Chương 1: Trình bày tổng quan về đề tài, cơ sở hình thành đề tài, mục tiêu của đề tài, phạm vi đề tài, phương pháp nghiên cứu Chương 2: Trình bày cơ sở lý thuyết liên quan đến tiêu chuẩn quản lý an toàn thông tin ISO 27001: 2013, hệ thống quản lý tài liệu và hồ sơ điện tử, cơ sở dữ liệu NoSQL Chương 3: Phân tích các yêu cầu chức năng và phi chức năng hệ thống lưu trữ minh chứng của các tổ chức triển khai ISO 27001:2013 Chương 4: Thiết kế hệ thống Chương 5: Hiện thực hệ thống với cơ sở dữ liệu NoSQL Chương 6: Thử nghiệm hệ thống Chương 7: Kết luận và các hướng phát triển tiếp theo của đề tài. 15 CHƯƠNG 2 : CƠ SỞ LÝ THUYẾT 2. Hệ thống quản lý an ninh thông tin Hệ thống quản lý an ninh thông tin (Information Security Management System – ISMS) là một phần của hệ thống quản lý tổng thể, dựa trên phương pháp tiếp cận rủi ro kinh doanh để thiết lập, thực hiện, giám sát, xem xét, duy trì và cải thiện an ninh thông tin. Hệ thống quản lý bao gồm cơ cấu tổ chức, chính sách, kế hoạch hoạt động, trách nhiệm, thực hành, quy trình và các nguồn lực.
Một ISMS là cách tiếp cận có hệ thống để quản lý thông tin bí mật, nhạy cảm của tổ chức được an toàn (tức là đảm bảo tính sẵn sàng (availiable), bảo mật (confidential) và toàn vẹn (Integrity) của thông tin). Hệ thống bao gồm con người, quy trình và hệ thống công nghệ thông tin, và nhận thức rằng an ninh thông tin không chỉ là phần mềm chống virus, tường lửa, khóa máy tính xách tay hoặc máy chủ. Cách tiếp cận tổng thể để bảo mật thông tin là các chiến lược, các hoạt động, sáng kiến an ninh thông tin khác nhau nên ưu tiên, hợp nhất và bổ sung lẫn nhau nhằm đảm bảo hiệu quả tổng thể. Một ISMS sẽ giúp tổ chức phối hợp tất cả các hoạt động đảm bảo an ninh thông tin được mạch lạc, nhất quán và hiệu quả.
Tổng quan về chuẩn ISO 27001:2013 Bộ các tiêu chuẩn ISO 27000 là một tập hợp toàn diện các tiêu chuẩn cung cấp hướng dẫn thực hiện một ISMS trên nhiều khía cạnh. Hai tiêu chuẩn quan trọng nhất cho dự án ISMS là ISO/IEC 27001 và ISO/IEC 27002. Cả hai tiêu chuẩn này đã được phát hành phiên bản mới nhất vào tháng 9 năm 2013. ISO/IEC 27001:2013 : Tiêu chuẩn quốc tế cho một hệ thống quản lý an ninh thông tin, trong đó trình bày những yêu cầu mà một hệ thống quản lý an ninh thông tin cần phải đạt được để nhận được chứng nhận hoặc để vượt qua cuộc kiểm toán.
16 ISO/IEC 27002:2013 cung cấp các quy tắc ứng xử, hướng dẫn thực hiện và khuyến nghị thực hành tốt nhất các điểm kiểm soát được nêu lên trong Phụ lục A của ISO 27001. ISO 27002 giải thích cách thực hiện để đáp ứng các yêu cầu đặt ra của ISO 27001. Các điểm kiểm soát trong Phụ lục A của ISO 27001 là một yếu tố quan trọng trong việc đảm bảo tính hiệu quả của ISMS. Cấu trúc chuẩn ISO 27001:2013 Cấu trúc của tiêu chuẩn ISO 27001:2013 đã có nhiều thay đổi, đó là kết quả trực tiếp của một số thay đổi cốt lõi trong quy trình khuyến nghị cho việc phát triển ISMS.
Trong phiên bản ISO 27001:2005 quy định rằng quy trình được sử dụng trong việc hiện thực ISMS là PDCA (Plan – Do – Check – Act), bản cập nhật 2013 đã loại bỏ điểm này. Điều này không có nghĩa là quy trình PDCA không còn giá trị nữa; thay vào đó phiên bản mới không chỉ định cụ thể bất kỳ quy trình nào. Tiêu chuẩn chỉ đòi hỏi quy trình sử dụng phải luôn được cải tiến liên tục. Cấu trúc của phiên bản ISO 27001:2013 gồm 10 Điều khoản và phụ lục A, trong đó nội dung chính của chuẩn nằm trong Điều khoản 4-10: Điều khoản 0: Giới thiệu (Introduction ) Điều khoản 1: Phạm vi của tiêu chuẩn (Scope) Điều khoản 2: Tài liệu tham chiếu (Normative references) Điều khoản 3: Thuật ngữ và định nghĩa (Terms and definitions) Điều khoản 4: Mô hình tổ chức (Context of the organization): Khoản 4.
Hiểu về tổ chức và bối cảnh của tổ chức Điều khoản này yêu cầu tổ chức phải “xác định các vấn đề bên ngoài và nội bộ có liên quan đến mục tiêu và ảnh hưởng đến khả năng tổ chức đạt được các kết quả như dự kiến” của ISMS. Điều khoản tham chiếu đến các vấn đề bên ngoài và nội bộ/ bối cảnh của tổ chức được xem xét tại khoản 5.3 của chuẩn ISO 31000:2009. Hiểu được nhu cầu và mong đợi của các bên liên quan 17 Phần này yêu cầu tổ chức phải xác định các bên liên quan và yêu cầu của họ trong ISMS, các yêu cầu này có thể là các yêu cầu pháp lý và nghĩa vụ hợp đồng. Xác định phạm vi của hệ thống quản lý an ninh thông tin Khoản này yêu cầu “Khả năng ứng dụng” của ISMS phải được xác định nhằm thiết lập phạm vi của nó, các khía cạnh đã xác định phải được xem xét một cách sớm nhất có thể; yêu cầu về “giao diện và phụ thuộc” phải được xác định rõ ràng.
Hệ thống quản lý an ninh thông tin Đây là một biến thể nhẹ từ các tuyên bố trước đó tại khoản 4.1 của chuẩn ISO 27001:2005. Khoản này đưa ra yêu cầu về việc phải thiết lập, thực hiện, duy trì và cải tiến liên tục ISMS để phù hợp với các yêu cầu của tiêu chuẩn. Điều khoản 5: Lãnh đạo (Leadership) Điều khoản này đặt ra yêu cầu về “quản lý cấp cao” – người hoặc nhóm người chỉ đạo và kiểm soát tổ chức ở mức cao nhất. Lãnh đạo và cam kết Mục đích của yêu cầu này là để chứng minh sự lãnh đạo và cam kết từ những lãnh đạo cấp trên.2 Chính sách Trách nhiệm cụ thể của lãnh đạo hàng đầu là phải thiết lập các chính sách bảo mật thông tin và tiêu chuẩn đưa ra các đặc điểm và tính năng mà chính sách bảo mật phải bao gồm.
Vai trò, trách nhiệm và thẩm quyền Điều khoản đặt ra yêu cầu cho lãnh đạo cấp cao trong việc phân công trách nhiệm và quyền hạn, tập trung vào hai vai trò đặc biệt: đảm bảo ISMS đang được thực hiện phù hợp với chuẩn ISO/IEC 27001, báo cáo về việc thực hiện ISMS. Điều khoản 6: Lập kế hoạch (Planning) 18 Khoản 6.1 Các hành động để đánh giá các rủi ro và cơ hội Khoản 6.1 - Các yêu cầu chung Điều khoản đưa ra các yêu cầu chung liên quan đến việc lập kế hoạch như xem xét các vấn đề bên ngoài và nội bộ, yêu cầu của các bên thứ ba và xác định các rủi ro và cơ hội để đạt được kết quả như dự kiến.2 – Đánh giá rủi ro an ninh thông tin Điều khoản này không xem việc xác định các tài sản, các mối đe dọa và các lỗ hỗng là điều kiện tiên quyết để xác định rủi ro. Điều khoản này mở rộng hơn cho phép lựa chọn phương pháp đánh giá rủi ro phù hợp với từng tổ chức mà vẫn phù hợp với tiêu chuẩn. “Chủ sở hữu rủi ro” (“Risk Owner”) cũng được đề cập đến trong điều khoản này.
“Chủ sở hữu rủi ro” được xác định là người hoặc tổ chức có trách nhiệm và thẩm quyền để quản lý rủi ro. Điều khoản đòi hỏi sự chấp thuận của “chủ sở hữu rủi ro” về các kế hoạch xử lý rủi ro và Khoản 6.3 – Xử lý an ninh thông tin Điều khoản liên quan đến việc xử lý rủi ro an ninh thông tin. Điều khoản này xem việc sử dụng Mục lục A như là một kiểm tra chéo để đảm bảo không có điểm kiểm soát cần thiết nào đã bị bỏ qua, và các tổ chức vẫn được yêu cầu tạo ra các tuyên bố áp dụng. Việc xây dựng và phê duyệt kế hoạch xử lý rủi ro vẫn là một phần của điều khoản.2 Mục tiêu an ninh thông tin và lập kế hoạch để đạt được mục tiêu Điều khoản 6.2 yêu cầu các mục tiêu an ninh thông tin phải được thiết lập, truyền đạt và cập nhật.
Các yêu cầu phải được chú trọng bao gồm: các yêu cầu an ninh thông tin, kết quả của việc đánh giá và xử lý rủi ro, tất cả phải phù hợp với chính sách an ninh thông tin. Điều khoản 7: Hỗ trợ (Support) 19 Điều khoản này bắt đầu với một yêu cầu là tổ chức phải xác định và cung cấp các nguồn lực cần thiết để thiết lập, thực hiện, duy trì và cải tiến liên lục ISMS. Yêu cầu này bao phủ tất cả các yêu cầu về nguồn lực của ISMS. Điều khoản tiếp tục với các yêu cầu về năng lực, nhập thức và giao tiếp, tương tự như phiên bản 2005.
Cuối cùng là các yêu cầu về “tài liệu hóa thông tin” (document information). “Tài liệu hóa thông tin” là một thuật ngữ mới được dùng để thay thế hai thuật ngữ “kiểm soát tài liệu” (control of documents) và “kiểm soát hồ sơ” (control of records). Các yêu cầu này liên quan đến việc tạo ra và cập nhật các thông tin tài liệu cũng như việc kiểm soát chúng. Điều khoản 8: Hoạt động (Operation) Điều khoản này đề cập đến việc thực hiện các kế hoạch và quy trình đã được đưa ra ở các điều khoản trước đó.1 giải quyết việc thực hiện các hành động, kế hoạch đặt ra ở khoản 6.1, trong đó bao gồm cả việc kiểm soát sự thay đổi kế hoạch và xem xét các hậu quả của việc thay đổi ngoài dự định.2 liên quan đến việc thực hiện đánh giá rủi ro an ninh thông tin tại thời điểm lên kế hoạch hoặc tại thời điểm có những sự thay đổi quan trọng xảy ra.3 đề cập đến việc thực hiện các kế hoạch xử lý rủi ro an ninh thông tin.
Điều khoản 9: Đánh giá hiệu quả thực hiện (Performance evaluation) Khoản 9.1 Giám sát, đo lường, phân tích và đánh giá Điều khoản yêu cầu các quá trình bảo mật thông tin cũng như kiểm soát phải được theo dõi và đo lường để đánh giá hiệu suất và hiệu quả của ISMS. Điều này đỏi hỏi tổ chức phải xác định được những gì phải đo lường, khi nào đo lường và tính hợp lệ của khi đo lường. Để có hiệu lực thì các phương pháp này phải đưa ra 20 được kết quả có thể so sánh và lặp lại được. Thời gian, trách nhiệm, việc phân tích và đánh giá kết quả cũng phải được xác định.2: Kiểm toán nội bộ Điều khoản này tương tự như ở phiên bản 2005, trong đó yêu cầu trách nhiệm tổ chức quản lý là đảm bảo rằng các hoạt động kiểm toán đã được thực hiện, không chậm trễ, hoặc bỏ qua.
