Chính sách An ninh mạng, Quản lý lỗ hổng, Bản vá và Truy cập từ xa của SAO NAM

Mục lục

1. Mục đích

Chính sách này thiết lập nguyên tắc quản lý an ninh mạng đối với các sản phẩm, hệ thống, phần mềm, thiết bị kỹ thuật và hoạt động truy cập từ xa do SAO NAM triển khai hoặc hỗ trợ. Mục tiêu là giảm nguy cơ gián đoạn, mất dữ liệu, thay đổi trái phép, khai thác lỗ hổng và ảnh hưởng đến chất lượng, an toàn hoặc quyết định GxP.

2. Phạm vi áp dụng

Chính sách áp dụng cho nhân viên, quản lý, kỹ sư, nhân sự ứng dụng, quản trị viên, nhà thầu phụ và các bên làm việc nhân danh SAO NAM.

Phạm vi bao gồm:

• Máy chủ, máy trạm, laptop, thiết bị đo, bộ điều khiển, cảm biến và thiết bị kết nối mạng.
• Phần mềm giám sát môi trường, cơ sở dữ liệu, firmware, driver, license và các giao diện tích hợp.
• Tài khoản người dùng, tài khoản dịch vụ, tài khoản quản trị và quyền truy cập hỗ trợ.
• VPN, công cụ truy cập từ xa, nền tảng hỗ trợ, email và kênh truyền dữ liệu kỹ thuật.
• Bản vá hệ điều hành, database, ứng dụng, firmware, antivirus và thành phần bên thứ ba.
• Lỗ hổng, cảnh báo an ninh, sự cố mã độc, truy cập trái phép và mất khả năng dịch vụ.

3. Thuật ngữ và định nghĩa

4. Nguyên tắc an ninh mạng

5. Quản lý tài sản phần cứng và phần mềm

• Duy trì danh mục thiết bị, hệ thống, phần mềm, phiên bản, firmware, database, license và chủ sở hữu.
• Nhận diện tài sản GxP, tài sản có kết nối từ xa và tài sản chứa dữ liệu khách hàng.
• Ghi nhận model, serial, hostname, địa chỉ mạng, hệ điều hành và trạng thái hỗ trợ khi phù hợp.
• Theo dõi phần mềm/thành phần không còn được nhà sản xuất hỗ trợ.
• Không cài đặt phần mềm không được phê duyệt trên thiết bị dùng cho dịch vụ hoặc hệ thống khách hàng.
• Cập nhật danh mục khi lắp đặt, nâng cấp, thay thế, di chuyển hoặc ngừng sử dụng.

6. Phân loại mức độ quan trọng của hệ thống

7. Quản lý tài khoản, xác thực và quyền truy cập

• Tài khoản phải gắn với cá nhân hoặc chức năng cụ thể; hạn chế sử dụng tài khoản dùng chung.
• Tài khoản quản trị chỉ được dùng khi cần thực hiện nhiệm vụ đặc quyền.
• Mật khẩu phải phù hợp chính sách khách hàng và không chia sẻ qua kênh không an toàn.
• Áp dụng xác thực đa yếu tố khi nền tảng và yêu cầu cho phép.
• Quyền được rà soát định kỳ và khi có thay đổi vai trò, nghỉ việc hoặc kết thúc dự án.
• Tài khoản tạm thời phải có thời hạn và được thu hồi sau khi hoàn tất công việc.
• Không lưu mật khẩu khách hàng trên file, trình duyệt hoặc thiết bị cá nhân không được kiểm soát.

8. Cấu hình an toàn và giảm bề mặt tấn công

• Thay đổi thông tin mặc định, tài khoản mặc định và mật khẩu mặc định trước bàn giao khi phù hợp.
• Vô hiệu hóa dịch vụ, port, giao thức và tài khoản không cần thiết.
• Áp dụng cấu hình firewall, network segmentation và allowlist theo kiến trúc khách hàng.
• Kiểm soát USB, file transfer, remote desktop và công cụ quản trị.
• Thiết lập time synchronization phù hợp để bảo đảm tính nhất quán của log và audit trail.
• Ghi nhận baseline cấu hình trước bàn giao và sau thay đổi quan trọng.
• Không công khai thông tin chi tiết về sơ đồ mạng, tài khoản, port hoặc cấu hình bảo mật.

9. Quản lý lỗ hổng

10. Quản lý bản vá và cập nhật

11. Kiểm soát thay đổi an ninh mạng

• Thay đổi tài khoản, role, firewall, port, certificate, remote tool, antivirus, operating system hoặc database phải được kiểm soát.
• Đánh giá tác động đến availability, audit trail, interface, report, backup và validation.
• Xác định người phê duyệt, kế hoạch test, rollback và thời điểm thực hiện.
• Thay đổi khẩn cấp phải được ghi nhận và rà soát hồi cứu theo chính sách hiện hành.
• Không bỏ qua change control chỉ vì thay đổi được mô tả là “security update”.
• Liên kết thay đổi với deviation, incident, CAPA hoặc OEM notice khi phù hợp.

12. Quản lý truy cập từ xa

Truy cập từ xa chỉ được thực hiện khi có nhu cầu công việc hợp lệ, sự chấp thuận phù hợp và biện pháp kiểm soát tương xứng.

• Ưu tiên nền tảng do khách hàng hoặc OEM phê duyệt.
• Không mở kết nối thường trực khi không có nhu cầu và phê duyệt.
• Không để kỹ sư truy cập ngoài thời gian hoặc phạm vi đã thống nhất.
• Không sao chép dữ liệu khách hàng về thiết bị SAO NAM nếu chưa được phép.
• Truy cập từ xa có thể được ghi log hoặc giám sát theo yêu cầu khách hàng.

13. Laptop kỹ sư, USB và phương tiện lưu trữ

• Thiết bị kỹ sư phải được quản lý, cập nhật, bảo vệ bằng mật khẩu và phần mềm an ninh phù hợp.
• Không sử dụng laptop hoặc USB không rõ nguồn gốc trên hệ thống khách hàng.
• USB chỉ được dùng khi được phép, đã kiểm tra và cần thiết cho công việc.
• File dịch vụ, tool, firmware và installer phải có nguồn xác định và kiểm soát phiên bản.
• Dữ liệu tạm từ khách hàng phải được mã hóa hoặc bảo vệ phù hợp và xóa sau khi hoàn thành mục đích.
• Thiết bị bị mất, thất lạc, nhiễm mã độc hoặc nghi ngờ bị can thiệp phải được báo cáo ngay.

14. Ghi log, audit trail và giám sát

• Duy trì log phù hợp đối với đăng nhập, thất bại xác thực, thay đổi cấu hình, truy cập đặc quyền và sự kiện an ninh.
• Đồng bộ thời gian để hỗ trợ điều tra và đối chiếu sự kiện.
• Không xóa hoặc chỉnh sửa log/audit trail để che giấu hành động.
• Rà soát log theo mức độ quan trọng, yêu cầu khách hàng và khả năng hệ thống.
• Bảo vệ log khỏi truy cập hoặc thay đổi trái phép.
• Giới hạn thời hạn lưu theo hợp đồng, GxP, chính sách khách hàng và khả năng hệ thống.

15. Yêu cầu đối với hệ thống GxP và Data Integrity

• Mọi thay đổi an ninh phải được đánh giá tác động đến intended use và trạng thái thẩm định.
• Không làm mất audit trail, metadata, chữ ký điện tử, quyền truy cập hoặc khả năng truy xuất dữ liệu.
• Backup và khả năng restore phải được xác nhận trước thay đổi quan trọng.
• Test sau thay đổi phải bao gồm chức năng GxP quan trọng, interface và report.
• Biện pháp bảo mật không được làm vô hiệu hóa chức năng giám sát, alarm hoặc ghi dữ liệu cần thiết.
• Sự cố an ninh có thể ảnh hưởng dữ liệu phải được xử lý như một sự cố Data Integrity và đánh giá ảnh hưởng GxP.

16. Ứng phó sự cố an ninh mạng

17. Phối hợp với OEM và nhà cung cấp

• Tiếp nhận security advisory, vulnerability notice, release note và compatibility information.
• Chuyển cấp lỗi sản phẩm, lỗ hổng thiết kế hoặc sự cố cần phân tích chuyên sâu.
• Đánh giá nhà cung cấp remote tool, cloud, hosting, antivirus hoặc dịch vụ liên quan theo rủi ro.
• Không cho phép nhà thầu phụ truy cập hệ thống khách hàng nếu chưa được kiểm soát và chấp thuận.
• Quy định bảo mật, log, dữ liệu, thông báo sự cố và kết thúc truy cập trong hợp đồng khi cần.
• Theo dõi phiên bản hết hỗ trợ và kế hoạch nâng cấp từ OEM.

18. Đào tạo và nhận thức an ninh mạng

• Nhân sự được đào tạo về phishing, mật khẩu, thiết bị di động, USB, dữ liệu khách hàng và báo cáo sự cố.
• Kỹ sư được đào tạo bổ sung về remote access, account privilege, patch, backup và change control.
• Quản trị viên được đào tạo về hardening, log, recovery và kiểm soát tài khoản đặc quyền.
• Đào tạo lại khi có sự cố, thay đổi công cụ, thay đổi trách nhiệm hoặc phát hiện vi phạm.
• Nhà thầu phụ phải đáp ứng yêu cầu tương đương trước khi được cấp quyền.

19. Hồ sơ, chỉ số và rà soát định kỳ

Hồ sơ có thể bao gồm:

• Danh mục tài sản, phiên bản, trạng thái hỗ trợ và mức độ quan trọng.
• Danh sách tài khoản, quyền truy cập, phê duyệt và lịch sử thu hồi.
• Vulnerability assessment, patch assessment, test result và change record.
• Remote access request, session record, log, kết quả và xác nhận đóng quyền.
• Security incident, impact assessment, recovery, CAPA và lessons learned.
• Chỉ số lỗ hổng mở, patch quá hạn, tài khoản đặc quyền, sự cố và thời gian xử lý.

20. Trách nhiệm thực hiện

21. Căn cứ và tài liệu tham chiếu

• ISO/IEC 27001 và ISO/IEC 27002 về hệ thống quản lý an toàn thông tin và các biện pháp kiểm soát.
• EU GMP Annex 11 – Computerised Systems.
• Nguyên tắc GAMP về vòng đời, quản lý thay đổi, bảo mật và hệ thống máy tính hóa.
• IEC 62443 và các hướng dẫn an ninh hệ thống điều khiển/công nghiệp khi phù hợp phạm vi.
• Chính sách Hệ thống máy tính hóa và Tính toàn vẹn dữ liệu.
• Chính sách Quản lý sai lệch, CAPA và Kiểm soát thay đổi.
• Chính sách Liên tục kinh doanh, Sao lưu và Khôi phục sau thảm họa.
• Chính sách Quản lý vòng đời sản phẩm, Thông báo thay đổi và Ngừng hỗ trợ.
• Security advisory, release note, hardening guide và tài liệu kỹ thuật của OEM.

22. Hiệu lực và rà soát

Chính sách có hiệu lực kể từ ngày được công bố trên website của SAO NAM và được rà soát ít nhất hằng năm hoặc sớm hơn khi có thay đổi đáng kể về pháp luật, công nghệ, OEM, hạ tầng, công cụ truy cập, lỗ hổng, bản vá hoặc xu hướng sự cố.

Biểu mẫu remote access, danh sách tài khoản, quy tắc hardening, kế hoạch patch, cấu hình backup, log review và playbook ứng phó sự cố được quản lý riêng, không công khai đầy đủ trên website.