An toàn thông tin

Bộ Tài chính đổi mới cơ chế quản lý an toàn an ninh mạng

Phương An 17/07/2023 08:59

Các đơn vị thuộc Bộ Tài chính tự kiểm tra, đánh giá hàng năm trong nội bộ đơn vị, trong phạm vi trách nhiệm của đơn vị đối với công tác an toàn an ninh mạng (ATANM) theo quy định của pháp luật và quy định tại Quy chế này.

Tóm tắt:
- Bộ Tài chính tiến hành sửa đổi một loạt quy chế, quy định về ATANM cho phù hợp với những quy định mới của Chính phủ và của Bộ Thông tin và Truyền thông và với thực tiễn của Bộ.
- Quy chế ATANM của Bộ Tài chính có nhiều điểm mới phù hợp với sự phát triển của công nghệ và tiến trình chuyển đổi số trong lĩnh vực tài chính, trong đó giao trách nhiệm cụ thể về nhiệm vụ đảm bảo ATANM tới từng đơn vị chức năng của Bộ Tài chính.

Một số nội dung thay đổi, cập nhật, bổ sung

Bộ Tài chính cho biết, quy chế mới (Quyết định số 1013/QĐ-BTC ngày 19/5/2023, thay thế Quyết định số 201/QĐ-BTC ngày 12/02/2018) tập trung vào 4 điểm quan trọng gồm: Sửa đổi phạm vi áp dụng; sửa đổi quy định xác định chủ quản hệ thống thông tin (HTTT), ủy quyền thực hiện trách nhiệm của chủ quản HTTT; các quy định liên quan; sửa đổi về thẩm quyền và thủ tục xác định cấp độ HTTT; bổ sung các quy định về an ninh mạng; bổ sung quy định cụ thể áp dụng riêng cho Cơ quan Bộ Tài chính.

Sửa đổi phạm vi áp dụng của quy chế: Quy chế ATANM Bộ Tài chính (cũ) được áp dụng cho tất cả các đơn vị hành chính, sự nghiệp, doanh nghiệp (DN) thuộc Bộ Tài chính. Theo hướng dẫn của Vụ Pháp chế về việc tránh phát sinh quy phạm pháp luật trong quyết định ban hành quy chế nội bộ, Cục Tin học và Thống kê tài chính đề xuất và được chấp thuận về giới hạn phạm vi áp dụng của quy chế trong phạm vi các tổ chức hành chính, sự nghiệp thuộc cơ cấu tổ chức của Bộ Tài chính (theo Nghị định số 87/2017/NĐ-CP ngày 26/7/2017 của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Bộ Tài chính, Bộ Tài chính gồm 25 tổ chức hành chính và 04 tổ chức sự nghiệp).

Các tổ chức sự nghiệp khác (Học viện Tài chính, các trường học) và doanh nghiệp thuộc Bộ áp dụng theo quy định của pháp luật về ATANM.

attt.png

Sửa đổi quy định xác định chủ quản HTTT, ủy quyền thực hiện trách nhiệm của chủ quản HTTT; các quy định liên quan: Theo quy định của pháp luật về ATANM, chủ quản HTTT chịu trách nhiệm tổ chức thực hiện công tác ATANM của cơ quan, tổ chức.

Thông tư số 12/2022/TT-BTTTT (thay thế Thông tư số 03/2017/TT-BTTTT) đã sửa đổi quy định về xác định chủ quản tại khoản 1 Điều 4. Do đó, Cục Tin học và Thống kê tài chính đã đề xuất và được đưa vào quy định mới của Bộ Tài chính về xác định chủ quản hệ thống thông tin Bộ Tài chính tại Quy chế như sau (khoản 1 Điều 4):

a) Bộ Tài chính là chủ quản của HTTT được xây dựng, thiết lập, nâng cấp, mở rộng từ dự án hoặc kế hoạch thuê dịch vụ thuộc thẩm quyền phê duyệt của Bộ trưởng Bộ Tài chính; chủ quản HTTT được được xây dựng, thiết lập, nâng cấp, mở rộng từ dự án, kế hoạch thuê dịch vụ, đề cương và dự toán chi tiết thuộc thẩm quyền phê duyệt của tổ chức thuộc Cơ quan Bộ, tổ chức sự nghiệp trực thuộc Bộ.

b) Tổng cục là chủ quản của hệ thống thông tin được xây dựng, thiết lập, nâng cấp, mở rộng từ dự án, kế hoạch thuê dịch vụ, đề cương và dự toán chi tiết thuộc thẩm quyền phê duyệt của Tổng cục, đơn vị thuộc Tổng cục”.

Thông tư số 12/2022/TT-BTTTT quy định về ủy quyền thực hiện trách nhiệm của chủ quản HTTT tại khoản 3 Điều 4. Theo ý kiến tham gia của Cục An toàn thông tin (ATTT), Bộ Thông tin và Truyền thông (TT&TT) về dự thảo Quy chế, Cục Tin học và Thống kê tài chính đã rà soát, xác định trong số các đơn vị thuộc Bộ, chỉ các Tổng cục và đơn vị cấp tương đương có đủ năng lực để Bộ ủy quyền thực hiện trách nhiệm của chủ quản các HTTT do Bộ làm chủ quản. Trên cơ sở đó, quy định mới của Bộ Tài chính về ủy quyền chủ quản đối với HTTT do Bộ làm chủ quản như sau (điểm a khoản 1 Điều 4): “Bộ Tài chính ủy quyền cho Tổng cục thực hiện trách nhiệm của chủ quản HTTT đối với hệ thống thông tin do Tổng cục làm chủ đầu tư dự án, chủ trì thực hiện kế hoạch thuê dịch vụ.”

Sửa đổi về thẩm quyền và thủ tục xác định cấp độ HTTT:

Điều 6 Thông tư 12/2022/TT-BTTTT quy định việc tổ chức thẩm định Hồ sơ đề xuất cấp độ được thực hiện của đơn vị chuyên trách về an toàn thông tin. Tại Bộ Tài chính, tình huống HTTT do Cục Tin học và Thống kê tài chính hoặc Cục CNTT trực thuộc Tổng cục đồng thời đóng cả hai vai trò (đơn vị vận hành HTTT, đơn vị chuyên trách ATANM của chủ quản HTTT) diễn ra rất nhiều. Theo góp ý của Cục ATTT, đối với tình huống này tại Bộ Tài chính, cần áp dụng quy định tại khoản 2 Điều 6 Thông tư 12/2022/TT-BTTTT, tức là Cục Tin học và Thống kê tài chính trình Bộ Tài chính, Cục CNTT thuộc Tổng cục trình Tổng cục thành lập Hội đồng thẩm định độc lập. Do đó, Cục Tin học và Thống kê tài chính đã đề xuất và được đưa vào quy định mới áp dụng phương án trình thành lập Hội đồng thẩm định độc lập (bao gồm các cá nhân có trách nhiệm hoặc có chuyên môn, kinh nghiệm về công tác ATANM và không tham gia công tác xây dựng, vận hành HTTT).

Bổ sung các quy định về an ninh mạng: Quy chế được bổ sung các quy định của Luật An ninh mạng, Nghị định số 53/2022/NĐ-CP ngày 15/8/2022 của Chính phủ quy định chi tiết thi hành một số điều của Luật An ninh mạng.

Bổ sung quy định cụ thể áp dụng riêng cho Cơ quan Bộ Tài chính: Hệ thống thông tin thuộc Cơ quan Bộ Tài chính do Bộ Tài chính làm chủ quản, Cục Tin học và Thống kê tài chính đóng vai trò đơn vị chuyên trách ATANM, sử dụng chung hệ thống mạng nội bộ và Trung tâm dữ liệu (TTDL). Do đó, Bộ Tài chính đưa vào quy định cụ thể áp dụng cho các HTTT và thiết bị xử lý thông tin tại Cơ quan Bộ.

Giao trách nhiệm cụ thể về ATANM cho các đơn vị chức năng

Theo quy chế, các đơn vị thuộc Bộ Tài chính tự kiểm tra, đánh giá hàng năm trong nội bộ đơn vị, trong phạm vi trách nhiệm của đơn vị đối với công tác ATANM theo quy định của pháp luật và quy định tại Quy chế này.

Chủ quản HTTT, đơn vị vận hành HTTT, đơn vị chuyên trách an toàn an ninh mạng thực hiện các nhiệm vụ sau: Xác định cấp độ an toàn của HTTT (lập hồ sơ đề xuất cấp độ; tổ chức thẩm định, phê duyệt hồ sơ đề xuất cấp độ) và triển khai phương án bảo đảm an toàn HTTT theo cấp độ theo quy định từ Điều 13 đến Điều 19 của Nghị định số 85/2016/NĐ-CP; từ Điều 7 đến Điều 10 của Thông tư số 12/2022/ TT-BTTTT và khoản 1 Điều 5 của Quy chế này. Việc xác định HTTT, bao gồm HTTT sử dụng camera giám sát, để xác định cấp độ căn cứ trên nguyên tắc được quy định tại khoản 1 Điều 5 Nghị định 85/2016/NĐ-CP, Điều 7 Thông tư 12/2022/TT-BTTTT và các hướng dẫn bổ sung của Bộ TT&TT (nếu có).

Bảo đảm an ninh mạng cho HTTT quan trọng về an ninh quốc gia theo quy định từ Điều 12 đến Điều 15 của Luật An ninh mạng, Điều 7 đến Điều 17 của Nghị định số 53/2022/ NĐ-CP.

Đơn vị chuyên trách ATANM phối hợp với đơn vị vận hành HTTT tổ chức quản lý lỗ hổng, điểm yếu ATANM theo các nội dung sau: Lập danh sách toàn bộ thiết bị, phần mềm CNTT đang sử dụng trong phạm vi quản lý của chủ quản HTTT: nhãn hiệu phần cứng, tên phần mềm và phiên bản (hệ điều hành, cơ sở dữ liệu, ứng dụng, các tiện ích khác). Thiết lập, duy trì kênh tiếp nhận thông tin về lỗ hổng, điểm yếu ATANM từ các cơ quan, tổ chức có chức năng cảnh báo về ATANM; các đơn vị cung cấp thiết bị, phần mềm CNTT thuộc phạm vi điểm a khoản này...

Kiểm tra, đánh giá việc tuân thủ quy định của pháp luật về ATANM; kiểm tra, đánh giá hiệu quả của các biện pháp bảo đảm ATTT theo phương án bảo đảm ATTT được phê duyệt: Cục Tin học và Thống kê tài chính thực hiện kiểm tra, đánh giá các Tổng cục, các đơn vị thuộc Cơ quan Bộ, đơn vị sự nghiệp trực thuộc Bộ Tài chính trong chương trình, kế hoạch kiểm tra công tác ứng dụng CNTT hàng năm hoặc chương trình kiểm tra theo chuyên đề về an toàn an ninh mạng được Bộ trưởng Bộ Tài chính phê duyệt Cục Tin học và Thống kê tài chính, Tổng cục xây dựng, phê duyệt kế hoạch ứng phó sự cố bảo đảm ATTT mạng; phương án ứng phó, khắc phục sự cố an ninh mạng cho các HTTT thuộc quản lý của đơn vị theo đề cương tại Phụ lục II Quyết định số 05/2017/QĐ-TTg (đối với hệ thống cấp độ 4, 5); Phụ lục III ban hành kèm theo Thông tư số 20/2017/TT-BTTT (đối với hệ thống cấp độ 1, 2, 3) và quy định tại Điều 25 của Nghị định số 53/2022/NĐ-CP; tổ chức triển khai kế hoạch, phương án sau khi phê duyệt. Đối với nội dung (thuộc kế hoạch ứng phó sự cố bảo đảm ATTT mạng; phương án ứng phó, khắc phục sự cố an ninh mạng) vượt thẩm quyền quyết định của đơn vị, đơn vị lấy ý kiến của các đơn vị liên quan, báo cáo Lãnh đạo Bộ Tài chính xem xét, quyết định.

atanm-2.png

Đơn vị chuyên trách ATANM có trách nhiệm theo dõi, nắm bắt thông tin trên phương tiện thông tin đại chúng và mạng Internet về các sự kiện mất ATANM có thể tác động tới đơn vị; chủ động kiểm tra, rà soát trong nội bộ đơn vị theo các văn bản cảnh báo, hướng dẫn của các cơ quan chức năng và các tổ chức về ATTT (gửi trực tiếp cho đơn vị hoặc do Văn phòng Bộ, Cục Tin học và Thống kê tài chính sao gửi chủ quản HTTT); Thiết lập kênh trao đổi thông tin với các đối tác cung cấp thiết bị, phần mềm, giải pháp ATTT của đơn vị để nắm bắt kịp thời vấn đề, sự cố có khả năng tác động tới HTTT của đơn vị. Đơn vị chuyên trách ATANM cử 01 lãnh đạo chịu trách nhiệm triển khai công tác ATANM và 1 cán bộ làm đầu mối tiếp nhận cảnh báo ATTT từ Cục Tin học và Thống kê tài chính, các cơ quan, tổ chức có chức năng cảnh báo ATTT mạng, an ninh mạng (thông qua thư điện tử hoặc các kênh trao đổi thông tin khác).

Phòng ngừa, xử lý hành vi xâm phạm an ninh mạng: Đơn vị chuyên trách an toàn an ninh mạng của chủ quản HTTT phối hợp với đơn vị vận hành HTTT thực hiện các nhiệm vụ sau trong phạm vi HTTT thuộc quản lý của chủ quản HTTT, theo quy định của Luật An ninh mạng và Nghị định số 53/2022/NĐ-CP.

(Bài đăng ấn phẩm in Tạp chí TT&TT số 6 tháng 6/2023)

Bài liên quan
  • An toàn, an ninh mạng không để cảm xúc, sự nể nang chi phối
    Nếu người dùng mạng không tỉnh táo, hay động lòng, xúc động trước những câu chuyện được thêu dệt gắn tên “từ thiện”, “việc tốt” trên môi trường mạng... thì có thể, chúng ta có thể trở thành những nạn nhân của những kịch bản, trò lừa đảo “khéo léo” trên mạng.
Nổi bật Tạp chí Thông tin & Truyền thông
Đừng bỏ lỡ
Bộ Tài chính đổi mới cơ chế quản lý an toàn an ninh mạng
POWERED BY ONECMS - A PRODUCT OF NEKO