Điều 18. Quản lý rủi ro an toàn thông tin, an ninh mạng
1. Ban hành quy định, quy trình quản lý rủi ro an toàn thông tin, an ninh mạng nội bộ, xác định rõ phạm vi, vai trò, trách nhiệm của các bộ phận liên quan.
2. Chủ quản hệ thống thông tin tổ chức đánh giá rủi ro an toàn thông tin định kỳ tối thiểu 01 lần/năm hoặc khi có sự thay đổi lớn về kiến trúc hệ thống.
3. Căn cứ vào đánh giá rủi ro, cần rà soát, bổ sung các yêu cầu an toàn (biện pháp kiểm soát rủi ro) cho phù hợp với yêu cầu thực tế, tuân thủ các quy định pháp luật.