CÔNG NGHỆ THÔNG TIN – KỸ THUẬT AN TOÀN –AN TOÀN MẠNG – PHẦN 2: HƯỚNG DẪN THIẾT KẾ VÀ TRIỂN KHAI AN TOÀN MẠNG

BỘ THÔNG TIN VÀ TRUYỀN THÔNG TRUNG TÂM ỨNG CỨU KHẨN CẤP MÁY TÍNH VIỆT NAM THUYẾT MINH DỰ THẢO TIÊU CHUẨN CÔNG NGHỆ THÔNG TIN – KỸ THUẬT AN TOÀN – AN TOÀN MẠNG – PHẦN 2: HƯỚNG DẪN THIẾT KẾ VÀ TRIỂN KHAI AN TOÀN MẠNG Information technology – Security techniques – Network security Part 2: Guidelines for the design and implementation of network security Hà Nội, 2015 MỤC LỤC MỤC LỤC .1 THUYẾT MINH DỰ THẢO TIÊU CHUẨN QUỐC GIA .2 Khái niệm 1.1 Ý nghĩa thực tiễn tính khả thi tiêu chuẩn 1.2 Tính cần thiết tiêu chuẩn Các nội dung Thuyết minh dự thảo TCVN 27033-2 2.1 Tên gọi ký hiệu tiêu chuẩn 2.2 Đặt vấn đề 2.2.1 Đặc điểm tình hình đối tượng tiêu chuẩn hóa ngồi nước, nước .4 2.2.2Lý mục đích xây dựng 2.2.3 Mục tiêu .5 2.3 Sở xây dựng yêu cầu kỹ thuật 2.3.1 Tổng hợp phân tích tiêu chuẩn quốc tế, tài liệu kỹ thuật kết nghiên cứu liên quan tới đối tượng tiêu chuẩn hóa 2.3.2 Sử dụng tài liệu ISO/IEC 27033-2 làm tài liệu sở cho việc biên soạn yêu cầu kỹ thuật .12 2.4 Giải thích nội dung .13 2.5 Bảng đối chiếu nội dung TCVN 27033 với tài liệu tham khảo 15 2.6 Khuyến nghị áp dụng 17 THUYẾT MINH DỰ THẢO TIÊU CHUẨN QUỐC GIA Khái niệm 1.1 Ý nghĩa thực tiễn tính khả thi tiêu chuẩn Tổ chức viễn thông quốc tế (ITU) với gần 200 nước thành viên Các hoạt động ITU bao trùm vấn đề thuộc ngành Viễn thông Thông tin khuyến nghị tất nước thành viên áp dụng tiêu chuẩn quốc tế làm tiêu chuẩn quốc gia nhằm chia sẻ tài nguyên, tạo lập môi trường kinh doanh toàn cầu, thúc đẩy kinh tế, chia sẻ giải pháp giải pháp sáng tạo, giúp nước phát triển tránh “uổng phí cơng sức” làm lại việc mà tổ chức khác làm… Bộ tiêu chuẩn ISO/IEC 27033 đưa hướng dẫn thiết kế, triển khai, vận hành, trì, luật pháp quy định để đảo bảo an toàn mạng… Khi tổ chức áp dụng tiêu chuẩn đạt lợi ích sau: - Cho phép quan/tổ chức nhận biết rủi ro liên quan đến an toàn mạng - Xác định phạm vi vai trò hệ thống mạng quan/tổ chức - Đưa quy định, biện pháp hướng dẫn: thiết kế, triển khai, vận hành, giám sát, sốt xét, cải tiến trì hệ thống mạng đảm bảo an toàn mạng cho quan đơn vị - Giảm thiểu rủi ro có biện pháp chủ động việc phòng chống mối đe doạ, điểm yếu an tồn thơng tin - Đảm bảo đầu tư hiệu cho hệ thống thông tin - Nâng cao uy tín, tin cậy đối tác khách hàng, nâng cao lực cạnh tranh tổ chức/doanh nghiệp - Nâng cao nhận thức an tồn thơng tin cho phận cán bộ/nhân viên tổ chức Bộ tiêu chuẩn áp dụng nhiều nước giới Một số nước sử dụng tiêu chuẩn làm tiêu chuẩn quốc gia họ như: Hà Lan, Đan Mạch, Anh, Úc… tiêu chuẩn họ ban hành thành tiêu chuẩn quốc gia họ từ sớm (gần sau tổ chức tiêu chuẩn quốc tế ISO/IEC ban hành tiêu chuẩn thuộc ISO/IEC 27033) như: Đan Mạch ban hành tiêu chuẩn DS/ISO/IEC 27033-2 ngày 28/9/2012; DS/ISO/IEC 27033-1 ngày 22/1/2010, DS/ISO/IEC 27033-3: 2011 ngày: 22/3/2013 hay Hà Lan ban hành NEN-ISO/IEC 27033-2:2012 ngày 1/8/2013, NEN-ISO/IEC 27033-2:2013 ngày 1/8/2013; NEN-ISO/IEC 27033-3:2010 ngày 1/1/2010… Điều chứng tỏ tiêu chuẩn ISO/IEC 27033 tổ chức tiêu chuẩn nước quan tâm đón nhận Tương tự, Việt Nam tiêu chuẩn dự thảo Bộ Thông tin Truyền thông quan tâm giao cho đơn vị thuộc xây dựng 03 tiêu chuẩn thuộc tiêu chuẩn ISO/IEC 27033, 02 tiêu chuẩn ban hành thành tiêu chuẩn quốc gia bao gồm: - TCVN 9801-1:2013, ban hành năm 2013 - Dự thảo TCVN ISO/IEC 27033-2: Trung tâm VNCERT xây dựng - TCVN 9801-3:2014, ban hành năm 2014 1.2 Tính cần thiết tiêu chuẩn Do tình hình an tồn thơng tin nóng nhiều vấn đề phúc tạp Vấn đề triển khai biện pháp để đảm bảo an toàn mạng cần thiết Cần thiết có tiêu chuẩn để hướng dẫn: thiết kế, triển khai, vận hành, giám sát, sốt xét, cải tiến trì đảm bảo an toàn mạng Để hoàn thiện tiêu chuẩn an toàn mạng Hoàn thiện tiêu chuẩn ISO/IEC 27033 an toàn mạng Các nội dung Thuyết minh dự thảo TCVN 27033-2 2.1 Tên gọi ký hiệu tiêu chuẩn Tên tiếng việt: CƠNG NGHỆ THƠNG TIN – KỸ THUẬT AN TỒN – AN TOÀN MẠNG – PHẦN 2: HƯỚNG DẪN THIẾT KẾ VÀ TRIỂN KHAI AN TOÀN MẠNG Tên tiếng anh: Information technology – Security techniques – Network security Part 2: Guidelines for the design and implementation of network security Ký hiệu (dự kiến): TCVN 9801-2 2.2 Đặt vấn đề 2.2.1 Đặc điểm tình hình đối tượng tiêu chuẩn hóa ngồi nước, nước - Tình hình tiêu chuẩn hóa nước: An toàn mạng vấn đề quan trọng hệ thống thông tin, áp dụng biện pháp đảm bảo an toàn mạng theo ISO/IEC 27033 giúp tổ chức: Xác định phạm vi hướng dẫn biện pháp đảm bảo an toàn mạng, hướng dẫn lập thiết kế triển khai an toàn mạng, kịch tham chiếu, biện pháp đảm bảo an toàn mạng sử dụng: thiết bị cổng an tồn; mạng riêng ảo; mạng khơng dây Bộ tiêu chuẩn cung cấp hướng dẫn đảm bảo an toàn mạng đời thay cho tiêu chuẩn ISO/IEC 18028 an toàn mạng IT ban hành tiêu chuẩn quốc gia 8051 Hiện ISO/IEC 27033 ban hành 05 phần có phần ban hành sau Đến phần phần tiêu chuẩn ban hành thành TCVN Phần 4, phần quan Bộ Thông tin Truyền thông xây dựng dự thảo tiêu chuẩn quốc gia Vì nhằm bổ sung hồn thiện tiêu chuẩn thuộc Bộ tiêu chuẩn an tồn thơng tin nói chung tiêu chuẩn an tồn mạng nói riêng việc xây dựng tiêu chuẩn TCVN ISO/IEC 27033-2 (Cơng nghệ thơng tin – Kỹ thuật an tồn- Hướng dẫn thiết kế triển khai an toàn mạng) cần thiết - Tình hình tiêu chuẩn hóa ngồi nước: Việc ứng dụng tiêu chuẩn cơng tác đảm bảo an tồn thơng tin nói chung an tồn mạng nói riêng coi hướng tiếp cận hiệu để đảm bảo an tồn thơng tin Tổ chức tiêu chuẩn quốc tế ISO/IEC ban hành có phiên cập nhật cho 20 tiêu chuẩn an tồn thơng tin trong vài năm trở lại như: ISO/IEC 27010:2012; ISO/IEC 27013:2012; ISO/IEC 27032:2012; ISO/IEC 27033-2:2012, ISO/IEC 27037:2012, ISO/IEC 27002:2013, ISO/IEC 27033-5:2013 2.2.2 Lý mục đích xây dựng Bộ tiêu chuẩn ISO/IEC 27033 đời nhằm thay cho Tiêu chuẩn ISO/IEC 18028 Với mục tiêu xây dựng Bộ Tiêu chuẩn an toàn mạng nhằm thay cho Bộ tiêu chuẩn TCVN 8051 (dựa ISO/IEC 18028 cũ, lỗi thời) đáp ứng yêu cầu an toàn mạng, phù hợp với cơng nghệ nay, thích hợp với bối cảnh mối đe dọa, kịch công, với bổ sung, cập nhật khác, cần thiết xây dựng Tiêu chuẩn dựa ISO/IEC 27033 Bộ tiêu chuẩn ISO/IEC 27033 cung cấp hướng dẫn chi tiết khía cạnh an tồn quản lý, vận hành sử dụng hệ thống thông tin mạng vấn đề kết nối thành phần mạng vấn đề liên quan đến kết nối tổ chức với Bộ tiêu chuẩn đưa yêu cầu cụ thể cá nhân tổ chức phải có trách nhiệm đảm bảo an tồn thơng tin nói chung an tồn mạng nói riêng cho tổ chức Bộ tiêu chuẩn ISO/IEC 27033 cung cấp hướng dẫn chi tiết cho việc triển khai biện pháp kiểm sốt an tồn mạng mà giới thiệu TCVN 27002:2009 Bộ tiêu chuẩn áp dụng để đảm bảo an toàn cho thiết bị mạng, quản lý, đảm bảo an toàn mạng cho ứng dụng, dịch vụ, người sử dụng đảm bảo luồng an tồn thơng tin trao đổi an tồn thơng qua đường truyền thơng Ngồi tiêu chuẩn cịn nhằm mục đích đưa kiến trúc an toàn mạng cho toàn tổ chức 2.2.3 Mục tiêu Phục vụ cơng tác quản lý an tồn thơng tin việc hoàn chỉnh tiêu chuẩn an toàn thông tin nhằm đáp ứng yêu cầu cấp bách, đưa tiêu chuẩn hoàn thiện thành tiêu chuẩn an tồn thơng tin quốc gia 2.3 Sở xây dựng yêu cầu kỹ thuật 2.3.1 Tổng hợp phân tích tiêu chuẩn quốc tế, tài liệu kỹ thuật kết nghiên cứu liên quan tới đối tượng tiêu chuẩn hóa 2.3.1.1 Tổng hợp tiêu chuẩn quốc tế, tài liệu kỹ thuật liên quan Bộ tiêu chuẩn ISO/IEC 27003 bao gồm phần: - ISO/IEC 27033-1:2009: Tổng quan khái niệm Tiêu chuẩn đưa hướng dẫn vấn đề: Lập kế hoạch, nhận biết rủi ro, xác định biện pháp hỡ trợ an tồn, hướng dẫn thiết kế triển khai an toàn mạng Lập kế hoạch quản lý an tồn mạng: Xem xét kết nối mạng; vai trị trách nhiệm thành phần tham gia kết nối mạng; kịch tham chiếu; chuyên đề đảm bảo an toàn cho kiểu mạng, thành phần kết nối mạng; kiểm thử, vận hành; soát xét giải pháp an toàn mạng Nhận biết rủi ro chuẩn bị xác định biện pháp an toàn + Thông tin mạng mạng lập kế hoạch Các yêu cầu sách an tồn thơng tin Thu thập thơng tin mạng mạng lập kế hoạch (Kiến trúc, ứng dụng, dịch vụ mạng, kiểu kết nối, đặc tính) + Xác định rủi ro an tồn thơng tin biện pháp kiểm sốt Các biện pháp hỡ trợ + Quản lý an tồn mạng (Kiến trúc, hoạt động quản lý, sách an tồn mạng, thủ tục vận hành, kiểm tra tuân thủ, điều kiện kết nối, quản lý cố an toàn mạng, vai trị trách nhiệm) + Quản lý lỡ hổng kỹ thuật + Nhận biết xác thực + Ghi nhật ký giám sát kiểm toán mạng + Phát ngăn chặn xâm nhập + Bảo vệ chống lại mã độc + Dịch vụ dựa mã hoá + Quản lý tính liên tục nghiệp vụ Hướng dẫn thiết kế triển khai an toàn mạng Kịch mạng tham chiếu – Rủi ro, kỹ thuật thiết kế vấn đề biện pháp + Dịch vụ truy cập internet + Dịch vụ hợp tác nâng cao + Dịch vụ doanh nghiệp tới doanh nghiệp + Dịch vụ doanh nghiệp tới khác hàng + Dịch vụ thuê ngồi + Phân đoạn mạng + Thơng tin di động Chuyên đề công nghệ - Rủi ro, kỹ thuật thiết kế vấn đề biện pháp + Mạng cục + Mạng diện rộng + Mạng không dây + Mạng vô tuyến + Mạng băng rộng + Thiết bị cổng an toàn + Mạng riêng ảo + Mạng thoại + Hội tụ IP + Lưu trữ nội dung Web + Thư điện tử + Truy cập định tuyến đến tổ chức bên thứ ba + Trung tâm liệu Intranet Phát triển kiểm thử giải pháp an toàn Vận hành giải pháp an toàn Giám sát soát xét việc triển khai giải pháp TCVN 9801-3:2014: Kịch kết nối mạng tham chiếu – nguy cơ, kỹ thuật thiết kế vấn đề kiểm sốt TCVN 9801-3:2014 mơ tả mơ tả nguy cơ, kỹ thuật thiết kế vấn đề liên quan với kịch mạng tham chiếu Đối với mỗi kịch bản, Tiêu chuẩn cung cấp hướng dẫn chi tiết nguy cơ, kỹ thuật kiểm sốt an tồn u cầu để giảm thiểu rủi ro liên quan Tiêu chuẩn gồm nội dung: Cấu trúc tiêu chuẩn bao gồm: Tổng quan phương pháp tiếp cận đề cập đến an toàn cho kịch tham chiếu + Sốt xét thơng tin phạm vi kịch bản; + Mô tả nguy liên quan đến kịch bản; + Thực phân tích rủi ro điểm yếu phát hiện; + Phân tích ảnh hưởng đến kinh doanh điểm yếu ra; + Xác định khuyến nghị triển khai để bảo đảm an tồn mạng Mơ tả kịch tham chiếu: + Dịch vụ truy cập Internet cho nhân viên (điều 7); + Dịch vụ doanh nghiệp tới doanh nghiệp (điều 8); + Dịch vụ doanh nghiệp tới khách hàng (điều 9); + Dịch vụ hợp tác nâng cao (điều 10); + Phân đoạn mạng (điều 11); + Hỗ trợ kết nối mạng cho hộ gia đình đơn vị có quy mô nhỏ (điều 12); + Truyền thông di động (điều 13); + Hỗ trợ kết nối mạng cho người sử dụng di chuyển (điều 14); + Dịch vụ thuê (điều 15) - ISO/IEC FDIS 27033-4 ISO/IEC 27033-5:2013: An tồn truyền thơng qua mạng sử dụng mạng riêng ảo (VPN) Tiêu chuẩn ISO/IEC 27033-5:2013 hướng dẫn đảm bảo an tồn truyền thơng sửa dụng mạng riêng ảo (VPN) gồm nội dung: Các kiểu mạng riêng ảo VPN; Cac mối de doạ an toàn Các yêu cầu an tồn + Tính bí mật + Tính tồn vẹn + Tính xác thực + Ủy quyền + Tính sẵn sàng Các biện pháp kiểm sốt an tồn + Khía cạnh an tồn + Mạch ảo Kỹ thuật thiết kế + Khía cạnh luật pháp nghị định + Khía cạnh quản lý VPN + Khía cạnh kiến trúc VPN + Xem xét/cân nhắc kỹ thuật VPN Nguyên tắc lựa chọn sản phẩm + Lựa chọn giao thức + Thiết bị VPN ISO/IEC DIS 27033-6 ban hành ngày 10/04/2015 Information technology – security techniques – Network security – Part 6: Securing wireless IP network access - Truy cập mạng IP khơng dây an tồn 2.3.1.2 Phân tích tiêu chuẩn quốc tế, tài liệu kỹ thuật liên quan Phần 1: Công nghệ thông tin – Kỹ thuật an toàn – An toàn mạng - Tổng quan khái niệm Giúp cho tổ chức có ý định áp dụng tiêu chuẩn có nhìn tổng quan tồn tiêu chuẩn, nhận biết tất vấn đề, yêu cầu cần mà tổ chức cần phải thực hiện, đáp ứng áp dụng tiêu chuẩn Đưa Tổng quan khái niệm vấn đề Lập kế hoạch, nhận biết rủi ro, xác định chuẩn bị biện pháp hỡ trợ an tồn, hướng dẫn thiết kế triển khai an toàn mạng, kịch mạng tham chiếu – Rủi ro, kỹ thuật thiết kế vấn đề biện pháp, vấn đề công nghệ (LAN/WAN, mạng không dây, mạng riêng ảo, thiết bị cổng an toàn, mạng băng rộng…), phát triển kiểm thử, vận hành, giám sát, soát xét việc triển khai giải pháp an toàn Phần 2: Cơng nghệ thơng tin – Kỹ thuật an tồn – An toàn mạng - Hướng dẫn thiết kế triển khai an toàn mạng Phần đưa hướng dẫn cho tổ chức lập kế hoạch, thiết kế, triển khai lập tài liệu an toàn mạng Trong phần giúp tổ chức nhận biết yêu cầu, vấn đề triển khai an toàn mạng tổng quan an tồn mạng phần lại đóng vai trò trung tâm tiêu chuẩn Tiêu chuẩn cụ thể hoá hướng dẫn kiến trúc mạng bản, sách, ứng dụng, dịch vụ, kiểu kết nối phần để đưa hướng dẫn chi tiết thiết kế triển khai an toàn mạng tổ chức Cung cấp hướng dẫn cho mạng kịch kết nối mạng phần Cung cấp hướng dẫn thiết kế triển khai an tồn mạng mạng truyền thơng sử dụng mạng thiết bị cổng an toàn, mạng riêng ảo, mạng không dây (phần 4, phần 5, phần 6) Phần 3: Cơng nghệ thơng tin – Kỹ thuật an tồn – An toàn mạng - Các kịch kết nối mạng tham chiếu – Nguy cơ, kỹ thuật thiết kế vấn đề kiểm soát Sử dụng xem xét tùy chọn kiến trúc (hoặc thiết kế) an toàn kỹ thuật lựa chọn kiến trúc (hoặc thiết kế) an toàn kỹ thuật, kiểm sốt an tồn liên quan tương thích với phần tiêu chuẩn Mô tả nguy cơ, kỹ thuật thiết kế vấn đề liên quan với kịch mạng tham chiếu Đối với mỗi kịch bản, Tiêu chuẩn cung cấp hướng dẫn chi tiết nguy cơ, kỹ thuật kiểm sốt an tồn u cầu để giảm thiểu rủi ro liên quan Tiêu chuẩn bao hàm tham chiếu đến phần 4, phần 5, phần tiêu chuẩn Phần 4, phần 5, phần (Phần 4: Cơng nghệ thơng tin – Kỹ thuật an tồn – An tồn mạng - An tồn truyền thơng mạng sử dụng mạng không dây; Phần 5: Công nghệ thơng tin – Kỹ thuật an tồn – An tồn mạng - An tồn truyền thơng mạng sử dụng mạng riêng ảo (VPN); Phần 6: Công nghệ thông tin – Kỹ thuật an toàn – An toàn mạng - Truy cập mạng IP khơng dây an tồn) 10 Cụ thể hoá hướng dẫn thiết kế triển khai an toàn mạng phần mạng truyền thơng sử dụng thiết bị cổng an tồn, mạng riêng ảo mạng không dây Liên quan đến vấn đề kịch mạng kiểm soát phần Phần Tổng quan khái niệm Phần Phần Hướng dẫn thiết kế triển khai an toàn mạng Các kịch kết nối mạng tham chiếu – Nguy cơ, kỹ thuật thiết kế vấn đề kiểm soát Phần Phần Phần An tồn truyền thơng mạng sử dụng thiết bị cổng an tồn An tồn truyền thơng mạng sử dụng mạng riêng ảo (VPN) Truy cập mạng IP khơng dây an tồn ISO/IEC 27033-2:2012: Hướng dẫn thiết kế triển khai an tồn mạng Nội dung Tiêu chuẩn ISO/IEC 27033-2: Chuẩn bị thiết kế an toàn mạng: Mục tiêu an toàn mạng cho phép luồng thông tin giúp nâng cao quy trình nghiệp vụ tổ chức, ngăn chặn luồng thơng tin làm giảm quy trình nghiệp vụ tổ chức Việc chuẩn bị thiết kế triển khai an toàn mạng bao gồm giai đoạn sau: + Xác định tài sản + Thu thập yêu cầu + Soát xét yêu cầu + Soát xét thiết kế triển khai 11 Các giai đoạn cần phải sớm lập tài liệu gồm tất đầu vào cho bước thiết kế triển khai Như biết vấn đề thiết kế an toàn mạng quan trọng, ảnh hưởng tới an toàn hệ thống, tổ chức Xem xét lựa chọn thiết kế định tới tài ngun (tài sản), cơng nghệ; sách, chi phí lựa chọn cho mơ hình thiết kế Vì cần có tiêu chuẩn để hướng dẫn vấn đề an tồn thơng tin nói chung an tồn mạng nói riêng có vấn đề liên quan đến thiết kết, triển khai biện pháp đảm bảo an toàn mạng Thiết kế an toàn mạng: + Giới thiệu + Nguyên tắc thiết kế (Phân chia vùng mạng, bảo vệ theo phân lớp) + Ký thiết kế Triển khai: Quá trình triển khai phải tuân thủ dựa sở thiết kế an toàn mạng gồm: + Tiêu chí lựa chọn thành phần mạng + Tiêu chí lựa chọn sản phẩm nhà cung cấp + Quản lý mạng + Ghi nhật ký, giám sát ứng cứu cố + Lập tài liệu + Kế hoạch kiểm thử tiến hành kiểm thử + Ký 2.3.2 Sử dụng tài liệu ISO/IEC 27033-2 làm tài liệu sở cho việc biên soạn yêu cầu kỹ thuật 2.3.2.1 Sở xây dựng tiêu chuẩn Nhóm thực xây dựng tiêu chuẩn dựa tiêu chuẩn ISO/IEC 270332:2012 Đây tài liệu số quốc gia sử dụng làm tài liệu gốc để xây dựng tiêu chuẩn quốc gia tương đương 2.3.2.2 Phương pháp xây dựng tiêu chuẩn 12 ISO/IEC 27022-2:2012 tài liệu tham chiếu làm sở để xây dưng tiêu chuẩn Trên sở rà soát tiêu chuẩn Việt nam quốc tế hệ thống quản lý an tồn thơng tin, tham khảo phương pháp xây dựng tiêu chuẩn/ quy chuẩn, nhóm đề tài khuyến nghị xây dựng tiêu chuẩn theo phương pháp chấp thuận nguyên vẹn (có chỉnh sửa theo quy định Tiêu chuẩn Quốc gia) Ngồi nhóm sử dụng tài liệu viện dẫn tham khảo tiêu chuẩn ban hành bao gồm TCVN ISO/IEC 27001:2009, TCVN ISO/IEC 27002:2011, TCVN 10295:2014, ISO/IEC 27000:2012, ISO/IEC 27033-1:2009 2.4 Giải thích nội dung Nội dung tiêu chuẩn bao gồm chương phụ lục: Phạm vi áp dụng ISO/IEC 27033-2 đưa hướng dẫn cho tổ chức lập kế hoạch, thiết kế, triển khai lập tài liệu an toàn mạng Tài liệu viện dẫn TCVN ISO/IEC 27001:2009 Công nghệ thơng tin – Các kỹ thuật an tồn – Hệ thống quản lý an tồn thơng tin – Các yêu cầu TCVN ISO/IEC 27002:2011 Công nghệ thông tin – Các kỹ thuật an toàn – Quy tắc thực hành quản lý an tồn thơng tin TCVN 9696 (all parts), Information technology - Open Systems Interconnection Basic Reference Model (tất phần) Công nghệ thông tin – Liên kết hệ thống mở – Mơ hình tham chiếu bản) ISO/IEC 27000:2012, Information technology - Security techniques - Information security management systems - Overview and vocabulary (Công nghệ thông tin – Các kỹ thuật an toàn – Hệ thống quản lý an tồn thơng tin – Tổng quan từ vựng) TCVN 10295:2014, Information technology - Security techniques - Information security risk management (Công nghệ thông tin – Các kỹ thuật an toàn – Quản lý rủi ro an tồn thơng tin) 13 TCVN 9801-1:2013 Information technology - Security techniques - Network security - Part 1: Overview and concepts (Cơng nghệ thơng tin – Các kỹ thuật an tồn – An toàn mạng – Phần 1: Tổng quan khái niệm Từ viết tắt Tiêu chuẩn sử dụng tất thuật ngữ định nghĩa đưa TCVN 9696 (tất phần), ISO/IEC 27000, TCVN ISO/IEC 27001:2009, TCVN ISO/IEC 27002:2011, TCVN 10295:2014 TCVN 9801-1 Cấu trúc tài liệu Chuẩn bị thiết kế an toàn mạng (điều 6) Thiết kế an toàn mạng (điều 7) Triển khai (điều 8) Chuẩn bị cho thiết kế an toàn mạng Trong phần gồm nội dung sau: - Giới thiệu (6.1) - Xác định tài sản (6.2) - Thu thập yêu cầu (6.3) - Soát xét yêu cầu (6.4) - Soát xét thiết kế triển khai (6.5) Thiết kế an toàn mạng - Giới thiệu (7.1) - Nguyên tắc thiết kế (7.2) - Ký kiết kế (7.3) Triển khai - Giới thiệu (8.1) - Tiêu chí lựa chọn thành phần mạng (8.2) - Tiêu chí lựa chọn sản phẩm nhà cung cấp (8.3) - Quản lý mạng (8.4) 14 - Ghi nhật ký, giám sát ứng cứu cố (8.5) - Lập tài liệu (8.6) - Kế hoạch kiểm thử tiến hành kiểm thử (8.7) - Ký (8.8) Các phụ lục: - Phụ Lục A: Tham chiếu biện pháp liên quan đến an toàn mạng TCVN ISO/IEC 27001:2009; TCVN ISO/IEC 27002:2011 điều ISO/IEC 27033-2:2012 - Phụ Lục B: Ví dụ mẫu tài liệu - Phụ Lục C: ITU-T X.805 khung làm việc TCVN ISO/IEC 27001:2005 mơ hình kiểm sốt 2.5 Bảng đối chiếu nội dung TCVN 27033 với tài liệu tham khảo Dự thảo tiêu chuẩn TCVN ISO/IEC 27033-2:2013 xây dựng dựa theo phương pháp chấp thuận nguyên vẹn nội dung tiêu chuẩn quốc tế ISO/IEC 27033-2:2012 Tài liệu viện dẫn Nội dung tiêu chuẩn Sửa đổi, bổ sung Phạm vi áp dụng Scope Chấp thuận nguyên vẹn Tài liệu viện dẫn Normative references Chấp thuận nguyên vẹn Thuật ngữ định nghĩa Terms and definitions Chấp thuận nguyên vẹn Các từ viết tắt Abbreviations Chấp thuận nguyên vẹn Cấu trúc tài liệu Document structure Chấp thuận nguyên vẹn Chuẩn bị toàn mạng Preparing for design of network security Chấp thuận nguyên vẹn 6.1 Giới thiệu thiết kế an 6.1 Introduction 15 6.2 Xác định tài sản 6.2 Asset identification 6.3 Thu thập yêu cầu 6.3 Requirements collection 6.4 Yêu cầu soát xét 6.4 Review requirements 6.5 Soát xét thiết kế triển khai 6.5 Review of existing designs and implementions Thiết kế an toàn mạng Design of network security 7.1 Giới thiệu 7.1 Introduction 7.2 Design principles 7.2 Nguyên tắc thiết kế 7.3 Design Sign off 7.3 Ký thiết kế Triển khai Implementation 8.1 Giới thiệu 8.2 Tiêu chí lựa chọn thành phần mạng 8.3 Tiêu chí lựa chọn sản phẩm nhà cung cấp 8.4 Quản lý mạng 8.5 Ghi nhật ký, giám sát phản hồi cố 8.6 Lập tài liệu 8.7 Kế hoạch kiểm thử tiến hành kiểm thử 8.8 Ký 8.1 Introduction 8.2 Criteria for Network component selection 8.3 Criteria for product or vendor selection 8.4 Network management 8.5 Logging, monitoring and incident response 8.6 Documentationo 8.7 Test plans and conducting testing 8.8 Sign off Phụ lục A (tham khảo) Tham chiếu biện pháp liên quan đến an toàn mạng TCVN ISO/IEC 27001:2009, TCVN ISO/IEC 27002:2011 ISO/IEC 27033-2:2012 Annex A Cross – references between ISO/IEC 27001:2005, ISO/IEC 27002:2005 network security related controls and ISO/IEC 27033-2:2012 Chấp thuận nguyên vẹn 10 Phụ lục B (tham khảo) Ví dụ mẫu tài liệu 10 Annex B Example documentation templates Chấp thuận nguyên vẹn 11 Phụ lục C (tham khảo) kiểm soát ánh xạ ITU-T X 805 TCVN 10295:2014 11 Annex C ITU-T X.805 framework and ISO/IEC 27001:2005 control mapping Chấp thuận nguyên vẹn Chấp thuận nguyên vẹn Chấp thuận nguyên vẹn 16 2.6 Khuyến nghị áp dụng Việc đảm bảo an toàn mạng nhu cầu cấp thiết tất tổ chức, quan, tổ chức, doanh nghiệp đặc biệt hệ thống sở hạ tầng trọng yếu quốc gia có thể áp dụng hướng dẫn thiết kế triển khai biện pháp đảm bảo an toàn mạng theo tiêu chuẩn để đảm bảo hạ tầng hệ thống mạng đơn vị 17