Điều 8. Bảo đảm an toàn hệ thống thông tin xử lý dữ liệu cá nhân
1. Thực hiện bảo đảm an toàn, an ninh mạng đối với hệ thống thông tin theo cấp độ và bảo vệ an ninh mạng đối với các hệ thống thông tin xử lý dữ liệu cá nhân theo đúng quy định của pháp luật về an ninh mạng, trong đó hệ thống thông tin phải đáp ứng các yêu cầu bảo vệ ở cấp độ tương ứng theo quy định hiện hành; tuân thủ các tiêu chuẩn, quy chuẩn kỹ thuật về an ninh mạng. Đối với các dự án đầu tư, nâng cấp hệ thống thông tin xử lý dữ liệu cá nhân sau khi Quy chế này có hiệu lực, cơ quan chủ trì dự án phải đánh giá và nêu rõ căn cứ pháp luật cho việc xử lý dữ liệu cá nhân ngay trong giai đoạn đề xuất chủ trương đầu tư, lập dự án hoặc kế hoạch thuê dịch vụ công nghệ thông tin;
2. Trang bị và duy trì các hệ thống giám sát an ninh mạng, hệ thống ngăn chặn thất thoát dữ liệu đối với hệ thống thông tin có xử lý dữ liệu cá nhân từ cấp độ 3 trở lên để theo dõi liên tục hoạt động của hệ thống mạng, máy chủ; các hệ thống này phải được cấu hình để phát hiện các hành vi bất thường hoặc truy cập trái phép vào dữ liệu và đưa ra cảnh báo sớm để có biện pháp xử lý kịp thời;
3. Hệ thống thông tin xử lý dữ liệu cá nhân phải có tính năng ghi và lưu trữ nhật ký hệ thống trong quá trình xử lý dữ liệu cá nhân; khuyến khích thiết kế hiển thị trên giao diện người dùng thông tin về căn cứ pháp lý của việc xử lý dữ liệu cá nhân để người dùng biết và tuân thủ mục đích, phạm vi cho phép;
4. Áp dụng các biện pháp xác thực và mã hóa đối với kênh kết nối truyền đưa dữ liệu cá nhân giữa các hệ thống thông tin với nhau, cũng như giữa người dùng với hệ thống thông tin;
5. Áp dụng các giải pháp, phần mềm phòng chống mã độc trên máy chủ và máy trạm của hệ thống thông tin xử lý dữ liệu cá nhân. Không sử dụng dữ liệu cá nhân thật trên môi trường thử nghiệm; không được phép xử lý dữ liệu cá nhân trên hệ thống thông tin thử nghiệm; trường hợp cần thử nghiệm, phải sử dụng dữ liệu giả định hoặc đã ẩn danh, để tránh rủi ro lộ lọt dữ liệu cá nhân;
6. Tổ chức đánh giá an ninh, an toàn đối với hệ thống thông tin định kỳ nhằm nhận diện các lỗ hổng bảo mật, điểm yếu trong hệ thống, từ đó áp dụng các biện pháp khắc phục, phòng ngừa rủi ro tương ứng. Việc kiểm tra, đánh giá an ninh mạng định kỳ đối với hệ thống thông tin xử lý dữ liệu cá nhân phải đồng thời bao gồm kiểm tra việc tuân thủ quy định pháp luật về bảo vệ dữ liệu cá nhân, bên cạnh việc kiểm tra về an toàn, an ninh mạng theo quy định chung;
7. Định kỳ bảo trì, bảo dưỡng, nâng cấp phần cứng, phần mềm của hệ thống thông tin; kịp thời cập nhật các bản vá bảo mật cho hệ điều hành, cơ sở dữ liệu và ứng dụng nhằm duy trì, cải thiện hiệu suất và tính bảo mật của hệ thống. Các trang thiết bị thuộc hệ thống thông tin có chức năng thu thập, lưu trữ, xử lý dữ liệu cá nhân phải được kiểm tra an ninh thông tin trước khi đưa vào sử dụng và sau khi tiến hành bảo dưỡng, sửa chữa, nâng cấp;
8. Thực hiện xóa an toàn toàn bộ dữ liệu cá nhân trên hệ thống thông tin khi hệ thống kết thúc vận hành, chấm dứt sử dụng hoặc cần thay thế bằng hệ thống khác, trừ trường hợp pháp luật cho phép hoặc yêu cầu lưu trữ để chuyển sang hệ thống mới.