Đề xuất quy định bảo đảm an ninh theo cấp độ dữ liệu

Bảo vệ dữ liệu Thông thường

1. Cơ quan, tổ chức, cá nhân xử lý dữ liệu Thông thường có trách nhiệm chủ động áp dụng biện pháp bảo mật theo tiêu chuẩn, quy chuẩn kỹ thuật quốc gia về an ninh mạng; bảo đảm tính sẵn sàng và ngăn chặn hành vi giả mạo, xuyên tạc dữ liệu.

2. Nhà nước khuyến khích tổ chức, doanh nghiệp áp dụng các tiêu chuẩn an ninh dữ liệu quốc tế tiên tiến nhằm nâng cao năng lực cạnh tranh và thực hiện liên thông dữ liệu xuyên biên giới theo Điều ước quốc tế mà nước Cộng hòa xã hội chủ nghĩa Việt Nam là thành viên.

3. Khi phát hiện sự cố mất an ninh hoặc rò rỉ dữ liệu Thông thường có nguy cơ ảnh hưởng đến quyền và lợi ích hợp pháp của các bên liên quan, chủ thể xử lý dữ liệu phải kịp thời thông báo cho người sử dụng và áp dụng ngay biện pháp kỹ thuật ngăn chặn, giảm thiểu thiệt hại.

4. Hoạt động xử lý dữ liệu Thông thường phải tuân thủ các nguyên tắc bảo đảm an ninh trong toàn bộ vòng đời dữ liệu.

Bảo vệ dữ liệu Nội bộ

1. Yêu cầu về hạ tầng và lưu trữ:

a) Dữ liệu Nội bộ phải được lưu trữ, xử lý trong các hệ thống thông tin đáp ứng tiêu chuẩn theo quy định của pháp luật;

b) Chủ quản hệ thống thông tin chứa dữ liệu Nội bộ phải bảo đảm tính sẵn sàng cao của hệ thống; xây dựng phương án và hạ tầng dự phòng thảm họa, bảo đảm khả năng khôi phục dữ liệu khi xảy ra sự cố nghiêm trọng.

2. Chủ quản hệ thống thông tin chứa dữ liệu Nội bộ phải triển khai các giải pháp kỹ thuật chủ động ngăn chặn, giảm thiểu thiệt hại từ các cuộc tấn công mạng; thiết lập hàng rào kỹ thuật phòng, chống, quét kiểm tra và bóc gỡ mã độc định kỳ nhằm bảo đảm an ninh hệ thống và dữ liệu được lưu trữ.

3. Dữ liệu cá nhân và bí mật doanh nghiệp thuộc phân loại dữ liệu Nội bộ trong quá trình xử lý phải được hệ thống sao lưu tự động, định kỳ; chủ quản hệ thống có trách nhiệm kiểm tra tính toàn vẹn, tính bảo mật của các bản sao lưu tối thiểu một tuần một lần để sẵn sàng ứng phó với các kịch bản tấn công mã hóa dữ liệu tống tiền.

4. Bộ Công an có trách nhiệm giám sát, kiểm tra việc tuân thủ các biện pháp bảo vệ dữ liệu Nội bộ; xử lý nghiêm các hành vi buông lỏng quản lý gây mất mát, rò rỉ dữ liệu hoặc tự ý thu thập, mua bán, chuyển giao dữ liệu trái phép theo quy định của pháp luật.

5. Hoạt động xử lý dữ liệu Nội bộ phải tuân thủ các biện pháp bảo đảm an ninh trong toàn bộ vòng đời dữ liệu.

 Bảo vệ dữ liệu Quan trọng (Điều 20)

1. Yêu cầu về tổ chức và hạ tầng:

a) Dữ liệu Quan trọng phải được lưu trữ, xử lý trong các hệ thống thông tin đáp ứng tiêu chuẩn tối thiểu từ cấp độ 3 trở lên theo quy định của pháp luật;

b) Cơ quan, tổ chức xử lý dữ liệu từ Quan trọng phải thiết lập hệ thống quản trị rủi ro; chỉ định nhân sự phụ trách an ninh dữ liệu và bố trí bộ phận chuyên trách bảo vệ an ninh dữ liệu.

2. Chủ quản dữ liệu Quan trọng phải thiết lập hệ thống quản trị rủi ro; thực hiện lưu vết và bảo vệ an toàn nhật ký hệ thống (log) tối thiểu là sáu tháng để phục vụ công tác điều tra, ứng cứu sự cố và truy vết hành vi xâm phạm an ninh quốc gia.

3. Chủ quản hệ thống thông tin chứa dữ liệu Quan trọng phải áp dụng các biện pháp xác thực đa yếu tố, cơ chế phân quyền truy cập tối thiểu, mã hóa dữ liệu trong cả trạng thái lưu trữ và truyền dẫn theo tiêu chuẩn, quy chuẩn kỹ thuật quốc gia.

4. Bộ Công an chủ trì, phối hợp với các Bộ, ngành quản lý chuyên ngành thực hiện giám sát từ xa, kiểm tra định kỳ hoặc đột xuất việc tuân thủ các quy định về bảo vệ dữ liệu Quan trọng; trường hợp phát hiện nguy cơ rò rỉ hoặc mất an ninh dữ liệu nghiêm trọng, Bộ Công an có quyền yêu cầu tạm dừng hoạt động xử lý dữ liệu để khắc phục sự cố.

5. Hoạt động xử lý dữ liệu Quan trọng phải tuân thủ các biện pháp bảo đảm an ninh trong toàn bộ vòng đời dữ liệu.

6. Nhân sự phụ trách an ninh dữ liệu quy định tại điểm b khoản 1 Điều này phải được bảo đảm tính độc lập trong hoạt động chuyên môn, có quyền báo cáo trực tiếp cho người đứng đầu cơ quan, tổ chức và không bị xử lý bất lợi khi thực hiện đúng chức trách.

Bảo vệ dữ liệu Cốt lõi

1. Dữ liệu Cốt lõi phải được lưu trữ, xử lý trong hệ thống thông tin cấp độ 4, 5 theo quy định của pháp luật; Dữ liệu Cốt lõi liên quan đến an ninh, quốc phòng, hạ tầng trọng yếu được áp dụng các biện pháp cách ly vật lý hoặc phân vùng an ninh đặc biệt với mạng Internet công cộng, không được chuyển ra nước ngoài, trừ trường hợp đặc biệt phục vụ lợi ích tối cao của quốc gia do Thủ tướng Chính phủ quyết định bằng văn bản.

2. Bảo đảm an ninh mật mã và cơ chế kiểm soát truyền dẫn dữ liệu:

a) Hoạt động lưu trữ, truyền dẫn dữ liệu Cốt lõi phải áp dụng các giải pháp mã hóa chuyên biệt;

b) Hoạt động truyền dẫn thông tin nhật ký hệ thống và siêu dữ liệu kiểm toán từ hệ thống thông tin lưu trữ dữ liệu Cốt lõi về Hệ thống giám sát an ninh dữ liệu tập trung quốc gia phải áp dụng giải pháp kỹ thuật truyền dữ liệu một chiều vật lý, bảo đảm duy trì nguyên tắc cách ly vật lý. Nghiêm cấm thiết lập luồng truyền tín hiệu điều khiển hoặc dịch chuyển luồng dữ liệu trái phép từ không gian mạng công cộng vào phân vùng lưu trữ dữ liệu Cốt lõi.

3. Việc tiếp cận, trích xuất hoặc thao tác đối với dữ liệu Cốt lõi phải được phê duyệt trực tiếp bằng văn bản bởi người đứng đầu cơ quan chủ quản hệ thống thông tin và chịu sự giám sát, kiểm soát của lực lượng chuyên trách bảo đảm an ninh dữ liệu.

4. Bộ Công an chủ trì, phối hợp với các đơn vị chức năng thực hiện thanh tra, kiểm tra, giám sát định kỳ hoặc đột xuất việc tuân thủ quy chuẩn kỹ thuật mật mã, cấu hình an ninh hệ thống và kiểm soát nguy cơ di chuyển, phát tán hoặc rò rỉ dữ liệu Cốt lõi.

5. Hoạt động xử lý dữ liệu Cốt lõi phải tuân thủ các biện pháp bảo đảm an ninh trong toàn bộ vòng đời dữ liệu.