通知第31/2017/TT-BTTTT号关于信息系统安全监控活动的规定

通知

关于信息系统安全监控活动的规定

根据2015年11月19日《网络安全法》；

根据二零一三年七月十五日国务院令第72号《关于互联网服务和网络信息管理、提供、使用的规定》；

根据2014年4月7日政府第25/2014/NĐ-CP号法令关于防范和打击使用高科技手段的犯罪和其他违法行为处理使用高科技的犯罪和其他违法活动的行为； 提供保障

根据2016年7月1日政府第85/2016/NĐ-CP号法令关于按等级保障信息安全

根据2017年2月17日由政府发布的第17/2017/NĐ-CP号法令，规定工信部职能、任务、权限和组织结构；

根据2017年3月16日总理第05/2017/QĐ-TTg号决定关于发布国家网络安全应急响应预案的规定3.4. 第四种攻击技术：（与第一种攻击技术描述类似）3.5. 第五种攻击技术：国家信息安全保护工作

根据2015年10月14日政府第36a/NQ-CP号决议关于“互联网+”行动计划||| 政府组织法 电子版;

根据越南计算机紧急响应中心主任的建议

信息通信部部长发布本通知，规定信息系统安全监控活动。

第一章

总则

第一条 调整范围

本通知对全国范围内的信息系统安全监控活动（以下简称“监控”）进行规定，不包括由国防部和公安部管理的信息系统。

第二条 适用对象

本通知适用于直接参与或与全国范围内监控活动有关的机关、组织、企业和个人。

第二章

信息系统安全监控

条 3. 监控原则

1. 确保持续、不间断地实施。

2. 主动跟踪、分析、预防，及时发现并阻止网络信息安全风险和事故。

3. 确保监控过程中提供的和交换的信息稳定、保密。

4. 信息通信部的监控活动与系统主管单位的监控活动之间应紧密协调、高效配合；逐步建立信息通信部监控系统与系统主管单位监控系统之间的互联互通能力，覆盖全国范围。

条 4. 监控方式

1. 监控可以通过直接监控或间接监控方式进行。系统主管单位可以自行开展或委托服务提供商进行监控。必要时，根据实际能力和资源情况，系统主管单位可请求信息通信部相关职能单位提供符合实际情况的支持性监控。

2. 直接监控是指通过设置具有数据流分析功能的设备（监测），直接收集被监控系统的日志信息和警报，以发现攻击迹象、风险和网络信息安全事故。直接监控包括以下活动：

a) 分析、收集网络信息安全信息：

- 在互联网连接端口上通过具备网络流量分析能力的工具（如IDS/IPS/Web防火墙等）分析和监测网络传输/信息流中的网络信息安全攻击、风险和事故；

- 收集反映应用程序、信息系统和信息安全设备运行状况的日志文件和警报。

b) 整合、同步、验证和处理网络信息安全信息，以发现攻击、风险和网络信息安全事故，或排除不准确的信息。

3. 间接监控是指从相关信息源收集信息的技术；检查和审查需要监控的对象，以评估其运行状态、应对能力，并结合其他相关因素进行分析，以发现网络信息安全攻击、风险和事故。间接监控包括以下活动：

a) 从相关信息源收集、分析和验证与监控对象相关的网络信息安全攻击、风险和事故信息；

b) 远程或现场检查和审查监控对象，评估其运行状态，发现可能被利用、攻击或造成损害的网络信息安全攻击、风险和事故。

条 5. 直接监督要求信息系统的管理者

信息系统的管理者有责任主动按照现行规定实施监督。对于三级及以上信息系统，信息系统的管理者的监督活动需要满足以下最低要求：

1. 管理者的信息系统中央监控组件需要满足以下要求：

a) 提供足够的功能来收集和汇总网络信息安全信息；

b) 分析收集到的信息以发现并警告可能影响系统运行或服务提供能力的网络信息安全攻击、风险和事件；

c) 提供便于持续跟踪和监控的界面；

d) 实施收集和分析以下最小输入信息：包含应用程序（例如电子政务门户、在线公共服务等）的Web服务器日志；基础监测设备的警报/日志；与需要监控的对象相关的互联网连接流量保护设置的防火墙警报/日志；

e) 中央监控组件的处理能力需要符合被监控系统的数据量、格式，并能够分析从被监控系统收集到的网络信息安全信息。

2. 收集网络信息安全信息和基础监测需要满足以下要求：

a) 从与需要监控对象相关的软件/设备的日志和警报中收集网络信息安全信息，提供给信息系统的管理者中央监控组件或根据工业和信息化部职能机构的要求。至少需要收集和提供的网络信息安全信息包括：包含应用程序（例如电子政务门户、在线公共服务等）的Web服务器日志；基础监测设备的警报/日志；与需要监控的对象相关的互联网连接流量保护设置的防火墙警报/日志；

b) 基础监测设备确保检测网络信息安全攻击、风险和事件的功能；需要设置以确保能够覆盖所有需要监控对象的互联网连接；

c) 监测设备至少需要具备检测和基于如源IP地址、目标IP地址、源端口、目标端口、在传输包中的特殊数据段等信息创建特定攻击检测规则的功能。对于国家机关和组织自行部署的基础监测设备，优先使用现有的攻击检测设备（例如IDS、IPS、Web防火墙等）作为基础监测设备；

d) 对于服务于电子政务且使用加密协议（例如https）的信息系统，需要有技术方案确保网络信息安全监测设备能够获得完整信息以便检测攻击、风险和事件；

按照职能机构的指导和要求，建立并连接基础监测设备到工业和信息化部的监测系统；

3. 监督执行内容：

a) 连续监视，每日报告，确保信息系统的管理者监测系统稳定连续运行并收集信息；

b) 制定并发布网络安全信息监测制度，其中具体规定定期统计处理结果和报告的时间期限；

c) 确保基础监测设备的稳定连续运行，及时调整任何变化，并全面遵循工业和信息化部的指导以确保监督效果；

d) 每周编制监督结果报告并向信息系统的管理者报告，报告内容应包括以下全部信息：监督时间；需注意的被攻击对象目录（IP地址、提供的服务描述、被攻击时间）；已发现的攻击技术和相关证据；攻击者；被监督系统及其监督系统的变更情况等；

e) 根据具体情况对网络信息安全威胁、风险和事件进行分类；

f) 定期统计处理网络信息安全威胁、风险和事件的结果，以支持存储和报告工作；

g) 如果信息系统的管理者请求工业和信息化部职能单位进行基础监测或属于工业和信息化部监督责任范围内的系统监督，信息系统的管理者有责任向工业和信息化部提供并更新需要监督的信息系统信息以及描述其监督系统的技术实施方案，按照附件1的信息提供表格，其中包括以下信息：

- 被监督对象的描述，包括以下基本信息：IP地址、域名、提供的服务、操作系统名称和版本、Web应用软件；

- 信息系统的管理者监督系统的放置位置、连接到被监督对象的数据传输容量、预计收集的信息和收集协议，例如IDS警报、防火墙日志（log firewall）、Web服务器日志（log web server）等；

h) 最低信息存储能力达到正常运行30天；

i) 根据法律规定，按定期或临时要求向工业和信息化部提供监督信息；

j) 按照附件2的模板，每半年向工业和信息化部报告一次监督活动。

条 6. 企业的监督活动

电信企业、信息技术服务提供企业、网络安全服务提供企业负有以下责任：

1. 根据工业和信息化部的要求，与信息系统的主管单位合作进行监督。

2. 提供基础设施、技术、网络系统的信息，并根据工业和信息化部的要求提供技术支持，以服务于工业和信息化部的监督活动。

3. 按照国务院总理第05/2017/QĐ-TTg号决定第七条的规定执行监督任务。

条 7. 监督联系点

1. 信息系统主管单位负责指派个人或部门作为安全信息网络的监督联系点，以便与工业和信息化部职能单位配合。

2. 监督联系点必须确保及时、连续地提供和接收信息。监督联系点的功能是在其信息系统范围内执行监督活动。

3. 监督联系点应通过公文、电子邮件、电话、传真或专门的信息交流软件等方式之一或同时进行信息的提供和交换，以确保信息安全。

4. 监督联系点的信息包括：姓名、部门名称、职务、地址、固定电话和移动电话号码、电子邮件地址、数字签名（如有）。

条 8. 信息交流、提供和共享

1. 鼓励监督联系点之间相互交流、提供信息，以促进监督、预警、应急响应工作，提高对组织和个人面临的威胁、风险、攻击方式和手段的主动应对能力。

2. 共享、提供的信息包括网络信息安全攻击、风险、事故信息；攻击方式、手段、来源；事故影响；管理和技术措施。

3. 信息交流、提供的原则

a) 及时准确，采取适当的技术管理措施保护信息交流的安全；

b) 主动验证信息的真实性；

c) 使用网站、公文、电子邮件、短信、电话、传真等多种形式进行信息交流；

d) 向工业和信息化部职能单位提供、交流信息时，需遵循工业和信息化部的指导。

条 9. 提升监督能力的活动

1. 定期召开监督工作会议和研讨会。

2. 培训、演练，提升监督能力。

3. 督促、检查各网络安全专业部门的监督、预警工作执行情况。

4. 分享监督、预警、应急响应的知识和经验。

5. 研究、建立支持协调、信息交流工作的工具。

6. 开发针对特定监督对象的深度监控、分析、预警产品和服务。

7. 推动网络安全专业部门之间的双边或多边合作协议，以提升监督、预警能力。

8. 加强国际间在监督、预警、应急响应方面的合作。

第三章

工业和信息化部的监督活动

条 10. 监督模型由工业和信息化部负责

1. 中心监督活动：

a) 是指基于通过直接监控系统或间接监控收集的信息安全网络数据，收集、跟踪、发现、分析、处理、报告关于网络信息安全攻击迹象、风险和事故的证据，并将收集的数据以事件形式存储，同时集中管理监控系统；

b) 通过工业和信息化部职能单位管理并运行的越南互联网网络安全事件监控系统和互联网攻击处理系统实施，在数据共享和联动操作的原则下提高监督效果。

2. 基础监控系统

a) 是指能够跟踪、收集、分析并向中心监督活动提供日志信息、状态和警报信息的一系列设备和软件，以便于分析和发现网络信息安全事故、弱点、风险和漏洞；

b) 根据工业和信息化部职能单位的指导，为这些设备和软件提供适合其运行和从被监控对象收集数据的技术条件和位置；

c) 由工业和信息化部职能单位牵头，与信息系统主管合作，按照法律规定建立、设置、管理和运行基础监控系统；

d) 实施基础监控的设备或软件应根据工业和信息化部的技术标准、规范或业务指南连接并服务于中心监督活动。

条 11. 工业和信息化部的监督活动

1. 工业和信息化部对支持电子政务的信息系统和服务进行监督。

2. 根据信息系统主管的要求，工业和信息化部组织对需要优先保障网络信息安全的重要领域信息系统进行监督，符合实际资源情况。

3. 工业和信息化部的中心监督活动确保能够接收并分析从基础监控系统和其他用于间接监控的设备和系统收集到的监督信息。

4. 工业和信息化部的监督活动包括：

a) 选择、管理并更新本通知及相关法律法规规定的监督对象名单；

b) 跟踪、值班中心监督，编制监督分析报告；检查并督促监督跟踪工作；

c) 汇总、存储、分析并分类从基础监控系统和其他用于间接监控的设备和系统以及其它信息来源收集到的信息和数据；

d) 执行检查和分析证据、数据，以发现异常迹象、网络信息安全风险。在未明确风险或事故发生的情况下，采取补充措施以获取必要的信息和数据，提高分析结果和预警信息的准确性；

e) 对监督对象进行调查和验证，确定风险和事故发生的情况。根据具体情况分析和分类网络信息安全攻击、风险和事故。当发现对监督对象的攻击、风险和事故时，向负责网络信息安全的部门、信息系统运营单位和信息系统主管发出警告；

f) 指导信息系统主管实施监督；组织建立并指导从信息系统主管的监督系统到工业和信息化部中心监督系统的连接。在收集和分析过程中保护网络信息安全数据；

g) 定期统计监督结果、预警和处理网络信息安全攻击、风险和事故的情况，以供存档和报告使用；

h) 指导和支持信息系统运营单位和信息系统主管在必要情况下执行网络信息安全攻击、风险和事故的应急响应和处理；

i) 支持一些信息系统运营单位和信息系统主管根据实际情况建立适当的基础监控系统；

j) 工业和信息化部职能单位每年编制预算并批准、分配从国家财政和其他合法资金来源中用于监督任务的资金，依据法律规定和职能机构的指导，提交部长或有权限的上级机关审批。

第四章 实施细则

 各机关、组织的责任

条12. 国家网络信息安全局

1. 管理和运行越南互联网攻击处理系统，以执行中央监控活动。

2. 汇总监控结果及有关网络安全的信息和数据，为国家网络安全管理工作服务。

3. 催促落实基本的保障信息系统安全和监控的规定要求，按照规定的安全等级进行。

4. 主持并配合VNCERT中心研究制定技术标准和详细指导连接基础监测系统与越南互联网攻击处理系统的指南，呈报信息通信部部长发布。

5. 配合或主持对需要优先保障网络安全的重要领域信息系统进行监控，根据系统主管单位的要求进行。

条13. VNCERT中心

1. 管理和运行网络安全事件监控系统，以执行中央监控活动。

2. 汇总监控结果及有关网络安全的信息和数据，为协调和应对突发事件工作服务。

3. 主持并配合国家网络信息安全局制定监控流程指导；组织实施提高监控能力的活动；督促、跟踪、检查按信息通信部部长分配的任务进行的网络安全监控和预警活动。

4. 主持并配合国家网络信息安全局研究制定技术标准和详细指导连接基础监测系统与网络安全事件监控系统的指南，呈报信息通信部部长发布。

5. 主持对支持电子政务的信息系统和技术信息服务进行网络安全监控和预警。配合或主持对需要优先保障网络安全的重要领域信息系统进行监控，根据系统主管单位的要求进行。

6. 汇总、报告全国网络安全监控和预警结果，并统计攻击、风险和网络安全事件。

条14. 信息系统主管单位

1. 指导对主管范围内的信息系统进行监控，配合信息通信部职能单位按规定进行监控。

2. 执行指导并紧密配合信息通信部职能单位在监控活动中。

3. 根据信息通信部的要求提供监控活动的相关信息。

4. 定期每半年或应信息通信部要求提交监控结果报告（见附件2）。

5. 准备符合规定技术标准的互联网接入点和备用接口，以便信息通信部建立监控点。

6. 由信息通信部进行监控的信息系统主管单位负责：

a) 确定并列出需要监控的系统和对象名单，并向信息通信部提供相关技术信息；

b) 按照本通知及相关法律规定部署主管信息系统监控系统；配合提供所需监控的基础设施和信息系统信息，并按信息通信部职能单位的要求提供技术支持；

c) 组织接收预警信息和处理网络安全攻击、风险和事件的团队，按照信息通信部职能单位的要求进行；

d) 定期统计处理网络安全攻击、风险和事件的结果，供存储和报告使用。

7. 每年编制预算并批准、分配从国家财政和其他合法资金来源中用于监控任务的资金，按照法律规定和职能机关的指导进行。

第五章

组织实施

第十五条 生效日期

1. 本通知自2018年1月15日起生效。

2. 在执行过程中，如遇困难或问题，相关组织和个人应及时反映给信息通信部，以获得指导或补充和修改。

 

 

附件1：监控信息提供表单

 

提供/更新/日常通
内河航道管理、养护的 知信

息需

- 根据2006年6月29日《信息技术法》；

要监

控安

- 地址：……

全信

息网

络的

1. 样品信息：

信息

系统

I. 运行单位和信息提供联系人信息

- 信息系统管理运行单位名称：……

- 信息提供联系人姓名：……

- 职务：……

- 电话号码：……

II. 需要监控的信息系统 A. 当前存在的信息系统：实际担任会计或负责会计的时间): ..................................................................................................................

□ 门户网站：……

□ 在线公共服务系统：……

□ 电子邮件系统：……

□ 办公自动化系统：……

..................................................................................................................

□ 数据库系统：……

□ 其他系统

（请注明）

B. 需要监控的信息系统具体信息 1. 第一信息系统： ...................................

1.1. 信息系统名称：…… 1.2. 信息系统功能、规模和服务范围简述：……ｉ1.3. 信息系统级别：……:   

优先对象 1.4. 信息系统位置：……市人民政府； □ 单位数据中心，位于：……由以下单位管理运营：: ..............................................................................................

□ 租用外部主机托管服务，位于：

（提供主机托管服务和数据中心的单位名称）

.............................................................................................................................................

（数据中心地址）

1.5. 信息系统域名、UPL：…… 1.6. 信息系统使用的IP地址段：: ..............................................................................................

1.7. 支撑信息系统运行的网络设备： 1.6. 信息系统使用的IP地址段：: ..............................................................................................

□ IDS/IPS（入侵检测/防御设备） 1.6. 信息系统使用的IP地址段：: ............................

□ 防火墙，Firewall （类副部长、型，型号）: .........................................................................

□ 其他网络设备 1.6. 信息系统使用的IP地址段：: ..........................................................................

1.8. 用于信息系统的平台软件、系统软件、工具（PMNT）、操作系统（OS）：

□ 各服务器操作系统：……

□ 各应用平台软件：……

□ 各终端操作系统：……

□ 其他平台、系统、工具、操作系统 （详细说明）: ......................

1.9. 信息系统其他技术信息（详细说明）：

..................................................................................................................

1.10. 信息系统安全监控解决方案：

□ 已有 （详细说明以下信息）    □ 尚无

a. 系统主管的监控：

□ 自行实施。

□ 租用服务 （详细说明服务提供商）: ................................................................

- 监控形式 （直接或间接）: ....................................................................

- 监控技术和方法描述：……

..................................................................................................................

- 每秒处理的安全事件数量（EPS）：……EPS。

- 每天存储的安全事件硬盘容量（GB/day）：……GB/Day。

- 监控系统是否使用相关联规则处理引擎：□ 是；□ 否。

- 监控级别 （选择以下级别）结构 □ 基本级监控（网络层和外围层）：对路由器、交换机、防火墙（Firewall）、IDS/IPS等网络设备进行监控。□ 操作系统层监控：收集并分析操作系统日志。:

□ 应用层监控：收集、分析并监控应用程序服务的日志（例如：Web服务器；邮件服务器等）。

□ 数据库层监控：收集、分析并监控数据库服务日志。

- 监控系统组件

（选择以下组件）

□ 基础监测组件（如传感器、IDS/IPS设备、防火墙设备等） □ 数据采集/标准化组件（Connector）:

□ 监控数据存储组件（Logger）

□ 分析/中央监控组件（ESM）

- 基础监测设备描述：……

b. 其他监控方案

（如有，请详细说明执行单位、技术及方法描述）

..................................................................................................................

..................................................................................................................

c. 信息通信部对信息系统的信息安全保障监控： - 请求信息通信部：:

...........................................................................................................................................

..................................................................................................................

..................................................................................................................

□ 实施连接监控；

□ 不请求实施；

□ 其他……

- 请求信息通信部支持系统主管的监控：

□ 有

（详细说明直接或间接监控或两者兼有）

□ 无 - 其他要求/建议：……: ...................................

2. 第二信息系统：

（与第一信息系统相同）

..................................................................................................................

n. 第n信息系统： III. 执行信息安全监控工作的人员（监控）

..................................................................................................................

1. 单位监控工作领导 III. 执行信息安全监控工作的人员（监控）

..................................................................................................................

（详细说明姓名、职务、电话、电子邮件）

2. 单位监控部门负责人 3. 单位监控人员名单：:......

.................................................................................................................................................................................................................................

（专业资格） 3. 单位监控人员名单：:..........

..................................................................................................................

..................................................................................................................

证书

（签字，详细说明姓名、电话、电子邮件）

..................................................................................................................

 定期的信息系统

 

报告

（自……I. 综合监控信息

- 监控时间：……小时……分钟至……小时……分钟独立 自由 幸福 )

- 根据2006年6月29日《信息技术法》；

- 收集到的安全事件总数：

- 高危安全事件总数：

- 信息安全状况：[严重/危险/正常/安全]

- 发生的事故数量：

- 监控期间信息安全情况概述：

II. 监控结果

1. 最常发现的攻击技术列表（至少五种攻击技术）

..................................................................................................................

..................................................................................................................

攻击技术

攻击次数

3. 最常被攻击的IP地址列表（至少五个IP地址）

被攻击设备/软件描述

III. 典型攻击类型

1. 最危险的攻击类型（至少五种）：

. 攻击技术1

- 攻击技术名称：……

1. 1- 国际代码（如有）：……- 受攻击对象：……:

- 特征：……

- 描述：……

- 发生次数和时间：……

- 危险程度评估：……

- 影响：……

- 已采取的措施：……

- 参考资料：……

- 备注：……

1.2. 攻击技术2：（与攻击技术1描述类似）

1.3. 攻击技术3：（与攻击技术1描述类似）

1.4. 攻击技术4：（与攻击技术1描述类似）

1.5. 攻击技术5：（与攻击技术1描述类似

.n. 攻击技术n：……2. 最常见的攻击类型（至少五种）- 受攻击对象：……)

2.1. 攻击技术1

2.2. 攻击技术2：（与攻击技术1描述类似)

.............................................................................................................................................

12.3. 攻击技术3：（与攻击技术1描述类似

2.4. 攻击技术4：（与攻击技术1描述类似

2.5. 攻击技术5：（与攻击技术1描述类似:

- 特征：……

- 描述：……

- 发生次数和时间：……

- 危险程度评估：……

- 影响：……

- 已采取的措施：……

- 参考资料：……

- 备注：……

1.2. 攻击技术2：（与攻击技术1描述类似）

1.3. 攻击技术3：（与攻击技术1描述类似）

1.4. 攻击技术4：（与攻击技术1描述类似）

2.n. 攻击技术n：3. 新出现的攻击类型（至少五种）)

3.1. 攻击技术1)

3.2. 攻击技术2：（与攻击技术1描述类似） 3.3. 攻击技术3：（与攻击技术1描述类似）

3.4. 攻击技术4：（与攻击技术1描述类似）)

...........................................................................................................................................

3.5. 攻击技术5：（与攻击技术1描述类似 ...................................................................................................

3.n. 攻击技术n：

IV. 监控期内其他信息安全问题:

- 特征：……

- 描述：……

- 发生次数和时间：……

- 危险程度评估：……

- 影响：……

- 已采取的措施：……

- 参考资料：……

- 备注：……

1.2. 攻击技术2：（与攻击技术1描述类似）

1.3. 攻击技术3：（与攻击技术1描述类似）

1.4. 攻击技术4：（与攻击技术1描述类似）

V. 建议和意见：

- VNCCERT中心；信息安全局；

（与第一种攻击技术描述类似）

3.n. 第n种攻击技 术：)

...........................................................................................................................................

四、 监测期内其他信息安全问题五、 建议和意见： ...................................................................................................

- 越南计算机应急响应中心；

...........................................................................................................................................

...........................................................................................................................................

...........................................................................................................................................

信息安全局；

...........................................................................................................................................

...........................................................................................................................................