Triển khai an ninh thông tin là thiết lập một hệ thống quản lý an ninh thông tin (ISMS) nhằm đảm bảo 3 thuộc tính : Tính tin cậy (Confidentiality), tính toàn vẹn (Integrity) và tính sẵn sàng (Availability).
I. ISO 27001 là gì?
Mục đích của ISO 27001 là cung cấp cơ sở chung cho việc phát triển các chuẩn an ninh tổ chức và thực tiễn quản lý an ninh một cách hiệu quả, đồng thời cung cấp sự tin cậy trong các mối quan hệ của tổ chức.
II. Lợi ích của chuẩn ISO 27001
Việc tuân theo hoặc đạt được chứng chỉ chuẩn ISO 27001 không thể chứng minh tổ chức được đảm bảo an toàn 100%. Không có điều gì là an ninh hoàn toàn ngoại trừ không làm gì cả. Tuy nhiên, sự thừa nhận chuẩn quốc tế này đưa ra những lợi ích chắc chắn mà người quản lý cần phải xem xét.
1. Cấp độ tổ chức
Sự cam kết: Chứng chỉ như là một cam kết hiệu quả của nổ lực đưa an ninh của tổ chức đạt tại các cấp độ và chứng minh sự cần cù thích đáng của chính những người quản trị.
2. Cấp độ pháp luật
Tuân thủ: chứng minh cho nhà chức trách rằng tổ chức đã tuân theo tất cả các luật và các qui định áp dụng. Điều quan trọng là chuẩn đã bổ sung những chuẩn và luật tồn tại khác.
3. Cấp độ điều hành
Quản lý rủi ro: Mang lại những hiểu biết tốt hơn về các hệ thống thông tin, điểm yếu của chúng và làm thế nào để bảo vệ chúng. Tương tự, nó đảm bảo nhiều khả năng sẵn sàng phụ thuộc ở cả phần cứng và phần mềm.
4. Cấp độ thương mại
Sự tín nhiệm và tin cậy: Các thành viên, cổ đông, và khách hàng vững tin khi thấy khả năng và sự chuyên nghiệp của tổ chức trong việc bảo vệ thông tin. Chứng chỉ có thể giúp nhìn nhận riêng từ các đối thủ cạnh tranh trong thị trường.
5. Cấp độ tài chính
Tiết kiệm chi phí khắc phục các lỗ hỏng an ninh và có khả năng giảm chi phí bảo hiểm.
6. Cấp độ con người
Cải tiến nhận thức của nhân viên về các vấn đề an ninh và trách nhiệm của họ trong tổ chức.
III. Nội dung ISO 27001
ISO 27001 ban đầu được phát triển trên chuẩn BS7799 của Viện các chuẩn Anh quốc (British StandardsInstitution BSI). BS7799 bắt đầu phát triển từ những năm 1990 nhằm đáp ứng các yêu cầu cho doanh nghiệp, chính phủ và công nghiệp về việc thiết lập cấu trúc an ninh thông tin chung. Năm 1995, chuẩn the BS7799 đã được chính thức công nhận.
Ngày 15 Tháng 10 năm 2005 ISO phát triển ISO 17799 và BS7799 thành ISO 27001:2005 và được sửa đổi lần 2 vào tháng 10 năm 2013 (ISO 27001:2013). ISO 27001 thay thế một cách trực tiếp cho BS7799-2:2002, nó định nghĩa hệ thống ISMS và hướng đến cung cấp một mô hình cho việc thiết lập, thi hành, điều hành, kiểm soát, xem xét, duy trì và cải tiến ISMS.
Một số nội dung của ISO 27001 như sau:
1. Phạm vi
2. Tài liệu viện dẫn
3. Thuật ngữ- định nghĩa
4. Các yêu cầu đối với Hệ thống ISMS
5.Trách nhiệm lãnh đạo
6. Đánh giá nội bộ hệ thống ISMS
7. Xem xét lãnh đạo hệ thống ISMS
8. Cải tiến hệ thống ISMS
IV. Hệ thống quản lý an ninh thông tin (ISMS)
Điều cốt lõi để có hệ thống ISMS thành công là dựa trên đánh giá phản hồi để cung cấp sự cải tiến liên tục, và lấy cách tiếp cận có cấu trúc để quản lý tài sản và rủi ro. Hệ thống an ninh thông tin bao gồm tất cảc các kiểm soát mà tổ chức đặt trong vị trí thích hợp để đảm bảo an ninh thông tin, xuyên suốt 10 lĩnh vực sau:
1. Chính sách an ninh (Security Policy)
Cung cấp các chỉ dẫn quản lý và hỗ trợ an ninh thông tin
2. Tổ chức an ninh (Security Organization)
Quản lý an ninh thông tin trong tổ chức, duy trì an ninh của các quá trình hỗ trợ thông tin của tổ chức và những tài sản thông tin được truy cập bởi các thành phần thứ ba và duy trì an ninh thông tin khi trách nhiệm việc xử lý thông tin đã được khoán ngoài cho tổ chức khác.
3. Phân loại và kiểm soát tài sản (Asset Classification and Control)
Duy trì và đảm bảo các tài sản của tổ chức được bảo vệ ở các cấp độ thích hợp.
4. An ninh nhân sự (Personnel Security)
Để giảm rủi ro về lỗi của con người, sự ăn cắp, gian lận hoặc lạm dụng. Đảm bảo người dùng nhận thức các mối đe dọa an ninh thông tin liên quan và được trang bị để hỗ trợ chính sách an ninh của tổ chức trong phạm vi công việc bình thường của họ, giảm thiểu từ những bất thường và sai chức năng an ninh và để kiểm soát cũng như học hỏi từ các bất thường như vậy.
5. An ninh môi trường và vật lý (Physical and Enviromental Security)
Ngăn cản truy cập vật lý không được phép, phá hủy và can thiệp đến những thông tin và cơ ngơi doanh nghiệp. Ngăn cản sự mất mát, phá hủy hoặc tấn công những tài sản và cắt đứt các hoạt động kinh doanh. Ngăn cản sự tấn công hoặc ăn cắp thông tin và qui trình hỗ trợ xử lý thông tin.
6. Quản lý tác nghiệp và truyền thông (Communications and Operations Management)
Đảm bảo tác nghiệp bảo mật và đúng hỗ trợ xử lý thông tin, giảm thiểu rủi ro lỗi của các hệ thống, bảo vệ sự nguyên vẹn của phần mềm và những thông tin từ việc phá hủy của phần mềm dã tâm. Duy trì sự nguyên vẹn và sẵn sàng của quá trình xử lý thông tin và các dịch vụ truyền thông, đảm bảo sự an toàn của thông tin trong mạng và bảo vệ cơ sở hạ tầng hỗ trợ, ngăn cản phá hủy tài sản và làm gián đoạn các hoạt động kinh doanh, ngăn cản sự mất mát, sửa đổi và lạm dụng thông tin trao đổi giữa các tổ chức.
7. Kiểm soát truy cập (Access Control)
Kiểm soát truy cập đến thông tin, đảm bảo các quyền truy cập đến các hệ thống thông tin được cấp quyền, cấp phát tài nguyên và duy trì một cách phù hợp. Ngăn cản truy cập trái phép, phát hiện các hoạt động trái phép, bảo vệ các dịch vụ mạng, đảm bảo an ninh thông tin khi dùng máy tính di động và phương tiện điện thoại.
8. Duy trì và phát triển các hệ thống (Systems Development and Maintenance)
Đảm bảo an ninh được xây dựng bên trong các hệ thống thông tin. Ngăn cản, điều chỉnh, và lạm dụng dữ liệu của người dùng trong các hệ thống ứng dụng, bảo vệ tính tin cậy, tính xác thực hoặc nguyên vẹn của thông tin. Đảm bảo các dự án CNTT và các hoạt động hỗ trợ được điều hành trong một thể thức an ninh. Duy trì an ninh của phần mềm hệ thống ứng dụng và thông tin.
9. Quản lý sự liên tục trong kinh doanh (Business Continuity Management)
Chống lại sự ngưng trệ của các họat động kinh doanh và bảo vệ các quá trình kinh doanh quan trọng từ hậu quả của lỗi lớn hoặc hiểm họa.
10. Tuân thủ (Compliance)
Tránh sự vi phạm của mọi luật công dân và hình sự, tuân thủ pháp luật, qui định hoặc nghĩa vụ của hợp đồng và mọi yêu cầu về an ninh. Đảm bảo sự tuân thủ của các hệ thống với các chính sách an ninh và các chuẩn. Tăng tối đa hiệu quả và giảm thiểu trở ngại đến quá trình đánh giá hệ thống.
Mọi thông tin xin liên hệ:
