CHƯƠNG 1. GIỚI THIỆU ISO27001 1. Khái niệm ISO27001 là tiêu chuẩn quốc tế đặc tả cho các hệ thống quản lý ATTT, nó cung cấp một mô hình thống nhất để thiết lập, vận hành, duy trì và cải tiến hệ thống quản lý ATTT. Việc tuân thủ theo ISMS chính là quyết định chiến lược của mỗi tổ chức.
ISO27001 tạo ra một hệ thống theo dõi và duy trì: - Tính bảo mật thông tin. - Tính sẵn có (availability) của thông tin. - Tính tính toàn vẹn (integrity) của thông tin. Trong đó: Tính bảo mật thông tin bao gồm: - Tính bảo mật dữ liệu (Data confidentiality) đảm bảo rằng thông tin hoặc bí mật cá nhân không được cung cấp và tiết lộ cho các cá nhân không có thẩm quyền.
- Tính riêng tư (Privacy) đảm bảo rằng cá nhân kiểm soát và có tác động tới thông tin gì liên quan đến họ được phép thu thập và lưu giữ, và kiểm soát và tác động tới người nào được phép cung cấp thông tin nói trên và cung cấp tới những ai. Tính toàn vẹn thông tin bao gồm: - Tính toàn vẹn dữ liệu (Data integrity) đảm bảo rằng thông tin và chương trình chỉ được thay đổi theo các cách thức quy định và được phép. - Tính toàn vẹn hệ thống (System integrity) đảm bảo rằng hệ thống triển khai các chức năng định sẵn một cách không suy giảm, độc lập đối với các thao tác trái phép cố ý hoặc vô ý. Tính sẵn có đảm bảo rằng hệ thống làm việc nhanh và dịch vụ không bị từ chối LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 7 đối với người dùng được phép.
Vị trí của ISO27001 trong họ ISO270005 Hình 1.1 Vị trí ISO27001 1. Cấu trúc của ISO270014 Tiêu chuẩn ISO27001 có cấu trúc bao gồm 2 phần là “Điều khoản” và “Biện pháp kiểm soát”. Phần “Điều khoản” Phần “Điều khoản” bao gồm 7 điều khoản bắt buộc phải thực thi. Mọi vi phạm đối với từng điều khoản đều được coi là không tuân thủ ISO27001.
- 07 điều khoản chính (từ phần 4 đến phần 10 của Tiêu chuẩn): đưa ra yêu cầu bắt buộc về các công việc cần thực hiện trong việc thiết lập, vận hành, duy trì, giám sát và nâng cấp ISMS của các tổ chức. Bất kỳ vi phạm nào của tổ chức so với các quy định nằm trong 07 điều khoản này đều được coi là không tuân thủ theo tiêu chuẩn: 4 Theo http://antoanthongtin.vn LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 8 Điều khoản 4 - Phạm vi tổ chức: Đưa ra các yêu cầu cụ thể để tổ chức căn cứ trên quy mô, lĩnh vực hoạt động và các yêu cầu, kỳ vọng của các bên liên quan thiết lập phạm vi Hệ thống quản lý ATTT phù hợp. Điều khoản 5 - Lãnh đạo: Quy định các vấn đề về trách nhiệm của Ban lãnh đạo mỗi tổ chức trong ISMS, bao gồm các yêu cầu về sự cam kết, quyết tâm của Ban lãnh đạo trong việc xây dựng và duy trì hệ thống; các yêu cầu về việc cung cấp nguồn lực, tài chính để vận hành hệ thống. Điều khoản 6 - Lập kế hoạch: Tổ chức cần định nghĩa và áp dụng các quy trình đánh giá rủi ro, từ đó đưa ra các quy trình xử lý.
Điều khoản này cũng đưa ra các yêu cầu về việc thiết lập mục tiêu ATTT và kế hoạch để đạt được mục tiêu đó. Điều khoản 7 - Hỗ trợ: yêu cầu đối với việc tổ chức đào tạo, truyền thông, nâng cao nhận thức cho toàn thể cán bộ, nhân viên của tổ chức về lĩnh vực ATTT và ISMS, số hóa thông tin. Điều khoản 8 - Vận hành hệ thống: Tổ chức cần có kế hoạch vận hành và quản lý để đạt được các mục tiêu đã đề ra. Đồng thời cần định kỳ thực hiện đánh giá rủi ro ATTT và có kế hoạch xử lý.
Điều khoản 9 - Đánh giá hiệu năng hệ thống: Quy định trách nhiệm của Ban lãnh đạo trong việc định kỳ xem xét, đánh giá ISMS của tổ chức. Phần này đưa ra yêu cầu đối với mỗi kỳ xem xét hệ thống, đảm bảo đánh giá được toàn bộ hoạt động của hệ thống, đo lường hiệu quả của các biện pháp thực hiện và có kế hoạch khắc phục, nâng cấp hệ thống cho phù hợp với những thay đổi trong hoạt động của tổ chức. Điều khoản 10 - Cải tiến hệ thống: Giữ vững nguyên tắc Kế hoạch - Thực hiện - Kiểm tra - Hành động (P-D-C-A), tiêu chuẩn cũng đưa ra các yêu cầu đảm bảo ISMS không ngừng được cải tiến trong quá trình hoạt động. Gồm các quy định trong việc áp dụng các chính sách mới, các hoạt động khắc phục, phòng ngừa các điểm yếu đã xảy ra và tiềm tàng để đảm bảo hiệu quả của ISMS.
Phần “Biện pháp kiểm soát” Các mục tiêu và biện pháp kiểm soát: đưa ra 14 lĩnh vực kiểm soát với 35 mục tiêu kiểm soát (ứng với 114 biện pháp kiểm soát) nhằm cụ thể hóa các vấn đề mà tổ chức cần xem xét, thực hiện khi xây dựng và duy trì ISMS. Các lĩnh vực LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 9 đưa ra xem xét bao gồm từ chính sách của lãnh đạo tổ chức, tới việc đảm bảo ATTT trong quản lý tài sản, nhân sự, các nguyên tắc căn bản để đảm bảo ATTT trong việc vận hành, phát triển, duy trì các hệ thống CNTT… LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 10 STT Các lĩnh vực kiểm soát trong ISO27001 5 Chính sách ATTT Mục tiêu: Để cung cấp hướng quản lý và hỗ trợ an ninh thông tin theo những yêu cầu của doanh nghiệp, những điều luật và những quy định liên quan. Các mục tiêu kiểm soát: - Chính sách an ninh thông tin. - Soát xét chính sách an ninh thông tin.
6 ATTT trong tổ chức - Tổ chức nội bộ: Thiết lập một hệ thống quản lý để bắt đầu và kiểm soát sự thực hiện và các hoạt động liên quan đến an ninh thông tin trong tổ chức. - Các thiết bị di động và làm việc từ xa: Để đảm bảo an toàn trong việc làm việc từ xa và an toàn trong việc sử dụng thiết bị di động. Các mục tiêu kiểm soát: - Vai trò và trách nhiệm liên quan đến an ninh thông tin. - Sự phân chia trách nhiệm.
- Liên lạc với các bên liên quan. - Liên lạc với nhóm có những lợi ích đặc biệt. - An ninh thông tin trong quản lý dự án. - Chính sách thiết bị di động.
- Làm việc từ xa. 7 ATTT nhân sự - Trước khi làm việc: Để đảm bảo rằng những nhân viên và nhà thầu LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 11 hiểu rõ được trách nhiệm và phù hợp với vai trò họ được đảm nhiệm. - Trong quá trình làm việc: Để đảm bảo rằng những nhân viên và nhà thầu hiểu và thực hiện trách nhiệm của họ liên quan đến an ninh thông tin. - Chấm dứt và thay đổi nhân sự: Để bảo vệ lợi ích của tổ chức khi thay đổi hay chấm dứt hợp đồng nhân viên.
Các mục tiêu kiểm soát: - Screening. - Điều khoản và điều kiện làm việc. - Trách nhiệm trong việc quản lý. - Nhận thức, giáo dục và đào tạo an ninh thông tin.
- Quy trình kỷ luật. - Chấm dứt hoặc thay đổi trách nhiệm công việc. 8 Quản lý tài sản - Trách nhiệm đối với tài sản: Để xác định tài sản của tổ chức và xác định trách nhiệm bảo vệ phù hợp. - Phân loại thông tin: Để đảm bảo rằng thông tin nhận được mức bảo vệ phù hợp phù hợp với tầm quan trọng của nó đối với tổ chức.
- Xử lý media: Để tránh việc tiết lộ, chỉnh sửa, xóa hay hủy bỏ thông tin được lưu trữ trên các phương tiện, thiết bị lưu trữ một cách không được phép. Các mục tiêu kiểm soát: - Kiểm kê tài sản. - Quyền sở hữu tài sản. - Chấp nhận sử dụng tài sản.
LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 12 - Trả lại tài sản. - Phân loại thông tin. - Đánh nhãn thông tin. - Xử lý tài sản.
- Quản lý các phương tiện, thiết bị di dời được. - Tiết lộ thông tin. - Vận chuyển phương tiện, thiết bị vật lý 9 Kiểm soát truy nhập - Yêu cầu của doanh nghiệp trong việc kiểm soát truy cập: Để giới hạn truy cập đến thông tin và thiết bị xử lý thông tin. - Quản lý truy cập người dùng: Để đảm bảo truy cập người dùng hợp pháp và ngăn chặn việc truy cập vào hệ thống và dịch vụ một cách bất hợp pháp.
- Trách nhiệm người dùng: Để người dùng có trách nhiệm bảo vệ thông tin đã được xác thực của họ. - Kiểm soát truy cập hệ thống và ứng dụng: Để ngăn chặn truy cập trái phép vào hệ thống và ứng dụng. Các mục tiêu kiểm soát: - Chính sách kiểm soát truy cập. - Truy cập đến mạng và các dịch vụ mạng.
- Đăng ký và hủy đăng ký người dùng - Truy cập người dùng. - Quản lý quyền truy cập đặc quyền LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 13 - Quản lý thông tin bảo mật của người dùng. - Soát xét quyền truy cập người dùng. - Hủy bỏ hoặc điều chỉnh quyền truy cập.
- Sử dụng thông tin bảo mật. - Giới hạn truy cập thông tin. - Quy trình đăng nhập bảo mật. - Hệ thống quản lý mật khẩu.
- Sử dụng các chương trình tiện ích. - Kiểm soát truy cập đến mã nguồn chương trình. 10 Mật mã / Mã hóa Đảm bảo mã hóa đúng và hiệu quả để đảm bảo tính bí mật, xác thực và/hoặc toàn vẹn của thông tin. Các mục tiêu kiểm soát: - Chính sách về kiểm soát mã hóa.
11 ATTT vật lý và nơi làm việc - Phạm vi an toàn: Để tránh truy cập vật lý, gây thiệt hại và can dự trái phép vào thông tin và thiết bị xử lý thông tin của tổ chức. - Thiết bị: Ngăn chặn sự mất mát, thiệt hại, trộm cắp tài sản à sự gián đoạn hoạt động của tổ chức. Các mục tiêu kiểm soát: - Chu vi an ninh vật lý. LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 14 - Kiểm soát lối vào vật lý.
- Bảo vệ tòa nhà, văn phòng và các thiết bị. - Bảo vệ chống lại các mối đe dọa từ bên ngoài và môi trường. - Làm việc trong khu vực an toàn. - Đặt và bảo vệ thiết bị.
- Các tiện ích hỗ trợ. - Bảo trì thiết bị. - Hủy bỏ tài sản. - Hủy bỏ hoặc tái sử dụng an toàn thiết bị.
- Thiết bị tự động. - Chính sách bàn làm việc và màn hình máy tính sạch.