Các nguyên tắc chung về sử dụng dịch vụ CNTT của bên thứ ba

Cụ thể, theo quy định tại Điều 31 Thông tư 18/2018/TT-NHNN, khi sử dụng dịch vụ công nghệ thông tin của bên thứ ba, tổ chức bảo đảm các nguyên tắc sau đây:

Một là, không làm suy giảm khả năng cung cấp dịch vụ liên tục của tổ chức cho khách hàng.

Hai là, không làm suy giảm việc kiểm soát quy trình nghiệp vụ của tổ chức.

Ba là, không làm thay đổi trách nhiệm của tổ chức trong việc bảo đảm an toàn thông tin.

Bốn là, dịch vụ công nghệ thông tin của bên thứ ba phải đáp ứng các quy định về bảo đảm an toàn thông tin của tổ chức.

Bên cạnh đó, Thông tư cũng quy định cụ thể, trước khi sử dụng dịch vụ của bên thứ ba, tổ chức thực hiện:

- Đánh giá rủi ro công nghệ thông tin, rủi ro hoạt động tối thiểu bao gồm các nội dung sau:

• Nhận diện rủi ro, phân tích, ước lượng mức độ tổn hại, mối đe dọa đến an toàn thông tin;
• Khả năng kiểm soát các quy trình nghiệp vụ, khả năng cung cấp dịch vụ liên tục cho khách hàng, khả năng thực hiện nghĩa vụ cung cấp thông tin cho các cơ quan nhà nước;
• Xác định rõ vai trò, trách nhiệm của các bên liên quan trong việc bảo đảm chất lượng dịch vụ;
• Xây dựng các biện pháp nhằm giảm thiểu rủi ro, biện pháp phòng ngừa, ứng cứu, khắc phục sự cố;
• Rà soát và Điều chỉnh chính sách quản lý rủi ro (nếu có).

- Trong trường hợp sử dụng dịch vụ điện toán đám mây, ngoài các yêu cầu này, tổ chức thực hiện:

• Phân loại hoạt động, nghiệp vụ dự kiến triển khai trên điện toán đám mây dựa trên đánh giá tác động của hoạt động, nghiệp vụ đó với hoạt động của tổ chức;
• Xây dựng phương án dự phòng đối với các cấu phần của hệ thống thông tin từ mức độ 2 trở lên. Phương án dự phòng phải được kiểm thử và đánh giá sẵn sàng thay thế cho các hoạt động, nghiệp vụ triển khai trên điện toán đám mây;
• Xây dựng các tiêu chí lựa chọn bên thứ ba đáp ứng yêu cầu quy định tại Điều 33 Thông tư 18/2018/TT-NHNN;
• Rà soát, bổ sung, áp dụng các biện pháp bảo đảm an toàn thông tin của tổ chức, giới hạn truy cập từ điện toán đám mây đến các hệ thống thông tin của tổ chức.

Trường hợp thuê bên thứ ba thực hiện toàn bộ công việc quản trị hệ thống thông tin từ mức độ 2 trở lên, tổ chức thực hiện đánh giá rủi ro theo quy định tại Khoản 1 Điều 32 Thông tư 18/2018/TT-NHNN và gửi báo cáo đánh giá rủi ro cho Ngân hàng Nhà nước (Cục Công nghệ thông tin).

Xem thêm các nội dung liên quan tại: Thông tư 18/2018/TT-NHNN có hiệu lực ngày 01/01/2019.