Pasal 20

(1) Analisis kerentanan keamanan terhadap instalasi/fasilitas dan kegiatan sebagaimana dimaksud dalam Pasal 17 ayat (1) huruf b dilakukan terhadap setiap tindakan keamanan, meliputi fungsi: a. pencegahan; b. deteksi; c. penundaan; dan d. respons. (2) Analisis kerentanan keamanan sebagaimana dimaksud pada ayat (1), mencakup: a. identifikasi dan pemeringkatan terhadap sistem atau subsistem yang rentan ancaman; dan b. identifikasi celah kerentanan keamanan, paling sedikit meliputi:

1. tindakan keamanan yang tidak efektif;
2. kendali administratif yang tidak mencukupi;
3. sistem komunikasi yang tidak memadai;
4. Budaya Keamanan yang masih rendah; dan
5. ketidaksesuaian tindakan keselamatan dan keamanan.