Quyết định 2663/QĐ-BTC 2023 bổ sung phương án bảo đảm an toàn hệ thống thông tin theo TT 12/2022/TT-BTTTT

Yêu cầu quản lý đối với hệ thống cấp độ 3 theo Phụ lục III Thông tư 12/2022/TT-BTTTT

Đối tượng áp dụng

Nội dung phương án

Phương án quản lý rủi ro an toàn thông tin

Tất cả các hệ thống thông tin tại Phụ lục I của Quyết định này

Thực hiện theo quy định tại Điều 7 Quy chế An toàn thông tin mạng và An ninh mạng Bộ Tài chính

Phương án kết thúc vận hành, khai thác, thanh lý, hủy bỏ

Tất cả các hệ thống thông tin tại Phụ lục I của Quyết định này

Thực hiện theo quy định tại Điều 20 Quy chế An toàn thông tin mạng và An ninh mạng Bộ Tài chính

STT

Yêu cầu kỹ thuật đối với hệ thống cấp độ 3 theo Phụ lục III Thông tư 12/2022/TT-BTTTT (ngoài TCVN 11930:2017)

Đối tượng áp dụng

Phương án bổ sung

a

Thiết kế các vùng mạng trong hệ thống theo chức năng, các vùng mạng tối thiểu bao gồm:

i. Vùng mạng nội bộ;

ii. Vùng mạng biên;

iii. Vùng DMZ;

iv. Vùng máy chủ nội bộ;

v. Vùng mạng không dây (nếu có) tách riêng, độc lập với các vùng mạng khác;

vi. Vùng mạng máy chủ cơ sở dữ liệu;

vii. Vùng quản trị.

Hệ thống Mạng nội bộ (LAN) Bộ Tài chính

Không bổ sung do thiết kế hiện tại đã đáp ứng yêu cầu.

b.i

Có phương án quản lý truy cập, quản trị hệ thống từ xa an toàn sử dụng mạng riêng ảo hoặc phương án tương đương;

Hệ thống Mạng nội bộ (LAN) Bộ Tài chính

Không bổ sung do thiết kế hiện tại đã đáp ứng yêu cầu quản lý truy cập, quản trị hệ thống từ xa an toàn sử dụng mạng riêng ảo.

Sử dụng sản phẩm Mạng riêng ảo đối với hệ thống thông tin có xử lý thông tin bí mật nhà nước hoặc hệ thống thông tin quy định tại điểm c khoản 2 Điều 9 Nghị định 85/2016/NĐ-CP;

Không bổ sung do các hệ thống thông tin thuộc phạm vi Bộ Tài chính làm chủ quản hiện tại không xử lý bí mật nhà nước; không thuộc quy định tại điểm c khoản 2 Điều 9 Nghị định 85/2016/NĐ-CP “Cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của từ 10.000 người sử dụng trở lên”

b.ii

Có phương án quản lý truy cập giữa các vùng mạng và phòng chống xâm nhập sử dụng sản phẩm Tường lửa có tích hợp chức năng phòng, chống xâm nhập hoặc sản phẩm Phòng, chống xâm nhập lớp mạng;

Hệ thống Mạng nội bộ (LAN) Bộ Tài chính

Không bổ sung do thiết kế hiện tại đã đáp ứng yêu cầu.

b.iii

Có phương án cân bằng tải, dự phòng nóng cho các thiết bị mạng chính, tối thiểu bao gồm thiết bị chuyển mạch trung tâm hoặc tương đương, thiết bị tường lửa trung tâm, tường lửa ứng dụng web, hệ thống lưu trữ tập trung, tường lửa cơ sở dữ liệu (nếu có);

Hệ thống Mạng nội bộ (LAN) Bộ Tài chính

Không bổ sung do thiết kế hiện tại đã đáp ứng yêu cầu.

b.iv

Có phương án bảo đảm an toàn cho máy chủ cơ sở dữ liệu;

- Tất cả các hệ thống thông tin tại Phụ lục I

Không bổ sung do thiết kế hiện tại đã đáp ứng yêu cầu.

Sử dụng sản phẩm Tường lửa cơ sở dữ liệu đối với hệ thống cơ sở dữ liệu tập trung, đáp ứng tiêu chí quy định tại khoản 3 Điều 9 Nghị định 85/2016/NĐ-CP;

Cổng Dịch vụ công và Hệ thống thông tin một cửa điện tử BTC; CSDL quốc gia về tài sản công; Quản lý, giám sát vốn nhà nước tại doanh nghiệp; Quản lý và giám sát hoạt động kinh doanh bảo hiểm; CSDL Danh mục dùng chung; CSDL quốc gia về Giá; Kho dữ liệu Thu chi Ngân sách nhà nước; Cơ sở dữ liệu tổng hợp

Bổ sung trang bị giải pháp hoặc dịch vụ Tường lửa cơ sở dữ liệu sử dụng chung cho các hệ thống thông tin thuộc phạm vi áp dụng.

b.v

Có phương án chặn lọc phần mềm độc hại trên môi trường mạng sử dụng Tường lửa tích hợp chức năng phòng, chống mã độc trên môi trường mạng hoặc phương án tương đương;

Hệ thống Mạng nội bộ (LAN) Bộ Tài chính

Không bổ sung do thiết kế hiện tại đã đáp ứng yêu cầu.

b.vi

Có phương án phòng chống tấn công từ chối dịch vụ; sử dụng dịch vụ của doanh nghiệp hoặc sản phẩm Phòng, chống tấn công từ chối dịch vụ đối với các hệ thống Trung tâm dữ liệu, điện toán đám mây, hệ thống Định danh, xác thực điện tử, chứng thực điện tử, chữ ký số và hệ thống Kết nối tích hợp, chia sẻ dữ liệu, đáp ứng tiêu chí quy định tại khoản 3 Điều 9 Nghị định 85/2016/NĐ-CP;

- Tất cả hệ thống thông tin tại Phụ lục I

Không bổ sung do thiết kế hiện tại đã đáp ứng yêu cầu.

b.vii

Có phương án phòng chống tấn công mạng cho ứng dụng web;

Tất cả các hệ thống thông tin tại Phụ lục I

Không bổ sung do thiết kế hiện tại đã đáp ứng yêu cầu.

Sử dụng sản phẩm Tường lửa ứng dụng web đối với các hệ thống thông tin được quy định tại khoản 2, Điều 9 Nghị định 85/2016/NĐ-CP;

Không bổ sung do thiết kế hiện tại đã đáp ứng yêu cầu.

b.viii

Có phương án bảo đảm an toàn thông tin cho hệ thống thư điện tử; sử dụng sản phẩm Bảo đảm an toàn thông tin cho hệ thống thư điện tử đối với hệ thống Thư điện tử, đáp ứng tiêu chí quy định tại khoản 2 Điều 9 Nghị định 85/2016/NĐ-CP;

Hệ thống Dịch vụ Intranet

Không bổ sung do thiết kế hiện tại đã đáp ứng yêu cầu.

b.ix

Có phương án quản lý truy cập lớp mạng; sử dụng sản phẩm Quản lý truy cập lớp mạng đối với hệ thống Mạng nội bộ, Trung tâm giám sát điều hành an toàn thông tin mạng, đáp ứng tiêu chí quy định tại khoản 3 Điều 9 Nghị định 85/2016/NĐ-CP;

Hệ thống mạng nội bộ Bộ Tài chính

Bổ sung trang bị giải pháp hoặc thuê dịch vụ quản lý truy cập lớp mạng

b.x

Có phương án giám sát hệ thống thông tin tập trung;

Tất cả các hệ thống thông tin tại Phụ lục I

Không bổ sung do thiết kế hiện tại đã đáp ứng yêu cầu.

b.xi

Có phương án giám sát an toàn hệ thống thông tin tập trung sử dụng sản phẩm Quản lý và phân tích sự kiện an toàn thông tin hoặc sản phẩm tương đương;

Tất cả các hệ thống thông tin tại Phụ lục I

Không bổ sung do thiết kế hiện tại đã đáp ứng yêu cầu.

b.xii

Có phương án quản lý sao lưu dự phòng tập trung sử dụng hệ thống lưu trữ tập trung và sản phẩm quản lý lưu trữ tập trung;

Tất cả các hệ thống thông tin tại Phụ lục I

Không bổ sung do thiết kế hiện tại đã đáp ứng yêu cầu.

b.xiii

Có phương án quản lý phần mềm phòng chống mã độc trên máy chủ/máy tính người dùng, sử dụng sản phẩm Phòng, chống mã độc và/hoặc sản phẩm Phát hiện và phản ứng sự cố an toàn thông tin trên thiết bị đầu cuối, có chức năng quản lý tập trung;

Tất cả các hệ thống thông tin tại Phụ lục I

Không bổ sung do thiết kế hiện tại đã đáp ứng yêu cầu.

b.xiv

Có phương án phòng, chống thất thoát dữ liệu;

Tất cả các hệ thống thông tin tại Phụ lục I

Không bổ sung do thiết kế hiện tại đã đáp ứng yêu cầu.

Sử dụng sản phẩm Phòng, chống thất thoát dữ liệu đối với hệ thống thông tin có xử lý thông tin bí mật nhà nước hoặc hệ thống thông tin quy định tại điểm c khoản 2 Điều 9 Nghị định 85/2016/NĐ-CP;

Không bổ sung do các hệ thống thông tin thuộc phạm vi Bộ Tài chính làm chủ quản hiện tại không xử lý bí mật nhà nước; không thuộc quy định tại điểm c khoản 2 Điều 9 Nghị định 85/2016/NĐ-CP “Cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của từ 10.000 người sử dụng trở lên”.

b.xv

Có phương án dự phòng kết nối mạng Internet cho các máy chủ dịch vụ;

Tất cả các hệ thống thông tin tại Phụ lục I

Không bổ sung do thiết kế hiện tại đã đáp ứng yêu cầu.

b.xvi

Có phương án bảo đảm an toàn cho mạng không dây (nếu có).

Không bổ sung do các hệ thống thông tin của Bộ Tài chính không cho phép truy cập trực tiếp từ mạng không dây.