Nguyên tắc quản lý an ninh thông tin - Tập 6, Phần 2

Khám phá nguyên tắc quản lý an ninh thông tin trong Ebook phiên bản thứ hai, tập 6, phần 2. Cung cấp kiến thức chuyên sâu và cập nhật.

• Chuyên ngành: An ninh thông tin
• Đề tài: Kiểm soát an ninh kỹ thuật - Bảo vệ khỏi phần mềm độc hại
• Loại tài liệu: Tài liệu tham khảo

Mục lục chi tiết

• 5. CHƯƠNG 5: TECHNICAL SECURITY CONTROLS
• 5.1. PROTECTION FROM MALICIOUS SOFTWARE
• 5.2. NETWORKS AND COMMUNICATIONS

Tóm tắt

I. Tổng quan về nguyên tắc quản lý an ninh thông tin Tập 6 Phần 2

Nguyên tắc quản lý an ninh thông tin là một phần quan trọng trong việc bảo vệ dữ liệu và hệ thống thông tin của tổ chức. Tập 6, Phần 2 sẽ đi sâu vào các nguyên tắc này, giúp người đọc hiểu rõ hơn về cách thức bảo vệ thông tin trong môi trường số. Việc áp dụng các nguyên tắc này không chỉ giúp giảm thiểu rủi ro mà còn nâng cao khả năng ứng phó với các sự cố an ninh thông tin.

1.1. Định nghĩa và tầm quan trọng của quản lý an ninh thông tin

Quản lý an ninh thông tin bao gồm các biện pháp và quy trình nhằm bảo vệ thông tin khỏi các mối đe dọa. Tầm quan trọng của nó không chỉ nằm ở việc bảo vệ dữ liệu mà còn ở việc duy trì uy tín và sự tin tưởng của khách hàng.

1.2. Các nguyên tắc cơ bản trong quản lý an ninh thông tin

Các nguyên tắc cơ bản bao gồm bảo mật, tính toàn vẹn và khả năng sẵn sàng của thông tin. Những nguyên tắc này tạo thành nền tảng cho mọi chiến lược an ninh thông tin hiệu quả.

II. Vấn đề và thách thức trong quản lý an ninh thông tin hiện nay

Quản lý an ninh thông tin đối mặt với nhiều thách thức, từ việc phát hiện đến ứng phó với các mối đe dọa. Các tổ chức cần nhận thức rõ về những rủi ro này để có thể triển khai các biện pháp phòng ngừa hiệu quả. Sự phát triển nhanh chóng của công nghệ thông tin cũng tạo ra nhiều lỗ hổng bảo mật mà các tổ chức cần phải đối mặt.

2.1. Các mối đe dọa chính đối với an ninh thông tin

Các mối đe dọa chính bao gồm phần mềm độc hại, tấn công mạng và lừa đảo trực tuyến. Những mối đe dọa này không chỉ gây thiệt hại về tài chính mà còn ảnh hưởng đến danh tiếng của tổ chức.

2.2. Thách thức trong việc duy trì an ninh thông tin

Một trong những thách thức lớn nhất là việc cập nhật và duy trì các biện pháp bảo mật. Nhiều tổ chức gặp khó khăn trong việc theo kịp với các công nghệ mới và các phương pháp tấn công ngày càng tinh vi.

III. Phương pháp quản lý rủi ro an ninh thông tin hiệu quả

Để quản lý rủi ro an ninh thông tin, các tổ chức cần áp dụng các phương pháp hiệu quả. Điều này bao gồm việc đánh giá rủi ro, triển khai các biện pháp bảo mật và đào tạo nhân viên về an ninh thông tin. Việc thực hiện các phương pháp này sẽ giúp tổ chức giảm thiểu rủi ro và bảo vệ thông tin một cách hiệu quả.

3.1. Đánh giá rủi ro trong an ninh thông tin

Đánh giá rủi ro là bước đầu tiên trong việc quản lý an ninh thông tin. Nó giúp xác định các lỗ hổng và mối đe dọa tiềm ẩn, từ đó đưa ra các biện pháp khắc phục phù hợp.

3.2. Triển khai các biện pháp bảo mật hiệu quả

Các biện pháp bảo mật như mã hóa dữ liệu, sử dụng tường lửa và phần mềm chống virus là cần thiết để bảo vệ thông tin. Những biện pháp này cần được cập nhật thường xuyên để đối phó với các mối đe dọa mới.

IV. Ứng dụng thực tiễn và kết quả nghiên cứu trong quản lý an ninh thông tin

Nhiều tổ chức đã áp dụng thành công các nguyên tắc quản lý an ninh thông tin và đạt được kết quả tích cực. Việc nghiên cứu và áp dụng các phương pháp mới giúp nâng cao khả năng bảo vệ thông tin và giảm thiểu rủi ro. Các nghiên cứu cũng chỉ ra rằng việc đào tạo nhân viên về an ninh thông tin là rất quan trọng.

4.1. Các trường hợp thành công trong quản lý an ninh thông tin

Nhiều tổ chức đã thành công trong việc bảo vệ thông tin nhờ vào việc áp dụng các biện pháp bảo mật chặt chẽ. Những trường hợp này cung cấp bài học quý giá cho các tổ chức khác.

4.2. Kết quả nghiên cứu về an ninh thông tin

Các nghiên cứu cho thấy rằng việc đầu tư vào an ninh thông tin không chỉ giúp bảo vệ dữ liệu mà còn mang lại lợi ích kinh tế cho tổ chức. Điều này chứng tỏ rằng an ninh thông tin là một yếu tố quan trọng trong chiến lược kinh doanh.

V. Kết luận và tương lai của quản lý an ninh thông tin

Quản lý an ninh thông tin sẽ tiếp tục phát triển để đối phó với các mối đe dọa mới. Tương lai của an ninh thông tin sẽ phụ thuộc vào khả năng của các tổ chức trong việc áp dụng các công nghệ mới và cải thiện quy trình bảo mật. Việc duy trì một môi trường an toàn cho thông tin là một nhiệm vụ không ngừng nghỉ.

5.1. Xu hướng tương lai trong quản lý an ninh thông tin

Các xu hướng như trí tuệ nhân tạo và học máy sẽ đóng vai trò quan trọng trong việc phát hiện và ngăn chặn các mối đe dọa an ninh thông tin. Những công nghệ này hứa hẹn sẽ cải thiện khả năng bảo vệ thông tin.

5.2. Tầm quan trọng của việc nâng cao nhận thức về an ninh thông tin

Nâng cao nhận thức về an ninh thông tin trong tổ chức là rất quan trọng. Nhân viên cần được đào tạo thường xuyên để nhận biết và ứng phó với các mối đe dọa an ninh thông tin.

Nội dung chính

Giáo trình Nguyên tắc Quản lý An ninh Thông tin (Tập 6, Phần 2)

Tổng quan về giáo trình

Giáo trình Nguyên tắc Quản lý An ninh Thông tin - Tập 6, Phần 2 là tài liệu học thuật thuộc khối kiến thức chuyên ngành An toàn thông tin, Quản trị hệ thống công nghệ thông tin và Đảm bảo an ninh thông tin (Information Assurance), được thiết kế cho chương trình đào tạo bậc đại học và sau đại học. Tài liệu cung cấp cơ sở lý thuyết có hệ thống và các phương pháp ứng dụng thực tiễn trong việc thiết lập, vận hành và đánh giá các biện pháp kiểm soát an ninh thông tin trong tổ chức.

Mục tiêu học tập (Learning Outcomes) của giáo trình tập trung vào việc trang bị cho người học:

• Khả năng phân loại và triển khai các biện pháp kiểm soát kỹ thuật (Technical Controls), phân biệt với kiểm soát vật lý (Physical Controls) và kiểm soát quy trình (Procedural Controls).
• Nguyên lý phòng chống phần mềm độc hại (Malware), kiểm soát các điểm thâm nhập mạng, cấu hình xác thực và phân vùng hệ thống.
• Phương pháp đánh giá rủi ro pháp lý và an ninh trong điện toán đám mây, trao đổi dữ liệu với bên thứ ba và các dịch vụ viễn thông thời gian thực.
• Kỹ năng tích hợp yêu cầu bảo mật vào toàn bộ vòng đời phát triển phần mềm (SDLC), xây dựng hệ thống tài liệu kiểm soát cấu hình cơ sở (Baseline Controls) và tổ chức kiểm toán, kiểm thử xâm nhập (Penetration Testing).

Cấu trúc giáo trình tiếp cận theo mô hình quản lý rủi ro đa tầng, kết hợp giữa nguyên lý kỹ thuật chung (Generic Controls) và các ràng buộc pháp lý, tiêu chuẩn quốc tế như ISO/IEC 27000 series, ISO/IEC 27010 và ITIL. Điểm đặc thù của tài liệu là phương pháp sư phạm dựa trên tình huống (Case-based Learning) xuyên suốt, sử dụng các tình huống nghiệp vụ thực tế từ các tổ chức như GANT (tổ chức bảo tồn loài lưỡng cư) và đối tác SLUG để mô hình hóa các bài toán an ninh hạ tầng, kết nối từ xa, thương mại điện tử và đấu thầu dịch vụ thuê ngoài (ITT).

---

Nội dung kiến thức cốt lõi

Các chương và chủ đề chính

Giáo trình bao gồm hai khối nội dung trọng tâm là Chương 5 và Chương 6, được phát triển theo lộ trình logic từ kiểm soát kỹ thuật hạ tầng đến bảo mật chu trình phát triển ứng dụng:

Chương 5: Kiểm soát An ninh Kỹ thuật
Chương 6: Phát triển và Vòng đời Phần mềm

Chương 5: Kiểm soát an ninh kỹ thuật (Technical Security Controls)

• Bảo vệ khỏi phần mềm độc hại (Protection from Malicious Software): Định nghĩa và phân loại mã độc theo phương thức hoạt động và tải trọng mã độc (payload), bao gồm Virus, Sâu máy tính (Worm - dẫn chứng sâu Slammer lây nhiễm 90% máy tính dễ bị tổn thương trên toàn cầu trong vòng 10 phút), Trojan, Phần mềm gián điệp (Spyware), Cửa sau (Backdoors), Mạng máy tính ma (Botnet điều khiển qua IRC) và Rootkit. Phân tích hiện tượng khai thác lỗ hổng Zero-day, sự chuyển dịch động cơ tấn công từ gây rối sang trục lợi tài chính theo thống kê của FBI (từ năm 2006, doanh thu tội phạm mạng vượt qua buôn bán ma túy), cùng các véc-tơ lây nhiễm qua mã động web (ActiveX, Java, Flash), thiết bị lưu trữ rời và mô hình mang thiết bị cá nhân đi làm (BYOD).
• Mạng và truyền thông (Networks and Communications): Xác định các điểm truy cập mạng (Entry points); triển khai các giao thức xác thực tập trung như Radius, TACACS, Kerberos và Diameter; kỹ thuật phân vùng mạng (Network Partitioning) kết hợp vùng phi quân sự (DMZ - Demilitarised Zone) giữa hai tường lửa; ứng dụng mật mã học (Cryptography); kỹ thuật kiểm thử xâm nhập (Penetration Testing / Ethical Hacking), rà quét cổng kết nối modem (War Dialling) và giám sát phát hiện xâm nhập thông qua công cụ mã nguồn mở SNORT.
• Dịch vụ bên ngoài (External Services): Đánh giá rủi ro an ninh trong các dịch vụ thời gian thực (IM, Hội nghị truyền hình, VOIP, CCTV feeds, gian lận cước viễn thông Phreaking); an toàn thương mại điện tử qua giao thức mã hóa SSL; các chuẩn kết nối di động (GPRS, 3G, EDGE, HSDPA, LTE); tuân thủ các quy định pháp luật như Đạo luật Bảo vệ Dữ liệu (Data Protection Act - DPA), Đạo luật Dịch vụ Tài chính (FSA), Chỉ thị Thị trường Công cụ Tài chính (MiFID) và tiêu chuẩn ISO/IEC 27010.
• Điện toán đám mây (Cloud Computing): Phân tích kiến trúc dịch vụ (SaaS, PaaS, IaaS) và mô hình triển khai (Public, Private, Hybrid); quản lý rủi ro pháp lý về quyền tài phán lưu trữ dữ liệu, quyền sở hữu trí tuệ, điều khoản nhà thầu phụ (Flow-through clauses), quyền kiểm toán và thỏa thuận chấm dứt hợp đồng; tham chiếu hướng dẫn từ Liên minh An ninh Đám mây (CSA), NIST, ENISA và ISF.
• Quản lý cơ sở hạ tầng CNTT (IT Infrastructure): Nguyên lý cô lập hệ thống thông qua bộ kết nối liên miền (IDC - Inter-Domain Connector) hoặc bộ điều hướng một chiều (Data Diode); phân cấp tài liệu kiểm soát (Chính sách -> Tiêu chuẩn -> Quy trình -> Hướng dẫn); kiểm soát đặc quyền quản trị; quản lý tính chính xác của dữ liệu bằng lập trình phòng thủ (Defensive Coding); thiết lập cấu hình cơ sở (Baseline Controls) và chiến lược sao lưu đa thế hệ Grandfather-Father-Son (GFS).

Chương 6: Phát triển và vòng đời phần mềm (Software Development and Life Cycle)

• Kiểm thử, kiểm toán và rà soát (Testing, Audit and Review): Phương pháp xây dựng báo cáo đánh giá kỹ thuật trung thực; quy trình thu thập và bảo quản nhật ký sự kiện (Event Logs) tối thiểu 6 tháng nhằm phục vụ điều tra pháp y kỹ thuật số (Forensic Readiness); căn chỉnh hệ thống quản lý an ninh thông tin (ISMS) phù hợp với quy trình nghiệp vụ thực tế.
• Phát triển và hỗ trợ hệ thống (Systems Development and Support): Tích hợp thông số kỹ thuật an ninh ngay từ giai đoạn khởi tạo dự án; đánh giá rủi ro phần mềm thương mại đóng gói sẵn (COTS) và vi phạm bản quyền theo Đạo luật Bản quyền, Kiểu dáng và Bằng sáng chế 1988 (Copyrights, Designs & Patents Act 1988); tách biệt tuyệt đối 3 môi trường: Phát triển (Development), Kiểm thử (Test) và Vận hành (Live); quy trình kiểm thử hồi quy (Regression Testing), phê chuẩn đưa vào hoạt động (Accreditation) và ban kiểm soát thay đổi (Change Control Board).

---

Kiến thức nền tảng được xây dựng

1. Mô hình phân tầng kiểm soát an ninh: Cung cấp nguyên lý phân chia các rào chắn bảo mật thành ba nhóm: vật lý (khóa, tủ bảo mật), quy trình (thẩm tra lý lịch nhân sự, chính sách sử dụng mạng) và kỹ thuật/sản phẩm (mật mã, tường lửa, danh sách trắng ứng dụng).
2. Bốn mục tiêu cốt lõi của mật mã học:
   • Tính bí mật (Secrecy/Confidentiality): Ngăn chặn việc đọc nội dung văn bản gốc khi chưa được phép.
   • Tính toàn vẹn dữ liệu (Data Integrity): Đảm bảo thông tin không bị sửa đổi, chèn thêm hoặc xóa bỏ trái phép.
   • Xác thực người dùng (User Verification): Xác định chính xác danh tính của đối tượng gửi hoặc truy cập.
   • Tính chống chối bỏ (Non-repudiation): Ngăn chặn bên gửi phủ nhận việc đã phát hành thông điệp hoặc nội dung trao đổi.
3. Chu trình quản lý chất lượng và cải tiến liên tục: Áp dụng mô hình PDCA (Plan – Do – Check – Act) để liên tục rà soát, đánh giá tính hiệu quả của các biện pháp bảo mật hạ tầng và phần mềm theo chuẩn ISO/IEC 27000 và ITIL.
4. Hệ thống phân cấp tài liệu quản trị an ninh:
   • Chính sách (Policy): Văn bản cấp cao nhất, do ban giám đốc ban hành nhằm xác lập cam kết bảo mật chung.
   • Tiêu chuẩn (Standards): Các chỉ tiêu kỹ thuật bắt buộc phải đạt được trong từng phân vùng bảo mật.
   • Quy trình (Procedures): Hướng dẫn từng bước chi tiết để thực thi các tiêu chuẩn kỹ thuật.
   • Hướng dẫn (Guidelines): Tài liệu khuyến nghị hỗ trợ giải quyết các bài toán kỹ thuật phức tạp.

---

Kỹ năng phát triển

• Kỹ năng kỹ thuật (Technical Skills): Thiết lập cấu hình hệ thống máy quét độc lập (Sheep-dip) cho thiết bị lưu trữ di động; cấu hình danh sách trắng (Whitelisting) cho phần mềm thực thi; thiết kế kiến trúc phân vùng mạng sử dụng DMZ và VPN; triển khai hệ thống phát hiện/ngăn ngừa xâm nhập dựa trên chữ ký (NIDS/HIDS với động cơ SNORT).
• Kỹ năng phân tích (Analytical Skills): Đánh giá rủi ro hợp đồng dịch vụ đám mây và dịch vụ thuê ngoài; phân tích lỗ hổng hệ thống mạng thông qua kỹ thuật quét modem và kiểm thử thâm nhập; đối chiếu mức độ tuân thủ pháp lý theo chuẩn DPA, ISO 27001 và các quy định ngành tài chính.
• Kỹ năng quản trị và thực hành (Practical Competencies): Xây dựng hồ sơ mời thầu (ITT - Invitation to Tender) tích hợp các điều khoản đảm bảo an ninh thông tin; lập kế hoạch sao lưu và khôi phục sau thảm họa theo mô hình GFS; thiết lập quy trình kiểm soát thay đổi (Change Control) và quản lý cấu hình cơ sở (Baseline Configuration Management).

---

Phương pháp giảng dạy và học tập

Giáo trình áp dụng phương pháp sư phạm tích hợp lý thuyết với giải quyết vấn đề (Problem-Based Learning), lấy các ca điển hình làm hạt nhân phân tích:

[Khung Lý thuyết & Khái niệm] 
[Tình huống Nghiệp vụ: GANT / SLUG]
[Hoạt động Phân tích & Thực hành (Activities)]
[Đối chiếu Chỉ dẫn & Khung Tiêu chuẩn (Pointers / ISO / DPA)]

Bài tập tình huống và hoạt động thực hành

Hệ thống hoạt động học tập (Activities) và hướng dẫn giải quyết (Pointers for Activities) được xây dựng bám sát hoạt động của tổ chức nghiên cứu GANT:

• Xử lý sự cố phần mềm độc hại (Activity 5.1): Lập phương án phòng ngừa tấn công có chủ đích nhắm vào cơ sở dữ liệu thành viên, cân đối giữa chi phí đầu tư và mức độ rủi ro thông qua giải pháp kết hợp tường lửa cá nhân, danh sách trắng và quy trình vá lỗi định kỳ.
• Kiểm soát kết nối từ xa (Activity 5.2): Giải thích rủi ro rò rỉ dữ liệu khi làm việc tại nhà cho lãnh đạo tổ chức; thiết lập chính sách sử dụng mạng và giải pháp mã hóa kênh truyền sử dụng mật khẩu dùng một lần (OTP/Token).
• Bố trí cảm biến IDS (Activity 5.3): Xác định các vị trí tối ưu để cài đặt đầu dò giám sát xâm nhập tại các cổng kết nối ngoại vi và ranh giới phân vùng mạng nội bộ.
• Thiết kế kiến trúc kết nối liên tổ chức (Activity 5.4): Xây dựng phương án kết nối dữ liệu giữa GANT và tổ chức SLUG, lựa chọn phương thức truyền thông (VPN, Leased line), cơ chế xác thực và thỏa thuận chia sẻ dữ liệu hợp pháp.
• Đánh giá rủi ro dịch vụ đám mây (Activity 5.8 & 5.9): Xây dựng danh mục câu hỏi thẩm định nhà cung cấp giải pháp quản lý hội viên trên nền tảng đám mây, tập trung vào vị trí địa lý của trung tâm dữ liệu, quyền kiểm toán và điều khoản bồi thường thiệt hại.
• Xây dựng hồ sơ mời thầu dịch vụ CNTT (Activity 5.10 & 5.12): Soạn thảo các điều khoản an ninh thông tin bắt buộc, cam kết bảo mật dữ liệu, yêu cầu kiểm toán đột xuất không báo trước và tiêu chuẩn cấu hình hệ thống cơ sở.

Phương pháp đánh giá và tự học

• Phương pháp đánh giá: Kết quả học tập được đánh giá thông qua khả năng phân tích kiến trúc an toàn, giải quyết các tình huống xung đột giữa tính tiện dụng và mức độ bảo mật, xây dựng hồ sơ cấu hình kỹ thuật và bài tập lớn về kiểm toán hệ thống.
• Chỉ dẫn tự học: Người học cần chủ động nghiên cứu các tài liệu tiêu chuẩn quốc tế (ISO/IEC 27000 series, NIST SP 800, báo cáo ENISA), theo dõi các thông báo vá lỗi từ nhà sản xuất hệ điều hành và thực hành phân tích quy trình mã hóa dữ liệu.

---

Điểm nổi bật và cập nhật

Giáo trình tích hợp nhiều nội dung phản ánh đúng thực tế vận hành và xu hướng kỹ thuật trong quản trị an ninh:

• Chuyển dịch trong mô hình tội phạm mạng: Phân tích nguyên nhân thương mại hóa của các cuộc tấn công mạng, giải thích lý do mã độc hiện đại chú trọng tính ẩn danh để duy trì thời gian khai thác thay vì phá hủy dữ liệu công khai như các virus truyền thống.
• Rủi ro từ mô hình làm việc di động và BYOD: Đánh giá các nguy cơ an ninh khi người dùng sử dụng thiết bị cá nhân (điện thoại thông minh, máy tính bảng) truy cập mạng nội bộ qua hạ tầng mạng công cộng, sóng không dây, Bluetooth và mạng di động (3G/4G/LTE).
• Toàn diện về khía cạnh pháp lý của điện toán đám mây: Chỉ rõ trách nhiệm quản lý rủi ro thuộc về bên sở hữu dữ liệu (Data Owner), không thể chuyển giao hoàn toàn cho nhà cung cấp dịch vụ; phân tích chi tiết các điều khoản hợp đồng liên quan đến quyền tài phán quốc tế và cơ chế thu hồi/tiêu hủy dữ liệu.
• Kỹ thuật phòng vệ chủ động: Nhấn mạnh vai trò của việc thu hẹp khoảng cách thời gian từ khi công bố bản vá đến khi xuất hiện mã khai thác (giảm xuống còn 3 ngày), ứng dụng mô hình sao lưu GFS để chống lại các loại mã độc nằm vùng thay đổi dữ liệu âm thầm, và phương pháp cô lập kiểm thử ba môi trường độc lập (Dev - Test - Live).

---

Đối tượng sử dụng giáo trình

Nhóm đối tượng	Mục đích sử dụng	Yêu cầu kiến thức tiên quyết (Prerequisites)
Sinh viên đại học (Năm 3, Năm 4 ngành ATTT, CNTT, HTTT)	Học phần An toàn thông tin, Quản trị an ninh mạng, Quản lý rủi ro CNTT	Mạng máy tính cơ bản, Hệ điều hành, Cơ sở dữ liệu và Kiến trúc máy tính
Học viên cao học (Chuyên ngành An ninh mạng, Quản trị CNTT)	Nghiên cứu kiến trúc bảo mật hệ thống, tuân thủ pháp lý và quản trị chuẩn ISO	Đã hoàn thành các học phần quản trị mạng nâng cao và phân tích thiết kế hệ thống
Giảng viên	Biên soạn bài giảng, tổ chức thảo luận tình huống và thiết kế đồ án môn học	Nắm vững các tiêu chuẩn an ninh quốc tế (ISO 27001, ITIL, NIST)
Kỹ sư, Chuyên viên bảo mật (Information Assurance Practitioners)	Tài liệu tham chiếu xây dựng chính sách, lập cấu hình baseline và thẩm định thầu	Đang vận hành hoặc giám sát hệ thống hạ tầng thông tin thực tế

---

Câu hỏi thường gặp

1. Giáo trình này phù hợp với ai?

Tài liệu được biên soạn cho sinh viên chuyên ngành Công nghệ thông tin, An toàn thông tin, Hệ thống thông tin quản lý ở trình độ đại học/sau đại học, đồng thời là tài liệu tham chiếu nghiệp vụ cho các chuyên viên quản trị hệ thống, kiểm toán viên CNTT và cán bộ quản lý an ninh thông tin trong doanh nghiệp.

2. Cần kiến thức nền nào để học giáo trình này?

Người học cần nắm vững kiến thức nền tảng về nguyên lý mạng máy tính (mô hình OSI/TCP-IP, định tuyến, phân giải tên miền), kiến trúc hệ điều hành (quản lý người dùng, phân quyền truy cập tập tin), các khái niệm cơ bản về mật mã học và logic lập trình ứng dụng.

3. Điểm khác biệt của giáo trình này so với các tài liệu an ninh mạng khác là gì?

Giáo trình không đi sâu vào việc hướng dẫn sử dụng công cụ tấn công cụ thể mà tập trung vào nguyên tắc quản lý và kiến trúc kiểm soát an ninh tổng thể. Tài liệu kết hợp đồng bộ giữa biện pháp kỹ thuật (mật mã, tường lửa, IDS/IPS, baseline), quy trình quản trị (PDCA, change control, SDLC) và các ràng buộc pháp lý (DPA, FSA, ISO/IEC 27000) thông qua hệ thống ca nghiên cứu thực tế.

4. Làm sao để tự học và nghiên cứu giáo trình hiệu quả?

Người học nên kết hợp việc đọc hiểu lý thuyết với việc tự giải quyết các bài tập tình huống (Activities 5.1 đến 5.12 và 6.1 đến 6.3), sau đó đối chiếu với phần định hướng (Pointers for activities) ở cuối chương. Đồng thời, cần tra cứu thêm các văn bản tiêu chuẩn quốc tế được trích dẫn (ISO/IEC 27000, ISO/IEC 27010, tài liệu NIST và Cloud Security Alliance).

5. Có tài liệu bổ trợ hoặc tiêu chuẩn nào cần tham khảo kèm theo?

Các tài nguyên bổ trợ quan trọng được trích dẫn trong giáo trình gồm có:

• Bộ tiêu chuẩn quản lý an toàn thông tin ISO/IEC 27000 series và ISO/IEC 27010.
• Khung quản trị dịch vụ CNTT (ITIL) và tiêu chuẩn quản lý chất lượng ISO 9001.
• Hướng dẫn bảo mật từ Liên minh An ninh Đám mây (CSA) và ENISA.
• Các văn bản quy phạm pháp luật về bảo vệ dữ liệu như UK Data Protection Act (DPA) và Copyrights, Designs & Patents Act 1988.

---

Kết luận

Giáo trình Nguyên tắc Quản lý An ninh Thông tin - Tập 6, Phần 2 xác lập hệ thống tri thức chuẩn mực về kiểm soát an ninh kỹ thuật, quản trị hạ tầng mạng và chu trình phát triển hệ thống an toàn. Lộ trình học tập đề xuất cho người học là nắm vững nguyên lý phân loại kiểm soát kỹ thuật, thực hành thiết kế phân vùng mạng và xây dựng cấu hình cơ sở (Baseline), đánh giá rủi ro trong tích hợp dịch vụ bên ngoài/điện toán đám mây, và áp dụng quy trình kiểm soát thay đổi trong vòng đời phần mềm. Việc kết hợp chặt chẽ giữa lý thuyết kỹ thuật, khung pháp lý và các chuẩn mực quốc tế (ISO/IEC 27000, ITIL, NIST) tạo nền tảng vững chắc cho công tác thiết kế và quản trị an toàn thông tin chuyên nghiệp.

Trích đoạn nội dung tài liệu

5 TECHNICAL SECURITY CONTROLS In this chapter we discuss in more detail the technical controls that are implemented to provide protection against security incidents. This includes the detection, prevention and mitigation of such incidents. There are three main types of control: physical, for example locks on doors and secure cabinets; procedural, for example checking references for job applicants; product and technical controls, for example passwords or encryption. Of these, the product and technical controls are perhaps the most important in terms of information security since they are often the last barrier to illegal or unauthorized activity.

As mentioned in Chapter 4, we deal here with mainly generic controls because the more detailed information about specific controls is outside the scope of this publication. PROTECTION FROM MALICIOUS SOFTWARE Learning outcomes The intention of this section is to provide the reader with the basic knowledge needed to put in place effective controls to manage the risks from malicious software. Once completed, the reader should have an understanding of each of the following concepts. Types of malicious software The topic of malicious software is very large and could easily fill a book of its own.

In this section the barest basics are described and enough information is given to allow the reader to continue their studies elsewhere if they so wish. Malware (from MALicious softWARE), as it is often known, is one of the largest threats to the users and managers of information systems. An understanding of the capabilities of malware and those who write it, along with the controls that are needed to counter that threat, are essential for most information assurance practitioners. A simple definition of malware would be something like: An unauthorised piece of code that installs and runs itself on a computer without the knowledge or permission of the owner.

It then conducts data processing and other operations that benefit the originator, usually at the expense of the system users or the recipient of the output from the malware. The traditional idea of malware is the virus that infects your computer, attempts to spread itself to others, then trashes the contents of your hard disk or displays a message to show that it was successful in infecting your machine. A lot of the early malware did just this. Things have moved on, however, and the main emphasis now is not on ‘spreading chaos while gaining kudos’, it is about money.

The FBI announced that, for the first time ever in 2006, organised crime gangs in America made more money from cybercrime than they did from dealing in drugs. It is big business in many parts of eastern Europe and the far east too. The chances of being caught are much lower than for drugs operations and the sentences, if convicted, tend to be much shorter. The old malware writers wanted you to know that they had succeeded in infecting your machine; now it is changed round completely.

The vast majority of modern writers know that if you realise you have an infected system they have failed, because you will disinfect it. Modern malware can be split into the following major categories depending on their payload. These cannot spread on their own. They need to be attached to another piece of data or program to reach and infect another computer.

They are often triggered by opening an email attachment or executable or received by email or on removable media such as CD or USB stick. The difference between a worm and a virus is that worms contain the code needed to spread themselves without any user action. They will seek out other computers on any networks they can find and can spread very quickly. It is estimated that the Slammer worm infected 90 per cent of the world’s vulnerable computers within 10 minutes of being released.

These are complex software packages that hijack the operating system and attempt to make themselves invisible both to the user and to the software designed to find and remove malware.