VII. KIẾN TRÚC CHÍNH QUYỀN ĐIỆN TỬ, PHIÊN BẢN 2.0
5. Kiến trúc an toàn thông tin
5.9. Phương án đánh giá, duy trì công tác đảm bảo an toàn thông tin
Bảng 5: Phương án đánh giá, duy trì công tác đảmbảo an toàn thông tin
STT Nội dung Ghi chú
1 Xây dựng cách tiếp cận an ninh mạng (ANTT) dướidạngquản lý rủi ro.
1.1 Phát triển một cơ chế đánh giá và quản lý
rủi ro một cách rõ ràng.
Nhận diện rủi ro Phân tích rủi ro Lượng hóa rủi ro
Phương án bảo vệ Phương án phát hiện Phương án ứng phó Phương án khôi phục Nhận diện và đánh giá rủi ro còn lại.
1.3 Tài liệu hóa và xem xét các rủi ro được chấpnhận và loạitrừ
1.4 Thường xuyên, liên tục đánh giá và quản
lý rủi ro trong suốt quá trình.
2. Xác định rõ ràng các mứcđộ ưu tiên. 2.1 Hỗ trợ lãnh đạo hiểu rõ và hỗ trợ các
nguyên tắc cũngnhư quản trị các mức độ ưu tiên.
Việc xác định các mức độ ưu tiên trong ANTT là rất quan trọng và phải được lãnh đạo thực hiện.
2.2 Cân nhắc khả năng phục hồi (chịu lỗi) phù hợp.
Bảo đảm các dịch vụ/ứng dụng quan trọng có khả năng chịu lỗi, phục hồi nhanh chóng hơn so với các dịch vụ/ứng dụng thông thường. Ví dụ như với các ứng dụng/dịch vụ quan trọng bắt buộc phải được triển khai trên cloud và cần được cung cấp đủ băng thông, hệ thống dự phòng để có thể hoạt động liên tục hay có thời gian gián đoạn thấp nhất khi gặpsựcố.
2.3 Gắn kết các quy trình đầu tư, trang bị CNTT với các mứcđộưu tiên và rủi ro.
Bảo đảm các hệ thống/thiết bị ưu tiên được trang bị sớm, bảo đảm các mối nguy (rủi ro) quan trọng phải được đầu tư đểxử lý kịpthời.
3 Định nghĩa hệ thống an ninh ICT mức tiêu chuẩn(cơ bản).
97% các sự cố an ninh mạng có thể được ngăn chặn nếu tất cả hệ thống ICT được triển khai hệ thống an ninh dù chỉ ở mức cơbản.
3.1 Xây dựng các tiêu chuẩn cơ bản về ANTT cầnphải được áp dụng.
3.2 Địnhnghĩa rõ ràng vai trò và trách nhiệm
của cá nhân/tổ chức trong việc hỗ trợ triển khai các tiêu chuẩncơ bản này.
Cần phải có đội ngũ chuyên trách với kinh nghiệm phù hợp. 3.3 Xây dựnghệthống theo dõi
(monitor) liên tục.
4
Sắpxếp và chia sẻ thông tin về các
mối đe dọa cũng như các lỗ hổng của hệ thống.
4.1 Xác định các mục tiêu, yêu cầu cần thiết
cho việc chia sẻ.
4.2 Xây dựng cơ chế chia sẻ các vấn đề về
ATTT mạng trên phạm vi toàn thành phố và với bên ngoài.
4.3 Thực hiện các cuộc diễn tập ANTT để thửnghiệm các kịchbản xử lý khi gặp sự cố.
4.4 Quan tâm đến tính riêng tư và khả năng bảo vệ quyền tự do công dân khi chia sẻ thông tin.
4.5 Áp dụng các tiêu chuẩn quốc gia và quốc tế có liên quan về chia sẻ thông tin.
5 Xây dựngnănglựcứng phó với sựcố.
5.1 Xây dựngđộingũứng cứukhẩncấp. Xây dựng SOC, nếu được, bao gồm nguồn lực của các cơ quan nhà nước, doanh nghiệp, các trường Đại học, viện nghiên cứu,…
5.2 Xác định rõ ràng quyền hạn và trách nhiệm.
5.3 Huy động nguồn lực từ bên ngoài (tư
nhân, doanh nghiệp,quốc gia).
5.4 Thực hiện việc phân loại sự cố một cách
chính xác, hợp lý.
5.5 Kiểm tra khả năng và quy trình ứng cứu
khẩncấp.
Thông qua các cuộc diễn tập, kiểm tra, đánh giá thường xuyên.
6. Tăng cường nhận thức xã hội, đào tạo, phát triển nguồn nhân lực.
6.1 Xây dựng các chương trình nâng cao
nhậnthức ANTT.
6.2 Trau dồi, phát triển năng lực đội ngũ
bằng các chương trình đào tạo và các chế độđãingộ phù hợp.
7. Tăng cường hợp tác với xã hội, doanh nghiệp, tư nhân và các trường,viện.
7.1 Khai thác các thế mạnh, kêu gọi sự tham
gia của các doanh nghiệptư nhân.
Đặc biệt là các doanh nghiệp ngành công nghệ, các MSSP. 7.2 Hợp tác với các trườngđạihọc.
7.3 Tài trợ cho các chương trình, sự kiện để kếtnốikhối nhà nước vớitư nhân.
7.4 Khuyến khích tuân thủ pháp luật, bảo vệ
quyền riêng tư và tự do cá nhân của công dân.
7.5 Xây dựngvăn hóa khuyến khích sáng tạo.