Luận văn thạc sĩ xây dựng quy trình bảo đảm an toàn thông tin theo chuẩn iso27001 cho các doanh nghiệp vừa và nhỏ tại việt nam luận văn ths máy tính 60 48 01

Luận văn thạc sĩ nghiên cứu xây dựng quy trình bảo đảm an toàn thông tin theo chuẩn iso27001 cho các doanh nghiệp vừa và nhỏ, đánh giá hiện trạng, phân tích vấn đề, đề xuất biện

• Tác giả: Trần Kiên
• Người hướng dẫn: TS. Bùi Quang Hưng
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Quy Trình Bảo Đảm An Toàn Thông Tin ISO27001 Cho Doanh Nghiệp Vừa Và Nhỏ Tại Việt Nam
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2017
• Địa điểm: Hà Nội

Tóm tắt

I. Tổng Quan ISO 27001 Bảo Mật Thông Tin Cho Doanh Nghiệp

Trong bối cảnh nguy cơ an ninh mạng gia tăng tại Việt Nam, việc áp dụng tiêu chuẩn ISO 27001 cho doanh nghiệp vừa và nhỏ trở nên cấp thiết. Tiêu chuẩn này cung cấp một khuôn khổ toàn diện để quản lý rủi ro an ninh mạng và bảo vệ tài sản thông tin. Việc tuân thủ ISO/IEC 27001 không chỉ giúp doanh nghiệp nâng cao khả năng phòng vệ mà còn tạo dựng niềm tin với khách hàng và đối tác. Bài viết này sẽ đi sâu vào quy trình triển khai ISO 27001 một cách hiệu quả và phù hợp với đặc thù của các doanh nghiệp vừa và nhỏ (SME) tại Việt Nam. Theo báo cáo của VNCERT, số lượng các vụ việc mất an toàn thông tin (ATTT) ngày càng tăng, đòi hỏi các doanh nghiệp phải chủ động xây dựng hệ thống bảo vệ vững chắc.

1.1. Định Nghĩa và Phạm Vi Tiêu Chuẩn ISO 27001

ISO 27001 là một tiêu chuẩn quốc tế quy định các yêu cầu đối với một Hệ thống Quản lý An toàn Thông tin (ISMS). Nó bao gồm các chính sách, quy trình, thủ tục và biện pháp kiểm soát vật lý và kỹ thuật để bảo vệ thông tin khỏi các mối đe dọa. Mục tiêu chính của ISO 27001 là bảo đảm tính bảo mật, tính toàn vẹn và tính sẵn sàng của thông tin. ISO 27001 cung cấp một mô hình thống nhất để thiết lập, vận hành, duy trì và cải tiến hệ thống quản lý ATTT. Việc tuân thủ theo ISMS chính là quyết định chiến lược của mỗi tổ chức.

1.2. Lợi ích Khi Triển Khai ISO 27001 Cho SME Việt Nam

Việc triển khai ISO 27001 mang lại nhiều lợi ích thiết thực cho các doanh nghiệp vừa và nhỏ (SME) tại Việt Nam. Bao gồm: Nâng cao an ninh mạng, Giảm thiểu rủi ro an ninh mạng, bảo vệ thông tin của tổ chức, khách hàng và đối tác. Nhân viên tuân thủ và có thói quen đảm bảo ATTT. Hoạt động đảm bảo ATTT luôn được duy trì và cải tiến. Hoạt động nghiệp vụ trọng yếu của tổ chức không bị gián đoạn. Nâng cao uy tín của tổ chức, tăng sức mạnh cạnh tranh. ISO 27001 giúp doanh nghiệp tuân thủ các quy định pháp luật về bảo vệ dữ liệu cá nhân.

II. Thách Thức Áp Dụng ISO 27001 Vượt Rào Cản Cho SME

Mặc dù lợi ích rõ ràng, việc triển khai ISO 27001 cho các doanh nghiệp vừa và nhỏ (SME) tại Việt Nam gặp nhiều thách thức. Các thách thức bao gồm: Thiếu nguồn lực tài chính và nhân sự. Nhận thức hạn chế về tầm quan trọng của an toàn thông tin. Khó khăn trong việc xác định và đánh giá rủi ro an ninh mạng. Chi phí đầu tư ban đầu lớn cho tư vấn, đào tạo và triển khai hệ thống. Sự phức tạp của tiêu chuẩn và quy trình đánh giá chứng nhận. Các SME thường có xu hướng tập trung vào các hoạt động kinh doanh cốt lõi và xem nhẹ vấn đề an toàn thông tin.

2.1. Chi Phí Triển Khai và Duy Trì Hệ Thống ISO 27001

Chi phí triển khai ISO 27001 có thể là một gánh nặng lớn đối với các doanh nghiệp vừa và nhỏ (SME). Chi phí này bao gồm: Chi phí tư vấn, Chi phí đào tạo nhân viên, Chi phí mua sắm phần mềm và thiết bị bảo mật, Chi phí đánh giá chứng nhận, Chi phí duy trì hệ thống (cập nhật, bảo trì). Các SME cần cân nhắc kỹ lưỡng các chi phí này và tìm kiếm các giải pháp tiết kiệm chi phí, như sử dụng phần mềm mã nguồn mở hoặc thuê ngoài dịch vụ tư vấn an ninh mạng.

2.2. Nguồn Lực Hạn Chế Và Thiếu Chuyên Gia An Ninh Mạng

Các doanh nghiệp vừa và nhỏ (SME) thường gặp khó khăn trong việc tìm kiếm và tuyển dụng các chuyên gia an ninh mạng có kinh nghiệm. Ngoài ra, việc đào tạo nhân viên hiện có về an toàn thông tin cũng đòi hỏi thời gian và chi phí đáng kể. Do đó, các SME có thể xem xét việc thuê ngoài các dịch vụ an ninh mạng hoặc hợp tác với các công ty tư vấn an ninh mạng để được hỗ trợ chuyên môn.

2.3. Thiếu Nhận Thức và Cam Kết Từ Ban Lãnh Đạo

Sự thành công của việc triển khai ISO 27001 phụ thuộc rất lớn vào sự cam kết và hỗ trợ từ ban lãnh đạo. Nếu ban lãnh đạo không nhận thức được tầm quan trọng của an toàn thông tin và không sẵn sàng đầu tư nguồn lực cho việc này, thì việc triển khai ISO 27001 sẽ gặp nhiều khó khăn và có thể thất bại. Ban lãnh đạo cần thể hiện vai trò tiên phong trong việc xây dựng văn hóa an toàn thông tin trong tổ chức.

III. Hướng Dẫn Chi Tiết Quy Trình Triển Khai ISO 27001 Hiệu Quả

Để vượt qua các thách thức, các doanh nghiệp vừa và nhỏ (SME) cần áp dụng quy trình triển khai ISO 27001 một cách bài bản và phù hợp với điều kiện thực tế. Quy trình này bao gồm các bước chính sau: Xác định phạm vi ISMS, Đánh giá rủi ro an ninh mạng, Lựa chọn biện pháp kiểm soát, Xây dựng và triển khai chính sách và thủ tục, Đào tạo nhân viên, Kiểm tra và đánh giá định kỳ, Cải tiến liên tục. Việc tuân thủ nghiêm ngặt quy trình này sẽ giúp các SME xây dựng một hệ thống an ninh mạng vững chắc và đáp ứng các yêu cầu của ISO 27001.

3.1. Xác Định Phạm Vi Hệ Thống Quản Lý An Toàn Thông Tin

Bước đầu tiên là xác định phạm vi của Hệ thống Quản lý An toàn Thông tin (ISMS). Phạm vi này cần bao gồm các tài sản thông tin quan trọng cần được bảo vệ, các quy trình và hoạt động kinh doanh liên quan, và các địa điểm và con người tham gia vào hệ thống. Việc xác định phạm vi ISMS giúp doanh nghiệp tập trung nguồn lực vào những khu vực quan trọng nhất và tránh lãng phí vào những khu vực ít quan trọng hơn. Điều khoản 4 của ISO 27001 quy định rõ các yêu cầu về xác định phạm vi tổ chức.

3.2. Thực Hiện Đánh Giá Rủi Ro An Ninh Mạng Chi Tiết

Đánh giá rủi ro an ninh mạng là một bước quan trọng trong quy trình triển khai ISO 27001. Bước này bao gồm việc xác định các mối đe dọa và lỗ hổng bảo mật có thể ảnh hưởng đến tài sản thông tin, đánh giá khả năng xảy ra và mức độ nghiêm trọng của các rủi ro, và xác định các biện pháp kiểm soát cần thiết để giảm thiểu rủi ro. Việc đánh giá rủi ro cần được thực hiện định kỳ và cập nhật khi có sự thay đổi về môi trường kinh doanh hoặc công nghệ.

3.3. Xây Dựng Chính Sách An Toàn Thông Tin Rõ Ràng

Việc xây dựng và ban hành một chính sách an toàn thông tin rõ ràng là yếu tố then chốt để đảm bảo sự tuân thủ và nhận thức về an toàn thông tin trong toàn tổ chức. Chính sách này cần mô tả các nguyên tắc, quy tắc và trách nhiệm liên quan đến an toàn thông tin, và cần được truyền đạt và đào tạo cho tất cả nhân viên. Chính sách cần bao gồm quy trình về quản lý source code, các bản mềm tài liệu. Các chính sách nên được rà soát và cập nhật định kỳ để phù hợp với bối cảnh mới.

IV. Biện Pháp Kiểm Soát An Ninh Bảo Vệ Dữ Liệu Theo ISO 27001

Sau khi đánh giá rủi ro, các doanh nghiệp vừa và nhỏ (SME) cần lựa chọn và triển khai các biện pháp kiểm soát phù hợp để giảm thiểu rủi ro. ISO 27001 cung cấp một danh sách các biện pháp kiểm soát tham khảo trong Phụ lục A, bao gồm các biện pháp kiểm soát kỹ thuật (ví dụ: tường lửa, phần mềm diệt virus, mã hóa) và các biện pháp kiểm soát quản lý (ví dụ: chính sách mật khẩu, kiểm soát truy cập, đào tạo nhân viên). Các SME cần lựa chọn các biện pháp kiểm soát phù hợp với rủi ro và nguồn lực của mình.

4.1. Triển Khai Kiểm Soát Truy Cập và Quản Lý Danh Tính

Kiểm soát truy cập và quản lý danh tính là các biện pháp quan trọng để ngăn chặn truy cập trái phép vào hệ thống và dữ liệu. Các biện pháp này bao gồm: Xác thực người dùng bằng mật khẩu mạnh hoặc xác thực đa yếu tố, Phân quyền truy cập dựa trên vai trò và trách nhiệm, Giám sát và ghi nhật ký hoạt động truy cập, Thu hồi quyền truy cập khi nhân viên rời khỏi công ty. Cần có quy trình về giáo dục nhận thức, đào tạo về an toàn thông tin.

4.2. Thiết Lập Hệ Thống Giám Sát và Phát Hiện Xâm Nhập

Hệ thống giám sát và phát hiện xâm nhập giúp doanh nghiệp phát hiện và ứng phó kịp thời với các cuộc tấn công an ninh mạng. Hệ thống này bao gồm: Giám sát lưu lượng mạng, Phân tích nhật ký hệ thống, Phát hiện các hành vi bất thường, Thông báo cho nhân viên an ninh mạng khi có sự cố xảy ra. Các biện pháp hành động phòng ngừa đối với hệ thống quản lý an toàn thông tin cũng cần được thiết lập.

V. Đánh Giá và Duy Trì Đảm Bảo Hiệu Quả Hệ Thống ISO 27001

Việc đánh giá và duy trì hệ thống ISO 27001 là rất quan trọng để đảm bảo hiệu quả lâu dài của hệ thống. Các doanh nghiệp vừa và nhỏ (SME) cần thực hiện kiểm tra và đánh giá định kỳ để xác định các điểm yếu và lỗ hổng bảo mật, cập nhật các biện pháp kiểm soát cho phù hợp với các mối đe dọa mới, và cải tiến liên tục hệ thống an ninh mạng. Việc đánh giá có thể được thực hiện bởi các chuyên gia tư vấn an ninh mạng bên ngoài hoặc bởi nhân viên an ninh mạng nội bộ.

5.1. Thực Hiện Kiểm Toán Nội Bộ Và Bên Ngoài Định Kỳ

Kiểm toán nội bộ và bên ngoài giúp doanh nghiệp đánh giá tính hiệu quả của hệ thống ISO 27001 và xác định các khu vực cần cải thiện. Kiểm toán nội bộ được thực hiện bởi nhân viên nội bộ, trong khi kiểm toán bên ngoài được thực hiện bởi các tổ chức chứng nhận độc lập. Báo cáo đánh giá an toàn thông tin cần được cập nhật định kỳ.

5.2. Cải Tiến Liên Tục Dựa Trên Kết Quả Đánh Giá

Dựa trên kết quả đánh giá, các doanh nghiệp vừa và nhỏ (SME) cần thực hiện các hành động khắc phục và phòng ngừa để cải tiến liên tục hệ thống an ninh mạng. Việc này bao gồm: Sửa chữa các lỗ hổng bảo mật, Cập nhật các biện pháp kiểm soát, Đào tạo lại nhân viên, Điều chỉnh chính sách và thủ tục.

VI. Tương Lai ISO 27001 Tại Việt Nam Cơ Hội Cho Doanh Nghiệp

Với sự gia tăng của các mối đe dọa an ninh mạng và yêu cầu ngày càng cao về bảo vệ dữ liệu cá nhân, ISO 27001 sẽ ngày càng trở nên quan trọng đối với các doanh nghiệp vừa và nhỏ (SME) tại Việt Nam. Việc áp dụng ISO 27001 không chỉ giúp doanh nghiệp bảo vệ tài sản thông tin mà còn tạo dựng lợi thế cạnh tranh và nâng cao uy tín trên thị trường. Chính phủ Việt Nam cũng đang khuyến khích các doanh nghiệp áp dụng các tiêu chuẩn an ninh mạng quốc tế, tạo cơ hội cho các doanh nghiệp tiên phong trong lĩnh vực này.

6.1. Xu Hướng Áp Dụng ISO 27001 Tại Thị Trường Việt Nam

Số lượng doanh nghiệp Việt Nam áp dụng ISO 27001 dự kiến sẽ tăng trong những năm tới, do sự gia tăng của các mối đe dọa an ninh mạng và yêu cầu ngày càng cao về bảo vệ dữ liệu cá nhân. Các doanh nghiệp hoạt động trong các lĩnh vực như tài chính, ngân hàng, công nghệ thông tin, và thương mại điện tử sẽ là những đối tượng chính áp dụng ISO 27001.

6.2. Chính Sách Hỗ Trợ Doanh Nghiệp Triển Khai ISO 27001

Chính phủ Việt Nam có thể xem xét các chính sách hỗ trợ doanh nghiệp triển khai ISO 27001, như: Cung cấp các khoản vay ưu đãi, Hỗ trợ chi phí tư vấn và đào tạo, Tổ chức các hội thảo và khóa đào tạo về ISO 27001, Xây dựng các tiêu chuẩn và hướng dẫn áp dụng ISO 27001 phù hợp với đặc thù của doanh nghiệp Việt Nam.

Trích đoạn nội dung tài liệu

Chương 1: Giới thiệu ISO27001 Chương này sẽ tập trung giới thiệu khái niệm ISO27001, cấu trúc, nội dung, các điều khoản phải tuân thủ khi áp dụng ISO27001. - Chương 2: Khảo sát doanh nghiệp SME cụ thể về bảo đảm an toàn thông tin tướng Chính phủ với doanh nghiệp (LUAN.01 TIEU LUAN MOI download : skknchat@gmail.01 5 Chương này sẽ chọn ra một doanh nghiệp SME tiêu biểu trong việc đảm bảo an toàn thông tin, giới thiệu về cơ cấu tổ chức, nhân sự, lĩnh vực hoạt động kinh doanh… cũng như yêu cầu đảm bảo an toàn thông tin của các bên liên quan. Sau đó sẽ tiến hành khảo sát về thực trạng bảo đảm an toàn thông tin của doanh nghiệp SME đã lựa chọn dựa trên việc liệt kê các tài sản của doanh nghiệp, phân tích các rủi ro, các nguy cơ và đưa ra các biện pháp kiểm soát. - Chương 3: Đề xuất bộ quy trình cho doanh nghiệp SME đã lựa chọn Sau khi tiến hành khảo sát doanh nghiệp SME đã lựa chọn ở chương 2, chương này sẽ đề xuất xây dựng quy trình, chính sách, biện pháp, thủ tục… để đảm bảo an toàn thông tin, giải quyết các vấn đề liên quan đến an toàn thông tin mà doanh nghiệp trên gặp phải theo chuẩn ISO27001.

- Chương 4: Kết luận Sau khi đề xuất, xây dựng bộ quy trình ở chương 3, chương này sẽ đánh giá những mặt được và mặt chưa được của bộ quy trình đã xây dựng được. Sau đó sẽ tiến hành đề xuất những hướng phát triển tiếp theo của luận văn, đó là tiếp tục tìm hiểu các doanh nghiệp vừa và nhỏ đặc trưng khác trong việc bảo đảm an toàn thông tin, rút ra những nét đặc trưng để xây dựng một nền tảng quy trình chung, với mục đích đóng góp một phần công sức cho các doanh nghiệp vừa và nhỏ tại Việt Nam trong việc đảm bảo an toàn thông tin, một vấn đề khá nhức nhối hiện nay.01 TIEU LUAN MOI download : skknchat@gmail. GIỚI THIỆU ISO27001 1. Khái niệm ISO27001 là tiêu chuẩn quốc tế đặc tả cho các hệ thống quản lý ATTT, nó cung cấp một mô hình thống nhất để thiết lập, vận hành, duy trì và cải tiến hệ thống quản lý ATTT.

Việc tuân thủ theo ISMS chính là quyết định chiến lược của mỗi tổ chức. ISO27001 tạo ra một hệ thống theo dõi và duy trì: - Tính bảo mật thông tin. - Tính sẵn có (availability) của thông tin. - Tính tính toàn vẹn (integrity) của thông tin.

Trong đó: Tính bảo mật thông tin bao gồm: - Tính bảo mật dữ liệu (Data confidentiality) đảm bảo rằng thông tin hoặc bí mật cá nhân không được cung cấp và tiết lộ cho các cá nhân không có thẩm quyền. - Tính riêng tư (Privacy) đảm bảo rằng cá nhân kiểm soát và có tác động tới thông tin gì liên quan đến họ được phép thu thập và lưu giữ, và kiểm soát và tác động tới người nào được phép cung cấp thông tin nói trên và cung cấp tới những ai. Tính toàn vẹn thông tin bao gồm: - Tính toàn vẹn dữ liệu (Data integrity) đảm bảo rằng thông tin và chương trình chỉ được thay đổi theo các cách thức quy định và được phép. - Tính toàn vẹn hệ thống (System integrity) đảm bảo rằng hệ thống triển khai các chức năng định sẵn một cách không suy giảm, độc lập đối với các thao tác trái phép cố ý hoặc vô ý.

Tính sẵn có đảm bảo rằng hệ thống làm việc nhanh và dịch vụ không bị từ chối (LUAN.01 TIEU LUAN MOI download : skknchat@gmail.01 7 đối với người dùng được phép. Vị trí của ISO27001 trong họ ISO270005 Hình 1.1 Vị trí ISO27001 1. Cấu trúc của ISO270014 Tiêu chuẩn ISO27001 có cấu trúc bao gồm 2 phần là “Điều khoản” và “Biện pháp kiểm soát”. Phần “Điều khoản” Phần “Điều khoản” bao gồm 7 điều khoản bắt buộc phải thực thi.

Mọi vi phạm đối với từng điều khoản đều được coi là không tuân thủ ISO27001. - 07 điều khoản chính (từ phần 4 đến phần 10 của Tiêu chuẩn): đưa ra yêu cầu bắt buộc về các công việc cần thực hiện trong việc thiết lập, vận hành, duy trì, giám sát và nâng cấp ISMS của các tổ chức. Bất kỳ vi phạm nào của tổ chức so với các quy định nằm trong 07 điều khoản này đều được coi là không tuân thủ theo tiêu chuẩn: 4 Theo http://antoanthongtin.01 TIEU LUAN MOI download : skknchat@gmail.01 8 Điều khoản 4 - Phạm vi tổ chức: Đưa ra các yêu cầu cụ thể để tổ chức căn cứ trên quy mô, lĩnh vực hoạt động và các yêu cầu, kỳ vọng của các bên liên quan thiết lập phạm vi Hệ thống quản lý ATTT phù hợp. Điều khoản 5 - Lãnh đạo: Quy định các vấn đề về trách nhiệm của Ban lãnh đạo mỗi tổ chức trong ISMS, bao gồm các yêu cầu về sự cam kết, quyết tâm của Ban lãnh đạo trong việc xây dựng và duy trì hệ thống; các yêu cầu về việc cung cấp nguồn lực, tài chính để vận hành hệ thống.

Điều khoản 6 - Lập kế hoạch: Tổ chức cần định nghĩa và áp dụng các quy trình đánh giá rủi ro, từ đó đưa ra các quy trình xử lý. Điều khoản này cũng đưa ra các yêu cầu về việc thiết lập mục tiêu ATTT và kế hoạch để đạt được mục tiêu đó. Điều khoản 7 - Hỗ trợ: yêu cầu đối với việc tổ chức đào tạo, truyền thông, nâng cao nhận thức cho toàn thể cán bộ, nhân viên của tổ chức về lĩnh vực ATTT và ISMS, số hóa thông tin. Điều khoản 8 - Vận hành hệ thống: Tổ chức cần có kế hoạch vận hành và quản lý để đạt được các mục tiêu đã đề ra.

Đồng thời cần định kỳ thực hiện đánh giá rủi ro ATTT và có kế hoạch xử lý. Điều khoản 9 - Đánh giá hiệu năng hệ thống: Quy định trách nhiệm của Ban lãnh đạo trong việc định kỳ xem xét, đánh giá ISMS của tổ chức. Phần này đưa ra yêu cầu đối với mỗi kỳ xem xét hệ thống, đảm bảo đánh giá được toàn bộ hoạt động của hệ thống, đo lường hiệu quả của các biện pháp thực hiện và có kế hoạch khắc phục, nâng cấp hệ thống cho phù hợp với những thay đổi trong hoạt động của tổ chức. Điều khoản 10 - Cải tiến hệ thống: Giữ vững nguyên tắc Kế hoạch - Thực hiện - Kiểm tra - Hành động (P-D-C-A), tiêu chuẩn cũng đưa ra các yêu cầu đảm bảo ISMS không ngừng được cải tiến trong quá trình hoạt động.

Gồm các quy định trong việc áp dụng các chính sách mới, các hoạt động khắc phục, phòng ngừa các điểm yếu đã xảy ra và tiềm tàng để đảm bảo hiệu quả của ISMS. Phần “Biện pháp kiểm soát” Các mục tiêu và biện pháp kiểm soát: đưa ra 14 lĩnh vực kiểm soát với 35 mục tiêu kiểm soát (ứng với 114 biện pháp kiểm soát) nhằm cụ thể hóa các vấn đề mà tổ chức cần xem xét, thực hiện khi xây dựng và duy trì ISMS. Các lĩnh vực (LUAN.01 TIEU LUAN MOI download : skknchat@gmail.01 9 đưa ra xem xét bao gồm từ chính sách của lãnh đạo tổ chức, tới việc đảm bảo ATTT trong quản lý tài sản, nhân sự, các nguyên tắc căn bản để đảm bảo ATTT trong việc vận hành, phát triển, duy trì các hệ thống CNTT… (LUAN.01 TIEU LUAN MOI download : skknchat@gmail.01 10 STT Các lĩnh vực kiểm soát trong ISO27001 5 Chính sách ATTT Mục tiêu: Để cung cấp hướng quản lý và hỗ trợ an ninh thông tin theo những yêu cầu của doanh nghiệp, những điều luật và những quy định liên quan. Các mục tiêu kiểm soát: - Chính sách an ninh thông tin.

- Soát xét chính sách an ninh thông tin. 6 ATTT trong tổ chức - Tổ chức nội bộ: Thiết lập một hệ thống quản lý để bắt đầu và kiểm soát sự thực hiện và các hoạt động liên quan đến an ninh thông tin trong tổ chức. - Các thiết bị di động và làm việc từ xa: Để đảm bảo an toàn trong việc làm việc từ xa và an toàn trong việc sử dụng thiết bị di động. Các mục tiêu kiểm soát: - Vai trò và trách nhiệm liên quan đến an ninh thông tin.

- Sự phân chia trách nhiệm. - Liên lạc với các bên liên quan. - Liên lạc với nhóm có những lợi ích đặc biệt. - An ninh thông tin trong quản lý dự án.

- Chính sách thiết bị di động. - Làm việc từ xa. 7 ATTT nhân sự - Trước khi làm việc: Để đảm bảo rằng những nhân viên và nhà thầu (LUAN.01 TIEU LUAN MOI download : skknchat@gmail.01 11 hiểu rõ được trách nhiệm và phù hợp với vai trò họ được đảm nhiệm. - Trong quá trình làm việc: Để đảm bảo rằng những nhân viên và nhà thầu hiểu và thực hiện trách nhiệm của họ liên quan đến an ninh thông tin.

- Chấm dứt và thay đổi nhân sự: Để bảo vệ lợi ích của tổ chức khi thay đổi hay chấm dứt hợp đồng nhân viên. Các mục tiêu kiểm soát: - Screening. - Điều khoản và điều kiện làm việc. - Trách nhiệm trong việc quản lý.

- Nhận thức, giáo dục và đào tạo an ninh thông tin. - Quy trình kỷ luật. - Chấm dứt hoặc thay đổi trách nhiệm công việc. 8 Quản lý tài sản - Trách nhiệm đối với tài sản: Để xác định tài sản của tổ chức và xác định trách nhiệm bảo vệ phù hợp.

- Phân loại thông tin: Để đảm bảo rằng thông tin nhận được mức bảo vệ phù hợp phù hợp với tầm quan trọng của nó đối với tổ chức. - Xử lý media: Để tránh việc tiết lộ, chỉnh sửa, xóa hay hủy bỏ thông tin được lưu trữ trên các phương tiện, thiết bị lưu trữ một cách không được phép. Các mục tiêu kiểm soát: - Kiểm kê tài sản. - Quyền sở hữu tài sản.

- Chấp nhận sử dụng tài sản.01 TIEU LUAN MOI download : skknchat@gmail.01 12 - Trả lại tài sản. - Phân loại thông tin. - Đánh nhãn thông tin. - Xử lý tài sản.

- Quản lý các phương tiện, thiết bị di dời được. - Tiết lộ thông tin. - Vận chuyển phương tiện, thiết bị vật lý 9 Kiểm soát truy nhập - Yêu cầu của doanh nghiệp trong việc kiểm soát truy cập: Để giới hạn truy cập đến thông tin và thiết bị xử lý thông tin. - Quản lý truy cập người dùng: Để đảm bảo truy cập người dùng hợp pháp và ngăn chặn việc truy cập vào hệ thống và dịch vụ một cách bất hợp pháp.

- Trách nhiệm người dùng: Để người dùng có trách nhiệm bảo vệ thông tin đã được xác thực của họ. - Kiểm soát truy cập hệ thống và ứng dụng: Để ngăn chặn truy cập trái phép vào hệ thống và ứng dụng. Các mục tiêu kiểm soát: - Chính sách kiểm soát truy cập.