Môi giới chuyên nghiệp
Quyết định 326/QĐ-BYT năm 2024 về Quy chế đảm bảo an toàn thông tin, an ninh mạng của Bộ Y tế
| Số hiệu | 326/QĐ-BYT |
| Ngày ban hành | 07/02/2024 |
| Ngày có hiệu lực | 07/02/2024 |
| Loại văn bản | Quyết định |
| Cơ quan ban hành | Bộ Y tế |
| Người ký | Trần Văn Thuấn |
| Lĩnh vực | Công nghệ thông tin |
|
BỘ Y TẾ |
CỘNG HÒA XÃ HỘI
CHỦ NGHĨA VIỆT NAM |
|
Số: 326/QĐ-BYT |
Hà Nội, ngày 07 tháng 02 năm 2024 |
BAN HÀNH QUY CHẾ BẢO ĐẢM AN TOÀN THÔNG TIN, AN NINH MẠNG CỦA BỘ Y TẾ
Căn cứ Luật An toàn thông tin mạng ngày 19 tháng 11 năm 2015;
Căn cứ Luật An ninh mạng ngày 12 tháng 6 năm 2018;
Căn cứ Nghị định số 95/2022/NĐ-CP ngày 15 tháng 11 năm 2022 của Chính phủ quy định chức năng, nhiệm vụ quyền hạn và cơ cấu tổ chức của Bộ Y tế;
Căn cứ Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;
Căn cứ Nghị định số 04/2019/NĐ-CP ngày 27 tháng 12 năm 2019 của Chính phủ quy định chi tiết trình tự, thủ tục áp dụng một số biện pháp bảo vệ an ninh mạng;
Căn cứ Nghị định số 53/2022/NĐ-CP ngày 15 tháng 8 năm 2022 của Chính phủ quy định chi tiết một số điều của Luật An ninh mạng;
Căn cứ Nghị định số 13/2023/NĐ-CP ngày 17 tháng 4 năm 2023 của Chính phủ về bảo vệ dữ liệu cá nhân;
Căn cứ Quyết định số 05/2017/QĐ-TTg ngày 16 tháng 3 năm 2017 của Thủ tướng Chính phủ ban hành quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia;
Căn cứ Quyết định số 12/QĐ-TTg ngày 01 tháng 02 năm 2019 của Thủ tướng Chính phủ ban hành Kế hoạch triển khai thi hành Luật An ninh mạng;
Căn cứ Chỉ thị số 01/CT-TTg ngày 18 tháng 02 năm 2021 của Thủ tướng Chính phủ về tăng cường công tác bảo vệ an ninh mạng trong tình hình hiện nay;
Căn cứ Thông tư số 20/2017/TT-BTTTT ngày 12 tháng 9 năm 2017 của Bộ Thông tin và Truyền thông quy định về điều phối, ứng cứu sự cố An toàn thông tin mạng trên toàn quốc;
Căn cứ Thông tư số 27/2017/TT-BTTTT ngày 20 tháng 10 năm 2017 của Bộ Thông tin và Truyền thông quy định về quản lý, vận hành, kết nối, sử dụng và bảo đảm an toàn thông tin trên mạng truyền số liệu chuyên dùng của các cơ quan Đảng, Nhà nước; Thông tư số 12/2019/TT-BTTTT ngày 05 tháng 11 năm 2019 của Bộ Thông tin và Truyền thông về Sửa đổi, bổ sung một số điều của Thông tư số 27/2017/TT-BTTTT ngày 20 tháng 10 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền thông quy định về quản lý, vận hành, kết nối, sử dụng và bảo đảm an toàn thông tin trên mạng truyền số liệu chuyên dùng của các cơ quan Đảng, Nhà nước;
Căn cứ Thông tư số 31/2017/TT-BTTTT ngày 15 tháng 11 năm 2017 của Bộ Thông tin và Truyền thông quy định hoạt động giám sát an toàn hệ thống thông tin;
Căn cứ Thông tư số 12/2022/TT-BTTTT ngày 12 tháng 8 năm 2022 của Bộ Thông tin và Truyền thông quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;
Theo đề nghị của Cục trưởng Cục Khoa học công nghệ và Đào tạo;
QUYẾT ĐỊNH:
|
|
KT. BỘ TRƯỞNG |
BẢO
ĐẢM AN TOÀN THÔNG TIN, AN NINH MẠNG CỦA BỘ Y TẾ
(Kèm theo Quyết định số 326/QĐ-BYT ngày 07/02/2024 của Bộ trưởng Bộ Y tế)
|
BỘ Y TẾ |
CỘNG HÒA XÃ HỘI
CHỦ NGHĨA VIỆT NAM |
|
Số: 326/QĐ-BYT |
Hà Nội, ngày 07 tháng 02 năm 2024 |
BAN HÀNH QUY CHẾ BẢO ĐẢM AN TOÀN THÔNG TIN, AN NINH MẠNG CỦA BỘ Y TẾ
Căn cứ Luật An toàn thông tin mạng ngày 19 tháng 11 năm 2015;
Căn cứ Luật An ninh mạng ngày 12 tháng 6 năm 2018;
Căn cứ Nghị định số 95/2022/NĐ-CP ngày 15 tháng 11 năm 2022 của Chính phủ quy định chức năng, nhiệm vụ quyền hạn và cơ cấu tổ chức của Bộ Y tế;
Căn cứ Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;
Căn cứ Nghị định số 04/2019/NĐ-CP ngày 27 tháng 12 năm 2019 của Chính phủ quy định chi tiết trình tự, thủ tục áp dụng một số biện pháp bảo vệ an ninh mạng;
Căn cứ Nghị định số 53/2022/NĐ-CP ngày 15 tháng 8 năm 2022 của Chính phủ quy định chi tiết một số điều của Luật An ninh mạng;
Căn cứ Nghị định số 13/2023/NĐ-CP ngày 17 tháng 4 năm 2023 của Chính phủ về bảo vệ dữ liệu cá nhân;
Căn cứ Quyết định số 05/2017/QĐ-TTg ngày 16 tháng 3 năm 2017 của Thủ tướng Chính phủ ban hành quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia;
Căn cứ Quyết định số 12/QĐ-TTg ngày 01 tháng 02 năm 2019 của Thủ tướng Chính phủ ban hành Kế hoạch triển khai thi hành Luật An ninh mạng;
Căn cứ Chỉ thị số 01/CT-TTg ngày 18 tháng 02 năm 2021 của Thủ tướng Chính phủ về tăng cường công tác bảo vệ an ninh mạng trong tình hình hiện nay;
Căn cứ Thông tư số 20/2017/TT-BTTTT ngày 12 tháng 9 năm 2017 của Bộ Thông tin và Truyền thông quy định về điều phối, ứng cứu sự cố An toàn thông tin mạng trên toàn quốc;
Căn cứ Thông tư số 27/2017/TT-BTTTT ngày 20 tháng 10 năm 2017 của Bộ Thông tin và Truyền thông quy định về quản lý, vận hành, kết nối, sử dụng và bảo đảm an toàn thông tin trên mạng truyền số liệu chuyên dùng của các cơ quan Đảng, Nhà nước; Thông tư số 12/2019/TT-BTTTT ngày 05 tháng 11 năm 2019 của Bộ Thông tin và Truyền thông về Sửa đổi, bổ sung một số điều của Thông tư số 27/2017/TT-BTTTT ngày 20 tháng 10 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền thông quy định về quản lý, vận hành, kết nối, sử dụng và bảo đảm an toàn thông tin trên mạng truyền số liệu chuyên dùng của các cơ quan Đảng, Nhà nước;
Căn cứ Thông tư số 31/2017/TT-BTTTT ngày 15 tháng 11 năm 2017 của Bộ Thông tin và Truyền thông quy định hoạt động giám sát an toàn hệ thống thông tin;
Căn cứ Thông tư số 12/2022/TT-BTTTT ngày 12 tháng 8 năm 2022 của Bộ Thông tin và Truyền thông quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;
Theo đề nghị của Cục trưởng Cục Khoa học công nghệ và Đào tạo;
QUYẾT ĐỊNH:
|
|
KT. BỘ TRƯỞNG |
BẢO
ĐẢM AN TOÀN THÔNG TIN, AN NINH MẠNG CỦA BỘ Y TẾ
(Kèm theo Quyết định số 326/QĐ-BYT ngày 07/02/2024 của Bộ trưởng Bộ Y tế)
Điều 1. Phạm vi điều chỉnh và đối tượng áp dụng
1. Phạm vi điều chỉnh: Quy chế này quy định về bảo đảm an toàn thông tin, an ninh mạng trong các hoạt động ứng dụng công nghệ thông tin của Bộ Y tế (sau đây gọi tắt là Bộ).
2. Đối tượng áp dụng:
a) Các cơ quan, đơn vị thuộc và trực thuộc Bộ (sau đây gọi tắt là đơn vị) và cán bộ, công chức, viên chức, người lao động của các đơn vị thuộc và trực thuộc Bộ (sau đây gọi tắt là cá nhân) tham gia hoạt động ứng dụng công nghệ thông tin của Bộ.
b) Cơ quan, tổ chức, cá nhân có kết nối vào hệ thống mạng của Bộ.
c) Cơ quan, tổ chức, cá nhân cung cấp dịch vụ công nghệ thông tin và an toàn thông tin mạng cho các đơn vị thuộc, trực thuộc Bộ.
Trong Quy chế này, các từ ngữ dưới đây được hiểu như sau:
1. Trung tâm dữ liệu (Data center): là tòa nhà hoặc một phần của tòa nhà có chức năng chính là chứa một phòng máy chủ và các khu vực hỗ trợ.
2. Phòng máy chủ: bao gồm hệ thống máy chủ, thiết bị chuyển mạch, thiết bị định tuyến, thiết bị lưu trữ, thiết bị bảo đảm an toàn thông tin mạng, thiết bị ngoại vi, thiết bị phụ trợ, đường truyền kết nối Internet và thiết bị phòng cháy, chữa cháy, chống sét và các thiết bị khác theo quy định.
3. Trang thiết bị công nghệ thông tin cá nhân: bao gồm máy tính để bàn, máy tính xách tay, thiết bị số (máy tính bảng, điện thoại thông minh,...) cá nhân.
Điều 3. Phạm vi bảo đảm an toàn thông tin, an ninh mạng
1. Trung tâm dữ liệu/Phòng máy chủ của Bộ và các đơn vị thuộc, trực thuộc Bộ.
2. Hệ thống mạng nội bộ (LAN), mạng diện rộng (WAN), mạng có kết nối Internet.
3. Máy tính, thiết bị ngoại vi, hệ thống thông tin, phần mềm, ứng dụng nghiệp vụ và cơ sở dữ liệu phục vụ công tác quản lý, điều hành, nghiệp vụ của Bộ và các đơn vị thuộc, trực thuộc Bộ.
4. Các hệ thống thông tin và cơ sở dữ liệu phục vụ công tác quản lý, điều hành nghiệp vụ của Bộ.
5. Các trang thiết bị công nghệ thông tin cá nhân.
Điều 4. Nguyên tắc bảo đảm an toàn thông tin, an ninh mạng
1. Bảo đảm an toàn thông tin, an ninh mạng là yêu cầu bắt buộc, thường xuyên, liên tục, đồng bộ từ khi thiết kế, xây dựng, vận hành, nâng cấp và hủy bỏ (dừng hoạt động) hệ thống thông tin. Bảo đảm an toàn thông tin, an ninh mạng phải tuân thủ các nguyên tắc chung, được quy định tại Điều 4 Luật An toàn thông tin mạng, Điều 4 Luật An ninh mạng, Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ (Nghị định số 85/2016/NĐ-CP).
2. Đơn vị vận hành hệ thống thông tin có trách nhiệm bảo đảm an toàn thông tin, an ninh mạng đối với hệ thống thông tin của đơn vị mình quản lý và sử dụng; bố trí nhân sự để sẵn sàng xử lý sự cố an toàn thông tin, an ninh mạng đối với các hệ thống thông tin do đơn vị mình quản lý.
3. Cá nhân có trách nhiệm bảo đảm an toàn thông tin, an ninh mạng trong phạm vi xử lý công việc của mình theo quy định của Nhà nước và của Bộ.
4. Thông tin mật, thông tin thuộc Danh mục bí mật nhà nước ngành y tế phải được bảo vệ theo quy định của Nhà nước, quy định của Bộ Y tế về công tác bảo vệ bí mật nhà nước và các nội dung tương ứng trong Quy chế này.
5. Xử lý sự cố an toàn thông tin, an ninh mạng phải phù hợp với trách nhiệm, quyền hạn, bảo đảm lợi ích hợp pháp của đơn vị, cá nhân liên quan và theo quy định của pháp luật.
Điều 5. Các hành vi bị nghiêm cấm
1. Các hành vi bị nghiêm cấm được quy định tại Điều 7 Luật An toàn thông tin mạng và Điều 8 Luật An ninh mạng.
2. Tự ý đấu nối thiết bị mạng, thiết bị cấp phát địa chỉ mạng, thiết bị phát sóng như điểm truy cập mạng không dây của cá nhân vào mạng nội bộ; trên cùng một thiết bị thực hiện đồng thời truy cập vào mạng nội bộ và truy cập Internet bằng thiết bị kết nối Internet của cá nhân (như điện thoại di động, máy tính bảng, máy tính xách tay, USB 3G/4G/5G, ...).
3. Tự ý thay đổi, gỡ bỏ các biện pháp an toàn thông tin, an ninh mạng được cài đặt trên thiết bị công nghệ thông tin phục vụ công việc; tự ý thay thế, lắp mới, tráo đổi thành phần của máy tính phục vụ công việc.
4. Tạo ra, cài đặt, phát tán phần mềm độc hại.
5. Cản trở hoạt động cung cấp dịch vụ của hệ thống thông tin; ngăn chặn việc truy nhập đến thông tin của cơ quan, cá nhân khác trên môi trường mạng, trừ trường hợp pháp luật cho phép.
6. Bẻ khóa, trộm cắp, sử dụng mật khẩu, khóa mật mã và thông tin của cơ quan, cá nhân khác trên môi trường mạng.
7. Các hành vi khác làm mất an toàn, bí mật thông tin của cơ quan, cá nhân khác được trao đổi, truyền đưa, lưu trữ trên môi trường mạng.
QUY ĐỊNH BẢO ĐẢM AN TOÀN THÔNG TIN, AN NINH MẠNG
Điều 6. Bảo đảm an toàn thông tin, an ninh mạng tại Trung tâm dữ liệu/Phòng máy chủ
1. Trung tâm Thông tin y tế Quốc gia là đơn vị quản lý, vận hành Trung tâm dữ liệu của Bộ, có trách nhiệm xây dựng nội quy, quy chế quản lý, vận hành, bảo đảm an toàn thông tin, an ninh mạng đối với Trung tâm dữ liệu của Bộ.
2. Đơn vị quản lý vận hành Trung tâm dữ liệu/Phòng máy chủ của các đơn vị có trách nhiệm xây dựng nội quy, quy chế quản lý, vận hành, bảo đảm an toàn thông tin, an ninh mạng đối với Trung tâm dữ liệu/Phòng máy chủ của đơn vị.
3. Bảo đảm vận hành Trung tâm dữ liệu/Phòng máy chủ
a) Trung tâm dữ liệu/Phòng máy chủ là khu vực hạn chế tiếp cận, chỉ những cá nhân có quyền, nhiệm vụ theo quy định của thủ trưởng đơn vị mới được phép vào Trung tâm dữ liệu/Phòng máy chủ. Việc vào, ra Trung tâm dữ liệu/Phòng máy chủ phải được kiểm soát bằng thiết bị bảo vệ (quẹt thẻ, vân tay, sinh trắc học,...);
b) Các thiết bị kết nối mạng, thiết bị bảo mật quan trọng như tường lửa (firewall), thiết bị định tuyến (router), hệ thống máy chủ, hệ thống lưu trữ SAN, NAS, ... phải được đặt trong Trung tâm dữ liệu/Phòng máy chủ và phải được thiết lập cơ chế bảo vệ, theo dõi phát hiện xâm nhập, biện pháp kiểm soát truy nhập, kết nối vật lý phù hợp với từng khu vực: máy chủ và hệ thống lưu trữ; tủ mạng và đầu nối; thiết bị nguồn điện và dự phòng điện khẩn cấp; vận hành, kiểm soát, quản trị hệ thống. Đơn vị chủ quản Trung tâm dữ liệu/Phòng máy chủ có trách nhiệm xây dựng nội quy hoặc hướng dẫn làm việc khu vực này.
c) Trung tâm dữ liệu/Phòng máy chủ phải được trang bị hệ thống lưu điện đủ công suất và duy trì thời gian hoạt động của các máy chủ ít nhất 15 phút khi có sự cố mất điện.
Điều 7. Bảo đảm an toàn thông tin, an ninh của hệ thống mạng
1. Hệ thống mạng nội bộ (LAN) phải được thiết kế số lượng phân vùng mạng theo cấp độ hệ thống thông tin. Dữ liệu trao đổi giữa các vùng mạng phải được quản lý giám sát bởi các hệ thống các thiết bị mạng, thiết bị bảo mật. Căn cứ điều kiện, yêu cầu thực tế về bảo mật dữ liệu, đơn vị là chủ quản hệ thống mạng nội bộ chủ động triển khai xây dựng mô hình, giải pháp an toàn, bảo mật bao gồm:
a) Kiểm soát truy nhập từ bên ngoài mạng (sử dụng các giao thức mạng có hỗ trợ chức năng mã hóa thông tin như SSH, SSL/TLS, VPN hoặc tương đương).
b) Kiểm soát truy nhập từ bên trong mạng (quản lý các thiết bị đầu cuối, máy tính người sử dụng kết nối vào hệ thống mạng; giám sát, phát hiện và ngăn chặn truy nhập từ bên trong mạng đến các địa chỉ Internet bị cấm truy nhập).
c) Phòng, chống xâm nhập và phần mềm độc hại, bảo vệ các vùng mạng máy chủ công cộng, máy chủ nội bộ, máy chủ cơ sở dữ liệu và vùng mạng nội bộ. Phát hiện và vô hiệu hóa tất cả các dịch vụ không cần thiết tại từng vùng mạng có thể gây mất an toàn, an ninh thông tin.
d) Cấu hình chức năng xác thực trên các thiết bị kết nối mạng để xác thực người sử dụng quản trị thiết bị trực tiếp hoặc từ xa.
đ) Đối với mạng không dây, phải có giải pháp bảo toàn tính toàn vẹn và bí mật của thông tin được truyền đưa trên môi trường mạng, có hướng dẫn bảo đảm an toàn thông tin dành cho các thiết bị đầu cuối khi kết nối vào mạng. Việc thay đổi mật khẩu định kỳ, các điểm truy nhập không dây phải được bảo vệ, tránh bị tiếp cận trái phép.
e) Hệ thống máy chủ phải có chức năng tự động cập nhật bản ghi và lưu nhật ký hệ thống trong khoảng thời gian nhất định (tối thiểu 06 tháng), lưu trữ thông tin kết nối mạng, quá trình đăng nhập vào máy chủ, các thao tác cấu hình hệ thống, lỗi phát sinh trong quá trình hoạt động và các thông tin liên quan về an toàn thông tin để bảo đảm công tác khắc phục sự cố, điều tra về an toàn thông tin. Xóa sạch thông tin, dữ liệu trên máy chủ khi chuyển giao hoặc thay đổi mục đích sử dụng.
2. Áp dụng các biện pháp kỹ thuật cần thiết bảo đảm an toàn thông tin, an ninh mạng trong hoạt động kết nối Internet, tối thiểu đáp ứng các yêu cầu sau:
a) Có hệ thống tường lửa, hệ thống bảo vệ kiểm soát truy nhập Internet, đáp ứng nhu cầu kết nối đồng thời; hỗ trợ các công nghệ mạng riêng ảo; quản lý luồng dữ liệu ra, vào và có khả năng bảo vệ hệ thống trước các loại tấn công mạng.
b) Lọc bỏ, không cho phép truy nhập các trang tin có nghi ngờ chứa mã độc hoặc các nội dung không phù hợp.
c) Chỉ thiết lập kết nối Internet cho các máy chủ và thiết bị công nghệ thông tin cần phải có giao tiếp với Internet.
3. Các đường truyền dữ liệu, đường truyền Internet và các hệ thống dây dẫn mạng LAN, WAN phải được lắp đặt trong ống, máng che đậy kín, hạn chế khả năng tiếp cận trái phép. Ngắt kết nối cổng Ethernet không sử dụng, đặc biệt là ở khu vực làm việc chung của các cơ quan, đơn vị.
1. Bảo đảm an toàn thông tin, an ninh mạng trong xây dựng, nâng cấp hệ thống thông tin và các cơ sở dữ liệu,
a) Khi xây dựng mới hoặc nâng cấp hệ thống thông tin, các cơ sở dữ liệu, đơn vị vận hành hệ thống thông tin có trách nhiệm xây dựng phương án bảo đảm an toàn, an ninh cho các hệ thống thông tin, cơ sở dữ liệu; rà soát cấp độ an toàn của hệ thống thông tin và thực hiện điều chỉnh hồ sơ đề xuất cấp độ trong trường hợp cần thiết.
b) Quá trình tổ chức xây dựng, nâng cấp hệ thống thông tin phải tuân thủ phương án bảo đảm an toàn thông tin, an ninh mạng và các quy định liên quan.
2. Bảo đảm an toàn thông tin, an ninh mạng khi đưa vào khai thác sử dụng hệ thống thông tin và các cơ sở dữ liệu.
a) Bảo đảm an toàn thông tin, an ninh mạng trong quản lý hệ thống thông tin:
- Chủ quản hệ thống thông tin chịu trách nhiệm bảo đảm an toàn thông tin cho các hệ thống thông tin theo quy định tại các Điều 22, 23, 24 Luật An toàn thông tin mạng và Khoản 2 Điều 17, các Điều 18, 19, 20, 21, 22 của Luật An ninh mạng.
b) Bảo đảm an toàn thông tin, an ninh mạng trong vận hành hệ thống thông tin:
- Đơn vị vận hành hệ thống thông tin phải thực hiện các quy định về bảo đảm an toàn thông tin theo Điều 22 Nghị định số 85/2016/NĐ-CP.
- Đơn vị vận hành hệ thống thông tin thường xuyên kiểm tra, giám sát an toàn hệ thống thông tin; tuân thủ quy trình vận hành, quy trình xử lý sự cố đã xây dựng; lưu trữ đầy đủ nhật ký hệ thống thông tin để phục vụ quản lý và kiểm soát thông tin.
c) Bảo đảm an toàn thông tin, an ninh mạng trong quản lý và sử dụng tài khoản truy cập các hệ thống thông tin:
- Khi được cấp tài khoản sử dụng hệ thống thông tin, cá nhân phải đổi mật khẩu trong lần đăng nhập đầu tiên; mật khẩu phải đủ mạnh (có độ dài ít nhất 8 ký tự, gồm: chữ cái hoa và thường, chữ số và ký tự đặc biệt); thay đổi mật khẩu tối thiểu 06 tháng/lần. Cá nhân có trách nhiệm bảo mật thông tin tài khoản truy nhập, không chia sẻ mật khẩu với người khác. Đăng xuất hệ thống thông tin khi không sử dụng.
- Khi cá nhân thay đổi vị trí, chuyển công tác, thôi việc, nghỉ hưu hoặc cần tạm khóa quyền truy cập tài khoản người sử dụng, đơn vị quản lý cá nhân đó phải thông báo cho đơn vị vận hành hệ thống thông tin thực hiện điều chỉnh, tạm khóa, thu hồi hoặc hủy bỏ tài khoản.
- Đơn vị vận hành hệ thống thông tin có quyền khóa quyền truy cập của tài khoản trong trường hợp tài khoản đó thực hiện các hành vi tấn công hoặc để xảy ra vấn đề mất an toàn thông tin. Hạn chế dùng chung tài khoản quản trị.
d) Bảo đảm an toàn thông tin mức ứng dụng
- Yêu cầu về bảo đảm an toàn thông tin phải được đưa vào tất cả các công đoạn thiết kế, xây dựng, triển khai và vận hành, sử dụng phần mềm, ứng dụng.
- Phần mềm, ứng dụng phải đáp ứng các yêu cầu sau: cấu hình phần mềm, ứng dụng để xác thực người sử dụng; giới hạn số lần đăng nhập sai liên tiếp; giới hạn thời gian để chờ đóng phiên kết nối; mã hóa thông tin xác thực trên hệ thống; không khuyến khích việc đăng nhập tự động.
- Thiết lập, phân quyền truy nhập, quản trị, sử dụng tài nguyên khác nhau của phần mềm, ứng dụng với người sử dụng/nhóm người sử dụng có chức năng, yêu cầu nghiệp vụ khác nhau; tách biệt cổng giao tiếp quản trị phần mềm ứng dụng với cổng giao tiếp cung cấp dịch vụ; đóng các cổng giao tiếp không sử dụng.
- Chỉ cho phép sử dụng các giao thức mạng có hỗ trợ chức năng mã hóa thông tin như SSH, SSL, VPN hoặc tương đương khi truy nhập, quản trị phần mềm, ứng dụng từ xa trên môi trường mạng; hạn chế truy cập đến mã nguồn của phần mềm, ứng dụng và phải đặt mã nguồn trong môi trường an toàn do bộ phận chuyên trách công nghệ thông tin quản lý.
- Ghi và lưu giữ bản ghi nhật ký hệ thống của phần mềm, ứng dụng trong khoảng thời gian tối thiểu 03 tháng với những thông tin cơ bản: thời gian, địa chỉ, tài khoản (nếu có), nội dung truy nhập và sử dụng phần mềm, ứng dụng; các lỗi phát sinh trong quá trình hoạt động; thông tin đăng nhập khi quản trị.
- Phần mềm, ứng dụng cần được kiểm tra phát hiện và khắc phục các điểm yếu về an toàn, an ninh thông tin trước khi đưa vào sử dụng và trong quá trình sử dụng.
- Phần mềm, ứng dụng cần được kiểm tra phát hiện và khắc phục các điểm yếu về an toàn, an ninh thông tin trước khi đưa vào thiết bị kết nối mạng đang hoạt động thuộc hệ thống mạng nội bộ.
đ) Bảo đảm an toàn thông tin mức dữ liệu, cơ sở dữ liệu
- Đơn vị phải thực hiện bảo vệ thông tin, dữ liệu liên quan đến hoạt động công vụ, thông tin có nội dung quan trọng, nhạy cảm hoặc không phải là thông tin công khai bằng các biện pháp như: thiết lập phương án bảo đảm tính bí mật, nguyên vẹn và khả dụng của thông tin, dữ liệu; mã hóa thông tin, dữ liệu khi lưu trữ trên hệ thống/thiết bị lưu trữ dữ liệu di động; sử dụng chữ ký số để xác thực và bảo mật thông tin, dữ liệu.
- Đơn vị cần triển khai hệ thống/phương tiện lưu trữ độc lập với hệ thống lưu trữ trên các máy chủ dịch vụ để sao lưu dự phòng; phân loại và quản lý thông tin, dữ liệu được lưu trữ theo từng loại/nhóm thông tin được gán nhãn khác nhau; thực hiện sao lưu dự phòng các thông tin, dữ liệu cơ bản sau: tập tin cấu hình hệ thống, ảnh hệ điều hành máy chủ, cơ sở dữ liệu; dữ liệu, thông tin nghiệp vụ.
- Đơn vị cần bố trí máy tính riêng không kết nối mạng, đặt mật khẩu, mã hóa dữ liệu và các biện pháp bảo mật khác bảo đảm an toàn thông tin để soạn thảo, lưu trữ dữ liệu, thông tin và tài liệu quan trọng ở các mức độ mật, tuyệt mật, tối mật.
- Các đơn vị thuộc, trực thuộc Bộ phải thường xuyên kiểm tra, giám sát các hoạt động chia sẻ, gửi, nhận thông tin, dữ liệu trong hoạt động nội bộ của mình; khuyến cáo việc chia sẻ, gửi, nhận thông tin trên môi trường mạng cần phải sử dụng mật khẩu để bảo vệ thông tin.
- Đối với hoạt động trao đổi thông tin, dữ liệu với bên ngoài, đơn vị và cá nhân thực hiện trao đổi thông tin, dữ liệu ra bên ngoài cam kết và có biện pháp bảo mật thông tin, dữ liệu được trao đổi. Giao dịch trực tuyến phải được truyền đầy đủ, đúng địa chỉ, tránh bị sửa đổi, tiết lộ hoặc nhân bản một cách trái phép; sử dụng các cơ chế xác thực mạnh, chữ ký số khi tham gia giao dịch, sử dụng các giao thức truyền thông an toàn.
Điều 9. Bảo đảm an toàn thông tin, an ninh mạng khi sử dụng máy tính và thiết bị ngoại vi
1. Máy tính và thiết bị ngoại vi của đơn vị phải được cài đặt hệ điều hành, phần mềm soạn thảo văn bản, phần mềm chuyên dụng để xử lý công việc và tuân thủ các quy định sau:
a) Chỉ cài đặt phần mềm hợp lệ (phần mềm có bản quyền thương mại, phần mềm nội bộ hoặc phần mềm mã nguồn mở được đầu tư (hoặc thuê dịch vụ) có nguồn gốc rõ ràng) và thuộc danh mục phần mềm được phép sử dụng do đơn vị có thẩm quyền của Bộ Y tế ban hành (nếu có); không được tự ý cài đặt hoặc gỡ bỏ các phần mềm khi chưa có sự đồng ý của bộ phận chuyên trách về công nghệ thông tin; thường xuyên cập nhật phần mềm và hệ điều hành.
b) Cài đặt phần mềm xử lý phần mềm độc hại và thiết lập chế độ tự động cập nhật cơ sở dữ liệu cho phần mềm; thực hiện kiểm tra, rà quét phần mềm độc hại khi sao chép, mở các tập tin hoặc trước khi kết nối các thiết bị lưu trữ dữ liệu di động với máy tính của mình.
c) Khi phát hiện bất kỳ dấu hiệu nào liên quan đến việc bị nhiễm phần mềm độc hại trên máy tính (máy chạy chậm bất thường, cảnh báo từ phần mềm phòng, chống phần mềm độc hại, mất dữ liệu,...), phải tắt máy và báo trực tiếp cho bộ phận chuyên trách về công nghệ thông tin để được xử lý kịp thời.
d) Chỉ truy nhập vào các trang/cổng thông tin điện tử, ứng dụng trực tuyến tin cậy và các thông tin phù hợp với chức năng, trách nhiệm, quyền hạn của mình; sử dụng những trình duyệt an toàn; không truy nhập, mở các trang tin, thư điện tử không rõ nguồn gốc; không sử dụng tính năng lưu mật khẩu tự động hoặc đăng nhập tự động.
đ) Có trách nhiệm bảo mật tài khoản truy nhập thông tin, không chia sẻ mật khẩu, thông tin cá nhân với người khác. Đặt mật khẩu với độ an toàn cao (tối thiểu 8 ký tự bao gồm: có chữ thường, có chữ in hoa, có số và ký tự đặc biệt như @, #, !,...) và thay đổi mật khẩu tối thiểu 6 tháng/lần; các tài khoản đăng nhập các hệ thống phải được đăng xuất khi không sử dụng; thường xuyên xóa bộ nhớ cache và cookie trong trình duyệt trên máy tính.
e) Thực hiện thao tác khóa máy tính (sử dụng tính năng có sẵn trên máy tính) khi rời khỏi nơi đặt máy tính; tắt máy tính khi rời khỏi đơn vị.
2. Trước khi mang máy tính, thiết bị công nghệ thông tin có kết nối mạng thuộc sở hữu riêng đến nơi làm việc và kết nối với mạng nội bộ để thực hiện xử lý công việc phải báo cáo và phải được lãnh đạo đơn vị đồng ý, cho phép. Trong trường hợp này, cá nhân phải tuân thủ đầy đủ các quy định tại các điểm a, b, c, d, đ, e khoản 1 Điều này và chịu sự giám sát của bộ phận chuyên trách về công nghệ thông tin của đơn vị.
3. Đối với văn bản có nội dung bí mật nhà nước:
a) Các đơn vị phải bố trí ít nhất một máy tính, máy in (hoặc máy phô-tô) không kết nối mạng Internet, mạng máy tính, mạng viễn thông để soạn thảo các văn bản có nội dung bí mật nhà nước.
b) Công chức, viên chức, nhân viên được giao nhiệm vụ trong quá trình xử lý công việc, soạn thảo văn bản có nội dung bí mật nhà nước chỉ sử dụng máy vi tính không kết nối mạng Internet, mạng máy tính, mạng viễn thông; việc lưu trữ văn bản phải được thực hiện ở các thiết bị riêng biệt (như USB, ổ cứng di động đã được kiểm định hoặc vật có tính năng tương tự). Trường hợp không có thiết bị lưu trữ, khi soạn thảo tài liệu có nội dung bí mật phải đặt mã khóa bảo vệ bản mềm tại máy tính soạn thảo để bảo vệ bí mật nhà nước theo đúng quy định.
Điều 10. Quản lý trang thiết bị công nghệ thông tin, an toàn, an ninh thông tin đối với cá nhân
1. Quản lý trang thiết bị công nghệ thông tin đối với cá nhân:
a) Giao, gắn trách nhiệm cho cá nhân hoặc tập thể quản lý, sử dụng trang thiết bị công nghệ thông tin.
b) Quy định việc sử dụng, giữ gìn bảo vệ trang thiết bị công nghệ thông tin trong các trường hợp như: mang ra khỏi cơ quan, trang thiết bị công nghệ thông tin liên quan đến dữ liệu nhạy cảm, cài đặt và cấu hình.
c) Trang thiết bị công nghệ thông tin có lưu trữ dữ liệu nhạy cảm khi thay đổi mục đích sử dụng hoặc thanh lý, đơn vị phải thực hiện các biện pháp xóa, tiêu hủy dữ liệu đó đảm bảo không có khả năng phục hồi. Trường hợp không thể tiêu hủy được dữ liệu, đơn vị phải thực hiện tiêu hủy cấu phần lưu trữ dữ liệu trên trang thiết bị công nghệ thông tin đó.
d) Thiết bị tính toán có bộ phận lưu trữ hoặc thiết bị lưu trữ khi mang đi bảo hành, bảo dưỡng, sửa chữa bên ngoài hoặc ngừng sử dụng phải tháo bộ phận lưu trữ khỏi thiết bị hoặc xóa thông tin, dữ liệu lưu trữ trên thiết bị (trừ trường hợp để khôi phục dữ liệu).
đ) Các đơn vị trực thuộc Bộ có trách nhiệm bảo dưỡng, bảo trì và hướng dẫn cách sử dụng, quản lý, vận hành hệ thống hạ tầng kỹ thuật của mình; chỉ định bộ phận chuyên trách về công nghệ thông tin thực hiện quản lý, vận hành và định kỳ kiểm tra, sửa chữa, bảo trì thiết bị (bao gồm thiết bị đang hoạt động và thiết bị dự phòng).
2. Quản lý an toàn, an ninh thông tin đối với cá nhân:
a) Các đơn vị thuộc, trực thuộc Bộ phải xây dựng các yêu cầu, trách nhiệm bảo đảm an toàn, an ninh thông tin đối với từng vị trí công việc. Sau khi tuyển dụng, tiếp nhận nhân sự mới, đơn vị phải có trách nhiệm phổ biến cho nhân sự mới các quy định về bảo đảm an toàn, an ninh thông tin tại đơn vị; đối với các vị trí tiếp xúc, quản lý các thông tin, dữ liệu quan trọng hoặc quản trị các hệ thống thông tin quan trọng, đơn vị phải yêu cầu nhân sự mới cam kết bảo mật thông tin bằng văn bản hoặc cam kết trong hợp đồng làm việc, hợp đồng lao động.
b) Các đơn vị thuộc, trực thuộc Bộ phải thường xuyên tổ chức quán triệt các quy định về an toàn, an ninh thông tin, nhằm nâng cao nhận thức về trách nhiệm bảo đảm an toàn thông tin của từng cá nhân trong đơn vị.
c) Các đơn vị thuộc, trực thuộc Bộ phải xây dựng quy trình cấp mới, quản lý và thu hồi tài khoản, phân quyền truy cập các hệ thống thông tin và tất cả các tài sản liên quan đến hệ thống thông tin đối với các cá nhân do đơn vị quản lý.
d) Khi cá nhân chấm dứt hoặc thay đổi công việc, cơ quan, đơn vị phải:
- Xác định rõ trách nhiệm của cán bộ, nhân viên và các bên liên quan trong quản lý, sử dụng các tài sản công nghệ thông tin được giao.
- Lập biên bản bàn giao tài sản công nghệ thông tin.
- Thay đổi hoặc thu hồi quyền truy cập các hệ thống thông tin.
Điều 11. Xác định cấp độ và phương án bảo đảm an toàn thông tin, an ninh mạng hệ thống thông tin
1. Các hệ thống thông tin phải thực hiện bảo đảm an toàn thông tin, an ninh mạng theo cấp độ theo quy định tại Nghị định số 85/2016/NĐ-CP và Nghị định số 53/2022/NĐ-CP
2. Chủ quản hệ thống thông tin
a) Bộ Y tế là chủ quản hệ thống thông tin đối với các hệ thống do Bộ quyết định đầu tư hoặc Bộ được giao làm chủ đầu tư nhiệm vụ, dự án xây dựng, thiết lập, nâng cấp, mở rộng hệ thống thông tin. Bộ Y tế ủy quyền cho các đơn vị thuộc, trực thuộc Bộ quản lý trực tiếp các hệ thống do Bộ làm chủ quản thông qua một trong các văn bản sau: Quyết định phê duyệt dự án, trong đó giao đơn vị làm chủ đầu tư dự án; Thông tư của Bộ Y tế hoặc Quyết định của Bộ trưởng Bộ Y tế có nội dung giao đơn vị làm nhiệm vụ quản lý hệ thống; Văn bản ủy quyền theo quy định tại khoản 3 Điều 4 Thông tư số 12/2022/TT-BTTTT ngày 12 tháng 8 năm 2022 của Bộ Thông tin và Truyền thông quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ (Thông tư số 12/2022/TT-BTTTT).
b) Các đơn vị thuộc, trực thuộc Bộ là chủ quản hệ thống thông tin do đơn vị quyết định đầu tư dự án xây dựng, thiết lập, nâng cấp, mở rộng hệ thống thông tin; là chủ quản hệ thống thông tin do đơn vị phê duyệt đề cương, dự toán chi tiết; quản lý trực tiếp các hệ thống do Bộ Y tế ủy quyền theo quy định tại điểm a khoản này.
c) Chủ quản hệ thống thông tin (hoặc đơn vị được ủy quyền quản lý trực tiếp hệ thống thông tin) thực hiện trách nhiệm theo quy định tại Điều 20 Nghị định 85/2016/NĐ-CP.
3. Đơn vị vận hành hệ thống thông tin
a) Các hệ thống thông tin trước khi đưa vào khai thác, sử dụng phải được giao cho đơn vị quản lý, vận hành.
b) Đơn vị vận hành hệ thống thông tin theo quy định tại Điều 5 Thông tư số 12/2022/TT-BTTTT.
4. Đơn vị chuyên trách về an toàn thông tin
a) Cục Khoa học công nghệ và Đào tạo là đơn vị chuyên trách về an toàn thông tin của Bộ Y tế.
b) Đơn vị (hoặc bộ phận) chuyên trách về công nghệ thông tin đồng thời là đơn vị chuyên trách về an toàn thông tin tại các đơn vị thuộc, trực thuộc Bộ.
5. Thẩm quyền xác định cấp độ an toàn hệ thống thông tin
a) Đơn vị lập hồ sơ đề xuất cấp độ: Đối với các hệ thống thông tin thuộc các nhiệm vụ, dự án đang trong giai đoạn lập dự án, đơn vị lập dự án lập hồ sơ đề xuất cấp độ; Đối với các hệ thống thông tin thuê dịch vụ công nghệ thông tin, đơn vị chủ trì thuê dịch vụ lập hồ sơ đề xuất cấp độ; Đối với các hệ thống thông tin đang trong giai đoạn triển khai, đơn vị chủ trì triển khai lập hồ sơ đề xuất cấp độ; Đối với các hệ thống thông tin đang vận hành, đơn vị vận hành lập hồ sơ đề xuất cấp độ.
b) Đối với các hệ thống thông tin được đề xuất từ cấp độ 3 trở lên, đơn vị chuyên trách về an toàn thông tin của các đơn vị thuộc, trực thuộc Bộ cần gửi xin ý kiến chuyên môn của Cục Khoa học công nghệ và Đào tạo trước khi trình các cấp có thẩm quyền thẩm định, phê duyệt cấp độ.
c) Thẩm quyền thẩm định và phê duyệt cấp độ theo quy định tại điểm b, Khoản 1, Điều 12 của Thông tư số 12/2022/TT-BTTTT.
6. Trình tự, thủ tục xác định cấp độ hệ thống thông tin
a) Việc xác định, phân loại hệ thống thông tin theo quy định tại Điều 7 Thông tư số 12/2022/TT-BTTTT.
b) Nội dung của hồ sơ đề xuất cấp độ hệ thống thông tin theo quy định tại Điều 15 Nghị định 85/2016/NĐ-CP.
d) Nội dung, thời gian thẩm định hồ sơ đề xuất cấp độ hệ thống thông tin quy định tại Điều 16 Nghị định 85/2016/NĐ-CP.
e) Trình tự, thủ tục xác định cấp độ hệ thống thông tin theo quy định tại Điều 13, Điều 14 Nghị định 85/2016/NĐ-CP.
7. Phương án bảo đảm an toàn hệ thống thông tin
a) Phương án bảo đảm an toàn hệ thống thông tin phải phù hợp với cấp độ của hệ thống thông tin và đáp ứng yêu cầu quy định tại Thông tư số 12/2022/TT-BTTTT, phù hợp với tiêu chuẩn TCVN 11930:2017, các tiêu chuẩn, quy chuẩn kỹ thuật khác và chính sách an toàn thông tin mạng của Bộ Y tế, chính sách an toàn thông tin mạng của các đơn vị thuộc, trực thuộc Bộ (nếu có).
b) Chủ quản hệ thống thông tin hoặc đơn vị được ủy quyền quản lý trực tiếp hệ thống thông tin tổ chức triển khai phương án bảo đảm an toàn hệ thống thông tin sau khi hồ sơ đề xuất cấp độ hoặc phương án bảo đảm an toàn hệ thống được phê duyệt.
c) Đơn vị/bộ phận chuyên trách về an toàn thông tin thuộc đơn vị chịu trách nhiệm giám sát việc triển khai các phương án bảo đảm an toàn thông tin đã được phê duyệt.
2. Phương án bảo đảm an toàn thông tin, an ninh mạng hệ thống thông tin phải phù hợp với cấp độ của hệ thống thông tin và đáp ứng yêu cầu quy định tại Nghị định số 85/2016/NĐ-CP, Điều 24, Điều 25 của Nghị định số 53/2022/NĐ-CP, Thông tư số 12/2022/TT-BTTTT ngày 12/8/2022 của Bộ Thông tin và Truyền thông, đáp ứng tiêu chuẩn TCVN 11930:2017 và quy định về an toàn thông tin mạng của Bộ.
Điều 12. Giám sát an toàn thông tin, an ninh mạng
1. Các hệ thống thông tin phải được thực hiện giám sát an toàn thông tin, an ninh mạng.
2. Đơn vị vận hành hệ thống thông tin có trách nhiệm phối hợp với Trung tâm Thông tin y tế Quốc gia tổ chức thực hiện việc giám sát hệ thống thông tin theo Điều 15 của Nghị định số 53/2022/NĐ-CP và Thông tư số 31/2017/TT-BTTTT ngày 15/11/2017 của Bộ Thông tin và Truyền thông về quy định hoạt động giám sát an toàn hệ thống thông tin.
3. Đối với hệ thống thông tin quan trọng về an ninh quốc gia, thực hiện giám sát an ninh mạng theo Điều 14 Luật An ninh mạng.
Điều 13. Ứng cứu sự cố an toàn hệ thống thông tin
1. Đơn vị chuyên trách ứng cứu khẩn cấp sự cố an toàn thông tin mạng:
a) Trung tâm Thông tin Y tế Quốc gia là đơn vị chuyên trách về ứng cứu sự cố an toàn thông tin mạng của Bộ. Đơn vị/bộ phận chuyên trách về an toàn thông tin mạng tại các đơn vị thuộc, trực thuộc Bộ đảm nhiệm vai trò chuyên trách về ứng cứu sự cố an toàn thông tin mạng trong phạm vi quản lý công nghệ thông tin của đơn vị. Đơn vị/bộ phận chuyên trách về ứng cứu sự cố an toàn thông tin mạng thực hiện trách nhiệm quy định tại khoản 2 Điều 6 Quyết định số 05/2017/QĐ-TTg.
c) Bộ thành lập Đội ứng cứu an toàn thông tin mạng của Bộ và tổ chức ứng cứu sự cố trong phạm vi của Bộ quản lý.
2. Kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng
a) Các đơn vị thuộc, trực thuộc Bộ tổ chức xây dựng, phê duyệt kế hoạch ứng phó sự cố cho các hệ thống thông tin do đơn vị trực tiếp quản lý theo đề cương tại Phụ lục II Quyết định số 05/2017/QĐ-TTg (bao gồm các điều chỉnh do Bộ Thông tin và Truyền thông ban hành nếu có) và tổ chức triển khai kế hoạch sau khi phê duyệt.
b) Các kế hoạch ứng phó sự cố sau khi được phê duyệt phải gửi Trung tâm Thông tin Y tế Quốc gia và Cục Khoa học công nghệ và Đào tạo tổng hợp thành kế hoạch chung của Bộ.
3. Quy trình ứng cứu sự cố an toàn thông tin mạng
a) Các tổ chức, cá nhân khi phát hiện dấu hiệu tấn công hoặc sự cố an toàn thông tin mạng cần nhanh chóng báo cho đơn vị vận hành hệ thống thông tin, đơn vị chủ quản hệ thống thông tin liên quan, Trung tâm Thông tin Y tế Quốc gia. Trung tâm Thông tin Y tế Quốc gia có trách nhiệm cập nhật, công khai thông tin liên lạc, đường dây nóng của các đơn vị/bộ phận tiếp nhận thông tin sự cố của Bộ.
b) Khi xảy ra sự cố an toàn thông tin mạng thuộc loại hình tấn công mạng, đơn vị vận hành hệ thống thông tin thực hiện báo cáo theo quy định tại Điểm a Khoản 1 Điều 11 Quyết định số 05/2017/QĐ-TTg và Điều 9 Thông tư 20/2017/TT-BTTTT, đồng thời báo cáo Trung tâm Thông tin Y tế Quốc gia để tổng hợp, báo cáo Lãnh đạo Bộ. Trách nhiệm của các đơn vị khi phát hiện, tiếp nhận xác minh, xử lý ban đầu và phân loại sự cố an toàn thông tin mạng theo quy định tại Điều 12 Quyết định 05/2017/QĐ-TTg và Điều 10 Thông tư số 20/2017/TT-BTTTT.
c) Quy trình ứng cứu sự cố an toàn thông tin mạng theo quy định tại Điều 13, Điều 14 Quyết định số 05/2017/QĐ-TTg và Điều 11 Thông tư số 20/2017/TT-BTTTT.
4. Diễn tập ứng cứu sự cố an toàn thông tin mạng
a) Chủ quản hệ thống thông tin tổ chức diễn tập ứng cứu sự cố theo kế hoạch ứng phó sự cố được phê duyệt.
b) Trung tâm Thông tin Y tế Quốc gia chủ trì, phối hợp với các đơn vị trực thuộc Bộ tham gia các cuộc diễn tập quốc gia, quốc tế do Cơ quan điều phối quốc gia, Bộ Thông tin và Truyền thông tổ chức và tổ chức diễn tập ứng cứu sự cố trong phạm vi Bộ theo tần suất quy định tại điểm b Nhiệm vụ 4 mục II Điều 1 Quyết định số 1622/QĐ-TTg ngày 25/10/2017 của Thủ tướng Chính phủ.
Điều 14. Kiểm tra, đánh giá an toàn thông tin
1. Chủ quản hệ thống thông tin có thẩm quyền yêu cầu kiểm tra, đánh giá đối với các hệ thống thông tin thuộc thẩm quyền quản lý. Đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin có thẩm quyền yêu cầu kiểm tra, đánh giá đối với các hệ thống thông tin do đơn vị này phê duyệt hồ sơ đề xuất cấp độ.
2. Đơn vị chủ trì kiểm tra, đánh giá là đơn vị được cấp có thẩm quyền giao nhiệm vụ hoặc được lựa chọn để thực hiện việc kiểm tra, đánh giá. Đối tượng kiểm tra, đánh giá là chủ quản hệ thống thông tin hoặc đơn vị vận hành hệ thống thông tin và các hệ thống thông tin có liên quan.
3. Nội dung, hình thức kiểm tra, đánh giá theo quy định tại Điều 11 Thông tư số 12/2022/TT-BTTTT.
4. Cục Khoa học công nghệ và Đào tạo thực hiện việc kiểm tra việc tuân thủ quy định của pháp luật về bảo đảm an toàn hệ thống thông tin theo cấp độ tại Bộ theo quy định tại Điều 12 Thông tư số 12/2022/TT-BTTTT.
5. Cục Khoa học công nghệ và Đào tạo, đơn vị chuyên trách về an toàn thông tin của các đơn vị thuộc, trực thuộc Bộ thực hiện việc đánh giá hiệu quả của các biện pháp bảo đảm an toàn thông tin theo thẩm quyền. Nội dung đánh giá là cơ sở để điều chỉnh phương án bảo đảm an toàn thông tin cho phù hợp.
1. Các đơn vị thuộc, trực thuộc Bộ xác định nhu cầu về đào tạo cho nguồn nhân lực để bảo đảm an toàn thông tin tại đơn vị mình gửi Cục Khoa học công nghệ và Đào tạo tổng hợp.
2. Các đơn vị thuộc, trực thuộc Bộ tổ chức đào tạo, bồi dưỡng nghiệp vụ về an toàn thông tin cho cán bộ công nghệ thông tin, cán bộ chuyên trách an toàn thông tin mạng các đơn vị trực thuộc; đào tạo cơ bản về an toàn thông tin cho cán bộ quản lý, người sử dụng máy tính thuộc đơn vị.
3. Các đơn vị thuộc, trực thuộc Bộ phải thường xuyên tổ chức các hoạt động tuyên truyền, phổ biến nâng cao nhận thức về bảo đảm an toàn, an ninh thông tin mạng đến toàn thể cán bộ, công chức, viên chức và người lao động tại đơn vị.
Điều 16. Trách nhiệm của Cục Khoa học Công nghệ và Đào tạo
1. Chủ trì, phối hợp với cơ quan, đơn vị liên quan để hướng dẫn, theo dõi, đôn đốc, kiểm tra và đánh giá việc thực hiện Quy chế này.
2. Là đơn vị chuyên trách về an toàn thông tin, an ninh mạng của Bộ, chủ trì phối hợp với Trung tâm Thông tin y tế Quốc gia tổ chức thẩm định, trình Lãnh đạo Bộ phê duyệt hồ sơ đề xuất cấp độ, thẩm định phương án bảo đảm an toàn thông tin theo cấp độ cho các hệ thống thông tin trong phạm vi quản lý của Bộ theo quy định.
3. Phối hợp với Trung tâm Thông tin y tế Quốc gia giám sát, kiểm tra, đánh giá việc triển khai các phương án bảo đảm an toàn thông tin, an ninh mạng đã được phê duyệt đối với các hệ thống thông tin trong phạm vi quản lý của Bộ.
4. Phối hợp với Trung tâm Thông tin y tế Quốc gia và các cơ quan, đơn vị liên quan để tham mưu cho Lãnh đạo Bộ Y tế thành lập Đội ứng cứu sự cố an toàn thông tin mạng của Bộ Y tế; xây dựng và trình lãnh đạo Bộ ban hành Kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng ngành y tế.
5. Tổng hợp nhu cầu của các đơn vị thuộc, trực thuộc Bộ và gửi Vụ Kế hoạch - Tài chính để đề xuất dự toán kinh phí cho các hoạt động bảo đảm an toàn, an ninh thông tin mạng.
6. Xây dựng và trình Bộ kế hoạch tuyên truyền, phổ biến nâng cao nhận thức về an toàn, an ninh thông tin mạng tại Bộ Y tế và thực hiện các nội dung theo kế hoạch đã được phê duyệt.
Điều 17. Trách nhiệm của Trung tâm Thông tin y tế Quốc gia
1. Tổ chức triển khai các quy định bảo đảm an toàn thông tin, an ninh mạng của Bộ theo phân công tại Quy chế này.
2. Là đơn vị chuyên trách về tiếp nhận thông báo sự cố, ứng cứu sự cố an toàn thông tin, an ninh mạng của Bộ, thực hiện trách nhiệm quy định tại Khoản 2 Điều 6 Quyết định số 05/2017/QĐ-TTg ngày 16/03/2017 của Thủ tướng Chính phủ. Chủ trì phối hợp với Cục Khoa học công nghệ và Đào tạo và các cơ quan, đơn vị liên quan có trách nhiệm xây dựng và trình lãnh đạo Bộ ban hành Kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng ngành y tế.
3. Phối hợp với Cục Khoa học công nghệ và Đào tạo tổ chức thẩm định, trình Lãnh đạo Bộ phê duyệt hồ sơ đề xuất cấp độ, thẩm định phương án bảo đảm an toàn thông tin theo cấp độ cho các hệ thống thông tin trong phạm vi quản lý của Bộ theo quy định
4. Phối hợp với Cục Khoa học công nghệ và Đào tạo tham mưu thành lập Đội ứng cứu sự cố an toàn thông tin mạng của Bộ Y tế.
5. Chịu trách nhiệm bảo đảm an toàn thông tin, an ninh mạng cho các hệ thống thông tin dùng chung của Bộ. Hỗ trợ các đơn vị, cá nhân về công tác bảo đảm an toàn thông tin, an ninh mạng.
6. Chủ trì, phối hợp với các đơn vị thuộc và trực thuộc Bộ để tổ chức, tham gia các cuộc diễn tập quốc gia, quốc tế do Cơ quan điều phối quốc gia về ứng cứu sự cố an toàn thông tin; hàng năm tổ chức diễn tập ứng cứu sự cố an toàn thông tin mạng trong phạm vi của Bộ theo Quyết định số 1622/QĐ-TTg ngày 25/10/2017 của Thủ tướng Chính phủ.
6. Phối hợp với Cục Khoa học công nghệ và Đào tạo tổ chức các khóa tập huấn, đào tạo về an toàn thông tin, an ninh mạng cho cán bộ, công chức, viên chức, người lao động của Bộ.
Điều 18. Trách nhiệm của Vụ Kế hoạch - Tài chính
1. Tổ chức triển khai các quy định bảo đảm an toàn thông tin, an ninh mạng của Bộ theo phân công tại Quy chế này.
2. Chủ trì, phối hợp với Cục Khoa học công nghệ và Đào tạo để đề xuất và báo cáo Lãnh đạo Bộ phê duyệt dự toán kinh phí hằng năm cho các hoạt động bảo đảm an toàn, an ninh thông tin mạng của các đơn vị thuộc, trực thuộc Bộ.
Điều 19. Trách nhiệm của các đơn vị thuộc và trực thuộc Bộ
1. Tổ chức phổ biến, đảm bảo việc tuân thủ Quy chế này và các quy định của Nhà nước về an toàn thông tin, an ninh mạng đối với các cá nhân, tập thể thuộc đơn vị mình.
2. Lập hồ sơ đề xuất cấp độ an toàn thông tin cho các hệ thống thông tin (nếu có) tại đơn vị và báo cáo với Cục Khoa học công nghệ và Đào tạo để thẩm định phương án bảo đảm an toàn thông tin theo cấp độ cho các hệ thống thông tin theo quy định.
3. Thường xuyên kiểm tra, đôn đốc việc triển khai an toàn thông tin, an ninh mạng trong công việc của các cá nhân, tập thể do đơn vị quản lý.
4. Đơn vị chủ trì xây dựng hệ thống thông tin (nếu có) khi bàn giao hệ thống thông tin về Trung tâm Thông tin y tế Quốc gia vận hành phải bàn giao đầy đủ hồ sơ xây dựng hệ thống theo quy định, trong đó có hồ sơ về an toàn thông tin gồm: hồ sơ thiết kế, hồ sơ kiểm thử, hồ sơ đề xuất cấp độ an toàn thông tin và nhật ký vận hành hệ thống thông tin tới thời điểm bàn giao để phục vụ việc kiểm tra, đánh giá an toàn thông tin hệ thống trước khi đưa vào vận hành chính thức.
5. Có trách nhiệm tổ chức triển khai phương án bảo đảm an toàn hệ thống thông tin sau khi được phê duyệt; tổ chức, triển khai, tham gia diễn tập ứng cứu sự cố theo kế hoạch ứng phó sự cố đã được Bộ phê duyệt.
6. Thực hiện các báo cáo định kỳ hoặc theo yêu cầu gửi Cục Khoa học Công nghệ và Đào tạo và Trung tâm Thông tin y tế Quốc gia để tổng hợp, báo cáo Bộ Y tế và các cơ quan có thẩm quyền.
1. Thực hiện trách nhiệm theo quy định tại Quy chế này và các nhiệm vụ do chủ quản hệ thống thông tin phân công.
2. Chỉ đạo, phân công các bộ phận kỹ thuật thuộc đơn vị (quản lý ứng dụng; quản lý dữ liệu; vận hành hệ thống thông tin; triển khai và hỗ trợ kỹ thuật) triển khai công tác bảo đảm an toàn thông tin trong tất cả các công đoạn liên quan đến hệ thống thông tin.
3. Phối hợp với Trung tâm Thông tin y tế Quốc gia rà soát, đánh giá các phương án bảo đảm an toàn thông tin trong quá trình vận hành, sử dụng các hệ thống thông tin, máy chủ, thiết bị công nghệ thông tin của mình có kết nối với các hệ thống thông tin của chủ quản hệ thống thông tin.
4. Thông báo sự cố hoặc các hành vi phá hoại, xâm nhập về Cục Khoa học Công nghệ và Đào tạo, Trung tâm Thông tin y tế Quốc gia để xem xét, hỗ trợ, điều phối và xử lý.
Điều 21.Trách nhiệm của cá nhân
1. Thực hiện các quy định liên quan tại Quy chế này về bảo đảm an toàn thông tin, an ninh mạng.
2. Tham gia đầy đủ các lớp đào tạo ngắn hạn, các hội thảo, hội nghị phổ biến, nâng cao nhận thức, diễn tập an toàn thông tin và ứng cứu sự cố để bảo đảm an toàn thông tin, an ninh mạng.
3. Chịu trách nhiệm về các vi phạm làm mất an toàn thông tin, an ninh mạng do không tuân thủ Quy chế này.
1. Kinh phí bảo đảm an toàn thông tin, an ninh mạng được bố trí từ nguồn ngân sách nhà nước và các nguồn kinh phí hợp pháp khác.
2. Căn cứ vào kế hoạch hàng năm, các đơn vị liên quan có trách nhiệm xây dựng kế hoạch, đề xuất dự toán cho các hoạt động bảo đảm an toàn, an ninh thông tin mạng gửi Cục Khoa học công nghệ và Đào tạo, Vụ Kế hoạch - Tài chính tổng hợp, trình Bộ phê duyệt.
1. Các đơn vị thuộc, trực thuộc Bộ phải thường xuyên kiểm tra, theo dõi và đánh giá công tác bảo đảm an toàn, an ninh thông tin mạng tại Cơ quan, đơn vị mình, coi đây là nhiệm vụ trọng tâm của đơn vị.
2. Giao Cục Khoa học công nghệ và Đào tạo kiểm tra và báo cáo Bộ việc thực hiện Quy chế này tại các đơn vị thuộc, trực thuộc Bộ.
Điều 24. Chế độ, nội dung báo cáo
Quy định về chế độ báo cáo và nội dung báo cáo được quy định tại Điều 13, Điều 14 của Thông tư số 12/2022/TT-BTTTT.
1. Quy chế này có hiệu lực từ ngày ký, ban hành.
2. Thủ trưởng các đơn vị thuộc và trực thuộc Bộ có trách nhiệm triển khai thực hiện, phổ biến, quán triệt đến toàn bộ cán bộ, công chức, viên chức, người lao động trong đơn vị Quy chế này; thường xuyên kiểm tra việc thực hiện Quy chế tại đơn vị; chịu trách nhiệm trước pháp luật và trước Bộ trưởng Bộ Y tế về các vi phạm, thất thoát thông tin, dữ liệu thuộc phạm vi quản lý của đơn vị.
3. Trong quá trình thực hiện, nếu có những vấn đề khó khăn, vướng mắc, các đơn vị phản ảnh về Cục Khoa học công nghệ và Đào tạo để tổng hợp, trình Bộ trưởng xem xét, sửa đổi, bổ sung Quy chế này./.
