Hướng dẫn thiết kế và triển khai an toàn mạng

5 Cấu trúc

Khi sử dụng các quy trình được mô tả trong Phần 1 để xác định các rủi ro an toàn đối với môi trường mạng mới, tổ chức có thể tham khảo những thông tin liên quan đến rủi ro từ các Phần có liên quan khác của TCVN xxxx, tức là các Phần mà xác định những rủi ro an toàn cụ thể (cũng như các kỹ thuật thiết kế và các vấn đề về biện pháp) liên quan đến hội tụ IP, các cổng an toàn và sử dụng công nghệ không dây, cũng như sử dụng lưu trữ web và Internet (như đối với thư điện tử và truy cập trực tuyến). • Một phần giới thiệu về cách đạt được các kiến trúc an toàn kỹ thuật có chất lượng mà sẽ đảm bảo an toàn mạng thích hợp cho môi trường nghiệp vụ kinh doanh của tổ chức, sử dụng một phương pháp phù hợp với việc lập kế hoạch và thiết kế an toàn mạng, như có liên quan được bổ trợ bởi việc sử dụng các mô hình/các khung (tức là một phần giới thiệu về nội dung của TCVN xxxx-2) (xem Điều 9),.

7 Nhận dạng các rủi ro và chuẩn bị xác định các biện pháp an toàn 7.1 Giới thiệu

Các rủi ro an toàn thông tin và khu vực kiểm soát tiềm năng

(Đặc biệt chú ý đối với tính riêng tư và luật bảo vệ dữ liệu. Nhiều quốc gia có luật về biện pháp thu thập, xử lý và truyền tải các dữ liệu cá nhân, nghĩa là các dữ liệu mà có liên quan đến một hoặc nhiều cá nhân cụ thể. Phụ thuộc vào luật pháp của riêng từng quốc gia mà các biện pháp này có thể áp đặt thi hành cho việc thu thập, xử lý và phổ biến những thông tin cá nhân qua các mạng và thậm chí có thể hạn chế khả năng truyền các dữ liệu này đến các quốc gia nhất định khỏc, mang lại cỏc vấn đề an toàn bổ sung quan trọng. Cỏc vớ dụ ớt rừ ràng hơn về loại dữ liệu mà có thể phải phụ thuộc vào luật pháp như vậy là một số phần cứng và địa chỉ IP). • Xác định các phép đo các mức quan trọng của thông tin và dịch vụ, được thể hiện trên các phạm vi của các tác động bất lợi tiềm năng đến các hoạt động nghiệp vụ mà ở đó các sự cố không mong muốn xảy ra (đôi khi được gọi là định giá tài sản). Điều này bao gồm các giá trị đối với các hoạt động nghiệp vụ của thông tin được truyền qua một mạng, bất kì thông tin nào khác có khả năng bị truy cập bằng cách bất hợp pháp thông qua mạng và của các dịch vụ được cung cấp),.

8 Các biện pháp hỗ trợ 8.1 Giới thiệu

• Quản lý an toàn mạng .1 Kiến thức cơ bản

Mỗi loại đăng nhập từ xa phải có các biện pháp an toàn bổ sung phù hợp với bản chất của từng loại mạng có liên quan, ví dụ như không được phép truy cập trực tiếp đến phần cứng của hệ thống và mạng từ các tài khoản được sử dụng cho việc truy cập từ xa, trừ khi nếu xác thực bổ sung đã được cung cấp (xem bên dưới) – và có thể mã hóa đầu cuối-tới-đầu cuối, và bảo vệ những thông tin liên quan đến phần mềm và dữ liệu thư mục thư điện tử được lưu trữ trong những máy tính cá nhân và máy tính xách tay được sử dụng bên ngoài văn phòng của một tổ chức bởi nhân viên của tổ chức đó từ việc truy nhập bất hợp pháp. Do đó, mỗi một tổ chức phải có một chương trình quản lý tính liên tục trong nghiệp vụ, với các quy trình bao hàm tất cả các giai đoạn liên tục của nghiệp vụ - soát xét phân tích tác động nghiệp vụ, soát xét đánh giá rủi ro, thiết lập các yêu cầu phục hồi nghiệp vụ, xây dựng chiến lược liên tục trong nghiệp vụ, tạo lập kế hoạch liên tục trong nghiệp vụ, kiểm tra kế hoạch liên tục trong nghiệp vụ, đảm bảo kiến thức về tính liên tục trong nghiệp vụ cho tất cả nhân viên, duy trì kế hoạch liên tục trong nghiệp vụ đang thực thi, và giảm thiểu rủi ro.

9 Hướng dẫn thiết kế và triển khai an toàn mạng 9.1 Kiến thức cơ bản

10 Các kịch bản mạng tham chiếu – Rủi ro, thiết kế, kỹ thuật và các vấn đề về biện pháp

Các yêu cầu bao gồm tính bảo mật (đặc biệt cho ngân hàng điện tử), tính xác thực (phương pháp nào có khả năng hiện nay – chẳng hạn: mối quan hệ giữa hai yếu tố, dựa vào chứng thực,… giữa chi phí của việc triển khai – thường là cao vì có rất nhiều khách hàng, với việc giảm rủi ro như mất mát về tài chính, mất danh tiếng/độ tin cậy của doanh nghiệp), tính toàn vẹn, và mức độ chắc chắn chống lại các tấn công tinh vi – như các tấn công “người ở giữa” hay “người trong trình duyệt”. Nhiều đặc tính mới có sẵn đối với các thiết bị như vậy, sự tăng trưởng của dung lượng bộ nhớ thiết bị, và kết nối trực tuyến thường xuyên thông qua Internet, dịch vụ mở cho cộng đồng, có nghĩa là có các rủi ro an toàn thông tin đáng kể - như thực hiện các tình huống khi một cá nhân sử dụng cùng một thiết bị cho các mục đích riêng cũng như cho các mục đích nghiệp vụ.

11 Các chuyên đề về “công nghệ” – Rủi ro, kỹ thuật thiết kế và các vấn đề về biện pháp

Ví dụ, một giả định về việc duy trì một mạng Intranet được kiểm soát và bảo vệ tốt (từ bên ngoài) có thể bị nghi ngờ về bản chất nếu việc truy cập từ người sử dụng di chuyển tới mạng Intranet không được triển khai cùng với các biện pháp thích hợp. Điều đó có nghĩa là các giới hạn về chi phí đối với các biện pháp an toàn được sử dụng để bảo đảm an toàn cho việc mở rộng mạng như vậy và thường ngăn cản việc sử dụng các biện pháp an toàn liên mạng đã được thiết lập được sử dụng để kết nối các đoạn mạng Intranet lớn hơn.

12 Phát triển và kiểm thử giải pháp an toàn

Trước khi tiến hành bất kì một việc kiểm thử nào như vậy thì kế hoạch kiểm thử phải được kiểm tra để đảm bảo rằng việc kiểm thử sẽ được thực hiện theo một cách thức hoàn toàn phù hợp với luật pháp và quy định liên quan. Tiếp theo sau việc kiểm thử, các bản báo cáo phải chỉ ra được những đặc tính của các điểm yếu gặp phải, các xử lý được yêu cầu và theo thứ tự ưu tiên nào, cùng với một phần phụ lục khẳng định rằng tất cả các xử lý mà đã được chấp nhận đã được áp dụng.

13 Vận hành giải pháp an toàn

Khi tiến hành việc kiểm tra này, không được quên rằng, một mạng không thể bị giới hạn trong một đất nước - nó có thể được phân bố trên khắp các đất nước khác nhau với nhiều quy định và luật pháp khác nhau. Cuối cùng, khi tất cả đã được thỏa mãn, việc triển khai phải được thừa nhận và được chấp thuận bởi ban quản lý cấp cao.

14 Giám sát và soát xét việc triển khai giải pháp

(Một mẫu ví dụ cho một kế hoạch kiểm thử an toàn được đưa ra trong TCVN xxxx-2). Điều này bao gồm một sự kết hợp của việc quét các điểm yếu và kiểm tra xâm nhập.