Quản_lý và kiểm_soát sự thay_đổi hệ_thống thông_tin được quy_định như thế_nào ?
Điều 41 . Quản_lý_sự thay_đổi hệ_thống thông_tin Tổ_chức ban_hành quy_trình , biện_pháp quản_lý và kiểm_soát sự thay_đổi hệ_thống thông_tin , tối_thiểu bao_gồm : 
 1 . Thực_hiện ghi_chép lại các thay_đổi ; lập kế_hoạch thay_đổi ; thực_hiện kiểm_tra , thử_nghiệm sự thay_đổi , báo_cáo kết_quả ; phê_duyệt kế_hoạch thay_đổi trước khi áp_dụng chính_thức thay_đổi phiên_bản phần_mềm , cấu_hình phần_cứng , tham_số phần_mềm hệ_thống , quy_trình vận_hành . Có phương_án dự_phòng cho việc phục_hồi hệ_thống trong trường_hợp thực_hiện thay_đổi không thành_công hoặc gặp các sự_cố không có khả_năng dự_tính trước . 
 2 . Kiểm_tra , đánh_giá tác_động để bảo_đảm hệ_thống thông_tin hoạt_động ổn_định , an_toàn trên môi_trường mới đối_với hệ_thống thông_tin từ cấp_độ 3 trở lên khi thay_đổi phiên_bản hoặc thay_đổi hệ điều_hành , hệ quản_trị cơ_sở dữ_liệu , phần_mềm lớp giữa .
Điều 30 . Quản_lý truy_cập hệ_thống thông_tin và ứng_dụng Tổ_chức xây_dựng và triển_khai việc quản_lý truy_cập đáp_ứng yêu_cầu sau : 
 1 . Kiểm_soát những phần_mềm tiện_ích có khả_năng ảnh_hưởng đến hệ_thống thông_tin . 
 2 . Quy_định thời_gian truy_cập vào ứng_dụng tương_ứng với thời_gian hoạt_động nghiệp_vụ và dịch_vụ mà ứng_dụng cung_cấp . Tự_động ngắt phiên làm_việc của người sử_dụng sau một thời_gian không sử_dụng nhằm ngăn_chặn sự truy_cập trái_phép . 
 3 . Quản_lý và phân_quyền truy_cập thông_tin và ứng_dụng bảo_đảm nguyên_tắc cấp quyền vừa đủ để thực_hiện nhiệm_vụ được giao của người sử_dụng : 
 a ) Phân_quyền truy_cập đến từng thư_mục , chức_năng của chương_trình ; 
 b ) Phân_quyền đọc , ghi , xóa , thực_thi đối_với thông_tin , dữ_liệu , chương_trình . 
 4 . Các hệ_thống thông_tin sử_dụng chung nguồn tài_nguyên phải được cấp có thẩm_quyền phê_duyệt . 
 5 . Đối_với máy_chủ thuộc hệ_thống thông_tin từ cấp_độ 3 trở lên và các hệ_thống thông_tin có xử_lý thông_tin cá_nhân của khách_hàng phải sử_dụng giao_thức kết_nối an_toàn và có phương_án chống đăng_nhập tự_động . 
 6 . Đối_với các hệ_thống thông_tin từ cấp_độ 4 trở lên phải áp_dụng xác_thực đa yếu_tố khi truy_cập quản_trị các máy_chủ , ứng_dụng và các thiết_bị mạng , an_ninh mạng quan_trọng .