Đánh giá an toàn thông tin theo cấp độ năm 2024
Thông tư quy định rõ yêu cầu bảo đảm an toàn hệ thống thông tin theo cấp độ. Theo đó, việc bảo đảm an toàn hệ thống thông tin theo cấp độ thực hiện theo yêu cầu cơ bản quy định tại Thông tư này và Tiêu chuẩn quốc gia TCVN 11930:2017 về Công nghệ thông tin – các kỹ thuật an toàn – yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ. Yêu cầu cơ bản đối với từng cấp độ là các yêu cầu tối thiểu để bảo đảm an toàn hệ thống thông tin, bao gồm yêu cầu cơ bản về quản lý, yêu cầu cơ bản về kỹ thuật và không bao gồm các yêu cầu bảo đảm an toàn vật lý. Trong đó, yêu cầu cơ bản về quản lý, bao gồm: Thiết lập chính sách an toàn thông tin; tổ chức bảo đảm an toàn thông tin; bảo đảm nguồn nhân lực; quản lý thiết kế, xây dựng hệ thống; quản lý vận hành hệ thống; phương án Quản lý rủi ro an toàn thông tin; phương án kết thúc vận hành, khai thác, thanh lý, hủy bỏ hệ thống thông tin. Yêu cầu cơ bản về kỹ thuật, bao gồm: Bảo đảm an toàn mạng; ảo đảm an toàn máy chủ; bảo đảm an toàn ứng dụng; bảo đảm an toàn dữ liệu. Việc xây dựng phương án bảo đảm an toàn thông tin đáp ứng yêu cầu cơ bản theo từng cấp độ thực hiện theo nguyên tắc quy định tại khoản 2 Điều 4 Nghị định 85/2016/NĐ-CP, cụ thể như sau: Đối với hệ thống thông tin cấp độ 1, 2, 3: Phương án bảo đảm an toàn thông tin phải xem xét khả năng dùng chung giữa các hệ thống thông tin đối với các giải pháp bảo vệ, chia sẻ tài nguyên để tối ưu hiệu năng, tránh đầu tư thừa, trùng lặp, lãng phí. Đối với hệ thống thông tin cấp độ 4, 5: Phương án bảo đảm an toàn thông tin cần được thiết kế bảo đảm tính sẵn sàng, phân tách và hạn chế ảnh hưởng đến toàn bộ hệ thống khi một thành phần trong hệ thống hoặc có liên quan tới hệ thống bị mất an toàn thông tin. Bên cạnh đó, Thông tư cũng nêu rõ yêu cầu bảo đảm an toàn thông tin đối với phần mềm nội bộ khi xây dựng mới hoặc mở rộng, nâng cấp: Phần mềm nội bộ được xây dựng mới hoặc mở rộng, nâng cấp phải tuân thủ Khung phát triển phần mềm an toàn; đáp ứng yêu cầu an toàn cơ bản đối với Phần mềm nội bộ. Trường hợp hệ thống thông tin cấp độ 4 hoặc cấp độ 5 được triển khai dưới hình thức thuê dịch vụ công nghệ thông tin tại Trung tâm dữ liệu hoặc Điện toán đám mây, thiết kế hệ thống phải đáp ứng các yêu cầu: Phải được thiết kế tách riêng, độc lập với các hệ thống khác về vật lý và có biện pháp quản lý truy cập giữa các hệ thống; các vùng mạng trong hệ thống phải được thiết kế tách riêng, độc lập với nhau về logic và có biện pháp quản lý truy cập giữa các vùng mạng; có phân vùng lưu trữ được phân tách độc lập về vật lý; các thiết bị mạng chính phải được phân tách độc lập về vật lý. Bảo đảm an toàn hệ thống thông tin theo cấp độ là biện pháp trọng tâm, cốt lõi để bảo vệ hệ thống thông tin theo quy định tại Luật An toàn thông tin mạng. Trong hơn 07 năm triển khai thi hành Luật An toàn thông tin mạng và Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ, các bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ, Ủy ban nhân dân các tỉnh, thành phố trực thuộc trung ương đã tích cực triển khai, thường xuyên tổ chức tập huấn nâng cao nhận thức, trách nhiệm, chất lượng thực thi pháp luật về bảo đảm an toàn hệ thống thông tin theo cấp độ và bảo đảm an toàn hệ thống thông tin theo mô hình 4 lớp ở mức cơ bản, đạt được một số kết quả quan trọng. Tuy nhiên, bên cạnh những kết quả đạt được, còn gần 40% hệ thống thông tin của các bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ và địa phương chưa hoàn thành việc phê duyệt cấp độ an toàn hệ thống thông tin. Hầu hết các hệ thống thông tin được phê duyệt cấp độ an toàn thông tin chưa được triển khai đầy đủ phương án bảo đảm an toàn theo hồ sơ đề xuất cấp độ được phê duyệt. Nhiều cơ quan, địa phương chưa tuân thủ quy định của pháp luật về bảo đảm an toàn hệ thống thông tin theo cấp độ. Về nguyên nhân chính được xác định là do: (i) Các cơ quan chủ quản hệ thống thông tin chưa thấy hết trách nhiệm, vai trò, tầm quan trọng của việc phê duyệt cấp độ an toàn thông tin và triển khai đầy đủ các biện pháp bảo đảm an toàn thông tin cho các hệ thống thông tin thuộc phạm vi quản lý; (ii) Nhiều đơn vị, tổ chức được giao quản lý, vận hành hệ thống thông tin chưa nhận thức được tầm quan trọng của công tác này, dẫn đến chưa chú trọng thực hiện các nhiệm vụ một cách hiệu quả, chất lượng theo quy định của pháp luật; (iii) Hoạt động thanh tra, kiểm tra, đánh giá tuân thủ các quy định, giám sát việc thực hiện công tác bảo đảm an toàn thông tin theo cấp độ trong phạm vi quản lý tại các bộ, ngành, địa phương hầu như chưa được tổ chức để nắm bắt tình hình, hướng dẫn triển khai và xử lý vi phạm; (iv) Nguồn lực dành cho công tác bảo đảm an toàn thông tin nói chung, trong đó có công tác bảo đảm an toàn hệ thống thông tin theo cấp độ còn thiếu, chưa đáp ứng yêu cầu thực tiễn. Để đẩy mạnh công tác tuân thủ quy định pháp luật và tăng cường bảo đảm an toàn hệ thống thông tin theo cấp độ, Thủ tướng Chính phủ yêu cầu: 1. Bộ trưởng, Thủ trưởng cơ quan ngang bộ, cơ quan thuộc Chính phủ; Chủ tịch Ủy ban nhân dân các tỉnh, thành phố trực thuộc trung ương; Chủ tịch Hội đồng quản trị, Hội đồng thành viên, Tổng Giám đốc các tập đoàn, tổng công ty nhà nước, ngân hàng thương mại nhà nước, Ngân hàng Phát triển Việt Nam, Ngân hàng Chính sách xã hội, Ngân hàng Hợp tác xã Việt Nam và tổ chức tín dụng, tài chính nhà nước khác trên toàn quốc tập trung chỉ đạo thực hiện đồng bộ các giải pháp sau đây:
đ) Ưu tiên triển khai hệ thống thông tin trên các hạ tầng số (như Trung tâm dữ liệu, dịch vụ Điện toán đám mây) đã được triển khai đầy đủ phương án bảo đảm an toàn thông tin để kế thừa các biện pháp bảo đảm an toàn thông tin đã có.
2. Bộ Thông tin và Truyền thông có trách nhiệm:
đ) Chủ trì tổ chức triển khai, hướng dẫn, theo dõi, đôn đốc, kiểm tra và đánh giá việc thực hiện Chỉ thị này. 3. Các doanh nghiệp an toàn thông tin mạng: Nghiên cứu, hoàn thiện các sản phẩm, dịch vụ an toàn thông tin mạng do doanh nghiệp cung cấp, hướng tới tích hợp nhiều giải pháp, dịch vụ bảo đảm an toàn thông tin mạng đáp ứng các yêu cầu về kỹ thuật, tuân thủ các quy định của pháp luật về bảo đảm an toàn hệ thống thông tin theo cấp độ, các tiêu chuẩn, quy chuẩn kỹ thuật và hướng dẫn của Bộ Thông tin và Truyền thông. 4. Các doanh nghiệp cung cấp dịch vụ viễn thông, Internet:
5. Các Bộ trưởng, Thủ trưởng cơ quan ngang bộ, Thủ trưởng cơ quan thuộc Chính phủ; Chủ tịch Ủy ban nhân dân tỉnh, thành phố trực thuộc trung ương; Chủ tịch Hội đồng quản trị, Hội đồng thành viên, Tổng Giám đốc các tập đoàn, tổng công ty nhà nước, ngân hàng thương mại nhà nước, Ngân hàng Phát triển Việt Nam, Ngân hàng Chính sách xã hội, Ngân hàng Hợp tác xã Việt Nam và các tổ chức tín dụng, tài chính nhà nước khác căn cứ chức năng, nhiệm vụ được giao có trách nhiệm tổ chức triển khai nghiêm túc, kịp thời, hiệu quả Chỉ thị này. 6. Văn phòng Chính phủ, Bộ Thông tin và Truyền thông theo chức năng nhiệm vụ được giao theo dõi, đôn đốc việc thực hiện Chỉ thị này; tổng hợp, báo cáo Thủ tướng Chính phủ kết quả thực hiện./. |