Sự cố an toàn thông tin mạng là gì? Không báo cáo sự cố an toàn thông tin mạng theo đúng quy trình sẽ bị xử phạt bao nhiêu?

Tôi có thắc mắc liên quan đến sự cố an toàn thông tin mạng cần được giải đáp. Cụ thể, theo tôi được biết thì các đơn vị vận hành hệ thống thông tin có trách nhiệm phải báo cáo khi gặp sự cố an toàn thông tin mạng cho cơ quan chức năng. Vậy khi thực hiện báo cáo thì có phải tuân thủ theo quy trình, thủ tục nào không? Nếu không báo cáo sự cố an toàn thông tin mạng theo đúng quy trình bị phạt bao nhiêu tiền? Nhờ trích dẫn văn bản mới nhất.

Sự cố an toàn thông tin mạng được hiểu là gì?

Theo pháp luật tại khoản 1 Điều 2 Thông tư 20/2017 / TT-BTTTT, sự cố an toàn thông tin mạng được hiểu là việc thông tin, mạng lưới hệ thống thông tin bị tiến công hoặc gây nguy cơ tiềm ẩn, tác động ảnh hưởng tới tính nguyên vẹn, tính bảo mật thông tin hoặc tính khả dụng .

Sự cố an toàn thông tin mạng

Việc báo cáo sự cố an toàn thông tin mạng được pháp luật quy định như thế nào?

Tại Điều 9 Thông tư 20/2017/TT-BTTTT quy định cụ thể về việc thông báo, báo cáo sự cố an toàn thông tin mạng như sau:

( 1 ) Các hình thức thông tin, báo cáo giải trình sự cố- Hình thức thông tin sự cố : Bằng công văn, fax, thư điện tử, gửi tin nhắn đa phương tiện hoặc trải qua mạng lưới hệ thống kỹ thuật báo cáo giải trình sự cố an toàn thông tin mạng theo hướng dẫn của Cơ quan điều phối vương quốc ;- Hình thức báo cáo giải trình sự cố : Bằng văn bản giấy hoặc văn bản điện tử ( có ký tên và đóng dấu hoặc chữ ký số của người có thẩm quyền ) .( 2 ) Báo cáo sự cố an toàn thông tin mạng- Đơn vị, cá thể quản lý và vận hành mạng lưới hệ thống thông tin có nghĩa vụ và trách nhiệm chậm nhất 05 ngày kể từ khi phát hiện sự cố phải thông tin những thông tin của sự cố theo nội dung tại Điểm a Khoản 3 Điều này ( Thông báo sự cố ) tới đồng thời những cơ quan, đơn vị chức năng sau : Chủ quản mạng lưới hệ thống thông tin, Cơ quan điều phối vương quốc, Đơn vị chuyên trách về ứng cứu sự cố và thành viên mạng lưới ứng cứu sự cố có nghĩa vụ và trách nhiệm tương quan ( nếu có ). Tại thời gian báo cáo giải trình, nếu chưa triển khai xong việc xử lý sự cố, đơn vị chức năng, cá thể quản lý và vận hành mạng lưới hệ thống phải update lại thông tin của sự cố cho những cơ quan, đơn vị chức năng đã nhận thông tin trước đó ngay khi kết thúc việc xử lý sự cố ;- Trường hợp đơn vị chức năng, cá thể quản lý và vận hành mạng lưới hệ thống thông tin xác lập sự cố hoàn toàn có thể vượt năng lực giải quyết và xử lý của mình phải thiết kế xây dựng ngay Báo cáo khởi đầu sự cố, báo cáo giải trình Chủ quản mạng lưới hệ thống thông tin, Đơn vị chuyên trách về ứng cứu sự cố chịu nghĩa vụ và trách nhiệm ứng cứu ( nếu có ) và Cơ quan điều phối vương quốc ; sau khi kết thúc ứng cứu sự cố, chậm nhất trong vòng 05 ngày phải triển khai xong Báo cáo kết thúc ứng phó sự cố để báo cáo giải trình Chủ quản mạng lưới hệ thống thông tin và Cơ quan điều phối vương quốc. Cơ quan điều phối vương quốc chỉ ghi nhận sự cố đã triển khai xong ứng cứu sự cố sau khi đã nhận được Báo cáo kết thúc ứng phó sự cố ;- Các tổ chức triển khai, cá thể không phải là đơn vị chức năng, cá thể quản lý và vận hành mạng lưới hệ thống thông tin khi phát hiện tín hiệu tiến công hoặc sự cố an toàn thông tin mạng cần nhanh gọn thông tin thông tin của sự cố ( Thông báo sự cố ) tới đồng thời hoặc một trong những cơ quan, đơn vị chức năng sau : Đơn vị, cá thể quản lý và vận hành mạng lưới hệ thống thông tin Chủ quản mạng lưới hệ thống thông tin, Cơ quan điều phối vương quốc, Đơn vị chuyên trách về ứng cứu sự cố hoặc thành viên mạng lưới ứng cứu sự cố có nghĩa vụ và trách nhiệm tương quan .

(3) Các loại thông báo, báo cáo sự cố:

– Thông báo sự cố, nội dung gồm : Tên, địa chỉ đơn vị chức năng, cá thể thông tin sự cố ; tên hoặc tên miền, địa chỉ IP của mạng lưới hệ thống thông tin bị sự cố ; tên địa chỉ của đơn vị chức năng, cá thể quản lý và vận hành và cơ quan chủ quản mạng lưới hệ thống thông tin bị sự cố ( nếu biết ) ; diễn đạt sự cố và thời gian phát hiện sự cố ; tác dụng xử lý sự cố đề xuất kiến nghị, đề xuất kiến nghị và những thông tin tương quan khác ( nếu có ) ;- Báo cáo khởi đầu sự cố, nội dung theo Biểu mẫu số 03 Phụ lục I phát hành kèm theo Thông tư này ;- Báo cáo diễn biến tình hình ;- Báo cáo giải pháp ứng cứu đơn cử ;- Báo cáo ý kiến đề nghị tương hỗ, phối hợp ;- Báo cáo kết thúc ứng phó sự cố, nội dung theo Biểu mẫu số 04 Phụ lục I phát hành kèm theo Thông tư này .( 4 ) Trong quy trình ứng cứu sự cố, đơn vị chức năng, cá thể quản lý và vận hành mạng lưới hệ thống phải chủ trì, phối hợp với những cơ quan, đơn vị chức năng tương quan kiến thiết xây dựng và duy trì triển khai những báo cáo giải trình ứng cứu sự cố theo pháp luật và nhu yếu của cơ quan có thẩm quyền .

Không thực hiện báo cáo sự cố an toàn thông tin mạng theo đúng quy trình sẽ bị xử phạt bao nhiêu?

Căn cứ theo khoản 3 Điều 78 Nghị định 15/2020/NĐ-CP quy định về việc xử phạt đối với những hành vi vi phạm các quy định về đảm bảo an toàn thông tin và ứng cứu sự cố an toàn thông tin mạng như sau:

“3. Phạt tiền từ 30.000.000 đồng đến 40.000.000 đồng đối với một trong các hành vi sau:

a) Không tổng hợp, báo cáo Cơ quan điều phối quốc gia về diễn biến sự cố khi được yêu cầu;

b) Không thành lập hoặc không chỉ định đơn vị chuyên trách ứng cứu sự cố an toàn thông tin mạng hoặc không thành lập Đội ứng cứu sự cố;

c) Không ghi nhận hoặc không tiếp nhận thông báo hoặc không báo cáo sự cố an toàn thông tin mạng theo đúng quy trình;

d) Không xây dựng Kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng;

đ) Cung cấp không đầy đủ thông tin trong thời gian chưa khắc phục triệt để sự cố;

e) Không tổng hợp, xây dựng báo cáo định kỳ 06 tháng, 01 năm;

g) Thực hiện không đầy đủ các yêu cầu điều phối ứng cứu sự cố của Cơ quan điều phối quốc gia.”

Lưu ý: theo quy định tại khoản 3 Điều 4 Nghị định 15/2020/NĐ-CP thì mức phạt tiền quy định trên đây là mức phạt tiền được áp dụng đối với hành vi vi phạm hành chính của tổ chức. Trường hợp cá nhân có hành vi vi phạm như của tổ chức thì mức phạt tiền bằng 1/2 mức phạt tiền đối với tổ chức.

Như vậy, nếu không báo cáo sự cố an toàn thông tin mạng theo đúng quy trình thì có thể bị xử phạt hành chính với mức phạt tiền từ 30 – 40 triệu đồng (mức phạt đối với tổ chức), đối với cá nhân thì mức xử phạt sẽ từ 15 – 20 triệu đồng.