Điều 10. Quản lý rủi ro, lỗ hổng, điểm yếu an toàn thông tin
1. Các cơ quan, đơn vị phối hợp với đơn vị chuyên trách về an toàn thông tin của tỉnh tổ chức quản lý lỗ hổng, điểm yếu an ninh mạng, an toàn thông tin.
a) Lập danh sách toàn bộ thiết bị, phần mềm công nghệ thông tin đang sử dụng trong phạm vi quản lý: nhãn hiệu phần cứng, tên phần mềm và phiên bản (hệ điều hành, cơ sở dữ liệu, ứng dụng, các tiện ích khác).
b) Thiết lập, duy trì kênh tiếp nhận thông tin về lỗ hổng, điểm yếu an ninh mạng, an toàn thông tin từ các cơ quan, tổ chức có chức năng cảnh báo về an toàn thông tin mạng; các đơn vị cung cấp thiết bị, phần mềm công nghệ thông tin thuộc phạm vi điểm a khoản này.
c) Quản lý, giám sát việc cài đặt bản vá lỗ hổng, điểm yếu an ninh mạng, an toàn thông tin. Sử dụng và cập nhật liên tục các công cụ dò quét lỗ hổng, điểm yếu an ninh mạng, an toàn thông tin để các công cụ này có thể phát hiện được các lỗ hổng bảo mật mới nhất; hoặc sử dụng kết quả kiểm tra, đánh giá an ninh mạng, an toàn thông tin để xác định các lỗ hổng, điểm yếu của hệ thống thông tin.
d) Triển khai cài đặt bản vá lỗ hổng, điểm yếu an ninh mạng, an toàn thông tin sau khi bản vá được phát hành; áp dụng các biện pháp bảo vệ tạm thời trong trường hợp bản vá bảo mật chưa được phát hành hoặc chưa đủ điều kiện để triển khai.
2. Các cơ quan, đơn vị phối hợp với đơn vị chuyên trách về an toàn thông tin, đơn vị vận hành hệ thống thông tin và cơ quan, tổ chức có liên quan triển khai quản lý rủi ro an ninh mạng, an toàn thông tin trên cơ sở quản lý lỗ hổng, điểm yếu an ninh mạng, an toàn thông tin theo quy định tại khoản 1 Điều này và theo hướng dẫn của Bộ Công an, Bộ Khoa học và Công nghệ.
3. Trên cơ sở báo cáo kết quả kiểm tra, đánh giá an ninh mạng, an toàn thông tin hoặc cảnh báo nguy cơ gây mất an ninh mạng, an toàn thông tin từ đơn vị chuyên trách về an toàn thông tin của tỉnh hoặc các cơ quan có thẩm quyền khác, chủ quản hệ thống thông tin có trách nhiệm tự khắc phục hoặc lựa chọn đơn vị đủ năng lực để triển khai các phương án khắc phục. Kết thúc xử lý, báo cáo kết quả thực hiện về đơn vị chuyên trách về an toàn thông tin của tỉnh để theo dõi, tổng hợp.