Sự cố an toàn thông tin mạng là gì? Không báo cáo sự cố an toàn thông tin mạng theo đúng quy trình sẽ bị xử phạt bao nhiêu?

Nội dung chính

• Sự cố an toàn thông tin mạng được hiểu là gì?
• Việc báo cáo sự cố an toàn thông tin mạng được pháp luật quy định như thế nào?
• Không thực hiện báo cáo sự cố an toàn thông tin mạng theo đúng quy trình sẽ bị xử phạt bao nhiêu?

Sự cố an toàn thông tin mạng được hiểu là gì?

Theo quy định tại khoản 1 Điều 2 Thông tư 20/2017/TT-BTTTT, sự cố an toàn thông tin mạng được hiểu là việc thông tin, hệ thống thông tin bị tấn công hoặc gây nguy hại, ảnh hưởng tới tính nguyên vẹn, tính bảo mật hoặc tính khả dụng.

Sự cố an toàn thông tin mạng

Việc báo cáo sự cố an toàn thông tin mạng được pháp luật quy định như thế nào?

Tại Điều 9 Thông tư 20/2017/TT-BTTTT quy định cụ thể về việc thông báo, báo cáo sự cố an toàn thông tin mạng như sau:

(1) Các hình thức thông báo, báo cáo sự cố

- Hình thức thông báo sự cố: Bằng công văn, fax, thư điện tử, nhắn tin đa phương tiện hoặc thông qua hệ thống kỹ thuật báo cáo sự cố an toàn thông tin mạng theo hướng dẫn của Cơ quan điều phối quốc gia;

- Hình thức báo cáo sự cố: Bằng văn bản giấy hoặc văn bản điện tử (có ký tên và đóng dấu hoặc chữ ký số của người có thẩm quyền).

(2) Báo cáo sự cố an toàn thông tin mạng

- Đơn vị, cá nhân vận hành hệ thống thông tin có trách nhiệm chậm nhất 05 ngày kể từ khi phát hiện sự cố phải thông báo các thông tin của sự cố theo nội dung tại Điểm a Khoản 3 Điều này (Thông báo sự cố) tới đồng thời các cơ quan, đơn vị sau: Chủ quản hệ thống thông tin, Cơ quan điều phối quốc gia, Đơn vị chuyên trách về ứng cứu sự cố và thành viên mạng lưới ứng cứu sự cố có trách nhiệm liên quan (nếu có). Tại thời điểm báo cáo, nếu chưa hoàn thành việc xử lý sự cố, đơn vị, cá nhân vận hành hệ thống phải cập nhật lại thông tin của sự cố cho các cơ quan, đơn vị đã nhận thông tin trước đó ngay khi kết thúc việc xử lý sự cố;

- Trường hợp đơn vị, cá nhân vận hành hệ thống thông tin xác định sự cố có thể vượt khả năng xử lý của mình phải xây dựng ngay Báo cáo ban đầu sự cố, báo cáo Chủ quản hệ thống thông tin, Đơn vị chuyên trách về ứng cứu sự cố chịu trách nhiệm ứng cứu (nếu có) và Cơ quan điều phối quốc gia; sau khi kết thúc ứng cứu sự cố, chậm nhất trong vòng 05 ngày phải hoàn thiện Báo cáo kết thúc ứng phó sự cố để báo cáo Chủ quản hệ thống thông tin và Cơ quan điều phối quốc gia. Cơ quan điều phối quốc gia chỉ ghi nhận sự cố đã hoàn thành ứng cứu sự cố sau khi đã nhận được Báo cáo kết thúc ứng phó sự cố;

- Các tổ chức, cá nhân không phải là đơn vị, cá nhân vận hành hệ thống thông tin khi phát hiện dấu hiệu tấn công hoặc sự cố an toàn thông tin mạng cần nhanh chóng thông báo thông tin của sự cố (Thông báo sự cố) tới đồng thời hoặc một trong các cơ quan, đơn vị sau: Đơn vị, cá nhân vận hành hệ thống thông tin Chủ quản hệ thống thông tin, Cơ quan điều phối quốc gia, Đơn vị chuyên trách về ứng cứu sự cố hoặc thành viên mạng lưới ứng cứu sự cố có trách nhiệm liên quan.

(3) Các loại thông báo, báo cáo sự cố:

- Thông báo sự cố, nội dung gồm: Tên, địa chỉ đơn vị, cá nhân thông báo sự cố; tên hoặc tên miền, địa chỉ IP của hệ thống thông tin bị sự cố; tên địa chỉ của đơn vị, cá nhân vận hành và cơ quan chủ quản hệ thống thông tin bị sự cố (nếu biết); mô tả sự cố và thời điểm phát hiện sự cố; kết quả xử lý sự cố đề xuất, kiến nghị và các thông tin liên quan khác (nếu có);

- Báo cáo ban đầu sự cố, nội dung theo Biểu mẫu số 03 Phụ lục I ban hành kèm theo Thông tư này;

- Báo cáo diễn biến tình hình;

- Báo cáo phương án ứng cứu cụ thể;

- Báo cáo đề nghị hỗ trợ, phối hợp;

- Báo cáo kết thúc ứng phó sự cố, nội dung theo Biểu mẫu số 04 Phụ lục I ban hành kèm theo Thông tư này.

(4) Trong quá trình ứng cứu sự cố, đơn vị, cá nhân vận hành hệ thống phải chủ trì, phối hợp với các cơ quan, đơn vị liên quan xây dựng và duy trì thực hiện các báo cáo ứng cứu sự cố theo quy định và yêu cầu của cơ quan có thẩm quyền.

Không thực hiện báo cáo sự cố an toàn thông tin mạng theo đúng quy trình sẽ bị xử phạt bao nhiêu?

Căn cứ theo khoản 3 Điều 78 Nghị định 15/2020/NĐ-CP quy định về việc xử phạt đối với những hành vi vi phạm các quy định về đảm bảo an toàn thông tin và ứng cứu sự cố an toàn thông tin mạng như sau:

“3. Phạt tiền từ 30.000.000 đồng đến 40.000.000 đồng đối với một trong các hành vi sau:

a) Không tổng hợp, báo cáo Cơ quan điều phối quốc gia về diễn biến sự cố khi được yêu cầu;

b) Không thành lập hoặc không chỉ định đơn vị chuyên trách ứng cứu sự cố an toàn thông tin mạng hoặc không thành lập Đội ứng cứu sự cố;

c) Không ghi nhận hoặc không tiếp nhận thông báo hoặc không báo cáo sự cố an toàn thông tin mạng theo đúng quy trình;

d) Không xây dựng Kế hoạch ứng phó sự cố bảo đảm an toàn thông tin mạng;

đ) Cung cấp không đầy đủ thông tin trong thời gian chưa khắc phục triệt để sự cố;

e) Không tổng hợp, xây dựng báo cáo định kỳ 06 tháng, 01 năm;

g) Thực hiện không đầy đủ các yêu cầu điều phối ứng cứu sự cố của Cơ quan điều phối quốc gia.”

Lưu ý: theo quy định tại khoản 3 Điều 4 Nghị định 15/2020/NĐ-CP thì mức phạt tiền quy định trên đây là mức phạt tiền được áp dụng đối với hành vi vi phạm hành chính của tổ chức. Trường hợp cá nhân có hành vi vi phạm như của tổ chức thì mức phạt tiền bằng 1/2 mức phạt tiền đối với tổ chức.

Như vậy, nếu không báo cáo sự cố an toàn thông tin mạng theo đúng quy trình thì có thể bị xử phạt hành chính với mức phạt tiền từ 30 - 40 triệu đồng (mức phạt đối với tổ chức), đối với cá nhân thì mức xử phạt sẽ từ 15 - 20 triệu đồng.