Tập đoàn Hóa chất Việt Nam — VINACHEM | Vietnam National Chemical Group

Chính sách quản lý tài khoản

TẬP ĐOÀN HOÁ CHẤT VIỆT NAM (VINACHEM)

Quản lý tài khoản nội bộ

Quy định về việc khởi tạo, cấp phát, sử dụng, quản lý và thu hồi tài khoản truy cập các hệ thống thông tin của VINACHEM.

LƯU Ý: TÀI KHOẢN DÀNH CHO NGƯỜI DÙNG NỘI BỘ

Tài khoản trên các hệ thống thông tin của Tập đoàn Hóa chất Việt Nam (VINACHEM) là tài khoản phục vụ công việc và hoạt động quản lý nội bộ. Tài khoản được cấp bởi bộ phận quản trị có thẩm quyền trên cơ sở yêu cầu hợp lệ của đơn vị và được quản lý theo quy trình nội bộ. Người dùng không tự đăng ký, tự tạo hoặc tự cấp tài khoản.

Tập đoàn Hóa chất Việt Nam (VINACHEM) thiết lập chính sách quản lý tài khoản nội bộ nhằm bảo đảm việc truy cập, khai thác và sử dụng các hệ thống thông tin được thực hiện đúng đối tượng, đúng mục đích công việc và đúng phạm vi quyền hạn. Chính sách quy định nguyên tắc và trách nhiệm của các đơn vị, cá nhân liên quan trong toàn bộ vòng đời của tài khoản, từ khi đề nghị cấp mới đến khi điều chỉnh, tạm khóa hoặc thu hồi.

NỘI DUNG CHÍNH SÁCH

Mục đích và phạm vi áp dụng
Nguyên tắc quản lý tài khoản
Đối tượng được cấp tài khoản
Quy trình đề nghị và cấp tài khoản
Quản lý và phân quyền truy cập
Quy định sử dụng tài khoản
Bảo mật thông tin xác thực
Điều chỉnh và thay đổi quyền truy cập
Tạm khóa và thu hồi tài khoản
Kiểm tra và giám sát hoạt động
Trách nhiệm của các bên liên quan
Tiếp nhận và xử lý yêu cầu hỗ trợ

01. Mục đích và phạm vi áp dụng

Chính sách này quy định việc quản lý tài khoản truy cập các hệ thống thông tin, nền tảng số và ứng dụng nội bộ do VINACHEM quản lý hoặc cho phép sử dụng.

Chính sách áp dụng đối với cán bộ, công chức, viên chức, người lao động, cá nhân được giao nhiệm vụ và các đối tượng khác được Tập đoàn hoặc đơn vị có thẩm quyền cho phép truy cập hệ thống.

Tùy theo đặc thù từng hệ thống, đơn vị quản lý có thể ban hành hướng dẫn hoặc quy định chi tiết bổ sung nhưng không được trái với các nguyên tắc chung của chính sách này.

02. Nguyên tắc quản lý tài khoản

Việc quản lý tài khoản nội bộ được thực hiện theo các nguyên tắc sau:

Cấp phát tập trung: Tài khoản do bộ phận quản trị có thẩm quyền khởi tạo và cấp phát theo yêu cầu đã được xác nhận, phê duyệt theo quy trình nội bộ.
Đúng đối tượng: Mỗi tài khoản được cấp cho cá nhân hoặc đối tượng được xác định cụ thể, phù hợp với nhu cầu công việc.
Đúng mục đích: Tài khoản chỉ được sử dụng để thực hiện nhiệm vụ và các hoạt động được giao.
Đúng thẩm quyền: Quyền truy cập được xác định theo chức năng, nhiệm vụ và phạm vi trách nhiệm của người sử dụng.
Phân quyền tối thiểu: Chỉ cấp những quyền cần thiết để thực hiện công việc, không mặc nhiên cấp quyền quản trị hoặc quyền truy cập toàn bộ dữ liệu.
Quản lý xuyên suốt: Tài khoản được theo dõi trong toàn bộ vòng đời, bao gồm cấp mới, điều chỉnh, tạm khóa, mở khóa và thu hồi.
Có kiểm soát: Các hoạt động cấp phát, thay đổi quyền và thu hồi tài khoản phải có căn cứ và được ghi nhận theo quy trình quản lý.

03. Đối tượng được cấp tài khoản

Tài khoản nội bộ có thể được cấp cho các đối tượng sau khi đáp ứng điều kiện và được xác nhận theo quy trình:

Lãnh đạo, cán bộ quản lý và người lao động thuộc Tập đoàn.
Cán bộ, nhân sự thuộc các ban, phòng, đơn vị và đơn vị thành viên được phép sử dụng hệ thống.
Cá nhân được phân công thực hiện nhiệm vụ, công việc hoặc dự án có liên quan.
Chuyên gia, tư vấn viên, nhân sự hỗ trợ kỹ thuật hoặc đối tượng bên ngoài được cấp quyền truy cập có thời hạn theo yêu cầu công việc và phê duyệt của cấp có thẩm quyền.

Việc được cấp tài khoản không đồng nghĩa với việc được quyền truy cập toàn bộ hệ thống hoặc dữ liệu của Tập đoàn. Phạm vi truy cập phụ thuộc vào quyền hạn được phê duyệt và cấu hình phân quyền thực tế.

04. Quy trình đề nghị và cấp tài khoản

Người dùng không tự đăng ký hoặc tự tạo tài khoản trên hệ thống nội bộ. Việc cấp tài khoản được thực hiện thông qua đề nghị của đơn vị quản lý hoặc người có thẩm quyền.

4.1. Đề nghị cấp tài khoản

Đơn vị có nhu cầu sử dụng hệ thống gửi yêu cầu đến bộ phận quản trị theo kênh hoặc biểu mẫu nội bộ được quy định. Yêu cầu cần xác định tối thiểu:

Họ tên và thông tin định danh của người được đề nghị cấp tài khoản.
Đơn vị công tác, chức danh hoặc vị trí công việc.
Hệ thống hoặc ứng dụng cần truy cập.
Vai trò và phạm vi quyền truy cập đề nghị.
Lý do, mục đích sử dụng và thời hạn truy cập nếu có.

4.2. Xác nhận và phê duyệt

Đơn vị có trách nhiệm xác nhận nhu cầu công việc, đối tượng sử dụng và phạm vi quyền hạn đề nghị. Việc phê duyệt được thực hiện bởi người có thẩm quyền theo quy định nội bộ.

4.3. Khởi tạo và cấp phát

Sau khi yêu cầu được xác nhận và phê duyệt hợp lệ, bộ phận quản trị thực hiện khởi tạo tài khoản, thiết lập quyền truy cập và cung cấp thông tin đăng nhập theo phương thức bảo mật phù hợp.

4.4. Bàn giao và xác nhận

Người dùng có trách nhiệm tiếp nhận tài khoản, thay đổi thông tin xác thực ban đầu nếu được yêu cầu, bảo vệ thông tin đăng nhập và sử dụng đúng mục đích được giao.

QUY TRÌNH CẤP TÀI KHOẢN

01. Đơn vị đề nghị cấp tài khoản

↓

02. Xác nhận và phê duyệt

↓

03. Quản trị khởi tạo và phân quyền

↓

04. Bàn giao tài khoản cho người dùng

↓

05. Đưa tài khoản vào sử dụng và quản lý

05. Quản lý và phân quyền truy cập

Quyền truy cập của tài khoản được thiết lập căn cứ vào chức năng, nhiệm vụ, vị trí công việc và phạm vi trách nhiệm được giao.

Tùy theo đặc thù từng hệ thống, quyền truy cập có thể được tổ chức theo các nhóm vai trò như:

Người dùng: Khai thác các chức năng và dữ liệu được cho phép.
Người phụ trách: Quản lý nghiệp vụ, dữ liệu hoặc phạm vi công việc được giao.
Quản lý đơn vị: Thực hiện các chức năng quản lý, kiểm tra và phê duyệt theo thẩm quyền.
Quản trị hệ thống: Quản lý cấu hình, tài khoản, phân quyền và vận hành kỹ thuật trong phạm vi được giao.

Việc cấp quyền quản trị phải được kiểm soát chặt chẽ, giới hạn số lượng người được cấp và chỉ áp dụng khi có nhu cầu công việc thực sự cần thiết.

Người dùng không được tự ý thay đổi, mở rộng, chia sẻ hoặc chuyển giao quyền truy cập cho người khác khi chưa được chấp thuận.

06. Quy định sử dụng tài khoản

Người được cấp tài khoản có trách nhiệm sử dụng tài khoản đúng mục đích, đúng phạm vi quyền hạn và tuân thủ các quy định về an toàn thông tin của Tập đoàn.

Người dùng không được thực hiện các hành vi sau:

Cho mượn, chia sẻ hoặc để người khác sử dụng tài khoản của mình.
Sử dụng tài khoản của người khác khi chưa được cấp quyền hợp lệ.
Tự ý tạo tài khoản, tạo tài khoản dùng chung hoặc cấp quyền cho người khác.
Truy cập, khai thác, chỉnh sửa hoặc xóa dữ liệu vượt quá phạm vi được cho phép.
Sử dụng tài khoản để thực hiện các hành vi gây ảnh hưởng đến hoạt động hoặc an toàn của hệ thống.
Sử dụng tài khoản nội bộ cho các mục đích cá nhân hoặc hoạt động trái với quy định của Tập đoàn.
Cố tình né tránh các cơ chế kiểm soát, xác thực và giám sát truy cập.

Người dùng chịu trách nhiệm đối với các hoạt động được thực hiện thông qua tài khoản được cấp cho mình, trừ trường hợp chứng minh được việc sử dụng trái phép do nguyên nhân khách quan hoặc sự cố không xuất phát từ lỗi của người dùng.

07. Bảo mật thông tin xác thực

Thông tin đăng nhập là thông tin bảo mật cá nhân, được sử dụng để xác thực quyền truy cập vào hệ thống nội bộ.

Người dùng có trách nhiệm:

Giữ bí mật tên đăng nhập, mật khẩu và các phương thức xác thực.
Không ghi mật khẩu tại nơi dễ bị người khác tiếp cận hoặc chia sẻ qua các kênh không an toàn.
Sử dụng mật khẩu đủ mạnh và thay đổi khi có yêu cầu hoặc khi nghi ngờ bị lộ.
Thực hiện xác thực nhiều yếu tố (MFA) nếu hệ thống được triển khai và yêu cầu.
Đăng xuất sau khi sử dụng, đặc biệt trên thiết bị dùng chung.
Thông báo ngay cho bộ phận quản trị khi phát hiện dấu hiệu tài khoản bị xâm nhập hoặc sử dụng trái phép.

Bộ phận quản trị có trách nhiệm áp dụng các biện pháp kỹ thuật phù hợp để bảo vệ thông tin xác thực, kiểm soát truy cập và xử lý các nguy cơ mất an toàn tài khoản.

08. Điều chỉnh và thay đổi quyền truy cập

Khi có sự thay đổi về vị trí công tác, chức năng, nhiệm vụ, đơn vị quản lý hoặc phạm vi công việc, quyền truy cập của người dùng phải được xem xét và điều chỉnh phù hợp.

Các trường hợp cần điều chỉnh bao gồm:

Thay đổi chức danh, vị trí hoặc nhiệm vụ được giao.
Điều chuyển giữa các phòng, ban hoặc đơn vị.
Thay đổi phạm vi công việc hoặc trách nhiệm quản lý.
Bổ sung hoặc chấm dứt nhu cầu sử dụng một hệ thống nghiệp vụ.
Thay đổi quyền hạn theo quyết định hoặc yêu cầu quản lý.

Việc điều chỉnh quyền phải có đề nghị và xác nhận theo quy trình nội bộ. Bộ phận quản trị chỉ thực hiện thay đổi trên cơ sở yêu cầu hợp lệ, bảo đảm quyền cũ không còn phù hợp được xem xét thu hồi kịp thời.

09. Tạm khóa và thu hồi tài khoản

Tài khoản có thể bị tạm khóa, vô hiệu hóa hoặc thu hồi khi phát sinh các trường hợp sau:

Người dùng chấm dứt quan hệ công tác hoặc không còn thuộc đối tượng được phép sử dụng hệ thống.
Người dùng được điều chuyển hoặc không còn nhu cầu truy cập hệ thống tương ứng.
Hết thời hạn được cấp quyền đối với tài khoản có thời hạn.
Đơn vị quản lý hoặc cấp có thẩm quyền đề nghị thu hồi.
Tài khoản có dấu hiệu bị xâm nhập, sử dụng trái phép hoặc gây nguy cơ mất an toàn hệ thống.
Người dùng vi phạm quy định về quản lý và sử dụng tài khoản.
Các trường hợp khác theo yêu cầu quản lý hoặc quy định nội bộ.

9.1. Tạm khóa tài khoản

Tài khoản có thể được tạm khóa để phòng ngừa rủi ro bảo mật, phục vụ công tác kiểm tra, xác minh hoặc theo yêu cầu của người có thẩm quyền. Việc mở khóa chỉ được thực hiện sau khi có căn cứ và xác nhận phù hợp.

9.2. Thu hồi tài khoản

Khi không còn nhu cầu sử dụng hoặc không còn đủ điều kiện được cấp tài khoản, bộ phận quản trị thực hiện vô hiệu hóa hoặc thu hồi tài khoản theo quy trình được phê duyệt.

9.3. Xử lý dữ liệu liên quan

Việc thu hồi tài khoản không mặc nhiên đồng nghĩa với việc xóa toàn bộ dữ liệu công việc. Dữ liệu, hồ sơ và tài liệu phát sinh trong quá trình thực hiện nhiệm vụ được quản lý, bàn giao, lưu trữ hoặc xử lý theo quy định của Tập đoàn và pháp luật có liên quan.

10. Kiểm tra và giám sát hoạt động

VINACHEM có thể thực hiện việc kiểm tra, giám sát và rà soát tài khoản nhằm bảo đảm hệ thống được sử dụng đúng đối tượng, đúng mục đích và an toàn.

Các hoạt động kiểm soát có thể bao gồm:

Rà soát danh sách tài khoản đang hoạt động.
Kiểm tra tình trạng và phạm vi quyền truy cập.
Phát hiện tài khoản không còn nhu cầu sử dụng hoặc có dấu hiệu bất thường.
Ghi nhận nhật ký đăng nhập, thay đổi quyền và các hoạt động quản trị.
Kiểm tra việc tuân thủ quy định sử dụng tài khoản.
Thực hiện các biện pháp xử lý khi phát hiện nguy cơ hoặc vi phạm.

Việc giám sát và khai thác nhật ký hệ thống phải được thực hiện đúng thẩm quyền, phục vụ mục đích quản lý, bảo mật và tuân thủ quy định về bảo vệ dữ liệu cá nhân, an toàn thông tin.

11. Trách nhiệm của các bên liên quan

11.1. Người sử dụng tài khoản

Sử dụng tài khoản đúng mục đích và phạm vi quyền hạn.
Bảo mật thông tin đăng nhập và chịu trách nhiệm đối với tài khoản được cấp.
Thông báo kịp thời khi có thay đổi thông tin, nhiệm vụ hoặc nhu cầu sử dụng.
Thông báo sự cố hoặc dấu hiệu truy cập bất thường cho bộ phận quản trị.
Tuân thủ các quy định và hướng dẫn về an toàn thông tin.

11.2. Đơn vị quản lý người dùng

Xác nhận nhu cầu cấp mới, điều chỉnh hoặc thu hồi tài khoản.
Bảo đảm thông tin người được đề nghị cấp quyền là chính xác.
Xác định đúng phạm vi quyền truy cập theo nhiệm vụ.
Thông báo kịp thời khi có thay đổi nhân sự, điều chuyển hoặc chấm dứt nhiệm vụ.
Phối hợp rà soát danh sách tài khoản thuộc phạm vi quản lý.

11.3. Bộ phận quản trị hệ thống

Tiếp nhận và kiểm tra tính hợp lệ của yêu cầu quản lý tài khoản.
Khởi tạo, cấp phát, cấu hình và điều chỉnh quyền theo phê duyệt.
Thực hiện tạm khóa, mở khóa và thu hồi tài khoản theo quy trình.
Bảo đảm an toàn thông tin xác thực và dữ liệu quản trị.
Ghi nhận và lưu vết các hoạt động quản trị theo yêu cầu.
Phối hợp xử lý các sự cố liên quan đến tài khoản và truy cập hệ thống.

11.4. Cấp có thẩm quyền

Xem xét, xác nhận hoặc phê duyệt các yêu cầu cấp mới, thay đổi quyền và thu hồi tài khoản theo phân cấp quản lý và quy định nội bộ.

12. Tiếp nhận và xử lý yêu cầu hỗ trợ

Các yêu cầu liên quan đến tài khoản nội bộ được tiếp nhận thông qua bộ phận quản trị hoặc đầu mối hỗ trợ được Tập đoàn chỉ định.

Các nội dung hỗ trợ bao gồm:

Đề nghị cấp mới tài khoản.
Yêu cầu thay đổi thông tin hoặc quyền truy cập.
Hỗ trợ quên mật khẩu hoặc khôi phục quyền truy cập.
Thông báo tài khoản bị khóa hoặc có dấu hiệu bị xâm nhập.
Đề nghị tạm khóa hoặc thu hồi tài khoản.
Phản ánh các vấn đề phát sinh trong quá trình sử dụng hệ thống.

Mọi yêu cầu phải được xác minh đối tượng và thẩm quyền trước khi thực hiện. Bộ phận quản trị có trách nhiệm tiếp nhận, xử lý hoặc chuyển đến đơn vị có trách nhiệm theo quy trình hỗ trợ nội bộ.