Điều 15. Quản lý rủi ro, lỗ hổng, điểm yếu an ninh an toàn mạng
1. Đơn vị vận hành hệ thống thông tin có trách nhiệm:
a) Quản lý thông tin điểm yếu an ninh an toàn mạng đối với từng thành phần có trong hệ thống (hệ điều hành, máy chủ, ứng dụng, dịch vụ…); phân loại mức độ nguy hiểm của điểm yếu; xây dựng phương án và quy trình xử lý đối với từng mức độ nguy hiểm của điểm yếu.
b) Lập danh sách toàn bộ thiết bị, phần mềm công nghệ thông tin đang sử dụng trong phạm vi quản lý của chủ quản hệ thống thông tin: nhãn hiệu phần cứng, tên phần mềm và phiên bản (hệ điều hành, cơ sở dữ liệu, ứng dụng, các tiện ích khác).
c) Thiết lập, duy trì kênh tiếp nhận thông tin về lỗ hổng, điểm yếu an ninh an toàn mạng từ các cơ quan, tổ chức có chức năng cảnh báo về an ninh an toàn mạng; các đơn vị cung cấp thiết bị, phần mềm công nghệ thông tin thuộc phạm vi quy định tại điểm b khoản này. Phối hợp với các nhóm chuyên gia, bên cung cấp dịch vụ hỗ trợ trong việc xử lý, khắc phục điểm yếu an ninh an toàn mạng đối với các điểm yếu khi cần thiết.
d) Quản trị viên hệ thống báo cáo lãnh đạo, cán bộ quản lý ngay khi phát hiện điểm yếu an ninh an toàn mạng ở mức độ nghiêm trọng; thực hiện cảnh báo và xử lý điểm yếu an ninh an toàn mạng theo chỉ đạo. Việc xử lý điểm yếu an ninh an toàn mạng phải bảo đảm không làm ảnh hưởng, gián đoạn hoạt động của hệ thống.
đ) Quản lý, giám sát việc cài đặt bản vá lỗ hổng, điểm yếu an ninh an toàn mạng. Sử dụng và cập nhật liên tục các công cụ dò quét lỗ hổng, điểm yếu an ninh an toàn mạng để các công cụ này có thể phát hiện được các lỗ hổng bảo mật mới nhất; hoặc sử dụng kết quả kiểm tra, đánh giá an ninh an toàn mạng để xác định các lỗ hổng, điểm yếu của hệ thống thông tin.
e) Triển khai cài đặt bản vá lỗ hổng, điểm yếu an ninh an toàn mạng sau khi bản vá được phát hành; Áp dụng các biện pháp bảo vệ tạm thời trong trường hợp bản vá bảo mật chưa được phát hành hoặc chưa đủ điều kiện để triển khai.
g) Xây dựng phương án xử lý tạm thời đối với trường hợp điểm yếu an ninh an toàn mạng chưa được khắc phục và phương án khôi phục hệ thống trong trường hợp xử lý điểm yếu thất bại.
2. Đối với hệ thống, hệ thống thành phần được đề xuất cấp độ phải thực hiện kiểm tra, đánh giá và xử lý điểm yếu an ninh an toàn mạng cho thiết bị hệ thống, máy chủ, dịch vụ trước khi đưa vào sử dụng.
3. Định kỳ hằng năm kiểm tra, đánh giá điểm yếu an ninh an toàn mạng cho toàn bộ hệ thống thông tin; thực hiện quy trình kiểm tra, đánh giá, xử lý điểm yếu an ninh an toàn mạng khi có thông tin hoặc nhận được cảnh báo.
4. Hoạt động đánh giá phát hiện mã độc, lỗ hổng, điểm yếu, thử nghiệm xâm nhập hệ thống thực hiện theo quy định tại điểm c khoản 2 Điều 20 Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ.
5. Đơn vị vận hành hệ thống thông tin triển khai quản lý rủi ro an ninh an toàn mạng trên cơ sở quản lý lỗ hổng, điểm yếu an ninh an toàn mạng theo quy định tại khoản 1 Điều này và theo hướng dẫn của cơ quan chức năng.