1.3.3.1 Sự cần thiết của chính sách bảo mật
Nhiệm vụ đầu tiên trong các bước xây dựng một chính sách bảo mật là xác định được mục tiêu cần bảo mật. Điều này giúp cho nhà quản trị biết được trách nhiệm trong việc bảo vệ tài nguyên của bản thân hoặc của tổ chức trên mạng. Ngoài ra, nó còn giúp cho nhà quản trị thiết lập được các biện pháp đảm bảo hữu hiệu trong quá trình trang bị, cấu hình và kiểm soát hoạt động của hệ thống. Những mục tiêu bảo mật nhà quản trị hệ thống cần đạt được bao gồm:
- Xác định đối tượng cần bảo vệ:
Trong một hệ thống, người quản trị phải biết được đối tượng nào là quan trọng, đối tượng nào là không quan trọng để đưa ra một phương pháp bảo mật tương xứng. Nghĩa là, người quản trị phải xác định rõ độ ưu tiên của từng đối tượng cần bảo vệ. Trước hết, liệt kê tất cả các đối tượng cần được bảo vệ trong hệ thống, thường bao gồm các máy chủ dịch vụ, các điểm truy cập hệ thống, tài nguyên, các chương trình ứng dụng, cơ sở dữ liệu trong hệ thống…Tiếp theo, xác định rõ phạm vi và ranh giới giữa các thành phần trong hệ thống để khi xảy ra sự cố có thể cô lập các thành phần này lại và dễ dàng hơn trong việc dò tìm nguyên nhân và đưa ra cách khắc phục. Có thể chia các thành phần của hệ thống theo các cách sau:
+ Phân tách các dịch vụ tùy theo mức độ truy cập và độ tin cậy. + Phân tách hệ thống theo các thành phần vật lý.
+ Phân tách hệ thống theo phạm vi cung cấp của các dịch vụ bên trong mạng và các dịch vụ bên ngoài mạng.
- Xác định nguy cơ đối với hệ thống cần bảo vệ:
Các nguy cơ đối với hệ thống thông thường là các lỗ hổng bảo mật trong các dịch vụ do hệ thống đó cung cấp. Nếu xác định được chính xác lỗ hổng bảo mật có thể giúp tránh được các cuộc tấn công hay ít ra tìm được một phương pháp bảo vệ đúng đắn. Thông thường, các lỗ hổng bảo mật này nằm trong một số các thành phần sau của hệ thống:
+ Các điểm truy cập: Các điểm truy cập hệ thống thường phục vụ tất cả các người dùng trên mạng, không phụ thuộc vào quyền hạn cũng như những dịch vụ họ đang dùng. Do đó, điểm truy cập thường là những thành phần có tính bảo mật lỏng lẻo nhất và trở thành điểm đầu tiên mà những kẻ tấn công quan tâm đến. Cái khó trong việc bảo vệ các điểm truy cập là người dùng thường ưa thích sự tiện lợi và đơn giản. Đồng thời, với những kỹ thuật hiện đại như hiện nay, các điểm truy cập sinh ra khá nhiều lỗ hổng bảo mật.
+ Các nguy cơ trong nội bộ một mạng: Một hệ thống không chỉ chịu sự tấn công từ bên ngoài mạng mà còn có thể bị tấn công ngay từ bên trong nội bộ mạng.
+ Các phần mềm ứng dụng: Các phần mềm mà người sử dụng chứa khá nhiều lỗi. Và những lỗi này sẽ tạo nên các lỗ hổng bảo mật của dịch vụ, tạo cơ hội cho các hình thức tấn công khác nhau xâm nhập vào hệ thống. Các chương trình virus và trojan hay những cuộc tấn công từ chối dịch vụ là những ví dụ điển hình.
+ Không kiểm soát được cấu hình hệ thống: Hiện tượng người quản trị không kiểm soát hoặc mất cấu hình hệ thống hiện đang chiếm một tỷ lệ lớn trong việc tạo ra các lỗ hổng bảo mật. Hiện nay, có rất nhiều phần mềm sử dụng yêu cầu cấu hình phức tạp và đa dạng hơn, điều này cũng dẫn đến những khó khăn để nhà quản trị hệ thống có thể nắm bắt được cấu hình của hệ thống. Nhiều nhà sản xuất đã cố khắc phục điều này bằng cách đưa ra các cấu hình mặc định. Tuy nhiên, những cấu hình mặc định này không được xem xét kỹ lưỡng về mặt bảo mật.
Sau khi thiết lập được một chính sách bảo mật, người quản trị cần thực hiện bước tiếp theo, đó là lựa chọn cho mình các phương án thực thi một chính sách bảo mật. Một chính sách bảo mật là hoàn hảo khi nó có tính thực thi cao. Để đánh giá tính thực thi người ta đưa ra các tiêu chí:
+ Tính đúng đắn: Đây là tiêu chí quan trọng nhất. Tiêu chí này đảm bảo cho sự thành công của chính sách bảo mật đó. Nếu một hệ thống có nguy cơ bị tấn công từ bên ngoài thì cần đảm bảo kiểm soát được các truy cập của khách hàng vào hệ thống bằng việc dựng các thủ tục quản lý tài khoản người dùng chặt chẽ.
+ Tính thân thiện: Một chính sách bảo mật cần thiết lập ra các công cụ bảo mật thân thiện với người quản trị và dễ dàng thực thi chính sách bảo mật. Đồng thời, tính thân thiện còn đảm bảo các biện pháp bảo mật trên hệ thống không làm khó hoặc bất tiện đối với người dùng.
+ Tính hiệu quả: Một chính sách bảo mật có thể đảm bảo hệ thống an toàn, tin cậy nhưng cần có chi phí quá cao so với lợi nhuận mà hệ thống mang lại thì không có tính khả thi vì vậy nó không hiệu quả. Đánh giá tính hiệu quả cần thời gian, dựa trên những lợi ích nó mang lại trong thời gian hoạt động.
1.3.3.2 Hoàn thiện chính sách bảo mật
Sau khi thiết lập và cấu hình được một chính sách bảo mật hệ thống, nhà quản trị cần kiểm tra lại tất cả và đánh giá chính sách bảo mật này một cách toàn diện trên tất cả các mặt cần được xét đến. Bởi một hệ thống luôn có những biến động về cấu hình, các dịch vụ sử dụng, và ngay cả hệ điều hành mà hệ thống sử dụng hoặc các thiết bị phần cứng cũng có thể biến động. Bởi vậy, phải luôn luôn rà soát, kiểm tra lại chính sách bảo mật trên hệ thống của mình để phù hợp với thực tế hiện hành. Ngoài ra, việc kiểm tra và đánh giá chính sách bảo mật còn giúp cho nhà quản trị có kế hoạch xây dựng mạng lưới hệ thống hiệu quả hơn. Kết quả của một chính sách bảo mật thể hiện rõ nhất ở chất lượng dịch vụ mà hệ thống đó cung cấp. Nhà quản trị có thể dựa vào đó để kiểm tra và đánh giá chính sách bảo mật có hợp lý hay không và cần thay đổi những gì từ đó có thể rút ra những kinh nghiệm nhằm cải thiện hoặc hoàn thiện chính sách bảo mật mà họ đã tạo ra. Công việc cải thiện
chính sách bảo mật có thể làm giảm sự cồng kềnh của hệ thống, giảm độ phức tạp, tăng tính thân thiện đối với người dùng, đơn giản công việc hay kiểm soát chặt chẽ hơn hệ thống đã xây dựng.
Một hệ thống có chính sách bảo mật hợp lý là biện pháp tốt nhất để đảm bảo an toàn trong thương mại điện tử. Xây dựng một chính sách bảo mật là công việc cần thiết nhằm thiết lập các khung chính sách đảm bảo an toàn cho hệ thống, đồng thời đảm bảo hệ thống ổn định và có tính thực thi cao, có khả năng chống lại những cuộc tấn công từ bên ngoài lẫn bên trong.