HƯỚNG DẪN BẢO ĐẢM AN TOÀN THÔNG TIN CHO CÁC NỀN TẢNG SỬ DỤNG CÔNG NGHỆ MỞ

BỘ THÔNG TIN VÀ TRUYỀN THÔNG Dự thảo CỤC AN TỒN THƠNG TIN HƯỚNG DẪN BẢO ĐẢM AN TỒN THƠNG TIN CHO CÁC NỀN TẢNG SỬ DỤNG CÔNG NGHỆ MỞ (Kèm theo Công văn số /BTTTT-CATTT ngày tháng năm 2021 Bộ Thông tin Truyền thông) Hà Nội, 2021 MỤC LỤC CHƯƠNG GIỚI THIỆU CHUNG 1.1 Phạm vi áp dụng 1.2 Đối tượng áp dụng 1.3 Giải thích từ ngữ, định nghĩa 1.4 Nguyên tắc bảo đảm an tồn thơng tin cho tảng công nghệ mở CHƯƠNG CÁC NGUY CƠ MẤT AN TỒN THƠNG TIN ĐỐI VỚI NỀN TẢNG SỬ DỤNG CÔNG NGHỆ MỞ 2.1 Nguy an tồn thơng tin trình phát triển 2.2 Nguy an tồn thơng tin trình vận hành, khai thác 2.3 Nguy an tồn thơng tin từ yếu tố bên CHƯƠNG YÊU CẦU AN TOÀN CƠ BẢN CHO NỀN TẢNG SỬ DỤNG CÔNG NGHỆ MỞ 3.1 Xác thực 3.2 Kiểm soát truy cập 10 3.3 Nhật ký hệ thống 10 3.4 An toàn ứng dụng mã nguồn 11 3.5 Bảo mật thông tin liên lạc 11 3.6 Sao lưu dự phòng 12 CHƯƠNG BẢO ĐẢM AN TỒN THƠNG TIN CHO NỀN TẢNG SỬ DỤNG CƠNG NGHỆ MỞ TRONG Q TRÌNH VẬN HÀNH, KHAI THÁC SỬ DỤNG 13 4.1 Bảo đảm an tồn cho hệ thống thơng tin triển khai tảng 13 4.2 Kiểm tra, đánh giá an tồn thơng tin cho tảng 16 4.3 Thiết lập cấu hình, tăng cường bảo mật cho tảng 20 TÀI LIỆU THAM KHẢO 23 PHỤ LỤC 1: YÊU CẦU AN TỒN CƠ BẢN CHO NỀN TẢNG SỬ DỤNG CƠNG NGHỆ MỞ 24 CHƯƠNG GIỚI THIỆU CHUNG 1.1 Phạm vi áp dụng Tài liệu đưa hướng dẫn bảo đảm an tồn thơng tin cho số tảng sử dụng công nghệ mở, triển khai dạng ứng dụng web quản trị, quản lý vận hành qua ứng dụng web Trong đó, hướng dẫn tập trung vào nội dung liên quan đến nguy an tồn thơng tin tảng sử dụng cơng nghệ mở, u cầu an tồn tảng sử dụng công nghệ mở hướng dẫn bảo đảm an tồn thơng tin vận hành, khai thác sử dụng tảng công nghệ mở 1.2 Đối tượng áp dụng a) Cơ quan, tổ chức liên quan đến hoạt động nghiên cứu, phát triển; quản lý, vận hành khai thác sử dụng tảng cơng nghệ mở b) Khuyến khích quan, tổ chức tham khảo, áp dụng tài liệu hướng dẫn để tăng cường bảo đảm an tồn thơng tin cho hệ thống thông tin thuộc phạm vi quản lý 1.3 Giải thích từ ngữ, định nghĩa Trong hướng dẫn này, từ ngữ hiểu sau: a) Công nghệ mở: Công nghệ mở gồm tiêu chuẩn mở, mã nguồn mở, phần mềm mở b) Nền tảng sử dụng công nghệ mở (sau gọi tảng): Nền tảng nghiên cứu, thiết kế xây dựng phát triển sử dụng công nghệ mở 1.4 Ngun tắc bảo đảm an tồn thơng tin cho tảng công nghệ mở Việc bảo đảm an tồn thơng tin cho tảng cơng nghệ mở thực thường xuyên, liên tục từ khâu thiết kế, xây dựng, vận hành đến hủy bỏ; tuân thủ theo tiêu chuẩn, quy chuẩn kỹ thuật Nền tảng công nghệ mở thiết kế, xây dựng phải bảo đảm đáp ứng chức an tồn thơng tin theo tiêu chuẩn, quy chuẩn kỹ thuật Nền tảng công nghệ mở đưa vào vận hành, khai thác phải đáp ứng yêu cầu thiết kế, thiết lập theo quy định bảo đảm an toàn hệ thống thông tin theo cấp độ CHƯƠNG CÁC NGUY CƠ MẤT AN TỒN THƠNG TIN ĐỐI VỚI NỀN TẢNG SỬ DỤNG CÔNG NGHỆ MỞ Nội dung hướng dẫn chương đưa nguy an tồn thơng tin tảng sử dụng cơng nghệ mở Các nguy an tồn thơng tin đưa tập trung vào nguy trình thiết kế, xây dựng, đưa vào vận hành khai thác nguy từ yếu tố bên Việc nhận biết nguy trình trên, giúp quan, tổ chức xác định yêu cầu an toàn cần phải xây dựng, biện pháp cần thực nhằm bảo đảm an tồn thơng tin cho tảng từ thiết kế, xây dựng đưa vào vận hành, khai thác hủy bỏ, cụ thể 2.1 Nguy an tồn thơng tin q trình phát triển 2.1.1 Khơng xác định u cầu an tồn đầu vào Việc không xác định yêu cầu đầu an tồn q trình phát triển tảng dẫn tới nguy an tồn thơng tin đưa tảng vào vận hành, khai thác, sử dụng Ví dụ trường hợp khơng xác định u cầu an tồn chức cần phải có tảng trình phát triển chức xác thực, dẫn tới việc tảng khơng đáp ứng u cầu an tồn việc thiết lập sách xác thực đưa tảng vào khai thác, sử dụng Các yêu cầu an toàn đầu vào tảng trình phát triển, bao gồm khơng giới hạn nhóm u cầu như: u cầu an tồn thiết kế, chức an toàn tảng, u cầu an tồn vịng đời phát triển, u cầu an toàn chuỗi cung ứng.v.v 2.1.2 Nguy an tồn thơng phát triển tảng a) Những nguy an tồn thơng tin trình thiết kế Sau xác định yêu cầu đầu vào, nguy an toàn tảng trình thiết kế, phát triển tích hợp thành phần tảng Trong trình thiết kế, trường hợp đơn vị phát triển tảng khơng có thiết kế tổng thể thành phần, chức năng, nguyên lý hoạt động thành phần bên thứ ba cung cấp có nguy an tồn thơng tin cho tảng Do đó, q trình phát triển, ngồi việc xác định yêu cầu an toàn đầu vào đề cập trên, tảng cần thiết kế tổng thể, xác định chức yêu cầu đối thành phần cụ thể, mối quan hệ logic, việc phân quyền bảo đảm an toàn liệu trao đổi, chia sẻ thành phần với b) Những nguy an tồn thơng tin q trình phát triển Sau có thiết kế tổng thể cho tảng, đơn vị phát triển thực phát triển tảng theo thiết kế Trong trình phát triển tảng, đơn vị phát triển phải đối mặt với số nguy phổ biến sau: Lựa chọn tảng gốc khơng an tồn: Nền tảng thường phát triển sở kế thừa phát triển dựa tảng sẵn có Khi lựa chọn tảng gốc khơng an tồn tạo điểm yếu cho tảng phát triển Nền tảng gốc không an tồn thể vấn đề thiết kế khơng an tồn, khơng đáp ứng chức an toàn, tồn lỗ hổng, điểm yếu.v.v Phát triển mã nguồn tảng khơng an tồn: Khi phát triển mã nguồn, đơn vị phát triển thiếu sót biện pháp kiểm sốt liệu đầu vào Sự thiếu sót làm tồn điểm yếu tảng bị tin tặc lợi dụng để thự dạng công SQL Injection, OS command injection, RFI, LFI, Xpath Injection, XSS, CSRF.v.v Sử dụng thư viện, thành phần bên thứ ba khơng an tồn: Nền tảng thường sử dụng sẵn thư viện bên thứ ba cung cấp, thay phát triển từ đầu Do đó, thư viện lựa chọn có tồn lỗ hổng, điểm yếu an tồn thơng tin xem điểm yếu tảng sử dụng thư viện c) Những nguy an tồn thơng tin q trình tích hợp Khi tích hợp thành phần tảng, đơn vị phát triển phải đối mặt với nguy an toàn khác Ví dụ nguy an tồn tồn thành phần tảng, tích hợp lại thành phần với tảng phát sinh nguy liên quan đến kiểm soát truy cập, phân quyền, lỗi xử lý logic việc trao đổi liệu an toàn thành phần với 2.2 Nguy an tồn thơng tin q trình vận hành, khai thác Khi tảng đưa vào triển khai, vận hành, khai thác, sử dụng hệ thống thơng tin cụ thể có nguy an tồn thơng tin góc độ an tồn hệ thống thơng tin, cụ thể 2.2.1 Tồn lỗ hổng, điểm yếu an tồn thơng tin Nền tảng cơng nghệ mở q trình phát triển kiểm sốt hạn chế điểm yếu, lỗ hổng an tồn thơng tin biết Tuy nhiên, đưa vào vận hành khai thác, sử dụng tảng phát sinh lỗ hổng, điểm yếu mà chưa công bố trình phát triển Trường hợp tảng chưa kiểm tra, đánh giá an tồn thơng tin trước đưa vào sử dụng Theo đó, lỗ hổng, điểm yếu tồn trình phát triển nguy an tồn thơng tin hệ thống thông tin mà tảng triển khai hệ thống Một số nguồn thơng tin trực tuyến cung cấp thông tin điểm yếu an tồn thơng tin quan, tổ chức tham khảo [1,2,3,24,25] 2.2.2 Phần mềm độc hại Khi sử dụng thư viện thành phần từ bên thứ ba, tảng bị cài cắm phần mềm độc hại từ thư viện thành phần Do đó, sử dụng thư viện hay thành phần bên thứ ba cung cấp, quan, tổ chức cần có biện pháp xác minh nguồn gốc thành phần Bên cạnh đó, tảng đưa vào vận hành, khai thác tồn lỗ hổng, điểm yếu an tồn thơng tin tin tặc lợi dụng để cài cắm phần mềm độc hại thông tin việc khai thác lỗ hổng, điểm yếu an tồn thơng tin Một số cơng cụ trực tuyến hỗ trợ kiểm tra cung cấp thông tin liên quan đến mã độc quan, tổ chức tham khảo [4,26,27] 2.2.3 Khơng thiết lập, cấu hình chức bảo mật cho tảng Nền tảng trình phát triển triển khai chức an tồn thơng tin chức xác thực, nhật ký hệ thống, quản lý truy cập.v.v Tuy nhiên, đưa tảng vào sử dụng mà khơng thiết lập, cấu hình chức để đáp ứng u cầu an tồn theo sách quan, tổ chức tảng bị công, khai thác, chiếm quyền điều khiển 2.2.4 Khơng cấu hình tăng cường bảo mật đưa vào sử dụng Khi đưa tảng vào sử dụng khơng cấu hình tăng cường bảo mật (cứng hóa) trước đưa vào sử dụng phát sinh nguy an tồn thơng tin Ví dụ tảng khơng vơ hiệu hóa thành phần chức khơng sử dụng, khơng vơ hiệu hóa tài khoản khơng sử dụng, khơng thiết lập sách mật an tồn, việc coi điểm yếu hệ thống mà tin tặc cơng khai thác Do đó, bên cạnh việc thiết lập, cấu hình chức bảo mật cho tảng quan, tổ chức cần cấu hình tăng cường bảo mật đưa vào sử dụng 2.3 Nguy an tồn thơng tin từ yếu tố bên Nền tảng đưa vào vận hành, khai thác hệ thống thơng tin việc bảo đảm an tồn thơng tin cho tảng khơng phụ thuộc vào tảng mà phụ thuộc vào thành khác hệ thống thông tin, cụ thể 2.3.1 Nguy liên quan đến an tồn hạ tầng mạng Hạ tầng mạng khơng thiết kế, thiết lập cấu hình để đáp ứng yêu cầu an tồn phát sinh nguy an tồn thơng tin vận hành, khai thác sử dụng tảng Các nguy an tồn từ hạ tầng mạng bao gồm vấn đề thiếu công nghệ, giải pháp bảo vệ; việc thiết lập cấu hình thiết bị mạng, thiết bị bảo mật không đáp ứng yêu cầu an toàn bản; thiết bị mạng, thiết bị bảo mật tồn lỗ hổng, điểm yếu an tồn thơng tin.v.v Do đó, quan, tổ chức đưa tảng vào hệ thống thông tin để sử dụng, cần triển khai giải pháp, công nghệ, thực thiết lập hệ thống đáp ứng yêu cầu an toàn theo quy định Việc triển khai bảo đảm an tồn thơng tin cho hạ tầng mạng đáp ứng yêu cầu theo quy định chi tiết chương hướng dẫn 2.3.2 Nguy liên quan đến an toàn máy chủ Nền tảng triển khai nên trền tảng máy chủ không an toàn phát sinh nguy an tồn thơng tin vận hành, khai thác sử dụng tảng Các nguy an toàn từ máy chủ bao gồm vấn đề tồn điểm yếu an tồn thơng tin hệ điều hành; khơng thiết lập cấu hình máy chủ đáp ứng u cầu an tồn bản; khơng thực cấu hình tăng cường bảo mật cho máy chủ trước đưa vào sử dụng.v.v Do đó, quan, tổ chức đưa tảng vào hệ thống thông tin để sử dụng, cần thực kiểm tra, đánh giá an tồn thơng tin, thực thiết lập cấu hình, tăng cường bảo mật cho máy chủ đáp ứng yêu cầu an toàn theo quy định Việc triển khai bảo đảm an tồn thơng tin cho máy chủ đáp ứng yêu cầu theo quy định chi tiết chương hướng dẫn 2.3.3 Nguy liên quan đến an toàn ứng dụng Nền tảng coi loại ứng dụng đặc biệt Tuy nhiên, hướng dẫn nhìn nguy liên quan đến an tồn ứng dụng triển khai tảng Trường hợp ứng dụng triển khai tảng khơng an tồn, tin tặc cơng, khai thác ứng dụng, từ làm bàn đáp để cơng leo thang sang tảng Các nguy an toàn từ ứng dụng bao gồm vấn đề tồn điểm yếu an tồn thơng tin ứng dụng; khơng thiết lập cấu hình ứng dụng đáp ứng u cầu an tồn bản; khơng thực cấu hình tăng cường bảo mật cho ứng dụng trước đưa vào sử dụng.v.v Do đó, quan, tổ chức đưa tảng vào hệ thống thông tin để sử dụng, cần thực kiểm tra, đánh giá an tồn thơng tin, thực thiết lập cấu hình, tăng cường bảo mật cho ứng dụng đáp ứng yêu cầu an toàn theo quy định Việc triển khai bảo đảm an tồn thơng tin cho ứng dụng đáp ứng yêu cầu theo quy định chi tiết chương hướng dẫn 2.3.4 Nguy liên quan đến an toàn liệu Các nguy liên quan đến an toàn liệu đưa tảng vào vận hành, khai thác, sử dụng nguy làm ảnh hưởng đến tính bí mật, nguyên vẹn khả dụng liệu lưu trữ xử lý bưởi tảng; việc truyền đưa, trao đổi liệu tảng với thành phần khác hệ thống thông tin Các nguy liên quan đến an toàn liệu việc lưu trữ liệu quan trọng, nhạy cảm tảng khơng mã hóa, việc lưu trữ khơng có chế kiểm tra tính tồn vẹn, khơng bảo đảm điều kiện lưu dự phòng, giao thức mạng sử dụng khơng có chức mã hóa, xác thực thơng tin.v.v Do đó, quan, tổ chức đưa tảng vào hệ thống thông tin để sử dụng, cần triển khai biện pháp bảo đảm an toàn liệu đáp ứng yêu cầu an toàn theo quy định Việc triển khai biện pháp bảo đảm an toàn liệu đáp ứng yêu cầu an toàn theo quy định chi tiết chương hướng dẫn CHƯƠNG YÊU CẦU AN TỒN CƠ BẢN CHO NỀN TẢNG SỬ DỤNG CƠNG NGHỆ MỞ Trong chương 2, nội dung hướng dẫn đề cập tới nguy an tồn thơng tin trình phát triển đưa vào vận hành, khai thác sử dụng tảng sử dụng công nghệ mở Trong chương này, nội dung hướng dẫn đưa yêu cầu chức an tồn thơng tin mà tảng cần phải đáp ứng trình phát triển để bảo đảm đưa tảng vào hệ thống thông tin đáp ứng u cầu an tồn theo quy định Các yêu cầu an toàn đưa tảng sử dụng công nghệ mở dựa sở tham chiếu yêu cầu an toàn tiêu chuẩn quốc gia TCVN 11930:2017 Việc đưa yêu cầu an toàn nhằm bảo đảm tảng trình phát triển thiết kế phát triển chức an toàn để đưa vào hệ thống đáp ứng yêu cầu an toàn thiết kế, thiết lập Các yêu an toàn đưa thuộc yêu cầu liên quan đến an toàn ứng dụng liệu Các yêu cầu chia thành 05 mức tương đương với cấp độ hệ thống thơng tin Theo đó, tảng đưa vào sử dụng hệ thống thơng tin có cấp độ có chức an tồn đáp ứng mức tương ứng Phụ lục đưa danh mục chi tiết yêu cầu an toàn theo 05 mức tảng sử dụng cơng nghệ mở để quan, tổ chức tham khảo, áp dụng việc lựa chọn yêu cầu đầu vào tảng trình phát triện 3.1 Xác thực Chức xác thực yêu cầu người sử dụng xác thực truy cập cấu hình, quản trị truy cập liệu khơng cơng khai tảng Yêu cầu chức xác thực bao gồm chức cụ thể sau: a) Thiết lập cấu hình ứng dụng để xác thực người sử dụng truy cập, quản trị, cấu hình ứng dụng; b) Lưu trữ có mã hóa thơng tin xác thực hệ thống; c) Thiết lập sách mật người sử dụng; d) Hạn chế số lần đăng nhập sai khoảng thời gian định với tài khoản định; đ) Mã hóa thơng tin xác thực trước gửi qua môi trường mạng; e) Thiết lập cấu hình ứng dụng để ngăn cản việc đăng nhập tự động ứng dụng, dịch vụ cung cấp xử lý liệu quan trọng hệ thống; g) Vơ hiệu hóa tài khoản đăng nhập sai nhiều lần vượt số lần quy định; h) Cho phép thực phương thức xác thực đa nhân tố 3.2 Kiểm soát truy cập Chức kiểm sốt truy cho phép thiết lập sách kiểm sốt truy cập người sử dụng truy cập, quản trị tảng Yêu cầu chức xác thực bao gồm chức cụ thể sau: a) Cho phép thiết lập hệ thống cho phép sử dụng kết nối mạng an toàn truy cập, quản trị ứng dụng từ xa; b) Cho phép thiết lập giới hạn thời gian chờ (timeout) để đóng phiên kết nối ứng dụng không nhận yêu cầu từ người dùng; c) Cho phép giới hạn địa mạng quản trị phép truy cập, quản trị ứng dụng từ xa; d) Cho phép phân quyền truy cập, quản trị, sử dụng tài nguyên khác ứng dụng với người sử dụng/ nhóm người sử dụng có chức năng, yêu cầu nghiệp vụ khác nhau; đ) Cho phép giới hạn số lượng kết nối đồng thời (kết nối khởi tạo thiết lập) ứng dụng, dịch vụ máy chủ cung cấp; e) Cho phép thiết lập quyền tối thiểu (quyền truy cập, quản trị) cho tài khoản quản trị ứng dụng theo quyền hạn; g) Cho phép thiết lập quyền tối thiểu (chỉ cấp quyền truy cập sở liệu) cho tài khoản kết nối sở liệu; h) Cho phép thay đổi, tách biệt cổng quản trị ứng dụng với cổng cung cấp dịch vụ ứng dụng; i) Cho phép khóa tạm thời khơng cho phép quản trị ứng dụng khoảng thời gian làm việc theo sách tổ chức (nếu có) 3.3 Nhật ký hệ thống Chức nhật ký hệ thống cho phép ghi lại thông tin liên quan đến hoạt động, việc thay đổi cấu hình hay lỗi phát sinh trình sử dụng tảng Yêu cầu chức nhật ký hệ thống bao gồm chức cụ thể sau: TT Yêu cầu kỹ thuật Mô tả yêu cầu Cấp độ hệ thống thông tin 1.1.2 Phần mềm có chức cho Thơng tin xác thực hệ thống lưu phép lưu trữ có mã hóa thơng trữ mật có mã hóa máy móc, tin xác thực hệ thống thiết bị x x x x x 1.1.3 Phần mềm có chức cho Có giao diện cho phép quản trị viên phép thiết lập sách mật thay đổi mật mặc định tài người sử dụng khoản tạo x x x x x Có giao diện cho phép quản trị viên thiết lập quy tắc đặt mật số ký tự, loại ký tự x x x x x Cập nhật thông tin mật mật nhập thay đổi thỏa mãn quy tắc đặt mật số ký tự, loại ký tự thiết lập (hay gọi nhập thay đổi mật thành công) x x x x x TT Yêu cầu kỹ thuật Mô tả yêu cầu Cấp độ hệ thống thông tin Có giao diện cho phép quản trị viên thiết lập thời gian mật hợp lệ x x x x x Khóa tài khoản yêu cầu nhập mật mật tài khoản hết hạn thời gian hợp lệ x x x x x Mở khóa tài khoản thay đổi mật thành công trường hợp mật hết hạn thời gian hợp lệ x x x x x 1.1.4 Phần mềm có chức cho Có giao diện cho phép quản trị viên phép mã hóa thơng tin xác nhập thông tin xác thực thực trước gửi qua môi Thông tin xác thực mã hóa trường mạng thuật tốn trước truyền qua môi trường mạng x x x x x x x x 1.1.5 Phần mềm có chức cho Có giao diện cho phép quản trị viên phép hạn chế số lần đăng quản lý sách hạn chế số lần đăng x x x x TT Yêu cầu kỹ thuật Mô tả yêu cầu Cấp độ hệ thống thông tin nhập sai khoảng thời nhập sai khoảng thời gian định gian định với tài khoản tài khoản định Hiển thị thông báo tài khoản vi phạm sách 1.1.6 Phần mềm có chức cho Có giao diện cho phép quản trị viên phép thiết lập cấu hình ứng quản lý sách ngăn cản việc đăng dụng để ngăn cản việc đăng nhập tự động nhập tự động Tích hợp bước kiểm tra xác minh người đăng nhập sách trường hợp kích hoạt 1.1.7 Phần mềm có chức cho phép vơ hiệu hóa tài khoản đăng nhập sai nhiều lần vượt số lần quy định Khóa tài khoản khoảng thời gian thiết lập tài khoản vi phạm sách hạn chế số lần đăng nhập sai khoảng thời gian định tài khoản x x x x x x x x x x x x TT Yêu cầu kỹ thuật Mô tả yêu cầu Cấp độ hệ thống thơng tin Có giao diện cho phép quản trị viên mở khóa tài khoản tài khoản bị khóa vi phạm sách 1.1.8 1.2 x x Phần mềm có chức cho Có giao diện cho phép quản trị viên phép sử dụng chế xác thực quản lý sách xác thực đa nhân đa nhân tố để xác thực người tố tài khoản sử dụng Tích hợp bước xác thực đa nhân tố sách trường hợp kích hoạt x x Kiểm sốt truy cập 1.2.1 Phần mềm có chức thiết lập hệ thống cho phép sử dụng kết nối mạng an toàn truy cập, quản trị ứng dụng từ xa Có giao diện cho phép quản trị viên quản lý kết nối truy cập x x x x x Từ chối kết nối khơng an tồn tính kích hoạt x x x x x TT Yêu cầu kỹ thuật Mô tả yêu cầu Cấp độ hệ thống thông tin x x x x x 1.2.2 Phần mềm có chức cho phép thiết lập giới hạn thời gian chờ (timeout) để đóng phiên kết nối ứng dụng không nhận yêu cầu từ người dùng Có giao diện cho phép quản trị viên quản lý sách giới hạn thời gian timeout Hiển thị thơng báo, đóng phiên kết nối hết hạn thời gian timeout yêu cầu đăng nhập lại x x x x 1.2.3 Phần mềm có chức cho phép giới hạn địa mạng quản trị phép truy cập, quản trị ứng dụng từ xa Có giao diện cho phép quản trị viên quản lý sách giới hạn địa mạng quản trị phép truy cập, quản trị ứng dụng từ xa x x x x Từ chối kết nối từ địa mạng vi phạm sách sách kích hoạt x x x x x x x 1.2.4 Phần mềm có chức cho Có giao diện cho phép quản trị viên phép phân quyền cấp quản lý sách phân quyền tài quyền tối thiểu truy cập, quản khoản theo nhóm tài khoản TT Yêu cầu kỹ thuật Mô tả yêu cầu Cấp độ hệ thống thông tin trị, sử dụng tài nguyên khác ứng dụng với người sử dụng/ nhóm người sử dụng có chức năng, yêu cầu nghiệp vụ khác 1.2.5 Phần mềm có chức cho phép giới hạn số lượng kết nối đồng thời (kết nối khởi tạo thiết lập) ứng dụng, dịch vụ máy chủ cung cấp Phân loại nhóm tài khoản theo 03 nhóm: tài khoản người sử dụng thơng thường; tài khoản quản trị mức sử dụng; tài khoản quản trị mức phát triển, vận hành x x x Từ chối xử lý yêu cầu, thao tác vi phạm sách trên; tức tài khoản thuộc nhóm thực thao tác nghiệp vụ dành cho nhóm x x x Có giao diện cho phép quản trị viên quản lý kết nối đồng thời x x x Từ chối kết nối vượt ngưỡng kết nối đồng thời để phần mềm hoạt động ổn định x x x TT Yêu cầu kỹ thuật Mô tả yêu cầu Cấp độ hệ thống thông tin 1.2.6 Phần mềm có chức cho phép thiết lập quyền tối thiểu (quyền truy cập, quản trị) cho tài khoản quản trị ứng dụng theo quyền hạn Có giao diện cho phép quản trị viên thiết lập quyền cho tài khoản x x x Từ chối tài khoản cố ý truy cập vượt mức quyền tính kích hoạt x x x 1.2.7 Phần mềm có chức cho phép thiết lập quyền tối thiểu (chỉ cấp quyền truy cập sở liệu) cho tài khoản kết nối sở liệu Có giao diện cho phép quản trị viên thiết lập quyền cho tài khoản kết nối tới sở liệu x x Từ chối tài khoản khơng có quyền kết nối sở liệu tính kích hoạt x x 1.2.8 Phần mềm có chức cho Có giao diện cho phép quản trị viên phép thay đổi, tách biệt cổng quản lý sách cổng quản trị ứng quản trị ứng dụng với cổng dụng cổng cung cấp dịch vụ ứng dụng cung cấp dịch vụ ứng dụng Từ chối xử lý yêu cầu, thao tác vi phạm sách trên; tức tài khoản x x x x TT Yêu cầu kỹ thuật Mô tả yêu cầu Cấp độ hệ thống thông tin quản trị thực thao tác quản trị thông qua kết nối đến cổng quản trị ứng dụng, tương tự tài khoản người dùng thông thường thông qua cổng cung cấp dịch vụ ứng dụng 1.2.9 Phần mềm có chức cho phép khóa tạm thời quản trị ứng dụng khoảng thời gian làm việc theo sách tổ chức (nếu có) 1.3 Có giao diện cho phép quản trị viên quản lý sách khoảng thời gian phép thực thao tác quản trị x Từ chối xử lý yêu cầu, thao tác vi phạm sách sách trường hợp kích hoạt; tức tài khoản quản trị thực thao tác quản trị khoảng thời gian thiết lập x Nhật ký hệ thống 1.3.1 Phần mềm có chức cho - Phần mềm cung cấp tính sau: phép ghi nhật ký hệ thống x x x x x TT Yêu cầu kỹ thuật gồm thông tin: truy cập ứng dụng; đăng nhập quản trị ứng dụng; lỗi phát sinh trình hoạt động; thay đổi cấu hình ứng dụng Mơ tả u cầu Cấp độ hệ thống thông tin x x x x x x x x x x x x + Ghi nhật ký hệ thống phân loại theo 05 nhóm: nhật ký truy cập ứng dụng; nhật ký đăng nhập quản trị ứng dụng; nhật ký lỗi phát sinh trình hoạt động; nhật ký quản lý tài khoản; nhật ký thay đổi cấu hình ứng dụng 1.3.2 Phần mềm có chức cho Có giao diện cho phép quản trị viên phép quản lý lưu trữ nhật quản lý sách nhật ký hệ thống ký hệ thống hệ thống Cho phép quản trị viên cấu hình quản lý tập trung khoảng thời gian lưu trữ nhật ký qua giao diện Lưu trữ nhật ký với 05 thơng tin: thời điểm sinh nhật ký, phân nhóm nhật ký, mơ tả thao tác / lỗi, đối tượng thực thao tác / sinh lỗi, mức độ quan trọng TT Yêu cầu kỹ thuật Mô tả yêu cầu Cấp độ hệ thống thông tin 1.3.3 Phần mềm có chức cho phép lưu trữ dự phịng liệu nhật ký hệ thống hệ thống lưu trữ riêng biệt, có mã hóa với liệu nhật ký quan trọng (nếu có) Có giao diện cho phép quản trị viên quản lý sách cấu hình kết nối đến hệ thống lưu trữ nhật ký riêng biệt x x Lưu trữ nhật ký hệ thống lưu trữ theo sách thiết lập x x 1.3.4 Phần mềm có chức cho phép phân quyền truy cập, quản lý liệu nhật ký hệ thống tài khoản có chức quản trị hệ thống khác (nếu có) Có giao diện cho phép quản trị viên quản lý sách phân quyền tài khoản theo nhóm tài khoản quản trị x Từ chối xử lý yêu cầu, thao tác vi phạm sách trên; tức tài khoản thuộc nhóm thực thao tác nghiệp vụ dành cho nhóm x 1.4 An tồn ứng dụng mã nguồn TT Yêu cầu kỹ thuật Mô tả yêu cầu Cấp độ hệ thống thông tin x x x x x x x x x x 1.4.2 Phần mềm có chức cho Có áp dụng lọc cho phép kiểm hợp phép kiểm tra tính hợp lệ lệ thơng tin, liệu đầu vào trước thông tin, liệu đầu trước gửi máy yêu cầu gửi máy yêu cầu Từ chối đầu vào liệu khơng hợp lệ tính kích hoạt x x x x x x 1.4.3 Phần mềm có chức kiểm tra tính hợp lệ thông tin, liệu trước xử lý máy yêu cầu bảo vệ ứng dụng chống lại dạng công phổ biến: SQL Injection, OS command x x x 1.4.1 Phần mềm có chức cho Có áp dụng lọc cho phép kiểm hợp phép kiểm tra tính hợp lệ lệ thông tin, liệu đầu vào trước thông tin, liệu đầu vào xử lý trước xử lý Từ chối đầu vào liệu không hợp lệ tính kích hoạt - Phần mềm kiểm tra, đánh giá, kiểm thử xâm nhập theo tiêu chuẩn OWASP không tồn điểm yếu cho phép kẻ công khai thác thông qua dạng công: SQL Injection, OS command injection, RFI, LFI, Xpath Injection, XSS, CSRF TT Yêu cầu kỹ thuật Mô tả yêu cầu Cấp độ hệ thống thông tin x x x x x x Có áp dụng biện pháp mã hóa mã nguồn ứng dụng x x Các thơng tin xác thực mã hóa trình sử dụng x x x x injection, RFI, LFI, Xpath Injection, XSS, CSRF 1.4.4 Phần mềm có chức cho Hiển thị thơng báo kiểm sốt lỗi có phép kiểm sốt lỗi, thơng báo lỗi xảy lỗi từ ứng dụng Lưu nhật ký kiện lỗi phát sinh trình vận hành, sử dụng 1.4.5 Phần mềm có chức cho phép bảo đảm không lưu trữ thông tin xác thực, thơng tin bí mật mã nguồn ứng dụng 1.5 Bảo mật thơng tin liên lạc 1.5.1 Phần mềm có chức cho Chấp nhận kết nối trao đổi liệu phép mã hóa thơng tin, qua kênh truyền có mã hóa chữ ký số hợp lệ tùy theo sách đảm bảo x TT Yêu cầu kỹ thuật Mô tả yêu cầu Cấp độ hệ thống thông tin x x x Có giao diện cho phép kiểm tra chữ ký số sử dụng x x Chữ ký số xác thực quan có thẩm quyền x x 1.5.3 Phần mềm có chức cho Có áp dụng giải pháp mã hóa phép sử dụng thiết bị phần giải mã từ thiết bị phần cứng chuyên cứng chuyên dụng để phục vụ dụng mã hóa giải mã liệu x x liệu trước truyền đưa, trao an toàn liệu qua kênh truyền đổi qua mơi trường mạng nhóm liệu Từ chối thiết lập hủy kết nối vi phạm sách 1.5.2 Phần mềm có chức cho phép sử dụng chữ ký số cung cấp quan có thẩm quyền để bảo vệ liệu chống chối bỏ 1.6 Sao lưu dự phòng TT Yêu cầu kỹ thuật 1.6.1 Phần mềm có chức cho phép tự động lưu dự phòng liệu sau: sở liệu; liệu, thông tin nghiệp vụ, tập tin cấu hình hệ thống (nếu có) Mơ tả u cầu Cấp độ hệ thống thông tin x x x x x Cho phép cấu hình kết nối đến 01 máy chủ lưu trữ độc lập với máy chủ cung cấp dịch vụ x x x x Sao lưu liệu lên hệ thống lưu trữ theo sách thiết lập x x x x x x x x x x Có giao diện cho phép quản trị viên quản lý sách cấu hình kết nối máy chủ lưu trữ 1.6.2 Phần mềm có chức cho Có giao diện cho phép quản trị viên phép phép gán nhãn loại quản lý sách phân loại liệu liệu lưu trữ theo quy tắc lưu trữ theo nhóm liệu thiết lập Cho phép cấu hình kết nối đến 01 máy chủ lưu trữ độc lập với máy chủ cung cấp dịch vụ TT Yêu cầu kỹ thuật Mô tả yêu cầu Cấp độ hệ thống thông tin 1.6.3 Phần mềm có chức cho Có giao diện cho phép quản trị viên phép thiết lập cấu hình để gửi thiết lập cấu hình để gửi liệu dự phòng liệu dự phòng hệ thống hệ thống lưu trữ tập trung lưu trữ tập trung Phân loại chế độ lưu theo 02 nhóm: nhóm chế độ lưu nóng; nhóm chế độ lưu lạnh x x x x Sao lưu tự động liệu theo cấu hình thiết lập x Sao lưu liệu theo yêu cầu nhận từ thao tác quản trị viên qua giao diện x Khôi phục liệu theo yêu cầu nhận từ thao tác quản trị viên qua giao diện x