Pasal 10

(1) Perencanaan sebagaimana dimaksud dalam Pasal 9 huruf a mencakup, proses penetapan peraturan, tujuan, proses, dan prosedur Sistem Manajemen Keamanan Informasi dalam rangka mengelola Risiko Keamanan Informasi sesuai dengan ketentuan peraturan perundang-undangan. (2) Dalam menentukan tujuan sebagaimana dimaksud pada ayat (1) harus memenuhi kriteria sebagai berikut: a. selaras dan terukur dengan Sistem Manajemen Keamanan Informasi; b. memperhitungkan ketentuan Keamanan Informasi, hasil identifikasi, evaluasi, analisis, serta penanganan Risiko; dan c. mempertimbangkan isu eksternal dan internal, serta isu yang mempengaruhi kemampuan untuk mencapai sasaran Komisi berdasarkan Manajemen Risiko Komisi. (3) Tujuan sebagaimana dimaksud pada ayat (2) harus dikomunikasikan kepada Personil Komisi dan diperbarui oleh Komite Keamanan Informasi. (4) Dalam rangka mengelola Risiko Keamanan Informasi dalam tahap perencanaan sebagaimana dimaksud pada ayat (1), Komite Keamanan Informasi berwenang:

a. menentukan kegiatan untuk mengatasi Risiko Keamanan Informasi; b. mengintegrasikan dan menerapkan kegiatan yang diperlukan dalam proses Sistem Manajemen Keamanan Informasi; c. mengevaluasi efektivitas kegiatan yang dimaksud dalam huruf a dan huruf b; dan d. MENETAPKAN dan menerapkan penilaian serta perlakuan Risiko Keamanan Informasi berdasarkan Manajemen Risiko Komisi. (5) Implementasi sebagaimana dimaksud dalam Pasal 9 huruf b mencakup pelaksanaan proses, prosedur, dan pengendalian terkait Sistem Manajemen Keamanan Informasi. (6) Evaluasi sebagaimana dimaksud dalam Pasal 9 huruf c mencakup proses penilaian dan pengukuran kinerja pelaksanaan Sistem Manajemen Keamanan Informasi untuk dilaporkan kepada Pimpinan. (7) Perbaikan sebagaimana dimaksud dalam Pasal 9 huruf d merupakan kegiatan perbaikan yang berkesinambungan sebagai tindak lanjut hasil audit atau evaluasi terhadap Sistem Manajemen Keamanan Informasi.