Quyết định 504/QĐ-BHXH 2026 về Quy chế an toàn thông tin mạng và an ninh mạng

1. Quy chế này quy định về công tác bảo đảm an toàn thông tin mạng và an ninh mạng tại Bảo hiểm xã hội Việt Nam.

2. Quy chế này áp dụng đối với các đơn vị thuộc và trực thuộc Bảo hiểm xã hội Việt Nam; viên chức, người lao động; các tổ chức, cá nhân có tham gia hoặc có liên quan đến công tác bảo đảm an toàn thông tin mạng và an ninh mạng của Bảo hiểm xã hội Việt Nam.

1. An toàn an ninh mạng là viết tắt của an toàn thông tin mạng và an ninh mạng.

2. Người dùng là cá nhân được cấp quyền truy cập, khai thác, sử dụng các hệ thống thông tin, ứng dụng, cơ sở dữ liệu hoặc dịch vụ công nghệ thông tin do Bảo hiểm xã hội Việt Nam quản lý, cung cấp.

3. Chủ quản hệ thống thông tin là Bảo hiểm xã hội Việt Nam (được Bộ Tài chính ủy quyền thực hiện trách nhiệm chủ quản hệ thống thông tin (cấp độ 1, 2, 3) và phê duyệt hồ sơ đề xuất cấp độ hệ thống thông tin (cấp độ 3) do Bộ Tài chính là chủ quản) hoặc cấp có thẩm quyền phê duyệt thuê dịch vụ công nghệ thông tin, quyết định đầu tư dự án xây dựng, thiết lập, nâng cấp, mở rộng hệ thống thông tin.

4. Đơn vị vận hành hệ thống thông tin do Bảo hiểm xã hội Việt Nam là chủ quản (viết tắt là Đơn vị vận hành hệ thống thông tin): Trung tâm Công nghệ thông tin và Chuyển đổi số, đơn vị sự nghiệp công lập trực thuộc hoặc các đơn vị đáp ứng một trong các điều kiện sau:

5. Đơn vị chuyên trách về an toàn thông tin của chủ quản hệ thống thông tin là Trung tâm Công nghệ thông tin và Chuyển đổi số hoặc đơn vị được chủ quản hệ thống thông tin giao thực hiện chức năng tham mưu, quản lý và tổ chức triển khai công tác bảo đảm an toàn an ninh mạng đối với hệ thống thông tin thuộc phạm vi quản lý.

6. Mật khẩu mạnh là mật khẩu đáp ứng đồng thời các yêu cầu: Có tối thiểu 12 ký tự; Chứa ít nhất 03 trong 04 nhóm ký tự: Chữ cái viết hoa (A-Z), chữ cái viết thường (a-z), chữ số (0-9), ký tự đặc biệt (` ~ ! @ # $ % ^ & * ( ) _ + = { } [ ] \ | : ; “ ‘ . , ? /); Không chứa tên tài khoản, tên người dùng, năm sinh người dùng; Không sử dụng các chuỗi ký tự liên tiếp, lặp lại hoặc dễ đoán (123456, abcdef, password, qwerty hoặc các biến thể tương tự).

1. Tuân thủ quy định của pháp luật về an toàn an ninh mạng, bảo vệ bí mật nhà nước, bảo vệ dữ liệu cá nhân, giao dịch điện tử và các quy định pháp luật có liên quan. Trường hợp có văn bản quy phạm pháp luật hoặc quyết định của cơ quan có thẩm quyền được sửa đổi, bổ sung hoặc thay thế thì thực hiện theo quy định đó.

2. Công tác bảo đảm an toàn an ninh mạng phải được thực hiện đồng bộ, xuyên suốt trong quá trình đầu tư, xây dựng, phát triển, quản lý, vận hành, khai thác và sử dụng hệ thống thông tin; gắn với hoạt động ứng dụng công nghệ thông tin, giao dịch điện tử, chuyển đổi số của Bảo hiểm xã hội Việt Nam, bảo đảm hệ thống thông tin hoạt động an toàn, ổn định, liên tục và phục vụ hiệu quả công tác chuyên môn, nghiệp vụ.

3. Mỗi viên chức, người lao động và các tổ chức, cá nhân có liên quan có trách nhiệm chủ động thực hiện, tuân thủ các quy định, quy trình, biện pháp bảo đảm an toàn an ninh mạng; chịu trách nhiệm trước pháp luật và trước Bảo hiểm xã hội Việt Nam đối với các hành vi vi phạm thuộc phạm vi trách nhiệm được giao.

4. Công tác bảo đảm an toàn an ninh mạng là trách nhiệm của mọi tổ chức, cá nhân tham gia quản lý, vận hành, khai thác và sử dụng hệ thống thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam.

1. Đối với hệ thống thông tin đề xuất cấp độ 1, cấp độ 2

2. Đối với hệ thống thông tin đề xuất cấp độ 3

3. Đối với hệ thống thông tin đề xuất cấp độ 4, cấp độ 5

4. Đơn vị vận hành hệ thống thông tin có trách nhiệm định kỳ rà soát hồ sơ đề xuất cấp độ và phương án bảo đảm an toàn hệ thống thông tin theo cấp độ; trường hợp có thay đổi về chức năng, phạm vi cung cấp dịch vụ, quy mô xử lý dữ liệu, kiến trúc hệ thống hoặc các yếu tố làm thay đổi mức độ ảnh hưởng của hệ thống thông tin thì phải kịp thời cập nhật hồ sơ đề xuất cấp độ và phương án bảo đảm an toàn hệ thống thông tin theo quy định.

1. Tài khoản truy cập (sau đây gọi tắt là tài khoản) là tập hợp thông tin định danh và xác thực người dùng, bao gồm tên đăng nhập, mật khẩu và/hoặc các phương thức xác thực khác, được sử dụng để truy cập, khai thác, quản trị hệ thống thông tin hoặc thiết bị công nghệ thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam. Tài khoản bao gồm các loại sau:

2. Trung tâm Công nghệ thông tin và Chuyển đổi số thực hiện cấp, điều chỉnh, thu hồi tài khoản định danh cá nhân theo đề nghị của đơn vị quản lý người dùng. Thời gian thực hiện cấp mới, điều chỉnh hoặc thu hồi tài khoản không quá 03 ngày làm việc kể từ thời điểm nhận được đề nghị hợp lệ của đơn vị quản lý người dùng. Khi cá nhân được bổ nhiệm, điều động, chuyển công tác, nghỉ hưu, thôi việc hoặc không còn nhu cầu sử dụng hệ thống thông tin, đơn vị quản lý người dùng có trách nhiệm kịp thời đề nghị điều chỉnh hoặc thu hồi quyền truy cập theo quy định. Trường hợp cần duy trì tài khoản sau thời điểm cá nhân thay đổi vị trí công tác hoặc thôi việc, đơn vị quản lý người dùng phải có văn bản đề nghị, nêu rõ lý do, phạm vi quyền truy cập và thời gian duy trì.

3. Trung tâm Công nghệ thông tin và Chuyển đổi số hoặc đơn vị vận hành hệ thống thông tin thực hiện cấp, điều chỉnh, thu hồi tài khoản nhiệm vụ theo đề nghị của đơn vị quản lý người dùng. Khi thay đổi người được giao thực hiện nhiệm vụ, đơn vị quản lý người dùng có trách nhiệm đề nghị thay đổi thông tin quản lý hoặc thực hiện đổi mật khẩu, bảo đảm tài khoản chỉ được sử dụng bởi người được phân công nhiệm vụ. Khi kết thúc nhiệm vụ hoặc không còn nhu cầu sử dụng, người được giao quản lý tài khoản phải bàn giao lại tài khoản cho đơn vị quản lý người dùng để thực hiện thu hồi, khóa hoặc điều chỉnh theo quy định.

4. Tài khoản quản trị chỉ được cấp cho cá nhân hoặc tổ chức được giao nhiệm vụ quản trị hệ thống thông tin. Trung tâm Công nghệ thông tin và Chuyển đổi số phải quản lý tối thiểu một (01) tài khoản quản trị cao nhất đối với các hệ thống thông tin, máy chủ và thiết bị công nghệ thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam. Trường hợp thuê dịch vụ quản trị, vận hành hệ thống thông tin, đơn vị chủ trì thuê dịch vụ có trách nhiệm quản lý việc cấp và sử dụng tài khoản quản trị của đơn vị cung cấp dịch vụ; lập, cập nhật danh sách cá nhân được sử dụng tài khoản quản trị; ghi nhận thời gian cấp, sử dụng, thay đổi và thu hồi quyền truy cập.

5. Tài khoản phải được thiết lập mật khẩu mạnh theo quy định. Mật khẩu phải được giữ bí mật, không được chia sẻ cho người khác sử dụng; phải được thay đổi ngay khi có dấu hiệu lộ lọt hoặc khi thay đổi người quản lý, sử dụng tài khoản. Mật khẩu phải được thay đổi tối thiểu một lần trong thời gian 06 tháng. Khuyến nghị sử dụng mật khẩu có độ dài từ 14 ký tự trở lên đối với tài khoản quản trị.

6. Cá nhân được cấp tài khoản chịu trách nhiệm quản lý, sử dụng tài khoản được giao và chịu trách nhiệm đối với các hoạt động phát sinh từ tài khoản của mình được ghi nhận trên hệ thống thông tin, thiết bị công nghệ thông tin và hệ thống giám sát an toàn thông tin, an ninh mạng.

7. Trung tâm Công nghệ thông tin và Chuyển đổi số, đơn vị vận hành hệ thống thông tin có trách nhiệm định kỳ rà soát tài khoản đang hoạt động; phát hiện, khóa hoặc thu hồi các tài khoản không còn nhu cầu sử dụng, tài khoản không hợp lệ hoặc tài khoản có dấu hiệu mất an toàn thông tin.

8. Các hệ thống thông tin cung cấp dịch vụ trên môi trường Internet có chức năng xác thực người dùng phải áp dụng cơ chế xác thực đa yếu tố (như mật khẩu sử dụng một lần, xác thực sinh trắc học, thiết bị...) đối với các đối tượng, chức năng hoặc mức độ truy cập.

1. Máy tính do cơ quan trang bị kết nối vào mạng nội bộ phải đáp ứng các yêu cầu sau:

2. Máy tính sử dụng để soạn thảo, lưu trữ bí mật nhà nước phải thực hiện theo quy định của pháp luật về bảo vệ bí mật nhà nước, hướng dẫn của Ban Cơ yếu Chính phủ và các quy định của Bảo hiểm xã hội Việt Nam.

3. Máy tính xách tay do cơ quan trang bị khi sử dụng ngoài trụ sở phải được cài đặt đầy đủ các bản vá bảo mật, phần mềm phòng chống mã độc và các giải pháp bảo vệ thiết bị đầu cuối; việc truy cập hệ thống thông tin của Bảo hiểm xã hội Việt Nam từ bên ngoài mạng nội bộ phải sử dụng các phương thức kết nối được Bảo hiểm xã hội Việt Nam cho phép.

4. Máy tính bảng, thiết bị di động và các thiết bị đầu cuối thông minh do cơ quan trang bị phải sử dụng hệ điều hành được nhà sản xuất hỗ trợ cập nhật bảo mật; chỉ cài đặt các ứng dụng phục vụ công việc và các phần mềm bảo đảm an toàn thông tin theo quy định.

5. Máy tính, thiết bị do cá nhân tự trang bị khi kết nối mạng nội bộ hoặc truy cập hệ thống thông tin của Bảo hiểm xã hội Việt Nam phải đáp ứng các yêu cầu về an toàn thông tin do Bảo hiểm xã hội Việt Nam quy định; chịu sự kiểm tra của đơn vị vận hành hệ thống thông tin trước khi được cấp quyền truy cập.

1. Quản lý, bảo vệ và sử dụng an toàn các tài khoản được cấp theo quy định của Quy chế này; không chia sẻ, cho mượn hoặc sử dụng tài khoản của người khác dưới bất kỳ hình thức nào. Trường hợp phát hiện hoặc nghi ngờ tài khoản, mật khẩu bị lộ, bị chiếm quyền sử dụng hoặc có dấu hiệu mất an toàn thông tin, người dùng phải kịp thời thay đổi mật khẩu, thực hiện kiểm tra an toàn đối với các thiết bị đã sử dụng để truy cập hệ thống thông tin của Bảo hiểm xã hội Việt Nam và thông báo ngay cho bộ phận hỗ trợ kỹ thuật hoặc đơn vị vận hành hệ thống thông tin để được xử lý.

2. Sử dụng tài khoản định danh cá nhân khi đăng nhập vào máy tính, hệ thống thông tin và các dịch vụ công nghệ thông tin của Bảo hiểm xã hội Việt Nam theo quy định.

3. Quản lý, khai thác và sử dụng dữ liệu, tài liệu được lưu trữ trên hệ thống dùng chung đúng mục đích, đúng phạm vi công việc; không lưu trữ thông tin không liên quan đến hoạt động của cơ quan; thực hiện phân quyền chia sẻ và xóa dữ liệu không còn giá trị sử dụng theo quy định.

4. Thực hiện các biện pháp phòng chống thư rác, thư giả mạo, thư điện tử có chứa mã độc hoặc có dấu hiệu lừa đảo; không truy cập các đường dẫn, mở tệp đính kèm hoặc thực hiện các yêu cầu từ thư điện tử không rõ nguồn gốc. Không sử dụng thư điện tử công vụ để đăng ký các dịch vụ, ứng dụng không phục vụ công việc; thực hiện mã hóa hoặc đặt mật khẩu bảo vệ đối với các tệp tin chứa thông tin nhạy cảm trước khi gửi qua thư điện tử.

5. Kiểm tra, quét mã độc đối với các thiết bị lưu trữ ngoài trước khi sử dụng; thực hiện các biện pháp bảo vệ thông tin, dữ liệu của cơ quan khi lưu trữ trên thiết bị lưu trữ ngoài; xóa dữ liệu của cơ quan sau khi hoàn thành công việc hoặc khi không còn nhu cầu sử dụng.

6. Thực hiện việc soạn thảo, lưu trữ tài liệu, văn bản chứa bí mật nhà nước trên các thiết bị được trang bị riêng theo quy định; không lưu trữ, sao chép hoặc truyền đưa bí mật nhà nước trên các thiết bị, phương tiện hoặc môi trường không được phép theo quy định của pháp luật.

7. Đối với bí mật công tác, dữ liệu cá nhân và các thông tin thuộc phạm vi được giao xử lý, người dùng phải áp dụng các biện pháp bảo vệ; thực hiện mã hóa dữ liệu khi cần thiết và giới hạn quyền truy cập đối với các cá nhân có trách nhiệm liên quan.

8. Khóa màn hình hoặc khóa phiên làm việc khi rời khỏi vị trí làm việc; tắt hoặc đăng xuất khỏi thiết bị khi kết thúc thời gian làm việc theo quy định.

9. Thường xuyên cập nhật các bản vá bảo mật, thực hiện quét mã độc đối với máy tính xách tay hoặc thiết bị do cá nhân sử dụng để truy cập các hệ thống thông tin của Bảo hiểm xã hội Việt Nam từ môi trường Internet.

10. Phối hợp với Trung tâm Công nghệ thông tin và Chuyển đổi số, đơn vị vận hành hệ thống thông tin và các bộ phận có liên quan trong việc triển khai các biện pháp bảo đảm an toàn an ninh mạng; xử lý mã độc, điều tra, xác minh và khắc phục các sự cố an toàn thông tin có liên quan đến tài khoản hoặc thiết bị được giao sử dụng.

11. Không tự ý thay đổi cấu hình, vô hiệu hóa, gỡ bỏ hoặc làm ảnh hưởng đến hoạt động của các phần mềm, giải pháp và biện pháp bảo đảm an toàn thông tin được cài đặt trên thiết bị phục vụ công việc.

12. Kịp thời báo cáo người quản lý trực tiếp, đơn vị vận hành hệ thống thông tin hoặc bộ phận chuyên trách an toàn thông tin khi phát hiện sự cố, dấu hiệu mất an toàn thông tin, hành vi vi phạm hoặc nguy cơ ảnh hưởng đến hệ thống thông tin của Bảo hiểm xã hội Việt Nam.

1. Phần mềm ứng dụng khi triển khai phải đáp ứng các yêu cầu sau:

2. Dữ liệu xử lý trong hệ thống thông tin

3. Máy chủ và nền tảng hạ tầng phục vụ hệ thống thông tin

4. Hệ thống thông tin phải được triển khai, cấu hình, vận hành và duy trì hoạt động phù hợp với phương án bảo đảm an toàn hệ thống thông tin đã được phê duyệt; được kiểm tra, đánh giá an toàn thông tin trước khi đưa vào sử dụng và định kỳ trong quá trình vận hành theo quy định của pháp luật.

5. Hồ sơ, tài liệu kỹ thuật của hệ thống thông tin phải được cập nhật trong suốt quá trình vận hành, phản ánh đúng hiện trạng hệ thống; được quản lý, lưu trữ, bảo vệ và chỉ cung cấp cho các tổ chức, cá nhân có thẩm quyền hoặc được giao nhiệm vụ liên quan đến hệ thống thông tin.

1. Hệ thống mạng nội bộ của các đơn vị thuộc Bảo hiểm xã hội Việt Nam phải được thiết kế, phân vùng và quản lý theo chức năng sử dụng, bảo đảm tách biệt giữa các vùng mạng người dùng, vùng mạng máy chủ, vùng mạng quản trị, vùng mạng cung cấp dịch vụ, vùng mạng kết nối Internet, vùng mạng kết nối với các cơ quan, tổ chức bên ngoài và các vùng mạng khác theo yêu cầu vận hành thực tế. Việc kiểm soát truy cập giữa các vùng mạng phải được thực hiện thông qua các thiết bị (tường lửa mạng) hoặc giải pháp bảo mật; chỉ cho phép các kết nối, ứng dụng, dịch vụ phục vụ công việc và chặn các kết nối, dịch vụ không cần thiết hoặc không được phép sử dụng. Đối với các vùng mạng máy chủ và hệ thống thông tin quan trọng phải triển khai các giải pháp phòng chống mã độc, phòng chống tấn công có chủ đích và phòng chống xâm nhập trái phép để phát hiện, ngăn chặn.

2. Các kết nối phục vụ xác thực, truy cập, trao đổi dữ liệu, quản trị hệ thống, ứng dụng hoặc thiết bị công nghệ thông tin phải áp dụng các biện pháp mã hóa và bảo vệ đường truyền.

3. Các thiết bị mạng, thiết bị bảo mật và hệ thống thông tin quan trọng phải được cấu hình ghi nhận và gửi nhật ký hoạt động về hệ thống giám sát tập trung. Nhật ký hệ thống phải được lưu trữ, bảo quản và khai thác phục vụ công tác giám sát, điều tra, xử lý sự cố theo quy định (tối thiểu 03 tháng).

4. Các thiết bị mạng và thiết bị bảo mật phải được cấu hình cơ chế xác thực đối với hoạt động quản trị; việc truy cập quản trị chỉ được thực hiện từ các vùng mạng quản trị hoặc thông qua các phương thức được Bảo hiểm xã hội Việt Nam cho phép.

5. Việc truy cập quản trị hệ thống từ bên ngoài mạng nội bộ phải sử dụng các giải pháp truy cập từ xa an toàn (SSL VPN), kiểm soát truy cập mạng do Bảo hiểm xã hội Việt Nam quy định và phải áp dụng xác thực đa yếu tố đối với tài khoản quản trị.

6. Các thiết bị kết nối vào hệ thống mạng nội bộ phải được đồng bộ thời gian với hệ thống máy chủ thời gian chuẩn của Bảo hiểm xã hội Việt Nam hoặc nguồn thời gian tin cậy được Bảo hiểm xã hội Việt Nam cho phép sử dụng.

7. Thiết bị mạng, thiết bị bảo mật và các thành phần hạ tầng công nghệ thông tin phải được rà soát, cập nhật bản vá, xử lý lỗ hổng bảo mật theo mức độ rủi ro và khuyến nghị của nhà sản xuất. Hệ thống mạng nội bộ phải được kiểm tra, đánh giá an toàn an ninh mạng định kỳ tối thiểu một lần trong năm hoặc khi có yêu cầu của cơ quan có thẩm quyền.

8. Đối với hệ thống mạng không dây:

9. Tài liệu thiết kế, sơ đồ mạng, cấu hình và chính sách quản lý hệ thống mạng phải được cập nhật thường xuyên, phản ánh đúng hiện trạng vận hành và được quản lý, lưu trữ.

1. Việc kết nối từ mạng nội bộ của các đơn vị thuộc Bảo hiểm xã hội Việt Nam ra mạng Internet phải được kiểm soát thông qua các thiết bị, hệ thống và giải pháp bảo đảm an toàn an ninh mạng do đơn vị vận hành hệ thống thông tin triển khai; thực hiện ghi nhật ký, giám sát và áp dụng các chính sách kiểm soát truy cập theo quy định.

2. Hạ tầng kết nối Internet phục vụ cung cấp ứng dụng, dịch vụ công nghệ thông tin của Bảo hiểm xã hội Việt Nam trên môi trường Internet phải được thiết kế bảo đảm tính sẵn sàng cao, khả năng dự phòng, cân bằng tải và duy trì hoạt động liên tục; sử dụng địa chỉ IP, tên miền Internet theo quy định của cơ quan nhà nước có thẩm quyền.

3. Hạ tầng kết nối Internet phục vụ người dùng truy cập các ứng dụng, dịch vụ trên mạng Internet phải được thiết kế bảo đảm khả năng dự phòng, an toàn và đáp ứng nhu cầu khai thác, sử dụng của đơn vị.

4. Đối với máy chủ, thiết bị công nghệ thông tin và các thành phần hạ tầng kỹ thuật, chỉ thiết lập kết nối Internet hoặc cho phép giao tiếp với Internet khi phục vụ yêu cầu vận hành, cung cấp dịch vụ hoặc các mục đích công vụ được phê duyệt; thực hiện nguyên tắc cấp quyền tối thiểu và chỉ mở các kết nối cần thiết.

5. Các ứng dụng, dịch vụ công nghệ thông tin cung cấp trên môi trường Internet phải được áp dụng các biện pháp bảo vệ phù hợp theo mức độ quan trọng của hệ thống và mức độ rủi ro, bao gồm kiểm soát truy cập, giới hạn phạm vi truy cập theo địa chỉ mạng, khu vực địa lý (IP Geolocation), đối tượng sử dụng hoặc các biện pháp kỹ thuật khác.

6. Mọi kết nối từ hệ thống thông tin của Bảo hiểm xã hội Việt Nam tới mạng Internet hoặc tới hệ thống thông tin của cơ quan, tổ chức bên ngoài phải được kiểm soát, ghi nhật ký và giám sát tập trung theo quy định.

2. Việc khôi phục dữ liệu từ bản sao lưu được thực hiện trong các trường hợp sau:

3. Đơn vị vận hành hệ thống thông tin định kỳ kiểm tra, thử nghiệm khả năng phục hồi dữ liệu từ các bản sao lưu để bảo đảm dữ liệu sao lưu có thể sử dụng để khôi phục hệ thống khi cần thiết. Việc thử nghiệm khôi phục dữ liệu được thực hiện tối thiểu 01 lần/năm và phải lưu giữ hồ sơ, kết quả kiểm tra, thử nghiệm phục vụ công tác quản lý, kiểm tra, đánh giá an toàn thông tin.

1. Hệ thống thông tin được xem xét kết thúc vận hành, khai thác trong các trường hợp sau:

2. Khi thực hiện kết thúc vận hành, khai thác hệ thống thông tin, đơn vị vận hành hệ thống thông tin có trách nhiệm:

3. Dữ liệu của hệ thống thông tin đã kết thúc vận hành, khai thác phải được lưu trữ, bảo quản và quản lý theo quy định của pháp luật về lưu trữ, giao dịch điện tử, bảo vệ dữ liệu cá nhân và quy định chuyên ngành của Bảo hiểm xã hội Việt Nam.

1. Hệ thống thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam phải được tổ chức triển khai, quản lý, vận hành và duy trì đáp ứng các yêu cầu sau:

2. Các thiết bị xử lý thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam phải được kết nối, giám sát tập trung và chịu sự kiểm tra, đánh giá về an toàn an ninh mạng theo quy định.

3. Hệ thống camera giám sát phải tuân thủ quy chuẩn kỹ thuật quốc gia về an toàn thông tin mạng cơ bản cho camera giám sát, theo Chỉ thị số 23/CT-TTg ngày 26/12/2022 của Thủ tướng Chính phủ về tăng cường công tác bảo đảm an toàn thông tin mạng, an ninh thông tin cho thiết bị camera giám sát.

1. Trung tâm Công nghệ thông tin và Chuyển đổi số tổ chức triển khai, quản lý và vận hành hệ thống phòng, chống mã độc tập trung trong phạm vi Bảo hiểm xã hội Việt Nam; thực hiện giám sát, phát hiện, cảnh báo và hỗ trợ xử lý các nguy cơ lây nhiễm mã độc theo quy định.

2. Đơn vị vận hành hệ thống thông tin, các đơn vị và cá nhân sử dụng hệ thống thông tin có trách nhiệm triển khai, duy trì các biện pháp phòng, chống mã độc; phối hợp phát hiện, xử lý, khắc phục sự cố lây nhiễm mã độc và chia sẻ thông tin theo hướng dẫn của Trung tâm Công nghệ thông tin và Chuyển đổi số.

3. Trung tâm Công nghệ thông tin và Chuyển đổi số thực hiện kết nối, chia sẻ thông tin về mã độc, tình trạng lây nhiễm mã độc với hệ thống giám sát của Bộ Tài chính và cơ quan có thẩm quyền theo quy định.

1. Đơn vị vận hành hệ thống thông tin có trách nhiệm tổ chức quản lý lỗ hổng, điểm yếu an toàn an ninh mạng đối với các hệ thống thông tin thuộc phạm vi quản lý, bao gồm các nội dung sau:

2. Đơn vị vận hành hệ thống thông tin có trách nhiệm tổ chức quản lý rủi ro an toàn an ninh mạng đối với hệ thống thông tin thuộc phạm vi quản lý trên cơ sở kết quả đánh giá lỗ hổng, điểm yếu, các nguy cơ mất an toàn thông tin và yêu cầu bảo vệ của hệ thống thông tin; thực hiện theo dõi, đánh giá, xử lý và cập nhật rủi ro trong suốt quá trình vận hành hệ thống.

3. Trung tâm Công nghệ thông tin và Chuyển đổi số chủ trì hướng dẫn, giám sát, đôn đốc việc thực hiện công tác quản lý rủi ro, lỗ hổng và điểm yếu an toàn an ninh mạng trong phạm vi Bảo hiểm xã hội Việt Nam.

1. Trung tâm Công nghệ thông tin và Chuyển đổi số chủ trì tổ chức, triển khai công tác giám sát an toàn thông tin mạng đối với các hệ thống thông tin, hạ tầng kỹ thuật công nghệ thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam; thực hiện thu thập, phân tích, cảnh báo, phát hiện và phối hợp xử lý các nguy cơ, sự cố mất an toàn thông tin mạng theo quy định.

2. Đơn vị vận hành hệ thống thông tin có trách nhiệm phối hợp với Trung tâm Công nghệ thông tin và Chuyển đổi số trong việc triển khai các biện pháp giám sát, cung cấp thông tin, nhật ký hệ thống, dữ liệu phục vụ công tác giám sát, phát hiện, cảnh báo và xử lý sự cố an toàn thông tin mạng.

3. Công tác giám sát an toàn thông tin mạng được thực hiện trực tiếp bởi Trung tâm Công nghệ thông tin và Chuyển đổi số hoặc thông qua tổ chức, doanh nghiệp có đủ điều kiện, năng lực cung cấp dịch vụ giám sát an toàn thông tin mạng theo quy định của pháp luật và được Bảo hiểm xã hội Việt Nam phê duyệt.

4. Đối với hệ thống thông tin quan trọng về an ninh quốc gia, đơn vị vận hành hệ thống thông tin phối hợp với cơ quan có thẩm quyền triển khai công tác giám sát an ninh mạng theo quy định của pháp luật về an ninh mạng và các quy định có liên quan.

1. Việc kiểm tra, đánh giá an toàn an ninh mạng được thực hiện nhằm đánh giá mức độ tuân thủ quy định của pháp luật và hiệu quả của các biện pháp bảo đảm an toàn an ninh mạng đối với hệ thống thông tin, hạ tầng kỹ thuật và thiết bị xử lý thông tin.

2. Trung tâm Công nghệ thông tin và Chuyển đổi số chủ trì tổ chức kiểm tra, đánh giá công tác an toàn an ninh mạng đối với các đơn vị thuộc Bảo hiểm xã hội Việt Nam theo kế hoạch công tác hàng năm, chương trình kiểm tra chuyên đề hoặc theo yêu cầu của cấp có thẩm quyền.

3. Các đơn vị có trách nhiệm tự kiểm tra, đánh giá định kỳ hằng năm đối với công tác an toàn an ninh mạng thuộc phạm vi quản lý; kịp thời phát hiện, khắc phục các tồn tại, hạn chế và báo cáo theo quy định.

4. Trung tâm Công nghệ thông tin và Chuyển đổi số lựa chọn tổ chức, doanh nghiệp có đủ điều kiện, năng lực theo quy định của pháp luật để thực hiện kiểm tra, đánh giá kỹ thuật an toàn an ninh mạng đối với hệ thống thông tin, bao gồm đánh giá lỗ hổng, điểm yếu bảo mật, phát hiện mã độc, thử nghiệm xâm nhập, đánh giá an toàn hệ thống thông tin theo cấp độ và các nội dung đánh giá chuyên sâu khác trình Bảo hiểm xã hội Việt Nam phê duyệt theo quy định.

5. Đối với hệ thống thông tin quan trọng về an ninh quốc gia, việc kiểm tra, đánh giá an ninh mạng được thực hiện theo quy định của pháp luật về an ninh mạng và hướng dẫn của cơ quan có thẩm quyền.

6. Tổ chức, doanh nghiệp cung cấp dịch vụ kiểm tra, đánh giá an toàn an ninh mạng phải bảo đảm tính độc lập với tổ chức, doanh nghiệp cung cấp dịch vụ giám sát an toàn an ninh mạng đối với cùng hệ thống thông tin, trừ trường hợp pháp luật có quy định khác.

7. Đơn vị vận hành hệ thống thông tin có trách nhiệm xây dựng kế hoạch, tổ chức khắc phục các tồn tại, lỗ hổng, điểm yếu và rủi ro được phát hiện trong quá trình kiểm tra, đánh giá; báo cáo kết quả khắc phục theo yêu cầu của cơ quan có thẩm quyền hoặc Trung tâm Công nghệ thông tin và Chuyển đổi số.

1. Chủ quản hệ thống thông tin, đơn vị vận hành hệ thống thông tin có trách nhiệm xây dựng, phê duyệt và tổ chức triển khai kế hoạch ứng phó sự cố an toàn thông tin mạng, phương án ứng phó và khắc phục sự cố an ninh mạng đối với các hệ thống thông tin thuộc phạm vi quản lý theo quy định của pháp luật. Trường hợp nội dung vượt thẩm quyền quyết định của đơn vị, phải lấy ý kiến các đơn vị liên quan và báo cáo Lãnh đạo Bảo hiểm xã hội Việt Nam xem xét, quyết định.

2. Khi xảy ra sự cố an toàn thông tin mạng hoặc sự cố an ninh mạng, đơn vị vận hành hệ thống thông tin có trách nhiệm chủ động triển khai các biện pháp xử lý ban đầu, cô lập phạm vi ảnh hưởng, tổ chức ứng cứu, khắc phục sự cố và thực hiện chế độ báo cáo theo quy định của pháp luật. Đối với hệ thống thông tin cấp độ 4, cấp độ 5 hoặc hệ thống thông tin quan trọng về an ninh quốc gia, đơn vị vận hành hệ thống thông tin phải kịp thời báo cáo Lãnh đạo Bảo hiểm xã hội Việt Nam và phối hợp với Trung tâm Công nghệ thông tin và Chuyển đổi số, các cơ quan có thẩm quyền trong quá trình ứng phó, khắc phục sự cố.

3. Trung tâm Công nghệ thông tin và Chuyển đổi số là đầu mối tiếp nhận, tổng hợp, cảnh báo, điều phối và hỗ trợ ứng cứu sự cố an toàn thông tin mạng trong phạm vi Bảo hiểm xã hội Việt Nam; chủ trì phối hợp với các đơn vị liên quan và cơ quan có thẩm quyền trong công tác ứng phó, khắc phục sự cố theo quy định.

4. Các đơn vị có trách nhiệm theo dõi, tiếp nhận, xử lý các cảnh báo an toàn an ninh mạng; chủ động rà soát, kiểm tra hệ thống thông tin thuộc phạm vi quản lý theo các cảnh báo, hướng dẫn của cơ quan có thẩm quyền, Trung tâm Công nghệ thông tin và Chuyển đổi số và các tổ chức chuyên môn. Mỗi đơn vị phải chỉ định 01 lãnh đạo đầu mối phụ trách công tác an toàn an ninh mạng và 01 cán bộ đầu mối tiếp nhận, xử lý cảnh báo, sự cố để phối hợp với Trung tâm Công nghệ thông tin và Chuyển đổi số trong quá trình triển khai nhiệm vụ.

5. Trung tâm Công nghệ thông tin và Chuyển đổi số chủ trì tổ chức hoặc tham mưu tổ chức các hoạt động huấn luyện, diễn tập ứng cứu sự cố an toàn an ninh mạng đối với các hệ thống thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam theo kế hoạch được phê duyệt. Các đơn vị có trách nhiệm tham gia đầy đủ các cuộc diễn tập do Bảo hiểm xã hội Việt Nam hoặc cơ quan có thẩm quyền tổ chức; đồng thời chủ động tổ chức huấn luyện, diễn tập trong phạm vi quản lý theo kế hoạch ứng phó sự cố đã được phê duyệt.

6. Trung tâm Công nghệ thông tin và Chuyển đổi số là đầu mối tham gia Mạng lưới ứng cứu sự cố an toàn thông tin mạng quốc gia và thực hiện các trách nhiệm thành viên theo quy định của cơ quan có thẩm quyền. Các đơn vị thuộc Bảo hiểm xã hội Việt Nam có trách nhiệm phối hợp, cung cấp thông tin và tham gia các hoạt động ứng cứu sự cố theo yêu cầu của Trung tâm Công nghệ thông tin và Chuyển đổi số hoặc cơ quan có thẩm quyền.

7. Các sự cố an toàn an ninh mạng ảnh hưởng đến hoạt động cung cấp dịch vụ công trực tuyến, giao dịch điện tử, cơ sở dữ liệu dùng chung hoặc các hệ thống thông tin trọng yếu của Bảo hiểm xã hội Việt Nam phải được báo cáo ngay sau khi phát hiện và cập nhật liên tục tình hình xử lý cho đến khi khắc phục hoàn toàn sự cố.

1. Chủ quản hệ thống thông tin, đơn vị vận hành hệ thống thông tin và Trung tâm Công nghệ thông tin và Chuyển đổi số có trách nhiệm triển khai các biện pháp quản lý, kỹ thuật và tổ chức nhằm phòng ngừa, phát hiện, ngăn chặn và xử lý các hành vi xâm phạm an ninh mạng đối với hệ thống thông tin thuộc phạm vi quản lý theo quy định của pháp luật.

2. Các đơn vị có trách nhiệm thường xuyên theo dõi, rà soát, phát hiện các dấu hiệu tấn công mạng, xâm nhập trái phép, chiếm quyền điều khiển hệ thống thông tin, phát tán mã độc, thu thập trái phép dữ liệu, lộ lọt bí mật nhà nước, bí mật công tác, dữ liệu cá nhân và các hành vi vi phạm pháp luật về an ninh mạng khác; kịp thời áp dụng các biện pháp ngăn chặn, khắc phục và báo cáo theo quy định.

3. Khi phát hiện hoặc tiếp nhận thông tin về tình huống nguy hiểm về an ninh mạng, khủng bố mạng hoặc hành vi vi phạm pháp luật về an ninh mạng liên quan đến hệ thống thông tin thuộc phạm vi quản lý, đơn vị quản lý, vận hành hệ thống thông tin có trách nhiệm kịp thời báo cáo Lãnh đạo Bảo hiểm xã hội Việt Nam, Trung tâm Công nghệ thông tin và Chuyển đổi số và phối hợp với cơ quan có thẩm quyền để xử lý theo quy định của pháp luật.

4. Các đơn vị có trách nhiệm phối hợp, thực hiện các yêu cầu của cơ quan có thẩm quyền về an ninh mạng trong việc kiểm tra, xác minh, thu thập thông tin, bảo vệ chứng cứ điện tử, ngăn chặn, xử lý hành vi vi phạm pháp luật về an ninh mạng và khắc phục hậu quả do sự cố, tấn công mạng gây ra.

5. Mọi hành vi nghi ngờ xâm phạm an ninh mạng, thu thập trái phép dữ liệu, phát tán dữ liệu hoặc khai thác trái phép thông tin thuộc phạm vi quản lý của Bảo hiểm xã hội Việt Nam phải được thông báo ngay cho Trung tâm Công nghệ thông tin và Chuyển đổi số để tổ chức xác minh, đánh giá mức độ ảnh hưởng và phối hợp xử lý theo quy định.

1. Trung tâm Công nghệ thông tin và Chuyển đổi số chủ trì, phối hợp với các đơn vị liên quan xây dựng và tổ chức triển khai các hoạt động tuyên truyền, phổ biến chủ trương, chính sách, pháp luật, quy định, quy chế và kiến thức về an toàn an ninh mạng nhằm nâng cao nhận thức, trách nhiệm và kỹ năng bảo đảm an toàn an ninh mạng trong phạm vi Bảo hiểm xã hội Việt Nam. Các đơn vị có trách nhiệm tổ chức quán triệt, tuyên truyền, phổ biến và nâng cao nhận thức về an toàn an ninh mạng cho công chức, viên chức, người lao động thuộc phạm vi quản lý.

2. Trung tâm Công nghệ thông tin và Chuyển đổi số chủ trì hoặc phối hợp với các cơ quan, tổ chức có liên quan tổ chức huấn luyện, tập huấn kiến thức, kỹ năng về an toàn an ninh mạng cho các đối tượng phù hợp với chức năng, nhiệm vụ được giao, bao gồm lãnh đạo, công chức, viên chức, người lao động và nhân sự chuyên trách công nghệ thông tin, an toàn thông tin.

3. Các đơn vị có trách nhiệm tạo điều kiện để công chức, viên chức, người lao động tham gia đầy đủ các chương trình tuyên truyền, đào tạo, bồi dưỡng và tập huấn về an toàn an ninh mạng theo kế hoạch của Bảo hiểm xã hội Việt Nam hoặc cơ quan có thẩm quyền.

4. Công chức, viên chức, người lao động trước khi được cấp tài khoản truy cập các hệ thống thông tin hoặc được giao nhiệm vụ quản trị, vận hành hệ thống thông tin phải được phổ biến, hướng dẫn các quy định về an toàn an ninh mạng có liên quan.

1. Các đơn vị thuộc Bảo hiểm xã hội Việt Nam có trách nhiệm thực hiện chế độ báo cáo định kỳ và đột xuất về công tác an toàn an ninh mạng theo quy định của pháp luật, quy định của Bảo hiểm xã hội Việt Nam và hướng dẫn của Trung tâm Công nghệ thông tin và Chuyển đổi số. Thời hạn, biểu mẫu và nội dung báo cáo định kỳ trước ngày 10 tháng 12 hàng năm.

2. Trung tâm Công nghệ thông tin và Chuyển đổi số chủ trì hướng dẫn, tổng hợp và xây dựng báo cáo định kỳ về công tác an toàn an ninh mạng của Bảo hiểm xã hội Việt Nam để báo cáo Lãnh đạo Bảo hiểm xã hội Việt Nam và các cơ quan có thẩm quyền theo quy định.

3. Khi xảy ra sự cố an toàn an ninh mạng hoặc các vụ việc có nguy cơ ảnh hưởng đến hoạt động của hệ thống thông tin thuộc phạm vi quản lý, các đơn vị có trách nhiệm thực hiện chế độ báo cáo, cung cấp thông tin kịp thời theo quy định và theo yêu cầu của Trung tâm Công nghệ thông tin và Chuyển đổi số.

4. Trung tâm Công nghệ thông tin và Chuyển đổi số chủ trì, phối hợp với các đơn vị liên quan xây dựng các báo cáo định kỳ, báo cáo chuyên đề, báo cáo đột xuất về an toàn an ninh mạng theo yêu cầu của cơ quan có thẩm quyền và trình Lãnh đạo Bảo hiểm xã hội Việt Nam xem xét, phê duyệt. Thời hạn, biểu mẫu và nội dung báo cáo định kỳ trước ngày 15 tháng 12 hàng năm.

1. Trách nhiệm của Trung tâm Công nghệ thông tin và Chuyển đổi số

2. Trách nhiệm của chủ quản hệ thống thông tin

3. Trách nhiệm của đơn vị vận hành hệ thống thông tin

4. Trách nhiệm của các đơn vị thuộc Bảo hiểm xã hội Việt Nam

5. Trách nhiệm của Thủ trưởng đơn vị

6. Trách nhiệm của người dùng

1. Thủ trưởng các đơn vị thuộc Bảo hiểm xã hội Việt Nam, Bảo hiểm xã hội các tỉnh, thành phố và các tổ chức, cá nhân có liên quan có trách nhiệm tổ chức triển khai, phổ biến và thực hiện nghiêm các quy định tại Quy chế này.

2. Trung tâm Công nghệ thông tin và Chuyển đổi số là đơn vị đầu mối giúp Giám đốc Bảo hiểm xã hội Việt Nam hướng dẫn, theo dõi, đôn đốc, kiểm tra việc thực hiện Quy chế; chủ trì tổng hợp các khó khăn, vướng mắc phát sinh trong quá trình thực hiện để báo cáo, đề xuất cấp có thẩm quyền xem xét, xử lý.

3. Các đơn vị vận hành, giám sát, kiểm tra, đánh giá và ứng cứu sự cố có trách nhiệm phối hợp với Trung tâm Công nghệ thông tin và Chuyển đổi số trong quá trình triển khai Quy chế này.

4. Trong quá trình thực hiện, nếu phát sinh khó khăn, vướng mắc hoặc cần sửa đổi, bổ sung Quy chế, các đơn vị phản ánh bằng văn bản về Trung tâm Công nghệ thông tin và Chuyển đổi số để tổng hợp, báo cáo Giám đốc Bảo hiểm xã hội Việt Nam xem xét, quyết định.

5. Tổ chức, cá nhân vi phạm các quy định tại Quy chế này thì tùy theo tính chất, mức độ vi phạm sẽ bị xem xét xử lý trách nhiệm, xử lý kỷ luật hoặc xử lý theo quy định của pháp luật.

6. Trường hợp các văn bản quy phạm pháp luật, văn bản hướng dẫn của cơ quan có thẩm quyền được viện dẫn trong Quy chế này được sửa đổi, bổ sung hoặc thay thế thì thực hiện theo quy định của văn bản mới được ban hành. Trung tâm Công nghệ thông tin và Chuyển đổi số có trách nhiệm rà soát và phối hợp với các đơn vị có liên quan nghiên cứu, đề xuất sửa đổi, bổ sung hoặc thay thế Quy chế và trình Giám đốc Bảo hiểm xã hội Việt Nam xem xét, quyết định.

7. Trung tâm Công nghệ thông tin và Chuyển đổi số có trách nhiệm chủ trì xây dựng, ban hành theo thẩm quyền hoặc trình cấp có thẩm quyền ban hành các quy trình, hướng dẫn kỹ thuật, tiêu chuẩn kỹ thuật và tài liệu nghiệp vụ cần thiết để tổ chức triển khai thống nhất Quy chế này trong toàn hệ thống Bảo hiểm xã hội Việt Nam./.