Đăng xuất
Việc làm Hồ Chí Minh
Quyết định 504/QĐ-BHXH năm 2026 về Quy chế an toàn thông tin mạng và an ninh mạng của Bảo hiểm xã hội Việt Nam
| Số hiệu | 504/QĐ-BHXH |
| Ngày ban hành | 25/06/2026 |
| Ngày có hiệu lực | 01/07/2026 |
| Loại văn bản | Quyết định |
| Cơ quan ban hành | Bảo hiểm xã hội Việt Nam |
| Người ký | Chu Mạnh Sinh |
| Lĩnh vực | Bảo hiểm,Công nghệ thông tin |
|
BỘ TÀI CHÍNH |
CỘNG HÒA XÃ HỘI
CHỦ NGHĨA VIỆT NAM |
|
Số: 504/QĐ-BHXH |
Hà Nội, ngày 25 tháng 6 năm 2026 |
BAN HÀNH QUY CHẾ AN TOÀN THÔNG TIN MẠNG VÀ AN NINH MẠNG CỦA BẢO HIỂM XÃ HỘI VIỆT NAM
GIÁM ĐỐC BẢO HIỂM XÃ HỘI VIỆT NAM
Căn cứ Luật An ninh mạng ngày 10 tháng 12 năm 2025;
Căn cứ Luật Bảo vệ bí mật nhà nước ngày 10 tháng 12 năm 2025;
Căn cứ Luật Bảo vệ dữ liệu cá nhân ngày 26 tháng 6 năm 2025;
Căn cứ Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;
Căn cứ Nghị định số 142/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về ngăn chặn xung đột thông tin trên mạng;
Căn cứ Nghị định số 356/2025/NĐ-CP ngày 31 tháng 12 năm 2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;
Căn cứ Quyết định số 2405/QĐ-BTC ngày 08 tháng 7 năm 2025 của Bộ trưởng Bộ Tài chính ban hành Quy chế An toàn thông tin mạng và An ninh mạng của Bộ Tài chính;
Căn cứ Quyết định số 3330/QĐ-BTC ngày 02 tháng 10 năm 2025 của Bộ trưởng Bộ Tài chính về việc ủy quyền thực hiện trách nhiệm của chủ quản hệ thống thông tin (cấp độ 1, 2, 3) và phê duyệt hồ sơ để xuất cấp độ hệ thống thông tin (cấp độ 3) do Bộ Tài chính là chủ quản;
Căn cứ Quyết định số 3179/QĐ-BTC ngày 12 tháng 9 năm 2025 của Bộ trưởng Bộ Tài chính quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Bảo hiểm xã hội Việt Nam thuộc Bộ Tài chính;
Căn cứ Quyết định số 05/2017/QĐ-TTg ngày 16 tháng 3 năm 2017 của Thủ tướng Chính phủ ban hành Quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia;
Theo đề nghị của Giám đốc Trung tâm Công nghệ thông tin và Chuyển đổi số.
QUYẾT ĐỊNH:
|
|
KT. GIÁM ĐỐC |
AN
TOÀN THÔNG TIN MẠNG VÀ AN NINH MẠNG CỦA BẢO HIỂM XÃ HỘI VIỆT NAM
(Kèm theo Quyết định số 504/QĐ-BHXH ngày 25 tháng 6 năm 2026 của Bảo hiểm xã
hội Việt Nam)
Điều 1. Phạm vi điều chỉnh và đối tượng áp dụng
1. Quy chế này quy định về công tác bảo đảm an toàn thông tin mạng và an ninh mạng tại Bảo hiểm xã hội Việt Nam.
2. Quy chế này áp dụng đối với các đơn vị thuộc và trực thuộc Bảo hiểm xã hội Việt Nam; viên chức, người lao động; các tổ chức, cá nhân có tham gia hoặc có liên quan đến công tác bảo đảm an toàn thông tin mạng và an ninh mạng của Bảo hiểm xã hội Việt Nam.
|
BỘ TÀI CHÍNH |
CỘNG HÒA XÃ HỘI
CHỦ NGHĨA VIỆT NAM |
|
Số: 504/QĐ-BHXH |
Hà Nội, ngày 25 tháng 6 năm 2026 |
BAN HÀNH QUY CHẾ AN TOÀN THÔNG TIN MẠNG VÀ AN NINH MẠNG CỦA BẢO HIỂM XÃ HỘI VIỆT NAM
GIÁM ĐỐC BẢO HIỂM XÃ HỘI VIỆT NAM
Căn cứ Luật An ninh mạng ngày 10 tháng 12 năm 2025;
Căn cứ Luật Bảo vệ bí mật nhà nước ngày 10 tháng 12 năm 2025;
Căn cứ Luật Bảo vệ dữ liệu cá nhân ngày 26 tháng 6 năm 2025;
Căn cứ Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;
Căn cứ Nghị định số 142/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về ngăn chặn xung đột thông tin trên mạng;
Căn cứ Nghị định số 356/2025/NĐ-CP ngày 31 tháng 12 năm 2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;
Căn cứ Quyết định số 2405/QĐ-BTC ngày 08 tháng 7 năm 2025 của Bộ trưởng Bộ Tài chính ban hành Quy chế An toàn thông tin mạng và An ninh mạng của Bộ Tài chính;
Căn cứ Quyết định số 3330/QĐ-BTC ngày 02 tháng 10 năm 2025 của Bộ trưởng Bộ Tài chính về việc ủy quyền thực hiện trách nhiệm của chủ quản hệ thống thông tin (cấp độ 1, 2, 3) và phê duyệt hồ sơ để xuất cấp độ hệ thống thông tin (cấp độ 3) do Bộ Tài chính là chủ quản;
Căn cứ Quyết định số 3179/QĐ-BTC ngày 12 tháng 9 năm 2025 của Bộ trưởng Bộ Tài chính quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Bảo hiểm xã hội Việt Nam thuộc Bộ Tài chính;
Căn cứ Quyết định số 05/2017/QĐ-TTg ngày 16 tháng 3 năm 2017 của Thủ tướng Chính phủ ban hành Quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia;
Theo đề nghị của Giám đốc Trung tâm Công nghệ thông tin và Chuyển đổi số.
QUYẾT ĐỊNH:
|
|
KT. GIÁM ĐỐC |
AN
TOÀN THÔNG TIN MẠNG VÀ AN NINH MẠNG CỦA BẢO HIỂM XÃ HỘI VIỆT NAM
(Kèm theo Quyết định số 504/QĐ-BHXH ngày 25 tháng 6 năm 2026 của Bảo hiểm xã
hội Việt Nam)
Điều 1. Phạm vi điều chỉnh và đối tượng áp dụng
1. Quy chế này quy định về công tác bảo đảm an toàn thông tin mạng và an ninh mạng tại Bảo hiểm xã hội Việt Nam.
2. Quy chế này áp dụng đối với các đơn vị thuộc và trực thuộc Bảo hiểm xã hội Việt Nam; viên chức, người lao động; các tổ chức, cá nhân có tham gia hoặc có liên quan đến công tác bảo đảm an toàn thông tin mạng và an ninh mạng của Bảo hiểm xã hội Việt Nam.
1. An toàn an ninh mạng là viết tắt của an toàn thông tin mạng và an ninh mạng.
2. Người dùng là cá nhân được cấp quyền truy cập, khai thác, sử dụng các hệ thống thông tin, ứng dụng, cơ sở dữ liệu hoặc dịch vụ công nghệ thông tin do Bảo hiểm xã hội Việt Nam quản lý, cung cấp.
3. Chủ quản hệ thống thông tin là Bảo hiểm xã hội Việt Nam (được Bộ Tài chính ủy quyền thực hiện trách nhiệm chủ quản hệ thống thông tin (cấp độ 1, 2, 3) và phê duyệt hồ sơ đề xuất cấp độ hệ thống thông tin (cấp độ 3) do Bộ Tài chính là chủ quản) hoặc cấp có thẩm quyền phê duyệt thuê dịch vụ công nghệ thông tin, quyết định đầu tư dự án xây dựng, thiết lập, nâng cấp, mở rộng hệ thống thông tin.
4. Đơn vị vận hành hệ thống thông tin do Bảo hiểm xã hội Việt Nam là chủ quản (viết tắt là Đơn vị vận hành hệ thống thông tin): Trung tâm Công nghệ thông tin và Chuyển đổi số, đơn vị sự nghiệp công lập trực thuộc hoặc các đơn vị đáp ứng một trong các điều kiện sau:
a) Là đơn vị được Bảo hiểm xã hội Việt Nam giao nhiệm vụ quản lý, vận hành hệ thống thông tin.
b) Là chủ đầu tư dự án đối với các dự án đầu tư, chủ trì thuê dịch vụ công nghệ thông tin.
5. Đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin là Trung tâm Công nghệ thông tin và Chuyển đổi số hoặc đơn vị được chủ quản hệ thống thông tin giao thực hiện chức năng tham mưu, quản lý và tổ chức triển khai công tác bảo đảm an toàn an ninh mạng đối với hệ thống thông tin thuộc phạm vi quản lý.
6. Mật khẩu mạnh là mật khẩu đáp ứng đồng thời các yêu cầu: Có tối thiểu 12 ký tự; Chứa ít nhất 03 trong 04 nhóm ký tự: Chữ cái viết hoa (A-Z), chữ cái viết thường (a-z), chữ số (0-9), ký tự đặc biệt (` ~ ! @ # $ % ^ & * ( ) _ + = { } [ ] \ | : ; “ ‘ < > . , ? /); Không chứa tên tài khoản, tên người dùng, năm sinh người dùng; Không sử dụng các chuỗi ký tự liên tiếp, lặp lại hoặc dễ đoán (123456, abcdef, password, qwerty hoặc các biến thể tương tự).
Điều 3. Nguyên tắc bảo đảm an toàn an ninh mạng
1. Tuân thủ quy định của pháp luật về an toàn an ninh mạng, bảo vệ bí mật nhà nước, bảo vệ dữ liệu cá nhân, giao dịch điện tử và các quy định pháp luật có liên quan. Trường hợp có văn bản quy phạm pháp luật hoặc quyết định của cơ quan có thẩm quyền được sửa đổi, bổ sung hoặc thay thế thì thực hiện theo quy định đó.
2. Công tác bảo đảm an toàn an ninh mạng phải được thực hiện đồng bộ, xuyên suốt trong quá trình đầu tư, xây dựng, phát triển, quản lý, vận hành, khai thác và sử dụng hệ thống thông tin; gắn với hoạt động ứng dụng công nghệ thông tin, giao dịch điện tử, chuyển đổi số của Bảo hiểm xã hội Việt Nam, bảo đảm hệ thống thông tin hoạt động an toàn, ổn định, liên tục và phục vụ hiệu quả công tác chuyên môn, nghiệp vụ.
3. Mỗi viên chức, người lao động và các tổ chức, cá nhân có liên quan có trách nhiệm chủ động thực hiện, tuân thủ các quy định, quy trình, biện pháp bảo đảm an toàn an ninh mạng; chịu trách nhiệm trước pháp luật và trước Bảo hiểm xã hội Việt Nam đối với các hành vi vi phạm thuộc phạm vi trách nhiệm được giao.
4. Công tác bảo đảm an toàn an ninh mạng là trách nhiệm của mọi tổ chức, cá nhân tham gia quản lý, vận hành, khai thác và sử dụng hệ thống thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam.
Điều 4. Xác định cấp độ an toàn hệ thống thông tin do Bảo hiểm xã hội Việt Nam làm chủ quản
1. Đối với hệ thống thông tin đề xuất cấp độ 1, cấp độ 2
a) Đơn vị vận hành hệ thống thông tin chủ trì xây dựng hồ sơ đề xuất cấp độ.
b) Hồ sơ đề xuất cấp độ được gửi Trung tâm Công nghệ thông tin và Chuyển đổi số để tổ chức thẩm định.
c) Đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin phê duyệt đề xuất cấp độ theo quy định.
2. Đối với hệ thống thông tin đề xuất cấp độ 3
a) Đơn vị vận hành hệ thống thông tin chủ trì xây dựng hồ sơ đề xuất cấp độ.
b) Trường hợp đơn vị vận hành hệ thống thông tin không phải Trung tâm Công nghệ thông tin và Chuyển đổi số thì gửi hồ sơ đề xuất cấp độ đến Trung tâm Công nghệ thông tin và Chuyển đổi số để tổ chức thẩm định.
Trường hợp Trung tâm Công nghệ thông tin và Chuyển đổi số là đơn vị vận hành hệ thống thông tin thì Trung tâm Công nghệ thông tin và Chuyển đổi số trình Bảo hiểm xã hội Việt Nam thành lập Hội đồng thẩm định độc lập theo quy định của pháp luật và Quyết định số 3330/QĐ-BTC của Bộ Tài chính.
c) Chủ quản hệ thống thông tin phê duyệt hồ sơ đề xuất cấp độ theo quy định của pháp luật và phân cấp, ủy quyền của Bộ Tài chính.
3. Đối với hệ thống thông tin đề xuất cấp độ 4, cấp độ 5
a) Đơn vị vận hành hệ thống thông tin chủ trì xây dựng hồ sơ đề xuất cấp độ.
b) Trung tâm Công nghệ thông tin và Chuyển đổi số trình Bảo hiểm xã hội Việt Nam lấy ý kiến chuyên môn của Cục Công nghệ thông tin và Chuyển đổi số - Bộ Tài chính đối với hồ sơ đề xuất cấp độ trước khi trình cấp có thẩm quyền thẩm định.
c) Bảo hiểm xã hội Việt Nam trình Bộ Tài chính gửi Bộ Công an thẩm định hồ sơ đề xuất cấp độ theo quy định của pháp luật.
d) Bộ Tài chính phê duyệt hồ sơ đề xuất cấp độ 4 và phê duyệt phương án bảo đảm an toàn hệ thống thông tin đối với hệ thống thông tin cấp độ 5 theo quy định của pháp luật.
4. Đơn vị vận hành hệ thống thông tin có trách nhiệm định kỳ rà soát hồ sơ đề xuất cấp độ và phương án bảo đảm an toàn hệ thống thông tin theo cấp độ; trường hợp có thay đổi về chức năng, phạm vi cung cấp dịch vụ, quy mô xử lý dữ liệu, kiến trúc hệ thống hoặc các yếu tố làm thay đổi mức độ ảnh hưởng của hệ thống thông tin thì phải kịp thời cập nhật hồ sơ đề xuất cấp độ và phương án bảo đảm an toàn hệ thống thông tin theo quy định.
Điều 5. Xác định hệ thống thông tin quan trọng về an ninh quốc gia
Trung tâm Công nghệ thông tin và Chuyển đổi số có trách nhiệm rà soát, đánh giá các hệ thống thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam; đối với các hệ thống đáp ứng tiêu chí hệ thống thông tin quan trọng về an ninh quốc gia theo quy định của pháp luật, chủ trì lập hồ sơ, phối hợp các đơn vị liên quan hoàn thiện hồ sơ báo cáo Bảo hiểm xã hội Việt Nam trình Bộ Tài chính xem xét, báo cáo cơ quan có thẩm quyền theo quy định.
QUY ĐỊNH VỀ AN TOÀN AN NINH MẠNG
Điều 6. Quy định về tài khoản truy cập hệ thống thông tin
1. Tài khoản truy cập (sau đây gọi tắt là tài khoản) là tập hợp thông tin định danh và xác thực người dùng, bao gồm tên đăng nhập, mật khẩu và/hoặc các phương thức xác thực khác, được sử dụng để truy cập, khai thác, quản trị hệ thống thông tin hoặc thiết bị công nghệ thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam. Tài khoản bao gồm các loại sau:
a) Tài khoản định danh cá nhân là tài khoản được cấp cho một cá nhân duy nhất, gắn với thông tin định danh của người dùng và các quyền truy cập được cấp theo chức năng, nhiệm vụ.
b) Tài khoản hệ thống là tài khoản được thiết lập để thực hiện một nhiệm vụ hoặc chức năng nghiệp vụ cụ thể trên hệ thống thông tin, như: văn thư, biên tập nội dung hoặc các nhiệm vụ chuyên môn khác...
c) Tài khoản quản trị là tài khoản được cấp quyền cài đặt, cấu hình, quản trị và vận hành hệ thống thông tin, bao gồm: quản trị nội dung, quản trị ứng dụng, quản trị cơ sở dữ liệu, quản trị hệ điều hành, quản trị mạng và quản trị thiết bị.
2. Trung tâm Công nghệ thông tin và Chuyển đổi số thực hiện cấp, điều chỉnh, thu hồi tài khoản định danh cá nhân theo đề nghị của đơn vị quản lý người dùng. Thời gian thực hiện cấp mới, điều chỉnh hoặc thu hồi tài khoản không quá 03 ngày làm việc kể từ thời điểm nhận được đề nghị hợp lệ của đơn vị quản lý người dùng. Khi cá nhân được bổ nhiệm, điều động, chuyển công tác, nghỉ hưu, thôi việc hoặc không còn nhu cầu sử dụng hệ thống thông tin, đơn vị quản lý người dùng có trách nhiệm kịp thời đề nghị điều chỉnh hoặc thu hồi quyền truy cập theo quy định. Trường hợp cần duy trì tài khoản sau thời điểm cá nhân thay đổi vị trí công tác hoặc thôi việc, đơn vị quản lý người dùng phải có văn bản đề nghị, nêu rõ lý do, phạm vi quyền truy cập và thời gian duy trì.
3. Trung tâm Công nghệ thông tin và Chuyển đổi số hoặc đơn vị vận hành hệ thống thông tin thực hiện cấp, điều chỉnh, thu hồi tài khoản nhiệm vụ theo đề nghị của đơn vị quản lý người dùng. Khi thay đổi người được giao thực hiện nhiệm vụ, đơn vị quản lý người dùng có trách nhiệm đề nghị thay đổi thông tin quản lý hoặc thực hiện đổi mật khẩu, bảo đảm tài khoản chỉ được sử dụng bởi người được phân công nhiệm vụ. Khi kết thúc nhiệm vụ hoặc không còn nhu cầu sử dụng, người được giao quản lý tài khoản phải bàn giao lại tài khoản cho đơn vị quản lý người dùng để thực hiện thu hồi, khóa hoặc điều chỉnh theo quy định.
4. Tài khoản quản trị chỉ được cấp cho cá nhân hoặc tổ chức được giao nhiệm vụ quản trị hệ thống thông tin. Trung tâm Công nghệ thông tin và Chuyển đổi số phải quản lý tối thiểu một (01) tài khoản quản trị cao nhất đối với các hệ thống thông tin, máy chủ và thiết bị công nghệ thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam. Trường hợp thuê dịch vụ quản trị, vận hành hệ thống thông tin, đơn vị chủ trì thuê dịch vụ có trách nhiệm quản lý việc cấp và sử dụng tài khoản quản trị của đơn vị cung cấp dịch vụ; lập, cập nhật danh sách cá nhân được sử dụng tài khoản quản trị; ghi nhận thời gian cấp, sử dụng, thay đổi và thu hồi quyền truy cập.
5. Tài khoản phải được thiết lập mật khẩu mạnh theo quy định. Mật khẩu phải được giữ bí mật, không được chia sẻ cho người khác sử dụng; phải được thay đổi ngay khi có dấu hiệu lộ lọt hoặc khi thay đổi người quản lý, sử dụng tài khoản. Mật khẩu phải được thay đổi tối thiểu một lần trong thời gian 06 tháng. Khuyến nghị sử dụng mật khẩu có độ dài từ 14 ký tự trở lên đối với tài khoản quản trị.
6. Cá nhân được cấp tài khoản chịu trách nhiệm quản lý, sử dụng tài khoản được giao và chịu trách nhiệm đối với các hoạt động phát sinh từ tài khoản của mình được ghi nhận trên hệ thống thông tin, thiết bị công nghệ thông tin và hệ thống giám sát an toàn thông tin, an ninh mạng.
7. Trung tâm Công nghệ thông tin và Chuyển đổi số, đơn vị vận hành hệ thống thông tin có trách nhiệm định kỳ rà soát tài khoản đang hoạt động; phát hiện, khóa hoặc thu hồi các tài khoản không còn nhu cầu sử dụng, tài khoản không hợp lệ hoặc tài khoản có dấu hiệu mất an toàn thông tin.
8. Các hệ thống thông tin cung cấp dịch vụ trên môi trường Internet có chức năng xác thực người dùng phải áp dụng cơ chế xác thực đa yếu tố (như mật khẩu sử dụng một lần, xác thực sinh trắc học, thiết bị...) đối với các đối tượng, chức năng hoặc mức độ truy cập.
Điều 7. Quy định về máy tính và thiết bị đầu cuối của người dùng
1. Máy tính do cơ quan trang bị kết nối vào mạng nội bộ phải đáp ứng các yêu cầu sau:
a) Được đặt tên theo quy tắc thống nhất do Trung tâm Công nghệ thông tin và Chuyển đổi số hướng dẫn.
b) Sử dụng hệ điều hành có bản quyền hoặc được phép sử dụng; chỉ cài đặt các phần mềm phục vụ công việc, phần mềm được cấp phép hoặc được cơ quan có thẩm quyền đánh giá, xác nhận an toàn; cài đặt và duy trì hoạt động của các phần mềm phòng chống mã độc, quản lý, giám sát và bảo vệ thiết bị đầu cuối do Bảo hiểm xã hội Việt Nam triển khai.
c) Không tự ý kết nối với các mạng hoặc hệ thống thông tin không thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam khi đang kết nối mạng nội bộ; việc sử dụng kết nối không dây, mạng dữ liệu di động và các hình thức kết nối khác phải tuân thủ quy định của Bảo hiểm xã hội Việt Nam.
d) Chấp hành việc cài đặt các phần mềm quản lý, giám sát, bảo vệ thiết bị đầu cuối và các biện pháp bảo đảm an toàn thông tin theo yêu cầu của Trung tâm Công nghệ thông tin và Chuyển đổi số hoặc đơn vị vận hành hệ thống thông tin.
đ) Trước khi kết nối vào mạng nội bộ phải được kiểm tra, đánh giá đáp ứng các yêu cầu về an toàn thông tin; đơn vị vận hành hệ thống thông tin có quyền từ chối hoặc ngắt kết nối đối với các thiết bị không đáp ứng yêu cầu.
e) Khi điều chuyển, thu hồi, thanh lý, bảo hành, bảo dưỡng hoặc sửa chữa thiết bị phải thực hiện sao lưu, xóa dữ liệu theo quy trình của Bảo hiểm xã hội Việt Nam; trường hợp cần thiết phải tháo thiết bị lưu trữ hoặc áp dụng các biện pháp bảo vệ dữ liệu.
2. Máy tính sử dụng để soạn thảo, lưu trữ bí mật nhà nước phải thực hiện theo quy định của pháp luật về bảo vệ bí mật nhà nước, hướng dẫn của Ban Cơ yếu Chính phủ và các quy định của Bảo hiểm xã hội Việt Nam.
a) Sử dụng hệ điều hành có bản quyền hoặc được phép sử dụng. Máy tính không được kết nối với Internet, mạng nội bộ, mạng không dây, mạng viễn thông hoặc các hệ thống thông tin khác, trừ trường hợp được phép theo quy định của pháp luật và hướng dẫn của Ban Cơ yếu Chính phủ. Không sử dụng thiết bị lưu trữ ngoài không do Ban Cơ yếu Chính phủ cung cấp, trừ trường hợp phục vụ cải đặt hệ điều hành, sửa chữa, nâng cấp phần mềm, bảo trì thiết bị hoặc phục vụ công tác kiểm tra, thanh tra theo quy định.
b) Chỉ cấp quyền sử dụng cho cá nhân hoặc bộ phận được giao nhiệm vụ soạn thảo, lưu trữ bí mật nhà nước; việc quản lý, sử dụng tài khoản truy cập phải bảo đảm xác định được trách nhiệm của người dùng.
c) Trường hợp thiết bị lưu trữ hoặc ổ cứng bị lỗi cần mang ra ngoài cơ quan để bảo hành, sửa chữa hoặc thay thế, đơn vị sử dụng phải thực hiện các biện pháp xóa dữ liệu vĩnh viễn hoặc biện pháp bảo vệ dữ liệu theo quy định trước khi đưa thiết bị ra khỏi cơ quan và lập biên bản ghi nhận việc xử lý dữ liệu. Việc sửa chữa, bảo trì, nâng cấp phần mềm hoặc phần cứng sau khi thiết bị đã đưa vào sử dụng, nếu yêu cầu tiếp cận dữ liệu lưu trữ trên thiết bị, phải được thực hiện dưới sự giám sát trực tiếp của đơn vị sử dụng, bảo đảm không để lộ lọt bí mật nhà nước, dữ liệu hoặc tài liệu lưu trữ; đồng thời phải lập biên bản giữa các bên liên quan.
d) Đơn vị được giao quản lý, sử dụng máy tính soạn thảo, lưu trữ bí mật nhà nước chịu trách nhiệm tổ chức quản lý, giám sát việc sử dụng thiết bị, bảo đảm tuân thủ đầy đủ các quy định về bảo vệ bí mật nhà nước và các quy định tại khoản này.
3. Máy tính xách tay do cơ quan trang bị khi sử dụng ngoài trụ sở phải được cài đặt đầy đủ các bản vá bảo mật, phần mềm phòng chống mã độc và các giải pháp bảo vệ thiết bị đầu cuối; việc truy cập hệ thống thông tin của Bảo hiểm xã hội Việt Nam từ bên ngoài mạng nội bộ phải sử dụng các phương thức kết nối được Bảo hiểm xã hội Việt Nam cho phép.
4. Máy tính bảng, thiết bị di động và các thiết bị đầu cuối thông minh do cơ quan trang bị phải sử dụng hệ điều hành được nhà sản xuất hỗ trợ cập nhật bảo mật; chỉ cài đặt các ứng dụng phục vụ công việc và các phần mềm bảo đảm an toàn thông tin theo quy định.
5. Máy tính, thiết bị do cá nhân tự trang bị khi kết nối mạng nội bộ hoặc truy cập hệ thống thông tin của Bảo hiểm xã hội Việt Nam phải đáp ứng các yêu cầu về an toàn thông tin do Bảo hiểm xã hội Việt Nam quy định; chịu sự kiểm tra của đơn vị vận hành hệ thống thông tin trước khi được cấp quyền truy cập.
a) Cài đặt đầy đủ các bản vá bảo mật của hệ điều hành và phần mềm; cài đặt phần mềm phòng, chống mã độc và duy trì cập nhật cơ sở dữ liệu nhận diện mã độc mới nhất theo khuyến nghị của nhà sản xuất.
b) Không cài đặt, sử dụng các phần mềm, công cụ hoặc dịch vụ có khả năng gây mất an toàn thông tin, an ninh mạng hoặc ảnh hưởng đến hoạt động của hệ thống thông tin, bao gồm các công cụ dò quét, khai thác lỗ hổng, giả lập tấn công, phát tán mã độc hoặc các công cụ tương tự.
c) Trước khi kết nối vào mạng nội bộ của các đơn vị thuộc Bảo hiểm xã hội Việt Nam, người dùng phải đăng ký với đơn vị vận hành hệ thống thông tin để thực hiện kiểm tra, đánh giá các điều kiện bảo đảm an toàn thông tin; đồng thời phải ngắt các kết nối tới các hệ thống mạng khác và không sử dụng thiết bị như một điểm phát sóng hoặc trung gian kết nối mạng trái phép.
d) Không sử dụng các dịch vụ lưu trữ đám mây cá nhân, thư điện tử cá nhân hoặc các ứng dụng, nền tảng không được Bảo hiểm xã hội Việt Nam cho phép để lưu trữ, đồng bộ, chia sẻ dữ liệu, tài liệu hoặc thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam.
Điều 8. Quy định đối với người dùng
1. Quản lý, bảo vệ và sử dụng an toàn các tài khoản được cấp theo quy định của Quy chế này; không chia sẻ, cho mượn hoặc sử dụng tài khoản của người khác dưới bất kỳ hình thức nào. Trường hợp phát hiện hoặc nghi ngờ tài khoản, mật khẩu bị lộ, bị chiếm quyền sử dụng hoặc có dấu hiệu mất an toàn thông tin, người dùng phải kịp thời thay đổi mật khẩu, thực hiện kiểm tra an toàn đối với các thiết bị đã sử dụng để truy cập hệ thống thông tin của Bảo hiểm xã hội Việt Nam và thông báo ngay cho bộ phận hỗ trợ kỹ thuật hoặc đơn vị vận hành hệ thống thông tin để được xử lý.
2. Sử dụng tài khoản định danh cá nhân khi đăng nhập vào máy tính, hệ thống thông tin và các dịch vụ công nghệ thông tin của Bảo hiểm xã hội Việt Nam theo quy định.
3. Quản lý, khai thác và sử dụng dữ liệu, tài liệu được lưu trữ trên hệ thống dùng chung đúng mục đích, đúng phạm vi công việc; không lưu trữ thông tin không liên quan đến hoạt động của cơ quan; thực hiện phân quyền chia sẻ và xóa dữ liệu không còn giá trị sử dụng theo quy định.
4. Thực hiện các biện pháp phòng chống thư rác, thư giả mạo, thư điện tử có chứa mã độc hoặc có dấu hiệu lừa đảo; không truy cập các đường dẫn, mở tệp đính kèm hoặc thực hiện các yêu cầu từ thư điện tử không rõ nguồn gốc. Không sử dụng thư điện tử công vụ để đăng ký các dịch vụ, ứng dụng không phục vụ công việc; thực hiện mã hóa hoặc đặt mật khẩu bảo vệ đối với các tệp tin chứa thông tin nhạy cảm trước khi gửi qua thư điện tử.
5. Kiểm tra, quét mã độc đối với các thiết bị lưu trữ ngoài trước khi sử dụng; thực hiện các biện pháp bảo vệ thông tin, dữ liệu của cơ quan khi lưu trữ trên thiết bị lưu trữ ngoài; xóa dữ liệu của cơ quan sau khi hoàn thành công việc hoặc khi không còn nhu cầu sử dụng.
6. Thực hiện việc soạn thảo, lưu trữ tài liệu, văn bản chứa bí mật nhà nước trên các thiết bị được trang bị riêng theo quy định; không lưu trữ, sao chép hoặc truyền đưa bí mật nhà nước trên các thiết bị, phương tiện hoặc môi trường không được phép theo quy định của pháp luật.
7. Đối với bí mật công tác, dữ liệu cá nhân và các thông tin thuộc phạm vi được giao xử lý, người dùng phải áp dụng các biện pháp bảo vệ; thực hiện mã hóa dữ liệu khi cần thiết và giới hạn quyền truy cập đối với các cá nhân có trách nhiệm liên quan.
8. Khóa màn hình hoặc khóa phiên làm việc khi rời khỏi vị trí làm việc; tắt hoặc đăng xuất khỏi thiết bị khi kết thúc thời gian làm việc theo quy định.
9. Thường xuyên cập nhật các bản vá bảo mật, thực hiện quét mã độc đối với máy tính xách tay hoặc thiết bị do cá nhân sử dụng để truy cập các hệ thống thông tin của Bảo hiểm xã hội Việt Nam từ môi trường Internet.
10. Phối hợp với Trung tâm Công nghệ thông tin và Chuyển đổi số, đơn vị vận hành hệ thống thông tin và các bộ phận có liên quan trong việc triển khai các biện pháp bảo đảm an toàn an ninh mạng; xử lý mã độc, điều tra, xác minh và khắc phục các sự cố an toàn thông tin có liên quan đến tài khoản hoặc thiết bị được giao sử dụng.
11. Không tự ý thay đổi cấu hình, vô hiệu hóa, gỡ bỏ hoặc làm ảnh hưởng đến hoạt động của các phần mềm, giải pháp và biện pháp bảo đảm an toàn thông tin được cài đặt trên thiết bị phục vụ công việc.
12. Kịp thời báo cáo người quản lý trực tiếp, đơn vị vận hành hệ thống thông tin hoặc bộ phận chuyên trách an toàn thông tin khi phát hiện sự cố, dấu hiệu mất an toàn thông tin, hành vi vi phạm hoặc nguy cơ ảnh hưởng đến hệ thống thông tin của Bảo hiểm xã hội Việt Nam.
Điều 9. Quy định về hệ thống thông tin
1. Phần mềm ứng dụng khi triển khai phải đáp ứng các yêu cầu sau:
a) Được thiết kế, phát triển, kiểm thử và triển khai theo quy trình phát triển phần mềm an toàn; thực hiện rà soát, đánh giá an toàn thông tin trong quá trình phát triển, nâng cấp và vận hành theo hướng dẫn của cơ quan có thẩm quyền.
b) Sử dụng hệ điều hành, hệ quản trị cơ sở dữ liệu, nền tảng, thư viện và công cụ phát triển được phép sử dụng theo quy định của pháp luật; được nhà sản xuất hỗ trợ cập nhật bản vá bảo mật trong thời gian vận hành.
c) Được thiết kế phù hợp với kiến trúc, mô hình phân vùng mạng và phương án bảo đảm an toàn hệ thống thông tin đã được phê duyệt; các ứng dụng cung cấp dịch vụ trên môi trường mạng phải áp dụng các biện pháp bảo vệ truy cập (tường lửa ứng dụng web, SSL), mã hóa dữ liệu truyền nhận và kiểm soát truy cập quản trị. Địa chỉ truy cập phục vụ quản trị hệ thống, quản trị ứng dụng phải được tách biệt với địa chỉ truy cập dành cho người dùng; không được cho phép truy cập trực tiếp từ Internet, trừ trường hợp có biện pháp bảo vệ, kiểm soát truy cập đặc thù được cấp có thẩm quyền phê duyệt.
d) Có khả năng tích hợp với hệ thống quản lý định danh và xác thực tập trung của Bảo hiểm xã hội Việt Nam hoặc các hệ thống xác thực được cơ quan có thẩm quyền cho phép sử dụng. Đối với các ứng dụng có chức năng xác thực người dùng, phải hỗ trợ quản lý tài khoản, mật khẩu, xác thực, phân quyền truy cập và quản lý phiên làm việc; bảo đảm áp dụng các chính sách về mật khẩu, khóa tài khoản, xác thực đa yếu tố (nếu có), bảo vệ thông tin xác thực, giới hạn đăng nhập sai và thời gian hiệu lực của phiên làm việc. Thông tin xác thực của người dùng phải được bảo vệ bằng các cơ chế mã hóa hoặc biện pháp bảo mật theo quy định của pháp luật và tiêu chuẩn kỹ thuật.
đ) Có cơ chế kiểm tra, xác thực, kiểm soát tính hợp lệ của dữ liệu đầu vào, đầu ra; phát hiện, ngăn chặn hoặc giảm thiểu nguy cơ khai thác lỗ hổng bảo mật đối với ứng dụng.
e) Có chức năng ghi nhận nhật ký hoạt động của người dùng, quản trị viên và các sự kiện an toàn thông tin; hỗ trợ kết nối, chia sẻ nhật ký phục vụ công tác giám sát tập trung (tối thiểu 03 tháng).
g) Có phương án sao lưu, phục hồi dữ liệu và dự phòng sự cố phù hợp với yêu cầu hoạt động của hệ thống thông tin; dữ liệu sao lưu phải được lưu trữ trên hạ tầng hoặc hệ thống lưu trữ độc lập với hệ thống đang khai thác.
h) Đáp ứng các yêu cầu bảo đảm an toàn hệ thống thông tin theo cấp độ được phê duyệt. Trường hợp có thay đổi kiến trúc, chức năng, phạm vi xử lý dữ liệu hoặc thành phần kỹ thuật của hệ thống thì phải rà soát, đánh giá lại mức độ đáp ứng các yêu cầu an toàn thông tin theo quy định.
i) Hệ thống thông tin có xử lý, lưu trữ hoặc truyền đưa bí mật nhà nước phải áp dụng các biện pháp bảo vệ theo quy định của pháp luật và hướng dẫn của Ban Cơ yếu Chính phủ.
2. Dữ liệu xử lý trong hệ thống thông tin
a) Việc thu thập, xử lý, lưu trữ, chia sẻ và khai thác dữ liệu cá nhân phải tuân thủ quy định của pháp luật về bảo vệ dữ liệu cá nhân và các quy định có liên quan; chỉ thu thập dữ liệu phục vụ mục đích nghiệp vụ, công vụ được giao và thực hiện các biện pháp bảo vệ.
b) Bí mật nhà nước được lưu trữ, xử lý hoặc truyền đưa trên môi trường mạng phải được bảo vệ bằng các giải pháp mật mã, mã hóa theo quy định của pháp luật và hướng dẫn của Ban Cơ yếu Chính phủ.
c) Dữ liệu điện tử, hồ sơ điện tử, giao dịch điện tử và các thông tin yêu cầu bảo đảm tính xác thực, toàn vẹn, chống chối bỏ phải áp dụng chữ ký số hoặc các biện pháp xác thực theo quy định của pháp luật.
3. Máy chủ và nền tảng hạ tầng phục vụ hệ thống thông tin
a) Máy chủ phải được quản lý, đặt tên, phân loại và quản trị thống nhất theo quy định kỹ thuật do Trung tâm Công nghệ thông tin và Chuyển đổi số thực hiện.
b) Sử dụng hệ điều hành, phần mềm hệ thống và các thành phần nền tảng được nhà sản xuất hỗ trợ cập nhật bản vá bảo mật; chỉ cài đặt các dịch vụ, phần mềm phục vụ hoạt động của hệ thống thông tin và có nguồn gốc rõ ràng, an toàn. Máy chủ phải được áp dụng các biện pháp quản lý cấu hình, phòng chống mã độc, giám sát an toàn thông tin và cập nhật bản vá bảo mật; được kết nối với các hệ thống quản lý, giám sát tập trung, phòng chống mã độc, quản lý bản vá và các hệ thống bảo đảm an toàn thông tin khác do Bảo hiểm xã hội Việt Nam triển khai.
c) Thực hiện các biện pháp kiểm soát truy cập, quản lý tài khoản quản trị, xác thực người dùng, bảo vệ cấu hình hệ thống và quản lý phiên làm việc (tối đa 60 phút).
d) Cấu hình ghi nhận và gửi nhật ký hệ thống phục vụ công tác giám sát, phát hiện, điều tra và xử lý sự cố an toàn thông tin (tối thiểu 03 tháng).
đ) Không kết nối trực tiếp với các mạng hoặc thiết bị không thuộc phạm vi quản lý được phép; việc kết nối phải tuân thủ phương án thiết kế và vận hành hệ thống đã được phê duyệt.
e) Thực hiện rà soát, đánh giá, cập nhật bản vá bảo mật và xử lý lỗ hổng theo quy định quản lý lỗ hổng, điểm yếu an toàn thông tin của Bảo hiểm xã hội Việt Nam (trong vòng 07 ngày làm việc).
g) Không lưu trữ mã nguồn, tài liệu thiết kế, tài liệu quản trị hoặc các thông tin kỹ thuật mật của hệ thống trên các máy chủ không có chức năng hoặc không được phân quyền quản lý các tài liệu này.
4. Hệ thống thông tin phải được triển khai, cấu hình, vận hành và duy trì hoạt động phù hợp với phương án bảo đảm an toàn hệ thống thông tin đã được phê duyệt; được kiểm tra, đánh giá an toàn thông tin trước khi đưa vào sử dụng và định kỳ trong quá trình vận hành theo quy định của pháp luật.
5. Hồ sơ, tài liệu kỹ thuật của hệ thống thông tin phải được cập nhật trong suốt quá trình vận hành, phản ánh đúng hiện trạng hệ thống; được quản lý, lưu trữ, bảo vệ và chỉ cung cấp cho các tổ chức, cá nhân có thẩm quyền hoặc được giao nhiệm vụ liên quan đến hệ thống thông tin.
Điều 10. Quy định về hệ thống mạng nội bộ
1. Hệ thống mạng nội bộ của các đơn vị thuộc Bảo hiểm xã hội Việt Nam phải được thiết kế, phân vùng và quản lý theo chức năng sử dụng, bảo đảm tách biệt giữa các vùng mạng người dùng, vùng mạng máy chủ, vùng mạng quản trị, vùng mạng cung cấp dịch vụ, vùng mạng kết nối Internet, vùng mạng kết nối với các cơ quan, tổ chức bên ngoài và các vùng mạng khác theo yêu cầu vận hành thực tế. Việc kiểm soát truy cập giữa các vùng mạng phải được thực hiện thông qua các thiết bị (tường lửa mạng) hoặc giải pháp bảo mật; chỉ cho phép các kết nối, ứng dụng, dịch vụ phục vụ công việc và chặn các kết nối, dịch vụ không cần thiết hoặc không được phép sử dụng. Đối với các vùng mạng máy chủ và hệ thống thông tin quan trọng phải triển khai các giải pháp phòng chống mã độc, phòng chống tấn công có chủ đích và phòng chống xâm nhập trái phép để phát hiện, ngăn chặn.
2. Các kết nối phục vụ xác thực, truy cập, trao đổi dữ liệu, quản trị hệ thống, ứng dụng hoặc thiết bị công nghệ thông tin phải áp dụng các biện pháp mã hóa và bảo vệ đường truyền.
3. Các thiết bị mạng, thiết bị bảo mật và hệ thống thông tin quan trọng phải được cấu hình ghi nhận và gửi nhật ký hoạt động về hệ thống giám sát tập trung. Nhật ký hệ thống phải được lưu trữ, bảo quản và khai thác phục vụ công tác giám sát, điều tra, xử lý sự cố theo quy định (tối thiểu 03 tháng).
4. Các thiết bị mạng và thiết bị bảo mật phải được cấu hình cơ chế xác thực đối với hoạt động quản trị; việc truy cập quản trị chỉ được thực hiện từ các vùng mạng quản trị hoặc thông qua các phương thức được Bảo hiểm xã hội Việt Nam cho phép.
5. Việc truy cập quản trị hệ thống từ bên ngoài mạng nội bộ phải sử dụng các giải pháp truy cập từ xa an toàn (SSL VPN), kiểm soát truy cập mạng do Bảo hiểm xã hội Việt Nam quy định và phải áp dụng xác thực đa yếu tố đối với tài khoản quản trị.
6. Các thiết bị kết nối vào hệ thống mạng nội bộ phải được đồng bộ thời gian với hệ thống máy chủ thời gian chuẩn của Bảo hiểm xã hội Việt Nam hoặc nguồn thời gian tin cậy được Bảo hiểm xã hội Việt Nam cho phép sử dụng.
7. Thiết bị mạng, thiết bị bảo mật và các thành phần hạ tầng công nghệ thông tin phải được rà soát, cập nhật bản vá, xử lý lỗ hổng bảo mật theo mức độ rủi ro và khuyến nghị của nhà sản xuất. Hệ thống mạng nội bộ phải được kiểm tra, đánh giá an toàn an ninh mạng định kỳ tối thiểu một lần trong năm hoặc khi có yêu cầu của cơ quan có thẩm quyền.
8. Đối với hệ thống mạng không dây:
a) Phải được quản lý tập trung, áp dụng cơ chế xác thực người dùng và mã hóa.
b) Việc truy cập từ mạng không dây đến các hệ thống thông tin nội bộ hoặc Internet phải được kiểm soát thông qua các giải pháp bảo mật.
c) Thực hiện phân tách mạng không dây phục vụ công việc với mạng không dây dành cho khách hoặc các mục đích khác.
d) Đơn vị vận hành hệ thống thông tin chịu trách nhiệm tổ chức quản lý, vận hành và bảo đảm an toàn an ninh mạng đối với hệ thống mạng không dây.
9. Tài liệu thiết kế, sơ đồ mạng, cấu hình và chính sách quản lý hệ thống mạng phải được cập nhật thường xuyên, phản ánh đúng hiện trạng vận hành và được quản lý, lưu trữ.
Điều 11. Quy định về kết nối Internet
1. Việc kết nối từ mạng nội bộ của các đơn vị thuộc Bảo hiểm xã hội Việt Nam ra mạng Internet phải được kiểm soát thông qua các thiết bị, hệ thống và giải pháp bảo đảm an toàn an ninh mạng do đơn vị vận hành hệ thống thông tin triển khai; thực hiện ghi nhật ký, giám sát và áp dụng các chính sách kiểm soát truy cập theo quy định.
2. Hạ tầng kết nối Internet phục vụ cung cấp ứng dụng, dịch vụ công nghệ thông tin của Bảo hiểm xã hội Việt Nam trên môi trường Internet phải được thiết kế bảo đảm tính sẵn sàng cao, khả năng dự phòng, cân bằng tải và duy trì hoạt động liên tục; sử dụng địa chỉ IP, tên miền Internet theo quy định của cơ quan nhà nước có thẩm quyền.
3. Hạ tầng kết nối Internet phục vụ người dùng truy cập các ứng dụng, dịch vụ trên mạng Internet phải được thiết kế bảo đảm khả năng dự phòng, an toàn và đáp ứng nhu cầu khai thác, sử dụng của đơn vị.
4. Đối với máy chủ, thiết bị công nghệ thông tin và các thành phần hạ tầng kỹ thuật, chỉ thiết lập kết nối Internet hoặc cho phép giao tiếp với Internet khi phục vụ yêu cầu vận hành, cung cấp dịch vụ hoặc các mục đích công vụ được phê duyệt; thực hiện nguyên tắc cấp quyền tối thiểu và chỉ mở các kết nối cần thiết.
5. Các ứng dụng, dịch vụ công nghệ thông tin cung cấp trên môi trường Internet phải được áp dụng các biện pháp bảo vệ phù hợp theo mức độ quan trọng của hệ thống và mức độ rủi ro, bao gồm kiểm soát truy cập, giới hạn phạm vi truy cập theo địa chỉ mạng, khu vực địa lý (IP Geolocation), đối tượng sử dụng hoặc các biện pháp kỹ thuật khác.
6. Mọi kết nối từ hệ thống thông tin của Bảo hiểm xã hội Việt Nam tới mạng Internet hoặc tới hệ thống thông tin của cơ quan, tổ chức bên ngoài phải được kiểm soát, ghi nhật ký và giám sát tập trung theo quy định.
Điều 12. Quy định về sao lưu và phục hồi dữ liệu
Đơn vị vận hành hệ thống thông tin có trách nhiệm tổ chức thực hiện sao lưu dữ liệu và các thành phần kỹ thuật phục vụ khôi phục hệ thống thuộc phạm vi quản lý, bảo đảm khả năng phục hồi hoạt động khi xảy ra sự cố, bao gồm:
a) Dữ liệu nghiệp vụ, cơ sở dữ liệu, dữ liệu cấu hình ứng dụng, dữ liệu cấu hình hệ điều hành, thiết bị mạng, thiết bị bảo mật và các dữ liệu cần thiết khác phục vụ công tác vận hành, quản trị và khôi phục hệ thống thông tin;
b) Việc sao lưu dữ liệu phải được thực hiện định kỳ (ngoài giờ hành chính) hoặc ngay sau khi phát sinh thay đổi quan trọng đối với hệ thống thông tin; tần suất sao lưu được xác định theo mức độ quan trọng của hệ thống, yêu cầu nghiệp vụ và phương án bảo đảm an toàn thông tin đã được phê duyệt;
c) Dữ liệu sao lưu phải được lưu trữ trên hệ thống hoặc thiết bị lưu trữ độc lập với hệ thống đang khai thác, bảo đảm an toàn, bảo mật và khả năng phục hồi khi xảy ra sự cố;
d) Lưu giữ tối thiểu 07 phiên bản sao lưu gần nhất hoặc theo yêu cầu của phương án bảo đảm an toàn hệ thống thông tin, quy định chuyên ngành hoặc yêu cầu nghiệp vụ đối với từng hệ thống.
2. Việc khôi phục dữ liệu từ bản sao lưu được thực hiện trong các trường hợp sau:
a) Hệ thống thông tin, ứng dụng, cơ sở dữ liệu hoặc thiết bị gặp sự cố cần phục hồi hoạt động.
b) Có yêu cầu khôi phục dữ liệu hợp lệ từ đơn vị quản lý, khai thác hoặc người dùng theo thẩm quyền.
c) Phục vụ công tác kiểm tra, thanh tra, kiểm toán, điều tra, đối chiếu hoặc xác minh dữ liệu theo yêu cầu của cơ quan có thẩm quyền.
d) Các trường hợp khác theo quy định của pháp luật hoặc theo yêu cầu của cơ quan có thẩm quyền.
3. Đơn vị vận hành hệ thống thông tin định kỳ kiểm tra, thử nghiệm khả năng phục hồi dữ liệu từ các bản sao lưu để bảo đảm dữ liệu sao lưu có thể sử dụng để khôi phục hệ thống khi cần thiết. Việc thử nghiệm khôi phục dữ liệu được thực hiện tối thiểu 01 lần/năm và phải lưu giữ hồ sơ, kết quả kiểm tra, thử nghiệm phục vụ công tác quản lý, kiểm tra, đánh giá an toàn thông tin.
Điều 13. Quy định về kết thúc vận hành, khai thác hệ thống thông tin
1. Hệ thống thông tin được xem xét kết thúc vận hành, khai thác trong các trường hợp sau:
a) Đã được thay thế hoàn toàn bằng hệ thống thông tin khác;
b) Không còn nhu cầu khai thác, sử dụng hoặc không còn đáp ứng yêu cầu nghiệp vụ;
c) Không còn đáp ứng yêu cầu bảo đảm an toàn thông tin, an ninh mạng; sử dụng các thành phần phần mềm, phần cứng tồn tại lỗ hổng bảo mật nghiêm trọng mà không có khả năng khắc phục hoặc không có biện pháp giảm thiểu rủi ro;
d) Các tài sản công nghệ thông tin cấu thành hệ thống đã hết thời gian sử dụng theo quy định của pháp luật và được cấp có thẩm quyền cho phép dừng vận hành, khai thác;
đ) Các trường hợp khác theo quyết định của cơ quan có thẩm quyền.
2. Khi thực hiện kết thúc vận hành, khai thác hệ thống thông tin, đơn vị vận hành hệ thống thông tin có trách nhiệm:
a) Báo cáo chủ quản hệ thống thông tin xem xét, quyết định việc kết thúc vận hành, khai thác hệ thống thông tin;
b) Rà soát, sao lưu, lưu trữ dữ liệu, nhật ký hệ thống, hồ sơ kỹ thuật và các tài liệu liên quan theo quy định về lưu trữ, bảo vệ dữ liệu và bảo đảm hoạt động nghiệp vụ;
c) Thực hiện dừng hoạt động hệ thống thông tin; thu hồi hoặc hủy bỏ các tài nguyên công nghệ thông tin đã cấp cho hệ thống, bao gồm địa chỉ mạng, tên miền, tài khoản, cấu hình kết nối, cấu hình bảo mật và các tài nguyên liên quan khác;
d) Đối với các máy chủ, thiết bị lưu trữ hoặc thiết bị công nghệ thông tin không tiếp tục sử dụng, phải thực hiện xóa dữ liệu bảo đảm không thể phục hồi hoặc áp dụng các biện pháp xử lý dữ liệu theo quy định trước khi điều chuyển, thanh lý hoặc tiêu hủy tài sản;
đ) Cập nhật hồ sơ quản lý tài sản, hồ sơ vận hành hệ thống thông tin và các tài liệu liên quan để phản ánh việc kết thúc vận hành, khai thác hệ thống theo quy định.
3. Dữ liệu của hệ thống thông tin đã kết thúc vận hành, khai thác phải được lưu trữ, bảo quản và quản lý theo quy định của pháp luật về lưu trữ, giao dịch điện tử, bảo vệ dữ liệu cá nhân và quy định chuyên ngành của Bảo hiểm xã hội Việt Nam.
Điều 14. Bảo đảm an toàn an ninh mạng đối với hệ thống thông tin, thiết bị xử lý thông tin
1. Hệ thống thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam phải được tổ chức triển khai, quản lý, vận hành và duy trì đáp ứng các yêu cầu sau:
a) Được xác định cấp độ an toàn hệ thống thông tin và triển khai đầy đủ phương án bảo đảm an toàn hệ thống thông tin theo cấp độ theo quy định của pháp luật, quy định của Bộ Tài chính và của Bảo hiểm xã hội Việt Nam.
b) Được quản lý, kiểm tra, đánh giá và áp dụng, duy trì các biện pháp kỹ thuật để bảo đảm an toàn an ninh mạng trong suốt quá trình vận hành, khai thác, sử dụng.
c) Được giám sát, phát hiện, cảnh báo, ứng cứu, khắc phục sự cố; thực hiện chế độ báo cáo, chia sẻ thông tin và phối hợp ứng cứu sự cố theo quy định.
d) Sử dụng hệ điều hành, phần mềm và thiết bị còn được nhà sản xuất hỗ trợ cập nhật, khắc phục lỗ hổng bảo mật; cài đặt, duy trì hoạt động của các giải pháp phòng, chống mã độc và các biện pháp bảo vệ cần thiết theo quy định.
đ) Kịp thời cập nhật bản vá, xử lý lỗ hổng, điểm yếu bảo mật và thực hiện các yêu cầu bảo đảm an toàn thông tin theo hướng dẫn của cơ quan có thẩm quyền hoặc của nhà sản xuất.
e) Tài khoản quản trị, mật khẩu quản trị và các thông tin cấu hình của hệ thống, thiết bị phải được quản lý, bảo vệ theo quy định.
g) Đối với hệ thống thông tin quan trọng về an ninh quốc gia, phải đáp ứng đầy đủ các yêu cầu về bảo đảm an ninh mạng theo quy định của pháp luật.
2. Các thiết bị xử lý thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam phải được kết nối, giám sát tập trung và chịu sự kiểm tra, đánh giá về an toàn an ninh mạng theo quy định.
3. Hệ thống camera giám sát phải tuân thủ quy chuẩn kỹ thuật quốc gia về an toàn thông tin mạng cơ bản cho camera giám sát, theo Chỉ thị số 23/CT-TTg ngày 26/12/2022 của Thủ tướng Chính phủ về tăng cường công tác bảo đảm an toàn thông tin mạng, an ninh thông tin cho thiết bị camera giám sát.
Điều 15. Quản lý phòng, chống phần mềm độc hại
1. Trung tâm Công nghệ thông tin và Chuyển đổi số tổ chức triển khai, quản lý và vận hành hệ thống phòng, chống mã độc tập trung trong phạm vi Bảo hiểm xã hội Việt Nam; thực hiện giám sát, phát hiện, cảnh báo và hỗ trợ xử lý các nguy cơ lây nhiễm mã độc theo quy định.
2. Đơn vị vận hành hệ thống thông tin, các đơn vị và cá nhân sử dụng hệ thống thông tin có trách nhiệm triển khai, duy trì các biện pháp phòng, chống mã độc; phối hợp phát hiện, xử lý, khắc phục sự cố lây nhiễm mã độc và chia sẻ thông tin theo hướng dẫn của Trung tâm Công nghệ thông tin và Chuyển đổi số.
3. Trung tâm Công nghệ thông tin và Chuyển đổi số thực hiện kết nối, chia sẻ thông tin về mã độc, tình trạng lây nhiễm mã độc với hệ thống giám sát của Bộ Tài chính và cơ quan có thẩm quyền theo quy định.
Điều 16. Quản lý rủi ro, lỗ hổng và điểm yếu an toàn an ninh mạng
1. Đơn vị vận hành hệ thống thông tin có trách nhiệm tổ chức quản lý lỗ hổng, điểm yếu an toàn an ninh mạng đối với các hệ thống thông tin thuộc phạm vi quản lý, bao gồm các nội dung sau:
a) Lập, cập nhật và quản lý danh mục các tài sản công nghệ thông tin của hệ thống thông tin, bao gồm phần cứng, phần mềm, hệ điều hành, cơ sở dữ liệu, ứng dụng và các thành phần kỹ thuật liên quan.
b) Thiết lập và duy trì kênh tiếp nhận thông tin, cảnh báo về lỗ hổng, điểm yếu an toàn an ninh mạng từ cơ quan có thẩm quyền, đơn vị cung cấp sản phẩm, dịch vụ công nghệ thông tin và các nguồn thông tin tin cậy khác.
c) Tổ chức rà soát, phát hiện, đánh giá và theo dõi các lỗ hổng, điểm yếu an toàn an ninh mạng thông qua hoạt động giám sát, kiểm tra, đánh giá an toàn thông tin hoặc các biện pháp kỹ thuật.
d) Thực hiện phân loại, đánh giá mức độ ảnh hưởng và mức độ rủi ro của các lỗ hổng, điểm yếu đã phát hiện để xác định thứ tự ưu tiên xử lý.
đ) Triển khai cập nhật bản vá, cấu hình khắc phục hoặc các biện pháp giảm thiểu rủi ro đối với các lỗ hổng, điểm yếu đã được xác định; trường hợp chưa thể triển khai bản vá hoặc biện pháp khắc phục chính thức, phải áp dụng các biện pháp bảo vệ tạm thời nhằm giảm thiểu nguy cơ bị khai thác.
2. Đơn vị vận hành hệ thống thông tin có trách nhiệm tổ chức quản lý rủi ro an toàn an ninh mạng đối với hệ thống thông tin thuộc phạm vi quản lý trên cơ sở kết quả đánh giá lỗ hổng, điểm yếu, các nguy cơ mất an toàn thông tin và yêu cầu bảo vệ của hệ thống thông tin; thực hiện theo dõi, đánh giá, xử lý và cập nhật rủi ro trong suốt quá trình vận hành hệ thống.
3. Trung tâm Công nghệ thông tin và Chuyển đổi số chủ trì hướng dẫn, giám sát, đôn đốc việc thực hiện công tác quản lý rủi ro, lỗ hổng và điểm yếu an toàn an ninh mạng trong phạm vi Bảo hiểm xã hội Việt Nam.
Điều 17. Quản lý giám sát an toàn an ninh mạng
1. Trung tâm Công nghệ thông tin và Chuyển đổi số chủ trì tổ chức, triển khai công tác giám sát an toàn thông tin mạng đối với các hệ thống thông tin, hạ tầng kỹ thuật công nghệ thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam; thực hiện thu thập, phân tích, cảnh báo, phát hiện và phối hợp xử lý các nguy cơ, sự cố mất an toàn thông tin mạng theo quy định.
2. Đơn vị vận hành hệ thống thông tin có trách nhiệm phối hợp với Trung tâm Công nghệ thông tin và Chuyển đổi số trong việc triển khai các biện pháp giám sát, cung cấp thông tin, nhật ký hệ thống, dữ liệu phục vụ công tác giám sát, phát hiện, cảnh báo và xử lý sự cố an toàn thông tin mạng.
3. Công tác giám sát an toàn thông tin mạng được thực hiện trực tiếp bởi Trung tâm Công nghệ thông tin và Chuyển đổi số hoặc thông qua tổ chức, doanh nghiệp có đủ điều kiện, năng lực cung cấp dịch vụ giám sát an toàn thông tin mạng theo quy định của pháp luật và được Bảo hiểm xã hội Việt Nam phê duyệt.
4. Đối với hệ thống thông tin quan trọng về an ninh quốc gia, đơn vị vận hành hệ thống thông tin phối hợp với cơ quan có thẩm quyền triển khai công tác giám sát an ninh mạng theo quy định của pháp luật về an ninh mạng và các quy định có liên quan.
Điều 18. Kiểm tra, đánh giá an toàn an ninh mạng
1. Việc kiểm tra, đánh giá an toàn an ninh mạng được thực hiện nhằm đánh giá mức độ tuân thủ quy định của pháp luật và hiệu quả của các biện pháp bảo đảm an toàn an ninh mạng đối với hệ thống thông tin, hạ tầng kỹ thuật và thiết bị xử lý thông tin.
2. Trung tâm Công nghệ thông tin và Chuyển đổi số chủ trì tổ chức kiểm tra, đánh giá công tác an toàn an ninh mạng đối với các đơn vị thuộc Bảo hiểm xã hội Việt Nam theo kế hoạch công tác hàng năm, chương trình kiểm tra chuyên đề hoặc theo yêu cầu của cấp có thẩm quyền.
3. Các đơn vị có trách nhiệm tự kiểm tra, đánh giá định kỳ hằng năm đối với công tác an toàn an ninh mạng thuộc phạm vi quản lý; kịp thời phát hiện, khắc phục các tồn tại, hạn chế và báo cáo theo quy định.
4. Trung tâm Công nghệ thông tin và Chuyển đổi số lựa chọn tổ chức, doanh nghiệp có đủ điều kiện, năng lực theo quy định của pháp luật để thực hiện kiểm tra, đánh giá kỹ thuật an toàn an ninh mạng đối với hệ thống thông tin, bao gồm đánh giá lỗ hổng, điểm yếu bảo mật, phát hiện mã độc, thử nghiệm xâm nhập, đánh giá an toàn hệ thống thông tin theo cấp độ và các nội dung đánh giá chuyên sâu khác trình Bảo hiểm xã hội Việt Nam phê duyệt theo quy định.
5. Đối với hệ thống thông tin quan trọng về an ninh quốc gia, việc kiểm tra, đánh giá an ninh mạng được thực hiện theo quy định của pháp luật về an ninh mạng và hướng dẫn của cơ quan có thẩm quyền.
6. Tổ chức, doanh nghiệp cung cấp dịch vụ kiểm tra, đánh giá an toàn an ninh mạng phải bảo đảm tính độc lập với tổ chức, doanh nghiệp cung cấp dịch vụ giám sát an toàn an ninh mạng đối với cùng hệ thống thông tin, trừ trường hợp pháp luật có quy định khác.
7. Đơn vị vận hành hệ thống thông tin có trách nhiệm xây dựng kế hoạch, tổ chức khắc phục các tồn tại, lỗ hổng, điểm yếu và rủi ro được phát hiện trong quá trình kiểm tra, đánh giá; báo cáo kết quả khắc phục theo yêu cầu của cơ quan có thẩm quyền hoặc Trung tâm Công nghệ thông tin và Chuyển đổi số.
Điều 19. Điều phối, diễn tập và ứng phó sự cố an toàn an ninh mạng
1. Chủ quản hệ thống thông tin, đơn vị vận hành hệ thống thông tin có trách nhiệm xây dựng, phê duyệt và tổ chức triển khai kế hoạch ứng phó sự cố an toàn thông tin mạng, phương án ứng phó và khắc phục sự cố an ninh mạng đối với các hệ thống thông tin thuộc phạm vi quản lý theo quy định của pháp luật. Trường hợp nội dung vượt thẩm quyền quyết định của đơn vị, phải lấy ý kiến các đơn vị liên quan và báo cáo Lãnh đạo Bảo hiểm xã hội Việt Nam xem xét, quyết định.
2. Khi xảy ra sự cố an toàn thông tin mạng hoặc sự cố an ninh mạng, đơn vị vận hành hệ thống thông tin có trách nhiệm chủ động triển khai các biện pháp xử lý ban đầu, cô lập phạm vi ảnh hưởng, tổ chức ứng cứu, khắc phục sự cố và thực hiện chế độ báo cáo theo quy định của pháp luật. Đối với hệ thống thông tin cấp độ 4, cấp độ 5 hoặc hệ thống thông tin quan trọng về an ninh quốc gia, đơn vị vận hành hệ thống thông tin phải kịp thời báo cáo Lãnh đạo Bảo hiểm xã hội Việt Nam và phối hợp với Trung tâm Công nghệ thông tin và Chuyển đổi số, các cơ quan có thẩm quyền trong quá trình ứng phó, khắc phục sự cố.
3. Trung tâm Công nghệ thông tin và Chuyển đổi số là đầu mối tiếp nhận, tổng hợp, cảnh báo, điều phối và hỗ trợ ứng cứu sự cố an toàn thông tin mạng trong phạm vi Bảo hiểm xã hội Việt Nam; chủ trì phối hợp với các đơn vị liên quan và cơ quan có thẩm quyền trong công tác ứng phó, khắc phục sự cố theo quy định.
4. Các đơn vị có trách nhiệm theo dõi, tiếp nhận, xử lý các cảnh báo an toàn an ninh mạng; chủ động rà soát, kiểm tra hệ thống thông tin thuộc phạm vi quản lý theo các cảnh báo, hướng dẫn của cơ quan có thẩm quyền, Trung tâm Công nghệ thông tin và Chuyển đổi số và các tổ chức chuyên môn. Mỗi đơn vị phải chỉ định 01 lãnh đạo đầu mối phụ trách công tác an toàn an ninh mạng và 01 cán bộ đầu mối tiếp nhận, xử lý cảnh báo, sự cố để phối hợp với Trung tâm Công nghệ thông tin và Chuyển đổi số trong quá trình triển khai nhiệm vụ.
5. Trung tâm Công nghệ thông tin và Chuyển đổi số chủ trì tổ chức hoặc tham mưu tổ chức các hoạt động huấn luyện, diễn tập ứng cứu sự cố an toàn an ninh mạng đối với các hệ thống thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam theo kế hoạch được phê duyệt. Các đơn vị có trách nhiệm tham gia đầy đủ các cuộc diễn tập do Bảo hiểm xã hội Việt Nam hoặc cơ quan có thẩm quyền tổ chức; đồng thời chủ động tổ chức huấn luyện, diễn tập trong phạm vi quản lý theo kế hoạch ứng phó sự cố đã được phê duyệt.
6. Trung tâm Công nghệ thông tin và Chuyển đổi số là đầu mối tham gia Mạng lưới ứng cứu sự cố an toàn thông tin mạng quốc gia và thực hiện các trách nhiệm thành viên theo quy định của cơ quan có thẩm quyền. Các đơn vị thuộc Bảo hiểm xã hội Việt Nam có trách nhiệm phối hợp, cung cấp thông tin và tham gia các hoạt động ứng cứu sự cố theo yêu cầu của Trung tâm Công nghệ thông tin và Chuyển đổi số hoặc cơ quan có thẩm quyền.
7. Các sự cố an toàn an ninh mạng ảnh hưởng đến hoạt động cung cấp dịch vụ công trực tuyến, giao dịch điện tử, cơ sở dữ liệu dùng chung hoặc các hệ thống thông tin trọng yếu của Bảo hiểm xã hội Việt Nam phải được báo cáo ngay sau khi phát hiện và cập nhật liên tục tình hình xử lý cho đến khi khắc phục hoàn toàn sự cố.
Điều 20. Phòng ngừa và xử lý hành vi xâm phạm an ninh mạng
1. Chủ quản hệ thống thông tin, đơn vị vận hành hệ thống thông tin và Trung tâm Công nghệ thông tin và Chuyển đổi số có trách nhiệm triển khai các biện pháp quản lý, kỹ thuật và tổ chức nhằm phòng ngừa, phát hiện, ngăn chặn và xử lý các hành vi xâm phạm an ninh mạng đối với hệ thống thông tin thuộc phạm vi quản lý theo quy định của pháp luật.
2. Các đơn vị có trách nhiệm thường xuyên theo dõi, rà soát, phát hiện các dấu hiệu tấn công mạng, xâm nhập trái phép, chiếm quyền điều khiển hệ thống thông tin, phát tán mã độc, thu thập trái phép dữ liệu, lộ lọt bí mật nhà nước, bí mật công tác, dữ liệu cá nhân và các hành vi vi phạm pháp luật về an ninh mạng khác; kịp thời áp dụng các biện pháp ngăn chặn, khắc phục và báo cáo theo quy định.
3. Khi phát hiện hoặc tiếp nhận thông tin về tình huống nguy hiểm về an ninh mạng, khủng bố mạng hoặc hành vi vi phạm pháp luật về an ninh mạng liên quan đến hệ thống thông tin thuộc phạm vi quản lý, đơn vị quản lý, vận hành hệ thống thông tin có trách nhiệm kịp thời báo cáo Lãnh đạo Bảo hiểm xã hội Việt Nam, Trung tâm Công nghệ thông tin và Chuyển đổi số và phối hợp với cơ quan có thẩm quyền để xử lý theo quy định của pháp luật.
4. Các đơn vị có trách nhiệm phối hợp, thực hiện các yêu cầu của cơ quan có thẩm quyền về an ninh mạng trong việc kiểm tra, xác minh, thu thập thông tin, bảo vệ chứng cứ điện tử, ngăn chặn, xử lý hành vi vi phạm pháp luật về an ninh mạng và khắc phục hậu quả do sự cố, tấn công mạng gây ra.
5. Mọi hành vi nghi ngờ xâm phạm an ninh mạng, thu thập trái phép dữ liệu, phát tán dữ liệu hoặc khai thác trái phép thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam phải được thông báo ngay cho Trung tâm Công nghệ thông tin và Chuyển đổi số để tổ chức xác minh, đánh giá mức độ ảnh hưởng và phối hợp xử lý theo quy định.
Điều 21. Phổ biến, tuyên truyền, tập huấn và huấn luyện về an toàn an ninh mạng
1. Trung tâm Công nghệ thông tin và Chuyển đổi số chủ trì, phối hợp với các đơn vị liên quan xây dựng và tổ chức triển khai các hoạt động tuyên truyền, phổ biến chủ trương, chính sách, pháp luật, quy định, quy chế và kiến thức về an toàn an ninh mạng nhằm nâng cao nhận thức, trách nhiệm và kỹ năng bảo đảm an toàn an ninh mạng trong phạm vi Bảo hiểm xã hội Việt Nam. Các đơn vị có trách nhiệm tổ chức quán triệt, tuyên truyền, phổ biến và nâng cao nhận thức về an toàn an ninh mạng cho công chức, viên chức, người lao động thuộc phạm vi quản lý.
2. Trung tâm Công nghệ thông tin và Chuyển đổi số chủ trì hoặc phối hợp với các cơ quan, tổ chức có liên quan tổ chức huấn luyện, tập huấn kiến thức, kỹ năng về an toàn an ninh mạng cho các đối tượng phù hợp với chức năng, nhiệm vụ được giao, bao gồm lãnh đạo, công chức, viên chức, người lao động và nhân sự chuyên trách công nghệ thông tin, an toàn thông tin.
3. Các đơn vị có trách nhiệm tạo điều kiện để công chức, viên chức, người lao động tham gia đầy đủ các chương trình tuyên truyền, đào tạo, bồi dưỡng và tập huấn về an toàn an ninh mạng theo kế hoạch của Bảo hiểm xã hội Việt Nam hoặc cơ quan có thẩm quyền.
4. Công chức, viên chức, người lao động trước khi được cấp tài khoản truy cập các hệ thống thông tin hoặc được giao nhiệm vụ quản trị, vận hành hệ thống thông tin phải được phổ biến, hướng dẫn các quy định về an toàn an ninh mạng có liên quan.
Điều 22. Chế độ báo cáo về an toàn an ninh mạng
1. Các đơn vị thuộc Bảo hiểm xã hội Việt Nam có trách nhiệm thực hiện chế độ báo cáo định kỳ và đột xuất về công tác an toàn an ninh mạng theo quy định của pháp luật, quy định của Bảo hiểm xã hội Việt Nam và hướng dẫn của Trung tâm Công nghệ thông tin và Chuyển đổi số. Thời hạn, biểu mẫu và nội dung báo cáo định kỳ trước ngày 10 tháng 12 hàng năm.
2. Trung tâm Công nghệ thông tin và Chuyển đổi số chủ trì hướng dẫn, tổng hợp và xây dựng báo cáo định kỳ về công tác an toàn an ninh mạng của Bảo hiểm xã hội Việt Nam để báo cáo Lãnh đạo Bảo hiểm xã hội Việt Nam và các cơ quan có thẩm quyền theo quy định.
3. Khi xảy ra sự cố an toàn an ninh mạng hoặc các vụ việc có nguy cơ ảnh hưởng đến hoạt động của hệ thống thông tin thuộc phạm vi quản lý, các đơn vị có trách nhiệm thực hiện chế độ báo cáo, cung cấp thông tin kịp thời theo quy định và theo yêu cầu của Trung tâm Công nghệ thông tin và Chuyển đổi số.
4. Trung tâm Công nghệ thông tin và Chuyển đổi số chủ trì, phối hợp với các đơn vị liên quan xây dựng các báo cáo định kỳ, báo cáo chuyên đề, báo cáo đột xuất về an toàn an ninh mạng theo yêu cầu của cơ quan có thẩm quyền và trình Lãnh đạo Bảo hiểm xã hội Việt Nam xem xét, phê duyệt. Thời hạn, biểu mẫu và nội dung báo cáo định kỳ trước ngày 15 tháng 12 hàng năm.
TRÁCH NHIỆM CỦA CƠ QUAN, ĐƠN VỊ, CÁ NHÂN THUỘC BẢO HIỂM XÃ HỘI VIỆT NAM
Điều 23. Trách nhiệm của các đơn vị và cá nhân
1. Trách nhiệm của Trung tâm Công nghệ thông tin và Chuyển đổi số
a) Là đầu mối tham mưu, hướng dẫn, tổ chức triển khai công tác bảo đảm an toàn an ninh mạng trong phạm vi Bảo hiểm xã hội Việt Nam.
b) Chủ trì xây dựng, trình ban hành hoặc ban hành theo thẩm quyền các quy định, quy trình, tiêu chuẩn, hướng dẫn kỹ thuật về bảo đảm an toàn an ninh mạng.
c) Chủ trì hướng dẫn, đôn đốc, kiểm tra việc triển khai các quy định về bảo đảm an toàn an ninh mạng; việc xác định cấp độ và triển khai phương án bảo đảm an toàn hệ thống thông tin theo cấp độ.
d) Tổ chức giám sát, cảnh báo, điều phối ứng cứu sự cố; chủ trì hoặc phối hợp triển khai các hoạt động kiểm tra, đánh giá, diễn tập, đào tạo, tuyên truyền, nâng cao nhận thức về an toàn an ninh mạng.
đ) Tổng hợp, báo cáo tình hình bảo đảm an toàn an ninh mạng theo quy định.
e) Thực hiện các nhiệm vụ khác về bảo đảm an toàn an ninh mạng theo phân công của Bảo hiểm xã hội Việt Nam.
2. Trách nhiệm của chủ quản hệ thống thông tin
a) Chịu trách nhiệm đối với công tác bảo đảm an toàn an ninh mạng của hệ thống thông tin thuộc phạm vi quản lý.
b) Tổ chức xác định cấp độ, xây dựng, trình phê duyệt, rà soát, cập nhật hồ sơ đề xuất cấp độ và phương án bảo đảm an toàn hệ thống thông tin theo cấp độ theo quy định.
c) Chỉ đạo triển khai, duy trì các biện pháp bảo đảm an toàn an ninh mạng theo quy định của pháp luật và của Bảo hiểm xã hội Việt Nam.
d) Chỉ đạo xử lý, khắc phục và báo cáo các sự cố an toàn an ninh mạng thuộc phạm vi quản lý.
đ) Bảo đảm các nguồn lực cần thiết để thực hiện công tác bảo đảm an toàn an ninh mạng.
3. Trách nhiệm của đơn vị vận hành hệ thống thông tin
a) Tổ chức quản trị, vận hành hệ thống thông tin theo quy định và phương án bảo đảm an toàn hệ thống thông tin đã được phê duyệt.
b) Triển khai các biện pháp kỹ thuật, nghiệp vụ nhằm duy trì hoạt động ổn định, liên tục và an toàn của hệ thống thông tin.
c) Phát hiện, xử lý hoặc báo cáo kịp thời các nguy cơ, lỗ hổng, điểm yếu và sự cố an toàn an ninh mạng.
d) Phối hợp với Trung tâm Công nghệ thông tin và Chuyển đổi số, chủ quản hệ thống thông tin và cơ quan có thẩm quyền trong công tác kiểm tra, đánh giá, giám sát và ứng cứu sự cố.
đ) Cung cấp hồ sơ, tài liệu, thông tin phục vụ công tác quản lý, kiểm tra, đánh giá và bảo đảm an toàn an ninh mạng theo quy định.
4. Trách nhiệm của các đơn vị thuộc Bảo hiểm xã hội Việt Nam
a) Tổ chức triển khai và thực hiện các quy định của pháp luật, của Bảo hiểm xã hội Việt Nam và Quy chế này về bảo đảm an toàn an ninh mạng.
b) Chỉ định đầu mối phụ trách hoặc đầu mối phối hợp về an toàn an ninh mạng tại đơn vị.
c) Quản lý người dùng, tài khoản, dữ liệu, thiết bị và các tài sản thông tin thuộc phạm vi quản lý theo quy định.
d) Phối hợp với Trung tâm Công nghệ thông tin và Chuyển đổi số trong công tác kiểm tra, đánh giá, giám sát, ứng cứu sự cố và triển khai các biện pháp bảo đảm an toàn an ninh mạng.
đ) Thực hiện chế độ báo cáo định kỳ, đột xuất theo quy định.
5. Trách nhiệm của Thủ trưởng đơn vị
a) Chịu trách nhiệm trước Giám đốc Bảo hiểm xã hội Việt Nam về công tác bảo đảm an toàn an ninh mạng trong phạm vi quản lý.
b) Tổ chức phổ biến, quán triệt và chỉ đạo thực hiện Quy chế này tại đơn vị.
c) Chỉ đạo thực hiện các biện pháp bảo đảm an toàn an ninh mạng; khắc phục các tồn tại, nguy cơ, lỗ hổng và sự cố thuộc phạm vi quản lý.
d) Bố trí nhân lực và các điều kiện cần thiết để triển khai công tác bảo đảm an toàn an ninh mạng theo quy định.
6. Trách nhiệm của người dùng
a) Chấp hành các quy định của pháp luật, của Bảo hiểm xã hội Việt Nam và Quy chế này về bảo đảm an toàn an ninh mạng.
b) Quản lý, sử dụng tài khoản, thiết bị và tài nguyên thông tin được giao đúng mục đích, đúng thẩm quyền.
c) Bảo vệ mật khẩu, thiết bị xác thực và các thông tin được giao quản lý; không chia sẻ tài khoản cho người khác sử dụng.
d) Bảo vệ bí mật nhà nước, bí mật công tác, dữ liệu cá nhân và các thông tin thuộc phạm vi được giao quản lý.
đ) Kịp thời báo cáo khi phát hiện hoặc nghi ngờ có dấu hiệu mất an toàn an ninh mạng.
e) Chịu trách nhiệm trước pháp luật và trước Bảo hiểm xã hội Việt Nam đối với các hành vi vi phạm quy định về an toàn an ninh mạng.
1. Thủ trưởng các đơn vị thuộc Bảo hiểm xã hội Việt Nam, Bảo hiểm xã hội các tỉnh, thành phố và các tổ chức, cá nhân có liên quan có trách nhiệm tổ chức triển khai, phổ biến và thực hiện nghiêm các quy định tại Quy chế này.
2. Trung tâm Công nghệ thông tin và Chuyển đổi số là đơn vị đầu mối giúp Giám đốc Bảo hiểm xã hội Việt Nam hướng dẫn, theo dõi, đôn đốc, kiểm tra việc thực hiện Quy chế; chủ trì tổng hợp các khó khăn, vướng mắc phát sinh trong quá trình thực hiện để báo cáo, đề xuất cấp có thẩm quyền xem xét, xử lý.
3. Các đơn vị vận hành, giám sát, kiểm tra, đánh giá và ứng cứu sự cố có trách nhiệm phối hợp với Trung tâm Công nghệ thông tin và Chuyển đổi số trong quá trình triển khai Quy chế này.
4. Trong quá trình thực hiện, nếu phát sinh khó khăn, vướng mắc hoặc cần sửa đổi, bổ sung Quy chế, các đơn vị phản ánh bằng văn bản về Trung tâm Công nghệ thông tin và Chuyển đổi số để tổng hợp, báo cáo Giám đốc Bảo hiểm xã hội Việt Nam xem xét, quyết định.
5. Tổ chức, cá nhân vi phạm các quy định tại Quy chế này thì tùy theo tính chất, mức độ vi phạm sẽ bị xem xét xử lý trách nhiệm, xử lý kỷ luật hoặc xử lý theo quy định của pháp luật.
6. Trường hợp các văn bản quy phạm pháp luật, văn bản hướng dẫn của cơ quan có thẩm quyền được viện dẫn trong Quy chế này được sửa đổi, bổ sung hoặc thay thế thì thực hiện theo quy định của văn bản mới được ban hành. Trung tâm Công nghệ thông tin và Chuyển đổi số có trách nhiệm rà soát và phối hợp với các đơn vị có liên quan nghiên cứu, đề xuất sửa đổi, bổ sung hoặc thay thế Quy chế và trình Giám đốc Bảo hiểm xã hội Việt Nam xem xét, quyết định.
7. Trung tâm Công nghệ thông tin và Chuyển đổi số có trách nhiệm chủ trì xây dựng, ban hành theo thẩm quyền hoặc trình cấp có thẩm quyền ban hành các quy trình, hướng dẫn kỹ thuật, tiêu chuẩn kỹ thuật và tài liệu nghiệp vụ cần thiết để tổ chức triển khai thống nhất Quy chế này trong toàn hệ thống Bảo hiểm xã hội Việt Nam./.
