Điều 27 Nghị định số 331/2026/NĐ-CP: Quy định về hoạt động kiểm tra, đánh giá an ninh mạng

Điều 27. Quy định về hoạt động kiểm tra, đánh giá an ninh mạng

1. Nội dung kiểm tra, đánh giá việc tuân thủ quy định của pháp luật về bảo đảm an ninh mạng hệ thống thông tin theo cấp độ, bao gồm:

a) Kiểm tra, đánh giá tuân thủ đối với chủ quản hệ thống thông tin theo quy định tại Điều 31 Nghị định này, bao gồm: việc thực hiện thành lập/chỉ định đơn vị chuyên trách/bộ phận chuyên trách về an ninh mạng của chủ quản hệ thống thông tin theo quy định tại khoản 1 Điều 31 Nghị định này; việc thực hiện lập Hồ sơ đề xuất cấp độ, tổ chức thẩm định, phê duyệt Hồ sơ đề xuất cấp độ theo quy định đối với các hệ thống thông tin thuộc phạm vi quản lý; việc triển khai phương án bảo đảm an ninh mạng theo phương án trong Hồ sơ đề xuất cấp độ được phê duyệt đối với các hệ thống thông tin thuộc phạm vi quản lý; việc tổ chức thực hiện kiểm tra, đánh giá an ninh mạng và quản lý rủi ro an ninh mạng trong phạm vi cơ quan, tổ chức của mình theo quy định tại điểm c khoản 2 Điều 31 Nghị định này; việc tổ chức thực hiện đào tạo ngắn hạn, tuyên truyền, phổ biến, nâng cao nhận thức và diễn tập về an ninh mạng theo quy định tại khoản 3 Điều 31 Nghị định này;

b) Kiểm tra, đánh giá tuân thủ đối với đơn vị chuyên trách về an ninh mạng của chủ quản hệ thống thông tin theo quy định tại Điều 32 Nghị định này, bao gồm các nội dung: công tác tham mưu, tổ chức thực thi, đôn đốc, kiểm tra, giám sát công tác bảo đảm an ninh mạng; công tác thẩm định, phê duyệt hoặc cho ý kiến về mặt chuyên môn đối với Hồ sơ đề xuất cấp độ theo thẩm quyền quy định;

c) Kiểm tra, đánh giá tuân thủ đối với đơn vị vận hành theo quy định khoản 1 Điều 33 Nghị định này;

d) Kiểm tra, đánh giá việc tổ chức thực thi các biện pháp bảo đảm an ninh mạng theo phương án bảo đảm an ninh mạng được phê duyệt.

2. Nội dung kiểm tra, đánh giá hiệu quả của các biện pháp bảo đảm an ninh mạng theo phương án bảo đảm an ninh mạng được phê duyệt, bao gồm:

a) Kiểm tra tính đầy đủ và phù hợp của Quy chế bảo đảm an ninh mạng theo phương án bảo đảm an ninh mạng về quản lý được phê duyệt;

b) Đánh giá việc tuân thủ các quy định, quy trình trong Quy chế bảo đảm an ninh mạng trong quá trình vận hành, khai thác, kết thúc hoặc hủy bỏ hệ thống thông tin;

c) Đánh giá việc thiết kế hệ thống theo phương án bảo đảm an ninh mạng được phê duyệt;

d) Đánh giá việc thiết lập, cấu hình hệ thống theo phương án bảo đảm an ninh mạng được phê duyệt;

đ) Kiểm tra việc cấu hình, tăng cường bảo mật cho thiết bị hệ thống, hệ điều hành, ứng dụng, cơ sở dữ liệu và các thành phần khác liên quan trong hệ thống.

3. Nội dung kiểm tra, đánh giá phát hiện mã độc, lỗ hổng, điểm yếu, thử nghiệm xâm nhập hệ thống thông tin, bao gồm:

a) Dò quét, phát hiện mã độc, lỗ hổng, điểm yếu của hệ thống, thử nghiệm tấn công xâm nhập đối với các thiết bị hệ thống, hệ điều hành, ứng dụng, cơ sở dữ liệu và các thành phần khác liên quan trong hệ thống;

b) Việc duy trì, cập nhật và khắc phục các tồn tại, điểm yếu, lỗ hổng bảo mật đã được phát hiện trong quá trình vận hành hệ thống;

c) Đánh giá an toàn mã nguồn đối với phần mềm nội bộ;

d) Đưa ra phương án và kế hoạch xử lý lỗ hổng, điểm yếu và phương án cấu hình, tăng cường bảo mật đối với các nội dung kiểm tra được đánh giá là chưa đạt.

4. Hình thức kiểm tra, đánh giá phát hiện mã độc, lỗ hổng, điểm yếu, thử nghiệm xâm nhập hệ thống thông tin, gồm 03 hình thức sau:

a) Kiểm tra, đánh giá hộp đen (Black box);

b) Kiểm tra, đánh giá hộp xám (Gray box);

c) Kiểm tra, đánh giá hộp trắng (White box).