Xác_định việc đánh_giá rủi_ro công_nghệ thông_tin , rủi_ro hoạt_động tối_thiểu của bên thứ ba được quy_định như thế_nào ?
Điều 33 . Các yêu_cầu khi sử_dụng dịch_vụ của bên thứ ba Trước khi sử_dụng dịch_vụ của bên thứ ba triển_khai cho các hệ_thống thông_tin từ cấp_độ 3 trở lên và các hệ_thống thông_tin có xử_lý thông_tin cá_nhân của khách_hàng , tổ_chức thực_hiện : 
 1 . Đánh_giá rủi_ro công_nghệ thông_tin , rủi_ro hoạt_động tối_thiểu bao_gồm các nội_dung sau : 
 a ) Nhận_diện rủi_ro , phân_tích , ước_lượng cấp_độ tổn_hại , mối đe_dọa đến an_toàn thông_tin ; 
 b ) Khả_năng kiểm_soát các quy_trình nghiệp_vụ , khả_năng cung_cấp dịch_vụ liên_tục , khả_năng thực_hiện nghĩa_vụ cung_cấp thông_tin cho các cơ_quan nhà_nước ; 
 c ) Xác_định rõ vai_trò , trách_nhiệm của các bên liên_quan trong việc bảo_đảm chất_lượng dịch_vụ ; 
 d ) Xây_dựng các biện_pháp nhằm giảm_thiểu rủi_ro , biện_pháp phòng_ngừa , ứng_cứu , khắc_phục sự_cố ; 
 đ ) Rà_soát và điều_chỉnh chính_sách quản_lý rủi_ro ( nếu có ) . 
 2 . Trong trường_hợp sử_dụng dịch_vụ điện_toán đám mây , ngoài các yêu_cầu tại khoản 1 Điều này , tổ_chức thực_hiện : 
 a ) Phân_loại hoạt_động , nghiệp_vụ dự_kiến triển_khai trên điện_toán đám mây dựa trên đánh_giá tác_động của hoạt_động , nghiệp_vụ đó với hoạt_động của tổ_chức ; 
 b ) Xây_dựng phương_án dự_phòng đối_với các cấu phần của hệ_thống thông_tin từ cấp_độ 3 trở lên . Phương_án dự_phòng phải được kiểm_thử và đánh_giá sẵn_sàng thay_thế cho các hoạt_động , nghiệp_vụ triển_khai trên điện_toán đám mây ; 
 c ) Xây_dựng các tiêu_chí lựa_chọn bên thứ ba đáp_ứng yêu_cầu quy_định tại Điều 34 Thông_tư này ; 
 d ) Rà_soát , bổ_sung , áp_dụng các biện_pháp_bảo_đảm an_toàn thông_tin của tổ_chức , giới_hạn truy_cập từ điện_toán đám mây đến các hệ_thống thông_tin của tổ_chức . 
 3 . Trường_hợp thuê bên thứ ba thực_hiện toàn_bộ công_việc quản_trị hệ_thống thông_tin từ cấp_độ 3 trở lên và các hệ_thống thông_tin xử_lý thông_tin khách_hàng , tổ_chức thực_hiện đánh_giá rủi_ro theo quy_định tại khoản 1 Điều này và gửi báo_cáo đánh_giá rủi_ro cho Ngân_hàng Nhà_nước ( Cục Công_nghệ thông_tin ) .
Điều 13 . Kiểm_định viên công_nghệ thông_tin hạng III 1 . Nhiệm_vụ : 
 a ) Kiểm_tra , đánh_giá tính tuân_thủ các yêu_cầu , quy_định , chính_sách về công_nghệ thông_tin , an_toàn thông_tin của các cơ_quan , tổ_chức và các hệ_thống thông_tin ; 
 b ) Tham_gia thẩm_định chất_lượng kết_quả các dự_án CNTT / ATTT theo mục_đích yêu_cầu , thiết_kế kỹ_thuật của hồ_sơ dự_án và các định_chuẩn , tiêu_chuẩn đã ban_hành ( Sản_phẩm kiểm_định có_thể bao_gồm cả trang_bị hạ_tầng kỹ_thuật phần_cứng , phần_mềm hệ_thống , phần_mềm ứng_dụng ... ) ; 
 c ) Tham_gia biên_soạn các tài_liệu hướng_dẫn kỹ_thuật , quy_trình quy_phạm , xây_dựng các định mức kinh_tế - kỹ_thuật trong việc thẩm_định , kiểm_tra các sản_phẩm CNTT / ATTT trong bộ , ngành và các địa_phương ; 
 d ) Chủ_trì hoặc tham_gia đề_tài nghiên_cứu khoa_học ứng_dụng CNTT / ATTT ; tổng_kết , rút kinh_nghiệm chuyên_môn , nghiệp_vụ , quản_lý kỹ_thuật và triển_khai ứng_dụng CNTT / ATTT trong thực_tiễn ; 
 2 . Tiêu_chuẩn về trình_độ đào_tạo , bồi_dưỡng : 
 a ) Có bằng tốt_nghiệp đại_học các ngành đúng hoặc các ngành gần đào_tạo về CNTT trở lên ; 
 b ) Có trình_độ ngoại_ngữ bậc 2 ( A2 ) theo quy_định tại Thông_tư số 01 / 2014 / TT - BGDĐT ; 
 c ) Có chứng_chỉ bồi_dưỡng tiêu_chuẩn chức_danh Kiểm_định viên công_nghệ thông_tin hạng III. 
 3 . Tiêu_chuẩn về năng_lực chuyên_môn , nghiệp_vụ : 
 a ) Thành_thạo nghiệp_vụ chuyên_ngành về tổ_chức , hoạt_động của ngành , của địa_phương , đơn_vị và cơ_sở có liên_quan đến nhiệm_vụ được phân_công ; 
 b ) Thực_hiện có hiệu_quả nhiệm_vụ theo quy_định của pháp_luật về công_nghệ thông_tin và các quy_định của pháp_luật khác có liên_quan ;