Điều 25. Đánh giá rủi ro hệ thống thông tin và hạ tầng vật lý
1. Tất cả các hệ thống thông tin, hạ tầng vật lý của cơ quan thuế phải thực hiện đánh giá rủi ro hệ thống thông tin và hạ tầng vật lý trước khi đưa vào vận hành sử dụng hoặc khi có sự thay đổi hoặc khi xuất hiện mối đe dọa mới hoặc xảy ra sự cố an toàn thông tin.
2. Chủ trì quản lý rủi ro
a) Bộ phận CNTT là đơn vị chủ trì đánh giá rủi ro hệ thống tin.
b) Bộ phận Văn phòng các đơn vị là đơn vị chủ trì đánh giá rủi ro hạ tầng vật lý.
3. Đơn vị chủ trì xây dựng quy trình đánh giá rủi ro gồm các bước sau:
a) Xác định danh mục tài sản, mức độ quan trọng và xác định chủ sở hữu đang quản lý đối với từng tài sản. Tài sản thông tin, hình ảnh và uy tín của tổ chức, phần mềm, phần cứng, tài sản vật lý khác, dịch vụ thuê ngoài, dịch vụ hỗ trợ nội bộ.
b) Nhận diện mối đe dọa, điểm yếu và kịch bản rủi ro: Xác định các mối đe dọa, khả năng xảy ra, điểm yếu các kịch bản rủi ro có khả năng tác động đến tài sản (rủi ro liên quan đến: vật lý, truy cập trái phép, thiết bị cá nhân, hạ tầng thông tin, bên thứ ba).
c) Đánh giá mức độ ảnh hưởng.
d) Đánh giá mức độ rủi ro.
đ) Xác định các biện pháp kiểm soát:
- Chấp nhận rủi ro;
- Giảm thiểu rủi ro;
- Tránh rủi ro;
- Chuyển giao rủi ro.
e) Dựa trên kết quả giám sát định kỳ việc triển khai các biện pháp kiểm soát, kết quả kiểm tra, tìm kiếm điểm yếu và các hoạt động rà soát khác, các đơn vị chủ quản tài sản phải cập nhật quy trình quản lý rủi ro và các kết quả đánh giá rủi ro tương ứng.