Nghiên cứu hệ thống quản lý an tồn thơng tin theo tiêu chuẩn ISO 27001 Nguyễn Văn Anh Trường Đại học Công nghệ Luận văn Thạc sĩ ngành: Hệ thống thông tin; Mã số: 60.48.05 Người hướng dẫn: PGS.TS Trịnh Nhật Tiến Năm bảo vệ: 2010 Abstract: Trình bày Tổng quan An tồn Thơng tin, bao gồm khái niệm, nguy cơ, rủi ro việc ATTT, nhu cầu cấp thiết cần phải xây dựng hệ thống quản lý ATTT đáp ứng tiêu chuẩn quốc tế.Trình bày Tiêu chuẩn quốc tế ISO 27001, cách tiếp cận tiêu chuẩn ISO 27001 việc đảm bảo ATTT thông qua phân loại nội dung thông tin phương tiện thuộc tài sản nào, chúng có điểm yếu, rủi ro làm để kiểm sốt rủi ro Trình bày thử nghiệm sử dụng chương trình “ISMS-RAT”, phương thức tiếp cận để thực việc đánh giá xây dựng kế hoạch ngăn ngừa rủi ro (Risk Assessment and Risk Treatment Plan) theo cách tiếp cận vấn đề xây dựng hệ thống quản lý an tồn thơng tin chuẩn ISO 27001 Keywords: An tồn thơng tin; Quản lý thông tin; Công nghệ thông tin Content LỜI NĨI ĐẦU Trong bối cảnh có phát triển vũ bão công nghệ thông tin, ngày nhiều tổ chức, đơn vị, doanh nghiệp hoạt động lệ thuộc gần hoàn toàn vào hệ thống mạng máy tính, máy tính, sở liệu Nói cách khác, hệ thống công nghệ thông tin sở liệu gặp cố hoạt động đơn vị bị ảnh hưởng nghiêm trọng chí bị tê liệt hồn tồn Nền kinh tế Việt Nam thời kỳ hội nhập phát triển với trợ giúp đắc lực cơng nghệ thơng tin, bên cạnh Việt Nam phải đối mặt với khó khăn thách thức lớn nguy gây an tồn thơng tin gây đặc biệt liên quan tới đơn vị làm việc trực tiếp đối tác nước ngồi, quan phủ trọng yếu làm ảnh hưởng nghiêm trọng đến phát triển kinh tế, xã hội đất nước Hầu hết tổ chức, doanh nghiệp Việt Nam từ đầu xây dựng hệ thống mạng thường không tuân theo quy tắc chuẩn an toàn thơng tin, lý làm cho hệ thống thơng tin dễ có khả bị tin tặc công Các thống kê cho thấy thời gian vừa qua có khoảng 60% website bộ, ban ngành trực thuộc Chính phủ có tên miền '.gov.vn' bị hacker nước ngồi cơng nắm quyền kiểm soát, 342 website Việt Nam bị hacker cơng, 40% website chứng khốn Việt Nam bị hacker lợi dụng chiếm quyền kiểm sốt thay đổi kết giao dịch Khi nói đến an tồn thơng tin (ATTT), điều người ta thường nghĩ đến xây dựng tường lửa (Firewall) tương tự để ngăn chặn công xâm nhập bất hợp pháp Cách tiếp cận khơng hồn tồn chất ATTT không đơn sử dụng số công cụ vài giải pháp mà để đảm bảo ATTT cho hệ thống cần có nhìn tổng qt khoa học Giải pháp toàn diện hiệu để giải vấn đề áp dụng Hệ thống quản lý an ninh thông tin ATTT (Information Security Management System) theo tiêu chuẩn ISO 27001 Triển khai ISO 27001 giúp cho đơn vị đầy đủ nguy hệ thống thơng tin phương pháp phân tích rủi ro Trong phương pháp này, tài sản thơng tin phân tích để rõ nguy tác động đến, ví dụ: máy tính bị nhiễm virus gây liệu quan trọng, website bị công làm gián đoạn dịch vụ, ổ cứng hệ thống server bị cố, nhân viên tiết lộ thông tin hợp đồng cho đối thủ cạnh tranh Q trình phân tích nguyên nhân dẫn tới nguy trên, chẳng hạn: khơng có giải pháp phòng chống virus máy tính, khơng kiểm sốt mã nguồn website, chưa có biện pháp backup liệu, chưa có quy định không tiết lộ thông tin nhân viên Việc áp dụng tiêu chuẩn ATTT theo tiêu chuẩn ISO 27001 làm tăng nhận thức cho đội ngũ cán nhân viên ATTT Xây dựng môi trường an tồn, có khả miễn dịch trước rủi ro, giảm thiểu nguy người gây Tiêu chuẩn ISO 27001 đề nguyên tắc chung trình thiết kế - xây dựng hệ thống thông tin cách khoa học, giúp cho việc quản lý hệ thống trở nên sáng sủa, an toàn, minh bạch Xây dựng “bức tường người an tồn” (Secure People Wall) tổ chức Một mơi trường thơng tin an tồn, có tác động khơng nhỏ đến việc giảm thiểu chi phí vật chất đầu tư cho ATTT tốn Về lâu dài, việc nhận chứng ISO 27001 lời khẳng định thuyết phục với đối tác, khách hàng môi trường thông tin an toàn Tạo điều kiện thuận lợi cho hội nhập môi trường thông tin lành mạnh Điều tác động mạnh đến ưu cạnh tranh tổ chức Trên sở kết phân tích, đánh giá rủi ro hệ thống thơng tin dựa hướng dẫn tiêu chuẩn, luận văn tập trung nghiên cứu chủ yếu tiêu chuẩn ISO 27001 để giúp doanh nghiệp, tổ chức xây dựng sách, biện pháp xử lý phù hợp để phòng tránh giảm thiểu tác động rủi ro an ninh thông tin xảy Luận văn đuợc trình bày theo ba chương: Chương 1: Trình bày Tổng quan An tồn Thơng tin, bao gồm khái niệm, nguy cơ, rủi ro việc ATTT, nhu cầu cấp thiết cần phải xây dựng hệ thống quản lý ATTT đáp ứng tiêu chuẩn quốc tế Chương 2: Trình bày Tiêu chuẩn quốc tế ISO 27001, cách tiếp cận tiêu chuẩn ISO 27001 việc đảm bảo ATTT thông qua phân loại nội dung thông tin phương tiện thuộc tài sản nào, chúng có điểm yếu, rủi ro làm để kiểm soát rủi ro Chương 3: Trình bày thử nghiệm sử dụng chương trình “ISMS-RAT”, phương thức tiếp cận để thực việc đánh giá xây dựng kế hoạch ngăn ngừa rủi ro (Risk Assessment and Risk Treatment Plan) theo cách tiếp cận vấn đề xây dựng hệ thống quản lý an tồn thơng tin chuẩn ISO 27001 References Tiêu chuẩn kỹ thuật [1] ISO/IEC 1799:2000, Information technology – Code of Practice [2] BS 7799-2:2002, Information Security Management Specification with Guidance for User [3] ISO/IEC TR 13335-1:2004, Information technology - Security techniques Management of information and communications technology security Part 1: Concepts and models for information and communications technology security management ISO/IEC TR 13335-3:1998, Information technology - Guidelines for the management of IT Security Part 3: Techniques for the management of IT security ISO/IEC TR 13335-4:2000, Information technology - Guidelines for the management of IT Security Part 4: Selection of safeguards [4] ISO 19011:2002, Guidelines for quality and/or environmental management systems auditing [5] ISO/IEC 1799:2005 Information technology - Security techniques [6] OECD, Guidelines for the Security of Information Systems and Networks - Towards a Culture of Security Paris: OECD, July 2002 www.oecd.org ... bảo ATTT cho hệ thống cần có nhìn tổng qt khoa học Giải pháp toàn diện hiệu để giải vấn đề áp dụng Hệ thống quản lý an ninh thông tin ATTT (Information Security Management System) theo tiêu chuẩn. .. thống quản lý ATTT đáp ứng tiêu chuẩn quốc tế Chương 2: Trình bày Tiêu chuẩn quốc tế ISO 27001, cách tiếp cận tiêu chuẩn ISO 27001 việc đảm bảo ATTT thông qua phân loại nội dung thông tin phương... thiểu nguy người gây Tiêu chuẩn ISO 27001 đề nguyên tắc chung trình thiết kế - xây dựng hệ thống thông tin cách khoa học, giúp cho việc quản lý hệ thống trở nên sáng sủa, an toàn, minh bạch Xây