Đăng xuất
Việc làm Hồ Chí Minh
Quyết định 1207/QĐ-UBND năm 2025 về Quy chế bảo đảm an toàn thông tin mạng trong hoạt động ứng dụng công nghệ thông tin của các cơ quan, tổ chức nhà nước trên địa bàn tỉnh Đồng Tháp
| Số hiệu | 1207/QĐ-UBND |
| Ngày ban hành | 22/10/2025 |
| Ngày có hiệu lực | 22/10/2025 |
| Loại văn bản | Quyết định |
| Cơ quan ban hành | Tỉnh Đồng Tháp |
| Người ký | Trần Trí Quang |
| Lĩnh vực | Công nghệ thông tin |
|
ỦY BAN NHÂN DÂN |
CỘNG HÒA XÃ HỘI
CHỦ NGHĨA VIỆT NAM |
|
Số: 1207/QĐ-UBND |
Đồng Tháp, ngày 22 tháng 10 năm 2025 |
ỦY BAN NHÂN DÂN TỈNH ĐỒNG THÁP
Căn cứ Luật Tổ chức chính quyền địa phương ngày 16/6/2025;
Căn cứ Luật Công nghệ thông tin ngày 29/6/2006;
Căn cứ Luật An toàn thông tin mạng ngày 19/11/2015;
Căn cứ Luật An ninh mạng ngày 12/6/2018;
Căn cứ Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;
Căn cứ Quyết định số 05/2017/QĐ-TT ngày 16/3/2017 của Thủ tướng Chính phủ ban hành quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia;
Căn cứ Chỉ thị số 14/CT-TTg ngày 25/5/2018 của Thủ tướng Chính phủ về việc nâng cao năng lực phòng, chống phần mềm độc hại;
Căn cứ Thông tư số 20/2017/TT-BTTTT ngày 12/9/2017 của Bộ Thông tin và Truyền thông quy định về điều phối, ứng cứu sự cố an toàn thông tin mạng trên toàn quốc;
Căn cứ Thông tư số 31/2017/TT-BTTTT ngày 15/11/2017 của Bộ Trưởng Bộ Thông tin và Truyền thông quy định hoạt động giám sát an toàn hệ thống thông tin;
Theo đề nghị của Giám đốc Công an tỉnh tại Tờ trình số 1173/TTr-CAT-ANM ngày 29/8/2025.
QUYẾT ĐỊNH
Điều 2: Quyết định này có hiệu lực thi hành kể từ ngày ký.
|
|
TM. ỦY BAN NHÂN
DÂN |
BẢO
ĐẢM AN TOÀN THÔNG TIN MẠNG TRONG HOẠT ĐỘNG ỨNG DỤNG CÔNG NGHỆ THÔNG TIN CỦA CÁC
CƠ QUAN, TỔ CHỨC NHÀ NƯỚC TRÊN ĐỊA BÀN TỈNH ĐỒNG THÁP
(Ban hành kèm theo Quyết định số 1207/QĐ-UBND ngày 22/10/2025 của Ủy ban
nhân dân tỉnh Đồng Tháp)
Điều 1. Phạm vi điều chỉnh, đối tượng áp dụng
1. Phạm vi điều chỉnh
Quy chế này quy định về bảo đảm an toàn thông tin mạng, trách nhiệm của các cơ quan nhà nước, tổ chức, cá nhân có liên quan trong việc bảo đảm an toàn thông tin mạng trong hoạt động ứng dụng công nghệ thông tin của các cơ quan, tổ chức nhà nước trên địa bàn tỉnh Đồng Tháp.
2. Đối tượng áp dụng
|
ỦY BAN NHÂN DÂN |
CỘNG HÒA XÃ HỘI
CHỦ NGHĨA VIỆT NAM |
|
Số: 1207/QĐ-UBND |
Đồng Tháp, ngày 22 tháng 10 năm 2025 |
ỦY BAN NHÂN DÂN TỈNH ĐỒNG THÁP
Căn cứ Luật Tổ chức chính quyền địa phương ngày 16/6/2025;
Căn cứ Luật Công nghệ thông tin ngày 29/6/2006;
Căn cứ Luật An toàn thông tin mạng ngày 19/11/2015;
Căn cứ Luật An ninh mạng ngày 12/6/2018;
Căn cứ Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;
Căn cứ Quyết định số 05/2017/QĐ-TT ngày 16/3/2017 của Thủ tướng Chính phủ ban hành quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia;
Căn cứ Chỉ thị số 14/CT-TTg ngày 25/5/2018 của Thủ tướng Chính phủ về việc nâng cao năng lực phòng, chống phần mềm độc hại;
Căn cứ Thông tư số 20/2017/TT-BTTTT ngày 12/9/2017 của Bộ Thông tin và Truyền thông quy định về điều phối, ứng cứu sự cố an toàn thông tin mạng trên toàn quốc;
Căn cứ Thông tư số 31/2017/TT-BTTTT ngày 15/11/2017 của Bộ Trưởng Bộ Thông tin và Truyền thông quy định hoạt động giám sát an toàn hệ thống thông tin;
Theo đề nghị của Giám đốc Công an tỉnh tại Tờ trình số 1173/TTr-CAT-ANM ngày 29/8/2025.
QUYẾT ĐỊNH
Điều 2: Quyết định này có hiệu lực thi hành kể từ ngày ký.
|
|
TM. ỦY BAN NHÂN
DÂN |
BẢO
ĐẢM AN TOÀN THÔNG TIN MẠNG TRONG HOẠT ĐỘNG ỨNG DỤNG CÔNG NGHỆ THÔNG TIN CỦA CÁC
CƠ QUAN, TỔ CHỨC NHÀ NƯỚC TRÊN ĐỊA BÀN TỈNH ĐỒNG THÁP
(Ban hành kèm theo Quyết định số 1207/QĐ-UBND ngày 22/10/2025 của Ủy ban
nhân dân tỉnh Đồng Tháp)
Điều 1. Phạm vi điều chỉnh, đối tượng áp dụng
1. Phạm vi điều chỉnh
Quy chế này quy định về bảo đảm an toàn thông tin mạng, trách nhiệm của các cơ quan nhà nước, tổ chức, cá nhân có liên quan trong việc bảo đảm an toàn thông tin mạng trong hoạt động ứng dụng công nghệ thông tin của các cơ quan, tổ chức nhà nước trên địa bàn tỉnh Đồng Tháp.
2. Đối tượng áp dụng
a) Các cơ quan, tổ chức nhà nước và cán bộ, công chức, viên chức, người lao động trong các cơ quan, tổ chức nhà nước trên địa bàn tỉnh Đồng Tháp.
b) Các cơ quan, đơn vị quản lý, vận hành các hệ thống mạng, hệ thống thông tin đang triển khai trên địa bàn tỉnh Đồng Tháp.
c) Tổ chức, cá nhân có liên quan khi tham gia sử dụng hệ thống thông tin của cơ quan, tổ chức nhà nước để giao tiếp, cung cấp và trao đổi thông tin.
d) Khuyến khích các cơ quan Đảng, đoàn thể, tổ chức chính trị - xã hội áp dụng quy chế này trong hoạt động ứng dụng công nghệ thông tin.
Trong quy chế này, các từ ngữ dưới đây được hiểu như sau:
1. Thông tin số là thông tin được tạo lập bằng phương pháp dùng tín hiệu số. Trong nội dung quy chế này, thuật ngữ thông tin được hiểu là thông tin số.
2. Mạng là môi trường trong đó thông tin được cung cấp, truyền đưa, thu thập, xử lý, lưu trữ và trao đổi thông qua mạng viễn thông và mạng máy tính.
3. Hệ thống thông tin là tập hợp phần cứng, phần mềm, cơ sở dữ liệu và hệ thống mạng được tạo lập, truyền nhận, thu thập, xử lý, lưu trữ và trao đổi thông tin phục vụ công tác.
4. Tính bí mật của thông tin là thông tin chỉ được truy cập bởi những người được cấp quyền truy cập tương ứng.
5. Tính toàn vẹn của thông tin là tính chính xác, đầy đủ của thông tin và thông tin chỉ được thay đổi bởi những người được cấp quyền.
6. Tính sẵn sàng của thông tin là việc thông tin được cung cấp đầy đủ và kịp thời cho người có quyền sử dụng khi có yêu cầu.
7. An toàn thông tin mạng là sự bảo vệ thông tin, hệ thống thông tin tránh bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép nhằm bảo đảm tính toàn vẹn, tính bí mật và tính sẵn sàng của thông tin. Trong nội dung quy chế này, thuật ngữ an toàn thông tin được hiểu là an toàn thông tin mạng.
8. An ninh mạng là sự đảm bảo hoạt động trên không gian mạng không gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.
9. Chủ quản hệ thống thông tin là cơ quan, đơn vị, tổ chức, cá nhân có thẩm quyền quản lý trực tiếp đối với thông tin, hệ thống thông tin. Chủ quản hệ thống thông tin có thể ủy quyền cho một đơn vị thực hiện quyền quản lý trực tiếp đối với hệ thống thông tin và bảo đảm an toàn hệ thống thông tin.
10. Đơn vị quản lý, vận hành hệ thống thông tin là cơ quan, đơn vị, tổ chức được chủ quản hệ thống thông tin giao nhiệm vụ quản lý, vận hành hệ thống thông tin. Trong trường hợp hệ thống thông tin bao gồm nhiều hệ thống thành phần hoặc phân tán, có nhiều hơn một đơn vị vận hành, chủ quản hệ thống thông tin chỉ định một đơn vị làm đầu mối để thực hiện quyền và nghĩa vụ của đơn vị quản lý, vận hành hệ thống thông tin. Trường hợp chủ quản hệ thống thông tin thuê dịch vụ công nghệ thông tin, đơn vị quản lý, vận hành hệ thống thông tin là bên cung cấp dịch vụ.
11. Xâm phạm an toàn thông tin là hành vi truy cập, sử dụng, tiết lộ, làm gián đoạn, sửa đổi hoặc phá hoại trái phép thông tin, hệ thống thông tin.
12. Nguy cơ mất an toàn thông tin là những nhân tố bên trong hoặc bên ngoài có khả năng ảnh hưởng tới an toàn thông tin.
13. Sự cố an toàn thông tin là việc thông tin, hệ thống thông tin bị gây nguy hại, ảnh hưởng tới tính bí mật, tính toàn vẹn hoặc tính sẵn sàng của thông tin.
14. Rủi ro an toàn thông tin là những nhân tố chủ quan hoặc khách quan có khả năng ảnh hưởng tới trạng thái an toàn thông tin.
15. Ứng cứu sự cố an toàn thông tin là hoạt động nhằm xử lý, khắc phục sự cố an toàn thông tin gồm: theo dõi, thu thập, phân tích, phát hiện, cảnh báo, điều tra, xác minh sự cố, ngăn chặn sự cố, khôi phục dữ liệu và khôi phục hoạt động bình thường của hệ thống thông tin.
16. Điểm yếu, lỗ hổng bảo mật là thành phần trong hệ thống thông tin có khả năng bị khai thác, bị lợi dụng để tấn công hoặc xâm nhập bất hợp pháp.
17. Phần mềm độc hại/Mã độc là phần mềm có khả năng gây ra hoạt động không bình thường cho một phần hay toàn bộ hệ thống thông tin hoặc thực hiện sao chép, sửa đổi, xóa bỏ trái phép thông tin lưu trữ trong hệ thống thông tin.
18. Hệ thống phòng chống phần mềm độc hại/Hệ thống phòng chống mã độc là tập hợp phần cứng, phần mềm được kết nối vào mạng để phát hiện, ngăn chặn, lọc và thống kê phần mềm độc hại.
19. Người sử dụng/người dùng là cán bộ, công chức, viên chức và người lao động trong các cơ quan, tổ chức nhà nước trên địa bàn Tỉnh sử dụng máy vi tính, các thiết bị điện tử để truy cập vào thông tin và hệ thống thông tin của các cơ quan, tổ chức nhà nước phục vụ công tác. Các cá nhân khác có liên quan tham gia quản lý, khai thác thông tin, hệ thống thông tin của các cơ quan, tổ chức nhà nước trên địa bàn Tỉnh.
20. Thông tin cá nhân là thông tin gắn với việc xác định danh tính của một người cụ thể.
21. Chủ thể thông tin cá nhân là người được xác định từ thông tin cá nhân đó.
22. Tài khoản người dùng (tài khoản) là một tập hợp ký tự đại diện duy nhất của một người sử dụng để truy cập và sử dụng một hệ thống thông tin, một phần mềm ứng dụng hoặc một dịch vụ với một số quyền hạn nhất định.
23. Thiết bị, sản phẩm bảo đảm an toàn thông tin là phần cứng, phần mềm có chức năng bảo vệ thông tin, hệ thống thông tin, ứng cứu sự cố an toàn thông tin, gồm: tường lửa; hệ thống phát hiện và phòng chống xâm nhập; hệ thống phòng, chống thất thoát dữ liệu; hệ thống phòng, chống mã độc; hệ thống bảo vệ dữ liệu trên đường truyền; hệ thống giám sát an toàn thông tin; hệ thống giám sát hoạt động mạng; hệ thống rà quét mạng và các sản phẩm có tính năng tương tự khác theo quy định của pháp luật về an toàn thông tin.
24. Thẩm định an toàn thông tin là hoạt động kiểm tra, đánh giá chuyên môn về an toàn thông tin đối với các văn bản quy phạm pháp luật, đề án, kế hoạch, chương trình, dự án ứng dụng công nghệ thông tin, đối với hệ thống thông tin và các nội dung khác theo quy định của pháp luật về an toàn thông tin.
25. Dịch vụ an toàn thông tin là dịch vụ bảo vệ thông tin, hệ thống thông tin.
Điều 3. Nguyên tắc chung về bảo đảm an toàn thông tin mạng
1. Bảo đảm an toàn thông tin là yêu cầu bắt buộc, thực hiện thường xuyên, liên tục có tính xuyên suốt trong quá trình ứng dụng công nghệ thông tin từ khâu thiết kế, xây dựng, vận hành, nâng cấp đến khi hủy bỏ hệ thống thông tin; tuân thủ theo tiêu chuẩn kỹ thuật, quy chuẩn kỹ thuật.
2. Các cơ quan, tổ chức có trách nhiệm phân loại, xác định cấp độ an toàn hệ thống thông tin và triển khai các biện pháp, giải pháp bảo đảm an toàn thông tin đối với thông tin, hệ thống thông tin theo từng cấp độ tương ứng; bố trí nhân lực chịu trách nhiệm bảo đảm an toàn thông tin; xác định rõ quyền hạn, trách nhiệm của từng tổ chức, cá nhân đối với công tác bảo đảm an toàn thông tin.
3. Mọi hành vi vi phạm các quy định về công tác bảo đảm an toàn thông tin đều phải được xử lý kịp thời theo quy định của pháp luật và quy chế nội bộ.
Điều 4. Các hành vi bị nghiêm cấm
1. Các hành vi bị nghiêm cấm quy định tại Điều 7 Luật An toàn thông tin mạng năm 2015.
2. Lợi dụng mạng để truyền bá thông tin, quan điểm, thực hiện các hành vi gây phương hại đến an ninh quốc gia, trật tự an toàn xã hội, lợi ích quốc gia trên không gian mạng.
3. Xâm phạm an toàn thông tin mạng của tổ chức, cá nhân khác; xâm phạm đến đời sống riêng tư, bí mật cá nhân, bí mật gia đình của cá nhân, thông tin riêng của tổ chức.
BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG
Điều 5. Quản lý rủi ro an toàn thông tin mạng
1. Xây dựng và ban hành quy định, quy trình quản lý rủi ro an toàn thông tin bao gồm tối thiểu các bước: xác định, phân tích, đánh giá và xử lý rủi ro an toàn thông tin.
2. Việc xác định và ước tính khả năng xảy ra rủi ro an toàn thông tin mạng trong cơ quan, tổ chức dựa trên việc quản lý tài sản, quản lý lỗ hổng bảo mật, quản lý hạ tầng mạng, quản lý nhận thức về an toàn thông tin, quản lý tài khoản và quyền truy cập của người sử dụng, quản lý nhà cung cấp sản phẩm và dịch vụ,...
3. Phân tích, đánh giá từng rủi ro an toàn thông tin cụ thể để xác định mức độ ảnh hưởng, tác động của rủi ro đến cơ quan, tổ chức để có biện pháp xử lý, ứng phó rủi ro phù hợp.
4. Thực hiện các biện pháp xử lý, ứng phó rủi ro an toàn thông tin mạng như: loại bỏ hoặc ngừng các hoạt động có thể gây ra rủi ro an toàn thông tin mạng; chuyển giao rủi ro cho bên thứ ba (mua bảo hiểm); chấp nhận rủi ro nếu chi phí xử lý rủi ro cao hơn chi phí chấp nhận rủi ro,...
Điều 6. Quản lý tài sản phần cứng
1. Tất cả tài sản phần cứng thuộc hệ thống thông tin (thiết bị của người dùng cuối, thiết bị di động, thiết bị lưu trữ ngoài, thiết bị văn phòng, thiết bị mạng, thiết bị OT/IoT, máy chủ trong môi trường vật lý, ảo hóa, truy cập từ xa và điện toán đám mây,...) và các tài sản không thuộc quyền kiểm soát của cơ quan, tổ chức nhưng có kết nối vào hệ thống thông tin của cơ quan, tổ chức phải được lập danh sách, theo dõi, cập nhật trạng thái; xác định danh sách tài sản cần được giám sát, bảo vệ. Thực hiện kiểm kê, rà soát và cập nhật danh sách cho tất cả tài sản thuộc hệ thống thông tin định kỳ tối thiểu 02 lần/năm.
2. Thông tin tài sản phần cứng phải bao gồm tối thiểu các thông tin cơ bản sau: tên tài sản, địa chỉ IP (đối với thiết bị đặt IP tĩnh), địa chỉ MAC, vị trí lắp đặt địa lý, mục đích sử dụng, tình trạng sử dụng. Tài sản vật lý phải được giao, gắn trách nhiệm cho cá nhân hoặc bộ phận quản lý, sử dụng.
3. Tất cả tài sản vật lý thuộc hệ thống thông tin của các cơ quan, tổ chức phải được kiểm tra an ninh an toàn thông tin bởi cơ quan, tổ chức có thẩm quyền theo quy định của pháp luật trước khi đưa vào sử dụng.
4. Các thiết bị di động kết nối vào hệ thống thông tin của cơ quan, tổ chức phải được đăng ký để kiểm soát. Quy định trách nhiệm cá nhân khi sử dụng thiết bị di động để phục vụ công việc.
5. Xây dựng, ban hành và đảm bảo tuân thủ quy trình phát hiện và xử lý các tài sản phần cứng không có trong danh sách quản lý, đang kết nối trái phép vào hệ thống thông tin của cơ quan, tổ chức định kỳ tối thiểu 01 lần/tháng. Các tài sản không có trong danh sách quản lý, tài sản trái phép có thể xử lý bằng cách loại bỏ, từ chối kết nối hoặc cách ly khỏi hệ thống thông tin.
6. Xây dựng, ban hành và đảm bảo tuân thủ quy trình thanh lý/tiêu hủy tài sản công nghệ thông tin, đảm bảo xóa không thể khôi phục toàn bộ dữ liệu của cơ quan, tổ chức trước khi tiến hành thanh lý/tiêu hủy.
Điều 7. Quản lý tài sản phần mềm
1. Tất cả tài sản phần mềm đang được cài đặt trên các tài sản phần cứng thuộc hệ thống thông tin của cơ quan, tổ chức phải được lập danh sách, theo dõi, cập nhật trạng thái. Thực hiện kiểm kê, rà soát và cập nhật danh sách cho tất cả tài sản phần mềm thuộc các hệ thống thông tin của cơ quan, tổ chức định kỳ tối thiểu 02 lần/năm.
2. Thông tin tài sản phần mềm phải bao gồm tối thiểu các thông tin cơ bản sau: tên tài sản, mục đích sử dụng, thời gian ngừng hỗ trợ kỹ thuật (nếu có), phạm vi sử dụng, chủ thế quản lý, thông tin về bản quyền, phiên bản, hệ thống thông tin thành phần (nếu có). Tài sản phần mềm phải được gắn trách nhiệm cho cá nhân hoặc đơn vị quản lý, sử dụng.
3. Các cơ quan, tổ chức ban hành danh sách các phần mềm được phép sử dụng trong cơ quan, tổ chức mình. Xây dựng, ban hành và đảm bảo tuân thủ quy trình phát hiện và xử lý các phần mềm trái phép, định kỳ tối thiểu 01 lần/quý, đảm bảo chỉ những phần mềm đã phê duyệt mới được phép cài đặt và sử dụng.
4. Những phần mềm trái phép nhưng vẫn cần thiết đối với hoạt động của cơ quan, tổ chức phải được lập danh sách ngoại lệ để quản lý. Danh sách ngoại lệ này phải thể hiện chi tiết các biện pháp kiểm soát giảm thiểu nguy cơ an ninh mạng, an toàn thông tin ảnh hưởng đến hệ thống. Những phần mềm trái phép không nằm trong danh sách ngoại lệ phải có kế hoạch xóa/gỡ bỏ hoàn toàn khỏi các tài sản phần cứng của cơ quan, tổ chức trong thời gian sớm nhất.
Điều 8. Quản lý tài sản thông tin
1. Tài sản thông tin phải được lập danh sách và triển khai các biện pháp kiểm soát để phát hiện, phân loại, xử lý, lưu trữ và loại bỏ một cách an toàn. Dự theo mức độ bảo mật, tài sản thông tin được chia thành bốn mức độ sau:
Mức 1: Công khai. Tài sản thông tin công khai không yêu cầu về bảo mật.
Mức 2: Nội bộ. Tài sản thông tin nội bộ yêu cầu chỉ những người trong cơ quan, tổ chức mới có quyền truy cập.
Mức 3: Hạn chế truy cập. Tài sản thông tin bị hạn chế yêu cầu quyền truy cập, chỉ những người dùng được cấp quyền mới có thể truy cập vào dữ liệu. Việc tiết lộ tài sản thông tin bị hạn chế truy cập có khả năng ảnh hưởng đến hoạt động của cơ quan, tổ chức.
Mức 4: Bí mật nhà nước. Thông tin có nội dung quan trọng do cơ quan, tổ chức có thẩm quyền xác định; chưa công khai, nếu bị lộ, bị mất có thể gây nguy hại đến lợi ích quốc gia (thực hiện theo quy định của Luật Bảo vệ bí mật nhà nước).
Thực hiện đánh giá và cập nhật danh sách tài sản thông tin thuộc hệ thống thông tin định kỳ tối thiểu 01 lần/năm hoặc khi có sự thay đổi trong cơ quan, tổ chức ảnh hưởng đến danh sách.
2. Phân quyền truy cập của các tài khoản, người dùng đối với từng loại tài sản thông tin; kiểm tra cấp độ phân quyền dữ liệu định kỳ tối thiểu 01 lần/quý.
3. Mã hóa dữ liệu quan trọng được lưu trữ trong các tài sản phần cứng và phần mềm của cơ quan, tổ chức; bảo vệ và quản lý thời hạn mã khóa sử dụng để mã hóa dữ liệu.
Điều 9. Cấu hình an toàn cho phần cứng và phần mềm
1. Xây dựng và ban hành các quy định về cấu hình tiêu chuẩn, cấu hình bảo mật nâng cao cho các tài sản phần cứng và phần mềm của cơ quan, tổ chức. Đảm bảo sử dụng giao thức kết nối an toàn, thiết lập tường lửa cho máy chủ, máy trạm và có phương án chống đăng nhập tự động đối với các tài sản xử lý và lưu trữ dữ liệu quan trọng.
2. Tất cả tài sản phần cứng và phần mềm phải được cấu hình tự động khóa phiên làm việc sau một thời gian không sử dụng.
a) Đối với máy tính người sử dụng không quá 15 phút.
b) Đối với các phiên quản trị phần mềm, máy chủ, thiết bị mạng, thiết bị IoT không quá 05 phút.
c) Đối với thiết bị di động không quá 02 phút.
d) Đối với các phần mềm nghiệp vụ xử lý dữ liệu quan trọng không quá 15 phút.
3. Tất cả thiết bị di động, tài khoản người dùng phải được cấu hình tự động khóa thiết bị, tài khoản sau một số lần đăng nhập thất bại.
a) Đối với máy tính xách tay, thiết bị di động thông minh tối đa 10 lần.
b) Đối với tài khoản người dùng tối đa 05 lần.
c) Giới hạn thời gian mở khóa thiết bị sau khi bị khóa tối thiểu 12 giờ, tối đa 30 ngày; thời gian mở khóa tài khoản người dùng sau khi bị khóa tối thiểu 30 phút, tối đa 30 ngày.
4. Có biên bản, hợp đồng và cam kết bảo mật đối với bên thuê khoán khi thực hiện các nội dung liên quan đến việc phát triển phần mềm thuê khoán. Các đơn vị, tổ chức phát triển phải cung cấp mã nguồn phần mềm.
Điều 10. Quản lý tài khoản và quyền truy cập tài khoản của người dùng
1. Lập danh sách, theo dõi và cập nhật tất cả các tài khoản trên các tài sản phần cứng và phần mềm của cơ quan, tổ chức. Danh sách tài khoản phải được phân loại, tối thiểu gồm: tài khoản quản trị, tài khoản tác nghiệp và tài khoản kỹ thuật. Thông tin tài khoản phải bao gồm tối thiểu: loại tài khoản, trạng thái tài khoản, tên tài sản/hệ thống thông tin tương ứng, tên người quản lý sử dụng, đơn vị quản lý sử dụng, ngày kích hoạt, ngày vô hiệu hóa (nếu có). Danh sách tài khoản phải được rà soát định kỳ tối thiểu 01 lần/quý để đảm bảo tất cả tài khoản đang hoạt động là hợp lệ.
2. Người sử dụng phải bảo vệ bí mật thông tin tài khoản được phân công quản lý, sử dụng, đồng thời phải thay đổi mật khẩu trong lần đăng nhập đầu tiên và định kỳ tối thiểu mỗi 03 tháng/lần. Sử dụng mật khẩu duy nhất cho mỗi tài sản hoặc sử dụng giải pháp xác thực và quản lý tập trung. Đối với các hệ thống sử dụng xác thực đa nhân tố, mật khẩu phải có tối thiểu 08 ký tự; đối với các hệ thống không sử dụng xác thực đa nhân tố, mật khẩu phải có tối thiểu 12 ký tự, bao gồm ký tự thường, ký tự hoa, ký tự số và ký tự đặc biệt. Đối với tài khoản quản trị phải thay đổi mật định kỳ 01 lần/02 tháng và mật khẩu mới không được trùng với 10 mật khẩu trước đó.
3. Thay đổi hoặc vô hiệu hóa tài khoản mặc định trên tất cả phần mềm, thiết bị (như tài khoản root, administrator, tài khoản cấu hình sẵn của nhà cung cấp dịch vụ,...). Quản lý tách biệt giữa các loại tài khoản: tài khoản quản trị, tài khoản tác nghiệp, tài khoản kỹ thuật. Mỗi tài khoản truy cập hệ thống phải được gán cho một người quản lý, sử dụng duy nhất; trường hợp chia sẻ tài khoản dùng chung phải được phê duyệt bởi thủ trưởng đơn vị, sự thống nhất của đơn vị vận hành hệ thống và làm rõ trách nhiệm cá nhân tại mỗi thời điểm sử dụng. Tài khoản không hoạt động sau 45 ngày hoặc ngay khi có sự thay đổi về nhân sự quản lý tài khoản phải được vô hiệu hóa.
4. Quản lý, sử dụng thiết bị lưu khóa bí mật và khóa bí mật (nếu có) thực hiện theo quy định pháp luật hiện hành.
5. Mỗi hệ thống thông tin phải quy định các quyền truy cập cần thiết tương ứng với các chức danh, bộ phận trong cơ quan, đơn vị theo nguyên tắc cấp quyền tối thiểu và phân tách nhiệm vụ đối với mọi loại tài khoản. Yêu cầu xác thực đa nhân tố đối với truy cập của người dùng từ bên ngoài cơ quan, tổ chức, từ đối tác/bên thứ ba, từ Internet và truy cập vào tài khoản có quyền quản trị hệ thống.
Điều 11. Quản lý lỗ hổng bảo mật
1. Xây dựng và triển khai giải pháp để thực hiện rà quét lỗ hổng bảo mật cho tất cả tài sản phần cứng và phần mềm của cơ quan, tổ chức. Đánh giá, phân loại mức độ nghiêm trọng của lỗ hổng, từ đó xác định mức độ ưu tiên của việc khắc phục lỗ hổng, đảm bảo lỗ hổng được khắc phục hoàn toàn mà không làm ảnh hưởng, gián đoạn hoạt động của hệ thống.
2. Khuyến khích xây dựng và triển khai máy chủ quản lý bản vá tập trung cho toàn bộ tài sản phần cứng và phần mềm thuộc hệ thống thông tin. Đánh giá tác động, tiến hành kiểm thử và xây dựng phương án phục hồi trước khi triển khai bản vá trên các hệ thống thông tin có xử lý hoặc lưu trữ dữ liệu quan trọng.
3. Thực hiện kiểm tra và cập nhật bản vá hệ điều hành, ứng dụng cho toàn bộ máy tính, thiết bị di động cấp cho người dùng tối thiểu 03 tháng/lần.
4. Thiết lập và duy trì cơ chế để chia sẻ thông tin, tiếp nhận và phản hồi báo cáo lỗ hổng bảo mật từ các bên liên quan hoặc các nguồn công khai khác. Có trách nhiệm phối hợp với các đơn vị chuyên trách về an toàn thông tin của Tỉnh, các nhóm chuyên gia, bên cung cấp dịch vụ hỗ trợ trong việc xử lý, khắc phục lỗ hổng bảo mật khi cần thiết. Thực hiện quy trình kiểm tra, đánh giá, xử lý lỗ hổng bảo mật khi có thông tin hoặc nhận được cảnh báo về lỗ hổng bảo mật đối với thành phần cụ thể trong hệ thống.
Điều 12. Quản lý nhật ký an toàn thông tin
1. Các cơ quan, tổ chức quản lý hệ thống thông tin phải thực hiện thu thập, phân tích, giám sát và lưu trữ nhật ký an toàn thông tin trên tất cả tài sản phần cứng, phần mềm để phát hiện sớm và ứng phó sự cố tấn công mạng. Không gian lưu trữ nhật ký tối thiểu 12 tháng và phải được bảo vệ an toàn.
2. Các loại nhật ký tối thiểu cần được thu thập gồm: nhật ký truy cập hệ thống; nhật ký tiến trình hoạt động; nhật ký ứng dụng; nhật ký cảnh báo của các thiết bị bảo mật.
a) Nhật ký truy cập hệ thống tối thiểu gồm: địa chỉ nguồn (IP/tên máy, tên miền), địa chỉ đích (IP/tên máy, tên miền), tài khoản đích (tên người dùng/mã định danh), thời điểm xảy ra.
b) Nhật ký tiến trình hoạt động tối thiểu gồm: thông tin thiết bị (IP/tên thiết bị, tên miền), thông tin tiến trình (tên, mã định danh, tiến trình cha, lệnh khởi tạo), tài khoản đích (tên người dùng/mã định danh), thời điểm xảy ra.
c) Nhật ký cảnh báo tối thiểu gồm: tên cảnh báo, thiết bị, mức độ, địa chỉ nguồn, loại cảnh báo, thời điểm xảy ra.
3. Khuyến khích sử dụng máy chủ thời gian để đồng bộ thời gian giữa các thiết bị mạng, thiết bị đầu cuối và các thành phần khác trong hệ thống. Nhật ký an toàn thông tin phải được thực hiện rà soát, phân tích tối thiểu 01 lần/tuần.
Điều 13. Bảo vệ trình duyệt web, dịch vụ thư điện tử
1. Các cơ quan, tổ chức ban hành danh sách các trình duyệt web và dịch vụ thư điện tử được phép sử dụng trong cơ quan, tổ chức mình. Chỉ được sử dụng các trình duyệt web và dịch vụ thư điện tử còn trong thời gian hỗ trợ của nhà cung cấp.
2. Trình duyệt web và dịch vụ thư điện tử phải được rà soát, cập nhật vá lỗ hổng bảo mật thường xuyên thông qua nhà cung cấp.
3. Triển khai sử dụng dịch vụ lọc tên miền trong cơ quan, tổ chức để ngăn chặn các tên miền giả mạo và độc hại.
Điều 14. Phòng, chống phần mềm độc hại
1. Tất cả các máy trạm, máy chủ phải được trang bị phần mềm phòng, chống mã độc. Các phần mềm phòng, chống mã độc phải phù hợp và tương thích với hệ thống thông tin của cơ quan, tổ chức, đồng thời phải được thiết lập chế độ tự động dò quét, ngăn chặn khi phát hiện mã độc, cập nhật kịp thời các mẫu nhận diện mã độc mới và có khả năng tích hợp với quy trình quản lý lỗ hổng bảo mật, ứng phó sự cố.
2. Người sử dụng không được tự ý gỡ bỏ hoặc vô hiệu hóa hoạt động các phần mềm phòng, chống mã độc trên máy tính khi chưa có sự đồng ý của người có thẩm quyền trong cơ quan, tổ chức.
3. Tất cả máy tính của cơ quan, tổ chức phải được cấu hình vô hiệu hóa tính năng tự động thực thi (autoplay, autorun,...) các tập tin trên các phương tiện lưu trữ di động như ổ cứng, thẻ nhớ, USB,...
4. Máy tính xách tay, thiết bị di động (điện thoại thông minh, máy tính bảng,...) trước khi kết nối vào mạng nội bộ của cơ quan, tổ chức phải bảo đảm đã được cài đặt phần mềm phòng, chống mã độc và đã được kiểm duyệt về các phần mềm độc hại.
5. Tất cả các tập tin, thư mục trên các phương tiện lưu trữ di động phải được dò quét phần mềm độc hại trước khi sao chép vào máy tính sử dụng.
6. Máy chủ chi được dùng để cài đặt các phần mềm, dịch vụ dùng chung của cơ quan, tổ chức; không cài đặt phần mềm không rõ nguồn gốc, phần mềm phục vụ mục đích sử dụng cá nhân và mục đích khác, không phục vụ công việc.
7. Khi phát hiện ra bất kỳ dấu hiệu nào liên quan đến việc máy tính bị nhiễm mã độc (máy hoạt động chậm bất thường, cảnh báo từ phần mềm phòng chống mã độc, mất dữ liệu,...) người sử dụng phải tắt máy, ngắt kết nối từ máy tính đến mạng nội bộ, mạng WAN, mạng Internet,... và báo trực tiếp cho bộ phận có trách nhiệm của cơ quan, tổ chức để xử lý.
Điều 15. Sao lưu và khôi phục dữ liệu
1. Các cơ quan, tổ chức có trách nhiệm xây dựng, ban hành, đảm bảo tuân thủ quy định sao lưu và khôi phục dữ liệu. Xác định danh sách các loại dữ liệu, phần mềm cần được sao lưu và khôi phục; tần suất, phương pháp sao lưu và khôi phục đối với từng loại dữ liệu (tập tin cấu hình hệ thống, bản dự phòng hệ điều hành máy chủ, cơ sở dữ liệu, dữ liệu, thông tin nghiệp vụ,...). Định kỳ thực hiện khôi phục dữ liệu đã sao lưu dựa trên mức độ nhạy cảm và tầm quan trọng của dữ liệu nhằm kiểm tra khả năng khôi phục của bản sao lưu.
2. Bảo vệ bản sao lưu dữ liệu đảm bảo tính toàn vẹn, tính sẵn sàng và khả năng phục hồi của dữ liệu. Các bản sao lưu dữ liệu cần phải được định danh, quản lý phiên bản và lưu trữ ở những hạ tầng tách biệt với môi trường vận hành. Thực hiện mã hóa đối với những bản sao lưu dữ liệu quan trọng.
3. Người sử dụng phải có kế hoạch sao lưu dữ liệu lưu trữ trên máy tính cá nhân định kỳ ba tháng một lần.
1. Thiết lập, duy trì các sơ đồ kiến trúc hệ thống mạng, kiến trúc an toàn mạng và các hồ sơ khác về hệ thống mạng; đảm bảo thực hiện tối thiểu 03 nguyên tắc: phân vùng mạng, đặc quyền ít nhất và tính sẵn sàng. Hồ sơ kiến trúc hệ thống mạng tối thiểu bao gồm: Tổng quan kiến trúc hệ thống mạng; sơ đồ cấp chi tiết của hệ thống mạng; ghi chú các tài liệu đặc tả kỹ thuật, tài liệu thống kê; tài liệu mô tả phương án đảm bảo an ninh mạng, an toàn thông tin. Sơ đồ mạng phải được xem xét và cập nhật tối thiểu 02 lần/năm hoặc mỗi khi có thay đổi ảnh hưởng đến sơ đồ hệ thống.
2. Đối với các thiết bị mạng chính phải có phương án dự phòng phù hợp, thường xuyên kiểm tra hiệu năng, đảm bảo hoạt động bình thường của thiết bị.
3. Hệ thống mạng phải được chia tách thành các vùng mạng khác nhau theo đối tượng sử dụng, mục đích sử dụng và có phương án kiểm soát truy cập giữa các vùng mạng, phòng, chống xâm nhập giữa các vùng mạng.
4. Đối với người dùng quản trị, người dùng tác nghiệp truy cập từ xa vào hệ thống phải sử dụng mạng riêng ảo VPN và yêu cầu xác thực đa nhân tố cho việc truy cập từ xa. Các thiết bị được phép truy cập từ xa phải đảm bảo các yêu cầu về bảo mật: chỉ cho phép sử dụng các kết nối mạng an toàn khi truy cập; giới hạn các địa chỉ mạng có thể kết nối; hạn chế số lần đăng nhập sai; phân quyền truy cập; cài đặt phần mềm phòng, chống mã độc; nâng cấp, xử lý điểm yếu an toàn thông tin của thiết bị hệ thống trước khi đưa vào sử dụng.
5. Hệ thống mạng trước khi đưa vào vận hành, khai thác sử dụng phải thực hiện quy trình thử nghiệm và nghiệm thu hệ thống; kiểm tra, đánh giá định kỳ về an toàn thông tin đối với hệ thống mạng tối thiểu 01 lần/năm (hệ thống cấp độ 3, cấp độ 4) hoặc 02 năm/lần (hệ thống cấp độ 1, cấp độ 2).
Điều 17. Nhân sự vận hành, quản trị hệ thống, bảo vệ an toàn thông tin mạng
1. Mỗi cơ quan, tổ chức phải thành lập các bộ phận/nhân sự chuyên trách hoặc kiêm nhiệm phụ trách về vận hành, quản trị hệ thống và bảo vệ an toàn thông tin hoạt động độc lập về chuyên môn. Nhân sự vận hành, quản trị hệ thống, bảo vệ an toàn thông tin mạng phải có trình độ chuyên môn về an ninh mạng, an toàn thông tin mạng, công nghệ thông tin; có cam kết bảo mật thông tin trong quá trình làm việc và sau khi chất dứt hoặc thay đổi công việc.
2. Định kỳ hàng năm tổ chức phổ biến, tuyên truyền nâng cao nhận thức về an toàn thông tin cho toàn bộ người sử dụng hệ thống thông tin; đào tạo kiến thức chuyên môn về an ninh mạng, an toàn thông tin mạng theo từng vị trí, vai trò cụ thể của cá nhân tham gia bảo vệ an toàn thông tin mạng trong cơ quan, tổ chức.
Điều 18. Quản lý nhà cung cấp sản phẩm, dịch vụ
Tất cả các nhà cung cấp sản phẩm, dịch vụ an toàn thông tin mạng, lưu trữ, xử lý dữ liệu nhạy cảm hoặc chịu trách nhiệm về các quy trình, nền tảng quan trọng trong các hệ thống thông tin của cơ quan, đơn vị phải được lập danh sách, phân loại, theo dõi. Có văn bản xác định rõ phạm vi trách nhiệm giữa nhà cung cấp sản phẩm, dịch vụ với cơ quan, đơn vị. Định kỳ hàng năm xem xét, đánh giá lại năng lực của các nhà cung cấp.
Điều 19. Ứng phó sự cố an toàn thông tin mạng
1. Các cơ quan, tổ chức có trách nhiệm thành lập đội/tổ ứng phó sự cố an toàn thông tin mạng. Phân công vị trí, vai trò và trách nhiệm chính của từng thành viên trong đội/tổ ứng phó sự cố an toàn thông tin mạng; trách nhiệm phối với với đội/tổ ứng phó sự cố an toàn thông tin mạng của các phòng ban có liên quan. Phân công và duy trì đầu mối liên lạc để báo cáo sự cố. Giữ mối liên lạc thường xuyên với cơ quan thường trực Đội ứng cứu sự cố an toàn thông tin của Tỉnh và lực lượng chuyên trách về an ninh mạng, an toàn thông tin của Tỉnh (Phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao Công an Tỉnh).
2. Xây dựng, ban hành và đảm bảo thực thi phương án ứng cứu sự cố an toàn thông tin mạng trong cơ quan, tổ chức; đảm bảo cơ chế liên lạc, báo cáo, phối hợp với các cơ quan chức năng của Tỉnh, các nhóm chuyên gia, bên cung cấp dịch vụ trong xử lý, khắc phục sự cố an toàn thông tin mạng. Thực hiện đánh giá và cập nhật lại phương án ứng phó sự cố an toàn thông tin tối thiểu 01 lần/năm hoặc khi xảy ra các thay đổi ảnh hưởng đến phương án.
Điều 20. Trách nhiệm của Thủ trưởng các cơ quan, đơn vị
1. Thủ trưởng các cơ quan, đơn vị có trách nhiệm tổ chức thực hiện các quy định tại quy chế này và chịu trách nhiệm trước Ủy ban nhân dân Tỉnh trong công tác đảm bảo an toàn thông tin mạng của cơ quan, đơn vị mình.
2. Phân công bộ phận hoặc cán bộ chuyên trách bảo đảm an toàn thông tin mạng của đơn vị; tạo điều kiện để các cán bộ phụ trách an toàn thông tin mạng được học tập, nâng cao trình độ về an toàn thông tin mạng; thường xuyên tổ chức quán triệt các quy định về an toàn thông tin mạng trong cơ quan, đơn vị;
3. Ban hành quy định, quy trình nội bộ về bảo đảm an toàn thông tin mạng phù hợp với quy chế này và các quy định của pháp luật.
4. Các cơ quan, đơn vị có trách nhiệm thực hiện việc xây dựng hồ sơ, đề xuất phê duyệt cấp độ an toàn thông tin theo quy định của pháp luật; triển khai đầy đủ các biện pháp bảo đảm an toàn thông tin theo hồ sơ đã được phê duyệt. Định kỳ đánh giá hiệu quả của các biện pháp bảo đảm an toàn thông tin đã triển khai để điều chỉnh nếu cần thiết.
5. Phối hợp, cung cấp thông tin và tạo điều kiện cho các đơn vị có thẩm quyền triển khai công tác kiểm tra, khắc phục sự cố an toàn thông tin mạng kịp thời, nhanh chóng và đạt hiệu quả.
6. Phối hợp chặt chẽ với Công an Tỉnh, Sở Khoa học và Công nghệ và các đơn vị liên quan trong công tác phòng ngừa, đấu tranh, ngăn chặn các hoạt động xâm phạm an toàn thông tin mạng.
7. Định kỳ 6 tháng hoặc đột xuất khi có yêu cầu các cơ quan, đơn vị báo cáo về tình hình, công tác an toàn thông tin mạng, gửi về Công an Tỉnh để tổng hợp báo cáo Ủy ban nhân dân Tỉnh và Bộ Công an.
Điều 21. Trách nhiệm của Công an Tỉnh
1. Tham mưu Ủy ban nhân dân Tỉnh về công tác bảo đảm an toàn thông tin mạng trên địa bàn Tỉnh và chịu trách nhiệm trước Ủy ban nhân dân Tỉnh trong việc bảo đảm an toàn thông tin mạng cho các hệ thống thông tin của Tỉnh.
2. Thực hiện thẩm định, phê duyệt cấp độ an toàn thông tin mạng đối với hồ sơ đề xuất cấp độ theo quy định của Luật An toàn thông tin mạng, Nghị định 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ.
3. Chủ trì, phối hợp với các cơ quan, đơn vị có liên quan tổ chức thực thi, đôn đốc, kiểm tra, giám sát định kỳ hoặc đột xuất công tác bảo đảm an toàn thông tin; kịp thời phát hiện và xử lý theo thẩm quyền đối với các hành vi vi phạm an toàn thông tin mạng trên địa bàn Tỉnh.
4. Hướng dẫn các cơ quan, đơn vị xây dựng quy định nội bộ và thực hiện việc bảo đảm an toàn thông tin mạng cho các hệ thống thông tin theo quy định; triển khai các biện pháp, giải pháp kỹ thuật bảo đảm an toàn thông tin mạng; diễn tập về an toàn thông tin.
5. Hàng năm, xây dựng và triển khai các chương trình đào tạo, hội nghị tuyên truyền về an toàn thông tin mạng trong hoạt động ứng dụng công nghệ thông tin của các cơ quan, đơn vị trên địa bàn Tỉnh. Tổ chức đào tạo, bồi dưỡng chuyên sâu về an toàn thông tin mạng cho lực lượng chuyên trách về an toàn thông tin mạng, cán bộ, công chức, viên chức, người lao động thực hiện nhiệm vụ bảo đảm an toàn thông tin mạng của các cơ quan, đơn vị.
6. Chủ trì, phối hợp Sở Khoa học và Công nghệ, Đội ứng cứu sự cố an toàn thông tin mạng tổ chức diễn tập bảo đảm an toàn thông tin mạng đối với các hệ thống thông tin dùng chung do Ủy ban nhân dân Tỉnh triển khai.
7. Tham mưu Ủy ban nhân dân Tỉnh triển khai, quản lý, vận hành các hệ thống hạ tầng kỹ thuật bảo đảm an toàn thông tin mạng tập trung (hệ thống phòng, chống mã độc; hệ thống giám sát an toàn thông tin mạng) để kịp thời phát hiện, xử lý các vấn đề liên quan đến an toàn thông tin, giảm thiểu tấn công mạng; hỗ trợ giám sát an toàn thông tin cho các hệ thống thông tin của các cơ quan, đơn vị.
8. Tham gia mạng lưới ứng cứu sự cố an toàn thông tin mạng quốc gia và thực hiện trách nhiệm, quyền hạn của thành viên mạng lưới ứng cứu sự cố an toàn thông tin mạng quốc gia.
9. Tổng hợp, báo cáo định kỳ cho Ủy ban nhân dân Tỉnh và Bộ Công an về tình hình, công tác bảo đảm an toàn thông tin mạng trên địa bàn Tỉnh.
Điều 22. Trách nhiệm của Sở Khoa học và Công nghệ
1. Tham mưu Ủy ban nhân dân Tỉnh ban hành các quy định về đảm bảo an toàn thông tin mạng đối với các hệ thống thông tin dùng chung do Ủy ban nhân dân Tỉnh triển khai. Thực hiện việc xây dựng hồ sơ, đề xuất phê duyệt cấp độ an toàn đối với các hệ thống thông tin này và triển khai đầy đủ các biện pháp bảo đảm an toàn thông tin theo hồ sơ đã được phê duyệt. Định kỳ đánh giá hiệu quả của các biện pháp bảo đảm an toàn thông tin đã triển khai, báo cáo đề xuất Ủy ban nhân dân Tỉnh điều chỉnh nếu cần thiết.
2. Phối hợp Công an Tỉnh, Đội ứng cứu sự cố an toàn thông tin mạng tổ chức diễn tập bảo đảm an toàn thông tin mạng đối với các hệ thống thông tin dùng chung do Ủy ban nhân dân Tỉnh triển khai.
3. Phối hợp Công an Tỉnh trong công tác thanh tra, kiểm tra về an toàn thông tin mạng.
Điều 23. Trách nhiệm Sở Tài chính
1. Hướng dẫn các cơ quan, đơn vị lập dự toán ngân sách hàng năm kinh phí chi cho công tác bảo đảm an toàn thông tin mạng. Căn cứ khả năng cân đối ngân sách và chế độ, tiêu chuẩn, định mức do nhà nước ban hành, tham mưu Ủy ban nhân dân Tỉnh bố trí kinh phí thường xuyên thực hiện nhiệm vụ về bảo đảm an toàn thông tin mạng cho các cơ quan, đơn vị.
2. Chủ trì, phối hợp các đơn vị liên quan tham mưu Ủy ban nhân dân Tỉnh trình Hội đồng nhân dân Tỉnh thông qua vốn phân bổ kế hoạch vốn trung hạn và hàng năm của các cơ quan, đơn vị thực hiện các đề án, dự án đầu tư công về bảo đảm an toàn thông tin mạng.
Điều 24. Trách nhiệm của cán bộ, công chức, viên chức và người lao động trong các cơ quan, đơn vị
1. Trách nhiệm của cán bộ, công chức, viên chức và người lao động làm nhiệm vụ an toàn thông tin mạng:
a) Chịu trách nhiệm bảo đảm an toàn thông tin mạng của cơ quan, đơn vị.
b) Tham mưu cho thủ trưởng cơ quan, đơn vị ban hành các quy định, quy trình nội bộ và triển khai các biện pháp, giải pháp kỹ thuật bảo đảm an toàn thông tin mạng tại cơ quan, đơn vị.
c) Thực hiện việc giám sát, đánh giá, báo cáo thủ trưởng cơ quan, đơn vị các rủi ro mất an toàn thông tin mạng và mức độ nghiêm trọng của các rủi ro đó.
d) Phối hợp với các tổ chức, cá nhân có liên quan trong việc kiểm soát, phát hiện và khắc phục các sự cố mất an toàn thông tin.
2. Trách nhiệm của cán bộ, công chức, viên chức và người lao động trong cơ quan, đơn vị:
a) Chấp hành nghiêm túc các quy định, quy trình nội bộ, quy chế này và các quy định khác của pháp luật về an toàn thông tin mạng. Nâng cao ý thức cảnh giác và trách nhiệm bảo đảm an toàn thông tin mạng trong phạm vi, trách nhiệm và quyền hạn được giao.
b) Tự quản lý, bảo quản thiết bị được giao sử dụng. Khi phát hiện nguy cơ hoặc sự cố an toàn thông tin mạng phải báo cáo ngay với cấp trên và bộ phận chuyên trách về công nghệ thông tin của cơ quan, đơn vị để kịp thời ngăn chặn, xử lý.
c) Tích cực tham gia các chương trình đào tạo, hội nghị về an toàn thông tin mạng do Tỉnh hoặc các cơ quan, đơn vị chuyên môn tổ chức.
Điều 25. Trách nhiệm của các tổ chức, cá nhân khác
Các tổ chức, cá nhân khác có liên quan đến hoạt động ứng dụng công nghệ thông tin của các cơ quan nhà nước tỉnh Đồng Tháp phải tuân thủ quy chế này và các quy định hiện hành của pháp luật có liên quan.
Điều 26. Khen thưởng và xử lý vi phạm
1. Hàng năm, Công an Tỉnh căn cứ kết quả kiểm tra, đánh giá, báo cáo công tác bảo đảm an toàn thông tin mạng của các cơ quan, đơn vị đề xuất Ủy ban nhân dân Tỉnh xem xét khen thưởng cho các cá nhân, đơn vị có nhiều thành tích trong công tác bảo đảm an toàn thông tin mạng theo quy định hiện hành.
2. Tổ chức, cá nhân có hành vi vi phạm quy chế này thì tùy theo tính chất, mức độ vi phạm bị xử lý theo quy định của pháp luật hiện hành.
1. Công an Tỉnh chủ trì, phối hợp với các sở, cơ quan, ban, ngành, Ủy ban nhân dân các xã, phường triển khai thực hiện quy chế này.
2. Trong quá trình thực hiện nếu có khó khăn, vướng mắc cần sửa đổi, bổ sung, các cơ quan, đơn vị kịp thời báo cáo về Công an Tỉnh tổng hợp trình Ủy ban nhân dân Tỉnh xem xét, giải quyết./.
