CHƯƠNG 1: TỔNG QUAN VỀ ĐỀ TÀI 1.1 Lý do hình thành vấn đề: - An ninh an toàn thông tin đang trở thành thách thức mới trong kỷ nguyên công nghệ số ngày nay. Theo đánh giá của Hiệp hội An toàn thông tin Việt Nam (VNISA), tình hình an toàn thông tin trên thế giới và ở Việt Nam trong năm 2012-2013 vẫn có bức tranh chung màu “xám” về vấn đề gia tăng số lượng mã độc và các vụ việc tấn công, làm lợi bất chính, thu thập thông tin bí mật thông qua các tấn công mạng, điển hình: o Trên thế giới: Năm 2012, một công ty xử lý thanh toán quốc tế đã bị tấn công khiến hơn 1,5 triệu thông tin tài khoản thẻ thanh toán bị đánh cắp Nhóm Anonymous tuyên bố đã tấn công vào máy chủ của cơ quan Tư pháp của Mỹ để lấy cắp hơn 1.7 GB dữ liệu Tổ chức bảo mật Mandiant tiết lộ chiến dịch gián điệp Cyber APT1 của Trung Quốc nhằm vào hơn hàng ngàn mục tiêu trên khắp thế giới (các tổ chức thuộc công nghệ, không gian, dịch vụ công …). Hệ thống APT1 đã đánh cắp hàng trăng Terabytes dữ liệu của các tổ chức nạn nhân trong một thời gian dài (có khi lên đến 1.764 ngày) mà không hề bị phát hiện hoặc ngăn chặn. o Tại Việt Nam: Trong 9 tháng đầu năm 2013, Việt Nam đã ghi nhận được hơn 1.428 trường hợp mã độc tấn công (cao hơn nhiều so với năm 2012).
Ước tính hiện có khoảng 500.000 máy tính tại Việt Nam đang nằm trong các mạng máy tính “ma” quốc tế. Các máy tính này có thể bị điều khiển từ xa thông qua mạng internet, đánh cắp thông tin hoặc trở thành công cụ để phát tán thư rác, đặc biệt chúng còn trở thành bàn đạp để tấn công vào các hệ thống thông tin quan trọng của quốc gia. Điển hình như mạng lưới Zeus Botnet có 14.075 địa chỉ IP Việt Nam, Sality, Downadup, Trafficconverter cũng có tới 113.273 địa chỉ máy tính thuộc Việt Nam… -3- Không chỉ nhắm tới Việt Nam với mục đích phá hoại các hệ thống thông tin, những thông tin quan trọng, có tính chất bảo mật của các cơ quan nhà nước cũng đang trở thành mục tiêu chính. Tính đến tháng 10/2013, theo thống kê đã có 2.405 website của các cơ quan, doanh nghiệp bị tin tặc xâm nhập, đánh cắp thông tin hoặc thay đổi nội dung Đặc biệt vào tháng 7/2013, đối tượng tấn công đã huy động một lượng máy tính “ma” tấn công từ chối dịch vụ (DdoS) vào các trang báo điện tử phổ biến nhất như Tuổi Trẻ, VietnamNet, Dân Trí làm gián đoạn dịch vụ cung cấp thông tin cho bạn đọc trong nhiều tuần liên tiếp - Đặc biệt, theo các báo cáo bảo mật nội bộ, tình hình an toàn thông tin tại trung tâm dữ liệu TPHCM cũng đang trở nên nóng hơn bao giờ hết: o Trong tháng 11/2013, ghi nhận hơn 59.767 lượt dò quét và tấn công, thu thập thông tin hệ thống với nguồn tấn công chủ yếu xuất phát từ Trung Quốc (5400 lần), Mỹ (1428 lần), Việt Nam (351 lần)… o Tấn công nhằm vào các lỗ hổng thuộc các website cổng thông tin điện tử các Sở, Ban, Ngành, Quận, Huyện thành phố như Trang Chủ TPHCM (5.095 lượt), Thành Đoàn TPHCM (4.656 lượt), Sở Tư Pháp 4.284 lượt)… o Đặc biệt vào tháng 3/2013, đối tượng tấn công đã vượt qua hệ thống bảo mật và lấy cắp mật khẩu hệ thống định danh Active Directory làm thất thoát nhiều thông tin quan trọng - Trước những rủi ro về an toàn thông tin đã và đang trở thành thách thức lớn đối với chiến lược phát triển Chính quyền điện tử TPHCM nói riêng và trên toàn thế giới nói chung, một giải pháp toàn diện đang trở thành vấn đề cấp bách hiện nay.
Bên cạnh các giải pháp về mặt kỹ thuật, giải pháp về mặt quản lý đặc biệt là quản lý rủi ro an toàn thông tin sẽ giúp kiểm soát cũng như hạn chế phần nhiều các rủi ro an toàn thông tin xảy ra làm ảnh hưởng đến hệ thống thông tin.2 Quản lý rủi ro an toàn thông tin: 1.1 Định nghĩa về an toàn thông tin: -4- - An toàn thông tin (Information Security) có nhiều định nghĩa theo nhiều nguồn đáng tin cậy khác nhau như: o "Bảo đảm tính bảo mật, tính toàn vẹn và tính sẵn sàng của thông tin. Ngoài ra, còn bao gồm các tài sản khác như tính xác thực, trách nhiệm, không thoái thác và độ tin cậy." (theo ISO/IEC 27000:2009) o "Là việc bảo vệ thông tin và hệ thống thông tin khỏi các truy cập trái phép, sử dụng, tiết lộ, gián đoạn, biến đổi hoặc phá hủy để đảm bảo cung cấp tính bảo mật, tính toàn vẹn, và tính sẵn sàng.2 Định nghĩa quản lý rủi ro: - Theo tổ chức ISACA định nghĩa: “Quản lý rủi ro là một quá trình nhằm xác định các lỗ hổng và các mối đe dọa đến các nguồn tài nguyên thông tin được sử dụng bởi tổ chức trong mục việc đạt được mục tiêu kinh doanh, và quyết định các biện pháp đối phó, nếu có, nhằm làm giảm thiểu rủi ro ở mức có thể chấp nhận được, dựa trên giá trị nguồn tài nguyên thông tin trong tổ chức”. [theo Certified Information Systems Auditor (CISA) Review Manual 2006] - Có 2 vấn đề cần phải làm rõ ở khái niệm trên là, thứ nhất, quá trình quản lý rủi ro là một quá trình lặp đi lặp lại liên tục một cách không có hồi kết do môi trường kinh doanh không cố định mà luôn luôn thay đổi và những mối đe dọa cũng như lỗ hổng được khai thác hàng ngày. Thứ hai, việc lựa chọn phương pháp đối phó được sử dụng để quản lý rủi ro phải được cân đối với chi phí, hiệu quả và đặt biệt là giá trị của thông tin mà chúng ta cần phải bảo vệ.
[theo Wikipedia] - Một khái niệm khác của tổ chức National Information Assurance Training and Education Center thì quản lý rủi ro: o Là một quá trình tổng thể của việc chỉ ra, điều khiển, làm giảm nhẹ các tác động của những sự kiện không chắc chắn. o Là yếu tố của khoa học quản lý liên quan đến việc xác định, đo lường, kiểm soát, và giảm thiểu các sự kiện không chắc chắn. Một chương trình -5- quản lý rủi ro hiệu quả bao gồm bốn giai đoạn là đánh giá rủi ro, quản lý quyết định, điều khiển thực thi và đánh giá tính hiệu quả - Tổ chức Viện Tiêu chuẩn Quốc gia Hoa Kỳ (NIST) thì định nghĩa: “Quản lý rủi ro là quá trình cho phép các nhà quản lý CNTT đo lường, cân bằng chi phí kinh tế với chi phí cho hoạt động bảo vệ hệ thống thông tin và dữ liệu của tổ chức. Quá trình này không phải là duy nhất trong môi trường CNTT mà thật sự còn thâm nhập vào mọi quyết định trong tất cả các lĩnh vực hằng ngày của cuộc sống chúng ta” [theo NIST SP 800-30 Risk Management Guide for Information Technology Systems] 1.3 Các phương pháp quản lý rủi ro an toàn thông tin: - Hiện nay, có nhiều phương pháp quản lý rủi ro an toàn thông tin đang được áp dụng tùy thuộc vào lĩnh vực hoạt động kinh doanh cụ thể, điển hình như: - COBIT (Control Objectives for Information and Related Technology) o Là một chuẩn quốc tế về quản lý công nghệ thông tin gồm những thực hành (khung) tốt nhất về quản lý công nghệ thông tin do Hiệp hội ISACA xây dựng.
COBIT cung cấp cho các nhà quản lý, những người kiểm tra và những người sử dụng công nghệ thông tin một loạt các phép đo, dụng cụ đo, các quy trình và các hướng dẫn thực hành tốt nhất để giúp họ tăng tối đa lợi nhuận thông qua việc sử dụng công nghệ thông tin và giúp họ quản lý và kiểm soát công nghệ thông tin trong công ty. o Mục đích của CBBiT là “nghiên cứu, phát triển, quảng bá và xúc tiến một tập hợp các mục tiêu kiểm soát công nghệ thông tin được chấp nhận phổ biến để các nhà quản lý doanh nghiệp và những người kiểm tra sử dụng hàng ngày”. o Các lợi ích: Hướng các mục tiêu cuả công nghệ thông tin tới các mục tiêu kinh doanh chung COBIT được công nhận rộng rãi khắp nơi trên thế giới sẽ đem lại danh tiếng và uy tín cho doanh nghiệp, tổ chức áp dụng Nâng cao sự hài lòng cũng như mức độ tin tưởng của khách hàng -6- Tối ưu hóa các lợi ích của công nghệ thông tin trong khi khai thác các nguồn tài nguyên của doanh nghiệp một cách hiệu quả Quản lý hiệu quả các rủi ro liên quan đến công nghệ thông tin o Phiên bản mới nhất COBIT 5 được xây dựng và mở rộng trên COBIT 4.1 bằng các tích hợp các khung, các tiêu chuẩn khác như Val IT 2.0, Risk IT, ITIL và các chuẩn ISO khác, giúp các doanh nghiệp thuộc mọi quy mô có thể: Duy trì thông tin chất lượng cao để hỗ trợ các quyết định kinh doanh Đạt được các mục tiêu chiến lược và nhận ra được các lợi ích kinh doanh thông qua sử dụng hiệu quả và sáng tạo công nghệ thông tin Đạt được sự xuất sắc trong các hoạt động kinh doanh thông qua ứng dụng hiệu quả công nghệ Duy trì các rủi ro liên quan đến công nghệ ở mức chấp nhận được Tối ưu hoác chi phí của các dịch vụ công nghệ thông tin và kỹ thuật Hỗ trợ tuân thủ các luật, quy định, thỏa thuận hợp đồng và chính sách o Quản lý rủi ro trong COBIT 5: Quản lý rủi ro công nghệ thông tin hiệu quả giúp kết quả kinh doanh tốt hơn bằng cách liên kết rủi ro thông tin và rủi ro công nghệ để đạt được các mục tiêu chiến lược của doanh nghiệp. Nguy cơ được định nghĩa là sự kết hợp của xác suất một sự kiện xảy ra và hậu quả của sự kiện đó.
Quản lý rủi ro trong COBIT 5 xem rủi ro công nghệ thông tin như là rủi ro kinh doanh, đặc biệt, các rủi ro kinh doanh liên quan đến việc sử dụng, sở hữu, vận hành, sự tham gia, ảnh hưởng và áp dụng công nghệ thông tin trong doanh nghiệp.
