Ph ng pháp an ninh thông tin nh m m c tiêu gi m thi u thi t h i và duy trì ho t đ ng kinh doanh m t cách liên t c, tính toán đ n t t c nh ng m i đe
d a và kh n ng b t n công có th x y ra đ i v i tài s n thông tin. ch c
ch n ho t đ ng kinh doanh liên t c, ph ng pháp an ninh thông tin c g ng
tìm ki m nh m đ m b o tính c n m t, tính toàn v n và tính s n sàng c a các
tài s n thông tin n i b . i u này đòi h i s g n k t công tác đi u hành và các bi n pháp đánh giá r i ro. V c b n, c n có m t k ho ch t t có th ki m
soát an ninh thông tin các khía c nh k thu t, v t lý và qu n tr .
Khía c nh qu n tr
Có r t nhi u h th ng ISMS t p trung vào khía c nh qu n tr . ISO/IEC27001
là m t trong nh ng tiêu chu n chung nh t đ c s d ng.
ISO/IEC27001, tiêu chu n ISMS qu c t , d a trên tiêu chu n BS7799, đ c
xây d ng b i BSI. BS7799 đ a ra nh ng yêu c u đ i v i vi c qu n lý và th c
thi m t h th ng ISMS và nh ng tiêu chu n chung đ c áp d ng làm tiêu chu n an ninh c a r t nhi u các t ch c và công tác qu n lý an ninh hi u qu .
Ph n 1 c a BS7799 mô t các ho t đ ng an ninh c n có d a trên nh ng bài h c th c ti n t t nh t v các ho t đ ng an ninh c a t ch c. Ph n 2, hi n t i đã chuy n thành tiêu chu n ISO/IEC27001, đ xu t nh ng yêu c u t i thi u
c n thi t cho công tác v n hành và đánh giá các ho t đ ng an ninh ISMS.
Các ho t đ ng an ninh trong ISO/IEC27001 bao g m 133 tiêu chu n so sánh
66 Nh ng ki n th c c b n v Công ngh thông tin và Truy n thông cho Lãnh đ o trong c quan Nhà n c
B ng 5. Các tiêu chu n so sánh trong ISO/IEC27001
Ch đi m Kho n m c
A5. Chính sách an ninh
A6. T ch c an ninh thông tin
A7. Qu n lý tài s n
A8. An ninh ngu n nhân l c
A9. An ninh khía c nh môi tr ng và v t lý A10. Qu n lý v n hành và truy n thông A11. Qu n tr truy c p
A12. Xây d ng, phát tri n và b o trì các h th ng thông tin A13. Qu n lý các v n đ g n li n v i an ninh thông tin A14. Qu n lý ho t đ ng kinh doanh m t cách liên t c
A15. S tuân th
ISO/IEC27001 s d ng mô hình ti n trình K ho ch-Th c hi n-Ki m tra-
Hành đ ng (Plan-Do-Check-Act), nó đ c áp d ng vào c u trúc c a t t c các
quá trình trong h th ng ISMS. Trong ISO/IEC27001, t t c nh ng d u hi u phân tích ISMS đ u đ c ghi chép tài li u; ch ng nh n đ c ki m tra đ nh k
theo m i 6 tháng; và toàn b quá trình đ c l p l i sau kho ng th i gian 3 n m nh m qu n lý h th ng ISMS m t cách liên t c.
Hình 8. Mô hình quy trình Plan-Do-Check-Act đ c áp d ng cho các quá trình ISMS
(Ngu n: ISO/IEC JTC 1/SC 27) Xem xét và giám sát ISMS Th c thi và v n hành ISMS An ninh thông tin đ c qu n lý K ho ch Ki m tra Th c hi n Hành đ ng Thi t l p ISMS B o trì và c i ti n ISMS Mong mu n và yêu c u an ninh thông tin Các bên liên quan Các bên liên quan
H c ph n 6An toàn, an ninh thông tin và m ng l i 67
Các tiêu chu n an ninh c n đ c lên k ho ch có tính đ n các yêu c u v an
ninh. T t c ngu n nhân l c, bao g m các nhà cung c p, nhà đ u th u, khách
hàng và các chuyên gia bên ngoài, nên tham gia vào các ho t đ ng này. Xây d ng các yêu c u v an ninh đ c d a trên ba y u t sau:
• ánh giá r i ro
• Các đi u kho n h p đ ng và yêu c u lu t pháp
• Các quy trình thông tin cho công tác v n hành t ch c
Phân tích k h là ch quá trình đo đ c m c đ an ninh hi n t i và xây d ng đ nh h ng t ng lai cho an ninh thông tin. K t qu c a phân tích k h nh n đ c t nh ng câu tr l i c a các ch s h u tài s n cho 133 tiêu chu n so
sánh và 11 ch đi m. M t khi nh ng l nh v c thi u h t đ c xác đ nh thông
qua phân tích k h , các tiêu chu n so sánh thích h p cho m i l nh v c có th đ c thi t l p.
ánh giá r i ro đ c chia ra thành đánh giá giá tr tài s n và đánh giá kh n ng b t n công c ng nh các m i đe d a. ánh giá giá tr tài s n là vi c đ nh l ng giá tr các tài s n thông tin. ánh giá m i đe d a liên quan đ n
vi c c tính các m i đe d a đ i v i tính c n m t, tính toàn v n và tính s n
sàng c a thông tin. Ví d sau đây s cho th y vi c tính toán có liên quan trong công tác đánh giá r i ro.
Tên tài s n Giá tr tài s n M i đe d a Kh n ng b
t n công
R i ro
C I A C I A C I A
Tài s n #1 2 3 3 1 3 1 1 8 6 5
• Giá tr tài s n + M i đe d a + Kh n ng b t n công = R i ro
• Tính c n m t: Giá tr tài s n(2) + M i đe d a(3) + Kh n ng b t n công(3)
= R i ro(8)
• Tính toàn v n: Giá tr tài s n(2) + M i đe d a(3) + Kh n ng b t n công(1)
= R i ro(6)
• Tính s n sàng: Giá tr tài s n(2) + M i đe d a(1) + Kh n ng b t n công(1)
68 Nh ng ki n th c c b n v Công ngh thông tin và Truy n thông cho Lãnh đ o trong c quan Nhà n c
ng d ng c a các tiêu chu n so sánh: M i giá tr r i ro s khác nhau theo
k t qu c a công tác đánh giá r i ro. Quy t đ nh là c n thi t đ áp d ng các
tiêu chu n so sánh thích h p đ i v i các tài s n có giá tr khác nhau. Các m i
r i ro đ c phân chia thành r i ro có th ch p nh n đ c và r i ro không th ch p nh n đ c. Các tiêu chu n so sánh đ c áp d ng d a trên tiêu chu n
ISO/IEC, tuy nhiên nó s hi u qu h n n u áp d ng các tiêu chu n so sánh
d a trên th c tr ng c a t ch c.
M i qu c gia có m t c quan ch ng nh n ISO/IEC27001. B ng 6 li t kê s
l ng c quan ch ng nh n theo t ng n c.
B ng 6. S l ng c quan ch ng nh n theo qu c gia
T ng t ng đ i
H c ph n 6An toàn, an ninh thông tin và m ng l i 69
Ghi chú: S l ng các c quan ch ng nh n đây đ c tính đ n th i đi m 21/12/2008.
Ngu n: International Register of ISMS Certificates, “Number of Certificates per Country,” ISMS International User Group Ltd., http://www.iso27001certificates.com.
Khía c nh v t lý
Hi n t i, ch a có h th ng qu n lý an ninh thông tin v m t v t lý nào trên ph m vi qu c t . Tiêu chu n 426 c a C c qu n lý tình tr ng kh n c p Liên bang (Federal Emergency Management Agency - FEMA)33, là tiêu chu n v
m t v t lý cho h th ng ISMS t i M và r t nhi u qu c gia s d ng nó nh
m t ph ng pháp, s đ c mô t đây.
FEMA 426 đ a ra nh ng ch d n cho vi c xây d ng n ng l c b o v ch ng l i
các cu c t n công kh ng b . Nó đ c đ nh h ng t i “vi c xây d ng c ng đ ng khoa h c bao g m các k s và ki n trúc s , nh m làm gi m thi u thi t
h i v m t v t lý t i các công trình liên quan đ n c s h t ng và con ng i,
gây ra b i nh ng cu c t n công kh ng b .”34
M t lo t các ch d n liên quan
đó là FEMA 427 (M đ u cho vi c thi t k các tòa nhà th ng m i nh m
gi m thi u t n công kh ng b - A Primer for the Design of Commercial Buildings to Mitigate Terrorist Attacks), FEMA 428 (M đ u cho vi c thi t
k các d án tr ng h c an toàn trong tr ng h p t n công kh ng b - A Primer to Design Safe School Projects in Case of Terrorist Attacks), FEMA 429 (M đ u các khía c nh B o hi m, Tài chính và i u ti t đ i v i vi c
qu n lý r i ro kh ng b trong các tòa nhà - Insurance, Finance, and Regulation Primer for Terrorism Risk Management in Buildings), FEMA 430 (ki n trúc), and FEMA 438 (ti n trình).
FEMA 426 không liên quan m t cách tr c ti p đ n an ninh thông tin, tuy
nhiên nó có th ng n ng a các k h , m t ho c phá h y thông tin b i nh ng
t n công v m t v t lý vào các tòa nhà. c bi t, FEMA 426 liên quan m t
thi t v i k ho ch kinh doanh liên t c, là m t thành ph n c a an ninh qu n tr .
Thông qua vi c xem xét FEMA 462, khía c nh v t lý c a k ho ch kinh
doanh liên t c có th đ c b o v .
33 FEMA, “FEMA 426 - Reference Manual to Mitigate Potential Terrorist Attacks Against Buildings,” http://www.fema.gov/plan/prevent/rms/rmsp426.
34
70 Nh ng ki n th c c b n v Công ngh thông tin và Truy n thông cho Lãnh đ o trong c quan Nhà n c
Khía c nh k thu t
Ch a có h th ng ISMS đ i v i khía c nh k thu t. Các tiêu chu n đánh giá
chung c a th gi i nh ch ng nh n Common Criteria (CC) có th đ c s
d ng thay th .
Ch ng nh n Common Criteria35
Ch ng nh n CC có ngu n g c th ng m i. Nó đ c xây d ng đ gi i quy t
nh ng b n kho n v s khác bi t m c đ an ninh trong nh ng s n ph m IT
c a các qu c gia khác nhau. Tiêu chu n qu c t đ đ nh giá các s n ph m IT
đ c xây d ng b i Canada,Pháp, c, Anh và M .
M t cách c th , CC đ a ra yêu c u v an ninh IT c a m t s n ph m hay h
th ng theo các nhóm khác nhau g m các yêu c u v m t ch c n ng và yêu c u v s b o đ m. Các yêu c u v ch c n ng c a CC đ nh rõ hành đ ng an ninh đ c đ ngh. Các yêu c u v s b o đ m là c s cho vi c gia t ng s tin t ng theo đó các bi n pháp an ninh đ c đòi h i ph i hi u qu và đ c
th c thi m t cách đúng đ n. Ch c n ng an ninh CC bao g m 136 thành ph n
t 11 l p t o nên 57 nhóm. Các yêu c u v s b o đ m đ a ra 86 thành ph n
t 9 l p và t o nên 40 nhóm.
Các yêu c u v ch c n ng an ninh (Security functional requirement - SFR):SFR xác đ nh t t c các ch c n ng an ninh cho vi c ánh giá M c tiêu (Target of Evaluation - TOE). B ng 7 li t kê các l p ch c n ng an ninh có trong SFR.
35
H c ph n 6An toàn, an ninh thông tin và m ng l i 71 B ng 7. Thành ph n k t c u c a l p trong SFR
Các l p Chi ti t
FAU Ki m tra an ninh
Ch ra nh ng ch c n ng bao g m ki m tra vi c b o v d
li u, l a ch n s ki n và đ nh d ng b n ghi, c ng nh các
công c phân tích, phân tích th i gian th c và c nh báo
xâm ph m
FCO Truy n thông Mô tmà đ c s d ng cho vi c truy n t i thông tin nh ng yêu c u m t cách c th có liên quan t i TOE
FCS H tr m t mã Ch rõ vi c s d ng qu n lý mã khóa và s d ng m t mã FDP B o v d li u ng i
dùng
Xác đ nh các yêu c u liên quan t i b o v d li u ng i
dùng
FIA Nh n di n và xác th c Xác đ nh các ym t đ i t ng ng i dêu c u v ch c n ng đ thi t l p vùng à ki m tra
FMT Qu n lý an ninh
Ch rõ vi c qu n lý m t s khía c nh c a Các ch c n ng an
ninh TOE (TOE Security Functions - TSF): các thu c tính
an ninh, các ch c n ng và d li u TOE
FPR Bí m t riêng t
Mô t nh ng yêu c u có th đ c ch n l a đ đáp ng
nhu c u bí m t riêng c a ng i dùng, trong khi v n linh
ho t cho phép h th ng có th duy trì kh n ng ki m soát
toàn b ho t đ ng v n hành FPT B o v TSF
Bao g m các nhóm yêu c u v ch c n ng liên quan đ n
tính toàn v n và công tác qu n lý các c ch c u thành TSF c ng nh tính toàn v n c a d li u TSF
FRU T n d ng ngu n l c Bao gkh n ng x lý vm tính s n sà/hoàng cc kh n ng l u tra các ngu n l c c n thi t nh
FTA Truy nh p TOE Xác đ nh các ythi t l p m t phiêu cên truy nhu ch c n ng đ i v i vi c ki m soát s p
FTP Các kênh/tuy n tin c y Cung cgi a ng i dp các yùng và TSF êu c u đ i v i m t tuy n liên l c tin c y
Ngu n: Common Criteria, Common Methodology for Information Technology Security
Evaluation, 9/2007, CCMB-2007-09-004
Các thành ph n c a vi c đ m b o an ninh (Security assurance components - SACs): Tri t lý CC đòi h i s g n k t các m i đe d a an ninh
và vi c phê chu n chính sách an ninh v m t t ch c thông qua các bi n pháp an ninh t ng x ng và thích h p. Nh ng bi n pháp đ c phê chu n s giúp
nh n di n các kh n ng b t n công, gi m kh n ng khai thác b t n d ng và gi m s m r ng v thi t h i trong tình hu ng m t kh n ng t n công b l i
d ng.36
B ng 8 li t kê các l p có trong SACs.
36 Common Criteria, Common Criteria for Information Technology Security Evaluation – Part 3: Security assurance requirements (August 1999, Vesion 2.1), http://www.scribd.com/doc/2091714/NSA-Common- Critira-Part3.
72 Nh ng ki n th c c b n v Công ngh thông tin và Truy n thông cho Lãnh đ o trong c quan Nhà n c B ng 8. Thành ph n k t c u c a l p trong SACs Các l p Chi ti t APE ánh giá H s b o v (Protection Profile - PP) i u này đ c yêu c u nh m ch ng t r ng PP đúng đ n
và nh t quán bên trong, đ ng th i, n u PP đ c d a trên
m t hay nhi u PP khác thì đó là m t thuy t minh đúng
đ n cho nh ng PP này
ASE ánh giá M c tiêu an
ninh (Security Target - ST)
i u này đ c yêu c u nh m ch ng t r ng ST đúng đ n
và nh t quán trong, đ ng th i, n u ST đ c d a trên m t
hay nhi u ST khác thì đó là m t thuy t minh đúng đ n cho
nh ng ST này
ADV S phát tri n Cung c p thông tin v TOE. Các ki n th c thu đ c đ c
s d ng nh là n n t ng cho vi c ch đ o công tác phân
tích kh n ng b t n công và ki m th d a trên TOE,
đ c mô t trong l p ATE và AVA
AGD Tài li u h ng d n đ m b o cho công tác chu n b và v n hành TOE, c n
ph i mô t t t c nh ng khía c nh liên quan t i vi c đ m
b o s ki m soát c a TOE. Nhóm c ng xác đ nh các kh
n ng sai sót không đ nh tr c trong c u hình và ki m soát
TOE
ALC H tr vòng đ i s n
ph m
Trong vòng đ i s n ph m, bao g m các n ng l c qu n lý
c u hình (configuration management - CM), ph m vi CM,
s phân phát, phát tri n an ninh, vi c bù đ p các ch
h ng, xác đ nh vòng đ i, các công c và k thu t, nó xác
đ nh TOE có thu c trách nhi m c a ng i phát tri n ho c