Điều 13 Thông tư số 69/2026/TT-BXD: Tài khoản, xác thực và phân quyền

Điều 13. Tài khoản, xác thực và phân quyền

1. Cơ quan, tổ chức và người sử dụng thuộc đối tượng được cấp tài khoản định danh điện tử sử dụng tài khoản định danh điện tử để xác thực khi tham gia Hệ thống thông tin theo pháp luật về định danh và xác thực điện tử. Trường hợp chưa đủ điều kiện tích hợp hoặc chưa thuộc đối tượng sử dụng tài khoản định danh điện tử, đơn vị vận hành Hệ thống thông tin cấp tài khoản chuyển tiếp trên cơ sở danh sách người sử dụng, vai trò và phạm vi dữ liệu do cơ quan, tổ chức có thẩm quyền xác nhận; tài khoản phải xác định được tổ chức chịu trách nhiệm, người trực tiếp sử dụng, thời hạn hiệu lực và được chuyển đổi hoặc thu hồi khi đủ điều kiện sử dụng tài khoản định danh điện tử.

2. Tài khoản được phân quyền theo vai trò, phạm vi dữ liệu và nguyên tắc quyền tối thiểu cần thiết, gồm các nhóm quyền: quản trị hệ thống; quản trị dữ liệu cấp Bộ; quản trị dữ liệu địa phương; nhập, cập nhật dữ liệu; rà soát, ghi nhận trạng thái chất lượng dữ liệu; khai thác báo cáo; khai thác dữ liệu theo chế độ khai thác và phạm vi được phân quyền.

3. Dữ liệu, gói dữ liệu khi tạo lập, kết nối, chia sẻ phải được xác thực nguồn và bảo đảm toàn vẹn. Việc ký số thực hiện đối với thông điệp dữ liệu, giao dịch mà pháp luật hoặc phương án kết nối được cơ quan có thẩm quyền thống nhất yêu cầu; luồng dữ liệu thiết bị phải có mã thiết bị, dấu thời gian, cơ chế xác thực, kiểm tra toàn vẹn và nhật ký truyền nhận.

4. Người sử dụng tài khoản có trách nhiệm bảo mật thông tin xác thực, không cho mượn, chuyển giao, sử dụng chung tài khoản; chịu trách nhiệm đối với thao tác thực hiện qua tài khoản. Cơ quan, tổ chức chịu trách nhiệm về nội dung dữ liệu trong phạm vi chức năng, nhiệm vụ và quản lý việc sử dụng tài khoản của người thuộc quyền.

5. Tài khoản được quản lý trong toàn bộ vòng đời, gồm cấp mới, thay đổi quyền, tạm khóa, thu hồi và lưu lịch sử phân quyền; phải được rà soát định kỳ và xử lý kịp thời khi người sử dụng thay đổi nhiệm vụ, chấm dứt công tác, đơn vị vận hành hết hạn hợp đồng, vi phạm quy định hoặc có nguy cơ xâm phạm an ninh mạng.

6. Khi có thay đổi về người sử dụng, nhiệm vụ, vai trò, phạm vi dữ liệu, chủ sở hữu hoặc đơn vị quản lý, vận hành, cơ quan, tổ chức có thẩm quyền xác nhận danh sách quy định tại khoản 1 Điều này phải thông báo ngay cho đơn vị vận hành Hệ thống thông tin để điều chỉnh, tạm khóa hoặc thu hồi tài khoản, quyền truy cập và lưu lịch sử xử lý. Dữ liệu, mã định danh, lịch sử thao tác và trách nhiệm của cơ quan, tổ chức có liên quan được duy trì.