Điều 39. Quản lý các điểm yếu về mặt kỹ thuật
1. Có quy định về việc đánh giá, quản lý và kiểm soát các điểm yếu về mặt kỹ thuật của các hệ thống công nghệ thông tin đang sử dụng.
2. Đơn vị phải chủ động phát hiện các điểm yếu về mặt kỹ thuật:
a. Thường xuyên cập nhật thông tin liên quan đến lỗ hổng, điểm yếu về mặt kỹ thuật;
b. Thực hiện dò quét, phát hiện các lỗ hổng, điểm yếu về mặt kỹ thuật của các hệ thống công nghệ thông tin đang sử dụng tối thiểu ba tháng một lần đối với các hệ thống có kết nối với môi trường bên ngoài, sáu tháng một lần đối với các hệ thống khác.
3. Đánh giá mức độ tác động, rủi ro của từng lỗ hổng, điểm yếu về mặt kỹ thuật được phát hiện đối với hệ thống công nghệ thông tin đang sử dụng và đưa ra phương án xử lý.
4. Xây dựng, tổ chức triển khai các giải pháp xử lý, khắc phục và báo cáo kết quả xử lý.