Giải ngân hàng Quản lý an toàn thông tin PTIT

Tài liệu Khoa An Toàn Thông TIn PTIT: https://drive.google.com/drive/folders/1nBWniC3Q5ulu5cJZO2HIEufUtcEUC6k1?usp=sharing Giải ngân hàng Quản lý an toàn thông tin PTITGiải ngân hàng Quản lý an toàn thông tin PTITGiải ngân hàng Quản lý an toàn thông tin PTITGiải ngân hàng Quản lý an toàn thông tin PTITGiải ngân hàng Quản lý an toàn thông tin PTITGiải ngân hàng Quản lý an toàn thông tin PTITGiải ngân hàng Quản lý an toàn thông Giải ngân hàng Quản lý an toàn thông tin PTITGiải ngân hàng Quản lý an toàn thông tin PTITtin PTITGiải ngân hàng Quản lý an toàn thông tin PTITGiải ngân hàng Quản lý an toàn thông tin PTITGiải ngân hàng Quản lý an toàn thông tin PTITGiải ngân hàng Quản lý an toàn thông tin PTIT Miễn phí tại: https://drive.google.com/drive/folders/1nBWniC3Q5ulu5cJZO2HIEufUtcEUC6k1?usp=sharing

Mục lục Pháp luật sách Khái niệm an tồn thơng tin? An tồn thơng tin hành động ngăn cản, phòng ngừa sử dụng, truy cập, tiết lộ, chia sẻ, phát tán, ghi lại phá hủy thơng tin chưa có cho phép Hoạt động bảo vệ thông tin Thành phần thiết yếu bao gồm hệ thống phần cứng mà sử dụng, lưu trữ, chuyển tiếp thơng tin việc áp dụng sách, chương trình đào tạo cơng nghệ Q trìnhtiếpdiễnliêntụcdo giớihạnvềnguồnnhân Q trình tiếp diễn liên tục giới hạn nguồn nhân lực tài Cân giữ anhu cầu đảm bảo an tồn cho tài ngun thơng tin việc thực hoạt động bình thường quan Nguyễn Minh Đức|1 Các khái niệm bản: tài sản, công, biện pháp, rủi ro, đe dọa? Tài sản: + Những thứ (có giá trị) thuộc sở hữu quan/tổ chức muốn bảo vệ + Có thể thứ cụ thể sở liệu trừu tượng tên tuổi (danh tiếng) Tấn công: Hành động lợi dụng lỗ hổng để xâm hại, ăn trộm, tung ra, làm hỏng hay phát tán, hay sửa đổi trái phép tài sản Biện pháp: Các phương pháp nhằm giảm bớt (giảm hậu quả) lỗ hổng Biện pháp đối phó túy lơ-gíc áp dụng sách phần cứng tường lửa Rủi ro: khả kiện không mong muốn xảy thường ám đến tổn thất thường đối phó việc triển khai công cụ kiểm tra giám sát; chuyển cho bên thứ ba bảo hiểm; kiểm tra giám sát; chuyển cho bên thứ ba bảo hiểm; giảm nhẹ tổn thất mát lập kế hoạch đối phó với bất ngờ Nguyễn Minh Đức|2 Rủi ro thặng dự rủi ro lại sau biện pháp thận trọng thực thi Rủi ro chấp nhận rủi ro mà quan/tổ chức chấp nhận sau hồn tất chương trình quản lý rủi ro Đe dọa: Phân loại vấn đề xảy cho tài sản quan/tổ chức Đe dọa hành động chưa xảy khái niệm xảy chúng thấy Khái niệm quản trị, sách, luật pháp an tồn thơng tin Quản trị ATTT + Bao gồm yêu cầu hành động cụ thể để đảm bảo tuân thủ sách, quy trình, tiêu chuẩn hướng dẫn quan/tổ chức + Việc quản trị tốt mang lại tin tưởng tự tin người tuân theo qui định xây dựng Chính sách ATTT + Mơ tả kiểm sốt, hành động, quy trình cần thực cho hệ thống thông tin quan/tổ chức + Cần bao phủ mối đe dọa tới hệ thống bao gồm người, thông tin tài sản cụ thể Nguyễn Minh Đức|3 Luật pháp ATTT +Thông thường người chọn lọc từ bỏ số khía cạnh tự cá nhân để đảm bảo trật tự xã hội Các qui định với thành viên cộng đồng tạo để cân quyền tự khẳng định thân đối chọi với yêu cầu toàn thể cộng đồng coi luật +Luật pháp quy định bắt buộc hay cấm số hành vi định; chúng xây dựng dựa đạo đức xác định hành vi chấp nhận xã hội +Luật pháp kèm với quan quyền lực để quản lý Tương quan đạo đức, sách luật pháp an tồn thơng tin Luật pháp + Thơng thường người chọn lọc từ bỏ số khía cạnh tự cá nhân để đảm bảo trật tự xã hội Các qui định với thành viên cộng đồng tạo để cân quyền tự khẳng định thân đối chọi với yêu cầu toàn thể cộng đồng coi luật Nguyễn Minh Đức|4 + Luật pháp quy định bắt buộc hay cấm số hành vi định; chúng xây dựng dựa đạo đức xác định hành vi chấp nhận xã hội + Luật pháp kèm với quan quyền lực để quản lý Đạo đức + Dựa sở tập tục văn hóa: thái độ đạo đức hay thói quen nhóm cụ thể Chính sách + Các chun gia an tồn thơng tin trì an ninh thơng qua việc thiết lập thực thi sách Đó hướng dẫn hành vi không chấp nhập nơi làm việc Các sách đóng vai trị luật pháp nơi làm việc + Sự khác biệt luật sách nhân viên khơng biết sách quan Lỗi chấp nhận Các tiêu chuẩn sách Phổ biến (phân phát) + Mọi người quan đọc xem xét sách phù hợp Đánh giá (đọc) + Cơ quan cần phân phát tài liệu theo dạng dễ hiểu dễ đọc cho đối tượng nhân viên: tài liệu nhiều ngôn ngữ Nhận thức (hiểu) + Mội nhân viên hiểu yêu cầu nội dung sách Chấp thuận (đồng ý) + Đảm bảo nhân viên đồng ý tuân thủ sách hành động hay xác nhận Nguyễn Minh Đức|5 Thi hành quán + Cơ quan cần đảm bảo sách thực thi qn tình trạng hay cơng việc nhân viên Tương quan tiêu chuẩn an tồn thơng tin sách an tồn thơng tin + Chính sách thực kiểm soát hệ thống để làm cho hệ thống phù hợp theo tiêu chuẩn Tiêu chuẩn ảnh hưởng tới việc xây dựng sách + Các tiêu chuẩn thường xác định yêu cầu tối thiểu chi tiết + Luật pháp hay thông lệ chấp thuận tạo tiêu chuẩn Như chuẩn trở thành tiêu chí cho việc quản trị hay chứng thực + Các tiêu chuẩn thường khởi đầu từ quy phạm công nghiệp Qua thời gian phát triển tổ chức công bố tiêu chuẩn Các hành vi sử dụng máy tính bị điều chỉnh Luật hình Việt Nam Luật hình sửa đổi bổ sung 2009/Chương XIX cho luật 1999 (có hiệu lực từ 1/1/2010) Xác định tội phạm mạng điều khoản + Điều 224 Tội phát tán vi rút, chương trình tin học có tính gây hại cho hoạt động mạng máy tính, mạng viễn thơng, mạng Internet, thiết bị số + Điều 225 Tội cản trở gây rối loạn hoạt động mạng máy tính, mạng viễn thơng, mạng Internet, thiết bị số + Điều 226 Tội đưa sử dụng trái phép thơng tin mạng máy tính, mạng viễn thông, mạng Internet + Điều 226a Tội truy cập bất hợp pháp vào mạng máy tính, mạng viễn thơng, mạng Internet thiết bị số người khác + Điều 226b Tội sử dụng mạng máy tính, mạng viễn thông, mạng Internet thiết bị số thực hành vi chiếm đoạt tài sản Các hành vi bị nghiêm cấm Luật giao dịch điện tử Việt Nam Luật Giao dịch điện tử số 51/2005/QH11: QH thông qua 29/11/2005 + Điều Các hành vi bị nghiêm cấm giao dịch điện tử Nguyễn Minh Đức|6 Cản trở việc lựa chọn sử dụng giao dịch điện tử Cản trở ngăn chặn trái phép trình truyền, gửi, nhận thơng điệp liệu Thay đổi, xoá, huỷ, giả mạo, chép, tiết lộ, hiển thị, di chuyển trái phép phần toàn thông điệp liệu Tạo phát tán chương trình phần mềm làm rối loạn, thay đổi, phá hoại hệ thống điều hành có hành vi khác nhằm phá hoại hạ tầng công nghệ giao dịch điện tử Tạo thông điệp liệu nhằm thực hành vi trái pháp luật Gian lận, mạo nhận, chiếm đoạt sử dụng trái phép chữ ký điện tử người khác Điều kiện để đảm bảo an toàn cho chữ ký điện tử Luật giao dịch điện tử Việt Nam + Điều 22 Điều kiện để bảo đảm an toàn cho chữ ký điện tử Chữ ký điện tử xem bảo đảm an toàn kiểm chứng quy trình kiểm tra an tồn bên giao dịch thỏa thuận đáp ứng điều kiện sau đây: a Dữ liệu tạo chữ ký điện tử gắn với người ký bối cảnh liệu sử dụng; b Dữ liệu tạo chữ ký điện tử thuộc kiểm soát người ký thời điểm ký; c Mọi thay đổi chữ ký điện tử sau thời điểm ký bị phát hiện; d Mọi thay đổi nội dung thông điệp liệu sau thời điểm ký bị phát Chữ ký điện tử tổ chức cung cấp dịch vụ chứng thực chữ ký điện tử chứng thực xem bảo đảm điều kiện an toàn quy định khoản Điều Các hành vi bị nghiêm cấm Luật an tồn thơng tin mạng nhóm hành vi bị nghiêm cấm 10 Nguyễn Minh Đức|7 Ngăn chặn việc truyền tải thông tin mạng, can thiệp, truy nhập, gây nguy hại, xóa, thay đổi, chép làm sai lệch thông tin mạng trái pháp luật Gây ảnh hưởng, cản trở trái pháp luật tới hoạt động bình thường hệ thống thơng tin tới khả truy nhập hệ thống thông tin người sử dụng Tấn cơng, vơ hiệu hóa trái pháp luật làm tác dụng biện pháp bảo vệ an tồn thơng tin mạng hệ thống thơng tin; công, chiếm quyền điều khiển, phá hoại hệ thống thông tin Phát tán thư rác, phần mềm độc hại, thiết lập hệ thống thông tin giả mạo, lừa đảo Thu thập, sử dụng, phát tán, kinh doanh trái pháp luật thông tin cá nhân người khác; lợi dụng sơ hở, điểm yếu hệ thống thông tin để thu thập, khai thác thông tin cá nhân Xâm nhập trái pháp luật bí mật mật mã thơng tin mã hóa hợp pháp quan, tổ chức, cá nhân; tiết lộ thông tin sản phẩm mật mã dân sự, thông tin khách hàng sử dụng hợp pháp sản phẩm mật mã dân sự; sử dụng, kinh doanh sản phẩm mật mã dân không rõ nguồn gốc 11 Các cấp độ đánh giá an toàn TSSEC, ITSEC Common Criteria TSSEC Lớp D: Bảo vệ tối thiểu + Được dành cho hệ thống đánh giá không thỏa mã cac tiêu chuẩn yêu cầu lớp cao Lớp C: Bảo vệ chấp nhận Được chia thành lớp nhỏ Lớp có đánh số lớn thỏa mãn yêu cầu an toàn cao + Lớp C1: bảo vệ an toàn chấp nhận Yêu cầu phân chia người dùng thông tin, định danh xác thực thực thể riêng rẽ Lập tài liệu thiết kế thể cách thưc chế bảo vệ hệ thống, tài liệu kiểm tra, hướng dẫn cài đặt cấu hình hệ thống + Lớp C2: Bảo vệ giám sát truy nhập - Người dùng cần định danh riêng biệt để đảm bảo việc kiểm soát truy nhập kiểm tốn xác Nguyễn Minh Đức|8 - Các chế kiểm sốt truy nhập lơ-gíc dùng để thực thi đăng nhập tính cá nhân - Các kiện liên quan đến an tồn phải kiểm tốn bảo vệ khỏi sửa đổi trái phép - Kiến trúc hệ thống đảm bảo hoạt động lên tài nguyên phải kiểm toán phù hợp - Bất kỳ phương tiện lưu trữ không để lại dấu vết đối tượng sử dụng sau dùng xong Lớp B: Bảo vệ thực Dựa kiến trúc BellLaPadula + Lớp B1: Đặt nhãn an toàn Mỗi đối tượng liệu chứa nhãn phân loại đối tượng phải có nhãn giới hạn (clearance) Khi đối tượng muốn truy nhập liệu nhãn giới hạn so sánh với nhãn an tồn liệu + Lớp B2: Bảo vệ cấu trúc - Các sách ả định nghĩa rõ ràng lập tài liệu, thiết kế hệ thống triển khai cần đánh giá qua thủ tục kiểm tra kỹ - Cần chế xác thực nghiêm ngặt giao tiếp lớp xác định rõ ràng - Kênh tin cậy cho việc đăng nhập xác thực phải có kênh phải bảo vệ - Tách bạch chức cho người vận hành người quản trị - Không gian địa phải cách ly chương trình đảm bảo khơng tồn kênh riêng (covert channel) + Lớp B3: Miền an toàn - Các chế bảo vệ cần chi tiết đoạn mã chương trình khơng hỗ trợ sách an tồn loại bỏ - Việc thiết kế thực thi khơng nên có q nhiều phức tạp làm giảm khả kiểm tra, bảo trì, cấu hình xác - Việc giám sát than chiếu đủ nhỏ để kiểm tra xác khơng bị lỗi - Vai trị quản trị định rõ hệ thống phải có khả khơi phục mà khơng xâm phạm cấp độ an tồn, bảo mật - Khi hệ thống khởi động nạp hệ điều hành phận phải đảm bảo an toàn để tránh hệ thống bị khai thác lỗ hổng Lớp A: Bảo vệ thẩm tra Nguyễn Minh Đức|9 ITSEC Commo n Criteria + Các phương pháp tắc sử dụng để đảm bảo tồn chủ thể đối tượng giám sát với phương pháp kiểm soát truy nhập cần thiết chấp nhận (của lớp B C) +Lớp A1: thiết kế kiểm tra Kiến trúc đặc tính bảo vệ khơng khác nhiều so với B3 song mức đảm bảo A1 cao nhờ phương pháp tắc áp dụng thiết kế, đặc tả kỹ thuật kiểm tra F00: Identification and E0 = D authentication E1+F1 = C1 F01: Audit E2+F2 = C2 F02: Resource utilization E3+F3 = B1 F03: Trusted paths/channels E4+F4 = B2 F04: User data protection E5+F5 = B3 F05: Security management E6+F5 = A1 F06: Product access F6 = Đảm bảo tính tồn F07: Communications vẹn cao F08: Privacy F7 = Đảm bảo tính sẵn F09: Protection of the product’s sàng cao security functions F8 = Đảm bảo toàn vẹn F10: Cryptographic support liên lạc F9 = Đảm bảo tính bí mật E00: Guidance documents and cao manuals F10 = Mạng lưới đảm bảo E01: Configuration management yêu cầu cao tính bí mật E02: Vulnerability assessment toàn vẹn E03: Delivery and operation E04: Life-cycle support E05: Assurance maintenance E06: Development Testing EAL 1: Kiểm tra chức EAL 2: Kiểm tra cấu trúc EAL 3: Kiểm tra kiểm soát phương pháp EAL 4: Thiết kế, kiểm tra đánh giá lại phương pháp EAL 5: Thiết kế kiểm tra bán tắc EAL 6: thiết kế thẩm tra kiểm tra bán tắc EAL 7: thiết kế thẩm tra kiểm tra tắc Nguyễn Minh Đức|10 Các dạng rủi ro - Vật lý: cháy, ngập, thảm họa tự nhiên Con người: Hành động bất ngờ hay có chủ ý làm gián đoạn hoạt động sản xuất Hỏng thiết bị: Hư hỏng hệ thống hay thiết bị ngoại vi Tấn công từ bên bên ngồi: Bẻ khóa, cơng Lạm dụng liệu: Lừa đảo, chia sẻ bí mật thương mại, gián điệp Mất liệu: Mất có hay khơng có chủ ý sử dụng khơng phép Lỗi chương trình: Lỗi tính tốn, đầu vào, tràn đệm u cầu với nhóm thực quản lý rủi ro Mức rủi ro chấp nhận mà xác lập quản lý cấp cao Thủ tục quy trình đánh giá rủi ro Thủ tục xác định giảm thiểu rủi ro Nguồn lực phù hợp phân bổ tài từ quản lý cấp cao Đào tạo nhận thức an ninh cho toàn cán bộ/nhân viên với tài sản thông tin Khả thiết lập nhóm ứng phó theo lĩnh vực cụ thể cần thiết Chỉ rõ yêu cầu tuân thủ quy định luật pháp để kiểm soát thực yêu cầu Phát triển số đo số hiệu để đo lường vf quản lý loại rủi ro khác Khả xác định đánh giá rủi ro thay đổi môi trường làm việc cơng ty 10.Tích hợp với quy trình kiểm sốt thay đổi quan để chắn việc thay đổi không đưa lỗ hổng Sự khác biệt đánh giá rủi ro phân tích rủi ro Đánh giá rủi ro phương pháp nhận biết lỗ hổng mối đe dọa đánh giá tác động để xác định vị trí triển khai biện pháp kiểm sốt Phân tích rủi ro đảm bảo việc an ninh có chi phí hiệu quả, thích đáng, kịp thời sẵn sàng phản ứng lại với đe dọa Vấn đề an ninh phức tạp: chi phí q mức, hay khơng đủ, nhầm biện pháp bảo vệ Nguyễn Minh Đức|14 Các cách thức xử lý rủi ro bản? Cho ví dụ Có thể xử lý: chuyển, tránh, giảm thiểu chấp nhận rủi ro Chuyển/Chia sẻ rủi ro: sử dụng dịch vụ bảo hiểm Tránh: chấm dứt sử dụng dịch vụ gây rủi ro Giảm thiểu: làm mức độ nguy hiểm tới mức chấp nhận dùng firewall, IDS Chấp nhận: yêu cầu nhận thức rõ ràng chi phí rủi ro/biện pháp phòng chống Các nguyên tắc với việc vận hành an toàn - - - - - - Đặc quyền tối thiểu hay biết thứ cần thiết (needto-know) Chỉ phép truy nhập thông tin cần để hồn thành cơng việc - Giữ bí mật thơng tin Chỉ cấp quyền tối thiểu để thực công việc – Giữ tính tồn vẹn thơng tin Tách biệt chức vụ trách nhiệm Khơng người dùng có tồn quyền kiểm sốt hệ thống – khơng làm tổn hại hệ thống hay biện pháp kiểm soát Tạo hệ thống kiểm soát đối trọng (checks-andbalances): ln có người dùng giám sát kiểm tra công việc lẫn Chia tách công việc/chức vụ: đảm bảo không lạm dụng truy nhập hệ thống gây việc xung đột lợi ích hay che dấu hành vi xâm phạm hệ thống Phân chia quyền để thực công việc Giám sát đặc quyền Các hoạt động sử dụng đặc quyền thực công việc quản trị hay nhiệm vụ nhạy cảm tạo người dùng, thay đổi cấu hình hệ thống Đảm bảo quyền không bị lạm dụng An toàn cho cán bộ/nhân viên Cán nhân viên tài sản quan trọng nên cần đảm bảo mơi trường làm việc an tồn hạn chế rủi ro thể chất tinh thần đặc biệt người phục trách vấn đề an tồn Tính giải trình Việc truy nhập sử dụng tài nguyên hệ thống cần giám sát, kiểm toán ghi nhật ký cách thích đáng Cần đảm bảo người dùng truy nhập sử dụng tài nguyên cách phù hợp với yêu cầu công việc Nhiệm vụ vận hành an tồn: câu Nguyễn Minh Đức|15 cơng việc/nhiệm vụ với vận hành an toàn - Việc vận hành an toàn nhấn mạnh biện pháp đảm bảo an tồn đối phó để bảo vệ tài nguyên thông tin, phần cứng hỗ trợ - Mục tiêu việc vận hành an toàn giảm thiểu tổn hại xảy truy nhập trái phép hay lộ bí mật cách hạn chế việc lỡ làm sai hay lạm dụng - Tình bất thường: Do mạng, phần cứng phần mềm phức tạp biến động nên có tình xảy khó giải thích Vì người quản trị cần thực việc điều tra, chuẩn đoán đưa giải pháp lơ-gíc - Lệch chuẩn: Mỗi phần mềm, phần cứng có tiêu chuẩn định: thời gian hoạt động, số yêu cầu xử lý, Đây sở để xác định liệu có vấn đề với phần cứng hay phần mềm - Khởi động chương trình bất thường : Chương trình khởi động thuật ngữ mô tả việc nạp hệ điều hành vào nhớ Người quản trị cần điều tra máy tính khởi động bất thường để xác định nguy nhân rủi ro tiềm tàng - Xác định quản lý tài sản : Nắm bắt thông tin chi tiết tài sản quan/tổ chức Lập danh mục chi tiết tài sản - Kiểm soát hệ thống : Xây dựng qui định vận hành an tồn: chương trình chạy, tài ngun phép truy nhập - Khơi phục tin cậy: Khi có lỗi với hệ điều hành phân loại thành: Khởi động lại, khởi động hệ thống chế độ khẩn cấp, khởi động nguội Khi hệ điều hành hay ứng dụng bị treo hay hỏng, phải không hệ thống rơi vào trạng thái an toàn phục hồi hệ thống - Sau hệ thống bị hỏng : Chuyển sang chế độ người dùng hay chế độ an tồn Sửa lỗi khơi phục file Kiểm tra file tối hoạt động quan trọng - Vấn đề an toàn: Khi hệ điều hành tình khơng ổn định ln phải xem xét có lỗ hổng kiểu Trình tự khởi động Ghi nhật ký hệ thống phải thực đầy đủ Việc tắt cưỡng hệ thống không phép Đầu liệu không phép chuyển hướng - Kiểm soát liệu vào/ra Dữ liệu vào phải giám sát để phát lỗi hay hành vi bất thường Dữ liệu vào phải kiểm tra để tránh lỗi cho chương trình Dữ liệu đầu phải lưu lại đóng dấu thời gian Nguyễn Minh Đức|16 - Tăng cường an ninh: Thực đầy đủ biện pháp an ninh vật lý, sách quy trình vận hành • Khóa tủ đấu dây, tủ Hub • Chr sử dụng phần mềm tối thiểu - An toàn truy nhập từ xa : Là phần quan trọng việc vận hành bình thường hệ thống, giúp giảm chi phí tăng hiệu làm việc cho nhân viên Phức tạp việc kiểm sốt an tồn: xác thực người dùng, bảo mật đường truyền Hạn chế/xác định rõ người dùng phép sử dụng dịch vụ Các yêu cầu với quản lý cấu hình Quy trình kiểm sốt việc thay đổi Lập tài liệu kiểm soát thay đổi Mỗi quan/tổ chức cần có sách rõ Làm để thay đổi với phương tiện/thiết bị thực Ai người thực Cách thức phê chuẩn thay đổi Cách thức lập tài liệu thông báo thay đổi với cán bộ/nhân viên khác Việc thiếu sót kiểm sốt hướng dẫn làm cho môi trường hoạt động dễ bị tổn thương (xuất lỗ hổng) Các đối tượng thay đổi: cấu hình mạng, tham số hệ thống, ứng dụng, cài đặt, cấu hình ứng dụng hay thiết bị 10 - - 11 Các bước quy trình kiểm sốt thay đổi Yêu cầu thay đổi - Yêu cầu cần phải gửi cho cá nhân/nhóm chịu trách nhiệm phê chuẩn thay đổi giám sát hoạt động thực thay đổi Phê chuẩn thay đổi Cá nhân yêu cầu thay đổi phải giải trình lý lợi ích bất lợi việc thay đổi Lập tài liệu Ngay sau việc thay đổi chấp thuận, việc cần lưu vào nhật ký (log) thay đổi Kiểm tra Nguyễn Minh Đức|17 Việc thay đổi cần phải kiểm tra đầy đủ để phát kết chưa dự đoán Tùy thuộc theo mức độ trầm trọng mà thay đổi việc triển khải phải giải trình Triển khai Sau việc thay đổi chấp thuận kiểm tra đầy đủ, kế hoạch thực xây dựng để phác thảo giai đoạn thực thi mốc quan trọng Tất bước cần lập tài liệu đầy đủ tiến độ phải giám sát Báo cáo Báo cáo thay đổi cần nộp cho ban quản lý theo định kỳ Các tình làm cấu hình hệ thống thay đổi? Cho ví dụ? (Ở vị trí cơng việc khác nhau: quản trị mạng, quản trị sở liệu) Các tình o Cài đặt máy tính o Cài đặt phần mềm o Cấu hình triển khai o Cài đặt cập nhật vá o Tích hợp cơng nghệ o Chính sách, thủ tục tiêu chuẩn cập nhật o Yêu cầu qui định triển khai o Vấn đề mạng hay hệ thống xác định sửa chữa o Cấu hình mạng khác thiết lập o Thiết bị mạng tích hợp vào mạng 12 Ví dụ: - - Quản lý chất lượng o Tham gia đánh giá an toàn: cấu hình hệ thống tn thủ sách an tồn o Xây dựng yêu cầu an toàn: Các yêu cầu kinh doanh tính bí mật, tồn vẹn, sẵn dùng cần lập tà liệu o Thiết kế an toàn ứng dụng: thu xếp kế hoạch triển khai mặt kỹ thuật để đáp ứng yêu cầu an tồn quy trình kinh doanh o Kiểm sốt thay đổi: lưu trữ, tìm kiếm an tồn lập kế hoạch cho việc trì mã nguồn tùy biến sản phẩm o Quản lý nâng cấp an toàn: Đảm bảo việc kiểm tra áp dụng vá lỗ hổng phần mềm Mua sắm (vật tư) Nguyễn Minh Đức|18 Mơ tả u cầu an tồn: Các u cầu thức an tồn tồn sản phẩm đề xuất o Yêu cầu liên lạc: u cầu bí mật, tồn vẹn sẵn dùng với nhà cung cấp dịch vụ hợp đồng bảo trì kỹ thuật Nhóm giám sát o Tiếp nhận kiểm tra tính hợp lệ thu từ người phân tích, quản trị, người dùng chuyển cho nhóm người dùng khác Phân tích hệ thống o Thiết kế luồng liệu hệ thống dự yêu cầu người dùng vận hành Lập trình ứng dụng o Phát triển bảo trì phần mềm cơng việc Hỗ trợ/Trợ giúp o Giải vấn đề vận hành hay kỹ thuật hệ thống người dùng cuối Kỹ sư IT o Thực trách nhiệm vận hành hàng ngày hệ thống ứng dụng Quản trị sở liệu o Tạo bảng sở liệu quản lý sở liệu Quản trị mạng o Cài đặt bảo trì mạng cục bộ/diện rộng Quản trị an tồn o Xác định, cấu hình trì chế an toàn bảo vệ quan/tổ chức Thư viện o Nhận, lưu, cung cấp bảo vệ hệ thống file ứng dụng lưu Đảm bảo chất lượng o Có thể bao gồm kiểm sốt đảm bảo chất lượng o QA: Đảm bảo hoạt động phù hợp với tiêu chuẩn lựa chọn xét việc lập tài iệu o QC: đảm bảo hoạt động, dịch vụ, thiết bị, nhân hoạt động phù hợp với tiêu chuẩn chấp nhận o - - - - - - Các vấn đề với việc hủy bỏ liệu Hủy liệu (purging): xóa liệu cho thông tin lưu trữ khôi phục lại 13 - Nguyễn Minh Đức|19 - Dữ liệu dư thừa phần thông tin lưu trữ vật lý cịn lại sau xóa hay lưu Phần liệu dư đủ cho việc khôi phục lại liệu gốc Bản nháp Microsoft office Các biện pháp đảm bảo tính sẵn dùng mạng tài nguyên Tính sẵn dùng tiêu chí cho an tồn thơng tin Mọi người thường không quan tâm đến mạng tài nguyên hệ thống bị cố Vì vậy, người quản trị cần triển khai việc lưu dự phịng để có cố, suất làm việc hệ thống không bị ảnh hưởng nghiêm trọng Phần cứng dự phòng: sử dụng kỹ thuật “thay nóng” cho phép loại bỏ phần cứng bị trục trặc thay phần cứng Các công nghệ chịu lỗi: Cho phép hệ thống hoạt động mức chấp nhận có cố Lập nhóm: cơng nghệ máy chủ có khả chịu lỗi Xây dựng nhóm máy chủ mà mặt lơ-gíc giống máy chủ Tính tốn mạng lưới: kỹ thuật tính tốn song song cân tải Các máy chủ tham gia hay rời bỏ lưới cách linh hoạt Thỏa thuận cấp độ dịch vụ: xác định giới hạn dịch vụ ngân sách cho việc triển khai dịch vụ Thủ tục vận hành tin cậy: xây dựng, huấn luyện đào tạo nhân viên việc vận hành hệ thống 14 - - Vai trò trách nhiệm phận việc quản lý an tồn thơng tin Nhóm giám sát o Tiếp nhận kiểm tra tính hợp lệ thu từ người phân tích, quản trị, người dùng chuyển cho nhóm người dùng khác Phân tích hệ thống o Thiết kế luồng liệu hệ thống dự yêu cầu người dùng vận hành Lập trình ứng dụng o Phát triển bảo trì phần mềm cơng việc Hỗ trợ/Trợ giúp o Giải vấn đề vận hành hay kỹ thuật hệ thống người dùng cuối Kỹ sư IT 15 - - - - Nguyễn Minh Đức|20 Thực trách nhiệm vận hành hàng ngày hệ thống ứng dụng Quản trị sở liệu o Tạo bảng sở liệu quản lý sở liệu Quản trị mạng o Cài đặt bảo trì mạng cục bộ/diện rộng Quản trị an tồn o Xác định, cấu hình trì chế an toàn bảo vệ quan/tổ chức Thư viện o Nhận, lưu, cung cấp bảo vệ hệ thống file ứng dụng lưu Đảm bảo chất lượng o Có thể bao gồm kiểm sốt đảm bảo chất lượng o QA: Đảm bảo hoạt động phù hợp với tiêu chuẩn lựa chọn xét việc lập tài liệu o QC: đảm bảo hoạt động, dịch vụ, thiết bị, nhân hoạt động phù hợp với tiêu chuẩn chấp nhận o - - - Sự khác biệt kế hoạch khôi phục cố hoạt động liên tục Kế hoạch khôi phục Hoạt động liên tục Mục tiêu việc khôi phục sau Việc lập kế hoạch hoạt động liên tục cố (thảm họa) giảm thiểu hậu cung cấp biện pháp thủ tục để đối cố hay gián đoạn Nghĩa phó với gián đoạn cố cần tiến hành bước để thời gian dài đảm bảo tài nguyên, nhân sự, quy trình hoạt động có khả khơi phục theo cách kịp thời Quản lý hoạt động liên tục trình quản lý với việc lập kế hoạch khôi phục cố kế hoạch hoạt động liên tục Kế hoạch khôi phục cố Kế hoạch hoạt động liên tục sử dụng thực thứ cách tiếp cận rộng cho cố tình trạng khẩn cấp người - Việc bao gồm chuyển hệ cố gắng để làm cho thống quan trọng sang môi phần quan trọng hệ thống hoạt trường khác sửa chữa động trở lại hệ thống cũ, huy động người việc giai đoạn đó, thực cơng việc chế độ đặc biệt điều kiện bình thường khôi phục 16 Nguyễn Minh Đức|21 - Việc liên quan đến việc thông tin với khách hàng, đối tác chủ sở hữu (với công ty) bình thường Vấn đề khơi phục quy trình hoạt động Quy trình hoạt động tập bước liên kết với theo hành động cụ thể để hồn thành nhiệm vụ/cơng việc Nhóm lập kế hoạch hoạt động cần phải nắm bắt chi tiết qui trình thiết yếu quan/tổ chức liệu mơ tả vai trị tài ngun cần cho qui trình để giảm thiểu thời gian gián đoạn o Vai trò tài nguyên cần thiết o Đầu vào o Các bước luồng cơng việc o Thời gian cần hồn thành o Giao diện với qui trình khác 17 - Vấn đề khôi phục trang thiết bị Việc gián đoạn hoạt động xếp vào dạng o Thơng thường, thảm họa, thảm họa nghiêm trọng Với gián đoạn thông thường, chiến lược khôi phục thay hay sửa chữa trang thiết bị, phần cứng hay phần mềm Với thảm họa thường nguyên nhân thiên nhiên bão tố, ngập lụt, thời gian gián đoạn tính ngày lâu Việc khôi phục phải dựa vào trang thiết bị hay phương tiện từ vị trí khác o Thường cần trang thiết bị sẵn sàng thay cho thiết bị/phương tiện bị gián đoạn từ vị khác với vị trí bị thảm họa Thảm họa nghiêm trọng gây gián đoạn trầm trọng với phương tiện trang thiết bị, phá hủy hồn tồn phương tiện có Việc khơi phục cần biện pháp ngắn dài hạn o Ngắn hạn: sử dụng thiết bị trợ giúp từ vị trí khác o Dài hạn: xây dựng sửa chữa lại phương tiện phòng ốc hay nhà xưởng 18 - - Vấn đề khôi phục nguồn cung cấp công nghệ Nhóm quản lý cần xác định chi tiết giải pháp lưu/phục hồi cho Các thiết bị máy tính mạng 19 - Nguyễn Minh Đức|22 - Các tài nguyên liên lạc cho liệu thoại Nhân lực Vận chuyển thiết bị người Các vấn đề an toàn cho liệu người Nguồn cung cấp Mục tiêu việc kiểm tra/thực hành kế hoạch đảm bảo hoạt động liên tục Kiểu kế hoạch Mục tiêu Kế hoạch truyền Bao gồm vai trị chế truyền thơng nội thơng khủng bên Xác định cá nhân cụ thể liên lạc với hoảng bên Bao gồm phát biểu chuẩn bị trước mà cần công bố Kế hoạch đối Tập trung vào phần mềm độc hại, xâm nhập, cơng, phó cố vấn đề an toàn khác Vạch thủ tục để đối mạng(cyber) phó với cố Kế hoạch khẩn Xây dựng an toàn lao động thủ tục sơ tán cấp (với nhân viên) Kế hoạch khôi Tập trung vào việc khởi tạo lại qui trình hoạt động phục hoạt động cần thiết để hoạt động lại thay tập trung vào thiết bị IT Tính liên tục Thiết lập quản lý cấp cao trung tâm xử lý kế hoạch có thảm họa (sự cố) Vạch chức trách vai trò, hành động thứ tự hành động, nhiệm vụ cá nhân Kế hoạch cho Kế hoạch cho thủ tục/qui trình khơi phục hệ thống, tính liên tục mạng ứng dụng sau thảm họa Cần các quy IT trình/thủ tục cho phận quan trọng/chủ yếu 20 21 Bài tập phân tích rủi ro dựa Octave NIST Octave Thiết lập tiêu chuẩn đánh giá rủi ro a) Danh tiếng/Tín nhiệm khách hàng b) Tài c) Năng suất Nguyễn Minh Đức|23 d) e) f) Sức khỏe an toàn Hình phạt Phạt phạm luật Tiêu chuẩn tác động riêng Xây dựng hồ sơ tài sản thông tin Thu thập danh sách tài sản dựa mức độ quan trọng a) Lập hồ sơ chủ sở hữu b) Cung cấp mô tả tài sản quan trọng c) Xác định u cầu CIA (Bí mật-Tồn vẹn-Sẵn sàng) d) Xây dựng yêu cầu CIA quan trọng e) Lý tính quan trọng tài sản Xác định đối tượng chứa tài sản a) Kỹ thuật: Phần cứng, Qui trình, Loại thơng tin, b) Vật lý: Vị trí phần cứng hay liệu, trung tâm liệu c) Con người: người sở hữu tài sản, Đầu mối kỹ thuật, Xác định lĩnh vực quan tâm a) Cần mô tả chi tiết điều kiện hay tình thực tế tác động lên tài sản quan/tổ chức b) Về xác định điểm yếu hay lỗ hổng Xác định tình đe dọa a) Tài sản b) Truy nhập/Phương tiện c) Người tiến hành d) Động e) Kết Xác định rủi ro Lập danh sách đe dọa tác động dạng Rủi ro = Đe dọa (điều kiện) + Tác động (hậu quả) Ví Dụ: Đe dọa/Điểm yếu: Trên máy chủ Web, lỗi an tồn từ người phát triển dẫn đến việc truy nhập trái phép từ kẻ cơng bên ngồi Tác động: Trang web công ty không chứa liệu bí mật việc thay giao diện trang chủ hủy hoại danh tiếng công ty khách hàng tiềm đặt dấu hỏi tính an tồn tồn hệ thống Nguyễn Minh Đức|24 Phân tích rủi ro Lựa chọn giảm thiểu Các rủi ro phân loại thành nhóm để xác định chiến lược xử lý rủi ro Dựa vào kết bước trước xác suất xảy mối đe dọa Nhóm – Giảm thiểu Nhóm – Giảm thiểu hay loại trừ Nhóm – Loại trừ hay chấp nhận Nhóm – Chấp nhận Nguyễn Minh Đức|25 NIST Mô tả đặc trưng hệ thống Mục tiêu: tạo nhìn tổng thể hệ thống mơi trường hoạt động: 1.Phần cứng 2.Phần mềm 3.Giao tiếp 4.Dữ liệu & thông tin 5.Hỗ trợ người 6.Nhiệm vụ 7.Mức độ quan trọng liệu&hệ thống 8.Mức độ nhạy cảm liệu&hệ thống Cách thu thập thông tin: Mẫu điều tra, Phỏng vấn, Xem tài liệu, Công cụ quét lỗ hổng,… Xác định đe dọa Xây dựng mơ tả mối đe dọa có thể: người bẻ khóa,… Danh sách giúp người đánh giá xác định nguồn đe dọa Phân loại tự nhiên, người, hay môi trường Xác định lỗ hổng Xác định cặp lỗ hổng mối đe dọa tưng ứng 1.Đánh giá rủi ro trước 2.Báo cáo kiểm tốn hệ thống IT 3.Các dánh sách lỗ hổng 4.Khuyến cáo an ninh 5.Khuyến cáo nhà cung cấp Nguyễn Minh Đức|26 6.Trung tâm ứng cứu khẩn cấp 7.Kiểm tra an toàn hệ thống 8.Danh mục kiểm tra yêu cầu an tồn Xác định hành động sảy với cặp Phân tích kiểm sốt Xem xét biện pháp kiểm soát thời tới đánh giá mức độ chắn việc lỗ hổng bị khai thác SP800-30 thảo luận phương pháp kiểm sốt Phân tích dựa danh mục kiểm tra yêu cầu an toàn Xác định mức độ chắn Tính tốn xác suất mà lỗ hổng bị khai thác từ nguồn đe dọa SP800-30 phân thành loại mức độ Cao: Nguồn đe dọa mạnh – biện pháp kiểm sốt khơng hiệu Vừa: Nguồn đe dọa có động lực – biện pháp kiểm sốt cản trở Thấp: Nguồn đe dọa thiếu động hay khả - biện pháp kiểm soát ngăn cản đăng kể Phân tích tác động Xác định tác động tiêu cực lên tài sản lỗ hổng bị tận dụng thành công từ nguồn đe dọa SP800-30 chia thành mức độ tác động: Cao (Lớn), Vừa, Thấp Ví dụ: Tác động lớn: Việc lỗ hổng bị khai thác thành cơng gây tổn thất lớn đắt với tài sản dễ tổn thương; xâm phạm, tổn hại hay cản trở đáng kể nhiệm vụ quan, danh tiếng; gây tổn thất người hay bị thương nặng Xác định rủi ro Rủi ro = Tác động x Độ chắn Nguyễn Minh Đức|27 Khuyến nghị biện pháp kiểm soát Các giải pháp đề xuất sở xác định mức độ rủi ro NIST khuyên nên thực đánh giá chi phí phù hợp với mức độ tổn thất Lập báo cáo kết Các báo cáo cần mơ tả: • • • • Các nguồn đe dọa Các lỗ hổng Các rủi ro đánh giá Các biện pháp kiểm soát đề xuất Giúp quản lý đưa định hướng Nguyễn Minh Đức|28