Điều 14. Quy định quản lý giám sát lỗ hổng an toàn thông tin
1. Đơn vị vận hành thực hiện lập danh sách các nút mạng (Node), các thiết bị, các máy chủ đang quản lý trên hệ thống. Danh sách bao gồm tối thiểu các thông tin như địa chỉ IP, chức năng, hệ điều hành, phiên bản, cán bộ quản trị, vận hành.
2. Đơn vị vận hành đăng ký nhận thông tin, bản tin về bảo mật từ các hãng cung cấp hạ tầng công nghệ thông tin và dịch vụ phần mềm đã triển khai tại Trung tâm dữ liệu. Thực hiện cập nhật bản vá lỗ hổng an toàn thông tin đối với các hệ điều hành, cơ sở dữ liệu, ứng dụng, nâng cấp phiên bản đối với các thiết bị bảo mật.
3. Khi phát hiện có lỗ hổng an toàn thông tin hoặc nhận được các cảnh báo về lỗ hổng an toàn thông tin từ nhà cung cấp hoặc các tổ chức, đối tác chuyên nghiệp, đơn vị vận hành cần thông báo tới đơn vị quản lý và triển khai phương án xử lý, khắc phục.
4. Việc xử lý các lỗ hổng an toàn thông tin đối với các máy chủ, thiết bị mạng quan trọng cần phải có phân tích ảnh hưởng hoặc thử nghiệm trước khi áp dụng vào hệ thống đang hoạt động và có phương án dự phòng hoặc khôi phục lại hệ thống trong trường hợp xử lý không thành công. Quá trình xử lý được ghi nhận đầy đủ các bước, các thao tác trong hệ thống quản lý sự kiện an toàn thông tin, được tái sử dụng nếu có lỗ hổng tương tự.
5. Đối với các lỗ hổng an toàn thông tin cần cài đặt các bản vá lỗi để xử lý, bản vá lỗi phải được tải về từ nguồn tin cậy (là trang web chính thức của nhà cung cấp) hoặc có biện pháp kiểm tra nguồn gốc của bản vá lỗi.