ỦY BAN NHÂN DÂN THÀNH PHỐ HÀ NỘI

Xét đề nghị của Sở Thông tin và Truyền thông tại Tờ trình số 2248/TTr-STTTT ngày 25/12/2014 về việc ban hành Quy định quản lý, khai thác sử dụng hạ tầng dùng chung và các hệ thống thông tin, cơ sở dữ liệu, phần mềm dùng chung của Thành phố đặt tại Trung tâm Dữ liệu nhà nước thành phố Hà Nội,

QUYẾT ĐỊNH:

QUY ĐỊNH

QUẢN LÝ, KHAI THÁC, SỬ DỤNG HẠ TẦNG DÙNG CHUNG VÀ CÁC HỆ THỐNG THÔNG TIN, CƠ SỞ DỮ LIỆU VÀ CÁC PHẦN MỀM DÙNG CHUNG CỦA THÀNH PHỐ ĐẶT TẠI TRUNG TÂM DỮ LIỆU NHÀ NƯỚC THÀNH PHỐ HÀ NỘI
(Ban hành kèm theo Quyết định số 05/2015/QĐ-UBND ngày 25/03/2015 của UBND Thành phố Hà Nội)

Chương I

QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh

Văn bản này quy định về quản lý, khai thác, sử dụng hạ tầng dùng chung và các hệ thống thông tin, cơ sở dữ liệu và các phần mềm dùng chung của Thành phố đặt tại Trung tâm Dữ liệu nhà nước Thành phố Hà Nội.

Các hệ thống thông tin, cơ sở dữ liệu, phần mềm dùng chung có chứa các văn bản, tài liệu có nội dung mật và hạn chế sử dụng được quản lý theo quy định riêng của ngành, lĩnh vực và các văn bản quy phạm pháp luật hiện hành.

Điều 2. Đối tượng áp dụng

Quy định này áp dụng đối với các sở, ban, ngành, UBND các quận, huyện, thị xã (sau đây gọi tắt là cơ quan, đơn vị), Trung tâm Dữ liệu nhà nước thành phố Hà Nội (sau đây gọi tắt là Trung tâm Dữ liệu) và các cá nhân khi thực hiện các hoạt động liên quan đến hệ thống thông tin, cơ sở dữ liệu và các phần mềm dùng chung của Thành phố đặt tại Trung tâm Dữ liệu.

Điều 3. Giải thích từ ngữ

1. Hạ tầng dùng chung của Thành phố: bao gồm mạng tin học diện rộng của Thành phố (mạng WAN) và hạ tầng Trung tâm Dữ liệu.

2. Hệ thống thông tin dùng chung: là hệ thống sử dụng công nghệ thông tin để thu thập, truyền, lưu trữ, xử lý, phân phối thông tin và dữ liệu để có thể ứng dụng trong nhiều cơ quan nhà nước. Hệ thống thông tin bao gồm phần cứng, phần mềm, hệ thống mạng, dữ liệu và con người tham gia hệ thống đó.

3. Cơ sở dữ liệu dùng chung: Cơ sở dữ liệu dùng chung là tập hợp các dữ liệu về các lĩnh vực, được sử dụng trong nhiều cơ quan nhà nước, được sắp xếp, tổ chức để dễ dàng truy nhập, khai thác, quản lý an toàn và cập nhật thông qua các phương tiện điện tử.

4. Phần mềm dùng chung: là sản phẩm phần mềm được tạo ra để có thể ứng dụng trong nhiều cơ quan nhà nước.

5. Hệ thống thông tin, cơ sở dữ liệu, phần mềm dùng chung của Thành phố đặt tại Trung tâm Dữ liệu: là các hệ thống thông tin, cơ sở dữ liệu và các phần mềm dùng chung được xây dựng nhằm liên kết, tích hợp các ứng dụng dùng chung và chuyên ngành phục vụ ứng dụng công nghệ thông tin trong các cơ quan nhà nước và phục vụ công dân, doanh nghiệp, được UBND Thành phố quyết định phê duyệt.

Điều 4. Nguyên tắc quản lý, sử dụng

1. Ủy ban nhân dân Thành phố Hà Nội quyết định phê duyệt danh sách các hệ thống thông tin, cơ sở dữ liệu, phần mềm dùng chung của Thành phố đặt tại Trung tâm Dữ liệu; Lộ trình cụ thể để di trú tại Trung tâm Dữ liệu, đảm bảo phù hợp yêu cầu kỹ thuật của từng hệ thống thông tin, cơ sở dữ liệu, năng lực đáp ứng của Trung tâm Dữ liệu và an toàn thông tin, dữ liệu.

2. Hạ tầng dùng chung của Thành phố và các hệ thống thông tin, cơ sở dữ liệu và phần mềm dùng chung của Thành phố đặt tại Trung tâm Dữ liệu được sử dụng, khai thác, chia sẻ thông tin phục vụ các cơ quan, đơn vị đảm bảo ổn định, hiệu quả, có định hướng lâu dài nhưng phải phù hợp với quy định của các ngành có liên quan.

3. Các cơ quan, đơn vị sử dụng hạ tầng dùng chung của Thành phố để tổ chức sao lưu, lưu trữ cơ sở dữ liệu dùng chung và chuyên ngành nhằm đảm bảo an toàn thông tin, dữ liệu; Khuyến khích các cơ quan, đơn vị tổ chức di trú các hệ thống thông tin, phần mềm dùng chung và chuyên ngành đã triển khai trước đây về Trung tâm Dữ liệu để thuận tiện trong công tác quản lý, tiết kiệm và tăng cường công tác an toàn, bảo mật thông tin nhưng phải phù hợp với quy định của ngành và văn bản quy phạm pháp luật có liên quan.

4. Các cơ quan, đơn vị và cá nhân tham gia khai thác, sử dụng hạ tầng dùng chung của Thành phố và các hệ thống thông tin, cơ sở dữ liệu và phần mềm dùng chung đặt tại Trung tâm Dữ liệu phải thực hiện nghiêm túc các quy định về an toàn, bảo mật thông tin của Thành phố.

5. Sở Thông tin và Truyền thông có trách nhiệm quản lý, vận hành, hướng dẫn, tạo điều kiện thuận lợi cho các cơ quan, đơn vị khai thác, sử dụng hạ tầng dùng chung của Thành phố và triển khai giải pháp đảm bảo hạ tầng dùng chung của Thành phố hoạt động liên tục, an toàn, bảo mật thông tin.

Chương II

QUẢN LÝ, KHAI THÁC, SỬ DỤNG HẠ TẦNG DÙNG CHUNG VÀ CÁC HỆ THỐNG THÔNG TIN, CƠ SỞ DỮ LIỆU VÀ PHẦN MỀM DÙNG CHUNG ĐẶT TẠI TRUNG TÂM DỮ LIỆU

Điều 5. Quản lý, khai thác, sử dụng hạ tầng kỹ thuật dùng chung đặt tại Trung tâm Dữ liệu

1. Cung cấp máy chủ, không gian lưu trữ dữ liệu

a) Trung tâm Dữ liệu có trách nhiệm:

- Khởi tạo và cung cấp vị trí, cấu hình máy chủ, không gian lưu trữ dữ liệu sau khi được Sở Thông tin và Truyền thông duyệt cấp cho các cơ quan, đơn vị có nhu cầu đăng ký khai thác, sử dụng.

- Phối hợp, tạo điều kiện thuận lợi cho các cơ quan, đơn vị triển khai cài đặt ứng dụng tại máy chủ, không gian lưu trữ dành cho ứng dụng; bàn giao và giữ bí mật thông tin mật khẩu vào máy chủ, vùng lưu trữ dữ liệu đã cấp cho các cơ quan, đơn vị.

- Đảm bảo duy trì sự ổn định, an toàn, bảo mật thông tin hạ tầng dùng chung của Thành phố để phục vụ các hoạt động ứng dụng đang hoạt động tại Trung tâm dữ liệu; tiếp nhận yêu cầu hỗ trợ xử lý các sự cố từ các cơ quan, đơn vị đang khai thác, sử dụng hạ tầng dùng chung; giải quyết các sự cố trong vòng 24 giờ kể từ khi tiếp nhận yêu cầu hỗ trợ, trong trường hợp vượt quá khả năng phải báo cáo đến cấp có thẩm quyền giải quyết.

b) Các cơ quan, đơn vị có trách nhiệm:

- Đăng ký nhu cầu khai thác, sử dụng máy chủ, không gian lưu trữ với Sở Thông tin và Truyền thông.

- Phối hợp với Trung tâm Dữ liệu tiếp nhận máy chủ và không gian lưu trữ đã bố trí cho cơ quan, đơn vị cài đặt ứng dụng; tổ chức cài đặt ứng dụng và chịu trách nhiệm quản lý, vận hành các ứng dụng của cơ quan, đơn vị mình triển khai; tiếp nhận mật khẩu quản lý máy chủ, vùng lưu trữ dữ liệu để đảm bảo an toàn, bảo mật thông tin các ứng dụng của cơ quan, đơn vị mình trong quá trình khai thác, vận hành trên hạ tầng dùng chung; nghiêm túc tuân thủ các quy định về công tác an toàn, bảo mật đã được quy định của Thành phố.

- Hàng năm, lập kế hoạch cấu hình máy chủ, độ lớn lưu trữ dữ liệu trên cơ sở nhu cầu của cơ quan, đơn vị gửi cho Sở Thông tin và Truyền thông và Trung tâm Dữ liệu để có căn cứ xây dựng giải pháp nâng cấp, mở rộng hạ tầng dùng chung đáp ứng yêu cầu trong toàn Thành phố.

- Thông báo về Trung tâm Dữ liệu khi có sự cố xảy ra với các ứng dụng của cơ quan, đơn vị đang sử dụng trên hạ tầng dùng chung; sau 24 giờ kể từ khi Trung tâm Dữ liệu tiếp nhận thông báo sự cố mà chưa hỗ trợ phải gửi văn bản lên Sở Thông tin và Truyền thông để giải quyết.

2. Cung cấp không gian đặt máy chủ

a) Trung tâm Dữ liệu có trách nhiệm:

- Bố trí không gian bên trong Trung tâm Dữ liệu để lắp đặt các máy chủ ngay sau khi Sở Thông tin và Truyền thông duyệt cấp cho các cơ quan, đơn vị đăng ký khai thác, sử dụng.

- Phối hợp với các cơ quan, đơn vị để lắp đặt, cấu hình máy chủ trên hạ tầng dùng chung của Thành phố đảm bảo các ứng dụng khai thác, sử dụng ổn định, hiệu quả theo yêu cầu; đảm bảo an toàn, bảo mật thông tin.

- Tiếp nhận yêu cầu hỗ trợ xử lý các sự cố hạ tầng dùng chung từ các cơ quan, đơn vị đang đặt máy chủ tại Trung tâm Dữ liệu; giải quyết các sự cố trong vòng 24 giờ kể từ khi tiếp nhận yêu cầu hỗ trợ, trong trường hợp vượt quá khả năng phải báo cáo đến cấp có thẩm quyền giải quyết.

b) Các cơ quan, đơn vị có máy chủ đặt tại Trung tâm Dữ liệu có trách nhiệm:

- Phối hợp với Trung tâm Dữ liệu di chuyển các máy chủ ứng dụng đến vị trí được bố trí; cung cấp các thông tin có liên quan về các ứng dụng đang chạy trên máy chủ để phối hợp với Trung tâm Dữ liệu cấu hình đưa vào khai thác, sử dụng trên hạ tầng mạng dùng chung của Thành phố.

- Lập biên bản bàn giao với Trung tâm Dữ liệu các thông tin về: cấu hình máy chủ; các ứng dụng đang hoạt động trên máy chủ; tên miền của ứng dụng; đối tượng người dùng ... để phục vụ công tác theo dõi kỹ thuật và quản lý tài sản theo quy định.

- Quản lý, vận hành các ứng dụng đang chạy trên máy chủ và giữ bí mật thông tin mật khẩu vào máy chủ của cơ quan, đơn vị mình; nghiêm túc tuân thủ các quy định về công tác an toàn, bảo mật theo quy định của Thành phố.

- Thông báo về Trung tâm Dữ liệu khi có sự cố xảy ra với các máy chủ ứng dụng của cơ quan, đơn vị đang sử dụng trên hạ tầng dùng chung; sau 24 giờ kể từ khi Trung tâm Dữ liệu tiếp nhận thông báo sự cố mà chưa hỗ trợ giải quyết phải gửi văn bản báo cáo lên Sở Thông tin và Truyền thông.

Điều 6. Quản lý, khai thác các hệ thống thông tin, cơ sở dữ liệu và phần mềm dùng chung của Thành phố đặt tại Trung tâm Dữ liệu.

1. Trung tâm Dữ liệu có trách nhiệm:

a) Chủ trì, phối hợp với các cơ quan, đơn vị triển khai quản lý, vận hành các hệ thống thông tin, cơ sở dữ liệu và phần mềm dùng chung của Thành phố đặt tại Trung tâm Dữ liệu theo nhiệm vụ được giao.

b) Phối hợp với các cơ quan, đơn vị liên quan cập nhật, số hóa, chia sẻ thông tin dữ liệu các hệ thống thông tin, cơ sở dữ liệu và phần mềm dùng chung đặt tại Trung tâm Dữ liệu để phục vụ các hoạt động công nghệ thông tin trong các cơ quan nhà nước.

c) Đảm bảo các giải pháp khắc phục, xử lý các vấn đề kỹ thuật phát sinh trong quá trình quản lý, vận hành các hệ thống thông tin, cơ sở dữ liệu và phần mềm dùng chung của Thành phố đặt tại Trung tâm Dữ liệu khi có phản ánh từ các cơ quan, đơn vị, cá nhân tham gia khai thác, sử dụng.

2. Đối với các cơ quan, đơn vị, cá nhân có trách nhiệm:

a) Tham gia khai thác và sử dụng các hệ thống thông tin, cơ sở dữ liệu và phần mềm dùng chung đặt tại Trung tâm Dữ liệu theo mức độ quyền hạn được cấp; nghiêm túc tuân thủ các quy định về bảo mật, an toàn thông tin theo quy định của Thành phố.

b) Các cơ quan, đơn vị có liên quan tham gia các hệ thống thông tin, cơ sở dữ liệu và phần mềm dùng chung của Thành phố đặt tại Trung tâm Dữ liệu phối hợp với Trung tâm Dữ liệu cập nhật, chia sẻ thông tin của cơ quan, đơn vị mình theo quy định quản lý, vận hành, khai thác của từng hệ thống thông tin, cơ sở dữ liệu, phần mềm dùng chung do UBND Thành phố phê duyệt.

Điều 7. Quản lý, khai thác hệ thống thông tin và cơ sở dữ liệu dùng chung, cơ sở dữ liệu chuyên ngành do các cơ quan, đơn vị chủ trì triển khai

1. Trung tâm Dữ liệu có trách nhiệm:

a) Tạo điều kiện thuận lợi hỗ trợ các cơ quan, đơn vị tổ chức sao lưu dự phòng các cơ sở dữ liệu chuyên ngành và bố trí sắp xếp máy chủ, không gian máy chủ tại Trung tâm Dữ liệu sau khi được Sở Thông tin và Truyền thông duyệt.

b) Ký cam kết với cơ quan, đơn vị về bảo vệ bí mật, tính toàn vẹn thông tin, dữ liệu cho từng hệ thống thông tin, cơ sở dữ liệu dùng chung và chuyên ngành do các cơ quan, đơn vị tổ chức di trú, sao lưu dữ liệu tại Trung tâm Dữ liệu; không cho phép các cơ quan, đơn vị, cá nhân không có liên quan được phép cập nhật, khai thác trực tiếp trên máy chủ đang cài đặt các hệ thống thông tin và cơ sở dữ liệu dùng chung, cơ sở dữ liệu chuyên ngành khi chưa được sự đồng ý của các cơ quan, đơn vị; hỗ trợ khôi phục dữ liệu khi được yêu cầu từ cơ quan, đơn vị.

2. Các cơ quan, đơn vị có trách nhiệm:

a) Tổ chức hoạt động sao lưu dự phòng các cơ sở dữ liệu chuyên ngành do cơ quan, đơn vị mình triển khai tại Trung tâm Dữ liệu để đảm bảo an toàn thông tin.

b) Khuyến khích tổ chức di trú các hệ thống thông tin, ứng dụng dùng chung và chuyên ngành do cơ quan, đơn vị mình được giao triển khai nhưng phải đảm bảo đúng quy định của ngành.

c) Khi có yêu cầu sử dụng hạ tầng dùng chung của Thành phố, các cơ quan, đơn vị có văn bản gửi Sở Thông tin và Truyền thông để đăng ký khai thác, sử dụng. Trong vòng 7 ngày làm việc kể từ ngày các cơ quan, đơn vị đăng ký, Sở Thông tin và Truyền thông có trách nhiệm xem xét, duyệt cho phép khai thác, sử dụng để làm căn cứ cho Trung tâm Dữ liệu phối hợp với các cơ quan, đơn vị thực hiện các thủ tục sắp xếp, bố trí khai thác, sử dụng hạ tầng dùng chung của Thành phố.

d) Trong trường hợp các máy chủ của các cơ quan, đơn vị đặt tại Trung tâm Dữ liệu thì các hệ thống thông tin, cơ sở dữ liệu chuyên ngành cài đặt phải tuân theo các quy định về an toàn, bảo mật hệ thống.

đ) Các cơ quan, đơn vị quản lý, vận hành hệ thống thông tin, cơ sở dữ liệu dùng chung và chuyên ngành do mình triển khai đảm bảo hoạt động hiệu quả và liên tục; phối hợp với Trung tâm Dữ liệu sao lưu dữ liệu thường xuyên và phục hồi khi có sự cố.

Điều 8. An toàn, bảo mật trong quá trình khai thác

1. Trong quá trình khai thác, sử dụng hạ tầng dùng chung và các hệ thống thông tin, cơ sở dữ liệu, phần mềm dùng chung đặt tại Trung tâm Dữ liệu, khi phát hiện những dấu hiệu làm mất an toàn, an ninh của hệ thống, phần mềm thì cơ quan, đơn vị cần thông báo ngay về Sở thông tin và Truyền thông, Trung tâm Dữ liệu để có giải pháp khắc phục sự cố an toàn, bảo mật thông tin.

2. Nghiêm cấm các cơ quan, đơn vị, cá nhân thực hiện các hành vi sau đây khi tham gia khai thác hệ thống thông tin, cơ sở dữ liệu, phần mềm dùng chung đặt tại Trung tâm Dữ liệu:

a) Tiết lộ phương thức (tài khoản, mật khẩu, tiện ích, tệp hỗ trợ và các cách thức khác) để truy nhập vào hệ thống cho tổ chức, cá nhân khác;

b) Tìm cách truy nhập dưới bất cứ hình thức nào vào các khu vực không được phép truy cập, sửa đổi các thông tin nếu chưa được trao quyền;

c) Sử dụng tài khoản của người khác để đăng nhập, khai thác;

d) Tạo lập các công cụ để giả lập hoặc đánh cắp tài khoản của người dùng trên hệ thống.

Điều 9. Cung cấp thông tin ra ngoài hệ thống

1. Sở Thông tin và Truyền thông chịu trách nhiệm quản lý, khai thác các hệ thống thông tin, cơ sở dữ liệu và phần mềm dùng chung đặt tại Trung tâm Dữ liệu theo nhiệm vụ được UBND Thành phố giao; tổ chức chia sẻ, cung cấp thông tin cho các cơ quan, đơn vị, cá nhân và tổ chức theo đúng quy định quản lý, vận hành do UBND Thành phố phê duyệt cho từng hệ thống thông tin, cơ sở dữ liệu và phần mềm dùng chung đặt tại Trung tâm Dữ liệu.

2. Đối với các hệ thống thông tin, cơ sở dữ liệu, phần mềm dùng chung và chuyên ngành do các cơ quan, đơn vị được giao nhiệm vụ triển khai tại Trung tâm Dữ liệu, đơn vị tổ chức chia sẻ, cung cấp thông tin cho các cá nhân và tổ chức theo đúng quy định quản lý, vận hành do UBND Thành phố phê duyệt.

3. Các cơ quan, đơn vị chịu trách nhiệm thường xuyên cập nhật thông tin, nội dung thông tin của các hệ thống thông tin, cơ sở dữ liệu, phần mềm chuyên ngành của cơ quan, đơn vị mình; cung cấp thông tin ra ngoài phải đảm bảo các yêu cầu về an toàn, bảo mật, phạm vi cung cấp thông tin, tính đúng đắn, hợp pháp của thông tin.

Chương III

CÁC QUY ĐỊNH ĐẢM BẢO AN TOÀN, BẢO MẬT HỆ THỐNG CÔNG NGHỆ THÔNG TIN TẠI TRUNG TÂM DỮ LIỆU

Điều 10. Quản lý tài sản CNTT tại Trung tâm Dữ liệu

1. Trung tâm Dữ liệu tiến hành thống kê, kiểm kê các loại tài sản thông tin tại đơn vị mỗi năm tối thiểu một lần. Nội dung thông tin thống kê tài sản bao gồm: Loại tài sản, giá trị, mức độ quan trọng, vị trí lắp đặt, thông tin dự phòng, thông tin về bản quyền.

2. Trung tâm Dữ liệu phân loại, sắp xếp thứ tự ưu tiên theo giá trị, mức độ quan trọng của tài sản thông tin tại Trung tâm Dữ liệu.

3. Các tài sản tại Trung tâm Dữ liệu được gắn trách nhiệm và quyền sử dụng tài sản cho mỗi cá nhân hoặc bộ phận cụ thể. Người sử dụng tài sản CNTT phải tuân thủ các quy định về quản lý, sử dụng tài sản, đảm bảo tài sản được sử dụng đúng mục đích.

Điều 11. Bảo đảm an toàn vật lý và môi trường

1. Các khu vực xử lý, lưu trữ thông tin có yêu cầu cao về an toàn, bảo mật phải áp dụng biện pháp kiểm soát ra vào thích hợp, đảm bảo chỉ những người có trách nhiệm được vào khu vực đó.

2. Việc quản lý vận hành và duy trì hoạt động hệ thống CNTT tại Trung tâm Dữ liệu phải tuân thủ theo các tiêu chuẩn, quy chuẩn kỹ thuật khi thiết kế, xây dựng.

3. Có nội quy, hướng dẫn làm việc trong khu vực an toàn, bảo mật.

4. Khu vực sử dụng chung, phân phối, chuyển hàng phải được kiểm soát và cách ly với khu vực an toàn, bảo mật.

Điều 12. Đảm bảo hoạt động liên tục của hệ thống

1. Trung tâm Dữ liệu có trách nhiệm xây dựng và triển khai kế hoạch, quy trình đảm bảo hoạt động liên tục 24 giờ/ngày, 7 ngày/tuần và thông suốt của hệ thống CNTT tại Trung tâm Dữ liệu.

2. Sự thay đổi của hệ thống CNTT phải được kiểm soát. Nội dung kiểm soát bao gồm: sự thay đổi của các phiên bản phần mềm, cấu hình phần cứng, tài liệu, quy trình vận hành; có phương án dự phòng cho việc phục hồi nếu sự thay đổi không thành công hoặc gặp các sự cố không dự tính được; ghi chép lại các thay đổi; lập kế hoạch thực hiện và kiểm tra, thử nghiệm sự thay đổi trước khi áp dụng chính thức.

Điều 13. Sao lưu dự phòng và phục hồi sau sự cố

1. Trung tâm Dữ liệu có trách nhiệm ban hành và thực hiện quy trình sao lưu dự phòng và phục hồi cho các phần mềm, dữ liệu.

2. Xây dựng danh sách các dữ liệu, phần mềm cần được sao lưu, có phân loại theo thời gian lưu trữ, thời gian sao lưu, phương pháp sao lưu và thời gian kiểm tra phục hồi hệ thống từ dữ liệu sao lưu.

3. Dữ liệu sao lưu phải được lưu trữ ở nơi an toàn, không cùng địa bàn với Trung tâm Dữ liệu và được kiểm tra thường xuyên, đảm bảo sẵn sàng cho việc sử dụng khi cần thiết.

Điều 14. Quản lý về an toàn, bảo mật mạng

1. Thực hiện việc quản lý và kiểm soát mạng nhằm ngăn ngừa các hiểm họa và duy trì an toàn cho các hệ thống, ứng dụng sử dụng mạng, bao gồm:

a) Có sơ đồ logic và vật lý về hệ thống mạng;

b) Sử dụng thiết bị tường lửa, thiết bị phát hiện và ngăn chặn xâm nhập và các trang thiết bị khác đảm bảo an toàn bảo mật mạng.

2. Thiết lập, cấu hình đầy đủ các tính năng của thiết bị an ninh mạng; sử dụng các công cụ để dò tìm và phát hiện kịp thời các điểm yếu, lỗ hổng và các truy cập bất hợp pháp vào hệ thống mạng; thường xuyên kiểm tra, phát hiện những kết nối, trang thiết bị, phần mềm cài đặt bất hợp pháp vào mạng.

3. Xác định và ghi rõ các tính năng an toàn, các mức độ bảo mật của dịch vụ và yêu cầu quản lý trong các thỏa thuận về dịch vụ mạng do bên thứ ba cung cấp.

Điều 15. Giám sát và ghi nhật ký hoạt động của hệ thống CNTT

1. Ghi nhật ký và quy định thời gian lưu trữ các thông tin về hoạt động của hệ thống CNTT và người sử dụng, lỗi phát sinh và các sự cố mất an toàn thông tin nhằm trợ giúp cho việc điều tra giám sát về sau.

2. Bảo vệ các chức năng ghi nhật ký và thông tin nhật ký, chống giả mạo và truy cập trái phép.

3. Kiểm soát nhật ký vào/ra Trung tâm Dữ liệu thông qua hệ thống kiểm soát thích hợp; có khả năng cảnh báo các dấu hiệu bất thường hoặc đột nhập Trung tâm Dữ liệu bất hợp pháp.

Điều 16. Phòng chống virus và phần mềm độc hại

1. Trung tâm Dữ liệu có trách nhiệm trong việc triển khai hướng dẫn sử dụng các phần mềm chống virus, mã độc trong hệ thống CNTT. Thường xuyên cập nhật các phiên bản mới, các bản vá lỗi của các phần mềm chống virus để đảm bảo các chương trình quét virus trong hệ thống được cập nhật mới nhất, thiết lập chế độ quét thường xuyên ít nhất là hàng tuần.

2. Người sử dụng các hệ thống CNTT có trách nhiệm tuân thủ đầy đủ các hướng dẫn của Trung tâm Dữ liệu và thông báo kịp thời tới các cán bộ quản trị khi phát hiện các biểu hiện mất an toàn thông tin trong quá trình sử dụng.

3. Tuyệt đối không mang các thiết bị cá nhân có nguy cơ bị nhiễm virus, mã độc và các phần mềm độc hại vào hệ thống mạng thông tin của Trung tâm Dữ liệu.

4. Tất cả các thiết bị cá nhân đều phải được kiểm tra trước khi kết nối với hệ thống mạng thông tin của Trung tâm Dữ liệu.

Điều 17. Quản lý điều khiển truy cập

1. Xây dựng và thực hiện các quy định về quản lý truy cập đối với người sử dụng, nhóm người sử dụng phù hợp với yêu cầu an toàn, bảo mật của Trung tâm Dữ liệu.

2. Sử dụng các biện pháp thích hợp để xác thực người sử dụng kết nối từ bên ngoài vào mạng nội bộ của Trung tâm Dữ liệu đảm bảo an toàn, bảo mật.

3. Kiểm soát truy cập các cổng dùng để cấu hình và quản trị thiết bị mạng.

4. Chia tách hệ thống mạng thành các vùng mạng khác nhau theo đối tượng sử dụng, mục đích sử dụng và hệ thống thông tin.

Điều 18. Yêu cầu về an toàn, bảo mật cho các hệ thống thông tin mới

Khi xây dựng mới hoặc cải tiến hệ thống thông tin hiện tại của Trung tâm Dữ liệu, Trung tâm Dữ liệu phải đưa ra các yêu cầu về an toàn, bảo mật đồng thời với việc đưa ra các yêu cầu kỹ thuật, nghiệp vụ.

Điều 19. An toàn, bảo mật các tệp tin hệ thống

1. Quy định về quản lý, cài đặt, cập nhật các phần mềm vào hệ thống hiện tại:

a) Trước khi tiến hành cài đặt, cập nhật các phần mềm vào hệ thống hiện tại, cán bộ kỹ thuật phải tìm hiểu kỹ các yêu cầu của phần mềm đối với hệ điều hành của máy cài đặt; đảm bảo việc cài đặt hoặc cập nhật không ảnh hưởng đến việc hoạt động bình thường của hệ thống hiện tại;

b) Trong quá trình cài đặt, cán bộ kỹ thuật phải lựa chọn các tham số như thư mục cài đặt chương trình, nơi lưu trữ cơ sở dữ liệu theo đúng quy hoạch chung;

c) Trước khi tiến hành cập nhật phần mềm cần tiến hành sao lưu dữ liệu để đảm bảo an toàn dữ liệu; đồng thời có giải pháp sao lưu nguyên trạng của hệ thống hoặc sao lưu phiên bản cũ, đảm bảo sẵn sàng khôi phục nguyên trạng hoặc khôi phục phiên bản cũ, nếu sau khi cập nhật phần mềm, hệ thống không hoạt động được hoặc bị lỗi.

2. Các dữ liệu kiểm tra, thử nghiệm phải được lựa chọn, bảo vệ, quản lý và kiểm soát một cách thận trọng.

3. Việc truy cập vào chương trình nguồn phải được quản lý và kiểm soát chặt chẽ.

4. Quá trình cài đặt, triển khai các hệ thống mới phải được ghi chép lại thành tài liệu cài đặt, được cập nhật thường xuyên khi có bất kỳ thay đổi, sửa lỗi và phải được lưu trữ theo đúng quy trình.

Điều 20. An toàn, bảo mật trong quy trình hỗ trợ và phát triển hệ thống thông tin

1. Quy định về quản lý và kiểm soát sự thay đổi hệ thống thông tin:

a) Việc thay đổi các hệ thống thông tin trong quá trình hỗ trợ và phát triển phải tuân thủ theo các quy trình, hướng dẫn của Trung tâm Dữ liệu;

b) Cán bộ kỹ thuật phải báo cáo xin ý kiến các cấp có thẩm quyền về kịch bản thay đổi và các rủi ro có thể xảy ra trong quá trình thay đổi các hệ thống thông tin trọng yếu. Việc thay đổi các hệ thống thông tin trọng yếu chỉ được thực hiện khi đã được cấp có thẩm quyền cho phép.

c) Trong quá trình hỗ trợ và phát triển hệ thống thông tin, cán bộ kỹ thuật phải báo cáo cấp có thẩm quyền trạng thái hoạt động của các hệ thống đã thay đổi và các sự cố xảy ra (nếu có) trong quá trình triển khai theo đúng quy trình.

2. Khi thay đổi hệ điều hành, phải kiểm tra và xem xét các ứng dụng quan trọng để đảm bảo hệ thống hoạt động ổn định, an toàn trên môi trường mới.

3. Các phần mềm, ứng dụng của các sở, ban, ngành, quận, huyện, thị xã thuộc Thành phố triển khai tại Trung tâm Dữ liệu phải được giám sát, quản lý chặt chẽ.

4. Quy trình quản lý thay đổi được ban hành để đảm bảo mọi thay đổi trong hệ thống CNTT là đồng nhất và tuân theo các quy trình, quy chuẩn, kiến trúc đã được đặt ra. Bộ phận vận hành chịu trách nhiệm ghi chép các thay đổi trên hệ thống mình.

5. Các thay đổi nếu liên quan đến cơ chế xác thực, truy cập, nhật ký log, tương tác giữa các hệ thống chỉ được thực hiện khi có sự đồng ý thống nhất giữa các bộ phận vận hành, quản lý và an ninh thông tin.

Điều 21. Quản lý các sự cố về CNTT

1. Báo cáo sự cố

Trong quá trình vận hành, khai thác Trung tâm Dữ liệu, nếu sự cố về CNTT xảy ra, người sử dụng và cán bộ vận hành các hệ thống CNTT có trách nhiệm thông báo kịp thời cho Trung tâm Dữ liệu và những người có liên quan để có biện pháp khắc phục trong thời gian sớm nhất.

2. Kiểm soát và khắc phục sự cố

a) Ban hành quy trình, trách nhiệm khắc phục sự cố an ninh thông tin cho từng hệ thống, đảm bảo sự cố được xử lý trong thời gian ngắn nhất và giảm thiểu khả năng sự cố lặp lại;

b) Quá trình xử lý sự cố phải được ghi chép và lưu trữ tại Trung tâm Dữ liệu;

c) Thu thập, ghi chép, bảo toàn bằng chứng, chứng cứ phục vụ cho việc kiểm tra, xử lý, khắc phục và phòng ngừa sự cố. Trong trường hợp sự cố về CNTT có liên quan đến các vi phạm pháp luật, Trung tâm Dữ liệu có trách nhiệm thu thập và cung cấp chứng cứ cho cơ quan có thẩm quyền theo đúng quy định của pháp luật.

3. Xử lý vi phạm gây ra sự cố

Sau khi phát hiện chính xác nguyên nhân sự cố, nếu có dấu hiệu vi phạm quy trình hoặc cố tình phá hoại thì tùy theo mức độ vi phạm, Sở Thông tin và Truyền thông xem xét kỷ luật theo quy chế, quy định nội bộ hoặc đề nghị xử lý theo quy định của pháp luật.

Chương IV

TỔ CHỨC THỰC HIỆN

Điều 22. Sở Thông tin và Truyền thông

1. Chịu trách nhiệm trước UBND Thành phố, quản lý, vận hành hạ tầng dùng chung Thành phố đảm bảo ổn định, liên tục phục vụ các hệ thống thông tin, cơ sở dữ liệu, phần mềm dùng chung đặt tại Trung tâm Dữ liệu và các ứng dụng chuyên ngành khác của các cơ quan, đơn vị.

2. Chủ trì, phối hợp với các sở, ban, ngành, UBND các quận, huyện, thị xã tham mưu UBND Thành phố ban hành Danh mục các hệ thống thông tin, cơ sở dữ liệu, phần mềm dùng chung tại Trung tâm Dữ liệu.

3. Phối hợp với các sở, ban, ngành, UBND các quận, huyện, thị xã tham mưu UBND Thành phố ban hành Quy chế, Quy định quản lý, vận hành, khai thác cho từng hệ thống thông tin, cơ sở dữ liệu, phần mềm dùng chung của Thành phố.

4. Hướng dẫn về công tác chuyên môn nghiệp vụ cho cán bộ chuyên trách CNTT tại các cơ quan, đơn vị trong việc khai thác hạ tầng dùng chung, các hệ thống thông tin, cơ sở dữ liệu, các phần mềm dùng chung của Thành phố đặt tại Trung tâm Dữ liệu theo nhiệm vụ được phân công.

5. Định kỳ hoặc đột xuất báo cáo UBND Thành phố về hoạt động của Trung tâm Dữ liệu.

6. Chỉ đạo, quản lý Trung tâm Dữ liệu nhà nước Hà Nội đảm bảo hoạt động liên tục 24 giờ/ngày, 7 ngày/tuần và thông suốt hạ tầng dùng chung của Thành phố phục vụ ứng dụng công nghệ thông tin trong hoạt động chỉ đạo, điều hành, tác nghiệp của các cơ quan, đơn vị hành chính nhà nước của Thành phố Hà Nội.

Điều 23. Các sở, ban, ngành, UBND các quận, huyện, thị xã

1. Tổ chức thực hiện sao lưu dự phòng các cơ sở dữ liệu của cơ quan, đơn vị mình về Trung tâm Dữ liệu để đảm bảo an toàn thông tin theo quy định này; trên cơ sở nhu cầu thực tế của cơ quan, đơn vị tổ chức di trú các hệ thống thông tin, cơ sở dữ liệu, ứng dụng dùng chung và chuyên ngành do mình triển khai nhưng phải phù hợp với quy định của ngành và tại các văn bản quy phạm pháp luật khác có liên quan.

2. Khai thác, sử dụng hạ tầng dùng chung tại Trung tâm Dữ liệu hiệu quả phục vụ hoạt động chỉ đạo, điều hành và tác nghiệp của các cơ quan, đơn vị, trên cơ sở tuân thủ các quy định chia sẻ tài nguyên thông tin, chế độ bảo mật và các tiêu chuẩn kỹ thuật CNTT do Thành phố ban hành;

3. Phối hợp với Sở Thông tin và Truyền thông trong việc quản lý, khai thác hạ tầng dùng chung của Thành phố.

4. Thủ trưởng các cơ quan, đơn vị có trách nhiệm tổ chức, phân công trách nhiệm cụ thể cho cán bộ hoặc bộ phận chuyên trách CNTT; tham mưu, trình UBND Thành phố quyết định ban hành quy định, quy chế về vận hành hệ thống thông tin, cơ sở dữ liệu, phần mềm dùng chung do đơn vị mình chủ trì triển khai.

5. Phối hợp thực hiện báo cáo định kỳ, đột xuất về tình hình khai thác, sử dụng hạ tầng dùng chung của Thành phố và hệ thống thông tin, cơ sở dữ liệu, phần mềm dùng chung tại Trung tâm Dữ liệu theo đề nghị của Sở Thông tin và Truyền thông hoặc yêu cầu của UBND Thành phố.

Điều 24. Xử lý vi phạm

Tổ chức, cá nhân có hành vi vi phạm quy định này thì tùy theo tính chất, mức độ vi phạm mà bị xử lý kỷ luật theo trách nhiệm, xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự. Nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật hiện hành.

Điều 25. Điều khoản thi hành

Sở Thông tin và Truyền thông chủ trì, phối hợp với các sở, ban, ngành, UBND các quận, huyện, thị xã và các cơ quan có liên quan triển khai thực hiện Quy định này.

Trong quá trình thực hiện nếu có phát sinh khó khăn, vướng mắc cần sửa đổi, bổ sung, các cơ quan, đơn vị kịp thời thông báo về Sở Thông tin và Truyền thông để tổng hợp trình UBND Thành phố xem xét, giải quyết./.