Luận văn thạc sĩ xây dựng quy trình bảo đảm an toàn thông tin theo chuẩn iso27001 cho các doanh nghiệp vừa và nhỏ tại việt nam

Luận văn thạc sĩ kỹ thuật phân tích xây dựng quy trình bảo đảm an toàn thông tin theo chuẩn iso27001 cho các doanh nghiệp vừa và nhỏ, đánh giá thực trạng, chỉ ra hạn chế, đề xuất

• Tác giả: Trần Kiên
• Người hướng dẫn: TS. Bùi Quang Hưng
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Xây dựng quy trình bảo đảm an toàn thông tin theo chuẩn ISO27001 cho các doanh nghiệp vừa và nhỏ tại Việt Nam
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2017
• Địa điểm: Hà Nội

Tóm tắt

I. Tổng quan về quy trình bảo đảm an toàn thông tin theo chuẩn ISO27001

Quy trình bảo đảm an toàn thông tin theo chuẩn ISO27001 là một khung pháp lý quan trọng giúp các doanh nghiệp vừa và nhỏ tại Việt Nam nâng cao khả năng bảo vệ thông tin. Tiêu chuẩn này không chỉ giúp tổ chức xây dựng hệ thống quản lý an toàn thông tin mà còn đảm bảo tính bảo mật, tính toàn vẹn và tính sẵn có của thông tin. Việc áp dụng ISO27001 giúp doanh nghiệp giảm thiểu rủi ro và tăng cường uy tín trong mắt khách hàng.

1.1. Khái niệm và tầm quan trọng của ISO27001

ISO27001 là tiêu chuẩn quốc tế về quản lý an toàn thông tin, cung cấp hướng dẫn cho các tổ chức trong việc bảo vệ thông tin. Việc áp dụng tiêu chuẩn này giúp doanh nghiệp xây dựng một hệ thống quản lý an toàn thông tin hiệu quả, từ đó nâng cao khả năng cạnh tranh trên thị trường.

1.2. Lợi ích của việc áp dụng ISO27001 cho doanh nghiệp vừa và nhỏ

Áp dụng ISO27001 mang lại nhiều lợi ích cho doanh nghiệp vừa và nhỏ, bao gồm bảo vệ thông tin nhạy cảm, tăng cường sự tin tưởng từ khách hàng và đối tác, cũng như cải thiện quy trình làm việc nội bộ. Điều này không chỉ giúp doanh nghiệp hoạt động hiệu quả hơn mà còn giảm thiểu rủi ro về an toàn thông tin.

II. Thách thức trong việc triển khai ISO27001 tại doanh nghiệp vừa và nhỏ

Mặc dù ISO27001 mang lại nhiều lợi ích, nhưng việc triển khai tiêu chuẩn này tại các doanh nghiệp vừa và nhỏ tại Việt Nam gặp nhiều thách thức. Các doanh nghiệp thường thiếu nguồn lực, kiến thức và kinh nghiệm trong việc áp dụng các quy trình an toàn thông tin. Điều này dẫn đến việc không thể thực hiện đầy đủ các yêu cầu của tiêu chuẩn.

2.1. Thiếu nguồn lực và kinh phí

Nhiều doanh nghiệp vừa và nhỏ gặp khó khăn trong việc đầu tư cho hệ thống quản lý an toàn thông tin do hạn chế về ngân sách. Chi phí cho việc tư vấn, đào tạo và triển khai quy trình ISO27001 có thể là một rào cản lớn.

2.2. Nhận thức chưa đầy đủ về an toàn thông tin

Nhận thức về tầm quan trọng của an toàn thông tin trong doanh nghiệp còn hạn chế. Nhiều lãnh đạo doanh nghiệp chưa nhận thức được rằng việc đầu tư vào an toàn thông tin là cần thiết để bảo vệ tài sản và thông tin của tổ chức.

III. Phương pháp triển khai quy trình bảo đảm an toàn thông tin theo ISO27001

Để triển khai quy trình bảo đảm an toàn thông tin theo chuẩn ISO27001, doanh nghiệp cần thực hiện một số bước cơ bản. Những bước này bao gồm đánh giá rủi ro, xây dựng chính sách an toàn thông tin, và đào tạo nhân viên. Việc thực hiện đúng các bước này sẽ giúp doanh nghiệp đạt được chứng nhận ISO27001 một cách hiệu quả.

3.1. Đánh giá rủi ro và xác định tài sản thông tin

Đánh giá rủi ro là bước đầu tiên và quan trọng trong việc triển khai ISO27001. Doanh nghiệp cần xác định các tài sản thông tin, đánh giá mức độ rủi ro và xác định các biện pháp kiểm soát cần thiết để bảo vệ tài sản đó.

3.2. Xây dựng chính sách và quy trình an toàn thông tin

Doanh nghiệp cần xây dựng các chính sách và quy trình an toàn thông tin rõ ràng, phù hợp với yêu cầu của ISO27001. Chính sách này sẽ là cơ sở để hướng dẫn các hoạt động bảo đảm an toàn thông tin trong tổ chức.

IV. Ứng dụng thực tiễn của ISO27001 tại doanh nghiệp vừa và nhỏ

Việc áp dụng ISO27001 đã được nhiều doanh nghiệp vừa và nhỏ tại Việt Nam thực hiện thành công. Những doanh nghiệp này đã cải thiện đáng kể khả năng bảo vệ thông tin và giảm thiểu rủi ro. Họ cũng đã nhận được sự tin tưởng từ khách hàng và đối tác, từ đó nâng cao vị thế cạnh tranh trên thị trường.

4.1. Các doanh nghiệp tiêu biểu áp dụng ISO27001

Nhiều doanh nghiệp vừa và nhỏ tại Việt Nam đã áp dụng thành công ISO27001, như Công ty A và Công ty B. Họ đã chia sẻ những kinh nghiệm quý báu trong việc triển khai quy trình bảo đảm an toàn thông tin.

4.2. Kết quả đạt được sau khi áp dụng ISO27001

Sau khi áp dụng ISO27001, các doanh nghiệp này đã giảm thiểu đáng kể các sự cố an toàn thông tin, nâng cao hiệu quả hoạt động và cải thiện mối quan hệ với khách hàng. Điều này chứng tỏ rằng việc đầu tư vào an toàn thông tin là cần thiết và mang lại giá trị lâu dài.

V. Kết luận và hướng phát triển tương lai cho an toàn thông tin

Việc triển khai quy trình bảo đảm an toàn thông tin theo chuẩn ISO27001 là một bước đi cần thiết cho các doanh nghiệp vừa và nhỏ tại Việt Nam. Trong tương lai, cần có nhiều chương trình hỗ trợ và đào tạo để nâng cao nhận thức và khả năng áp dụng ISO27001 trong cộng đồng doanh nghiệp. Điều này sẽ giúp tăng cường an toàn thông tin và bảo vệ tài sản thông tin của tổ chức.

5.1. Đề xuất các giải pháp hỗ trợ doanh nghiệp

Cần có các chương trình hỗ trợ từ chính phủ và các tổ chức chuyên môn để giúp doanh nghiệp vừa và nhỏ dễ dàng tiếp cận và áp dụng ISO27001. Các khóa đào tạo và hội thảo cũng nên được tổ chức thường xuyên.

5.2. Tương lai của an toàn thông tin tại Việt Nam

Với sự phát triển nhanh chóng của công nghệ thông tin, an toàn thông tin sẽ ngày càng trở nên quan trọng. Doanh nghiệp cần chủ động hơn trong việc bảo vệ thông tin và áp dụng các tiêu chuẩn quốc tế như ISO27001 để nâng cao khả năng cạnh tranh.

Trích đoạn nội dung tài liệu

Chương 1: Giới thiệu ISO27001 Chương này sẽ tập trung giới thiệu khái niệm ISO27001, cấu trúc, nội dung, các điều khoản phải tuân thủ khi áp dụng ISO27001. - Chương 2: Khảo sát doanh nghiệp SME cụ thể về bảo đảm an toàn thông tin tướng Chính phủ với doanh nghiệp 5 Chương này sẽ chọn ra một doanh nghiệp SME tiêu biểu trong việc đảm bảo an toàn thông tin, giới thiệu về cơ cấu tổ chức, nhân sự, lĩnh vực hoạt động kinh doanh… cũng như yêu cầu đảm bảo an toàn thông tin của các bên liên quan. Sau đó sẽ tiến hành khảo sát về thực trạng bảo đảm an toàn thông tin của doanh nghiệp SME đã lựa chọn dựa trên việc liệt kê các tài sản của doanh nghiệp, phân tích các rủi ro, các nguy cơ và đưa ra các biện pháp kiểm soát. - Chương 3: Đề xuất bộ quy trình cho doanh nghiệp SME đã lựa chọn Sau khi tiến hành khảo sát doanh nghiệp SME đã lựa chọn ở chương 2, chương này sẽ đề xuất xây dựng quy trình, chính sách, biện pháp, thủ tục… để đảm bảo an toàn thông tin, giải quyết các vấn đề liên quan đến an toàn thông tin mà doanh nghiệp trên gặp phải theo chuẩn ISO27001.

- Chương 4: Kết luận Sau khi đề xuất, xây dựng bộ quy trình ở chương 3, chương này sẽ đánh giá những mặt được và mặt chưa được của bộ quy trình đã xây dựng được. Sau đó sẽ tiến hành đề xuất những hướng phát triển tiếp theo của luận văn, đó là tiếp tục tìm hiểu các doanh nghiệp vừa và nhỏ đặc trưng khác trong việc bảo đảm an toàn thông tin, rút ra những nét đặc trưng để xây dựng một nền tảng quy trình chung, với mục đích đóng góp một phần công sức cho các doanh nghiệp vừa và nhỏ tại Việt Nam trong việc đảm bảo an toàn thông tin, một vấn đề khá nhức nhối hiện nay. GIỚI THIỆU ISO27001 1. Khái niệm ISO27001 là tiêu chuẩn quốc tế đặc tả cho các hệ thống quản lý ATTT, nó cung cấp một mô hình thống nhất để thiết lập, vận hành, duy trì và cải tiến hệ thống quản lý ATTT.

Việc tuân thủ theo ISMS chính là quyết định chiến lược của mỗi tổ chức. ISO27001 tạo ra một hệ thống theo dõi và duy trì: - Tính bảo mật thông tin. - Tính sẵn có (availability) của thông tin. - Tính tính toàn vẹn (integrity) của thông tin.

Trong đó: Tính bảo mật thông tin bao gồm: - Tính bảo mật dữ liệu (Data confidentiality) đảm bảo rằng thông tin hoặc bí mật cá nhân không được cung cấp và tiết lộ cho các cá nhân không có thẩm quyền. - Tính riêng tư (Privacy) đảm bảo rằng cá nhân kiểm soát và có tác động tới thông tin gì liên quan đến họ được phép thu thập và lưu giữ, và kiểm soát và tác động tới người nào được phép cung cấp thông tin nói trên và cung cấp tới những ai. Tính toàn vẹn thông tin bao gồm: - Tính toàn vẹn dữ liệu (Data integrity) đảm bảo rằng thông tin và chương trình chỉ được thay đổi theo các cách thức quy định và được phép. - Tính toàn vẹn hệ thống (System integrity) đảm bảo rằng hệ thống triển khai các chức năng định sẵn một cách không suy giảm, độc lập đối với các thao tác trái phép cố ý hoặc vô ý.

Tính sẵn có đảm bảo rằng hệ thống làm việc nhanh và dịch vụ không bị từ chối 7 đối với người dùng được phép. Vị trí của ISO27001 trong họ ISO270005 Hình 1.1 Vị trí ISO27001 1. Cấu trúc của ISO270014 Tiêu chuẩn ISO27001 có cấu trúc bao gồm 2 phần là “Điều khoản” và “Biện pháp kiểm soát”. Phần “Điều khoản” Phần “Điều khoản” bao gồm 7 điều khoản bắt buộc phải thực thi.

Mọi vi phạm đối với từng điều khoản đều được coi là không tuân thủ ISO27001. - 07 điều khoản chính (từ phần 4 đến phần 10 của Tiêu chuẩn): đưa ra yêu cầu bắt buộc về các công việc cần thực hiện trong việc thiết lập, vận hành, duy trì, giám sát và nâng cấp ISMS của các tổ chức. Bất kỳ vi phạm nào của tổ chức so với các quy định nằm trong 07 điều khoản này đều được coi là không tuân thủ theo tiêu chuẩn: 4 Theo http://antoanthongtin.vn 8 Điều khoản 4 - Phạm vi tổ chức: Đưa ra các yêu cầu cụ thể để tổ chức căn cứ trên quy mô, lĩnh vực hoạt động và các yêu cầu, kỳ vọng của các bên liên quan thiết lập phạm vi Hệ thống quản lý ATTT phù hợp. Điều khoản 5 - Lãnh đạo: Quy định các vấn đề về trách nhiệm của Ban lãnh đạo mỗi tổ chức trong ISMS, bao gồm các yêu cầu về sự cam kết, quyết tâm của Ban lãnh đạo trong việc xây dựng và duy trì hệ thống; các yêu cầu về việc cung cấp nguồn lực, tài chính để vận hành hệ thống.

Điều khoản 6 - Lập kế hoạch: Tổ chức cần định nghĩa và áp dụng các quy trình đánh giá rủi ro, từ đó đưa ra các quy trình xử lý. Điều khoản này cũng đưa ra các yêu cầu về việc thiết lập mục tiêu ATTT và kế hoạch để đạt được mục tiêu đó. Điều khoản 7 - Hỗ trợ: yêu cầu đối với việc tổ chức đào tạo, truyền thông, nâng cao nhận thức cho toàn thể cán bộ, nhân viên của tổ chức về lĩnh vực ATTT và ISMS, số hóa thông tin. Điều khoản 8 - Vận hành hệ thống: Tổ chức cần có kế hoạch vận hành và quản lý để đạt được các mục tiêu đã đề ra.

Đồng thời cần định kỳ thực hiện đánh giá rủi ro ATTT và có kế hoạch xử lý. Điều khoản 9 - Đánh giá hiệu năng hệ thống: Quy định trách nhiệm của Ban lãnh đạo trong việc định kỳ xem xét, đánh giá ISMS của tổ chức. Phần này đưa ra yêu cầu đối với mỗi kỳ xem xét hệ thống, đảm bảo đánh giá được toàn bộ hoạt động của hệ thống, đo lường hiệu quả của các biện pháp thực hiện và có kế hoạch khắc phục, nâng cấp hệ thống cho phù hợp với những thay đổi trong hoạt động của tổ chức. Điều khoản 10 - Cải tiến hệ thống: Giữ vững nguyên tắc Kế hoạch - Thực hiện - Kiểm tra - Hành động (P-D-C-A), tiêu chuẩn cũng đưa ra các yêu cầu đảm bảo ISMS không ngừng được cải tiến trong quá trình hoạt động.

Gồm các quy định trong việc áp dụng các chính sách mới, các hoạt động khắc phục, phòng ngừa các điểm yếu đã xảy ra và tiềm tàng để đảm bảo hiệu quả của ISMS. Phần “Biện pháp kiểm soát” Các mục tiêu và biện pháp kiểm soát: đưa ra 14 lĩnh vực kiểm soát với 35 mục tiêu kiểm soát (ứng với 114 biện pháp kiểm soát) nhằm cụ thể hóa các vấn đề mà tổ chức cần xem xét, thực hiện khi xây dựng và duy trì ISMS. Các lĩnh vực 9 đưa ra xem xét bao gồm từ chính sách của lãnh đạo tổ chức, tới việc đảm bảo ATTT trong quản lý tài sản, nhân sự, các nguyên tắc căn bản để đảm bảo ATTT trong việc vận hành, phát triển, duy trì các hệ thống CNTT… 10 STT Các lĩnh vực kiểm soát trong ISO27001 5 Chính sách ATTT Mục tiêu: Để cung cấp hướng quản lý và hỗ trợ an ninh thông tin theo những yêu cầu của doanh nghiệp, những điều luật và những quy định liên quan. Các mục tiêu kiểm soát: - Chính sách an ninh thông tin.

- Soát xét chính sách an ninh thông tin. 6 ATTT trong tổ chức - Tổ chức nội bộ: Thiết lập một hệ thống quản lý để bắt đầu và kiểm soát sự thực hiện và các hoạt động liên quan đến an ninh thông tin trong tổ chức. - Các thiết bị di động và làm việc từ xa: Để đảm bảo an toàn trong việc làm việc từ xa và an toàn trong việc sử dụng thiết bị di động. Các mục tiêu kiểm soát: - Vai trò và trách nhiệm liên quan đến an ninh thông tin.

- Sự phân chia trách nhiệm. - Liên lạc với các bên liên quan. - Liên lạc với nhóm có những lợi ích đặc biệt. - An ninh thông tin trong quản lý dự án.

- Chính sách thiết bị di động. - Làm việc từ xa. 7 ATTT nhân sự - Trước khi làm việc: Để đảm bảo rằng những nhân viên và nhà thầu 11 hiểu rõ được trách nhiệm và phù hợp với vai trò họ được đảm nhiệm. - Trong quá trình làm việc: Để đảm bảo rằng những nhân viên và nhà thầu hiểu và thực hiện trách nhiệm của họ liên quan đến an ninh thông tin.

- Chấm dứt và thay đổi nhân sự: Để bảo vệ lợi ích của tổ chức khi thay đổi hay chấm dứt hợp đồng nhân viên. Các mục tiêu kiểm soát: - Screening. - Điều khoản và điều kiện làm việc. - Trách nhiệm trong việc quản lý.

- Nhận thức, giáo dục và đào tạo an ninh thông tin. - Quy trình kỷ luật. - Chấm dứt hoặc thay đổi trách nhiệm công việc. 8 Quản lý tài sản - Trách nhiệm đối với tài sản: Để xác định tài sản của tổ chức và xác định trách nhiệm bảo vệ phù hợp.

- Phân loại thông tin: Để đảm bảo rằng thông tin nhận được mức bảo vệ phù hợp phù hợp với tầm quan trọng của nó đối với tổ chức. - Xử lý media: Để tránh việc tiết lộ, chỉnh sửa, xóa hay hủy bỏ thông tin được lưu trữ trên các phương tiện, thiết bị lưu trữ một cách không được phép. Các mục tiêu kiểm soát: - Kiểm kê tài sản. - Quyền sở hữu tài sản.

- Chấp nhận sử dụng tài sản. 12 - Trả lại tài sản. - Phân loại thông tin. - Đánh nhãn thông tin.

- Xử lý tài sản. - Quản lý các phương tiện, thiết bị di dời được. - Tiết lộ thông tin. - Vận chuyển phương tiện, thiết bị vật lý 9 Kiểm soát truy nhập - Yêu cầu của doanh nghiệp trong việc kiểm soát truy cập: Để giới hạn truy cập đến thông tin và thiết bị xử lý thông tin.

- Quản lý truy cập người dùng: Để đảm bảo truy cập người dùng hợp pháp và ngăn chặn việc truy cập vào hệ thống và dịch vụ một cách bất hợp pháp. - Trách nhiệm người dùng: Để người dùng có trách nhiệm bảo vệ thông tin đã được xác thực của họ. - Kiểm soát truy cập hệ thống và ứng dụng: Để ngăn chặn truy cập trái phép vào hệ thống và ứng dụng. Các mục tiêu kiểm soát: - Chính sách kiểm soát truy cập.

- Truy cập đến mạng và các dịch vụ mạng. - Đăng ký và hủy đăng ký người dùng - Truy cập người dùng. - Quản lý quyền truy cập đặc quyền 13 - Quản lý thông tin bảo mật của người dùng. - Soát xét quyền truy cập người dùng.