Quản lý rủi ro theo các tiêu chi NFP cho các dịch vụ web NFP (non functional property) aware risk management for web services

BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI - LUẬN VĂN THẠC SỸ KHOA HỌC QUẢN LÝ RỦI RO THEO CÁC TIÊU CHÍ NFP CHO CÁC DỊCH VỤ WEB NFP (NON-FUNCTIONAL PROPERTY) - AWARE RISK MANAGEMENT FOR WEB SERVICES NGÀNH: CÔNG NGHỆ THÔNG TIN MÃ SỐ:…………… PHẠM VĂN ĐỒNG Người hướng dẫn khoa học: TS VŨ THỊ HƯƠNG GIANG HÀ NỘI 2010 Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web LỜI CAM ĐOAN Tôi – Phạm Văn Đồng, học viên lớp Cao học CNTT 2007-2009 Trường Đại học Bách Khoa Hà Nội – cam kết Luận văn tốt nghiệp công trình nghiên cứu thân hướng dẫn TS Vũ Thị Hương Giang, Viện CNTT-TT, Trường Đại học Bách Khoa Hà Nội Các kết nêu Luận văn tốt nghiệp trung thực, không chép toàn văn công trình khác Hà Nội, ngày 04, tháng 02, năm 2010 Học viên: Phạm Văn Đồng Lớp : Cao Học CNTT 07-09 Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web LỜI CẢM ƠN Tôi xin bày tỏ lòng biết ơn sâu sắc tới cô giáo, TS Vũ Thị Hương Giang, Viện Công Nghệ Thông Tin Truyền Thông, trường Đại học Bách Khoa Hà Nội, khuyến khích tận tình hướng dẫn suốt trình thực luận văn Nhờ quan tâm bảo ý kiến đóng góp quý báu cô, hoàn thành luận văn Tôi xin chân thành cảm ơn tập thể thầy, cô giáo trường Đại học Bách Khoa Hà Nội nói chung Viện Công Nghệ Thông Tin Truyền Thông nói riêng tận tình giảng dạy truyền đạt cho kiến thức, kinh nghiệm quý báu suốt năm học vừa qua Tôi xin cảm ơn giảng viên đồng nghiệp trường đại học Mỏ - Địa chất tạo điều kiện thời gian để học tập hoàn thành luận văn Cuối cùng, xin chân thành cảm ơn gia đình, người thân hết lòng giúp đỡ hỗ trợ vật chất lẫn tinh thần giúp yên tâm học tập nghiên cứu suốt trình học tập thực luận văn Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web MỤC LỤC LỜI CAM ĐOAN LỜI CẢM ƠN MỤC LỤC DANH MỤC CÁC HÌNH VẼ DANH MỤC CÁC BẢNG DANH MỤC CÁC TỪ VIẾT TẮT MỞ ĐẦU 10 Tính cấp thiết đề tài 10 Mục đích nghiên cứu 10 Nhiệm vụ nghiên cứu 10 Phương pháp nghiên cứu 11 Phạm vi nghiên cứu 11 Cấu trúc luận văn 11 CHƯƠNG TỔNG QUAN VỀ DỊCH VỤ WEB 12 1.1 Khái niệm dịch vụ Web 12 1.2 Kiến trúc dịch vụ Web 15 1.3 Các công cụ xây dựng dịch vụ Web 16 1.3.1 XML– Extensible Markup Language 16 1.3.2 WSDL - Web Services Description Language 16 1.3.3.UDDI - Universal Description, Discovery and Intergration 19 1.3.4 SOAP - Simple Object Accesss Protocol 19 1.3.5 Tạo Web Service 22 1.4 Các lợi ích dịch vụ Web 23 TỔNG KẾT CHƯƠNG 26 CHƯƠNG QUẢN LÝ RỦI RO CHO CÁC DỊCH VỤ WEB 27 2.1 Giới thiệu 27 2.2 Khái niệm quản lý rủi ro 27 2.3 Các rủi ro dịch vụ Web 28 2.4 Tích hợp quản lý rủi ro dịch vụ Web vào vòng đời phát triển hệ thống - SDLC (System Develop Life Circle) 29 2.5 Các vai trò người tham gia quản lý rủi ro dịch vụ Web 30 2.6 Quy trình quản lý rủi ro cho dịch vụ Web 31 2.6.1 Đánh giá rủi ro cho dịch vụ Web 32 2.6.2 Giảm nhẹ rủi ro cho dịch vụ Web 49 2.6.3 Ước lượng đánh giá 63 TỔNG KẾT CHƯƠNG 65 CHƯƠNG CÁC TIÊU CHÍ NFP ĐỐI VỚI DỊCH VỤ WEB 66 3.1 Giới thiệu 66 3.2 An toàn (Security) 66 3.3 Chịu lỗi (Fault Tolerance) 67 3.4 Thực thi (Implementation) 69 3.5 Sẵn sàng (Availability) 71 3.6 Tin cậy (Reliability) 71 3.7 Phục hồi (Recovery) 72 3.8 Tương thao tác (Interoperability) 73 Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web TỔNG KẾT CHƯƠNG 74 CHƯƠNG QUẢN LÝ RỦI RO CHO DỊCH VỤ WEB THEO TIÊU CHÍ AN TOÀN 75 4.1 Giới thiệu 75 4.2 Quy trình quản lý rủi ro an toàn dịch vụ Web 76 4.3 Thiết lập ngữ cảnh (Context establishment) 78 4.3.1 Nghiên cứu tổng thể (General consideration) 78 4.3.2 Các tiêu chí 78 4.3.3 Xác định phạm vi giới hạn 80 4.3.4 Vai trò tổ chức quản lý rủi ro an toàn dịch vụ Web 81 4.4 Đánh giá rủi ro an toàn dịch vụ Web 81 4.4.1 Mô tả đánh giá rủi ro an toàn dịch vụ Web 81 4.4.2 Các bước đánh giá rủi ro 82 4.5 Xử lý rủi ro an toàn dịch vụ Web (WS Security Risk Treatment) 90 4.5.1 Mô tả tổng quát xử lý rủi ro 90 4.5.2 Giảm nhẹ rủi ro (Risk Reduction) 92 4.5.3 Duy trì rủi ro (Risk retention) 93 4.5.4 Tránh rủi ro (Risk avoidance) 94 4.5.5 Chuyển đổi rủi ro (Risk transfer) 94 4.6 Chấp nhận rủi ro an toàn dịch vụ Web (WS security risk acceptance) 94 4.7 Truyền đạt rủi ro an toàn dịch vụ Web (WS security risk communication) 95 4.8 Theo dõi xem lại rủi ro an toàn dịch vụ Web (WS security risk monitoring and review) 96 4.8.1 Theo dõi xem lại nhân tố rủi ro (Monitoring and review of risk factors) 96 4.8.2 Theo dõi, xem lại cải tiến quản lý rủi ro (Risk management monitoring, reviewing and improving) 97 TỔNG KẾT CHƯƠNG 99 CHƯƠNG XÂY DỰNG THỬ NGHIỆM CHƯƠNG TRÌNH QUẢN LÝ RỦI RO THỬ NGHIỆM THEO TIÊU CHÍ AN TOÀN ĐỐI VỚI CÁC DỊCH VỤ WEB 101 5.1 Khảo sát thực trạng quản lý rủi ro an toàn chịu lỗi dịch vụ Web số quan, doanh nghiệp Việt Nam 101 5.1.1 Mục đích khảo sát 102 5.1.2 Nội dung khảo sát 102 5.1.3 Kết khảo sát 102 5.2 Chương trình thử nghiệm quản lý rủi ro dịch vụ Web theo tiêu chí an toàn 105 5.2.1 Bước 1.1 Xác định phạm vi hệ thống 111 5.2.2 Bước 1.2 Tài liệu hệ thống 112 5.2.3 Bước 1.3 Thang đo đánh giá rủi ro 113 5.2.4 Bước 2.1 Xác định tài sản 114 5.2.5 Bước 3.1 Xác định yêu cầu 116 5.2.6 Bước 3.2 Định giá tài sản 117 5.2.7 Bước 4.1 Xác định mối đe dọa điểm yếu 118 5.2.8 Bước 4.2 Mức độ rủi ro 119 5.2.9 Bước 5.1 Các rủi ro hệ thống 121 5.2.10 Bước 6.1 Tùy chọn xử lý rủi ro 122 5.2.11 Bước 6.2 Lựa chọn mục tiêu kiểm soát kiểm soát 124 Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web 5.2.12 Bước 6.3 Giảm nhẹ rủi ro 126 5.2.13 Bước 7.1 hướng dẫn tính ứng dụng kiểm soát 127 5.2.14 Bước 8.1 Thực thi kiểm soát chọn 129 TỔNG KẾT CHƯƠNG 131 KẾT LUẬN 132 Các nội dung hoàn thành luận văn 132 Các đóng góp khoa học 132 Hướng phát triển luận văn 133 TÀI LIỆU THAM KHẢO 135 TÓM TẮT LUẬN VĂN 136 THESIS SUMARY 137 PHỤ LỤC KHẢO SÁT THỰC TRẠNG QUẢN LÝ RỦI RO AN TOÀN VÀ CHỊU LỖI DỊCH VỤ WEB: KHUNG CÂU HỎI BẮT BUỘC 138 PHỤ LỤC KHẢO SÁT THỰC TRẠNG QUẢN LÝ RỦI RO AN TOÀN VÀ CHỊU LỖI DỊCH VỤ WEB: KHUNG CÂU HỎI TÙY CHỌN 151 Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web DANH MỤC CÁC HÌNH VẼ Hình 1.1 Kiến trúc dịch vụ Web 15 Hình 1.2 Cấu trúc WSDL 17 Hình 1.3 Cấu trúc message SOAP 20 Hình 1.4 Các thành phần cần thiết web service mối quan hệ thành phần 23 Hình 2.1 Quy trình phương pháp đánh giá rủi ro 33 Hình 2.2 Các điểm hành động giảm nhẹ rủi ro 51 Hình 2.3 Biểu đồ phương pháp giảm nhẹ rủi ro (Risk Mitigation Methodology Flowchart) 54 Hình 2.4 Các kiểm soát kỹ thuật 56 Hình 2.5 Các kiểm soát thực thi rủi ro dư thừa 63 Hình 3.1 Vòng đời thực thi dịch vụ Web 70 Hình 4.1 Quy trình quản lý rủi ro an toàn dịch vụ Web 76 Hình 4.2 Hành động xử lý rủi ro 91 Hình 5.1 Các chức hệ thống 106 Hình 5.2 Thu thập thông tin hệ thống 107 Hình 5.3 Các rủi ro hệ thống 108 Hình 5.4 Các định quản lý rủi ro 109 Hình 5.5 Thực thi kiểm soát 110 Hình 5.6 Bước 1.1 Xác định phạm vi hệ thống 112 Nhiệm vụ: đưa tài liệu sinh hệ thống 112 Bước 5: Nếu cần thiết, xóa tài liệu khỏi “Danh sách tài liệu chọn” cách chọn tài liệu nhấp vào nút "Xóa tài liệu" 112 Hình 5.7 Bước 1.2 Tài liệu hệ thống 113 Hình 5.8 Bước 1.3 Thang đo đánh giá rủi ro 114 Hình 5.9 Bước 2.1 Xác định tài sản 115 Hình 5.10 Bước 3.1 Xác định yêu cầu 116 Hình 5.11 Bước 3.2 Định giá tài sản 118 Hình 5.12 Bước 4.1 Xác định mối đe dọa điểm yếu 119 Hình 5.13 Bước 4.2 Mức độ rủi ro 121 Hình 5.14 Bước 5.1 Các rủi ro hệ thống 122 Hình 5.15 Bước 6.1 Tùy chọn xử lý rủi ro 124 Hình 5.16 Bước 6.2 Lựa chọn mục tiêu kiểm soát kiểm soát 125 Hình 5.17 Bước 6.3 Giảm nhẹ rủi ro 127 Hình 5.18 Bước 7.1 hướng dẫn tính ứng dụng kiểm soát 129 Hình 5.19 Bước 8.1 Thực thi kiểm soát chọn 130 Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web DANH MỤC CÁC BẢNG Bảng 2.1 Tích hợp quản lý rủi ro vào SDLC 29 Bảng 2.2 Các tổn hại người: 37 Bảng 2.3 Vulnerability/Threat Pairs 39 Bảng 2.4 Tiêu chuẩn an toàn 42 Bảng 2.5 Xác định khả xảy 44 Bảng 2.6 Xác định độ lớn tác động 46 Bảng 2.7 Ma trận mức độ rủi ro 47 Bảng 2.8 Tỷ lệ rủi ro hành động cần thiết 48 Bảng 4.1 Sự liên kết hệ thống quản lý an toàn thông tin quy trình quản lý rủi ro an toàn dịch vụ Web 78 Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web DANH MỤC CÁC TỪ VIẾT TẮT STT Từ viết tắt Giải nghĩa FT HTML GUI NVP NFP SOAP XML W3C WS Fault Tolerant Hyper Text Markup Language Graphical User Interface N- Version Programming Non – Functional Property Simple Object Access Protocol eXtensible Markup Language World Wide Web Consortium Web Service Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web MỞ ĐẦU Tính cấp thiết đề tài Quản lý rủi ro vấn đề quan trọng việc phát triển ứng dụng công nghệ thông tin Với việc phát triển vũ bão công nghệ Web việc giảm thiểu rủi ro khai thác dịch vụ Web vấn đề cấp thiết Bên cạnh đó, việc trì tiêu chí mô tả chất lượng dịch vụ (NFP) bảo mật, chịu lỗi, v.v vấn đề nhà cung cấp dịch vụ quan tâm Trên giới có nhiều nghiên cứu quản lý rủi ro tiêu chí NFP (Non-Funtional Property) cho phần mềm nói chung cho dịch vụ nói riêng Tuy nhiên, chưa có nghiên cứu cụ thể mối quan hệ tương hỗ hai vấn đề Do không đánh giá mức độ ảnh hưởng tiêu chí NFP đến mức độ rủi ro khai thác dịch vụ Web nên khó đưa mô hình quản lý rủi ro phù hợp cho dịch vụ Web có tiêu chí NFP khác Mục đích nghiên cứu Mục đích luận văn nghiên cứu quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web Trước tiên tư tưởng kỹ thuật dịch vụ Web nói chung đào sâu nghiên cứu tìm hiểu Tiếp theo luận văn nghiên cứu tiêu chí NFP dịch vụ Web an toàn Vì mục tiêu quản lý rủi ro nên luận văn tìm hiểu mô hình quản lý rủi ro, khảo sát tình hình thực tế mà quan, tổ chức, doanh nghiệp Việt Nam gặp phải việc quản lý rủi ro an toàn chịu lỗi dịch vụ Web Luận văn phân tích đưa mô hình quản lý rủi ro phù hợp với tiêu chí an toàn dịch vụ Web Một ứng dụng thử nghiệm xây dựng để thử nghiệm tính khả thi mô hình Nhiệm vụ nghiên cứu • • • • Nghiên cứu dịch vụ web Nghiên cứu quản lý rủi ro Tìm hiểu tiêu chí NFP dịch vụ Web : chịu lỗi an toàn Phân tích đánh giá ảnh hưởng tiêu chí đến việc quản lý rủi ro dịch vụ web • Khảo sát trạng quản lý rủi ro an toàn chịu lỗi dịch vụ Web quan, tổ chức, doanh nghiệp Việt Nam • Xây dựng mô hình quản lý rủi ro phù hợp cài đặt thử nghiệm Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội 10 Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web 50 Have all security requirements for electronic commerce been identified? a) Yes b) Partly c) No d) Not applicable 51 Are all networks used for electronic commerce secured appropriately against network attacks? a) Yes b) Partly c) No d) Not applicable 52 53 54 55 56 Have all security risks of using electronic mail been assessed? a) Yes b) Partly c) No d) Not applicable Is a clear policy in place regarding the use of electronic mail? a) Yes b) Partly c) No d) Not applicable Do all employees know how to protect against attacks on electronic mail, e.g viruses, interception? a) Yes b) Partly c) No d) Not applicable Do all employees know what to to protect electronic mail attachments? a) Yes b) Partly c) No d) Not applicable Are guidelines in place on when not to use electronic mail? a) Yes Tất yêu cầu an toàn thương mại điện tử xác định? a) Có b) Một phần c) Không d) Không áp dụng Tất mạng sử dụng thương mại điện tử bảo vệ thích hợp chống lại công mạng? a) Có b) Một phần c) Không d) Không áp dụng Tất rủi ro an toàn việc sử dụng thư điện tử đánh giá? a) Có b) Một phần c) Không d) Không áp dụng Có sách rõ ràng việc sử dụng thư điện tử? a) Có b) Một phần c) Không d) Không áp dụng Có Có Có Khi sử dụng thư điện tử, không sử dụng … Tất nhân viên hiểu cách thức bảo vệ tránh công vào thư điện tử? a) Có b) Một phần c) Không d) Không áp dụng Tất nhân viên hiểu cần phải làm để bảo vệ phần đính kèm thư điện tử? a) Có b) Một phần c) Không d) Không áp dụng Có nguyên tắc không sử dụng thư điện tử? a) Có Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Có Có Dò vi rus phần đính kèm Có Mức độ bảo mật không Có 146 Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web 57 58 59 60 61 62 b) Partly c) No d) Not applicable Has the appropriate use of cryptographic techniques to protect email been defined? a) Yes b) Partly c) No d) Not applicable Have the persons being authorised to use the system been identified? a) Yes b) Partly c) No d) Not applicable Have selected facilities been restricted to specific categories of user, as necessary? a) Yes b) Partly c) No d) Not applicable Are procedures and controls in place to protect the exchange of information through the use of voice, facsimile and video communications facilities? a) Yes b) Partly c) No d) Not applicable Are employees advised not to leave sensitive messages on answering machines? a) Yes b) Partly c) No d) Not applicable Have all users received a written statement of their access rights? a) Yes b) Partly c) No d) Not applicable b) Một phần c) Không d) Không áp dụng Các kỹ thuật mã hóa thích hợp để bảo vệ email xác định? a) Có b) Một phần c) Không d) Không áp dụng Những người cấp phép sử dụng hệ thống xác định? a) Có b) Một phần c) Không d) Không áp dụng Các tiện nghi lựa chọn bị hạn chế đến mục riêng biệt người dùng? a) Có b) Một phần c) Không d) Không áp dụng Có thủ tục kiểm soát để bảo vệ trao đổi thông tin thông qua phương tiện truyền thông hình ảnh âm thanh? a) Có b) Một phần c) Không d) Không áp dụng Tất nhân viên cảnh báo không để thông điệp nhạy cảm máy trả lời tự động? a) Có b) Một phần c) Không d) Không áp dụng Tất người dùng nhận văn quyền truy cập họ? a) Có b) Một phần c) Không d) Không áp dụng Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội sử dụng thư điện tử Các tiện nghi lựa chọn theo nhóm người dùng Có 147 Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web 63 64 65 66 67 68 Are all access rights periodically checked for redundant user IDs and accounts, and are those removed, if found? a) Yes b) Partly c) No d) Not applicable Is the use of specified application systems and/or security gateways for external network users enforced? a) Yes b) Partly c) No d) Not applicable Is network access restricted by setting up separate logical domains? a) Yes b) Partly c) No d) Not applicable Is all access that is taking place by remote users subject to authentication? a) Yes b) Partly c) No d) Not applicable Have dedicated private lines or a network user address checking facility been considered to provide assurance of the source of connections? a) Yes b) Partly c) No d) Not applicable Have key locks and other means to protect against unauthorised physical access been considered? a) Yes b) Partly c) No d) Not applicable Tất quyền truy cập thường xuyên kiểm tra tính dư thừa ID tài khoản người dùng, dư thừa gỡ bỏ? a) Có b) Một phần c) Không d) Không áp dụng Việc sử dụng hệ thống ứng dụng đặc biệt hay cổng an toàn người dùng bên mạng bắt buộc tuân thủ theo quy định? a) Có b) Một phần c) Không d) Không áp dụng Mạng máy tính giới hạn thiết lập domain vật lý riêng biệt? a) Có b) Một phần c) Không d) Không áp dụng Tất truy cập người dùng từ xa thẩm định quyền? a) Có b) Một phần c) Không d) Không áp dụng Có Cấp phép sử dụng hay không Có Có đường truyền riêng chuyên biệt hay mạng để đảm bảo cho nguồn kết nối? a) Có b) Một phần c) Không d) Không áp dụng Có khóa mã hay biện pháp khác tương tự để bảo vệ chống lại truy cập vật lý trái phép? a) Có b) Một phần c) Không d) Không áp dụng Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội 148 Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web 69 70 71 72 73 74 Have the networks been divided into logical domains, e.g organisation internal and external? a) Yes b) Partly c) No d) Not applicable Have secure gateways been installed between the networks to control access and information flow? a) Yes b) Partly c) No d) Not applicable Have the gateways been configured to filter traffic between these domains and to block unauthorized access? a) Yes b) Partly c) No d) Not applicable Have network gateways that filter traffic by means of pre-defined tables or rules been put in place? a) Yes b) Partly c) No d) Not applicable Does the password management system used provide an effective, interactive facility, which ensures quality passwords? a) Yes b) Partly c) No d) Not applicable Does the password management system not display passwords on the screen when being entered? a) Yes b) Partly c) No d) Not applicable Các mạng chia thành domain vật lý? a) Có b) Một phần c) Không d) Không áp dụng Các cổng an toàn cài đặt mạng máy tính để kiểm soát truy cập luồng thông tin? a) Có b) Một phần c) Không d) Không áp dụng Các cổng vào định cấu hình để lọc đường truyền domain để chặn truy cập trái phép? a) Có b) Một phần c) Không d) Không áp dụng Đã đặt cổng mạng máy tính để lọc luồng thông tin qua mạng dùng bảng hay quy tắc xác định trước? a) Có b) Một phần c) Không d) Không áp dụng Hệ thống quản lý mật có đưa hiệu quả, bảo đảm chất lượng mật khẩu? a) Có b) Một phần c) Không d) Không áp dụng Có Hệ thống quản lý mật không hiển thị mật trình nhập mật khẩu? a) Có b) Một phần c) Không d) Không áp dụng Có Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội 149 Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web 75 76 77 78 79 80 Is a key management system in place to support the organization’s use of the two types (secret and public) of cryptographic techniques? a) Yes b) Partly c) No d) Not applicable Have management procedures and responsibilities been established to deal with the virus protection on systems, training in their use, reporting and recovering from virus attacks? a) Yes b) Partly c) No d) Not applicable Are appropriate business continuity plans for recovering from virus attacks in place? a) Yes b) Partly c) No d) Not applicable Is all essential business information and software regularly backed up? a) Yes b) Partly c) No d) Not applicable Are a policy and appropriate controls in place to manage information sharing? a) Yes b) Partly c) No d) Not applicable Is it ensured that passwords are never stored on computer system in an unprotected form? a) Yes b) Partly c) No d) Not applicable Hệ thống quản lý khóa mã tổ chức có hỗ trợ hai kiểu kỹ thuật mã hóa bí mật công khai? a) Có b) Một phần c) Không d) Không áp dụng Có thủ tục quản lý thiết lập trách nhiệm bảo vệ hệ thống khỏi virus, huấn luyện cách sử dụng, báo cáo phục hồi sau công virus? a) Có b) Một phần c) Không d) Không áp dụng Có kế hoạch nghiệp vụ liên tục thích hợp việc phục hồi sau công virus? a) Có b) Một phần c) Không d) Không áp dụng Tất thông tin kinh doanh cốt yếu phần mềm thường xuyên lưu? a) Có b) Một phần c) Không d) Không áp dụng Đã có sách kiểm soát thích hợp việc quản lý thông tin chia xẻ? a) Có b) Một phần c) Không d) Không áp dụng Mật không lưu giữ hệ thống máy tính theo dạng không bảo vệ? a) Có b) Một phần c) Không d) Không áp dụng Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Có Có Có Chia xẻ thông tin cho ai, thông tin chia xẻ Có 150 Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web PHỤ LỤC KHẢO SÁT THỰC TRẠNG QUẢN LÝ RỦI RO AN TOÀN VÀ CHỊU LỖI DỊCH VỤ WEB: KHUNG CÂU HỎI TÙY CHỌN STT Câu hỏi tiếng Anh Câu hỏi tiếng Việt Ví dụ Trả lời Đáp án Is one manager appointed to be responsible for all activities related to security? a) Yes b) Partly c) No d) Not applicable Có người quản lý bổ nhiệm để chịu trách nhiệm tất hoạt động liên quan đến việc đảm bảo an toàn? a) Có b) Một phần c) Không d) Không áp dụng Các hoạt động như: gửi thư điện tử, tải tài liệu từ mạng … Có Is an information security manager (or a similar role) appointed who is responsibility for security? a) Yes b) Partly c) No d) Not applicable Có người quản lý an toàn thông tin bổ nhiệm để chịu trách nhiệm cho an toàn? a) Có b) Một phần c) Không d) Không áp dụng Kiểm tra số kỹ thuật như: tường lửa, phần mềm chống virus, phòng chống thâm nhập … Có Do all users receive appropriate awareness education to understand the importance of security? a) Yes b) Partly c) No d) Not applicable Are past incidents used as information resource in the security policy review process? a) Yes b) Partly c) No d) Not applicable Is the security perimeter clearly defined? a) Yes b) Partly c) No d) Not applicable The walls of solid construction, and all external doors suitably protected against unauthorised access? a) Yes Tất người dùng nhận kiến thức nhận thức thích hợp để hiểu tầm quan trọng an toàn? a) Có b) Một phần c) Không d) Không áp dụng Các cố xảy sử dụng nguồn tài nguyên thông tin quy trình duyệt sách an toàn? a) Có b) Một phần c) Không d) Không áp dụng Vành đai an toàn xác định rõ ràng? a) Có b) Một phần c) Không d) Không áp dụng Tường tất cửa bên bảo vệ thích hợp chống lại truy cập trái phép? a) Có Hướng dẫn nhận thức an toàn cho nhân viên Có Dựa vào cố cũ để xem xét sách an toàn Có Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Phạm vi an toàn rộng hay hẹp, mức độ an toàn cao hay thấp Tránh tác động phá tường, phá Có 151 Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web 10 11 12 b) Partly c) No d) Not applicable Do the physical barriers protect sufficiently against fire and flooding? a) Yes b) Partly c) No d) Not applicable Are appropriate authentication devices used to control physical access? a) Yes b) Partly c) No d) Not applicable Are secure areas designed to avoid damage from fire, water, and from neighbouring premises? a) Yes b) Partly c) No d) Not applicable Have the potential damages resulting from neighbouring premises been considered? a) Yes b) Partly c) No d) Not applicable Are the support functions and equipment, e.g photocopiers, fax machines, sited to avoid unauthorised access and use? a) Yes b) Partly c) No d) Not applicable Are all doors and windows locked when unattended? a) Yes b) Partly c) No d) Not applicable b) Một phần c) Không d) Không áp dụng Chướng ngại vật lý bảo vệ thích đáng chống lại lửa lụt lội? a) Có b) Một phần c) Không d) Không áp dụng Các thiết bị thẩm định quyền thích hợp sử dụng để kiểm soát truy cập vật lý? a) Có b) Một phần c) Không d) Không áp dụng Các khu vực an toàn thiết kế để tránh phá hủy lửa, nước từ tòa nhà lân cận? a) Có b) Một phần c) Không d) Không áp dụng Sự thiệt hại tiềm ẩn gây nhà lân cận xem xét? a) Có b) Một phần c) Không d) Không áp dụng Các chức hỗ trợ thiết bị, ví dụ máy photocopy, máy fax, đặt nơi tránh truy cập sử dụng trái phép? a) Có b) Một phần c) Không d) Không áp dụng Tất cửa cửa sổ khóa không ý? a) Có b) Một phần c) Không d) Không áp dụng Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội cửa, vào trộm … Các thiết bị như: nhận dạng vân tay, nhân viên bảo vệ kiểm tra thẻ … Có Có 152 Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web 13 14 15 16 17 18 19 Is all equipment sited to protect against environmental threats and unauthorised access? a) Yes b) Partly c) No d) Not applicable Are controls in place to protect against environmental threats, e.g fire, water, dust, smoke, rediation, vibration? a) Yes b) Partly c) No d) Not applicable Are the environmental conditions monitored to detect potential problems? a) Yes b) Partly c) No d) Not applicable Has the impact been considered that any disaster happening in the neighbourhood might have? a) Yes b) Partly c) No d) Not applicable Is all equipment protected from power failures and electrical anomalies? a) Yes b) Partly c) No d) Not applicable Is a UPS or a backup generator in place to ensure continuous operation of all facilities? a) Yes b) Partly c) No d) Not applicable Are emergency power switches located to be easily reached in case of an emergency? a) Yes b) Partly Tất thiết bị đặt chống lại mối đe dọa từ môi trường truy cập trái phép? a) Có b) Một phần c) Không d) Không áp dụng Có kiểm soát để bảo vệ chống lại mối đe dọa từ môi trường, lửa, nước, bụi, khói, rung động? a) Có b) Một phần c) Không d) Không áp dụng Các điều kiện môi trường theo dõi để dò tìm rủi ro tiềm ẩn? a) Có b) Một phần c) Không d) Không áp dụng Các tác động xem xét thảm họa vùng lân cận xảy ra? a) Có b) Một phần c) Không d) Không áp dụng Tất thiết bị bảo vệ khỏi hỏng hóc nguồn điện bất bình thường điện? a) Có b) Một phần c) Không d) Không áp dụng Có UPS máy phát điện dự phòng để đảm bảo hoạt động liên tục cho tất tiện nghi? a) Có b) Một phần c) Không d) Không áp dụng Có nguồn điện khẩn dễ dàng chuyển đổi trường hợp khẩn cấp? a) Có b) Một phần Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Các điều kiện môi trường như: độ ẩm, nhiệt độ, ánh sáng … Lường trước tác hại khu vực lân cận xảy cố Có Có 153 Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web 20 21 22 23 24 25 c) No d) Not applicable c) Không d) Không áp dụng Are power and telecommunications cabling protected from interception and damage? a) Yes b) Partly c) No d) Not applicable Is all network cabling protected from unauthorized interception and damage? a) Yes b) Partly c) No d) Not applicable Are all power cables segregated from communications cables? a) Yes b) Partly c) No d) Not applicable Is all equipment correctly maintained, in accordance with the supplier’s recommended service intervals and specifications? a) Yes b) Partly c) No d) Not applicable Is the security provided for off-site equipment equivalent to the security for on-site equipment? a) Yes b) Partly c) No d) Not applicable Are incoming and outgoing mail points and unattended fax and telex machines protected? a) Yes b) Partly c) No d) Not applicable Dây cáp nguồn điện thiết bị viễn thông bảo vệ khỏi hỏng hóc? a) Có b) Một phần c) Không d) Không áp dụng Có vỏ bọc tốt chống đứt cáp hay chuột cắn … Tất dây cáp mạng bảo vệ khỏi hỏng hóc? a) Có b) Một phần c) Không d) Không áp dụng Tất cáp điện tách khỏi dây cáp viễn thông? a) Có b) Một phần c) Không d) Không áp dụng Tất thiết bị bảo dưỡng phù hợp, theo khuyến cáo nhà cung cấp? a) Có b) Một phần c) Không d) Không áp dụng An toàn cung cấp cho thiết bị off-site tương đương với thiết bị on-site? a) Có b) Một phần c) Không d) Không áp dụng Các điểm nhận gửi mail, máy fax máy điện báo bảo vệ? a) Có b) Một phần c) Không d) Không áp dụng Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Có 154 Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web 26 27 28 29 30 31 Are photocopiers locked (or protected from unauthorized use in some other way) outside normal working hours? a) Yes b) Partly c) No d) Not applicable Is sensitive or classified information, when printed, cleared from printers immediately? a) Yes b) Partly c) No d) Not applicable Is it ensured that equipment, information or software cannot be taken off-site without authorization? a) Yes b) Partly c) No d) Not applicable Thông tin nhạy cảm hay thông tin mật, in, có xóa khỏi máy in lập tức? a) Có b) Một phần c) Không d) Không áp dụng Có chắn thiết bị, thông tin phần mềm không bị đem sử dụng trái phép bên quan? a) Có b) Một phần c) Không d) Không áp dụng Are procedures in place identifying responsibilities for aborting and recovering from unsuccessful changes? a) Yes b) Partly c) No d) Not applicable Có thủ tục để xác định trách nhiệm việc bỏ qua khôi phục lại từ thay đổi không thành công? a) Có b) Một phần c) Không d) Không áp dụng Có sách rõ ràng định thay đổi phần mềm, phần cứng, trang thiết bị … Các thủ tục có bao quát hết tất kiểu tiềm cố an toàn? a) Có b) Một phần c) Không d) Không áp dụng Có xử lý hết tất cố an toàn như: lỗi hệ thống thông tin, ngừng dịch vụ, từ chối dịch vụ … Do these procedures cover all potential types of security incident, e.g information system failures and loss of service, denial of service, errors resulting from incomplete or inaccurate business data, breaches of confidentiality? a) Yes b) Partly c) No d) Not applicable Are development and operational software run on different computer processors, or in different domains or directories, where possible? a) Yes b) Partly c) No Các máy photocopy khóa làm việc thông thường? a) Có b) Một phần c) Không d) Không áp dụng Có Có Các phần mềm phát triển phần mềm sẵn sàng hoạt động chạy nhiều vi xử lý khác nhau, hay chạy nhiều domain hay thư mục khác nhau? a) Có b) Một phần c) Không Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội 155 Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web 32 33 34 35 36 37 38 d) Not applicable d) Không áp dụng Are procedures in place to obtain and verify all information relating to malicious software, and ensure that warning bulletins are accurate and informative? a) Yes b) Partly c) No d) Not applicable Is the frequency of the back-ups appropriate to the importance of the information? a) Yes b) Partly c) No d) Not applicable Is system documentation stored securely? a) Yes b) Partly c) No d) Not applicable Do all electronic commerce activities comply with the relevant legislation? a) Yes b) Partly c) No d) Not applicable Are the employees aware of their responsibility not to compromise the company using email? a) Yes b) Partly c) No d) Not applicable Has the appropriate use of cryptographic techniques to protect email been defined? a) Yes b) Partly c) No d) Not applicable Has consideration been given to the security and business implications of interconnecting electronic Có thủ tục để nhận kiểm chứng tất thông tin liên quan đến phần mềm độc hại, khẳng định chắn mục cảnh báo có ích xác? a) Có b) Một phần c) Không d) Không áp dụng Tính thường xuyên lưu có thích hợp với mức độ quan trọng thông tin? a) Có b) Một phần c) Không d) Không áp dụng Tài liệu hệ thống lưu trữ an toàn? a) Có b) Một phần c) Không d) Không áp dụng Tất hoạt động thương mại điện tử tuân theo luật pháp tương ứng? a) Có b) Một phần c) Không d) Không áp dụng Tất nhân viên nhận thức trách nhiệm họ việc không gây hại cho công ty qua sử dụng email? a) Có b) Một phần c) Không d) Không áp dụng Các kỹ thuật mã hóa thích hợp để bảo vệ email xác định? a) Có b) Một phần c) Không d) Không áp dụng Các vấn đề liên quan đến an toàn thương mại hệ thống văn phòng điện tử tương kết xem xét? Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Có Có 156 Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web 39 40 41 42 43 44 office systems? a) Yes b) Partly c) No d) Not applicable Have the vulnerabilities of information in office systems been considered? a) Yes b) Partly c) No d) Not applicable Is the status of users identified, for the benefit of other users? a) Yes b) Partly c) No d) Not applicable Are all users aware that they should not share their individual passwords? a) Yes b) Partly c) No d) Not applicable Have all security requirements for the protection of unattended equipment been identified? a) Yes b) Partly c) No d) Not applicable Are users advised to log-off computers, sessions or networks when the session is finished, not just switch off the OC or terminal? a) Yes b) Partly c) No d) Not applicable Are users advised to secure PCs or terminals from unauthorized use by a key lock or an equivalent control? a) Yes b) Partly a) Có b) Một phần c) Không d) Không áp dụng Các điểm yếu thông tin hệ thống văn phòng xem xét? a) Có b) Một phần c) Không d) Không áp dụng Các trạng thái người sử dụng xác định, lợi ích người dùng khác? a) Có b) Một phần c) Không d) Không áp dụng Tất người dùng truyền đạt họ không nên chia xẻ mật riêng? a) Có b) Một phần c) Không d) Không áp dụng Các yêu cầu an toàn việc bảo vệ thiết bị chung xác định? a) Có b) Một phần c) Không d) Không áp dụng Các điểm yếu như: sử dụng phần mềm bẻ khóa, virus phá hủy … Có Có Tất người dùng am hiểu việc log-off máy tính, phiên hay mạng máy tính phiên làm việc kết thúc? a) Có b) Một phần c) Không d) Không áp dụng Người dùng hướng dẫn để an toàn máy tính cá nhân hay cổng khỏi việc sử dụng trái phép cách khóa mã hay kiểm soát tương tự? a) Có b) Một phần Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Có 157 Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web c) No d) Not applicable c) Không d) Không áp dụng 45 Is unlimited network roaming prevented? a) Yes b) Partly c) No d) Not applicable 46 Is the use of specified application systems and/or security gateways for external network users enforced? a) Yes b) Partly c) No d) Not applicable Ngăn chặn mức không giới hạn mạng máy tính? a) Có b) Một phần c) Không d) Không áp dụng Việc sử dụng hệ thống ứng dụng đặc biệt hay cổng an toàn người dùng bên mạng bắt buộc tuân thủ theo quy định? a) Có b) Một phần c) Không d) Không áp dụng Có sử dụng đánh giá rủi ro để xác định phương pháp phù hợp việc thẩm định quyền? a) Có b) Một phần c) Không d) Không áp dụng Tất kết nối đến hệ thống máy tính từ xa xác thực? a) Có b) Một phần c) Không d) Không áp dụng Bất kỳ truy cập đến cổng chẩn đoán kiểm soát an toàn? a) Có b) Một phần c) Không d) Không áp dụng Các cổng chẩn đoán bảo vệ kỹ thuật an toàn phù hợp? a) Có b) Một phần c) Không d) Không áp dụng Người dùng có nhận thức việc tăng rủi ro chia xẻ thông tin tương kết mạng? 47 48 49 50 51 Has a risk assesment been used to identify the most appropriate method for authentication? a) Yes b) Partly c) No d) Not applicable Are connections to remote computer systems authenticated? a) Yes b) Partly c) No d) Not applicable Is any access to diagnostic ports securely controlled? a) Yes b) Partly c) No d) Not applicable Are diagnostic ports protected by an appropriate security mechanism? a) Yes b) Partly c) No d) Not applicable Is there sufficient awareness of the increased risks caused by shared and interconnected networks? Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Một số giới hạn như: tốc độ download, tốc độ upload … Có Cấp phép sử dụng hay không Có Có 158 Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web 52 53 54 55 56 a) Yes b) Partly c) No d) Not applicable Have the criteria for segregation of networks also taken account of the relative cost and performance impact? a) Yes b) Partly c) No d) Not applicable Has network address translation been considered for network isolation, and to prevent network routes to propagate in an uncontrolled way? a) Yes b) Partly c) No d) Not applicable Do all users have a unique identifier (user ID) for their personal and sole use so that activities can subsequently be traced to the responsible individual? a) Yes b) Partly c) No d) Not applicable Have different techniques and methods (passwords, cryptographic means, authentication protocols, memory tokes or smart cards, or biometric devices) been considered for user authentication ? a) Yes b) Partly c) No d) Not applicable Are the following risk factors considered: the criticality of the application processes, the value, sensitivity or criticality of the information involved, the past experience of system infiltration and misuse and the extent of system interconnection? a) Yes b) Partly c) No d) Not applicable a) Có b) Một phần c) Không d) Không áp dụng Các tiêu chí việc chia tách mạng trọng vào giá tác động thực thi? a) Có b) Một phần c) Không d) Không áp dụng Sự chuyển đổi địa mạng xem xét để chia tách mạng, để ngăn chặn router mạng truyền thông tin theo cách không kiểm soát? a) Có b) Một phần c) Không d) Không áp dụng Tất người dùng có định danh (ID) sử dụng riêng tư tất hoạt động theo dõi theo trình tự với người dùng? a) Có b) Một phần c) Không d) Không áp dụng Có Các kỹ thuật phương pháp khác xem xét việc thẩm định quyền người dùng? a) Có b) Một phần c) Không d) Không áp dụng Các nhân tố rủi ro xem xét: độ quan trọng tiến trình ứng dụng, giá trị thông tin liên quan, kinh nghiệm lần hệ thống bị thâm nhập trước kia, sử dụng không phạm vi hệ thống kết nối với nhau? a) Có b) Một phần c) Không d) Không áp dụng Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội 159 Quản lý rủi ro theo tiêu chí NFP cho dịch vụ Web 57 58 59 60 Is equipment available to enable the quick and easy back-up of information on mobile computing facilities? a) Yes b) Partly c) No d) Not applicable Is remote access to business information across public networks only taking place after successful identification and authentication, and with suitable access control mechanisms in place? a) Yes b) Partly c) No d) Not applicable Are mobile computing facilities physically protected against theft, e.g during travelling and when left in hotel rooms, conference centres or meeting places? a) Yes b) Partly c) No d) Not applicable Are all users aware that equipment carrying important, sensitive and/or critical business information should not be left unattended and, where possible, should be physically locked away safely? a) Yes b) Partly c) No d) Not applicable Có thiết bị sẵn sàng phép lưu thông tin nhanh dễ dàng tiện nghi tính toán lưu động? a) Có b) Một phần c) Không d) Không áp dụng Truy cập từ xa tới thông tin thương mại thông qua mạng công cộng cho phép say xác minh thành công, với kỹ thuật kiểm soát truy cập hợp lý áp dụng? a) Có b) Một phần c) Không d) Không áp dụng Các tiện nghị tính toán lưu động bảo vệ vật lý chống lại trộm cắp? a) Có b) Một phần c) Không d) Không áp dụng Tất người dùng đếu nhận thức trang thiết bị quan trọng, hay thông tin kinh doanh cốt yếu không nên để không ý, tốt nên khóa an toàn vật lý? a) Có b) Một phần c) Không d) Không áp dụng Phạm Văn Đồng – Lớp cao học CNTT 07-09 – ĐH Bách Khoa Hà Nội Ví dụ như: để tiện nghi phòng khách sạn, trung tâm hội thảo … Có Có 160 ... tham gia quản lý rủi ro dịch vụ Web 30 2.6 Quy trình quản lý rủi ro cho dịch vụ Web 31 2.6.1 Đánh giá rủi ro cho dịch vụ Web 32 2.6.2 Giảm nhẹ rủi ro cho dịch vụ Web ... xây dựng dịch vụ Web Chương 2: Quản lý rủi ro cho dịch vụ Web Chương trình bày quy trình quản lý rủi ro dịch vụ Web Chương 3: Các tiêu chí NFP dịch vụ Web Chương nghiên cứu tiêu chí chức (NFP) ảnh... (NFP) ảnh hưởng đến việc quản lý rủi ro dịch vụ Web Chương 4: Quản lý rủi ro cho dịch vụ Web theo tiêu chí an toàn Chương đưa quy trình giúp quản lý rủi ro an toàn dịch vụ Web Chương 5: Khảo sát