Điều 8. Xây dựng và áp dụng quy trình đảm bảo an toàn, an ninh thông tin
1. Các cơ quan, đơn vị phải xây dựng và áp dụng quy trình đảm bảo an toàn, an ninh cho hệ thống thông tin của mình nhằm giảm thiểu các nguy cơ gây ra sự cố, tạo điều kiện cho việc khắc phục và truy vết trong trường hợp có sự cố xảy ra. Nội dung của quy trình có thể chia làm các bước cơ bản như:
a) Lập kế hoạch bảo vệ an toàn, an ninh cho hệ thống thông tin;
b) Xây dựng hệ thống bảo vệ an toàn, an ninh thông tin;
c) Quản lý và vận hành hệ thống bảo vệ an toàn, an ninh thông tin;
d) Kiểm tra đánh giá hoạt động của hệ thống bảo vệ an toàn, an ninh thông tin;
đ) Bảo trì và nâng cấp hệ thống bảo vệ an toàn, an ninh thông tin.
2. Các cơ quan, đơn vị tham khảo các bước cơ bản để xây dựng khung quy trình đảm bảo an toàn, an ninh thông tin cho hệ thống thông tin tại Phụ lục 2 kèm theo Quy chế và tiêu chuẩn quốc tế ISO 27001:2005.