Yêu cầu an toàn cơ bản đối với phần mềm nội bộ: Quyết định 742/QĐ-BTTTT

1. Phạm vi áp dụng

Nội dung tại Quyết định này đưa ra các yêu cầu an toàn thông tin cơ bản đối với Phần mềm nội bộ nhằm đáp ứng các yêu cầu an toàn liên quan đến ứng dụng và dữ liệu theo Thông tư 03/2017/TT-BTTTT ngày 24 tháng 4 năm 2017 của Bộ Thông tin và Truyền thông và Tiêu chuẩn TCVN 11930:2017 .

2. Đối tượng áp dụng

Cơ quan, tổ chức liên quan đến việc phát triển, kiểm thử Phần mềm nội bộ trong dự án đầu tư ứng dụng công nghệ thông tin sử dụng nguồn vốn ngân sách nhà nước.

3. Khái niệm và thuật ngữ

Trong tài liệu này các khái niệm được tham chiếu trong Tiêu chuẩn quốc gia TCVN 11930:2017 .

Khái niệm Phần mềm nội bộ được hiểu như sau: Phần mềm nội bộ là phần mềm được xây dựng, phát triển, nâng cấp, mở rộng theo các yêu cầu riêng của tổ chức hoặc người sử dụng nhằm đáp ứng yêu cầu đặc thù của tổ chức hoặc người sử dụng đó.

1. Yêu cầu về tài liệu

Phần mềm nội bộ có tài liệu bao gồm các nội dung sau:

a) Hướng dẫn triển khai và thiết lập cấu hình;

b) Hướng dẫn sử dụng và quản trị;

c) Tài liệu thiết kế;

d) Mã nguồn sản phẩm (theo yêu cầu của bên đề nghị đánh giá).

2. Yêu cầu về quản lý điểm yếu an toàn thông tin

Trước khi thực hiện nghiệm thu và bàn giao, Phần mềm nội bộ không tồn tại lỗ hổng, điểm yếu được đánh giá và xác nhận bởi tổ chức chuyên môn được cơ quan có thẩm quyền cấp phép hoặc tổ chức sự nghiệp nhà nước có chức năng, nhiệm vụ phù hợp do chủ quản hệ thống thông tin chỉ định thực hiện theo quy định của pháp luật.

3. Yêu cầu về chức năng Xác thực

3.1. Chức năng Xác thực đối với Phần mềm nội bộ bao gồm:

a) Xác thực người sử dụng khi truy cập, quản trị, cấu hình Phần mềm;

b) Có chức năng cho phép lưu trữ có mã hóa thông tin xác thực hệ thống sử dụng thuật toán hash từ SHA-256, SHA-512, SHA-3 và các thuật toán tương đương;

c) Có chức năng cho phép thiết lập chính sách mật khẩu của tài khoản;

d) Có chức năng cho phép hạn chế số lần đăng nhập sai trong khoảng thời gian nhất định với tài khoản nhất định;

đ) Có chức năng cho phép mã hóa thông tin xác thực trước khi gửi qua môi trường mạng;

e) Có chức năng cho phép sử dụng cơ chế xác thực đa nhân tố để xác thực người sử dụng.

3.2. Yêu cầu cụ thể đối với từng chức năng xác thực ở trên, khi Phần mềm được triển khai trên hệ thống thông tin theo từng cấp độ được tham chiếu chi tiết tại Mục 1, Phụ lục kèm theo.

4. Yêu cầu về chức năng Kiểm soát truy cập

4.1. Chức năng Kiểm soát truy cập đối với Phần mềm nội bộ bao gồm:

a) Có chức năng cho phép thiết lập giới hạn thời gian chờ (timeout);

b) Có chức năng cho phép giới hạn địa chỉ mạng quản trị được phép truy cập, quản trị Phần mềm từ xa;

c) Có chức năng cho phép phân quyền và cấp quyền tối thiểu về truy cập, quản trị, sử dụng tài nguyên khác nhau của Phần mềm với người sử dụng/nhóm người sử dụng có chức năng, yêu cầu nghiệp vụ khác nhau;

d) Có chức năng cho phép thiết lập quyền tối thiểu (quyền truy cập, quản trị) cho tài khoản quản trị ứng dụng theo quyền hạn;

đ) Có chức năng cho phép thay đổi, tách biệt cổng quản trị ứng dụng với cổng cung cấp dịch vụ ứng dụng;

e) Có chức năng cho phép khóa tạm thời quản trị ứng dụng trong khoảng thời gian ngoài giờ làm việc.

4.2. Yêu cầu cụ thể đối với từng chức năng Kiểm soát truy cập ở trên, khi Phần mềm được triển khai trên hệ thống thông tin theo từng cấp độ được tham chiếu chi tiết tại Mục 2, Phụ lục kèm theo.

5. Yêu cầu về chức năng Nhật ký hệ thống

5.1. Chức năng Nhật ký hệ thống đối với Phần mềm nội bộ bao gồm:

a) Có chức năng cho phép ghi nhật ký hệ thống gồm những thông tin:

i. Thời điểm sinh nhật ký;

ii. Phân nhóm nhật ký;

iii. Mô tả thao tác/lỗi;

iv. Đối tượng thực hiện thao tác/sinh lỗi;

v. Mức độ quan trọng.

b) Có chức năng cho phép quản lý và lưu trữ nhật ký hệ thống trên hệ thống quản lý tập trung;

c) Có chức năng cho phép phân quyền truy cập, quản lý dữ liệu nhật ký hệ thống đối với các tài khoản có chức năng quản trị hệ thống khác nhau.

5.2. Yêu cầu cụ thể đối với từng chức năng Nhật ký hệ thống ở trên khi Phần mềm được triển khai trên hệ thống thông tin theo từng cấp độ được tham chiếu chi tiết tại Mục 3, Phụ lục kèm theo.

6. Yêu cầu về An toàn ứng dụng và mã nguồn

6.1. Yêu cầu về An toàn ứng dụng và mã nguồn đối với Phần mềm nội bộ bao gồm:

a) Có chức năng cho phép kiểm tra tính hợp lệ của thông tin, dữ liệu đầu vào trước khi xử lý;

b) Có chức năng cho phép bảo vệ ứng dụng chống lại những dạng tấn công phổ biến: SQL Injection, OS command injection, RFI, LFI, Xpath injection, XSS, CSRF;

c) Có chức năng cho phép kiểm soát lỗi, thông báo lỗi từ ứng dụng;

d) Có chức năng cho phép bảo đảm không lưu trữ thông tin xác thực, thông tin bí mật trên mã nguồn ứng dụng.

6.2. Yêu cầu cụ thể đối với từng chức năng An toàn ứng dụng và mã nguồn ở trên khi Phần mềm được triển khai trên hệ thống thông tin theo từng cấp độ được tham chiếu chi tiết tại Mục 4, Phụ lục kèm theo.

7. Yêu cầu về chức năng Bảo mật thông tin liên lạc

7.1. Chức năng Bảo mật thông tin liên lạc đối với Phần mềm nội bộ bao gồm:

a) Có chức năng cho phép mã hóa thông tin, dữ liệu (không phải là thông tin, dữ liệu công khai) trước khi truyền đưa, trao đổi qua môi trường mạng;

b) Có chức năng cho phép sử dụng chữ ký số được cung cấp bởi cơ quan có thẩm quyền để bảo vệ dữ liệu và chống chối bỏ (đối với các ứng dụng yêu cầu sử dụng chữ ký số).

7.2. Yêu cầu cụ thể đối với từng chức năng Bảo mật thông tin liên lạc ở trên khi Phần mềm được triển khai trên hệ thống thông tin theo từng cấp độ được tham chiếu chi tiết tại Mục 5, Phụ lục kèm theo.

8. Yêu cầu về chức năng Sao lưu dự phòng

8.1. Chức năng Sao lưu dự phòng đối với Phần mềm nội bộ bao gồm:

a) Có chức năng cho phép tự động sao lưu dự phòng;

b) Có chức năng cho phép gán nhãn loại dữ liệu được lưu trữ theo quy tắc được thiết lập;

c) Có chức năng cho phép thiết lập cấu hình để gửi dữ liệu dự phòng về hệ thống lưu trữ tập trung.

8.2. Yêu cầu cụ thể đối với từng chức năng Sao lưu dự phòng ở trên khi Phần mềm được triển khai trên hệ thống thông tin theo từng cấp độ được tham chiếu chi tiết tại Mục 6, Phụ lục kèm theo.