hành thực hiện các biện pháp cô lập và xác định nguyên nhân xảy ra sự cố theo nguyên tắc hạn chế tối đa ảnh hưởng tới hoạt động của hệ thống; đồng thời phải báo cáo kịp thời cho Lãnh đạo cơ quan vận hành về tình hình sự cố để tham mưu, báo cáo lãnh đạo cơ quan quản lý chỉ đạo và có biện pháp khắc phục trong thời gian sớm nhất.

2. Tùy thuộc vào mức độ ảnh hưởng của sự cố, đánh giá và phân loại theo 02 mức: sự cố thông thường, sự cố nghiêm trọng. Từ đó lựa chọn phương án, quy trình xử lý phù hợp.

3. Đối với sự cố thông thường (không gây ảnh hưởng đến hoạt động của Trung tâm dữ liệu và người sử dụng): viên chức vận hành hệ thống phải có trách nhiệm xử lý ngay. Sau khi xử lý xong phải báo cáo lãnh đạo Cơ quan vận hành.

4. Đối với các sự cố nghiêm trọng (các sự cố liên quan đến thiết bị mạng, thiết bị bảo mật, máy chủ, đường truyền dữ liệu, cơ sở dữ liệu, các sự cố liên quan đến an ninh thông tin, mất mát dữ liệu, gây ảnh hưởng trực tiếp đến hoạt động của Trung tâm dữ liệu): ngay sau khi phát hiện sự cố, cơ quan vận hành cần đánh giá ảnh hưởng của sự cố và thực hiện báo cáo về cơ quan quản lý đê được hướng dẫn xử lý.

5. Yêu cầu đối với việc xử lý khắc phục sự cố cần tuân thủ các nguyên tắc:

a) Phải tuân thủ các phương án, quy trình xử lý khắc phục sự cố do cơ quan quản lý Trung tâm dữ liệu phê duyệt và ban hành.

b) Đảm bảo tuyệt đối an toàn cho hệ thống.

c) Các dữ liệu quan trọng phải được sao lưu trước khi xử lý sự cố.

d) Trường hợp sự cố vượt quá khả năng tự xử lý, thông báo cho Trung tâm ứng cứu khẩn cấp không gian mạng Việt Nam phối hợp ngăn chặn, khắc phục sự cố.

đ) Thông báo cho các bên liên quan về thời gian khắc phục xong sự cố.

e) Lập báo cáo sự cố gửi cơ quan quản lý đối với các sự cố nghiêm trọng trong vòng 24 giờ kể từ khi phát hiện sự cố.

6. Hàng năm tổ chức diễn tập phương án xử lý sự cố an toàn thông tin.

Điều 19. Quản lý an toàn người sử dụng đầu cuối

1. Quản lý truy cập, sử dụng tài nguyên nội bộ

a) Các cơ quan, đơn vị tuân thủ các quy định của pháp luật và quy định tại Quy chế này khi truy cập, sử dụng tài nguyên tại Trung tâm dữ liệu.

b) Không truy cập, quản trị các máy chủ tại Trung tâm dữ liệu từ xa thông qua internet. Việc truy cập quản trị các máy chủ tại Trung tâm dữ liệu thực hiện thông qua kết nối VPN (mạng riêng ảo).

c) Không kết nối các thiết bị lưu trữ di động bên ngoài vào các máy chủ tại Trung tâm dữ liệu. Trường hợp, người sử dụng cần thiết phải kết nối các thiết bị lưu trữ di động bên ngoài thì phải đề nghị và được bộ phận chuyên trách kiểm tra an toàn thông tin trước khi thực hiện.

2. Quản lý truy cập tài nguyên trên Internet

a) Viên chức vận hành Trung tâm dữ liệu không sử dụng máy tính quản trị để truy cập các trang thông tin không rõ nguồn gốc hoặc có nội dung độc hại.

b) Máy chủ/máy tính tại Trung tâm dữ liệu phải triển khai giải pháp bảo mật đảm bảo không bị tấn công xâm nhập, lây lan virus từ bên ngoài.

3. Cài đặt và sử dụng máy tính an toàn

a) Đặt mật khẩu cho các tài khoản của hệ điều hành theo quy tắc: tối thiểu 11 ký tự; bao gồm chữ hoa, chữ thường, số và ký tự đặc biệt. Định kỳ ít nhất 06 tháng thay đổi mật khẩu; trường hợp đặc biệt hoặc khi có thay đổi về nhân sự hoặc yêu cầu tăng cường bảo mật về an toàn thông tin thì lãnh đạo cơ quan vận hành Trung tâm dữ liệu quyết định việc thay đổi toàn bộ mật khẩu quản trị của của các hệ thống tại Trung tâm dữ liệu.

b) Khóa máy tính khi tạm thời rời khỏi vị trí làm việc. Đóng các phiên làm việc của ứng dụng khi đã hoàn tất, trừ khi đã có cơ chế bảo vệ thích hợp.

c) Không tự ý thay đổi cấu hình đã được thiết lập, việc thay đổi phải thông báo đến bộ phận liên quan.

Điều 20. Quản lý rủi ro an toàn thông tin

1. Xác định mức rủi ro: thực hiện rà soát, kiểm tra, đánh giá an toàn thông tin cho máy chủ, ứng dụng để xác định các mối đe dọa, tiến hành xử lý.

2. Quy trình đánh giá và quản lý rủi ro

a) Thiết lập bối cảnh: thông tin tổng quan, mục tiêu, quy mô, phạm vi và các thành phần tại Trung tâm dữ liệu cần bảo vệ.

b) Đánh giá rủi ro: thực hiện nhận biết rủi ro, phân tích và ước lượng rủi ro để biết mức ảnh hưởng đối với Trung tâm dữ liệu khi rủi ro xảy ra để ưu tiên xử lý.

c) Xử lý rủi ro: đưa ra các phương án và xác định phương án xử lý rủi ro, bao gồm các biện pháp quản lý và kỹ thuật để có thể xử lý, giảm thiểu các mối đe dọa có thể xảy ra đối với Trung tâm dữ liệu.

3. Biện pháp kiểm soát rủi ro: các yêu cầu về quản lý và yêu cầu về kỹ thuật phải đảm bảo các yêu cầu cơ bản theo Tiêu chuẩn quốc gia TCVN 11930:2017 về Công nghệ thông tin - các kỹ thuật an toàn - yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ.

Điều 21. Kết thúc vận hành, khai thác, thanh lý, hủy bỏ

1. Cơ quan vận hành Trung tâm dữ liệu thực hiện các biện pháp kỹ thuật xóa bỏ toàn bộ thông tin, dữ liệu trên các thiết bị với sự xác nhận của chủ quản hệ thống thông tin khi kết thúc vận hành, khai thác, thanh lý, hủy bỏ, bảo đảm không có khả năng phục hồi. Trường hợp đặc biệt không thể tiêu hủy thông tin, dữ liệu thì sử dụng biện pháp tiêu hủy cấu trúc vật lý đối với thiết bị lưu trữ dữ liệu.

2. Đối với các hệ thống thông tin có dữ liệu được lưu trữ trên tài sản vật lý cần phải mang đi bảo hành, bảo dưỡng, sửa chữa bên ngoài thì phải được sự phê duyệt của cấp có thẩm quyền và thực hiện các biện pháp bảo vệ dữ liệu; có cam kết bảo mật thông tin giữa bên có dữ liệu và bên cung cấp dịch vụ sửa chữa thiết bị lưu trữ dữ liệu.

Điều 22. Thiết kế an toàn hệ thống thông tin

1. Có tài liệu mô tả quy mô, phạm vi và đối tượng sử dụng, khai thác, quản lý vận hành hệ thống thông tin.

2. Có tài liệu mô tả thiết kế và các thành phần của hệ thống thông tin.

3. Có tài liệu mô tả phương án bảo đảm an toàn thông tin theo cấp độ.

4. Có tài liệu mô tả phương án lựa chọn giải pháp công nghệ bảo đảm an toàn thông tin,

5. Khi có thay đổi thiết kế, đánh giá lại tính phù hợp của phương án thiết kế đối với các yêu cầu an toàn đặt ra đối với hệ thống,

Điều 23. Thuê khoán phần mềm/ứng dụng chuyên ngành

Đối với các cơ quan, đơn vị có thực hiện thuê khoán phần mềm/ứng dụng chuyên ngành triển khai cài đặt tại Trung tâm dữ liệu, cần tuân thủ các quy định sau:

1. Có biên bản, hợp đồng và các cam kết nội dung liên quan phần mềm thuê khoán.

2. Yêu cầu các nhà phát triển cung cấp mã nguồn phần mềm.

3. Kiểm thử phần mềm trên môi trường thử nghiệm trước khi đưa vào sử dụng.

4. Kiểm tra, đánh giá an toàn thông tin, trước khi đưa vào sử dụng.

Điều 24. Thử nghiệm và nghiệm thu hệ thống

Đối với các hệ thống đầu tư (gồm: hạ tầng, thiết bị công nghệ thông tin và phần mềm/ứng dụng/cơ sở dữ liệu) triển khai tại Trung tâm dữ liệu cần tuân thủ các quy định sau:

1. Thực hiện thử nghiệm và nghiệm thu hệ thống trước khi bàn giao và đưa vào sử dụng.

2. Có nội dung, kế hoạch, quy trình thử nghiệm và nghiệm thu hệ thống.

3. Có bộ phận chịu trách nhiệm thực hiện thử nghiệm và nghiệm thu hệ thống.

4. Có đơn vị độc lập (bên thứ ba) hoặc bộ phận độc lập thuộc đơn vị thực hiện tư vấn và giám sát quá trình thử nghiệm và nghiệm thu hệ thống.

5. Có báo cáo nghiệm thu được xác nhận của bộ phận chuyên trách và phê duyệt của chủ quản hệ thống thông tin trước khi đưa vào sử dụng.

Chương IV

TRÁCH NHIỆM TRONG VIỆC QUẢN LÝ, VẬN HÀNH, KHAI THÁC VÀ ĐẢM BẢO AN TOÀN THÔNG TIN TẠI TRUNG TÂM DỮ LIỆU

Điều 25. Sở Thông tin và Truyền thông (Cơ quan quản lý)

1. Tham mưu Ủy ban nhân dân tỉnh về chính sách khai thác, sử dụng các dịch vụ tại Trung tâm dữ liệu đáp ứng nhu cầu ứng dụng công nghệ thông tin trên địa bàn tỉnh.

2. Tham mưu Ủy ban nhân dân tỉnh nâng cấp, mở rộng Trung tâm dữ liệu đảm bảo việc ứng dụng công nghệ thông tin và xây dựng chính quyền điện tử hướng tới chính quyền số của tỉnh.

3. Thực hiện trách nhiệm của cơ quan chuyên trách về an toàn thông tin theo quy định của pháp luật theo quy định tại Điều 21 Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an loàn hệ thống thông tin theo cấp độ; chịu trách nhiệm đối với các hệ thống thông tin thuộc phạm vi quản lý.

4. Tiếp nhận và điều phối xử lý các sự cố về an toàn thông tin mạng tại Trung tâm dữ liệu.

5. Hàng năm xây dựng và triển khai các chương trình đào tạo, tập huấn, diễn tập về công tác bảo đảm an toàn thông tin mạng cho viên chức kỹ thuật phụ trách quản lý, vận hành Trung tâm dữ liệu.

6. Tổ chức tuyên truyền, phổ biến, hướng dẫn cán bộ, công chức, viên chức các cơ quan, đơn vị, địa phương về việc sử dụng và đảm bảo an toàn thông tin các dịch vụ tại Trung tâm dữ liệu.

7. Tiếp nhận các đề nghị của cơ quan, đơn vị, địa phương về cung cấp hạ tầng, dịch vụ tại Trung tâm dữ liệu. Phản hồi cung cấp dịch vụ, hệ thống phần mềm tại Trung tâm dữ liệu đảm bảo thời gian theo quy định.

8. Chỉ đạo mở hoặc dừng đột xuất một số dịch vụ tại Trung tâm dữ liệu theo yêu cầu của Ủy ban nhân dân tỉnh.

9. Phê duyệt các quy trình về quản lý, vận hành, bảo trì, bảo dưỡng, ứng cứu sự cố tại Trung tâm dữ liệu.

10. Quản lý, kiểm tra, giám sát việc vận hành, khai thác dịch vụ, hệ thống, phần mềm, ứng dụng, cơ sở dữ liệu,... tại Trung tâm dữ liệu.

11. Xây dựng các giải pháp, phương án kỹ thuật, kế hoạch phát triển Trung tâm dữ liệu.

12. Hàng năm hoặc đột xuất báo cáo Ủy ban nhân dân tỉnh về tình hình hoạt động của Trung tâm dữ liệu.

Điều 26. Trung tâm Công nghệ thông tin và Truyền thông thuộc Sở Thông tin và Truyền thông (Cơ quan vận hành)

1. Chịu trách nhiệm trước cơ quan quản lý về việc quản lý kỹ thuật, tổ chức thực hiện vận hành, khai thác toàn bộ hệ thống Trung tâm dữ liệu hiệu quả, đảm bảo hạ tầng, ứng dụng hoạt động thông suốt an toàn thông tin theo quy định.

2. Ban hành nội quy làm việc tại Trung tâm dữ liệu; xây dựng kế hoạch, bố trí viên chức quản lý, vận hành hệ thống Trung tâm dữ liệu.

3. Tham mưu về quy định, quy trình, thủ tục chuyển giao thiết bị, cài đặt phần mềm và quản lý tài sản của Trung tâm dữ liệu; ban hành quy trình vận hành và tổ chức thực hiện sao lưu dữ liệu, bảo trì, bảo dưỡng, sửa chữa thiết bị và khắc phục sự cố hệ thống.

4. Đào tạo viên chức quản lý, vận hành có chuyên môn đáp ứng yêu cầu, trang bị các kiến thức liên quan đến hoạt động của Trung tâm dữ liệu.

5. Tham mưu Sở Thông tin và Truyền thông việc cung cấp hạ tàng kỹ thuật công nghệ thông tin và các dịch vụ ứng dụng dùng chung tại Trung tâm dữ liệu khi có yêu cầu của các cơ quan, đơn vị, địa phương.

6. Quy hoạch, vận hành, kiểm tra, đánh giá tài nguyên hệ thống, tham mưu cơ quan quản lý các giải pháp, phương án kỹ thuật, kế hoạch nâng cấp Trung tâm dữ liệu.

7. Hàng năm dự trù kinh phí vận hành, bảo dưỡng, mua sắm, sửa chữa, thay thế trang thiết bị, đánh giá an toàn thông tin, nâng cấp, cập nhật các phần mềm, máy chủ, thiết bị mạng, thiết bị bảo mật, các trang thiết bị phụ trợ,...

8. Tham mưu, đề xuất nội dung đào tạo, cập nhật kiến thức chuyên môn cho viên chức kỹ thuật, đảm bảo đáp ứng các yêu cầu quản lý vận hành Trung tâm dữ liệu.

9. Định kỳ 06 tháng, năm hoặc đột xuất báo cáo Sở Thông tin và Truyền thông về tình hình hoạt động và cung cấp dịch vụ của Trung tâm dữ liệu; định kỳ hàng tháng, báo cáo Sở Thông tin và Truyền thông về tình hình an toàn thông tin tại Trung tâm dữ liệu để nắm, chỉ đạo.

Điều 27. Các sở, ban, ngành tỉnh, Ủy ban nhân dân các huyện, thị xã, thành phố và các tổ chức, cá nhân có kết nối về Trung tâm dữ liệu.

1. Các cơ quan, đơn vị khi có nhu cầu sử dụng hạ tầng, dịch vụ, hệ thống phần mềm tại Trung tâm dữ liệu để phục vụ hoạt động ứng dụng công nghệ thông tin phải gửi đề nghị về Sở Thông tin và Truyền thông xem xét, cấp phát tài nguyên phù hợp với quy hoạch hạ tầng kỹ thuật chung của tỉnh và công năng toàn hệ thống Trung tâm dữ liệu. Sử dụng hạ tầng, dịch vụ tại Trung tâm dữ liệu phải tuân thủ theo Quy chế này và các quy định, hướng dẫn khác của cơ quan quản lý, cơ quan vận hành Trung tâm dữ liệu.

2. Đối với cơ quan, đơn vị có hệ thống thông tin đặt tại Trung tâm dữ liệu

a) Chịu trách nhiệm về các nội dung, thông tin lưu trữ của đơn vị mình tại Trung tâm dữ liệu theo quy định pháp luật. Thường xuyên sao lưu dữ liệu của đơn vị, theo sự hướng dẫn của cơ quan vận hành.

b) Phối hợp với cơ quan quản lý, cơ quan vận hành trong công tác bảo đảm an toàn, an ninh thông tin, duy trì hoạt động các hệ thống thông tin của Cơ quan mình đặt tại Trung tâm dữ liệu.

c) Xây dựng hồ sơ cấp độ an toàn hệ thống thông tin đối với các phần mềm, ứng dụng do đơn vị quản lý, đảm bảo theo Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ.

d) Hàng năm dự trù kinh phí đảm bảo duy trì, vận hành, bảo dưỡng, sửa chữa, trang thiết bị, đường truyền và nâng cấp, cập nhật phần mềm, đánh giá an toàn thông tin do đơn vị mình quản lý, tổng hợp chung trong dự toán chi nghiệp vụ chuyên môn của cơ quan, đơn vị trình cấp có thẩm quyền phê duyệt.

3. Đối với người sử dụng

a) Viên chức vận hành tuân thủ các quy định về an toàn bảo mật thông tin trong quá trình quản lý, khai thác và vận hành Trung tâm dữ liệu.

b) Người sử dụng chịu trách nhiệm về thông tin tài khoản, mật khẩu đăng nhập vào các hệ thống; đồng thời có trách nhiệm thay đổi mật khẩu ngay khi được cơ quan vận hành cung cấp.

c) Không được thực hiện các hành vi đánh cắp, giả mạo tài khoản, truy cập trái phép, sử dụng các công cụ, phần mềm làm tổn hại đến hoạt động của Trung tâm dữ liệu.

4. Trường hợp phát sinh sự cố, phải thông báo ngay cho viên chức kỹ thuật của cơ quan vận hành để phối hợp trong việc xử lý sự cố và xác nhận kết quả xử lý.

Điều 28. Trách nhiệm Sở Tài chính

Hàng năm theo khả năng cân đối ngân sách phối hợp với Sở Thông tin và Truyền thông và các cơ quan, đơn vị có liên quan tham mưu cấp thẩm quyền bố trí kinh phí để thực hiện công tác quản lý, vận hành, bảo trì, bảo dưỡng và đảm bảo an toàn thông tin cho Trung tâm dữ liệu theo quy định của Luật Ngân sách nhà nước và phân cấp ngân sách nhà nước hiện hành.

Chương V

TỔ CHỨC THỰC HIỆN

Điều 29. Điều khoản thi hành

1. Các sở, ban, ngành tỉnh, Ủy ban nhân dân các huyện, thị xã, thành phố và các cơ quan, đơn vị, cá nhân có liên quan căn cứ chức năng, nhiệm vụ được giao và các quy định của pháp luật hiện hành tổ chức triển khai thực hiện Quy chế này.

2. Sở Thông tin và Truyền thông có trách nhiệm theo dõi, kiểm tra và đôn đốc việc thực hiện Quy chế này.

3. Trong quá trình thực hiện, nếu có khó khăn, vướng mắc cần điều chỉnh nội dung quy chế, cơ quan, đơn vị, địa phương lập thời phản ánh về Sở Thông tin và Truyền thông để tổng hợp, báo cáo Ủy ban nhân dân tỉnh xem xét./.