ddxdcdattt

UBND TỈNH QUẢNG TRỊ SỞ THÔNG TIN VÀ TRUYỀN THÔNG Số: 1032 /STTTT-BCVT&CNTT V/v lập hồ sơ thẩm định, trình UBND tỉnh phê duyệt cấp độ an tồn thơng tin cho Hệ thống thơng tin lần CỘNG HỊA XÃ HỘI CHỦ NGĨA VIỆT NAM Độc lập-Tự do- Hạnh phúc Quảng Trị, ngày 13 tháng 10 năm 2021 Kính gửi: - Các Sở, ban ngành cấp tỉnh; - UBND huyện, thị xã, thành phố Thực Văn số 3868/BTTTT-CATTT ngày 05/10/2021 Bộ Thông tin Truyền thông việc đôn đốc công tác xác định cấp độ an tồn hệ thống thơng tin Văn số 4775/UBND-VX ngày 07/10/2021 UBND tỉnh 2021 việc xác định cấp độ an tồn hệ thống thơng tin; Sở Thông tin Truyền thông đề nghị quan, địa phương, đơn vị chủ động xác định cấp độ an tồn hệ thống thơng tin cho Hệ thống thông tin quan, địa phương, đơn vị quản lý, vận hành, khai thác gửi Sở Thơng tin Truyền thơng thẩm định, trình UBND tỉnh phê duyệt trước ngày 30/10/2021 (gửi kèm phụ lục hệ thống thông tin phê duyệt cấp độ) Sau thời gian trên, quan, địa phương, đơn vị không cung cấp hồ sơ thẩm định, trình UBND tỉnh phê duyệt hồn tồn chịu trách nhiệm trước UBND tỉnh việc đảm bảo an toàn thông tin cho hệ thống thông tin theo cấp độ Thành phần Hồ sơ thẩm định, trình UBND tỉnh phê duyệt gồm: Văn đề nghị thẩm định hồ sơ đề xuất cấp độ (có mẫu gửi kèm) Thuyết minh Hồ sơ đề xuất cấp độ cho hệ thống thông tin (Gửi kèm tài liệu hướng dẫn thuyết minh đề xuất cấp độ cho hệ thống thông tin) Việc xác định cấp độ an tồn thơng tin cho Hệ thống thông tin quy định chi tiết Điều 7, Điều 8, Điều 9, Điều 10, Điều 11 Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 Chính phủ Bảo đảm an tồn thơng tin theo cấp độ hướng dẫn Chương II Thông tư số 03/2017/TT-BTTTT ngày 24/4/2017 Bộ Thông tin Truyền thông Quy định chi tiết hướng dẫn số điều Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 Chính phủ bảo đảm an tồn hệ thống thơng tin theo cấp độ Mọi vướng mắc vui lòng liên hệ: Phịng Bưu chính, Viễn thơng - Cơng nghệ thơng tin, Sở Thông tin Truyền thông - Điện thoại: 0233.3639789./ Nơi nhận: - Như trên; - UBND tỉnh (báo cáo); - Lưu: VT, BCVT&CNTT KT GIÁM ĐỐC PHÓ GIÁM ĐỐC Nguyễn Thị Huyền Phụ lục Danh mục hệ thống thông tin phê duyệt cấp độ (Kèm theo văn số 1032 /STTTT-BCVT&CNTT ngày 13 tháng 10 năm 2021 Sở Thông tin Truyền thông Quảng Trị) STT Tên Hệ thống thông tin Cơ quan quản lý Cấp độ phê duyệt Trang thông tin điện tử Sở Xây dựng Sở Xây dựng Trang thông tin điện tử Sở Thông tin Truyền thông Sở Thông tin Truyền thông Hệ thống truyền hình hội nghị UBND thành phố Đơng Hà UBND thành phố Đông Hà Trung tâm Điều hành thông minh thành phố Đông Hà UBND thành phố Đông Hà Hệ thống Cổng thông tin điện tử Khoa học Công nghệ Quảng Trị Sở Khoa học Cơng nghệ Hệ thống phịng họp trực tuyến huyện Vĩnh Linh UBND huyện Vĩnh Linh HTTT CSDL GIS mạng internet Sở Thông tin Truyền thông Cổng thông tin điện tử huyện Triệu Phong UBND huyện Triệu Phong Mẫu văn đề nghị thẩm định hồ sơ đề xuất cấp độ (Kèm theo văn số /STTTT-BCVT&CNTT ngày tháng 10 năm 2021 Sở Thông tin Truyền thông Quảng Trị) (TÊN CƠ QUAN, TỔ CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM CHỨC) Độc lập - Tự - Hạnh phúc Số: ……… V/v đề nghị thẩm định hồ sơ đề xuất cấp độ … , ngày tháng năm Kính gửi: (Đơn vị chuyên trách an tồn thơng tin) Căn Luật an tồn thơng tin mạng ngày 19 tháng 11 năm 2015; (Căn văn hướng dẫn thi hành Luật an tồn thơng tin mạng văn liên quan); (Tên quan, tổ chức) đề nghị (Cơ quan thẩm định) thẩm định hồ sơ đề xuất cấp độ với nội dung sau: Phần Thông tin chung Tên hệ thống thông tin: Đơn vị vận hành hệ thống thơng tin: Địa chỉ: Cấp độ an tồn hệ thống thông tin đề xuất: Phần Hồ sơ kèm theo Tài liệu mô tả, thuyết minh tổng quan hệ thống thông tin Tài liệu thiết kế thi cơng cấp có thẩm quyền phê duyệt tài liệu có giá trị tương đương Tài liệu thuyết minh việc đề xuất cấp độ tiêu chí theo quy định pháp luật Tài liệu thuyết minh phương án bảo đảm an tồn thơng tin theo cấp độ tương ứng Ý kiến mặt chuyên môn đơn vị chun trách an tồn thơng tin chủ quản hệ thống thông tin (đối với hệ thống thông tin đề xuất cấp độ cấp độ 5) (Tên quan, tổ chức) đề nghị (Cơ quan thẩm định) cho ý kiến thẩm định hồ sơ đề xuất cấp độ an tồn hệ thống thơng tin (Tên hệ thống thông tin)./ Nơi nhận: ĐẠI DIỆN CỦA CƠ QUAN, TỔ CHỨC - Như trên; (Ký, ghi rõ họ tên, chức danh đóng dấu) PHỤ LỤC TÀI LIỆU HƯỚNG DẪN THUYẾT MINH HỒ SƠ ĐỀ XUẤT CẤP ĐỘ CHO HỆ THỐNG THÔNG TIN TỪ CẤP ĐỘ ĐẾN CẤP ĐỘ (Kèm theo văn số /STTTT-BCVT&CNTT ngày tháng 10 năm 2021 Sở Thông tin Truyền thông Quảng Trị) PHẦN I: HƯỚNG DẪN CHUNG Tài liệu hướng dẫn chi tiết số nội dung Cơng văn số 713/CATTTTĐQLGS ngày 25/7/2019 Cục An tồn thông tin việc hướng dẫn xác định thực thi bảo vệ hệ thống thông tin theo cấp độ Nội dung hướng dẫn tập trung vào việc thuyết minh Hồ sơ đề xuất cấp độ (HSĐXCĐ) HSĐXCĐ mẫu hệ thống thơng tin có cấp độ từ cấp độ đến Nội dung hướng dẫn bao gồm: Thuyết minh thông tin tổng quan; Hướng dẫn thuyết minh yêu cầu quản lý; Hướng dẫn thuyết minh yêu cầu kỹ thuật; Hồ sơ đề xuất cấp độ mẫu hệ thống thông tin cấp độ Phụ lục I Hồ sơ đề xuất cấp độ mẫu hệ thống thông tin cấp độ Phụ lục II Hồ sơ đề xuất cấp độ mẫu hệ thống thông tin cấp độ Phụ lục III Trong đó, HSĐXCĐ mẫu hệ thống thông tin cấp độ 3, cập nhật hướng dẫn PHẦN II: HƯỚNG DẪN THUYẾT MINH THÔNG TIN TỔNG QUAN Sơ đồ logic Sơ đồ logic đưa thiết kế tổng thể hệ thống bao gồm vùng mạng chức thành phần thiết bị có hệ thống Các vùng mạng hệ thống đặt tên tương ứng theo yêu cầu thiết kế Tiêu chuẩn TCVN:11930:2017, bao gồm vùng mạng Vùng mạng nội bộ; Vùng mạng biên; Vùng DMZ; Vùng máy chủ nội bộ; Vùng mạng khơng dây (nếu có) tách riêng, độc lập với vùng mạng khác; Vùng mạng máy chủ sở liệu; Vùng quản trị; Vùng quản trị thiết bị hệ thống Số lượng vùng mạng phụ thuộc vào cấp độ hệ thống cụ thể Thành phần thiết bị sơ đồ logic bao gồm thành phần thiết bị mạng, thiết bị bảo mật, máy chủ, thiết bị khác có hệ thống Mỗi thiết bị phải đặt tên tên sử dụng để tham chiếu yêu cầu an toàn kỹ thuật thuyết minh HSĐXCĐ Trường hợp số lượng thiết bị nhiều có chức sơ đồ logic vẽ tên đại diện nhóm thiết bị bổ sung bảng tham chiếu thiết bị cụ thể nhóm bảng riêng Sơ đồ vật lý Sơ đồ vật lý mô tả đầy đủ thành phần thiết bị, kết nối vật lý thiết bị hệ thống Trường hợp số lượng thiết bị hệ thống lớn tách sơ đồ vật lý thành nhiều sơ đồ hợp phần khác Việc đặt tên thiết bị sơ đồ vật lý phải thống với sơ đồ logic Thông tin thành phần thiết bị kết nối vật lý thiết bị sử dụng để kiểm tra xem u cầu an tồn kỹ thật có đáp ứng khơng Ví dụ u cầu phương án cân tải dự phịng nóng cho thiết bị mạng chính.v.v Cung cấp danh mục thiết bị sử dụng hệ thống: Danh mục thiết bị sử dụng hệ thống liệt kê mô tả thiết bị thể sơ đồ vật lý, sơ đồ logic Tên thiết bị phải thống với tên sơ đồ vật lý, sơ đồ logic Đối với thiết bị phải bao gồm thơng tin thiết bị/chủng loại, vị trí triển khai mục đích sử dụng thiết bị đó; trường hợp thiết bị vật lý chia thành thiết bị logic vị trí triển khai vị trí thiết bị logic Ví dụ danh mục mơ tả thiết bị có hệ thống: Tên thiết bị/ STT Chủng loại FW01/ASA5505 Vị trí triển khai Vùng DMZ Mục đích sử dụng Quản lý truy cập vào/ra bảo vệ vùng mạng DMZ Danh mục máy chủ sử dụng hệ thống Danh mục máy chủ có hệ thống bao gồm máy chủ ảo máy chủ vật lý Tên máy chủ phải đặt thống với sơ đồ logic vật lý Mỗi máy chủ phải mô tả, bao gồm thông tin thiết bị/chủng loại, vị trí triển khai mục đích sử dụng thiết bị Ví dụ danh mục máy chủ sử dụng hệ thống: STT Tên thiết bị/ Chủng loại Vị trí triển khai Mục đích sử dụng Server 11/HP DL580 Vùng máy chủ DB Lưu trữ liệu… Danh mục ứng dụng/dịch vụ cung cấp hệ thống Liệt kê mô tả ứng dụng thiết lập hệ thống (Quản lý văn bản, Cổng thông tin nội bộ, Dịch vụ công trực tuyến …) Mỗi ứng dụng/dịch vụ có hệ thống phải bao gồm Tên dịch vụ; Máy chủ triển khai/Vị trí triển khai/Hệ điều hành máy chủ; Mục đích sử dụng dịch vụ để có sở thuyết minh phương án bảo đảm an tồn cho ứng dụng Ví dụ danh mục mơ tả ứng dụng có hệ thống: STT Tên dịch vụ Cổng thông tin nội Máy chủ/Ứng dụng cài đăt/Vùng mạng/HĐH Mục đích sử dụng Cung cấp 1) Server1/Cài đặt Web-App /Vùng thông tin công DMZ/HĐH Centos7 khai cho người 2) Server11/Cài đặt BD/Vùng sử dụng nội DB/HĐH Win2k8 PHẦN III: THUYẾT MINH PHƯƠNG ÁN BẢO ĐẢM AN TỒN THƠNG TIN VỀ QUẢN LÝ Yêu cầu quản lý thuyết minh HSĐXCĐ ban hành thành Quy chế bảo đảm an tồn thơng tin quan, tổ chức, sau HSĐXCĐ phê duyệt nhằm bảo đảm an toàn thơng tin cho hệ thống q trình quản lý vận hành Mỗi phương án quản lý thuyết minh cần làm rõ 03 nội dung sau: - Hiện trạng: Đáp ứng hay chưa đáp ứng Đáp ứng có nghĩa nội dung quản lý quy định để thực (Ví dụ Quy chế bảo đảm an tồn thơng tin ban hành) Trường hợp đáp ứng phải rõ nội dung quy định cụ thể điều, khoản nào, văn - Nội dung quy định: Căn vào yêu cầu an toàn cụ thể, HSĐXCĐ cần đưa quy định phù hợp để đáp ứng yêu cầu (tham khảo HSĐXCĐ mẫu gửi kèm theo) - Phương án thực hiện: Trường hợp trạng chưa đáp ứng phần cần đưa cách thức thực thời điểm dự kiến hoàn thành cụ thể Ví dụ để đáp ứng u cầu cần xây dựng cập nhật quy chế bảo đảm an tồn thơng tin ban hành; thời gian thực khiện 06 tháng sau HSĐXCĐ ban hành Chú ý: Các yêu cầu chưa đáp ứng đưa phương án chung phương án xử lý giống Ví dụ: “Đối với yêu cầu quản lý chưa đáp ứng yêu cầu an toàn Thuyết minh này, Đơn vị vận hành cập nhật, bổ sung trình Chủ quản hệ thống thơng tin ban hành vòng 06 tháng, kể từ HSĐXCĐ phê duyệt” Ví dụ yêu cầu quản lý đáp ứng: Yêu cầu Thành lập định đơn vị/bộ phận chuyên trách an toàn thông tin tổ chức Hiện trạng Đáp ứng Đã quy định Khoản … Điều … Quyết định số …./QĐ-UBND UBND Tỉnh A ngày … Về Quy chế an tồn thơng tin Nội dung UBND tỉnh ban hành Quyết định giao Đơn vị A đơn vị chun trách an tồn thơng tin, trình Chủ tịch UBND tỉnh A ban hành quy định Phòng CNTT phận chuyên trách CNTT dự thảo Quyết định trình giảm đốc Đơn vị A giao nhiệm vụ phận chun trách an tồn thơng tin Phương án Rà soát, cập nhật yêu cầu ban hành (nếu cần) cho phù hợp với yêu cầu thực tế hệ thống thực Ví dụ yêu cầu quản lý chưa đáp ứng: Yêu cầu Thành lập định đơn vị/bộ phận chuyên trách an tồn thơng tin tổ chức Hiện trạng Chưa đáp ứng Nội dung UBND tỉnh ban hành Quyết định giao Đơn vị A đơn vị chuyên trách an tồn thơng tin, trình Chủ tịch UBND tỉnh A ban hành quy định Phòng CNTT phận chuyên trách CNTT dự thảo Quyết định trình giảm đốc Đơn vị A giao nhiệm vụ phận chuyên trách an tồn thơng tin Phương án Xây dựng Quy chế bảo đảm an tồn thơng tin trình Chủ quản hệ thống thơng tin ban hành Thời gian hồn thiện vòng 06 thực tháng kể từ HSĐXCĐ phê duyệt PHẦN IV: THUYẾT MINH PHƯƠNG ÁN BẢO ĐẢM AN TỒN THƠNG TIN VỀ KỸ THUẬT Phương án kỹ thuật đưa yêu cầu an toàn liên quan đến việc thiết kế, thiết lập hệ thống để đáp ứng yêu cầu an toàn theo quy định Do đó, việc thuyết minh yêu cầu an toàn kỹ thuật cần ý sau: Về thiết kế Hệ thống thiết kế bao gồm tối thiểu vùng mạng, đặt tên mô tả thống với vùng mạng yêu cầu tiêu chuẩn TCVN 11930:2017, theo cấp độ tương ứng Trường hợp có vùng mạng khơng sử dụng phải thuyết minh lý phù hợp vùng mạng không dây Mô tả phương án bảo vệ cần thuyết minh, làm rõ sau: Mỗi phương án cần mô tả triển khai thiết bị nào, máy chủ để đáp ứng yêu cầu Chú ý không mô tả chung chung giải pháp mà không gắn với thiết bị, máy chủ sơ đồ logic vật lý Ví dụ: STT Yêu cầu Phương án quản lý truy cập vùng mạng phòng chống xâm nhập P/A Ghi chú/Mơ tả Có Truy cập vùng mạng quản lý phòng chống xâm nhập sử dụng thiết bị tường lửa FW01, FW02, FW03, FW04,… có tích hợp chức phịng chống xâm nhập Ở ví dụ FW01, FW02, FW03, FW04 phải thiết bị tường lửa đặt tên sơ đồ logic, vật lý mô tả cụ thể bảng danh mục thiết bị Mỗi phương án mô tả để đáp ứng yêu cầu thiết kế cần làm rõ sau: + Phương án quản lý truy cập, quản trị hệ thống từ xa an tồn: Mơ tả thiết kế hệ thống mạng sử dụng thiết bị chuyên dụng hay thiết lập cấu hình chức bảo mật hệ thống phương án tương đương khác có để bảo đảm việc truy cập, quản trị hệ thống từ xa an tồn Ví dụ sử dụng thiết bị VPN chuyên dụng hay cấu hình chức VPN thiết bị tường lửa… + Phương án quản lý truy cập vùng mạng phòng chống xâm nhập: Mô tả thiết kế hệ thống mạng sử dụng thiết bị tường lửa thiết bị có chức tương đương để quản lý truy cập phòng chống xâm nhập vùng mạng Chú ý mô tả ngắn gọn chức mà phương án cung cấp để quản lý truy cập phòng chống xâm nhập vùng mạng + Phương án cân tải, dự phịng nóng cho thiết bị mạng: Mơ tả phương án thiết kế triển khai thiết bị mạng hệ thống để thực chức cân tải, dự phịng nóng Ví dụ: mơ tả thiết bị mạng kết nối với cấu hình HA hay AA… + Phương án bảo đảm an toàn cho máy chủ sở liệu: Mô tả phương án sử dụng thiết bị chuyên dụng tường lửa sở liệu hay phương án tương đương để bảo đảm an toàn cho máy chủ sở liệu Chú ý mô tả ngắn gọn chức mà phương án cung cấp để bảo đảm an toàn cho máy chủ sở liệu + Có phương án chặn lọc phần mềm độc hại môi trường mạng: Mô tả phương án sử dụng thiết bị chuyên dụng hay chức thiết bị tường lửa phương án tương đương để phát ngăn chặn hành vi mã độc mơi trường mạng + Phương án phịng chống công từ chối dịch vụ: Mô tả phương án sử dụng giải pháp chuyên dụng hay thuê dịch vụ phương án tương đương khác để phịng chống cơng từ chối dịch vụ cho hệ thống (chỉ yêu cầu hệ thống có kết nối mạng Internet) Chú ý cần mô tả ngắn gọn chức lực xử lý công từ chối dịch vụ phương án sử dụng + Phương án giám sát hệ thống thông tin tập trung: Mô tả phương án sử dụng giải pháp chuyên dụng (ArcSight, Splunk, QRadar, LogRhythm) hay giải pháp tương đương khác để thực giám sát hệ thống thông tin tập trung Chú ý mô tả ngắn gọn chức lực xử lý hệ thống giám sát tập trung + Phương án giám sát an tồn hệ thống thơng tin tập trung: Mô tả phương án sử dụng giải pháp chuyên dụng (HP OpenView, Solarwinds…) hay giải pháp tương đương khác (Cacti, Nagios, MRTG…) để thực giám sát hoạt động hệ thống mạng, bảo đảm tính sẵn sàng hệ thống Chú ý mô tả ngắn gọn chức giám sát mà giải pháp cung cấp để đáp ứng yêu cầu + Phương án quản lý lưu dự phòng tập trung: Mô tả phương án quản lý lưu dự phòng tập trung sử dụng giải pháp chuyên dụng giải pháp tương đương sử dụng giải pháp SAN, NAS…Chú ý mô tả ngắn gọn thông tin giải pháp sử dụng lực giải pháp + Phương án quản lý phần mềm phòng chống mã độc máy chủ/máy tính người dùng tập trung: Mô tả phương án quản lý tập trung phần mềm phòng chống độc hại cài đặt máy tính /máy chủ gửi sử dụng thơng qua máy chủ quản lý tập trung Chú ý: mô tả thông tin ngắn gọn, bao gồm thông tin giải pháp sử dụng, lực chức giải pháp cung cấp để đáp ứng yêu cầu + Phương án phịng, chống thất liệu: Mơ tả phương án phịng, chống thất liệu sử dụng hệ thống Chú ý: mô tả thông tin ngắn gọn, bao gồm thông tin giải pháp sử dụng, lực chức giải pháp cung cấp để đáp ứng yêu cầu + Phương án trì 02 kết nối mạng Internet: từ ISP sử dụng hạ tầng kết nối nước khác (nếu hệ thống buộc phải có kết nối mạng Internet); + Phương án bảo đảm an tồn cho mạng khơng dây: Mô tả phương án bảo mật cho mạng không dây sử dụng giải pháp chuyên dụng việc thiết lập cấu hình bảo mật hệ thống để bảo đảm an tồn cho mạng khơng dây Chú ý: mơ tả thông tin ngắn gọn, bao gồm thông tin giải pháp sử dụng, lực chức giải pháp cung cấp để đáp ứng yêu cầu + Phương án quản lý tài khoản đặc quyền: Mô tả phương án quản lý tài khoản đặc quyền cho phép quản lý tập trung việc xác thực, phân quyền, giám sát hành vi chức bảo mật khác để quản lý tài khoản quản trị hệ thống