Cổng Thông tin điện tử huyện Phú Tân

STT

Từ viết tắt

Giải thích

1

ANQG

An ninh quốc gia

2

CNTT

Công nghệ thông tin

3

DHCP

Dynamic Host Configuration Protocol - là một giao thức cho phép cấp phát địa chỉ IP một cách tự động.

4

DNS

Domain Name System - là máy chủ chứa cơ sở dữ liệu về địa chỉ IP công khai và các tên máy chủ được liên kết với chúng.

5

DMZ

Demilitarized Zone - là vùng mạng trung lập giữa mạng nội bộ và Internet.

6

URL

Uniform Resource Locator - là vị trí của một trang web trên Internet.

7

OT

Operation Technology - hay còn được gọi là Công nghệ vận hành, là một khái niệm bao gồm tập hợp các phần cứng và phần mềm đóng vai trò phát hiện những thay đổi trong hệ thống thông qua việc quản lý, giám sát các thiết bị, máy móc, sự kiện trong quy trình vận hành công nghiệp.

8

IoT

Internet of Things - Internet vạn vật, là mạng kết nối các đồ vật và thiết bị thông qua cảm biến, phần mềm và các công nghệ khác, cho phép các đồ vật và thiết bị thu thập và trao đổi dữ liệu với nhau.

9

AAA

Xác thực (Authentication), ủy quyền (Authorization) và Kiểm tra (Accounting).

10

VPN

Virtual Private Network - Mạng riêng ảo, là một mạng riêng để kết nối các máy tính của các đơn vị, tổ chức với nhau thông qua mạng Internet công cộng,

11

API

Application programming interface - giao diện lập trình ứng dụng, là một giao diện mà một hệ thống máy tính hay ứng dụng cung cấp để cho phép các yêu cầu dịch vụ có thể được tạo ra từ các chương trình máy tính khác để trao đổi dữ liệu.

STT

Yêu cầu

Nội dung thực hiện

Khuyến cáo ấp dụng

1.1

Thiết lập và duy trì hệ thống quản lý danh mục tài sản phần cứng

• Lập danh sách, theo dõi, cập nhật trạng thái của tất cả các tài sản phần cứng có khả năng lưu trữ hoặc xử lý dữ liệu, bao gồm: thiết bị của người dùng cuối, thiết bị di động, thiết bị lưu trữ ngoài, thiết bị văn phòng, thiết bị mạng, thiết bị OT/IoT và máy chủ trong môi trường vật lý, ảo hóa, truy cập từ xa và điện toán đám mây.
• Tất cả tài sản vật lý phải được kiểm tra an ninh bởi cơ quan, tổ chức có thẩm quyền theo quy định của pháp luật trước khi đưa vào sử dụng.

- Danh sách tài sản phần cứng phải bao gồm tối thiểu các thông tin cơ bản sau: tên tài sản, địa chỉ mạng IP (đối với thiết bị đặt địa chỉ IP tĩnh), địa chỉ phần cứng MAC/ mã nhận diện serial, thời gian ngừng hỗ trợ kỹ thuật của hãng (nếu có), vị trí lăp đặt địa lý, vị trí lắp đặt trong hệ thống

mạng, mục đích sử dụng, tình trạng sử dụng. Tài sản vật lý phải được giao, gán trách nhiệm cho cá nhân hoặc bộ phận quản lý, sử dụng.

- Các thiết bị di động kết nối vào hệ thống mạng nội bộ của tổ chức phải được đăng ký để kiểm soát. Quy định trách nhiệm của cá nhân trong tô chức khi sử dụng thiết bị di động để phục vụ công việc.

Cần thiết

1.2

Xử lý các tài sản phần cứng chưa được quản lý

• Xây dựng, ban hành và bảo đảm tuân thủ quy trình phát hiện và xử lý các tài sản phân cứng không có trong danh sách quản lý, đang kết nối trái phép vào mạng nội bộ của cơ quan, tổ chức định kỳ tối thiểu 01 lần/tuần.

- Có thể lựa chọn loại bỏ, từ chối kết nối hoặc cách ly tài sản trái phép.

Cần thiết

1.3

Rà soát các tài sản kết nối   vào

mạng nội bộ

• Xây dựng, ban hành và bảo đảm tuân thủ quy định rà quét để phát hiện tài sản kết nối vào mạng nội bộ định kỳ tối thiểu 01 lần/tuần.

Thực hiện cập nhật danh sách tài sản dựa trên kết quả rà quét.

Cần thiết

1.4

Sử dụng

DHCP

Logging để cập nhật bản kiểm kê tài sản công nghệ thông tin nội bộ

• Sử dụng tính năng ghi nhận ký DHCP trên tất cả các máy chủ DHCP hoặc công cụ quản lý địa chỉ mạng IP (nếu có).
• Tiến hành rà soát nhật ký để cập nhật danh sách tài sản công nghệ thông tin định kỳ tối thiểu 01 lần/tuần.

Cần thiết

1.5

Quản lý tài sản thanh lý/ hư hỏng

Xây dựng, ban hành và bảo đảm tuân thủ quy trình thanh lý/ tiêu hủy tài sản CNTT, bảo đảm xóa không thể khôi phục toàn bộ dữ liệu của cơ quan, tổ chức trước khi tiến hành thanh lý/ tiêu hủy.

Cần thiết

STT

Yêu cầu

Nội dung thực hiện

Khuyến cáo áp dụng

2.1

Thiết lập và duy trì hệ thống quản lý danh mục tài sản phần mềm

• Lập danh sách, theo dõi, cập nhật trạng thái của tất cả các tài sản phần mềm hiện đang được cài đặt trên các tài sản phần cứng của cơ quan, tổ chức.
• Danh sách tài sản phần mềm phải bao gồm tối thiểu các thông tin cơ bản sau: tên tài sản, mục đích sử dụng, thời gian ngừng hỗ trợ kỹ thuật (nếu có), phạm vi sử dụng, chủ thể quản lý, thông tin về bản quyền, phiên bản, hệ thống thông tin thành phần (nếu có). Tài sản phần mềm phải được gắn trách nhiệm cho cá nhân hoặc bộ phận quản lý, sử dụng.

Cần thiết

2.2

Thiết lập và duy trì danh sách các tài sản phần mềm được phép sử dụng

• Lập danh sách, theo dõi, cập nhật danh sách các phần mềm được phép sử dụng trong toàn cơ quan, tổ chức.
• Danh sách phần mềm được phép sử dụng phải bao gồm cả các thư viện phần mềm (như các file có định dạng .dll, .ocx...) và các đoạn mã lệnh thực thi (các script có định dạng .py, .psl, .bat...)
• Xây dựng, ban hành và bảo đảm tuân thủ quy định kiêm soát việc cài đặt và sử dụng các phần mêm đã được câp phép, bảo đảm giới hạn đặc quyền tối thiểu các quyền quản trị trên các tài sản CNTT; ngăn chặn các tác vụ thực thi, vô hiệu hóa, cài đặt và gỡ bỏ phần mềm, thư viện, đoạn mã lệnh trái phép trên hệ thống; có phương án kỹ thuật để theo dõi hoạt động cài đặt chương trình phần mềm trên các tài sản CNTT.

Định kỳ đánh giá và cập nhật danh sách phần mềm được phép sử dụng tối thiểu 02 lần / năm hoặc khi xảy ra các thay đổi trong tổ chức ảnh hưởng đến danh sách.

Cần thiết

2.3

Đảm bảo toàn bộ các tài sản phần mềm được phép sử dụng đang trong thời gian hỗ trợ của nhà cung cấp

Thực hiện định kỳ rà soát danh sách tài sản phần mềm được phép sử dụng và danh sách tài sản phần mềm cài đặt trên các tài sản phần cứng đê bảo đảm tất cả tài sản phần mềm đang trong thời gian hỗ trợ của nhà cung cấp, tối thiểu 02 lần / năm.

Cần thiết

2.4

Xử lý các tài sản phẩn mềm trái phép

• Xây dựng, ban hành và bảo đảm tuân thủ quy trình phát hiện và xử lý các phần mềm trái phép định kỳ tối thiểu 01 lần / quý.
• Những phần mềm trái phép nhưng vẫn cần thiết đối với hoạt động của cơ quan, tổ chức phải được đưa vào danh sách ngoại lệ để quản lý. Danh sách ngoại lệ này phải thể hiện chi tiết các biện pháp kiểm soát giảm thiểu các nguy cơ an ninh mạng ảnh hưởng đến hệ thống.

Nhũng phần mềm trái phép không nằm trong danh sách ngoại lệ phải có kế hoạch để xóa/ gỡ bỏ hoàn toàn khỏi các tài sản phần cứng của cơ quan, tố chức trong thời gian sớm nhất.

Cần thiết

STT

Yêu cầu

Nội dung thực hiện

Khuyến cáo áp dụng

3.1

Thiết lập và duy trì quy trình quản lý tài sản thông tin

+ Mức 1: Công khai tài sản thông tin công khai không yêu cầu vê bảo mật.

+ Mức 2: Nội bộ tài sản thông tin nội bộ yêu cầu chỉ những người trong tổ chức mới có quyền truy cập.

+ Mức 3: Hạn chế tài sản thông tin bị hạn chế yêu cầu quyền truy cập, chỉ những người dùng được cấp quyền mới có thê truy cập vào dữ liệu. Việc tiết lộ tài sản thông tin bị hạn chẽ sẽ ảnh hưởng đến hoạt động của các đơn vị.

+ Mức 4: Bí mật nhà nước. Thông tin có nội dung quan trọng, do cơ quan, tổ chức có thấm quyền xác định; chưa công khai, nêu bị lộ, bị mất có thể gây nguy hại đến lợi ích quốc gia, dân tộc {thực hiện theo quy định của Luật Bảo vệ bí mật nhà nước).

• Xây dựng quy trình yêu cầu truy cập, thêm mới, sửa, xoá dữ liệu để kiểm soát nhật ký truy cập dữ liệu.
• Kiểm tra cấp độ phân quyền của các nguồn dữ liệu định kỳ tối thiểu 01 lần/tháng.
• Đánh giá và cập nhật quy trình quản lý tài sản thông tin định kỳ tối thiểu 01 lần/ năm hoặc khi xảy ra các thay đổi trong tổ chức ảnh hưởng đến quy trình.

Cần thiết

3.2

Thiết lập và duy trì bản danh  sách tài sản thông tin

• Lập danh sách các tài sản thông tin dựa trên quy trình quản lý tài sản thông tin.
• Đánh giá và cập nhật danh sách tài sản thông tin tối thiểu 01 lần/năm hoặc khi xảy ra thay đổi trong tổ chức ảnh hưởng đến danh sách.

Cần thiết

3.3

Xây dựng danh sách kiểm soát truy cập tài sản thông tin

Xây dựng danh sách quyền truy cập của các tài khoản, người dùng đối với từng loại tài sản thông tin.

Cần thiết

3.4

Mã hoá dữ liệu quan trọng

• Mã hoá dữ liệu quan trọng được lưu trữ trong các tài sản phần cứng và phần mềm của tổ chức.
• Mã hoá dữ liệu quan trọng trong quá trình truyên gửi đê bảo đảm tính toàn vẹn của dữ liệu.
• Thực hiện quản lý và bảo vệ vòng đời mã khóa sử dụng để mã hóa dữ liệu

-

Cần thiết

3.5

Tài liệu hoá luồng dữ liệu

• Có tài liệu mô tả các luồng dữ liệu quan trọng.
• Xây dựng và tuân thủ quy định quản lý phiên bản tài liệu tại tổ chức.
• Đánh giá và cập nhật định kỳ tối thiếu 01 lần/năm hoặc khi có thay đổi trong tổ chức ảnh hưởng đến tài liệu.

Cần thiết

3.6

Tách biệt quá trình xử lý và lưu trữ dữ liệu theo mức độ nhạy cảm

• Xây dựng, ban hành và bảo đảm tuân thủ quy định về việc xử lý dữ liệu nhạy cảm.
• Tách biệt tài sản/môi trường xử lý, lưu trữ dữ liệu có độ nhạy cảm cao với dữ liệu có độ nhạy cảm thấp. Không sử dụng các tài sản/ môi trường dành cho dữ liệu nhạy cảm thấp để lưu trữ và xử lý dữ liệu có mức độ nhạy cảm cao.

Cần thiết

3.7

Triển khai giải pháp phòng chống thất thoát dừ liệu

Xây dựng và triển khai giải pháp chống thất thoát dữ liệu đối với dữ liệu có độ nhạy cảm mức 03 trở lên trong toàn tổ chức.

Cần thiết

3.8

Lưu trữ nhật ký truy cập dữ liệu quan trọng

• Ghi lại nhật ký hành vi đối dữ liệu có độ nhạy cảm mức 03 trở lên, bao gồm các hành vi truy cập, chỉnh sửa, huỷ bỏ dữ liệu.
• Rà soát nhật ký thường xuyên, tối thiểu định kỳ 01 lần/ tháng để phát hiện sớm những hành vi truy cập trái phép.

Cần thiết

STT

Yêu cầu

Nội dung thực hiện

Khuyến cáo áp dụng

4.1

Thiết lập và duy trì quy định, quy trình cấu  hình an toàn cho tài sản phần cứng và phần mềm

- Xây dựng, ban hành và bảo đảm tuân thủ quy định, quy trình cấu hình an toàn cho các tài sản phần cứng và phần mềm của cơ quan, tổ chức.

• Xây dựng, ban hành và bảo đảm tuân thú các tài liệu cấu hình tiêu chuẩn, tài liệu cấu hình bảo mật nâng cao cho các tài sản phân cứng và phần mềm của cơ quan, tổ chức. Đảm bảo sử dụng giao thức kêt nôi an toàn, thiêt lập phân mềm tường lửa trên máy chủ/ máy trạm và có phương án chống đăng nhập tự động đổi với các tài sản xử lý và lưu trữ dữ liệu quan trọng.

- Đánh giá và cập nhật quy trình quản lý cấu hình an toàn và các tài liệu liên quan tôi thiêu 01 lần/năm hoặc khi có thay đổi xảy ra trong tổ chức ảnh hưởng đến tài liệu.

Cần thiết

4.2

Cấu hình tự động hóa phiên làm việc trên các tài sản phần cứng và phần mềm

• Tự động khoá phiên làm việc trên các tài sản sau một khoảng thời gian không sử dụng.

+ Đối với máy tính người dùng, thời gian này không vượt quá 15 phút.

+ Đối với các thiết bị mạng, thời gian này không vượt quá 05 phút.

+ Đối với thiết bị di động, thời gian này không vượt quá 02 phút.

+ Đối với các phần mềm nghiệp vụ xử lý dữ liệu quan trọng, thời gian này không vượt quá 15 phút.

• Tự động khoá thiết bị di động sau một số lần đăng nhập thất bại.

+ Đối với máy tính xách tay, số lần đăng nhập thất bại tối đa 10 lần.

+ Đối với điện thoại, số lần đăng nhập thất bại tối đa 10 lần.

+ Đối với các phần mềm nghiệp vụ xử lý và lưu trữ dữ liệu quan trọng, số lần đăng nhập thất bại tổi đa 05 lần.

Cần thiết

4.3

Gỡ bỏ hoặc vô hiệu hoá các tính năng, dịch vụ không cần thiết trên các tài sản phần cứng và phần mềm

Xây dựng, ban hành và bảo đảm tuân thủ quy định gỡ bỏ hoặc vô hiệu hoá các tính năng, dịch vụ không cần thiết trên các tài sản phần cứng và phần mềm.

Cần thiết

4.4

Cấu hình máy chủ DNS tin cậy

Thiết lập các cấu hình máy chủ DNS tin cậy trên các tài sản phần cứng nếu có.

Tuỳ chọn

4.5

Thiết lập khả năng xoá sạch dữ liệu từ xa trên thiết bị di động cấp cho người dùng

Xây dựng và triển khai giải pháp xoá sạch dữ liệu từ xa trên thiết bị di động cấp cho người dùng.

Cần thiết

4.6

Phân tách các không gian làm việc riêng biệt trên các thiết bị di động cấp cho người dùng

• Xây dựng, ban hành và bảo đảm tuân thủ quy định tách biệt các không gian làm việc riêng biệt trên thiết bị di động cấp cho người dùng.
• Xây dựng giải pháp kỹ thuật cho phép quản lý thiết bị di động khi người dùng sử dụng hoặc kết nối tới các hệ thống của tổ chức.

Tuỳ chọn

STT

Yêu cầu

Nội dung thực hiện

Khuyến cáo áp dụng

5.1

Thiết lập và duy trì hệ thống quản lý tài khoản

- Lập danh sách, theo dõi và cập nhật tất cả các tài khoản trên các tài sản phần cứng và phần mềm của tổ chức.

• Danh sách tài khoản phải bao gôm cảc loại tài khoản sau: tài khoản người dùng, tài khoản quản trị và tài khoản dịch vụ.
• Danh sách tài khoản phải bao gồm các thông tin tối thiểu: loại tài khoản, tên tài khoản, trạng thái tài khoản, 'tên tài sản/ hệ thống thông tin tưong ứng, tên người quản lý, phòng ban, ngày kích hoạt tài khoản, ngày vô hiệu hoá tài khoản (nếu có). Đảm bảo tẩt cả tài khoản đang hoạt động là hợp lệ.

- Danh sách tài khoản phải được rà soát định kỳ 01 lần/quý.

Cần thiết

5.2

Xây dựng và tuân thủ quy định sử dụng mật khẩu

- Xây dựng, ban hành và bảo đảm tuân thủ quy định sử dụng mật khẩu an toàn trong tô chức, đáp ứng các yêu cầu sau:

+ Sử dụng mật khẩu duy nhất cho mỗi tài sản.

+ Thay đổi mật khẩu định kỳ 01 lần/ 02 tháng.

+ Đối với các hệ thống sử dụng xác thực đa yếu tố, quy định mật khẩu có tối thiểu 08 ký tự.

+ Đối với các hệ thống không sử dụng xác thực đa yếu tố, quy định mật khẩu có tối thiểu 14 ký tự, bao gồm ký tự viết thường, ký tự viết hoa, ký tự đặc biệt, chữ số.

+ Mật khẩu mới không được trùng với 10 mật khẩu trước đó.

Cần thiết

5.3

Xây dựng và tuân thủ quy định quản lý tài khoản

- Xây dựng, ban hành và bảo đảm tuân thủ quy định quản lý tài khoản trong tổ chức đáp ứng các yêu cầu sau:

+ Quản lý tài khoản tập trung.

+ Quản lý tài khoản mặc định trên phần mềm, thiết bị (như tài khoản root, administrator, tài khoản cấu hình sẵn của nhà cung cấp dịch vụ).

+ Quản lý tách biệt giữa các loại tài khoản: tài khoản người dùng, tài khoản quản trị và tài khoản dịch vụ.

+ Xoá hoặc vô hiệu hoá các tài khoản không hoạt động sau 45 ngày hoặc ngay khi có thay đổi về nhân sự quản lý tài khoản.

Cần thiết

5.4

Xây dựng và tuân thủ quy định quản lý truy cập

+ Nguyên tắc cấp quyền tối thiếu và phân tách nhiệm vụ đối với mọi loại tài khoản.

+ Tài liệu hóa các quyền truy cập cần thiết tương úng với các chức danh, bộ phận trong cơ quan, tổ chức.

+ Yêu cầu xác thực đa yếu tố đối với các ứng dụng có kết nối ra bên ngoài tổ chức, kết nối đến đối tác/ bên thứ ba, kết nối internet; các truy cập từ xa đến hệ thống mạng nội bộ và các tài khoản có quyền quản trị hệ thống.

+ Định kỳ rà soát và cập nhật quy định quản lý truy cập và các tài liệu liên quan tôi thiêu 01 lân / năm.

Cần thiết

5.5

Xây dựng và tuân thủ quy trình cấp mới, thay đổi và thu  hồi

quyền truy cập

• Xây dựng, ban hành và bảo đảm tuân thủ quy trình cấp mới, thay đổi và thu hồi quyền truy cập vào các tài sản CNTT của cơ quan, tổ chức.
• Định kỳ rà soát quy trình và công tác thực hiện cấp quyền truy cập vào các tài sản CNTT của cơ quan, tổ chức tối thiểu 01 lần / năm.

Cần thiết

STT

Yêu cầu

Nội dung thực hiện

Khuyến

cáo áp dụng

6.1

Thiết lập, tuân thủ và duy trì quy trình quản lý lỗ hổng bảo mật

- Xây dựng, ban hành và bảo đảm tuân thủ quy trình quản lý lỗ hổng bảo mật cho các tài sản công nghệ thông tin của  tổ chức. Các nội dung tối thiểu bao gồm:

+ Phát hiện lỗ hổng bảo  mật:  Xây dựng và triển khai các giải pháp để rà quét lỗ hổng bảo mật cho các tài sản phần cứng và phần mềm của cơ quan, tổ chức. Định kỳ thực hiện rà soát tổng thể hệ thống tối thiểu 01 lần/quý và rà soát đối với các tài sản quan trọng tối thiêu 01 lân / tháng.

+ Đánh giá mức độ nghiêm trọng của lỗ hổng: Xây dựng và triển khai phương pháp đánh giá mức độ nghiêm trọng của lô hổng, từ đó xác định mức độ ưu tiên của việc khắc phục lỗ hổng.

 + Báo cáo/ chia sẻ thông tin lỗ hổng: Chia sẻ thông tin về lỗ hổng bảo mật với Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao và các bên liên quan. Thiết lập và duy trì cơ chế để chia sẻ thông tin, tiếp nhận và phản hồi báo cáo lỗ hổng bảo mật từ bên liên quan hoặc các nguồn công khai khác.

+ Triển khai các biện pháp khắc phục: Xây dựng phương án, kế hoạch khắc phục cho các lỗ hổng đã phát hiện theo thứ tự ưu tiên và các bước đánh giá lại hệ thống để bảo đảm lỗ hổng đã được khắc phục hoàn toàn.

- Rà soát và cập nhật quy trình tối thiểu 01 lần / năm hoặc khi xảy ra thay đổi trong tổ chức ảnh hưởng đến quy trình này.

Cần thiết

6.2

Thiết lập, tuân thủ và duy trì quy trình quản lý bản vá

- Xây dựng, ban hành và bảo đảm tuân thủ quy trình quản lý bản vá. Các nội dung tối thiểu bao gồm:

+ Xây dựng và triển khai máy chủ quản lý bản vá tập trung cho toàn bộ tài sản phần cúng và phần mềm của cơ quan, tổ chức.

+ Đánh giá tác động, tiến hành kiểm thử và xây dựng phương án phục hồi trước khi triển khai bản vá trên các hệ thống thông tin có xử lý hoặc lưu trữ dữ liệu quan trọng.

+ Thực hiện cập nhật bản vá hệ điều hành, ứng dụng cho toàn bộ máy tính, thiết bị di động cấp cho người dùng tối thiểu 01 lần/tháng.

+ Giám sát và duy trì hệ thống để bảo đảm không có lỗ hổng mới xuất hiện và các bản vá vẫn hoạt động tốt.

Cần thiết

STT

Yêu cầu

Nội dung thực hiện

Khuyến cáo áp dụng

7.1

Thiết lập, tuân thủ và duy trì một quy trình quản lý nhật ký an ninh mạng

• Xây dựng, ban hành và bảo đảm tuân thủ quy định quản lý nhật ký an ninh mạng, trong đó bao gồm:

+ Quy định về cách thức ghi nhật ký.

+ Quy định về việc thu thập, kiểm tra, lưu trữ nhật ký.

+ Quy định các loại nhật ký được thu thập. Thu thập tối thiểu các loại nhật ký sau: nhật ký truy cập hệ thống, nhật ký tiến trình hoạt động, nhật ký ứng dụng, nhật ký cảnh báo của các thiết bị bảo mật.

+ Đảm bảo việc thu thập nhật ký được áp dụng trên toàn bộ tài sản CNTT chứa dữ liệu nhạy cảm của tổ chức.

+ Đảm bảo duy trì không gian lưu trữ nhật ký tối thiểu 18 tháng. Triển khai hệ thống theo dõi tránh tình trạng đầy không gian lưu trữ, dẫn tới thất thoát dữ liệu.

+ Định kỳ thực hiện rà soát nhật ký an ninh mạng tối thiểu 01 lần / tuần.

• Chia sẻ nhật ký an ninh mạng của các hệ thống trọng yếu với Trung tâm An ninh mạng quốc gia để hỗ trợ phân tích, săn tìm, cảnh báo nguy cơ an ninh mạng nếu có.
• Kiểm tra và cập nhật tối thiểu 01 lần/năm hoặc khi có thay đổi ảnh hưởng đến quy trình này.

Cần thiết

7.2

Thu thập nhật ký an ninh mạng của              nhà

cung cấp dịch vụ

Thực hiện thu thập nhật ký an ninh mạng của các nhà cung cấp dịch vụ đối các dịch vụ mà tổ chức sử dụng.

Tuỳ chọn

7.3

Bảo vệ nhật ký an ninh mạng

• Kiểm soát truy cập và ghi lại lịch sử tác động tới nhật ký an ninh mạng.
• Đảm bảo nhật ký an ninh mạng không bị sửa

đổi, xóa bỏ.                               

Cần thiết

STT

Yêu cầu

Nội dung thực hiện

Khuyến cáo áp dụng

8.1

Quản lý trình duyệt web và dịch vụ thư điện tử

• Ban hành danh sách các trình duyệt web và dịch vụ thư điện tử được phép sử dụng trong cơ quan và tổ chức.
• Đảm bảo danh sách trình duyệt web và dịch vụ thư điện tử trên đang trong thời gian hỗ trợ của nhà cung cấp.
• Đảm bảo chỉ sử dụng phiên bản trình duyệt và dịch vụ thư điện tử mới nhất được cung cấp thông qua nhà cung cấp.

Cần thiết

8.2

Sử dụng dịch vụ lọc tên miền (DNS Filtering)

Triển khai sử dụng dịch vụ lọc tên miền DNS Filtering trong toàn cơ quan, tổ chức để ngăn chặn các tên miền giả mạo và độc hại.

Cần thiết

8.3

Thực thi và cập nhật các bộ lọc URL

Triển khai và định kỳ cập nhật các bộ lọc URL để hạn chế tài sản doanh nghiệp kết nối với các trang web độc hại tiềm ẩn hoặc không được chấp thuận.

Cần thiết

8.4

Kiểm soát việc          sử

dụng các tiện ích mở rộng trong trình duyệt web và ứng dụng thư điện tử

• Xác định danh sách tiện ích mở rộng được phép sử dụng trong trình duyệt web, dịch vụ điện tử.
• Kiểm soát việc cài đặt và sử dụng các tiện ích mở rộng trong trình duyệt web, dịch vụ thư điện tử.
• Gỡ cài đặt hoặc vô hiệu hóa các tiện ích mở rộng không được cấp phép.

Cần thiết

8.5

Triển khai giải pháp xác thực email

- Triển khai giải pháp xác thực email DMARC                           (Domain-based

Authentication, Reporting & Conformance) để tăng cường bảo mật và ngăn chặn các cuộc tấn công lừa đảo, giả mạo đối với các tên miền tổ chức.

Cần thiết

8.6

Quản lý các loại         tệp

được phép đính kèm trong trong thư điện tử

• Xác định danh sách các loại tệp được phép gửi qua hệ thống thư điện tử.
• Ngăn chặn việc đính kèm những loại tệp không có trong danh sách cho phép và kiếm soát các thư điện tử có chứa tệp đính kèm.

Cần thiết

8.7

Triển khai và duy trì biện pháp bảo vệ mã độc đối với máy chủ thư điện tử

Xây dựng và triển khai các phương án bảo vệ mã độc đối với máy chủ thư điện tử

Cần thiết

STT

Yêu cầu

Nội dung thực hiện

Khuyến cáo áp  dụng

9.1

Triển khai và duy trì phần mềm, giải pháp phòng chống mã độc

• Triển khai và duy trì phần mềm, giải pháp phòng, chống mã độc trên hệ thống.
• Sử dụng các giải pháp tổng thể gồm có phòng, chống mã độc, phát hiện mã độc dựa trên hành vi, bao gồm ít nhất các tính năng cơ bản như bảo vệ thời gian thực, tự động cập nhật các mẫu nhận diện mã độc mới...

Cần thiết

9.2

Thực hiện phòng, chống mã độc đổi với các thiết bị lưu          trữ

ngoài

Triển khai rà quét mã độc và vô hiệu hoá tính năng tự động thực thi đối với các phương tiện luư trữ di động như ổ cứng, thẻ nhớ, USB...

Cần thiết

9.3

Quản lý tập trung các phần mềm phòng, chống mã độc

Triển khai giải pháp quản trị tập trung phần mềm phòng, chống mã độc trong toàn cơ quan, tổ chức.

Cần thiết

9.4

Kích hoạt tính năng phòng chổng khai thác lỗ hổng

Kích hoạt các tính năng phòng chống khai thác lỗ hổng trên các tài sản phần cứng và phần mềm như Microsoft® Data Execution Prevention (DEP), Windows® Defender Exploit Guard (WDEG), Apple® System Integrity Protection (SIP), Gatekeeper™...

Cần thiết

9.5

Xây dựng và triển khai giải pháp phòng chống mã độc theo hành vi

Triển khai giải pháp phòng và chống mã độc dựa trên hành vi (EDR - Endpoint Detection and Response).

Cần thiết

STT

Yêu cầu

Nội dung thực hiện

Khuyến cáo áp dụng

10.1

Xây dựng và tuân thủ quy định sao lưu và khôi phục dữ liệu

+ Xác định tần suất sao lưu và khôi phục tương ứng với từng loại dữ liệu đã định nghĩa.

+ Xác định phương pháp sao lưu và khôi phục tương ứng với từng loại dữ liệu đã định nghĩa.

+ Quản lý vùng lưu trữ dữ liệu sao lưu, bảo đảm tính toàn vẹn của dữ liệu và khôi phục dữ liệu một cách nhanh chóng và hiệu quả.

+ Định kỳ thực hiện khôi phục dữ liệu đã sao lưu dựa trên mức độ nhạy cảm và tầm quan trọng của dữ liệu.

- Rà soát và cập nhật quy định tối thiểu 01 lần/năm hoặc khi xảy thay đôi trong tổ chức ảnh hưởng đến quy định.

Cần thiết

10.2

Thực hiện sao lưu dữ liệu tự động

• Xác định danh sách dữ liệu cần sao lưu và phân loại tần suất sao lưu theo thời gian (ngày/tuần/tháng/năm...) đối với từng loại dữ liệu.
• Triển khai các giải pháp sao lưu dữ liệu tự động.

Cần thiết

10.3

Bảo vệ dữ liệu khôi phục

• Thực hiện bảo vệ dữ liệu khôi phục với các điều kiện như đối với dữ liệu gốc.
• Thực hiện mã hoá đối với những dữ liệu quan trọng.

Cần thiết

10.4

Thiết lập và duy trì hạ tầng lưu trữ tách biệt cho dữ liệu khôi phục

Các dữ liệu khôi phục cần phải được định danh, quản lý phiên bản và lưu trữ ở những hạ tầng tách biệt với môi trường vận hành.

Cần thiết

10.5

Kiểm tra khả năng khôi phục dữ liệu

Kiểm tra khả năng khôi phục bản sao lưu tối thiểu 01 lần/03 tháng.

Cần thiết

STT

Yêu cầu

Nội dung thực hiện

Khuyến cáo áp dụng

11.1

Thiết lập, duy trì các sơ đồ kiến trúc hệ thống mạng và kiến trúc mạng an toàn

• Thiết lập và duy trì sơ đồ kiến trúc mạng và các hồ sơ khác về hệ thống mạng.
• Triển khai và duy trì một kiến trúc hệ thống mạng an toàn, bảo đảm thực hiện tối thiếu 03 nguyên tắc: phân vùng mạng, đặc quyền ít nhất và tính sẵn sàng.
• Tài liệu hóa sơ đồ kiến trúc hệ thống mạng bao gồm:

+ Tổng quan kiến trúc hệ thống mạng;

+ Sơ đồ cấp chi tiết của hệ thống mạng;

+ Ghi chú các tài liệu đặc tả kỹ thuật, tài liệu thống kê...;

+ Tài liệu mô tả phương án bảo đảm an ninh mạng.

• Xem xét và cập nhật sơ đồ mạng 01 lần/06 tháng hoặc mỗi khi có thay đổi ảnh hưởng đến sơ đồ hệ thống.

Cần thiết

11.2

Quản lý an toàn cơ sở hạ tầng mạng

• Thực hiện quản lý an toàn cơ sở hạ tầng mạng.
• Chia tách thành các vùng mạng khác nhau theo đối tượng sử dụng, mục đích sử dụng, tối thiểu: có phân vùng mạng riêng cho máy chủ của hệ thống thông tin; có phân vùng mạng trung gian (DMZ) để cung cấp dịch vụ trên mạng Internet; có phân vùng mạng riêng để cung cấp dịch vụ mạng không dây; có phân vùng mạng riêng đối với máy chủ cơ sở dữ liệu.

Cần thiết

11.3

Quản lý tập trung việc xác thực, cấp quyền và kiểm toán mạng.

Triển khai hệ thống AAA để quản lý tập trung việc xác thực, cấp quyền và kiểm toán cho toàn cơ quan, tổ chức.

Cần thiết

11.4

Sử dụng các giao thức truyền thông và quản trị mạng an toàn

Sử dụng các giao thức truyền thông và quản trị mạng an toàn.

Cần thiết

11.5

Xây dựng và áp dụng chính sách quản lý truy cập từ xa

- Xây dựng và áp chính sách quản lý truy cập từ xa đáp ứng yêu cầu sau:

+ Sử dụng mạng riêng ảo VPN cho việc truy cập từ xa vào hệ thống.

+ Yêu cầu người dùng xác thực đa yếu tố để VPN và các dịch vụ xác thực khác trước khi truy cập vào hệ thống.

+ Các thiết bị được phép truy cập từ xa phải bảo đảm các yêu cầu về bảo mật: cài đặt phần mêm phòng chống mã độc, cấu hình bảo mật theo chính sách an toàn đã ban hành của tổ chức.

Cần thiết

11.6

Thiết lập và duy trì tài nguyên hệ thống dành riêng cho công tác quản trị

Thiết lập và duy trì các nguồn tài nguyên dành riêng, tách biệt về mặt vật lý và logic; được phân tách với mạng chính của hệ thống và không kết nối với Internet.

Cần thiết

STT

Yêu cầu

Nội dung thực hiện

Khuyến cáo áp dụng

12.1

Quản lý tập trung các cảnh báo và sự kiện an ninh mạng

• Triển khai giải pháp quản lý tập trung các sự kiện an ninh mạng để liên kết các sự kiện liên quan và phân tích theo hưóug dẫn, yêu cầu của Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao và quy định của cơ quan, tổ chức.
• Kết nối với hệ thống chỉ huy giám sát an ninh mạng của Trung tâm An ninh mạng quốc gia để phối hợp giám sát, phát hiện và điều phối ứng phó sự cố.

Cần thiết

12.2

Thiết lập và sử dụng tính năng về tường lửa, cảnh báo phát hiện và ngăn chặn xâm nhập của hệ điều hành và hệ thống

Thiết lập và sử dụng tính năng về tường lửa, cảnh báo phát hiện, ngăn chặn xâm nhập của hệ điều hành và hệ thống (nếu có).

Cần thiết

12.3

Triền khai giải pháp, thiết bị chuyên dụng để bảm mật hệ thống mạng của cơ quan, tổ chức

Triển khai các giải pháp, thiết bị chuyên dụng có chức năng lọc gói tin giữa các phân đoạn mạng, lọc tầng úng dụng, cảnh báo phát hiện và ngăn chặn xâm nhập trong hệ thống mạng của cơ quan, tổ chức.

Cần thiết

12.4

Thiết lập cấu hình kiểm soát truy cập các cổng kết nối mạng

Thiết lập cấu hình trên các thiết bị mạng để kiểm soát truy cập các cổng kết nối mạng nếu thiết bị hỗ trợ.

Cần thiết

12.5

Thu thập thông tin dữ liệu mạng

Thu thập nhật ký luồng dữ liệu mạng và/ hoặc dữ liệu lưu lượng từ các thiết bị mạng để rà soát và đưa ra các cảnh báo.

Tuỳ chọn

12.6

Điêu chỉnh các ngưỡng cảnh báo sự kiện an ninh mạng

Điều chỉnh ngưỡng cảnh báo sự kiện an ninh mạng tối thiểu 01 lần/tháng.

Tuỳ chọn

STT

Yêu cầu

Nội dung thực hiện

Khuyến cáo áp đụng

13.1

Thiết lập và duy trì chương trình đào tạo nâng cao nhận thức và kỳ năng an ninh mạng.

• Thiết lập và duy trì một chương trình nâng cao nhận thức và kỹ năng an ninh mạng.
• Tiến hành đào tạo tối thiểu 01 lần/năm.

Cần thiết

13.2

Thực hiện đào tạo nhận thức và kỹ năng bảo mật theo từng vị trí, vai trò cụ thể

• Thực hiện đào tạo nhận thức và kỹ năng bảo mật theo từng vị trí, vai trò cụ thể.
• Đào tạo nâng cao nhận thức người dùng trước các hình thức lừa đảo, các cuộc tấn công nhắm vào người dùng, các nguy cơ an ninh mạng trong quá trình thực hiện nhiệm vụ.

Cần thiết

13.3

Xây dựng lực lượng chuyên biệt vận hành, bảo vệ an ninh mạng cho hệ thống thông tin quan trọng về ANQG

• Thành lập lực lượng chuyên biệt vận hành, bảo vệ an ninh mạng cho hệ thông thông tin quan trọng về ANQG.
• Đào tạo nhận thức về trách nhiệm pháp lý, vị trí, vai trò và kỹ năng chuyên môn nâng cao cho lực lượng chuyên biệt.
• Định kỳ tổ chức sát hạch các cá nhân tham gia bảo vệ an ninh mạng cho hệ thống thông tin quan trọng về ANQG.

Cần thiết

STT

Yêu cầu

Nội dung thực hiện

Khuyến cáo áp dụng

14.1

Thiết lập và duy trì bản kiểm kê các nhà cung cấp dịch vụ

• Lập danh sách, theo dõi, cập nhật trạng thái các nhà cung cấp dịch vụ.
• Thực hiện phân loại các nhà cung cấp dịch vụ trong danh sách quản lý.
• Có văn bản xác định rõ phạm vi trách nhiệm của nhà cung cấp và tổ chức.
• Xem xét và cập nhật danh sách tối thiểu 01 lần/năm hoặc khi xảy ra thay đổi ảnh hưởng đến danh sách này.

Cần thiết

14.2

Thiết lập và duy trì quy định quản lý nhà cung cấp dịch vụ

- Xây dựng, ban hành và bảo đảm tuân thủ quy định quản lý các nhà cung cấp dịch vụ.

Cần thiết

- Xem xét và cập nhật quy định tối thiểu 01 lần/năm hoặc khi xảy ra thay đôi ảnh hưởng đến quy định này.

14.3

Đảm bảo các hợp đồng cung cấp dịch vụ có kèm theo các yêu cầu bảo mật

• Đảm bảo các hợp đồng với nhà cung cấp dịch vụ bao gồm đầy đủ yêu cầu về bảo mật trong đó quy định trách nhiệm kết nối, chia sẻ thông tin giám sát an ninh mạng về Trung tâm An ninh mạng quốc gia để quản lý, hỗ trợ giám sát, điều phối ứng phó sự cố tấn công mạng nếu xảy ra.
• Đánh giá và cập nhật hợp đồng của nhà cung cấp dịch vụ hàng năm để bảo đảm đầy đủ các yêu cầu bảo mật.

Cần thiết

14.4

Thực hiện theo dõi các nhà cung cấp dịch vụ

Giám sát các nhà cung cấp dịch vụ thực hiện quy định quản lý cung cấp dịch vụ của tổ chức.

Cần thiết

14.5

Rà soát vấn đề bảo mật khi kết thúc hợp đồng với các nhà cung cấp dịch vụ

Rà soát vấn đề bảo mật khi kết thúc hợp đồng với các nhà cung cấp dịch vụ.

Cần thiết

14.6

Cấp phép hoặc kiểm tra an ninh đối với cá nhân, nhà cung cấp dịch vụ

Các cá nhân, nhà cung cấp dịch vụ cho chủ quản hệ thống thông tin quan trọng về ANQG phải được Bộ Công an thẩm tra lý lịch nhân sự.

Cần thiết

STT

Yêu cầu

Nội dung thực hiện

Khuyến cáo áp dụng

15.1

Thiết lập và duy trì quy trình phát triển ứng dụng an toàn

• Xây dựng, ban hành và bảo đảm tuân thủ quy trình phát triển ứng dụng an toàn.
• Đánh giá và cập nhật quy trình tối thiểu 01 lần/năm hoặc khi xảy ra các thay đổi có thể ảnh hưởng đến quy trình.

cần thiết

15.2

Thiết lập và duy trì quy trình tiếp nhận và xử lý các lỗ hổng bảo mật phần mềm

• Xây dựng, ban hành và bảo đảm tuân thủ quy trình tiếp nhận và xử lý các báo cáo về lỗ hổng bảo mật phần mềm, bao gồm cả việc cung cấp phương tiện đê các thực thể bên ngoài báo cáo.
• Quản lý, theo dõi lỗ hổng bảo mật phần mềm bao gồm xếp hạng mức độ nghiêm trọng và chỉ số đo lường thời gian để xác định, phân tích và khắc phục các lỗ hổng.
• Đánh giá và cập nhật quy trình tối thiểu 01 lần/năm hoặc khi xảy ra các thay đổi có thể ảnh hưởng đến quy trình.

Cần thiết

15.3

Thực hiện phân tích nguyên nhân cốt lõi của các lỗ hổng bảo mật

Thực hiện phân tích nguyên nhân cốt lõi của các lỗ hổng bảo mật.

Cần thiết

15.4

Thiết lập và quản trị hệ thống kiểm kê các cấu thành phần mềm của bên thứ ba

• Thiết lập và quản lý một danh sách cập nhật các thành phần của bên thứ ba được sử dụng trong quá trình phát triển (thư viện, mô đun...) và các thành phần dự kiến sẽ sử dụng trong tương lai để phát triển phần mềm.
• Danh sách bao gồm các nguy cơ an ninh mạng mà mỗi thành phần bên thứ ba có thể gây ra.
• Đánh giá và cật nhật danh sách tối thiểu 01 lần/tháng.

Cần thiết

15.5

Tách biệt môi trường cho các hoạt động phát triển, kiểm thử và vận hành

Duy trì việc tách biệt môi trường vận hành chính thức (Production), môi trường kiểm thử (Testing) và môi trường phát triển ứng dụng (Development).

Cần thiết

15.6

Đào tạo về bảo mật và lập trình an toàn

• Đảm bảo tất cả nhân viên phát triển phần mềm được đào tạo về trách nhiệm và phương thức phát triển phần mềm an toàn đối với từng môi trường/ giải pháp cụ thể.
• Thực hiện đào tạo tối thiểu 01 lần/năm.

Cần thiết

15.7

Kết hợp các nguyên tắc bảo mật

Kết hợp các nguyên tắc bảo mật trong quá trình xây dựng kiến trúc ứng dụng.

Cần thiết