1 2 CÁC HỆ THỐNG THÔNG TIN THÔNG DỤNG
5.3.3. Kiểm soát xâm phạm từ con người
5.3.3.1. Xác định các "điểmhở" trong hệthống
"Điểm hở" là điểm tại đó hệ thống có nguy cơ bị thâm nhập bởi những người trong hay ngoài tổ chức trong toàn bộ hệ thống tính toán.
5.3.3.2. Xác định mứcđedoạ từđiểmhở
Các loại đe doạ bao gồm: - Sai hỏng phần cứng. - Sai về phần mềm.
116 - Thông tin bị ăn cắp, phá hoại có chủ ý. 5.3.3.3. Đánh giá mứcđedoạ.
- Mức cao: hệ thống có thể bị tổn thất nghiêm trọng, có thể bị ngưng trệ nếu tình huống xấu nhất xuất hiện
- Mức vừa: có thể bị thất thoát thông tin nhưng vẫn có thể hứng chịu được, không ảnh hưởng lớn đến hoạt động chung
- Mức thấp: có thể dự kiến được trước 1 số mối đe doạ và có các phương án, phương tiện để ngăn cản.
5.3.3.4. Xác định tình trạng đedoạ
Sử dụng DFD theo dõi được lại điểm hở để rà soát các ảnh hưởng trong từng quá trình do lỗi gây ra từ điểm hở. Trong quá trình dài có thể xuất hiện thêm điểm hở mới, cần phải đánh dấu và ước lượng được mức độ nghiêm trọng của các đe doạ trong luồng ảnh hưởng trên.
5.3.3.5. Thiết kếkiểm soát cầnthiết
Trên cơ sở đánh giá được mức độ thiệt hạitừ các điểm hở người thiết kế phải quyết định lựachọn các phương thức bảo vệ cần thiết. Các phương thức có thể là như sau:
- Bảo vệ vật lý: các phương pháp bảo vệ thủ công, chẳng hạn như người canh gác, tháo rời các bộ phận của thiết bị, khoá bảo vệ, ...
- Nhận dạng nhân sự hay xác lập quyền truy nhập bao gồm:
+ Ở mức chức năng của hệ thống: mỗi người sử dụng có thể gán quyền sử dụng 1 số chức năng nào đó của hệ thống.
+ Về mặt dữ liệu: với mỗi người sử dụng có thể được gán 1 số quyền truy nhập đến các thư mục và tệp tin trong hệ thống.
+ Đăng ký tên và mật khẩu
- Bảo vệ bằng phương pháp mã hoá: trong đó chủ yếu là dùng mã mật
- Bảo vệ bằng gọi lại: không cho phép truy nhập trực tiếp mà phải thông qua sự giám sát của 1 hệ thống khác.
117
Phân biệt riêng tư là phân biệt quyền truy nhập của các đối tượng khác nhau thông qua quản trị hệ thống. Trong vấn đề quản trị quyền gồm có: trao quyền, rút quyền, uỷ quyền, thừa kếquyền.