Điều 25 Thông tư số 69/2026/TT-BXD: Bảo đảm an ninh mạng, an ninh dữ liệu và bảo vệ dữ liệu

Điều 25. Bảo đảm an ninh mạng, an ninh dữ liệu và bảo vệ dữ liệu

1. Bộ Xây dựng là chủ quản Hệ thống thông tin, có trách nhiệm tổ chức phân loại, xác định, phê duyệt hoặc trình cơ quan có thẩm quyền phê duyệt cấp độ an ninh mạng; tổ chức triển khai nhiệm vụ, biện pháp bảo vệ an ninh mạng tương ứng với cấp độ; bảo vệ dữ liệu cá nhân và bảo vệ bí mật nhà nước theo quy định của pháp luật.

2. Chủ quản Hệ thống thông tin và đơn vị vận hành Hệ thống thông tin thực hiện quản lý vòng đời tài khoản; xác thực đa yếu tố đối với tài khoản quản trị và tài khoản truy cập dữ liệu hạn chế; phân quyền theo vai trò và nguyên tắc quyền tối thiểu; rà soát định kỳ quyền truy cập; áp dụng biện pháp mã hóa phù hợp; ghi, lưu, giám sát nhật ký truy cập, chia sẻ, tải xuống, chỉnh sửa và xóa dữ liệu; phát hiện hành vi bất thường và cảnh báo sớm.

3. Chủ quản Hệ thống thông tin chủ trì, đơn vị vận hành Hệ thống thông tin phối hợp xây dựng, duy trì phương án giám sát, cảnh báo, ứng phó, khắc phục sự cố an ninh mạng, khôi phục hoạt động và bảo đảm tính liên tục; tổ chức kiểm tra, đánh giá an ninh mạng, rà soát lỗ hổng và khắc phục rủi ro theo quy định của pháp luật.

4. Cơ quan, tổ chức, cá nhân được cấp tài khoản hoặc khai thác dữ liệu không được truy cập trái phép, cản trở hoạt động, làm sai lệch, xóa, hủy, chiếm đoạt, phát tán, sao chép, tiết lộ dữ liệu trái pháp luật hoặc sử dụng dữ liệu sai mục đích.

5. Sai lệch dữ liệu thông thường được xử lý theo quy định tại Điều 18 Thông tư này và không phải cô lập dữ liệu nếu không có dấu hiệu xâm phạm an ninh mạng hoặc nguy cơ làm mất tính bí mật, toàn vẹn, sẵn sàng của Hệ thống thông tin. Khi xảy ra sự cố an ninh mạng, rò rỉ dữ liệu hoặc sai lệch có dấu hiệu do tấn công, can thiệp trái phép, đơn vị vận hành Hệ thống thông tin thực hiện cô lập, xử lý, phục hồi, bảo toàn chứng cứ điện tử; thông báo, phối hợp với cơ quan có thẩm quyền và thông báo cho tổ chức, cá nhân bị ảnh hưởng trong trường hợp pháp luật về an ninh mạng, bảo vệ dữ liệu cá nhân hoặc pháp luật có liên quan yêu cầu.

6. Việc kết nối, chia sẻ dữ liệu với cơ sở dữ liệu, hệ thống thông tin khác phải đáp ứng yêu cầu về an ninh mạng, an toàn thông tin, bảo vệ dữ liệu và yêu cầu kết nối theo quy định của pháp luật áp dụng đối với hệ thống được kết nối.