Chương 1: Nghiên cứu một số tiêu chuẩn, quy trình quản lý, đánh giá rủi ro an toàn thông tin. Chương 2: Nghiên cứu một số giải pháp đánh giá, quản lý rủi ro an toàn thông tin. Chương 3: Thử nghiệp đánh giá, quản lý lỗ hổng bảo mật ứng dụng Web. NGHIÊN CỨU MỘT SỐ TIÊU CHUẨN, QUY TRÌNH QUẢN LÝ, ĐÁNH GIÁ RỦI RO AN TOÀN THÔNG TIN 1.
Nghiên cứu tiêu chuẩn, đánh giá rủi ro an toàn thông tin ISO/IEC 27005:2011 - Quản lý rủi ro an toàn thông tin 1. Khái quát về ISO/IEC 27005:2011 Quản lý rủi ro là việc xác định, đánh giá và xử lý rủi ro bằng việc áp dụng hợp lý và tiết kiệm các nguồn lực để giảm thiểu, kiểm soát xác suất xảy ra hoặc ảnh hưởng của các rủi ro hoặc để tối đa hoá việc thực hiện các cơ hội. Mục tiêu của quản lý rủi ro là để đảm bảo ảnh hưởng của các rủi ro không làm lệch hướng các mục tiêu hoạt động nghiệp vụ của tổ chức. Một cách ngắn gọn: Quản lý rủi ro là hoạt động phối hợp về vấn đề rủi ro để điều hành và kiểm soát tổ chức.
ISO/IEC 27005:2011 được thiết kế để hỗ trợ triển khai ISO/IEC 27001 dựa trên phương pháp quản lý rủi ro. Quy trình quản lý rủi ro ATTT như sau: Hình 1. Quy trình quản lý rủi ro ATT Quy trình quản lý rủi ro an toàn thông tin bao gồm: Thiết lập bối cảnh, 7 đánh giá rủi ro, xử lý rủi ro, chấp nhận rủi ro, truyền thông và tư vấn rủi ro, giám sát và soát xét rủi ro.2 Thiết lập bối cảnh - Đầu vào: Toàn bộ thông tin về tổ chức liên quan tới thiết lập bối cảnh quản lý rủi ro an toàn thông tin. - Đầu ra: Đặc tả kỹ thuật về tiêu chí cơ bản, phạm vi và giới hạn và tổ chức thực hiện quy trình quản lý rủi ro an toàn thông tin.
- Hành động: Cần phải thiết lập bối cảnh nội bộ và bối cảnh bên ngoài tổ chức cho các hoạt động quản lý rủi ro an toàn thông tin, trong đó bao gồm việc thiết lập tiêu chí cơ bản cần thiết cho hoạt động quản lý rủi ro an toàn thông tin, định nghĩa phạm vi và giới hạn và thiết lập một tổ chức thích hợp để vận hành hoạt động quản lý rủi ro an toàn thông tin. - Các tiêu chí cơ bản: + Phương pháp tiếp cận quản lý rủi ro: Một phương pháp tiếp cận quản lý rủi ro thích hợp cần phải được lựa chọn hoặc phát triển để giải quyết tiêu chí cơ bản như: tiêu chí ước lượng rủi ro, tiêu chí về tác động, tiêu chí chấp nhận rủi ro. + Tiêu chí ước lượng rủi ro: Để ước lượng rủi ro an toàn thông tin của tổ chức liên quan đến: Giá trị chiến lược của quy trình thông tin nghiệp vụ; Mức quan trọng đối với tài sản thông tin có liên quan; Tầm quan trọng của tính sẵn sàng, tính bí mật và tính toàn vẹn trong các hoạt động mang tính nghiệp vụ và vận hành; Những nhận thức và mong muốn của các bên liên quan và những hậu quả xấu đối với danh tiếng và uy tín của tổ chức. + Tiêu chí tác động: Được xác định theo mức thiệt hại hoặc các khoản chi phí đối với tổ chức mà nguyên nhân gây ra là từ các sự kiện an toàn thông tin mà có liên quan đến: Mức phân loại tài sản thông tin bị tác động; Vi phạm an toàn thông tin (làm giảm tính bí mật, tính toàn vẹn và tính sẵn sàng); Yếu kém trong vận hành (nội bộ hoặc các bên thứ ba); Tổn hại về giá trị nghiệp vụ và tài chính; Thiệt hại về uy tín.
8 + Tiêu chí chấp nhận rủi ro: Thường phụ thuộc vào các chính sách, mục đích, mục tiêu của tổ chức và các lợi ích của các bên liên quan. Tiêu chí chấp nhận rủi ro được thiết lập như sau: Tiêu chí nghiệp vụ; Khía cạnh pháp lý và các quy định; Sự vận hành; Công nghệ; Tài chính; Các yếu tố về xã hội và con người. - Bối cảnh bên ngoài (external context): Môi trường bên ngoài, nơi mà tổ chức theo đuổi để đạt được các mục tiêu của mình; có thể bao gồm: Môi trường văn hóa, xã hội, chính trị, pháp lý, quy định, tài chính, công nghệ, kinh tế, môi trường tự nhiên và môi trường cạnh tranh, trong phạm vi quốc tế, quốc gia, khu vực hoặc địa phương; những xu hướng và động lực chính tác động đến những mục tiêu của tổ chức; những mối quan hệ với các bên liên quan bên ngoài tổ chức, và những nhận thức, giá trị của các bên liên quan đó. - Bối cảnh nội bộ (internal context): Môi trường nội bộ nơi mà tổ chức theo đuổi để đạt được các mục tiêu của mình; có thể bao gồm: Quản trị, cơ cấu tổ chức, vai trò và trách nhiệm giải trình; những chính sách, mục tiêu và chiến lược của tổ chức được đưa ra để đạt được mục đích; năng lực, được hiểu như là các nguồn lực và tri thức (Ví dụ như nguồn vốn, thời gian, con người, các quy trình, các hệ thống và các công nghệ); các hệ thống thông tin, luồng thông tin và quy trình đưa ra quyết định (cả chính thức và không chính thức); những mối quan hệ với các bên liên quan bên trong tổ chức và những nhận thức và giá trị về các bên liên quan bên trong tổchức đó; văn hóa của tổ chức; những tiêu chuẩn, hướng dẫn và mô hình mà tổ chức chấp nhận; hình thức và phạm vi của những mối quan hệ bằng hợp đồng.
Đánh giá rủi ro an toàn thông tin Đánh giá rủi ro nhằm xác định giá trị của các tài sản thông tin, nhận biết các đe dọa có thể xảy ra và các điểm yếu vẫn còn tồn tại (hoặc có thể tồn tại), nhận biết các biện pháp kiểm soát hiện có và hiệu quả của các biện pháp đó trong việc nhận biết rủi ro, xác định các hậu quả tiềm ẩn và cuối cùng là phân loại, sắp xếp thứ tự ưu tiên các rủi ro đã tìm được dựa vào bộ tiêu chí đánh giá 9 rủi ro trong quy trình thiết lập bối cảnh. Đánh giá rủi ro là một quy trình tổng thể bao gồm nhận biết rủi ro, phân tích rủi ro và ước lượng rủi ro. Đầu vào: Các tiêu chí cơ bản, phạm vi và giới hạn và tổ chức thực hiện quy trình quản lý rủi ro an toàn thông tin được thiết lập. Hành động: Các rủi ro cần phải được nhận biết được mô tả định tính hoặc định lượng và sắp xếp mức ưu tiên theo các tiêu chí ước lượng rủi ro và các mục tiêu liên quan tới tổ chức.
Đầu ra: Một danh sách những rủi ro đã được đánh giá được sắp xếp theo thứ tự ưu tiên phù hợp với các tiêu chí đánh giá rủi ro. Đánh giá rủi ro bao gồm các hoạt động sau: a) Nhận biết, xác định các rủi ro Mục đích là xác định nguyên nhân có thể gây ra thiệt hại tiềm ẩn và hiểu được lí do, phương thức, thời điểm, không gian mà thiệt hại có thể xảy ra. Các hoạt động gồm: - Xác định tất cả các tài sản (assets) trong phạm vi hệ thống quản lý ATTT và đối tượng quản lý các tài sản này; - Xác định các mối đe doạ (threats) đối với tài sản; - Xác định các điểm yếu (vulnerabilities) có thể bị khai thác bởi các mối đe doạ trên; - Xác định các tác động (impacts) làm mất tính chất bí mật, toàn vẹn và sẵn sàng của tài sản. b) Phân tích rủi ro 10 Là quá trình để hiểu bản chất của rủi ro và xác định mức độ rủi ro, gồm: - Đánh giá các ảnh hưởng tới hoạt động của tổ chức có thể gây ra do sự cố về ATTT, chú ý đến các hậu quả của việc mất tính bí mật, toàn vẹn hay sẵn sàng của các tài sản; - Đánh giá các khả năng thực tế có thể xảy ra sự cố an toàn thông tin bắt nguồn từ các mối đe dọa và nguy cơ đã dự đoán.
Đồng thời đánh giá các tác động tới tài sản và các biện pháp bảo vệ đang thực hiện; - Xác định các mức độ của rủi ro có thể xảy ra, trong đó: + Đầu vào: Một danh sách các tình huống sự cố cùng với các hậu quả liên quan đến các tài sản và các quy trình nghiệp vụ và khả năng xảy ra các kịch bản đó (định tính hay định lượng); + Đầu ra: Một danh sách các rủi ro cùng với các mức độ giá trị được định rõ. - Xác định rủi ro là chấp nhận được hay phải có biện pháp xử lý dựa trên các tiêu chí chấp nhận rủi ro đã được thiết lập trong ISO/IEC 27001:2013. c) Ước lượng mức độ rủi ro Là quy trình đối chiếu kết quả của việc phân tích rủi ro với các tiêu chí rủi ro để xác định liệu rủi ro đó và/hoặc mức độ nghiêm trọng của nó có thể chấp nhận hay bỏ qua được hay không. + Đầu vào: Một danh sách các rủi ro cùng với các mức độ giá trị được định rõ và các tiêu chí ước lượng rủi ro.
+ Đầu ra: Một danh sách các rủi ro đã được sắp xếp ưu tiên theo các tiêu chí ước lượng rủi ro liên quan đến các tình huống sự cố mà dẫn đến các rủi ro đó. Các hoạt động gồm: - Áp dụng các biện pháp quản lý ATTT thích hợp. - Chấp nhận rủi ro với điều kiện chúng hoàn toàn thỏa mãn các chính sách và tiêu chí chấp nhận rủi ro của tổ chức; - Tránh các rủi ro; 11 - Chuyển giao các rủi ro các bộ phận khác (như bảo hiểm, nhà cung cấp. ISO/IEC 27005:2011 (Phụ lục D) chỉ ra danh mục các điểm yếu liên quan đến các tài sản phần cứng, phần mềm, mạng, tổ chức, con người và các phương pháp xác định các điểm yếu và kỹ thuật.
Các phương pháp chủ động thực hiện trước tiên như kiểm thử hệ thống thông tin có thể được sử dụng nhằm nhận biết các điểm yếu thông tin dựa trên tính nguy cấp của hệ thống Công nghệ thông tin và Truyền thông (ICT) và các nguồn lực sẵn có (ví dụ: Các nguồn vốn được phân bổ, công nghệ sẵn có, các cá nhân có kinh nghiệm tiến hành kiểm thử). Các phương pháp kiểm thử bao gồm: Công cụ quét điểm yếu tự động, Kiểm thử và ước lượng an toàn, Kiểm thử việc xâm nhập, Soát xét mã.