Thực hiện chức năng quản lý nhà nước về an toàn thông tin của Bộ Thông tin và Truyền thông tại Nghị định số 17/2017/NĐ-CP ngày 17 tháng 02 năm 2017 của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Bộ Thông tin và Truyền thông;

Thực hiện chỉ đạo của Thủ tướng Chính phủ tại Quyết định số 28/2018/QĐ-TTg ngày 12 tháng 7 năm 2018 của Thủ tướng Chính phủ về gửi, nhận văn bản điện tử giữa các cơ quan trong hệ thống hành chính nhà nước;

Bộ Thông tin và Truyền thông hướng dẫn đảm bảo an toàn thông tin cho hệ thống Quản lý văn bản và điều hành của cơ quan, tổ chức nhà nước. Nội dung hướng dẫn bao gồm: Các thành phần cơ bản, các yêu cầu an toàn cơ bản và phương án thực thi để bảo đảm an toàn thông tin cho hệ thống Quản lý văn bản và điều hành.

Bản mềm tài liệu hướng dẫn có thể được tải về từ cổng thông tin điện tử của Bộ Thông tin và Truyền thông tại địa chỉ: http://www.mic.gov.vn hoặc từ cổng thông tin điện tử của Cục An toàn thông tin tại địa chỉ https://www.ais.gov.vn/huong-dan-bao-dam-an-toan-thong-tin-cho-he-thong- quan-ly-van-ban-dieu-hanh.

Chi tiết liên hệ ông Nguyễn Tiến Đức, Phòng Thẩm định và Quản lý giám sát, Cục An toàn thông tin, Điện thoại: 0934578162; Thư điện tử: ntduc@mic.gov.vn.

Trong quá trình thực hiện, nếu có điều gì vướng mắc, đề nghị các cơ quan, tổ chức, phản ánh về Bộ Thông tin và Truyền thông (Cục An toàn thông tin) đề được hướng dẫn giải quyết./.

TÀI LIỆU HƯỚNG DẪN

BẢO ĐẢM AN TOÀN THÔNG TIN CHO HỆ THỐNG QUẢN LÝ VĂN BẢN VÀ ĐIỀU HÀNH CỦA CƠ QUAN, TỔ CHỨC NHÀ NƯỚC
(Kèm theo Công văn số 3001/BTTTT-CATTT ngày 06 tháng 9 năm 2019 của Bộ Thông tin và Truyền thông)

Chương I

PHẠM VI, ĐỐI TƯỢNG ÁP DỤNG

1.1. Phạm vi áp dụng

a) Tài liệu này hướng dẫn các thành phần cơ bản, các yêu cầu an toàn cơ bản và phương án thực thi bảo đảm an toàn thông tin cho hệ thống Quản lý văn bản và Điều hành (sau đây gọi là hệ thống QLVBĐH) chạy trên nền tảng ứng dụng Web, sử dụng trong các cơ quan, tổ chức nhà nước.

b) Tài liệu này đưa ra các yêu cầu an toàn thông tin cơ bản, hướng dẫn bảo đảm an toàn thông tin cho hệ thống QLVBĐH.

1.2. Đối tượng áp dụng

a) Tài liệu này áp dụng đối với các cơ quan, tổ chức, cá nhân có liên quan đến việc sử dụng, quản lý và vận hành hệ thống QLVBĐH trong các cơ quan, tổ chức nhà nước.

b) Khuyến khích các doanh nghiệp, tổ chức khác áp dụng hướng dẫn này để bảo đảm an toàn thông tin cho hệ thống QLVBĐH thuộc phạm vi quản lý.

1.3. Thuật ngữ, định nghĩa

a) An toàn dữ liệu (data security): Tập hợp các biện pháp quản lý và kỹ thuật nhằm bảo đảm tính bảo mật, tính nguyên vẹn và tính khả dụng của thông tin, dữ liệu khi lưu trữ, xử lý, truy nhập, cung cấp, thu thập và truyền đưa dữ liệu qua môi trường mạng.

b) An toàn mạng (network security): Tập hợp các biện pháp quản lý và kỹ thuật nhằm bảo đảm việc thiết lập, xây dựng, quản lý, vận hành hạ tầng mạng (bao gồm: kênh kết nối, thiết bị mạng, thiết bị bảo mật, thiết bị phụ trợ và các thành phần khác nếu có) bảo đảm an toàn.

c) An toàn máy chủ (server security): Tập hợp các biện pháp quản lý và kỹ thuật nhằm bảo đảm an toàn cho máy chủ trong quá trình thiết lập, quản lý, vận hành và hủy bỏ.

d) An toàn ứng dụng (application security): Tập hợp các biện pháp quản lý và kỹ thuật nhằm bảo đảm các ứng dụng, dịch vụ cung cấp bởi hệ thống bảo đảm an toàn trong quá trình thiết lập, quản lý, vận hành và gỡ bỏ.

đ) Chống thất thoát dữ liệu (data leak prevention): Giải pháp giúp cơ quan, tổ chức bảo vệ dữ liệu quan trọng của mình tránh việc bị đánh cắp, rò rỉ hoặc khi dữ liệu bị vô ý mất mát, thất lạc thì bên thứ ba không thể khai thác dữ liệu đó trái phép.

e) Dự phòng nóng (hot standby): Khả năng thay thế chức năng của thiết bị khi xảy ra sự cố mà không làm gián đoạn hoạt động của hệ thống.

g) Giám sát an toàn hệ thống thông tin (information system security monitoring): Hoạt động lựa chọn đối tượng, công cụ giám sát, thu thập, phân tích thông tin trạng thái của đối tượng giám sát, báo cáo, cảnh báo hành vi xâm phạm an toàn thông tin hoặc có khả năng gây ra sự cố an toàn thông tin đối với hệ thống thông tin.

h) Giám sát hệ thống thông tin (information system monitoring): Biện pháp giám sát, theo dõi trạng thái hoạt động của hệ thống để phát hiện, cảnh báo sớm các sự cố có thể gây gián đoạn hoạt động của hệ thống và làm mất tính khả dụng của hệ thống thông tin.

i) Nhật ký hệ thống (system log): Những sự kiện được hệ thống ghi lại liên quan đến trạng thái hoạt động, sự cố, sự kiện an toàn thông tin và các thông tin khác liên quan đến hoạt động của hệ thống (nếu có).

k) Phần mềm độc hại (malware): Phần mềm có khả năng gây ra hoạt động không bình thường cho một phần hay toàn bộ hệ thống thông tin hoặc thực hiện sao chép, sửa đổi, xóa bỏ trái phép thông tin lưu trữ trong hệ thống thông tin.

l) Phần mềm phòng chống mã độc (anti-malware software): Phần mềm có chức năng phát hiện, cảnh báo và xử lý phần mềm độc hại.

m) Quản lý tài khoản đặc quyền (privileged identity management - PIM): Biện pháp quản lý tập trung các tài khoản có quyền quản trị cao nhất (có đầy đủ các quyền hệ thống cung cấp) trên hệ thống.

n) Thiết bị mạng chính (core network device): Thiết bị gây gián đoạn hoạt động của toàn bộ hệ thống khi xảy ra sự cố. Ví dụ: thiết bị chuyển mạch trung tâm, thiết bị định tuyến biên, tường lửa trung tâm và các thiết bị khác có chức năng và vị trí tương đương.

o) Vùng DMZ (demilitarized zone): Vùng mạng được thiết lập để đặt các máy chủ công cộng, cho phép truy cập trực tiếp từ các mạng bên ngoài và mạng Internet.

p) Vùng máy chủ nội bộ (internal server zone): Vùng mạng được thiết lập để đặt các máy chủ nội bộ, cung cấp các ứng dụng, dịch vụ phục vụ hoạt động nội bộ của tổ chức và các hoạt động khác mà không cho phép truy cập trực tiếp từ các mạng bên ngoài.

q) Vùng quản trị (management zone): Vùng mạng được thiết lập để đặt các máy chủ, máy quản trị và các thiết bị chuyên dụng khác phục vụ việc quản lý, vận hành và giám sát hệ thống.

r) Vùng quản trị thiết bị hệ thống (device management zone): Vùng mạng riêng cho các địa chỉ quản trị của các thiết bị hệ thống cho phép thiết lập chính sách chung và quản lý tập trung các thiết bị hệ thống.

s) Vùng máy chủ cơ sở dữ liệu (database server zone): Vùng mạng được thiết lập để đặt các máy chủ cơ sở dữ liệu. Các máy chủ trong vùng này được triển khai tách biệt với các máy chủ ứng dụng cho phép quản lý chính sách truy cập hoặc thiết lập các biện pháp bảo vệ tập trung cho các máy chủ trong vùng mạng này.

t) Máy chủ đại diện (Reverse proxy): Máy chủ trung gian giữa một máy chủ web và các máy trạm. Máy chủ này kiểm soát yêu cầu từ các trạm để kiểm tra tính hợp lệ của yêu cầu trước khi gửi đến máy chủ web.

Chương II

TỔNG QUAN VỀ HỆ THỐNG QUẢN LÝ VĂN BẢN VÀ ĐIỀU HÀNH

2.1. Mô hình và thành phần cơ bản của hệ thống QLVBĐH

Thành phần cơ bản của hệ thống QLVBĐH bao gồm:

Hình 1. Thành phần cơ bản để phục vụ hoạt động của hệ thống QLVBĐH

a) Máy chủ đại diện (Reverse proxy) là máy chủ tiếp nhận yêu cầu trực tiếp từ các máy ngoài Internet. Máy chủ này đại diện cho các máy khách từ bên ngoài Internet để gửi yêu cầu tới máy chủ ứng dụng Web trong vùng mạng nội bộ. Việc sử dụng máy chủ Reverse proxy để hạn chế việc truy cập trực tiếp từ các máy khách đến máy chủ ứng dụng Web làm giảm thiểu nguy cơ mất an toàn thông tin cho máy chủ này.

Máy chủ đại diện có thể được triển khai trên nhiều nền tảng khác nhau: (1) Triển khai dưới dạng máy chủ cài đặt hệ thống Reverse Proxy như: Nginx, Apache, IIS ARR...; (2) sử dụng thiết bị tường lửa ứng dụng web chuyên dụng như: Fortiweb, Big-IP LTM, NetScaler...

Máy chủ Reverse proxy được đặt tại vùng DMZ. Các máy chủ trong vùng DMZ được thiết lập hệ thống bảo vệ để kiểm soát truy nhập, phòng chống xâm nhập, tấn công mạng và tấn công từ chối dịch vụ DoS/DDoS.

b) Máy chủ ứng dụng web là máy chủ quản lý hoạt động của toàn bộ hệ thống QLVBĐH. Máy chủ này thực hiện chức năng tiếp nhận các yêu cầu gửi đến, xử lý, kết nối cơ sở dữ liệu và phản hồi yêu cầu gửi đến.

Máy chủ ứng dụng web có thể được triển khai trên nhiều nền tảng khác nhau như: IIS, Apache, Tomcat... tùy thuộc vào ứng dụng quản lý văn bản được phát triển.

Máy chủ ứng dụng được đặt tại vùng máy chủ nội bộ và không cho truy cập trực tiếp từ bên ngoài Internet. Các máy chủ trong vùng máy chủ nội bộ được thiết lập hệ thống bảo vệ để kiểm soát truy nhập, phòng chống xâm nhập và tấn công mạng.

c) Máy chủ cơ sở dữ liệu lưu trữ và quản lý cơ sở dữ liệu của hệ thống QLVBĐH. Máy chủ này được đặt trong một vùng mạng riêng cho các máy chủ cơ sở dữ liệu và không cho phép kết nối, truy cập trực tiếp từ các mạng bên ngoài. Thông thường, các máy chủ trong vùng mạng này chỉ cho phép truy cập từ vùng máy chủ nội bộ và vùng mạng quản trị.

Máy chủ cơ sở dữ liệu có thể được triển khai trên nhiều nền tảng khác nhau như: Oracle, MSSQL, MySQL...tùy thuộc vào ứng dụng quản lý văn bản được phát triển.

Các máy chủ trong vùng cơ sở dữ liệu được thiết lập hệ thống bảo vệ để kiểm soát truy nhập, phòng chống xâm nhập và tấn công mạng.

d) Thành phần kết nối tới Trục liên thông văn bản quốc gia (VBQG) bao gồm: Bộ kết nối (Local Adapter) và máy chủ bảo mật (Security Server). Căn cứ vào Điều kiện thực tế của cơ quan, tổ chức mà thành phần này có thể chia thành hai máy chủ độc lập hoặc trên cùng một máy chủ.

Trường hợp bộ kết nối và máy chủ bảo mật nằm trên một máy chủ thì máy chủ đó phải có 02 giao diện. Một giao diện kết nối với máy chủ bảo mật của Trục liên thông VBQG và một giao diện kết nối với hệ thống QLVBĐH.

Trường hợp bộ kết nối và máy chủ bảo mật nằm trên 02 máy chủ khác nhau thì máy chủ bảo mật phải có 02 giao diện. Một giao diện kết nối với máy chủ bảo mật của Trục liên thông VBQG và một giao diện kết nối với hệ thống QLVBĐH và bộ kết nối.

Để giảm thiểu sự ảnh hưởng hoạt động giữa việc cung cấp dịch vụ quản lý văn bản và việc kết nối vào Trục liên thông VBQG, hệ thống cần thiết kế một vùng mạng riêng để kết nối giao diện bên trong của máy chủ bảo mật, máy chủ của hệ thống QLVBĐH và máy chủ của bộ kết nối.

2.2. Đối tượng kết nối và chia sẻ thông tin với hệ thống QLVBĐH

Về cơ bản, đối tượng kết nối và chia sẻ thông tin với hệ thống QLVBĐH bao gồm các đối tượng sau:

a) Người sử dụng truy cập vào hệ thống QLVBĐH để quản lý, vận hành và sử dụng dịch vụ của hệ thống thông qua mạng nội bộ hoặc qua kết nối mạng Internet.

b) Hệ thống Trục liên thông văn bản quốc gia để gửi nhận văn bản điện tử giữa các cơ quan, tổ chức nhà nước. Kết nối giữa hệ thống QLVBĐH với hệ thống Trục liên thông văn bản quốc gia sử dụng mạng TSLCD cấp I hoặc cấp II.

c) Hệ thống QLVBĐH của cơ quan, tổ chức khác trên địa bàn. Kết nối giữa hệ thống QLVBĐH với các hệ thống QLVBĐH của cơ quan, tổ chức khác sử dụng mạng thông tin diện rộng (mạng WAN) của địa phương đó.

2.3. Một số nguy cơ mất an toàn thông tin đối với hệ thống QLVBĐH

Nguy cơ mất an toàn đối với hệ thống QLVBĐH chủ yếu từ bên ngoài Internet qua giao diện mà hệ thống QLVBĐH cung cấp dịch vụ công cộng.

Ngoài ra, nguy cơ mất an toàn thông tin có thể xuất phát từ các thành phần khác bên trong hệ thống hoặc các hệ thống khác có kết nối trực tiếp với hệ thống QLVBĐH.

Về cơ bản, một số nguy cơ mất an toàn thông tin có thể xảy ra với hệ thống QLVBĐH bao gồm:

a) Tấn công từ chối dịch vụ làm mất tính khả dụng của hệ thống QLVBĐH trong việc cung cấp dịch vụ.

b) Tấn công khai thác điểm yếu, lỗ hổng chiếm quyền điều khiển, thay đổi giao diện... của máy chủ và ứng dụng triển khai hệ thống QLVBĐH.

c) Thực hiện các hình thức tấn công, nghe lén để đánh cắp thông tin, dữ liệu quan trọng, nhạy cảm.

d) Thực hiện tấn công mã độc vào các máy tính người sử dụng để lợi dụng chiếm quyền, nâng quyền kiểm soát đối với các hệ thống khác bên trong hệ thống.

đ) Tấn công vào nền tảng phần cứng (các thiết bị mạng và máy chủ) của hệ thống có tồn tại điểm yếu an toàn thông tin để chiếm quyền điều khiển hoặc tấn công từ chối dịch vụ.

2.4. Thành phần cơ bản bảo đảm an toàn thông tin cho hệ thống QLVBĐH

Thành phần bảo đảm an toàn thông tin cho hệ thống QLVBĐH bao gồm các thành phần cơ bản sau:

a) Tường lửa: Sử dụng để quản lý truy cập giữa các mạng bên ngoài vào hệ thống mạng và giữa các vùng mạng trong hệ thống của cơ quan, tổ chức

Tùy thuộc vào năng lực thực tế của mỗi hệ thống thông tin, tường lửa có thể triển khai theo nhiều phương án khác nhau: (1) sử dụng thiết bị tường lửa tập trung và phân các vùng mạng bởi các giao diện của tường lửa; (2) chia thiết bị tường lửa vật lý và nhiều tường lửa logic và triển khai độc lập cho mỗi vùng mạng; (3) triển khai thiết bị tường lửa độc lập, chuyên dụng cho mỗi vùng mạng.

Trường hợp hệ thống QLVBĐH được xác định là hệ thống thông tin cấp độ 4 hoặc 5 thì hệ thống tường lửa trực tiếp quản lý truy cập và bảo vệ các vùng mạng DMZ, máy chủ nội bộ và cơ sở dữ liệu cần được triển khai dưới dạng thiết bị độc lập, chuyên dụng.

Hình 2. Mô hình hệ thống các thành phần bảo đảm an toàn thông tin

b) Phòng chống và phát hiện xâm nhập: Phát hiện xâm nhập và tấn công mạng từ các mạng bên ngoài vào hệ thống mạng và giữa các vùng mạng trong hệ thống của cơ quan, tổ chức

Tương tự như với cách triển khai đối với thiết bị tường lửa, thiết bị phòng chống xâm nhập cũng có thể triển khai theo 03 cách ở trên. Tuy nhiên, việc đặt thiết bị phòng chống xâm nhập sẽ làm giảm hiệu năng hoạt động của hệ thống mạng. Do đó, căn cứ vào khả năng xử lý của thiết bị phòng chống xâm nhập để triển khai vị trí phù hợp. Trường hợp thiết bị phòng chống xâm nhập có hiệu năng xử lý cao có thể triển khai tại vùng mạng biên để giám sát tổng thể lưu lượng mạng. Trường hợp năng lực xử lý hạn chế thì xem xét ưu tiên bảo vệ các vùng mạng như vùng DMZ, vùng máy chủ nội bộ, vùng máy chủ cơ sở dữ liệu.

c) Phòng chống tấn công từ chối dịch vụ: Bảo vệ, phòng chống tấn công từ chối dịch vụ (DoS/DDoS) vào hệ thống máy chủ dịch vụ của hệ thống

Thiết bị này được triển khai tại vùng mạng biên để phòng chống DoS/DDoS. Trên thực tế có nhiều thiết bị tường lửa có tích hợp chức năng phòng chống tấn công DoS/DDoS. Trường hợp hệ thống QLVBĐH được xác định là hệ thống thông tin cấp độ 4 hoặc 5 thì hệ thống phòng chống tấn công DoS/DDoS cần được triển khai dưới dạng thiết bị độc lập, chuyên dụng.

Một điểm cần chú ý là việc triển khai giải pháp phòng chống tấn công DoS/DDoS tại hệ thống thông tin cần bảo vệ chỉ hiệu quả khi lưu lượng tấn công nhỏ hơn băng thông kết nối mạng Internet của hệ thống (thường là các cuộc tấn công DoS/DDoS vào lóp ứng dụng). Do đó, để có phương án phòng chống tấn công DoS/DDoS tổng thể cần kết hợp giữa việc triển khai giải pháp tại hệ thống thông tin với thuê dịch vụ phòng chống tấn công DoS/DDoS chuyên nghiệp của doanh nghiệp.

d) Kết nối mạng riêng ảo VPN: Phục vụ việc thiết lập và quản lý kênh kết nối mạng an toàn, cho phép quản trị hệ thống từ xa.

Việc quản trị, cấu hình hệ thống hay quản lý dữ liệu cho hệ thống QLVBĐH khi thực hiện trực tiếp qua Internet là tiềm ẩn nhiều nguy cơ mất an toàn thông tin.

Để bảo đảm an toàn thông tin các máy chủ ứng dụng web và máy chủ cơ sở dữ liệu không cho phép kết nối trực tiếp từ mạng Internet mà thông thường phải thông qua một máy chủ quản trị trong vùng mạng quản trị. Do đó, cần thiết phải có thiết bị hoặc phương án kết nối VPN cho phép kết nối từ xa vào máy quản trị để từ máy đó thực hiện quản trị cấu hình và dữ liệu của hệ thống.

đ) Tường lửa chuyên dụng bảo vệ máy chủ cơ sở dữ liệu: Phục vụ việc quản lý và phòng chống tấn công vào máy chủ cơ sở dữ liệu thông qua các cấu truy vấn cơ sở dữ liệu độc hại để vượt quyền truy cập hoặc khai thác điểm yếu của hệ quản trị cơ sở dữ liệu.

Máy chủ cơ sở dữ liệu là máy chủ đặc biệt quan trọng của hệ thống. Bên cạnh các dạng tấn công mạng thông thường mà máy chủ này phải đối mặt thì còn có dạng tấn công riêng đối với ứng dụng cơ sở dữ liệu. Do đó, máy chủ này ngoài các giải pháp bảo vệ như tường lửa, phòng chống xâm nhập, mã độc thì cần triển khai thiết bị tường lửa chuyên dụng để phát hiện và phòng chống tấn công vào hệ thống cơ sở dữ liệu.

e) Hệ thống phòng chống phần mềm độc hại trên môi trường mạng: Phục vụ việc phát hiện và chặn lọc phần mềm độc hại trên môi trường mạng

Một trong các nguy cơ mất an toàn thông tin phổ biến là việc các máy tính/máy chủ bị lây nhiễm mã độc và bị điều khiển từ xa, bị lợi dụng để tấn công các thành phần bên trong của hệ thống thông tin.

Để triển khai phương án phòng chống phần mềm độc hại hiệu quả, giải pháp cần kết hợp giữa việc triển khai phần mềm phòng chống mã độc trên các máy với việc triển khai giải pháp trên môi trường mạng. Việc triển khai giải pháp trên môi trường mạng cho phép phát hiện các kết nối tới máy chủ C&C (Máy chủ điều khiển hoạt động của mạng máy tính ma - botnet, các máy tính bị nhiễm mã độc) và các hành vi mã độc khác tại các điểm có lưu lượng mạng tập trung.

Ngoài ra, một số thiết bị phần cứng cũng có khả năng bị nhiễm phần mềm độc hại và bị điều khiển từ xa. Trong khi các thiết bị này khó có thể cài đặt phần mềm phòng chống mã độc trên đó. Do đó, việc triển khai giải pháp phòng chống mã độc trong các trường hợp như vậy là rất cần thiết.

Phương án triển khai giải pháp này tương tự như với phương án triển khai hệ thống tường lửa và phát hiện xâm nhập. Căn cứ vào năng lực của thiết bị để lựa chọn vị trí triển khai giải pháp cho phù hợp. Trường hợp năng lực của thiết bị đủ lớn thì có thể triển khai thiết bị tại điểm giám sát tập trung toàn bộ lưu lượng mạng của hệ thống ra Internet. Trường hợp năng lực của hệ thống hạn chế thì ưu tiên triển khai giải pháp tại điểm tập trung lưu lượng mạng của người sử dụng ra Internet hoặc vùng mạng máy chủ mà có kết nối hoặc cho truy cập Internet.

g) Hệ thống giám sát hệ thống thông tin tập trung: Phục vụ giám sát, theo dõi thời gian thực hoạt động của hệ thống mạng nhằm bảo đảm tính khả dụng của hệ thống.

Hệ thống này nhận thông tin hoặc kết nối tới các thiết bị mạng, máy chủ và ứng dụng để thu thập các thông tin liên quan đến trạng thái, tài nguyên hệ thống, cho phép người quản trị theo dõi thời gian thực trạng thái của toàn hệ thống để đưa ra những hành động kiểm soát kịp thời. Hệ thống này được sử dụng để bảo đảm tính khả dụng của hệ thống trong quá trình vận hành, khai thác.

h) Hệ thống giám sát an toàn hệ thống thông tin tập trung: Phục vụ việc quản lý, phân tích, giám sát sự kiện an toàn thông tin tập trung để phát hiện và cảnh báo sớm nguy cơ mất an toàn thông tin.

Tương tự như đối với hệ thống giám sát hệ thống thông tin tập trung, hệ thống này cũng nhận thông tin hoặc kết nối tới các thiết bị mạng, máy chủ và ứng dụng để thu thập các thông tin liên quan đến sự kiện bảo mật, thay đổi chính sách hay truy nhập để phát hiện tấn công mạng và các hành vi dị thường. Hệ thống này cho phép người quản trị theo dõi, phát hiện và cảnh báo sớm các nguy cơ mất an toàn thông tin có thể xảy ra trên hệ thống.

i) Hệ thống lưu trữ tập trung: Phục vụ việc quản lý và sao lưu dự phòng tập trung.

Hệ thống này được sử dụng để lưu trữ dữ liệu của toàn bộ hệ thống bao gồm: các ảnh của hệ điều hành (nếu hệ thống triển khai trên nền ảo hóa), các tệp tin cấu hình hệ thống, cơ sở dữ liệu và các thông tin riêng của tổ chức, cá nhân nếu có.

Hệ thống này cho phép thiết lập chính sách mã hóa, quản lý truy cập, sao lưu dự phòng nhằm tăng cường khả năng bảo mật, tính khả dụng cho toàn bộ dữ liệu của hệ thống.

k) Hệ thống phòng chống mã độc trên máy chủ/máy trạm: Hệ thống phần mềm được cài đặt trên máy chủ/máy trạm và được quản lý bởi một hệ thống tập trung cho phép quản lý phát hiện và phòng chống mã độc trên các máy chủ/máy trạm.

l) Hệ thống phòng chống thất thoát dữ liệu: Phục vụ việc theo dõi, giám sát và phòng chống thất thoát thông tin/dữ liệu quan trọng qua môi trường mạng.

Hệ thống này được triển khai trên môi trường mạng hoặc dưới dạng phần mềm cài đặt trực tiếp trên máy chủ cho phép phát hiện nguy cơ lộ, lọt thông tin bí mật của hệ thống.

m) Hệ thống quản lý tài khoản đặc quyền: Phục vụ việc quản lý tài khoản và phân quyền truy nhập vào các thành phần của hệ thống tập trung.

Căn cứ vào việc xác định cấp độ an toàn thông tin cho hệ thống QLVBĐH để xác định thành phần bảo đảm an toàn cơ bản cho hệ thống này đáp ứng các yêu cầu an toàn tối thiểu theo quy định của pháp luật.

Chương III

YÊU CẦU AN TOÀN CƠ BẢN ĐỐI VỚI HỆ THỐNG QUẢN LÝ VĂN BẢN VÀ ĐIỀU HÀNH

Hệ thống QLVBĐH là hệ thống thông tin thành phần của hệ thống thông tin tổng thể. Do đó, căn cứ vào cấp độ của hệ thống QLVBĐH, phương án bảo đảm an toàn thông tin phải đáp ứng các yêu cầu an toàn tối thiểu theo quy định của pháp luật và các yêu cầu cụ thể tại hướng dẫn này.

3.1. Yêu cầu chung

Hệ thống QLVBĐH là một hệ thống thành phần trong hệ thống thông tin tổng thể. Để bảo đảm an toàn thông tin cho hệ thống này ngoài việc bảo đảm an toàn thông tin cho các thành phần trực tiếp phục vụ hoạt động của hệ thống này thì các thành phần khác liên quan đến hoạt động của hệ thống QLVBĐH trong hệ thống tổng thể cũng phải được bảo đảm an toàn. Do đó, yêu cầu an toàn thông tin tổng thể để bảo đảm an toàn thông tin cho hệ thống QLVBĐH bao gồm các yêu cầu dưới đây:

a) Yêu cầu an toàn thông tin đưa ra trong Tài liệu này bao gồm yêu cầu về quản lý và yêu cầu về kỹ thuật.

Yêu cầu về quản lý bao gồm các nhóm yêu cầu: (1) Thiết lập chính sách an toàn thông tin; (2) Tổ chức bảo đảm an toàn thông tin; (3) Bảo đảm nguồn nhân lực; (4) Quản lý thiết kế, xây dựng hệ thống; (5) Quản lý vận hành hệ thống.

Yêu cầu về kỹ thuật bao gồm: (1) Yêu cầu bảo đảm an toàn mạng; (2) Yêu cầu bảo đảm an toàn máy chủ; (3) Yêu cầu bảo đảm an toàn ứng dụng; (4) Yêu cầu bảo đảm an toàn dữ liệu.

b) Yêu cầu an toàn về quản lý đối với hệ thống QLVBĐH phải đáp ứng các yêu cầu quản lý chung đối với hệ thống thông tin với cấp độ tương ứng theo quy định tại điểm b, khoản 3, Điều 8 Thông tư số 03/2017/TT-BTTTT.

c) Yêu cầu an toàn về kỹ thuật đối với hệ thống QLVBĐH phải đáp ứng các yêu cầu quản lý chung đối với hệ thống thông tin với cấp độ tương ứng theo quy định tại điểm a, khoản 3, Điều 8 Thông tư số 03/2017/TT-BTTTT.

d) Cơ quan, tổ chức tham khảo Tiêu chuẩn quốc gia TCVN 11930:2017 và hướng dẫn dưới đây để xác định các yêu cầu an toàn cụ thể đối với hệ thống QLVBDH.

3.2. Yêu cầu an toàn hạ tầng mạng

a) Phương án bảo đảm an toàn thông tin, thiết kế hệ thống và các thiết bị phục vụ hoạt động của hệ thống QLVBĐH cần được thiết kế, thiết lập, cấu hình bảo mật đáp ứng các yêu cầu tối thiểu sau:

- Các vùng mạng bao gồm: Có vùng mạng DMZ để đặt máy chủ đại diện; có vùng mạng máy chủ nội bộ để đặt máy chủ ứng dụng web; vùng máy chủ cơ sở dữ liệu để đặt máy chủ cơ sở dữ liệu; có vùng mạng quản trị để đặt máy quản trị các máy chủ và các thành phần khác bên trong hệ thống; có vùng mạng để kết nối hệ thống QLVBĐH với Trục liên thông văn bản quốc gia.

- Có hệ thống tường lửa tích hợp chức năng phát hiện xâm nhập và phòng chống mã độc trên môi trường mạng;

- Có tường lửa ứng dụng web;

- Phần mềm phòng chống mã độc trên các máy chủ.

b) Đối với hệ thống QLVBĐH được xác định là từ cấp độ 3 trở lên thì cần bổ sung các yêu cầu sau:

- Các thiết bị mạng chính được triển khai phương án cân bằng tải, dự phòng nóng;

- Có tường lửa cơ sở dữ liệu;

- Có hệ thống phòng chống tấn công từ chối dịch vụ;

- Có hệ thống giám sát an toàn hệ thống thông tin tập trung;

- Có hệ thống quản lý sao lưu dự phòng tập trung.

c) Ngoài ra yêu cầu an toàn hạ tầng mạng còn bao gồm các nhóm yêu cầu: (1) Thiết kế hệ thống; (2) Kiểm soát truy cập từ bên ngoài mạng; (3) Kiểm soát truy cập từ bên trong mạng; (4) Nhật ký hệ thống; (5) Phòng chống xâm nhập; (6) Phòng chống phần mềm độc hại trên môi trường mạng; (7) Bảo vệ thiết bị hệ thống.

Cơ quan, tổ chức có thể tham khảo tiêu chuẩn quốc gia TCVN 11930:2017 để lựa chọn, bổ sung thêm các yêu cầu an toàn cơ bản theo cấp độ của hệ thống QLVBĐH, như bảng dưới đây:

Bảng 1. Bảng tham chiếu yêu cầu an toàn cơ bản hạ tầng mạng theo Tiêu chuẩn TCVN 11930:2017

3.3. Yêu cầu bảo đảm an toàn máy chủ

a) Hệ thống QLVBĐH cần được thiết kế thành các máy chủ độc lập bao gồm: Máy chủ đại diện, máy chủ ứng dụng web và máy chủ cơ sở dữ liệu. Tùy thuộc vào tài nguyên thực tế của hệ thống, các máy chủ này có thể triển khai trên các máy chủ vật lý độc lập hoặc máy chủ ảo để tận dụng và tối ưu tài nguyên hệ thống.

b) Các máy chủ phục vụ kết nối hệ thống QLVBĐH với Trục liên thông văn bản quốc gia bao gồm: Máy chủ bộ kết nối, máy chủ bảo mật. Tùy thuộc vào tài nguyên thực tế của hệ thống, các máy chủ này có thể triển khai trên các máy chủ vật lý độc lập hoặc máy chủ ảo để tận dụng và tối ưu tài nguyên hệ thống.

c) Việc bảo đảm an toàn thông tin cho máy chủ là bảo đảm an toàn thông tin cho hệ điều hành máy chủ và các ứng dụng, dịch vụ hệ thống và các thành phần khác liên quan. Do đó, sau khi hệ điều hành được cài đặt thì người quản trị cần thực hiện cấu hình, tối ưu, cứng hóa và triển khai các phương án bảo đảm an toàn thông tin khác để đáp ứng các yêu cầu cơ bản.

d) Yêu cầu cơ bản đối với máy chủ bao gồm: (1) Xác thực; (2) Kiểm soát truy cập; (3) Nhật ký hệ thống; (4) Phòng chống xâm nhập; (5) Phòng chống phần mềm độc hại; (6) Xử lý máy chủ khi chuyển giao.

Cơ quan tổ chức có thể tham khảo tiêu chuẩn quốc gia TCVN 11930:2017 để xác định các yêu cầu an toàn cơ bản theo cấp độ của hệ thống QLVBĐH, như bảng dưới đây:

Bảng 2. Bảng tham chiếu yêu cầu an toàn cơ bản cho máy chủ theo Tiêu chuẩn TCVN 11930:2017

đ) Cơ quan, tổ chức có thể tham khảo Phụ lục hướng dẫn thiết lập cấp hình bảo mật an toàn cho máy chủ Windows và Linux.

3.4. Yêu cầu bảo đảm an toàn ứng dụng

a) Ứng dụng phục vụ hoạt động của hệ thống QLVBĐH bao gồm các ứng dụng thành phần khác nhau bao gồm: ứng dụng máy chủ web (IIS, Apache, Nginx, Tomcat...), Hệ quản trị cơ sở dữ liệu (MSSQL, MySQL, Oracle,...) và các ứng dụng nghiệp vụ cụ thể được triển khai trên các nền tảng khác nhau như ASP,PHP, JSP...

Việc bảo đảm an toàn thông tin cho hệ thống QLVBĐH thì cần bảo đảm an toàn thông tin cho các thành phần phục vụ hoạt động của các hệ thống này.

b) Yêu cầu cơ bản đối với ứng dụng bao gồm: (1) Xác thực; (2) Kiểm soát truy cập; (3) Nhật ký hệ thống; (4) Bảo mật thông tin liên lạc; (5) Chống chối bỏ; (6) An toàn ứng dụng và mã nguồn.

Cơ quan tổ chức có thể tham khảo tiêu chuẩn quốc gia TCVN 11930:2017 để xác định các yêu cầu an toàn cơ bản theo cấp độ của hệ thống QLVBĐH, như bảng dưới đây:

Bảng 3. Bảng tham chiếu yêu cầu an toàn cơ bản cho ứng dụng theo Tiêu chuẩn TCVN 11930:2017

3.5. Yêu cầu bảo đảm an toàn dữ liệu

a) Dữ liệu cần được bảo vệ bao gồm 02 nhóm dữ liệu: (1) Nhóm dữ liệu của hệ thống và (2) Dữ liệu nghiệp vụ.

Nhóm dữ liệu hệ thống là những dữ liệu phục vụ hoạt động của hệ thống hoặc được tạo ra trong quá trình quản lý vận hành như: tệp tin cấu hình hệ thống, ảnh hệ điều hành, nhật ký hệ thống...

Nhóm dữ liệu nghiệp vụ là những dữ liệu của cơ quan, tổ chức tạo ra như: thông tin riêng, thông tin cá nhân và có thể bao gồm thông tin bí mật nhà nước.

b) Để bảo đảm an toàn dữ liệu cho hệ thống QLVBĐH, hệ thống lưu trữ tập trung cần được triển khai để quản lý và lưu trữ tập trung các dữ liệu hệ thống và dữ liệu nghiệp vụ.

c) Các máy chủ cần được triển khai trên nền tảng ảo hóa để thuận tiện trong việc sao lưu, dự phòng và khôi phục sau sự cố.

d) Yêu cầu cơ bản đối với dữ liệu bao gồm: (1) Nguyên vẹn dữ liệu; (2) Bảo mật dữ liệu; (3) Sao lưu dự phòng.

Cơ quan tổ chức có thể tham khảo tiêu chuẩn quốc gia TCVN 11930:2017 để xác định các yêu cầu an toàn cơ bản theo cấp độ của hệ thống QLVBĐH, như bảng dưới đây:

Bảng 4. Bảng tham chiếu yêu cầu an toàn cơ bản cho dữ liệu theo Tiêu chuẩn TCVN 11930:2017

Chương IV

HƯỚNG DẪN ĐẢM BẢO AN TOÀN THÔNG TIN CHO HỆ THỐNG QUẢN LÝ VĂN BẢN VÀ ĐIỀU HÀNH

4.1. Trách nhiệm bảo đảm an toàn thông tin cho hệ thống QLVBĐH

a) Chủ quản hệ thống thông tin, đơn vị vận hành có trách nhiệm: (1) Trách nhiệm đối với những sự cố mất an toàn thông tin đối với hệ thống thông tin thuộc phạm vi quản lý nói chung và hệ thống QLVBĐH nói riêng; (2) Trách nhiệm đối với các sự cố mất an toàn thông tin xảy ra xuất phát từ hệ thống của mình tới các hệ thống thông tin của cơ quan, tổ chức khác; (3) Trách nhiệm phối hợp với cơ quan, tổ chức có thẩm quyền trong công tác bảo đảm an toàn thông tin cho hệ thống thông tin thuộc phạm vi quản lý nói chung và hệ thống QLVBĐH nói riêng.

b) Trách nhiệm cụ thể của chủ quản hệ thống thông tin liên quan đến công tác bảo đảm an toàn thông tin được quy định theo quy định tại Điều 20 Nghị định số 85/2016/NĐ-CP.

c) Trách nhiệm cụ thể của đơn vị vận hành liên quan đến công tác bảo đảm an toàn thông tin được quy định tại Điều 22 Nghị định số 85/2016/NĐ-CP.

4.2. Phương án triển khai bảo đảm an toàn thông tin cho hệ thống QLVBĐH

a) Chủ quản hệ thống thông tin thành lập hoặc chỉ định đơn vị chuyên trách về an toàn thông tin mạng để làm công tác tham mưu, tổ chức thực thi, đôn đốc, kiểm tra, xử lý khắc phục sự cố, giám sát công tác bảo đảm an toàn, an ninh mạng theo quy định của pháp luật.

b) Mỗi hệ thống thông tin cần chỉ định bộ phận thực thi nhiệm vụ giám sát, ứng cứu sự cố an toàn thông tin mạng, bảo vệ hệ thống thông tin theo các phương án sau: Tự thực hiện giám sát, ứng cứu sự cố an toàn thông tin mạng, bảo vệ hệ thống thông tin thuộc quyền quản lý hoặc lựa chọn tổ chức, doanh nghiệp có đủ năng lực để thực hiện.

c) Mỗi hệ thống thông tin cần chỉ định bộ phận thực thi nhiệm vụ kiểm tra, đánh giá an toàn thông tin mạng theo các phương án sau: Lựa chọn tổ chức, doanh nghiệp độc lập với tổ chức, doanh nghiệp giám sát, bảo vệ để định kỳ kiểm tra, đánh giá an toàn thông tin mạng đối với hệ thống thông tin thuộc quyền quản lý hoặc đột xuất khi có yêu cầu theo quy định của pháp luật.

d) Cơ quan, tổ chức có thể căn cứ vào quy định liên quan tại Thông tư sổ 121/2018/TT-BTC ngày 12/12/2018 của Bộ Tài chính quy định về lập dự toán, quản lý, sử dụng và quyết toán kinh phí để thực hiện công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng để có sở cứ lập dự toán triển khai các phương án bảo đảm an toàn thông tin cho hệ thống QLVBĐH.

4.3. Triển khai giám sát an toàn thông tin

Việc triển khai giám sát an toàn thông tin nhằm bảo đảm tính khả dụng của hệ thống và khả năng phát hiện sớm nguy cơ mất an toàn thông tin có thể xảy ra đối với hệ thống. Cơ quan, tổ chức có thể triển khai giám sát an toàn thông tin theo hướng dẫn sau:

a) Thực hiện phương án giám sát: (1) Giám sát hoạt động của hệ thống để có được thông tin trạng thái hoạt động của hệ thống về hiệu năng, trạng thái tăng/giảm (Up/Down), băng thông kết nối; (2) Giám sát an toàn thông tin để phát hiện và cảnh báo sớm tấn công mạng và các nguy cơ mất an toàn thông tin.

b) Xác định đối tượng giám sát: Là các thiết bị mạng, lưu lượng mạng, máy chủ, ứng dụng, dịch vụ có trong hệ thống. Đối với hệ thống QLVBĐH thì đối tượng giám sát tối thiểu bao gồm: (1) Máy chủ đại diện, máy chủ ứng dụng web, máy chủ cơ sở dữ liệu, bộ kết nối, máy chủ bảo mật; (2) Các thiết bị mạng, thiết bị bảo mật trực tiếp phục vụ hoạt động của hệ thống QLVBĐH.

c) Xây dựng các quy định, quy trình quản lý hoạt động giám sát, bao gồm: Quản lý vận hành hoạt động bình thường của hệ thống giám sát; Đối tượng giám sát bao gồm; Kết nối và gửi nhật ký hệ thống; Truy cập và quản trị hệ thống giám sát; Loại thông tin cần được giám sát; Lưu trữ và bảo vệ thông tin giám sát; Theo dõi, giám sát và cảnh báo sự cố; Bố trí nguồn lực và tổ chức giám sát.

d) Cơ quan, tổ chức tham khảo văn bản “Hướng dẫn triển khai hoạt động giám sát an toàn thông tin trong cơ quan, tổ chức nhà nước “ do Bộ Thông tin và Truyền thông công bố để có phương án triển khai giám sát an toàn toàn thông tin tổng thể.

4.4. Kiểm tra, đánh giá an toàn thông tin

Việc kiểm tra đánh giá an toàn thông tin nhằm rà soát, kiểm tra các nguy cơ mất an toàn thông tin thông qua việc khai thác điểm yếu, lỗ hổng bảo mật trên hệ thống. Cơ quan, tổ chức có thể triển khai kiểm tra, đánh giá an toàn thông tin theo hướng dẫn sau:

a) Xác định đối tượng được kiểm tra, đánh giá an toàn thông tin tối thiểu bao gồm: (1) Hạ tầng mạng, (2) Hệ thống máy chủ, (3) ứng dụng dịch vụ, (4) Hệ thống cơ sở dữ liệu.

b) Hệ thống QLVBĐH cần thực hiện kiểm tra đánh giá tối thiểu các đối tượng sau: Máy chủ đại diện, máy chủ ứng dụng web, máy chủ cơ sở dữ liệu, bộ kết nối, máy chủ bảo mật; Các thiết bị mạng, thiết bị bảo mật trực tiếp phục vụ hoạt động của hệ thống QLVBĐH.

c) Nội dung kiểm tra, đánh giá an toàn thông tin bao gồm: Đối với hạ tầng mạng cần kiểm tra việc thiết kế hệ thống, thiết lập cấu hình trên các thiết bị và có điểm yếu an toàn thông tin trên các thiết bị mạng hay không. Đối với máy chủ cần kiểm tra việc thiết lập cấu hình bảo mật và các điểm yếu an toàn thông tin trên hệ điều hành máy chủ và các dịch vụ hệ thống chạy cùng hệ điều hành. Đối với ứng dụng cần kiểm tra việc thiết lập cấu hình bảo mật và các điểm yếu an toàn thông tin cho ứng dụng và hệ thống cơ sở dữ liệu.

d) Hệ thống QLVBĐH cấp độ 3 trở lên thì các thành phần của hệ thống yêu cầu thực hiện kiểm tra đánh giá an toàn thông tin trước khi đưa vào sử dụng, các hệ thống ở cấp độ khác khuyến nghị thực hiện để tăng cường bảo đảm an toàn thông tin. Hoạt động kiểm tra, đánh giá phải được thực hiện thường xuyên, định kỳ theo quy định của pháp luật.

đ) Cơ quan, tổ chức tham khảo văn bản “Hướng dẫn triển khai hoạt động kiểm tra, đánh giá an toàn thông tin trong cơ quan, tổ chức nhà nước “ do Bộ Thông tin và Truyền thông công bố để có phương án kiểm tra, đánh giá an toàn toàn thông tin tổng thể.

4.5. Xây dựng phương án ứng cứu sự cố an toàn thông tin mạng

Việc xây dựng phương án ứng cứu sự cố an toàn thông tin mạng giúp cơ quan, tổ chức chủ động hơn trong việc xử lý sự cố và khôi phục hệ thống sau sự cố. Cơ quan, tổ chức có thể triển khai phương án ứng cứu sự cố an toàn thông tin mạng theo hướng dẫn sau:

a) Xây dựng phương án quản lý sự cố an toàn thông tin có thể xảy ra đối với hệ thống QLVBĐH, tối thiểu bao gồm các nội dung: Đưa ra chính sách/quy trình thực hiện quản lý sự cố an toàn thông tin của tổ chức, bao gồm: Phân nhóm sự cố an toàn thông tin; Phương án tiếp nhận, phát hiện, phân loại và xử lý thông tin; Kế hoạch ứng phó sự cố an toàn thông tin; Giám sát, phát hiện và cảnh báo sự cố an toàn thông tin; Quy trình ứng cứu sự cố an toàn thông tin thông thường; Quy trình ứng cứu sự cố an toàn thông tin nghiêm trọng; Cơ chế phối hợp trong việc xử lý, khắc phục sự cố an toàn thông tin; Diễn tập phương án xử lý sự cố an toàn thông tin.

b) Thực hiện phân nhóm sự cố an toàn thông tin mạng; Xây dựng hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia; và thực hiện các trách nhiệm liên quan được quy định tại Quyết định số 05/2017/NĐ-CP ngày 16/3/2017 quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia.

c) Định kỳ hàng năm tổ chức diễn tập bảo đảm an toàn thông tin và thực hành phương án xử lý sự cố an toàn thông tin có thể xảy ra đối với hệ thống QLVBĐH.