Công văn 1610/BHXH-CNTT năm 2022 tăng cường công tác quản lý, bảo đảm an toàn thông tin truy cập hệ thống thông tin của Ngành do Bảo hiểm xã hội Việt Nam ban hành

Thực hiện Quy chế bảo đảm an toàn thông tin (ATTT) trong ứng dụng công nghệ thông tin (CNTT) ngành Bảo hiểm xã hội (BHXH) tại Quyết định số 967/QĐ-BHXH ngày 20/6/2017 của Tổng Giám đốc BHXH Việt Nam, BHXH Việt Nam đã có các văn bản hướng dẫn triển khai các giải pháp kỹ thuật bảo đảm ATTT, bảo vệ bí mật nhà nước trên không gian mạng. Tuy nhiên, trong thời gian qua, BHXH Việt Nam đã phát hiện một số tài khoản người dùng ngành BHXH Việt Nam bị lộ lọt thông tin. Trước tình hình trên, BHXH Việt Nam đề nghị các đơn vị tăng cường công tác quản lý, bảo đảm ATTT khi truy cập hệ thống thông tin (HTTT) của Ngành và triển khai một số nội dung sau:

1. Đối với các đơn vị

1.1. Thực hiện nghiêm túc các văn bản của BHXH Việt Nam: Công văn số 3690/BHXH-CNTT ngày 20/11/2020 về việc chấn chỉnh công tác quản lý đảm bảo ATTT; Công văn số 590/BHXH-CNTT ngày 15/3/2021 về việc quán triệt công tác bảo đảm ATTT, bảo vệ bí mật nhà nước trên không gian mạng.

1.2. Đối với máy tính truy cập HTTT của Ngành từ phân vùng người dùng (mạng LAN) tại trụ sở cơ quan BHXH: Thực hiện chính sách kiểm soát truy cập (NAC) để kiểm tra việc cài đặt hệ điều hành bản quyền Windows 10 Pro trở lên, phần mềm phòng chống mã độc (F-Secure hoặc McAfee), việc cập nhật phiên bản, tính năng bảo vệ thời gian thực (Real time protection) cho máy tính. Vì vậy, các đơn vị phải cài đặt đầy đủ hệ điều hành bản quyền Windows 10 Pro, phần mềm phòng chống mã độc và thường xuyên cập nhật phiên bản, bật tính năng Real time protection, rà quét mã độc cho máy tính.

1.3. Đối với máy tính truy cập HTTT của Ngành từ xa (mạng VPN) ngoài trụ sở cơ quan BHXH:

- Cá nhân có nhu cầu thực hiện đăng ký sử dụng tài khoản VPN theo mẫu tại Phụ lục 1, xác định thời hạn sử dụng, cam kết bảo mật thông tin tài khoản và bảo đảm ATTT.

- Bộ phận chuyên trách CNTT, ATTT của các đơn vị tổng hợp, lập danh sách tài khoản đăng ký sử dụng VPN trình Thủ trưởng đơn vị phê duyệt theo mẫu tại Phụ lục 2 và gửi danh sách được phê duyệt về Trung tâm CNTT.

- Căn cứ Danh sách tài khoản đăng ký sử dụng VPN được phê duyệt, Quản trị mạng cấp 2 tại BHXH tỉnh, thành phố phân quyền cho tài khoản VPN truy cập phần mềm nghiệp vụ theo chính sách tại Phụ lục 3 (đối với các đơn vị trực thuộc BHXH Việt Nam, cán bộ Trung tâm CNTT hỗ trợ phân quyền).

- Thường xuyên rà soát và đóng tài khoản đã hết thời hạn sử dụng, tài khoản của cá nhân đã nghỉ hưu, thôi việc, chuyển công tác… và cập nhật danh sách gửi về Trung tâm CNTT theo báo cáo ATTT hàng quý.

- Cài đặt ứng dụng NAC cho máy tính người dùng sử dụng VPN và triển khai thiết lập chính sách kiểm soát truy cập VPN theo địa chỉ MAC đã đăng ký (hướng dẫn lấy địa chỉ MAC máy tính tại Phụ lục 4), không cho phép tự động kết nối VPN, khóa tài khoản VPN nhập sai mật khẩu 05 lần,…

- Ưu tiên giao máy tính dùng chung của đơn vị cho cán bộ cần truy cập VPN để giải quyết công việc. Trường hợp phải sử dụng máy tính của cá nhân, bắt buộc máy tính phải được bật tính năng tường lửa Window Firewall và tính năng bảo vệ Window Denfender.

- Cài đặt ứng dụng VPN GlobalProtect phiên bản 5.2.8 trở lên, trong thời gian truy cập VPN để giải quyết công việc, không được sử dụng phần mềm điều khiển máy tính từ xa như Remote Desktop, TeamViewer, UltraViewer…

1.4. Đối với các tài khoản có nguy cơ lộ lọt thông tin (có danh sách kèm theo), yêu cầu các đơn vị làm rõ và báo cáo kết quả về BHXH Việt Nam (qua Trung tâm CNTT).

1.5. Yêu cầu kiểm soát truy cập hệ thống WAN, chặn việc điều khiển máy tính từ xa ngoài giờ làm việc. Tăng cường công tác giám sát, theo dõi việc truy cập VPN để phát hiện dấu hiệu bất thường về thời gian, tần suất, số lượng thiết bị truy cập... và kịp thời kiểm tra, xử lý các tài khoản có dấu hiệu lộ lọt thông tin.

2. Trung tâm CNTT

- Tổ chức thực hiện thiết lập và triển khai chính sách kiểm soát truy cập trong toàn ngành BHXH Việt Nam; tổng hợp và báo cáo BHXH Việt Nam những tài khoản có dấu hiệu bất thường;

- Hướng dẫn cho các đơn vị (bộ phận chuyên trách ATTT) thiết lập chính sách qua hình thức trực tuyến.

BHXH Việt Nam yêu cầu các đơn vị nghiêm túc thực hiện. Trong quá trình thực hiện nếu có vướng mắc đề nghị phản ánh kịp thời về BHXH Việt Nam (qua Trung tâm CNTT) để được hỗ trợ, xử lý./.

PHỤ LỤC 1

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------

ĐĂNG KÝ SỬ DỤNG TÀI KHOẢN VPN VÀ CAM KẾT BẢO ĐẢM AN NINH, AN TOÀN VÀ BẢO MẬT THÔNG TIN TRONG KẾT NỐI, KHAI THÁC HỆ THỐNG THÔNG TIN CỦA NGÀNH BHXH VIỆT NAM

Kính gửi: <Thủ trưởng đơn vị...>

Họ và tên (chữ in hoa):....................................................................................

Chức vụ: ..........................................................................................................

Thực hiện Quy chế bảo đảm an toàn thông tin (ATTT) trong ứng dụng công nghệ thông tin (CNTT) ngành Bảo hiểm xã hội (BHXH) tại Quyết định số 967/QĐ-BHXH ngày 20/6/2017 của Tổng Giám đốc BHXH Việt Nam, BHXH Việt Nam đã có các văn bản hướng dẫn triển khai các giải pháp kỹ thuật bảo đảm ATTT, bảo vệ bí mật nhà nước trên không gian mạng. Tuy nhiên, trong thời gian qua, BHXH Việt Nam đã phát hiện một số tài khoản người dùng ngành BHXH Việt Nam bị lộ lọt thông tin. Trước tình hình trên, BHXH Việt Nam đề nghị các đơn vị tăng cường công tác quản lý, bảo đảm ATTT khi truy cập hệ thống thông tin (HTTT) của Ngành và triển khai một số nội dung sau:

1. Đối với các đơn vị

1.1. Thực hiện nghiêm túc các văn bản của BHXH Việt Nam: Công văn số 3690/BHXH-CNTT ngày 20/11/2020 về việc chấn chỉnh công tác quản lý đảm bảo ATTT; Công văn số 590/BHXH-CNTT ngày 15/3/2021 về việc quán triệt công tác bảo đảm ATTT, bảo vệ bí mật nhà nước trên không gian mạng.

1.2. Đối với máy tính truy cập HTTT của Ngành từ phân vùng người dùng (mạng LAN) tại trụ sở cơ quan BHXH: Thực hiện chính sách kiểm soát truy cập (NAC) để kiểm tra việc cài đặt hệ điều hành bản quyền Windows 10 Pro trở lên, phần mềm phòng chống mã độc (F-Secure hoặc McAfee), việc cập nhật phiên bản, tính năng bảo vệ thời gian thực (Real time protection) cho máy tính. Vì vậy, các đơn vị phải cài đặt đầy đủ hệ điều hành bản quyền Windows 10 Pro, phần mềm phòng chống mã độc và thường xuyên cập nhật phiên bản, bật tính năng Real time protection, rà quét mã độc cho máy tính.

1.3. Đối với máy tính truy cập HTTT của Ngành từ xa (mạng VPN) ngoài trụ sở cơ quan BHXH:

- Cá nhân có nhu cầu thực hiện đăng ký sử dụng tài khoản VPN theo mẫu tại Phụ lục 1, xác định thời hạn sử dụng, cam kết bảo mật thông tin tài khoản và bảo đảm ATTT.

- Bộ phận chuyên trách CNTT, ATTT của các đơn vị tổng hợp, lập danh sách tài khoản đăng ký sử dụng VPN trình Thủ trưởng đơn vị phê duyệt theo mẫu tại Phụ lục 2 và gửi danh sách được phê duyệt về Trung tâm CNTT.

- Căn cứ Danh sách tài khoản đăng ký sử dụng VPN được phê duyệt, Quản trị mạng cấp 2 tại BHXH tỉnh, thành phố phân quyền cho tài khoản VPN truy cập phần mềm nghiệp vụ theo chính sách tại Phụ lục 3 (đối với các đơn vị trực thuộc BHXH Việt Nam, cán bộ Trung tâm CNTT hỗ trợ phân quyền).

- Thường xuyên rà soát và đóng tài khoản đã hết thời hạn sử dụng, tài khoản của cá nhân đã nghỉ hưu, thôi việc, chuyển công tác… và cập nhật danh sách gửi về Trung tâm CNTT theo báo cáo ATTT hàng quý.

- Cài đặt ứng dụng NAC cho máy tính người dùng sử dụng VPN và triển khai thiết lập chính sách kiểm soát truy cập VPN theo địa chỉ MAC đã đăng ký (hướng dẫn lấy địa chỉ MAC máy tính tại Phụ lục 4), không cho phép tự động kết nối VPN, khóa tài khoản VPN nhập sai mật khẩu 05 lần,…

- Ưu tiên giao máy tính dùng chung của đơn vị cho cán bộ cần truy cập VPN để giải quyết công việc. Trường hợp phải sử dụng máy tính của cá nhân, bắt buộc máy tính phải được bật tính năng tường lửa Window Firewall và tính năng bảo vệ Window Denfender.

- Cài đặt ứng dụng VPN GlobalProtect phiên bản 5.2.8 trở lên, trong thời gian truy cập VPN để giải quyết công việc, không được sử dụng phần mềm điều khiển máy tính từ xa như Remote Desktop, TeamViewer, UltraViewer…

1.4. Đối với các tài khoản có nguy cơ lộ lọt thông tin (có danh sách kèm theo), yêu cầu các đơn vị làm rõ và báo cáo kết quả về BHXH Việt Nam (qua Trung tâm CNTT).

1.5. Yêu cầu kiểm soát truy cập hệ thống WAN, chặn việc điều khiển máy tính từ xa ngoài giờ làm việc. Tăng cường công tác giám sát, theo dõi việc truy cập VPN để phát hiện dấu hiệu bất thường về thời gian, tần suất, số lượng thiết bị truy cập... và kịp thời kiểm tra, xử lý các tài khoản có dấu hiệu lộ lọt thông tin.

2. Trung tâm CNTT

- Tổ chức thực hiện thiết lập và triển khai chính sách kiểm soát truy cập trong toàn ngành BHXH Việt Nam; tổng hợp và báo cáo BHXH Việt Nam những tài khoản có dấu hiệu bất thường;

- Hướng dẫn cho các đơn vị (bộ phận chuyên trách ATTT) thiết lập chính sách qua hình thức trực tuyến.

BHXH Việt Nam yêu cầu các đơn vị nghiêm túc thực hiện. Trong quá trình thực hiện nếu có vướng mắc đề nghị phản ánh kịp thời về BHXH Việt Nam (qua Trung tâm CNTT) để được hỗ trợ, xử lý./.

PHỤ LỤC 1

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------

ĐĂNG KÝ SỬ DỤNG TÀI KHOẢN VPN VÀ CAM KẾT BẢO ĐẢM AN NINH, AN TOÀN VÀ BẢO MẬT THÔNG TIN TRONG KẾT NỐI, KHAI THÁC HỆ THỐNG THÔNG TIN CỦA NGÀNH BHXH VIỆT NAM

Kính gửi: <Thủ trưởng đơn vị...>

Họ và tên (chữ in hoa):....................................................................................

Chức vụ: ..........................................................................................................

Địa chỉ thư điện tử công vụ⁽¹⁾: .........................................................................

Đơn vị công tác: ..............................................................................................

Số điện thoại di động:......................................................................................

Đăng ký sử dụng tài khoản VPN với thông tin như sau:

Địa chỉ MAC máy tính⁽²⁾: ................................................................................

Phần mềm nghiệp vụ truy cập: ........................................................................

.........................................................................................................................

Thời hạn sử dụng tài khoản (tối đa là 06 tháng):.............................................

Tôi xin cam kết: Chấp hành đúng các quy định của pháp luật về an ninh, an toàn thông tin mạng; Các quy định của Chính phủ, Bộ Công an, Bộ Thông tin và Truyền thông về an ninh, an toàn thông tin mạng; Quy chế bảo đảm an toàn thông tin của ngành BHXH Việt Nam. Bảo mật thông tin tài khoản; Không chiếm đoạt, làm lộ lọt, mua bán tài khoản VPN và sử dụng tài khoản VPN để thực hiện các hành vi vi phạm pháp luật.

____________________

¹ Địa chỉ thư điện tử công vụ là địa chỉ hộp thư của cá nhân được BHXH Việt Nam cấp; không sử dụng địa chỉ thư điện tử của đơn vị (Phòng/Huyện).

² Địa chỉ MAC trên máy tính đăng ký sử dụng VPN.

PHỤ LỤC 2

DANH SÁCH TÀI KHOẢN ĐĂNG KÝ SỬ DỤNG VPN

Kính gửi: Trung tâm Công nghệ thông tin, Bảo hiểm xã hội Việt Nam.

1. Thông tin cán bộ chuyên trách an toàn thông tin:

- Họ và tên: ......................................................................................................Chức vụ: .......................................................

- Số điện thoại di động: ...................................................................................Địa chỉ thư điện tử công vụ:.........................

2. Số lượng và danh sách đăng ký: <Tổng số cá nhân đăng ký>, gồm:

____________________

³ Nếu máy tính dùng cả mạng dây và mạng WiFi (máy tính xách tay) cần cung cấp cả thông tin địa chỉ MAC của mạng WiFi.

⁴ Tên phần mềm là tên viết tắt theo tên miền của phần mềm, ví dụ: phần mềm Quản lý Thu - Sổ, Thẻ có tên miền https://tst.bhxh.gov.vn => tên phần mềm là TST

PHỤ LỤC 3

CHÍNH SÁCH PHÂN QUYỀN TRUY CẬP PHẦN MỀM NGHIỆP VỤ

____________________

⁵ Các chính sách (Policy) có trong danh sách này cán bộ quản trị mạng không được thay đổi, sửa, xóa.

⁶ Chỉ được phép mở VPN cho tài khoản đã đăng ký và được phê duyệt.

PHỤ LỤC 4

Hướng dẫn kiểm tra thông tin địa chỉ MAC máy tính

Thực hiện kiểm tra địa chỉ MAC bằng CMD của Windows như sau:

Bước 1: Mở cửa sổ cmd bằng cách nhập cmd vào khung Search trên Start Menu, chọn Command Prompt hoặc nhập cmd vào khung Run trên Start Menu, chọn OK (hoặc nhấn Windows + R => nhập cmd => Enter) :

Bước 2: Trong cửa sổ Command Prompt, nhập lệnh getmac /v rồi nhấn Enter:

Bước 3: Lấy thông tin mạng dây “Ethernet” tại cột Physical Address: 68-84-7E-8F-6C-0F. Thay dấu “:” cho dấu “-” 68:84:7E:8F:6C:0F đây là thông tin địa chỉ MAC mạng dây cần điền vào mẫu đăng ký.

Nếu máy tính có sử dụng mạng WiFi, lấy thông tin mạng “WiFi” tại cột Physical Address: 7C-B2-7D-96-86-74. Thay dấu “:” cho dấu “-” 7C:B2:7D:96:86:74 đây là thông tin địa chỉ MAC mạng WiFi cần điền vào mẫu đăng ký.

PHỤ LỤC 5

Thống kê tài khoản có sử dụng nhiều loại máy tính đăng nhập VPN

____________________

⁷ Thống kê tài khoản sử dụng trên 10 máy tính đăng nhập VPN. Thông tin chi tiết liên hệ Trung tâm CNTT để được hướng dẫn, số điện thoại: 0983294800.