Điều kiện an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia ?(P3)

Luật An ninh mạng số 22/2018/QH14 ngày 12 tháng 06 năm 2018, được Quốc hội khóa XIV, tại Kỳ họp thứ 5, thông qua với tỷ lệ 86,86%. Có hiệu lực thi hành từ ngày 1-1-2019. Luật gồm 7 Chương, 43 Điều, quy định những nội dung cơ bản về an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia; phòng ngừa, xử lý hành vi xâm phạm an ninh mạng; triển khai hoạt động bảo vệ an ninh mạng và quy định trách nhiệm của cơ quan, tổ chức, cá nhân.

An ninh mạng là sự bảo đảm hoạt động trên không gian mạng không gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân. (Căn cứ theo Khoản 1 Điều 2 Luật An ninh mạng số 22/2018/QH14 ngày 12 tháng 06 năm 2018).

Vậy, Điều kiện an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia được quy định như thế nào ?

Ở phần 1 và phần 2, Luật Hoàng Anh đã trình bày về Điều kiện về quy định, quy trình, phương án bảo vệ an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia; Điều kiện về nhân sự vận hành, quản trị hệ thống, bảo vệ an ninh mạng; Điều kiện bảo đảm an ninh mạng đối với trang thiết bị, phần cứng, phần mềm là thành phần hệ thống; Điều kiện về an ninh vật lý. Sau đây, Luật Hoàng Anh xin trình bày về điều kiện an ninh mạng cuối cùng đối với hệ thống thông tin quan trọng về an ninh quốc gia.

Hệ thống thông tin quan trọng về an ninh quốc gia

Căn cứ theo Điều 10 của Luật An ninh mạng số 22/2018/QH14 ngày 12 tháng 06 năm 2018, hệ thống thông tin quan trọng về an ninh quốc gia được quy định như sau:

+ Về định nghĩa, Hệ thống thông tin quan trọng về an ninh quốc gia là hệ thống thông tin khi bị sự cố, xâm nhập, chiếm quyền điều khiển, làm sai lệch, gián đoạn, ngưng trệ, tê liệt, tấn công hoặc phá hoại sẽ xâm phạm nghiêm trọng an ninh mạng.

+ Hệ thống thông tin quan trọng về an ninh quốc gia bao gồm:

a) Hệ thống thông tin quân sự, an ninh, ngoại giao, cơ yếu;

b) Hệ thống thông tin lưu trữ, xử lý thông tin thuộc bí mật nhà nước;

c) Hệ thống thông tin phục vụ lưu giữ, bảo quản hiện vật, tài liệu có giá trị đặc biệt quan trọng;

d) Hệ thống thông tin phục vụ bảo quản vật liệu, chất đặc biệt nguy hiểm đối với con người, môi trường sinh thái;

đ) Hệ thống thông tin phục vụ bảo quản, chế tạo, quản lý cơ sở vật chất đặc biệt quan trọng khác liên quan đến an ninh quốc gia;

e) Hệ thống thông tin quan trọng phục vụ hoạt động của cơ quan, tổ chức ở trung ương;

g) Hệ thống thông tin quốc gia thuộc lĩnh vực năng lượng, tài chính, ngân hàng, viễn thông, giao thông vận tải, tài nguyên và môi trường, hóa chất, y tế, văn hóa, báo chí;

h) Hệ thống điều khiển và giám sát tự động tại công trình quan trọng liên quan đến an ninh quốc gia, mục tiêu quan trọng về an ninh quốc gia.

Điều kiện về biện pháp kỹ thuật để giám sát, bảo vệ an ninh mạng

Căn cứ theo Điều 15 của Dự thảo 2 ngày 31 tháng 8 năm 2018 Nghị định 2018/NĐ-CP của Chính phủ quy định chi tiết một số điều của Luật An ninh mạng, Điều kiện về biện pháp kỹ thuật để giám sát, bảo vệ an ninh mạng được quy định như sau:

a.Về môi trường vận hành của hệ thống thông tin quan trọng về an ninh quốc gia phải đáp ứng yêu cầu sau:

+ Tách biệt với các môi trường phát triển, kiểm tra và thử nghiệm;

+ Áp dụng các giải pháp bảo đảm an toàn thông tin.

+ Không cài đặt các công cụ, phương tiện phát triển ứng dụng.

+  Loại bỏ hoặc tắt các tính năng, phần mềm tiện ích không sử dụng trên hệ thống thông tin.

b. Về dữ liệu của hệ thống thông tin quan trọng về an ninh quốc gia phải có phương án tự động sao lưu dự phòng phù hợp, ra phương tiện lưu trữ ngoài với tần suất thay đổi của dữ liệu và bảo đảm nguyên tắc dữ liệu phát sinh phải được sao lưu trong vòng 24 giờ. Dữ liệu sao lưu dự phòng phải được kiểm tra, bảo đảm khả năng khôi phục định kỳ 6 tháng một lần.

c. Về hệ thống mạng phải đáp ứng yêu cầu sau:

- Chia tách thành các vùng mạng khác nhau theo đối tượng sử dụng, mục đích sử dụng, tối thiểu: có phân vùng mạng riêng cho máy chủ của hệ thống thông tin; có phân vùng mạng trung gian (DMZ) để cung cấp dịch vụ trên mạng Internet; có phân vùng mạng riêng để cung cấp dịch vụ mạng không dây;

- Có thiết bị, phần mềm thực hiện chức năng kiểm soát các kết nối, truy cập vào ra các vùng mạng quan trọng;

- Có thiết bị, phần mềm thực hiện chức năng kết nối, phát hiện, phòng chống xâm nhập từ mạng không tin cậy vào hệ thống thông tin quan trọng về an ninh quốc gia;

- Có giải pháp kiểm soát, phát hiện và ngăn chặn kịp thời các kết nối, truy cập trái phép vào hệ thống thông tin quan trọng về an ninh quốc gia;

- Có phương án cân bằng tải và phương án ứng phó tấn công từ chối dịch vụ và các hình thức tấn công khác phù hợp với quy mô, tính chất của hệ thống thông tin quan trọng về an ninh quốc gia.

d. Phải có biện pháp, giải pháp để dò tìm và phát hiện kịp thời các điểm yếu, lỗ hổng về mặt kỹ thuật của hệ thống mạng và những kết nối, trang thiết bị, phần mềm cài đặt bất hợp pháp vào mạng.

đ. Ghi và lưu trữ nhật ký về hoạt động của hệ thống thông tin và người sử dụng, các lỗi phát sinh, các sự cố an toàn thông tin tối thiểu 3 tháng theo hình thức tập trung và sao lưu tối thiểu một năm một lần.

e. Về việc kiểm soát truy cập đối với người sử dụng, nhóm người sử dụng thiết bị công cụ sử dụng:

+ Đăng ký, cấp phát, gia hạn và thu hồi quyền truy cập của thiết bị, người sử dụng;

+ Mỗi tài khoản truy cập hệ thống phải được gán cho một người sử dụng duy nhất; trường hợp chia sẻ tài khoản dùng chung để truy cập hệ thống thông tin quan trọng về an ninh quốc gia thì phải được phê duyệt bởi cấp có thẩm quyền và xác định được trách nhiệm cá nhân tại mỗi thời điểm sử dụng;

+ Giới hạn và kiểm soát các truy cập sử dụng tài khoản có quyền quản trị:

(i) Thiết lập cơ chế kiểm soát việc tạo tài khoản có quyền quản trị để bảo đảm không một tài khoản nào sử dụng được khi chưa được cấp có thẩm quyền phê duyệt;

(ii) Phải có biện pháp giám sát việc sử dụng tài khoản có quyền quản trị;

(iii) Việc sử dụng tài khoản có quyền quản trị phải được giới hạn đảm bảo chỉ có 1 truy cập quyền quản trị duy nhất, tự động thoát khỏi phiên đăng nhập khi không có hoạt động trong khoảng thời gian nhất định;

+ Quản lý, cấp phát mã khóa bí mật truy cập hệ thống thông tin;

+ Rà soát, kiểm tra, xét duyệt lại quyền truy cập của người sử dụng;

+ Yêu cầu, điều kiện an toàn thông tin đối với các thiết bị, công cụ sử dụng để truy cập.

Luật Hoàng Anh