CÔNG NGHỆ THÔNG TIN – CÁC KỸ THUẬT AN TOÀN –YÊU CẦU CƠ BẢN VỀ AN TOÀN HỆ THỐNG THÔNG TIN THEO CẤP ĐỘ

TCVN TIÊ U C H U Ẩ N Q U Ố C G I A DỰ THẢO 1.5 12/01/2017 TCVN XXXX:XXXX Xuất lần CÔNG NGHỆ THÔNG TIN – CÁC KỸ THUẬT AN TOÀN – YÊU CẦU CƠ BẢN VỀ AN TỒN HỆ THỐNG THƠNG TIN THEO CẤP ĐỘ [ HÀ NỘI – 2017 TCVN XXXX:XXXX Mục lục Lời nói đầu Phạm vi áp dụng Tài liệu viện dẫn Thuật ngữ định nghĩa .7 Tổng quan bảo đảm an toàn hệ thống thông tin theo cấp độ 11 4.1 Yêu cầu kỹ thuật yêu cầu quản lý 11 4.2 Ba loại yêu cầu 11 Yêu cầu cho cấp độ 11 5.1 5.1.1 Chính sách an tồn thơng tin 11 5.1.2 Tổ chức đảm bảo an tồn thơng tin 12 5.1.3 Bảo đảm nguồn nhân lực 12 5.1.4 Quản lý thiết kế, xây dựng hệ thống thông tin 12 5.1.5 Quản lý vận hành hệ thống 13 5.2 Yêu cầu quản lý .11 Yêu cầu kỹ thuật 13 5.2.1 Bảo đảm an toàn hạ tầng mạng 13 5.2.2 Bảo đảm an toàn máy chủ .14 5.2.3 Bảo đảm an toàn ứng dụng 15 5.2.4 An toàn liệu 15 Yêu cầu cho cấp độ 16 6.1 Yêu cầu quản lý 16 6.1.1 Chính sách an tồn thơng tin 16 6.1.2 Tổ chức đảm bảo an tồn thơng tin 16 6.1.3 Bảo đảm nguồn nhân lực 17 6.1.4 Quản lý thiết kế, xây dựng hệ thống thông tin 17 6.1.5 Quản lý vận hành hệ thống 18 6.2 Yêu cầu kỹ thuật 19 6.2.1 Bảo đảm an toàn hạ tầng mạng 19 TCVN XXXX:XXXX 6.2.2 Bảo đảm an toàn máy chủ .20 6.2.3 Bảo đảm an toàn ứng dụng 22 6.2.4 An toàn liệu 23 Yêu cầu cho cấp độ 23 7.1 7.1.1 Chính sách an tồn thơng tin 23 7.1.2 Tổ chức bảo đảm an tồn thơng tin 24 7.1.3 Bảo đảm nguồn nhân lực 25 7.1.4 Quản lý thiết kế, xây dựng hệ thống thông tin 26 7.1.5 Quản lý vận hành hệ thống 27 7.2 Yêu cầu kỹ thuật 30 7.2.1 Bảo đảm an toàn hạ tầng mạng 30 7.2.2 Bảo đảm an toàn máy chủ .32 7.2.3 Bảo đảm an toàn ứng dụng 34 7.2.4 An toàn liệu 36 Yêu cầu cho cấp độ 37 8.1 Yêu cầu quản lý 37 8.1.1 Chính sách an tồn thơng tin 37 8.1.2 Tổ chức bảo đảm an tồn thơng tin 38 8.1.4 Quản lý thiết kế, xây dựng hệ thống thông tin 40 8.1.5 Quản lý vận hành hệ thống 42 8.2 Yêu cầu quản lý 23 Yêu cầu kỹ thuật 47 8.2.1 Bảo đảm an toàn hạ tầng mạng 47 8.2.2 Bảo đảm an toàn máy chủ .50 8.2.3 Bảo đảm an toàn ứng dụng 53 8.2.4 An toàn liệu 55 Yêu cầu cho cấp độ 56 9.1 Yêu cầu quản lý 56 9.1.1 Chính sách an tồn thơng tin 56 TCVN XXXX:XXXX 9.1.2 Tổ chức bảo đảm an tồn thơng tin 57 9.1.3 Bảo đảm nguồn nhân lực 58 9.1.4 Quản lý thiết kế, xây dựng hệ thống thông tin 60 9.1.5 Quản lý vận hành hệ thống 62 9.2 Yêu cầu kỹ thuật 67 9.2.1 Bảo đảm an toàn hạ tầng mạng 67 9.2.2 Bảo đảm an toàn máy chủ .70 9.2.3 Bảo đảm an toàn ứng dụng 73 9.2.4 An toàn liệu 75 TCVN XXXX:XXXX Lời nói đầu TCVN xxxx đưa yêu cầu an toàn an toàn hệ thống thông tin theo cấp độ TCVN xxxx:2015 Cục An tồn thơng tin biên soạn, Bộ Thơng tin Truyền thông đề nghị, Tổng cục Tiêu chuẩn Đo lường Chất lượng thẩm định, Bộ Khoa học Công nghệ công bố TCVN XXXX:XXXX TIÊU CHUẨN QUỐC GIA TCVN xxxxxx Công nghệ thông tin – Các kỹ thuật an toàn – Yêu cầu an tồn hệ thống thơng tin theo cấp độ Phạm vi áp dụng Tiêu chuẩn đưa yêu cầu an tồn hệ thống thơng tin theo cấp độ Các yêu cầu bản, tối thiểu cần phải đáp ứng theo cấp độ hệ thống thơng tin Khuyến khích quan, tổ chức triển khai biện pháp bảo đảm an toàn thơng tin cho hệ thống thơng tin mình, đáp ứng yêu cầu an toàn cấp độ cao nhằm tăng cường bảo đảm an tồn thơng tin cho hệ thống Các yêu cầu đưa tiêu chuẩn nhằm bảo vệ hệ thống thông tin mức độ Cơ quan, tổ chức vào yêu cầu an toàn thực tế mình, thực đánh giá rủi ro an tồn hệ thống thơng tin quản lý để xác định u cầu an tồn bổ sung có biện pháp quản lý rủi ro phù hợp Yêu cầu an toàn bao gồm hai nhóm yêu cầu: yêu cầu kỹ thuật yêu cầu quản lý Nhóm yêu cầu kỹ thuật giúp quan, tổ chức có sở thiết kế, thiết lập hệ thống thơng tin trình xây dựng hệ thống thơng tin Nhóm u cầu quản lý giúp quan, tổ chức có sở để xây dựng sách, quy trình quản lý an tồn thơng tin cho hệ thống trình vận hành, khai thác, sử dụng Yêu cầu an toàn đưa tiêu chuẩn tập trung vào u cầu bảo đảm an tồn thơng tin mạng Các u cầu khác an tồn thơng tin, khơng liên quan trực tiếp đến bảo đảm an tồn thơng tin mạng khơng thuộc phạm vi tiêu chuẩn Các yêu cầu đưa tiêu chuẩn sử dụng để đánh giá hệ thống thơng tin có đáp ứng u cầu an tồn theo cấp độ hay khơng Tài liệu viện dẫn TCVN ISO/IEC 27001:2007 ISO/IEC 27001:2005 “Cơng nghệ thơng tin - Kỹ thuật an tồn - Hệ thống quản lý an tồn thơng tin – Các yêu cầu” (Information Technology – Security techniques – Information security management system – Requirements) SP800-53 R4, Security and Privacy Controls for Federal Information Systems and Organizations Thuật ngữ định nghĩa 3.1 An tồn thơng tin TCVN XXXX:XXXX Sự bảo vệ thông tin hệ thống thông tin tránh bị truy nhập, sử dụng, tiết lộ, gián đoạn, sửa đổi phá hoại trái phép nhằm bảo đảm tính nguyên vẹn, tính bảo mật tính khả dụng thơng tin 3.2 Bảo đảm an tồn thơng tin cho mạng không dây Biện pháp quản lý bảo vệ điểm cấp phát sóng wifi (Access Point) Ưu tiên sử dụng biện pháp quản lý tập trung để để tăng cường tính đồng bộ, hiệu an tồn 3.3 Chính sách quản lý an tồn Quy định, quy tắc, quy trình quản lý, khai thác, vận hành sử dụng hệ thống thông tin bảo đảm an tồn thơng tin 3.4 Giám sát an tồn hoạt động hệ thống Biện pháp giám sát nhằm theo dõi trạng thái hoạt động hệ thống (trạng thái Up, Down, hiệu hệ thống RAM.CPU, Bandwith…) để phát cảnh báo sớm cố liên quan đến hoạt động hệ thống Ưu tiên sử dụng biện pháp giám sát tập trung để tăng cường tính đồng bộ, hiệu trình giám sát 3.5 Giám sát an tồn thơng tin Biện pháp thu thập, phân tích, cảnh báo sớm kiện, cố an tồn thơng tin xảy hệ thống Ưu tiên sử dụng biện pháp giám sát tập trung để tăng cường tính đồng bộ, hiệu trình giám sát 3.6 Giao thức mạng an tồn Giao thức mạng có hỗ trợ chức mã hóa thơng tin SSH, SSL/TLS, VPN tương đương, bảo đảm thơng tin bí mật, ngun vẹn trao đổi qua môi trường mạng 3.7 Hệ thống lọc phần mềm độc hại Tập hợp phần cứng, phần mềm kết nối vào mạng để phát hiện, ngăn chặn, lọc thống kê phần mềm độc hại 3.8 TCVN XXXX:XXXX Hệ thống thông tin Tập hợp thiết bị phần cứng, phần mềm sở liệu thiết lập phục vụ mục đích tạo lập, cung cấp, truyền đưa, thu thập, xử lý, lưu trữ trao đổi thông tin 3.9 Hồ sơ cấp độ hệ thống Hồ sơ, tài liệu liên quan đến việc đánh giá xác định cấp an tồn hệ thống thơng tin 3.10 Kết nối mạng bảo mật Là kết nối mạng sử dụng phương pháp mã hóa, xác thực nguyên vẹn thông tin SSH,SSL, VPN… 3.11 Phần mềm độc hại Phần mềm có khả gây hoạt động khơng bình thường cho phần hay tồn hệ thống thông tin thực chép, sửa đổi, xóa bỏ trái phép thơng tin lưu trữ hệ thống thơng tin 3.12 Phần mềm phịng chống mã độc Phần mềm cài đặt máy tính, có chức phát hiện, cảnh báo xử lý phần mềm độc hại 3.13 Quản lý tài khoản đặc quyền Biện pháp quản lý tài quản có quyền cao hệ thống như: máy chủ, thiết bị, ứng dụng, sở liệu…Ưu tiên sử dụng biện pháp quản lý tài khoản đặc quyền tập trung để tăng cường tính đồng bộ, hiệu an tồn 3.14 Sự cố an tồn thơng tin Việc thơng tin, hệ thống thông tin bị gây nguy hại, ảnh hưởng tới tính bảo mật, tính nguyên vẹn tính khả dụng 3.15 Thiết bị mạng TCVN XXXX:XXXX Thiết bị gây gián đoạn hoạt động toàn hệ thống xảy cố như: thiết bị chuyển mạch trung tâm, thiết bị định tuyến biên, tường lửa… 3.16 Tính bí mật Tính chất bảo đảm thơng tin khơng bị tiết lộ, lộ lọt sử dụng trái phép 3.17 Tính khả dụng Tính chất bảo đảm tính sẵn sàng thông tin cần truy nhập sử dụng theo yêu cầu 3.18 Tính nguyên vẹn Tính chất bảo đảm thông tin không bị can thiệp, sửa đổi trái phép 3.19 Vùng mạng biên Vùng mạng kết nối hệ thống bên Internet mạng khác 3.20 Vùng mạng DMZ Vùng mạng đặt máy chủ công cộng, cho phép truy nhập trực tiếp từ mạng bên mạng Internet 3.21 Vùng mạng máy chủ nội Vùng mạng đặt máy chủ nội bộ, cung cấp ứng dụng, dịch vụ nội cho người dùng bên tổ chức Các máy chủ không cung cấp ứng dụng, dịch vụ trực tiếp mạng bên mạng Internet 3.22 Vùng mạng nội Vùng mạng thường gọi mạng LAN (Local Area Network), vùng mạng đặt máy trạm thiết bị đầu cuối khác người sử dụng 3.23 Vùng mạng quản trị 10 TCVN XXXX:XXXX d) Có thỏa thuận cam kết trách nhiệm bên trước ký kết hợp đồng; đ) Bên cung cấp dịch vụ an tồn thơng tin quan có thẩm quyền cấp phép; e) Bên cung cấp dịch vụ an tồn thơng tin quan có thẩm quyền định 9.1.5 Quản lý vận hành hệ thống 9.1.5.1 Quản lý an toàn mạng Yêu cầu bao gồm: a) Xây dựng sách, quy trình quản lý, vận hành hoạt động bình thường hệ thống; b) Xây dựng sách, quy trình cập nhật; lưu, dự phịng tệp tin cấu hình hệ thống khôi phục hệ thống sau xảy cố; c) Xây dựng sách, quy trình truy nhập quản lý cấu hình hệ thống; d) Xây dựng sách, quy trình kết nối thiết bị đầu cuối người sử dụng vào hệ thống mạng; đ) Xây dựng sách, quy trình cấu hình tối ưu, tăng cường bảo mật cho thiết bị mạng, bảo mật (cứng hóa) hệ thống thực quy trình trước đưa hệ thống vào vận hành khai thác; e) Xây dựng sách, quy trình kết nối gửi nhật ký hệ thống hệ thống giám sát; g) Xây dựng sách, quy trình kiểm tra, đánh giá an tồn thơng tin; xử lý điểm yếu, lỗ hổng bảo mật cho thiết bị hệ thống; h) Xây dựng sách, quy trình khơi phục hệ thống sau xảy cố; i) Xây dựng sách, quy trình quản lý thay đổi sách, cấu hình hệ thống 9.1.5.2 Quản lý an tồn máy chủ ứng dụng Yêu cầu bao gồm: a) Xây dựng sách, quy trình quản lý, vận hành hoạt động bình thường hệ thống máy chủ dịch vụ; b) Xây dựng chinh sách truy nhập mạng máy chủ; c) Xây dựng sách, quy trình truy nhập quản trị máy chủ ứng dụng; d) Xây dựng sách, quy trình cập nhật; lưu, dự phịng tệp tin cấu hình hệ thống, tệp tin dự phòng hệ điều hành liệu quan trọng khác khôi phục sau xảy cố; e) Xây dựng sách, quy trình cài đặt, gỡ bỏ hệ điều hành, dịch vụ, phần mềm hệ thống máy chủ ứng dụng; g) Xây dựng quy trình kết nối gỡ bỏ hệ thống máy chủ dịch vụ khỏi hệ thống; 62 TCVN XXXX:XXXX h) Xây dựng quy trình cấu hình tối ưu tăng cường bảo mật (cứng hóa) cho hệ thống máy chủ dịch vụ thực quy trình trước đưa hệ thống vào sử dụng; i) Xây dựng sách, quy trình kết nối gửi nhật ký hệ thống hệ thống giám sát; k) Xây dựng sách, quy trình kiểm tra, đánh giá an tồn thông tin; xử lý điểm yếu, lỗ hổng bảo mật cho cmáy chủ ứng dụng; l) Xây dựng quy trình khơi phục hệ điều hành, ứng dụng, dịch vụ sau xảy cố; m) Xây dựng sách, quy trình quản lý thay đổi sách, cấu hình hệ thống 9.1.5.3 Quản lý an tồn liệu Yêu cầu bao gồm: a) Có phương án lưu, dự phịng thơng tin, liệu, cấu hình hệ thống; b) Thực lưu, dự phịng thơng tin, liệu sau: tập tin cấu hình hệ thống, ảnh hệ điều hành máy chủ, sơ sở liệu; liệu, thông tin nghiệp vụ; c) Xây dựng quy trình lưu dự phịng, định kỳ 02 tuần (hoặc có thay đổi hệ thống cần lưu dự phịng) thực quy trình lưu dự phịng; d) Xây dựng quy trình khơi phục liệu dự phịng; đ) Xây dựng sách quản lý an toàn liệu, bao gồm yêu cầu sau: - Yêu cầu an toàn phương pháp mã hóa - Quản lý sử dụng khóa bí mật - Phân loại, quản lý liệu bí mật - Cơ chế mã hóa kiểm tra tính tồn vẹn liệu - Trao đổi liệu qua môi trường mạng phương tiện lưu trữ - Sao lưu, dự phịng phơi phục liệu (tần suất lưu dự phòng, phương tiện lưu trữ, thời gian lưu trữ; nơi lưu trữ, phương thức lưu trữ phương thức lấy liệu khỏi phương tiện lưu trữ) e) Xây dựng quy trình kiểm tra, vận hành bảo trì hệ thống lưu dự phịng; e) Xây dựng sách, quy trình cập nhật đồng thông tin, liệu hệ thống lưu dự phịng hệ thống phụ 9.1.5.4 Quản lý an toàn thiết bị đầu cuối Yêu cầu bao gồm: a) Xây dựng sách, quy trình quản lý, vận hành hoạt động bình thường cho thiết bị đầu cuối; b) Xây dựng sách, quy trình kết nối, truy nhập sử dụng thiết bị đầu cuối từ xa; 63 TCVN XXXX:XXXX c) Xây dựng sách, quy trình cài đặt, kết nối gỡ bỏ thiết bị đầu cuối vào hệ thống d) Xây dựng sách, quy trình cấu hình tối ưu tăng cường bảo mật (cứng hóa) cho máy tính người sử dụng thực quy trình trước đưa hệ thống vào sử dụng; đ) Xây dựng sách, quy trình kiểm tra, đánh giá an tồn thơng tin xử lý điểm yếu, lỗ hổng bảo mật cho thiết bị đầu cuối 9.1.5.5 Quản lý thiết bị hệ thống Yêu cầu bao gồm: a) Xây dựng sách, quy trình quản lý, vận hành khai thác hoạt động bình thường thiết bị; b) Chỉ định phận có trách nhiệm quản lý, vận hành định kỳ kiểm tra, sửa chữa, bảo trì thiết bị c) Xây dựng quy trình lắp đặt, cài đặt kết nối gỡ bỏ thiết bị khỏi hệ thống; d) Xây dựng quy trình bảo dưỡng, bảo trì thiết bị; đ) Quy định điều kiện bảo đảm an toàn vật lý cho thiết bị 9.1.5.6 Quản lý phòng chống phần mềm độc hại Yêu cầu bao gồm: a) Xây dựng sách, quy trình cài đặt, cập nhật, sử dụng phần mềm phòng chống mã độc; dò quét, kiểm tra phần mềm độc hại máy tính, máy chủ thiết bị di động; b) Xây dựng sách, quy trình cài đặt, sử dụng phần mềm máy tính, thiết bị di động việc truy cập trang thông tin mạng; c) Xây dựng quy định việc gửi nhận tệp tin từ môi trường mạng qua phương tiện lưu trữ di động; d) Định kỳ 01 tháng (hoặc phát hoạt động khơng bình thường hệ thống) thực kiểm tra dò quét phần mềm độc hại toàn hệ thống 9.1.5.7 Quản lý giám sát an tồn thơng tin u cầu bao gồm: a) Xây dựng sách, quy trình, quy trình quản lý hoạt động bình thường hệ thống giám sát; b) Chỉ định phận có trách nhiệm giám sát hệ thống thơng tin c) Xây dựng sách giám sát an tồn thơng tin bao gồm u cầu sau: - Chính sách truy nhập quản lý hệ thống giám sát - Quy định việc kết nối; gửi liệu từ thiết bị giám sát hệ thống giám sát - Quy định loại thông tin cần giám sát 64 TCVN XXXX:XXXX - Quy định việc lưu trữ bảo đảm an tồn thơng tin giám sát (nhật ký hệ thống) - Quy định việc đồng thời gian hệ thống giám sát thiết bị giám sát d) Xây dựng quy trình, quy định việc kết nối đối tượng giám vào hệ thống giám sát; đ) Xây dựng quy trình theo dõi, giám sát cảnh báo cố phát hệ thống thông tin 9.1.5.8 Quản lý điểm yếu an tồn thơng tin u cầu bao gồm: a) Xây dựng danh mục, phiên bản, chức cho thành phần có hệ thống (thiết bị mạng, bảo mật; hệ điều hành; máy chủ; ứng dụng, dịch vụ thành phần khác hệ thống tồn điểm yếu an tồn thông tin thông tin); b) Xây dựng danh sách nguồn cung cấp điểm yếu an tồn thơng tin; phân nhóm mức độ điểm yếu cho thành phần hệ thống xác định; c) Xây dựng danh sách đầu mối nhóm chuyên ra, bên cung cấp dịch vụ hỗ trợ, cung cấp dịch vụ xử lý, khắc phục điểm yếu an tồn thơng tin; d) Xây dựng sách, quy trình cập nhật thơng tin, cảnh báo điểm yếu an tồn thơng tin; đ) Xây dựng quy trình, phương án xử lý, khắc phục điểm yếu an tồn thơng tin theo nhóm hạ tầng mạng; hệ điều hành; ứng dụng dịch vụ nhóm khác cần quản lý; e) Xây dựng phương án xử lý tạm thời điểm yếu an tồn thơng tin khơng/chưa có khả xử lý; g) Xây dựng quy trình khơi phục lại hệ thống sau xử lý điểm yếu an toàn thông tin thất bại 9.1.5.9 Quản lý cố an tồn thơng tin u cầu bao gồm: a) Xây dựng danh sách, tiêu chí phân loại cố an tồn thơng tin theo nhóm cố: cố an toàn vật lý, cố an toàn mạng, cố an toàn máy chủ, cố an toàn dịch vụ; b) Xây dựng danh sách đầu mối nhóm chuyên ra, bên cung cấp dịch vụ hỗ trợ, cung cấp dịch vụ xử lý, khắc phục cố an tồn thơng tin; c) Xây dựng phương án khắc phục, xử lý loại cố an tồn thơng tin tương ứng; đ) Xây dựng quy trình phát cảnh báo cố an tồn thơng tin; e) Xây dựng quy trình khắc phục, xử lý cố an tồn thơng tin bao gồm: tiếp nhận cố, xác minh/xác nhận cố, phân loại cố, báo cáo cố, thu thập thông tin để phục vụ phân tích cố, phân tích cố; xử lý cố, tổng hợp báo cáo, lưu hồ sơ cố; g) Xây dựng quy trình điều tra, phân tích thu thập chứng cứ; 65 TCVN XXXX:XXXX h) Quy định việc lưu hồ sơ trình xử lý, tổng kết học kinh nghiệm; đưa biện pháp ngăn chặn cố tái phát sinh; cần lưu hồ sơ tồn q trình thực hiện; i) Xây dựng quy trình riêng cố nghiêm trọng cần xử lý đặc biệt (ví dụ: cố gây gián đoạn hoạt động tồn hệ thống lộ lọt thơng tin bí mật ) định phận chuyên trách thực hiện; k) Xây dựng phương án báo cáo quan chức (theo quy định nhà nước) trường hợp cần hỗ trợ điều phối, xử lý; l) Chỉ định phận có trách nhiệm quản lý thực thi xử lý cố an toàn thông tin 9.1.5.10 Quản lý phương án ứng cứu khẩn cấp Yêu cầu bao gồm: a) Xác định, xây dựng tiêu chí phân loại cố an tồn thơng tin cần xử lý theo phương án ứng cứu khẩn cấp; b) Chỉ định phân trách nhiệm cho phận thành phần tham gia phương án ứng cứu khẩn cấp; c) Quy định phương án phân bổ tài nguyên (con người, tài chính, phương tiện, biện pháp kỹ thuật…) cho phương án ứng cứu khẩn cấp; d) Xây dựng phương án ứng cứu khẩn cấp theo cấp độ ứng cứu khẩn cấp; đ) Xây dựng quy trình thực phương án ứng cứu khẩn cấp; e) Định kỳ hàng năm, tổ chức đào tạo, nâng cao kỹ cho cán chuyên trách có trách nhiệm thực phương án ứng cứu khẩn cấp; g) Định kỳ hàng năm tổ chức diễn tập phương án ứng cứu khẩn cấp; h) Định kỳ (hoặc đột xuất theo yêu cầu thực tế) kiểm tra, rà soát cập nhật phương án ứng cứu khẩn cấp cho phù hợp với yêu cầu tình hình thực tế 9.1.5.11 Quản lý tài sản Yêu cầu bao gồm: a) Xây dựng danh mục phân loại tài sản b) Xây dựng sách quản lý sử dụng tài sản tổ chức c) Quản lý phương tiện lưu trữ d) Chỉ định phận có trách nhiệm quản lý tài sản; có sách, quy định việc quản lý sử dụng tài sản; 66 TCVN XXXX:XXXX 9.1.5.12 Quản lý thay đổi hệ thống Yêu cầu bao gồm: a) Xây dựng quy trình quản lý thay đổi quy trình nghiệp vụ; thay đổi tổ chức, cán liên quan đến hoạt động bảo đảm an tồn thơng tin tổ chức; b) Xây dựng quy trình quản lý thay đổi hạ tầng vật lý: bổ sung, gỡ bỏ, di chuyển, thay đổi chức thiết bị phụ trợ hệ thống; c) Xây dựng quy trình quản lý thay đổi hạ tầng mạng: bổ sung gỡ bỏ kết nối mạng; cấu hình thiết bị mạng, bảo mật, bổ sung gỡ bỏ thiết bị khỏi hệ thống; d) Xây dựng quy trình quản lý thay đổi ứng dụng dịch vụ: cài đặt gỡ bỏ dịch vụ, phần mềm; kết nối mạng; sách truy nhập…; đ) Xây dựng quy trình khơi phục lại hệ thống sau thay đổi (trong trường hợp thay đổi xảy cố không hợp lý); e) Xây dựng quy trình thay đổi trường hợp hệ thống cần thay đổi khẩn cấp 9.2 9.2.1 Yêu cầu kỹ thuật Bảo đảm an toàn hạ tầng mạng 9.2.1.1 Thiết kế hệ thống Yêu cầu bao gồm: a) Thiết kế vùng mạng hệ thống theo chức năng, bao gồm cơ vùng mạng: - Vùng mạng nội - Vùng mạng biên - Vùng mạng DMZ - Vùng mạng máy chủ nội - Vùng mạng không dây tách riêng, độc lập với vùng mạng khác (nếu có) - Vùng mạng máy chủ máy chủ sở liệu - Vùng mạng quản trị - Vùng mạng quản trị thiết bị hệ thống b) Phương án thiết kế bảo đảm yêu cầu sau: - Có khả truy nhập, quản trị hệ thống từ xa an tồn - Có biện pháp quản lý truy nhập phịng chống xâm nhập - Có phương án chặn lọc phần mềm độc hại môi trường mạng 67 TCVN XXXX:XXXX - Có phương án phịng chống cơng từ chối dịch vụ - Có phương án giám sát hoạt động bình thường hệ thống - Có phương án giám sát an tồn thơng tin - Có phương án quản lý tập trung việc lưu, dự phịng hệ thống - Có phương án quản lý tập trung phần mềm phòng chống mã độc máy chủ/máy tính người dùng hệ thống - Có phương án bảo đảm an tồn cho mạng khơng dây (nếu có) - Các thiết bị mạng có thiết kế dự phịng - Có phương án bảo vệ máy chủ sở liệu - Có phương án quản lý cập nhật vá, điểm yếu an toàn thơng tin tập trung - Thiết bị mạng có thiết kế dự phịng nóng - Có phương án quản lý tài khoản đặc quyền - Thiết bị mạng có thiết kế dự phịng nóng - Có phương án dự phịng hệ thống vị trí địa lý khác nhau; yêu cầu có 02 kết nối độc lập hệ thống hệ thống dự phịng 9.2.1.2 Kiểm sốt truy nhập từ bên mạng Yêu cầu bao gồm: a) Thiết lập hệ thống cho phép sử dụng giao thức mạng an tồn truy nhập thơng tin không công khai quản trị hệ thống từ mạng bên ngồi mạng Internet; b) Kiểm sốt truy nhập từ bên vào hệ thống theo dịch vụ, ứng dụng cụ thể; chặn tất dịch vụ, ứng dụng mà hệ thống không cung cấp khơng cho phép từ bên ngồi; c) Thiết lập giới hạn thời gian chờ (timeout) để đóng phiên kết nối hệ thống không nhận yêu cầu từ người dùng; d) Phân quyền cấp quyền truy nhập từ bên vào hệ thống theo theo người dùng nhóm người dùng theo yêu cầu nghiệp vụ, yêu cầu quản lý; đ) Giới hạn số lượng kết nối đồng thời từ địa nguồn tổng số lượng kết nối đồng thời cho ứng dụng, dịch vụ hệ thống cung cấp theo lực thực tế hệ thống; e) Kiểm soát truy nhập từ bên mạng theo thời gian ứng dụng, dịch vụ quan trọng theo quy định tổ chức (nếu có); g) Có phương án giới hạn truy nhập từ mạng bên ưu tiên hệ thống bị tải cạn kiệt tài nguyên 68 TCVN XXXX:XXXX 9.2.1.3 Kiểm soát truy nhập từ bên mạng Yêu cầu bao gồm: a) Chỉ cho phép truy nhập ứng dụng, dịch vụ bên theo yêu cầu nghiệp vụ, chặn dịch vụ khác khơng phục vụ hoạt động nghiệp vụ theo sách tổ chức; b) Giới hạn truy nhập ứng dụng, dịch vụ bên theo thời gian (theo sách truy nhập tổ chức có); c) Có phương án quản lý thiết bị đầu cuối, máy tính người dùng kết nối vào hệ thống mạng (theo địa vật lý, địa logic), cho phép thiết bị đầu cuối, máy tính người sử dụng hợp lệ kết nối vào hệ thống; d) Triển khai hệ thống giám sát, phát ngăn chặn truy cập từ bên mạng đến địa Internet bị cấm truy cập theo sách tổ chức 9.2.1.4 Nhật ký hệ thống Yêu cầu bao gồm: a) Thông tin truy cập ứng dụng dịch vụ cần ghi nhật ký bao gồm: - Thời gian kết nối - Thông tin kết nối mạng (địa IP, cổng kết nối) - Hành động kết nối (cho phép, ngăn chặn) - Thông tin thiết bị đầu cuối kết nối vào hệ thống theo địa vật lý logic - Thông tin cảnh báo từ thiết bị b) Sử dụng máy chủ thời gian hệ thống để đồng thời gian thiết bị mạng, thiết bị đầu cuối thành phần khác hệ thống; c) Lưu trữ quản lý tập trung nhật ký hệ thống hệ thống quản lý nhật ký hệ thống tập trung, gửi liệu nhật ký hệ thống hệ thống trung tâm theo thời gian thực; d) Giới hạn tài nguyên cho chức ghi nhật ký thiết bị, để bảo đảm chức không làm ảnh hưởng, gián đoạn hoạt động thiết bị; đ) Lưu trữ dự phòng liệu nhật ký hệ thống hệ thống lưu trữ riêng biệt; e) Phân quyền truy nhập, quản lý liệu nhật ký hệ thống tài khoản khác nhau; g) Lưu trữ nhật ký hệ thống thiết bị tối thiểu 12 tháng 9.2.1.5 Phòng chống xâm nhập Yêu cầu bao gồm: 69 TCVN XXXX:XXXX a) Có phương án phòng chống xâm nhập để bảo vệ vùng mạng máy chủ công cộng, máy chủ nội bộ, máy chủ sở liệu vùng mạng nội bộ; b) Tự động cập nhật thời gian thực sở liệu, dấu hiệu phát công; c) Bảo đảm lực hệ thống bảo đảm đáp ứng đủ theo yêu cầu theo quy mô số lượng người dùng dịch vụ, ứng dụng hệ thống cung cấp; d) Có biện pháp cân tải dự phịng nóng 9.2.1.6 Phịng chống phần mềm độc hại môi trường mạng Yêu cầu bao gồm: a) Thiết lập hệ thống phòng chống phần mềm độc hại để bảo vệ vùng mạng máy chủ vùng mạng nội bộ; b) Tự động cập nhật thời gian thực sở liệu cho hệ thống phòng chống phần mềm độc hại; c) Bảo đảm lực hệ thống bảo đảm đáp ứng đủ theo yêu cầu theo quy mô số lượng người dùng dịch vụ, ứng dụng hệ thống cung cấp; d) Có biện pháp cân tải dự phịng nóng 9.2.1.7 Bảo vệ thiết bị hệ thống Yêu cầu bao gồm: a) Cấu hình chức xác thực thiết bị hệ thống để xác thực người dùng sử dụng quản trị thiết bị trực tiếp từ xa; b) Thiết lập cấu hình cho phép sử dụng giao thức mạng an toàn truy nhập, quản trị thiết bị; c) Cho phép hạn chế địa IP, địa mạng kết kết nối, quản trị thiết bị từ xa; d) Hạn chế số lần đăng nhập sai quản trị kết nối quản trị từ xa theo địa IP nguồn; đ) Phân quyền truy nhập, quản trị thiết bị tài khoản quản trị có quyền hạn khác nhau; e) Cấu hình tối ưu, tăng cường bảo mật cho hệ thống thiết bị hệ thống trước đưa vào sử dụng; g) Nâng cấp, xử lý điểm yếu, lỗ hổng bảo mật thiết bị hệ thống trước đưa vào sử dụng 9.2.2 Bảo đảm an toàn máy chủ 9.2.2.1 Xác thực Yêu cầu bao gồm: a) Thiết lập sách xác thực máy chủ để xác thực người dùng sử dụng khi truy nhập, quản lý sử dụng máy chủ; 70 TCVN XXXX:XXXX b) Thay đổi tài khoản mặc định hệ thống vơ hiệu hóa (nếu khơng sử dụng); c) Thiết lập sách an toàn mật cho máy chủ bao gồm yêu cầu sau: - Yêu cầu thay đổi mật mặc định - Thiết lập thời gian yêu cầu thay đổi mật - Thiết lập thời gian mật hợp lệ - Thiết lập quy tắc đặt mật số ký tự, loại ký tự d) Hạn chế số lần đăng nhập sai khoảng thời gian định với tài khoản định; đ) Thiết lập cấu hình để vơ hiệu hóa tài khoản tài khoản đăng nhập sai nhiều lần vượt số lần quy định; e) Thông tin xác thực yêu cầu cần thay đổi định kỳ 03 tháng/lần); g) Thiết lập hệ thống phép đăng nhập vào hệ thống vào khoảng thời gian hợp lệ (theo quy định tổ chức); h) Sử dụng chế xác thực đa nhân tố để xác thực người sử dụng truy nhập, quản trị vào máy chủ quan trọng hệ thống 9.2.2.2 Kiểm soát truy nhập Yêu cầu bao gồm: a) Thiết lập hệ thống cho phép sử dụng giao thức mạng an toàn truy nhập, quản trị máy chủ từ xa thông qua môi trường mạng; b) Thiết lập giới hạn thời gian chờ (timeout) để đóng phiên kết nối máy chủ khơng nhận yêu cầu từ người dùng; c) Thay đổi cổng quản trị mặc định máy chủ; d) Giới hạn địa IP nguồn phép truy nhập, quản trị máy chủ từ xa; đ) Thiết lập hệ thống để không cho phép quản trị máy chủ trực tiếp từ mạng bên ngồi; thực gián tiếp thơng qua kết nối mạng riêng ảo phương thức khác tương đương; e) Phân quyền truy nhập, quản trị, sử dụng tài nguyên khác máy chủ với người sử dụng/ nhóm người sử dụng có chức năng, yêu cầu nghiệp vụ khác nhau; g) Cấp quyền tối thiểu (quyền truy nhập, quản trị) cho tài khoản quản trị máy chủ theo quyền hạn; h) Kiểm soát truy nhập máy chủ theo khoảng thời gian hợp lệ (theo sách tổ chức có) 9.2.2.3 Nhật ký hệ thống Yêu cầu bao gồm: a) Ghi nhật ký hệ thống bao gồm thông tin sau: 71 TCVN XXXX:XXXX - Thông tin kết nối mạng tới máy chủ (Firewall log) - Thông tin đăng nhập vào máy chủ - Lỗi phát sinh trình hoạt động - Các thông tin khác cần ghi nhật ký theo yêu cầu thực tế (nếu có) b) Đồng thời gian máy chủ với máy chủ thời gian; c) Giới hạn đủ dung lượng lưu trữ nhật ký hệ thống để không tràn nhật ký hệ thống; d) Quản lý lưu trữ nhật ký hệ thống hệ thống quản lý nhật ký hệ thống tập trung, gửi liệu nhật ký hệ thống hệ thống trung tâm theo thời gian thực; đ) Lưu liệu nhật ký hệ thống hệ thống lưu trữ riêng biệt; lưu trữ có mã hóa liệu nhật ký hệ thống máy chủ quan trọng; e) Phân quyền truy nhập, quản lý liệu nhật ký hệ thống tài khoản khác nhau; g) Lưu nhật ký hệ thống khoảng thời gian tối thiểu 12 tháng 9.2.2.4 Phòng chống xâm nhập Yêu cầu bao gồm: a) Loại bỏ tài khoản khơng sử dụng, tài khoản khơng cịn hợp lệ máy chủ; b) Sử dụng tường lửa hệ điều hành máy chủ để cấm truy nhập trái phép tới máy chủ; c) Vơ hiệu hóa giao thức mạng khơng an tồn, dịch vụ hệ thống không sử dụng; d) Thiết lập chế cập nhật, xử lý vá điểm yếu an tồn thơng tin cho hệ điều hành dịch vụ hệ thống máy chủ đ) Có biện pháp quản lý tập trung việc cập nhật xử lý vá, điểm yếu an tồn thơng tin cho hệ điều hành dịch vụ hệ thống máy chủ; e) Thực nâng cấp, xử lý điểm yếu, lỗ hổng bảo mật máy chủ trước đưa vào sử dụng; g) Thực cấu hình tối ưu, tăng cường bảo mật cho máy chủ trước đưa vào sử dụng; h) Có biện pháp phịng chống xâm nhập máy chủ kiểm tra tính tồn vẹn tệp tin hệ thống 9.2.2.5 Phòng chống phần mềm độc hại Yêu cầu bao gồm: a) Cài đặt phần mềm phòng chống mã độc thiết lập chế độ tự động cập nhật sở liệu cho phần mềm; b) Có chế kiểm tra, dị qt, xử lý phần mềm độc hại cho phần mềm trước cài đặt; 72 TCVN XXXX:XXXX c) Quản lý tập trung (cập nhật, cảnh báo quản lý) phần mềm phòng chống mã độc cài đặt máy chủ máy tính người sử dụng hệ thống; d) Có chế kiểm tra, xử lý mã độc phương tiện lưu trữ di động (USB, đĩa flash…) trước kết nối với máy chủ đ) Có chế theo dõi, giám sát cảnh báo thời gian thực tiến trình xuất hiện, tệp tin hệ thống bị thay đổi máy chủ 9.2.2.6 Xử lý máy chủ chuyển giao Yêu cầu bao gồm: a) Có chế xóa thơng tin, liệu máy chủ chuyển giao thay đổi mục đích sử dụng; b) Sao lưu, dự phịng thơng tin, liệu máy chủ, ảnh hệ điều hành máy chủ trước thực xóa liệu, hệ điều hành; c) Có biện pháp kiểm tra, bảo đảm liệu khơng thể khơi phục sau xóa 9.2.3 Bảo đảm an toàn ứng dụng 9.2.3.1 Xác thực Yêu cầu bao gồm: a) Thiết lập cấu hình ứng dụng để xác thực người sử dụng quản trị, cấu hình cấu hình ứng dụng; b) Lưu trữ mã hóa thông tin xác thực hệ thống; c) Thiết lập sách an tồn mật cho máy chủ bao gồm yêu cầu sau: - Yêu cầu thay đổi mật mặc định - Thiết lập thời gian yêu cầu thay đổi mật - Thiết lập thời gian mật hợp lệ - Thiết lập quy tắc đặt mật số ký tự, loại ký tự d) Hạn chế số lần đăng nhập sai khoảng thời gian định với tài khoản định; đ) Mã hóa thơng tin xác thực trước gửi qua mơi trường mạng; e) Thiết lập cấu hình ứng dụng để ngăn cản việc đăng nhập tự động; g) Vơ hiệu hóa tài khoản đăng nhập sai nhiều lần vượt số lần quy định; h) Sử dụng chế xác thực đa nhân tố để xác thực người sử dụng truy nhập, quản trị dịch vụ quan trọng hệ thống 73 TCVN XXXX:XXXX 9.2.3.2 Kiểm soát truy nhập Yêu cầu bao gồm: a) Thiết lập hệ thống cho phép sử dụng giao thức mạng an toàn quản trị ứng dụng từ xa; b) Thiết lập giới hạn thời gian chờ (timeout) để đóng phiên kết nối ứng dụng khơng nhận yêu cầu từ người dùng; c) Giới hạn địa IP quản trị phép quản trị ứng dụng từ xa; d) Phân quyền truy nhập, quản trị, sử dụng tài nguyên khác ứng dụng với người sử dụng/ nhóm người sử dụng có chức năng, yêu cầu nghiệp vụ khác nhau; đ) Giới hạn số lượng kết nối đồng thời (kết nối khởi tạo thiết lập) ứng dụng, dịch vụ máy chủ cung cấp; e) Cấp quyền tối thiểu (quyền truy nhập, quản trị) cho tài khoản quản trị ứng dụng theo quyền hạn; g) Thiết lập quyền tối thiểu (chỉ cấp quyền truy cập sở liệu) cho tài khoản kết nối sở liệu; h) Thay đổi, tách biệt cổng quản trị ứng dụng với cổng cung cấp dịch vụ ứng dụng; i) Khóa tạm thời không cho phép quản trị ứng dụng khoảng thời gian làm việc 9.2.3.3 Nhật ký hệ thống Yêu cầu bao gồm: a) Ghi nhật ký hệ thống bao gồm thông tin sau: - Thông tin thông tin thời gian, địa chỉ, tài khoản (nếu có), nội dung truy nhập sử dụng ứng dụng ứng dụng - Thông tin lỗi phát sinh q trình hoạt động - Thơng tin đăng nhập quản trị ứng dụng b) Quản lý lưu trữ nhật ký hệ thống hệ thống quản lý nhật ký hệ thống tập trung, gửi liệu nhật ký hệ thống hệ thống trung tâm theo thời gian thực; c) Lưu liệu nhật ký hệ thống hệ thống lưu trữ riêng biệt; lưu trữ có mã hóa liệu nhật ký ứng dụng quan trọng; d) Phân quyền truy nhập, quản lý liệu nhật ký hệ thống tài khoản khác nhau; đ) Lưu nhật ký hệ thống khoảng thời gian tối thiểu 12 tháng 9.2.3.4 Bảo mật thông tin liên lạc (S5) Yêu cầu bao gồm: 74 TCVN XXXX:XXXX a) Mã hóa thơng tin, liệu (khơng phải thông tin, liệu công khai) trước truyền đưa, trao đổi qua môi trường mạng; b) Sử dụng giao thức mạng an toàn, bảo đảm an toàn trình khởi tạo kết nối kênh truyền trao đổi thông tin qua kênh truyền; c) Sử dụng kết hợp giao thức với phương pháp mã hóa liệu để tạo thành 02 lớp bảo vệ liệu truyền qua môi trường mạng liệu quan trọng; d) Sử dụng kênh vật lý riêng khi truyền đưa, trao đổi qua môi trường mạng liệu quan trọng; đ) Sử dụng kênh mã hóa vật lý chuyên dụng loại liệu đặc biệt quan trọng; e) Sử dụng thiết bị phần cứng chuyện dụng để phục vụ mã hóa giải mã 9.2.3.5 Chống chối bỏ Yêu cầu bao gồm: a) Sử dụng chữ ký điện tử để mã hóa ký điện tử trao đổi thông tin, liệu quan trọng; b) Sử dụng chữ ký điện tử hợp lệ quan có thẩm quyền cấp đơn vị cung cấp dịch vụ cấp phép; c) Có phương án bảo đảm an tồn việc quản lý lưu trữ chữ ký điện tử; d) Sử dụng thiết bị, phương tiện chuyên dụng để thực ký giải mã thông tin, liệu gửi nhận 9.2.3.6 Dung sai lỗi phần mềm a) Có chế kiểm tra tính hợp lệ liệu trước xử lý; b) Có chế xử lý, kiểm sốt lỗi q trình cung cấp dịch vụ ứng dụng; c) Có chế bảo đảm không ảnh hưởng chức khác hệ thống chức có lỗi xảy ra; d) Có chế tự động khơi phục xử lý lỗi ứng dụng quan trọng hệ thống 9.2.4 An toàn liệu 9.2.4.1 Nguyên vẹn liệu Yêu cầu bao gồm: a) Có phương án quản lý, lưu trữ liệu quan trọng hệ thống bảo đảm tính ngun vẹn; b) Lưu trữ thơng tin, liệu quan trọng hệ thống với mã kiểm tra tính ngun vẹn; c) Có phương án giám sát, cảnh báo có thay đổi thơng tin, liệu lưu hệ thống lưu trữ/phương tiện lưu trữ; 75 TCVN XXXX:XXXX d) Có phương án khơi phục tính ngun vẹn thơng tin liệu; 9.2.4.2 Bảo mật liệu Yêu cầu bao gồm: a) Lưu trữ có mã hóa thơng tin, liệu (khơng phải thông tin, liệu công khai) hệ thống lưu trữ/phương tiện lưu trữ; b) Thiết lập phân vùng lưu trữ mã hóa, cho phép người có quyền, trách nhiệm truy nhập, lưu trữ liệu phân vùng mã hóa; c) Phân quyền quản lý thơng tin mã hóa liệu (phương pháp, cơng cụ mật mã hóa); 9.2.4.3 Sao lưu dự phịng a) Thực lưu, dự phịng thơng tin, liệu sau: tập tin cấu hình hệ thống, ảnh hệ điều hành máy chủ, sơ sở liệu; liệu, thông tin nghiệp vụ; b) Phân loại quản lý liệu lưu trữ theo loại/nhóm thơng tin gán nhãn khác nhau; c) Có hệ thống/phương tiện lưu trữ độc lập với hệ thống lưu trữ máy chủ dịch vụ để lưu dự phòng; d) Phương án lưu, dự phòng cho phép lưu, dự phòng dự phòng theo thời gian thực thông tin liệu quan trọng; đ) Phương án lưu, dự phịng có khả chịu lỗi, cho phép khơi phục liệu nóng thành phần hệ thống xảy cố; e) Lưu trữ dự phòng liệu quan trọng hệ thống/phương tiện lưu trữ dự phịng vị trí vật lý khác nhau; bảo đảm môi trường bảo quản phương pháp quản lý giống với hệ thống chính; g) Duy trì 02 kết nối mạng từ hệ thống lưu dự phịng với hệ thống lưu dự phòng phụ 76