- Bộ Thông tin và Truyền thông đang lấy ý kiến nhân dân về dự thảo Thông tư quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 1/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ.
Việc triển khai xây dựng Thông tư mới thay thế Thông tư 03 ngày 24/4/2017 là nhằm đảm bảo tính đồng bộ, thống nhất giữa các văn bản và phù hợp với thực tế triển khai thời gian qua. Thông tư mới quy định chi tiết hơn một số nội dung cần hướng dẫn.
Cụ thể, dự thảo Thông tư mới bổ sung các quy định để làm rõ việc xác định đơn vị vận hành trong quá trình chuẩn bị thuê ngoài dịch vụ CNTT và trong quá trình chạy thử nghiệm hệ thống tại hạ tầng của các doanh nghiệp; xác định đơn vị vận hành đóng vai trò đơn vị chuyên trách, tổ chức thẩm định trong trường hợp đơn vị vận hành đóng vai trò đơn vị chuyên trách; xác định chủ quản hệ thống thông tin với trường hợp là cấp có thẩm quyền quyết định đầu tư dự án xây dựng, thiết lập, nâng cấp, mở rộng hệ thống thông tin.
 |
Khi được ban hành, Thông tư mới sẽ thay thế cho Thông tư 03 ngày 24/4/2017 của Bộ TT&TT quy định chi tiết và hướng dẫn một số điều của Nghị định 85 năm 2016 của Chính phủ. Bên cạnh đó, dự thảo Thông tư mới cũng bổ sung một số yêu cầu an toàn với hệ thống thông tin nhằm đảm bảo tính thống nhất, đồng bộ giữa Thông tư 03 và Tiêu chuẩn quốc gia TCVN 11930:2017.
Theo dự thảo, việc xác định cấp độ và thuyết minh cấp độ an toàn hệ thống thông tin thực hiện như sau:
1. Xác định và phân loại hệ thống thông tin; xác định chủ quản hệ thống thông tin, đơn vị vận hành hệ thống thông tin căn cứ theo quy định tại các Điều 5, 6 Nghị định 85/2016/NĐ-CP và các Điều 4, 5, 6 Thông tư này.
2. Xác định loại thông tin được xử lý thông qua hệ thống thông tin căn cứ theo quy định tại khoản 1 Điều 6 Nghị định 85/2016/NĐ-CP.
3. Xác định cấp độ căn cứ theo quy định tại các điều từ Điều 7 đến Điều 11 Nghị định 85/2016/NĐ-CP. Đối với hệ thống thông tin đề xuất là cấp độ 4 hoặc cấp độ 5, thuyết minh đề xuất cấp độ làm rõ các nội dung sau đây:
a) Xác định các hệ thống thông tin khác có liên quan hoặc có kết nối đến hoặc có ảnh hưởng quan trọng tới hoạt động bình thường của hệ thống thông tin được đề xuất, trong đó, xác định rõ mức độ ảnh hưởng đến hệ thống thông tin đang được đề xuất cấp độ khi các hệ thống này bị mất an toàn thông tin;
b) Danh mục đề xuất các thành phần, thiết bị mạng quan trọng, các loại thông tin quan trọng được xử lý trong hệ thống (nếu có);
c) Thuyết minh về mức độ quan trọng của các thành phần, thiết bị mạng quan trọng, các loại thông tin, dữ liệu được xử lý hoặc lưu trữ trên hệ thống (nếu có);
d) Thuyết minh về các nguy cơ tấn công mạng, mất an toàn thông tin đối với hệ thống, các thành phần hệ thống và các thiết bị mạng quan trọng; ảnh hưởng của các nguy cơ tấn công mạng, mất an toàn thông tin này đối với các tiêu chí xác định cấp độ theo Điều 10, 11 Nghị định 85/2016/NĐ-CP;
đ) Đánh giá phạm vi và mức độ ảnh hưởng tới lợi ích công cộng, trật tự an toàn xã hội hoặc quốc phòng, an ninh quốc gia khi bị tấn công mạng gây mất an toàn thông tin hoặc gián đoạn hoạt động của từng hệ thống đã được xác định;
Đối với hệ thống thông tin cấp độ 4 hoặc cấp độ 5, thuyết minh yêu cầu cần phải vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước;
e) Thuyết minh khác (nếu có) trên cơ sở thực tế hoạt động của hệ thống thông tin.
Việc bảo đảm an toàn hệ thống thông tin theo cấp độ thực hiện theo yêu cầu cơ bản quy định tại Thông tư này; tiêu chuẩn, quy chuẩn kỹ thuật về an toàn thông tin và tiêu chuẩn, quy chuẩn kỹ thuật chuyên ngành có liên quan khác….
Được biết, dự thảo Thông tư sẽ có thời gian lấy ý kiến rộng rãi tới hết ngày 11/5/2022.
PV
