Điều 7. Xây dựng quy định và quy trình nội bộ về đảm bảo an toàn thông tin số
1. Các cơ quan phải ban hành quy định nội bộ về đảm bảo an toàn thông tin số, đảm bảo quy định rõ các vấn đề sau:
a) Mục tiêu và phương hướng thực hiện công tác đảm bảo an toàn số;
b) Nguyên tắc phân loại và quản lý mức độ ưu tiên đối với các thành phần của hệ thống thông tin (phần mềm, dữ liệu, trang thiết bị);
c) Nguyên tắc chung về sử dụng an toàn và hiệu quả đối với các cá nhân tham gia sử dụng hệ thống thông tin;
d) Quy định về quản lý phân quyền và trách nhiệm đối với từng cá nhân khi tham gia sử dụng hệ thống thông tin;
đ) Quy định về quản lý và điều hành hệ thống máy chủ, thiết bị mạng, thiết bị bảo vệ mạng một cách an toàn;
e) Công tác kiểm tra, rà soát và khắc phục sự cố mất an toàn thông tin số cho hệ thống bằng cách sử dụng các biện pháp trong Điều 5 và Điều 6 của Quy định này;
g) Báo cáo tổng hợp tình hình thực hiện công tác đảm bảo an toàn thông tin số của hệ thống theo định kỳ;
h) Các biện pháp tổ chức thực hiện.
2. Các cơ quan phải xây dựng và áp dụng quy trình đảm bảo an toàn thông tin số cho hệ thống thông tin của mình nhằm giảm thiểu các nguy cơ gây sự cố, tạo điều kiện cho việc khắc phục và truy vết trong trường hợp có sự cố xảy ra. Nội dung của quy trình có thể chia làm các bước cơ bản như sau:
a) Lập kế hoạch bảo vệ an toàn thông tin số cho hệ thống thông tin;
b) Xây dựng hệ thống bảo vệ an toàn thông tin số;
c) Quản lý và vận hành hệ thống bảo vệ an toàn thông tin số;
d) Kiểm tra đánh giá hoạt động hệ thống bảo vệ an toàn thông tin số;
đ) Bảo trì và nâng cấp hệ thống bảo vệ an toàn thông tin số.
3. Khuyến khích các cơ quan xây dựng và áp dụng hệ thống quản lý an toàn thông tin theo tiêu chuẩn quốc gia TCVN ISO/IEC 27001:2009 do Bộ Khoa học và Công nghệ ban hành năm 2009 đối với hệ thống thông tin của cơ quan mình.