Công văn 3368/TCHQ-QLRR năm 2015 do Tổng cục Hải quan ban hành ban hành quy định về việc quản lý, cấp mới, điều chỉnh và hủy bỏ quyền truy cập vào Hệ thống thông tin quản lý rủi ro (Hệ thống QLRR). Văn bản được xây dựng nhằm tăng cường công tác bảo mật, đảm bảo an toàn thông tin dữ liệu ngành Hải quan và nâng cao trách nhiệm của cán bộ, công chức trong quá trình khai thác, vận hành hệ thống.

- Quy định về cấp mới quyền truy cập Hệ thống thông tin quản lý rủi ro

Việc cấp mới quyền truy cập được áp dụng đối với cán bộ, công chức hải quan cần khai thác dữ liệu phục vụ công tác nghiệp vụ. Quy trình được thực hiện theo các nguyên tắc sau:

• Đối tượng được cấp: Cán bộ, công chức thuộc các đơn vị hải quan được phân công thực hiện nhiệm vụ liên quan trực tiếp hoặc gián tiếp đến công tác quản lý rủi ro, phân tích thông tin nghiệp vụ và kiểm tra hải quan.
• Nguyên tắc phân quyền: Việc cấp tài khoản và phân quyền truy cập phải dựa trên chức năng, nhiệm vụ cụ thể của từng công chức, tuân thủ nguyên tắc tối thiểu cần thiết để hoàn thành công việc được giao.
• Hồ sơ, thủ tục đăng ký: Đơn vị sử dụng lập văn bản đề nghị kèm danh sách trích ngang gửi về đơn vị quản lý vận hành hệ thống để xem xét, phê duyệt và khởi tạo tài khoản.

- Quy định về điều chỉnh quyền truy cập

Khi có sự thay đổi về nhân sự hoặc phân công nhiệm vụ, quyền truy cập của công chức phải được cập nhật kịp thời để bảo đảm đúng thẩm quyền:

• Trường hợp điều chỉnh: Công chức thay đổi vị trí công tác, chuyển phòng/đội nghiệp vụ, thay đổi phạm vi địa bàn quản lý hoặc được bổ sung/giảm bớt nhiệm vụ chuyên môn.
• Quy trình thực hiện: Thủ trưởng đơn vị trực tiếp quản lý công chức có văn bản đề nghị điều chỉnh (mở rộng, thu hẹp hoặc thay đổi nhóm quyền) gửi bộ phận quản trị hệ thống để thực hiện cập nhật thông tin phân quyền mới.

- Quy định về hủy bỏ và thu hồi quyền truy cập

Hủy bỏ hoặc khóa quyền truy cập là biện pháp bắt buộc để ngăn chặn các nguy cơ rò rỉ thông tin nghiệp vụ và lạm dụng dữ liệu:

• Các trường hợp hủy bỏ tài khoản: Công chức chuyển công tác sang cơ quan ngoài ngành Hải quan, nghỉ hưu, thôi việc, chuyển sang bộ phận không còn nhiệm vụ liên quan đến quản lý rủi ro, hoặc bị tạm đình chỉ công tác.
• Thu hồi quyền truy cập khẩn cấp: Áp dụng đối với các trường hợp phát hiện vi phạm an toàn thông tin, chia sẻ tài khoản cho người không có thẩm quyền, hoặc sử dụng dữ liệu hệ thống vào mục đích trái quy định.
• Thời hạn thông báo: Ngay khi có quyết định thay đổi nhân sự hoặc phát hiện vi phạm, đơn vị quản lý phải gửi văn bản đề nghị hủy/khóa quyền truy cập để bộ phận quản trị xử lý kịp thời.

- Trách nhiệm của đơn vị và cá nhân tham gia khai thác Hệ thống

Công văn đề cao trách nhiệm cá nhân và trách nhiệm của người đứng đầu đơn vị trong việc quản lý và sử dụng tài khoản truy cập:

• Trách nhiệm của Thủ trưởng đơn vị: Thường xuyên rà soát, định kỳ kiểm tra danh sách các tài khoản thuộc đơn vị mình; chịu trách nhiệm trước Tổng cục Hải quan về tính chính xác của đề nghị cấp, sửa, hủy quyền truy cập.
• Trách nhiệm của công chức được cấp tài khoản: Tự bảo vệ thông tin đăng nhập và mật khẩu cá nhân; tuyệt đối không cung cấp, chia sẻ tài khoản cho người khác; chịu trách nhiệm toàn bộ trước pháp luật và ngành Hải quan về mọi thao tác, dữ liệu đã khai thác dưới tài khoản của mình.
• Trách nhiệm của bộ phận quản trị hệ thống: Thực hiện cấp, điều chỉnh, hủy bỏ quyền truy cập đúng thời hạn theo văn bản đề nghị; lưu trữ lịch sử thao tác (log file) để phục vụ công tác thanh tra, kiểm tra khi cần thiết.