CHƯƠNG 1: TỔNG QUAN VỀ AN TOÀN THÔNG TIN, ĐÁNH GIÁ AN TOÀN THÔNG TIN 1. An toàn thông tin 1. Một số khái niệm Định nghĩa của an toàn thông tin được nêu ra từ nhiều nguồn khác nhau, chúng ta có thể hiểu theo khái niệm sau: An toàn thông tin là hành động ngăn cản, phòng ngừa sử dụng, truy cập, tiết lộ, chia sẻ, phát tán, ghi lại hoặc phá hủy thông tin chưa có sự cho phép. Theo điều 3 – Luật an toàn thông tin mạng 2015, an toàn thông tin mạng là sự bảo vệ thông tin, hệ thống thông tin trên mạng tránh bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi hoặc phá hoại trái phép nhằm bảo đảm tính nguyên vẹn, tính bảo mật và tính khả dụng của thông tin.
Những nguyên tắc cơ bản an toàn thông tin Để có thể xây dựng được hệ thống an toàn thông tin trong doanh nghiệp, cơ quan nhà nước một cách hiệu quả nhất thì phải hiểu về mục tiêu và những nguyên tắc cơ bản khi xây dựng hệ thống an toàn thông tin trong doanh nghiệp. Mục tiêu để xây dựng một hệ thống an toàn thông tin phải đảm bảo nguyên tắc cơ bản sau: Tính Bảo mật: Đảm bảo thông tin đó là duy nhất, những người muốn tiếp cận phải được phân quyền truy cập. Tính Toàn vẹn: Bảo vệ sự hoàn chỉnh toàn diện cho hệ thống thông tin. Tính luôn sẵn sàng: Việc bảo mật thông tin luôn phải sẵn sàng, có thể thực hiện bất cứ đâu, bất cứ khi nào.
Tính chính xác: Thông tin đưa ra phải chính xác, đầy đủ, không được sai lệch hay không được vi phạm bản quyền nội dung. Đánh giá an toàn thông tin Trong thực tế, đánh giá an toàn thông tin là đánh giá mức độ an toàn của các tài nguyên trong hệ thống thông tin. Chất lượng ATTT phải được đánh giá trên toàn bộ các yếu tố đảm bảo tính an toàn cho hệ thống từ tổ chức, con người, an ninh vật lý, quản lý tài nguyên … đến việc sử dụng các công cụ kỹ thuật. Nói cách khác, 16 chất lượng ATTT được đánh giá trên cơ sở thực thi các chính sách về ATTT trong hệ thống.
Các chính sách này được chuẩn hoá và được công nhận là các tiêu chuẩn về ATTT áp dụng trên phạm vi toàn thế giới. Trong phạm vi nghiên cứu của luận văn, tác giả muốn đề cập đến phương thức đánh giá an toàn thông tin là xác định được cấp độ an toàn của các HTTT. Phương pháp tiếp cận xác định cấp độ an toàn của HTTT là dựa vào thông tin mà hệ thống đó trực tiếp tạo lập, xử lý, quản lý và bảo vệ. Phân loại cấp độ an toàn HTTT Theo điều 21 – Luật an toàn thông tin mang 2015, cấp độ an toàn HTTT có thể được chia làm 5 cấp, xác định dựa vào mức độ tổn hại tới quyền và lợi ích hợp pháp của tổ chức, cá nhân; trật tự an toàn xã hội, lợi ích công cộng; an ninh, quốc phòng của đất nước khi hệ thống bị mất an toàn thông tin như sau: Cấp độ 1 là cấp độ mà khi bị phá hoại sẽ làm tổn hại tới quyền và lợi ích hợp pháp của tổ chức, cá nhân nhưng không làm tổn hại tới lợi ích công cộng, trật tự, an toàn xã hội, quốc phòng, an ninh quốc gia.
Cấp độ 2 là cấp độ mà khi bị phá hoại sẽ làm tổn hại nghiêm trọng tới quyền và lợi ích hợp pháp của tổ chức, cá nhân hoặc làm tổn hại tới lợi ích công cộng nhưng không làm tổn hại tới trật tự, an toàn xã hội, quốc phòng, an ninh quốc gia. Cấp độ 3 là cấp độ mà khi bị phá hoại sẽ làm tổn hại nghiêm trọng tới sản xuất, lợi ích công cộng và trật tự, an toàn xã hội hoặc làm tổn hại tới quốc phòng, an ninh quốc gia. Cấp độ 4 là cấp độ mà khi bị phá hoại sẽ làm tổn hại đặc biệt nghiêm trọng tới lợi ích công cộng và trật tự, an toàn xã hội hoặc làm tổn hại nghiêm trọng tới quốc phòng, an ninh quốc gia. Cấp độ 5 là cấp độ mà khi bị phá hoại sẽ làm tổn hại đặc biệt nghiêm trọng tới quốc phòng, an ninh quốc gia.
Nguyên tắc xác định cấp độ an toàn HTTT Xác định cấp độ an toàn HTTT có thể theo nguyên tắc tự định cấp theo quyền hạn, nghĩa vụ của cơ quan chủ quản hoặc đơn vị vận hành, khai thác, sử dụng 17 HTTT. Cấp độ an toàn của hệ thống phải được xác định dựa vào mức tổn hại cao nhất mà HTTT đó gây ra cho đối tượng thiệt hại khi bị mất ATTT. Bên cạnh đó, cơ quan, tổ chức vận hành, khai thác và sử dụng HTTT có trách nhiệm trực tiếp trong việc xác định cấp độ an toàn hệ thống. Việc xác định hệ thống thông tin để xác định cấp độ căn cứ trên nguyên tắc như sau: 1.
Hệ thống thông tin chỉ có một chủ quản hệ thống thông tin; 2. Hệ thống thông tin có thể hoạt động độc lập, được thiết lập nhằm trực tiếp phục vụ hoặc hỗ trợ hoạt động nghiệp vụ, sản xuất, kinh doanh cụ thể của cơ quan, tổ chức thuộc một trong các loại hình hệ thống thông tin quy định: Hệ thống thông tin phục vụ hoạt động nội bộ là hệ thống chỉ phục vụ hoạt động quản trị, vận hành nội bộ của cơ quan, tổ chức, bao gồm: Hệ thống thư điện tử; Hệ thống quản lý văn bản và điều hành; Hệ thống họp, hội nghị truyền hình trực tuyến; Hệ thống quản lý thông tin cụ thể (nhân sự, tài chính, tài sản hoặc lĩnh vực chuyên môn nghiệp vụ cụ thể khác) hoặc hệ thống quản lý thông tin tổng thể (tích hợp quản lý nhiều chức năng, nghiệp vụ khác nhau); Hệ thống xử lý thông tin nội bộ; Hệ thống thông tin phục vụ người dân, doanh nghiệp là hệ thống trực tiếp hoặc hỗ trợ cung cấp dịch vụ trực tuyến, bao gồm dịch vụ công trực tuyến và dịch vụ trực tuyến khác trong các lĩnh vực viễn thông, công nghệ thông tin, thương mại, tài chính, ngân hàng, y tế, giáo dục và lĩnh vực chuyên ngành khác, bao gồm: Hệ thống thư điện tử; Hệ thống quản lý văn bản và điều hành; Hệ thống một cửa điện tử; Hệ thống trang, cổng thông tin điện tử; Hệ thống cung cấp hoặc hỗ trợ cung cấp dịch vụ trực tuyến; Hệ thống chăm sóc khách hàng; Hệ thống cơ sở hạ tầng thông tin là tập hợp trang thiết bị, đường truyền dẫn kết nối phục vụ chung hoạt động của nhiều cơ quan, tổ chức, bao gồm: Mạng nội bộ, mạng diện rộng, mạng truyền số liệu chuyên dùng; Hệ thống cơ sở dữ liệu, trung tâm dữ liệu, điện toán đám mây; Hệ thống 18 xác thực điện tử, chứng thực điện tử, chữ ký số; Hệ thống kết nối liên thông, trục tích hợp các hệ thống thông tin; Hệ thống thông tin điều khiển công nghiệp là hệ thống có chức năng giám sát, thu thập dữ liệu, quản lý và kiểm soát các hạng mục quan trọng phục vụ điều khiển, vận hành hoạt động bình thường của các công trình xây dựng, bao gồm: Hệ thống điều khiển lập trình được (PLCs); Hệ thống điều khiển phân tán (DCS); Hệ thống giám sát và thu thập dữ liệu (SCADA); Hệ thống thông tin khác là hệ thống thông tin không thuộc các loại hình trên, được sử dụng để trực tiếp phục vụ hoặc hỗ trợ hoạt động nghiệp vụ, sản xuất, kinh doanh cụ thể của cơ quan, tổ chức theo lĩnh vực chuyên ngành. Tiêu chí xác định cấp độ an toàn HTTT Từ việc phân loại cấp độ an toàn HTTT và nguyên tắc xác định cấp độ an toàn HTTT, chúng ta có thể xác định được cấp độ an toàn HTTT dựa vào các tiêu chí sau: Tiêu chí xác định cấp độ 1: là hệ thống thông tin phục vụ hoạt động nội bộ của cơ quan, tổ chức và chỉ xử lý thông tin công cộng. Tiêu chí xác định cấp độ 2: là hệ thống thông tin có một trong các tiêu chí cụ thể như sau: Hệ thống thông tin phục vụ hoạt động nội bộ của cơ quan, tổ chức và có xử lý thông tin riêng, thông tin cá nhân của người sử dụng nhưng không xử lý thông tin bí mật nhà nước.
Hệ thống thông tin phục vụ người dân, doanh nghiệp thuộc một trong các loại hình như sau: Cung cấp thông tin và dịch vụ công trực tuyến từ mức độ 2 trở xuống theo quy định của pháp luật; Cung cấp dịch vụ trực tuyến không thuộc danh Mục dịch vụ kinh doanh có Điều kiện; Cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của dưới 10.000 người sử dụng. 19 Hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của một cơ quan, tổ chức Tiêu chí xác định cấp độ 3: là hệ thống thông tin có một trong các tiêu chí cụ thể như sau: Hệ thống thông tin xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh khi bị phá hoại sẽ làm tổn hại tới quốc phòng, an ninh quốc gia. Hệ thống thông tin phục vụ người dân, doanh nghiệp thuộc một trong các loại hình như sau: Cung cấp thông tin và dịch vụ công trực tuyến từ mức độ 3 trở lên theo quy định của pháp luật; Cung cấp dịch vụ trực tuyến thuộc danh Mục dịch vụ kinh doanh có Điều kiện; Cung cấp dịch vụ trực tuyến khác có xử lý thông tin riêng, thông tin cá nhân của từ 10.000 người sử dụng trở lên. Hệ thống cơ sở hạ tầng thông tin dùng chung phục vụ hoạt động của các cơ quan, tổ chức trong phạm vi một ngành, một tỉnh hoặc một số tỉnh.
Hệ thống thông tin Điều khiển công nghiệp trực tiếp phục vụ Điều khiển, vận hành hoạt động bình thường của các công trình xây dựng cấp II, cấp III hoặc cấp IV theo phân cấp của pháp luật về xây dựng. Tiêu chí xác định cấp độ 4: là hệ thống thông tin có một trong các tiêu chí cụ thể như sau: Hệ thống thông tin xử lý thông tin bí mật nhà nước hoặc hệ thống phục vụ quốc phòng, an ninh, khi bị phá hoại sẽ làm tổn hại nghiêm trọng quốc phòng, an ninh quốc gia. Hệ thống thông tin quốc gia phục vụ phát triển Chính phủ điện tử, yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước.