/Bảo mật thông tin và quản lý rủi ro /Chính sách sử dụng được chấp nhận
VDSS uses technology and information to serve individuals and families across Virginia. Some of this information is sensitive and personal.
This policy explains how to use VDSS systems safely and responsibly. Following these guidelines helps protect people, support daily work and keep services running.
If you ever feel unsure, help is available. Asking questions is encouraged.
Chính sách này áp dụng cho:
Tất cả các cá nhân (nhân viên VDSS, nhân viên LDSS, nhà thầu, nhà thầu phụ, nhà cung cấp, tình nguyện viên, sinh viên thực tập, nhân viên kinh nghiệm làm việc và các cá nhân và tổ chức khác bao gồm Dịch vụ Hỗ trợ Y tế Virginia (DMAS) có nhu cầu sử dụng Internet, email, thông tin liên quan đến VDSS hoặc hệ thống xử lý thông tin liên quan đến VDSS tài trợ.
Tất cả các hệ thống xử lý thông tin và thông tin liên quan đến các tổ chức khác mà VDSS sử dụng, bao gồm nhưng không giới hạn ở Cơ quan An sinh Xã hội (SSA), Sở Thuế Virginia (TAX), Sở Thuế vụ (IRS), Bộ Xe Cơ giới (DMV), Ủy ban Việc làm Virginia (VEC) và Bộ Nông nghiệp Hoa Kỳ (USDA).
1. Người dùng hệ thống thông tin VDSS sẽ không mong đợi quyền riêng tư đối với bất kỳ tin nhắn, tệp, email, hình ảnh hoặc dữ liệu nào được tạo, gửi, xem, truy xuất hoặc nhận được khi sử dụng thiết bị hoặc truy cập do VDSS hoặc Commonwealth of Virginia (COV) cung cấp. VDSS có quyền giám sát mạng máy tính, hệ thống truyền thông điện tử, Internet và hệ thống VDSS bất cứ lúc nào mà không cần thông báo và không có sự cho phép của người dùng.
2. Tất cả các hồ sơ điện tử có thể tuân theo Đạo luật Tự do Thông tin (FOIA) và có sẵn để phân phối công khai.
3. Tất cả các cá nhân và tổ chức sử dụng Internet, email, thông tin liên lạc điện tử khác và hệ thống thông tin VDSS do VDSS tài trợ sẽ tuân thủ các chính sách và thủ tục của COV và VDSS.
4. Người dùng phải tránh thông tin liên lạc cá nhân thường xuyên trên các hệ thống truyền thông điện tử do COV cung cấp bao gồm hệ thống thông tin, Internet, email, điện thoại văn phòng, thiết bị điện thoại di động, trang web truyền thông xã hội và thư thoại được cung cấp cho kinh doanh chính thức.
5. Người dùng phải có trách nhiệm và chuyên nghiệp khi sử dụng các dịch vụ truyền thông điện tử do COV tài trợ cho dù cho mục đích cá nhân hay chuyên nghiệp.
6. Giám đốc có thể tăng cường chính sách này với nhiều hạn chế hơn. Nếu vậy, trước tiên họ phải đệ trình các hạn chế theo kế hoạch của mình cho Giám đốc An ninh Thông tin VDSS (CISO) để xem xét. Việc bổ sung này sẽ thông báo rõ ràng cho nhân viên, dưới dạng văn bản, kỳ vọng của họ về việc cho phép sử dụng Internet, email và các thông tin liên lạc điện tử khác để đảm bảo hiểu rõ ràng về việc sử dụng không thể chấp nhận được nếu nó hạn chế hơn chính sách này.
Lưu ý: Chính sách này không cố gắng xác định tất cả các mục đích sử dụng cá nhân được chấp nhận hoặc không thể chấp nhận được. Thông tin bao gồm trong chính sách này được cung cấp như một hướng dẫn. Nếu nhân viên không rõ về việc sử dụng cá nhân được chấp nhận, anh ấy/cô ấy phải tìm kiếm lời khuyên của người giám sát hoặc Giám đốc bộ phận của mình.
1. Việc sử dụng Internet được chấp nhận bao gồm các hoạt động cần thiết để hỗ trợ mục đích, mục tiêu và sứ mệnh của VDSS cũng như các chức năng công việc được ủy quyền của mỗi người dùng như đã nêu trong bản mô tả công việc và trách nhiệm của nhân viên.
2. VDSS đã triển khai các khả năng giám sát sau:
a. Đăng nhập truy cập Internet;
b. Giám sát việc truy cập và sử dụng Internet của cá nhân; và
c. Nhật ký kiểm toán doanh nghiệp (EAL) để truy cập vào một số hệ thống nhạy cảm nhất định.
3. Việc sử dụng cá nhân không thường xuyên và ngẫu nhiên các dịch vụ Internet do VDSS cung cấp được cho phép trong thời gian ăn trưa đã thiết lập (ít hơn 15 phút trong bất kỳ giờ liên tục nào), thời gian nghỉ (dưới 5 phút), trước và sau lịch làm việc đã thiết lập (ít hơn 15 phút trong bất kỳ giờ liên tục nào), miễn là việc sử dụng đó không vi phạm chính sách, thủ tục hoặc thực tiễn của LDSS, VDSS hoặc COV. Việc sử dụng này có thể bị hạn chế hơn nữa nếu nó được xác định là gây bất lợi cho việc sử dụng Internet kinh doanh.
4. Người sử dụng VDSS phải tránh sử dụng tài nguyên Internet không cần thiết. Với việc triển khai CommonHelp và VACM, VDSS đã trở nên phụ thuộc nhiều hơn vào cơ sở hạ tầng mạng để xử lý các ứng dụng khách hàng cho các dịch vụ hỗ trợ công cộng cốt lõi. Việc sử dụng quá nhiều tài nguyên Internet có liên quan đến sự chậm lại của mạng/hệ thống, khóa, khóa và các vấn đề khác liên quan đến các hoạt động hệ thống khác nhau.
5. Người dùng có thể truy cập email cá nhân, ví dụ: Gmail, Outlook, iCloud, Hotmail, Yahoo! , v.v.) thông qua các nhà cung cấp dịch vụ Internet (tương tự như các cuộc gọi cá nhân trên điện thoại doanh nghiệp. Không có tệp đính kèm nào được tải xuống.
6. Người dùng VDSS bị cấm sử dụng phương tiện truyền thông xã hội bao gồm Facebook, Twitter, Instagram và LinkedIn để tiến hành kinh doanh đại lý liên quan đến thông tin trường hợp nhạy cảm.
LƯU Ý: Internet là một mạng lưới các máy tính được kết nối với nhau mà VDSS có ít quyền kiểm soát. Người dùng phải nhận ra điều này khi sử dụng Internet và hiểu rằng đó là phạm vi công cộng; người dùng có thể tiếp xúc với thông tin, thậm chí vô tình, có thể bị coi là xúc phạm, độc hại, khiêu dâm hoặc không phù hợp. Người dùng phải hiểu rủi ro này trong quá trình sử dụng Internet.
1. Tránh truy cập dữ liệu mạng, tệp và thông tin không liên quan trực tiếp đến công việc của người dùng. Quyền truy cập vào các khả năng hoặc thông tin này không ngụ ý quyền sử dụng quyền truy cập này.
2. Việc truyền không dây của bất kỳ dữ liệu nào cực kỳ dễ bị phục hồi không đúng cách hoặc truy cập vô tình. Do tính tương đối dễ dàng trong việc khôi phục các đường truyền này, các yêu cầu bảo mật cụ thể là cần thiết. Bất kỳ quyền truy cập nào không được đề cập cụ thể trong Hướng dẫn Chương trình và Chính sách Bảo mật Thông tin VDSS đều bị cấm trừ khi Văn phòng ISRM VDSS cấp phép rõ ràng. Người dùng VDSS cần đảm bảo, khi truy cập các kết nối không dây bên ngoài, rằng phiên được mã hóa và bảo mật thích hợp.
1. Ngoài việc sử dụng không thể chấp nhận được như được định nghĩa trong Chính sách 1 của DHRM.75, Sử dụng Truyền thông Điện tử và Truyền thông Xã hội, các tuyên bố sau đây, mặc dù không bao gồm, xác định các mục đích sử dụng cụ thể không thể chấp nhận được. Người dùng không thể sử dụng mạng VDSS/LDSS hoặc hệ thống thông tin để:
• Truy cập để sử dụng cá nhân, thông tin bí mật dành riêng cho khách hàng thông qua SpIDer hoặc trực tiếp thông qua bất kỳ hệ thống thông tin cơ quan nào bao gồm, nhưng không giới hạn, OASIS, ADAPTRO, IAPECS, VEC và/hoặc VACM.
• Truy cập các luồng video thể thao, truyền hình (TV) và các đoạn âm thanh/video - liên quan đến âm nhạc, TV và phim ảnh.
• Truy cập, tải xuống, in hoặc lưu trữ tài liệu khiêu dâm vi phạm Bộ luật Virginia, § 2.2-2827.
• Cố ý tải lên hoặc tải xuống phần mềm thương mại vi phạm bản quyền và/hoặc thỏa thuận cấp phép của nó. Cố ý gửi dữ liệu nhạy cảm không được mã hóa qua email.
• Chuyển tiếp một chuỗi thư.
• Đánh bạc.
• Sử dụng cho quảng cáo sản phẩm hoặc dịch vụ.
• Truy cập dữ liệu hoặc chương trình để tìm kiếm thông tin, lấy bản sao hoặc sửa đổi tệp, dữ liệu khác hoặc mật khẩu thuộc về người dùng khác.
• Can thiệp hoặc làm gián đoạn người dùng mạng, dịch vụ hoặc thiết bị. Sự gián đoạn bao gồm, nhưng không giới hạn ở: phân phối quảng cáo không mong muốn; cố ý lan truyền vi-rút máy tính; và sử dụng mạng để xâm nhập trái phép vào bất kỳ máy nào khác có thể truy cập thông qua mạng.
• Nghe radio, TV và các loại chương trình phát sóng khác (ví dụ: webcast, video phát trực tuyến) không liên quan đến nhiệm vụ công việc của nhân viên và không được sự chấp thuận trước của giám sát. (Cần có sự chấp thuận bằng văn bản để phát trực tuyến video.)
• Tải xuống hoặc cài đặt bất kỳ nội dung nào sau đây mà không có sự cho phép bằng văn bản từ VDSS CISO:
° Tài liệu có bản quyền (ví dụ: tệp nhạc và phim);
° Trò chơi bao gồm chơi trò chơi qua Internet;
° Trình bảo vệ màn hình;
° Chương trình chia sẻ tệp ngang hàng (P2P); và/hoặc
° Phần mềm không được cung cấp VDSS.
2. Nếu việc sử dụng như vậy cản trở hoạt động kinh doanh hoặc hiệu suất công việc của VDSS và LDSS (dựa trên khối lượng hoặc tần suất), liên quan đến việc mời gọi hoặc các hoạt động bất hợp pháp, hoặc tác động xấu đến hoạt động hiệu quả của hệ thống máy tính của cơ quan, quyền truy cập của nhân viên có thể bị hạn chế.
3. At no time shall personal use of the Commonwealth’s provided Internet services harm the agency, the Commonwealth or involve for-profit personal business.
4. Những điều sau đây được cung cấp như là ví dụ về việc sử dụng không thể chấp nhận: thường xuyên truy cập các trang mạng xã hội như các trang web hẹn hò và tài khoản Twitter trong thời gian làm việc được thiết lập để sử dụng cá nhân. Đôi khi, các trang web cụ thể bị chặn do lạm dụng; ví dụ, Facebook và thể thao như một danh mục. Vui lòng xem B.3.
5. Chính sách này không cố gắng xác định tất cả các mục đích sử dụng cá nhân không thể chấp nhận được. Các thông tin trên được cung cấp như một hướng dẫn. Nếu nhân viên không rõ về việc sử dụng cá nhân được chấp nhận, họ phải tìm kiếm lời khuyên của người giám sát, Nhân viên an ninh Tiểu bang/Địa phương, Giám đốc hoặc liên hệ với VDSS CISO để làm rõ.
Người dùng không được cố ý thực hiện các hành động ảnh hưởng tiêu cực đến mạng máy tính hoặc các tài nguyên COV/VDSS khác hoặc ảnh hưởng tiêu cực đến hiệu suất công việc.
1. Người dùng bị cấm sử dụng hệ thống máy tính và mạng của cơ quan để tải xuống, tải lên hoặc xử lý nội dung có bản quyền bất hợp pháp hoặc trái phép.
2. Tất cả các hoạt động sau đây đều cấu thành vi phạm chính sách này nếu được thực hiện mà không có sự cho phép của chủ sở hữu bản quyền:
a. Sao chép và chia sẻ hình ảnh, nhạc, phim ảnh hoặc các tài liệu có bản quyền khác bằng cách sử dụng chia sẻ tệp P2P hoặc đĩa CD hoặc DVD không có giấy phép;
b. Đăng hoặc đạo văn tài liệu có bản quyền; và/hoặc
c. Tải xuống các tập tin có bản quyền chưa được mua hợp pháp.
3. Danh sách này không bao gồm tất cả các vi phạm; luật bản quyền áp dụng cho nhiều hoạt động hơn những hoạt động được liệt kê ở trên.
Nhân viên và đối tác kinh doanh của VDSS chỉ được sử dụng các quy trình, thiết bị và quy trình truy cập từ xa đã được phê duyệt khi kết nối từ xa.
• Tất cả người dùng VDSS sẽ sử dụng mật khẩu mạnh:
• Có ít nhất bốn ký tự (14);
• Có hiệu lực từ tháng 5 2022, theo Ấn phẩm 1075 của IRS, độ dài mật khẩu tối thiểu là mười bốn (14) ký tự sẽ được thực thi đối với các hệ thống thông tin chứa Thông tin Thuế Liên bang (FTI);
• Không chứa tên người dùng, tên thật hoặc VDSS;
• Không chứa một từ từ điển;
• Khác biệt đáng kể so với mật khẩu trước đó;
• Chứa ít nhất một số và một ký tự đặc biệt;
• Chứa hỗn hợp ít nhất một chữ hoa và một chữ thường; và
• Không thể tái sử dụng ngoại trừ sau lần 24 sử dụng các mật khẩu khác.
LƯU Ý:
a. Tuổi thọ tối thiểu của mật khẩu sẽ được đặt thành một ngày;
b. Mật khẩu tài khoản không có đặc quyền phải được thay đổi ít nhất mỗi 90 ngày; và
c. Mật khẩu tài khoản đặc quyền sẽ được thay đổi ít nhất mỗi 42 ngày.
Người sử dụng hệ thống thông tin VDSS:
• Không thể chia sẻ mật khẩu;
• Có thể thay đổi mật khẩu theo ý muốn, nhưng không quá một lần mỗi giờ 24; và
• Phải thay đổi mật khẩu bị xâm nhập.
Lưu ý: Các hệ thống cũ (ví dụ: ADAPTRO và iAPECS) vẫn thay đổi mật khẩu sau mỗi 30 ngày.
Người dùng VDSS phải:
• Báo cáo ngay lập tức cho Giám đốc An toàn Thông tin VDSS (CISO) về việc mất mát, đánh cắp hoặc xâm phạm mật khẩu; và
• Ngay lập tức thay đổi mật khẩu của họ, nếu bị xâm nhập.
Người dùng VDSS phải thay đổi mật khẩu trên các tài khoản không có đặc quyền mỗi ngày 90. Người dùng VDSS phải thay đổi mật khẩu trên tài khoản đặc quyền mỗi ngày 42. Các hệ thống cũ (tức là ADAPTRO và IAPEC) vẫn thay đổi mật khẩu mỗi ngày 30. Tất cả các tài khoản không hoạt động sau ngày 90 đều bị khóa và sẽ yêu cầu email từ người giám sát cho biết tài khoản là cần thiết để đặt lại mật khẩu. Tất cả các tài khoản không hoạt động sau ngày 180 đều bị vô hiệu hóa và yêu cầu Yêu cầu truy cập mới để thiết lập quyền truy cập.
Tính năng bảo mật “3-strike” dành cho tài khoản sẽ khóa tài khoản của nhân viên sau ba lần thử mật khẩu không chính xác liên tiếp (3). Tính năng “3-strike” áp dụng cho ID người dùng của người lao động và kiểm soát quyền truy cập vào nhiều hệ thống thông tin VDSS bao gồm SAMS, VACM, SPiDER, ASAPS và MWS. Nhân viên an ninh tiểu bang/địa phương sẽ cần được liên hệ để đặt lại mật khẩu cho các tài khoản bị khóa.
Người dùng VDSS bắt buộc phải thay đổi mật khẩu đặt lại tạm thời khi sử dụng lần đầu.
Liên hệ với Bộ phận trợ giúp ITS để đặt lại mật khẩu OASIS.
Mật khẩu có thể được đặt lại bởi Cán bộ An ninh Tiểu bang/Địa phương được chỉ định, Trung tâm Hỗ trợ ITS hoặc bằng cách gửi email yêu cầu tới security@dss.virginia.gov.
1. Bất kỳ email đi nào được gửi bằng tài khoản email VDSS hoặc LDSS đều được coi là tương đương với một tin nhắn được gửi trên tiêu đề thư đại lý. Do đó:
a. Nội dung và giọng điệu của bất kỳ thông điệp nào như vậy phải phản ánh trách nhiệm chính thức của tác giả; và
b. Bất kỳ nhận xét sai sự thật, có hại, gây hiểu lầm, tục tĩu, phân biệt chủng tộc, phân biệt giới tính hoặc không chuyên nghiệp khác có thể khiến tổ chức phải chịu trách nhiệm về hành động pháp lý hoặc khiếu nại về quấy rối hoặc phân biệt đối xử sẽ được coi là vi phạm chính sách này.
2. Nó bị cấm:
a. Gửi thông tin nhạy cảm trong email mà không thực hiện các bước để mã hóa thông tin nhạy cảm;
b. Liệt kê địa chỉ email của tiểu bang cho các nỗ lực cá nhân hoặc sử dụng kinh doanh cá nhân;
c. Gửi email bằng danh tính của người khác, tên giả hoặc ẩn danh;
d. Sử dụng email để truyền vi-rút, sâu máy tính, Trojan Horses và các phần mềm độc hại khác; và
e. Sử dụng bất kỳ tài khoản email bên ngoài nào để tiến hành kinh doanh đại lý chính thức.
3. Nếu nhận được email đáng ngờ, hãy xóa nó mà không cần mở nó, sau đó làm trống thư mục thư đã xóa.
4. Người dùng có thể truy cập email do COV cung cấp của họ từ bất kỳ máy tính cá nhân, điện thoại thông minh, máy tính bảng hoặc thiết bị khác, sử dụng Internet.
5. Nếu nhận được email lạm dụng, quấy rối hoặc đe dọa, đừng trả lời và báo cáo sự cố cho Văn phòng ISRM theo địa chỉ security@dss.virginia.gov.
Để bảo vệ các thiết bị điện tử:
1. Bảo vệ bằng mật khẩu tất cả các máy tính cá nhân (PC), máy tính xách tay, thiết bị điện toán di động và máy trạm, với tính năng kích hoạt tự động được đặt trong tối đa 15 phút.
2. Sử dụng mã hóa do COV cung cấp hoặc các biện pháp bảo mật khác để bảo vệ thông tin được lưu trữ trên máy tính xách tay và thiết bị máy tính xách tay và để bảo vệ các thiết bị đó khỏi bị trộm cắp.
3. Đảm bảo tất cả PC, máy tính xách tay và máy trạm đều chứa phần mềm quét vi-rút đã được phê duyệt với cơ sở dữ liệu vi-rút hiện tại.
4. Nếu thiết bị di động hỗ trợ phần mềm quét vi-rút, hãy đảm bảo phần mềm đang hoạt động và các bản vá chống vi-rút có sẵn cho phần mềm đã cài đặt được cập nhật.
5. Dịch vụ Công nghệ Thông tin (ITS) và ISRM sẽ vô hiệu hóa tài khoản và thiết bị bị ảnh hưởng nếu máy tính hoặc tài khoản từ xa có vi-rút, là bên tham gia một cuộc tấn công mạng hoặc bằng một cách nào đó gây nguy hiểm cho bảo mật của mạng VDSS/LDSS. Quyền truy cập sẽ được thiết lập lại sau khi ITS xác định máy tính, tài khoản hoặc thiết bị là an toàn.
6. Đảm bảo các thiết bị điện toán di động không được giám sát được bảo mật khỏi truy cập trái phép. Ví dụ: đảm bảo các thiết bị này được khóa trong văn phòng, khóa trong ngăn kéo bàn hoặc tủ hồ sơ, hoặc gắn vào bàn hoặc tủ thông qua hệ thống khóa cáp. Các tùy chọn bảo mật hợp lý bao gồm mật khẩu bảo vệ màn hình và thời gian chờ phiên tự động.
7. Luôn khóa máy tính của bạn khi bạn rời khỏi bàn làm việc của bạn.
(Ctrl + Alt+Del hoặc phím Windows+“ L”)
8. Việc lưu trữ, xem và xử lý thông tin nhạy cảm chỉ có thể được thực hiện trên thiết bị** hoặc phương tiện lưu trữ** được cấp bởi Commonwealth (do VITA quản lý), theo Quản lý thiết bị di động của VITA hoặc VDSS, hoặc được quản lý bởi các cơ quan hỗ trợ chung tại địa phương tuân thủ các nguyên tắc được chỉ định của VITA.
** Bao gồm máy quét, ổ USB, đĩa quang, ổ cứng di động, điện thoại thông minh, máy tính bảng, Thiết bị đa chức năng (MFD), máy in và máy tính.
Nghiêm cấm kết nối bất kỳ thiết bị nào không do Commonwealth hoặc VDSS cấp với mạng COV hoặc với thiết bị kết nối mạng COV.
Người dùng bị cấm sử dụng các dịch vụ kết nối Internet như Siri để tiến hành kinh doanh đại lý liên quan đến thông tin nhạy cảm. Nếu người dùng không chắc chắn về độ nhạy hoặc dịch vụ, họ sẽ không thực hiện bất kỳ chức năng kinh doanh nào bằng cách sử dụng các dịch vụ kết nối Internet. Yêu cầu này có thể được VDSS miễn trừ trong các tình huống khẩn cấp hoặc theo ngoại lệ bởi CISO.
Bất kỳ thiết bị nào được sử dụng vi phạm chính sách này đều có thể bị xóa tất cả dữ liệu và phần mềm. Các cá nhân thực hiện các hoạt động trái phép được đề cập ở trên sẽ vi phạm Chính sách Sử dụng Tài nguyên Thông tin VDSS được chấp nhận và có thể phải chịu các biện pháp trừng phạt hoặc xử lý kỷ luật liên quan đến việc mất đặc quyền và/hoặc hành động nhân sự.
9. Vì mục đích này, các thiết bị không thuộc sở hữu của COV không thể được kết nối trực tiếp với mạng COV hoặc thiết bị COV, chẳng hạn như máy tính để bàn hoặc máy tính xách tay. Ngoài ra, các thiết bị thuộc sở hữu địa phương không được VITA quản lý không thể được sử dụng để truy cập trực tiếp vào mạng COV hoặc hệ thống thông tin ghi lại VDSS, bao gồm cả các hệ thống chứa thông tin nhạy cảm.
1. Thông tin quan trọng kinh doanh không nhạy cảm sẽ được lưu trữ trên chia sẻ mạng, chẳng hạn như các ổ đĩa “W:\”, “H:\” hoặc " R:\ ". Các ổ đĩa này được sao lưu hàng đêm và các bản sao lưu được gửi ra ngoài trang web cho mục đích khôi phục thảm họa. Không có dữ liệu nhạy cảm nào được lưu trữ trên ổ đĩa mạng hoặc trên máy tính để bàn hoặc máy tính xách tay trừ khi được mã hóa và phê duyệt bởi VDSS CISO và Ủy viên.
2. Lưu trữ phương tiện (đĩa, băng, USB và CD-ROM) ở một vị trí an toàn, tránh nhiệt độ khắc nghiệt và ánh sáng mặt trời.
3. Thiết bị đa chức năng (MFD) và Máy in khối lượng lớn (HVPS): Không in FTI. Nếu FTI được in vô tình, hãy làm theo quy trình hủy và xử lý FTI thích hợp.
4. Bảo mật giấy tờ và các mặt hàng bí mật
Nhân viên phải bảo mật thông tin nhạy cảm và bí mật dưới dạng bản cứng hoặc điện tử vào cuối ngày.
Tất cả các giấy tờ nhạy cảm và bí mật phải được gỡ bỏ khỏi máy tính để bàn và đặt trong ngăn kéo hoặc tủ hồ sơ. (Vui lòng tuân thủ các chính sách và thủ tục đã thiết lập về bảo mật các mặt hàng bí mật).
Tất cả nhân viên phải thực hiện kiểm tra ngắn gọn trước khi rời khỏi máy trạm của họ - đảm bảo tất cả các vật dụng thích hợp và đảm bảo rằng máy trạm sạch sẽ và không có các vật dụng không cần thiết.
Nhân viên phải lưu trữ hoặc xử lý hồ sơ giấy theo yêu cầu của chính sách lưu giữ hồ sơ hiện hành.
Mạng P2P không được phép trên mạng VDSS trong bất kỳ trường hợp nào.
Không được phép sử dụng quá mức băng thông VDSS và các tài nguyên máy tính khác. Thực hiện tải xuống tệp lớn và các tác vụ sử dụng nhiều băng thông khác có thể làm giảm dung lượng mạng hoặc hiệu suất chỉ trong thời gian sử dụng thấp.
1. Việc sử dụng cá nhân không thường xuyên và ngẫu nhiên các nguồn thông tin VDSS do cơ quan cung cấp được cho phép, với điều kiện việc sử dụng đó không vi phạm bất kỳ chính sách và thủ tục nào của cơ quan hoặc COV, can thiệp vào hoạt động kinh doanh nhà nước hoặc hoạt động công việc (dựa trên khối lượng hoặc tần suất), liên quan đến hoạt động bất hợp pháp, ảnh hưởng xấu đến hoạt động hiệu quả của hệ thống máy tính của cơ quan, gây hại cho cơ quan hoặc Commonwealth hoặc liên quan đến doanh nghiệp cá nhân vì lợi nhuận.
2. Việc sử dụng cá nhân ngẫu nhiên email, truy cập Internet, máy fax, máy in, máy photocopy, v.v., bị hạn chế đối với người dùng được phê duyệt và không mở rộng cho các thành viên gia đình hoặc người quen khác.
Người dùng không được cố ý sử dụng các hệ thống máy tính do VDSS sở hữu hoặc do VDSS cung cấp cho các hoạt động được coi là bất hợp pháp theo luật địa phương, tiểu bang, liên bang hoặc quốc tế.
Những hành động như vậy bao gồm, nhưng không giới hạn ở:
1. Quét cổng trái phép;
2. Hack mạng trái phép;
3. Đánh hơi gói trái phép;
4. Giả mạo gói trái phép;
5. Từ chối dịch vụ trái phép;
6. Hack không dây trái phép;
7. Bất kỳ hành động nào có thể được coi là nỗ lực truy cập trái phép vào hoặc tăng cường đặc quyền trên máy tính hoặc hệ thống điện tử khác;
8. Hành vi khủng bố;
9. Trộm cắp danh tính;
10. Gián điệp;
11. Tải xuống, lưu trữ hoặc phân phối các tài liệu bạo lực, đồi trụy, tục tĩu, dâm đãng hoặc xúc phạm theo quy định của các đạo luật hiện hành; và
12. Tải xuống, lưu trữ hoặc phân phối tài liệu có bản quyền.
Các thiết bị lưu trữ cá nhân đại diện cho một mối đe dọa nghiêm trọng đối với bảo mật dữ liệu và bị cấm trên mạng VDSS. Ví dụ: Ổ đĩa Thumb, bộ nhớ đám mây cá nhân hoặc ổ cứng ngoài.
Ổ đĩa flash mua COV có thể được sử dụng để kết nối với thiết bị không phải COV cũng như thiết bị COV.
Thực hành này sẽ phù hợp với các yêu cầu sau:
• Không có công việc nào được thực hiện trên máy tính không phải COV liên quan đến việc sử dụng dữ liệu nhạy cảm theo cách không được mã hóa. Dữ liệu nhạy cảm, bất kể có mã hóa hay không, không thể được lưu trữ trên ổ cứng của máy tính cục bộ. Công việc được thực hiện phải được truy cập từ và lưu vào ổ flash COV. Bất kỳ công việc nào sử dụng máy tính không phải COV có liên quan đến dữ liệu nhạy cảm đều phải xóa bộ nhớ cache của máy tính sau khi mỗi phiên làm việc hoàn thành trên máy tính đó.
• Dữ liệu nhạy cảm trên ổ flash phải được mã hóa.
• Dữ liệu không nhạy cảm trên ổ đĩa flash không cần phải được mã hóa.
• Dữ liệu liên quan đến công việc được lưu trữ trên ổ đĩa flash đã mua COV có thể được lưu trữ trên hoặc di chuyển sang thiết bị COV, chẳng hạn như máy tính để bàn hoặc máy tính xách tay.
Ổ đĩa flash bị mất cần phải được báo cáo cho Văn phòng An ninh Trung ương. Bao gồm một mô tả về thông tin trên ổ đĩa.
Tất cả các ứng dụng cho dù được cài đặt cục bộ hay đám mây (Internet) phải được xem xét và phê duyệt bởi ISRM.
Máy tính VDSS được thiết lập với một bộ phần mềm tiêu chuẩn giải quyết nhu cầu của người dùng VDSS/LDSS. Nếu phần mềm bổ sung hoặc ứng dụng đám mây (Internet) cần được cài đặt để thực hiện kinh doanh đại lý, nó phải đáp ứng các yêu cầu sau:
• Phần mềm phải nằm trong danh sách Phần mềm được VDSS phê duyệt, được duy trì bởi Văn phòng ISRM;
• Phần mềm phải được sử dụng theo luật bản quyền và thỏa thuận cấp phép;
• Phải có đủ bằng chứng về quyền sở hữu đối với phần mềm đã cài đặt;
• Phần mềm không được ảnh hưởng đến hiệu suất của phần mềm được VDSS phê duyệt hoặc phần cứng VDSS; và
• Phần mềm phải tuân thủ mã hóa dữ liệu nhạy cảm trong quá trình chuyển tiếp và ở trạng thái nghỉ.
Chính sách này áp dụng cho phần mềm được sản xuất thương mại, phần mềm chia sẻ, phần mềm miền công cộng, phần mềm miễn phí và ứng dụng đám mây (Internet). Việc cài đặt hoặc sửa đổi bất kỳ phần mềm nào trên hệ thống đại lý đều bị cấm trừ khi được ủy quyền bằng văn bản bởi VDSS CISO hoặc người được chỉ định. Bất kỳ sửa đổi hoặc thay đổi nào đối với thiết bị tiêu chuẩn hoặc cấu hình hệ thống như được VITA/Nhà cung cấp dịch vụ bên thứ ba ban hành đều bị cấm trừ khi được ủy quyền bằng văn bản bởi VDSS CISO hoặc người được chỉ định. Phần mềm có thể được phân tích bởi VITA/Nhà cung cấp dịch vụ bên thứ ba để đảm bảo tính toàn vẹn của mạng được duy trì.
1. Việc mua phần cứng IT (máy tính để bàn, máy tính xách tay, máy tính bảng, máy chủ, máy in, v.v.) cho VDSS và hỗ trợ đầy đủ các cơ quan địa phương phải được thực hiện bởi VITA. Sử dụng Mẫu yêu cầu phần cứng trong sổ tay hướng dẫn Chính sách và thủ tục quản lý tài sản CNTT của Hệ thống thông tin VDSS. Mở vé với VCCC và yêu cầu vé được chỉ định cho Người quản lý dịch vụ CNTT VDSS để phê duyệt. Các cơ quan địa phương hỗ trợ chia sẻ có thể mua và duy trì phần cứng và phần mềm IT của riêng họ tuân thủ các yêu cầu của COV và VDSS. VITA sẽ xem xét các yêu cầu của đại lý và điều phối việc mua và/hoặc sắp xếp hoặc tài sản dịch vụ quản lý chỗ ngồi để đảm bảo khả năng tương thích với các tiêu chuẩn cấu hình hệ thống mạng LAN và thiết bị đã thiết lập.
2. Theo định nghĩa, phương tiện bao gồm đĩa CD, DVD, ổ đĩa flash và ổ cứng di động nếu được mua bởi tiền COV/VDSS, theo định nghĩa, thuộc sở hữu của CoV; do đó, các mặt hàng này có thể được kết nối và sử dụng trên các thiết bị và mạng của COV/đại lý để lưu trữ và/hoặc vận chuyển dữ liệu COV/cơ quan.
Việc sử dụng hệ thống thông tin không phù hợp để có quyền truy cập vào thông tin nhạy cảm không cần thiết để thực hiện công việc của bạn có thể dẫn đến việc đình chỉ truy cập vào hệ thống thông tin vô thời hạn và có thể giới thiệu hình sự cho Luật sư Commonwealth địa phương nếu thông tin nhạy cảm thuộc về người khác. Việc đình chỉ vẫn có hiệu lực bất kể bạn đang làm việc ở đâu trong DSS. Quyền truy cập chỉ có thể được khôi phục theo quyết định của VDSS CISO.
Những điều sau đây sẽ được coi là sử dụng không phù hợp:
• Sử dụng hệ thống thông tin DSS/Liên bộ/tiểu bang để tìm kiếm thông tin về thành viên gia đình của bạn;
• Sử dụng hệ thống thông tin DSS/Liên bộ/tiểu bang để tra cứu thông tin của riêng bạn;
• Sử dụng hệ thống thông tin DSS/Liên bộ/tiểu bang để tra cứu bất kỳ người nào không thuộc trường hợp DSS;
• Sử dụng hệ thống thông tin DSS/Liên bộ/tiểu bang để thực hiện bất kỳ điều nào ở trên cho một đồng nghiệp hoặc người giám sát khác; và
• Chia sẻ dữ liệu DSS với một người/cơ quan khác bên ngoài Biên bản ghi nhớ đã được thiết lập.
• Chỉ những cá nhân được ủy quyền mới được truy cập và/hoặc cố gắng truy cập Khu vực hạn chế DSS nằm trong văn phòng DSS nơi Thông tin Nhận dạng Cá nhân (PII) và/hoặc Thông tin Thuế Liên bang (FTI) được nhận, xử lý, truyền hoặc lưu trữ. Vì những khu vực này chứa PII và/hoặc FTI nên chúng phải được coi là khu vực hạn chế.
• Các hình phạt đối với việc truy cập trái phép và/hoặc tiết lộ FTI không đúng cách được xác định trong Bộ luật Doanh thu Nội bộ (IRC) 7213, IRC 7231A và IRC 7431. Vi phạm các luật này có thể dẫn đến các hành động kỷ luật hoặc hình phạt với bất kỳ số tiền nào không vượt quá $5,000 và/hoặc 5 năm tù. Ngoài ra, hình phạt dân sự không quá $1,000 và/hoặc 1 năm tù có thể được áp dụng.
• Hệ thống thông tin VDSS và thông tin được lưu trữ trong mỗi hệ thống bao gồm thông tin do Cơ quan An sinh Xã hội (SSA) cung cấp được coi là tài sản và phải được bảo vệ chống lại việc truy cập và/hoặc tiết lộ trái phép.
• Các hình phạt đối với việc truy cập trái phép và/hoặc tiết lộ không đúng thông tin do SSA cung cấp được xác định trong SSA 453 (I) (2). Vi phạm các luật này có thể dẫn đến các hành động kỷ luật hoặc hình phạt với bất kỳ số tiền nào không vượt quá $1,000 và kiện dân sự của người nộp thuế.
• Thông tin bí mật được tiết lộ bằng Hệ thống điều tra hồ sơ của Ủy ban Việc làm Virginia (VEC) sẽ chỉ được sử dụng cho các mục đích được VEC ủy quyền. Hình phạt được quy định trong §§ 60.2-114 và 18.2-186.6 của Bộ luật Virginia, theo đó việc truy cập bất hợp pháp hoặc lạm dụng thông tin thu được tạo thành vi phạm Loại 2 và có thể bị phạt dân sự.
• Các hạn chế tiết lộ và hình phạt được áp dụng ngay cả sau khi việc làm hoặc hợp đồng với cơ quan đã kết thúc.
• Khi phát hiện ra việc kiểm tra hoặc tiết lộ FTI không đúng cách, bao gồm vi phạm và sự cố an ninh, tôi phải tuân theo các yêu cầu báo cáo sự cố thích hợp để đảm bảo Văn phòng Bảo vệ và Tổng Thanh tra Kho bạc về Quản lý Thuế được thông báo về một vấn đề có thể xảy ra liên quan đến FTI trong vòng 24 giờ.
• Các sự cố nghi ngờ truy cập trái phép và/hoặc tiết lộ không đúng thông tin FTI hoặc SSA cung cấp sẽ được báo cáo cho VDSS CISO Barry Davis, 804-726-7153, Barry.Davis@dss.virginia.gov, và Văn phòng An ninh Trung ương (CSO), security@dss.virginia.gov, ngay lập tức.
1. Tất cả người dùng phải thừa nhận chấp nhận và tiếp tục tuân thủ chính sách này, bao gồm Bộ luật Virginia, § 2.2-2827 (Hạn chế quyền truy cập của nhân viên nhà nước vào cơ sở hạ tầng thông tin). Nhân viên sẽ thừa nhận thêm rằng chính sách này có thể thay đổi theo thời gian và đồng ý tuân thủ các sửa đổi hiện tại và tiếp theo của chính sách.
2. Các trường hợp đã biết về việc không tuân thủ chính sách này sẽ được báo cáo cho người giám sát/quản lý của nhân viên, Phát triển Tổ chức (OD) và Văn phòng ISRM của VDSS.
3. Vi phạm chính sách này sẽ được xử lý theo các thủ tục kỷ luật đã được thiết lập. Hành động kỷ luật sẽ được xác định theo từng trường hợp cụ thể bởi ban quản lý VDSS hoặc LDSS thích hợp, với các biện pháp trừng phạt lên đến hoặc bao gồm chấm dứt tùy thuộc vào mức độ vi phạm nghiêm trọng.
4. Việc sử dụng hệ thống thông tin không phù hợp để truy cập vào thông tin không cần thiết để thực hiện công việc của bạn có thể dẫn đến việc đình chỉ truy cập vào hệ thống thông tin vô thời hạn. Việc đình chỉ vẫn có hiệu lực bất kể bạn đang làm việc ở đâu. Quyền truy cập chỉ có thể được khôi phục theo quyết định của VDSS CISO.
5. Người dùng không thể được cấp quyền truy cập vào hệ thống thông tin VDSS, Internet, email hoặc các thông tin liên lạc điện tử khác trước khi ký Thỏa thuận Bảo mật Thông tin VDSS - Xác nhận Chính sách và Không Tiết lộ.
Bảo mật thông tin VDSS - Thỏa thuận xác nhận chính sách và không tiết lộ (.pdf)
Chính sách DHRM số. 1.75, Sử dụng truyền thông điện tử và phương tiện truyền thông xã hội (.pdf)
Hướng dẫn chương trình và chính sách bảo mật thông tin của VDSS (.pdf)
Chính sách và Thủ tục Quản lý Tài sản IT của Hệ thống Thông tin VDSS (.pdf)
Các chính sách được mô tả dựa trên các yêu cầu được tìm thấy trong các quy tắc, chính sách, quy định, luật, tiêu chuẩn và hướng dẫn sau đây:
Bộ luật Virginia, § 2.2-2005, và. trình tự
Quyền hạn và nhiệm vụ của Giám đốc Thông tin “CIO” Virginia Information Technologies Agency, “VITA”
Bộ luật Virginia, § 2.2-2009, và. tiếp theo.
Nhiệm vụ bổ sung của CIO liên quan đến bảo mật cơ sở dữ liệu của chính phủ
Bộ luật Virginia, § 2.2-2827
Hạn chế quyền truy cập của nhân viên nhà nước vào cơ sở hạ tầng thông tin
Bộ luật Virginia, §2.2, Chương 12
Phòng Quản lý nguồn nhân lực, DHRM
Tìm bộ phận địa phương của tôi