Thông tư 121/2018/TT-BTC Về kinh phí để ứng cứu sự cố, bảo đảm an toàn thông tin mạng

QUY ĐỊNH VỀ LẬP DỰ TOÁN, QUẢN LÝ, SỬ DỤNG VÀ QUYẾT TOÁN KINH PHÍ ĐỂ THỰC HIỆN CÔNG TÁC ỨNG CỨU SỰ CỐ, BẢO ĐẢM AN TOÀN THÔNG TIN MẠNG

Căn cứ Luật Ngân sách nhà nước ngày 25 tháng 6 năm 2015;

Căn cứ Luật An toàn thông tin mạng ngày 19 tháng 11 năm 2015;

Căn cứ Nghị định số 163/2016/NĐ-CP ngày 21 tháng 12 năm 2016 của Chính phủ quy định chi tiết và hướng dẫn thi hành Luật Ngân sách nhà nước;

Căn cứ Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;

Căn cứ Quyết định số 05/2017/QĐ-TTg ngày 16 tháng 3 năm 2017 của Thủ tướng Chính phủ ban hành quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia;

Căn cứ Nghị định số 87/2017/NĐ-CP ngày 26 tháng 7 năm 2017 của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Bộ Tài chính;

Theo đề nghị của Vụ trưởng Vụ Tài chính Hành chính sự nghiệp;

Bộ trưởng Bộ Tài chính ban hành Thông tư quy định về lập dự toán, quản lý, sử dụng và quyết toán kinh phí để thực hiện công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng.

Thông tư này quy định về lập dự toán, quản lý, sử dụng và quyết toán kinh phí chi thường xuyên để thực hiện công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng.

Kinh phí thực hiện công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng được bố trí trong dự toán ngân sách nhà nước của các bộ, cơ quan trung ương và địa phương theo phân cấp ngân sách hiện hành. Việc bố trí kinh phí thực hiện theo nguyên tắc: Hoạt động, lực lượng thuộc ngân sách cấp nào do ngân sách cấp đó bảo đảm và được tổng hợp vào dự toán ngân sách hàng năm của cơ quan, đơn vị theo quy định của Luật Ngân sách nhà nước và các văn bản pháp luật khác có liên quan, cụ thể:

a) Ngân sách trung ương:

- Bảo đảm kinh phí để triển khai các hoạt động thực hiện nhiệm vụ bảo đảm an toàn thông tin do các cơ quan, tổ chức nhà nước ở trung ương thực hiện quy định tại khoản 1 và khoản 3 Điều 24 Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ (sau đây gọi tắt là Nghị định số 85/2016/NĐ-CP), gồm:

+ Kinh phí thực hiện yêu cầu về an toàn thông tin theo cấp độ trong hoạt động của cơ quan, tổ chức nhà nước do ngân sách nhà nước bảo đảm;

+ Kinh phí thực hiện giám sát, đánh giá, quản lý rủi ro an toàn thông tin; đào tạo ngắn hạn, tuyên truyền, phổ biến nâng cao nhận thức, diễn tập an toàn thông tin và ứng cứu sự cố của cơ quan, tổ chức nhà nước được cân đối bố trí trong dự toán ngân sách hàng năm của cơ quan, tổ chức nhà nước đó theo phân cấp của Luật Ngân sách nhà nước.

- Bảo đảm kinh phí để triển khai các hoạt động quy định tại điểm a khoản 2 Điều 17 Quyết định số 05/2017/QĐ-TTg ngày 16/3/2017 của Thủ tướng Chính phủ ban hành quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia (sau đây gọi tắt là Quyết định số 05/2017/QĐ-TTg), gồm:

+ Hoạt động chỉ đạo, điều hành, kiểm tra, giám sát ứng cứu sự cố của Ban Chỉ đạo quốc gia, Ban Điều phối ứng cứu quốc gia, cơ quan thường trực ứng cứu sự cố quốc gia;

+ Hoạt động của cơ quan điều phối quốc gia;

+ Hoạt động, nhiệm vụ của các Bộ, cơ quan trung ương.

b) Ngân sách địa phương:

- Bảo đảm kinh phí hoạt động thực hiện nhiệm vụ bảo đảm an toàn thông tin do cơ quan, tổ chức, đơn vị chuyên trách ở địa phương về an toàn thông tin thực hiện quy định tại khoản 1 và khoản 3 Điều 24 Nghị định số 85/2016/NĐ-CP.

- Bảo đảm hoạt động của Ban Chỉ đạo, đơn vị chuyên trách ứng cứu sự cố, đội ứng cứu sự cố ở địa phương, các nhiệm vụ do địa phương thực hiện quy định tại điểm b khoản 2 Điều 17 Quyết định số 05/2017/QĐ-TTg.

Nội dung chi của ngân sách trung ương, ngân sách địa phương, doanh nghiệp theo quy định tại khoản 2 Điều 17 Quyết định số 05/2017/QĐ-TTg; khoản 1 và khoản 3 Điều 24 Nghị định số 85/2016/NĐ-CP.

Các Bộ, cơ quan trung ương, địa phương, cơ quan, đơn vị sử dụng kinh phí ngân sách nhà nước cho công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng phải thực hiện đúng định mức, chế độ chi tiêu tài chính hiện hành do cơ quan Nhà nước có thẩm quyền ban hành.

Thông tư này quy định chi tiết mức chi cho một số nội dung, nhiệm vụ cụ thể ứng cứu sự cố, bảo đảm an toàn thông tin mạng như sau:

Thực hiện theo đề án và dự toán được phê duyệt theo nội dung chi và mức chi quy định tại Thông tư số 166/2015/TT-BTC ngày 05/11/2015 của Bộ Tài chính quy định việc quản lý và sử dụng kinh phí thực hiện dự án đào tạo ngắn hạn về an toàn, an ninh thông tin trong nước thuộc Đề án đào tạo và phát triển nguồn nhân lực an toàn, an ninh thông tin đến năm 2020.

a) Chi thuê dịch vụ công nghệ thông tin: Dịch vụ kỹ thuật, gia hạn bản quyền phần mềm, dịch vụ hỗ trợ, bảo trì, bảo dưỡng trang thiết bị, phương tiện công cụ và các dịch vụ khác phục vụ công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng: Thực hiện theo quy định của Luật Đấu thầu và các văn bản hướng dẫn thực hiện. Việc thuê dịch vụ công nghệ thông tin phải phù hợp với kế hoạch ứng phó sự cố, bảo đảm an toàn mạng và kế hoạch thuê dịch vụ công nghệ thông tin được phê duyệt của Bộ, ngành, địa phương;

b) Chi mua sắm, nâng cấp thiết bị, ứng dụng công nghệ thông tin phục vụ công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng theo quy định của Luật Đấu thầu và các văn bản hướng dẫn thực hiện. Việc mua sắm, nâng cấp thiết bị, ứng dụng công nghệ thông tin phải phù hợp với kế hoạch ứng phó sự cố, bảo đảm an toàn thông tin mạng được phê duyệt của Bộ, ngành, địa phương.

a) Đối với thuê chuyên gia trong nước: Áp dụng theo quy định tại Thông tư số 02/2015/TT-BLĐTBXH ngày 12/01/2015 của Bộ Lao động Thương binh và Xã hội quy định mức lương đối với chuyên gia tư vấn trong nước làm cơ sở dự toán gói thầu cung cấp dịch vụ tư vấn áp dụng hình thức hợp đồng theo thời gian sử dụng vốn nhà nước;

b) Đối với thuê chuyên gia tư vấn nước ngoài: Căn cứ vào mức độ cần thiết và triển khai các hoạt động và dự toán kinh phí được duyệt, Bộ trưởng, thủ trưởng cơ quan trung ương, Chủ tịch Ủy ban nhân dân tỉnh, thành phố trực thuộc trung ương quyết định việc thuê chuyên gia tư vấn nước ngoài và chịu trách nhiệm về quyết định của mình. Mức chi thực hiện theo hợp đồng thực tế thỏa thuận với chuyên gia theo yêu cầu chất lượng, số lượng và thời gian thực hiện công việc.

a) Chi điều phối ứng cứu sự cố an toàn thông tin mạng, gồm: Tiếp nhận, phân tích, phân loại sơ bộ sự cố và hệ thống bị sự cố; kiểm tra, xác minh, đánh giá thông tin sự cố; nghiên cứu, điều tra, phân tích sự cố và đề xuất phương thức, giải pháp điều phối, ứng cứu sự cố; điều hành, phối hợp, tổ chức các đơn vị tham gia thực hiện ứng cứu, xử lý sự cố; theo dõi, kiểm tra, đôn đốc thực hiện các lệnh điều phối;

b) Chi tổ chức hỗ trợ ứng cứu, xử lý sự cố, tấn công mạng, gồm: Tiếp nhận, kiểm tra, xác minh, đánh giá, phân loại sự cố; nghiên cứu, điều tra, phân tích sự cố; đề xuất, lựa chọn phương án, hình thức triển khai ứng cứu; thuê dịch vụ kỹ thuật, phương tiện, thiết bị phục vụ xử lý sự cố; triển khai ứng cứu, ngăn chặn và xử lý sự cố; lập báo cáo ứng cứu xử lý sự cố;

c) Chi thực hiện giám sát trực tiếp nhằm theo dõi, phân tích, phát hiện sớm nguy cơ, sự cố cho hệ thống thông tin, gồm: Khảo sát, xây dựng phương án, kế hoạch giám sát; thuê, mua, lắp đặt thiết bị kỹ thuật và nghiên cứu điều chỉnh, bổ sung, cập nhật giám sát; theo dõi, phân tích, xây dựng báo cáo giám sát định kỳ;

d) Chi thực hiện giám sát gián tiếp của cơ quan điều phối quốc gia và cơ quan chức năng đối với hệ thống, dịch vụ công nghệ thông tin phục vụ chính phủ điện tử, gồm: Khảo sát, xây dựng phương án, kế hoạch giám sát; thuê, mua và lắp đặt, triển khai thiết bị kỹ thuật; thu thập, thống kê, tổng hợp tình hình sự cố, nguy cơ, tấn công mạng, các điểm yếu/lỗ hổng an toàn thông tin, các phương thức, thủ đoạn tấn công, xâm hại an toàn thông tin mạng; tổng hợp, phân tích các thông tin, dữ liệu về sự cố từ các nguồn; theo dõi, phân tích, phát hiện các dấu hiệu, nguy cơ ảnh hưởng đến tính sẵn sàng, nguyên vẹn, an toàn của hệ thống;

đ) Xây dựng kịch bản tình huống sự cố, tấn công mạng có thể xảy ra và dự phòng phương án ứng cứu cho hệ thống thông tin, gồm: Khảo sát và xác định phạm vi, quy mô hệ thống thông tin; nghiên cứu, phân tích các tình huống, sự cố có thể xảy ra; xác định phương án ứng cứu theo tình huống và từng hệ thống cụ thể; hướng dẫn, trao đổi thỏa thuận về quy trình ứng cứu, xử lý sự cố và cách thức phối hợp trong quá trình ứng cứu, xử lý sự cố;

e) Chi nghiên cứu, phân tích chuyên sâu, sao lưu dữ liệu và hướng dẫn xử lý phần mềm độc hại (mã độc) nguy hiểm, gồm: Khảo sát hiện trường sự cố và lấy mẫu mã độc; chuẩn bị các công cụ, thiết bị, phần mềm, phương tiện, môi trường phục vụ phân tích; phân tích thông tin cơ bản, đánh giá, kiểm tra để xác minh các thông tin về phần mềm độc hại; nghiên cứu, đề xuất phân loại phần mềm độc hại; phân tích, mô tả chi tiết về phần mềm độc hại; nghiên cứu, phân tích về cơ chế lây nhiễm/tấn công/hoạt động/tác động; nghiên cứu, phân tích về các ảnh hưởng, thiệt hại do mã độc gây ra;

g) Chi rà quét, phát hiện, bóc gỡ các phần mềm độc hại nguy hiểm cho máy chủ, máy trạm và thiết bị đầu cuối; khảo sát, nghiên cứu, xây dựng kế hoạch; thực hiện kiểm tra, rà quét phần mềm độc hại nguy hiểm, khôi phục dữ liệu cho máy chủ; bóc gỡ, xử lý mã độc, khôi phục dữ liệu đã bị mã độc mã hóa và thiết lập an toàn để phòng ngừa mã độc;

h) Chi kiểm tra, đánh giá, phát hiện các nguy cơ, lỗ hổng an toàn thông tin cho cổng/trang thông tin điện tử, hệ thống, phần mềm, ứng dụng, dịch vụ công nghệ thông tin phục vụ chính phủ điện tử, gồm: Khảo sát, thu thập thông tin về hệ thống, xây dựng kế hoạch kiểm tra đánh giá, thiết lập hệ thống mô phỏng và hệ thống hỗ trợ rủi ro, kiểm tra, đánh giá, phân tích điểm yếu, lỗ hổng an toàn thông tin; phân tích kết quả đánh giá và đề xuất giải pháp khắc phục; chuyển giao, hỗ trợ hướng dẫn khắc phục các điểm yếu, lỗ hổng;

i) Kiểm tra, phân tích, đánh giá an toàn thông tin cho hạ tầng, máy chủ, máy trạm và thiết bị mạng, gồm: Khảo sát hệ thống và xây dựng kế hoạch; triển khai hệ thống hỗ trợ dự phòng rủi ro; kiểm tra, đánh giá điểm yếu trong thiết kế và hệ thống mạng; kiểm tra, đánh giá điểm yếu cho từng thiết bị, máy chủ, máy trạm và phần mềm hệ thống, ứng dụng nền tảng; hướng dẫn khắc phục nguy cơ lỗ hổng;

Việc lập dự toán, quản lý, sử dụng và quyết toán kinh phí ứng cứu sự cố, bảo đảm an toàn thông tin mạng thực hiện theo quy định tại Luật Ngân sách nhà nước, Luật Kế toán và các văn bản hướng dẫn. Ngoài ra, Thông tư này hướng dẫn một số nội dung cụ thể sau:

Hàng năm, căn cứ các nhiệm vụ được giao về ứng cứu sự cố, bảo đảm an toàn thông tin mạng tại Nghị định số 85/2016/NĐ-CP, Quyết định số 05/2017/QĐ-TTg và hướng dẫn của Bộ Thông tin và Truyền thông về ứng cứu sự cố, bảo đảm an toàn thông tin mạng trên toàn quốc và các quy định tại Thông tư này; các cơ quan, đơn vị xây dựng kế hoạch và lập dự toán cho công tác điều phối, ứng cứu sự cố, bảo đảm an toàn thông tin mạng như sau:

a) Đối với kinh phí từ nguồn ngân sách trung ương:

- Cơ quan điều phối quốc gia về ứng cứu sự cố, Cơ quan thường trực về ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia, Ban Điều phối ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia lập dự toán kinh phí cho công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng gửi Bộ Thông tin và Truyền thông tổng hợp chung vào dự toán ngân sách của Bộ Thông tin và Truyền thông gửi Bộ Tài chính để tổng hợp trình cấp có thẩm quyền quyết định theo quy định.

- Đối với kinh phí chi cho công tác bảo đảm an toàn thông tin, ứng cứu sự cố thuộc trách nhiệm của các Bộ, cơ quan trung ương: Hàng năm các Bộ, cơ quan trung ương lập dự toán và tổng hợp chung vào dự toán ngân sách nhà nước của Bộ, cơ quan trung ương gửi Bộ Tài chính để tổng hợp trình cấp có thẩm quyền quyết định theo quy định.

- Đối với chi thực hiện các dự án: Các Bộ, cơ quan trung ương được giao nhiệm vụ chủ trì thực hiện các dự án đã được Thủ tướng Chính phủ phê duyệt, căn cứ vào mục tiêu, nhiệm vụ của từng dự án lập dự toán (phần kinh phí do ngân sách trung ương bảo đảm) tổng hợp chung trong dự toán của Bộ, cơ quan mình gửi Bộ Tài chính trình cấp có thẩm quyền phê duyệt.

b) Đối với kinh phí từ nguồn ngân sách địa phương:

Các cơ quan thực hiện nhiệm vụ bảo đảm an toàn thông tin mạng, các cơ quan được giao nhiệm vụ thường trực Ban chỉ đạo, đơn vị chuyên trách ứng cứu sự cố, đội ứng cứu sự cố của địa phương, các cơ quan, đơn vị có liên quan được giao nhiệm vụ chủ trì triển khai công việc liên quan đến hoạt động bảo đảm an toàn thông tin, ứng cứu sự cố lập dự toán gửi đơn vị dự toán cấp trên để gửi cơ quan tài chính cùng cấp để tổng hợp chung vào dự toán ngân sách địa phương, báo cáo Ủy ban nhân dân cấp tỉnh trình Hội đồng nhân dân cấp tỉnh xem xét, quyết định.

Các Bộ, cơ quan Trung ương và địa phương phân bổ kinh phí cho các cơ quan, đơn vị trong đó ghi chú cụ thể kinh phí dành cho công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng theo Quyết định số 05/2017/QĐ-TTg và kinh phí thực hiện các dự án về ứng cứu sự cố, bảo đảm an toàn thông tin mạng đã được Thủ tướng Chính phủ phê duyệt.

a) Việc sử dụng kinh phí thực hiện công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng theo quy định tại Luật Ngân sách nhà nước, các văn bản hướng dẫn thi hành và quy định tại Thông tư này;

b) Việc hạch toán kinh phí chi thực hiện công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng thực hiện theo quy định của chế độ kế toán hành chính, sự nghiệp và hệ thống mục lục ngân sách nhà nước;

c) Việc quyết toán kinh phí thực hiện công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng thực hiện theo quy định tại Luật Kế toán và các văn bản hướng dẫn, Thông tư số 137/2017/TT-BTC ngày 25/12/2017 của Bộ Tài chính quy định về xét duyệt, thẩm định, thông báo và tổng hợp quyết toán năm.