Điều 17. Trách nhiệm quản lý và quy trình vận hành của các đơn vị
1. Ban hành các quy trình vận hành hệ thống công nghệ thông tin, tối thiểu bao gồm: Quy trình khởi động, đóng hệ thống; quy trình sao lưu, phục hồi dữ liệu; quy trình vận hành ứng dụng; quy trình xử lý sự cố; quy trình giám sát và ghi nhật ký hoạt động của hệ thống. Trong đó phải xác định rõ phạm vi, trách nhiệm của người sử dụng, vận hành hệ thống.
2. Kiểm soát sự thay đổi của phiên bản phần mềm, cấu hình phần cứng, quy trình vận hành: ghi chép lại các thay đổi; lập kế hoạch, thực hiện kiểm tra, thử nghiệm sự thay đổi, báo cáo kết quả và phải được phê duyệt trước khi áp dụng chính thức. Có phương án dự phòng cho việc phục hồi hệ thống trong trường hợp thực hiện thay đổi không thành công hoặc gặp các sự cố không có khả năng dự tính trước.
3. Hệ thống công nghệ thông tin vận hành chính thức phải đáp ứng yêu cầu:
a) Tách biệt với môi trường phát triển và môi trường kiểm tra, thử nghiệm;
b) Áp dụng các giải pháp an ninh, an toàn;
c) Không cài đặt các công cụ, phương tiện phát triển ứng dụng trên hệ thống vận hành chính thức.
4. Đối với hệ thống công nghệ thông tin xử lý giao dịch khách hàng:
a) Không để một cá nhân làm toàn bộ các khâu từ khởi tạo đến phê duyệt một giao dịch;
b) Áp dụng các biện pháp đảm bảo tính toàn vẹn dữ liệu giao dịch;
c) Mọi thao tác trên hệ thống phải được lưu vết, sẵn sàng cho kiểm tra, kiểm soát khi cần thiết.