Quy chế áp dụng đối với các cơ quan, đơn vị và cán bộ, nhân viên các cơ quan, đơn vị thuộc Ban Cơ yếu Chính phủ; Cơ quan, tổ chức, cá nhân không thuộc Ban Cơ yếu Chính phủ tham gia triển khai ứng dụng công nghệ thông tin, chuyển đổi số, bảo đảm an ninh mạng hoặc cung cấp dịch vụ công nghệ thông tin (gọi tắt là đối tác). 

Quy chế gồm 5 Chương quy định về Quy định chung, Bảo đảm hệ thống thông tin theo cấp độ, Quản lý an ninh mạng đối với hệ thống thông tin, Quy định đối với người dùng hệ thống thông tin và công tác tổ chức thực hiện. 

  Quy chế đưa ra 5 nguyên tắc bảo đảm an ninh mạng như sau:

1. Hệ thống thông tin chỉ được đưa vào khai thác, sử dụng khi đáp ứng các yêu cầu về bảo đảm an ninh mạng theo quy định của pháp luật, quy định của Bộ trưởng Bộ Quốc phòng và các quy định của Ban Cơ yếu Chính phủ.

2. Các đơn vị, người dùng và đối tác có trách nhiệm bảo đảm an ninh mạng của Ban Cơ yếu Chính phủ tuân thủ theo quy định của pháp luật về an ninh mạng, cơ yếu, bảo vệ bí mật nhà nước và các quy định pháp luật khác có liên quan; quy định của Bộ trưởng Bộ Quốc phòng, Ban Cơ yếu Chính phủ và quy định tại Quy chế này. Người đứng đầu các đơn vị chịu trách nhiệm trực tiếp về công tác bảo đảm an ninh mạng thuộc phạm vi quản lý.

3. Công tác bảo đảm an ninh mạng đối với sản phẩm mật mã cơ yếu và hệ thống thông tin của Ban Cơ yếu Chính phủ thực hiện từ giai đoạn đầu tư, thiết kế, xây dựng, phát triển, triển khai, quản lý, vận hành đến khi chấm dứt hoạt động, hủy bỏ hệ thống thông tin hoặc thành phần hệ thống có liên quan; bảo đảm tuân thủ tiêu chuẩn, quy chuẩn kỹ thuật; không làm cản trở hoạt động ứng dụng công nghệ thông tin, chuyển đổi số của Ban Cơ yếu Chính phủ.

4. Việc bảo đảm an ninh mạng phải được triển khai chủ động, đồng bộ và phù hợp với tính chất, mức độ quan trọng của từng hệ thống thông tin; kịp thời phòng ngừa, phát hiện, ngăn chặn, xử lý các hành vi xâm phạm an ninh mạng; bảo vệ hệ thống thông tin quan trọng về an ninh quốc gia và thông tin bí mật nhà nước thuộc phạm vi quản lý của Ban Cơ yếu Chính phủ.

5. Sử dụng sản phẩm mật mã cơ yếu phải tuân thủ các quy định về nghiệp vụ và quy trình sử dụng đối với từng loại sản phẩm theo quy định của pháp luật và Ban Cơ yếu Chính phủ. Các cơ quan, đơn vị nghiên cứu, phát triển, sản xuất sản phẩm mật mã cơ yếu có trách nhiệm phối hợp với Trung tâm Công nghệ thông tin và Giám sát an ninh mạng để áp dụng các biện pháp bảo đảm an ninh mạng theo quy định.

 Quy chế chỉ ra 06 hành vi bị nghiêm cấm trong công tác đảm bảo an ninh mạng như sau:

1. Thực hiện tấn công mạng, xâm nhập trái phép vào hệ thống thông tin; gây sự cố, tấn công, xâm nhập, chiếm quyền điều khiển, làm sai lệch, gián đoạn, ngưng trệ, tê liệt hoặc phá hoại hệ thống thông tin chiếm đoạt, sử dụng sai mục đích, cố ý làm hư hỏng các trang thiết bị công nghệ thông tin và sản phẩm mật mã cơ yếu.

2. Sử dụng thiết bị công nghệ thông tin của cá nhân để kết nối, truy cập vào hệ thống thông tin nội bộ của Ban Cơ yếu Chính phủ.

3. Cài đặt, gỡ bỏ hoặc sửa đổi các phần mềm trên thiết bị công nghệ thông tin thuộc hệ thống của Ban Cơ yếu Chính phủ mà không có sự chấp thuận của đơn vị quản lý hoặc đơn vị vận hành; tạo lập, cài đặt, phát tán phần mềm, phần cứng độc hại gây ảnh hưởng đến tính bảo mật, tính khả dụng và tính toàn vẹn của hệ thống thông tin.

4. Sử dụng trái phép tài khoản số của người khác; thu thập, tiết lộ, phát tán thông tin trái phép; làm sai lệch chức năng, hiệu năng hệ thống thông tin của Ban Cơ yếu Chính phủ.

5. Cản trở hoạt động của người thực hiện nhiệm vụ bảo đảm an ninh mạng; tấn công, vô hiệu hóa trái pháp luật làm mất tác dụng biện pháp bảo đảm an ninh mạng; lợi dụng hoặc lạm dụng hoạt động bảo đảm an ninh mạng để xâm phạm quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

6. Các hành vi vi phạm khác theo quy định của pháp luật về an ninh mạng, cơ yếu, bảo vệ bí mật nhà nước và các văn bản pháp luật có liên quan.

 Bảo đảm hệ thống thông tin theo cấp độ

 Quy chế xác định cấp độ hệ thống thông tin của Ban Cơ yếu Chính phủ thực hiện theo quy định của pháp luật về an ninh mạng. Trình tự, thủ tục đề xuất, thẩm định và phê duyệt cấp độ đối với hệ thống thông tin thực hiện theo quy định của Chính phủ về bảo đảm an ninh mạng đối với hệ thống thông tin.

 Quy chế quy định công tác bảo đảm hệ thống thông tin theo cấp độ như sau:

1. Nhiệm vụ, biện pháp bảo đảm an ninh mạng đối với hệ thống thông tin theo cấp độ thực hiện theo quy định của pháp luật về an ninh mạng và quy định của Chính phủ, Bộ trưởng Bộ Quốc phòng về tiêu chí, biện pháp, trách nhiệm, nghĩa vụ bảo đảm an ninh mạng theo từng cấp độ.

2. Trung tâm Công nghệ thông tin và Giám sát an ninh mạng chủ trì, phối hợp với đơn vị quản lý hệ thống thông tin thuộc Danh mục hệ thống thông tin quan trọng về an ninh quốc gia thực hiện đầy đủ các nhiệm vụ, biện pháp bảo đảm an ninh mạng theo quy định của pháp luật.

3. Đơn vị quản lý phối hợp với Trung tâm Công nghệ thông tin và Giám sát an ninh mạng xây dựng phương án bảo đảm an ninh mạng theo nguyên tắc tổng thể, đồng bộ, tập trung trong đầu tư, chia sẻ tài nguyên để tối ưu hiệu năng, tránh đầu tư thừa, trùng lặp, cụ thể như sau:

a. Đối với hệ thống thông tin cấp độ 1, 2 và 3, căn cứ nhu cầu, khả năng thực tế, Trung tâm Công nghệ thông tin và Giám sát an ninh mạng báo cáo Trưởng ban Ban Cơ yếu Chính phủ xem xét, quyết định việc dùng chung giữa các hệ thống thông tin;

b. Đối với hệ thống thông tin cấp độ 4, 5 và hệ thống thông tin quan trọng về an ninh quốc gia, phải thiết kế bảo đảm tính sẵn sàng, phân tách và hạn chế ảnh hưởng đến toàn bộ hệ thống khi một thành phần bị mất an ninh mạng.

4. Đơn vị vận hành triển khai phương án bảo đảm an ninh mạng đã được phê duyệt; Trung tâm Công nghệ thông tin và Giám sát an ninh mạng giám sát kiểm tra việc thực hiện phương án bảo đảm an ninh mạng và báo cáo Trưởng ban Ban Cơ yếu Chính phủ theo quy định.

 Quản lý an ninh mạng đối với hệ thống thông tin

 Quy chế quy định công tác quản lý an ninh mạng đối với hệ thống thông tin tại chương 3 (từ Điều 9 đến Điều 28). 

Quy chế quy định về: Xây dựng chính sách an ninh mạng; Quản lý thiết bị công nghệ thông tin; Quản lý thiết kế, xây dựng, phát triển hệ thống thông tin; Quản lý tiếp nhận, vận hành hệ thống thông tin; Quản lý tài khoản số, mật khẩu truy cập, quản trị hệ thống thông tin; Quản lý tiếp nhận, vận hành hệ thống thông tin; Quản lý tài khoản số, mật khẩu truy cập, quản trị hệ thống thông tin; Quản lý phòng chống phần mềm độc hại; Quản lý điểm yếu, lỗ hổng an ninh mạng; Bảo đảm an ninh mạng trung tâm dữ liệu, phòng máy chủ; Bảo đảm an ninh mạng mức hạ tầng mạng; Bảo đảm an ninh thông tin mạng mức ứng dụng; Bảo đảm an ninh mạng mức dữ liệu; Giám sát an ninh mạng; Thẩm định, kiểm tra, đánh giá an ninh mạng và chứng nhận an ninh mạng; Quản lý rủi ro an ninh mạng; Ứng cứu, điều phối ứng cứu sự cố an ninh mạng; Phòng, chống tấn công mạng, khủng bố mạng và gián điệp  mạng; Quản lý đối tác; Báo cáo về an ninh mạng; Chia sẻ thông tin an ninh mạng và công tác Tổ chức triển khai bảo đảm an ninh mạng.

Trong đó, công tác triển khai bảo đảm an ninh mạng được Ban Cơ yếu chính phủ tổ chức triển khai bảo đảm an ninh mạng cho hệ thống thông tin thuộc phạm vi quản lý theo mô hình 02 lớp.

1.   Lực lượng tại chỗ (Lớp 1): Đơn vị quản lý chủ trì, phối hợp với các cơ quan, đơn vị có liên quan chỉ định, kiện toàn đầu mối đơn vị, bộ phận chuyên trách về công nghệ thông tin để tham mưu, tổ chức thực thi và kiểm tra, đôn đốc thực hiện các quy định của pháp luật về bảo đảm an ninh mạng; tổ chức, bố trí lực lượng giám sát, bảo vệ hệ thống thông tin và ứng cứu, điều phối ứng cứu sự cố an ninh mạng bằng lực lượng tại chỗ.

2.  Giám sát và đánh giá, ứng cứu sự cố an ninh mạng (Lớp 2): Trung tâm Công nghệ thông tin và Giám sát an ninh mạng chủ trì thực hiện giám sát, ứng cứu sự cố an ninh mạng, bảo vệ hệ thống thông tin của Ban Cơ yếu Chính phủ; định kỳ, đột xuất kiểm tra, đánh giá an ninh mạng đối với hệ thống thông tin theo quy định.

Đối tác cung cấp sản phẩm, dịch vụ công nghệ thông tin hoặc tham gia khảo sát, thiết kế, phát triển, quản trị, vận hành, bảo trì, xử lý dữ liệu trên hệ thống thông tin của Ban Cơ yếu Chính phủ phải tuân thủ hợp đồng đã ký kết, quy định của pháp luật, Quy chế này và yêu cầu về bảo đảm an ninh mạng, bảo mật thông tin, bảo vệ bí mật nhà nước theo quy định.

Quy định đối với người dùng hệ thống thông tin 

Quy chế quy định các yêu cầu chung đối với người dùng hệ thống thông tin, ví như phải chịu trách nhiệm trước pháp luật về các vi phạm và hành vi làm lộ, lọt dữ liệu chứa nội dung bí mật nhà nước.

Quy chế quy định sử dụng phần mềm ứng dụng đảm bảo an ninh mạng như: Chỉ sử dụng các phần mềm ứng dụng đã được đơn vị quản lý hoặc Trung tâm Công nghệ thông tin và Giám sát an ninh mạng cài đặt sẵn để xử lý, lưu trữ, gửi nhận, chia sẻ thông tin mạng. Khi có nhu cầu cài đặt phần mềm khác lên hệ thống thông tin phải được sự đồng ý của đơn vị quản lý. Các phần mềm cài đặt phải có bản quyền và nguồn gốc rõ ràng, đang trong thời gian được nhà phát triển hỗ trợ vá lỗ hổng bảo mật; Chỉ truy cập vào các trang thông tin điện tử, ứng dụng trực tuyến tin cậy và các thông tin mạng phù hợp với chức năng, nhiệm vụ, quyền hạn của mình. Không truy cập vào các trang thông tin điện tử được hệ thống cảnh báo có nguy hại; không truy cập, đăng tải thông tin vi phạm quy định của pháp luật và sử dụng thư điện tử công vụ...

Ngoài ra, Quy chế quy định công tác quản lý tài khoản số và mật khẩu truy cập và sử dụng thiết bị công nghệ thông tin.

Tổ chức thực hiện

Trưởng ban quy định rõ trách nhiệm của đơn vị quản lý, trách nhiệm của đơn vị vận hành và trách nhiệm của Trung tâm Công nghệ thông tin và Giám sát an ninh mạng cụ thể như sau:

Trách nhiệm của đơn vị quản lý

Chủ trì, phối hợp đơn vị vận hành thực hiện công tác bảo đảm an ninh mạng đối với các hệ thống thông tin được giao; thực hiện trách nhiệm của đơn vị quản lý theo quy định tại Quy chế này; phối hợp với Trung tâm Công nghệ thông tin và Giám sát an ninh mạng trong công tác kiểm tra, giám sát an ninh mạng, ứng phó và khắc phục sự cố đối với hệ thống thông tin được giao quản lý.

Chỉ định cá nhân, bộ phận phụ trách về an ninh mạng; bảo đảm nguồn nhân lực, điều kiện kỹ thuật và nguồn lực cần thiết để triển khai nhiệm vụ bảo đảm an ninh mạng theo quy định.

Kịp thời báo cáo, trình Trưởng ban Ban Cơ yếu Chính phủ xem xét, quyết định đối với các vấn đề vượt thẩm quyền, phát sinh nguy cơ mất an ninh mạng hoặc sự cố an ninh mạng nghiêm trọng.

Trách nhiệm của đơn vị vận hành

Thực hiện trách nhiệm quy định tại Quy chế này, các quy định của pháp luật có liên quan và nhiệm vụ khác do Trưởng ban Ban Cơ yếu Chính phủ hoặc đơn vị quản lý giao; cảnh báo khả năng mất an ninh mạng trong việc sử dụng dịch vụ trên không gian mạng do mình cung cấp và hướng dẫn biện pháp phòng ngừa; xây dựng phương án ứng cứu khẩn cấp bảo đảm an ninh mạng để chủ động xử lý điểm yếu, rủi ro và sự cố an ninh mạng.

Chỉ đạo, phân công nhiệm vụ, trách nhiệm cho các bộ phận, cán bộ kỹ thuật triển khai công tác bảo đảm an ninh mạng trong quá trình vận hành hệ thống thông tin; trao đổi thông tin, xử lý sự cố an ninh mạng hoặc các vấn đề phát sinh.

Báo cáo công tác bảo đảm an ninh mạng theo quy định.

Trách nhiệm của Trung tâm Công nghệ thông tin và Giám sát an ninh mạng

- Chủ trì tổ chức triển khai, hướng dẫn thực hiện, đôn đốc, kiểm tra việc thực hiện Quy chế này; thực hiện trách nhiệm của đơn vị chuyên trách về công nghệ thông tin, an ninh mạng được quy định tại Quy chế này và các quy định của pháp luật về an ninh mạng.

- Chủ trì, phối hợp với các cơ quan, đơn vị nghiên cứu, triển khai các giải pháp bảo đảm an ninh mạng cho các hệ thống thông tin của Ban Cơ yếu Chính phủ.

- Hỗ trợ các đơn vị, đối tác xây dựng chính sách an ninh mạng.

- Phối hợp với Cục Chính trị - Tổ chức xây dựng đội ngũ cán bộ chuyên trách an ninh mạng của Ban Cơ yếu Chính phủ; kế hoạch, tổ chức đào tạo, tập huấn bảo đảm an ninh mạng cho cán bộ, nhân viên; tổ chức bồi dưỡng nghiệp vụ an ninh mạng cho đối tượng thuộc phạm vi quản lý theo quy định.

- Phối hợp với Văn phòng rà soát, đề xuất danh mục bí mật nhà nước trong lĩnh vực an ninh mạng.

- Phối hợp với Cục Quản lý mật mã dân sự và Kiểm định sản phẩm mật mã thực hiện kiểm tra an ninh, an toàn đối với các sản phẩm, thiết bị trước khi đưa vào vận hành, sử dụng, định kỳ và sau khi sửa chữa, bảo dưỡng.

- Phổ biến kiến thức về an ninh mạng, nâng cao nhận thức và kỹ năng bảo đảm an ninh mạng cho cán bộ, nhân viên trong Ban Cơ yếu Chính phủ.

- Thiết lập các đầu mối hỗ trợ kỹ thuật trực tuyến tiếp nhận, xử lý và hướng dẫn giải quyết các vấn đề phát sinh trong quá trình vận hành, đảm bảo an ninh mạng.

Trong quá trình thực hiện Quy chế, nếu phát sinh vướng mắc, các cơ quan, đơn vị, cá nhân kịp thời phản ánh về Trung tâm Công nghệ thông tin và Giám sát an ninh mạng để tổng hợp, báo cáo Trưởng ban Ban Cơ yếu Chính phủ xem xét, sửa đổi, bổ sung Quy chế.