Điều 40. An toàn, bảo mật trong quá trình phát triển phần mềm
1. Tổ chức thực hiện quản lý quá trình phát triển phần mềm như sau:
a) Quản lý, kiểm soát mã nguồn. Việc truy cập, tiếp cận mã nguồn phải được sự phê duyệt của cấp có thẩm quyền;
b) Quản lý, bảo vệ tệp tin cấu hình hệ thống;
c) Yêu cầu bên thứ ba cung cấp mã nguồn phần mềm đối với các phần mềm thuê ngoài gia công (outsourced software) của các hệ thống thông tin từ cấp độ 2 trở lên.
2. Tổ chức phải lựa chọn, kiểm soát đối với dữ liệu kiểm tra, thử nghiệm. Không sử dụng dữ liệu thật của hệ thống thông tin vận hành chính thức cho hoạt động kiểm thử khi chưa thực hiện các biện pháp che giấu hoặc thay đổi đối với dữ liệu chứa thông tin khách hàng và thông tin bí mật.