Quyết định 1758/QĐ-BTTTT 2023 Nền tảng khảo sát, thu thập ý kiến của người dân

BỘ THÔNG TIN VÀ TRUYỀN THÔNG

^{_______________________}

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM

Độc lập - Tự do - Hạnh phúc

^{_______________________}

Từ viết tắt

Tên đầy đủ

Giải thích

Form

Biểu mẫu khảo sát

Biểu mẫu khảo sát là dạng biểu mẫu điện tử dùng thu thập, ghi nhận dữ liệu một cách trực quan, nhất quán và tạo thuận lợi cho việc phân tích.

QR Code

Mã phản hồi nhanh (Quick Response Code)

QR Code (mã QR) là viết tắt của cụm từ “Quick response code”. Đây là một dạng thông tin được mã hóa để hiển thị sao cho máy tính có thể đọc được. QR Code cho phép quét và đọc mã nhanh bằng các thiết bị như máy đọc mã vạch hoặc điện thoại thông minh có camera.

OTP

Mật khẩu một lần (One Time Password)

Mã OTP (One Time Password) là mật khẩu sử dụng một lần và không thể sử dụng mã này cho bất kỳ giao dịch nào khác. Mã OTP sẽ có chuỗi ký tự hoặc số ngẫu nhiên được thay đổi mỗi khi gửi đến người nhận. Ngoài ra, mã OTP thường có hiệu lực trong thời gian rất ngắn.

CAPTCHA

Phép thử tự động để phân biệt máy tính với con người

CAPTCHA là viết tắt của cụm từ “Completely Automated Public Turing test to tell Computers and Humans Apart”. CAPTCHA được hiểu là một phương thức thử tự động để phân biệt được đối tượng đang giao tiếp với hệ thống là máy hay người dùng thực sự.

Người dùng

Người dùng là người sử dụng, khai thác nền tảng.

Người tạo câu hỏi khảo sát

Người tạo câu hỏi khảo sát là người tạo Form khảo sát trên nền tảng.

Người trả lời khảo sát

Người trả lời khảo sát là người nhận/trả lời khảo sát trên đường dẫn Form khảo sát.

API

Giao diện lập trình ứng dụng

Là viết tắt của Giao diện lập trình ứng dụng (Application ProgrammingInterface), cho phép các ứng dụng khác tương tác với nền tảng thông qua dịch vụ cụ thể

STT

Yêu cầu

1

Đảm bảo không vi phạm các quy định về quyền tác giả, quyền sở hữu trí tuệ và các quyền liên quan theo Luật Sở hữu trí tuệ ngày 29/11/2005 và Luật sửa đổi, bổ sung một số điều của Luật Sở hữu trí tuệ ngày 19/6/2009.

2

Sẵn sàng hỗ trợ địa chỉ Internet thế hệ mới IPv6.

3

Tuân thủ các quy định về chuẩn nội dung web theo Thông tư số 39/2017/TT-BTTTT ngày 15/12/2017 của Bộ trưởng Bộ Thông tin và Truyền thông.

4

Ngôn ngữ lập trình sử dụng để xây dựng nền tảng cần phổ biến, và phù hợp với Khung kiến trúc Chính phủ điện tử Việt Nam hiện hành.

5

Đảm bảo an toàn thông tin mạng theo Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về đảm bảo an toàn hệ thống thông tin theo cấp độ, Thông tư số 12/2022/TT-BTTTT ngày 12/8/2022 của Bộ Thông tin và Truyền thông về việc Quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ.

TT

Yêu cầu

Mô tả chi tiết

1

Xác thực

1.1

Xác thực người sử dụng khi truy cập, quản trị, cấu hình hoặc truy cập sử dụng phần mềm

1. Có giao diện quản lý tài khoản người sử dụng.

2. Yêu cầu xác thực người sử dụng khi truy cập khi quản trị, cấu hình phần mềm.

3. Yêu cầu xác thực người sử dụng khi truy cập, sử dụng phần mềm.

1.2

Có chức năng cho phép lưu trữ có mã hóa thông tin xác thực hệ thống

Thông tin xác thực được lưu trữ có mã hóa trên phần mềm.

1.3

Có chức năng cho phép thiết lập chính sách mật khẩu người sử dụng

1. Có chức năng yêu cầu người dùng đặt mật khẩu mới khi đăng nhập lần đầu sử dụng mật khẩu mặc định.

2. Có chức năng cho phép thiết lập quy tắc đặt mật khẩu về số ký tự, loại ký tự.

3. Có chức năng cho phép thiết lập thời gian yêu cầu thay đổi mật khẩu.

4. Có chức năng cho phép thiết lập thời gian mật khẩu hợp lệ.

5. Khóa tài khoản và yêu cầu nhập mật khẩu mới khi mật khẩu của tài khoản đó hết hạn thời gian hợp lệ.

6. Mở khóa tài khoản khi thay đổi mật khẩu thành công đối với trường hợp mật khẩu hết hạn thời gian hợp lệ.

1.4

Phần mềm có chức năng cho phép hạn chế số lần đăng nhập sai trong khoảng thời gian nhất định với tài khoản nhất định

1. Có giao diện cho phép thiết lập thiết lập chính sách về số lần đăng nhập sai trong khoảng thời gian nhất định và hành động tự động thiết lập cơ chế để ngăn cản việc đăng nhập tự động tại.

2. Có chức năng cảnh báo tới người sử dụng khi vi phạm chính sách.

1.5

Phần mềm có chức năng cho phép mã hóa thông tin xác thực trước khi gửi qua môi trường mạng

Chức năng bảo đảm mật khẩu được mã hóa trước khi gửi qua môi trường mạng.

1.6

Có chức năng cho phép thiết lập cấu hình để ngăn cản việc đăng nhập tự động

Có chức năng tự động thiết lập cơ chế tự động ngăn cản việc đăng nhập tự động khi vi phạm chính sách.

2

Kiểm soát truy cập

2.1

Có chức năng quản lý các kết nối mạng an toàn khi truy cập, quản trị phần mềm từ xa.

1. Có chức năng cho phép truy cập, quản trị phần mềm từ xa sử dụng các giao thức mạng an toàn như TLS hoặc các giao thức tương đương khác.

2.2

Có chức năng cho phép thiết lập giới hạn thời gian chờ (timeout).

1. Có chức năng cho phép thiết lập giới hạn thời gian chờ (timeout) để đóng phiên kết nối khi phần mềm không nhận được yêu cầu từ người dùng.

2. Hiển thị thông báo, đóng phiên kết nối đã hết hạn thời gian timeout và yêu cầu đăng nhập lại.

2.3

Có chức năng cho phép phân quyền và cấp quyền tối thiểu truy cập, quản trị, sử dụng tài nguyên khác nhau của phần mềm với người sử dụng/nhóm người sử dụng có chức năng, yêu cầu nghiệp vụ khác nhau

1. Có giao diện cho phép quản trị viên quản lý chính sách về phân quyền tài khoản theo từng nhóm tài khoản.

2. Phân loại nhóm tài khoản theo các nhóm khác nhau

3. Có chức năng thực thi chính sách phân quyền và cấp quyền tối thiểu truy cập, quản trị, sử dụng tài nguyên khác nhau.

2.4

Phần mềm có chức năng cho phép thiết lập quyền tối thiểu (quyền truy cập, quản trị) cho tài khoản quản trị theo quyền hạn.

1. Có giao diện cho phép quản trị viên thiết lập quyền cho các tài khoản.

2. Có chức năng thực thi chính sách phân quyền cho các tài khoản ở trên.

3

Nhật ký hệ thống

3.1

Có khả năng cho phép ghi nhật ký hệ thống gồm những thông tin

1. Khi triển khai có khả năng ghi nhật ký hệ thống.

2. Nhật ký hệ thống được phân loại theo nhiều nhóm, ví dụ:

a) Nhật ký truy cập phần mềm;

b) Nhật ký đăng nhập khi quản trị phần mềm;

c) Nhật ký các lỗi phát sinh trong quá trình hoạt động;

d) Nhật ký quản lý tài khoản;

đ) Nhật ký thay đổi cấu hình phần mềm.

4

An toàn phần mềm và mã nguồn

4.1

Có chức năng cho phép kiểm tra tính hợp lệ của thông tin, dữ liệu đầu vào trước khi xử lý

1. Có áp dụng cơ chế kiểm tra tính hợp lệ của thông tin, dữ liệu đầu vào trước khi xử lý.

2. Có chức năng thực thi việc kiểm tra tính hợp lệ của thông tin, dữ liệu đầu vào trước khi xử lý.

4.2

Có chức năng cho phép bảo vệ phần mềm chống lại những dạng tấn công phổ biến: SQL Injection, OS command injection, RFI, LFI, xpath injection, xss, CSRF

Phần mềm được kiểm tra, đánh giá, kiểm thử xâm nhập theo tiêu chuẩn OWASP và không tồn tại điểm yếu cho phép kẻ tấn công khai thác thông qua các dạng tấn công: SQL Injection, OS command injection, RFI, LFI, Xpath Injection, xss, CSRF.

4.3

Phần mềm có chức năng cho phép kiểm soát lỗi, thông báo lỗi từ phần mềm

1. Có chức năng kiểm soát lỗi, chỉ hiển thị các thông báo lỗi được kiểm soát đến người dùng và không hiển thị các lỗi bên trong hệ thống.

2. Có chức năng hiển thị thông báo lỗi đến người sử dụng.

4.4

Phần mềm có chức năng cho phép bảo đảm không lưu trữ thông tin xác thực, thông tin bí mật trên mã nguồn Phần mềm

1. Thông tin xác thực không được đưa trực tiếp vào mã nguồn phần mềm mà phải được thiết lập thông qua giao diện cấu hình hệ thống.

2. Các thông tin xác thực được mã hóa.

5

Sao lưu dự phòng

5.1

Có khả năng cho phép tự động sao lưu dự phòng

1. Có thể thiết lập chính sách về sao lưu dự phòng cơ sở dữ liệu và cấu hình hệ thống.

2. Có thể cho phép thực hiện việc sao lưu dự phòng theo chính sách ở trên.

5.2

Có khả năng cho phép gán nhãn loại dữ liệu được lưu trữ theo quy tắc được thiết lập

1. Có thể cho phép quản trị viên quản lý chính sách về phân loại dữ liệu được lưu trữ theo từng nhóm dữ liệu.

2. Có thể cho phép lưu trữ dữ liệu theo tên định dạng đối với từng loại dữ liệu tại mục trên.

STT

Tên trường dữ liệu

Giải thích

1

UserName

Tên tài khoản kết nối

2

Password

Mật khẩu tài khoản

3

ID_Form

Mã (ID) của Form khảo sát trên hệ thống nội bộ

STT

Tên trường dữ liệu

Giải thích

1

ID_Form

Mã (ID) của Form khảo sát

2

Name

Tên Form khảo sát

3

Created_Date

Ngày khởi tạo Form khảo sát

4

ID_User_Create

Mã (ID) của tài khoản tạo Form khảo sát

5

Description

Mô tả form Form sát

6

VNF_ID

Mã (ID) của Form khảo sát do VNFORM cấp

STT

Tên trường dữ liệu

Giải thích

1

ID_Form

Mã (ID) của Form khảo sát

2

Total_Responses

Số lượng câu trả lời của Form

3

VNF_ID

Mã (ID) của Form khảo sát do VNFORM cấp

STT

Tên trường dữ liệu

Giải thích

1

ID_User

Mã (ID) của Form khảo sát

2

Org

Tài khoản có thuộc một tổ chức:

- Có thuộc một tổ chức: 1

- Không thuộc một tổ chức: 0

3

Username

Tên tài khoản

STT

Yêu cầu

1

Cho phép cài đặt hệ thống theo mô hình máy chủ chính và máy chủ dự phòng.

2

Có tín hiệu thể hiện trạng thái hệ thống đang xử lý thông tin. Tín hiệu này phải được sử dụng thống nhất trong toàn bộ màn hình xử lý của Hệ thống (tín hiệu có thể là hình quay tròn, đồng hồ cát...).

3

Cơ sở dữ liệu phải có khả năng lưu trữ với dung lượng lớn, trong thời gian lâu dài (tương thích hoặc sử dụng các hệ quản trị cơ sở dữ liệu phổ biến như SQL server, My SQL, Oracle, MongoDB, Apache Cassandra, Redis, Couchbase hay Apache dbase, ... hoặc các hệ quản trị tương đương).

4

Có khả năng lưu trữ được nhiều định dạng dữ liệu khác nhau như dữ liệu có cấu trúc, bán cấu trúc, phi cấu trúc dưới dạng tệp gắn kèm (dữ liệu tệp văn bản, dữ liệu phim, ảnh, âm thanh).

5

Tương thích với các trình duyệt thông dụng hiện nay: Chrome, Edge, Firefox, Cốc Cốc, Safari...

6

Hỗ trợ hiển thị tiếng Việt theo chuẩn Unicode.

7

Hiển thị ngày, giờ theo định dạng DD/MM/YYYY và hh:mm:ss.

8

Nền tảng hỗ trợ trên hệ điều hành điện thoại như IOS và Android.

9

Cho phép xem trực tiếp trên trình duyệt các tệp đính kèm với một số định dạng phổ biến (ví dụ: .doc; .docx; .xls; .xlsx; .rtf; .ppt; .pdf;...).

10

Giao diện tương thích với máy tính và thiết bị di động.

11

Có phương thức và thực hiện kết nối API cho phép cung cấp dữ liệu cho Hệ thống giám sát, đo lường mức độ cung cấp và sử dụng dịch vụ Chính phủ số của Bộ Thông tin và Truyền thông.

12

Nền tảng được vận hành và tương thích đầy đủ với môi trường Cloud (Đám mây)