Điều 7. Xác định hệ thống thông tin
1. Hệ thống thông tin phải có chức năng nghiệp vụ rõ ràng; có xử lý dữ liệu; có người dùng, đối tượng vận hành hoặc đối tượng phục vụ cụ thể; có kết quả đầu ra dưới dạng thông tin, dữ liệu phục vụ hoạt động quản lý, điều hành, giao dịch hoặc cung cấp dịch vụ.
2. Phạm vi của hệ thống thông tin:
a) Phạm vi của hệ thống thông tin phải được xác định trên cơ sở: chức năng nghiệp vụ (cùng phục vụ một chức năng hoặc quy trình nghiệp vụ cốt lõi); dòng chảy và mối liên kết dữ liệu (có trao đổi dữ liệu thường xuyên, liên tục hoặc phụ thuộc lẫn nhau trong xử lý); mức độ phụ thuộc trong vận hành (không thể vận hành độc lập mà không làm gián đoạn hoạt động của thành phần khác); phạm vi và mức độ ảnh hưởng khi xảy ra sự cố (sự cố của một thành phần có thể ảnh hưởng đến tính toàn vẹn hoặc làm gián đoạn chức năng, quy trình nghiệp vụ cốt lõi của toàn bộ hệ thống thông tin);
b) Việc xác định phạm vi hệ thống thông tin phải phản ánh đúng bản chất vận hành thực tế, không phụ thuộc vào cách tổ chức hành chính, mô hình triển khai kỹ thuật hoặc cấu trúc hạ tầng vật lý. Trường hợp các hệ thống có kết nối, liên thông dữ liệu hoặc chia sẻ tài nguyên hạ tầng, việc xác định phạm vi hệ thống phải xem xét khả năng lan truyền rủi ro và ảnh hưởng dây chuyền.