NLCM P7

BIDV quy định thế nào về Tài liệu quản trị, vận hành phần mềm ứng dụng (PMUD)

• Tất cả các PMUD bắt buộc phải có Tài liệu quản trị, vận hành
• Tất cả các PMUD bắt buộc phải có Tài liệu quản trị, vận hành trừ các PMUD chạy độc lập trên máy trạm của một số Đơn vị
• Không bắt buộc đối với các PMUD thông thường là các công cụ đơn giản, chỉ thực hiện một chức năng cụ thể và có thể quản trị, vận hành, theo dõi qua Tài liệu hướng dẫn sử dụng
• B và C

Yêu cầu và nguyên tắc đối với Tài liệu quản trị, vận hành phần mềm ứng dụng (PMUD)

• Phải xác định rõ phạm vi, các nội dung phân quyền NSD, Bộ phận quản trị, Bộ phận vận hành (nếu có), Bộ phận/người sử dụng PMUD, Đơn vị quản trị vận hành, Đơn vị nghiệp vụ vận hành
• Phải đầy đủ, chi tiết yêu cầu về mức độ sẵn sàng, hoạt động liên tục của PMUD
• Phòng ngừa, hạn chế rủi ro trong quản trị, vận hành PMUD
• A và B
• Cả A, B và C

BIDV quy định về phân loại thông tin và hệ thống thông tin (HTTT) theo cấp độ như sau

• Đơn vị vận hành (TTCNTT)/Ban QLDA/Chi nhánh xây dựng hồ sơ cấp độ. Ban Công nghệ thẩm định và trình PTGĐ phụ trách phê duyệt
• Ban Công nghệ căn cứ Quy chế ANBM ban hành danh mục hệ thống thông tin theo cấp độ
• Ban Công nghệ căn cứ Quy chế ANBM ban hành danh mục hệ thống thông tin theo cấp độ kèm các yêu cầu đảm bảo an toàn HTTT theo cấp độ

BIDV quy định về phân loại thông tin và hệ thống thông tin (HTTT) theo cấp độ như sau

• Ban Công nghệ căn cứ Quy chế ANBM ban hành danh mục hệ thống thông tin theo cấp độ
• Ban Công nghệ căn cứ Quy chế ANBM ban hành danh mục hệ thống thông tin theo cấp độ kèm các yêu cầu đảm bảo an toàn HTTT theo cấp độ
• Đơn vị vận hành (TTCNTT)/Ban QLDA/Chi nhánh xây dựng hồ sơ cấp độ. Trường hợp các hồ sơ đề xuất cấp độ không do TTCNTT đầu mối xây dựng, các đơn vị gửi xin ý kiến TTCNTT để hoàn thiện hồ sơ trước khi gửi thẩm định. Ban Công nghệ thẩm định và trình PTGĐ phụ trách phê duyệt.

BIDV có quy định về phần mềm kiểm soát máy trạm như sau

• Tất cả các máy trạm khi đưa vào sử dụng và kết nối mạng máy tính phải được cài đặt phần mềm kiểm soát máy trạm
• Tất cả máy trạm khi đưa vào sử dụng và kết nối mạng máy tính tại BIDV đều phải được cài đặt hệ thống phần mềm kiểm soát máy trạm theo quy định của BIDV (sử dụng thống nhất phần mềm do BIDV cung cấp)
• Tất cả các máy trạm của cán bộ BIDV khi đưa vào sử dụng và kết nối mạng máy tính phải được cài đặt phần mềm kiểm soát máy trạm. Các máy trạm do đối tác mang vào sử dụng tại BIDV cần được tách bạch, quản lý theo 1 phân vùng mạng riêng có kiểm soát.

BIDV quy định về kiểm soát hệ thống an ninh mạng như sau

• Cán bộ quản trị chính có nhiệm vụ thiết lập các tham số cấu hình, tập luật theo đăng ký của đơn vị, đúng quy định và tuyệt đối giữ bí mật các thông tin liên quan đến chính sách
• Cán bộ quản trị chính thực hiện rà soát, kiểm tra và đánh giá các tham số cấu hình, tập luật đã thực hiện trên các hệ thống ANM 06 tháng một lần, lập hồ sơ ghi nhận đầy đủ các thay đổi tham số cấu hình, tập luật tại lần thực hiện rà soát và báo cáo bằng văn bản với Giám đốc TT CNTT
• Cả A và B

BIDV quy định về thay đổi các tham số cấu hình, tập luật trên các hệ thống an ninh mạng như sau

• Dựa trên yêu cầu chỉnh sửa chính sách, các cảnh báo về tấn công, lỗ hổng và việc rà soát, tư vấn chỉnh sửa chính sách, Cán bộ quản trị sẽ nghiên cứu, đề xuất các thay đổi, kiểm thử, cập nhật thay đổi (sau kiểm thử) và cập nhật hồ sơ tài liệu liên quan các tham số cấu hình, tập luật
• Giám đốc Trung tâm CNTT quyết định ban hành hướng dẫn về thay đổi các tham số cấu hình, tập luật
• Trường hợp thay đổi dựa vào đăng ký mở kết nối của đơn vị, cán bộ quản trị đánh giá các yêu cầu đúng chính sách quy định, trình cấp có thẩm quyền phê duyệt, thực hiện thiếp lập tham số, tập luật và thông báo lại kết quả cho đơn vị
• A và B
• A và C

BIDV quy định về hệ thống quản lý xác thực đa yếu tố như sau

• Đối với các hệ thống xác thực hai yếu tố độc lập với ứng dụng (xác thực 02 yếu tố cho hệ thống CoreBanking, SmartOTP, ...), TT CNTT thực hiện xây dựng quy định quản trị, vận hành phù hợp cho từng hệ thống
• Trung tâm CNTT xây dựng quy định quản trị vận hành phù hợp cho từng hệ thống
• Đối với các hệ thống xác thực đa yếu tố tích hợp trong phần mềm ứng dụng: thực hiện quản lý theo tài liệu quản trị vận hành phần mềm ứng dụng tương ứng
• A và C

Quy định quản trị, vận hành hệ thống quản lý xác thực đa yếu tố phải đảm bảo các nội dung

• Quản lý các chính sách quan trọng trên hệ thống xác thực hai yếu tố như: chính sách mật khẩu, chính sách lockout, chính sách về Token/softotp, chính sách về Offline Authentication, chính sách về Risk-Based Authentication
• Quản lý người dùng, nhóm người dùng: đăng ký mới/sửa/xoá tài khoản người dùng, tài khoản nhóm người dùng.
• Quản lý Token/SmartOTP bao gồm các nội dung: đăng ký, cấp phát, thu hồi Token/SmartOTP
• A và C
• Cả A, B và C

Về đánh giá an ninh bảo mật HTTT, BIDV quy định như sau

• Định kỳ 03 tháng/lần, Trung tâm CNTT rà soát tổng thể các hệ thống CNTT phát sinh trong kỳ
• Hàng quý, Trung tâm CNTT đầu mối lập kế hoạch đánh giá an nình bảo mật CNTT cho toàn bộ các HTTT
• Hàng năm, TT CNTT đầu mối phối hợp với các Đơn vị liên quan thực hiện lập kế hoạch đánh giá ANBM cho toàn bộ các HTTT theo quy định tại Quy chế ATBM và hướng dẫn tại Sổ tay CNTT. Nghiên cứu và đề xuất việc thuê đơn vị độc lập thực hiện kiểm toán (audit) cho toàn bộ hoặc một, một số HTTT (nếu cần).
• A và B
• A và C