M t s n c có m t CSIRT qu c gia. B ng 13 li t kê nh ng qu c gia và
CSIRT t ng ng c a h c ng nh đ a ch website cho m i đ n v .
53
112 Nh ng ki n th c c b n v Công ngh thông tin và Truy n thông cho Lãnh đ o trong c quan Nhà n c
B ng 13. Danh sách các c quan CSIRT qu c gia
Qu c gia Tên c quan Trang ch
Argentina Computer Emergency Response Team of
the Argentine Public Administration http://www.arcert.gov.ar
Australia
Australia Computer Emergency Response
Team http://www.aucert.org.au
Brazil Computer Emergency Response Team
Brazil http://www.cert.br
Brunei Darussalam Brunei Computer Emergency Response
Team http://www.brucert.org.bu
Canada Public Safety Emergency Preparedness Canada
http://www.psepc-sppcc.gc.ca/prg/em/ccirc/index- en.asp
Chile
Chilean Computer Emergency Response
Team http://www.clcert.cl
China
National Computer Network Emergency Response Technical Ream - Coordination Center of China
http://www.cert.org.cn
Denmark Danish Computer Emergency Response
Team http://www.cert.dk
El Salvador Response Team for Computer Security Incidents
Finland Finnish Communication Regulatory Authority http://www.cert.fi
France CERT-Administration http://www.certa.ssi.gouv.fr Germany CERT-Bund http://www.bsi.bund.de/certbund
Hong Kong Hong Kong Computer Response
Coordination Centre http://www.hkcert.org Hungary CERT-Hungary http://www.cert-hungary.hu India CERT-In http://www.cert-in.org.in
Indonesia Indonesia Computer Emergency Response
Team http://www.cert.or.id Japan JP CERT Coordination Center http://www.jpcert.or.jp Lithiania LITNET CERT http://cert.litnet.lt
Malaysia
Malaysian Computer Emergency Response Team
http://www.mycert.org.my
Mexico Universidad Nacional Autonoma de Mexico http://www.cert.org.mx Netherlands GOVCERT.NL http://www.govcert.nl New Zealand Centre for Critical Infrastructure Protection http://www.ccip.govt.nz Norway Norwegian National Security Authority http://www.cert.no
Philippines Philippines Computer Emergency Response
H c ph n 6An toàn, an ninh thông tin và m ng l i 113
Qu c gia Tên c quan Trang ch
Poland Computer Emergency Response Team
Polska http://www.cert.pl
Qatar Qatar Computer Emergency Response
Team http://www.qcert.org
Saudi Arabia Computer Emergency Response Team -
Saudi Arabia http://www.cert.gov.sa
Singapore Singapore Computer Emergency Response
Team http://www.singcert.org.sg
Slovenia
Slovenia Computer Emergency Response Team
http://www.arnes.si/english/si-cert
Republic of Korea CERT Coordination Center Korea http://www.krcert.or.kr Spain IRIS-CERT http://www.rediris.es/cert Sweden Swedish IT Incident Centre http://www.sitic.se
Thailand Thai Computer Emergency Response Team http://www.thaicert.nectec.or.th
Tunisia
Computer Emergency Response Team -
Tunisian Coordination Center http://www.ansi.tn/en/about_cert-tcc.htm Turkey TP-CERT http://www.uekae.tubitak.gov.tr United Kingdom GovCertUK http://www.govcertuk.gov.uk
United States
United States -Computer Emergency
Response Team http://www.us-cert.gov
Viet Nam Viet Nam Computer Emergency Response
Team http://www.vncert.gov.vn
Ngu n: CERT, “National Computer Security Incident Response Teams,” Carnegie Mellon University, http://www.cert.org/csirts/national/contact.html.
M t vài đi u c n làm
Có c quan CSIRT qu c gia nào đ t n c b n hay không?
1.N u có, hãy mô t v mô hình mà nó áp d ng theo và cách th c ho t đ ng c a nó. ánh giá hi u qu th c thi các ch c n ng c a nó.
2.N u không, xác đ nh mô hình CSIRT có th s phù h p v i đ t n c
b n và mô t cái gì là yêu c u đ i v i vi c thi t l p m t CSIRT qu c
114 Nh ng ki n th c c b n v Công ngh thông tin và Truy n thông cho Lãnh đ o trong c quan Nhà n c
T ki m tra
1.Nh ng ch c n ng chính c a các CSIRT là gì?
2. âu là s khác nhau gi a nh ng CSIRT qu c t và CSIRT qu c gia?
H c ph n 6An toàn, an ninh thông tin và m ng l i 115
7. VÒNG I C A CHÍNH SÁCH AN NINH
THÔNG TIN
Ph n này nh m m c đích:
• a ra cái nhìn t ng quan v quy trình t o l p chính sách an ninh
thông tin;
• Th o lu n nh ng v n đ mà các nhà l p chính sách ph i xem xét trong
quá trình xây d ng chính sách an ninh thông tin.
Nh ng nhà l p chính sách c n đ a vào tính toán m t s cân nh c, trong đó có
nh ng nhân t c n b n đ i v i m t chính sách, nh ng ngu n l c s n có, đ nh h ng chính sách, các yêu c u v lu t pháp và ngân sách, và k t qu đ u ra v chính sách mong đ i. Trong ph n này, nh ng cân nh c này đ c th o lu n
trong ng c nh c a các giai đo n khác nhau c a vi c xây d ng chính sách an
ninh thông tin.
C n chú ý r ng các qu c gia khác nhau s có đôi chút khác nhau v ng c nh
c ng nh s cân nh c v chính sách. Quá trình xây d ng chính sách đ c mô
t trong ph n này là chung nh t và đ c d a trên gi đ nh r ng hi n ch a có
chính sách an ninh thông tin qu c gia nào.
C ng nh nh ng chính sách khác, vòng đ i c a chính sách an ninh thông tin
có th đ c chia thành 4 ph n: (1) thu th p thông tin và phân tích k h ; (2)
xây d ng chính sách; (3) th c thi chính sách; (4) ki m soát và ti p nh n ph n
h i (Hình 19). Ngoài ra, m t chính sách an ninh thông tin qu c gia c n có
chi n l c an ninh thông tin, các m i quan h lu t pháp, t ch c an ninh
thông tin, công ngh an ninh thông tin, và nh ng m i quan h bên trong c a
116 Nh ng ki n th c c b n v Công ngh thông tin và Truy n thông cho Lãnh đ o trong c quan Nhà n c
Hình 19. Vòng đ i c a chính sách an ninh thông tin
7.1 Thu th p thông tin và phân tích k h
Giai đo n đ u tiên trong quá trình xây d ng m t chính sách an ninh thông tin
là thu th p thông tin và phân tích k h .
Trong thu th p thông tin, m t đi u h u ích là xem xét các ví d v an ninh
thông tin và nh ng chính sách liên quan c a các qu c gia khác, c ng nh
nh ng chính sách liên quan c a b n thân qu c gia đó.
Trong phân tích k h , m t đi u quan tr ng là n m b t đ c y u t h t ng
hi n có liên quan đ n an ninh thông tin, nh các h th ng và pháp lu t hi n
t i, nh ng l nh v c và k h c n đ c hoàn thi n. ây là m t b c quan tr ng
vì nó xác đ nh đ nh h ng và u tiên trong chính sách an ninh thông tin s đ c thi t l p.
Thu th p thông tin
Thu th p các tr ng h p t n c ngoài: Trong vi c xác đ nh các tr ng
h p liên quan t nh ng qu c gia khác, các nhà ho ch đ nh chính sách c n
xem xét các y u t t ng t trong – • M c đ an ninh thông tin qu c gia
• nh h ng xây d ng chính sách
• H t ng h th ng và m ng l i
Thu th p thông tin
Phân tích k h Xem xét lđánh giái và
Th c thi
H c ph n 6An toàn, an ninh thông tin và m ng l i 117
Xem xét nh ng y u t t ng t này, c n thu th p các d li u sau –
• Thông tin v vi c xây d ng và v n hành c a các t ch c liên quan đ n an ninh thông tin (xem ch ng 3 và ch ng 6 c a h c ph n này)
• Thông tin v các chính sách, lu t pháp, và các quy đ nh v an ninh (xem ch ng 3)
• Ph ng pháp an ninh thông tin đ c s d ng trên ph m vi qu c t và nh ng ví d t các qu c gia khác (xem ch ng 4)
• Các xu h ng đe d a và nh ng bi n pháp đ i phó hay ki m soát theo các lo i hình t n công (xem các ch ng 2 và 6)
• Các bi n pháp đ i phó cho vi c b o v bí m t riêng t (xem ch ng 5)
Thu th p các d li u trong n c: M c dù h u h t nh ng nhà ho ch đ nh
chính sách không ph i là chuyên gia trong lnh v c an ninh thông tin, h có
th th c hi n nh ng h at đ ng có liên quan hay đi li n v i an ninh thông tin.
M t cách c th , h tham gia xây d ng lu t pháp, quy đ nh và chính sách trong các l nh v c liên quan đ n an ninh thông tin. Tuy nhiên, do lu t pháp, quy đ nh và chính sách có khuynh h ng t p trung vào các lnh v c nh t đ nh,
s t ng quan gi a chúng có th không hi n ra ngay t c thì đ i v i nh ng
nhà ho ch đ nh chính sách. Vì v y, c n ti n hành thu th p, phân tích và đánh
giá t t c nh ng lu t pháp, quy đ nh và chính sách có liên quan hay đi li n v i
an ninh thông tin.
Phân tích k h
Tác ph m The Art of War c a Sun Tzu nói r ng “C n n m b t k thù c a
b n”. i u này có ngh a là b n c n ph i bi t đ c nh ng gi i h n c a mình c ng nh đó là k thù c a b n. Trong tr ng h p xây d ng chính sách an ninh thông tin, đi u này có ngha là c n bi t đ c cái gì c n thi t đ c b o v
thông qua m t chính sách an ninh thông tin c ng nh kh n ng b t n công và nh ng m i đe d a đ i v i an ninh thông tin.
Phân tích k h có th đ c chia thành hai pha:
1.N m b t đ c các n ng l c và kh n ng c a qu c gia – ví d nh các
ngu n l c con ng i và t ch c, c ng nh c s h t ng thông tin và truy n
thông – trong lnh v c an ninh thông tin; và
118 Nh ng ki n th c c b n v Công ngh thông tin và Truy n thông cho Lãnh đ o trong c quan Nhà n c Nh ng nhà ho ch đ nh chính sách c n bi t rõ các ngu n l c con ng i và t ch c an ninh thông tin – ví d các c quan t nhân và công c ng trong các
l nh v c liên quan đ n an ninh thông tin. H c n bi t nh ng t ch c liên quan trong ho t đ ng an ninh thông tin và n m b t đ c ph m vi h at đ ng, vai trò, trách nhi m c a các t ch c này. i u này là quan tr ng nh m tránh trùng l p
các c u trúc đã có v an ninh thông tin.
C ng t i đi m này, nh ng chuyên gia v an ninh thông tin c n đ c nh n di n
và đ t m i quan h . B i các chuyên gia th ng có m t n n v t ng lu t pháp,
chính sách, công ngh , giáo d c và nh ng l nh v c có liên quan.
C s h t ng thông tin – truy n thông đ c p đ n c u trúc IT nh vi c thu
th p, x lý, l u tr , tìm ki m, truy n t i và ti p nh n thông tin và các h th ng
qu n lý đi u khi n đi n t . Nói ng n g n, đây là m ng l i và h th ng thông
tin. N m b t hi n tr ng c a c s h t ng thông tin – truy n thông là đ c
bi t quan trong t quan đi m kinh t . B i nh ng kho n đ u t l n c n đ c
k t n i toàn b đ t n c, làm cho các ph ng ti n thông tin – truy n thông
hi n có tr nên ti n l i. Hình 20 đ a ra m t ví d v c s h t ng thông tin – truy n thông cho v n đ an ninh thông tin. Nó không bao hàm t t c nh ng
chi ti t có th đ c yêu c u và ví d đ c đ a ra đây ch nh m m c đích
minh h a. L u ý m i quan h gi a r t nhi u thành ph n trong m ng l i.
Hình 20. Ví d v c u trúc h th ng và m ng l i Router H th ng thu thp gói d liu H th ng ng n ch n các giao dch đ h i S/W F/W IDS/IPS S/W Router Server H th ng đánh
giá bn ghi H th ng báo sgiám sát/cm nh
H c ph n 6An toàn, an ninh thông tin và m ng l i 119
Nh ng nhà ho ch đ nh chính sách c n hi u đ c các h th ng và m ng l i
chung v an ninh thông tin đ c b trí nh th nào.
B c th hai trong phân tích k h đó là xác đ nh các m i đe d a bên ngoài đ i v i an ninh thông tin. Nh đã đ c p trong ch ng 2, các m i đe d a đ i
v i an ninh thông tin không ch t ng lên mà còn ph c t p h n. Các nhà l p
chính sách c n hi u nh ng m i đe d a này đ có th quy t đ nh bi n pháp đ i
phó nào là c n thi t. Nói m t cách c th , các nhà l p chính sách c n ph i
hi u:
• T c đ thâm nh p c a các m i đe d a đ i v i an ninh thông tin
• Các lo i hình t n công hi n t i và ph bi n nh t
• Các lo i hình đe d a và m c đ d ki n v s c m nh c a chúng trong t ng lai
Sau khi phân tích các ngu n l c con ng i, t ch c qu c gia và c s h t ng
thông tin – truy n thông, c ng nh n m b t các nhân t đe d a trong l nh v c
an ninh thông tin, m t đi u quan tr ng đó là tìm ra đ c nguyên nhân t các
y u t có th b t n công. i u này s xác đ nh đ c ph m vi mà theo đó qu c
gia có th ch ng l i các thành ph n đe d a bên ngoài. Vi c xác đ nh có th đ c th c hi n thông qua ki m tra nh ng v n đ sau đây:
• Hi n tr ng c a CERT và kh n ng đ i phó c a nó
• Hi n tr ng c a các chuyên gia v an ninh thông tin
• M c đ xây d ng và s c m nh c a h th ng an ninh thông tin
• Quy ph m pháp lu t b o v ch ng l i s xâm ph m tài s n thông tin
• Môi tr ng v t lý cho vi c b o v các tài s n thông tin
M c tiêu c a vi c phân tích k h là nh m có th xác đ nh các bi n pháp đ i
phó th c ti n c n đ c th c hi n. C n nh n m nh r ng đây là b c c b n
nh t trong vi c ho ch đ nh chính sách an ninh thông tin.
7.2 Xây d ng chính sách an ninh thông tin
Vi c xây d ng m t chính sách an ninh thông tin liên quan t i: (1) v ch ra đ nh h ng chính sách; (2) thi t l p t ch c an ninh thông tin và xác đ nh
trách nhi m c ng nh vai trò c a nó; (3) k t n i khuôn kh chính sách an ninh
thông tin; (4) xây d ng và/ho c s a l i lu t pháp giúp t o cho chúng s thích
h p v i chính sách; và (5) phân b m t ngu n ngân sách cho vi c th c hi n
120 Nh ng ki n th c c b n v Công ngh thông tin và Truy n thông cho Lãnh đ o trong c quan Nhà n c
1. Thi t l p đ nh h ng chính sách và đ y m nh ti n v phía tr c
Trong h u h t các tr ng h p, vi c theo đu i chính sách an ninh thông tin c n đ c đi đ u b i chính ph h n là đ cho khu v c t nhân. c bi t, chính ph
c n thi t l p chính sách, đóng vai trò trong vi c d n đ u đ a c s h t ng t i
ch và cung c p s h tr dài h n. Khu v c t nhân tham gia vào d án giai đo n này, c th là tham gia vào nghiên c u, phát tri n và xây d ng h th ng.
Vi c l p k ho ch cho khu v c t nhân tham gia bao g m các ho t đ ng nâng
cao nh n th c bên c nh vi c xây d ng và t ng c ng c s h t ng thông tin
– truy n thông. N u chính ph nh m t i khuy n khích khu v c t nhân ch p
nh n chi n l c thông tin, chính ph c n đóng vai trò h tr h n là vai trò
đi u khi n. i u này bao g m vi c phân phát các ch d n an ninh thông tin.
2. S thành l p c a t ch c an ninh thông tin, vi c xác đ nh các vai trò và