Trách_nhiệm của tổ_chức trong quá_trình sử_dụng dịch_vụ điện_toán đám mây được quy_định thế_nào ?
Điều 36 . Trách_nhiệm của tổ_chức trong quá_trình sử_dụng dịch_vụ của bên thứ ba Khi sử_dụng dịch_vụ của bên thứ ba , tổ_chức có trách_nhiệm sau : 
 1 . Cung_cấp , thông_báo và yêu_cầu bên thứ ba thực_hiện các quy_định về an_toàn thông_tin của tổ_chức . 
 2 . Có quy_trình và bố_trí nguồn_lực để giám_sát , kiểm_soát các dịch_vụ do bên thứ ba cung_cấp bảo_đảm chất_lượng dịch_vụ theo thỏa_thuận đã ký_kết . Đối_với dịch_vụ điện_toán đám mây , phải giám_sát , kiểm_soát chất_lượng dịch_vụ . 
 3 . Áp_dụng các quy_định về an_toàn thông_tin của tổ_chức đối_với trang thiết_bị , dịch_vụ do bên thứ ba cung_cấp được triển_khai trên hạ_tầng do tổ_chức quản_lý , sử_dụng . 
 4 . Quản_lý các thay_đổi đối_với dịch_vụ do bên thứ ba cung_cấp bao_gồm : thay_đổi nhà cung_cấp , thay_đổi giải_pháp , thay_đổi phiên_bản , thay_đổi các nội_dung quy_định tại Điều 41 Thông_tư này ; đánh_giá đầy_đủ tác_động của việc thay_đổi , bảo_đảm an_toàn khi được đưa vào sử_dụng . 
 5 . Áp_dụng các biện_pháp giám_sát chặt_chẽ và giới_hạn quyền truy_cập của bên thứ ba khi cho phép bên thứ ba truy_cập vào hệ_thống thông_tin của tổ_chức . 
 6 . Giám_sát_nhân_sự của bên thứ ba trong quá_trình thực_hiện hợp_đồng . Trường_hợp phát_hiện nhân_sự bên thứ ba vi_phạm_quy_định về an_toàn thông_tin phải thông_báo và phối_hợp với bên thứ ba áp_dụng biện_pháp xử_lý kịp_thời . 
 7 . Thu_hồi quyền truy_cập hệ_thống thông_tin đã được cấp cho bên thứ ba , thay_đổi các khóa , mã khóa bí_mật nhận bàn_giao từ bên thứ ba ngay sau khi hoàn_thành_công_việc hoặc kết_thúc hợp_đồng . 
 8 . Đối_với hệ_thống thông_tin từ cấp_độ 3 trở lên , các hệ_thống thông_tin xử_lý thông_tin khách_hàng hoặc hệ_thống thông_tin sử_dụng dịch_vụ điện_toán đám mây , phải đánh_giá sự tuân_thủ các quy_định về bảo_đảm an_toàn thông_tin của bên thứ ba theo đúng thỏa_thuận đã ký_kết . Thực_hiện đánh_giá sự tuân_thủ định_kỳ hàng năm hoặc đột_xuất khi có nhu_cầu . Việc đánh_giá tuân_thủ có_thể sử_dụng kết_quả kiểm_toán công_nghệ thông_tin của tổ_chức kiểm_toán độc_lập .
Điều 33 . Các yêu_cầu khi sử_dụng dịch_vụ của bên thứ ba Trước khi sử_dụng dịch_vụ của bên thứ ba triển_khai cho các hệ_thống thông_tin từ cấp_độ 3 trở lên và các hệ_thống thông_tin có xử_lý thông_tin cá_nhân của khách_hàng , tổ_chức thực_hiện : 
 1 . Đánh_giá rủi_ro công_nghệ thông_tin , rủi_ro hoạt_động tối_thiểu bao_gồm các nội_dung sau : 
 a ) Nhận_diện rủi_ro , phân_tích , ước_lượng cấp_độ tổn_hại , mối đe_dọa đến an_toàn thông_tin ; 
 b ) Khả_năng kiểm_soát các quy_trình nghiệp_vụ , khả_năng cung_cấp dịch_vụ liên_tục , khả_năng thực_hiện nghĩa_vụ cung_cấp thông_tin cho các cơ_quan nhà_nước ; 
 c ) Xác_định rõ vai_trò , trách_nhiệm của các bên liên_quan trong việc bảo_đảm chất_lượng dịch_vụ ; 
 d ) Xây_dựng các biện_pháp nhằm giảm_thiểu rủi_ro , biện_pháp phòng_ngừa , ứng_cứu , khắc_phục sự_cố ; 
 đ ) Rà_soát và điều_chỉnh chính_sách quản_lý rủi_ro ( nếu có ) . 
 2 . Trong trường_hợp sử_dụng dịch_vụ điện_toán đám mây , ngoài các yêu_cầu tại khoản 1 Điều này , tổ_chức thực_hiện : 
 a ) Phân_loại hoạt_động , nghiệp_vụ dự_kiến triển_khai trên điện_toán đám mây dựa trên đánh_giá tác_động của hoạt_động , nghiệp_vụ đó với hoạt_động của tổ_chức ; 
 b ) Xây_dựng phương_án dự_phòng đối_với các cấu phần của hệ_thống thông_tin từ cấp_độ 3 trở lên . Phương_án dự_phòng phải được kiểm_thử và đánh_giá sẵn_sàng thay_thế cho các hoạt_động , nghiệp_vụ triển_khai trên điện_toán đám mây ; 
 c ) Xây_dựng các tiêu_chí lựa_chọn bên thứ ba đáp_ứng yêu_cầu quy_định tại Điều 34 Thông_tư này ; 
 d ) Rà_soát , bổ_sung , áp_dụng các biện_pháp_bảo_đảm an_toàn thông_tin của tổ_chức , giới_hạn truy_cập từ điện_toán đám mây đến các hệ_thống thông_tin của tổ_chức . 
 3 . Trường_hợp thuê bên thứ ba thực_hiện toàn_bộ công_việc quản_trị hệ_thống thông_tin từ cấp_độ 3 trở lên và các hệ_thống thông_tin xử_lý thông_tin khách_hàng , tổ_chức thực_hiện đánh_giá rủi_ro theo quy_định tại khoản 1 Điều này và gửi báo_cáo đánh_giá rủi_ro cho Ngân_hàng Nhà_nước ( Cục Công_nghệ thông_tin ) .