Báo cáo ANTT dưới góc độ quản lý hệ thống phù hợp tiêu chuẩn ISO/IEC 27001:2005
ANTT dưới góc độ quản lý hệ thống
phù hợp tiêu chuẩn ISO/IEC 27001:2005
Yêu cầu tiêu chuẩn ISO/IEC27001:2005
Thiết lập, áp dụng, duy trì và cải tiến HTQL ANTT
Giấy chứng nhận toàn cầu ISO/IEC 27001:2005
Những vấn đề cần quan tâm khi xây dựng ISMS
1
D.A.S Vietnam Certification Ltd.
Quá trình hình thành yêu cầu tiêu chuẩn
ISO/IEC 27001:2005
2005
2002
1995
BS 7799 - 2
2000
BS 7799 - 1
ISO 17799: 2000
1999
BS 7799 - 2
2
D.A.S Vietnam Certification Ltd.
Bộ tiêu chuẩn ISO/IEC 27000
ISO/IEC
27001:2005
Các yêu cầu
ISO/IEC
27002:2005
ISO/IEC
27000:2009
Mã Thực hành
Các nguyên tắc
và từ vựng
ISMS
ISO/IEC
27006:2007
Bộ tiêu chuẩn
ISO/IEC
27003:2010
ISO/IEC 27000
Dành cho các
TC đánh giá và
chứng nhận
Hướng dẫn áp
dụng ISMS
ISO/IEC
27005:2007
ISO/IEC
27004:2007
Quản lý rủi ro
Đo lường ISMS
ISMS
3
D.A.S Vietnam Certification Ltd.
ISO/IEC 27001:2005 – CÁC YÊU CẦU
(theo cấu trúc tiêu chuẩn)
4. Hệ thống
quản lý an ninh
thông tin
5. Trách nhiệm
của lãnh đạo
6 Đánh giá
nội bộ ISMS
7 Xem xét
lãnh đạo
ISMS
8. Cải tiến
ISMS
5.1. Cam kết
của lãnh đạo
8.1. Cải tiến
thường xuyên
7.1. Khái quát
4.1. Yêu cầu
chung
7.2. Đầu vào
của xem xét
8.2. Hành động
khắc phục
5.2 Quản lý
nguồn lực
4.2. Thiết lập và
quản lý ISMS
8.3. Hành động
phòng ngừa
7.3. Đầu ra
của xem xét
4.3. Các yêu cầu về
tài liệu
4
D.A.S Vietnam Certification Ltd.
11 mục tiêu kiểm soát và các kiểm soát
Chính sách an ninh
Tuân thủ
1
An ninh thông tin của tổ chức
2
11
Quản lý tính liên tục
Quản lý tài sản
3
trong kinh doanh
10
An ninh nguồn nhân
lực
ISMS
Kiểm soát
4
Quản lý sự cố an
ninh thông tin
9
An ninh vật lý và môi
trường
5
Duy trì và phát triển các
hệ thống
8
6
Quản lý các tác nghiệp và truyền
7
thông
Kiểm soát truy cập
5
D.A.S Vietnam Certification Ltd.
Mô hình PDCA áp dụng để kiến trúc nên mọi
mọi quá trình ISMS
PLAN
Các bên
quan
Các bên
quan
Thiết lập ISMS
tâm
tâm
Duy trì và
cải tiến ISMS
Áp dụng và
vận hành ISMS
ACT
DO
Các yêu
cầu và
mong
đợi về
ISMS
An ninh
thông
tin được
quản lý
Giám sát và
xem xét ISMS
CHECK
6
D.A.S Vietnam Certification Ltd.
QUẢN LÝ RỦI RO – vấn đề trọng tâm khi tiếp cận ISMS
Đảm bảo tính kinh doanh liên tục và tuân thủ chế định và pháp định
Mục tiêu kiểm soát rủi ro – Phương pháp đánh giá rủi ro
Nhận biết các mức độ bảo mật, giá trị của tất cả các tài sản
Những
điểm yếu
Rủi ro về sở
hữu tài sản
Các
hành
động
cải
Kiếm
soát
xử lý
rủi ro
tiến
giảm
rủi ro
Mất độ tin
cậy,
tính toàn
vẹn,
tính sẵn
sàng
Các mối đe
dọa
Tiêu chí chấp nhận rủi ro
Đo lường, đánh giá tính hiệu lực của các phương pháp kiểm soát
Nhận biết những rủi ro còn sót lại
7
D.A.S Vietnam Certification Ltd.
AN NINH THÔNG TIN
Đo lường mức độ rủi ro đối với Tài sản thông tin
(dữ liệu thông tin dưới dạng bản cứng, bản mềm, giao tiếp… )
PLAN
Xây dựng các mục tiêu
kiểm soát an ninh TT
Tổ
chức
Tổ
chức
Khách
hàng
Khách
hàng
• Mức độ bảo mật giá trị tài sản thông tin
nhằm giảm rủi ro trong phạm vi áp dụng
và SOA
Nhà
cung
cấp
Nhà
cung
cấp
ACT
DO
Duy trì và cải tiến an ninh
Thực hiện các biện pháp
Các
bên
quan
tâm
Các
bên
quan
tâm
thông tin
• Các quyết sách cải tiến để giảm thiểu rủi
ro
Thông
kiểm soát an ninh TT
• Xác định mức độ đe dọa/ rủi ro tới tài sản
(rất cao, cao, trung bình, thấp..).
tin
Sẵn sàng
• Mục tiêu an ninh
• Điểm yếu dễ bị tấn công
•Hệ thống tài liệu (thủ tục, quy đinh..), hồ sơ
• Hạ tầng kỹ thuật (camera quan sát, server,
cáp, máy móc… )
• Thực hiện kiểm soát an ninh dữ liệu, kiểm
soát rủi ro theo mục tiêu và kế hoạch xử lý
rủi ro đã đặt ra
• Con người
Các yêu
cầu và
mong
đợi về
ISMS
An
ninh
thông
tin
được
quản lý
CHECK
Giám sát và xem xét kiểm
soát an ninh thông tin
• Báo cáo đánh giá rủi ro
•Đánh giá và đo lường các biện pháp kiểm
soát rủi ro
• Nhận biết và chấp nhận những rủi ro còn
sót lại.
8
D.A.S Vietnam Certification Ltd.
AN NINH THÔNG TIN
Kiểm soát rủi ro và cách thức xử lý rủi ro đối với tài sản thông tin
1. Nhận biết và kiếm soát tài
sản dữ liệu bản mềm
1. Nhận
biết và
Kiểm soát
tài sản dữ
liệu bản
mềm
2. Kiểm
soát các
biên liên
quan đến
Dữ liệu:
dữ liệu
- trong quá trình xử lý Îphân quyền
truy cập, quyền thiết lập, xem, phê
duyệt…
- trong quá trình trao đổi Î áp
3. Kiểm
soát môi
trường vật
dụng các phương pháp mã hóa dữ
6. Quản lý
hoạt động
và truyền
thông
liệu được công bố và thừa nhận
lý lưu trữ
dữ liệu
Dữ liệu
Bản mềm
- lưu trữ Î định kỳ backup, kiểm
soát tính toàn vẹn, bảo mật và sẵn
Sẵn sàng
sàng
----
5. Kiểm
soát rủi ro
liên quan
đến con
người
4. Kiểm
soát rủi ro
liên quan
đến các
phần mềm
9
D.A.S Vietnam Certification Ltd.
AN NINH THÔNG TIN
Kiểm soát rủi ro và cách thức xử lý rủi ro đối với tài sản thông tin
2. Kiểm soát các bên liên
quan đến dữ liệu
1. Nhận
biết và
Kiểm soát
tài sản dữ
liệu bản
mềm
2. Kiểm
soát các
biên liên
quan đến
- Tổ chức Î kiểm soát theo các mục
tiêu kiểm soát Tổ chức đã đặt ra…
- Nhà cung cấp (dịch vụ đường
dữ liệu
truyền, host….) Î quy định và kiểm
soát việc thực hiện các cam kết bảo
mật theo yêu cầu của Tổ chức….
3. Kiểm
soát môi
trường vật
lý lưu trữ
dữ liệu
6. Quản lý
hoạt động
và truyền
thông
- Khách hàng Î thống nhất hình
thức bảo mật dữ liệu (các quy định
bảo mật trong quá trình giao dịch,
việc mã hóa dữ liệu…)
Dữ liệu
Bản mềm
Sẵn sàng
----
5. Kiểm
soát rủi ro
liên quan
đến con
người
4. Kiểm
soát rủi ro
liên quan
đến các
phần mềm
10
D.A.S Vietnam Certification Ltd.
AN NINH THÔNG TIN
Kiểm soát rủi ro và cách thức xử lý rủi ro đối với tài sản thông tin
3. Kiểm soát các rủi ro liên
quan đến môi trường vật lý
lưu trữ dữ liệu
- PC, Laptop Îtrách nhiệm với tài
sản, quyền truy cập, …
1. Nhận
biết và
Kiểm soát
tài sản dữ
liệu bản
mềm
2. Kiểm
soát các
biên liên
quan đến
dữ liệu
- Host Î vị trí phòng và điều kiện
phòng Host, kiểm soát ra vào,
camera quan sát, login, hồ sơ tình
trạng hoạt động, phương án đối phó
với tình huống khẩn cấp (mất điện,
hacker…)
3. Kiểm
soát các
rủi ro đên
môi
trường vật
lý lưu trữ
6. Quản lý
hoạt động
và truyền
thông
Dữ liệu
Bản mềm
- Khu vực các máy tính Î sơ đồ bố
trí khu vực đặt máy, các vành đai an
ninh bảo vệ
Sẵn sàng
5. Kiểm
soát rủi ro
liên quan
đến con
người
4. Kiểm
soát rủi ro
liên quan
đến các
-Thiên tai, hỏa hoạn, lũ lụt Î báo
cáo của các cơ quan chức năng,
phương án đối phó với tình huống
khẩn cấp..
phần mềm
- ---
11
D.A.S Vietnam Certification Ltd.
AN NINH THÔNG TIN
Kiểm soát rủi ro và cách thức xử lý rủi ro đối với tài sản thông tin
4. Kiểm soát rủi ro liên quan
đến các phần mềm
1. Nhận
biết và
Kiểm soát
tài sản dữ
liệu bản
mềm
2. Kiểm
soát các
biên liên
quan đến
- chương trình phần mềm ứng dụng
Î có bản quyền,
dữ liệu
- Network Î xây dựng các vành đai
an ninh (firewall, giới hạn truy cập
các trang web có rủi ro cao, các
biện pháp kỹ thuật khác…
3. Kiểm
soát môi
trường vật
lý lưu trữ
dữ liệu
6. Quản lý
hoạt động
và truyền
thông
Dữ liệu
Bản mềm
Sẵn sàng
5. Kiểm
soát rủi ro
liên quan
đến con
người
4. Kiểm
soát rủi ro
liên quan
đến các
phần mềm
12
D.A.S Vietnam Certification Ltd.
AN NINH THÔNG TIN
Kiểm soát rủi ro và cách thức xử lý rủi ro đối với tài sản thông tin
5. Kiểm soát rủi ro liên quan
đến con người
1. Nhận
biết và
Kiểm soát
tài sản dữ
liệu bản
mềm
2. Kiểm
soát các
biên liên
quan đến
Tiếp cận dữ liệu, phần mềm ứng
dụng Î phân quyền truy cập, quyền
phê duyệt, chỉnh sửa, sao chép dữ
liệu.... Xác định những cá nhân có
mức độ rủi ro cao đưa ra các biện
pháp kiểm soát
dữ liệu
3. Kiểm
soát môi
trường vật
lý lưu trữ
dữ liệu
6. Quản lý
hoạt động
và truyền
thông
- nhận thức về bảo mật thông tin Î
đào tạo, giáo dục nhận thức về
chính sách bảo mật và các nguyên
tắc bảo mật, nhận biết những rủi ro
Dữ liệu
Bản mềm
Sẵn sàng
- tuân thủ các nguyên tắc bảo mật
Î hợp đồng và cam kết bảo mật
thông tin đối với các cá nhân (đặc
biệt đối với cá nhân có mức độ rủi
ro , định kỳ và đột xuất kiểm tra việc
tuân thủ các nguyên tắc bảo mật…
5. Kiểm
soát rủi ro
liên quan
đến con
người
4. Kiểm
soát rủi ro
liên quan
đến các
phần mềm
----
13
D.A.S Vietnam Certification Ltd.
AN NINH THÔNG TIN
Đo lường mức độ rủi ro và cách thức xử lý rủi ro đối với tài sản TT
PLAN
Tổ
chức
Tổ
chức
Xây dựng các mục tiêu
kiểm soát an ninh TT
Khách
hàng
Khách
hàng
• Mức độ bảo mật giá trị tài sản thông tin
nhằm giảm rủi ro trong phạm vi áp dụng
và SOA
Nhà
cung
cấp
Nhà
cung
cấp
ACT
DO
Duy trì và cải tiến an ninh
Thực hiện các biện pháp
Các
bên
quan
tâm
Các
bên
quan
tâm
thông tin
• Các quyết sách cải tiến để giảm thiểu rủi
ro
Thông
kiểm soát an ninh TT
• Xác định mức độ đe dọa/ rủi ro tới tài sản
(rất cao, cao, trung bình, thấp..).
tin
Sẵn sàng
• Mục tiêu an ninh
• Điểm yếu dễ bị tấn công
•Hệ thống tài liệu (thủ tục, quy đinh..), hồ sơ
• Hạ tầng kỹ thuật (camera quan sát, server,
cáp, máy móc… )
• Thực hiện kiểm soát an ninh dữ liệu, kiểm
soát rủi ro theo mục tiêu và kế hoạch xử lý
rủi ro đã đặt ra
• Con người
Các yêu
cầu và
mong
đợi về
ISMS
An
ninh
thông
tin
được
quản ly
CHECK
Giám sát và xem xét kiểm
soát an ninh thông tin
• Báo cáo đánh giá rủi ro
•Đánh giá và đo lường cádc biện pháp kiểm
soát rủi ro
• Nhận biết và chấp nhận những rủi ro còn
sót lại.
14
D.A.S Vietnam Certification Ltd.
AN NINH NGUỒN NHÂN LỰC
Mục tiêu kiểm soát: nguồn nhân lực trong nội bộ tổ chức, nhà thầu
và bên thứ ba nhận thức và thực hiện ISMS
Trước tuyển dụng
Tài sản
của
Tổ chức
Sẵn sàng
Trong thời gian
làm việc
Nghỉ việc hoặc
chuyển vị trí
15
D.A.S Vietnam Certification Ltd.
AN NINH VẬT LÝ VÀ MÔI TRƯỜNG
Kiểm soát sự xâm nhập trái phép, mất hoặc làm gián đoạn các hoạt
động của Tổ chức
AN NINH VẬT LÝ VÀ
MÔI TRƯỜNG
An ninh các
An ninh thiết bị
khu vực
•Vị trí thiết bị và bảo vệ
• Các phương tiện hỗ trợ
• An toàn dây cáp
• Bảo dưỡng thiết bị
• An toàn các thiết bị đặt bên
ngoài
• An toàn trong loại bỏ và tái
sử dụng thiết bị
• Di chuyển tài sản
• Vành đai an toàn vật lý
• Kiểm soát xâm nhập vật lý
• An toàn các phòng ban,
phương tiện,
• Phòng chống những đe dọa
từ môi trường và môi trường
bên ngoài
• An ninh khu vực làm việc
• Các khu vực truy cập công
cộng…
16
D.A.S Vietnam Certification Ltd.
QUẢN LÝ RỦI RO – vấn đề trọng tâm khi tiếp cận ISMS
Đảm bảo tính kinh doanh liên tục và tuân thủ chế định và pháp định
Mục tiêu kiểm soát rủi ro – Phương pháp đánh giá rủi ro
Nhận biết các mức độ bảo mật, giá trị của tất cả các tài sản
Những
điểm yếu
Rủi ro về sở
hữu tài sản
Các
hành
động
cải
Kiếm
soát
xử lý
rủi ro
tiến
giảm
rủi ro
Mất độ tin
cậy,
tính toàn
vẹn,
tính sẵn
sàng
Các mối đe
dọa
Tiêu chí chấp nhận rủi ro
Đo lường, đánh giá tính hiệu lực của các phương pháp kiểm soát
Nhận biết những rủi ro còn sót lại
17
D.A.S Vietnam Certification Ltd.
Trình tự thiết lập
1. Cam kết xây dựng Hệ thống ISMS
2. Xác định phạm vi, ranh giới ISMS
3. Xây dựng chính sách ISMS
4. Xác định tài sản và giá trị tài sản
5. Xác định các yêu cầu của luật định,
chế định và yêu cầu của khách hàng
6. Nhận biết rủi ro, phân tích – lượng
hóa rủi ro, đánh giá rủi ro và lựa chọn
các phương án xử lý rủi ro.
HTQL ANTT phù
hợp yêu cầu tiêu
chuẩn
7. Xác định các mục tiêu kiểm soát và
phương pháp kiểm soát
ISO/IEC27001:2005
8. Thiết lập hệ thống tài liệu theo yêu
cầu ISO/IEC 27001:2005
9. Công bố áp dụng – SOA
10. Thực hiện, vận hành, giám sát, xem
xét, duy trì và cải tiến an ninh thông
tin
18
D.A.S Vietnam Certification Ltd.
Giấy chứng nhận ISO/IEC 27001:2005 giá trị toàn cầu
19
D.A.S Vietnam Certification Ltd.
Những vấn đề cần quan tâm khi xây
dựng HTQLANTT
CSO/ ISMR là Lãnh đạo cao nhất nhận thức yêu cầu ISO/IEC
27001:2005
CSO/ ISMR
Nhân sự của Tổ chức và các bên liên quan phải nhận thức và tuân thủ.
Con người
Lưu trữ tài sản thông tin: Lưu giữ bản cứng (phòng, tủ, khóa..) Lưu trữ bản
mềm: Server, hệ thống backup dữ liệu nội bộ, từ xa, ổ dữ liệu, máy hủy tài
liệu…
Truy cập, xử lý và truyền tải thông tin: phần mềm ứng dụng có bản quyền,
thiết kế và xây dựng, áp dụng hệ thống an ninh mạng, đường cáp chống
nhiễu…
Thiết bị
đồng bộ
Thiết bị kiểm soát xâm nhập vật lý: Hệ thống camera quan sát, kiểm soát
thẻ từ, vân tay, UPS, máy phát điện, hệ thống phòng chống cháy nổ….
Các thiết bị theo yêu cầu của ngành, khách hàng và luật pháp.
Hệ thống
tài liệu, hồ sơ
Các quy định, thủ tục/ quy trình, hướng dẫn…và hồ sơ đáp ứng yêu cầu của
Tổ chức, các bên quan tâm, luật pháp và tiêu chuẩn ISO/IEC27001:2005
20
D.A.S Vietnam Certification Ltd.
Tải về để xem bản đầy đủ
21 trang
22820
Free
Bạn đang xem 20 trang mẫu của tài liệu "Báo cáo ANTT dưới góc độ quản lý hệ thống phù hợp tiêu chuẩn ISO/IEC 27001:2005", để tải tài liệu gốc về máy hãy click vào nút Download ở trên
File đính kèm:
- bao_cao_antt_duoi_goc_do_quan_ly_he_thong_phu_hop_tieu_chuan.pdf
