Ch&uacute;ng ta đ&atilde; biết rằng an to&agrave;n th&ocirc;ng tin l&agrave; việc đảm bảo c&aacute;c t&iacute;nh chất: b&iacute; mật, to&agrave;n vẹn v&agrave; sẵn c&oacute; của th&ocirc;ng tin trong qu&aacute; tr&igrave;nh xử l&yacute;, lưu trữ v&agrave; truyền dẫn th&ocirc;ng tin trong hệ thống. Tuy nhi&ecirc;n ch&uacute;ng ta l&agrave;m thế n&agrave;o để bảo đảm 3 t&iacute;nh chất n&agrave;y? Dưới đ&acirc;y l&agrave; 17 y&ecirc;u cầu li&ecirc;n quan nhằm đảm bảo an to&agrave;n cho hệ thống th&ocirc;ng tin được liệt k&ecirc; trong ti&ecirc;u chuẩn FIPS 200 về Y&ecirc;u cầu bảo mật tối thiểu cho hệ thống th&ocirc;ng tin:
Đ&aacute;nh gi&aacute; <a href="https://tek4.vn/hiem-hoa-rui-ro-tan-cong-va-lo-hong/">rủi ro</a>: Định kỳ đ&aacute;nh gi&aacute; rủi ro đối với c&aacute;c hoạt động của tổ chức (bao gồm nhiệm vụ, chức năng, h&igrave;nh ảnh hoặc danh tiếng), t&agrave;i sản của tổ chức v&agrave; c&aacute; nh&acirc;n, do hoạt động xử l&yacute;, lưu trữ hoặc truyền th&ocirc;ng tin trong tổ chức.
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/02289c04-4e54-4df3-9da8-59108752d1b2" alt="quản-l&yacute;-rủi-ro" />
Lập kế hoạch: Ph&aacute;t triển, lập t&agrave;i liệu, cập nhật định kỳ v&agrave; triển khai c&aacute;c kế hoạch bảo đảm an to&agrave;n th&ocirc;ng tin cho c&aacute;c hệ thống th&ocirc;ng tin của tổ chức, m&ocirc; tả c&aacute;c kiểm so&aacute;t an to&agrave;n tại chỗ hoặc được l&ecirc;n kế hoạch cho c&aacute;c hệ thống th&ocirc;ng tin v&agrave; c&aacute;c quy tắc h&agrave;nh vi cho c&aacute;c c&aacute; nh&acirc;n truy cập hệ thống th&ocirc;ng tin.
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/fd2142b8-2915-48d4-83ea-fac973ca233e" alt="Lập-kế-hoạch" />
Quản l&yacute; cấu h&igrave;nh: Cho ph&eacute;p thiết lập v&agrave; duy tr&igrave; cấu h&igrave;nh cơ sở của c&aacute;c hệ thống th&ocirc;ng tin trong tổ chức (bao gồm phần cứng, phần mềm, v&agrave; t&agrave;i liệu) trong suốt v&ograve;ng đời ph&aacute;t triển hệ thống tương ứng; đồng thời cho ph&eacute;p thiết lập v&agrave; thực thi c&aacute;c c&agrave;i đặt cấu h&igrave;nh an to&agrave;n cho c&aacute;c sản phẩm c&ocirc;ng nghệ th&ocirc;ng tin kh&aacute;c được sử dụng trong c&aacute;c hệ thống th&ocirc;ng tin tổ chức.
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/e3d34938-b4b1-45b0-bceb-dd42dd49d3be" alt="cấu-h&igrave;nh-768x513" />
Định danh v&agrave; X&aacute;c thực: Cho ph&eacute;p định danh v&agrave; x&aacute;c định danh t&iacute;nh của người d&ugrave;ng trong hệ thống, x&aacute;c định c&aacute;c quy tr&igrave;nh cho ph&eacute;p thực hiện định danh v&agrave; x&aacute;c thực người d&ugrave;ng hoặc thiết bị như một điều kiện ti&ecirc;n quyết để cho ph&eacute;p truy cập v&agrave;o hệ thống th&ocirc;ng tin tổ chức.
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/cc0161b2-daa8-4806-ae8b-00d27f1b2681" alt="định-danh-v&agrave;-x&aacute;c-thực-768x432" />
Kiểm so&aacute;t truy cập: Chỉ cho ph&eacute;p người d&ugrave;ng được ủy quyền c&oacute; quyền truy cập v&agrave; sử dụng th&ocirc;ng tin, đồng thời hạn chế quyền truy cập hệ thống th&ocirc;ng tin đối với những người kh&ocirc;ng được ủy quyền. Chỉ cho ph&eacute;p thực thi c&aacute;c hoạt động được ph&eacute;p do người d&ugrave;ng được ủy quyền chỉ định bao gồm cả c&aacute;c thao t&aacute;c tr&ecirc;n thiết bị, c&aacute;c loại li&ecirc;n kết v&agrave; chức năng, tiến tr&igrave;nh tr&ecirc;n hệ thống.
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/bd79321d-e56f-4990-8d8e-dbd97f046d87" alt="kiểm-so&aacute;t-truy-cập" />
Bảo vệ mức vật l&yacute; v&agrave; m&ocirc;i trường: Hạn chế quyền truy cập vật l&yacute; v&agrave;o hệ thống th&ocirc;ng tin, thiết bị v&agrave; m&ocirc;i trường hoạt động tương ứng cho c&aacute;c c&aacute; nh&acirc;n được ủy quyền; bảo vệ thiết bị v&agrave; cơ sở hạ tầng hỗ trợ cho c&aacute;c hệ thống th&ocirc;ng tin; cung cấp c&aacute;c tiện &iacute;ch hỗ trợ cho c&aacute;c hệ thống th&ocirc;ng tin; bảo vệ hệ thống th&ocirc;ng tin chống lại c&aacute;c nguy cơ, hiểm họa do m&ocirc;i trường; cung cấp c&aacute;c biện ph&aacute;p kiểm so&aacute;t m&ocirc;i trường ph&ugrave; hợp cho c&aacute;c cơ sở chứa hệ thống th&ocirc;ng tin.
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/27bc4f35-974b-4e42-9b44-2297375fa115" alt="an-to&agrave;n-vật-l&yacute;" />
Bảo vệ phương tiện: Bảo vệ c&aacute;c phương tiện trong hệ thống th&ocirc;ng tin, bao gồm cả t&agrave;i liệu giấy v&agrave; c&aacute;c t&agrave;i liệu kỹ thuật số; giới hạn quyền truy cập th&ocirc;ng tin tr&ecirc;n c&aacute;c phương tiện cho người d&ugrave;ng được ủy quyền; vệ sinh hoặc ph&aacute; hủy phương tiện trước khi xử l&yacute; hoặc t&aacute;i sử dụng.
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/7c0c578d-2890-47cc-8b9a-b3cce1cda1f8" alt="bảo-vệ-phương-tiện" />
An to&agrave;n hệ thống v&agrave; dịch vụ: Ph&acirc;n bổ đủ nguồn lực để bảo vệ đầy đủ hệ thống th&ocirc;ng tin tổ chức; tu&acirc;n thủ v&ograve;ng đời ph&aacute;t triển hệ thống trong đ&oacute; kết hợp với c&aacute;c c&aacute;c c&acirc;n nhắc về vấn đề an to&agrave;n th&ocirc;ng tin; hạn chế sử dụng v&agrave; c&agrave;i đặt phần mềm, chỉ c&agrave;i đặt v&agrave; sử dụng khi thật sự cần thiết; v&agrave; đảm bảo rằng c&aacute;c nh&agrave; cung cấp b&ecirc;n thứ ba sử dụng c&aacute;c biện ph&aacute;p bảo mật đầy đủ để bảo vệ th&ocirc;ng tin, ứng dụng hoặc dịch vụ thu&ecirc; ngo&agrave;i từ tổ chức.
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/5431a271-4b7b-42fe-8d25-4517cfe0ef0f" alt="an-to&agrave;n-dịch-vụ-768x365" />
Bảo vệ hệ thống mạng: Gi&aacute;m s&aacute;t, kiểm so&aacute;t v&agrave; bảo vệ th&ocirc;ng tin li&ecirc;n lạc của tổ chức (tức l&agrave; th&ocirc;ng tin được truyền hoặc nhận bởi hệ thống th&ocirc;ng tin của tổ chức) tại c&aacute;c ranh giới b&ecirc;n ngo&agrave;i v&agrave; c&aacute;c ranh giới nội bộ ch&iacute;nh của hệ thống th&ocirc;ng tin; sử dụng c&aacute;c kiến ​​tr&uacute;c, kỹ thuật ph&aacute;t triển phần mềm v&agrave; c&aacute;c nguy&ecirc;n tắc kỹ thuật thiết kế hệ thống nhằm th&uacute;c đẩy bảo mật th&ocirc;ng tin hiệu quả trong c&aacute;c hệ thống th&ocirc;ng tin của tổ chức.
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/f226b915-cb66-4c19-b4a2-a078524f8845" alt="an-to&agrave;n-mạng" />
Đảm bảo <a href="https://tek4.vn/an-toan-thong-tin-la-gi-co-so-an-toan-thong-tin-bai-1/">t&iacute;nh to&agrave;n vẹn</a> của hệ thống v&agrave; th&ocirc;ng tin: X&aacute;c định, b&aacute;o c&aacute;o v&agrave; sửa lỗi th&ocirc;ng tin v&agrave; hệ thống th&ocirc;ng tin một c&aacute;ch kịp thời; cung cấp c&aacute;c cơ chế bảo vệ khỏi m&atilde; độc hại tại c&aacute;c vị tr&iacute; th&iacute;ch hợp trong c&aacute;c hệ thống th&ocirc;ng tin tổ chức; đồng thời gi&aacute;m s&aacute;t c&aacute;c cảnh b&aacute;o về an to&agrave;n trong hệ thống v&agrave; thực hiện c&aacute;c h&agrave;nh động th&iacute;ch hợp để giải quyết c&aacute;c cảnh b&aacute;o đ&oacute;.
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/5a1c94ce-f6f2-463e-9dd5-d0327cdabf68" alt="t&iacute;nh-to&agrave;n-vẹn" />
An to&agrave;n con người: Đảm bảo rằng c&aacute;c c&aacute; nh&acirc;n trong c&aacute;c tổ chức, c&aacute;c nh&agrave; cung cấp dịch vụ b&ecirc;n thứ ba đ&aacute;ng tin cậy v&agrave; đ&aacute;p ứng c&aacute;c ti&ecirc;u ch&iacute; bảo mật được thiết lập cho c&aacute;c vị tr&iacute; v&agrave; tr&aacute;ch nhiệm tương ứng; cần đảm bảo rằng th&ocirc;ng tin của tổ chức được bảo vệ trong qu&aacute; tr&igrave;nh tuyển dụng v&agrave; thay đổi nh&acirc;n sự bao gồm cả việc chấm dứt hợp đồng lao động hoặc b&agrave;n giao c&ocirc;ng việc; sử dụng c&aacute;c biện ph&aacute;p trừng phạt ch&iacute;nh thức đối với nh&acirc;n vi&ecirc;n kh&ocirc;ng tu&acirc;n thủ c&aacute;c ch&iacute;nh s&aacute;ch v&agrave; quy tr&igrave;nh bảo mật của tổ chức.
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/d89367fd-3494-4dad-b4db-551dfacd8a0d" alt="an-to&agrave;n-th&ocirc;ng-tin-1-768x432" />
Đ&agrave;o tạo v&agrave; tuy&ecirc;n truyền: Đảm bảo rằng c&aacute;c nh&agrave; quản l&yacute; v&agrave; người sử dụng hệ thống th&ocirc;ng tin của tổ chức nhận thức được c&aacute;c rủi ro an to&agrave;n th&ocirc;ng tin li&ecirc;n quan đến hoạt động của họ v&agrave; c&aacute;c yếu tố li&ecirc;n quan đến ph&aacute;p luật, quy định v&agrave; ch&iacute;nh s&aacute;ch hiện h&agrave;nh li&ecirc;n quan đến vấn đề an to&agrave;n th&ocirc;ng tin của tổ chức; đống thời đảm bảo rằng nh&acirc;n sự trong tổ chức được đ&agrave;o tạo đầy đủ c&aacute;ch thức để thực hiện c&aacute;c nhiệm vụ v&agrave; tr&aacute;ch nhiệm li&ecirc;n quan đến an to&agrave;n th&ocirc;ng tin được giao.
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/b2ac0210-b49e-4db4-993e-33363fc66e64" alt="an-to&agrave;n-th&ocirc;ng-tin_2-1" />
Kiểm to&aacute;n v&agrave; Gắn tr&aacute;ch nhiệm: C&oacute; giải ph&aacute;p tạo, bảo vệ v&agrave; lưu giữ hồ sơ kiểm to&aacute;n hệ thống th&ocirc;ng tin trong phạm vi cần thiết để cho ph&eacute;p gi&aacute;m s&aacute;t, ph&acirc;n t&iacute;ch, điều tra v&agrave; b&aacute;o c&aacute;o về hoạt động của hệ thống th&ocirc;ng tin, nhằm c&oacute; thể ph&aacute;t hiện c&aacute;c h&agrave;nh vi, hoạt động bất hợp ph&aacute;p, tr&aacute;i ph&eacute;p hoặc kh&ocirc;ng ph&ugrave; hợp tr&ecirc;n hệ thống; đồng thời đảm bảo rằng h&agrave;nh vi của mọi người d&ugrave;ng tr&ecirc;n hệ thống th&ocirc;ng tin đều c&oacute; thể được truy vết v&agrave; t&igrave;m kiếm. Điều n&agrave;y đảm bảo rằng c&aacute; nh&acirc;n người d&ugrave;ng thực hiện c&aacute;c h&agrave;nh vi kh&ocirc;ng ph&ugrave; hợp tr&ecirc;n hệ thống c&oacute; thể được x&aacute;c định duy nhất v&agrave; họ c&oacute; thể sẽ phải chịu tr&aacute;ch nhiệm cho h&agrave;nh động của m&igrave;nh.
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/e4f40711-25d3-4ba1-a2ab-a6baf2a8b377" alt="đ&aacute;nh-gi&aacute;-kiểm-định-1-768x512" />
Lập kế hoạch dự ph&ograve;ng: Thiết lập, duy tr&igrave; v&agrave; triển khai c&aacute;c kế hoạch ứng ph&oacute; khẩn cấp, vận h&agrave;nh dự ph&ograve;ng v&agrave; phục hồi sau sự cố, đảm bảo t&iacute;nh sẵn c&oacute; của c&aacute;c nguồn th&ocirc;ng tin quan trọng v&agrave; t&iacute;nh li&ecirc;n tục của c&aacute;c hoạt động trong hệ thống th&ocirc;ng tin tổ chức ngay cả trong c&aacute;c t&igrave;nh huống khẩn cấp.
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/95619218-b03d-4b63-89a7-f09a360e5abb" alt="an-to&agrave;n-th&ocirc;ng-tin_3-1-768x329" />
Ứng ph&oacute; sự cố: Thiết lập khả năng xử l&yacute; sự cố cho c&aacute;c hệ thống th&ocirc;ng tin trong tổ chức bao gồm chuẩn bị, ph&aacute;t hiện, ph&acirc;n t&iacute;ch, ngăn chặn, phục hồi v&agrave; hoạt động phản hồi người d&ugrave;ng; theo d&otilde;i, lập t&agrave;i liệu v&agrave; b&aacute;o c&aacute;o sự cố cho c&aacute;c quan chức tổ chức hoặc những người c&oacute; thẩm quyền ph&ugrave; hợp.
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/d3da6058-e845-48ff-a611-f8938e5acfce" alt="ứng-ph&oacute;-sự-cố-768x329" />
Bảo tr&igrave;: Thực hiện bảo tr&igrave; định kỳ v&agrave; kịp thời tr&ecirc;n c&aacute;c hệ thống th&ocirc;ng tin tổ chức; cung cấp c&aacute;c biện ph&aacute;p kiểm so&aacute;t hiệu quả đối với c&aacute;c c&ocirc;ng cụ, kỹ thuật, cơ chế v&agrave; nh&acirc;n sự được sử dụng để tiến h&agrave;nh bảo tr&igrave; hệ thống th&ocirc;ng tin.
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/6a6fbfda-ee71-4c59-9805-3249b265236b" alt="bảo-tr&igrave;" />
Đ&aacute;nh gi&aacute; kiểm định v&agrave; chứng nhận: Cho ph&eacute;p cơ chế đ&aacute;nh gi&aacute; định k&yacute; c&aacute;c kiểm so&aacute;t an to&agrave;n trong c&aacute;c hệ thống th&ocirc;ng tin của tổ chức để x&aacute;c định xem c&aacute;c kiểm so&aacute;t đ&oacute; c&oacute; hiệu quả hay kh&ocirc;ng; từ đ&oacute; c&oacute; thể x&acirc;y dựng v&agrave; triển khai c&aacute;c kế hoạch h&agrave;nh động được thiết kế để sửa chữa c&aacute;c thiếu s&oacute;t nhằm giảm thiểu hoặc loại bỏ c&aacute;c lỗ hổng trong hệ thống th&ocirc;ng tin tổ chức; x&aacute;c thực c&aacute;c hoạt động của hệ thống th&ocirc;ng tin v&agrave; mọi li&ecirc;n kết c&oacute; li&ecirc;n quan; gi&aacute;m s&aacute;t c&aacute;c kiểm so&aacute;t an to&agrave;n tr&ecirc;n cơ sở li&ecirc;n tục để đảm bảo t&iacute;nh hiệu quả li&ecirc;n tục của c&aacute;c kiểm so&aacute;t n&agrave;y.
<img style="width: 500px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/4f702e12-7433-45c9-ac76-d3dcf79d3057" alt="chứng-nhận" />
C&aacute;c y&ecirc;u cầu được liệt k&ecirc; trong FIPS 200 bao gồm một loạt c&aacute;c biện ph&aacute;p đối ph&oacute; với c&aacute;c lỗ hổng bảo mật v&agrave; c&aacute;c mối đe dọa. Một c&aacute;ch đơn giản, ch&uacute;ng ta c&oacute; thể chia c&aacute;c biện ph&aacute;p đối ph&oacute; n&agrave;y th&agrave;nh hai loại: những biện ph&aacute;p đ&ograve;i hỏi c&aacute;c biện ph&aacute;p kỹ thuật li&ecirc;n quan đến c&aacute;c c&ocirc;ng nghệ về phần cứng hoặc phần mềm; v&agrave; những biện ph&aacute;p phi kỹ thuật, li&ecirc;n quan đến c&aacute;c vấn đề quản l&yacute; v&agrave; ch&iacute;nh s&aacute;ch an to&agrave;n th&ocirc;ng tin.
Mỗi y&ecirc;u cầu tr&ecirc;n c&oacute; thể bao gồm cả c&aacute;c biện ph&aacute;p kỹ thuật v&agrave; c&aacute;c biện ph&aacute;p quản l&yacute;. C&aacute;c y&ecirc;u cầu chủ yếu li&ecirc;n quan đến c&aacute;c biện ph&aacute;p kỹ thuật bao gồm kiểm so&aacute;t truy cập, định danh v&agrave; x&aacute;c thực, an to&agrave;n mạng, v&agrave; đảm bảo to&agrave;n vẹn hệ thống v&agrave; th&ocirc;ng tin. C&aacute;c y&ecirc;u cầu như nhận thức v&agrave; đ&agrave;o tạo; kiểm to&aacute;n v&agrave; gắn tr&aacute;ch nhiệm; đ&aacute;nh gi&aacute; v&agrave; kiểm định; lập kế hoạch dự ph&ograve;ng; bảo tr&igrave;; bảo vệ vật l&yacute; v&agrave; m&ocirc;i trường; lập kế hoạch; an to&agrave;n con người; đ&aacute;nh gi&aacute; rủi ro; v&agrave; an to&agrave;n hệ thống v&agrave; ứng dụng li&ecirc;n quan đến c&aacute;c kh&iacute;a cạnh về quản l&yacute;. C&aacute;c y&ecirc;u cầu chồng lấp c&aacute;c biện ph&aacute;p kỹ thuật v&agrave; kiểm so&aacute;t quản l&yacute; bao gồm quản l&yacute; cấu h&igrave;nh, ứng ph&oacute; sự cố v&agrave; bảo vệ phương tiện truyền th&ocirc;ng.
C&aacute;c y&ecirc;u cầu trong FIPS 200 chủ yếu l&agrave; c&aacute;c vấn đề li&ecirc;n quan đến quản l&yacute; hoặc &iacute;t nhất chứa một yếu tố li&ecirc;n quan đến quản l&yacute;, tr&aacute;i ngược với c&aacute;c giải ph&aacute;p phần mềm hoặc phần cứng thuần t&uacute;y. Điều n&agrave;y nghe c&oacute; vẻ bất hợp l&yacute; tuy nhi&ecirc;n, hầu hết c&aacute;c chuy&ecirc;n gia an to&agrave;n th&ocirc;ng tin đều nhận thấy rằng c&aacute;c giải ph&aacute;p c&ocirc;ng nghệ kh&oacute; c&oacute; thể giải quyết được c&aacute;c vấn đề bảo mật của bạn, bởi yếu tố con người lu&ocirc;n l&agrave; điểm yếu lớn nhất trong hệ thống. Do đ&oacute; cần c&oacute; sự kết hợp giữa c&aacute;c phương ph&aacute;p kỹ thuật v&agrave; quản l&yacute; để đạt được hiệu quả tốt nhất trong vấn đề bảo đảm an to&agrave;n th&ocirc;ng tin.

Admin

17 yêu cầu an toàn thông tin đối với hệ thống

Cùng tác giả

Admin

Có liên quan