TCVN27008:2018

Tiêu chuẩn quốc gia TCVN 27008:2018 (ISO TR 27008:2011) về Công nghệ thông tin - Các kỹ thuật an toàn - Hướng dẫn chuyên gia đánh giá về kiểm soát an toàn thông tin TIÊU CHUẨN QUỐC GIA TCVN 27008:2018 ISO/IEC TR 27008:2011 CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - HƯỚNG DẪN CHUYÊN GIA ĐÁNH GIÁ VỀ KIỂM SOÁT AN TOÀN THÔNG TIN Information technology - Security techniques - Guidelines for auditors on information security controls Lời nó i đầ u TCVN 27008:2018 hoàn toàn tương đương với ISO/IEC TR 27008:2011. TCVN 27008:2018 do Học viện Công nghệ Bưu chính viễn thông biên soạn, Bộ Thông tin và Truyền thông đề nghị, Tổng cục Tiêu chuẩn Đo lường Chất lượng th ẩ m định, Bộ Khoa học và Công nghệ công bố. Lời giới thiệu Tiêu chuẩn này hỗ trợ quy trình quản lý rủi ro hệ thống quản lý an toàn thông tin (ISMS) được xác đ ị nh trong phạm vi các tiêu chuẩn TCVN ISO/IEC 27001:2009, TCVN 10295:2014 và các biện pháp ki ể m soát trong TCVN IS O /IEC 27002:2011. Tiêu chuẩn này cung cấp hướng dẫn để soát xét các biện pháp kiểm soát an toàn thông tin cho một tổ chức ví dụ trong tổ chức, quy trình nghiệp vụ và môi trường hệ thống, bao gồm cả kiểm thử việc tuân thủ kỹ thuật. Tham khảo thêm tiêu chuẩn ISO/IEC 27007 đưa ra các chỉ dẫn để đ á nh giá các thành phần hệ thống quản l ý và TCVN ISO/IEC 27006:2017 về soát xét tuân thủ ISMS cho mục đích chứng nhận. CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - HƯỚNG DẪN CHUYÊN GIA ĐÁNH GIÁ V Ề KIỂM SOÁT AN TOÀN THÔNG TIN Information technology - Security techniques - Guidelines for auditors on information security controls 1 Phạm vi áp dụng Tiêu chuẩn này cung c ấ p hướng dẫn soát xét việc triển khai và vận hành các biện pháp kiểm soát, bao gồm ki ể m tr a sự tuân thủ kỹ thuật theo các biện pháp kiểm soát của các hệ thống thông tin theo các tiêu chuẩn an toàn thông tin đã được tổ chức thiết lập. Tiêu chuẩn này c ó thể áp dụng cho tất cả các loại hình và quy mô của tổ chức k ể cả các cơ quan nhà nước, doanh nghiệp và các tổ chức phi lợi nhuận có thể tiến hành các soát xét biện pháp kiểm soát an toàn thông tin và kiểm tr a sự tuân thủ kỹ thuật. Tiêu chuẩn này không phải là tiêu chuẩn sử dụng đ ể đánh g i á các hệ thống quản lý. 2 Tài liệu viện dẫn Tài liệu viện dẫn dưới đây r ấ t cần thiết cho việc áp dụng tiêu chu ẩ n n à y. Đối với các tài liệu ghi năm công bố thì áp dụng bản được n ê u. Đối với các tà i liệu không ghi năm công bố thì áp dụng b ả n mới nh ấ t, bao gồm cả các sửa đổi. ISO/IEC 27000, Công nghệ thông tin - Các kỹ thuật an to àn - Hệ thống quản lý an toàn thông tin - T ổ ng quan và từ v ựng. 3 Thuật ngữ và định nghĩa Tiêu chuẩn này sử dụng các thuật ngữ, định nghĩa đư ợ c đ ưa ra trong TCVN 11238:2015 và một số thuật ngữ, định nghĩa dưới đây: 3.1 Đối tượng soát xét (review object) Hạng mục cụ thể được soát xét. 3.2 Mục tiêu soát xét (review objective) Tuyên bố mô tả kết qu ả cần đạt được sau s o át xét. 3.3 Tiêu chuẩn thực thi an toàn (security implementation standard) Tài liệu quy định các cách thức được phép để thực hiện an toàn. 3.4 Hệ thống quản lý an to à n thông tin (ISMS: Information Security Management Systems) Hệ thống bao gồm các chính sách, thủ tục, hướng d ẫ n và các nguồn lực và c á c hoạt động liên quan, đư ợ c quản lý chung b ở i một tổ chức, trong việc theo đuổi bảo vệ tà i sản thông tin của mình 4 Cấu trúc tiêu chuẩn Tiêu chuẩn này mô tả về quy trình soát xét biện pháp k iể m soát an toàn thông tin bao gồm cả việc kiểm tra sự tuân th ủ kỹ thuật. Thông tin nền tảng được cung cấp tại Điều 5. Điều 6 cung cấp tổng quan về soát xét c á c biện pháp kiểm soát an toàn thông tin. Điều 7 tr ì nh bày các phương pháp soát xét và Đi ề u 8 nêu các hoạt động. Phụ lục A sẽ hỗ trợ kiểm tra sự tuân th ủ kỹ thuật và Phụ lục B tập trung vào việc thu thập thông tin ban đầu. 5 Nền tảng Các biện pháp kiểm soát an toàn thông tin của mỗi tổ chức cần đư ợ c lựa chọn dựa tr ên kết quả đánh giá rủi ro như là một phần của một quy trình quản lý rủi ro an toàn thông tin để giảm thi ể u rủi ro đến một mức chấp nhận được. Tuy nhiên, các tổ chức quyết định không triển khai ISMS có thể chọn c á c cách thức khác để chọn lựa, triển khai v à duy tr ì các biện pháp kiểm soát an toàn thông tin. Các thành phần điển hình của các biện pháp kiểm soát an toàn thông tin của tổ ch ứ c được thực hiện bằng việc triển khai các biện pháp kiểm soát an toàn thông tin kỹ thuật, v í dụ kh i tài sản thông tin bao gồm cả các hệ thống thông tin. Các biện pháp kiểm so á t an toàn kỹ thuật của một t ổ ch ứ c cần phải được xác định, lập tài liệu, triển khai và duy trì theo các t iêu chuẩn kỹ thuật an toàn thông tin. Theo thời gian, các yếu tố nội bộ chẳng hạn như sự sửa đổ i các hệ thống th ô ng tin, các cấu hình chức năng bảo mật và những thay đổi của các hệ thống thông tin lân cận và c á c yếu t ố bên ngoài như sự tiến bộ của các kỹ thuật tấn công có thể ảnh hưởng tiêu cực đến hiệu lực của các biện pháp kiểm soát an toàn thông tin và cuối cùng là đến các tiêu chuẩn an toàn thông tin của tổ chức. Các t ổ chức cần phải có một chương trình nghiêm ngặt cho biện pháp kiểm soát thay đổi an toàn thông tin. Các tổ chức cần thường xuyên soát xét xem liệu các tiêu chuẩn thực thi an toàn có được triển khai v à được vận hành phù hợp. Việc kiểm tra sự tuân thủ kỹ thuật được nêu trong tiêu chu ẩ n TCVN ISO/IEC 27002:2011 là một trong những biện pháp kiểm s o át và được thực hiện một cách th ủ công và/hoặc bằng soát xét kỹ thuật với sự hỗ trợ của các công cụ tự động. Việc này c ó th ể được thực hiện bởi một người có vai trò không liên quan đến việc thi hành biện pháp kiểm soát, ví dụ: b ở i chủ sở hữu hệ thống h o ặc nhân viên phụ tr ách kiểm soát cụ th ể hoặc bởi c á c chuyên gia an toàn thông tin nội bộ hay bên ngoài bao gồm cả chuyên gia đánh giá công nghệ thông tin. Kết quả soát xét việc kiểm tra sự tuân thủ kỹ thuật sẽ đánh giá mức độ tuân th ủ kỹ thuật thực tế th e o các tiêu chuẩn thực thi an toàn thông tin của tổ chức. Chứng cứ này cung cấp sự đảm b ả o khi t ì nh trạng của các kiểm soát kỹ thuật phù hợp với các tiêu chuẩn an toàn thông tin, hay nói cách khác là cơ sở đ ể cải tiến. Các báo cáo đánh giá cần được thiết lập rõ ràng ngay từ đầu khi soát xét và tính to à n vẹn của quy tr ì nh báo cáo cần được đảm bảo. Các bước cần được thực hiện đ ể đ ả m bảo rằng: • các bên có trách nhiệm liên quan nhận trực tiếp từ các chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin một bản sa o báo cáo; • các bên không phù hợp hoặc không có thẩm quyền không nhận được bản sao báo cáo từ các chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin; • Chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin được phép thực hiện công việc của họ mà không bị cản trở. Các soát xét kiểm soát a n toàn thông tin và cụ thể l à việc kiểm tra sự tuân thủ kỹ thuật có thể giúp tổ chức để: • xác định và hi ể u được mức độ của các vấn đề tiềm ẩ n hay thiếu hụt trong việc tri ể n khai và vận hành các biện pháp kiểm soát an toàn thông tin, các tiêu chuẩn an toàn thông tin và các biện pháp kiểm soát kỹ thuật an toàn thông tin của tổ chức; • xác định và hiểu các tác động tiềm ẩ n cho tổ chức b ở i các điểm yếu và mối đe dọa an toà n thông tin đã b ị xem nhẹ một cách không phù hợp; • phân mức ưu tiên các hoạt động giảm nhẹ r ủ i ro an toàn thông tin; • xác nhận rằng những điểm yếu hoặc thiếu sót về an toàn thông tin đã được xác định trước đ ó hoặc mới xuất hiện đã được giải quyết thỏa đáng; • hỗ trợ các quyết định ngân sách trong quy trình đầu tư và các quyết định quản lý khác liên quan đến tăng cường quản lý an toàn thông tin của t ổ chức. Tiêu chuẩn này tập trung vào việc soát xét các biện pháp kiểm soát an toàn thông tin, bao gồm c ả kiểm tra sự tuân thủ kỹ thuật theo tiêu chuẩn thực hiện an toàn thông tin đã được thiết lập b ởi tổ chức. Tiêu chuẩn này không có ý định cung cấp bất kỳ hướng dẫn cụ thể về kiểm tra tuân thủ liên quan đến đo lường, đánh giá rủi ro hoặc đánh giá ISMS tương ứng theo quy định tại tiêu chu ẩ n TCVN 10542:2014 (ISO/IEC 27004), TCVN 10295:2014 hoặc ISO/IEC 27007. Việc sử dụng tiêu chuẩn này như một điểm khởi đầu trong quy trình xác định các th ủ tục soát xét các biện pháp kiểm soát an toàn thông tin sẽ thúc đẩy một mức độ nhất quán hơn về an toàn thông tin trong tổ chức. Điều này cung cấp sự linh hoạt cần thiết đ ể tùy chỉnh việc soát xét dựa trên c á c nhiệm vụ và mục tiêu nghiệp vụ, các chính sách và yêu cầu tổ chức, thông tin đã biết về các mối đe dọa v à điểm yếu, các cân nhắc hoạt động, sự phụ thuộc vào nền tảng và hệ thống thông tin và mức rủi ro mong muốn. CH Ú TH Í CH: TCVN 9788:2013 định nghĩ a “ m ứ c rủi ro mong muốn ” là lượng và loại rủi ro mà tổ chức mong muốn theo đu ổ i hoặc duy trì. 6 Tổng quan về soát xét các biện pháp kiểm soát an toàn thông tin 6.1 Quy trình soát xét Khi bắt đầu việc soát xét an toàn liên quan đến thông tin cá nhân, chu y ên gia đánh giá liên quan tới soát xét này và các chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin thường bắt đầ u bằng việc thu thập thông tin sơ bộ, soát xét phạm vi công việc theo kế hoạch, phối hợp v ớ i các nhà quản lý và các đầu mối phù hợp khác trong các bộ phận thích hợp của t ổ chức và khai tri ể n việc đánh giá rủi ro soát xét để phát tri ể n các tài liệu soát xét hướng dẫn công việc soát xét trên thực tế. Để soát xét có hiệu quả, các chuyên gia đ á nh giá so á t xét biện pháp kiểm soát an toàn thông tin được chỉ định cần phải được chuẩn bị tốt; cả về các biện pháp kiểm soát cũng như việc kiểm thử (ví dụ như việc vận hành các công cụ thích hợp, mục tiêu kỹ thuật của kiểm thử), ở cấp độ này, các thành phần của công tác đánh giá cũng có thể được phân cấp ưu tiên tùy theo các rủi ro được nhận thức nhưng ch ú ng cũng c ó thể được lên kế hoạch theo một quy tr ì nh hoặc hệ thống nghiệp vụ cụ thể hoặc đơn giản là được thiết kế để xử lý tất cả các khu vực thuộc phạm vi soát xét theo trình tự. Thông tin sơ bộ có thể đến từ nhiều nguồn khác nhau: • sách, t ì m ki ế m trên Internet, sổ tay kỹ thuật, tiêu chuẩn và các nghiên cứu khái quát chung khác đối với các nguy cơ phổ biến và các biện pháp kiểm soát về lĩnh vực này, các hội nghị, hội thảo, thảo luận, diễn đàn; • các kết qu ả của các soát xét, kiểm thử và đánh giá trước đó, dù ch ỉ một phần hoặc hoàn toàn đồng nhất với phạm vi đ á nh giá hiện tại và cho dù có hoặc không được tiến hành bởi c ác chuyên gia đánh giá soát xét biện pháp kiểm s o át an toàn thông tin (ví dụ như các kiểm thử an toàn trước kia được thực hiện bởi các chuyên gia an toàn thông tin cũng có thể cung c ấ p nhiều kiến thức về sự an toàn của các hệ thống ứng dụng c h í nh); • th ô ng tin về các sự cố an toàn thông tin liên quan, các t ì nh huống cận nguy, các vấn đề và những thay đổi về hỗ trợ, được thu thập từ các quy trình trợ giúp công nghệ thông tin (CNTT), quản l ý thay đổi CNTT, quản lý sự cố CNTT và các nguồn tương tự; • danh sách soát xét chung và các bài viết của chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin hoặc các chuyên gia an toàn thông tin có chuyên môn trong lĩnh vực này. C ó thể thích hợp nếu soát xét lại phạm vi soát xét đã được lập kế hoạch th e o thông tin sơ bộ, đặc biệt là nếu kế hoạch soát xét theo phạm vi ban đầu đã được chuẩn bị trong nhiều tháng trước. V í dụ: các cuộc s o át xét khác có thể đã không bao trùm các mối quan tâm mà đáng lẽ phải được điều tra chuyên sâu hoặc ngược lại có th ể đã làm tăng sự đảm bảo ở một số khu vực, cho phép các c ô ng v iệc hiện tại tập trung đến những nơi khác. Phối hợp với các nhà quản lý và các đầu mối soát xét ở giai đoạn đầu này là một hoạt động quan trọng. Khi kết thúc quy trình soát xét, những người này sẽ cần phải hiểu được những kết qu ả t ì m đ ư ợc để có những phản hồi tích cực vào b á o cáo đánh giá. Sự đồng cảm, tôn trọng lẫn nhau và việc có những nỗ lực để giải thích quy trình soát xét cải thiện đáng kể chất lượng và tác động tới kết quả. Trong khi các cá nh â n khác nhau có những cách thức khác nhau để lập tài liệu về công việc của họ th ì nhiều chức năng soát xét lạ i sử dụng các quy trình soát xét chuẩn được hỗ trợ bởi các mẫu văn bản cho giấy tờ l à m việc, như danh sách soát xét, câu hỏi kiểm soát nội bộ, lịch trình kiểm thử, ma trận kiểm soát rủi ro v.v.. Danh sách soát xét (hoặc tương tự) là một tài liệu quan trọng vì nhiều lý do: • Đưa ra các kh u vực được lập kế hoạch cho công việc soát xét, có th ể với mức chi tiết cho mỗi kiểm thử soát xét và các phát hiện mong đợi/ý tư ở ng: • Cung cấp cấu trúc cho công việc, giúp đảm bảo rằng phạm vi kế hoạch được đề cập đầy đủ; • Phân tích c ầ n thiết đ ể tạo ra danh sách kiểm tra trước hết sẽ chuẩn bị cho các chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin về soát xét trên hiện trường sau đó, công việc hoàn thiện danh sách kiểm tra theo quy trình soát xét sẽ bắt đầu quy trình phân tích mà t ừ đó báo cáo soát xét sẽ được đưa ra; • Tài liệu sẽ cung cấp khung đ ể ghi lại các kết quả soát xét ngoài hiện trường và soát xét tr ê n hiện trường, v í dụ: nơi đ ể hỏi v à nhận xét về chứng cứ soát xét thu thập được; • Việc soát xét biện pháp kiểm soát an toàn thông tin có thể được thực hiện bởi nhà quản lý hoặc chuyên gia đánh giá khá, đây là một phần của quy trình đảm bảo chất lượng soát xét; • Một khi đã hoàn thiện đầy đủ, n ó (cùng với các chứng cứ soát xét) sẽ cấu thành một hồ sơ lịch s ử khá chi tiết về công việc soát xét, như đã được thực hiện và các phát hiện vừa t ì m đư ợ c có th ể được yêu cầu để chứng minh hoặc hỗ trợ các báo cáo soát xét, thông báo cho ban quản lý và /hoặc hỗ trợ các cuộc soát xét được kế hoạch trong tương lai. Các chuyên gia đánh giá an toàn thông tin c ẩ n thận trọng trong việc sử dụng bản danh sách kiểm tra soát xét chung được viết b ở i người khác, bên cạnh việc có th ể tiết kiệm thời gian thì điều này có thể sẽ làm mất đi một số các lợi ích đã nói ở trên. Điều này ít khi là vấn đề vớ i các soát xét tuân thủ hoặc chứng nhận đơn giản do các yêu cầu phải được đáp ứng nhìn chung thường khá rõ ràng. Phần chủ yếu của soát xét trên hiện trường bao gồm một loạt các kiểm thử được tiến hành bởi các chuyên gia đánh giá hoặc theo yêu cầu của chuyên gia đánh giá, để thu th ậ p chứng cứ soát xét và để soát xét chúng, thường là bằng việc so sánh với các kết qu ả dự kiến hoặc dự đoán tự thu được từ các nghĩa vụ tuân thủ liên quan, các tiêu chuẩn hoặc một đánh g i á tổng quan hơn về các thực hành tốt. Ví dụ: về phương pháp kiểm thử để đánh giá an toàn thông tin về kiểm soát c á c phần mềm độc hại có thể kiểm tra xem tất cả các nền tảng ứng dụng trên máy tính đã có phần mềm phòng chống virus phù hợp hay không. Các kiểm thử soát xét như vậy thường sử dụng kỹ thuật lấy mẫu vì có rất ít nguồn lực soát xét phù hợp đ ể kiểm thử một cách thấu đáo. Các thực hành lấy mẫu khác nhau giữa các chuyên gia đánh giá và các t ì nh huống có th ể bao gồm các lựa chọn ngẫu nhiên, lựa chọn phân tầng và các kỹ thuật lấy mẫu thống kê phức tạp khác (ví dụ, lấy mẫu b ổ sung nếu kết quả ban đầu không đạt yêu cầu, đ ể chứng minh mức độ của một điểm yếu trong b i ện pháp kiểm soát). Theo nguyên tắc chung, việc kiểm thử đầy đủ hơn là có th ể thực hiện được nếu chứng c ứ c ó th ể được thu thập và kiểm tra bằng phương tiện điện tử, ví dụ như sử dụng các truy vấn SQL đối với một cơ sở dữ liệu th ì chứng cứ soát xét được thu thập từ các hệ thống hoặc cơ sở dữ liệu quản lý tài sản. Phương pháp lấy mẫ u đánh giá phải được hướng dẫn, í t nhất là một phần, bởi những rủi ro gắn liền với khu vực hoạt động được đánh giá. Chứng cứ thu thập được trong quá trình soát xét cần được lưu ý, nhắc đến hoặc kiểm kê trong các giấy tờ làm việc soát xét. Cùng với các phân tích, phát hiện, đề xuất và báo cáo so át xét, chứng cứ soát xét cần phải được bảo vệ hợp lý bởi các chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin, đặc biệt là với các chứng cứ c ó độ nhạy cảm cao/ hoặc có giá trị. Dữ liệu được trích xuất từ cơ sở dữ liệu cung cấp cho mục đ í ch soát xét, v í dụ, cần được bảo đảm an toàn với cùng mức như các cơ s ở dữ liệu đ ó khi sử dụng các biện pháp kiểm soát truy cập, mã hóa.v.v.. Các công cụ soát xét tự động, các truy vấn, các chương tr ì nh tiện ích/trích xuất dữ liệu, v.v.. cần được kiểm soát chặt chẽ. Tương tự như vậy, các bản in được thực hiện hoặc cung cấp cho chuyên gia đ á nh giá soát x é t biện pháp kiểm so á t an toàn thông tin quản lý nói chung cần được b ả o vệ vật lý bằng khóa và chìa khóa để ngăn chặn việc tiết lộ hoặc sửa đổi trái phép. Trong trường hợp v ớ i các cuộc soát xét nhạy cảm, các rủi ro và do đó cả các biện pháp kiểm soát an toàn thông tin cần phải được xác định và chuẩn bị ngay ở giai đoạn đầu của soát xét. Sau khi hoàn tất danh sách kiểm tra soát xét, tiến hành một loạt các kiểm thử soát xét và thu thập đầy đ ủ chứng cứ soát xét, chuyên gia đánh giá soát xét biện pháp ki ể m soát an t o àn thông tin nên kiểm tra chứng cứ, xác định mức độ mà các rủi ro an toàn thông tin đã được xử lý và soát xét các tác động tiềm ẩn của mọi rủi ro tồn đọng, ở giai đoạn này, một báo cáo soát xét theo mẫu nào đó sẽ thường được soạn thảo, chất lượng được soát xét trong chức năng soát xét và được thảo luận với quản lý, đặc biệt là quản lý của các đơn vị nghiệp vụ, các phòng chức n ă ng hoặc các nhóm được soát xét trực tiếp nhất và c ó th ể c ả các bộ phận liên quan khác của tổ chức. Những người quản lý cuộc đánh giá cần bình tĩnh soát xét chứng cứ để kiểm tra xem: • c ó đủ chứng cứ soát xét đ ể cung cấp một cơ s ở thực tế hỗ trợ tất cả các phát hiện soát xét; • tất cả những phát hiện và kiến nghị đều có liên quan đến phạm vi soát xét và các vấn đề không cần thiết đều đã được loại trừ; Nếu công việc soát xét bổ sung được lên kế hoạch cho các phát hiện th ì điều nà y cần được đánh dấu trong báo cáo. Cũng nh ư với việc lên kế hoạch soát xét, quy tr ì nh phân t í ch về cơ bản là dựa trên r ủ i ro mặc dù đã được cung cấp tốt h ơ n bởi chứng cứ thu thập được trong soát xét trên hiện trường. Trong khi việc soát xét tuân thủ đơn giản có thể thường tạ o ra một loạt các kết quả qua/không qua tương đối đơn gi ả n kèm các kiến nghị hiển nhiên th ì các soát xét an toàn thông tin thường tạo ra các vấn đề đòi hỏi có sự suy nghĩ và thảo luận của ban quản lý trước khi quyết định xem những hành động nào là phù hợp. Trong một số trường hợp, ban quản lý có th ể bầu chọn để chấp nhận các rủ i ro nhất định đã được xác định bởi các soát xét an toàn thông tin và họ có thể quyết định không cam kết các khuyến nghị soát xét chính xác như đã được tuyên bố: đây là quyền của ban quản lý nhưng họ còn c ó trách nhiệm giải tr ì nh cho các quyết định của họ. Về vấn đề này, các chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin sẽ thực hiện một vai trò tư vấn, chứ không thực thi, mặc dù họ có ảnh hư ở ng lớn và đượ c hậu thuẫn bởi các thực hành soát xét vững chắc và chứng cứ thực tế. Các chuyên g i a đánh giá soát xét biện pháp kiểm soát an toàn thông tin cần cung cấp cho t ổ chức chủ đề soát xét với sự đảm bảo hợp lý rằng các hoạt động an toàn thông tin (không phải tất cả sẽ triển khai một hệ thống quản lý) đạt được các mục tiêu đề ra. Mỗi soát xét cần cung cấp một công bố về sự khác biệt giữa thực tế và tham chiếu. Khi tham chiếu là một chính sách nội bộ, chính sách này cần đủ rõ ràng đủ để được là một tà i liệu tham khảo. Các tiêu chí được liệt kê trong Phụ lục B c ó thể được xem là đ ể đảm bảo điều này. Chuyên gia đánh g i á soát xét biện pháp kiểm soát an toàn thông tin sau đó cần soát xét các chính sách và thủ tục nội bộ trong phạm vi soát xét. Việc thiếu tiêu chí liên quan vẫn có thể được áp dụng không chính thức trong tổ chức. Sự thiếu tiêu chí được xác định là quan trọng có th ể là nguyên nhân của sự không phù hợp tiềm ẩn. 6.2 Nguồn lực Cuộc soát xét biện pháp kiểm soát an toàn thông tin đòi hỏi các kỹ năng phân tích đối tượng và kỹ năng báo cáo chuyên nghiệp. Nếu liên quan đến việc kiểm tra sự tuân thủ kỹ thuật thì sẽ yêu cầu các kỹ năng chuyên môn bổ trợ bao gồm kiến thức kỹ thuật chi tiết về cách thức các ch í nh sách bảo mật đã được triển khai trong phần mềm, phần cứng, trên các liên kết thông tin liên lạc và trong các quy tr ì nh kỹ thuật liên quan. Chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin cần phải có: • nhận thức đúng về c á c rủi ro của hệ thống thông tin và các kiến trúc an toàn, dựa trên sự hiểu biết về các khung, khái niệm nền tảng hệ thống thông tin; • kiến thức về các thực hành an toàn thông tin tốt, ví dụ các biện pháp kiểm soát an toàn thông tin được phát tri ể n bởi TCVN ISO/IEC 27002:2011 và các tiêu chuẩn an toàn khác; • khả năng kiểm tra thường xuyên thông tin kỹ thuật phức tạp ở mức độ đủ sâu để xác định bất kỳ những rủi ro lớn và cơ hội cải tiến; • nhận thức đúng về những hạn chế thực tế của c ả các soát xét an toàn thông tin và công nghệ thông tin. Khuyến nghị rằng bất cứ ai được giao nhiệm vụ tiến hành soát xét các biện pháp kiểm soát an toàn thông tin, những người không có kinh nghiệm về đánh giá trước đây nên chính thức làm quen với các nguyên tắc cơ bản về đánh giá chuyên nghiệp: đạo đức, tính độc lập, tính khách quan, bảo mật thông tin, trách nhiệm, sự thận trọng, quyền truy cập hồ sơ, các chức năng, tài sản, nhân sự, thông tin với nhiệm vụ trong việc xử lý hậu quả và bảo vệ kết quả thu được, các thành phần của các phát hiện và kiến ngh ị và quy trình tiếp theo. Để đạt được mục tiêu soát xét, một nhóm soát xét có thể được thiết lập bao gồm các chuyên gia đánh gi á soát xét biện pháp kiểm soát an toàn thông tin v ớ i các năng lực chuyên môn liên quan khác nhau. Trong trường h ợ p ngay lập tức không c ó chuyên gia đánh giá có kỹ năng hay năng lực như vậy, những rủi ro và lợi ích trong việc thuê các chuyên gia lĩnh vực liên quan cần được soát xét, theo hình thức nội bộ hoặc bên ngoài, các nguồn lực để thực hiện việc soát xét trong phạm vi yêu cầu. Chuyên gia đánh giá soát xét kiểm soát an toàn thông tin cũng cần xác minh rằng tổ chức và nhân viên c ó trách nhiệm về an toàn thông tin đã có mặt, có đầy đủ hiểu biết về an toàn th ô ng tin và các nhiệm vụ cụ thể của họ và họ có đủ nguồn lực cần thiết đề sử dụng. Như một phần của chương trình chống gian lận của tổ chức, chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin có thể cần phải phối hợp chặt chẽ v ớ i chuyên viên kiểm toán tài chính tại mỗi giai đoạ n của việc lên kế hoạch đánh giá, tiến hành đánh giá và soát xét đánh giá. 7 Phương pháp soát xét 7.1 Tổng quan Khái niệm cơ bản của việc soát xét các biện pháp kiểm soát thường bao gồm các thủ tục soát xét, việc lập báo cáo soát xét v à thực hiện soát xét. Các định dạng và nội dung của thủ tục soát xét bao gồm các mục tiêu soát xét và phương pháp soát xét. Chuyên gia đánh giá soát xét kiểm soát an toàn thông tin có th ể sử dụng ba phương pháp soát xét trong quá trình soát xét kiểm soát an toàn thông tin gồm: • kiểm tra; • phỏng v ấ n; • kiểm thử. Các phần tương ứng bao gồm một tập các thuộc t í nh và giá trị thuộc t í nh cho mỗi phương ph á p soát xét. Đ ố i với thuộc tính chiều sâu, giá trị thuộc tính tập trung bao gồm và xâ y dựng dự a trên sự chặt chẽ và mức độ soát xét chi tiết đã xác định cho giá trị thuộc tính được khái quát h óa . Giá trị thuộc tính chi tiết bao gồm và xây dựng dựa trên sự chặt chẽ và mức độ soát xét chi tiết đã xác định cho giá trị thuộc tính tập trung. Đối với thuộc tính bao hàm, giá trị thuộc tính cụ thể bao gồm và xây dựng dựa trên số lượng và kiểu của các đối tượng soát xét được xác định cho giá trị thuộc tính đại diện. Giá trị thuộc tính toàn diện bao gồm và xây dựng dựa trên số lượng và kiể u của các đối tượng soát xét được xác định cho giá trị thuộc tính cụ th ể . Các phương pháp “ kiểm tra ” và “ kiểm thử ” có thể được hỗ trợ bằng việc sử dụng các công cụ tự động được công nhận rộng rãi. Chuyên gia đánh giá soát xét b iện pháp kiểm soát an toàn thông tin cũng cần soát xét tác động của việc vận hành các công cụ này khi ho ạ t động bình thường trên đố i tượng soát xét. Khi một phần soát xét dựa trên một công cụ như vậy, chuyên gia đánh giá soát xét biện pháp kiểm soát a n toàn thông tin cần chứng minh hoặc cung cấp chứng cứ cho thấy công cụ này cung cấp kết quả đáng tin cậy. 7.2 Phương pháp soát xét: Kiểm tra 7.2.1 Khái quát Quy trình kiểm tra, thanh tra, soát xét, quan sát, nghiên cứu hoặc phân tích một hoặc nhiều đối tượng soát xét nhằm đ ể hi ể u rõ hơn, làm sáng tỏ hoặc thu được chứng cứ, các kết quả được s ử dụng đ ể hỗ trợ vi ệ c xác định sự tồn tại, chức năng, độ chính xác, t í nh hoàn thiện và tiềm năng cho cải tiến của biện pháp kiểm soát theo thời gian. Đối tượng soát xét thường bao gồm: • các đặc t ả (Ví dụ: các chính sách, kế hoạch, thủ tục, yêu cầu hệ thống, thiết kế); • các cơ chế (V í dụ: chức năng được triển khai tr ong phần cứng, phần mềm, phần mềm cải cứng); • các quy trình (Ví dụ: vận hành hệ thống, quản trị, quản lý, c á c thao tác). Các hành động thông thư ờ ng của chuyên gia đánh giá về biện pháp kiểm soát an toàn thông tin có thể bao gồm: • soát xét các chính sách, c á c kế hoạch và thủ tục an toàn thông tin; • phân tích tài liệu thiết kế hệ thống và thông số kỹ thuật giao diện; • quan sát hoạt động sao lưu hệ thống và soát xét các kết quả của các bài tập kế hoạch dự phòng; • quan sát quá tr ì nh ứng phó sự cố; • nghiên cứu tài liệu hướng dẫn kỹ thuật và hướng dẫn người s ử dụng/nhà quản trị; • kiểm tra, nghiên cứu và quan sát sự vận hành của cơ chế công nghệ thông tin trong phần cứng/phần mềm hệ thống thông tin; • kiểm tra, nghiên cứu và quan sát các hoạt động quản lý thay đổi và đăng nhập liên quan đến hệ thống thông tin; • kiểm tra, nghiên cứu hoặc quan sát c ác biện pháp b ả o mật vật lý liên quan đến hoạt động của hệ thống thông tin. 7.2.2 Các thuộc tính 7.2.2.1 Kiểm tra khái quát Các bài kiểm tra thường bao gồm các soát xét ở mức độ cao, kiểm tra, quan sát hoặc kiểm duyệt đ ố i tượng soát xét. Đây là loại bài kiểm tra được thực hiện bằng cách s ử dụng nhiều chứng cứ hoặc tà i liệu giới hạn (V í dụ: các mô tả mức chức năng đối với các cơ chế, các mô tả quy tr ì nh mức cao đ ố i với các quy tr ì nh; và tài liệu thực tế đối với các đặc tả kỹ thuật). Các kiểm tr a khái quát cung cấp một mức độ hiểu biết về biện pháp kiểm soát c ầ n thiết để xác định rằng biện pháp kiểm soát đã được thực hiện và không có lỗi rõ ràng. 7.2.2.2 Kiểm tra tập trung Các bài kiểm tra này thường bao gồm các soát xét ở mức độ cao, kiểm tra, quan sát hoặc kiểm duyệt và các công việc khác hơn nữa để nghiên cứu/phân tích chuyên sâu về đối tượng soát xét. Đây là loại bài kiểm tra được thực hiện bằng cách sử dụng nhiều chứng cứ hoặc tài liệu quan trọng (Ví dụ: các mô tả mức chức năng và nơi thích hợp và sẵn sàng c ó thông tin thiết kế mức cao cho các cơ chế; các mô tả quy tr ì nh mức cao và các thủ tục thực hiện cho các quy trình đó; các tài liệu thực tế và các tài liệu liên quan đ ố i với các đặc tả kỹ thuật). Các kiểm tra tập trung cung cấp một mức độ hiểu biết về biện pháp ki ể m soát an toàn cần thiết cho việc xác định xem biện pháp đ ó đã được thực hiện chưa và không có lỗi rõ ràng. Chúng cũng cung cấp cơ sở tin cậy rằng biện pháp đ ó đã được thực hiện đ ú ng và hoạt động như dự định. 7.2.2.3 Kiểm tra chi tiết Các bài kiểm tra này thường bao gồm soát xét ở mức cao, kiểm tra, quan sát hoặc kiểm duyệt và c á c công việc khác nữa để nghiên cứu/phân tích chuyên sâu, chi tiết, kỹ lưỡng về đ ố i tượng soát xét. Đây là loại bài kiểm tra được thực hiện bằng cách sử dụng nhiều chứng c ứ hoặc tài liệu mở rộng (Ví dụ: các mô tả mức chức năng và nơi thích hợp và sẵn sàng có, thông tin thiết kế mức ca o cho các cơ chế; các mô tả q uy trình mức cao và các th ủ tục thực hiện cho các quy trình đó; các tài liệu thực tế và các tài liệu liên quan đối với các đặc tả kỹ thuật). Các kiểm tra ch i tiết cung cấp một mức độ hiểu biết về biện ph á p kiểm soát cần thiết để xác định xem biện pháp đó đã được triển khai chưa và không có lỗi rõ ràng và xem liệu có các cơ sở để tin tư ở ng rằng các biện pháp kiểm soát đó đã được thực hiện đúng và vận hành theo dự định một cách liên tục và nhất quán và c ó sự hỗ trợ đ ể cải tiến liên tục hiệu lực của biện pháp kiểm soát đó. 7.2.2.4 Kiểm tra đại diện Kiểm tra này sử dụng một mẫu đại diện của các đ ố i t ư ợng soát xét (theo từng loại và số lượng trong loại đó) để cung cấp một mức bảo đảm cần thiết xác nhận rằng biện pháp kiểm soát đã được triển khai và không thấy lỗi rõ ràng. 7.2.2 5 Kiểm tra đặc biệt Kiểm tra này sử dụng một mẫu đại diện của các đối tượng soát xét (theo từng loại và số lượng trong loại đó) và các đối tượng soát xét đặc biệt khác được coi là đặc biệt quan trọng để đạt được mục tiêu soát xét. Kiểm tra này cũng cung cấp một mức độ bảo đảm cần thiết để xác định xem biện pháp kiểm soát đã được tri ể n khai chưa và không thấy lỗi rõ ràng và xem liệu có các cơ sở để tin tưởng rằng biện pháp đã được triển khai đúng và hoạt động như dự định. 7.2.2.6 Kiểm tra toàn diện Kiểm tra này sử dụng một mẫu đủ lớn của các đối tượng soát xét (theo loại và số lượng trong loại đó) và các đối tượng soát xét cụ thể khác được coi là đặc biệt quan trọng để đạt được mục tiêu soát xét nhằm cung cấp một mức độ bảo đ ả m cần thiết đ ể xác định xem biện pháp kiểm soát đó đã được triển khai chưa và không thấy lỗi rõ ràng và xem liệu có các cơ s ở nào nữa để tin tư ở ng rằng biện pháp đó đã được triển khai đúng và ho ạ t động như dự định một cách liên tục và nhất quán và có sự hỗ trợ để cải tiến tục hiệu lực của biện pháp đó. 7.3 Phương pháp soát xét: Phỏng vấn 7.3 . 1 Khái quát Q uy tr ì nh tiến hành các cuộc thảo luận với các cá nhân hoặc các nh ó m trong một t ổ chức để có được s ự hiểu biết, nhận được giải thích hoặc dẫn đến vị trí của chứng cứ. Các kết quả được sử dụng để hỗ trợ việc xác định sự tồn tại, chức năng, độ chính xác, tính đầy đủ và tiềm năng c ả i thiện của biện pháp an toàn theo thời gian. Đối tượng soát xét thường bao gồm các cá nhân hoặc nhóm người. C á c h o ạt động chính của chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin trong việc phỏng vấn gồm: • nhà quản lý; • các chủ s ở hữu tài sản thông tin và nhiệm vụ; • các cán bộ an toàn thông tin; • các quản lý an toàn thông tin; • cán bộ nhân sự; • những người quản lý nguồn nhân lực; • những người quản lý trang thiết bị; • các cán bộ đào tạo; • những người vận hành hệ thống thông tin; • những nhà quản tr ị mạng và hệ thống; • những người quản lý địa điểm; • các nhân viên an toàn vật lý; • người dùng. 7.3.2 Các thuộc tính 7.3.2.1 Phỏng vấn chung Các cuộc phỏng vấn này bao gồm các cuộc thảo luận cấp cao trên diện rộng với các cá nhân hoặc nhóm người. Đâ y là loại phỏng vấn được thực hiện bằng cách s ử dụng bộ các câu h ỏ i khái qu á t, mức cao. Phỏng v ấ n chung cung cấp một mức độ hiểu biết về biện pháp an toàn cần thiết đ ể xác định xem biện pháp đ ó đã được triển khai chưa và không có lỗi rõ ràng. 7.3.2.2 Phỏng vấn tập trung Bên cạnh sự cần thiết của cuộc phỏng vấn chung, cuộc ph ỏ ng vấn tập trung bao gồm các cuộc thảo luận sâu trong các khu vực cụ th ể v ớ i các cá nhân hoặc nhóm người. Đây là loại ph ỏ ng v ấ n sử dụng thêm các câu hỏi sâu về các khu vực cụ thể mà các ứng phó đã cho thấy sự cần thiết phải điều tra sâu hơn. Phỏng v ấ n tập trung cung cấp một mức độ hiểu biết về biện pháp cần thiết cho việc xác định xem biện pháp đ ó đã được thực hiện chưa và không có sai sót rõ ràng và xem liệu có các cơ s ở nào khác đ ể tin tưởng rằng biện pháp đó đã được tri ể n khai đúng và hoạt động như dự định. 7.3.2.3 Phỏng vấn chi tiết B ê n cạnh sự cần thiết của cuộc phỏng vấn tập trung, các cuộc phỏng vấn chi tiết có các câu hỏi sâu hơn, mang tính thăm dò ở các khu vực cụ thể mà các ứ ng phó đã cho thấy sự cần thiết phải điều tra sâu hơn hoặc những nơi được ch ỉ định bởi các thủ tục soát xét. Phỏng vấn chi tiết cung cấp một mức độ hiểu biết về biện pháp an toàn cần thiết đ ể xác định xem biện pháp đó đã được triển khai chưa và không có sai sót rõ ràng và xem liệu có các cơ sở nào nữa để tin tưởng rằng biện pháp đó đã được triển khai đúng và vận hành một c á ch liên tục và nhất quán như dự định và có sự hỗ trợ đ ể liên tục cải tiến hiệu lực của biện pháp đó. 7.3.3 Thuộc tính bao hàm Các thuộc tính bao hàm giải quyết phạm vi hoặc bề rộng của q u y tr ì nh phỏng v ấ n và bao gồm các loại cá nhân sẽ được phỏng v ấ n (theo vai trò về tổ chức v ề trách nhiệm liên quan), số lượng các cá nhân được phỏng vấn (theo loại) và c á c cá nhân cụ thể sẽ được phỏng v ấ n. 7.3.3.1 Phỏng vấn đại diện Phỏng vấn này sử dụng một mẫu đ ạ i diện của các cá nhân giữ vai trò quan trọng trọng về tổ chức để cung cấp một mức độ bao hàm cần thiết xác định rằng biện pháp an toàn đó đã được triển khai và không thấy lỗi rõ ràng. 7.3.3.2 Phỏng vấn cụ th ể Phỏng vấn này sử dụng một mẫu đại diện của các cá nhân giữ vai trò quan trọng về tổ chức và các cá nhân cụ thể khác được xem là đặc biệt quan trọng đ ể đạt được mục tiêu soát xét nhằm cung cấp một mức độ bao hàm cần thiết đ ể xác định xem biện pháp an toàn đó đã được tri ể n khai chưa và không gặp sai sót rõ ràng và xem liệu c ó các cơ s ở nào khác đ ể tin tưởng rằng biện pháp đó đã được triển khai đ ú ng và vận hành nh ư dự định. 7.3.3.3 Phỏng vấn toàn diện Ph ỏ ng vấn này sử dụng một mẫu đủ lớn của các cá nhân giữ vai trò quan trọng về tổ chức và cá nhân cụ thể khác được coi là quan trọng để đạt được mục tiêu soát xét nhằm cung c ấ p một mức độ bảo đảm cần thiết để xác định xe m biệ n pháp đó đã được tri ể n khai chưa và không có sai sót rõ ràng và xem liệu có các cơ sở nào khác đ ể tin tưởng rằng biện pháp đó đã được triển khai đúng và vận hành một cách liên tục và nhất quán theo dự định và có sự hỗ trợ để liên tục cải tiến hiệu lực của biện pháp này. 7.4 Phương pháp soát xét: kiểm thử 7.4.1 Khái quát Quy trình kiểm thử một hoặc nhiều đối tượng soát xét theo các điều kiện quy định để so sánh thực tế với các phản ứng mong đợi. Các kết quả được sử dụng đ ể hỗ trợ việc xác định sự tồn tại, hiệu quả, chức năng, tính ch í nh xác, tính hoàn thiện và tiềm năng cải tiến của biện pháp kiểm soát theo thời gian. Việc kiể m thử phải được thực hiện v ớ i sự thận trọng lớn từ các chuyên gia có năng lực và các tác động có th ể đối với hoạt động c ủ a t ổ chức phải được xem xét và phê duyệt b ở i nhà quản lý trước khi bắt đầu kiểm th ử và cũng xem xét các tùy chọn chạy kiểm th ử bên ngoài hệ điều hành windows, trong các điều kiện nguồn nuôi thấp hoặc thậm ch í trong các môi trường kiểm thử được mô phỏng tốt. Các sai sót hoặc sự không sẵn sàng của hệ thống do kiểm thử có thể c ó tác động đáng kể đến hoạt động nghiệp vụ b ì nh thường của t ổ chức. Điều này có th ể dẫn đến những hậu quả cả về tài chính và ảnh hư ở ng đến uy t í n của tổ chức, do đ ó phải đặc biệt thận trọng trong việc lên kế hoạch kiểm thử và lập hợp đồng chính xác (bao gồm cả việc xem xét các khía cạnh pháp l ý ). Các kết quả tích cực và tiêu cực của sai sót trong các cuộc kiểm thử phải được điều tra một cách cẩn thận bởi chuyên gia đánh giá soát xét biện pháp an toàn thông trước khi đưa ra bất cứ suy luận nào. Đối tượng soát xét đi ể n hình bao gồm các cơ chế (V í dụ: phần cứng, phần mềm, phần mềm cài cứng) và các quy trình (v í dụ như vận hành, qu ả n trị, quản lý hệ thống, các thao tác). Các hành động tiêu biểu của chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin có thể bao gồm: • kiểm th ử các cơ chế kiểm soát truy cập, định danh, xác thực và soát xét; • kiểm thử các cài đặt cấu hình bảo mật; • kiểm th ử các thiết bị kiểm soát truy cập vật lý; • tiến hành kiểm thử thâm nhập đối với các thành phần hệ thống thông tin qua n trọng; • kiểm thử hoạt động sao lưu hệ thống thông tin; • kiểm thử khả năng ứ ng phó sự cố; • kiểm thử khả năng thực hiện kế hoạch dự phòng: • kiểm th ử phản ứng của các hệ thống an toàn c ó khả năng phát hiện, cảnh báo v à ứng phó với sự xâm nhập ; • kiểm thử các thuật toán cơ chế mã hóa và hàm băm; • kiểm thử id người dùng và các cơ chế quản lý đặc quyền; • kiểm thử các cơ chế cấp quyền; • xác minh khả năng phục hồi theo tầng của các biện pháp an toàn. CHÚ THÍCH: Các thuộc t í nh không áp dụng để kiểm thử. 7.4.2 Các loại kiểm thử 7.4.2.1 Kiểm thử mù Chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin làm việc với đối tượng soát xét mà không có biết trước về đặc điểm của chúng ngoài các thông tin công bố công khai. Đ ố i tượng soát xét được chuẩn b ị cho việc soát xét, biết trước tất cả các chi tiết của về cuộc soát xét. Soát xét mù chủ yếu là kiểm tra các kỹ năng của chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin. Độ rộng và chiều sâu của một soát xét mù có thể chỉ lớn bằng kiến thức và năng lực c ó th ể của chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin. Do đó cuộc kiểm thử này bị hạn chế sử dụng trong các đánh giá an toàn và cần phải tránh. Điều này cũng thường được gọi là đạo đức Hacking. 7.4.2.2 Kiểm thử mù kép Chuyên g i a đ á nh giá soát xét biện pháp kiểm soát an toàn thông tin làm việc với đối tượng s o át xét mà chỉ biết rất hạn chế về sự bảo vệ của chúng ngoài các thông tin công bố công khai. Đối tượng soát xét cũng không được thông báo trước về phạm vi của so á t xét hoặc các vec-tor kiểm thử được sử dụng. Soát xét kiểm thử mù kép, chuẩn bị của đối tượng soát xét theo các mối lo bất định. 7.4.2.3 Kiểm thử hộp xám Chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin làm việc với đối tượng soát xét mà chỉ biết rất hạn chế về sự bảo vệ và tài sản của chúng nhưng lại có đầy đ ủ kiến thức về các vectơ kiểm thử có sẵn. Đ ố i tượng soát xét được chuẩn bị cho việc soát xét, biết trước tất cả các chi tiết của cuộc soát xét. Soát xét hộp xám kiểm thử các kỹ năng của chuyên gia đánh giá so á t xét biện pháp kiểm soát an toàn thông tin. Bản chất của việc kiểm thử là tính hiệu quả. Bề rộng v à chiều sâu kiểm thử phụ thuộc vào chất lượng của các thông tin được cung cấp cho chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin trước khi kiểm thử, cũng như kiến thức áp d ụ ng của chu y ên gia đánh giá soát xét các biện pháp kiểm soát, an toàn thông tin. Do đó, việc kiểm thử này được sử dụng hạn chế trong các đánh giá a n toàn và cần được tránh. Loại kiểm thử này thường được gọi l à kiểm thử điểm yếu và thường được kh ở i xướng dưới dạng một hoạt động tự đánh giá. 7.4.2.4 Kiểm thử hộp xám đôi Ch u yên gi a đánh giá soát xét các biện pháp kiểm soát an toàn thông tin làm việc với đối tượng soát xét mà chỉ biết r ấ t hạn chế về sự bả o vệ và tài sản của chúng nhưng lại đầy đủ kiến thức về các véc-tơ kiểm thử c ó sẵn. Đối tượng soát xét được thông báo trước về phạm vi và khung thời gian của cuộc soát xét ngoại trừ vectơ kiểm thử. So á t xét hộp xám đôi kiểm thử sự chuẩn bị của đích đối với các mối đe d ọa chưa được xác định. Bề rộng và chiều sâu phụ thuộc vào chất lượng của các thông tin cung cấp cho chuyên gia đánh gi á soát xét biện pháp kiểm so á t an toàn thông tin và đối tượng soát xét trước khi kiểm thử cũng như kiến thức áp dụng củ a chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin. 7.4.2.5 Kiểm thử song song Chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin và đối tượng soát xét được chuẩn bị cho việc soát xét và đều biết trước tất cả các chi tiết của cuộc soát xét. Cuộc so á t xét song song kiểm thử khả năng bảo vệ và các biện pháp kiểm soát của đích. Tuy nhiên, nó không thể kiểm tra sự chuẩn bị của đích với các mối lo bất định. Bản chất thực sự của bài kiểm tra này là t í nh triệt đ ể vì ch u yên gia đánh giá soát xét biện pháp kiểm soát an to à n thông tin đã được biết đầy đủ về tất c ả các cuộc kiểm thử và phản hồi của chúng. Bề rộng và chiều sâu phụ thuộc vào chất lượng của các thông tin cung cấp cho chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin trước cuộc kiểm th ử theo như kiến thức áp dụng của chuyên gia đánh giá. Loại soát xét này thường được gọi là soát xét “ trong nội bộ” và chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin thư ờ ng là một bộ phận tích cực trong các quy trình bảo mật chung. 7.4.2.6 Kiểm thử đảo ngược Chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin làm việc với đối tượng soát xét với đầy đ ủ hiểu biết về quy trình và a n toàn ho ạ t động của chúng nhưng đối tượng soát xét lại không biết về những gì, cách thức hoặc thời gian chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin sẽ kiểm thử. Bản chất thực sự của kiểm th ử này là để soát xét sự chuẩn b ị của đích với các mối lo bất định v à vec-tơ của chúng. Bề rộng và chiều sâu phụ thuộc vào chất lượng của các thông tin cung cấp cho chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin, sự sáng tạo và kiến thức áp dụng của chuyên gia đánh giá. Hình 1 - Các kiểu kiểm thử 7.4.3 Các thủ tục soát xét mở rộng Ngoài các thủ tục soát xét được áp dụng với c á c biện pháp kiểm soát riêng l ẻ , thủ tục soát xét mở rộng có th ể được áp dụng cho việc soát xét toàn bộ. Thủ tục soát x é t m ở rộng được thiết kế để làm việc và bổ sung cho các thủ tục soát xét ở trên nhằm tăng cường các cơ s ở để tin tưởng về hiệu lực của các biện pháp kiểm soát. Thủ tục soát xét mở rộng và các mục tiêu soát x é t liên quan cũng có liên kết chặt chẽ với mức độ rủi ro của hệ thống thông tin. 8 Các hoạt động 8.1 Chuẩn bị Việc thiết lập và duy trì một tập các kỳ vọng phù hợp trước, trong và sau cuộc soát xét là tối quan trọng đ ể đạt được một kết quả chấp nhận. Điều đó sẽ cung cấp thông tin cho phép quản lý đưa ra các quyết định hợp lý dựa trên rủi ro về việc làm thế nào đ ể triển khai và vận hành hệ thống thông tin tốt nhất. Sự chuẩn bị kỹ lưỡng của tổ chức v à các chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin là một khía cạnh quan trọng để tiến hành các soát xét có hiệu lực. Hoạt động chuẩn bị cần phải giải quyết một loạt các vấn đề liên quan đến chi phí, ti ế n độ, tính sẵn sàng v ề chuyên môn và các hoạt động soát xét. Từ góc độ tổ chức, chuẩn bị cho việc soát xét bao gồm các hoạt động chính sau đây: • đảm bảo rằng các ch í nh sách thích hợp cho các soát xét đều sẵn sàng và được hiểu bởi tất cả các thành viên t ổ chức; • đảm bảo rằng tất cả các bước đã được lập kế hoạch tri ể n khai thực hiện các biện pháp trước khi soát xét đều đã được hoàn tất thành công và có sự soát xét phù hợp của quản lý (điều này chỉ áp dụng nếu kiểm soát được đánh dấu là “ hoạt động đầy đ ủ” và không ở trong giai đoạn chuẩn bị thực hiện); • đảm bảo rằng các biện pháp được lựa chọn đã được giao cho các đơn vị phù hợp trong tổ chức để phát triển và triển khai; • thiết lập mục tiêu và phạm vi soát xét (tức là: mục đích của việc soát xét và những gì sẽ được soát xét); • thông báo cho các c á n bộ quan trọng của tổ chức về việc soát xét sắp tới và phân bổ các nguồn lực cần thiết để thực hiện soát xét; • thiết lập các kênh truyền thông phù hợp cho các cán bộ tổ chức có quan tâm đến việc soát xét; • thiết lập khung thời gian để hoàn thành việc soát xét và các đi ể m mốc quyết định quan trọng theo yêu cầu của tổ chức để quản lý việc soát xét một cách hiệu quả; • xác định và lựa chọn chuyên gia đánh giá hoặc đoàn đánh giá soát xét biện pháp kiểm soát an toàn thông tin chịu trách nhiệm thực hiện soát xét, xem xét các vấn đề về tính độc lập của chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin; • thu thập thông tin để cung cấp cho các chuyên gia đánh giá soát xét biện ph á p kiểm soát an toàn thông tin (Ví dụ:các tài liệu biện pháp kiểm soát an toàn thông tin bao gồm các biểu đồ tổ chức, chính sách, thủ tục, kế hoạch, đặc tả kỹ thuật, thiết kế, hồ sơ, hướng dẫn quản lý/điều hành, tài liệu hệ thống thông tin, thỏa thuận kết nối, kết quả đánh giá trư ớ c đây); • thiết lập một cơ chế giữa các tổ chức và các chuyên g i a đánh giá soát xét biện pháp kiểm soát an toàn thông tin để giảm thiểu sự mơ hồ hoặc những hiểu lầm t r ong việc triển khai biện pháp hoặc các điểm thiếu sót của biện pháp kiểm soát đã được xác định trong suốt quá trình soát xét. Ngoài các hoạt động lập kế hoạch mà tổ chức thực hiện để chuẩn b ị cho việc soát xét, chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin cần bắt đầu chuẩn bị cho việc soát xét bằng cách sau: • có được sự hiểu biết chung về các hoạt động của tổ chức (bao gồm cả nhiệm vụ, chức năng, quy trình nghiệp vụ) và cách thức các tài s ả n thông tin có trong phạm vi soát xét hỗ trợ những hoạt động của tổ chức; • có được sự hi ể u biết về cấu trúc của các tài sản thông tin (tức là: kiến trúc hệ thống); • có được sự hiểu biết thấu đáo về tất cả các biện pháp sẽ được soát xét; • nghiên cứu các ấn phẩm liên quan được tham chiếu trong các biện pháp kiểm soát; • xác định các đơn v ị tổ chức chịu trách nhiệm triển khai và phát tri ể n các biện pháp được soát xét c ó hỗ tr ợ cho an toàn thông tin; • thiết lập các đầu mối liên lạc phù hợp trong tổ chức cần cho việc soát xét; • có được các công cụ cần thiết cho việc soát xét (Ví dụ: chính sách, thủ tục, kế hoạch, đặc tả kỹ thuật, thiết k ế , hồ sơ, hướng dẫn sử dụng / quản trị điều hành, tài liệu hệ thống thông tin, thỏa thuận kết nối); • có được các kết quả đánh giá trước đây mà có thể được tái sử dụng một cách thích hợp cho việc so á t xét (V í dụ: báo cáo, soát xét, các đi ể m yếu quét được, kiểm tra an toàn vật lý, phát triển và đánh gi á kiểm thử); • gặp gỡ các c á n bộ phù hợp của tổ chức để đảm bảo sự hiểu biết chung về các đối tượng soát xét và sự chặt chẽ, phạm vi của soát xét; • phát triển kế hoạch soát xét. Để chuẩn bị cho việc soát xét các biện pháp kiểm soát an toàn thông tin, các thông tin nền tảng cần thiết cần được tập hợp và cung cấp cho chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin. Trong phạm vi hỗ trợ cần thiết v ớ i soát xét cụ thể, tổ chức cần xác định và sắp xếp truy cập đối với các thành viên c ủ a t ổ chức (cá nhân hoặc nhóm người) chịu trách nhiệm phát triển, lập tài liệu, truyền bá, rà soát, điều hành, duy trì và cập nhật t ấ t cả các biện pháp an toàn, chính sách an toàn và các thủ tục liên quan đ ế n việc triển khai các biện pháp kiểm soát tuân thủ chính sách an toàn. Chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin cũng cần truy cập vào các chính sách bảo mật cho hệ thống thông tin và các th ủ tục triển khai, mọi tài liệu liên quan (V í dụ: kế hoạch an toàn, hồ sơ, lịch trình, báo cáo đánh giá, báo cáo sau khi hành động, thỏa thuận, g ó i công nhận) liên quan đến việc triển khai và vận hành các biện pháp kiểm soát, các đối tượng được soát xét. Sự sẵn có của các tài liệu cần thiết cũng như sự tiếp cận với cán bộ quan trọng của tổ chức và các hệ thống thông tin được soát xét là tối quan trọng đ ể đánh giá thành công các biện pháp kiểm soát an toàn thông tin. 8.2 Xây dựng kế hoạch 8.2.1 Tổng quan Chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin cần lập kế hoạch đ ể soát xét các biện pháp kiểm soát và cần xác định loại xem nên rà soát biện pháp kiểm soát nào (Ví dụ: soát xét một phần hoặc toàn bộ) và các biện pháp/biện pháp tăng cường sẽ được đưa vào soát xét dựa trên mục đích/phạm v i soát xét. Chuyên gia đánh gi á soát xét biện pháp kiểm soát an toàn thông tin cần ư ớ c lượng và giảm thi ể u rủi ro và tác động (nếu có thể) của việc soát xét đến hoạt động bình thường của tổ chức và chọn các th ủ tục soát xét phù hợp sẽ được sử dụng trong suốt quá trình soát xét dựa trên các biện pháp và biện pháp tăng cường được đưa vào soát xét và các thuộc tính chiều sâu và độ bao trùm liên quan của chúng.. Chuyên gia đánh giá soát xét biện ph á p kiểm soát an toàn thông tin cần hiệu ch ỉ nh các thủ tục xét được chọn theo mức độ rủi ro hệ th ố ng thông tin và môi trường ho ạ t động thực tế của tổ chức. Họ c ũ ng cần xây dựng quy trình soát xét b ổ sung, nếu cần thiết để giải quyết các biện pháp an toàn, các biện pháp tăng cường v à các nhu c ầ u đảm bảo bổ sung mà không được đề cập trong tài liệu này. Kế hoạch phải được thiết kế bao gồm cả giai đoạn xác định bối cảnh, thi ế t lập các c ơ s ở cho hành vi dự kiến trong bối cảnh xác định, đặc tả của các kiểm thử/đánh giá và phương pháp xác nhận những phát hiện tìm thấy trong b ố i cảnh của việc đánh giá. Kế hoạch cầ n bao gồm phát triển chiến lược để áp dụng thủ tục soát xét mở rộng, nếu cần thiết thì tối ưu hóa các thủ tục soát xét để giảm sự lặp lại nỗ lực và cung cấp các giải pháp soát xét có chi phí hiệu quả. Chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin sau đó phải h o àn chỉnh kế hoạch soát xét và có được sự chấp thuận cần thiết để thực hiện kế hoạch. 8.2.2 Phạm v i Các tài liệu cần cung cấp thông tin t ổ ng quan về các yêu cầu an toàn của các tài sản thông tin và mô tả các biện pháp hiện hành hoặc được lập kế hoạch để đáp ứng những yêu cầu đó. Kiểm to á n viên soát xét biện ph á p kiểm soát an toàn thông tin bắt đầu với các biện pháp được mô tả trong tài liệu an toàn thông tin và soát xét mục đích của việc soát xét. Soát xét có thể là một soát xét toàn diện về tất cả các biện pháp kiểm soát an toàn thông tin trong tổ chức hoặc là soát xét một phần của các biện pháp bảo vệ tài sản thông tin (Ví dụ: trong quá trình giám sát liên tục, các tập con của các biện pháp trong các tài s ả n thông tin được soát xét trên cơ sở liên tục). Đối với soát xét một ph ầ n, ch ủ sở hữu tài sản thông tin phối hợp với các cán bộ của tổ chức có quan tâm đ ế n việc soát xét để xác định các biện pháp sẽ được soát xét. Việc lựa chọn các biện pháp phụ thuộc vào lịch trình giám sát liên tục được thiết lập, các hạng mục tr ê n kế hoạch hành động và các cột thời gian phù hợp. Các biện pháp có sự biến động lớn hơn c ầ n được soát xét thường xuyên hơn. 8.2.3 Th ủ tục soát xét Một thủ tục soát xét bao gồm một tập các mục tiêu soát xét, mỗi mục tiêu soát xét lại tập các phương pháp soát xét tiềm năng và các đối tượng soát xét. Các tuyên bố xác định về một mục tiêu soát xét có liên kết chặt chẽ với nội dung của soát xét (tức là chức năng kiểm soát). Điều này đảm bảo truy xuất nguồn gốc của kết quả soát xét theo các yêu cầu kiểm soát cơ b ả n. Việc áp dụng một thủ tục soát xét đối với một biện pháp kiểm soát sẽ cho các phát hiện soát xét. Những phát hiện soát xét này sau đ ó được sử dụng đ ể giúp xác định, hiệu lực tổng thể của kiểm soát. Các đối tượng soát xét xác định các danh mục cụ th ể sẽ được soát xét và bao gồm các đặc tả kỹ thuật, cơ chế, quy trình và cá nhân. Phụ lục A cung cấp các ví dụ về các thủ tục soát xét đối với việc kiểm tra sự tuân thủ kỹ thuật v à các biện pháp kiểm soát tăng cường. Các hướng dẫn thực hành trong Phụ lục A được thiết kế đ ể biên dịch chứng cứ đ ể x á c định liệu các kiểm soát có được thực hiện một cách chính xác, hoạt động như dự định và cho các kết quả mong muốn nhằm đáp ứng các yêu cầu an toàn thông tin của các tài sản thông tin. Đối với mỗi kiểm soát và tăng cư ờ ng kiểm soát được bao gồm trong việc soát xét, chuyên gia đánh giá soát xét biện pháp kiểm s oá t an toàn thông tin phát triển thủ tục đánh giá tương ứng như đề cập trong Phụ lục A. Tập các thủ tục soát xét lựa chọn sẽ khác nhau giữa các soát xét tùy theo mục đích hiện tại của soát xét (Ví dụ: soát xét kiểm soát hàng năm, giám sát liên tục). Phụ lục A cung cấp một giấy ghi công việc để lựa chọn các thủ tục soát xét phù h ợ p với việc soát xét dựa trên sự chú trọng đặc biệt của soát xét được. Thủ tục soát xét có thể được thay đổi do: • việc lựa chọn các phương pháp và các đối tượng soát xét cần thiết để đưa ra các quyết định phù hợp một cách có hiệu quả cao nhất và để đáp ứng các mục tiêu soát xét; • việc lựa chọn các g i á trị thuộc tính độ sâu và bao hàm của phương pháp soát xét cần thiết để đáp ứng các kỳ vọng soát xét dựa trên các đặc đi ể m của các biện pháp đang được soát xét v à các quyết định cụ thể sẽ được đưa ra; • việc loại bỏ các thủ tục soát xét đối với các biện pháp nếu chúng đã được soát xét bởi một quy trình soát xét đầy đủ khác; • việc phát triển các thủ tục soát xét thích ứng theo hệ thống/nền tảng cụ thể và tổ chức cụ thể nhằm thực hiện soát xét một cách thành công; • sự kết hợp các kết quả soát xét từ các soát xét trước đó nếu chúng được xem là phù hợp; • việc đưa ra những điều ch ỉ nh thích hợp các trong thủ tục soát xét đ ể có thể có được chứng cứ soát x é t cần thiết từ các nhà cung cấp bên ngoài; • việc lựa chọn các phương pháp soát x é t trong đ ó có cân nhắc một c á ch th ỏ a đáng đến các tác động về tổ chức của ch ú ng trong khi vẫn đảm bảo rằng các mục tiêu đánh giá được đáp ứng. 8.2.4 Các xem xét đối tượng liên quan Các tổ chức có thể xác định, lập tài liệu và cấu hình tài sản thông tin của họ theo nhiều cách khác nhau và nội dung và khả năng áp dụng của chứng cứ soát xét hiện tại cũng sẽ thay đổi. Điều này có thể dẫn đến sự cần thiết phải áp dụng một loạt các phương pháp soát xét đối với các đối tượng soát xét khác nhau nhằm tạo ra c á c chứng cứ soát xét cần thiết để xác định xem các biện pháp đó c ó hiệu lực khi áp dụng chúng hay không. Vì vậy, danh sách các phương pháp và các đối tượng soát x é t được cung c ấ p cùng với mỗi thủ tục soát xét được coi l à tiềm năng đ ể phản ánh nhu cầu có thể lựa chọn các phương pháp và đối tượng thích hợp nhất cho mỗi soát xét cụ thể. Các phương pháp và đ ố i tượng soát xét được chọn là các phương pháp và đối tượng soát xét được cho là cần thiết để tạo ra chứng cứ soát xét cần có. Các phương pháp tiềm năng và các đối tượng trong các thủ tục soát xét được cung cấp như một nguồn lực để hỗ trợ việc lựa chọn các phương pháp và đối tượng thích hợp, chứ không ph ả i với mục đích để hạn chế lựa chọn. Nh ư vậy, chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin cần dùng soát xét của họ trong việc lựa chọn từ các phương pháp soát xét tiềm năng và danh sách tổng hợp của các đối tượng soát xét liên quan đến mỗi phương pháp được lựa chọn. Chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin cần lựa chọn những phương pháp và đối tượng có đ ó ng góp hiệu quả nhất; vào việc đưa ra c á c quyết định liên qu a n đến mục ti ê u soát xét. Phép đo chất lượng của các kết quả soát xét được dựa tr ê n tính đúng đắn của lý do được đưa ra, chứ không phải là tập cụ thể các phư ơ ng pháp v à đối tượng áp dụng. Trong nhiều trường hợp, phải việc áp dụng mọi phương pháp soát xét cho mọi đối tượng soát xét để có được những kết quả soát xét mong muốn là không cần thiết. Và đối với các soát xét cụ thể và soát xét toàn diện, có thể thích hợp nếu sử dụng một ph ư ơng pháp hiện không được liệt kê trong tập các phương pháp tiềm năng hoặc kh ô ng sử dụng một phương pháp đã được liệt kê. 8.2.5 Các phát hiện trước 8.2.5 . 1 Tổng quan Chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin cần tận dụng thông tin soát xét các biện pháp hiện có đ ể đạt hiệu quả soát xét cao hơn việc tái sử dụng các kết qu ả soát xét từ các soát xét được chấp nhận hoặc, phê chuẩn trước đó có th ể được xem xét trong bộ chứng cứ đ ể xác định hiệu lực tổng thể của biện pháp kiểm soát. Khi xem xét việc tái sử dụng các kết quả soát xét trước đó và giá trị kết quả của chúng đối với việc soát xét hiện tại, chuyên gia đánh giá soát x é t các biện pháp kiểm soát an toàn thông tin cần xác định: • độ tin cậy của các chứng cứ; • sự phù hợp của các phân tích trước đó; • khả năng áp dụng các chứng cứ đối với điều kiện tài sản thông tin hiện nay. Trong những tình huống nhất định, có thể cần phải bổ sung các kết quả soát xét trước đây hiện đang được xem x é t cho việc tái sử dụng cùng các hoạt động soát xét bổ sung để giải quyết đầy đủ các mục ti ê u soát xét. Ví dụ, nếu một đánh giá độc lập do bên thứ ba thực hiện cho một sản phẩm công nghệ thông tin không thử nghiệm một thiết lập cấu hình cụ thể mà được tổ chức sử dụng trong hệ thống thông tin thì chuyên gia đánh giá soát xét biện pháp kiểm soát an to à n thông tin có thể cần phải b ổ sung các kết quả kiểm tra ban đầu với việc th ử nghiệm bổ sung xem xét thiết lập cấu hình đ ó cho m ô i trường hệ thống thông tin hiện tại. Các ph ầ n sa u đây cần được xem xét khi phê chuẩn việc tái sử dụng kết quả soát xét trước đây trong các soát xét hiện tại. 8.2.5.2 Các điều kiện thay đổi Các biện pháp kiểm soát được xem là có hiệu lực trong các soát xét trước đây có th ể trở nên không hiệu lực do có các điều kiện thay đ ổ i liên quan đến tài s ả n thông tin hoặc môi trường xung quanh. Do vậy, các kết quả soát xét được thấy là có th ể được chấp nhận trước đây có th ể không còn cung cấp chứng cứ đáng tin cậy để xác định hiệu lực của biện pháp kiểm soát và yêu cầu cần có một cuộc soát xét mới. Việc áp dụng các kết quả soát xét trước đây cho so á t xét hiện tại đòi hỏi việc xác định b ấ t kỳ các thay đổi đã xảy ra kể từ cuộc soát xét trước đây và tác động của những thay đổi này lên kết quả soát xét trước đó. Ví dụ, việc tái sử dụng k ế t quả soát xét trước đây liên quan đến việc kiểm tra các chính sách và thủ tục an toàn của một tổ chức có thể được chấp nhận nếu xác định được rằng đã không có bất kỳ thay đổi đáng k ể nào đối với các chính sách, thủ tục và môi trường rủi ro xác định. 8.2.5.3 Sự chấp nhận tái sử dụng soát xét Việc chấp nhận sử dụng kết quả soát xét trước đây trong một soát xét biện pháp kiểm soát cần được phối hợp và chấp thuận bởi người dùng các kết quả soát xét. Điều cần thiết là chủ sở hữu tài sản thông tin phối hợp với các cán bộ phù hợp thuộc t ổ chức (V í dụ: giám đốc thông tin, giám đốc an toàn thông tin, ch ủ sở hữu thông tin/nhiệm vụ) khi quyết định việc chấp nhận s ử dụng kết quả đánh giá trước đây. Quyết định sử dụng lại kết quả soát xét phải được ghi trong kế hoạch soát xét và báo cáo cuối cùng. Soát xét an toàn có thể bao gồm những phát hiện từ soát xét an toàn trước đây miễn là: • điều này được cho phép rõ ràng trong kế hoạch đánh giá; • chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin có căn cứ vững chắc đ ể tin rằng những phát hiện này vẫn còn c ó giá trị; • bất kỳ thay đ ổ i về công nghệ hoặc thủ tục đối v ớ i các biện pháp hoặc quy tr ì nh mà chúng được áp dụng đều được xem xét an toàn đầy đủ trong cuộc soát xét hiện tại; • việc sử dụng và bất kỳ tác động quản lý rủi ro tiềm ẩn của việc chấp nhận các phát hiện đánh giá trước đây được ghi rõ trong báo cáo đánh giá. 8.2.5.4 Khía cạnh thời gian Nói chung, khi khoảng thời gian giữa cuộc soát xét hiện tại và trước đó tăng lên th ì độ tin cậy/t í nh thiết thực của các kết quả soát xét trước đây sẽ suy giảm. Điều này chủ yếu do thực tế là tài sản thông tin và môi trường trong đó các tài sản thông tin hoạt động thường thay đ ổ i th e o thời gian, c ó thể làm vô hiệu các điều kiện hoặc giả định ban đầu mà các s o át xét trước đây dựa vào. 8.2.6 Phân công công việc Sự độc lập của chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin c ó thể là một y ếu tố quan trọng trong một số loại soát xét nhất định, đặc biệt là đối với tài sản thông tin c ó mức rủi ro vừa và cao. Mức độ độc lập được yêu cầu giữa các cuộc soát xét phải nhất quán. Ví dụ, sẽ là không hợp lý khi tái sử dụng các kết quả từ lần tự đánh giá trước đây mà không có yêu cầu về tính đ ộ c lập của k iể m soát viên soát xét biện pháp kiểm soát an toàn thông tin, trong khi soát xét hiện tại l ạ i đòi hỏi một mức độ độc lập cao hơn. 8.2.7 Hệ thống bên ngoài Các phương pháp và th ủ tục soát xét trong Phụ lục A cần phải được điều chỉnh phù hợp với việc soát xét các hệ thống thông tin bên ngoài. Bởi v ì tổ chức không thường xuyên kiểm soát trực tiếp các biện pháp kiểm soát an toàn được sử dụ n g trong các hệ thống thông tin bên ngoài hoặc thiếu tầm nhìn đối với việc phát triển, tri ể n khai và soát xét các biện pháp đó, các phương pháp s o át xét thay thế có thể c ầ n phải đ ư ợc áp dụng. Điều này c ó thể dẫn đến sự cần thiết phải điều chỉnh các th ủ tục soát xét được mô tả trong Phụ lục A. Nếu được yêu cầu th ì các bảo đảm của các biện pháp được chấp thuận cho hệ thống thông tin đều được ghi trong hợp đồng hoặc các thỏa th u ận mức dịch vụ. Chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin cần soát xét các hợp đồng hoặc thỏa thuận này và nếu thích hợp th ì điều chỉnh các thủ tục soát xét đ ể soát xét xem các kết quả soát xét biện pháp hoặc các biện pháp kiểm soát có được cung cấp thông qua các thỏa thuận này không. Ngoài ra, chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin cần xem xét m ọ i soát xét đã được tiến hành hoặc đang trong quá trình được tiến hành, b ở i các t ổ chức vận hành các hệ thống thông tin bên ngoài đ ư ợc tin cậy để bảo vệ các tài sản thông tin đang được soát xét. Thông tin dùng được từ những đánh giá này, nếu được xem là đáng tin cậy, c ầ n được đưa vào báo cáo. 8.2.8 Tài sản thông tin và tổ chức Thủ tục soát xét có thể được điều chỉnh để giải quyết các phụ thuộc riêng theo hệ thống/nền tảng cụ thể hoặc tổ chức cụ thể. T ì nh trạng này x u ất hiện thường xuyên trong các thủ tục soát xét liên quan đến các biện pháp kiểm soát an toàn từ các biện pháp kiểm soát kỹ thuật an toàn thông tin (tức là, kiểm s o át truy cập, đánh giá và giải tr ì nh trách nhiệm, nhận dạng và xác thực, bảo vệ hệ thống và thông tin liên lạc). Kết quả thử nghiệm gần đây cũng có thể được áp dụng cho soát xét hiện tại nếu các phương pháp thử nghiệm đó cung cấp độ minh bạch cao (Ví dụ: những g ì đã được thử nghiệm, thời gian thử nghiệm, cách thức thử nghiệm). Giao thức thử nghiệm dựa trên tiêu chuẩn có thể cung cấp các ví dụ về cách thức tổ chức có thể giúp đạt được mức độ minh bạch này. 8.2.9 Th ủ tục soát xét m ở rộng T ổ chức có sự linh hoạt lớn trong việc đạt được các yêu cầu đảm bảo kiểm soát an toàn thông tin. V í dụ, đối với một yêu cầu như đảm bảo rằng sai sót được giải quyết một cách kịp thời, t ổ chức có th ể đáp ứng yêu cầu này trên c ơ s ở từng biện pháp k iể m soát, từng loại biện pháp kiểm soát, từng hệ thống hoặc thậm chí ngay cả ở cấp độ t ổ chức. Khi cân nhắc sự linh hoạt này, th ủ tục soát xét m ở rộng tại 7.5 được áp dụng trên cơ sở từng soát xét chủ yếu về cách thức tổ chức lựa chọn đ ể đạt được sự đảm bảo cho các tài sản thông tin được soát xét. Phương pháp ứng dụng phải được ghi trong kế hoạch soát xét. Hơn nữa, tổ chức lựa chọn các mục tiêu soát xét phù hợp từ th ủ tục soát xét m ở rộng trên cơ s ở mức độ rủi ro tài sản thông tin. Việc áp dụng thủ tục soát xét mở rộng nhằm để bổ sung các thủ tục soát xét khác nhằm tăng cơ sử tin tư ở ng rằng các biện pháp kiểm soát được triển khai một cách chính xác, hoạt động như dự kiến và đem lại các kết quả mong muốn đáp ứng các yêu về an toàn thông tin. 8.2.10 T ố i ưu hóa Chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin có thể có một mức độ linh hoạt nhất định trong việc tổ chức một kế hoạch soát xét đáp ứng nhu cầu của tổ chức. V ì vậy đây là một cơ hội để thu được những chứng cứ cần thiết trong việc xác định hiệu lực của biện pháp kiểm so á t an toàn, trong khi vẫn làm giảm chi phí đánh giá tổng th ể . Việc kết hợp và củng cố c á c thủ tục soát xét là một lĩnh vực mà sự linh hoạt này có th ể được áp dụng. Trong quá tr ì nh soát xét, các phương pháp soát xét được áp dụng nhiều lần với một loạt các đối tượng soát xét trong lĩnh vực kiểm soát an toàn thông tin nhất định. Để tiết kiệm thời gian, giảm chi phí soát xét và tối đa hóa tính hữu ích của kết quả soát xét, chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin cần soát xét các thủ tục soát xét cho các khu vực kiểm soát và kết hợp hoặc củng cố các thủ tục này (hoặc các phầ n của thủ tục) bất cứ khi nào có th ể hoặc khả thi. Ví dụ: chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin có thể mong muốn tổ chức các cuộc phỏng vấn với các cán bộ trong tổ chức về các chủ đề liên quan đến an toàn thông tin. Chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin đồng thời có thể có nhiều cơ hội cho các cuộc hợp nhất quan trọng và tiết kiệm chi ph í bằng cách kiểm tra tất cả các chính sách và thủ tục an toàn được áp dụng hoặc tổ chức các nhóm về các chính sách và thủ tục liên quan mà có th ể được soát xét như là một thực thể thống nhất. Việc thu thập và kiểm tra các thiết lập cấu hình từ các thành phần phần c ứ ng và phần mềm tương tự trong hệ thống thông tin có liên quan là một ví dụ khác có thể cung cấp hiệu quả soát xét đáng k ể . Một khu vực khác để cân nh ắ c trong khi tối ưu hóa quá trình soát xét là trình tự mà trong đó các biện pháp kiểm soát được soát xét. Việc soát xét một số biện pháp kiểm soát trước kh i những biện pháp kiểm soát khác c ó thể cung cấp thông tin tạo điều kiện cho sự hiểu biết và soát xét các biện pháp khác.Ví dụ: các khu vực kiểm soát có thể tạo ra mô tả chung về tài sản thông tin. Việc soát xét trước các biện pháp kiểm so á t an toàn này trong quá tr ì nh soát xét có th ể cung cấp một sự hiể u biết cơ b ả n về các tài sản thông tin có thể hỗ trợ trong việc soát xét các biện pháp kiểm soát an toàn khác. Hư ớ ng dẫn bổ sung của nhiều biện pháp kiểm soát cũng xác định các biện pháp kiểm soát liên quan có th ể cung cấp thông tin hữu í ch trong việc tổ chức các th ủ tục soát xét. Nói cách khác, trình tự tiến hành soát xét có thể tạo điều kiện cho việc tá i sử dụng các thông tin soát xét củ a một biện pháp kiểm soát trong việc soát xét các biện pháp khác c ó liên quan. 8.2.11 Hoàn tất kế hoạch soát xét Sau khi lựa chọn các th ủ tục soát xét (bao gồm cả các th ủ tục cần phát tri ể n không c ó trong tài liệu này), điều chỉnh các thủ tục theo các điều kiện tài sản thông tin cụ thể và tổ chức cụ thể, tối ưu hóa các thủ tục cho hiệu quả, áp dụng các thủ tục soát xét m ở rộng kh i cần thiết, và giải quyết các sự kiện tiềm tàng bất ngờ ảnh hưởng đến việc soát xét, kế ho ạ ch soát xét được hoàn thành và lịch trình được thiết lập bao gồm những mốc thời gian quan trọng cho quy tr ì nh soát xét. Sau khi kế hoạch soát xét hoàn t ấ t, kế hoạch được xem xét và phê duyệt bởi các cán bộ phù hợp trong tổ chức để đảm bảo rằng kế hoạch này là đầy đ ủ , hoàn toàn phù hợp với các mục tiêu an toàn của tổ chức và soát xét rủi ro của t ổ chức, có hiệu quả chi phí liên quan đến các nguồn lực được phân bổ cho soát xét. Trong trường hợp việc soát xét có th ể làm gián đoạn hoạt động b ì nh thường của tổ chức (ví dụ như bằng cách ngăn chặn các sai sót c ó th ể (tạm thời) hoặc cá nhân của hệ thống do kiểm tra xâm nhập), kế hoạch soát xét cần thể hiện rõ mức độ và thời gian cho các gián đoạn n à y. 8.3 Tiến hành soát xét Sau khi kế hoạch soát xét được t ổ chức phê duyệt, chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin thực hiện kế hoạch theo các mốc thời gian và lịch trình đã đ ư ợc chấp thuận. Các mục tiêu soát xét đạt được bằng cách áp dụng các phương pháp soát xét đối với các đối tượng soát xét được lựa chọn và biên dịch/đưa ra các thông tin cần thiết đ ể đưa ra quyết định liên quan đến từng mục tiêu đánh giá. Mỗi t u yên bố quyết đ ị nh có trong một thủ tục soát xét được thực hiện bởi một chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin cần đưa ra một trong những phát hiện sau đây. • thỏa mãn (S), • thỏa mãn một phần (P), • phát hiện khác ngoài thỏa mãn (O). Ph á t hiện là thỏa mãn chỉ ra rằng, biện pháp kiểm soát đã giải quyết b ở i tuyên bố quyết định, thông tin soát xét được thu nhận (tức là, chứng cứ được thu thập) ch ỉ ra rằng mục tiêu soát xét đối với biện pháp kiểm soát đã được đáp ứng cho kết quả hoàn toàn chấp nhận được. Phát hiện là thỏa mãn một ph ầ n ch ỉ ra rằng một phần của biện pháp kiểm soát không giải quyết được mục tiêu kiểm soát hoặc, tại thời điểm soát xét, việc thực hiện biện pháp kiểm soát vẫn đang được tiến hành, với sự đảm bảo hợp lý rằng biện pháp kiểm soát sẽ đạt được kết quả thỏa mãn (S). Phát hiện khác ngoài thỏa mãn ch ỉ ra rằng biện pháp kiểm soát đã được giải quyết bởi tuyên bố quyết định, thông tin soát xét thu được cho thấy các bất thường tiềm tàng trong hoạt động hoặc triển khai biện pháp kiểm soát mà có th ể cần phải được tổ chức giải quyết. Phát hiện khác ngoài th ỏ a mãn cũng có thể ch ỉ ra rằng v ì những lý do nêu trong báo cáo soát xét, chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin đã không thể có được đầy đủ thông tin để đưa ra quyết định cụ th ể đã đề ra trong tuyên bố quyết định. Các phát hiện của chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin (tức là, các quyết định được đưa ra) phải không thiên vị, báo cáo thực tế về những gì đã đư ợ c t ì m thấy phải liên quan đến biện pháp kiểm soát được soát xét. Đối với mỗi phát hiện khác ngoài thỏa mãn, chuyên gia đánh giá soát xét kiểm soát an toàn thông tin cần chỉ ra các bộ phận của biện pháp kiểm soát bị ảnh hư ở ng bởi phát hiện này (nghĩa là những khía cạnh của biện pháp kiểm soát được cho là không thỏa mãn hoặc không thể được soát xét) và mô tả xem biện pháp kiểm soát này khác với tình trạng theo kế hoạch hoặc dự kiến như thế nào. Chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin cũng cần lưu ý khả năng thỏa hiệp đề giữ bí mật, tính toàn vẹn và t í nh sẵn sàng do các phát hiện khác ngoài thỏa mãn. Nếu soát xét cho thấy sự không ph ù hợp ch í nh (tức là những phát hiện “ khác ngoài thỏa mãn” lại đi chệch đáng k ể so với tình trạng theo kế hoạch), trong đ ó có th ể mang theo một nguy cơ đáng kể cho tổ chức, chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin phải ngay lập tức thông báo cho người có trách nhiệm về biện pháp kiểm soát này và ban quản lý rằng các thủ tục giảm nhẹ có thể được bắt đầu ngay lập tức. 8.4 Phân tích và báo cáo kết quả K ế hoạch báo cáo cung cấp các mục tiêu cho việc soát xét và lộ tr ì nh chi tiết về cách thức để tiến hành soát xét như vậy. Đầu ra và kết quả cuối cùng của soát x é t là báo cáo soát xét, những tài liệu này ghi lại cấp độ đảm bảo thông tin dựa trên các kiểm soát an toàn thông tin được thực hiện. Bản báo cáo bao gồm thông tin từ chuyên g i a đánh giá soát xét biện pháp kiểm soát an toàn thông tin (dưới hình thức các kết quả đánh giá) cần thiết đ ể xác định hiệu lực của các biện pháp kiểm soát được sử dụng và hiệu lực tổng thể của tổ chức trong việc thực hiện các biện ph á p kiểm soát được lựa chọn và thích hợp dựa trên các phát hiện của chuyên gia đ á nh giá soát xét biện pháp kiểm soát an toàn thông tin.. Báo cáo này là một yếu tố quan trọng trong việc xác định những rủi ro an toàn thông tin cho các hoạt động (tức là, nhiệm vụ, chức năng), tài sản của t ổ chức, các cá nhân và các tổ chức khác v.v.. Kết quả soát xét phải được lập tài liệu ở mức độ chi tiết thích hợp với soát xét phù hợp với một định dạng báo cáo theo quy định ở , chính sách của tổ ch ứ c. M ẫ u b á o cáo cũng phải phù hợp cho loại soát xét kiểm soát được thực hiện (v í dụ, tự đ á nh g i á của chủ sở hữu hệ thống thông tin, xác minh và xác nhận độc lập, các soát xét biện pháp kiểm soát độc lập của chuyên gia đánh giá v.v..).. Chủ sở hữu hệ thống thông tin dựa vào các ý kiến chuyên môn an toàn thông tin và đánh giá kỹ thuật của chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin đ ể soát xét biện pháp kiểm soát an toàn và cung cấp các khuyến nghị cụ th ể về cách để sửa chữa những yếu kém hoặc thiếu sót của các biện pháp kiểm soát và giảm hoặc loại b ỏ các điểm yếu được xác định . Thông tin soát xét được cung cấp bởi chuyên gia đánh giá soát xét biện pháp kiểm soát a n toàn thông tin (tức là, các phát hiện l à thỏa mãn hoặc không thỏa mãn, định danh các bộ phận của biện pháp kiểm soát an toàn không cho kết qu ả khả quan và mô tả các kết quả tiềm năng thỏa hiệp với tài sản thông tin) được cung cấp cho các nhà quản lý trong báo cáo soát xét an toàn ban đầu (dự thảo). Chủ s ở hữu tài sản có th ể chọn hành động dựa trên các khuyến nghị lựa chọn của chuyên gia đánh giá soát xét biện pháp kiểm so á t an toàn thông tin trước khi báo cáo được hoàn thành nếu có cơ hội cụ thể để khắc phục những điểm yếu hoặc thiếu sót trong các biện pháp kiểm soát hoặc khắc phục/làm rõ những hiểu lầm hay diễn giải kết quả soát xét. Chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin cần soát xét lại các biện pháp kiểm soát đã được sửa chữa, tăng cường, hoặc bổ s u ng trong quá trình này một lần nữa trước khi đưa ra báo cáo cuối cùng. Việc cung cấp báo cáo cuối cùng cho ban quản lý sẽ đánh dấu sự kết thúc ch í nh thức của cuộc soát xét biện pháp kiểm soát an toàn thông tin. Do các kết quả soát xét rốt cục sẽ ảnh hưởng đến nội dung của các biện pháp kiểm soát an toàn thông tin, kế hoạch hành động và các mốc quan trọng nên chủ sở hữu tài sản thông tin cần xem xét những phát hiện c ủ a chuyên gia đánh giá soát xét biện pháp kiểm s o át an toàn thông tin và với sự đồng ý của ban quản lý đề xác định các bư ớ c th í ch hợp cần thiết để khắc phục những yếu kém, thiế u sót được xác định trong cuộc soát xét. Bằng cách sử dụng các thẻ thỏa mãn và khác ngoài thỏa mã, mẫu báo c á o về các phát hiện soát xét cần c u ng cấp sự rõ r à ng cho các nhà quản lý về các điểm yếu và khuyết đi ể m an toàn thông tin và tạo điều kiện cho một cách tiếp cận có nguyên tắc và cấu trúc đ ể giảm thi ể u r ủ i ro phù hợp với quy trình quản lý rủi ro an toàn thông tin. V í dụ, chủ sở hữu tài sản thông tin tham khảo ý kiến với các nhà quản lý có thể q u yết định rằng các phát hiện soát xét nhất định được đánh dấu là khác ng o ài thỏa mãn là có tính chất không q u an trọng và hiện tại không có nguy cơ đáng k ể cho tổ chức. Ngoài ra, ch ủ sở hữu và người quản lý có thể quyết định rằng các phát hiện đánh giá được đánh dấu là khác ngo à i thỏa mãn là rất lớn, đòi h ỏ i phải có hành động khắc phục hậu quả ngay lập tức. Trong mọi trường hợp, tổ chức cần xem xét từng phát hiện là khác ngoài thỏa mãn của chuyên gia đánh giá soát xét các biện pháp kiểm soát an toàn thông tin và áp dụng ph á n quyết li ê n quan đến mức độ nghiêm trọng của phát hiện này (tức là, các ảnh hưởng bất lợi tiềm ẩn đến hoạt động của t ổ chức, tài sản, cá nhân, tổ chức khác có v.v..), và cho dù kết quả này là đáng kể, đ ủ để đ ư ợc xứng đáng với điều tra thêm hoặc hành động khắc phục hậu quả. Sự tham gia của quản lý cấp cao trong quá tr ì nh giảm thiểu tác động có thể cần thiết để đảm bảo rằng các nguồn lực của tổ chức được phân bổ hiệu quả phù hợp với các ưu tiên về tổ chức, cung cấp nguồn lực đầu tiên cho các tài sản thông tin hỗ trợ hầu hết các quy trình nghiệp vụ quan trọng cho t ổ chức hoặc điều chỉnh những khiếm khuyết có m ứ c độ r ủ i ro cao nhất. Cuối cùng, các phát hiện soát xét và mọi hành động giảm thiểu tiếp theo kh ởi xướng b ở i các chủ sở hữu tài sản thông tin cùng với các cán bộ được chỉ định trong tổ chức sẽ thúc đẩy cập nhật thủ tục quản lý rủi ro an toàn thông tin và các biện pháp kiểm soát an toàn th ô ng tin. Do đó, các tài liệu quan trọng được sử dụng bở i các nhà quản lý để xác định t ì nh trạng an toàn thông tin của các tài sản thông tin sẽ được cập nhật đ ể phản ánh kết qu ả của soát xét. Tại các mốc thời gian quan trọng hoặc các khoảng thời gian cố định sau khi soát xét, ví dụ ba tháng sau khi báo cáo cuối cùng, soát xét tiếp theo tập trung vào các vấn đề nổi bật hay “ m ở” thường được thực hiện. Điều này bao gồm việc kiểm tra tính hiệu lực của các giải pháp được thực hiện cho c á c phát hiện trước đó. Tổ chức cũng có thể chọn đ ể thực hiện các hoạt động tiếp theo cho đánh giá tiếp theo, đặc biệt là đối với những vấn đề mà là không quan trọng, cấp bách. Phụ lục A (Tham khảo) Hướng dẫn thực hành kiểm tra sự tuân thủ kỹ thuật Phụ lục A cung cấp hướng dẫn thực hành cho việc kiểm tra sự tuân thủ kỹ thuật bằng cách sử dụng các biện pháp kỹ thuật đi ể n hình được nêu trong TCVN ISO/IEC 27002:2011. Mỗi biện pháp trong Phụ lục A được tổ ch ứ c một cách cơ bản theo c ấ u trúc của các tuyên b ố và hướng dẫn sau: “ Biện pháp kỹ thuật ” (gồm “ thông tin kỹ thuật bổ sung ” ). 1. Tiêu chuẩn thực thi an toàn (gồm “ chú thích kỹ thuật về tiêu chuẩn thực thi an toàn ” ). 1.1 Hướng dẫn thực hành, chứng c ứ được giả định, phương pháp. 1.2 Hướng dẫn thực hành, chứng cứ được giả đ ị nh, phương pháp v.v.. 2. Tiêu chuẩn thực thi an toàn (gồm “ chú thích kỹ thuật về tiêu chuẩn thực thi an toàn ” ). 2.1 Hướng dẫn thực hành, chứng cứ được giả đ ị nh, phương pháp. 2.2 Hư ớ ng dẫn thực hành, chứng cứ được giả định, phương pháp v.v.. Mỗi biện pháp kỹ thuật có thông tin kỹ thuật bổ sung đưa ra đ ể hỗ trợ chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin. Biện pháp kiểm soát cơ bản nhất quán với trong bộ “ các tiêu chuẩn thực thi an toàn ” m à cần được soát xét thường xuyên b ở i tổ chức đ ể xác minh liệu các tiêu chuẩn có khả năng áp dụng có được triển khai và vận hành một cách th ỏa đáng hay không? Mỗi “ tiêu chuẩn thực thi an toàn ” có b ổ sung “ chú thích kỹ thuật về tiêu chuẩn thực thi an toàn ” đ ể cung cấp thêm thông tin cho qu á trình soát xét. N ó cũng cung cấp thêm một bộ các “ hướng dẫn thực hành ” , “ chứng cứ được giả định ” và “ phương pháp ” . “ Hướng dẫn thực hành ” cung cấp một thủ tục kiểm tra việc tuân thủ để áp dụng cho tiêu chu ẩ n thực thi an toàn, “ chứng cứ được giả định ” đưa ra một vài ví dụ về hệ thống, tệp tin, tài l iệu và các hạng mục khác mà được chấp nhận trong thủ tục kiểm tra tuân thủ. Lưu ý rằng tên của chứng cứ c ó thể khác nhau giữa các tổ chức. Tuy nhiên tên sử dụng trong Phụ lục này thường được chấp thuận trong lĩnh vực kiểm tra sự tuân th ủ kỹ thuật. “ Phương pháp ” cung cấp cách tiếp cận thích hợp đ ể kiểm tra sự tuân th ủ kỹ thuật theo hướng dẫn thực hành bên trên. Phụ lục A không cung cấp hướng dẫn thực hành toàn diện cho việc kiểm tra sự tuân th ủ kỹ thuật nhưng Phụ lục này vẫn giúp các tổ chức dùng để soát xét liệu các tiêu chuẩn thực thi an toàn có được triển khai và vận hành th ỏa đáng hay không? A.1 Kiểm tra kỹ thuật đối v ớ i biện pháp kiểm soát phòng ngừa các mã độc. Biện pháp kiểm soát TCVN ISO/IEC 27002:2011 9.4.1 Biện pháp kiểm soát ch ố ng lại mã độc. Các biện pháp quản l ý việc phát hiện, ngăn chặn và phục hồi đ ể bảo vệ chống lại mã độc và các th ủ tục tuyên truyền nâng cao nhận thức của người dùng phải được thực hiện. Thông tin kỹ thuật bổ sung Mã độc là một thuật ngữ chung dùng để chỉ một đoạn mã bao gồm phần mềm, chương tr ì nh, kịch bản được thiết kế gây thiệt hại cho hệ thống máy tính bằng cách ăn cắp thông tin, gian lận, hoạt động gián điệp, làm hỏng và phá hoại. Kh i mã độc đã được đưa vào một hệ thống máy tính, hệ thống c ó thể bị thiệt hại hoặc các thông tin của hệ thống có thể bị đánh cắp. Hành vi đ ó cũng sẽ có thể gây thiệt hại các hệ thống khác. Phần mềm độc hại bao gồm vi-rút máy tính, sâu, trojan, bot, phần mềm gián điệp, phần mềm quảng cáo, mã độc và các phần mềm không mong muốn khác. Trong điều kiện kết nối mạng của tổ chức với mạng Internet, chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin nên soát xét rằng các chức năng phát hiện/phòng ngừa mã độc đang được đặt tại ranh giới của mạng Internet một cách toàn diện và hiệu quả, những chức năng đó thích hợp với công việc. Đặc b i ệt, đ ể xem xét liệu các chức năng phát hiện / phòng ngừa có đang làm việc một cách phù hợp, chuyên gi a đánh giá kiểm soát biện pháp an toàn thông tin phải xác nhận xem các tệp tin hoặc chữ ký mẫu được s ử dụng để phát hiện phần mềm độc hại đã được cập nhật chưa. Một số hệ thống phát hiện / phòng ngừa được kiến trúc đ ể phát hiện phần mềm độc hại bằng cách sử dụng các tệp tin hoặc chữ ký mẫu và một vài trong số đó được kiến trúc để ph á t hiện hành vi bất thường của hệ thống máy t í nh mà không cần sử dụng bất kỳ tệp tin hoặc chữ ký mẫu nào. V ì có một s ố mô hình để kết nối với Internet như kết nối mạng của t ổ chức với Internet thông qua cổng hoặc kết nối trực tiếp mỗi máy tính với Internet, nên chuyên gia đánh giá kiểm soát an toàn thông tin c ầ n đảm bảo rằng hệ thống phát hiện / phòng ngừa làm việc một cách ph ù hợp theo từng hoàn cảnh. CH Ú Ý: Chuyên gia đánh g i á kiểm so á t an to à n thông tin cần biết rằng khả năng của hệ thống phát hiện/ngăn ngừa b ị hạn chế đố i vớ i các mã độc chưa bi ế t, chẳng hạn như tấn công Zero day. Tiêu chuẩn thực thi an toàn Việc cài đặt và cập nhật thường xuyên phần mềm phát hiện và sửa chữa mã độc để quét máy t í nh và các phương tiện là một biện pháp phòng ngừa hoặc được làm thường xuyên; việc kiểm tra được thực hiện cần bao gồm: 1) Kiểm tra mã độc cho mọi tệp tin tr ê n phương tiện điện tử hoặc quang học và các tệp tin nhận được qua mạng trước khi sử dụng; 2) Kiểm tra mã độc cho các tệp tin đính kèm thư điện t ử và c á c tệp tin tải về trước khi sử dụng; việc kiểm tra này phải được thực hiện tại các địa điểm khác nhau, ví dụ: tại máy chủ thư điện tử, máy tính bàn và khi vào mạng của tổ chức; 3) Kiểm tra mã độc hại cho các trang web. Lưu ý kỹ thuật tiêu chuẩn thực thi an t o àn Tại cổng, lối vào mạng của t ổ chức, hệ thống phát hiện /phòng chống phần mã độc hại cận làm việc phù hợp v ớ i một loạt các dịch vụ hoặc giao thức mạng như: www, mail, FTP. 1.1 Hướng dẫn thực hành Hư ớ ng dẫn thực hành sau đây được áp dụng cho “ tiêu chuẩn thực thi an toàn ” 1), 2) và 3). 1) Kiểm tra xem hệ thống phát hiện mã độc và sửa chữa được thiết lập một cách toàn diện và c ó hiệu quả đối với bất kỳ tệp tin trên phương tiện truyền thông điện t ử hoặc quang học và các tệp tin nhận được qua mạng bằng cách xem xét các đặc tả kỹ thuật hoặc sơ đồ mạng. Chuyên gi a đánh giá kiểm soát an toàn thông xem xét kiểm tra xem hệ thống phát hiện/phòng ngừa đã được thiết lập cách toàn diện và hiệu quả bằng cách xem xét các đặc tả kỹ thuật hệ thống hoặc sơ đồ mạng . 2) Kiểm tra xem hệ thống phát hiện mã độc v à sửa chữa được thiết lập một cách toàn diện và có hiệu quả đối v ớ i bất kỳ tệp tin đ í nh kèm thư điện tử và các tải về bằng cách xem xét các đặc tả kỹ thuật hệ thống hoặc sơ đồ mạng bao gồm các máy ch ủ thư điện từ, máy tính bàn v à các cổng. Hệ thống phát hiện mã độc và sửa chữa đôi khi được mô tả rõ ràng trong các đặc tả hệ thống như một thiết bị chuyên quyền, tuy nhiên, chuyên gia đánh giá kiểm soát a n toàn thông tin lưu ý rằng thiết bị này cũng được đặt trong các máy chủ được thiết kế đ ể cung cấp một số chức năng/dịch vụ khác (www, mail, FTP) và do đó nó vốn đã có trong đặc tả hệ thống nhưng không được mô tả rõ ràng. Đối với máy tính đ ể bàn, chuyên gia đánh giá kiểm soát an toàn thông tin xem xét lưu ý rằng hệ thống phát hiện các mã độc hại và sửa chữa vốn cũng đã có trong đặc tả hệ thống mà không có mô t ả rõ ràng. 3) Kiểm tra xem hệ thống phát hiện mã độc và sửa chữa đã được thiết lập m ộ t cách toàn diện và có hiệu quả cho các trang web bằng cách rà soát các đặc tả hệ thống hoặc sơ đồ mạng bao gồm máy ch ủ web. Đối với máy tính để bàn sử dụng cho soát x é t hoặc duyệt các trang web, chuyên gia đánh giá kiểm soát an toàn thông tin lưu ý rằng hệ thống phát hiện mã độc và sửa chữa vốn đã nằm trong đặc tả hệ th ố ng và không có mô tả rõ ràng. Trong trường hợp này, hệ thống phát hiện mã độc và sửa chữa có thể đặt sẵn tro n g trình duyệt. Đối với máy chủ web, hệ thống phát hiện mã độc và sửa chữa đôi khi được mô tả rõ ràng trong c á c đặc tả hệ thống như một thiết bị chuyên quyền, tuy nhiên, chuyên gia đánh giá kiểm soát a n toàn thông tin lưu ý rằng nó cũng được đặt sạn trong các máy chủ web có trong đặc tả hệ thống mà không có mô tả r õ rà n g. Chứng cứ giả đ ị nh Đặc tả hệ thống, sơ đồ mạng Phương pháp Kiểm tra/soát xét Hướng dẫn thực hành Hướng dẫn thực hành sau đây tương ứng được áp dụng cho tiêu chuẩn thực thi an toàn 1), 2) và 3). 1) Kiểm tra xem hệ thống phát hiện mã độc và sửa chữa đã được đặt và đang làm việc phù hợp để phát hiện bất kỳ tệp tin trên phương tiện điện tử hoặc quang học và các tệp tin nhận được qua mạng bằng cách quan sát các phương tiện xử lý thông tin. Kiểm tra xem phần mềm quản lý có đang làm việc phù hợp trong hệ thống tích hợp khi mà hệ thống phát hiện mã độc và sửa chữa được quản lý thành một hệ thống tích hợp. 2) Kiểm tra xem hệ thống phát hiện mã độc và sửa chữa đã được thực hiện, đang làm việc phù hợp để phát hiện bất kỳ tệp tin đ í nh kèm thư điện tử và các tệp tin tải về tại các máy chủ thư điện tử, các máy t í nh bàn được lấy mẫu v à các cổng bằng cách quan sát các phương tiện xử lý thông tin. Đối với thư điện tử, kiểm tra xem hệ thống phát hiện có hoạt động không chỉ cho các tệp tin đính kèm mà còn với mã độc trên các thư điện tử. 3) Kiểm tra xem hệ thống phát hiện mã độc và sửa chữa đã được đặt và nó đang l àm việc một cách thích hợp đ ể phát hiện bất kỳ trang web bằng cách quan sát các phương tiện xử lý thông tin. Đối với máy tính để bàn sử dụng cho soát xét hoặc duyệt web, kiểm tra xem hệ thống phát hiện có làm việc cho kiểm soát Active X, kịch bản v. v. . Đối với máy chủ web, kiểm tra xem hệ thống phát hiện hoạt động không ch ỉ cho các tệp tin html mà còn cả mã độc trong các dịch vụ web như Apache, II S, v.v.. Chứng cứ giả định Các phương tiện của hệ thống phát hiện mã độc và sửa chữa đã được thiết lập, ví dụ: • Máy chủ tệp tin; • Máy chủ thư điện tử; • Các máy tính để bàn được lấy mẫu; • Máy tính di động; • Một hệ thống phát hiện mã độc và sửa chữa chuyên quyền đ ược đặt tại cổng (ranh gi ớ i giữa mạng của tổ chức và Internet); • Máy chủ Web; • PROXY máy chủ; • Tr ì nh duyệt web; • Các loại khác (thiết bị đ ể ngăn chặn USB được cắm vào). Phương pháp Kiểm tra/Quan sát 1.3 Hướng dẫn thực, hành Thu thập các tệp tin đ ă ng nhập từ hệ thống phát hiện và sửa chữa và kiểm tra rằng các hồ sơ nhật ký đăng nhập cho thấy rằng hệ thống đang được chạy và hoạt động cần thiết đã được thực hiện khi phần mềm độc hại đã được phát hiện. CHÚ THÍCH: Đ ố i với máy tính để bàn, các nhật ký đầu ra thông thư ờ ng từ hệ thống phát hiện và sửa chữa được lưu trữ trong m á y t í nh. Đối với các máy chủ và các thiết b ị bên ngoài, những nhật ký này được đôi khi chuyển giao và lưu trữ trong các hệ thống khác thông qua giao thức chuyển giao như nhật ký hệ thống. Đối với máy t í nh để bà n được sử dụng để soát xét hoặc tr ì nh duyệt c á c trang web, ch ứ c năng phát hiện trong trình duyệt web có th ể không tạo ra hồ sơ nhật ký cho thấy rằng các chức n ă ng đang được chạy. Thay vào đó hầu hết các tr ì nh duyệt hiển thị thông báo khi các đoạn scrip trái phép được phát hiện. Chứng cứ giả định • Hệ thống phát hiện trong dịch vụ; • Đầu ra tệp tin đăng nhập từ hệ thống phát hiện; • Hồ sơ về cảnh báo của hệ thống phát hiện; • Tin nh ắ n từ hệ thống phát hiện trong tr ì nh duyệt web; Phương pháp Kiểm tra/Quan sát Tiêu chuẩn thực thi an toàn Phần mềm phát hiện mã độc và sửa chữa để quét các máy tính và phương tiện là một biện pháp phòng ngừa phải được cập nhật thường xuyên. Lưu ý kỹ thuật tiêu chu ẩ n thực thi an toàn Trong hầu hết các trư ờ ng hợp, đều có các chức năng để cập nhật tự động các tệp tin hoặc chữ ký mẫu . 2.1 Hướng dẫn thực hành Kiểm tra thiết kế của phần mềm phát hiện mà độc và sửa chữa đ ể cập nhật các tệp tin hoặc chữ ký mẫu tự động hoặc thường xuyên. Chứng cứ giả đ ị nh Thiết kế hoặc đặc đi ể m kỹ thuật của hệ thống phát hiện. Phương pháp Kiểm tra/so á t xét 2.2 Hướng dẫn thực hành Kiểm tra xem việc thiết lập phần mềm phát hiện mã độc và sửa chữa đ ể cập nhật các tệp tin hoặc chữ ký mẫu tự động hoặc thường xuyên. Chứng cứ giả định Các thiết lập của hệ thống phát hiện Phương pháp Kiểm tra/Quan sát 2.3 Hướng dẫn thực hành Kiểm tra xem tệp tin hoặc chữ ký mẫu đã được cập nhật thông qua quan sát các tên sản phẩm, phiên bản cập nhật và nhật ký cập nhật của các tệp tin hoặc chữ ký mẫu của ch ún g. CHÚ TH Í CH: Thông tin về tên sản ph ẩ m v à phiên bản của hệ thống phát hiện và sửa chữa có thể được quan sát trong các tệp tin trợ giúp của sản phẩm. Chứng cứ giả định Thông tin về hệ thống phát hiện/phòng ngừa là: • Tên sản phẩm; • Phiên bản của sản phẩm; • Phiên bản của tệp tin hoặc chữ ký mẫu. Phương pháp Kiểm tra/Quan sát A.2 Kiểm tra kỹ thuật đối với biện pháp kiểm soát trên nhật k ý đánh giá Biện pháp kiểm soát TCVN ISO/IEC 27002:2011 9.10.1 nhật ký đánh giá Nhật ký đánh gi á ghi lại các ho ạ t động người dùng, các trường hợp ngoại lệ và các sự kiện an toàn thông tin phải, được tạo và lưu giữ trong một thời gian để hỗ trợ cho việc điều tra trong tương lai và giám sát kiểm soát truy cập. Thông tin kỹ thuật bổ sung Để phát hiện các hoạt động xử lý thông tin trái phép, điều quan trọng là phải ghi lại các nhật ký đánh giá được sử dụng đề theo dõi các hoạt động của người sử dụng, những người quản tr ị hệ thống, các sự kiện và hệ thống an toàn. Các nhật ký đánh giá phải có các thông tin sau đây để phân tích xem c ó các hoạt động trái phép, các sự kiện an toàn không: • Tên truy cập của người dùng; • Ngày và thời gian; • Sự kiện quan trọng như đăng nhập và đăng xuất; • Tên thiết bị đầu cuối; • Địa ch ỉ mạng và các giao thức. Để tạo hồ sơ cần thiết bao gồm những thông tin trên, những thiết b ị tạo ra nhật k ý cần được bật hoặc một số quy tắc sẽ được áp dụng đối với chúng. Phương pháp ghi nhật ký phụ thuộc vào cấu trúc, kiến trúc hệ thống và các ứng dụng được triển khai. Ch u yên gia đánh giá soát xét biện pháp an toàn thông tin cần xem xét sự khác biệt của phương pháp ghi nhật ký đối với các kiến trúc hệ thống khác nhau chẳng hạn như máy chủ và máy tính cá nhân. CHÚ TH Í CH: V í dụ về các c ấ u trúc h ệ thống cần được quan tâm là: • Hệ thống máy chủ khách; • Hệ thống dựa trên web; • Hệ thống máy khách loại nhẹ; • Sự ảo hóa; • Việc sử dụng ASP (Nhà cung cấp dịch vụ ứng dụng), SaaS (phần mềm dịch v ụ ) hoặc điện toán đám mây. Ví dụ về các kiến trúc hệ thống cần được quan tâm là: • Hệ điều hành UNIX, Linux; • Phần mềm Windows; • Máy t í nh l ớ n. V í dụ v ề các loại nhật k ý cần được quan tâm là: • Nhật ký hệ thống; • Nhật ký ứng dụng. 1 Tiêu chuẩn thực thi an toàn Cần đưa ra các nhật ký đánh giá ghi lại các hoạt động của người sử d ụng, các trường hợp ngoại lệ và các sự kiện an toàn thông tin. Nhật ký đánh giá phải bao gồm: a) ID người dùng; b) Ngày, giờ và các chi tiết của sự kiện quan trọng, v í dụ đăng nhập và đăng xuất; c) Tên thiết b ị đầu cuối hoặc vị trí nếu có thể; d) Các hồ sơ về các cố gắng truy cập hệ thống thành công và bị từ chối; e) Các hồ sơ về c á c cố gắng truy cập dữ liệu và tài nguyên khác thành công và bị từ chối; f) Các thay đ ổ i cấu hình hệ thống; h) Sử dụng các tiện í ch hệ thống và các ứng dụng; i) Các tệp tin được truy cập và loại truy cập; j) Các địa ch ỉ và giao thức mạng; k) Các cảnh báo đưa ra bởi hệ thống kiểm soát tr u y cập; l ) Sự kích hoạt và vô hiệu hóa hệ thống bảo vệ, chẳng hạn như hệ thống chống virus và hệ thống phát hiện xâm nhập. Lưu ý kỹ thuật tiêu chu ẩ n thực thi an toàn Để tìm ra sự kiện bảo mật và nguyên nhân của chúng, chuyên gia đánh giá soát xét biện pháp an toàn thông tin kiểm tr a và phân tích t ì nh trạng hoạt động của hệ thống, việc sử dụng và thay đổi hồ sơ trong nhật ký. Đ ể điều tra các sự kiện, nguyên nhân của sự cố, nhật ký đánh giá từ nhiều hệ thống cần được kết hợp lại. Với mục đích này, việc hiểu được vị trí và loại tệp tin nhật ký đánh giá từ việc x em x é t hệ thống cấu trúc/kiến trúc/cấu hình rất quan trọng. 1.1 Hướng dẫn thực hành Kiểm tra x e m thiết kế hệ thống của ghi nhập ký có được th ực hiện dựa trên tiêu chuẩn thực thi an toàn. Chứng cứ giả định • Tài liệu đặc tả kỹ thuật • Tà i liệu xác định yêu cầu • T à i liệu thiết kế phần mềm Phương pháp Kiểm tra/soát xét 1.2 Hướng dẫn thực hành Kiểm tra xem việc thiết lập các tệp tin c ấ u hình hệ thống của nhật ký có như mô tả trong các tài liệu thiết kế hệ thống không. Chứng cứ giả đ ị nh • Tài liệu thiết kế phần mềm • Các tệp tin c ấ u hình hệ thống Phương pháp Kiểm tra/Quan sát 1.3 Hướng dẫn thực hành Kiểm tra các hồ sơ của c á c tệp tin nhật ký đánh giá thực tế được như mô tả trong tài liệu thiết kế hệ thống. CHÚ THÍCH: Trong các nhật ký đánh giá, có một s ố hồ sơ xuất hiện liên tục và một số các hồ sơ như hồ sơ lỗi thì không. Để kiểm tra xem hệ thống có ghi lại các hồ sơ ch ỉ xuất hiện trong một số trường hợp cụ th ể hay kh ô ng, chuyên gia đánh giá soát xét biện pháp an toàn thông tin có thể cần phải sử dụng các biện pháp khác nhau bao gồm tạo ra các trường hợp kiểm thử, kiểm tra một tà i liệu thiết kế hệ thống. Chứng cứ giả định Tệp tin nhật k ý Phương ph á p Kiểm tra/Quan sát 1.4 Hư ớ ng dẫn thực hành Kiểm tra t í nh toàn vẹn của hồ sơ trong các nhật k ý đánh giá để xác định nhật ký thích hợp. CHÚ THÍCH: Một và i hồ sơ phải được gh i lạ i trong nhật ký đánh g i á đang b ị m ấ t do hiệu năng và năng lực của hệ thống, hoặc một và i lý do khác, mặc dù các thiết lập cho nhật ký là phù hợp. Chứng cứ giả định Tệp tin nhật ký Phương pháp Kiểm tra/Quan sát Tiêu chuẩn thực thi an toàn Các nhật ký đánh giá phải được giữ trong một thời gian để hỗ trợ cho việc điều tra trong tương lai và biện pháp theo dõi truy cập. Lưu ý kỹ thuật tiêu chu ẩ n thực thi an toàn Trong một s ố trường hợp, thời gian lưu trữ nhật ký đánh giá được x ác định theo mục đ í ch nghiệp vụ, hợp đồng và luật pháp / quy định. Ví dụ, các nhật ký đánh giá ch ứa cảnh báo đư a ra bởi hệ thống kiểm soát truy cập cần được lưu giữ cho đ ế n khi việc điều tra các sự kiện, nguyên nhân của sự c ố đã được hoàn thành. CH Ú TH Í CH: với các hệ thống tương đ ối mớ i m à hoạt động mớ i ch ỉ bắt đầu, các nhật ký đánh g i á chưa được lưu trữ trong th ời g ia n thỏa thuận. Trong trường hợp này, đ ể đạt được Hư ớ ng dẫn thực hành 2.3 th ì các hư ớ ng dẫn thực hành 2.1 và 2.2 cần th iế t để đ ược kiểm tra. 2.1 Hướng dẫn thực hành Kiểm tra xem thời gian lưu trữ các nhật ký đánh giá có như đư ợ c mô tả trong các tài liệu thiết kế hệ thống không. Ch ứ ng c ứ giả định • Tệp tin nhật ký • Tài liệu thiết kế hệ thống. Phương pháp Kiểm tra/Quan sát 2.2 Hướng dẫn thực hành Kiểm tra xem việc thiết lập thời gian lưu trữ các nhật ký đánh giá trong hệ thống c ó như được mô tả trong tà i liệu thiết kế hệ thống không hoặc việc thiết lập ghi đè hay xóa bỏ nhật ký đánh giá trước thời hạn lưu trữ đã không được áp dụng. Chứng cứ giả định Nhật ký hệ thống Tài liệu thiết kế hệ thống Phương pháp Kiểm tra/Quan sát 2.3 Hướng dẫn- thực hành Kiểm tra xem thờ i gian lưu trữ các nhật k ý đánh giá có dài hơn thời gian được chấp thuận không bằng cách quan sát các nhãn thời gian của tệp tin nhật ký hoặc hồ sơ thời gian trong nhật ký. Chứng cứ giả định Nhật ký hệ thống Tài liệu thiết kế hệ thống Phương pháp Kiểm tra/ q uan sát A.3 Kiểm tra kỹ thuật đối với biện pháp kiểm soát quản lý đặc quyền. Biện pháp kiểm soát TCVN ISO/IEC 27002:2011 10.2.2 Quản lý đặc quyền Việc phân bổ và sử dụng đặc quyền cần được hạn chế và kiểm soát. Thông tin kỹ thuật b ổ sung Quản lý đặc quyền là quan trọng, bởi vì việc sử dụng đặc quyền không phù hợp gây tác động đáng kể đ ế n hệ thống. Quản lý đặc quyền là quan trọng, b ở i vì việc sử dụng đặc quyền không phù hợp gây tác động đáng kể đến hệ thống. T ì nh trạng phân bổ đặc quyền cần được mô t ả trong các tài liệu xác định đặc quyền (tài liệu định nghĩa đặc quyền). V ì các đặc quyền truy cập liên quan đến mỗi sản phẩm hệ thống (hệ điều hành, hệ qu ả n tr ị cơ sở dữ liệu và mỗi ứng dụng) là khác nhau. V í dụ về các loại đặc quyền là. • Root (hệ điều hành UNIX, Linux); • Người quản trị (hệ điều hành Windows); • Người điều hành sao lưu (hệ điều hành Windows); • Người dùng chuyên nghiệp (hệ điều hành Windows); • Sa (DBMS); • quản trị cơ sở dữ liệu (DBMS); Việc phân b ổ đặc quyền tối thiểu phải trên cơ sở nhu cầu sử dụng. Ngoài ra, nó là không nhất thiết phải được phân bổ đều đặn. Phương pháp quản lý đặc quyền sẽ khác nhau trong các hệ thống khác nhau. Ví dụ về quản lý đặc quyền dựa trên hệ thống là: • Trong hệ điều hành, d a nh sách điều khiển truy cập định nghĩa đặc quyền; • Trong DBMS có nhiều loại đặc quyền mặc định; • Trong ứng dụng có thể xác định nhiều đặc quyền mặc định cho chức năng quản lý ứng dụng, do vậy chuyên gia đánh giá kiểm soát biện pháp an toàn thông tin trước tiên cần xác định cấp độ kiểm tra; • Trong hệ điều hành an toàn, c ó chức năng kiểm soát truy cập bắt buộc. 1 Tiêu chuẩn thực thi an toàn Các đặc quyền truy cập liên quan đến mỗi sản phẩm hệ thống, v í dụ như hệ điều hành, hệ quản trị cơ sở dữ liệu và mỗi ứng dụng và người dùng cần được phân bổ đặc quyền cần phải được x á c định. Lưu ý kỹ thuật tiêu chuẩn thực thi an toàn Hoạt động của người sử dụng đặc quyền cần được giám sát, v í việc sử dụng không phù hợp các đặc quyền sẽ gây ra một tác động đáng kể tới hệ thống. Các phương pháp phát hiện việc sử dụng không phù hợp các đặc quyền là khác nhau nếu kiến trúc hệ thống khác nhau. CHÚ TH Í CH: Các kiến trúc hệ thống đạ i diện là • Máy tính lớn; • Hệ điều hành Windows; • Hệ điều hành UNIX, Linux; • Hệ điều hành an to à n. 1.1 Hướng d ẫ n thực hành Kiểm tra xem việc phân bổ quyền đã được mô tả tài liệu định nghĩa trong đặc quyền chưa. Chứng cứ giả định Tài liệu định nghĩa đặc quyền Phương pháp Kiểm tra/Quan sát 1.2 Hướng dẫn thực hành Kiểm tra xem việc thiết lập cấu hình hệ thống có như mô tả trong các tài liệu định nghĩa đặc quyền không. Phương pháp kiểm tra hoạt động đặc quyền là khác nhau theo kiến trúc hệ thống. V í dụ về các phương pháp kiểm tra hoạt động đặc quyền. 1) (Trong trường hợp ‘Máy tính lớn’) Kiểm tra xem t ì nh trạng sử dụng đặc quyền có thích hợp không bằng cách kiểm tra báo cáo RACF. 2) (Trong tr ư ờng hợp của hệ điều hành UNIX, Linux hoặc Windows) kiểm tra xem tình trạng sử dụng các đặc quyền có phù hợp không bằng cách điều tra các nhật ký điều tra về việc sử dụng đặc quyền. CH Ú THÍCH: 1) RACF (phương tiện kiểm soát truy cập tà i nguyên) l à phần mềm trung gian quản lý an toàn trong máy t í nh lớn. 2) Trong hệ điều hành UNIX hay Linux, sẽ rất nguy hiểm nếu ch ỉ kiểm tra đ ă ng nhập bằng root để điều tra việc s ử dụng không ph ù hợp của người chủ. Lý do cho điều đó là người dùng thông thường có thể trở thành người chủ bằng cách sử dụng lệnh 'su' sau khi đăng nhập vào trong hệ điều hành UNIX hay Linux. Chứng cứ giả định • Tài liệu định nghĩa đặc quyền • Danh sách kiểm soát truy cập • Báo cáo RACF Phương pháp Kiểm tra/Quan sát 2 Tiêu chuẩn thực thi an toàn Đặc quyền cần được trao cho một tên đăng nhập (ID) người dùng khác với các ID được sử dụng cho các hoạt động nghiệp vụ bình thường. Lưu ý kỹ thuật tiêu chuẩn thực thi an toàn Trong trường hợp tr u y cập bởi đặc quyền, có khả năng thực hiện hoạt động trái phép một cách ngẫu nhiên và t ì nh hình s ử dụng đặc quyền thường trở thành điểm nóng cho các truy cập trái phép. Người dùng nên sử dụng ID bình thường cho hoạt động không cần đặc quyền. Nếu đăng nhập bằng đặc quyền ‘ roof ’ được cho phép, thì không thể xác định được ai đã đăng nhập vào hệ thống từ nhật ký. 2.1 Hư ớ ng dẫn thực hành Kiểm tra xem những người dùng có đặc quyền có ID người dùng thông thường bên cạnh ID đặc quyền không bằng cách quan sát các ACL (danh sách điều khiển truy cập) của hệ thống. Chứng cứ g i ả đ ị nh Danh sách quản lý truy cập. Phương pháp Kiểm tra/Quan sát 2.2 Hướng dẫn thực hành Kiểm tra xem đặc quyền có sử dụng một ID người dùng khác với ID nghiệp vụ bình thường không bằng cách quan sát các tệp tin nhật ký. Trong trường hợp của hệ điều hành UNIX hoặc Linux, kiểm tra các tăng cường cấu hình hệ thống mà hệ thống từ chối truy nhập bằng ‘ root ’ . CHÚ THÍCH: Chuyên gia đánh giá soát xét biện pháp an toàn thông tin cố gắng phỏng v ấ n để kiểm tra xem đặc quyền có sử dụng ID người dùng khác cho nghiệp vụ thông thường d ù ng nhật ký chỉ ra đặc quyền ch ỉ sử dụng ID đặc quyền. Chứng cứ giả định • Tệp tin nhật ký; • Cấu hình hệ thống đăng nhập vào bằng cách ‘ root ’ . Phương pháp Kiểm tra/Quan sát 2.2 Hướng dẫn thực hành Kiểm tr a thời gian l ư u trữ nhật ký đánh giá có nhiều hơn thời gian cho phép khi quan sát tem thời gian của tệp tin nhật ký hoặc bản ghi thời gian bên trong nhật ký. Chứng cứ giả định • Tệp tin nhật ký: • Cấu hình hệ thống đăng nhập vào bằng cách ‘ root ’ . Phương pháp Kiểm tra/Quan sát A.4 Kiểm tra kỹ thuật đối với biệ n pháp kiểm soát sao lưu. Biện pháp kiểm soát TCVN ISO/IEC 27002:2011 9.5.1 Sao lưu thông tin Các b ả n sao lưu của thông tin và phần mềm cần được thực hiện và kiểm thử thường xuyên phù hợp với chính sách sao l ư u đ ã được chấp thuận. Thông tin kỹ thuật b ổ sung Đ ể sao lưu một cách thích hợp, tiêu chuẩn của tổ ch ứ c phải được xác định phù hợp với chính sách sao lưu và nó phải được thể hiện vào tài liệu thiết kế sao lưu. Sao lưu được sử dụng để khôi phục lại các thông tin hoặc ph ầ n mềm cần thiết trong trường hợp của một sự kiện mất dữ liệu ví dụ một thảm họa hay hư hỏng phương tiện l ưu trữ. Khi một tổ chức thiết kế sao lưu, v ị trí sao lưu, đường dẫn sao lưu và phương pháp sao lưu phù hợp cần được lựa chọn ph ù hợp v ới ch í nh sách sao lưu của t ổ chức. Đối với vị trí sao lưu, tổ chức cần lựa chọn sao lưu tại chỗ hoặc sao lưu ngoại vi. Sao lưu tại chỗ được coi là nhanh hơn nhiều so với sao lưu ngoại vi khi sao lưu và khôi phục. Sao lưu ngoại vi sao lưu thường được lựa chọn để ngăn chặn ảnh hưởng của thiên tai như hỏa hoạn, lũ lụt, động đất. Đối với đường dẫn sao lưu, cho dù là hình thức tại chỗ hoặc từ xa th ì cũng đều được lựa chọn. Sao lư u trực tuyến có nghĩa là dữ liệu được sao lưu qua mạng hoặc đường dây thông tin liên lạc. Sao lưu ngoại tuyến có nghĩa là dữ liệu sao lưu được vận chuyển vật lý bằng phương tiện lưu trữ di động như DLT hoặc đ ĩa CD/DVD. Phương pháp sao lưu được phân loại theo một số tùy chọn như sao lưu đầy đ ủ , sao lưu thêm và sao lưu một phần. Sao lưu đ ầ y đủ c ó nghĩa là tất cả các dữ liệu được lựa chọn đ ể sao lưu đều được sao lưu. Phương pháp nà y cần nhiều th ờ i gian và dung lượng dữ liệu hơn so với các phương pháp khác, nhưng l à phương pháp đơn giản nh ấ t và dễ dàng nhất để khôi phục dữ liệu. Sao lưu thêm có nghĩa là sao lưu dữ liệu đã thay đổi kể từ lần sao lưu cuối cùng. Phương pháp này cần í t thời gian và dung lượng dữ liệu hơn các phương pháp khác, nhưng là phương pháp phức tạp nh ấ t đ ể khôi phục dữ liệu. Sao lưu một phần thực hiện s a o lưu dữ liệu đã thay đổi kể từ lần sao l ưu đầy đủ cuối cùng. Phương pháp này cần í t thời gian và dung lượng dữ liệu hơn so với sao lưu đầy đủ và là phương pháp đơn giản và dễ dàng hơn khi phục hồi so v ớ i sao lưu thêm. Tiêu chuẩn thực thi an toàn Mức độ (ví dụ sao lưu đầy đủ hoặc một phần) và tần suất sao lưu cấn phản ánh các yêu cầu nghiệp vụ của tổ ch ứ c, các yêu cầu an toàn của thông tin có liên quan và sự quan trọng của các thông tin để tiếp tục các hoạt động của tổ chức. Lưu ý kỹ thuật tiêu chuẩn thực thi an toàn Đ ể phù hợp với yêu cầu nghiệp vụ, tổ chức cần chọn thời gian sao lưu/khôi phục dữ liệu thích hợp và dung lượng dữ liệu dành cho sao lưu. Hội thẩm cần đánh giá xem phương pháp sao lưu phù h ợ p đã được lựa chọn để thỏa mãn các yêu cầu của tổ chức. Dưới đây là các v í dụ về tần suất cần được quan tâm: • Sao chép trung thực hoặc theo thời gian thực (nếu tầm quan trọng của thông tin ở mức cao nhất); • Hàng ngày (nếu việc khôi phục dữ liệu đã được sao lưu í t nhất là trong ngày là c ầ n thiết); • Hàng tuần; • Hàng Tháng. 1.1 Hư ớ ng dẫn thực hành Kiểm tra xem thiết kế sao lưu có được dựa trên tiêu chuẩn thực hiện an toàn không. Chứng cứ giả định • Tài liệu đặc tả sao lưu; • Tài liệu định nghĩa yêu cầu nghiệp vụ và an toàn; • Tài liệu thiết kế sao lưu. Phương pháp Kiểm tra/Đá n h giá. 1 . 2 Hướng dẫn thực hành Kiểm tra xem việc thiết lập các tệp tin cấu hình hệ thống sao lưu c ó như đ ư ợc mô tả trong tài liệu thiết kế sao lưu không. Chứng cứ gi ả định • Tài liệu thiết kế sao lưu • Các tệp tin cấu hình hệ thống sao lưu Phương pháp Kiểm tra/Đánh giá 1.3 Hướng dẫn thực hành Kiểm tra xem sao lưu có được thực hiện như được ghi trong tài liệu thiết kế sao lưu không . Chứng cứ gi ả đ ị nh • Tài liệu thiết kế sao lưu; • Tệp tin nhật ký; • Phương tiện sao lưu. Phương pháp Kiểm tra/Quan s á t 2 Tiêu chuẩn thực thi an toàn Th ủ tục phục hồi phải được kiểm tra và kiểm thử thường xuyên để đảm bảo rằng chúng có hiệu quả và họ có th ể được hoàn thành trong thời gian được phân bổ trong th ủ tục thực hiện phục hồi. Tiêu chu ẩ n thực thi an toàn Sự phức tạp và thời gian cần thiết để phục hồi khác nhau giữa các phương pháp thực hiện; v í dụ sao lưu đầy đ ủ hoặc từng phần. Kế hoạch kiểm thử và kiểm tra các thủ tục phục hồi cần được chuẩn bị và lập thành tài liệu. 2.1 Hướng dẫn thực hành Kiểm tra xem kế hoạch kiểm thử và kiểm tra có được kiểm tra thường xuyên không. Chứng cứ giả định • Hồ sơ về việc kiểm tra kế hoạch kiểm thử và kiểm t ra Phương pháp Kiểm tra/Đánh giá A.5 Kiểm tra kỹ thuật đố i với biện pháp quản lý an toàn mạng Biện pháp kiểm soát TCVN ISO/IEC 27002:2011 9.6.2 An toàn c ủ a dịch vụ mạng Các Tính năng bảo mật, mức dịch vụ và yêu cầu quản lý của tất cả các dịch vụ mạng cần phải được xác định và bao gồm trong bất kỳ thỏa thuận dịch vụ mạng, cho dù các dịch vụ này đ ư ợc cung cấp tr o ng nội bộ hoặc thuê ngoài. Biện pháp kiểm soát Dịch vụ mạng là dịch vụ, được cung cấp trên các m á y tính n ố i mạng môi trường cho dù đó là trong nội bộ hay thuê ngoài. Khi một tổ chức sử dụng các dịch vụ mạng, thông tin b í mật của tổ chức có thể truyền trong các dịch vụ mạng bên ngoài. V ì vậy, chuyên gia đánh giá cần xem xét tài khoản mà các chức năng bảo mật cần thiết như mã hóa và / hoặc xác thực được cung cấp b ở i các nhà cung cấp dịch vụ mạng. Ví dụ về các hệ thống được sử dụng cho các dịch vụ mạng là: • DNS • DHCP • Firewall/VPN • Dò ch ố ng Virus • IDS/IPS Tiêu chu ẩ n thực thi an toàn Các thỏa thuận an toàn cần thiết cho các dịch vụ cụ thể, chẳng hạn như tính năng bảo mật, mức dịch vụ và yêu cầu quản lý cần được xác định. Các tổ chức phải đảm bảo rằng các nhà cung cấp dịch vụ mạng có thực hiện các biện ph á p này. Tiêu chuẩn thực thi an toàn Để sử dụng dịch vụ mạng, sắp xếp an toàn là rất quan trọng để bảo vệ thông tin đi qua nó. Các yêu cầu về t í nh năng bảo mật thường được bao gồm trong các yêu cầu nghiệp vụ. Ví dụ về các tính năng bảo mật liên quan đến dịch vụ mạng được, mô tả như sau: • Mã hóa chống lại nghe trộm; • Kiểm soát truy cập mạng chống lại truy cập trái phép; • IDS / IPS chống lại hoạt động độc hại; • Lọc URL ch ố ng truy cập WEB trái phép; • Đáp ứng sự c ố cho các sự kiện an toàn không mong muốn. 1.1 H ư ớng dẫn thực hành Kiểm tra xem tài liệu hợp đồng bao gồm SLA (Th ỏa thuận mức dịch vụ) đ ư ợc cung cấp từ nhà cung cấp dịch vụ có th ỏa mãn các yêu cầu nghiệp vụ, pháp lý và an toàn của tổ chức không. Chứng cứ gi ả định • Tài liệu hợp đồng • Tài liệu định nghĩa yêu cầu Phương pháp Kiểm tra/so á t xét. 1.2 Hướng dẫn thự c hành Trọng trường hợp trong nhà, kiểm tra x e m các thiết lập của hệ thống sử dụng cho các dịch vụ mạng được như mô tả trong tài liệu thi ế t kế dịch vụ mạng. Chứng cứ giả định • Cấu hình hệ thống • Tài liệu thiết kế dịch vụ mạng Phương pháp Kiểm tr a /soát xét 1.3 Hướng dẫn thực hành Trong trường h ợ p trong nội bộ, kiểm tra xem hồ sơ của các tệp tin nh ậ t ký thực tế từ các hệ thống dịch vụ mạng có như được m ô t ả trong các tài liệu thiết kế d ị ch vụ mạng không. Ví dụ về hồ sơ của các dịch vụ mạng: • Xác thực; • Mã hóa; • Các điều khiển kết nối mạng; • Tốc độ của kênh; • Đáp ứng (Trong trường hợp hệ thống trực tuyến); • Khoảng thời gian chết. Chứng cứ giả định • Tệp tin nhật ký; • Tin nhắn cảnh báo; • Tài liệu, thiết kế dịch vụ mạng Phương pháp Kiểm tra / Quan sát A.6. Kiểm tra kỹ thuật đối với biện pháp kiểm soát và trách nhiệm người dùng Biện pháp kiểm soát TCVN ISO /IEC 27002:2011 10.3.1 sử dụng mật kh ẩ u Người sử dụng được yêu cầu tuân thủ các thực hành an toàn đúng đắn trong việc lựa chọn và s ử dụng các mật khẩu. Thêm ký thuật thông tin về kiểm so á t Để ngăn chặn truy cập trái phép vào các nguồn tài nguyên máy tính, mật khẩu sẽ được tạo ra và giữ bí mật trước những ng ư ời không được phép truy cập vào chúng. Xác thực mật khẩu là phương pháp xác thực người dùng được sử dụng b ở i một số nguồn tài nguyên như hệ điều hành, chương trình, cơ sở dữ liệu, mạng hoặc các trang web. Ch ấ t lượng của mật khẩu phụ thuộc vào độ dài và kiểu ký tự như ký tự chữ và dấu. người dùng có thể cấu hình các thông số của ch í nh sách mật khẩu cho một số hệ điều hành như: Windows. Mặt khác, các nhà phát triển của ứng dụng có thể phát triển chức năng xác thực để cấu hình chính sách mật khẩu. Thẩm định cần đánh giá các chức năng ủy quyền với mật khẩu đặt ở tài nguyên máy tính được hiệu quả và những chức năng làm việc thích hợp. 1 Tiêu chuẩn thực hiện an toàn Chọn mật khẩu chất lượng với đầy đủ độ dài tối thiểu có đặc điểm: 1) Dễ nhớ; 2) Không dựa trên những điều đ ể người khác có thể dễ dàng suy đoán hoặc, c ó được nếu sử dụng c á c thông tin liên quan đến cá nhân, ví dụ tên, số điện thoại và ngày sinh v.v..; 3) Không dễ bị tổn hại trư ớ c các t ấ n công từ điển (tức là không bao gồ m các từ có tr o ng từ điển); 4) Không c ó tất cả các ký tự, con số hoặc chữ cái liên tiếp giống nhau. Chú thích kỹ thuật về tiêu chuẩn thực hiện an toàn Các mật khẩu dễ nhớ cho người sử dụng thường là các điểm yếu thường th ấy . 1.1 Hướng dẫn thực hành Kiểm tra quy tắc lựa chọn mật khẩu đã được mô tả trong chính sách mật khẩu của tổ chức. Chứng c ứ giả định Chính sách mật khẩu của tổ chức. Phương pháp Kiểm tra/soát xét 1.2 Hướng dẫn thực hành Kiểm tra xem thiết lập cấu hình hệ thống chính sách mật khẩu của hệ thống) như mô tả trong ch í nh sách mật khẩu của tổ chức. Chứng cứ giả định • Cấu hình hệ thống (ch í nh sách mật khẩu c ủ a hệ thống) • Chính sách mật khẩu của tổ chức Phương pháp Kiểm tra/Quan sát 1.3 Hướng dẫn thực hành Kiểm tra xem tệp tin nhật ký đăng nhập xem những người dùng thay đ ổ i mật khẩu Chứng cứ gi ả định • Tệp tin nhật ký đăng nhập Phương pháp Kiểm tra/Quan sát Phụ lục B (Tham khảo) Thu thập thông tin ban đầu (khác ngoài IT) Trư ở ng đoàn đánh giá soát xét biện pháp kiểm soát an toàn thông tin phải phân bổ chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin có kinh nghiệm và năng lực liên quan cho mỗi lĩnh vực an toàn thông tin. Câu hỏi ban đầu đối với nhân viên liên quan có thể bao gồm danh sách các lĩnh vực và không đầy đủ theo v í dụ được chỉ dẫn sau: B.1 Nguồn nhân lực và an toàn a. C á nhân có trách nhiệm và/hoặc chịu trách nhiệm về hành động của mình? b. Kiến thức an toàn thông tin và bảo mật sẵn có tại chỗ đ ể tr ả lời các câu hỏi, thúc đẩy nhân viên và cung cấp hướng dẫn cần thiết. c. Chính sách và thủ tục được áp dụng có rõ ràng và SMART (cụ thể, có khả năng đo lường được, c ó thể được chấp nhận, thực tế, trong khoảng thời gian nh ấ t định). d. Cá nhân được thuê có đáp ứng kiến thức “ vận hành ” nh ư mong đợi. e. Cá nhân có đáng tin cậy đ ể xử lý thông tin nhạy cảm và các hệ thống đó sẽ gây nguy hi ể m cho sự sống còn của tổ chức. f. Hiệu quả của nhân viên có đáng tin cậy? g. Làm th ế nào để xác định được sự tin cậy và đo lường chúng. B.2 Chính sách a. Sự phân cấp: i . Chính sách an toàn thông tin c ó xuất phát từ các mục tiêu nghiệp vụ và từ ch í nh sách an toàn tổng thể không ii . Làm cách nào đ ể liên kết được tạo giữa IT, HR, ch í nh sách tiếp nhận v.v.. b. Toàn diện i . Chính sách giải quyết a n toàn thông tin có trong tất cả ngành hoạt động nghiệp vụ (Nguồn nhân lực, vật lý, công nghệ thông tin, bán hàng, sản xuất, nghiên c ứ u và phát tri ể n, liên hệ...). ii. Có các ch í nh sách hoàn chỉnh trong thiết kế bao gồm chiến lược, chiến thuật và vận hành. c. Sự phát biểu i . Chính sách có chấp thuận theo TCVN ISO/IEC 27002:2011 hoặc các mục tiêu kiểm soát và biện pháp kiểm soát có phù hợp với b ố i cảnh cụ thể. ii. Có chính sách bằng văn bản để xác định rõ ràng (các) hành động phải ch ị u trách nhiệm. iii. Hành động được dự kiến trong chính sách và thủ tục nên xem xét các câu hỏi “ cơ bản ” như: ai, khi n ào , tại sao, cái gì, ở đâu và như thế nào. • nếu cá nhân chịu trách nhiệm (ai) để thực hiện các hành động không được xác đ ị nh, cá nhân đó có đạt được mục tiêu đề ra không? • Nếu mốc thời gian (khi nào) để thực hiện hành động không được xác định, liệu các hành động có được thực hiện đúng thời gian không? • Nếu mục đích và mục tiêu của hành động không được xác định (tại sao). • Nếu hành động nội tạ i (cái gì) không được xác định, làm cách nào để có thể thực hiện nó? • Nếu hành động không xác đ ị nh được đối tượng, địa điểm, quy trình, tài s ả n thông tin hoặc “ biện pháp kiểm soát ” mà nó có ảnh hưởng, nó sẽ ảnh hư ở ng như thế nào (ở đâu)? • Nếu hành động trong th ủ tục không được xác định rõ ràng về những thứ được hoàn thành như thế nào và được thực hiện chính xác như thế nào? • Nếu một hành động không được xác định c á c ch ỉ số và m ụ c đích các biện pháp kiểm soát nhằm xác minh rằng nó tiến triển chính xác và đặt được các mục tiêu, làm cách nào đ ể tổ chức đ ả m bảo rằng các mục tiêu có thể đạt được? iv. Các biện pháp kiểm soát và môi trường kiểm tra tạ i chỗ để xác định nếu tuyên bố chính sách được thực hiện, triển khai và đạt được các mục ti ê u? v . Mục tiêu trong tuyên bố chính sách cần xem xét các tiêu chí SMART. Nếu không: • Các mục tiêu không cụ thể không dễ dàng để nhận diện rõ ràng và (các) cá nh â n có trách nhiệm để đạt được nó thông thư ờ ng không được xác đ ị nh. • Nếu mục tiêu không thể đo lường được, có rất ít cơ hội mà một t ổ chức có thể xác minh được mục tiêu có đạt được yêu cầu hay không. • Nếu mục tiêu, không được truyền thông/truyền đạt và có thể được chấp nhận tới người phải đối phó với những thay lớn về biện pháp kiểm soát sẽ bị hiểu lầm, tránh né hoặc ngắt kết nối. • Nếu mục tiêu liên quan tới năng lực thực sự của t ổ chức không thực tế sẽ có rất ít cơ hội để đạt được mục tiêu. • Nếu mục tiêu liên quan tới thời gian không đư ợ c xác định (mục tiêu phải đạt đư ợ c khi nào, kh i nào bắt đầu hành động hỗ trợ...). Có một cơ hội tốt là không cần đưa ra hành động nào và m ục tiêu chưa bao giờ gặp phải. B.3 Tổ chức Tập hợp các vai trò và xác định trách nhiệm, phân bổ vai trò, trách nhiệm cần thiết, đủ đáp ứng mục tiêu nghiệp vụ c ó xem xét đến bối cảnh và các ràng buộc. Có liên kết với các cơ quan bên ngoài đã được xác định? Trách nhiệm đảm bảo an toàn có được thuê ngoài nếu nội bộ tổ chức không c ó đủ năng lực thực hiện? Việc đảm bảo an toàn thông tin có được đề cập trong hợp đồng? B.4 An toàn vật l ý và môi trường B.4.1 Vị trí an toàn của thông? a. 'Khu vực' i. Liệu những khu vực có thể tr uy cập đầy đủ tới công cộng có b ị cô lập đến khu vực nghiệp vụ? ii. Các khu vực được xác định có phải là nơi chứa nhiều thông tin quan trọng (b ở i người hoặc hệ thống ICT). iii. Có phải "khu vực bảo mật" được phân tách một cách phù hợp để tránh thay đổi thông tin? b. Vị tr í i . Các vùng khác nhau được xác định rõ ràng và ở các v ị trí phù hợp; i i . Các đường biên (tường, sàn, trần nhà) được gán nhãn. c. "Cổng" - Các điểm truy cập i . Cửa và cửa sổ tại các đường biên được bảo vệ cả khi m ở lẫn khi đóng; ii. Kiểm soát truy cập thích hợp tại các lối ra/vào; iii. Hệ thống có chống được xâm nhập không; iv. Lối thoát hiểm cho phép đủ di chuyển thông tin, con ng ư ời và trang thiết bị. d. Lối đi và "đường dẫn" i . Các chỉ dẫn đ ể nhận biết các vùng và vị trí. • Lối đi cho con người; • Cáp (đường dẫn cho thông tin). ii. Có đường dự phòng phòng? iii. Các đường này c ó được bảo vệ và giám sát không? e. Giám sát i. Nguồn lực giám sát có thể nhìn thấy không thông qua mắt thường? ii. Nguồn lực giám sát có thể nhìn thấy sự xâm nhập từ xa? iii . Kh i nào cần hoạt động giám sát. iv. Hồ sơ được lưu trữ và phân tích ở đ â u? như th ế nào? f. Đồ nội thất i . Ph ù hợp để lưu trữ thông tin i i. Vị trí đặt đúng i ii. Vận hành như mong muốn. B.4.2 Các vị tr í có an toàn cho Công nghệ thông tin và Truyền thông (ICT)? (Kh í a cạnh về môi trường). a . Ng u ồn c ấp điện. i. Đầy đủ/phù hợp ii. Có nguồn thay thế? b. Cấp điều h òa kh ô ng khí i. Đầy đủ/phù hợp ii. Có điều h òa thay thế? c. Cấp dụng cụ chữa cháy i. Đầy đủ/phù hợp ii. C ó thiết bị thay thế? B.4.3 Các địa điểm có an toàn cho con người? a. Lối thoát hi ể m có sẵn (và c ó biện pháp kiểm soát phù hợp); b. Các "rò rỉ" (nguồn cấp điện, nước, khí đốt, chất l ỏ ng) là mối nguy hi ể m tiềm ẩ n ch o con người; c. Nhiệt độ, độ ẩm, vật liệu và các rung động là mối nguy hiểm tiềm ẩn cho con người; d. Các trang thiết bị có được b ố trí đ ể tránh gây chấn thương cho con người; e. Đồ nội thất được lắp đặt và duy tr ì đ ể tránh gây chấn thương cho con người. B.5 Quản lý sự cố a. Các sự cố an toàn thông tin đã được xác định chưa? b. Xây dựng năng lực đề phản ứng các sự cố an toàn thông tin. i. Xây dựng tài liệu hướng dẫn? ii. Phân công vai trò và trách nhiệm. iii. Phân bổ phương tiện và nguồn lực. Thư mục tài liệu tham khảo [1] TCVN ISO/IEC 27001:2009, Công nghệ thông tin - Hệ thống quản lý an toàn thông tin các yêu cầu. [2] TCVN ISO/IEC 27002:2011, Công nghệ thông tin - Các kỹ thuật an toàn - Quy tắc thực hành quản lý an toàn thông tin. [3] TCVN 10295:2014, Công nghệ thông tin - Kỹ thuật an toàn - Quản lý rủi ro an toàn thông tin. [4] TCVN ISO/IEC 27006:2017, Công nghệ thông tin - Các kỹ thuật an toàn - Các yêu cầu đối với các tổ chức đánh giá và cấp chứng nhận hệ thống qu ả n lý an toàn thông tin [5] ISO/IEC 27007:2011, Information technology - Security techniques - Guidelines for information security management systems auditing. [6] TCVN ISO 19011:2013, Hướng dẫn đánh giá hệ thống quản lý. [7] TCVN 9788:2013, Quản lý rủi ro - Từ vựng. [8] NIST Special publication (SP) 800-53A, Guide for reviewing the controls in federal information systems, July 2008. Available from: http://csrc.nist.gov/publications/PubsSPs.html [9] Institute For Security And Open Methodologies, Open-Source Security Testing Methodology Manual. Available from: http://www.isecom.org/osstmm/. [10] Federal Office for Information Security (BSI), Germany, Standard 100-1, Information Security Management Systems (ISMS); 1 00-2, IT-Grundschutz Methodology; 100-3, Risk Analysis based on IT- Grundschutz and IT-Grundschutz Catalogues (available in German and English). Available from: https://www.bsi.bund.de/cln_174/EN/Publications/publications_node.html. [11] Information Security Forum, The Standard of Good Practice for Information Security, 2007, Available from: https://www.securityforum.org/services/publicresearch/. Mục lục Lời nói đầu Lời giới thiệu 1 Phạm vi áp dụng 2 Tài liệu viện dẫn 3 Thuật ngữ và định nghĩa 3.1 Đối tượng soát xét (review object) 3.2 Mục tiêu soát xét (review objective) 3.3 Tiêu chu ẩ n thực thi an toàn (security implementation Standard) 4 Cấu trúc tiêu chu ẩ n 5 Nền tản g 6 Tổng quan về soát xét các biện pháp kiểm soát an toàn thông tin 6.1 Quy trình soát xét 6.2 Nguồn lực 7 Phương pháp soát xét 7.1 Tổng quan 7.2 Phương pháp soát xét: Kiểm tra 7.2.1 Khái quát 7.2.2 Các thuộc tính 7.3 Phương pháp soát xét: Phỏng vấn 7.3.1 Khái quát 7.3.2 C ác thuộc tính 7.3.3 Thuộc t í nh bao hà m 7.4 Phương pháp soát xét: ki ể m thử 7.4.1 Khái quát 7.4.2 Các loại kiểm th ử 7.4.3 Các thủ tục so á t xét mở rộng 8 Các hoạt động 8.1 Chuẩn bị 8.2 Xây dựng kế hoạch 8.2.1 T ổ ng quan 8.2.2 Phạm vi 8.2.3 Thủ tục soát xét 8.2.4 Các xem xét đối tượng liê n quan 8.2.5 Các phát hiện trước 8.2.6 Phân công công việc 8.2.7 Hệ thống bên ngoài 8.2.8 Tà i s ả n thông tin và tổ chức 8.2.9 Thủ tục soát xét m ở rộng 8.2.10 Tối ưu h ó a 8.2.11 Hoàn tất kế hoạch soát xét 8.3 Tiến hành soát xét 8.4 Phân tích và báo cáo kết quả Phụ lục A (Tham khảo) Hướng dẫn thực hành kiểm tra sự tuân thủ kỹ thuật Phụ lục B (Tham khảo) Thu thập thông tin ban đầu Thư mục tài liệu tham khảo