Điều 20. Quản lý an toàn, bảo mật
1. Từng cơ quan, đơn vị phải xây dựng nội quy bảo đảm an toàn thông tin, trong đó phải thể hiện các quy định, quy trình thực hiện các biện pháp bảo đảm cho hệ thống thông tin được quy định từ Điều 16 đến Điều 19 của Quy chế này.
2. Cán bộ, công chức, viên chức phải nắm vững các quy định của pháp luật và nội quy của cơ quan, đơn vị về an toàn thông tin; được đào tạo, phổ biến kiến thức kỹ năng cơ bản về phòng, chống các nguy cơ mất an toàn thông tin số.
Cán bộ chuyên trách, bán chuyên trách công nghệ thông tin phụ trách vận hành hệ thống thông tin là người phụ trách về kỹ thuật an toàn thông tin tại cơ quan, đơn vị mình; Khi cần thiết có thể sử dụng dịch vụ của các tổ chức bảo đảm an toàn thông tin đủ năng lực được Nhà nước công nhận.
3. Các chương trình, dự án, hoạt động công nghệ thông tin của các cơ quan, đơn vị phải lập luận chứng về an toàn, bảo mật ngay từ khi lập kế hoạch, thiết kế trước khi triển khai. Ít nhất mỗi năm một lần, hệ thống thông tin của các cơ quan, đơn vị phải được kiểm tra, đánh giá hoặc kiểm định về mặt an toàn, bảo mật.
4. Cơ quan, đơn vị có ứng dụng công nghệ thông tin Mức độ 3 trở lên phải áp dụng và duy trì hệ thống quản lý bảo mật theo tiêu chuẩn TCVN ISO/IEC 27001:2009.
5. Quy trình giải quyết và khắc phục sự cố tại các cơ quan, đơn vị:
- Nếu sự cố có phạm vi cục bộ, không nghiêm trọng: Cán bộ chuyên trách, bán chuyên trách công nghệ thông tin tự xử lý sự cố và báo cáo lại lãnh đạo cơ quan, đơn vị.
- Nếu sự cố có phạm vi rộng hoặc ảnh hưởng nghiêm trọng đến hoạt động của nhiều cơ quan, đơn vị khác: cán bộ chuyên trách, bán chuyên trách công nghệ thông tin đánh giá mức độ phức tạp để cô lập, ngăn chặn tác động của sự cố đồng thời báo cáo cho lãnh đạo cơ quan, đơn vị; Trường hợp cần thiết, lãnh đạo cơ quan, đơn vị báo cho Sở Thông tin và Truyền thông và cơ quan ứng cứu máy tính khẩn cấp của quốc gia.
6. Khi có yêu cầu của Ủy ban nhân dân tỉnh hoặc cơ quan chuyên trách về an toàn thông tin số, các cơ quan, đơn vị lập báo cáo về tình hình quản lý an toàn, bảo mật trong ứng dụng công nghệ thông tin của cơ quan mình.