bxphong
04-19-2007, 12:09 PM
Thông tin là phần rất quan trọng của tổ chức, nó có thể tồn tại ở rất nhiều dạng khác nhau - in hoặc viết ra giấy, lưu trữ trong các thiết bị điện tử, truyền phát qua con đường thư tín hoặc các phương tiện điện, thể hiện trên phim, hoặc là các lời nói trong hội thoại.
Trong môi trường kinh doanh cạnh tranh hiện nay, thông tin luôn chịu đe dọa từ rất nhiều nguồn khác nhau - có thể từ bên trong tổ chức, bên ngoài, các thảm họa hoặc các mã hại. Cùng với việc gia tăng sử dụng công nghệ mới cho lưu trữ, truyền phát và thu thập thông tin, là sự gia tăng tương ứng về số lượng và chủng loại các đe dọa.
Hơn nữa, yêu cầu ngày các cao từ các cơ quan Nhà nước liên quan đến nghĩa vụ tổ chức phải đảm bảo an toàn bảo mật thông tin.
An toàn bảo mật thông tin không chỉ là về đề công nghệ - nó là các vấn đề chính để quản trị và có thể tác động trực tiếp đến danh tiếng và cuối cùng là tồn tại của tổ chức - Bởi vậy nó là sống còn để tổ chức tiến hành các bước thích hợp để bảo vệ các tài sản thông tin của mình.
Chúng ta có thể dễ dàng đi đến thống nhất với nhau rằng An toàn bảo mật là một quá trình chứ không chỉ là một trạng thái.
An toàn bảo mật thông tin là vấn đề cốt yếu đối với tất cả các tổ chức và yêu cầu quản lý một cách hiệu quả.
Để quản lý hiệu quả các rủi ro và các mối đe dọa thông tin của tổ chức của bạn, Một giải pháp đã được chứng minh trên thực tế là bạn nên xây dựng hệ thống quản lý an toàn bảo mật thông tin (ISMS dựa trên tiêu chuẩn ISO 27001, sẽ giúp bạn quản lý các vấn đề này trong quá trình cải tiến liên tục an toàn bảo mật thông tin của bạn.
ISO 27001 là tiêu chuẩn công nhận mang tính quốc tế đặt ra các yêu cầu cho một ISMS. Nó giúp nhận biết, quản lý và tối thiểu một dải các đe dọa với thông tin là chủ đề thường xuyên. Tiêu chuẩn này được thiết kế để đảm bảo sự lựa chọn các kiểm soát an toàn bảo mật thích hợp và tương xứng. Nó sử dụng tiếp cận dựa trên rủi ro để quản lý an toàn bảo mật thông tin, đảm bảo rằng các kết quả là vừa thích hợp và vừa có thể đủ cho tổ chức của bạn
Thiết lập ISMS theo yêu cầu tiêu chuẩn ISO 27001 có thể giúp cho tổ chức của bạn bảo vệ được các tài sản thông tin.
Một vấn đề đặt ra khi thiết lập ISMS đó là lưa chọn các kiểm soát như thế nào? – trong phụ lục A của ISO 27001 đưa ra các mục tiêu kiểm soát và các kiểm soát cần thiết cho ISMS. Các mục tiêu kiểm soát và các kiểm soát này lấy từ trong ISO 17799:2005 – sau đây chúng ta thử tìm hiểu sơ bộ về ISO 17799:2005.
Giới thiệu ISO 17799
ISO 17799:2005 - Tập quy phạm cho quản lý an toàn bảo mật thông tin: đây là tiêu chuẩn quốc tế cung cấp các hướng dẫn quản lý an toàn bảo mật thông tin dựa trên quy phạm công nghiệp tốt nhất. ISO 17799 thiết lập các hướng dẫn và các nguyên tắc cơ bản để khởi tạo, thực hiện, duy trì và cải tiến quản lý an toàn bảo mật thông tin trong tổ chức. Lưu ý rằng tiêu chuẩn đơn giản chỉ đưa ra các hướng dẫn, nó không chứa thông tin đủ kỹ để chỉ ra bằng cách nào an toàn bảo mật thông tin được thực hiện và duy trì.
Các kiểm soát an toàn bảo mật và các phương tiện quản lý các rủi ro đươc đề cập trong tiêu chuẩn không phải được lựa chọn tất cả. Các kiểm soát thích hợp được lựa chọn sau khi việc đánh giá rủi ro một cách đủ sâu đã hoàn tất. Chỉ từ khi đó các kiểm soát được lựa chọn mới đáp ứng được các cần thiết cụ thể của tổ chức. Mỗi tổ chức là duy nhất, do vậy với mỗi tổ chức sẽ đối diện với các mối đe dọa và các điểm yếu khác nhau. Điều này này rất quan trọng đối với việc hiểu các kiểm soát được đề cập trong tiêu chuẩn không được sắp xếp và xây dựng theo tổ chức hoặc được ưu tiên theo bất kỳ một chuẩn mực cụ thể nào. Mỗi kiểm soát nên được cân bằng với tầm quan trọng và nên được cân nhắc theo các yêu cầu cụ thể của Hệ thống và chặng thiết kế. Các thất bại trong thực hiện thường ở chỗ thiếu các đo lường hiệu quả chi phí hoăc thậm chí thất bại trong việc tìm an toàn bảo mật thích hợp.
Điểm cuối cùng nên được nhấn mạnh về tiêu chuẩn là ISO cảnh báo rằng không có một tập hợp các kiểm soát nào đạt được an toàn bảo mật hoàn thiện. ISO khuyến khích can thiệp thêm từ lãnh đạo để theo dõi, đánh giá và cải tiến hiệu lực của các kiểm soát an toàn bảo mật hỗ trợ cho các mục tiêu kinh doanh của tổ chức.
Cấu trúc ISO 17799
Chúng ta sẽ xem xét một cách thích hợp cấu trúc của ISO 17799, nó sẽ giúp chúng ta hiểu tốt hơn các hướng dẫn và các nguyên tắc cơ bản trong tiêu chuẩn. Tiêu chuẩn chứa 11 “ điều khoản” kiểm soát an toàn bảo mật, tập hợp trong nó tổng cộng có 39 loại an toàn bảo mật chính.
Đây là danh sách của 11 điều, không xếp theo mức độ quan trọng, số trong ngặc đơn bên cạnh là số các loại an toàn bảo mật chính chứa trong mỗi điều khoản đó. Đầu tiên mỗi loại có:
+ “ mục tiêu kiểm soát” – nó tuyên bố kiểm soát nào sẽ đạt được.
+ Kế đến mỗi loại lại chứa một hoặc nhiều kiểm soát có thể được áp dụng để đạt được mục tiêu kiểm soát.
a) Chính sách an toàn (1)
b) Tổ chức an toàn thông tin (2)
c) Quản lý tài sản (2)
d) An toàn nguồn nhân lực (3)
e) An toàn vật lý và môi trường (2)
f) Quản lý trao đổi và vận hành (10)
g) Kiểm soát truy cập (7)
h) Các hệ thống thông tin đạt được, phát triển và duy trì (6)
i) Quản lý sự cố an toàn thông tin (2)
j) Quan lý kinh doanh liên tục (1)
k) Sự phù hợp (3)
Trong môi trường kinh doanh cạnh tranh hiện nay, thông tin luôn chịu đe dọa từ rất nhiều nguồn khác nhau - có thể từ bên trong tổ chức, bên ngoài, các thảm họa hoặc các mã hại. Cùng với việc gia tăng sử dụng công nghệ mới cho lưu trữ, truyền phát và thu thập thông tin, là sự gia tăng tương ứng về số lượng và chủng loại các đe dọa.
Hơn nữa, yêu cầu ngày các cao từ các cơ quan Nhà nước liên quan đến nghĩa vụ tổ chức phải đảm bảo an toàn bảo mật thông tin.
An toàn bảo mật thông tin không chỉ là về đề công nghệ - nó là các vấn đề chính để quản trị và có thể tác động trực tiếp đến danh tiếng và cuối cùng là tồn tại của tổ chức - Bởi vậy nó là sống còn để tổ chức tiến hành các bước thích hợp để bảo vệ các tài sản thông tin của mình.
Chúng ta có thể dễ dàng đi đến thống nhất với nhau rằng An toàn bảo mật là một quá trình chứ không chỉ là một trạng thái.
An toàn bảo mật thông tin là vấn đề cốt yếu đối với tất cả các tổ chức và yêu cầu quản lý một cách hiệu quả.
Để quản lý hiệu quả các rủi ro và các mối đe dọa thông tin của tổ chức của bạn, Một giải pháp đã được chứng minh trên thực tế là bạn nên xây dựng hệ thống quản lý an toàn bảo mật thông tin (ISMS dựa trên tiêu chuẩn ISO 27001, sẽ giúp bạn quản lý các vấn đề này trong quá trình cải tiến liên tục an toàn bảo mật thông tin của bạn.
ISO 27001 là tiêu chuẩn công nhận mang tính quốc tế đặt ra các yêu cầu cho một ISMS. Nó giúp nhận biết, quản lý và tối thiểu một dải các đe dọa với thông tin là chủ đề thường xuyên. Tiêu chuẩn này được thiết kế để đảm bảo sự lựa chọn các kiểm soát an toàn bảo mật thích hợp và tương xứng. Nó sử dụng tiếp cận dựa trên rủi ro để quản lý an toàn bảo mật thông tin, đảm bảo rằng các kết quả là vừa thích hợp và vừa có thể đủ cho tổ chức của bạn
Thiết lập ISMS theo yêu cầu tiêu chuẩn ISO 27001 có thể giúp cho tổ chức của bạn bảo vệ được các tài sản thông tin.
Một vấn đề đặt ra khi thiết lập ISMS đó là lưa chọn các kiểm soát như thế nào? – trong phụ lục A của ISO 27001 đưa ra các mục tiêu kiểm soát và các kiểm soát cần thiết cho ISMS. Các mục tiêu kiểm soát và các kiểm soát này lấy từ trong ISO 17799:2005 – sau đây chúng ta thử tìm hiểu sơ bộ về ISO 17799:2005.
Giới thiệu ISO 17799
ISO 17799:2005 - Tập quy phạm cho quản lý an toàn bảo mật thông tin: đây là tiêu chuẩn quốc tế cung cấp các hướng dẫn quản lý an toàn bảo mật thông tin dựa trên quy phạm công nghiệp tốt nhất. ISO 17799 thiết lập các hướng dẫn và các nguyên tắc cơ bản để khởi tạo, thực hiện, duy trì và cải tiến quản lý an toàn bảo mật thông tin trong tổ chức. Lưu ý rằng tiêu chuẩn đơn giản chỉ đưa ra các hướng dẫn, nó không chứa thông tin đủ kỹ để chỉ ra bằng cách nào an toàn bảo mật thông tin được thực hiện và duy trì.
Các kiểm soát an toàn bảo mật và các phương tiện quản lý các rủi ro đươc đề cập trong tiêu chuẩn không phải được lựa chọn tất cả. Các kiểm soát thích hợp được lựa chọn sau khi việc đánh giá rủi ro một cách đủ sâu đã hoàn tất. Chỉ từ khi đó các kiểm soát được lựa chọn mới đáp ứng được các cần thiết cụ thể của tổ chức. Mỗi tổ chức là duy nhất, do vậy với mỗi tổ chức sẽ đối diện với các mối đe dọa và các điểm yếu khác nhau. Điều này này rất quan trọng đối với việc hiểu các kiểm soát được đề cập trong tiêu chuẩn không được sắp xếp và xây dựng theo tổ chức hoặc được ưu tiên theo bất kỳ một chuẩn mực cụ thể nào. Mỗi kiểm soát nên được cân bằng với tầm quan trọng và nên được cân nhắc theo các yêu cầu cụ thể của Hệ thống và chặng thiết kế. Các thất bại trong thực hiện thường ở chỗ thiếu các đo lường hiệu quả chi phí hoăc thậm chí thất bại trong việc tìm an toàn bảo mật thích hợp.
Điểm cuối cùng nên được nhấn mạnh về tiêu chuẩn là ISO cảnh báo rằng không có một tập hợp các kiểm soát nào đạt được an toàn bảo mật hoàn thiện. ISO khuyến khích can thiệp thêm từ lãnh đạo để theo dõi, đánh giá và cải tiến hiệu lực của các kiểm soát an toàn bảo mật hỗ trợ cho các mục tiêu kinh doanh của tổ chức.
Cấu trúc ISO 17799
Chúng ta sẽ xem xét một cách thích hợp cấu trúc của ISO 17799, nó sẽ giúp chúng ta hiểu tốt hơn các hướng dẫn và các nguyên tắc cơ bản trong tiêu chuẩn. Tiêu chuẩn chứa 11 “ điều khoản” kiểm soát an toàn bảo mật, tập hợp trong nó tổng cộng có 39 loại an toàn bảo mật chính.
Đây là danh sách của 11 điều, không xếp theo mức độ quan trọng, số trong ngặc đơn bên cạnh là số các loại an toàn bảo mật chính chứa trong mỗi điều khoản đó. Đầu tiên mỗi loại có:
+ “ mục tiêu kiểm soát” – nó tuyên bố kiểm soát nào sẽ đạt được.
+ Kế đến mỗi loại lại chứa một hoặc nhiều kiểm soát có thể được áp dụng để đạt được mục tiêu kiểm soát.
a) Chính sách an toàn (1)
b) Tổ chức an toàn thông tin (2)
c) Quản lý tài sản (2)
d) An toàn nguồn nhân lực (3)
e) An toàn vật lý và môi trường (2)
f) Quản lý trao đổi và vận hành (10)
g) Kiểm soát truy cập (7)
h) Các hệ thống thông tin đạt được, phát triển và duy trì (6)
i) Quản lý sự cố an toàn thông tin (2)
j) Quan lý kinh doanh liên tục (1)
k) Sự phù hợp (3)
