Luận Văn Thạc Sĩ Về Quy Trình Chuyển Đổi Chuẩn ISO Trong Hệ Thống Thông Tin Quản Lý Xây Dựng

Luận văn thạc sĩ nghiên cứu hệ thống thông tin quản lý xây dựng quy trình chuyển đổi từ chuẩn iso, đánh giá hiện trạng, phân tích vấn đề, đề xuất biện pháp hoàn thiện trong lĩnh

• Tác giả: Lê Đình Nhật Anh
• Người hướng dẫn: PGS.TS Đặng Trần Khánh
• Trường học: Đại học Bách Khoa - ĐHQG TP. HCM
• Chuyên ngành: Hệ Thống Thông Tin Quản Lý
• Đề tài: Chuyển Đổi Chuẩn ISO Trong Quản Lý Hệ Thống Thông Tin Xây Dựng
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2015
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• TÓM TẮT NỘI DUNG LUẬN VĂN
• DANH MỤC HÌNH ẢNH
• DANH MỤC CHỮ VIẾT TẮT
• Lý do hình thành đề tài
• Mục tiêu đề tài
• Ý nghĩa thực tiễn của nghiên cứu
• Phạm vi nghiên cứu và đối tượng nghiên cứu
• Phương pháp nghiên cứu
• Thiết kế nghiên cứu
• 1. GIỚI THIỆU TỔNG QUAN VỀ ISO 27001
• 1.1. Lịch sử phát triển
• 1.2. Phạm vi áp dụng
• 2. TÌNH HÌNH TRIỂN KHAI ISO 27001 TRÊN THẾ GIỚI VÀ VIỆT NAM
• 2.1. Tình hình áp dụng chuẩn ISO/IEC 27001 trên Thế Giới
• 2.2. Tình hình áp dụng chuẩn ISO/IEC 27001 tại Việt Nam
• 2.3. Giới thiệu một số công ty tư vấn về chuẩn ISO/IEC 27001:2013
• 2.3.1. Công ty TÜV Rheinland Vietnam
• 2.3.2. Công ty ECC INTERNATIONAL – VIỆT NAM (ECCI)
• 3. THAY ĐỔI TRONG CHUẨN MỚI ĐỐI VỚI MỘT TỔ CHỨC NGÂN HÀNG
• 3.1. Các quy định bắt buộc
• 3.1.1. Phạm vi của chuẩn ISO/IEC 27001:2013
• 3.1.2. Tiêu chuẩn trích dẫn
• 3.1.3. Thuật ngữ và định nghĩa
• 3.1.4. Ngữ cảnh của tổ chức
• 3.1.5. Sự lãnh đạo
• 3.1.6. Lập kế hoạch
• 3.1.7. Đánh giá hiệu năng
• 3.2. Các điều khoản trong phụ lục A
• 3.2.1. Viết chính sách và thủ tục mới
• 3.2.2. Tổ chức lại các điều khoản kiểm soát của tổ chức
• 4. QUY TRÌNH CHUYỂN ĐỔI SANG CHUẨN MỚI TẠI SAIGONBANK
• 4.1. Giới thiệu Ngân Hàng
• 4.2. Các quy định bắt buộc
• 4.2.1. Ngữ cảnh của tổ chức
• 4.2.2. Sự lãnh đạo
• 4.2.3. Lập kế hoạch
• 4.2.4. Đánh giá hiệu năng
• 4.3. Các điều khoản trong phụ lục A
• 4.3.1. Viết chính sách và thủ tục mới
• 4.3.2. Tổ chức lại các điểm kiểm soát của tổ chức
• 5. ĐÁNH GIÁ NỘI BỘ
• 5.1. Các yêu cầu bắt buộc
• 5.2. Các điều khoản trong phụ lục A
• 6. CÁC KẾT LUẬN VÀ KIẾN NGHỊ
• 6.1. Kiến nghị và hướng phát triển đề tài
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Giới thiệu về Chuẩn ISO

Chuẩn ISO/IEC 27001:2013 là tiêu chuẩn quốc tế quan trọng trong lĩnh vực quản lý an ninh thông tin, cung cấp một khung cơ bản cho việc thiết lập, triển khai, duy trì và cải tiến hệ thống quản lý an ninh thông tin (ISMS). Tiêu chuẩn này không chỉ định rõ các yêu cầu cần thiết mà còn hướng dẫn các tổ chức thực hiện các biện pháp bảo vệ thông tin trước những rủi ro có thể xảy ra. Việc áp dụng tiêu chuẩn này giúp tổ chức đảm bảo sự bí mật, toàn vẹn và sẵn sàng của thông tin, đồng thời giúp giảm thiểu các rủi ro liên quan đến an ninh thông tin. Theo khảo sát, số lượng chứng nhận ISO 27001 trên toàn cầu đang gia tăng, cho thấy sự quan tâm ngày càng cao của các tổ chức trong việc bảo vệ thông tin của mình.

1.1. Lịch sử phát triển của Chuẩn ISO

Chuẩn ISO 27001 được phát triển từ tiêu chuẩn BS7799 của Anh, bắt đầu từ những năm 1990. Sau nhiều cải tiến, tiêu chuẩn này đã chính thức được công nhận vào năm 2000 và sau đó được tổ chức ISO tiếp quản. Việc chuyển đổi từ ISO/IEC 27001:2005 sang ISO/IEC 27001:2013 không chỉ phản ánh sự thay đổi trong môi trường an ninh thông tin mà còn giúp các tổ chức cập nhật các biện pháp an ninh phù hợp với các thách thức mới. Tiêu chuẩn mới này đã được công bố vào tháng 10 năm 2013, với nhiều cải tiến nhằm giúp các tổ chức dễ dàng áp dụng hơn và tích hợp nhiều hệ thống quản lý khác nhau.

II. Quy trình chuyển đổi chuẩn ISO tại Ngân Hàng Sài Gòn Công Thương

Ngân Hàng Sài Gòn Công Thương đang trong quá trình chuyển đổi từ chuẩn ISO/IEC 27001:2005 sang ISO/IEC 27001:2013. Mục tiêu của quy trình này là ghi chép lại toàn bộ những thay đổi và đánh giá xem quá trình chuyển đổi có thành công hay không. Việc đánh giá nội bộ sẽ giúp phát hiện các vấn đề còn tồn tại và từ đó đề xuất các giải pháp khắc phục. Quy trình này không chỉ giúp ngân hàng đáp ứng các yêu cầu của tiêu chuẩn mới mà còn nâng cao hiệu quả trong quản lý an ninh thông tin. Theo đó, ngân hàng cần thực hiện các bước như đánh giá ngữ cảnh tổ chức, lập kế hoạch, và thực hiện các biện pháp cần thiết để đảm bảo rằng hệ thống quản lý an ninh thông tin được duy trì và cải tiến liên tục.

2.1. Các bước trong quy trình chuyển đổi

Quy trình chuyển đổi bao gồm nhiều bước quan trọng, từ việc đánh giá hiện trạng hệ thống an ninh thông tin hiện tại đến việc lập kế hoạch cho các thay đổi cần thiết. Các bước này bao gồm: đánh giá ngữ cảnh của tổ chức, xác định các yêu cầu và mục tiêu, thực hiện các biện pháp cần thiết để đạt được các tiêu chí của ISO/IEC 27001:2013, và cuối cùng là theo dõi và đánh giá hiệu quả của hệ thống. Việc tuân thủ quy trình này sẽ giúp ngân hàng không chỉ đáp ứng các yêu cầu của tiêu chuẩn mà còn nâng cao khả năng bảo vệ thông tin của mình.

III. Đánh giá nội bộ và chứng nhận

Đánh giá nội bộ là một phần quan trọng trong quy trình chuyển đổi chuẩn ISO. Nó giúp xác định các vấn đề còn tồn tại và đưa ra các giải pháp khắc phục kịp thời. Đánh giá này không chỉ giúp ngân hàng kiểm tra tính hiệu quả của hệ thống quản lý an ninh thông tin mà còn đảm bảo rằng tất cả các yêu cầu của tiêu chuẩn đều được thực hiện đầy đủ. Sau khi hoàn tất đánh giá, ngân hàng có thể tiến hành nộp hồ sơ xin chứng nhận đạt chuẩn ISO/IEC 27001:2013 cho tổ chức đánh giá độc lập. Việc đạt được chứng nhận này không chỉ nâng cao uy tín của ngân hàng mà còn tạo lòng tin với khách hàng và đối tác.

3.1. Ý nghĩa của chứng nhận ISO

Chứng nhận ISO/IEC 27001:2013 mang lại nhiều lợi ích cho ngân hàng, bao gồm việc nâng cao độ tin cậy trong quản lý an ninh thông tin và tăng cường sự hài lòng của khách hàng. Nó cũng giúp ngân hàng tuân thủ các quy định và tiêu chuẩn quốc tế, từ đó nâng cao khả năng cạnh tranh trên thị trường. Hơn nữa, việc đạt được chứng nhận này còn thể hiện cam kết của ngân hàng trong việc bảo vệ thông tin của khách hàng và đối tác, góp phần xây dựng hình ảnh tích cực trong mắt công chúng.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh bùng nổ của công nghệ điện toán đám mây và dữ liệu lớn, an toàn thông tin trở thành yếu tố sống còn đối với ngành tài chính ngân hàng. Theo báo cáo thống kê toàn cầu của Tổ chức Tiêu chuẩn hóa Quốc tế (ISO), tính đến cuối năm 2013 đã có ít nhất 22.293 chứng chỉ ISO/IEC 27001 được cấp tại 105 quốc gia, ghi nhận mức tăng trưởng 14% (tương đương 2.673 chứng chỉ) so với năm 2012. Tại Việt Nam, nhiều tổ chức tín dụng bắt đầu chuyển hướng mạnh mẽ sang việc chuẩn hóa hệ thống quản lý an toàn thông tin nhằm đối phó với các nguy cơ rò rỉ dữ liệu và tội phạm mạng ngày càng tinh vi.

Vấn đề cốt lõi của nghiên cứu xoay quanh sự cần thiết phải nâng cấp Hệ thống Quản lý An ninh Thông tin (ISMS) từ tiêu chuẩn ISO/IEC 27001:2005 đã lỗi thời sau 8 năm áp dụng sang phiên bản mới ISO/IEC 27001:2013. Mục tiêu cụ thể của đề tài là hệ thống hóa toàn bộ các điểm thay đổi, thiết lập quy trình chuyển đổi bài bản, xây dựng bộ tài liệu Tuyên bố áp dụng (SOA) và tiến hành đánh giá nội bộ toàn diện để xác định tính sẵn sàng trước khi nộp hồ sơ xin chứng nhận quốc tế độc lập.

Nghiên cứu được triển khai thực nghiệm tại Trung tâm Công nghệ Thông tin, Hội sở chính và hệ thống mạng lưới chi nhánh của Ngân hàng Thương mại Cổ phần Sài Gòn Công Thương (SAIGONBANK - đơn vị thiết lập quan hệ đại lý với 641 ngân hàng và chi nhánh tại 75 quốc gia). Thời gian nghiên cứu và thu thập dữ liệu kéo dài từ ngày 01/09/2014 đến ngày 06/06/2015.

Ý nghĩa thực tiễn của công trình thể hiện ở việc thiết lập khung kiểm soát bảo vệ vững chắc 4 thuộc tính an ninh thông tin gồm: tính bí mật, tính toàn vẹn, tính sẵn sàng và tính chống thoái thác. Kết quả chuyển đổi hướng đến mục tiêu giảm thiểu ít nhất 25% các sự cố an ninh công nghệ thông tin trong các năm tiếp theo, đồng thời đảm bảo tỷ lệ tuân thủ 100% đối với các quy định an toàn bảo mật của Ngân hàng Nhà nước Việt Nam.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên nền tảng của bộ tiêu chuẩn quốc tế ISO/IEC 27000 do ISO và IEC ban hành, tập trung vào 4 tài liệu cốt lõi: ISO 27000:2014 quy định từ vựng và thuật ngữ; ISO 27001:2013 xác định các yêu cầu bắt buộc của hệ thống ISMS; ISO 27002:2013 đưa ra quy phạm thực hành kiểm soát; ISO 27004:2009 cung cấp phương pháp đo lường hiệu lực hệ thống và ISO 27005:2011 về quản lý rủi ro an ninh thông tin.

Mô hình nghiên cứu kế thừa và cải tiến chu trình Plan - Do - Check - Act (PDCA). Khác với phiên bản 2005 áp dụng quy trình PDCA một cách tuần tự và cứng nhắc, phiên bản 2013 tích hợp linh hoạt các yếu tố PDCA vào các điều khoản từ mục 4 đến mục 10 theo Cấu trúc Cấp cao (High-Level Structure - HLS). Cấu trúc đồng nhất này tạo điều kiện thuận lợi để ngân hàng tích hợp đa hệ thống quản lý tại cùng một thời điểm, tiêu biểu là việc kết hợp ISMS với Hệ thống Quản lý Kinh doanh Liên tục theo chuẩn ISO/IEC 22301:2012 hoặc Quản lý Dịch vụ CNTT theo chuẩn ISO/IEC 20000-1.

Các khái niệm chính được định nghĩa xuyên suốt bao gồm: Hệ thống Quản lý An ninh Thông tin (ISMS), Chủ sở hữu rủi ro (Risk Owner) - người được phân quyền trực tiếp quản lý và xử lý rủi ro, Bản Tuyên bố áp dụng (SOA - Statement of Applicability), và 14 nhóm điều khoản kiểm soát an ninh tại Phụ lục A.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp chọn mẫu có chủ đích (purposive sampling) với cỡ mẫu gồm 51 nhân sự thuộc Phòng Công nghệ Thông tin Hội sở (trong đó có 15 Thạc sĩ và 36 Kỹ sư/Cử nhân) kết hợp phỏng vấn sâu lãnh đạo các phòng ban nghiệp vụ và cán bộ phụ trách CNTT tại các chi nhánh trọng điểm. Phương pháp chọn mẫu này đảm bảo bao phủ đầy đủ 11 mảng nghiệp vụ kỹ thuật quan trọng như Quản trị Cơ sở dữ liệu, Quản trị Mạng, An ninh mạng, Hệ thống Core Banking và Hệ thống Thẻ.

Lý do lựa chọn phương pháp phân tích khoảng cách (Gap Analysis) kết hợp bảng kiểm soát tuân thủ (Compliance Checklist ISO 27001:2013) là nhằm đo lường chính xác mức độ chênh lệch giữa hiện trạng vận hành tại ngân hàng so với 114 điểm kiểm soát chuẩn hóa mới.

Nguồn dữ liệu sơ cấp được thu thập thông qua các đợt phỏng vấn trực tiếp, quan sát hiện trường và các kỳ kiểm toán nội bộ. Nguồn dữ liệu thứ cấp bao gồm 12 văn bản quy phạm nội bộ như Quyết định số 124/2008/QĐ-HĐQT về chức năng nhiệm vụ phòng CNTT, Quy trình quản lý rủi ro 2.0 ban hành ngày 18/12/2014, cùng các báo cáo chuyên ngành từ tổ chức tư vấn ECCI và tổ chức chứng nhận BSI. Timeline nghiên cứu được phân chia thành 4 giai đoạn rõ ràng: khảo sát hiện trạng (tháng 9-11/2014), tái cấu trúc tài liệu chính sách (tháng 12/2014 - 02/2015), vận hành thử nghiệm (tháng 3-4/2015) và đánh giá nội bộ toàn diện (tháng 5-6/2015).

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Thứ nhất, nghiên cứu ghi nhận sự thay đổi mang tính cấu trúc giữa hai phiên bản tiêu chuẩn. Tiêu chuẩn ISO/IEC 27001:2013 đã tinh giản từ 11 điều khoản với 133 điểm kiểm soát xuống còn 14 điều khoản với 114 điểm kiểm soát (giảm 14,3% số lượng kiểm soát nhưng tăng cường độ sâu kỹ thuật). Đáng chú ý, phiên bản 2013 bổ sung 11 điểm kiểm soát hoàn toàn mới giải quyết các rủi ro công nghệ hiện đại, bao gồm: An toàn thông tin trong quản lý dự án (A.6.1.5), Hạn chế cài đặt phần mềm (A.12.6.2), Chính sách an toàn trong phát triển hệ thống (A.14.2.1), Môi trường phát triển an toàn (A.14.2.6), An ninh chuỗi cung ứng CNTT (A.15.1.3), và Phản hồi sự cố an toàn thông tin (A.16.1.5).

Thứ hai, cơ chế đánh giá và quản lý rủi ro được tái cấu trúc triệt để theo điều khoản 6.1.2. Ngân hàng đã chuẩn hóa việc phân loại tài sản thành 6 nhóm (phần cứng, phần mềm, văn bản giấy, dịch vụ mạng, dữ liệu số, tài sản hỗ trợ) và gắn nhãn theo 3 cấp độ bảo mật (Công cộng, Nội bộ, Mật). Toàn bộ 100% các rủi ro phát hiện đều được gán rõ cho từng Chủ sở hữu rủi ro cụ thể, xóa bỏ tình trạng đùn đẩy trách nhiệm giữa các phòng ban.

Thứ ba, ngân hàng đã hoàn thiện 100% hồ sơ Tuyên bố áp dụng (SOA) được Tổng Giám đốc phê duyệt vào ngày 01/10/2014. Đồng thời, 8 quy định nghiệp vụ an toàn thông tin mới được ban hành đồng bộ trong năm 2014 để đáp ứng yêu cầu của Ngân hàng Nhà nước, bao gồm: Quy định kiểm soát truy cập Cơ sở dữ liệu, Quy định truy cập Hệ điều hành, Quy định vận hành mạng riêng ảo (VPN), và Quy định dịch vụ Internet Banking cho khách hàng cá nhân và doanh nghiệp.

Thứ tư, về mặt tổ chức và nhân sự, 100% nhân sự thuộc Tổ ISO đã hoàn thành khóa đào tạo chuyên gia đánh giá nội bộ của BSI Group. Tất cả 51 cán bộ phòng CNTT và các bên thứ ba tham gia cung cấp dịch vụ đều hoàn tất việc ký kết thỏa thuận cam kết bảo mật (NDA) trong năm 2014.

Thảo luận kết quả

Sự chuyển dịch thành công từ tiêu chuẩn 2005 sang 2013 tại SAIGONBANK bắt nguồn từ cam kết chỉ đạo trực tiếp của Ban Tổng Giám đốc và việc thành lập Ban phụ trách ANTT chuyên trách. Trong giai đoạn áp dụng phiên bản 2005, việc đánh giá không được thực hiện định kỳ thường xuyên dẫn đến thiếu hụt tài liệu tham chiếu. Việc áp dụng phiên bản 2013 với sự hỗ trợ của đơn vị tư vấn quốc tế ECCI đã khắc phục triệt để lỗ hổng này thông qua việc lượng hóa các mục tiêu an ninh có thể đo lường được.

Khi so sánh với các đơn vị tiên phong trong ngành ngân hàng tại Việt Nam như SeABank (đạt chuẩn tháng 07/2014) hay Vietcombank (đạt chuẩn tháng 12/2014), quy trình chuyển đổi của SAIGONBANK thể hiện tính ưu việt ở khả năng xây dựng song hành chuẩn ISO/IEC 27001:2013 cùng chuẩn ISO/IEC 22301:2012 về quản lý kinh doanh liên tục. Điều này giúp tối ưu hóa chi phí tư vấn và giảm khoảng 30% thời gian xây dựng tài liệu tích hợp.

Dữ liệu đánh giá của nghiên cứu có thể được trực quan hóa thông qua Bảng ma trận đối chiếu 114 điểm kiểm soát Phụ lục A (phân loại theo 3 trạng thái: Đạt chuẩn, Cần bổ sung quy trình, Chưa đạt) và Biểu đồ hình cột biểu diễn cơ cấu nhân sự CNTT (15 Thạc sĩ, 36 Kỹ sư) phân bổ trên 11 nhóm vận hành. Cách trình bày này giúp các cấp lãnh đạo theo dõi trực quan mức độ bao phủ an ninh trên toàn hệ thống mạng lưới.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu thực nghiệm và báo cáo đánh giá nội bộ, 4 nhóm giải pháp chiến lược được đề xuất nhằm duy trì và nâng cao hiệu lực của hệ thống ISMS:

1. Thiết lập chu kỳ đánh giá nội bộ liên tục: Ban phụ trách ANTT và Nhóm kiểm toán CNTT nội bộ cần thực hiện định kỳ 02 lần/năm (hoàn thành trước ngày 15 tháng 1 và 15 tháng 7) nhằm rà soát toàn bộ 114 điểm kiểm soát. Target metric là duy trì tỷ lệ phát hiện và xử lý sớm 100% các điểm không phù hợp (NC) trước các kỳ đánh giá độc lập hàng năm, duy trì liên tục từ quý 3/2015.

2. Siết chặt kiểm soát chuỗi cung ứng và bên thứ ba: Phòng CNTT chủ trì áp dụng ngay cơ chế cấp phát tài khoản đặc quyền có giới hạn thời gian cho các đối tác kỹ thuật bên ngoài theo điểm kiểm soát A.15. Toàn bộ quyền truy cập hệ thống phải được thu hồi tự động 100% ngay sau khi kết thúc ca làm việc, thực hiện áp dụng từ tháng 08/2015.

3. Mở rộng tích hợp hệ thống quản lý kinh doanh liên tục: Phó Tổng Giám đốc CNTT chỉ đạo Tổ ISO đẩy nhanh tiến độ hoàn thiện hệ thống quản trị tích hợp ISMS (ISO 27001:2013) và BCMS (ISO 22301:2012). Target metric là tiết kiệm 25-30% chi phí vận hành và nhân sự đánh giá kép trong vòng 12 tháng tới (giai đoạn 2015 - 2016).

4. Chuẩn hóa chương trình đào tạo nâng cao nhận thức định kỳ: Phòng Nhân sự phối hợp cùng Phòng CNTT tổ chức tối thiểu 04 khóa đào tạo nhận thức an toàn thông tin chuyên sâu mỗi năm cho 100% cán bộ nhân viên toàn hệ thống. Đồng thời, hỗ trợ 100% kinh phí cho đội ngũ kỹ thuật đạt các chứng chỉ quốc tế uy tín như CCNP, CEH, MCITP trong giai đoạn 2015 - 2017.

Đối tượng nên tham khảo luận văn

Nội dung nghiên cứu mang giá trị thực tiễn và tính ứng dụng cao cho 4 nhóm đối tượng sau:

1. Ban Lãnh đạo và Giám đốc Công nghệ Thông tin (CIO/CISO): Cung cấp khung tham chiếu chiến lược hoàn chỉnh để hoạch định lộ trình chuyển đổi ISMS, tối ưu hóa ngân sách đầu tư công nghệ và giảm thiểu khoảng 20-30% thời gian thực thi tại các tổ chức tín dụng.

2. Chuyên viên Quản lý rủi ro và Kiểm toán nội bộ CNTT: Cung cấp công cụ thực hành gồm Bảng kiểm soát tuân thủ (Compliance Checklist) với 114 điểm kiểm soát chi tiết và phương pháp phân loại tài sản theo 3 cấp độ bảo mật, giúp tối ưu hóa quy trình kiểm toán định kỳ.

3. Các đơn vị tư vấn và đánh giá chứng nhận độc lập (như TÜV Rheinland, BSI, ECCI): Cung cấp nguồn tư liệu case study thực tế về quá trình áp dụng ISO/IEC 27001:2013 tại một ngân hàng thương mại cổ phần có quy mô mạng lưới 641 ngân hàng đại lý quốc tế.

4. Học viên cao học và nhà nghiên cứu chuyên ngành Hệ thống Thông tin Quản lý: Tiếp cận phương pháp luận khoa học về phân tích khoảng cách (Gap Analysis), kỹ thuật thiết kế bảng câu hỏi khảo sát và kinh nghiệm tích hợp đa tiêu chuẩn quốc tế trong môi trường doanh nghiệp thực tế.

Câu hỏi thường gặp

Khác biệt mang tính đột phá nhất giữa ISO/IEC 27001:2005 và ISO/IEC 27001:2013 là gì?
Phiên bản 2013 tái cấu trúc từ 11 điều khoản với 133 điểm kiểm soát xuống còn 14 điều khoản với 114 điểm kiểm soát. Chuẩn mới bổ sung 11 điểm kiểm soát hiện đại về an ninh chuỗi cung ứng, quản lý dự án và phản hồi sự cố, đồng thời chuyển trọng tâm sang việc lượng hóa mục tiêu thay vì tuân thủ quy trình PDCA cứng nhắc.

Tại sao ngân hàng bắt buộc phải xác định rõ vai trò Chủ sở hữu rủi ro (Risk Owner)?
Theo khoản 6.1.2c của tiêu chuẩn mới, việc gắn định danh Chủ sở hữu rủi ro cho từng tài sản giúp loại bỏ tình trạng đùn đẩy trách nhiệm khi xảy ra sự cố. Tại SAIGONBANK, 100% các rủi ro hệ thống đều được gán quyền xử lý trực tiếp cho 11 trưởng nhóm nghiệp vụ kỹ thuật phòng CNTT.

Quy trình chuyển đổi tại SAIGONBANK được thực hiện trong bao lâu và huy động nguồn lực như thế nào?
Dự án được thực hiện trong 10 tháng (từ tháng 09/2014 đến tháng 06/2015), huy động 51 nhân sự phòng CNTT phối hợp cùng đơn vị tư vấn ECCI. Đội ngũ gồm 15 Thạc sĩ và 36 Kỹ sư đã rà soát 100% hệ thống và ban hành 8 quy chế bảo mật mới.

Làm thế nào để ngân hàng kiểm soát rủi ro an ninh từ các nhà cung cấp dịch vụ thuê ngoài?
Thông qua điều khoản kiểm soát A.15, ngân hàng coi dịch vụ thuê ngoài là một tài sản thông tin. 100% đối tác phải ký cam kết bảo mật nghiêm ngặt, chỉ được cấp tài khoản truy cập theo từng ca làm việc và bị thu hồi quyền truy cập ngay sau khi kết thúc công việc.

Doanh nghiệp có bắt buộc phải đầu tư phần mềm tự động đắt tiền để đánh giá rủi ro theo ISO 27001:2013 không?
Tiêu chuẩn không bắt buộc sử dụng phần mềm tự động. Ngân hàng đã xây dựng thành công bảng khảo sát Compliance Checklist kết hợp Quy trình quản lý rủi ro 2.0 nội bộ, giúp tiết kiệm hàng chục nghìn USD chi phí bản quyền nhưng vẫn đảm bảo 100% tính chính xác và khách quan.

Kết luận

• Luận văn đã hệ thống hóa toàn diện phương pháp chuyển đổi Hệ thống Quản lý An ninh Thông tin từ chuẩn ISO/IEC 27001:2005 sang ISO/IEC 27001:2013 tại một ngân hàng thương mại cổ phần quy mô lớn.
• Thiết lập thành công bộ hồ sơ Tuyên bố áp dụng (SOA) tinh giản từ 133 điểm kiểm soát xuống 114 điểm kiểm soát, gắn liền với 11 biện pháp kiểm soát kỹ thuật mới.
• Chuẩn hóa cơ cấu tổ chức với 51 nhân sự chuyên trách, phân định rõ vai trò Chủ sở hữu rủi ro cho 11 trưởng nhóm nghiệp vụ và 100% thành viên Tổ ISO có chứng chỉ đánh giá quốc tế.
• Khắc phục triệt để các tồn tại về quản lý hồ sơ và cập nhật chính sách định kỳ theo quy định của Ngân hàng Nhà nước trong năm 2014.
• Xây dựng mô hình tích hợp đồng thời ISO 27001:2013 và ISO 22301:2012, tạo tiền đề vững chắc để ngân hàng chính thức đạt chứng nhận từ tổ chức kiểm định quốc tế trong quý 3/2015.

Đóng góp lớn nhất của luận văn là cung cấp một bản hướng dẫn chuyển đổi thực nghiệm chi tiết, có giá trị học thuật và thực tiễn cao cho hệ thống ngân hàng Việt Nam. Bước đi tiếp theo là hoàn tất nộp hồ sơ đánh giá chứng nhận quốc tế và triển khai kế hoạch kiểm toán định kỳ 02 lần/năm. Các tổ chức tín dụng và chuyên gia an toàn thông tin có thể tham khảo trực tiếp khung quy trình và hệ thống biểu mẫu trong luận văn để tối ưu hóa quá trình chuẩn hóa an toàn thông tin tại đơn vị mình.

Trích đoạn nội dung tài liệu

ĐẠI HỌC QUỐC GIA TP. HCM TRƯỜNG ĐẠI HỌC BÁCH KHOA --------------------------- LÊ ĐÌNH NHẬT ANH XÂY DỰNG QUY TRÌNH CHUYỂN ĐỔI TỪ CHUẨN ISO/IEC 27001:2005 LÊN CHUẨN ISO/IEC 27001:2013 TẠI NGÂN HÀNG SÀI GÒN CÔNG THƯƠNG CHUYÊN NGÀNH: HỆ THỐNG THÔNG TIN QUẢN LÝ MÃ SỐ: 60340405 LUẬN VĂN THẠC SĨ TP. HỒ CHÍ MINH – THÁNG 07 NĂM 2015 ĐẠI HỌC QUỐC GIA TP. HCM TRƯỜNG ĐẠI HỌC BÁCH KHOA --------------------------- LÊ ĐÌNH NHẬT ANH XÂY DỰNG QUY TRÌNH CHUYỂN ĐỔI TỪ CHUẨN ISO/IEC 27001:2005 LÊN CHUẨN ISO/IEC 27001:2013 TẠI NGÂN HÀNG SÀI GÒN CÔNG THƯƠNG CHUYÊN NGÀNH: HỆ THỐNG THÔNG TIN QUẢN LÝ MÃ SỐ: 60340405 LUẬN VĂN THẠC SĨ TP.

HỒ CHÍ MINH – THÁNG 07 NĂM 2015 CÔNG TRÌNH ĐƯỢC HOÀN THÀNH TẠI TRƯỜNG ĐẠI HỌC BÁCH KHOA –ĐHQG -HCM Cán bộ hướng dẫn khoa học: PGS.TS ĐẶNG TRẦN KHÁNH Cán bộ chấm nhận xét 1: TS. NGUYỄN THANH BÌNH Cán bộ chấm nhận xét 2: PGS. VŨ THANH NGUYÊN Luận văn thạc sĩ được bảo vệ tại: Trường Đại học Bách Khoa, ĐHQG TP. HCM ngày 09 tháng 07 năm 2015 Thành phần Hội đồng đánh giá luận văn thạc sĩ gồm: 1.

Lê Lam Sơn – Chủ Tịch Hội Đồng 2. Trần Minh Quang – Thư Ký 3. Nguyễn Thanh Bình – Phản Biện 1 4. Vũ Thanh Nguyên – Phản Biện 2 5.

Lê Thành Sách - Ủy Viên Xác nhận của Chủ tịch Hội đồng đánh giá LV và Trưởng Khoa quản lý chuyên ngành sau khi luận văn đã được sửa chữa (nếu có) CHỦ TỊCH HỘI ĐỒNG TRƯỞNG KHOAKH&KTMT TS. LÊ LAM SƠN ĐẠI HỌC QUỐC GIA TP.HCM CỘNG HÒA XÃ HỘI CHỦ ĐẠINGHĨA VIỆT NAM HỌC QUỐC GIA TP.HCM Độc lập - Tự do - Hạnh phúc TRƯỜNG ĐẠI HỌC BÁCH KHOA NHIỆM VỤ LUẬN VĂN THẠC SĨ Họ tên học viên: Lê Đình Nhật Anh MSHV: 13320783 Ngày, tháng, năm sinh: 29/11/1989 Nơi sinh: Nghệ An Chuyên ngành: Hệ thống thông tin quản lý Mã số: 60340405 I. TÊN ĐỀ TÀI: Xây dựng quy trình chuyển đổi từ chuẩn ISO/IEC 27001:2005 lên chuẩn ISO/IEC 27001:2013 tại Ngân Hàng Sài Gòn Công Thương II. NHIỆM VỤ VÀ NỘI DUNG: Ngân Hàng Sài Gòn Công Thương đang trong quá trình chuyển đổi Hệ Thống Quản Lý An Ninh Thông Tin từ chuẩn ISO/IEC 27001:2005 sang chuẩn ISO/IEC 27001:2013.

Mục tiêu của đề tài là tài liệu ghi chép lại toàn bộ những thay đổi trong quá trình chuyển đổi từ chuẩn cũ sang chuẩn mới. Dựa trên những tài liệu đã thu thập được kết hợp cùng đánh giá nội bộ ngân hàng, đề tài sẽ xem xét quá trình chuyển đổi này là thành công hay thất bại. Từ đó, nếu nhận thấy những vấn đề còn tồn tại từ việc đánh giá này, đề tài sẽ đề xuất những giải pháp khắc phục và rút ra bài học kinh nghiệm cho tổ chức. Do đó, việc đánh giá này rất có ý nghĩa trong việc rà soát lại lần nữa các mục tiêu chuyển đổi, trước khi nộp hồ sơ xin chứng nhận đạt chuẩn ISO/IEC 27001:2013 cho tổ chức đánh giá độc lập.

NGÀY GIAO NHIỆM VỤ: 19/01/2015 IV. NGÀY HOÀN THÀNH NHIỆM VỤ: 06/2015 V. CÁN BỘ HƯỚNG DẪN: PGS.TS ĐẶNG TRẦN KHÁNH Tp. HCM, ngày tháng năm 2015 CÁN BỘ HƯỚNG DẪN TRƯỞNG KHOA KH & KTMT PGS.TS ĐẶNG TRẦN KHÁNH LỜI CẢM ƠN Trước hết, tôi xin gửi lời cám ơn đến Ban chủ nhiệm ngành Hệ Thống Thông Tin Quản Lý trường Đại học Bách Khoa Thành Phố Hồ Chí Minh và toàn thể quý Thầy Cô tham gia giảng dạy chương trình đào tạo Thạc sĩ của ngành đã truyền đạt những kiến thức, kinh nghiệm quý báu cho tôi trong quá trình học tập tại trường.

Đặc biệt, tôi xin gửi lời cảm ơn chân thành tới Thầy: PGS. Đặng Trần Khánh, đã trực tiếp giảng dạy môn Bảo Mật Thông Tin Cho Nhà Quản Lý, và hướng dẫn tôi hoàn thành luận văn này. Thầy đã hỗ trợ tôi rất nhiều về phương pháp và định hướng đúng đắn trong quá trình tôi thực hiện luận văn. Cuối cùng, tôi xin cảm ơn các anh/chị đồng nghiệp, gia đình và bạn bè đã động viên, giúp đỡ, tạo điều kiện thuận lợi cho tôi trong suốt quá trình tham gia học tập và hoàn thành luận văn.

Chân thành cảm ơn Tp.HCM, ngày 15 tháng 06 năm 2015 Lê Đình Nhật Anh LỜI CAM ĐOAN Tôi xin cam đoan rằng toàn bộ nội dung và số liệu trong luận văn do tôi nghiên cứu, khảo sát và thực hiện. Những dữ liệu thu thập được khảo sát một cách khách quan và trung thực. Học viên cao học Lê Đình Nhật Anh i TÓM TẮT NỘI DUNG LUẬN VĂN Ngân Hàng Sài Gòn Công Thương đang trong quá trình chuyển đổi Hệ Thống Quản Lý An Ninh Thông Tin từ chuẩn ISO/IEC 27001:2005 sang chuẩn ISO/IEC 27001:2013. Mục tiêu của đề tài là tài liệu ghi chép lại toàn bộ những thay đổi trong quá trình chuyển đổi từ chuẩn cũ sang chuẩn mới.

Dựa trên những tài liệu đã thu thập được kết hợp cùng đánh giá nội bộ ngân hàng, đề tài sẽ xem xét quá trình chuyển đổi này là thành công hay thất bại. Từ đó, nếu nhận thấy những vấn đề còn tồn tại từ việc đánh giá này, đề tài sẽ đề xuất những giải pháp khắc phục và rút ra bài học kinh nghiệm cho tổ chức. Do đó, việc đánh giá này rất có ý nghĩa trong việc rà soát lại lần nữa các mục tiêu chuyển đổi, trước khi nộp hồ sơ xin chứng nhận đạt chuẩn ISO/IEC 27001:2013 cho tổ chức đánh giá độc lập. ii ABSTRACT Saigon Bank for Industry and Trade (SAIGONBANK) is in the process of converting Management System of Information Security ISO/IEC 27001: 2005 to ISO/ IEC 27001: 2013.

This thesis purpose is to summarize transition changes from old standard to the new one. Regarding to the evaluation criteria of internal audit banks results, it subject to assess the success or failure of entire transition process. From there, if we can find the problem which exists after evaluation, the subject will be proposed those solutions and learned lesson to SAIGONBANK before applying for certification from independence audit committee. iii MỤC LỤC TÓM TẮT NỘI DUNG LUẬN VĂN.ii DANH MỤC HÌNH ẢNH.

vi DANH MỤC CHỮ VIẾT TẮT. Lý do hình thành đề tài. Mục tiêu đề tài. Ý nghĩa thực tiễn của nghiên cứu.

Phạm vi nghiên cứu và đối tượng nghiên cứu. Phương pháp nghiên cứu. Thiết kế nghiên cứu. GIỚI THIỆU TỔNG QUAN VỀ ISO 27001.

Lịch sử phát triển. Phạm vi áp dụng. TÌNH HÌNH TRIỂN KHAI ISO 27001 TRÊN THẾ GIỚI VÀ VIỆT NAM. Tình hình áp dụng chuẩn ISO/IEC 27001 trên Thế Giới.

Tình hình áp dụng chuẩn ISO/IEC 27001 tại Việt Nam. Giới thiệu một số công ty tư vấn về chuẩn ISO/IEC 27001:2013 .1 Công ty TÜV Rheinland Vietnam .2 Công ty ECC INTERNATIONAL – VIỆT NAM (ECCI). THAY ĐỔI TRONG CHUẨN MỚI ĐỐI VỚI MỘT TỔ CHỨC NGÂN HÀNG. Các quy định bắt buộc .1 Phạm vi của chuẩn ISO/IEC 27001:2013 .2 Tiêu chuẩn trích dẫn .3 Thuật ngữ và định nghĩa .4 Ngữ cảnh của tổ chức .5 Sự lãnh đạo .6 Lập kế hoạch .9 Đánh giá hiệu năng.

Các điều khoản trong phụ lục A .1 Viết chính sách và thủ tục mới .2 Tổ chức lại các điều khoản kiểm soát của tổ chức. QUY TRÌNH CHUYỂN ĐỔI SANG CHUẨN MỚI TẠI SAIGONBANK. Giới thiệu Ngân Hàng. Các quy định bắt buộc .1 Ngữ cảnh của tổ chức .2 Sự lãnh đạo .3 Lập kế hoạch .6 Đánh giá hiệu năng.

Các điều khoản trong phụ lục A .1 Viết chính sách và thủ tục mới .2 Tổ chức lại các điểm kiểm soát của tổ chức. ĐÁNH GIÁ NỘI BỘ. Các yêu cầu bắt buộc. Các điều khoản trong phụ lục A.

CÁC KẾT LUẬN VÀ KIẾN NGHỊ. Kiến nghị và hướng phát triển đề tài. 91 TÀI LIỆU THAM KHẢO. 93 vi DANH MỤC HÌNH ẢNH Hình 1 : Bản tóm tắt số liệu thống kê về chứng chỉ ISO được cấp trong năm 2013 (http://www.

7 Hình 2: Thông tin một số tổ chức có chứng chỉ ISO 27001 trên thế giới (http://www. 8 Hình 3: Số lượng tổ chức đạt được chứng chỉ ISO 27001 tại Việt Nam năm 2013. 9 Hình 4: Các điều khoản kiểm soát trong ISO/IEC 27001:2013. 16 Hình 5: Hội Sở Ngân Hàng Sài Gòn Công Thương (https://saigonbank.

18 Hình 6: Thay đổi trong chu trình PDCA giữa 2 phiên bản. Sơ đồ tổ chức nhân sự triển khai ISO ở SGB. 20 Hình 8: Compliance Checklist ISO27001:2013 for SGB. 27 Hình 9: Quy trình đánh giá nội bộ Hệ Thống Thông Tin tại SGB.

85 DANH MỤC CHỮ VIẾT TẮT Chữ cái viết tắt / ký hiệu Cụm từ đầy đủ SGB Ngân Hàng Sài Gòn Công Thương CNTT Công Nghệ Thông Tin HTQL Hệ Thống Quản Lý ANTT An Ninh Thông Tin CSDL Cơ sở dữ liệu NH Ngân Hàng 1 I. Lý do hình thành đề tài Trong môi trường cạnh tranh bằng thông tin hiện nay thì việc An Ninh Thông Tin (ANTT) trở thành vấn đề vô cùng quan trọng.Việc dẫn đầu xu thế, nắm bắt cơ hội thị trường, cập nhật kiến thức, khoa học, công nghệ, định hướng kinh doanh, hoạch định chiến lược, quyết định một vấn đề hay giải quyết một sự vụ, tiếp cận với khách hàng, tất cả đều cần đến thông tin.Ai có thông tin, người đó có lợi thế trong việc dành chiến thắng. Do đó, thông tin là tài sản rất quan trọng của mọi tổ chức.Thông tin có thể tồn tại dưới nhiều dạng khác nhau như: có thể in ra giấy, lưu trữ thành file, chuyển qua email hoặc các phương tiện điện tử khác, chiếu thành film, hoặc được nói ra trong các cuộc họp…Trong môi trường cạnh tranh ngày nay, thông tin ngày càng bị đe dọa bởi nhiều nguồn khác nhau như nội bộ, bên ngoài, tình cờ hoặc có chủ ý… Công Nghệ Thông Tin (CNTT) càng phát triển, máy tính, internet rồi các phương tiện truyền tải thông tin càng hiện đại và tiện dụng, con người càng phụ thuộc vào máy móc thì nguy cơ rò rỉ, thất thoát thông tin ngày càng cao, dẫn đến những thiệt hại khó lường do ngày càng nhiều các tổ chức, đơn vị, doanh nghiệp hoạt động lệ thuộc gần như hoàn toàn vào hệ thống mạng máy tính, máy tính, và cơ sở dữ liệu. Các ngành kinh tế như Ngân Hàng (NH), tài chính cũng dễ xảy ra nguy cơ thông tin bị rò rỉ.Chỉ cần một dữ liệu bị sửa đổi, hoặc bị đánh cắp, hay bị mất có thể sẽ ảnh hưởng nghiêm trọng tới doanh nghiệp hoặc khách hàng của doanh nghiệp đó.

Trong lĩnh vực NH thì thông tin được coi là loại tài sản tối mật cần được bảo vệ.Nói cách khác, khi hệ thống CNTT hoặc Cơ sở dữ liệu (CSDL) gặp các sự cố thì hoạt động của các đơn vị này bị ảnh hưởng nghiêm trọng và thậm chí có thể bị tê liệt hoàn toàn.