Quyết định 1553/QĐ-UBND năm 2026 về Quy chế quản lý, vận hành, khai thác và sử dụng Trung tâm tích hợp dữ liệu tỉnh Lâm Đồng

Số hiệu	1553/QĐ-UBND
Ngày ban hành	21/04/2026
Ngày có hiệu lực	21/04/2026
Loại văn bản	Quyết định
Cơ quan ban hành	Tỉnh Lâm Đồng
Người ký	Nguyễn Ngọc Phúc
Lĩnh vực	Công nghệ thông tin

Tải văn bản In văn bản

ỦY BAN NHÂN DÂN TỈNH LÂM ĐỒNG -------	CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc ---------------
Số: 1553/QĐ-UBND	Lâm Đồng, ngày 21 tháng 4 năm 2026

QUYẾT ĐỊNH

BAN HÀNH QUY CHẾ QUẢN LÝ, VẬN HÀNH, KHAI THÁC VÀ SỬ DỤNG TRUNG TÂM TÍCH HỢP DỮ LIỆU TỈNH LÂM ĐỒNG

ỦY BAN NHÂN DÂN TỈNH LÂM ĐỒNG

Căn cứ Luật Tổ chức chính quyền địa phương ngày 16 tháng 6 năm 2025;

Căn cứ Luật Công nghệ thông tin ngày 29 tháng 6 năm 2006;

Căn cứ Luật An toàn thông tin mạng ngày 19 tháng 11 năm 2015;

Căn cứ Luật An ninh mạng ngày 12 tháng 6 năm 2018;

Căn cứ Luật Bảo vệ dữ liệu cá nhân ngày 26 tháng 6 năm 2025;

Căn cứ Luật Bảo vệ bí mật Nhà nước ngày 10 tháng 12 năm 2025;

Căn cứ Nghị định số 64/2007/NĐ-CP ngày 10 tháng 4 năm 2007 của Chính phủ về ứng dụng công nghệ thông tin trong hoạt động của cơ quan nhà nước;

Căn cứ Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;

Căn cứ Nghị định số 194/2025/NĐ-CP ngày 03 tháng 7 năm 2025 của Chính phủ quy định về quy định chi tiết một số điều của luật giao dịch điện tử về cơ sở dữ liệu quốc gia, kết nối và chia sẻ dữ liệu, dữ liệu mở phục vụ giao dịch điện tử của cơ quan nhà nước;

Căn cứ Nghị định số 278/2025/NĐ-CP ngày 22 tháng 10 năm 2025 của Chính phủ quy định về kết nối, chia sẻ dữ liệu bắt buộc giữa các cơ quan thuộc hệ thống chính trị;

Nghị định số 356/2025/NĐ-CP ngày 31 tháng 12 năm 2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;

Căn cứ Quyết định số 05/2017/QĐ-TTg ngày 16 tháng 3 năm 2017 của Thủ tướng Chính phủ ban hành quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia;

Căn cứ Quyết định số 33/2025/QĐ-TTg ngày 15 tháng 9 năm 2025 của Thủ tướng Chính phủ về Mạng truyền số liệu chuyên dùng phục vụ các cơ quan Đảng, Nhà nước.

Căn cứ Thông tư số 20/2017/TT-BTTTT ngày 12 tháng 9 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền thông quy định về điều phối, ứng cứu sự cố an toàn thông tin mạng trên toàn quốc;

Căn cứ Thông tư số 31/2017/TT-BTTTT ngày 15 tháng 11 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền thông quy định hoạt động giám sát an toàn hệ thống thông tin;

Căn cứ Thông tư số 12/2022/TT-BTTTT ngày 12 tháng 8 năm 2022 của Bộ trưởng Bộ Thông tin và Truyền thông quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;

Căn cứ Thông tư số 42/2025/TT-BKHCN ngày 30 tháng 11 năm 2025 của Bộ trưởng Bộ Khoa học và Công nghệ quy định áp dụng tiêu chuẩn, quy chuẩn kỹ thuật đối với trung tâm dữ liệu;

Căn cứ Quyết định số 2306/QĐ-UBND ngày 26 tháng 11 năm 2025 của UBND tỉnh ban hành quy chế đảm bảo an toàn thông tin đối với hệ thống thông tin trên địa bàn tỉnh Lâm Đồng;

Theo đề nghị của Giám đốc Sở Khoa học và Công nghệ tại Tờ trình số 998/TTr-SKHCN ngày 24 tháng 03 năm 2026.

QUYẾT ĐỊNH:

Điều 1. Ban hành kèm theo Quyết định này Quy chế quản lý, vận hành, khai thác và sử dụng Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng.

Điều 2. Quyết định này có hiệu lực kể từ ngày ký ban hành.

Điều 3. Chánh Văn phòng Ủy ban nhân dân tỉnh; Giám đốc Công an tỉnh; Giám đốc các sở, ban, ngành; Chủ tịch Ủy ban nhân dân các xã, phường, đặc khu; Thủ trưởng các cơ quan, tổ chức và cá nhân khác có liên quan chịu trách nhiệm thi hành Quyết định này./.

Nơi nhận:
- Như Điều 3;
- Thường trực Tỉnh ủy (b/c);
- Thường trực HĐND tỉnh (b/c);
- Chủ tịch, PCT UBND tỉnh (đ/c Phúc);
- Thường trực Đảng ủy UBND tỉnh (b/c);
- PCVP UBND tỉnh (đ/c Duệ);
- Lưu: VT, KGVX.

TM. ỦY BAN NHÂN DÂN
KT. CHỦ TỊCH
PHÓ CHỦ TỊCH

Nguyễn Ngọc Phúc

[...]

ỦY BAN NHÂN DÂN TỈNH LÂM ĐỒNG -------	CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc ---------------
Số: 1553/QĐ-UBND	Lâm Đồng, ngày 21 tháng 4 năm 2026

QUYẾT ĐỊNH

BAN HÀNH QUY CHẾ QUẢN LÝ, VẬN HÀNH, KHAI THÁC VÀ SỬ DỤNG TRUNG TÂM TÍCH HỢP DỮ LIỆU TỈNH LÂM ĐỒNG

ỦY BAN NHÂN DÂN TỈNH LÂM ĐỒNG

Căn cứ Luật Tổ chức chính quyền địa phương ngày 16 tháng 6 năm 2025;

Căn cứ Luật Công nghệ thông tin ngày 29 tháng 6 năm 2006;

Căn cứ Luật An toàn thông tin mạng ngày 19 tháng 11 năm 2015;

Căn cứ Luật An ninh mạng ngày 12 tháng 6 năm 2018;

Căn cứ Luật Bảo vệ dữ liệu cá nhân ngày 26 tháng 6 năm 2025;

Căn cứ Luật Bảo vệ bí mật Nhà nước ngày 10 tháng 12 năm 2025;

Căn cứ Nghị định số 64/2007/NĐ-CP ngày 10 tháng 4 năm 2007 của Chính phủ về ứng dụng công nghệ thông tin trong hoạt động của cơ quan nhà nước;

Căn cứ Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;

Nghị định số 356/2025/NĐ-CP ngày 31 tháng 12 năm 2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;

Theo đề nghị của Giám đốc Sở Khoa học và Công nghệ tại Tờ trình số 998/TTr-SKHCN ngày 24 tháng 03 năm 2026.

QUYẾT ĐỊNH:

Điều 1. Ban hành kèm theo Quyết định này Quy chế quản lý, vận hành, khai thác và sử dụng Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng.

Điều 2. Quyết định này có hiệu lực kể từ ngày ký ban hành.

TM. ỦY BAN NHÂN DÂN
KT. CHỦ TỊCH
PHÓ CHỦ TỊCH

Nguyễn Ngọc Phúc

QUY CHẾ

QUẢN LÝ, VẬN HÀNH, KHAI THÁC VÀ SỬ DỤNG TRUNG TÂM TÍCH HỢP DỮ LIỆU TỈNH LÂM ĐỒNG
(Ban hành kèm theo Quyết định số: 1553/QĐ-UBND ngày 21/4/2026 của Ủy ban nhân dân tỉnh Lâm Đồng)

Chương I

QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh, đối tượng áp dụng

1. Phạm vi điều chỉnh

Quy định việc quản lý, vận hành, khai thác và sử dụng hệ thống hạ tầng, ứng dụng, cơ sở dữ liệu dùng chung và các biện pháp nhằm bảo đảm an toàn thông tin Trung tâm Tích hợp dữ liệu (TT. THDL) tỉnh Lâm Đồng.

2. Đối tượng áp dụng

a) Các cơ quan, đơn vị trên địa bàn tỉnh có hệ thống thông tin đặt tại TT. THDL.

b) Cơ quan, tổ chức, cá nhân có kết nối, khai thác, sử dụng hệ thống thông tin tại TT. THDL.

c) Các tổ chức, cá nhân cung cấp dịch vụ quản lý, vận hành và đảm bảo an toàn thông tin đối với TT. THDL.

Điều 2. Giải thích từ ngữ

Trong Quy định này, các từ ngữ dưới đây được hiểu như sau:

1. Trung tâm Tích hợp dữ liệu: Là nơi tập trung các thiết bị công nghệ thông tin và viễn thông chuyên dụng với khả năng lưu trữ dữ liệu lớn, hệ thống kết nối, hệ thống mạng, hệ thống bảo mật an toàn dữ liệu, hệ thống phụ trợ và các phần mềm dùng chung của tỉnh.

2. Ứng dụng dùng chung: Là các phần mềm ứng dụng cung cấp dịch vụ phục vụ hoạt động của các cơ quan, đơn vị và người sử dụng, được UBND tỉnh thống nhất triển khai, vận hành tại TT. THDL.

3. Mạng diện rộng (Mạng WAN - Wide Area Network): Là hệ thống mạng được thiết lập bằng việc kết nối giữa TT. THDL và mạng nội bộ của các cơ quan, đơn vị trên địa bàn tỉnh thông qua hạ tầng mạng của nhà cung cấp dịch vụ và cho phép kết nối với mạng của Chính phủ khi có yêu cầu.

4. Mạng truyền số liệu chuyên dùng (sau đây viết tắt là mạng TSLCD) trong các cơ quan nhà nước tỉnh Lâm Đồng: Là hệ thống thông tin quan trọng Quốc gia, được sử dụng riêng trong hoạt động truyền số liệu và ứng dụng công nghệ thông tin của các cơ quan Đảng, Nhà nước do Cục Bưu điện Trung ương trực tiếp quản lý, điều hành hoạt động.

5. Hạ tầng kỹ thuật: Là tập hợp thiết bị công nghệ thông tin (thiết bị định tuyến, thiết bị chuyển mạch, thiết bị lưu trữ dữ liệu, các thiết bị giám sát, bảo mật, máy chủ, máy trạm…), thiết bị điện (điều hòa chính xác, tủ điện, chống sét, máng cáp điện…), nhà trạm, hệ thống cáp, thiết bị phòng cháy, chữa cháy, thiết bị viễn thông, thiết bị ngoại vi, mạng nội bộ, mạng diện rộng, mạng truyền số liệu chuyên dùng và các thiết bị kỹ thuật chuyên dùng khác.

6. An toàn, an ninh thông tin: Bao gồm các hoạt động quản lý, nghiệp vụ và kỹ thuật đối với hệ thống thông tin nhằm bảo vệ, khôi phục các hệ thống, các dịch vụ và nội dung thông tin trước các nguy cơ tự nhiên hoặc do con người gây ra. Việc bảo vệ thông tin, thiết bị mạng, tài sản và con người trong hệ thống thông tin nhằm bảo đảm cho các hệ thống thông tin thực hiện đúng chức năng, phục vụ đúng đối tượng một cách sẵn sàng, chính xác và tin cậy. An toàn, an ninh thông tin bao hàm các nội dung bảo vệ và bảo mật thông tin, an toàn dữ liệu, an toàn máy tính và an toàn mạng. Là sự bảo vệ thông tin và hệ thống thông tin tránh bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép nhằm bảo đảm tính nguyên vẹn, tính bảo mật và tính khả dụng của thông tin.

7. Chủ quản hệ thống thông tin: là cơ quan, tổ chức có thẩm quyền quản lý trực tiếp đối với hệ thống thông tin.

8. Cơ quan chủ quản TT. THDL: UBND tỉnh Lâm Đồng.

9. Cơ quan chịu trách nhiệm quản lý (cơ quan quản lý) TT. THDL: Sở Khoa học và Công nghệ tỉnh Lâm Đồng.

10. Đơn vị trực tiếp quản trị, vận hành (đơn vị vận hành) TT. THDL: Trung tâm Đổi mới sáng tạo và Chuyển đổi số trực thuộc Sở Khoa học và Công nghệ tỉnh Lâm Đồng.

Điều 3. Kiến trúc và dịch vụ của TT. THDL

1. Kiến trúc của TT. THDL được chia làm các phân hệ sau đây:

a) Hệ thống máy chủ: Bao gồm các máy chủ được đầu tư hoặc được đặt tại TT. THDL nhằm phục vụ hoạt động ứng dụng công nghệ thông tin với khả năng sẵn sàng nâng cấp, mở rộng số lượng máy chủ trong tương lai. Hệ thống máy chủ đảm bảo năng lực cung cấp các dịch vụ ứng dụng với nhiều mục đích khác nhau như các ứng dụng dùng chung, ứng dụng chuyên ngành, cơ sở dữ liệu dùng chung, cơ sở dữ liệu chuyên ngành và các hệ thống ứng dụng thông tin khác.

b) Hệ thống lưu trữ: Bao gồm các thiết bị lưu trữ chuyên dụng với năng lực quản lý tập trung và lưu trữ dữ liệu lớn đảm bảo cho mục đích sao lưu, khôi phục dữ liệu nếu có xảy ra sự cố. Hệ thống lưu trữ có khả năng mở rộng dung lượng lưu trữ dữ liệu trong tương lai.

c) Hệ thống đảm bảo an toàn thông tin: Bao gồm các thiết bị tường lửa cho lớp mạng, dữ liệu và lớp ứng dụng, các thiết bị ngăn chặn xâm nhập trái phép, thiết bị cân bằng tải, phòng chống thất thoát dữ liệu, hệ thống kiểm soát ra/vào, camera giám sát và các ứng dụng an ninh hệ thống thông tin. Mỗi thành phần trong hệ thống an toàn thông tin đều được thiết kế bảo đảm tính dự phòng và bổ sung hỗ trợ lẫn nhau trong toàn hệ thống công nghệ thông tin.

d) Hệ thống cơ sở dữ liệu: Bao gồm các phân hệ cơ sở dữ liệu dùng chung hoặc chuyên ngành được xây dựng nhằm liên kết, tích hợp các ứng dụng dùng chung và chuyên ngành phục vụ ứng dụng công nghệ thông tin trong các cơ quan, địa phương và phục vụ người dân, doanh nghiệp đã được UBND tỉnh phê duyệt và cho phép triển khai.

đ) Hệ thống mạng và truyền dẫn: Bao gồm nhiều vùng mạng khác nhau để kết nối với hệ thống mạng truyền số liệu chuyên dùng hay mở kết nối ra Internet, vùng mạng riêng (DMZ), vùng mạng quản trị nội bộ (LAN), phân vùng mạng dùng riêng cho các cơ quan tổ chức… mỗi vùng mạng được thiết lập các chính sách an ninh và truy cập riêng cho một hoặc nhiều mục đích sử dụng khác nhau. Hệ thống mạng sử dụng đường truyền băng thông rộng và đường truyền số liệu chuyên dùng để phục vụ kết nối mạng WAN của tỉnh, kết nối các ứng dụng dùng chung, ứng dụng chuyên ngành, cơ sở dữ liệu dùng chung, cơ sở dữ liệu chuyên ngành phục vụ các cơ quan, địa phương khai thác, sử dụng và giao dịch hành chính trên môi trường mạng.

e) Các hệ thống phụ trợ: Bao gồm hệ thống nguồn điện, hệ thống điều hòa, thiết bị lưu điện, giám sát môi trường, máy phát điện, sàn nâng, hệ thống phòng cháy và chữa cháy và các hệ thống phụ trợ có liên quan khác.

2. Các ứng dụng và dịch vụ được cung cấp tại TT. THDL, bao gồm:

a) Các ứng dụng dùng chung phục vụ công tác chỉ đạo, điều hành, tác nghiệp của các cơ quan nhà nước; cung cấp nền tảng phục vụ người dân, doanh nghiệp thông qua các hệ thống thông tin, dịch vụ công theo quy định.

b) Các dịch vụ công nghệ thông tin phục vụ cơ quan nhà nước, bao gồm:

Dịch vụ cung cấp hạ tầng kỹ thuật công nghệ thông tin.

Dịch vụ cung cấp tài nguyên tính toán (máy chủ vật lý, máy chủ ảo).

Dịch vụ lưu trữ dữ liệu.

Dịch vụ cung cấp môi trường cài đặt, vận hành hệ thống thông tin.

Dịch vụ quản trị, vận hành hạ tầng và hệ thống thông tin.

Dịch vụ kết nối, tích hợp, chia sẻ dữ liệu.

Dịch vụ bảo đảm an toàn thông tin, bao gồm rà quét, đánh giá, ứng cứu và khắc phục sự cố.

Các dịch vụ công nghệ thông tin khác phục vụ hoạt động của cơ quan nhà nước.

Điều 4. Đầu mối tiếp nhận, phối hợp với các cơ quan, tổ chức có thẩm quyền

1. Đầu mối liên hệ, phối hợp với các cơ quan, tổ chức có thẩm quyền trong việc quản lý, vận hành, khai thác và đảm bảo an toàn thông tin cho TT. THDL tỉnh Lâm Đồng:

Sở Khoa học và Công nghệ là cơ quan đầu mối quản lý nhà nước đối với TT. THDL tỉnh Lâm Đồng; chủ trì phối hợp với các cơ quan, tổ chức có thẩm quyền trong việc quản lý, khai thác, vận hành và bảo đảm an toàn thông tin cho TT. THDL.

Trung tâm Đổi mới sáng tạo và Chuyển đổi số là đơn vị trực tiếp vận hành kỹ thuật hạ tầng tại TT. THDL; phối hợp với các cơ quan, đơn vị có liên quan trong việc cung cấp dịch vụ hạ tầng số và bảo đảm hoạt động của hệ thống.

2. Đầu mối liên hệ, phối hợp với các cơ quan, tổ chức trong công tác hỗ trợ điều phối xử lý sự cố an toàn thông tin tại TT. THDL.

Công an tỉnh là đầu mối liên hệ, phối hợp với các cơ quan, tổ chức trong công tác hỗ trợ điều phối, xử lý sự cố về an toàn thông tin tại TT. THDL.

3. Các cơ quan, đơn vị; UBND các xã, phường, đặc khu có trách nhiệm phối hợp, tham gia các hoạt động bảo đảm an toàn thông tin theo yêu cầu của cơ quan có thẩm quyền.

Điều 5. Nguyên tắc về quản lý, vận hành, khai thác và sử dụng hệ thống hạ tầng, ứng dụng, cơ sở dữ liệu dùng chung tại TT. THDL

1. Tuân thủ các nguyên tắc, biện pháp bảo đảm cơ sở hạ tầng viễn thông - công nghệ thông tin phục vụ ứng dụng và phát triển công nghệ thông tin theo Luật Công nghệ thông tin ngày 29 tháng 6 năm 2006.

2. Bảo đảm các yêu cầu về an toàn thông tin theo Luật An toàn thông tin mạng ngày 19 tháng 11 năm 2025, Luật An ninh mạng ngày 12 tháng 6 năm 2018 và các văn bản pháp luật hiện hành.

3. Việc duy trì, vận hành, nâng cấp TT. THDL phải tuân thủ các tiêu chuẩn, quy chuẩn kỹ thuật theo Thông tư số 42/2025/TT-BKHCN ngày 30 tháng 11 năm 2025 của Bộ trưởng Bộ Khoa học và Công nghệ quy định áp dụng tiêu chuẩn, quy chuẩn kỹ thuật đối với Trung tâm dữ liệu.

4. Việc quản lý, kết nối và chia sẻ dữ liệu số không chứa thông tin bí mật Nhà nước của TT. THDL phải tuân thủ theo Nghị định số 194/2025/NĐ-CP ngày 03 tháng 7 năm 2025 của Chính phủ quy định về quy định chi tiết một số điều của luật giao dịch điện tử về cơ sở dữ liệu quốc gia, kết nối và chia sẻ dữ liệu, dữ liệu mở phục vụ giao dịch điện tử của cơ quan nhà nước và Nghị định 278/2025/NĐ-CP ngày 22 tháng 10 năm 2025 của Chính phủ quy định về kết nối, chia sẻ dữ liệu bắt buộc giữa các cơ quan thuộc hệ thống chính trị.

5. Việc chia sẻ dữ liệu số chứa thông tin thuộc phạm vi bí mật Nhà nước được thực hiện theo Luật Bảo vệ bí mật Nhà nước ngày 10/12/2025 và các văn bản pháp luật hiện hành.

6. Đơn vị sử dụng hạ tầng kỹ thuật, ứng dụng và cơ sở dữ liệu dùng chung tại TT. THDL có trách nhiệm quản lý, sử dụng tài nguyên được cấp theo quy định của pháp luật về quản lý, sử dụng tài sản công; đồng thời bảo đảm khai thác an toàn, hiệu quả, không gây ảnh hưởng đến hoạt động chung của TT. THDL.

7. Việc thay đổi thiết bị, cấu hình của các hệ thống tại TT. THDL phải được sự phê duyệt về chuyên môn của lãnh đạo cơ quan quản lý, sử dụng.

8. Tuân thủ nguyên tắc xây dựng, quản lý, khai thác, bảo vệ và duy trì cơ sở dữ liệu được quy định tại Điều 13 Nghị định số 64/2007/NĐ-CP ngày 10 tháng 4 năm 2007 của Chính phủ về ứng dụng công nghệ thông tin trong hoạt động của cơ quan Nhà nước.

9. Việc cung cấp hạ tầng kỹ thuật tại TT. THDL cho các hệ thống phục vụ đơn vị sự nghiệp, đề tài nghiên cứu khoa học, tổ chức đoàn thể được thực hiện theo quy định của pháp luật và bảo đảm các yêu cầu về an toàn thông tin.

10. Các hệ thống công nghệ thông tin đã, đang sử dụng mà thường xuyên không phát sinh dữ liệu hoặc không sử dụng 03 tháng liên tục sẽ được tối ưu hóa tài nguyên để phục vụ cho các hệ thống khác nhằm tối ưu tài nguyên của TT. THDL.

11. Đảm bảo kinh phí chi thường xuyên từ ngân sách nhà nước phục vụ công tác quản lý, vận hành, bảo trì và duy trì hoạt động ổn định của các hệ thống, thiết bị tại TT. THDL được bố trí theo quy định của Luật Ngân sách nhà nước, Luật Quản lý, sử dụng tài sản công và các văn bản pháp luật có liên quan.

Chương II

QUẢN LÝ, VẬN HÀNH, KHAI THÁC VÀ ĐẢM BẢO AN TOÀN, AN NINH THÔNG TIN TẠI TT. THDL

Mục 1. QUẢN LÝ, VẬN HÀNH, KHAI THÁC TRUNG TÂM TÍCH HỢP DỮ LIỆU

Điều 6. Quy định về chế độ làm việc tại TT. THDL

1. Quy định đối với đơn vị vận hành TT. THDL

a) Đảm bảo có ít nhất 01 cán bộ, viên chức hoặc người lao động (có hợp đồng) có chuyên môn phù hợp trực tại TT. THDL 24 giờ/ngày, 7 ngày/tuần; việc giám sát, hỗ trợ có thể thực hiện từ xa theo quy định, khi xảy ra sự cố, phải có mặt kịp thời tại TT. THDL để xử lý, khắc phục, bảo đảm hệ thống hoạt động ổn định, liên tục.

b) Đảm bảo tất cả các hoạt động của thiết bị phần cứng, phần mềm hệ thống, phần mềm ứng dụng, hệ thống mạng, các hệ thống thông tin, thiết bị phụ trợ tại TT. THDL được hoạt động ổn định, thông suốt liên tục 24 giờ/ngày, 7 ngày/tuần.

c) Duy trì chế độ trực vận hành và giám sát an toàn thông tin, bảo đảm từ 01 - 02 viên chức, nhân viên quản trị, vận hành trực tại TT. THDL ngoài giờ hành chính, ngày nghỉ trong tuần, lễ, tết; kinh phí chi trả tiền trực, làm thêm giờ được bảo đảm từ nguồn kinh phí được giao và thực hiện theo quy định của pháp luật hiện hành về lao động, tài chính và chế độ tiền lương.

2. Quy định đối với viên chức, nhân viên quản trị, vận hành hệ thống:

a) Trong quá trình làm việc tại TT. THDL phải tuân thủ nghiêm ngặt theo các quy trình, quy định, nội quy lao động đã được phê duyệt và phải chịu trách nhiệm nếu sự cố xảy ra nghiêm trọng.

b) Không tự ý can thiệp vào các phần mềm, ứng dụng, dữ liệu của các cơ quan, đơn vị khác đang được cài đặt và triển khai tại TT. THDL. Việc khai thác thông tin, dữ liệu phải bảo đảm nguyên tắc bảo mật, an toàn thông tin, không được tự ý cung cấp thông tin, dữ liệu ra bên ngoài.

c) Khi thực hiện các nghiệp vụ chuyên môn có sự tác động đến các thiết bị, hệ thống của TT. THDL phải được ghi chép cụ thể vào sổ Nhật ký hệ thống.

d) Khi chấm dứt hoặc thay đổi công việc phải thu hồi thẻ truy cập, thông tin được lưu trên các phương tiện lưu trữ, các trang thiết bị máy móc, phần cứng, phần mềm và các tài sản khác (nếu có) thuộc sở hữu của cơ quan, đơn vị; thực hiện vô hiệu hóa tất cả các quyền ra, vào, truy cập tài nguyên, quản trị hệ thống; lập bản cam kết giữ bí mật thông tin liên quan đến cơ quan, tổ chức.

3. Quy định đối với các tổ chức, cá nhân đến làm việc, tham quan tại TT. THDL:

a) Tuân thủ nghiêm ngặt theo các nội quy, quy trình, quy định làm việc, chế độ vào, ra tại TT. THDL.

b) Không được mang, sử dụng các thiết bị điện thoại, máy tính xách tay, máy tính bảng hoặc các thiết bị điện tử cá nhân khác khi vào bên trong TT. THDL, trừ trường hợp có sự đồng ý của lãnh đạo cơ quan quản lý hoặc lãnh đạo đơn vị vận hành TT. THDL.

c) Các tổ chức, cá nhân đến đăng ký làm việc tại TT. THDL phải cung cấp giấy giới thiệu của cơ quan, đơn vị hoặc văn bản đề nghị làm việc tại TT. THDL; các thiết bị đưa vào, ra TT. THDL phải đăng ký và lập biên bản đưa thiết bị vào, ra TT. THDL.

d) Các tổ chức, cá nhân có nhu cầu tham quan TT. THDL phải đăng ký trước và cung cấp hồ sơ đề nghị tham quan, bao gồm:

- Giấy giới thiệu của cơ quan, đơn vị hoặc văn bản đề nghị tham quan (theo Mẫu số 01 tại Phụ lục ban hành kèm theo Quy chế này).

- Danh sách người tham quan, trong đó có thông tin về căn cước công dân hoặc hộ chiếu.

Việc tham quan TT. THDL phải được sự chấp thuận của người đứng đầu cơ quan quản lý TT. THDL.

Điều 7. Đảm bảo an toàn hoạt động

1. TT. THDL chỉ được đặt các thiết bị đang hoạt động, thiết bị chuyên dụng phục vụ vận hành hệ thống; không đặt các thiết bị không đúng mục đích sử dụng (các thiết bị hỏng, thiết bị chờ thanh lý, tài liệu, vật tư, vật dụng dễ gây cháy nổ,…).

2. Môi trường hoạt động: Đảm bảo môi trường theo tiêu chuẩn TCVN 9250:2021: Nhiệt độ 20-25°C, Độ ẩm 45-55% phù hợp cho các thiết bị công nghệ thông tin.

3. Hệ thống phòng cháy, chữa cháy, hệ thống chống sét: Bắt buộc trang bị và được kiểm tra thường xuyên, vừa đảm bảo an toàn tuyệt đối cho toàn hệ thống thiết bị, vừa đảm bảo an toàn cho người quản trị các hệ thống tại TT. THDL.

4. Hệ thống điện: Phải có ít nhất 02 nguồn ổn định, được trang bị hệ thống lưu điện (UPS) và máy phát điện dự phòng để đảm bảo cho hệ thống vẫn hoạt động trong thời gian nguồn điện lưới gặp sự cố.

5. Hệ thống camera: Giám sát toàn bộ TT. THDL liên tục 24/24 giờ trong ngày; dữ liệu hình ảnh phải được lưu trữ tối thiểu trong thời gian là 30 ngày.

6. Hệ thống quản lý vào ra (Access Control): Phải hoạt động 24/24 giờ và ghi đầy đủ nhật ký nhằm đảm bảo an ninh, chính xác và linh hoạt cho TT. THDL.

Điều 8. Quản lý thiết bị

1. Thiết bị công nghệ thông tin đặt tại TT. THDL phải được đặt tên và dán nhãn tài sản nhà nước theo quy định.

2. Đơn vị vận hành có trách nhiệm tổng hợp tình hình quản lý, sử dụng thiết bị tại TT. THDL hằng năm và báo cáo cơ quan quản lý theo quy định.

3. Việc sửa chữa, thay thế thiết bị hỏng được thực hiện thường xuyên hoặc khi có sự cố. Kinh phí thực hiện do cơ quan quản lý, đơn vị vận hành sử dụng từ nguồn ngân sách nhà nước cấp hằng năm theo quy định.

4. Trường hợp thiết bị hỏng là thiết bị quan trọng (gây ảnh hưởng đến hoạt động của TT. THDL), đơn vị vận hành phải báo cáo ngay cơ quan quản lý để có biện pháp khắc phục nhanh chóng, kịp thời.

5. Ghi nhật ký, quy định thời gian lưu trữ các thông tin về hoạt động của các thiết bị, người sử dụng, lỗi phát sinh và các sự cố nhằm trợ giúp cho việc điều tra giám sát về sau.

Điều 9. Quản lý vận hành hạ tầng mạng

1. Hệ thống mạng phải bảo đảm:

a) Hoạt động liên tục 24/24 giờ trong ngày, ổn định, an toàn và đáp ứng được yêu cầu về băng thông cho các ứng dụng trong hệ thống.

b) Áp dụng các giải pháp kiểm soát việc truy cập mạng để đảm bảo các quy định về an ninh, các chính sách bảo mật.

c) Tuân theo các tiêu chuẩn của TT. THDL về bấm dây, dán nhãn, chuẩn cáp mạng, cách thức đi dây, đấu nối, phân bổ nút mạng.

d) Đối với các kết nối Internet phải có các giải pháp, chính sách bảo mật đảm bảo hệ thống không bị tấn công xâm nhập, lây lan virus, phần mềm độc hại từ bên ngoài; ngăn chặn, không để phát tán virus, phần mềm độc hại từ các thiết bị ngoại vi khác.

đ) Đường truyền Internet cho TT. THDL tối thiểu phải từ 02 (hai) nhà cung cấp dịch vụ khác nhau, có giải pháp chia tải, cân bằng tải đường truyền để đảm bảo độ dự phòng cao và tính sẵn sàng cho hệ thống.

e) Cán bộ quản trị, vận hành hệ thống không được sử dụng trình duyệt hoặc các phần mềm để truy cập Internet từ các máy tính có IP chung hệ thống máy chủ thuộc TT. THDL.

2. Đơn vị vận hành chịu trách nhiệm giám sát thiết bị và băng thông truy cập để phòng ngừa và đề xuất các biện pháp xử lý các hành vi vi phạm.

Điều 10. Quản lý mạng truyền số liệu chuyên dùng

1. Đơn vị vận hành là đơn vị đầu mối triển khai các ứng dụng hoạt động trên mạng truyền số liệu chuyên dùng tỉnh Lâm Đồng.

2. Các đơn vị sử dụng mạng truyền số liệu chuyên dùng kết nối vào các ứng dụng của TT. THDL phải tuân thủ các quy định về quản lý, vận hành, kết nối, sử dụng và bảo đảm an toàn thông tin trên mạng truyền số liệu chuyên dùng theo Quyết định số 33/2025/QĐ-TTg ngày 15 tháng 9 năm 2025 của Thủ tướng Chính phủ về Mạng truyền số liệu chuyên dùng phục vụ các cơ quan Đảng, Nhà nước.

Điều 11. Quản trị các hệ thống phần mềm

1. Danh sách tài sản phần mềm được lập với các thông tin cơ bản gồm: Tên tài sản, giá trị, mức độ quan trọng, mục đích sử dụng, phạm vi sử dụng, chủ thể quản lý, thông tin về bản quyền, phiên bản, nơi lưu giữ.

2. Đơn vị vận hành thực hiện việc rà soát, thống kê, cung cấp thông tin kỹ thuật phục vụ công tác phân loại, đánh giá mức độ rủi ro đối với tài sản phần mềm; triển khai các biện pháp bảo vệ kỹ thuật theo kết quả đánh giá đã được cơ quan có thẩm quyền phê duyệt.

3. Các phần mềm, chương trình ứng dụng sử dụng tại TT. THDL phải có bản quyền và sử dụng theo đúng quy định của pháp luật.

4. Cài đặt và sử dụng các hệ thống phần mềm

a) Tất cả máy chủ, máy trạm tại TT. THDL phải được trang bị hệ điều hành và phần mềm diệt virus có bản quyền và đã được cơ quan chức năng khuyến cáo sử dụng. Phần mềm diệt virus phải được thiết lập chế độ tự động cập nhật và chế độ tự động quét phần mềm độc hại khi sao chép, mở các tệp tin và phải được cấu hình vô hiệu hóa tính năng tự động thực thi (autoplay) các tệp tin trên các thiết bị lưu trữ thiết bị ngoại vi kết nối hệ thống.

b) Hệ điều hành, phần mềm cài đặt trên máy chủ, máy trạm phải được cập nhật vá lỗ hổng bảo mật thường xuyên, kịp thời.

c) Máy tính xách tay, thiết bị di động (máy tính bảng, điện thoại thông minh, thiết bị có phần mềm hệ điều hành) trước khi kết nối vào mạng nội bộ (LAN) của TT. THDL phải được bộ phận kỹ thuật chuyên trách kiểm duyệt, đảm bảo an toàn, bảo mật thông tin.

d) Máy chủ chỉ được dùng để cài đặt các phần mềm, dịch vụ dùng chung của cơ quan, đơn vị; không cài đặt phần mềm không rõ nguồn gốc, phần mềm phục vụ mục đích cá nhân và không phục vụ công việc.

đ) Tất cả các tệp tin, thư mục phải được quét phần mềm độc hại trước khi sao chép, sử dụng, truyền đưa, trao đổi.

5. Không phát tán, chia sẻ các hệ thống phần mềm tại TT. THDL dưới bất kỳ hình thức nào khi chưa được sự đồng ý của cơ quan quản lý.

Điều 12. Quản trị sao lưu, phục hồi dữ liệu

1. Đơn vị vận hành có trách nhiệm tổ chức thực hiện việc lưu trữ đầy đủ dữ liệu của người dùng, ứng dụng và hệ thống đối với các hệ thống do đơn vị vận hành; đối với dữ liệu thuộc phạm vi quản lý của cơ quan, đơn vị khác, kịp thời thông báo và phối hợp với cơ quan chủ quản hệ thống để thực hiện lưu trữ theo quy định. Tùy theo từng loại dữ liệu, việc lưu trữ được thực hiện đúng và đủ thời hạn, bảo đảm khả năng phục hồi bản sao dữ liệu gần nhất khi xảy ra sự cố, giảm thiểu thiệt hại mất dữ liệu do sự cố gây ra.

2. Đơn vị vận hành có trách nhiệm xây dựng và triển khai Quy trình sao lưu, trình cấp có thẩm quyền phê duyệt và tổ chức thực hiện quy trình sao lưu, phục hồi dữ liệu dự phòng cho toàn TT. THDL.

3. Dữ liệu được phân loại phục vụ công tác sao lưu, phục hồi theo thứ tự ưu tiên về mức độ quan trọng, thời gian sao lưu, loại thông tin và nơi lưu trữ. Đối với dữ liệu quan trọng, việc lưu trữ dự phòng phải được thực hiện tối thiểu trên hai thiết bị hoặc tại hai địa điểm cách biệt nhau theo quy trình đã được phê duyệt.

4. Tần suất sao lưu dữ liệu được thực hiện theo quy trình sao lưu, phục hồi đã được phê duyệt; kết quả sao lưu phải được kiểm soát, đối chiếu để bảo đảm tính đầy đủ và khả năng phục hồi.

Điều 13. Quản lý hồ sơ

1. Danh sách các loại hồ sơ lưu trữ

a) Quy định về quản lý, triển khai, vận hành các hệ thống.

b) Các quy trình vận hành kỹ thuật các hệ thống.

c) Các quy trình bảo hành, bảo trì, bảo dưỡng hệ thống.

d) Hồ sơ thiết kế, thuyết minh kỹ thuật, hoàn công.

đ) Hồ sơ quản trị các hệ thống thông tin.

e) Hồ sơ lưu các dịch vụ cung cấp.

g) Bảng thống kê danh sách thiết bị tại TT. THDL, danh sách các thiết bị hỏng, hết khấu hao sử dụng chờ thanh lý. Biên bản bàn giao thiết bị cho người quản trị, người sử dụng (nếu có).

h) Tài liệu, biên bản kiểm tra, đánh giá của TT. THDL.

i) Báo cáo quản trị hệ thống, nhật ký vận hành hệ thống.

k) Các hồ sơ, tài liệu kỹ thuật khác.

2. Hồ sơ phải được lưu bằng văn bản, tập tin bản mềm trên máy tính hoặc phần mềm quản lý điều hành và phải được cập nhật khi có sự thay đổi.

Điều 14. Xử lý sự cố trong quá trình quản lý, vận hành, khai thác

1. Khi phát hiện có sự cố, quản trị viên vận hành hoặc trực hệ thống có trách nhiệm báo cáo kịp thời cho lãnh đạo đơn vị vận hành và lãnh đạo cơ quan quản lý để kịp thời triển khai các biện pháp cô lập, hạn chế ảnh hưởng và phục vụ công tác xác định nguyên nhân xảy ra sự cố, bảo đảm duy trì hoạt động ổn định của hệ thống.

2. Tùy thuộc vào mức độ ảnh hưởng của sự cố, đánh giá và phân loại theo 03 mức:

a) Các sự cố thông thường (không gây ảnh hưởng đến hoạt động của TT. THDL): Đơn vị vận hành nhanh chóng xử lý sự cố.

b) Sự cố nghiêm trọng (sự cố liên quan đến thiết bị mạng, thiết bị bảo mật, máy chủ, đường truyền dữ liệu, cơ sở dữ liệu; sự cố an toàn, an ninh thông tin; mất dữ liệu, gây ảnh hưởng trực tiếp đến hoạt động của TT. THDL): Ngay sau khi phát hiện, đơn vị vận hành có trách nhiệm báo cáo kịp thời đến Công an tỉnh (cơ quan chuyên trách về an toàn, an ninh thông tin) và cơ quan quản lý TT. THDL để chủ trì đánh giá, phân loại và hướng dẫn xử lý theo quy định.

c) Sự cố đặc biệt nghiêm trọng (gây ngưng trệ toàn bộ hoạt động của TT. THDL hoặc có nguy cơ ảnh hưởng nghiêm trọng đến an toàn, an ninh thông tin): Đơn vị vận hành khẩn trương thực hiện các biện pháp kỹ thuật cần thiết để hạn chế thiệt hại, đồng thời báo cáo ngay cho cơ quan quản lý TT. THDL và Công an tỉnh để chủ trì phối hợp với các cơ quan, đơn vị liên quan; trường hợp vượt thẩm quyền, tham mưu báo cáo UBND tỉnh để chỉ đạo xử lý theo quy định.

3. Yêu cầu đối với việc xử lý sự cố cần tuân thủ các nguyên tắc:

a) Phải tuân thủ Quy trình xử lý sự cố.

b) Đảm bảo tuyệt đối an toàn cho người và thiết bị của hệ thống.

c) Các dữ liệu quan trọng phải được sao lưu trước khi xử lý sự cố.

d) Ghi nhật ký sự cố kỹ thuật phát sinh tại chỗ.

đ) Thông báo cho các bên liên quan về thời gian khắc phục xong sự cố.

e) Lập báo cáo sự cố gửi cơ quan quản lý đối với các sự cố nghiêm trọng và đặc biệt nghiêm trọng trong vòng 24 giờ kể từ khi phát hiện sự cố.

g) Ghi nhận chi tiết quá trình xử lý sự cố vào hệ thống quản lý sự kiện an toàn thông tin, ưu tiên sử dụng cách xử lý sự cố có tính chất tương tự.

4. Đối với các sự cố vượt khả năng xử lý, đơn vị vận hành có trách nhiệm báo cáo lãnh đạo cơ quan quản lý để phối hợp, đề nghị các đơn vị chuyên trách về an toàn, an ninh thông tin thuộc Bộ Công an, Bộ Khoa học và Công nghệ và các đơn vị cung cấp, đơn vị tư vấn có liên quan hỗ trợ ứng phó và khắc phục sự cố theo quy định.

Điều 15. Bảo trì, bảo dưỡng TT. THDL

1. Đơn vị vận hành TT. THDL có trách nhiệm tham mưu cơ quan quản lý ban hành quy trình bảo trì, bảo dưỡng hệ thống và được cấp có thẩm quyền phê duyệt.

2. Việc thực hiện bảo trì, bảo dưỡng các hệ thống do đơn vị vận hành thực hiện hoặc thuê dịch vụ đảm bảo tiết kiệm, hiệu quả, theo đúng quy định.

3. Thời gian bảo trì, bảo dưỡng từng thiết bị, phần mềm thực hiện theo yêu cầu thực tiễn và khuyến nghị của nhà cung cấp. Bảo trì, bảo dưỡng tổng thể toàn bộ hệ thống ít nhất 01 lần/năm.

4. Việc thực hiện bảo trì, bảo dưỡng không được làm gián đoạn và ảnh hưởng đến hoạt động của TT. THDL. Quá trình bảo trì, bảo dưỡng phải thực hiện theo đúng kịch bản, quy trình và ghi nhật ký về tình trạng hoạt động trước và sau khi thực hiện.

Điều 16. Quản lý mật khẩu hệ thống TT. THDL

1. Mật khẩu phải bảo đảm độ an toàn về độ phức tạp, thời gian sử dụng, lưu trữ

a) Độ dài của mật khẩu

- Đối với mật khẩu của nhân viên và người sử dụng (dùng để đăng nhập thư điện tử, ứng dụng nghiệp vụ, máy tính cá nhân và các ứng dụng khác): Tối thiểu là 08 ký tự.

Đối với tài khoản quản trị hệ thống (bao gồm hệ thống mạng, bảo mật, máy chủ, thư điện tử, ứng dụng dùng chung), mật khẩu phải có độ dài tối thiểu 12 ký tự; đồng thời áp dụng cơ chế xác thực đa yếu tố (MFA/2FA) trong trường hợp đáp ứng điều kiện kỹ thuật nhằm bảo đảm an toàn thông tin.

b) Nội dung mật khẩu

- Không bao gồm các từ dễ nhớ như: Tên, ngày tháng năm sinh, số điện thoại.

- Đối với mật khẩu quản trị hệ thống phải bao gồm các loại ký tự sau: Chữ cái in thường, chữ cái in hoa, ký tự đặc biệt, số.

c) Thời gian sử dụng mật khẩu

Đối với mật khẩu của nhân viên vận hành, của người quản trị hệ thống (không phải quản trị cấp cao nhất) định kỳ phải được thay đổi ít nhất 90 ngày một lần.

Trường hợp có thay đổi về nhân sự hoặc yêu cầu tăng cường bảo mật về an toàn thông tin thì lãnh đạo đơn vị vận hành TT. THDL quyết định việc thay đổi toàn bộ mật khẩu quản trị của TT. THDL.

d) Quy định lưu trữ mật khẩu

- Người sử dụng phải thay đổi mật khẩu ngay từ lần đăng nhập đầu tiên.

- Không được chia sẻ mật khẩu cho người khác.

- Phải tiến hành thay đổi mật khẩu ngay khi nghi ngờ bị lộ lọt thông tin mật khẩu; mật khẩu mới thay đổi phải đảm bảo không trùng với những mật khẩu đã từng sử dụng trước đó.

- Không được lưu trữ mật khẩu trên máy tính cá nhân, các thiết bị điện tử.

Điều 17. Kiểm soát truy nhập và xác thực

1. Cấp phát quyền truy cập từ xa hoặc kết nối trực tiếp để sử dụng và khai thác ứng dụng, tài nguyên thuộc TT. THDL phải đảm bảo chặt chẽ, đúng mục đích sử dụng. Mỗi người dùng sẽ chỉ được cấp một tài khoản và được phân quyền đủ để thực hiện nhiệm vụ được phân công.

2. Hệ thống sẽ thực hiện khóa tạm thời tài khoản, không cho người sử dụng tiếp tục sử dụng tài khoản nếu xác thực sai liên tiếp 05 lần trong vòng 30 phút (số lần/số phút có thể thay đổi tùy thuộc vào độ quan trọng của thiết bị, hệ thống). Tài khoản chỉ được mở khóa khi có đề nghị của chủ thể sở hữu tài khoản.

3. Tạm dừng quyền sử dụng đối với tài khoản đã hết hạn thời gian đăng ký trên hệ thống và những tài khoản không làm việc trong hệ thống từ 30 ngày trở lên.

Điều 18. Cung cấp, tiếp nhận máy móc, thiết bị và phần mềm của các đơn vị tại TT. THDL

1. Việc triển khai các dự án, nhiệm vụ ứng dụng công nghệ thông tin trên hạ tầng TT. THDL phải được quy định cụ thể trong thiết kế kỹ thuật được cơ quan có thẩm quyền phê duyệt.

2. Đối với các cơ quan, đơn vị có nhu cầu cung cấp hoặc đặt máy chủ để triển khai ứng dụng trên nền hạ tầng TT. THDL: Các cơ quan, đơn vị gửi văn bản đề nghị về Sở Khoa học và Công nghệ xem xét, quyết định (theo Mẫu số 04 tại phụ lục ban hành kèm theo Quy chế này). Thủ tục cung cấp, tiếp nhận đặt máy chủ, cài đặt phần mềm và quản lý tài sản do đơn vị vận hành quy định.

3. Các đơn vị có thiết bị hoặc ứng dụng đặt tại TT. THDL chịu trách nhiệm quản trị nội dung, phần mềm của cơ quan mình (thực hiện từ xa hoặc trực tiếp); đồng thời, tuân thủ các nguyên tắc và đảm bảo an toàn an ninh hệ thống.

4. Đảm bảo yêu cầu về quản lý thiết kế, xây dựng hệ thống (quy định chi tiết tại Điều 33 Quy chế này).

Điều 19. Quản lý, bảo trì, sửa chữa và thanh lý thiết bị CNTT

Đơn vị vận hành có trách nhiệm quản lý, sử dụng tài sản theo quy định của pháp luật về quản lý, sử dụng tài sản công, cụ thể như sau:

1. Hằng năm, thực hiện tổng hợp, cập nhật tình hình quản lý, sử dụng hệ thống phần mềm, thiết bị.

2. Thiết bị CNTT có chứa dữ liệu khi bị hỏng phải được kiểm tra, sửa chữa, khắc phục; đồng thời áp dụng các biện pháp kiểm tra, giám sát, bảo đảm không để lộ, lọt thông tin hoặc lây nhiễm mã độc, đặc biệt đối với thiết bị mang ra bên ngoài sửa chữa, bảo hành.

3. Đối với thiết bị còn bảo hành, yêu cầu đơn vị cung cấp thực hiện sửa chữa; đối với thiết bị đã hết bảo hành, xây dựng phương án sửa chữa hoặc thay thế.

4. Trường hợp thiết bị hỏng là thiết bị quan trọng (máy chủ, thiết bị định tuyến, thiết bị chuyển mạch, thiết bị tường lửa), phải có biện pháp khắc phục kịp thời nhằm bảo đảm hoạt động liên tục của hệ thống.

5. Trước khi thanh lý, hủy bỏ thiết bị CNTT, phải áp dụng các biện pháp kỹ thuật để xóa bỏ hoàn toàn dữ liệu, bảo đảm không thể phục hồi.

6. Hằng năm, thực hiện rà soát, thống kê, cung cấp thông tin kỹ thuật phục vụ công tác phân loại, đánh giá mức độ an toàn thông tin; trên cơ sở kết quả được phê duyệt, triển khai các biện pháp bảo vệ, nâng cấp hệ thống theo quy định của pháp luật.

Mục 2. ĐẢM BẢO AN TOÀN, AN NINH THÔNG TIN TẠI TT. THDL

Điều 20. Mục tiêu, nguyên tắc bảo đảm an toàn thông tin

1. Mục tiêu bảo đảm an toàn thông tin

Bảo vệ thông tin, hệ thống thông tin trên mạng tránh bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép nhằm bảo đảm tính nguyên vẹn, tính bảo mật và tính khả dụng các hệ thống thông tin thuộc TT. THDL.

2. Nguyên tắc

a) Cơ quan, tổ chức thuộc đối tượng áp dụng Quy chế này có trách nhiệm bảo đảm an toàn thông tin và hệ thống thông tin trong phạm vi quản lý, xử lý công việc của mình theo quy định của pháp luật; quy chế bảo đảm an toàn thông tin đối với hệ thống thông tin trên địa bàn tỉnh Lâm Đồng; hướng dẫn của cơ quan, đơn vị có thẩm quyền và các quy định tại Quy chế này.

b) Bảo đảm an toàn thông tin là yêu cầu bắt buộc, phải được thực hiện thường xuyên, liên tục trong quá trình:

- Thu thập, tạo lập, xử lý, truyền tải, lưu trữ và sử dụng thông tin, dữ liệu.

- Thiết kế, thiết lập và vận hành, nâng cấp, hủy bỏ hệ thống thông tin.

c) Việc bảo đảm an toàn thông tin đối với các hệ thống thông tin thuộc TT. THDL được thực hiện theo phương thức tổng thể, đồng bộ, tập trung, bảo đảm hiệu quả trong đầu tư, quản lý, vận hành; tăng cường dùng chung, chia sẻ hạ tầng, tài nguyên kỹ thuật theo quy định, tránh đầu tư trùng lặp, lãng phí, phù hợp với yêu cầu bảo đảm an toàn, an ninh thông tin.

Điều 21. Quản lý an toàn mạng

1. Quản lý, vận hành, bảo đảm hoạt động ổn định của hệ thống máy chủ và các dịch vụ công nghệ thông tin đang triển khai tại TT. THDL (bao gồm dịch vụ mạng, lưu trữ, nền tảng, ứng dụng và các hệ thống thông tin) theo khoản 1 Điều 22 của Quy định này.

2. Mô hình mạng phải phân biệt rõ ràng giữa các vùng mạng theo chức năng và thiết lập các chính sách an toàn thông tin riêng cho từng vùng mạng được thiết kế như sau:

a) Vùng mạng biên được thiết kế để kết nối hệ thống mạng TT. THDL ra các mạng bên ngoài và mạng Internet; vùng mạng này triển khai hệ thống phòng chống tấn công DDoS và thiết bị cung cấp cổng kết nối VPN.

b) Vùng DMZ đặt các máy chủ web, cung cấp dịch vụ ra bên ngoài Internet. Vùng mạng này triển khai thiết bị phòng chống xâm nhập IDS/IPS, thiết bị tường lửa ứng dụng web (Web Application Firewall), thiết bị phòng chống thư rác (Anti-Spam mail).

c) Vùng mạng quản trị đặt các máy chủ quản trị và máy chủ hệ thống.

d) Vùng máy chủ an toàn đặt các máy chủ nội bộ, máy chủ ảo (hệ thống ảo hóa), cung cấp các dịch vụ của các ứng dụng dùng chung của tỉnh. Vùng mạng này triển khai thiết bị phòng chống xâm nhập IPS, thiết bị Web Application Firewall.

đ) Vùng máy chủ cơ sở dữ liệu đặt các máy chủ cơ sở dữ liệu phục vụ việc lưu trữ và quản lý cơ sở dữ liệu tập trung trên hệ thống. Vùng mạng này triển khai thiết bị phòng chống xâm nhập IPS, thiết bị DB Firewall CSDL.

3. Trang bị các thiết bị phần cứng, phần mềm về bảo mật như tường lửa có tích hợp các tính năng bảo mật như phòng chống mã độc, phát hiện, phòng chống xâm nhập trái phép (IDS/IPS); thiết bị tường lửa ứng dụng web; thiết bị hoặc giải pháp bảo vệ cơ sở dữ liệu để bảo vệ hệ thống, chống tấn công từ nội bộ và xâm nhập trái phép từ bên ngoài; thiết lập Router ngoài cùng (Router biên) trước khi kết nối đến nhà cung cấp dịch vụ Internet (ISP) để lọc một số lưu lượng không mong muốn và chặn những gói tin đến từ những địa chỉ IP không hợp lệ; thiết lập mạng riêng ảo (VPN) để đảm bảo an toàn thông tin mạng khi truy cập, quản trị.

Đối với các hệ thống thông tin dùng chung khi cài đặt, lắp đặt tại TT. THDL tỉnh phải đảm bảo cấu hình hoạt động theo đúng mô hình mạng hiện có tại TT. THDL tỉnh.

4. Truy cập và quản lý cấu hình hệ thống

a) Cán bộ, viên chức quản lý, vận hành có trách nhiệm theo dõi và phát hiện các trường hợp truy cập hệ thống trái phép hoặc thao tác vượt quá giới hạn; báo cáo cho cán bộ quản lý để tiến hành ngăn chặn, thu hồi, khóa quyền truy cập của các tài khoản vi phạm.

b) Cấu hình tối ưu, tăng cường bảo mật cho thiết bị hệ thống (cứng hóa) trước khi đưa vào vận hành, khai thác.

c) Quy trình kết nối thiết bị đầu cuối của người sử dụng vào hệ thống mạng; truy nhập và quản lý cấu hình hệ thống; cấu hình tối ưu, tăng cường bảo mật cho thiết bị mạng, bảo mật (cứng hóa) trong hệ thống và thực hiện quy trình trước khi đưa hệ thống vào vận hành khai thác.

Điều 22. Quản lý an toàn máy chủ và ứng dụng

1. Quản lý, vận hành hoạt động bình thường của hệ thống máy chủ và dịch vụ:

a) Bảo đảm cho hệ điều hành, phần mềm cài đặt trên máy chủ hoạt động liên tục, ổn định và an toàn.

b) Thường xuyên kiểm tra cấu hình, các file nhật ký hoạt động của hệ điều hành, phần mềm nhằm kịp thời phát hiện và xử lý những sự cố nếu có.

c) Quản lý các thay đổi cấu hình kỹ thuật của hệ điều hành, phần mềm.

d) Có phương án cập nhật bản vá, xử lý điểm yếu an toàn thông tin cho hệ điều hành và các dịch vụ hệ thống trên máy chủ.

đ) Loại bỏ các thành phần của hệ điều hành, phần mềm không cần thiết hoặc không còn nhu cầu sử dụng.

e) Thực hiện thống kê, theo dõi và quản lý bản quyền phần mềm, thời hạn sử dụng để phục vụ công tác quản lý, gia hạn và tuân thủ các quy định của pháp luật.

2. Truy cập mạng của máy chủ

Bảo đảm các kết nối mạng trên máy chủ hoạt động liên tục, ổn định và an toàn. Cấu hình, kiểm soát các kết nối, các cổng dịch vụ từ bên trong đi ra cũng như bên ngoài vào hệ thống.

3. Truy cập và quản trị máy chủ và ứng dụng

a) Thay đổi các tài khoản, mật khẩu mặc định ngay khi đưa hệ điều hành, phần mềm vào sử dụng.

b) Cấp quyền quản lý truy cập của người sử dụng trên máy chủ cài đặt hệ điều hành.

c) Toàn bộ máy chủ và thiết bị công nghệ thông tin (không bao gồm máy tính) không được phép kết nối Internet, trừ các hệ thống bắt buộc phải kết nối Internet.

Các hệ thống bắt buộc phải kết nối Internet bao gồm:

- Hệ thống phục vụ truy cập Internet.

- Hệ thống cung cấp giao diện ra Internet của trang tin điện tử, dịch vụ công, thư điện tử.

- Hệ thống phục vụ cập nhật bản vá hệ điều hành, mẫu mã độc, mẫu điểm yếu, mẫu tấn công.

d) Khi kết nối từ xa, nhất là kết nối từ Internet, sử dụng kết nối SSH thay cho các kênh kết nối không an toàn như Telnet, FTP, … Thực hiện chính sách bắt buộc người dùng phải mã hóa tài khoản trên SSH, bắt buộc phải sử dụng SSH bằng key mã hóa kết hợp với mật khẩu hoặc thay đổi cổng mặc định của giao thức này nhằm làm khó khăn cho kẻ tấn công. Hoặc thiết lập kết nối VPN thay cho kết nối SSH.

đ) Hạn chế hoặc không cho phép sử dụng các thiết bị lưu trữ (USB, ổ cứng gắn ngoài) đã qua sử dụng trên máy tính cá nhân khác. Việc sao chép dữ liệu phải được thực hiện thông qua máy tính quản trị. Trường hợp cần thiết phải cắm trực tiếp thiết bị lưu trữ vào máy chủ thì phải sử dụng an toàn, đúng cách để phòng ngừa virus, phần mềm độc hại, bảo vệ an toàn cho dữ liệu máy chủ bằng cách quét virus trước khi sử dụng.

4. Cập nhật, sao lưu dự phòng và khôi phục sau khi xảy ra sự cố

Triển khai hệ thống/phương tiện lưu trữ độc lập với hệ thống lưu trữ trên các máy chủ dịch vụ để sao lưu dự phòng; phân loại và quản lý thông tin, dữ liệu được lưu trữ theo từng loại/nhóm thông tin được gán nhãn khác nhau; thực hiện sao lưu, dự phòng các thông tin, dữ liệu cơ bản sau: Tập tin cấu hình hệ thống, hệ điều hành máy chủ, cơ sở dữ liệu; dữ liệu, thông tin nghiệp vụ.

5. Cài đặt, gỡ bỏ hệ điều hành, dịch vụ, phần mềm trên hệ thống máy chủ và ứng dụng

a) Cài đặt hệ điều hành có nguồn gốc rõ ràng, chính thống. Tuân thủ các quy định về bản quyền đối với hệ điều hành, phần mềm được cài đặt trên hệ thống máy chủ.

b) Thường xuyên cập nhật các bản vá bảo mật, gỡ bỏ các phần mềm không cần thiết của hệ điều hành trên máy chủ. Áp dụng nguyên tắc tối thiểu cài đặt các phần mềm, dịch vụ, gỡ bỏ các dịch vụ không cần thiết nhằm hạn chế khả năng tiếp cận của kể tấn công, giảm thiểu rủi ro về an toàn thông tin và cải thiện hiệu năng của hệ thống.

c) Máy chủ phải được kiểm tra, cập nhật hệ điều hành, cấu hình bảo mật (cứng hóa) trước khi kết nối vào hệ thống; đồng thời có biện pháp quản lý, xử lý (thu hồi, cô lập, xóa dữ liệu hoặc loại bỏ) đối với các máy chủ không còn sử dụng trong hệ thống.

Điều 23. Quản lý an toàn dữ liệu

1. Dữ liệu của các hệ thống thông tin dùng chung của tỉnh tại TT. THDL phải được sao lưu (backup), bao gồm: dữ liệu hệ thống, dữ liệu ứng dụng và dữ liệu người sử dụng.

2. Trang bị thiết bị hoặc giải pháp tường lửa cơ sở dữ liệu; giải pháp sao lưu dữ liệu và chống thất thoát dữ liệu (có bản quyền) nhằm bảo đảm an toàn cho các máy chủ cơ sở dữ liệu. Thiết lập các chính sách quản lý, kiểm soát truy cập đối với toàn bộ hoạt động liên quan đến cơ sở dữ liệu.

3. Trang bị hệ thống/thiết bị lưu trữ dữ liệu (tủ/băng, đĩa/DAS/NAS/ SAN…) và tổ chức mô hình sao lưu độc lập (tách biệt về mặt vật lý) phù hợp với quy mô hệ thống thông tin theo cấp độ; thiết bị lưu trữ dữ liệu được sao lưu phải bảo đảm yêu cầu kỹ thuật.

4. Thiết lập cơ chế sao lưu định kỳ, tự động nhằm đảm bảo việc sao lưu đầy đủ các dữ liệu, cụ thể:

- Cơ chế sao lưu: Việc thiết lập cơ chế sao lưu và phục hồi dữ liệu nhằm giúp lưu lại các tình trạng khi hệ thống hoạt động ổn định. Dữ liệu được sao lưu phải bảo đảm tính sẵn sàng và toàn vẹn đáp ứng yêu cầu phục hồi dữ liệu cho hệ thống thông tin hoạt động bình thường khi có sự cố xảy ra.

- Dữ liệu được sao lưu: tập tin cấu hình hệ thống, bản dự phòng hệ điều hành máy chủ, cơ sở dữ liệu; dữ liệu, thông tin liên quan đến các phần mềm, ứng dụng dùng chung.

- Thời gian sao lưu: theo định kỳ (ngày, tuần, tháng, …) một cách tự động nhằm đảm bảo việc sao lưu đầy đủ các dữ liệu theo yêu cầu. Lưu trữ đối với hệ thống quản lý tập trung cần bảo đảm thời gian tối thiểu để lưu trữ nhật ký hệ thống căn cứ vào cấp độ (Điều 10 Thông tư số 12/2022/TT-BTTTT) của hệ thống thông tin được triển khai giám sát, bảo vệ, cụ thể: Hệ thống thông tin cấp độ 1 hoặc cấp độ 2 là 01 tháng; Hệ thống thông tin cấp độ 3 là 03 tháng.

- Dữ liệu sao lưu: sao lưu hệ điều hành máy chủ, sao lưu máy chủ web, cơ sở dữ liệu, sao lưu thư mục và tập tin, thông số cấu hình của các thiết bị mạng, ứng dụng.

- Nơi sao lưu: hệ thống lưu trữ dữ liệu được trang bị tại TT. THDL tỉnh gồm thiết bị SAN/NAS và các thiết bị sao lưu khác.

- Cơ chế phục hồi: Cơ chế phục hồi dữ liệu cho hệ thống phải thiết lập một cách thích hợp, khôi phục nguyên trạng hệ thống; khôi phục từng phần riêng biệt (hệ điều hành, cơ sở dữ liệu, các ứng dụng khác); thường xuyên kiểm tra tính nguyên vẹn của dữ liệu để đảm bảo khả năng phục hồi thành công khi cần thiết.

5. Đối với dữ liệu liên quan đến cá nhân thực hiện theo các quy định của Nghị định số 356/2025/NĐ-CP ngày 31 tháng 12 năm 2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.

Điều 24. Quản lý an toàn thiết bị đầu cuối

Quy định về quản lý an toàn thiết bị đầu cuối bao gồm:

1. Thông tin về thiết bị đầu cuối (tên, chủng loại, địa chỉ MAC, địa chỉ IP) phải được quản lý và cập nhật.

2. Khi truy cập và sử dụng thiết bị đầu cuối từ xa phải có cơ chế xác thực và sử dụng giao thức mạng an toàn.

3. Việc cài đặt, kết nối và gỡ bỏ thiết bị đầu cuối trong hệ thống phải được cho phép bởi người có thẩm quyền và thực hiện theo quy trình được phê duyệt.

Điều 25. Quản lý phòng chống phần mềm độc hại

1. Tất cả các máy trạm, máy chủ phải được trang bị phần mềm phòng chống mã độc. Các phần mềm phòng chống mã độc phải được thiết lập chế độ tự động cập nhật; chế độ tự động quét mã độc khi sao chép, mở các tập tin.

2. Khi phát hiện ra bất kỳ dấu hiện nào liên quan đến việc bị nhiễm mã độc trên máy trạm (ví dụ: Máy hoạt động chậm bất thường, cảnh báo từ phần mềm phòng chống mã độc, mất dữ liệu,…), người sử dụng phải báo trực tiếp cho bộ phận có trách nhiệm của đơn vị để xử lý.

3. Việc cài đặt, sử dụng phần mềm ứng dụng trên hệ thống phải được thực hiện theo quy định; chủ quản hệ thống thông tin có trách nhiệm bảo đảm phần mềm, ứng dụng không chứa phần mềm độc hại trước khi đề nghị cài đặt hoặc đưa vào sử dụng. Trước khi cài đặt, phần mềm, tệp tin và thư mục phải được kiểm tra, quét mã độc theo hướng dẫn và quy trình của đơn vị vận hành, bảo đảm không tồn tại phần mềm độc hại.

4. Định kỳ hằng năm hoặc khi có cảnh báo, dấu hiệu nghi ngờ xuất hiện phần mềm độc hại, trong phạm vi nhiệm vụ được giao và kinh phí được cấp có thẩm quyền phê duyệt, đơn vị vận hành tổ chức rà soát, kiểm tra và dò quét mã độc trên toàn bộ hệ thống; trường hợp phát hiện sự cố an toàn, an ninh thông tin hoặc dấu hiệu lây nhiễm trên diện rộng, kịp thời báo cáo cơ quan quản lý TT. THDL và phối hợp với Công an tỉnh để được hướng dẫn xử lý theo quy định.

Điều 26. Giám sát thiết bị hệ thống, máy chủ, ứng dụng, dịch vụ và các thành phần khác trong hệ thống

1. Các hệ thống thông tin đặt tại TT. THDL bắt buộc phải có chức năng ghi và lưu trữ nhật ký về hoạt động của hệ thống và việc khai thác, sử dụng hệ thống thông tin. Thực hiện việc bảo vệ các chức năng ghi nhật ký và thông tin nhật ký, chống giả mạo, sửa đổi, phá hủy và truy cập trái phép.

2. Đối tượng giám sát về cơ bản bao gồm: máy chủ, thiết bị mạng, thiết bị bảo mật, máy chủ, dịch vụ, ứng dụng, các thiết bị đầu cuối và điểm giám sát đường truyền, cụ thể: giám sát lớp mạng, giám sát lớp máy chủ, giám sát lớp ứng dụng và giám sát lớp đầu cuối.

3. Nguyên tắc, yêu cầu, nội dung, phương thức, hệ thống kỹ thuật phục vụ công tác giám sát thực hiện theo đúng quy định tại Thông tư số 31/2017/TT-BTTTT ngày 15 tháng 11 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền thông quy định hoạt động giám sát an toàn hệ thống thông tin.

4. Phải đảm bảo được thực hiện thường xuyên, liên tục. Chủ động theo dõi, phân tích, phòng ngừa nhằm kịp thời phát hiện, ngăn chặn rủi ro, sự cố an toàn thông tin mạng.

5. Đảm bảo ổn định, bí mật cho thông tin cung cấp, trao đổi trong quá trình giám sát.

6. Hệ thống phải có cơ chế có thể chủ động truy cập và giám sát hoạt động từ xa.

7. Kết nối và gửi nhật ký hệ thống từ đối tượng giám sát về hệ thống giám sát.

- Tổ chức thu thập, lưu trữ nhật ký hệ thống theo quy định.

- Kết nối, gửi nhật ký hệ thống, dữ liệu kỹ thuật phục vụ giám sát an toàn thông tin theo yêu cầu của cơ quan chuyên trách An toàn thông tin của tỉnh.

- Phối hợp triển khai các biện pháp kỹ thuật khi có yêu cầu xử lý sự cố, khắc phục điểm yếu, lỗ hổng bảo mật.

- Việc kết nối, chia sẻ thông tin giám sát an toàn thông tin với hệ thống giám sát quốc gia thực hiện theo phân công của UBND tỉnh và quy định của pháp luật.

Điều 27. Quản lý điểm yếu an toàn thông tin

1. Quản lý điểm yếu an toàn thông tin đối với từng thành phần có trong hệ thống (hệ điều hành, máy chủ, ứng dụng, dịch vụ…), phân loại mức độ nguy hiểm của điểm yếu. Xây dựng phương án và quy trình xử lý đối với từng mức độ nguy hiểm của điểm yếu.

2. Quản trị hệ thống hoặc cán bộ vận hành hệ thống báo cáo lãnh đạo/cán bộ quản lý ngay khi phát hiện điểm yếu an toàn thông tin ở mức độ nghiêm trọng. Thực hiện cảnh báo và xử lý điểm yếu an toàn thông tin theo chỉ đạo. Việc xử lý điểm yếu an toàn thông tin phải bảo đảm không làm ảnh hưởng/gián đoạn hoạt động của hệ thống.

3. Xây dựng phương án xử lý tạm thời đối với trường hợp điểm yếu an toàn thông tin chưa được khắc phục và phương án khôi phục hệ thống trong trường hợp xử lý điểm yếu thất bại.

4. Đơn vị vận hành và chủ quản hệ thống thông tin có trách nhiệm phối hợp với các nhóm chuyên gia, bên cung cấp dịch vụ hỗ trợ trong việc xử lý, khắc phục điểm yếu an toàn thông tin đối với các điểm yếu khi cần thiết.

5. Quản lý, cập nhật thông tin về điểm yếu an toàn thông tin từ các kênh thông tin chính thống như cơ quan quản lý về an toàn thông tin và các chuyên gia, các tổ chức an toàn thông tin uy tín.

6. Trước khi đưa vào sử dụng, chủ quản hệ thống chịu trách nhiệm về việc bảo đảm thiết bị hệ thống, máy chủ, dịch vụ đã được kiểm tra, đánh giá và xử lý điểm yếu an toàn thông tin; đơn vị vận hành thực hiện kiểm tra, đánh giá và xử lý theo quy định.

7. Hằng năm, theo nhiệm vụ được giao và kinh phí được phê duyệt, thực hiện kiểm tra, đánh giá điểm yếu an toàn thông tin đối với toàn bộ hệ thống thông tin; khi có thông tin hoặc nhận được cảnh báo về điểm yếu an toàn thông tin, thực hiện quy trình kiểm tra, đánh giá và xử lý theo quy định.

Điều 28. Quản lý sự cố an toàn thông tin

Đơn vị vận hành và các cơ quan, đơn vị có hệ thống thông tin đặt tại TT. THDL thực hiện quản lý sự cố an toàn thông tin như sau:

1. Phối hợp với các cơ quan chức năng, các nhóm chuyên gia, bên cung cấp dịch vụ hỗ trợ trong việc xử lý, khắc phục sự cố an toàn thông tin; yêu cầu bên cung cấp, hỗ trợ cung cấp quy trình xử lý sự cố cho các dịch vụ do bên cung cấp, hỗ trợ cung cấp liên quan đến hệ thống.

2. Giám sát, phát hiện và cảnh báo sự cố an toàn thông tin.

3. Xây dựng quy trình ứng cứu sự cố an toàn thông tin mạng thông thường và nghiêm trọng.

4. Đơn vị vận hành TT. THDL quyết định toàn diện về mặt kỹ thuật đối với các cơ quan, đơn vị trong quá trình khắc phục sự cố về an toàn thông tin; hỗ trợ, phối hợp và hướng dẫn các cơ quan, đơn vị khắc phục sự cố mất an toàn thông tin; yêu cầu ngưng hoạt động một phần hoặc toàn bộ các hệ thống thông tin của các cơ quan, đơn vị nhằm phục vụ công tác khắc phục sự cố về an toàn thông tin; phối hợp với đơn vị chức năng trong điều tra các nguyên nhân gây ra sự cố mất an toàn thông tin theo chỉ đạo của Lãnh đạo của cơ quan quản lý.

5. Liên hệ phối hợp thực hiện ứng cứu, xử lý sự cố theo quy định của Đội Ứng cứu sự cố an toàn thông tin mạng tỉnh hiện hành.

Điều 29. Quản lý an toàn người sử dụng đầu cuối

1. Kết nối máy tính/thiết bị đầu cuối của người sử dụng vào hệ thống

a) Người sử dụng khi truy cập, sử dụng tài nguyên nội bộ, mạng và Internet phải tuân thủ quy định của pháp luật về an toàn thông tin mạng và các quy định nội bộ của cơ quan; không thực hiện các hành vi gây mất an toàn thông tin, ảnh hưởng đến hệ thống và dữ liệu của cơ quan.

b) Khi cài đặt, kết nối máy tính/thiết bị đầu cuối phải thực hiện theo hướng dẫn/quy trình dưới sự giám sát của bộ phận chuyên trách về an toàn thông tin.

c) Máy tính/thiết bị đầu cuối phải được xử lý điểm yếu an toàn thông tin, cấu hình cứng hóa bảo mật trước khi kết nối vào hệ thống.

2. Cài đặt và sử dụng máy tính an toàn

a) Chỉ cài đặt phần mềm hợp lệ, thuộc danh mục phần mềm được phép sử dụng do cơ quan, đơn vị có thẩm quyền của Bộ Khoa học và Công nghệ ban hành (nếu có) trên máy tính được cơ quan, đơn vị cấp cho mình; không tự ý cài đặt hoặc gỡ bỏ các phần mềm khi chưa có sự đồng ý của bộ phận chuyên trách về công nghệ thông tin; thường xuyên cập nhật phần mềm và hệ điều hành.

b) Cài đặt phần mềm xử lý phần mềm độc hại và thiết lập chế độ tự động cập nhật cơ sở dữ liệu cho phần mềm; thực hiện kiểm tra, rà quét phần mềm độc hại khi sao chép, mở các tập tin hoặc trước khi kết nối các thiết bị lưu trữ dữ liệu di động với máy tính của mình.

c) Khi phát hiện ra bất kỳ dấu hiệu nào liên quan đến việc bị nhiễm phần mềm độc hại trên máy tính (máy chạy chậm bất thường, cảnh báo từ phần mềm phòng, chống phần mềm độc hại, mất dữ liệu,...), phải tắt máy và báo trực tiếp cho bộ phận chuyên trách về công nghệ thông tin để được xử lý kịp thời.

d) Chỉ truy nhập vào các trang/cổng thông tin điện tử, ứng dụng trực tuyến tin cậy và các thông tin phù hợp với chức năng, trách nhiệm, quyền hạn của mình; sử dụng những trình duyệt an toàn; không truy nhập, mở các trang tin, thư điện tử không rõ nguồn gốc; không sử dụng tính năng lưu mật khẩu tự động hoặc đăng nhập tự động.

đ) Có trách nhiệm bảo mật tài khoản truy nhập thông tin, không chia sẻ mật khẩu, thông tin cá nhân với người khác. Đặt mật khẩu phải đáp ứng theo Điều 16 Quy chế này; các tài khoản đăng nhập các hệ thống phải được đăng xuất khi không sử dụng; thường xuyên xóa các biểu mẫu, mật khẩu, bộ nhớ cache và cookie trong trình duyệt trên máy tính.

e) Thực hiện thao tác khóa máy tính (sử dụng tính năng có sẵn trên máy tính) khi rời khỏi nơi đặt máy tính; tắt máy tính khi rời khỏi cơ quan.

3. Trong quá trình sử dụng

a) Nghiêm túc chấp hành các quy định, quy trình nội bộ và các quy định khác của pháp luật về an toàn thông tin mạng. Chịu trách nhiệm bảo đảm an toàn thông tin mạng trong phạm vi trách nhiệm và quyền hạn được giao.

b) Có trách nhiệm tự quản lý, bảo quản thiết bị, tài khoản, ứng dụng mà mình được giao sử dụng.

c) Khi phát hiện nguy cơ hoặc sự cố mất an toàn thông tin mạng phải báo cáo ngay với cấp trên và bộ phận phụ trách công nghệ thông tin của cơ quan, đơn vị để kịp thời ngăn chặn và xử lý.

d) Tham gia các chương trình đào tạo, hội nghị về an toàn thông tin mạng được tỉnh hoặc đơn vị chuyên môn tổ chức.

Điều 30. Quản lý giám sát an toàn hệ thống thông tin

1. Quản lý, vận hành hoạt động bình thường của hệ thống giám sát:

a) Triển khai hệ thống giám sát TT. THDL phải đáp ứng yêu cầu tại khoản 1, Điều 5 Thông tư số 31/2017/TT-BTTTT ngày 15 tháng 11 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền thông quy định hoạt động giám sát an toàn hệ thống thông tin.

b) Thông tin giám sát và danh mục các đối tượng giám sát phải đáp ứng yêu cầu tại khoản 2, Điều 5 Thông tư số 31/2017/TT-BTTTT ngày 15 tháng 11 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền thông quy định hoạt động giám sát an toàn hệ thống thông tin.

c) Kết nối và gửi nhật ký hệ thống từ đối tượng giám sát về hệ thống giám sát.

d) Thực thi nhiệm vụ giám sát theo quy định tại khoản 3, Điều 5 Thông tư số 31/2017/TT-BTTTT ngày 15 tháng 11 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền thông quy định hoạt động giám sát an toàn hệ thống thông tin.

2. Giám sát an toàn thông tin mạng toàn diện 24/7. Bố trí nhân sự xử lý các sự cố theo hình thức từ xa và tại chỗ.

3. Xử lý sự cố an toàn thông tin: Quy định quy trình, trình tự xử lý đối với tất cả các sự cố an toàn thông tin xảy ra đối với hệ thống mạng, hệ thống công nghệ thông tin, máy chủ, máy tính người dùng, dịch vụ, ứng dụng (như sự cố website bị tấn công xâm nhập, sự cố mất an toàn thông tin do mã độc gây ra, sự cố tấn công từ chối dịch vụ,…).

4. Giám sát, phát hiện và cảnh báo sự cố an toàn thông tin

a) Hoạt động giám sát, phát hiện, cảnh báo sự cố an toàn thông tin phải được đơn vị vận hành và chủ quản hệ thống thông tin thực hiện thường xuyên, liên tục, các hệ thống thông tin quan trọng quốc gia phải được triển khai các giải pháp giám sát, phát hiện và cảnh báo sự cố an toàn thông tin.

b) Chủ quản hệ thống thông tin phải có trách nhiệm phối hợp với đơn vị vận hành để xây dựng, triển khai, huấn luyện, duy trì hệ thống giám sát, phát hiện và cảnh báo sự cố an toàn thông tin.

c) Thông tin giám sát phải được đơn vị vận hành tiếp nhận, phân tích, xử lý và cảnh báo đến các tổ chức, cá nhân liên quan.

5. Thông tin nhật ký an toàn thông tin được thu thập từ tất cả các thiết bị, hệ thống và nguồn dữ liệu (bao gồm dữ liệu có cấu trúc và phi cấu trúc), bảo đảm đầy đủ ngữ cảnh, thông qua các giao thức, phương thức như syslog, API, JDBC, WMI hoặc các công cụ giám sát, các tác nhân (agent) cài đặt trên hệ thống.

a) Các thiết bị mạng, thiết bị bảo mật như: Router, Switch, Firewall/ IPS/ IDS, Sandbox, WAF, Network APT...

b) Các máy chủ hệ thống (cả máy chủ vật lý và ảo hóa) trên các nền tảng khác nhau: Windows, Linux, Unix...

c) Các ứng dụng: ứng dụng phục vụ hoạt động của hệ thống: DHCP, DNS, NTP, VPN, Proxy Server...; ứng dụng cung cấp dịch vụ: Web, Mail, FPT, TFTP và các hệ quản trị cơ sở dữ liệu Oracle, SQL, MySQL.

d) Các thiết bị đầu cuối: Máy tính người sử dụng, máy in, máy fax, IP Phone, IP Camera...

đ) Thông tin về điểm giám sát trên đường truyền: Điểm giám sát biên tại giao diện kết nối của thiết bị định tuyến biên với các mạng bên ngoài; điểm giám sát tại mỗi vùng mạng của hệ thống.

6. Lưu trữ và bảo vệ thông tin giám sát (nhật ký hệ thống)

a) Lưu trữ thông tin, dữ liệu hình thành trong quá trình giám sát tối thiểu 06 tháng.

b) Việc lưu trữ phải quy định đầy đủ về: Tần suất sao lưu dự phòng, phương tiện, thời gian lưu trữ, nơi lưu trữ, phương thức lưu trữ và phương thức lấy dữ liệu ra khỏi phương tiện lưu trữ.

c) Dữ liệu giám sát khi lưu trữ phải được mã hóa để đảm bảo tính an toàn cho thông tin, bảo vệ dữ liệu số khi lưu trữ.

7. Đồng bộ thời gian giữa hệ thống giám sát và thiết bị được giám sát

a) Có khả năng giám sát chủ động trạng thái an ninh của toàn bộ hệ thống theo thời gian thực trên một giao diện quản lý tập trung; quản lý nhật ký và phản hồi; kịp thời phát hiện và có biện pháp xử lý các lỗ hổng trong hệ thống. Thực hiện xếp hạng, cảnh báo bất thường tại từng nút mạng hoặc trên từng thiết bị; mức độ nghiêm trọng càng cao thì yêu cầu xử lý càng khẩn trương.

b) Cảnh báo sớm các điểm yếu, nguy cơ an ninh có thể xảy ra và điều chỉnh phòng thủ. Hỗ trợ ứng cứu và xử lý các sự cố an ninh mạng.

c) Thông báo các sự cố qua thư điện tử (email), theo dõi qua tài khoản từ hệ thống theo các cấp độ quản lý.

d) Thu thập, xử lý, phân tích nhật ký (log): Có khả năng tiếp nhận log của 04 nguồn log thiết yếu (thiết bị mạng (router, switch), thiết bị bảo mật (firewall, NIDS, endpoint server), hệ điều hành (linux, windows), ứng dụng (web, mail).

đ) Phân tích phát hiện tấn công dựa vào phân tích lưu lượng mạng: Có khả năng phát hiện tấn công cơ bản lớp mạng và có khả năng phát hiện kết nối đến máy chủ điều khiển của mã độc.

e) Phân tích phát hiện tấn công Endpoints, Server: Có khả năng phát hiện các hành vi bất thường.

g) Quản lý, phân tích, cảnh báo: Có hệ thống ticket đảm bảo có các thông tin chi tiết về sự cố, tương quan giữa các sự kiện, mức độ, tình trạng xử lý.

Điều 31. Kiểm tra, đánh giá và quản lý rủi ro an toàn thông tin

1. Nội dung kiểm tra, đánh giá và quản lý rủi ro an toàn thông tin

a) Kiểm tra việc tuân thủ quy định của pháp luật về bảo đảm an toàn hệ thống thông tin theo cấp độ.

b) Đánh giá hiệu quả của biện pháp bảo đảm an toàn hệ thống thông tin.

c) Đánh giá phát hiện mã độc, lỗ hổng, điểm yếu, thử nghiệm xâm nhập hệ thống.

d) Kiểm tra, đánh giá khác do chủ quản hệ thống thông tin quy định.

2. Hình thức kiểm tra, đánh giá và quản lý rủi ro an toàn thông tin

a) Định kỳ theo kế hoạch của chủ quản hệ thống thông tin.

b) Kiểm tra, đánh giá đột xuất theo yêu cầu của cấp có thẩm quyền.

3. Quy định về mức độ rủi ro phân thành 3 loại: Cao, vừa, thấp.

- Cao: Nguồn đe dọa có động cơ mạnh mẽ và khả năng đầy đủ và các biện pháp kiểm soát để ngăn chặn khai thác lỗ hổng không hiệu quả.

- Vừa: Nguồn đe dọa có động cơ và có khả năng tấn công; tuy nhiên, các biện pháp kiểm soát hiện có có thể cản trở việc khai thác thành công lỗ hổng.

- Thấp: Nguồn đe dọa thiếu động cơ hoặc khả năng tấn công; hoặc các biện pháp kiểm soát hiện có có thể ngăn chặn hoặc cản trở đáng kể việc khai thác lỗ hổng.

4. Xác định rủi ro và lỗ hổng

Nhiều loại tác nhân đe dọa có thể tận dụng một số loại lỗ hổng và dẫn đến một loạt các mối đe dọa cụ thể các trường hợp như sau:

STT	Rủi ro	Hậu quả	Mức độ rủi ro
I	Các mối đe dọa từ việc tồn tại điểm yếu, lỗ hổng trong hệ thống
1	Thiếu phần mềm phòng chống mã độc	Nhiễm virus, backdoor…	Cao
2	Bản quyền phòng chống thư rác hết hạn	Nhận thư rác hoặc người dùng thư có thể bị nhiễm mã độc	Cao
3	Các thiết bị, dịch vụ, hệ điều hành không được cập nhật phiên bản mới định kỳ (tồn tại nhiều lỗ hổng bảo mật - CVE)	Thiết bị, máy chủ bị tấn công truy cập trái phép, chiếm quyền điều khiển	Cao
4	Dùng các phần mềm, hệ quản trị cơ sở dữ liệu không có bản quyền	Dữ liệu trên máy chủ, dịch vụ, ứng dụng bị truy cập, sửa, xóa trái phép	Cao
5	Quản trị lưu mật khẩu trên trình duyệt	Có thể bị đánh cắp thông tin tài khoản	Cao
6	Thiếu kiểm tra, đánh giá an toàn thông tin cho các ứng dụng trước khi đưa vào khai thác, vận hành	Hệ thống tìm ẩn, tồn tại nhiều lỗ hổng bảo mật, dễ dàng bị khai thác, tấn công mạng	Cao
7	Mã nguồn, ứng dụng tồn tại nhiều lỗ hổng	Thực hiện tấn công tràn bộ đệm; thực hiện cuộc tấn công từ chối dịch vụ	Cao
II	Các mối đe dọa từ việc thiếu/không đáp ứng các biện pháp quản lý
1	Thiếu nguồn lực để triển khai các biện pháp theo dõi, giám sát cho hệ thống	Không ngăn chặn kịp thời các cuộc bị tấn công, dò quét và khai thác hệ thống	Cao
2	Các chính sách, quy định về an toàn mạng, máy chủ, dữ liệu, thiết bị đầu cuối không được tuân thủ theo quy định	Hệ thống tiềm ẩn, tồn tại nhiều lỗ hổng bảo mật, dễ dàng bị khai thác, tấn công mạng	Cao
3	Các cá nhân, tổ chức không tuân thủ thực hiện các quy định về an toàn thông tin mạng	Hệ thống bị khai thác, tấn công mạng	Cao
4	Thiếu kiểm tra, đánh giá an toàn thông tin cho các ứng dụng trước khi đưa vào khai thác, vận hành	Hệ thống bị khai thác, tấn công mạng	Cao
III	Các mối đe dọa từ việc thiếu/không đáp ứng các trang thiết bị phụ trợ
1	Thiếu bình chữa cháy/ hệ thống chữa cháy	Thiệt hại cơ sở và hạ tầng trang thiết bị, dữ liệu	Cao
2	Thiếu hệ thống điều hòa hoặc hệ thống điều hòa hư	Phòng máy máy chủ, thiết bị mạng hư hỏng do nhiệt độ không đảm bảo	Cao
3	Hệ thống mất nguồn điện dự phòng	Hệ thống tắt đột xuất, gián đoạn hệ thống	Cao
4	Thiếu kiểm tra, bảo trì, bảo dưỡng hệ thống các trang thiết bị theo định kỳ	Hư hỏng thiết bị, thường xuyên gián đoạn hoạt động của hệ thống	Cao

5. Triển khai các biện pháp kiểm soát rủi ro

- Các trang thiết bị tại TT. THDL tỉnh phải được theo dõi, quản lý.

- Hằng năm, xây dựng kế hoạch sử dụng nguồn kinh phí chi cho hoạt động TT. THDL tỉnh để thực hiện các nội dung bảo trì, bảo dưỡng, mua sắm, duy trì các giải pháp, bản quyền của các thiết bị bảo mật; sửa chữa thiết bị, tài sản tại TT. THDL hoạt động không ổn định.

- Tổ chức, phân công trực theo dõi, kiểm tra và khắc phục sự cố kịp thời toàn bộ hoạt động của TT. THDL tỉnh, đảm bảo an toàn, ổn định và thông suốt.

Điều 32. Bảo đảm nguồn nhân lực

1. Cán bộ được tuyển dụng vào vị trí làm về an toàn thông tin có trình độ, chuyên ngành về lĩnh vực công nghệ thông tin, an toàn thông tin, phù hợp với vị trí tuyển dụng.

2. Xây dựng kế hoạch và định kỳ hằng năm, tổ chức đào tạo các kỹ năng cơ bản về an toàn thông tin cho người sử dụng.

3. Trách nhiệm bảo đảm an toàn thông tin cho cán bộ quản lý và vận hành hệ thống

a) Cán bộ chuyên trách phải thiết lập phương pháp hạn chế truy cập mạng không dây, giám sát và điều khiển truy cập không dây, tổ chức sử dụng chứng thực và mã hóa để bảo vệ truy cập không dây tới hệ thống thông tin.

b) Cán bộ chuyên trách phải tổ chức quản lý định danh đối với tất cả người dùng tham gia sử dụng hệ thống thông tin.

c) Các cơ quan, địa phương và các tổ chức, cá nhân tham gia sử dụng các dịch vụ của hệ thống phải tuân thủ các quy định về bảo đảm an toàn, an ninh thông tin và chịu trách nhiệm đối với mọi hoạt động trên tài khoản truy cập của mình đã được cấp trên hệ thống.

4. Quy định đối với cán bộ nghỉ hoặc thay đổi công việc

a) Cán bộ nghỉ hoặc thay đổi công việc phải thu hồi thẻ truy cập, thông tin được lưu trên các phương tiện lưu trữ, các trang thiết bị máy móc, phần cứng, phần mềm và các tài sản khác thuộc sở hữu của tổ chức.

b) Cán bộ quản trị phải vô hiệu hóa tất cả các quyền ra, vào, truy cập tài nguyên, quản trị hệ thống sau khi cán bộ thôi việc.

c) Cán bộ nghỉ hoặc thay đổi công việc phải có cam kết giữ bí mật thông tin liên quan đến tổ chức sau khi nghỉ việc.

Điều 33. Quản lý thiết kế, xây dựng hệ thống

1. Thiết kế an toàn hệ thống thông tin, phải có tài liệu mô tả về

a) Quy mô, phạm vi và đối tượng sử dụng, khai thác, quản lý vận hành hệ thống thông tin.

b) Thiết kế và các thành phần của hệ thống thông tin.

c) Phương án bảo đảm an toàn thông tin theo cấp độ.

d) Phương án lựa chọn giải pháp công nghệ bảo đảm an toàn thông tin.

đ) Khi có thay đổi thiết kế, đánh giá lại tính phù hợp của phương án thiết kế đối với các yêu cầu an toàn đặt ra đối với hệ thống.

2. Phát triển phần mềm thuê ngoài

a) Có biên bản, hợp đồng và các cam kết với đơn vị cung cấp dịch vụ liên quan đến việc phát triển phần mềm.

b) Đơn vị cung cấp dịch vụ, phát triển phần mềm phải cung cấp mã nguồn phần mềm cho chủ quản hệ thống thông tin và đơn vị vận hành.

c) Phần mềm phải được kiểm thử, kiểm tra, đánh giá an toàn thông tin và nghiệm thu trước khi đưa vào sử dụng.

3. Thử nghiệm và nghiệm thu hệ thống

a) Hệ thống trước khi bàn giao và đưa vào sử dụng phải được thử nghiệm.

b) Có nội dung, kế hoạch, quy trình thử nghiệm và nghiệm thu hệ thống.

c) Việc thử nghiệm và nghiệm thu hệ thống phải do đơn vị độc lập (bên thứ ba) hoặc bộ phận độc lập thực hiện. Đơn vị này có trách nhiệm tư vấn, giám sát quá trình thử nghiệm và nghiệm thu hệ thống.

d) Có báo cáo nghiệm thu được xác nhận của bộ phận chuyên trách và phê duyệt của chủ quản hệ thống thông tin trước khi đưa vào sử dụng.

Điều 34. Tiếp nhận, phát hiện, phân loại và xử lý ban đầu sự cố an toàn thông tin

1. Phân loại mức độ sự cố an toàn thông tin mạng: theo quy định tại Quyết định số 05/2017/QĐ-TTg ngày 16 tháng 3 năm 2017 của Thủ tướng Chính phủ quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia.

2. Xử lý ban đầu sự cố an toàn thông tin

a) Khi phát hiện nguy cơ mất an toàn thông tin mạng hoặc xảy ra sự cố an toàn thông tin mạng ở mức độ thấp, cơ quan, đơn vị chỉ đạo bộ phận hoặc cán bộ chuyên trách về công nghệ thông tin, an toàn thông tin mạng phối hợp với cá nhân bị ảnh hưởng để kịp thời ngăn chặn, xử lý, khắc phục sự cố. Trường hợp cần thiết, liên hệ với đơn vị cung cấp dịch vụ viễn thông, Internet, công nghệ thông tin hoặc đơn vị triển khai ứng dụng phần mềm để được tư vấn, hỗ trợ ngăn chặn.

b) Khi có nguy cơ mất an toàn thông tin mạng hoặc sự cố an toàn thông tin mạng xảy ra ở mức độ nghiêm trọng trở lên hoặc gặp nguy cơ, sự cố thông thường mà cơ quan, đơn vị xét thấy không có khả năng tự ngăn chặn, xử lý được thì thực hiện thông báo hoặc báo cáo cho Sở Khoa học và Công nghệ, Công an tỉnh và Đội ứng cứu sự cố mạng, máy tính của tỉnh để tổ chức điều phối, hỗ trợ ứng cứu.

c) Công chức, viên chức các đơn vị là thành viên Đội ứng cứu sự cố mạng, máy tính của tỉnh thực hiện nhiệm vụ theo quy định do UBND tỉnh ban hành và hướng dẫn tại Thông tư số 20/2017/TT-BTTTT ngày 12 tháng 9 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền thông về điều phối, ứng cứu sự cố an toàn thông tin mạng trên toàn quốc.

3. Quy trình ứng cứu sự cố an toàn thông tin mạng: Thực hiện theo Điều 13 và Điều 14 Quyết định số 05/2017/QĐ-TTg ngày 16 tháng 3 năm 2017 của Thủ tướng Chính phủ ban hành quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia và các quy trình, hướng dẫn của Đội ứng cứu sự cố an toàn thông tin mạng tỉnh Lâm Đồng.

Chương III

TRÁCH NHIỆM CỦA CÁC CƠ QUAN, TỔ CHỨC, CÁ NHÂN TRONG VIỆC QUẢN LÝ, VẬN HÀNH VÀ KHAI THÁC TT. THDL

Điều 35. Trách nhiệm của Cơ quan quản lý

1. Chủ trì, hướng dẫn các cơ quan, đơn vị, tổ chức, cá nhân có liên quan thực hiện Quy chế này và các quy định khác về công tác quản lý, vận hành, khai thác và đảm bảo an toàn thông tin đối với TT. THDL.

2. Tham mưu UBND tỉnh về công tác quản lý, vận hành, nâng cấp mở rộng và đảm bảo an toàn thông tin đối với TT. THDL.

3. Ban hành các văn bản hướng dẫn chuyển giao máy móc, thiết bị, cài đặt phần mềm, quản lý tài sản tại TT. THDL; phê duyệt quy trình vận hành, bảo trì, bảo dưỡng và khắc phục sự cố TT. THDL.

4. Thực hiện kiểm tra, giám sát việc vận hành, khai thác dịch vụ và đảm bảo an toàn thông tin đối với đơn vị vận hành TT. THDL. Tiếp nhận và tổng hợp ý kiến phản ánh của các cơ quan, đơn vị để chỉ đạo đơn vị vận hành báo cáo, đề xuất giải pháp nâng cao chất lượng và mở rộng tài nguyên của TT. THDL.

5. Xây dựng kế hoạch đào tạo, bồi dưỡng, đảm bảo nguồn nhân lực quản lý, quản trị, vận hành có chuyên môn đáp ứng yêu cầu, được trang bị kiến thức liên quan tới hoạt động của TT. THDL. Đảm bảo các vị trí được tuyển dụng làm việc tại TT. THDL phải có trình độ, chuyên môn đáp ứng với yêu cầu vị trí việc làm.

6. Tham gia các hoạt động, công tác bảo đảm an toàn thông tin khi có yêu cầu của tổ chức có thẩm quyền.

7. Định kỳ hằng năm (trước ngày 15/12) hoặc đột xuất, thực hiện báo cáo UBND tỉnh về tình hình hoạt động của TT. THDL (theo Mẫu số 05 tại phụ lục ban hành kèm theo Quy chế này).

Điều 36. Trách nhiệm của Đơn vị vận hành

1. Đầu mối liên hệ, phối hợp với các cơ quan, tổ chức có thẩm quyền quản lý về an toàn thông tin trong việc thực hiện, tiếp nhận và xử lý các sự cố về an toàn thông tin các hệ thống thông tin tại TT. THDL: Tùy theo mức độ sự cố, phối hợp với các cơ quan, đơn vị có liên quan hướng dẫn xử lý, ứng cứu các sự cố an toàn thông tin mạng.

2. Phân định vai trò, trách nhiệm, cơ chế phối hợp của các bộ phận, cán bộ, viên chức trong đơn vị theo chức năng nhiệm vụ để thực hiện việc quản lý và xử lý sự cố về an toàn thông tin các hệ thống thông tin tại TT. THDL.

3. Ban hành nội quy làm việc tại TT. THDL.

4. Quy định thủ tục chuyển giao thiết bị, cài đặt phần mềm và quản lý tài sản của TT. THDL; ban hành quy trình vận hành, tổ chức thực hiện sao lưu dữ liệu, bảo trì, bảo dưỡng, sửa chữa thiết bị và khắc phục sự cố hệ thống.

5. Quy hoạch tài nguyên hệ thống, tham mưu cơ quan quản lý các giải pháp, phương án kỹ thuật, kế hoạch phát triển TT. THDL.

6. Xem xét, tiếp nhận các yêu cầu cung cấp hạ tầng, dịch vụ của các tổ chức, cá nhân trong phạm vi quy định và triển khai cung cấp theo đúng với tiêu chuẩn chất lượng, quy trình và trên cơ sở khai thác, sử dụng hiệu quả hạ tầng TT. THDL.

7. Hằng năm, xây dựng kinh phí đảm bảo duy trì, vận hành, bảo dưỡng, sửa chữa, thay thế trang thiết bị, xây dựng hoặc nâng cấp, cập nhật phần mềm quản lý TT. THDL.

8. Đào tạo cán bộ quản lý, vận hành có chuyên môn đáp ứng yêu cầu, được trang bị các kiến thức liên quan tới hoạt động của TT. THDL.

9. Tham gia các hoạt động, công tác bảo đảm an toàn thông tin khi có yêu cầu của tổ chức có thẩm quyền.

Điều 37. Trách nhiệm của các cơ quan, đơn vị đặt các hệ thống công nghệ thông tin hoặc được cung cấp tài nguyên tại TT. THDL

1. Sử dụng hạ tầng tài nguyên của TT. THDL theo Quy chế này và các hướng dẫn khác của Sở Khoa học và Công nghệ tỉnh Lâm Đồng; chịu trách nhiệm toàn diện về nội dung dữ liệu, bản quyền phần mềm và tính hợp pháp của thông tin lưu trữ trên máy chủ của mình.

2. Phối hợp với cơ quan quản lý TT. THDL trong việc xây dựng dự toán để bảo đảm hằng năm hệ thống được giám sát mức độ an toàn thông tin. Đồng thời, xây dựng hồ sơ an toàn thông tin theo cấp độ và kế hoạch đánh giá an toàn thông tin đối với các ứng dụng công nghệ thông tin theo quy định.

3. Đối với các đơn vị đặt hệ thống công nghệ thông tin (phần cứng) tại TT. THDL, dữ liệu thu được từ hệ thống như dữ liệu camera, các cảm biến và các nguồn dữ liệu chuyên ngành khác là tài sản dữ liệu dùng chung của tỉnh và phải được cung cấp, chia sẻ cho các ngành, lĩnh vực theo chức năng, nhiệm vụ nhằm nâng cao hiệu quả điều hành và giải quyết công việc.

Sau khi hoàn tất việc lắp đặt, đơn vị đặt thiết bị có trách nhiệm lập Biên bản đặt thiết bị tại TT. THDL theo Mẫu số 03 ban hành kèm theo Quy chế này.

Điều 38. Trách nhiệm của các cơ quan, đơn vị, người sử dụng dịch vụ

1. Đối với cơ quan, đơn vị

a) Duy trì hoạt động các ứng dụng, hệ thống thông tin đồng thời chịu trách nhiệm về các nội dung, thông tin lưu trữ tại TT. THDL do cơ quan mình quản lý phù hợp với quy định pháp luật.

b) Sử dụng các dịch vụ, phần mềm cài đặt trên tài nguyên được cung cấp tại TT. THDL theo Quy chế này và các hướng dẫn khác của cơ quan quản lý TT. THDL tỉnh; đồng thời các hệ thống phải luôn sẵn sàng kết nối, chia sẻ các trường thông tin đã có theo phân cấp hoặc kết nối, đồng bộ cơ sở dữ liệu với các đơn vị Trung ương theo ngành dọc đúng quy định.

c) Trường hợp dịch vụ, phần mềm phát sinh sự cố, phải thông báo ngay cho cán bộ kỹ thuật của đơn vị vận hành để phối hợp trong việc xử lý sự cố và xác nhận kết quả xử lý.

d) Trường hợp phát sinh sự cố, thông báo cho đơn vị vận hành để được hướng dẫn và hỗ trợ khắc phục. Phối hợp với cán bộ kỹ thuật của đơn vị vận hành trong việc xử lý sự cố và xác nhận kết quả xử lý.

đ) Trường hợp phối hợp xử lý sự cố hoặc thực hiện công việc liên quan đến TT. THDL, khi cử cán bộ, nhân sự làm đầu mối tham gia, cơ quan, đơn vị phải có giấy giới thiệu hoặc văn bản cử tham gia theo quy định; cá nhân được cử có trách nhiệm xuất trình giấy tờ hợp lệ khi làm việc tại TT. THDL.

e) Trường hợp mang theo thiết bị, máy móc vào TT. THDL để sử dụng, đơn vị phải được sự đồng ý của đơn vị vận hành và lập biên bản theo Mẫu số 02 ban hành kèm theo Quy chế này.

2. Đối với người sử dụng:

Tuân thủ các quy định về an toàn bảo mật thông tin, quản lý vận hành và khai thác TT. THDL. Không được thực hiện các hành vi đánh cắp, giả mạo tài khoản, truy cập trái phép, sử dụng các công cụ, phần mềm làm tổn hại đến hoạt động của TT. THDL.

CHƯƠNG IV

TỔ CHỨC THỰC HIỆN

Điều 39. Trách nhiệm của Sở Khoa học và Công nghệ

1. Triển khai thực hiện nhiệm vụ của Cơ quan quản lý TT. THDL tại Điều 35 Quy chế này.

2. Phổ biến, hướng dẫn việc thực hiện các quy định của Quy chế này đến các cơ quan, đơn vị, cán bộ, công chức và các tổ chức, cá nhân sử dụng dịch vụ tại TT. THDL.

Điều 40. Trách nhiệm của Công an tỉnh

1. Chủ trì, phối hợp với Sở Khoa học và Công nghệ và các cơ quan, đơn vị liên quan trong việc bảo đảm an toàn, an ninh thông tin cho TT. THDL.

2. Hướng dẫn, kiểm tra, đánh giá công tác bảo đảm an toàn, an ninh thông tin đối với các hệ thống thông tin, máy chủ, thiết bị và ứng dụng công nghệ thông tin của các cơ quan nhà nước trước khi đưa vào cài đặt, vận hành tại TT. THDL.

3. Chủ trì tiếp nhận, điều phối, hướng dẫn xử lý các sự cố an toàn, an ninh thông tin thuộc thẩm quyền; phối hợp với cơ quan quản lý, đơn vị vận hành TT. THDL và các cơ quan, đơn vị liên quan trong công tác ứng cứu, khắc phục sự cố theo quy định.

4. Phối hợp tổ chức kiểm tra, giám sát việc tuân thủ các quy định về an toàn, an ninh thông tin; tham mưu UBND tỉnh chỉ đạo xử lý đối với các trường hợp vi phạm theo quy định của pháp luật.

Điều 41. Trách nhiệm của Sở Tài chính

Chủ trì, phối hợp với cơ quan quản lý TT. THDL trong việc thẩm định, tham mưu cấp có thẩm quyền bố trí kinh phí để duy trì hoạt động của TT. THDL theo quy định pháp luật hiện hành.

Điều 42. Các cơ quan, đơn vị có liên quan

1. Các cơ quan, đơn vị có sử dụng dịch vụ tại TT. THDL trong phạm vi, chức năng, nhiệm vụ của mình có trách nhiệm tổ chức triển khai và kiểm tra chấp hành tại đơn vị theo đúng Quy chế này.

2. Hằng năm, báo cáo tình hình khai thác, sử dụng các dịch vụ tại TT. THDL, tình hình an toàn và an ninh thông tin trong hoạt động ứng dụng công nghệ thông tin của cơ quan, đơn vị mình gửi Sở Khoa học và Công nghệ.

Điều 43. Khen thưởng, xử phạt

1. Hằng năm, UBND tỉnh đánh giá việc quản lý, vận hành, khai thác và sử dụng TT. THDL và có hình thức khen thưởng phù hợp đối với những cá nhân, tổ chức liên quan.

2. Đơn vị, tổ chức, cán bộ, viên chức vi phạm Quy chế này, tùy theo tính chất, mức độ vi phạm bị xử lý kỷ luật hoặc các hình thức xử lý khác theo quy định pháp luật hiện hành.

Điều 44. Điều khoản chuyển tiếp

Trường hợp các văn bản quy phạm pháp luật được viện dẫn hoặc có liên quan trong Quy chế này được sửa đổi, bổ sung, thay thế hoặc hết hiệu lực thì thực hiện theo quy định của văn bản mới tương ứng.

Điều 45. Sửa đổi, bổ sung Quy định

Thủ trưởng các cơ quan, đơn vị tổ chức triển khai thực hiện nghiêm túc Quy chế này. Trong quá trình thực hiện Quy chế này, nếu có vướng mắc hoặc phát sinh mới, các cơ quan, đơn vị cần kịp thời phản ánh về Sở Khoa học và Công nghệ tỉnh Lâm Đồng tổng hợp, tham mưu UBND tỉnh điều chỉnh, bổ sung Quy chế cho phù hợp./.

PHỤ LỤC

DANH SÁCH BIỂU MẪU QUẢN LÝ, VẬN HÀNH VÀ SỬ DỤNG TRUNG TÂM TÍCH HỢP DỮ LIỆU TỈNH LÂM ĐỒNG
(Ban hành kèm theo Quyết định số: /QĐ-UBND ngày /4/2026 của Ủy ban nhân dân tỉnh Lâm Đồng)

STT	Mã số	Tên mẫu
01	Mẫu số 01	Đề nghị làm việc tại Trung tâm Tích hợp dữ liệu
02	Mẫu số 02	Biên bản đưa thiết bị vào/ ra Trung tâm Tích hợp dữ liệu
03	Mẫu số 03	Biên bản đặt thiết bị tại Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng
04	Mẫu số 04	Công văn đề nghị cung cấp máy chủ ảo hóa
05	Mẫu số 05	Báo cáo về tình hình hoạt động của Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng

Mẫu số 01

……….……………………

…………………………….
-------

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------

Số:……………

………, ngày…….tháng…….năm 20....

ĐỀ NGHỊ LÀM VIỆC TẠI TRUNG TÂM TÍCH HỢP DỮ LIỆU

Kính gửi: ………………………………………………………….

A. Thông tin chung

Tên cơ quan:………………………………………………………………………………………………..

Địa chỉ:………………………………………………………………………………………………………

Điện thoại:………………………………………………………………………………………………….

Đầu mối liên hệ (Tên cán bộ, địa chỉ email, số điện thoại):…………………………………………..

………………………………………………………………………………………………………………

B. Phần đề nghị

Chúng tôi đề nghị được làm việc tại Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng.

1. Mục đích:………………………….……………………………………………………………………

………………………………………………………………………………………………………………

2. Thời gian đến làm việc: ………………………………………………………………………..

3. Thành phần đoàn làm việc: (Kèm theo danh sách chi tiết) ……………………………

………………………………………………………………………………………………………………

4. Các đề nghị khác: (Nếu có) …………………………………………………………………………

………………………………………………………………………………………………………………

Chúng tôi cam kết tuân thủ mọi nội quy, quy định của các cơ quan chức năng khi vào làm việc tại Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng./.

Thủ trưởng Cơ quan/đơn vị
(Ký, đóng dấu)

Mẫu số 02

……………………………….

…………………………………
-------

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------

BIÊN BẢN
ĐƯA THIẾT BỊ VÀO/RA TRUNG TÂM TÍCH HỢP DỮ LIỆU

Hôm nay, vào lúc….giờ…..phút, ngày…..tháng…..năm 20…..; tại Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng. Chúng tôi gồm có:

I. Đại diện đơn vị vận hành ………..

1. Ông:………………………………………. Chức vụ: ……………………

2. Ông:………………………………………. Chức vụ: ……………………

II. Đại diện đơn vị đặt thiết bị ……………………………………………

1. Ông:………………………………………. Chức vụ: ……………………

2. Ông:………………………………………. Chức vụ: ……………………

Chúng tôi cùng ký vào biên bản xác nhận………………………………….. mang thiết bị vào/ra Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng như sau:

1. Thông số kỹ thuật:

STT	Tên thiết bị	ĐVT	Số lượng	Mã số	Ghi chú

2. Thông tin hạ tầng:

- Vị trí: Tủ:………………Phòng:……………………………………………………………………….

- Nguồn điện:.……………………………………………………………………………………………

3. Thông tin khác:

…………………………………………………………………………………………………………….

Biên bản được lập thành 02 bản, mỗi bên giữ 01 bản có giá trị như nhau./.

Đại diện đơn vị vận hành
(Ký ghi rõ họ, tên)

Đại diện đơn vị đặt thiết bị
(Ký ghi rõ họ, tên)

Mẫu số 03

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------

BIÊN BẢN ĐẶT THIẾT BỊ TẠI TRUNG TÂM TÍCH HỢP DỮ LIỆU
TỈNH LÂM ĐỒNG

Căn cứ………………………………………………………………………………………………………

Hôm nay, ngày .... tháng .... năm………., tại ……………., chúng tôi gồm:

BÊN GIAO (Bên A):……………………………………………………………………

Địa chỉ:

Điện thoại: ……………………………………………… Fax:………………….

Đại diện:

Ông/Bà:……………………….. Chức vụ: ………………………

Ông/Bà:……………………… Cán bộ bàn giao thiết bị:……………………………

BÊN NHẬN (Bên B):…………………………………………………………………..

Địa chỉ:

Điện thoại: ……………………………………………… Fax:………………….

Đại diện:

Ông/Bà:……………………….. Chức vụ: ………………………

Ông/Bà:……………………… Cán bộ bàn giao thiết bị:……………………………

I. Hai bên cùng tiến hành bàn giao các thiết bị theo danh sách sau:

TT	Tên thiết bị	Mô tả thiết bị	Đơn vị	Số lượng	Serial Number
1

Hai bên xác nhận đã giao và nhận đầy đủ danh mục thiết bị theo danh sách nêu trên.

1. Thông tin hạ tầng

- Vị trí lắp đặt: Tủ: …………..… Phòng: ………………………………

- Nguồn điện: ……………………………………………………………

2. Thông tin khác

…………………………………………………………………………………..

II. Quyền hạn và trách nhiệm của hai bên

1. Bên A

- Đầu mối điều hành:

- Đầu mối về kỹ thuật:

2. Bên B

Đầu mối liên hệ của bên B:

- Đầu mối điều hành:

- Đầu mối kỹ thuật:

- Số điện thoại đơn vị: Biên bản được lập thành 02 (hai) bản, mỗi bên giữ 01 (một) bản có giá trị pháp lý như nhau./.

Cán bộ tiếp nhận thiết bị (Ký, ghi rõ họ tên)	Cán bộ bàn giao thiết bị (Ký, ghi rõ họ tên)
ĐẠI DIỆN BÊN NHẬN (Ký, đóng dấu, ghi rõ chức vụ, họ tên)	ĐẠI DIỆN BÊN GIAO (Ký, đóng dấu, ghi rõ chức vụ, họ tên)

Mẫu số 04

……….……………………

…………………………….
-------

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------

Số:……………
V/v cung cấp máy chủ ảo hóa

………, ngày…….tháng…….năm 20....

Kính gửi: (Cơ quan quản lý)

A. Thông tin chung

Tên cơ quan:……………………………………………………………………………………………….

Địa chỉ:……………………………………………………………………………………………………….

Điện thoại:……………………………………………………………………………………………………

Đầu mối liên hệ (Tên cán bộ, địa chỉ email, số điện thoại):……………………………………………

B. Phần đề nghị

Chúng tôi đề nghị cấp máy chủ ảo hóa tại Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng.

Mục đích sử dụng:................................................................................................ ................................................................................................................................

................................................................................................................................

Số lượng máy chủ: ......... Chi tiết cấu hình máy chủ:

STT	Hệ điều hành	CPU (Số Core)	RAM	Dung lượng HDD	Thời gian sử dụng
STT	Hệ điều hành	CPU (Số Core)	RAM	Dung lượng HDD	Bắt đầu	Kết thúc
1
2
3
4
5

* Chú ý:

- Hệ điều hành có thể yêu cầu gồm: …………………………………………….

- Dung lượng ổ cứng tối đa: ……………………………………………………...

Các đề nghị khác: (Nếu có) ……………………………………………………..

………………………………………………………………………………………..

Chúng tôi cam kết tuân thủ mọi nội quy, quy định của các cơ quan chức năng khi vào làm việc tại Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng./.

Thủ trưởng Cơ quan/đơn vị
(Ký, đóng dấu)

Mẫu số 05

………………………………..

…………………………………
-------

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------

BÁO CÁO

Về tình hình hoạt động của Trung tâm tích hợp dữ liệu tỉnh Lâm Đồng

<Cơ quan quản lý> trân trọng báo cáo định kỳ tình hình hoạt động của Trung tâm tích hợp dữ liệu tỉnh Lâm Đồng tháng …. năm …….. như sau:

I. THÔNG TIN CHUNG

1. Kỳ báo cáo: Quý…../năm…..

2. Điện thoại……………….. Email:……………………………………

3. Tổng băng thông Internet (trong nước/ quốc tế):…..Mbps/…….Mbps

…………………………………………………………………………...

4. Tỷ lệ khai thác hệ thống (%):

- Về đường truyền Internet:

- Về mạng TSLCD:

- Vệ cung cấp dịch vụ hạ tầng công nghệ thông tin:

5. Tình hình nhân sự:

- Số lượng nhân viên quản lý:

- Số lượng nhân viên kỹ thuật:

II. CÔNG TÁC ĐÃ TRIỂN KHAI

1. Duy trì vận hành các hệ thống, ứng dụng đã triển khai

(Xem chi tiết tại phụ lục kèm theo)

2. Tiếp nhận hệ thống ứng dụng, triển khai mới, bổ sung (nếu có)

3. Về công tác phát hiện và khắc phục sự cố

a) Tổng số lần hệ thống bị sự cố:……..

b) Chi tiết công tác xử lý sự cố:

STT	Thời điểm bị sự cố	Mô tả sự cố và nội dung khắc phục	Thời gian khắc phục (giờ)	Năng lực xử lý
STT	Thời điểm bị sự cố	Mô tả sự cố và nội dung khắc phục	Thời gian khắc phục (giờ)	Tự thực hiện	Nhờ chuyên gia ngoài

4. Về công tác bảo đảm an toàn thông tin

……………………………………………………………………………………………….

5. Công tác khác

……………………………………………………………………………………………….

III. KẾ HOẠCH CÔNG TÁC TRIỂN KHAI QUÝ SAU

……………………………………………………………………………………………….

IV. KHÓ KHĂN, VƯỚNG MẮC (Nếu có)

……………………………………………………………………………………………….

V. KIẾN NGHỊ, ĐỀ XUẤT

- Về tập huấn nghiệp vụ, đào tạo nâng cao trình độ chuyên môn:…………………

- Về mua sắm trang thiết bị:……………………………………………………………..

- Về các vấn đề khác:…………………………………………………………………….

…………………………….…………………………….………………………………….

<Cơ quan quản lý> trân trọng báo cáo./.

Nơi nhận:
- Như trên;
- Lưu: VT.

Thủ trưởng đơn vị
(Ký, đóng dấu)

Phụ lục: Thống kê các website/ ứng dụng của cơ quan nhà nước lưu ký tại Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng

(Kèm theo Báo cáo số: /BC-TTĐMST&CĐS ngày …../…../20…
của <Cơ quan quản lý>)

STT	Đơn vị chủ quản	Tên website/ứng dụng	Ghi chú
I. Danh sách các website/ứng dụng cơ quan nhà nước (ứng dụng dùng chung)





II. Danh sách các phần mềm, ứng dụng dịch vụ công (các cơ quan đơn vị trong tỉnh)

ỦY BAN NHÂN DÂN TỈNH LÂM ĐỒNG -------	CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc ---------------
Số: 1553/QĐ-UBND	Lâm Đồng, ngày 21 tháng 4 năm 2026

QUYẾT ĐỊNH

BAN HÀNH QUY CHẾ QUẢN LÝ, VẬN HÀNH, KHAI THÁC VÀ SỬ DỤNG TRUNG TÂM TÍCH HỢP DỮ LIỆU TỈNH LÂM ĐỒNG

ỦY BAN NHÂN DÂN TỈNH LÂM ĐỒNG

Căn cứ Luật Tổ chức chính quyền địa phương ngày 16 tháng 6 năm 2025;

Căn cứ Luật Công nghệ thông tin ngày 29 tháng 6 năm 2006;

Căn cứ Luật An toàn thông tin mạng ngày 19 tháng 11 năm 2015;

Căn cứ Luật An ninh mạng ngày 12 tháng 6 năm 2018;

Căn cứ Luật Bảo vệ dữ liệu cá nhân ngày 26 tháng 6 năm 2025;

Căn cứ Luật Bảo vệ bí mật Nhà nước ngày 10 tháng 12 năm 2025;

Căn cứ Nghị định số 64/2007/NĐ-CP ngày 10 tháng 4 năm 2007 của Chính phủ về ứng dụng công nghệ thông tin trong hoạt động của cơ quan nhà nước;

Căn cứ Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;

Nghị định số 356/2025/NĐ-CP ngày 31 tháng 12 năm 2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;

Theo đề nghị của Giám đốc Sở Khoa học và Công nghệ tại Tờ trình số 998/TTr-SKHCN ngày 24 tháng 03 năm 2026.

QUYẾT ĐỊNH:

Điều 1. Ban hành kèm theo Quyết định này Quy chế quản lý, vận hành, khai thác và sử dụng Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng.

Điều 2. Quyết định này có hiệu lực kể từ ngày ký ban hành.

TM. ỦY BAN NHÂN DÂN
KT. CHỦ TỊCH
PHÓ CHỦ TỊCH

Nguyễn Ngọc Phúc

QUY CHẾ

Chương I

QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh, đối tượng áp dụng

1. Phạm vi điều chỉnh

2. Đối tượng áp dụng

a) Các cơ quan, đơn vị trên địa bàn tỉnh có hệ thống thông tin đặt tại TT. THDL.

b) Cơ quan, tổ chức, cá nhân có kết nối, khai thác, sử dụng hệ thống thông tin tại TT. THDL.

c) Các tổ chức, cá nhân cung cấp dịch vụ quản lý, vận hành và đảm bảo an toàn thông tin đối với TT. THDL.

Điều 2. Giải thích từ ngữ

Trong Quy định này, các từ ngữ dưới đây được hiểu như sau:

7. Chủ quản hệ thống thông tin: là cơ quan, tổ chức có thẩm quyền quản lý trực tiếp đối với hệ thống thông tin.

8. Cơ quan chủ quản TT. THDL: UBND tỉnh Lâm Đồng.

9. Cơ quan chịu trách nhiệm quản lý (cơ quan quản lý) TT. THDL: Sở Khoa học và Công nghệ tỉnh Lâm Đồng.

Điều 3. Kiến trúc và dịch vụ của TT. THDL

1. Kiến trúc của TT. THDL được chia làm các phân hệ sau đây:

2. Các ứng dụng và dịch vụ được cung cấp tại TT. THDL, bao gồm:

b) Các dịch vụ công nghệ thông tin phục vụ cơ quan nhà nước, bao gồm:

Dịch vụ cung cấp hạ tầng kỹ thuật công nghệ thông tin.

Dịch vụ cung cấp tài nguyên tính toán (máy chủ vật lý, máy chủ ảo).

Dịch vụ lưu trữ dữ liệu.

Dịch vụ cung cấp môi trường cài đặt, vận hành hệ thống thông tin.

Dịch vụ quản trị, vận hành hạ tầng và hệ thống thông tin.

Dịch vụ kết nối, tích hợp, chia sẻ dữ liệu.

Dịch vụ bảo đảm an toàn thông tin, bao gồm rà quét, đánh giá, ứng cứu và khắc phục sự cố.

Các dịch vụ công nghệ thông tin khác phục vụ hoạt động của cơ quan nhà nước.

Điều 4. Đầu mối tiếp nhận, phối hợp với các cơ quan, tổ chức có thẩm quyền

2. Đầu mối liên hệ, phối hợp với các cơ quan, tổ chức trong công tác hỗ trợ điều phối xử lý sự cố an toàn thông tin tại TT. THDL.

Công an tỉnh là đầu mối liên hệ, phối hợp với các cơ quan, tổ chức trong công tác hỗ trợ điều phối, xử lý sự cố về an toàn thông tin tại TT. THDL.

Điều 5. Nguyên tắc về quản lý, vận hành, khai thác và sử dụng hệ thống hạ tầng, ứng dụng, cơ sở dữ liệu dùng chung tại TT. THDL

7. Việc thay đổi thiết bị, cấu hình của các hệ thống tại TT. THDL phải được sự phê duyệt về chuyên môn của lãnh đạo cơ quan quản lý, sử dụng.

Chương II

QUẢN LÝ, VẬN HÀNH, KHAI THÁC VÀ ĐẢM BẢO AN TOÀN, AN NINH THÔNG TIN TẠI TT. THDL

Mục 1. QUẢN LÝ, VẬN HÀNH, KHAI THÁC TRUNG TÂM TÍCH HỢP DỮ LIỆU

Điều 6. Quy định về chế độ làm việc tại TT. THDL

1. Quy định đối với đơn vị vận hành TT. THDL

2. Quy định đối với viên chức, nhân viên quản trị, vận hành hệ thống:

3. Quy định đối với các tổ chức, cá nhân đến làm việc, tham quan tại TT. THDL:

a) Tuân thủ nghiêm ngặt theo các nội quy, quy trình, quy định làm việc, chế độ vào, ra tại TT. THDL.

d) Các tổ chức, cá nhân có nhu cầu tham quan TT. THDL phải đăng ký trước và cung cấp hồ sơ đề nghị tham quan, bao gồm:

- Giấy giới thiệu của cơ quan, đơn vị hoặc văn bản đề nghị tham quan (theo Mẫu số 01 tại Phụ lục ban hành kèm theo Quy chế này).

- Danh sách người tham quan, trong đó có thông tin về căn cước công dân hoặc hộ chiếu.

Việc tham quan TT. THDL phải được sự chấp thuận của người đứng đầu cơ quan quản lý TT. THDL.

Điều 7. Đảm bảo an toàn hoạt động

2. Môi trường hoạt động: Đảm bảo môi trường theo tiêu chuẩn TCVN 9250:2021: Nhiệt độ 20-25°C, Độ ẩm 45-55% phù hợp cho các thiết bị công nghệ thông tin.

5. Hệ thống camera: Giám sát toàn bộ TT. THDL liên tục 24/24 giờ trong ngày; dữ liệu hình ảnh phải được lưu trữ tối thiểu trong thời gian là 30 ngày.

6. Hệ thống quản lý vào ra (Access Control): Phải hoạt động 24/24 giờ và ghi đầy đủ nhật ký nhằm đảm bảo an ninh, chính xác và linh hoạt cho TT. THDL.

Điều 8. Quản lý thiết bị

1. Thiết bị công nghệ thông tin đặt tại TT. THDL phải được đặt tên và dán nhãn tài sản nhà nước theo quy định.

2. Đơn vị vận hành có trách nhiệm tổng hợp tình hình quản lý, sử dụng thiết bị tại TT. THDL hằng năm và báo cáo cơ quan quản lý theo quy định.

Điều 9. Quản lý vận hành hạ tầng mạng

1. Hệ thống mạng phải bảo đảm:

a) Hoạt động liên tục 24/24 giờ trong ngày, ổn định, an toàn và đáp ứng được yêu cầu về băng thông cho các ứng dụng trong hệ thống.

b) Áp dụng các giải pháp kiểm soát việc truy cập mạng để đảm bảo các quy định về an ninh, các chính sách bảo mật.

c) Tuân theo các tiêu chuẩn của TT. THDL về bấm dây, dán nhãn, chuẩn cáp mạng, cách thức đi dây, đấu nối, phân bổ nút mạng.

2. Đơn vị vận hành chịu trách nhiệm giám sát thiết bị và băng thông truy cập để phòng ngừa và đề xuất các biện pháp xử lý các hành vi vi phạm.

Điều 10. Quản lý mạng truyền số liệu chuyên dùng

1. Đơn vị vận hành là đơn vị đầu mối triển khai các ứng dụng hoạt động trên mạng truyền số liệu chuyên dùng tỉnh Lâm Đồng.

Điều 11. Quản trị các hệ thống phần mềm

3. Các phần mềm, chương trình ứng dụng sử dụng tại TT. THDL phải có bản quyền và sử dụng theo đúng quy định của pháp luật.

4. Cài đặt và sử dụng các hệ thống phần mềm

b) Hệ điều hành, phần mềm cài đặt trên máy chủ, máy trạm phải được cập nhật vá lỗ hổng bảo mật thường xuyên, kịp thời.

đ) Tất cả các tệp tin, thư mục phải được quét phần mềm độc hại trước khi sao chép, sử dụng, truyền đưa, trao đổi.

5. Không phát tán, chia sẻ các hệ thống phần mềm tại TT. THDL dưới bất kỳ hình thức nào khi chưa được sự đồng ý của cơ quan quản lý.

Điều 12. Quản trị sao lưu, phục hồi dữ liệu

Điều 13. Quản lý hồ sơ

1. Danh sách các loại hồ sơ lưu trữ

a) Quy định về quản lý, triển khai, vận hành các hệ thống.

b) Các quy trình vận hành kỹ thuật các hệ thống.

c) Các quy trình bảo hành, bảo trì, bảo dưỡng hệ thống.

d) Hồ sơ thiết kế, thuyết minh kỹ thuật, hoàn công.

đ) Hồ sơ quản trị các hệ thống thông tin.

e) Hồ sơ lưu các dịch vụ cung cấp.

h) Tài liệu, biên bản kiểm tra, đánh giá của TT. THDL.

i) Báo cáo quản trị hệ thống, nhật ký vận hành hệ thống.

k) Các hồ sơ, tài liệu kỹ thuật khác.

2. Hồ sơ phải được lưu bằng văn bản, tập tin bản mềm trên máy tính hoặc phần mềm quản lý điều hành và phải được cập nhật khi có sự thay đổi.

Điều 14. Xử lý sự cố trong quá trình quản lý, vận hành, khai thác

2. Tùy thuộc vào mức độ ảnh hưởng của sự cố, đánh giá và phân loại theo 03 mức:

a) Các sự cố thông thường (không gây ảnh hưởng đến hoạt động của TT. THDL): Đơn vị vận hành nhanh chóng xử lý sự cố.

3. Yêu cầu đối với việc xử lý sự cố cần tuân thủ các nguyên tắc:

a) Phải tuân thủ Quy trình xử lý sự cố.

b) Đảm bảo tuyệt đối an toàn cho người và thiết bị của hệ thống.

c) Các dữ liệu quan trọng phải được sao lưu trước khi xử lý sự cố.

d) Ghi nhật ký sự cố kỹ thuật phát sinh tại chỗ.

đ) Thông báo cho các bên liên quan về thời gian khắc phục xong sự cố.

e) Lập báo cáo sự cố gửi cơ quan quản lý đối với các sự cố nghiêm trọng và đặc biệt nghiêm trọng trong vòng 24 giờ kể từ khi phát hiện sự cố.

g) Ghi nhận chi tiết quá trình xử lý sự cố vào hệ thống quản lý sự kiện an toàn thông tin, ưu tiên sử dụng cách xử lý sự cố có tính chất tương tự.

Điều 15. Bảo trì, bảo dưỡng TT. THDL

1. Đơn vị vận hành TT. THDL có trách nhiệm tham mưu cơ quan quản lý ban hành quy trình bảo trì, bảo dưỡng hệ thống và được cấp có thẩm quyền phê duyệt.

2. Việc thực hiện bảo trì, bảo dưỡng các hệ thống do đơn vị vận hành thực hiện hoặc thuê dịch vụ đảm bảo tiết kiệm, hiệu quả, theo đúng quy định.

Điều 16. Quản lý mật khẩu hệ thống TT. THDL

1. Mật khẩu phải bảo đảm độ an toàn về độ phức tạp, thời gian sử dụng, lưu trữ

a) Độ dài của mật khẩu

b) Nội dung mật khẩu

- Không bao gồm các từ dễ nhớ như: Tên, ngày tháng năm sinh, số điện thoại.

- Đối với mật khẩu quản trị hệ thống phải bao gồm các loại ký tự sau: Chữ cái in thường, chữ cái in hoa, ký tự đặc biệt, số.

c) Thời gian sử dụng mật khẩu

d) Quy định lưu trữ mật khẩu

- Người sử dụng phải thay đổi mật khẩu ngay từ lần đăng nhập đầu tiên.

- Không được chia sẻ mật khẩu cho người khác.

- Không được lưu trữ mật khẩu trên máy tính cá nhân, các thiết bị điện tử.

Điều 17. Kiểm soát truy nhập và xác thực

Điều 18. Cung cấp, tiếp nhận máy móc, thiết bị và phần mềm của các đơn vị tại TT. THDL

4. Đảm bảo yêu cầu về quản lý thiết kế, xây dựng hệ thống (quy định chi tiết tại Điều 33 Quy chế này).

Điều 19. Quản lý, bảo trì, sửa chữa và thanh lý thiết bị CNTT

Đơn vị vận hành có trách nhiệm quản lý, sử dụng tài sản theo quy định của pháp luật về quản lý, sử dụng tài sản công, cụ thể như sau:

1. Hằng năm, thực hiện tổng hợp, cập nhật tình hình quản lý, sử dụng hệ thống phần mềm, thiết bị.

5. Trước khi thanh lý, hủy bỏ thiết bị CNTT, phải áp dụng các biện pháp kỹ thuật để xóa bỏ hoàn toàn dữ liệu, bảo đảm không thể phục hồi.

Mục 2. ĐẢM BẢO AN TOÀN, AN NINH THÔNG TIN TẠI TT. THDL

Điều 20. Mục tiêu, nguyên tắc bảo đảm an toàn thông tin

1. Mục tiêu bảo đảm an toàn thông tin

2. Nguyên tắc

b) Bảo đảm an toàn thông tin là yêu cầu bắt buộc, phải được thực hiện thường xuyên, liên tục trong quá trình:

- Thu thập, tạo lập, xử lý, truyền tải, lưu trữ và sử dụng thông tin, dữ liệu.

- Thiết kế, thiết lập và vận hành, nâng cấp, hủy bỏ hệ thống thông tin.

Điều 21. Quản lý an toàn mạng

c) Vùng mạng quản trị đặt các máy chủ quản trị và máy chủ hệ thống.

4. Truy cập và quản lý cấu hình hệ thống

b) Cấu hình tối ưu, tăng cường bảo mật cho thiết bị hệ thống (cứng hóa) trước khi đưa vào vận hành, khai thác.

Điều 22. Quản lý an toàn máy chủ và ứng dụng

1. Quản lý, vận hành hoạt động bình thường của hệ thống máy chủ và dịch vụ:

a) Bảo đảm cho hệ điều hành, phần mềm cài đặt trên máy chủ hoạt động liên tục, ổn định và an toàn.

b) Thường xuyên kiểm tra cấu hình, các file nhật ký hoạt động của hệ điều hành, phần mềm nhằm kịp thời phát hiện và xử lý những sự cố nếu có.

c) Quản lý các thay đổi cấu hình kỹ thuật của hệ điều hành, phần mềm.

d) Có phương án cập nhật bản vá, xử lý điểm yếu an toàn thông tin cho hệ điều hành và các dịch vụ hệ thống trên máy chủ.

đ) Loại bỏ các thành phần của hệ điều hành, phần mềm không cần thiết hoặc không còn nhu cầu sử dụng.

2. Truy cập mạng của máy chủ

3. Truy cập và quản trị máy chủ và ứng dụng

a) Thay đổi các tài khoản, mật khẩu mặc định ngay khi đưa hệ điều hành, phần mềm vào sử dụng.

b) Cấp quyền quản lý truy cập của người sử dụng trên máy chủ cài đặt hệ điều hành.

Các hệ thống bắt buộc phải kết nối Internet bao gồm:

- Hệ thống phục vụ truy cập Internet.

- Hệ thống cung cấp giao diện ra Internet của trang tin điện tử, dịch vụ công, thư điện tử.

- Hệ thống phục vụ cập nhật bản vá hệ điều hành, mẫu mã độc, mẫu điểm yếu, mẫu tấn công.

4. Cập nhật, sao lưu dự phòng và khôi phục sau khi xảy ra sự cố

5. Cài đặt, gỡ bỏ hệ điều hành, dịch vụ, phần mềm trên hệ thống máy chủ và ứng dụng

Điều 23. Quản lý an toàn dữ liệu

4. Thiết lập cơ chế sao lưu định kỳ, tự động nhằm đảm bảo việc sao lưu đầy đủ các dữ liệu, cụ thể:

- Nơi sao lưu: hệ thống lưu trữ dữ liệu được trang bị tại TT. THDL tỉnh gồm thiết bị SAN/NAS và các thiết bị sao lưu khác.

Điều 24. Quản lý an toàn thiết bị đầu cuối

Quy định về quản lý an toàn thiết bị đầu cuối bao gồm:

1. Thông tin về thiết bị đầu cuối (tên, chủng loại, địa chỉ MAC, địa chỉ IP) phải được quản lý và cập nhật.

2. Khi truy cập và sử dụng thiết bị đầu cuối từ xa phải có cơ chế xác thực và sử dụng giao thức mạng an toàn.

Điều 25. Quản lý phòng chống phần mềm độc hại

Điều 26. Giám sát thiết bị hệ thống, máy chủ, ứng dụng, dịch vụ và các thành phần khác trong hệ thống

5. Đảm bảo ổn định, bí mật cho thông tin cung cấp, trao đổi trong quá trình giám sát.

6. Hệ thống phải có cơ chế có thể chủ động truy cập và giám sát hoạt động từ xa.

7. Kết nối và gửi nhật ký hệ thống từ đối tượng giám sát về hệ thống giám sát.

- Tổ chức thu thập, lưu trữ nhật ký hệ thống theo quy định.

- Kết nối, gửi nhật ký hệ thống, dữ liệu kỹ thuật phục vụ giám sát an toàn thông tin theo yêu cầu của cơ quan chuyên trách An toàn thông tin của tỉnh.

- Phối hợp triển khai các biện pháp kỹ thuật khi có yêu cầu xử lý sự cố, khắc phục điểm yếu, lỗ hổng bảo mật.

- Việc kết nối, chia sẻ thông tin giám sát an toàn thông tin với hệ thống giám sát quốc gia thực hiện theo phân công của UBND tỉnh và quy định của pháp luật.

Điều 27. Quản lý điểm yếu an toàn thông tin

Điều 28. Quản lý sự cố an toàn thông tin

Đơn vị vận hành và các cơ quan, đơn vị có hệ thống thông tin đặt tại TT. THDL thực hiện quản lý sự cố an toàn thông tin như sau:

2. Giám sát, phát hiện và cảnh báo sự cố an toàn thông tin.

3. Xây dựng quy trình ứng cứu sự cố an toàn thông tin mạng thông thường và nghiêm trọng.

5. Liên hệ phối hợp thực hiện ứng cứu, xử lý sự cố theo quy định của Đội Ứng cứu sự cố an toàn thông tin mạng tỉnh hiện hành.

Điều 29. Quản lý an toàn người sử dụng đầu cuối

1. Kết nối máy tính/thiết bị đầu cuối của người sử dụng vào hệ thống

c) Máy tính/thiết bị đầu cuối phải được xử lý điểm yếu an toàn thông tin, cấu hình cứng hóa bảo mật trước khi kết nối vào hệ thống.

2. Cài đặt và sử dụng máy tính an toàn

e) Thực hiện thao tác khóa máy tính (sử dụng tính năng có sẵn trên máy tính) khi rời khỏi nơi đặt máy tính; tắt máy tính khi rời khỏi cơ quan.

3. Trong quá trình sử dụng

b) Có trách nhiệm tự quản lý, bảo quản thiết bị, tài khoản, ứng dụng mà mình được giao sử dụng.

d) Tham gia các chương trình đào tạo, hội nghị về an toàn thông tin mạng được tỉnh hoặc đơn vị chuyên môn tổ chức.

Điều 30. Quản lý giám sát an toàn hệ thống thông tin

1. Quản lý, vận hành hoạt động bình thường của hệ thống giám sát:

c) Kết nối và gửi nhật ký hệ thống từ đối tượng giám sát về hệ thống giám sát.

2. Giám sát an toàn thông tin mạng toàn diện 24/7. Bố trí nhân sự xử lý các sự cố theo hình thức từ xa và tại chỗ.

4. Giám sát, phát hiện và cảnh báo sự cố an toàn thông tin

c) Thông tin giám sát phải được đơn vị vận hành tiếp nhận, phân tích, xử lý và cảnh báo đến các tổ chức, cá nhân liên quan.

a) Các thiết bị mạng, thiết bị bảo mật như: Router, Switch, Firewall/ IPS/ IDS, Sandbox, WAF, Network APT...

b) Các máy chủ hệ thống (cả máy chủ vật lý và ảo hóa) trên các nền tảng khác nhau: Windows, Linux, Unix...

d) Các thiết bị đầu cuối: Máy tính người sử dụng, máy in, máy fax, IP Phone, IP Camera...

6. Lưu trữ và bảo vệ thông tin giám sát (nhật ký hệ thống)

a) Lưu trữ thông tin, dữ liệu hình thành trong quá trình giám sát tối thiểu 06 tháng.

c) Dữ liệu giám sát khi lưu trữ phải được mã hóa để đảm bảo tính an toàn cho thông tin, bảo vệ dữ liệu số khi lưu trữ.

7. Đồng bộ thời gian giữa hệ thống giám sát và thiết bị được giám sát

b) Cảnh báo sớm các điểm yếu, nguy cơ an ninh có thể xảy ra và điều chỉnh phòng thủ. Hỗ trợ ứng cứu và xử lý các sự cố an ninh mạng.

c) Thông báo các sự cố qua thư điện tử (email), theo dõi qua tài khoản từ hệ thống theo các cấp độ quản lý.

e) Phân tích phát hiện tấn công Endpoints, Server: Có khả năng phát hiện các hành vi bất thường.

g) Quản lý, phân tích, cảnh báo: Có hệ thống ticket đảm bảo có các thông tin chi tiết về sự cố, tương quan giữa các sự kiện, mức độ, tình trạng xử lý.

Điều 31. Kiểm tra, đánh giá và quản lý rủi ro an toàn thông tin

1. Nội dung kiểm tra, đánh giá và quản lý rủi ro an toàn thông tin

a) Kiểm tra việc tuân thủ quy định của pháp luật về bảo đảm an toàn hệ thống thông tin theo cấp độ.

b) Đánh giá hiệu quả của biện pháp bảo đảm an toàn hệ thống thông tin.

c) Đánh giá phát hiện mã độc, lỗ hổng, điểm yếu, thử nghiệm xâm nhập hệ thống.

d) Kiểm tra, đánh giá khác do chủ quản hệ thống thông tin quy định.

2. Hình thức kiểm tra, đánh giá và quản lý rủi ro an toàn thông tin

a) Định kỳ theo kế hoạch của chủ quản hệ thống thông tin.

b) Kiểm tra, đánh giá đột xuất theo yêu cầu của cấp có thẩm quyền.

3. Quy định về mức độ rủi ro phân thành 3 loại: Cao, vừa, thấp.

- Cao: Nguồn đe dọa có động cơ mạnh mẽ và khả năng đầy đủ và các biện pháp kiểm soát để ngăn chặn khai thác lỗ hổng không hiệu quả.

- Vừa: Nguồn đe dọa có động cơ và có khả năng tấn công; tuy nhiên, các biện pháp kiểm soát hiện có có thể cản trở việc khai thác thành công lỗ hổng.

4. Xác định rủi ro và lỗ hổng

Nhiều loại tác nhân đe dọa có thể tận dụng một số loại lỗ hổng và dẫn đến một loạt các mối đe dọa cụ thể các trường hợp như sau:

STT	Rủi ro	Hậu quả	Mức độ rủi ro
I	Các mối đe dọa từ việc tồn tại điểm yếu, lỗ hổng trong hệ thống
1	Thiếu phần mềm phòng chống mã độc	Nhiễm virus, backdoor…	Cao
2	Bản quyền phòng chống thư rác hết hạn	Nhận thư rác hoặc người dùng thư có thể bị nhiễm mã độc	Cao
3	Các thiết bị, dịch vụ, hệ điều hành không được cập nhật phiên bản mới định kỳ (tồn tại nhiều lỗ hổng bảo mật - CVE)	Thiết bị, máy chủ bị tấn công truy cập trái phép, chiếm quyền điều khiển	Cao
4	Dùng các phần mềm, hệ quản trị cơ sở dữ liệu không có bản quyền	Dữ liệu trên máy chủ, dịch vụ, ứng dụng bị truy cập, sửa, xóa trái phép	Cao
5	Quản trị lưu mật khẩu trên trình duyệt	Có thể bị đánh cắp thông tin tài khoản	Cao
6	Thiếu kiểm tra, đánh giá an toàn thông tin cho các ứng dụng trước khi đưa vào khai thác, vận hành	Hệ thống tìm ẩn, tồn tại nhiều lỗ hổng bảo mật, dễ dàng bị khai thác, tấn công mạng	Cao
7	Mã nguồn, ứng dụng tồn tại nhiều lỗ hổng	Thực hiện tấn công tràn bộ đệm; thực hiện cuộc tấn công từ chối dịch vụ	Cao
II	Các mối đe dọa từ việc thiếu/không đáp ứng các biện pháp quản lý
1	Thiếu nguồn lực để triển khai các biện pháp theo dõi, giám sát cho hệ thống	Không ngăn chặn kịp thời các cuộc bị tấn công, dò quét và khai thác hệ thống	Cao
2	Các chính sách, quy định về an toàn mạng, máy chủ, dữ liệu, thiết bị đầu cuối không được tuân thủ theo quy định	Hệ thống tiềm ẩn, tồn tại nhiều lỗ hổng bảo mật, dễ dàng bị khai thác, tấn công mạng	Cao
3	Các cá nhân, tổ chức không tuân thủ thực hiện các quy định về an toàn thông tin mạng	Hệ thống bị khai thác, tấn công mạng	Cao
4	Thiếu kiểm tra, đánh giá an toàn thông tin cho các ứng dụng trước khi đưa vào khai thác, vận hành	Hệ thống bị khai thác, tấn công mạng	Cao
III	Các mối đe dọa từ việc thiếu/không đáp ứng các trang thiết bị phụ trợ
1	Thiếu bình chữa cháy/ hệ thống chữa cháy	Thiệt hại cơ sở và hạ tầng trang thiết bị, dữ liệu	Cao
2	Thiếu hệ thống điều hòa hoặc hệ thống điều hòa hư	Phòng máy máy chủ, thiết bị mạng hư hỏng do nhiệt độ không đảm bảo	Cao
3	Hệ thống mất nguồn điện dự phòng	Hệ thống tắt đột xuất, gián đoạn hệ thống	Cao
4	Thiếu kiểm tra, bảo trì, bảo dưỡng hệ thống các trang thiết bị theo định kỳ	Hư hỏng thiết bị, thường xuyên gián đoạn hoạt động của hệ thống	Cao

5. Triển khai các biện pháp kiểm soát rủi ro

- Các trang thiết bị tại TT. THDL tỉnh phải được theo dõi, quản lý.

- Tổ chức, phân công trực theo dõi, kiểm tra và khắc phục sự cố kịp thời toàn bộ hoạt động của TT. THDL tỉnh, đảm bảo an toàn, ổn định và thông suốt.

Điều 32. Bảo đảm nguồn nhân lực

2. Xây dựng kế hoạch và định kỳ hằng năm, tổ chức đào tạo các kỹ năng cơ bản về an toàn thông tin cho người sử dụng.

3. Trách nhiệm bảo đảm an toàn thông tin cho cán bộ quản lý và vận hành hệ thống

b) Cán bộ chuyên trách phải tổ chức quản lý định danh đối với tất cả người dùng tham gia sử dụng hệ thống thông tin.

4. Quy định đối với cán bộ nghỉ hoặc thay đổi công việc

b) Cán bộ quản trị phải vô hiệu hóa tất cả các quyền ra, vào, truy cập tài nguyên, quản trị hệ thống sau khi cán bộ thôi việc.

c) Cán bộ nghỉ hoặc thay đổi công việc phải có cam kết giữ bí mật thông tin liên quan đến tổ chức sau khi nghỉ việc.

Điều 33. Quản lý thiết kế, xây dựng hệ thống

1. Thiết kế an toàn hệ thống thông tin, phải có tài liệu mô tả về

a) Quy mô, phạm vi và đối tượng sử dụng, khai thác, quản lý vận hành hệ thống thông tin.

b) Thiết kế và các thành phần của hệ thống thông tin.

c) Phương án bảo đảm an toàn thông tin theo cấp độ.

d) Phương án lựa chọn giải pháp công nghệ bảo đảm an toàn thông tin.

đ) Khi có thay đổi thiết kế, đánh giá lại tính phù hợp của phương án thiết kế đối với các yêu cầu an toàn đặt ra đối với hệ thống.

2. Phát triển phần mềm thuê ngoài

a) Có biên bản, hợp đồng và các cam kết với đơn vị cung cấp dịch vụ liên quan đến việc phát triển phần mềm.

b) Đơn vị cung cấp dịch vụ, phát triển phần mềm phải cung cấp mã nguồn phần mềm cho chủ quản hệ thống thông tin và đơn vị vận hành.

c) Phần mềm phải được kiểm thử, kiểm tra, đánh giá an toàn thông tin và nghiệm thu trước khi đưa vào sử dụng.

3. Thử nghiệm và nghiệm thu hệ thống

a) Hệ thống trước khi bàn giao và đưa vào sử dụng phải được thử nghiệm.

b) Có nội dung, kế hoạch, quy trình thử nghiệm và nghiệm thu hệ thống.

d) Có báo cáo nghiệm thu được xác nhận của bộ phận chuyên trách và phê duyệt của chủ quản hệ thống thông tin trước khi đưa vào sử dụng.

Điều 34. Tiếp nhận, phát hiện, phân loại và xử lý ban đầu sự cố an toàn thông tin

2. Xử lý ban đầu sự cố an toàn thông tin

Chương III

TRÁCH NHIỆM CỦA CÁC CƠ QUAN, TỔ CHỨC, CÁ NHÂN TRONG VIỆC QUẢN LÝ, VẬN HÀNH VÀ KHAI THÁC TT. THDL

Điều 35. Trách nhiệm của Cơ quan quản lý

2. Tham mưu UBND tỉnh về công tác quản lý, vận hành, nâng cấp mở rộng và đảm bảo an toàn thông tin đối với TT. THDL.

6. Tham gia các hoạt động, công tác bảo đảm an toàn thông tin khi có yêu cầu của tổ chức có thẩm quyền.

Điều 36. Trách nhiệm của Đơn vị vận hành

3. Ban hành nội quy làm việc tại TT. THDL.

5. Quy hoạch tài nguyên hệ thống, tham mưu cơ quan quản lý các giải pháp, phương án kỹ thuật, kế hoạch phát triển TT. THDL.

8. Đào tạo cán bộ quản lý, vận hành có chuyên môn đáp ứng yêu cầu, được trang bị các kiến thức liên quan tới hoạt động của TT. THDL.

9. Tham gia các hoạt động, công tác bảo đảm an toàn thông tin khi có yêu cầu của tổ chức có thẩm quyền.

Điều 37. Trách nhiệm của các cơ quan, đơn vị đặt các hệ thống công nghệ thông tin hoặc được cung cấp tài nguyên tại TT. THDL

Điều 38. Trách nhiệm của các cơ quan, đơn vị, người sử dụng dịch vụ

1. Đối với cơ quan, đơn vị

2. Đối với người sử dụng:

CHƯƠNG IV

TỔ CHỨC THỰC HIỆN

Điều 39. Trách nhiệm của Sở Khoa học và Công nghệ

1. Triển khai thực hiện nhiệm vụ của Cơ quan quản lý TT. THDL tại Điều 35 Quy chế này.

Điều 40. Trách nhiệm của Công an tỉnh

1. Chủ trì, phối hợp với Sở Khoa học và Công nghệ và các cơ quan, đơn vị liên quan trong việc bảo đảm an toàn, an ninh thông tin cho TT. THDL.

Điều 41. Trách nhiệm của Sở Tài chính

Điều 42. Các cơ quan, đơn vị có liên quan

Điều 43. Khen thưởng, xử phạt

Điều 44. Điều khoản chuyển tiếp

Điều 45. Sửa đổi, bổ sung Quy định

PHỤ LỤC

STT	Mã số	Tên mẫu
01	Mẫu số 01	Đề nghị làm việc tại Trung tâm Tích hợp dữ liệu
02	Mẫu số 02	Biên bản đưa thiết bị vào/ ra Trung tâm Tích hợp dữ liệu
03	Mẫu số 03	Biên bản đặt thiết bị tại Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng
04	Mẫu số 04	Công văn đề nghị cung cấp máy chủ ảo hóa
05	Mẫu số 05	Báo cáo về tình hình hoạt động của Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng

Mẫu số 01

……….……………………

…………………………….
-------

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------

Số:……………

………, ngày…….tháng…….năm 20....

ĐỀ NGHỊ LÀM VIỆC TẠI TRUNG TÂM TÍCH HỢP DỮ LIỆU

Kính gửi: ………………………………………………………….

A. Thông tin chung

Tên cơ quan:………………………………………………………………………………………………..

Địa chỉ:………………………………………………………………………………………………………

Điện thoại:………………………………………………………………………………………………….

Đầu mối liên hệ (Tên cán bộ, địa chỉ email, số điện thoại):…………………………………………..

………………………………………………………………………………………………………………

B. Phần đề nghị

Chúng tôi đề nghị được làm việc tại Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng.

1. Mục đích:………………………….……………………………………………………………………

………………………………………………………………………………………………………………

2. Thời gian đến làm việc: ………………………………………………………………………..

3. Thành phần đoàn làm việc: (Kèm theo danh sách chi tiết) ……………………………

………………………………………………………………………………………………………………

4. Các đề nghị khác: (Nếu có) …………………………………………………………………………

………………………………………………………………………………………………………………

Chúng tôi cam kết tuân thủ mọi nội quy, quy định của các cơ quan chức năng khi vào làm việc tại Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng./.

Thủ trưởng Cơ quan/đơn vị
(Ký, đóng dấu)

Mẫu số 02

……………………………….

…………………………………
-------

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------

BIÊN BẢN
ĐƯA THIẾT BỊ VÀO/RA TRUNG TÂM TÍCH HỢP DỮ LIỆU

Hôm nay, vào lúc….giờ…..phút, ngày…..tháng…..năm 20…..; tại Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng. Chúng tôi gồm có:

I. Đại diện đơn vị vận hành ………..

1. Ông:………………………………………. Chức vụ: ……………………

2. Ông:………………………………………. Chức vụ: ……………………

II. Đại diện đơn vị đặt thiết bị ……………………………………………

1. Ông:………………………………………. Chức vụ: ……………………

2. Ông:………………………………………. Chức vụ: ……………………

Chúng tôi cùng ký vào biên bản xác nhận………………………………….. mang thiết bị vào/ra Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng như sau:

1. Thông số kỹ thuật:

STT	Tên thiết bị	ĐVT	Số lượng	Mã số	Ghi chú

2. Thông tin hạ tầng:

- Vị trí: Tủ:………………Phòng:……………………………………………………………………….

- Nguồn điện:.……………………………………………………………………………………………

3. Thông tin khác:

…………………………………………………………………………………………………………….

Biên bản được lập thành 02 bản, mỗi bên giữ 01 bản có giá trị như nhau./.

Đại diện đơn vị vận hành
(Ký ghi rõ họ, tên)

Đại diện đơn vị đặt thiết bị
(Ký ghi rõ họ, tên)

Mẫu số 03

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------

BIÊN BẢN ĐẶT THIẾT BỊ TẠI TRUNG TÂM TÍCH HỢP DỮ LIỆU
TỈNH LÂM ĐỒNG

Căn cứ………………………………………………………………………………………………………

Hôm nay, ngày .... tháng .... năm………., tại ……………., chúng tôi gồm:

BÊN GIAO (Bên A):……………………………………………………………………

Địa chỉ:

Điện thoại: ……………………………………………… Fax:………………….

Đại diện:

Ông/Bà:……………………….. Chức vụ: ………………………

Ông/Bà:……………………… Cán bộ bàn giao thiết bị:……………………………

BÊN NHẬN (Bên B):…………………………………………………………………..

Địa chỉ:

Điện thoại: ……………………………………………… Fax:………………….

Đại diện:

Ông/Bà:……………………….. Chức vụ: ………………………

Ông/Bà:……………………… Cán bộ bàn giao thiết bị:……………………………

I. Hai bên cùng tiến hành bàn giao các thiết bị theo danh sách sau:

TT	Tên thiết bị	Mô tả thiết bị	Đơn vị	Số lượng	Serial Number
1

Hai bên xác nhận đã giao và nhận đầy đủ danh mục thiết bị theo danh sách nêu trên.

1. Thông tin hạ tầng

- Vị trí lắp đặt: Tủ: …………..… Phòng: ………………………………

- Nguồn điện: ……………………………………………………………

2. Thông tin khác

…………………………………………………………………………………..

II. Quyền hạn và trách nhiệm của hai bên

1. Bên A

- Đầu mối điều hành:

- Đầu mối về kỹ thuật:

2. Bên B

Đầu mối liên hệ của bên B:

- Đầu mối điều hành:

- Đầu mối kỹ thuật:

- Số điện thoại đơn vị: Biên bản được lập thành 02 (hai) bản, mỗi bên giữ 01 (một) bản có giá trị pháp lý như nhau./.

Cán bộ tiếp nhận thiết bị (Ký, ghi rõ họ tên)	Cán bộ bàn giao thiết bị (Ký, ghi rõ họ tên)
ĐẠI DIỆN BÊN NHẬN (Ký, đóng dấu, ghi rõ chức vụ, họ tên)	ĐẠI DIỆN BÊN GIAO (Ký, đóng dấu, ghi rõ chức vụ, họ tên)

Mẫu số 04

……….……………………

…………………………….
-------

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------

Số:……………
V/v cung cấp máy chủ ảo hóa

………, ngày…….tháng…….năm 20....

Kính gửi: (Cơ quan quản lý)

A. Thông tin chung

Tên cơ quan:……………………………………………………………………………………………….

Địa chỉ:……………………………………………………………………………………………………….

Điện thoại:……………………………………………………………………………………………………

Đầu mối liên hệ (Tên cán bộ, địa chỉ email, số điện thoại):……………………………………………

B. Phần đề nghị

Chúng tôi đề nghị cấp máy chủ ảo hóa tại Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng.

................................................................................................................................

Số lượng máy chủ: ......... Chi tiết cấu hình máy chủ:

STT	Hệ điều hành	CPU (Số Core)	RAM	Dung lượng HDD	Thời gian sử dụng
STT	Hệ điều hành	CPU (Số Core)	RAM	Dung lượng HDD	Bắt đầu	Kết thúc
1
2
3
4
5

* Chú ý:

- Hệ điều hành có thể yêu cầu gồm: …………………………………………….

- Dung lượng ổ cứng tối đa: ……………………………………………………...

Các đề nghị khác: (Nếu có) ……………………………………………………..

………………………………………………………………………………………..

Chúng tôi cam kết tuân thủ mọi nội quy, quy định của các cơ quan chức năng khi vào làm việc tại Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng./.

Thủ trưởng Cơ quan/đơn vị
(Ký, đóng dấu)

Mẫu số 05

………………………………..

…………………………………
-------

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------

BÁO CÁO

Về tình hình hoạt động của Trung tâm tích hợp dữ liệu tỉnh Lâm Đồng

<Cơ quan quản lý> trân trọng báo cáo định kỳ tình hình hoạt động của Trung tâm tích hợp dữ liệu tỉnh Lâm Đồng tháng …. năm …….. như sau:

I. THÔNG TIN CHUNG

1. Kỳ báo cáo: Quý…../năm…..

2. Điện thoại……………….. Email:……………………………………

3. Tổng băng thông Internet (trong nước/ quốc tế):…..Mbps/…….Mbps

…………………………………………………………………………...

4. Tỷ lệ khai thác hệ thống (%):

- Về đường truyền Internet:

- Về mạng TSLCD:

- Vệ cung cấp dịch vụ hạ tầng công nghệ thông tin:

5. Tình hình nhân sự:

- Số lượng nhân viên quản lý:

- Số lượng nhân viên kỹ thuật:

II. CÔNG TÁC ĐÃ TRIỂN KHAI

1. Duy trì vận hành các hệ thống, ứng dụng đã triển khai

(Xem chi tiết tại phụ lục kèm theo)

2. Tiếp nhận hệ thống ứng dụng, triển khai mới, bổ sung (nếu có)

3. Về công tác phát hiện và khắc phục sự cố

a) Tổng số lần hệ thống bị sự cố:……..

b) Chi tiết công tác xử lý sự cố:

STT	Thời điểm bị sự cố	Mô tả sự cố và nội dung khắc phục	Thời gian khắc phục (giờ)	Năng lực xử lý
STT	Thời điểm bị sự cố	Mô tả sự cố và nội dung khắc phục	Thời gian khắc phục (giờ)	Tự thực hiện	Nhờ chuyên gia ngoài

4. Về công tác bảo đảm an toàn thông tin

……………………………………………………………………………………………….

5. Công tác khác

……………………………………………………………………………………………….

III. KẾ HOẠCH CÔNG TÁC TRIỂN KHAI QUÝ SAU

……………………………………………………………………………………………….

IV. KHÓ KHĂN, VƯỚNG MẮC (Nếu có)

……………………………………………………………………………………………….

V. KIẾN NGHỊ, ĐỀ XUẤT

- Về tập huấn nghiệp vụ, đào tạo nâng cao trình độ chuyên môn:…………………

- Về mua sắm trang thiết bị:……………………………………………………………..

- Về các vấn đề khác:…………………………………………………………………….

…………………………….…………………………….………………………………….

<Cơ quan quản lý> trân trọng báo cáo./.

Nơi nhận:
- Như trên;
- Lưu: VT.

Thủ trưởng đơn vị
(Ký, đóng dấu)

Phụ lục: Thống kê các website/ ứng dụng của cơ quan nhà nước lưu ký tại Trung tâm Tích hợp dữ liệu tỉnh Lâm Đồng

(Kèm theo Báo cáo số: /BC-TTĐMST&CĐS ngày …../…../20…
của <Cơ quan quản lý>)

STT	Đơn vị chủ quản	Tên website/ứng dụng	Ghi chú
I. Danh sách các website/ứng dụng cơ quan nhà nước (ứng dụng dùng chung)





II. Danh sách các phần mềm, ứng dụng dịch vụ công (các cơ quan đơn vị trong tỉnh)

Tải về

Đóng