Hướng Dẫn Chi Tiết Về Đánh Giá Rủi Ro và Chính Sách Bảo Mật

Đánh giá rủi ro là một quy trình quan trọng trong việc bảo vệ doanh nghiệp khỏi các mối đe dọa tiềm ẩn. 98 trang · BTEC · 2023.

• Tác giả: Phan Nguyen Dinh Trong
• Người hướng dẫn: Tran Trong Minh
• Trường học: BTEC
• Chuyên ngành: HND Diploma in Computing
• Đề tài: Hướng Dẫn Chi Tiết Về Đánh Giá Rủi Ro và Chính Sách Bảo Mật Trong Doanh Nghiệp
• Loại tài liệu: assignment
• Năm xuất bản: 2023

Mục lục chi tiết

• 1. Table of Contents
• 1.1. Discuss risk assessment procedures
• 1.2. Explain data protection processes and regulations as applicable to an organisation
• 1.3. Design and implement a security policy for an organisation
• 1.4. List the main components of an organisational disaster recovery plan, justifying the reasons for inclusion
• 2. Discuss risk assessment procedures
• 2.1. Negative school: risk is considered unlucky, loss, danger
• 2.2. The neutral school
• 2.3. Risk assessment
• 2.4. Asset
• 2.5. Understanding Assets
• 2.6. Personal Assets
• 2.7. Business Assets
• 2.8. Current Assets
• 2.9. Fixed Assets
• 2.10. Vulnerability
• 2.11. Threat Define
• 2.12. Types of threats
• 3. Data protection
• 3.1. Data protection
• 3.2. Assessment of network security risks
• 3.3. Raise awareness about data security for employees
• 3.4. Data security management
• 3.5. Troubleshooting and problem management
• 3.6. Configure the system securely
• 3.7. Ensure the network is divided into separate areas
• 3.8. Secure DN data by monitoring network security
• 3.9. Access control
• 3.10. Increased malware protection
• 3.11. Update patches regularly
• 3.12. Perform encryption
• 3.13. The important of data protection regulations
• 4. Design and implement a security policy for an organisation
• 4.1. Example of policy
• 4.2. The most and should that must exist while creating policy
• 4.3. The element of security policy
• 4.4. Security Policy Document
• 4.5. Threat and Risk Assessment
• 4.6. Areas of Coverage
• 4.7. Physical Security Policies
• 4.8. Network Security Policies
• 4.9. Host Security Policies
• 4.10. User Security Policies
• 4.11. Document Security Policies
• 4.12. Incident Handling Policies
• 4.13. The steps to design a policy
• 4.14. Step in policy development
• 5. List the main components of an organisational disaster recovery plan, justifying the reasons for inclusion
• 5.1. The components of recovery plan
• 5.2. Steps to Building a Disaster Recovery Plan
• 5.2.1. Conduct an asset inventory
• 5.2.2. Perform a risk assessment
• 5.2.3. Define criticality of applications and data
• 5.2.4. Define recovery objectives
• 5.2.5. Determine the right tools and techniques
• 5.2.6. Get stakeholder buy-in
• 5.2.7. Document and communicate your plan
• 5.2.8. Test and practice your DR plan
• 5.2.9. Evaluate and update your plan
• 5.3. The policies and procedures that are required for business continuity

Tóm tắt

I. Hướng Dẫn Chi Tiết Về Đánh Giá Rủi Ro Trong Doanh Nghiệp

Đánh giá rủi ro là một quy trình quan trọng trong việc bảo vệ doanh nghiệp khỏi các mối đe dọa tiềm ẩn. Quy trình này bao gồm việc xác định, phân tích và đánh giá các rủi ro có thể xảy ra trong hoạt động kinh doanh. Việc thực hiện đánh giá rủi ro không chỉ giúp doanh nghiệp nhận diện các yếu tố có thể gây hại mà còn giúp xây dựng các biện pháp phòng ngừa hiệu quả.

1.1. Các Bước Cơ Bản Trong Đánh Giá Rủi Ro

Quy trình đánh giá rủi ro bao gồm ba bước chính: xác định các mối nguy, phân tích rủi ro và đánh giá rủi ro. Mỗi bước đều cần được thực hiện một cách cẩn thận để đảm bảo tính chính xác và hiệu quả.

1.2. Tầm Quan Trọng Của Đánh Giá Rủi Ro

Đánh giá rủi ro giúp doanh nghiệp nhận diện các mối đe dọa tiềm ẩn và từ đó có thể đưa ra các biện pháp phòng ngừa. Điều này không chỉ bảo vệ tài sản mà còn duy trì uy tín và sự phát triển bền vững.

II. Vấn Đề và Thách Thức Trong Chính Sách Bảo Mật Doanh Nghiệp

Chính sách bảo mật là một phần không thể thiếu trong quản lý rủi ro. Tuy nhiên, việc xây dựng và thực hiện chính sách bảo mật gặp nhiều thách thức. Các doanh nghiệp thường phải đối mặt với sự thay đổi nhanh chóng của công nghệ và các mối đe dọa mới xuất hiện.

2.1. Những Thách Thức Chính Trong Chính Sách Bảo Mật

Một trong những thách thức lớn nhất là việc cập nhật chính sách bảo mật để phù hợp với các quy định mới và công nghệ tiên tiến. Doanh nghiệp cần phải thường xuyên xem xét và điều chỉnh chính sách của mình.

2.2. Tác Động Của Các Mối Đe Dọa Mới

Các mối đe dọa như tấn công mạng, lừa đảo trực tuyến và rò rỉ dữ liệu đang gia tăng. Doanh nghiệp cần phải có các biện pháp bảo vệ hiệu quả để đối phó với những mối đe dọa này.

III. Phương Pháp Đánh Giá Rủi Ro Hiệu Quả Trong Doanh Nghiệp

Để đánh giá rủi ro hiệu quả, doanh nghiệp cần áp dụng các phương pháp khoa học và công nghệ hiện đại. Việc sử dụng các công cụ phân tích dữ liệu và mô hình hóa rủi ro sẽ giúp doanh nghiệp có cái nhìn tổng quan hơn về các mối nguy.

3.1. Sử Dụng Công Nghệ Trong Đánh Giá Rủi Ro

Công nghệ như AI và machine learning có thể giúp doanh nghiệp phân tích dữ liệu lớn và nhận diện các mẫu rủi ro tiềm ẩn. Điều này giúp nâng cao độ chính xác trong việc đánh giá rủi ro.

3.2. Các Công Cụ Phân Tích Rủi Ro

Có nhiều công cụ phân tích rủi ro trên thị trường, từ phần mềm đơn giản đến các giải pháp phức tạp. Doanh nghiệp cần lựa chọn công cụ phù hợp với quy mô và nhu cầu của mình.

IV. Ứng Dụng Thực Tiễn Của Chính Sách Bảo Mật Trong Doanh Nghiệp

Chính sách bảo mật không chỉ là lý thuyết mà còn cần được áp dụng thực tiễn. Doanh nghiệp cần xây dựng các quy trình cụ thể để thực hiện chính sách bảo mật một cách hiệu quả.

4.1. Xây Dựng Quy Trình Bảo Mật

Doanh nghiệp cần xây dựng quy trình bảo mật rõ ràng, từ việc xác định các mối nguy đến việc triển khai các biện pháp bảo vệ. Quy trình này cần được cập nhật thường xuyên.

4.2. Đào Tạo Nhân Viên Về Bảo Mật

Đào tạo nhân viên về các quy định và quy trình bảo mật là rất quan trọng. Nhân viên cần hiểu rõ vai trò của mình trong việc bảo vệ thông tin và tài sản của doanh nghiệp.

V. Kết Luận Về Đánh Giá Rủi Ro và Chính Sách Bảo Mật

Đánh giá rủi ro và chính sách bảo mật là hai yếu tố quan trọng trong việc bảo vệ doanh nghiệp. Việc thực hiện đúng quy trình đánh giá rủi ro và xây dựng chính sách bảo mật hiệu quả sẽ giúp doanh nghiệp tồn tại và phát triển bền vững.

5.1. Tương Lai Của Đánh Giá Rủi Ro

Trong tương lai, đánh giá rủi ro sẽ ngày càng trở nên quan trọng hơn khi các mối đe dọa ngày càng phức tạp. Doanh nghiệp cần chuẩn bị sẵn sàng để đối phó với những thay đổi này.

5.2. Tầm Quan Trọng Của Chính Sách Bảo Mật

Chính sách bảo mật không chỉ bảo vệ doanh nghiệp mà còn tạo dựng niềm tin với khách hàng. Doanh nghiệp cần đầu tư vào chính sách bảo mật để đảm bảo an toàn thông tin.

Nội dung chính

BƯỚC 1: PHÂN TÍCH TÀI LIỆU

1. Vấn đề và câu hỏi chính tài liệu giải quyết

• Định lượng và kiểm soát rủi ro CNTT: Làm thế nào để phân loại, nhận diện lỗ hổng bảo mật và đánh giá mức độ nghiêm trọng của các mối đe dọa theo chuẩn quốc tế?
• Thiết lập cơ chế phòng thủ dữ liệu nhiều lớp: Những giải pháp kỹ thuật và quy trình quản trị nào giúp bảo vệ tài sản thông tin của doanh nghiệp trước các cuộc tấn công mạng?
• Chuẩn hóa khung chính sách bảo mật (Security Policy): Quy trình nào đảm bảo việc soạn thảo, ban hành và thực thi chính sách an toàn thông tin không làm gián đoạn vận hành kinh doanh?
• Đảm bảo tính liên tục trong kinh doanh (Business Continuity): Các bước thiết lập và kiểm thử Kế hoạch Phục hồi sau Thảm họa (Disaster Recovery Plan - DRP) đạt chuẩn là gì?

2. Danh mục thuật ngữ chuyên ngành cốt lõi

1. Risk Assessment (Đánh giá rủi ro)
2. Hazard Identification (Nhận diện hiểm họa)
3. Risk Control (Kiểm soát rủi ro)
4. Asset Inventory (Kiểm kê tài sản số)
5. Vulnerability (Lỗ hổng bảo mật)
6. Cyber Threat (Mối đe dọa không gian mạng)
7. CIA Triad (Tam giác bảo mật: Confidentiality - Integrity - Availability)
8. STRIDE Threat Model (Mô hình đe dọa STRIDE)
9. Data Protection (Bảo vệ dữ liệu)
10. Network Segmentation (Phân vùng mạng)
11. DMZ (Demilitarized Zone - Vùng phi quân sự)
12. IDS/IPS (Hệ thống phát hiện/ngăn chặn xâm nhập)
13. SIEM (Hệ thống quản lý thông tin và sự kiện bảo mật)
14. Access Control (Kiểm soát truy cập & Phân quyền)
15. Patch Management (Quản lý bản vá)
16. Full Disk Encryption - FDE (Mã hóa toàn bộ ổ đĩa)
17. AES-256 (Chuẩn mã hóa nâng cao 256-bit)
18. Security Policy Framework (Khung chính sách bảo mật)
19. Disaster Recovery Plan - DRP (Kế hoạch phục hồi sau thảm họa)
20. Business Continuity (Duy trì hoạt động kinh doanh liên tục)

3. Đóng góp và giá trị thực tiễn của tài liệu

• Tiếp cận rủi ro đa chiều: Phân tích rủi ro dựa trên cả trường phái tiêu cực (tổn thất, thiệt hại) và trường phái trung lập (độ bất định có thể đo lường và lượng hóa).
• Khung triển khai 10 bước bảo vệ dữ liệu: Cung cấp lộ trình hành động chi tiết từ nâng cao nhận thức nhân sự đến triển khai các công nghệ giám sát chuyên sâu (SIEM, IDS/IPS, FDE).
• Chính sách mẫu mang tính ứng dụng cao: Minh họa chi tiết chính sách mã hóa máy trạm (Workstation Disk Encryption Policy) với các quy định cụ thể về quản lý khóa, xác thực tiền khởi động (pre-boot authentication) và xử lý ngoại lệ.
• Quy trình 9 bước xây dựng DRP chuẩn hóa: Hướng dẫn doanh nghiệp từng bước từ kiểm kê tài sản, xác định RTO/RPO đến diễn tập và đánh giá định kỳ.

---

BƯỚC 2: NỘI DUNG CHI TIẾT (SEO CONTENT)

Tổng quan nghiên cứu

Trong kỷ nguyên số hóa toàn diện, dữ liệu đã trở thành tài sản chiến lược có giá trị sống còn đối với mọi tổ chức. Tuy nhiên, sự gia tăng nhanh chóng của các cuộc tấn công mạng tinh vi đang đặt các hệ thống thông tin trước những hiểm họa khôn lường. Mọi sự cố rò rỉ thông tin hay gián đoạn dịch vụ đều có thể gây ra thiệt hại tài chính nặng nề cùng sự sụt giảm uy tín thương hiệu nghiêm trọng.

Thực tế cho thấy, nhiều doanh nghiệp hiện nay vẫn đang vận hành với những lỗ hổng bảo mật lớn do thiếu quy trình đánh giá rủi ro bài bản. Bên cạnh đó, các chính sách an toàn thông tin tại nhiều đơn vị thường mang tính chắp vá, thiếu tính thực thi và chưa gắn liền với kế hoạch duy trì kinh doanh liên tục. Khoảng trống này khiến hệ thống CNTT trở nên vô cùng mong manh trước các nguy cơ tấn công từ bên ngoài lẫn hiểm họa nội bộ.

Tài liệu "Hướng Dẫn Chi Tiết Về Đánh Giá Rủi Ro và Chính Sách Bảo Mật" được biên soạn nhằm giải quyết triệt để bài toán này. Bằng cách tích hợp các tiêu chuẩn quốc tế uy tín như CSA Standard Z1002, NIST và khung hướng dẫn của ISO, nghiên cứu mang đến phương pháp tiếp cận toàn diện từ lý thuyết nền tảng đến thực hành kỹ thuật. Nội dung tài liệu cung cấp kim chỉ nam vững chắc giúp các nhà quản trị CNTT xây dựng lá chắn bảo mật vững chắc cho doanh nghiệp.

---

Nội dung chi tiết

1. Cơ sở lý thuyết về Đánh giá Rủi ro và Mô hình Mối đe dọa (Risk Assessment & Threat Modeling)

Đánh giá rủi ro là nền tảng cốt lõi của mọi chiến lược an toàn thông tin doanh nghiệp. Theo các cơ sở lý thuyết hiện đại, nhận thức về rủi ro được chia thành hai trường phái chính. Trường phái tiêu cực (Negative School) xem rủi ro là những sự cố bất ngờ mang lại tổn thất, rắc rối hoặc nguy hiểm cho tổ chức. Ngược lại, trường phái trung lập (Neutral School) định nghĩa rủi ro là một trạng thái bất định có thể đo lường và lượng hóa được. Việc hiểu rõ hai góc nhìn này giúp doanh nghiệp vừa phòng ngừa rủi ro thụ động, vừa chủ động xây dựng phương án ứng phó tối ưu.

Theo tiêu chuẩn quốc tế CSA Standard Z1002, quy trình đánh giá rủi ro hoàn chỉnh bao gồm bốn giai đoạn liên kết chặt chẽ:

[Nhận diện hiểm họa] ➔ [Phân tích rủi ro] ➔ [Đánh giá rủi ro] ➔ [Kiểm soát rủi ro]
(Hazard Identification)    (Risk Analysis)       (Risk Evaluation)      (Risk Control)

Quá trình này đòi hỏi tổ chức phải phân loại tài sản (Assets) một cách chính xác. Tài sản doanh nghiệp bao gồm tài sản ngắn hạn (tiền mặt, khoản phải thu), tài sản cố định (hệ thống máy chủ, nhà xưởng) và tài sản vô hình (dữ liệu khách hàng, tài sản trí tuệ).

Để bảo vệ tài sản toàn diện, tổ chức cần phân biệt rõ giữa lỗ hổng (Vulnerability - điểm yếu kỹ thuật trong mã nguồn hoặc cấu hình) và mối đe dọa (Threat - tác nhân hoặc hoàn cảnh có thể khai thác điểm yếu). Dựa trên tam giác bảo mật kinh điển CIA Triad (Confidentiality, Integrity, Availability), mô hình phân loại mối đe dọa STRIDE của Microsoft được áp dụng rộng rãi. STRIDE hỗ trợ đội ngũ kỹ thuật phân tích có hệ thống các nguy cơ: Giả mạo (Spoofing), Can thiệp (Tampering), Chối bỏ (Repudiation), Lộ lọt thông tin (Information Disclosure), Từ chối dịch vụ (Denial of Service), và Leo thang đặc quyền (Elevation of Privilege).

---

2. Quy trình 10 Bước Bảo vệ Dữ liệu và Kiểm soát An ninh Mạng

Bảo vệ dữ liệu không đơn thuần là cài đặt phần mềm diệt virus mà là một hệ thống các biện pháp phối hợp đồng bộ. Nhằm thiết lập một hàng rào phòng thủ vững chắc, doanh nghiệp cần triển khai quy trình bảo mật 10 bước toàn diện:

1. Đánh giá rủi ro an ninh mạng định kỳ: Thường xuyên rà soát hệ thống để nhận diện sớm các nguy cơ xuất phát từ môi trường mạng và rủi ro thiên tai.
2. Nâng cao nhận thức bảo mật cho nhân viên (Security Awareness): Tổ chức đào tạo thường xuyên bởi con người luôn là mắt xích yếu nhất trong chuỗi an ninh mạng.
3. Quản trị an toàn dữ liệu chuyên trách: Bổ nhiệm nhân sự chuyên trách giám sát việc thực thi các tiêu chuẩn an toàn thông tin trong toàn bộ tổ chức.
4. Quản lý sự cố và khắc phục sự cố (Incident Response): Thiết lập tài liệu quy trình chuẩn hóa hoặc liên kết với các đơn vị phản ứng sự cố chuyên nghiệp.
5. Cấu hình hệ thống an toàn (System Hardening): Tối ưu hóa thiết lập bảo mật cho toàn bộ phần cứng, hệ điều hành và phần mềm nghiệp vụ.
6. Phân vùng mạng và thiết lập vùng DMZ: Tách biệt vùng mạng nội bộ (Intranet) và vùng Internet công cộng thông qua hệ thống tường lửa (Firewall) nhiều tầng.
7. Giám sát an ninh mạng chủ động: Triển khai các hệ sinh thái giám sát lưu lượng gồm IDS (phát hiện xâm nhập), IPS (ngăn chặn xâm nhập) và SIEM (quản lý sự kiện bảo mật).
8. Kiểm soát truy cập nghiêm ngặt (Access Control): Thực thi nguyên tắc đặc quyền tối thiểu (Least Privilege), áp dụng xác thực đa yếu tố (MFA) và kiểm soát an ninh vật lý tại các trung tâm dữ liệu.
9. Tăng cường phòng chống mã độc đa lớp: Trang bị giải pháp Anti-malware tập trung tại từng máy trạm đầu cuối kết hợp bảo vệ tại cổng Gateway.
10. Quản lý bản vá (Patch Management) và Mã hóa dữ liệu: Cập nhật kịp thời các bản vá lỗi phần mềm và bắt buộc mã hóa dữ liệu đường truyền cũng như dữ liệu lưu trữ bằng thuật toán mạnh (như AES-256).

Việc tuân thủ các quy chuẩn bảo mật không chỉ bảo vệ an toàn cho hệ thống mà còn giúp tổ chức đáp ứng các nghĩa vụ pháp lý khắt khe như GDPR, PCI-DSS hoặc Basel. Điều này đóng vai trò then chốt trong việc duy trì uy tín doanh nghiệp và bảo vệ quyền tự do thông tin cá nhân.

---

3. Thiết kế Chính sách Bảo mật và Lập Kế hoạch Phục hồi sau Thảm họa (DRP)

Chính sách bảo mật CNTT (IT Security Policy) đóng vai trò là kim chỉ nam quy định cách thức nhân sự tương tác với tài nguyên thông tin. Khi xây dựng chính sách, doanh nghiệp cần tránh việc tạo ra các quy định rập khuôn, cứng nhắc gây cản trở hoạt động sản xuất kinh doanh. Bộ khung chính sách hoàn chỉnh phải bao quát 6 phân vùng trọng yếu: An ninh vật lý (Physical Security), An ninh mạng (Network Security), An ninh máy chủ (Host Security), An ninh người dùng (User Security), An ninh tài liệu (Document Security) và Xử lý sự cố (Incident Handling).

                             (Áp dụng chính sách mẫu)

Trong thực tế, chính sách Mã hóa toàn bộ đĩa cứng máy trạm (Workstation Whole Disk Encryption Policy) là một điển hình mẫu mực. Chính sách này quy định rõ:

• Bắt buộc kích hoạt mã hóa chuẩn AES-256 trên 100% laptop và máy trạm chứa dữ liệu nhạy cảm.
• Khóa mật khẩu BIOS và cố định thứ tự khởi động từ ổ cứng mã hóa nhằm ngăn chặn các kỹ thuật tấn công Cold Boot Attack.
• Tích hợp quy trình xác thực tiền khởi động (Pre-boot environment) đồng bộ với tài khoản định danh người dùng.
• Thiết lập quy trình báo cáo tuân thủ định kỳ và quy trình xử lý ngoại lệ có kiểm soát bởi cấp quản lý rủi ro.

Song hành với việc phòng thủ, doanh nghiệp bắt buộc phải chuẩn bị phương án khắc phục sự cố thông qua Kế hoạch Phục hồi sau Thảm họa (Disaster Recovery Plan - DRP). Quy trình xây dựng DRP đạt chuẩn trải qua 9 bước nghiêm ngặt:

[1. Kiểm kê tài sản] ➔ [2. Đánh giá rủi ro] ➔ [3. Phân loại mức trọng yếu dữ liệu]
[4. Xác định mục tiêu RPO/RTO] ➔ [5. Chọn công cụ phục hồi] ➔ [6. Phê duyệt từ lãnh đạo]
[7. Ban hành tài liệu DRP] ➔ [8. Diễn tập thực tế] ➔ [9. Đánh giá & Cập nhật định kỳ]

Kế hoạch này đảm bảo khi thảm họa bất khả kháng xảy ra (hỏa hoạn, động đất, mã độc tống tiền ransomware), toàn bộ hệ thống cốt lõi của doanh nghiệp sẽ được phục hồi trong khoảng thời gian ngắn nhất, giảm thiểu tối đa sự gián đoạn kinh doanh.

---

Ai nên đọc tài liệu này?

Tài liệu được thiết kế với hàm lượng kiến thức thực tiễn cao, đặc biệt phù hợp với các nhóm độc giả sau:

• Sinh viên và Học viên chuyên ngành An ninh mạng/CNTT: Đặc biệt là sinh viên theo học các chương trình quốc tế (như BTEC HND Computing, Đại học chuyên ngành An toàn Thông tin) cần tài liệu tham khảo chuẩn xác để hoàn thành các đồ án môn học (Unit 5: Security).
• Kỹ sư An toàn Thông tin và Quản trị Hệ thống (System/Security Engineers): Những người chịu trách nhiệm trực tiếp trong việc cấu hình thiết bị, phân vùng mạng, thiết lập giải pháp SIEM, IDS/IPS và triển khai mã hóa thiết bị đầu cuối.
• Giám đốc Công nghệ (CTO), Trưởng phòng CNTT (IT Manager) và CISO: Các nhà lãnh đạo cần cơ sở lý luận vững chắc để xây dựng khung chính sách bảo mật, quản trị rủi ro CNTT và ban hành kế hoạch DRP bảo vệ doanh nghiệp.
• Chuyên viên Đánh giá Tuân thủ và Kiểm toán CNTT (IT Auditors): Cung cấp các tiêu chuẩn đối chiếu để đánh giá mức độ tuân thủ quy định bảo mật của các hệ thống thông tin nội bộ.

Kiến thức nền tảng cần có: Độc giả nên nắm vững kiến thức cơ bản về mạng máy tính (giao thức TCP/IP, mô hình OSI), nguyên lý hoạt động của hệ điều hành và các khái niệm bảo mật cơ bản.

---

Câu hỏi thường gặp (FAQ)

1. Đánh giá rủi ro an toàn thông tin (Risk Assessment) là gì?

Đánh giá rủi ro là quy trình toàn diện nhằm nhận diện các hiểm họa tiềm ẩn, phân tích mức độ nghiêm trọng và đánh giá khả năng xảy ra sự cố đối với tài sản thông tin. Quy trình này cung cấp cơ sở dữ liệu xác thực giúp tổ chức đưa ra các quyết định kiểm soát và loại bỏ rủi ro hiệu quả.

2. Quy trình 9 bước xây dựng Kế hoạch Phục hồi sau Thảm họa (DRP) gồm những gì?

Quy trình xây dựng DRP chuẩn gồm 9 bước: Kiểm kê tài sản số; Đánh giá rủi ro; Xác định mức độ trọng yếu của dữ liệu; Thiết lập mục tiêu phục hồi (RTO/RPO); Lựa chọn công nghệ phục hồi; Thu hút sự đồng thuận từ ban lãnh đạo; Lập văn bản và phổ biến kế hoạch; Diễn tập định kỳ; và Đánh giá, cập nhật tài liệu thường xuyên.

3. Tại sao doanh nghiệp bắt buộc phải phân vùng mạng và thiết lập vùng DMZ?

Phân vùng mạng giúp cô lập các sự cố an ninh, ngăn chặn mã độc lây lan sang các phân vùng dữ liệu nội bộ quan trọng. Vùng phi quân sự (DMZ) hoạt động như một lớp đệm an toàn, kiểm soát chặt chẽ lưu lượng truy cập giữa mạng Internet công cộng không đáng tin cậy và mạng nội bộ của doanh nghiệp.

4. Khi nào tổ chức cần rà soát và cập nhật chính sách bảo mật thông tin?

Chính sách bảo mật cần được cập nhật định kỳ hàng năm hoặc ngay khi có sự thay đổi lớn về kiến trúc hạ tầng CNTT. Ngoài ra, việc xuất hiện các mối đe dọa an ninh mạng mới hoặc sự thay đổi trong các quy định pháp luật cũng là thời điểm bắt buộc phải cập nhật chính sách.

5. Chuẩn mã hóa nào được khuyến nghị áp dụng cho máy trạm doanh nghiệp?

Chuẩn mã hóa đối xứng AES-256 (Advanced Encryption Standard 256-bit) là giải pháp được khuyến nghị hàng đầu hiện nay. Kết hợp mã hóa toàn bộ đĩa cứng (Full Disk Encryption) với cơ chế xác thực tiền khởi động (Pre-boot Authentication) giúp ngăn ngừa triệt để nguy cơ trích xuất dữ liệu trái phép khi thiết bị bị thất lạc.

---

Kết luận

Bảo vệ an toàn thông tin là một hành trình liên tục, đòi hỏi sự kết hợp hài hòa giữa con người, quy trình và công nghệ hiện đại.

• 3 Điểm mấu chốt cần ghi nhớ:
  • Đánh giá rủi ro bài bản theo chuẩn CSA Z1002 và mô hình STRIDE là tiền đề bắt buộc trước khi đầu tư giải pháp bảo mật.
  • Chính sách bảo mật phải bám sát văn hóa doanh nghiệp, hỗ trợ vận hành thay vì tạo rào cản hành chính rườm rà.
  • Kế hoạch phục hồi sau thảm họa (DRP) là lá chắn cuối cùng bảo vệ sự sống còn và tính liên tục của tổ chức.

Trong giai đoạn tiếp theo, các doanh nghiệp cần chủ động nghiên cứu và chuyển dịch sang mô hình kiến trúc không tin cậy (Zero Trust Architecture). Đồng thời, việc tích hợp trí tuệ nhân tạo (AI) vào các trung tâm điều hành an ninh mạng (SOC) sẽ giúp nâng cao năng lực tự động hóa săn lùng mối đe dọa (Threat Hunting) trong thời gian thực.

[!TIP] Hành động ngay: Hãy bắt đầu rà soát lại danh mục tài sản số của tổ chức bạn và tiến hành đánh giá lại các lỗ hổng bảo mật ngay hôm nay để xây dựng chiến lược phòng thủ chủ động và bền vững!

Trích đoạn nội dung tài liệu

ASSIGNMENT 2 FRONT SHEET Qualification BTEC Level 5 HND Diploma in Computing Unit number and title Unit 5: Security Submission date Date Received 1st submission Re-submission Date Date Received 2nd submission Student Name Phan Nguyen Dinh Trong Student ID GCD201526 Class GCD0905 Assessor name Tran Trong Minh Student declaration I certify that the assignment submission is entirely my own work and I fully understand the consequences of plagiarism. I understand that making a false declaration is a form of malpractice. Student’s signature Trong Grading grid P5 P6 P7 P8 M3 M4 M5 D2 D3 1 ❒ Summative Feedback: ❒ Resubmission Feedback: Grade: Assessor Signature: Date: Lecturer Signature: 1 Table of Contents P5. Discuss risk assessment procedures.1 Negative school: risk is considered unlucky,loss, danger .2 The neutral school.

Risk Identification Procedures. Risk assetment procedures. Explain data protection processes and regulations as applicable to an organisation.1 Assessment of network security risks.2 Raise awareness about data security for employees.3 Data security management.4 Troubleshooting and problem management.5 Configure the system securely.6 Ensure the network is divided into separate areas.7 Secure DN data by monitoring network security.9 Increased malware protection.10 Update patches regularly. The important of data protection regulations.

Design and implement a security policy for an organisation.Example of policy.The most and should that must exist while creating policy.1 Ensure that there is a policy on policies.2 Identify any overlap with existing policies.3 Don't develop the policy in a vacuum.4 Step back and consider the need.5 Use the right words so there is no misunderstanding intent.6 When possible, include an exceptions process.7 Allow some shades of gray.8 Define policy maintenance responsibility.9 Keep senior executives out of the routine when possible.10 Establish a policy library with versioning.The element of security policy.2 Security Policy Document.8 Threat and Risk Assessment.18 Areas of Coverage.19 Physical Security Policies.20 Network Security Policies.21 Host Security Policies.22 User Security Policies.23 Document Security Policies.25 Incident Handling Policies. The steps to design a policy. Step in policy development.35 P8 List the main components of an organisational disaster recovery plan, justifying the reasons for inclusion. The components of recovery plan.

Steps to Building a Disaster Recovery Plan.1 Conduct an asset inventory.2 Perform a risk assessment.3 Define criticality of applications and data.4 Define recovery objectives.5 Determine the right tools and techniques.6 Get stakeholder buy-in.7 Document and communicate your plan.8 Test and practice your DR plan.9 Evaluate and update your plan. The policies and procedures that are required for business continuity.11 Figure 3 Type of Threats.12 Figure 4 Risk assessment steps.18 Figure 6 Control of access.19 Figure 7 conduct an asset inventory.37 Figure 8 Perform a risk assessment.38 Figure 9 Define criticality of applications and data.38 Figure 10 Test and practice your DR plan.41 Figure 11 life cycle. Discuss risk assessment procedures 1.1 Negative school: risk is considered unlucky,loss, danger.  Risk is unhealthy, bad, and unexpected.

 Risk (synonymous with risk) is unfortunate.  Risk is the ability to be in danger or suffer from pain. Risks are unforeseen uncertainties that develop in a company's business and production processes and have a negative impact on the company's ability to exist and grow. Briefly put, risk is defined by conventional wisdom as "damage, loss, danger, or factors linked with danger, difficulty, or uncertainty that can happen to a person.2 The neutral school  Risk is uncertainty that can be quantified and is potentially linked to the occurrence of unanticipated events.

 The risk's current value and outcome are uncertain. Risk assetment The process or procedure where you: +Identify hazards and risk factors that have the potential to cause harm is known as risk assessment (hazard identification). 7 +Examine and assess the risk connected to that danger (risk analysis, and risk evaluation). Determine the best strategies to remove the risk or, if that is not possible, to control the risk (risk control).

- A risk assessment is a detailed examination of your workplace to find any elements, circumstances, procedures, etc. that could be harmful, especially to humans. Following identification, you assess the risk's likelihood and seriousness. You can then decide what steps need to be taken to successfully eliminate or control the harm once this assessment has been made.