TCVN10295:2014

TIÊU CHUẨN QUỐC GIA TCVN 10295 : 2014 ISO/IEC 27005 : 2011 CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - QUẢN LÝ RỦI RO AN TOÀN THÔNG TIN In f ormation technology - Security techniques - Information security risk management Lời nói đầu TCVN 10295:2014 hoàn toàn tương đương với ISO/IEC 27005:2011. TCVN 10295:2014 do Trung tâm Ứ ng cứu khẩn c ấ p máy t í nh Việt Nam bi ê n soạn, Bộ Thông tin và Truy ề n thông đề nghị, Tổng cục Tiêu chuẩn Đo lường Ch ấ t lượng th ẩ m định, Bộ Khoa học và Công nghệ công bố. CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - QUẢN LÝ RỦI RO AN TOÀN THÔNG TIN In f ormation technology - Security techniques - Information security risk management 1. Phạm vi áp dụng Tiêu chuẩn này đưa ra các hướng dẫn về quản lý rủi ro an toàn thông tin. Tiêu chuẩn này giải thích một số khái niệm cơ bản được sử dụng trong TCVN ISO/IEC 27001:2009 và đ ư ợc xây dựng để hỗ trợ cho việc tri ể n khai an toàn thông tin dựa tr ê n phương pháp tiếp cận qu ả n lý rủi ro. Để có th ể hiểu đầy đủ h ơ n về nội dung tiêu chu ẩ n này cần tham khảo th ê m các ki ế n thức về các khái niệm, mô hình, quy tr ì nh và các thuật ngữ được tr ì nh bày trong TCVN ISO/IEC 27001:2009 và TCVN ISO/IEC 27002:2011. Tiêu chu ẩ n này có thể áp dụng cho nhi ề u loại h ì nh tổ chức (như các doanh nghiệp t h ương mại, các cơ quan ch í nh ph ủ , các tổ chức phi lợi nhuận) nhằm mục đích quản lý những rủi ro có thể gây hại tới an toàn thông tin của tổ chức. 2. Tài liệu viện dẫn Các tài liệu viện dẫn sau đ â y là cần thiết để áp dụng tiêu chuẩn này. Đối với các tài liệu viện dẫn ghi n ă m công bố th ì áp dụng bản được nêu. Đối với các tài liệu viện dẫn không ghi năm công bố th ì áp dụng phiên bản mới nhất, bao gồm c ả các sửa đổi, bổ sung (nếu có). ISO/IEC 27000, In f ormation technology - Security techniques - lnformation security management systems - Overview and vocabulary (Công nghệ thông tin - Các kỹ thuật an toàn - Hệ thống qu ả n l ý an toàn thông tin - T ổ ng quan và từ vựng) TCVN ISO/IEC 27001:2009 Công nghệ thông tin - Các kỹ thuật an toàn - Hệ thống quản lý an toàn thông tin - Các yêu cầu 3. Thuật ngữ và định nghĩa Tiêu chu ẩ n này áp dụng các thuật ngữ và định nghĩa trong tiêu chu ẩ n ISO/IEC 27000 và các thuật ngữ và định nghĩa d ư ới đ â y. CHÚ TH Í CH: Sự khác nhau trong các thuật ng ữ và định ngh ĩ a giữa tiêu chuẩn ISO/IEC 27005:2008 và ti ê u chu ẩ n này được nêu ở Phụ lục G. 3.1. Hậu quả (consequence) Kết quả của một s ự k iệ n (3.3) gây ảnh hư ở ng đến các mục tiêu c ủ a tổ chức [ TCVN 9788:2013] CH Ú TH Í CH 1: Một sự kiện c ó th ể d ẫ n đ ế n một loạt các hậu quả. CH Ú TH Í CH 2: Một hậ u quả có th ể chắc ch ắ n hoặc không chắc ch ắ n xảy ra và trong bối cảnh an toàn thông tin th ì thường mang nghĩa ti ê u cực. CHÚ TH Í CH 3: Hậu quả có th ể đ ư ợc th ể hiện dưới dạng đ ị nh tính hoặc đ ị nh l ượng. CHÚ TH Í CH 4: H ậ u quả ban đ ầ u có th ể gây ảnh h ưởn g leo thang đến các hậu quả ti ế p theo. 3.2. Biện pháp ki ể m soát (control) Biện pháp sẽ làm thay đổi rủi ro (3.9) [TCVN 9788:2013] CHÚ TH Í CH 1: Biện pháp ki ể m soát an to à n thông tin bao gồm bất kỳ quy tr ì nh, ch í nh sách, thủ tục, hướng d ẫ n , phương pháp hoặc c ấ u trúc tổ chức trong các lĩ nh vực hành ch í nh, kỹ thuật , pháp lý hoặc quy định để thay đổi rủi ro an toàn thông tin. CH Ú TH Í CH 2: Biện pháp kiểm soát thay đ ổi r ủ i ro kh ô ng phải lúc nào cũng phát huy tác d ụng như mong đợi hoặc như giả định. CHÚ TH Í CH 3: Biện pháp ki ể m soát cũng được sử dụng với nghĩa l à biện pháp bảo vệ hoặc biện ph á p đối ph ó . 3.3. Sự kiện (event) Sự xuất hiện hoặc sự thay đổi của một tập hợp các tình huống cụ thể [TCVN 9788:2013] CHÚ TH Í CH 1: Một sự kiện có th ể xảy ra một hay nhi ề u lần và có th ể do nhi ề u nguyên nhân. CHÚ THÍCH 2: Một sự kiện có th ể bao g ồ m cả những sự việc không xảy ra. CHÚ TH Í CH 3: Một sự ki ệ n đôi khi c ó thể được dùng theo nghĩa “sự cố ” hay “ s ự rủi ro ” . 3.4. Bối cảnh bên ngoài (ext ern al context) Môi trường bên ngoài, nơi mà tổ chức theo đuổi để đạt được các mục tiêu của m ì nh. [TCVN 9788:2013] CHÚ THÍCH: Bối cảnh b ê n ngoài có thể bao g ồ m: - môi trường v ă n h ó a, x ã hội, ch í nh t rị , p h áp l ý , quy đ ị nh, t à i ch í nh, c ô ng nghệ, kinh t ế , môi trường tự nhi ê n và môi trường cạnh tranh, trong ph ạ m vi qu ố c t ế , quốc gia, khu vực hoặc địa phương; - n hững xu hướng và động lực ch í nh tác động đ ế n những mục tiêu c ủ a t ổ ch ứ c; - n hững mối quan h ệ với c á c b ê n li ê n quan b ê n ngoài t ổ ch ứ c, và những nhận thức, gi á trị của các b ê n liên quan đ ó . 3.5. Bối cảnh nội bộ (internal context) Môi trường nội bộ nơi mà tổ chức theo đuổi đ ể đạt được các mục tiêu c ủ a mình [TCVN 9788:2013] CH Ú TH Í CH: Bối cảnh nội b ộ c ó th ể bao gồm: - q uản tr ị , cơ c ấ u t ổ c h ức, vai trò và t rách nhiệm gi ả i trình; - n hững ch í nh sách, mục ti ê u và chiến lược của t ổ chức được đưa ra để đạt được mục đích; - nă ng lực, được hi ể u như là các nguồn lực và tri thức (V í d ụ như nguồn vốn, thời gian, con người, các quy trình, các hệ thống và các công nghệ); - c ác hệ thống thông tin, lu ồ ng thông tin và quy tr ì nh đ ưa ra quy ế t định (cả ch í nh thức và không ch í nh thức); - n hững mối quan hệ với các b ê n l iê n quan b ê n trong tổ chức và những nh ậ n thức và giá tr ị về các bên liên quan bên trong t ổ chức đó; - v ăn hóa c ủ a tổ chức ; - n hững tiêu chuẩn, hướng dẫn và mô h ì nh mà t ổ chức ch ấ p nhận; - hì nh thức và phạm vi của những mối quan h ệ bằng hợp đ ồ ng. 3.6. Mức rủi ro (level of risk) Tính ch ấ t nghiêm trọng của rủi ro (3.9), được hiểu theo nghĩa l à sự kết hợp giữa hậu quả (3.1) và kh ả năng xảy ra (3.7) của một sự kiện. [TCVN 9788:2013] 3.7. Khả năng x ả y ra (likelihood) Cơ hội xảy ra một sự kiện [TCVN 9788:2013] CH Ú TH Í CH 1: Trong thuật ngữ quản lý rủi ro, t ừ “khả năng xảy ra ” thường được dùng đ ể chỉ cơ hội xảy ra một sự kiện, có thể được định nghĩa, được đo lường hay được xác đ ị nh một cách ch ủ quan hay khách quan, dưới dạng định t í nh hay đ ị nh lượng và được m ô tả bằng cách s ử dụng thuật ngữ chung hoặc b ằ ng toán học (như xác suất hoặc tần suất trong một khoảng thời gian nh ất định). CHÚ THÍCH 2: Thuật ngữ ‘khả năng xảy ra ” có nghĩa tương đư ơ ng với thuật ngữ “ xác suất ” . Tuy nhiên thuật ngữ “xác su ấ t ” thường ch ỉ hi ể u theo nghĩa hẹp như là thuật ngữ toán học. Do đ ó , t rong thuật ngữ qu ả n lý r ủ i ro, “ khả năng xảy ra” thường được sử dụng với mục đích giải thích như thuật ngữ “ xác su ấ t”. 3.8. Rủi ro tồn đọng (residual risk) Rủi ro (3.9) còn lại sau khi x ử lý rủi ro (3.17) [TCVN 9788:2013] CHÚ TH Í CH 1: Rủi ro tồn đọng có thể gồm rủi ro chưa được nhận biết. CHÚ THÍCH 2: Rủi ro tồn đọng cũng có thể được gọi là “rủi ro được giữ lại”. 3.9. Rủi ro (risk) Ảnh hưởng sự không chắc chắn đến các mục tiêu [TCVN 9788:2013] CH Ú TH Í CH 1: Một ảnh hưởng là một sự sai lệch so với kỳ vọng - k ế t quả ảnh h ư ởng có th ể là t í ch cực hay tiêu cực. CH Ú TH Í CH 2: Những mục ti ê u có th ể có những kh í a cạnh khác nhau (như kh í a cạnh v ề tài ch í nh, y t ế v à an to à n, an to à n thông tin và những mục tiêu v ề môi trường) và có thể áp dụng ở các mức khác nhau (nh ư chi ế n l ược, tổ chức m ở rộng, dự án, sản ph ẩ m và quy trình). CH Ú TH Í CH 3: Rủi ro thường được đặc trưng bởi các s ự kiện (3.3) v à hậu quả (3.1) ti ề m ẩ n hoặc là sự k ế t hợp giữa ch ú ng. CHÚ TH Í CH 4: Rủi ro an toàn thông tin thường được thể hi ệ n bằng sự k ế t hợp giữa hậu quả của một sự kiện an to à n thông tin và khả năng xảy ra kèm theo. CHÚ TH Í CH 5: Sự không chắc chắn l à tình trạng th iế u thông tin liên quan tớ i việc hi ể u bi ế t hoặc nhận thức v ề một sự kiện, hậu quả hay khả năng xảy ra k è m theo. CHÚ TH Í CH 6: Rủi ro an toàn thông tin li ê n quan đ ế n những vấn đ ề tiềm ẩ n m à những mối đe d ọa c ó th ể khai thác những đi ể m y ế u của một hoặc một nh ó m t à i sản thông tin v à d o đó gây ra thiệt hại đối với tổ chức. 3.10 . Phân tích rủi ro (risk analysis) Quá tr ì nh tìm hiểu bản ch ấ t c ủ a rủi ro và xác định mức rủi ro (3.6) [TCVN 9788:2013] CH Ú TH Í CH 1: Phân t í ch r ủ i ro cung cấp cơ s ở cho việc ướ c lượng rủi ro và quyết định cách xử lý rủi ro. CH Ú TH Í CH 2: Phân t í ch rủi ro bao g ồ m cả ước đoán rủi ro. 3.11. Đánh giá rủi ro (risk assessment) Quy tr ìn h tổng th ể bao gồm nhận b iế t rủi ro (3.15), phân tích rủi ro (3.10) và ước l ượng rủi ro (3.14) [TCVN 9788:2013] 3.12 . Truyền thông và tư v ấ n rủi ro (risk communication and consultation) Những quy tr ì nh liên tục và lặp đi lặp lại mà tổ chức ti ế n hành đ ể cung cấp, chia s ẻ hay thu nhận thông tin v à tiến hành đối thoại với những b ê n li ê n quan (3.18) v ề quản l ý rủi ro (3.9) [TCVN 9788:2013] CHÚ THÍCH 1: Thông t i n c ó th ể liên quan đ ế n sự tồn tại, bản ch ấ t, h ì nh thức, kh ả n ă ng xảy ra, t ầ m quan trọng, việc ước lượng, khả năng ch ấ p nhận và xử lý r ủ i ro. CH Ú TH Í CH 2: Tư v ấ n là một quy tr ì nh truyền thống hai chi ề u giữa tổ chức đó v ớ i những b ê n liên quan v ề m ộ t v ấ n đề trước khi đưa ra quy ế t đ ị nh hoặc xác định định hướng v ề v ấ n đề đó. Tư v ấ n là: - m ột quy tr ì nh tác động đến quy ế t định thông qua những ảnh hư ở ng hơn là thông qua quy ề n lực; - là đ ầ u vào đ ể ra quy ế t đ ị nh, nh ưn g không tham gia vào quá tr ì nh ra quyết định. 3.13 . Ti ê u ch í rủi ro (risk criteria) Điều khoản tham chi ế u mà dựa vào đó đ ể ước lượng mức nghiêm trọng của rủ i ro (3.9) [TCVN 9788:2013] CHÚ THÍCH 1: Ti ê u ch í rủi ro dựa vào những m ụ c ti ê u, bối cảnh nội bộ và bối cảnh b ê n ngoài c ủ a t ổ chức. CHÚ THÍCH 2: Tiêu ch í rủi ro c ó th ể được b ắ t ngu ồ n từ những ti ê u chu ẩ n, luật, ch í nh sách và các yêu c ầ u kh á c. 3.14 . Ư ớc lượng rủi ro (risk evaluation) Quy tr ì nh so sánh kết quả c ủ a việc phân tích rủi ro (3.10) với các tiêu ch í rủi ro (3.13) để xác định xem rủi ro đó và/hoặc mức nghiêm trọng của rủi ro đó c ó thể chấp nhận hay chịu đựng được hay không. [TCVN 9788:2013] CH Ú TH Í CH: Ước l ư ợng r ủ i ro h ỗ trợ việc quy ế t định cách xử lý r ủ i ro. 3.15 . Nhận biết rủi ro (risk identification) Quy tr ì nh t ì m kiếm, n h ận dạng và mô tả r ủ i ro [TCVN 9788:2013] CHÚ THÍCH 1: Nhận biết rủi ro bao gồm nhận bi ết về nguồn gốc của rủi ro, các sự ki ệ n, những nguyên nhân và hậu quả ti ề m ẩ n c ủ a ch úng. CHÚ THÍCH 2: Nhận bi ế t rủi ro có th ể liên quan đ ế n dữ liệu trong quá khứ, phân tích lý thuyết, thông tin và ý ki ế n chuyên môn và nhu c ầ u của các b ê n liên quan. 3.16 . Quản lý rủi ro (risk management) Các hoạt động phối hợp v ề v ấ n đề rủi ro đ ể điều hành và ki ể m soát tổ chức [TCVN 9788:2013] CH Ú TH Í CH: Tiêu chu ẩ n này sử dụng thu ậ t ngữ “ quy tr ì nh ” đ ể mô tả t ổ ng quan việc quản lý rủi ro. Các yếu tố bên trong quy trình quản lý rủi ro được gọi là “các hoạt động”. 3.17 . X ử lý rủi ro (risk treatment) Quá tr ì nh đi ề u chỉnh rủi ro [TCVN 9788:2013] CHÚ THÍCH 1: Xử lý rủi ro có th ể liên quan đến việc: - t ránh rủi ro bằng cách quyết định không bắt đ ầu hoặc ti ế p tục vi ệ c hoạt động làm tăng thêm rủi ro; - c h ấ p nhận hoặc l à m tăng rủi ro đ ể theo đuổi một cơ hội; - l oại bỏ ngu ồ n gốc rủi ro: - t hay đ ổ i khả năng x ả y ra; - t hay đ ổ i hậu quả; - c hia sẻ rủi ro với một b ê n hay nhiều b ê n khác (bao gồm cả hợp đ ồ ng và g â y quỹ bồi thường rủi ro) - Duy tr ì r ủ i ro b ằ ng lựa chọn c ó hiểu biết. CHÚ THÍCH 2: X ử lý rủi ro đ ể giải quy ế t c á c hậu qu ả ti ê u cực đôi khi được gọi là “ giảm nh ẹ rủi ro”, “ loại bỏ rủi ro”, “ ngăn chặn rủi ro” và “ giảm bớt rủi ro ” . CHÚ THÍCH 3: Xử lý rủi ro c ó th ể tạo ra những rủi ro mới hoặc làm thay đổi những rủi ro hiện có. 3.18 . B ê n liên quan (stakeholder) Cá nhân hay tổ chức c ó thể gây ảnh hưởng, bị ảnh hư ở ng, hoặc nhận th ấ y b ị ảnh hư ở ng b ở i một quyết định hay một hành động [TCVN 9788:2013] CHÚ THÍCH: Người đưa ra quyế t định có thể là một b ê n li ê n quan. 4. Cấu trúc của tiêu chuẩn Tiêu chuẩn này bao gồm những mô tả v ề quy trình v à hoạt động quản lý r ủ i ro an toàn thông tin. Thông tin cơ bản được cung c ấ p tại điều 5. Tổng quan v ề quy trình quản lý rủi ro an toàn thông tin được tr ì nh bày tại điều 6. Tất cả các hoạt động qu ả n lý rủi ro an toàn thông tin được nêu tại điề u 6 sẽ được tiếp tục mô tả chi tiết từ điều 7 đến điều 12: • Thiết lập bối cảnh trong điều 7, • Đánh giá rủi ro trong điều 8, • Xử lý rủi ro trong điều 9, • Chấp nhận rủi ro trong điều 10, • Truyền thông rủi ro trong điều 11, • Giám sát và soát xét rủi ro trong điều 12. Thông tin bổ sung cho n hững hoạt động quản lý rủi ro an toàn thông tin sẽ được trình bày trong các phụ lục. Nội dung thiết lập bối c ả nh cho an toàn thông tin của tổ chức sẽ được hướng dẫn theo Phụ lục A (xác định phạm vi và giới hạn của quy trình quản lý rủi ro an toàn thông tin). Việc nhận biết, định giá tài sản và đánh giá tác động được đề cập tại Phụ lục B. Phụ lục C đưa ra các ví dụ về các mối đe dọa điển hình và Phụ lục D đề cập tới các điểm y ế u và những phương pháp đ ể đánh giá các điểm yếu. Các ví dụ về phương pháp tiếp cận đánh giá rủi ro an toàn thông tin được tr ì nh bày trong Phụ lục E. Các ràng buộc về thay đổi r ủ i ro được tr ì nh bày trong Phụ lục F. Sự khác nhau trong các định nghĩa giữa ISO/ I EC 27005:2008 và TCVN 10295:2014 sẽ được đưa ra trong Phụ lục G. T ấ t cả hoạt động qu ả n lý r ủ i ro từ đi ề u 7 đến điều 12 được tr ì nh bày theo cấu trúc như sau: Đầu v à o: Nhận biết b ấ t kỳ thông tin c ầ n thiết đ ể thực hiện hành động. Hành đ ộ ng: Mô tả hoạt động H ướng d ẫ n tr iể n khai: Cung c ấ p hướng dẫn thực hiện hành động. Một vài hướng dẫn c ó thể chưa hoàn toàn phù hợp cho mọi hoàn cảnh và do đ ó các cách thực hiện hành động khác có th ể phù hợp Đ ầ u ra: Nhận biết bất kỳ thông tin thu được sau khi thực hiện hoạt động. 5. Thông tin cơ bản Một phương pháp tiếp cận có t í nh hệ thống nhằm quản lý rủi ro an toàn thông tin là cần thiết để nhận bi ế t được những nhu cầu của tổ chức về những yêu cầu an toàn thông tin và tạo ra một hệ thống quản lý an toàn thông tin (ISMS) c ó hiệu quả. Phương pháp tiếp cận quản lý rủi ro an toàn thông tin phải phù hợp với môi trường c ủ a tổ chức và đặc biệt phải phù hợp với định hướng chung về quản lý rủi ro của t ổ chức. Các nỗ lực an toàn thông tin cần giải quyết những rủi ro theo một cách thức hiệu quả và kịp thời tại địa điểm và thời điểm cần thiết. Quản lý rủi ro an toàn thông tin là một bộ phận không thể thiếu c ủ a các hoạt động quản lý an toàn thông tin và có th ể áp dụng cho c ả triển khai và vận hành liên tục hệ thống ISMS. Quản lý rủi ro an toàn thông tin là một quy trình liên tục. Quy trình này cần thiết phải thiết lập bối cảnh nội bộ và bối cảnh bên ngoài của tổ chức, đánh giá rủi ro và xử lý rủi ro theo kế hoạch xử lý r ủ i ro để triển khai những khuy ế n ngh ị và quy ế t định. Quản lý rủi ro phân t í ch những gì có thể xảy ra và hậu quả có thể gặp phải, trước khi quyết định thực những việc cần phải làm và khi nào làm để giảm rủi ro tới mức chấp nhận được. Quản lý rủi ro an toàn thông tin phải đóng góp trong những hoạt động sau: • Nhận biết rủi ro • Đánh giá r ủ i ro về hậu quả c ủ a các rủi ro đ ố i với hoạt động nghiệp vụ của t ổ chức và khả năng có thể xảy ra • Truyền thông và nhận thức r õ các khả năng xảy ra và hậu quả của các r ủ i ro • Thiết lập thứ tự ưu ti ê n để xử lý rủi ro • Ưu tiên cho các hành động nh ằ m làm giảm rủi ro đang xảy ra • Các bên liên quan được tham gia quyết định v ề quản lý rủi ro và luôn được thông báo v ề trạng thái quản lý rủi ro • Tăng hiệu quả của hoạt động giám sát xử lý rủi ro • Giám sát và soát xét thường xuyên các rủi ro và quy trình quản lý rủi ro • Thu thập thông tin để cải tiến phương pháp tiếp cận quản lý rủi ro • Đào tạo cho cán bộ quản lý và đội ngũ nhân viên về những rủi ro và các hành động nh ằm giảm nhẹ các rủi ro Quy trình quản lý rủi ro an toàn thông tin có thể áp dụng cho toàn bộ tổ chức hoặc cho bất kỳ bộ phận nào của t ổ chức (v í dụ như một phòng ban, một địa đi ể m, một d ị ch vụ), hay cho bất kỳ hệ thống thông tin nào, đã tồn tại hoặc đ ã được lập k ế hoạch, hoặc trong những kh í a cạnh cụ thể của biện pháp kiểm soát (như kế hoạch liên tục trong nghiệp vụ). 6. Tổng quan và quy trình quản lý rủi ro an toàn thông tin Quy trình quản lý rủi ro được xác đ ị nh trong ISO 31000 được tr ì nh bày trong H ì nh 1. Hình 1 - Quy trình quản lý rủi ro H ì nh 2 thể hiện cách tiêu chuẩn này đã áp dụng quy trình quản lý rủi ro nêu trên như th ế nào. Quy tr ình quản lý rủi ro an toàn thông tin bao gồm: thiết lập bối cảnh (đi ề u 7), đánh giá rủi ro (điều 8) , xử lý rủi ro (điều 9), chấp nhận rủi ro (điều 10), truyền thông và tư v ấ n rủi ro (điều 11), giám sát và soát xét rủi ro (điều 12). Hình 2 - Minh họa về quy trình quản lý rủi ro an toàn thông tin Như minh họa tại H ì nh 2, quy trình quản lý rủi ro an toàn thông tin là quy trình lặp đối với các hoạt động đánh giá rủi ro, xử lý rủi ro. Một phương pháp tiếp cận lặp để tiến hành đánh giá rủi ro có thể làm việc đánh giá t ă ng theo chiều sâu và chi tiết hơn sau mỗi l ần l ặ p. Phương pháp tiếp cận lặp đ i lặp lại này sẽ tạo ra một sự cân bằng tốt giữa việc tối ưu thời gian và việc nỗ lực nhận biết các kiểm soát, trong khi vẫn đ ả m bảo những rủi ro cao đã được đánh giá một cách phù hợp. Bối cảnh được thiết lập đầu tiên, sau đó sẽ tiến hành đánh giá rủi ro. Nếu việc đánh giá này cung cấp đầy đủ thông tin để xác định một cách hiệu quả các hoạt động cần thiết để thay đổi rủi ro tới mức c ó thể chấp nhận được thì lú c đ ó nhiệm vụ đánh giá rủi ro được coi là đã ho à n thành và tiếp sau đó là tiến hành xử l ý rủi ro. Nếu thông tin không đầy đủ thì sẽ lặp lại đánh giá rủi ro với bối cảnh đ ã được soát xét lại (v í dụ như tiêu ch í ước lượng rủi ro, tiêu chí ch ấ p nhận rủi ro hoặc tiêu chí t á c động), việc lặp lại đánh giá có thể chỉ tiến hành theo một số phần hạn ch ế trên toàn bộ phạm vi (xem Hình 2, Điểm Quyết định Rủi ro 1). Hiệu quả của việc xử lý rủi ro phụ thuộc chặt chẽ vào k ế t quả của việc đánh giá rủi ro. Ch ú ý việc xử lý rủi ro bao gồm một quy trình theo chu kỳ gồm: • đ ánh giá một kết quả xử lý rủi ro • q uyết định các mức rủi ro c ò n tồn đọng có thể chấp nhận được không. • đ ưa ra một phương pháp xử lý rủi ro mới nếu các mức rủi ro không thể chấp nhận được • đ ánh g i á hiệu quả của xử l ý rủi ro đó Việc xử lý rủi ro có thể sẽ không lập tức đạt được mức rủi ro tồn đọng theo yêu c ầ u (có thể chấp nhận được). Trong trường hợp này, nếu cần thiết, phải tiến hành đánh giá lại rủi ro với các điều ch ỉ nh v ề các điều kiện của bối cảnh (như đánh giá rủi ro, mức chấp nh ậ n rủi ro hoặc tiêu chí tác động), tiếp sau đó là bước xử lý rủi ro (xem Hình 2, Điểm Quyết định Rủi ro 2). Hoạt động chấp n hận rủi ro ph ả i đảm bảo các rủi ro tồn đọng phải được sự đ ồ ng ý cụ thể của ban quản lý của tổ chức. Điều này đặc biệt quan trọng trong trường hợp việc triển khai các biện pháp kiểm soát b ị bỏ qua hoặc bị trì ho ã n v ì các lý do khác nhau như thiếu kinh phí, nh â n lực... Trong suốt toàn bộ quy trình quản lý rủi ro an toàn thông tin th ì việc thông báo kết quả đánh giá rủi ro và xử lý rủi ro tới các cán bộ quản lý và nhân vi ê n vận hành thích hợp là r ấ t quan trọng. Ngay cả trước khi xử lý rủi ro, những thông tin về các rủi ro đã được nhận biết có thể r ấ t quan trọng trong việc quản lý sự cố và có th ể giúp giảm thiểu các ảnh hưởng x ấ u có thể xảy ra. Nhận th ứ c của cán bộ quản lý và nhân viên về những rủi ro, bản ch ấ t của các biện pháp đ ể giảm nhẹ rủi ro và những phạm vi mà tổ chức quan tâm s ẽ giúp xử lý các sự cố và các sự kiện không mong muốn một cách h i ệu quả nh ấ t, cần phải t à i liệu hóa chi tiết kết quả của tất cả quy trình quản lý rủi ro an toàn thông tin v à hai đi ể m quy ế t định rủi ro (xem Hình 2). TCVN ISO/IEC 27001:2009 chỉ ra các biện pháp được triển khai trong phạm v i , giới hạn và b ố i cảnh của ISMS cần phải căn cứ v à o rủi ro. Việc ứng dụng một quy trình quản lý rủi ro an toàn thông tin có th ể đáp ứng được y ê u cầu này. Có nhiều phương pháp tiếp cận để triển khai thành công quy trình n à y trong một tổ chức. Tổ chức có thể sử dụng b ấ t cứ phương pháp tiếp cận nào phù hợp nh ấ t với hoàn cảnh của mình cho mỗi một ứng dụng cụ thể của quy trình. Trong một I SMS, thiết lập bối cảnh, đánh giá rủi ro, phát triển kế hoạch xử lý rủi ro và chấp nhận rủi ro là tất cả các bước c ầ n thực hiện của giai đoạn “Lập kế hoạch”. Trong giai đoạn “Thực hiện ” của ISMS, các hoạt động v à biện pháp ki ể m soát cần thiết để giảm rủi ro tới mức ch ấ p nhận được được tiến hành theo kế hoạch xử lý rủi ro. Trong giai đoạn “Kiểm tra” của ISMS, ban qu ả n lý sẽ phải xác định sự cần thiết trong việc duyệt lại k ế t quả đánh giá rủi ro và xử lý r ủ i ro dựa tr ê n các sự cố xảy ra và những thay đổi về hoàn cảnh. Tr o ng giai đoạn “Hành động”, triển khai t ấ t cả các hoạt động cần thiết và cả các hoạt động b ổ sung của quy trình quản lý rủi ro an toàn thông tin. Bảng dưới đây s ẽ tổng hợp các ho ạ t đ ộ ng qu ả n lý rủi ro an to à n th ô ng tin li ê n quan đ ế n bốn giai đoạn của quy trình ISMS như sau: Bảng 1 - ISMS và quy trình quản lý rủi ro an toàn th ô ng tin Quy tr ì nh ISMS Quy trình quản lý rủi ro an toàn thông tin Lập kế hoạch Thiết lập b ố i cảnh Đánh giá rủi ro Phát triển kế hoạch xử lý rủi ro Ch ấ p nhận rủi ro Thực hi ệ n Triển khai kế hoạch xử lý rủi r o Kiểm tra Liên tục giám sát và soát xét rủi ro Hành động Duy tr ì và c ả i ti ế n quy trình qu ả n lý rủi ro an toàn thông tin 7. Thiết lập bối cảnh 7.1. Xem xét chung Đầu v à o: Toàn bộ thông tin v ề tổ chức li ê n quan tới thiết lập bối cảnh quản lý rủi ro an toàn thông tin. Hành đ ộ n g : Cần phải thiết lập bối cảnh nội bộ và bối cảnh b ê n ngoài tổ chức cho các hoạt động quản lý rủi ro an toàn thông tin, trong đó bao gồm việc thiết lập tiêu chí cơ bản cần thiết cho hoạt động quản lý rủi ro an toàn thông tin (7.2), định nghĩa phạm vi và giới hạn (7.3) và thiết lập một tổ ch ức thích hợp để vận hành hoạt động quản lý rủi ro an toàn thông tin (7.4). H ướng d ẫ n triển khai: Cần thiết ph ả i xác định mục đích của việc quản lý rủi ro an toàn thông tin bởi vì điều này ảnh hưởng đến toàn bộ quy trình và việc thiết lập bối cảnh cụ thể. Mục đích này có thể là: • Hỗ trợ cho hệ thống quản lý an toàn thông tin (ISMS) • Tuân thủ pháp luật và bằng chứng th ẩ m định • Chu ẩ n bị một kế hoạch liên tục trong nghiệp vụ • Chu ẩ n bị một kế hoạch ứng cứu sự cố • Mô tả về những yêu cầu an toàn thông tin đối với một sản ph ẩ m, một dịch vụ hoặc một cơ chế. Hướng dẫn triển khai cho các y ế u tố thiết lập b ố i cảnh cần thiết để h ỗ trợ cho hệ thống ISMS được đề cập thêm tại 7.2, 7.3 và 7.4 dưới đây. CHÚ THÍCH: TCVN ISO/IEC 27001:2009 không sử dụng thuật ngữ 'bối cảnh”. Tuy nhiên, đi ề u 7 liên quan đ ế n các yêu c ầ u “ xác định phạm vi và gi ớ i hạn của ISMS” [4.2.1 a)], “ xác đ ị nh ch í nh sách của ISMS ” [4.2.1 b)] và “ xác đ ị nh phương pháp tiếp c ậ n đ á nh giá rủi ro ” [4.2.1 c)] cụ th ể trong TCVN ISO/IEC 27001:200 9 . Đ ầ u ra: Đặc tả kỹ thuật về tiêu chí cơ bản, phạm vi và giới hạn và tổ chức thực hiện quy trình quản lý rủi ro an toàn thông tin. 7.2. Tiêu chí cơ bản 7.2.1 . Ph ươ ng pháp ti ế p cận qu ả n lý rủ i ro Tùy thuộc vào phạm vi và mục tiêu quản lý rủi ro mà có thể áp dụng nhiều phương pháp tiếp cận khác nhau. Phương pháp ti ế p cận cũng có thể khác nhau đối với từng chu tr ì nh lặp lại. Một phương pháp tiếp cận quản lý rủi ro thích hợp c ầ n phải được lựa chọn hoặc phát triển để giải quyết tiêu chí cơ bản như: tiêu chí ước lượng rủi ro, ti ê u chí về tác động, tiêu ch í chấp nhận rủi ro. Ngoài ra, tổ chức cần phải đánh giá xem những nguồn lực cần thiết có sẵn có hay không để: • Thực hiện đánh giá rủi ro và thiết lập kế hoạch xử lý rủi ro • Định nghĩa và triển khai các chính sách và thủ tục, bao gồm việc tri ể n khai các biện pháp kiểm soát đã được lựa chọn • Giám sát các kiểm soát • Giám sát quy trình quản lý rủi ro an toàn thông tin CHÚ THÍCH: Xem thêm TCVN ISO/IEC 27001:2009 (5.2.1) l iê n quan tới đi ề u khoản v ề các nguồn lực cho hoạt động triển khai v à vận hành một hệ thống ISMS 7.2.2 . Ti ê u chí ước lượng rủi ro Tiêu chí ước lượng rủi ro c ầ n phải được phát tri ể n để ước lượng rủi ro an toàn thông tin của tổ chức li ê n quan đến: • Giá tr ị chiến lược của quy trình thông tin nghiệp vụ • Mức quan trọng đối với tài sản thông tin có liên quan • Các yêu cầu về pháp lý và quy định và các trách nhiệm v ề hợp đồng • Tầm quan trọng của tính sẵn sàng, tính bí mật và tính toàn v ẹ n trong các hoạt động mang t í nh nghiệp vụ và vận hành • Những nhận thức và mong muốn của các bên liên quan và những hậu quả xấu đối với danh tiếng và uy tín của tổ chức Ngoài ra, tiêu chí ước lượng rủi ro c ó thể được sử dụng để xác định ưu tiên cho việc xử lý rủi ro. 7.2.3 . Ti ê u chí tác động Tiêu chí tác động c ầ n phải được xác đ ị nh và phát triển theo mức thiệt hại hoặc các khoản chi ph í đối với t ổ chức mà nguyên nhân gây ra là từ các sự kiện an to à n th ô ng tin mà có liên quan đến: • Mức phân loại tài sản th ô ng tin b ị tác động • V i phạm an to à n thông tin ( l à m giảm tính b í mật, tính toàn vẹn và tính sẵn sàng) • Yếu kém trong vận hành (nội bộ hoặc các bên thứ ba) • Tổn hại về giá tr ị nghiệp vụ và tài chính • Phá v ỡ các kế hoạch và thời hạn • Thiệt hại về uy tín • Vi phạm các yêu cầu v ề pháp lý, quy định hoặc các cam kết theo h ợ p đồng CH Ú THÍCH: Xem th ê m TCVN ISO/IEC 27001:2009, 4.2.1 d ) 4) liên quan tới việc xác định tiêu ch í tác động l à m giảm t í nh b í mật, t í nh toàn vẹn và tính s ẵ n sàng. 7.2.4 . Tiêu ch í chấp nhận rủi ro Tiêu ch í chấp nhận rủi ro cần phải được xác định và phát triển. Tiêu chí ch ấ p nhận rủi ro thường phụ thuộc v à o các ch í nh sách, mục đích, mục tiêu của tổ ch ứ c và các lợi í ch của các bên liên quan. Mỗi tổ chức cần phải xác định mức ch ấ p nhận rủi ro của riêng tổ chức m ì nh. Trong suốt quy trình ph á t triển cần phải xem xét các v ấ n đề sau: • Tiêu chí chấp nhận rủi ro có th ể bao g ồ m nhi ề u ngư ỡ ng, dựa theo mức mục tiêu mong mu ố n về rủi ro, nhưng p hụ thuộ c vào từng đi ề u kiện thực t ế cụ thể để cán bộ quản lý cao c ấ p có thể chấp nhận mức rủi ro • Tiêu chí chấp nhận rủi ro c ó thể được thể hiện như tỉ l ệ lợi nhuận ước lượng (hoặc các lợi ích nghiệp vụ khác) trên rủi ro được ước lượng • C á c tiêu chí chấp nhận r ủ i ro khác nhau có th ể được áp dụng cho nhi ề u loại rủi ro khác nhau, ví dụ như những rủi ro mà có thể dẫn tới việc không tuân th ủ pháp lý hoặc quy đ ị nh có thể không được ch ấ p nhận, trong khi việc chấp nhận các rủi ro ở mức cao lại có th ể được phép nếu việc chấp nhận này được xác định như là các yêu cầu của hợp đ ồ ng. • Tiêu ch í chấp nhận rủi ro có thể bao gồm những yêu cầu cho việc xử lý bổ sung trong tương lai, v í dụ: một rủi ro có th ể được ch ấ p nhận thông qua với cam k ế t s ẽ có hành động làm giảm rủi ro tới mức có thể chấp nhận được trong một khoảng thời gian nh ấ t định Tiêu chí ch ấ p nhận rủi ro có thể khác nhau tùy theo thời gian dự tính tồn tại của rủi ro, ví dụ: rủi ro có thể liên quan đến một hoạt động ngắn hạn hoặc tạm thời. Tiêu chí ch ấ p nhận rủi ro được thiết lập như sau: • Tiêu chí nghiệp vụ • Khía cạnh pháp lý và các quy định • Sự vận hành • Công nghệ • Tài chính • Các yếu tố về x ã hội và con người. CHÚ THÍCH: Tiêu ch í chấp nhận rủi ro tương tự với “ti ê u ch í chấp nhận rủi ro và nhận b iế t mức rủi ro có thể chấp nh ậ n được” và được quy định rõ trong TCVN ISO/IEC 27001:2009, xem 4.2.1 c) 2). Thông tin chi tiết được trình bày trong Phụ lục A. 7.3. Phạm vi và giới hạn Tổ chức cần phải xác định rõ phạm vi và giới hạn cho quản lý rủi ro an toàn thông tin. Phạm vi của quy trình quản lý rủi ro an toàn thông tin cần được xác định r õ để đảm bảo toàn bộ tài sản liên quan phải được quan tâm xem xét trong quy trình đánh giá rủi ro. Ngoài ra, cần phải nhận biết các giới hạn [xem TCVN ISO/IEC 27001:2009, 4.2.1 a)] để giải quy ế t những rủi ro có thể phát sinh thêm ngoài giới hạn đã có. Cần phải thu thập những thông tin về tổ chức để xác định môi trường mà tổ chức hoạt động và sự liên quan của t ổ chức đó tới quy trình quản lý rủi ro an toàn thông tin. Khi xác định phạm vi và giới hạn, tổ chức c ầ n phải xem xét tới những thông tin sau: • Những mục tiêu, chi ế n lược và ch í nh sách nghiệp vụ mang tính chi ế n lược của tổ chức • Những quy trình nghiệp vụ • Tổ chức bộ máy và chức năng của tổ chức • Pháp lý, quy định và các cam kết cần áp dụng cho tổ chức • Chính sách an toàn thông tin của tổ chức • Phương pháp ti ế p cận tổng thể của tổ chức đối với việc quản lý rủi ro • Các tài sản thông tin • Vị trí và đặc điểm đ ị a lý của t ổ chức • Những ràng buộc ảnh hưởng đến tổ chức • Kỳ vọng của các bên liên quan • Môi trường văn hóa - xã hội • Các giao diện (trao đổi thông tin v ớ i môi trường) Thêm vào đó, t ổ chức phải cung c ấ p bằng chứng cho các trường hợp ngoại lệ. Các v í dụ về phạm vi quản lý r ủ i ro có thể l à một ứng dụng công nghệ thông tin, cơ s ở hạ tầng công nghệ thông tin, một quy trình nghiệp vụ, hoặc một bộ phận đ ã được định r õ của tổ chức. CH Ú TH Í CH: Phạm vi và giới h ạ n của hoạt động quản lý rủi ro an toàn thông tin liên quan tới phạm vi v à giới hạn của hệ th ố ng ISMS đ ượ c quy định trong TCVN ISO/IEC 27001:2009, xem 4.2.1 a). Thông tin chi tiết hơn có thể t ì m th ấ y trong Phụ lục A. 7.4. Tổ chức quản lý rủi ro an toàn thông tin Cần phải thiết lập và duy trì tổ chức cũng như những trách nhiệm của tổ chức đối với quy trình qu ả n lý rủi ro an toàn thông tin. Dướ i đây sẽ đưa ra vai trò và trách nhiệm ch í nh của tổ chức đ ố i với quy trình quản lý rủi ro an toàn thông tin: • Phát tri ể n quy trình qu ả n lý rủi ro an toàn thông tin phù hợp cho tổ chức. • Nhận biết và phân t í ch v ề các bên liên quan • Xác định r õ vai trò và trách nhiệm của t ấ t cả các bên, k ể c ả nội bộ và bên ngoài tổ chức • Thiết lập những mối quan hệ c ầ n thiết giữa tổ chức với các bên liên quan quản lý rủi ro an toàn thông tin, cũng như nh ữ ng giao diện đối với các chức năng qu ả n lý rủi ro ở mức cao của tổ chức (ví dụ như quản lý rủi ro trong vận hành), cũng như những giao diện đối với những dự án hay các hoạt động có liên quan khác • Vạch rõ hướng quyết định tiếp theo • Đặc điểm kỹ thuật của hồ sơ cần được lưu trữ T ổ chức phải được ch ấ p thuận bởi những người quản lý thích hợp của tổ chức. CHÚ THÍCH: TCVN ISO/IEC 27001:2009 y ê u c ầ u phải x á c định các nguồn lực dự trữ c ầ n thiết đ ể ti ế n hành thiết lập, triển khai, vận hành, giám sát, soát xét, duy tr ì v à cải ti ế n một hệ th ố ng ISMS, xem 5.2.1 a). Tổ chức thực hiện các hoạt động quản lý rủi ro có th ể được xem như là một trong các nguồn lực cần thiết trong TCVN ISO/IEC 27001:2009. 8. Đánh giá rủi ro an toàn thông tin 8.1. Mô tả chung về đánh giá rủi ro an toàn thông tin CH Ú TH Í CH: Hoạt động đ á nh giá r ủ i ro an toàn thông tin được nói đ ế n như là quy trình trong TCVN ISO/IEC 27001:2009. Đầu v à o: Các tiêu ch í cơ bản, phạm vi và gi ớ i hạn và tổ chức thực hiện quy trình quản lý rủi ro an toàn thông tin được thiết lập. Hành độ n g : Các rủi ro cần phải được nhận biết được mô t ả định tính hoặc định lượng và sắp x ế p mức ưu tiên theo các tiêu chí ước lượng rủi ro và các mục tiêu liên quan tới tổ chức. H ướn g d ẫ n triển khai: Một rủi ro là một sự kết hợp các hậu quả do những sự kiện không mong muốn và khả năng xuất hiện của các sự kiện đó. Việc đánh giá rủi ro định lượng hoặc mô tả định tính v ề rủi ro và cho phép những người quản lý đặt ra mức ưu ti ê n cho những rủi ro dựa trên nhận thức của họ về mức nghiêm trọng hoặc các tiêu chí đ ã được thiết lập khác. Đánh giá rủi ro bao gồm các hoạt động sau: • Nhận biết rủi ro (8.2) • Phân tích rủi ro (8.3) • Ước lượng rủi ro (8.4) Đánh giá r ủ i ro nhằm xác định giá trị của các tài sản thông tin, nhận bi ế t các đe dọa c ó th ể xảy ra và các điểm yếu vẫn còn tồn tại (hoặc c ó th ể tồn tại), nhận bi ế t các biện pháp kiểm soát hiện c ó và hiệu quả của các biện pháp đó trong việc nhận biết rủi ro, xác đ ị nh các hậu quả ti ề m ẩn và cuối cùng l à phân loại và sắp xếp thứ tự ưu tiên các rủi ro đ ã t ì m được dựa vào bộ tiêu ch í đánh giá rủi ro trong quy trình thiết lập bối c ả nh. Đánh giá rủi ro thường được tiến hành tối thiểu hai lần. Lần đầu tiên tiến hành đánh giá sơ bộ để xác định các rủi ro nguy hiểm đang tiềm ẩn, tạo điều kiện cho các bước đánh giá tiếp theo. Bước tiếp theo có thể đánh giá sâu hơn các rủi ro ti ề m ẩn đã bộc lộ trong lần đánh giá trước đó. Nếu không có đầy đủ thông tin để đánh giá rủi ro thì sẽ có thể ti ế n hành phân tích chi tiết bằng phương pháp khác trên một phần hoặc toàn bộ phạm vi. Mỗi tổ chức cần phải chọn phương pháp ti ế p cận riêng để đánh giá rủi ro dựa tr ê n các mục tiêu và mục đích của đánh giá rủi ro. Các ph ư ơng pháp tiếp cận đánh giá rủi ro an toàn thông tin được trình bày chi ti ế t trong Phụ lục E. Đầu ra: Một danh sách những rủi ro đã được đánh giá được sắp xếp theo thứ tự ưu tiên phù hợp với các tiêu chí đánh giá rủi ro. 8.2. Nhận biết rủi ro 8.2.1 . Gi ớ i thiệu về nhận bi ế t rủi ro Mục đích của nhận biết rủi ro là xác định nguyên nhân có thể gây ra thiệt hại tiềm ẩn và hiểu được lý do, phương thức, thời điểm, không gian mà thiệt hại có th ể xảy ra. Các bước mô tả trong 8.2.2 đến 8.2.6 s ẽ thu thập thông tin làm dữ liệu đầu vào cho hoạt động phân tích rủi ro. Nhận biết rủi ro có thể bao gồm nhận biết nguồn phát sinh rủi ro, đặt nguồn gốc phát sinh rủi ro dưới sự kiểm soát của tổ chức mặc dù nguồn hoặc nguyên nhân phát sinh này có thể không rõ ràng. CH Ú THÍCH: Các hoạt động được mô tả trong các mục dưới đây có th ể được ti ế n hành theo th ứ tự khác nhau tùy t heo t ừng phương pháp luận được áp d ụng. 8.2.2 . Nhận bi ế t v ề t à i sản Đầu v à o: Phạm vi và giới hạn của đánh giá rủi ro được tiến hành, danh sách các thành phần (tài s ả n) li ê n quan cùng th ô ng tin v ề những người sở hữu tài sản, v ị trí, chức năng,... Hành độ n g : C ần phải nhận bi ế t rõ các tài s ả n trong phạm vi đã được thiết lập (xem thêm TCVN ISO/IEC 27001:2009, 4.2.1 d) 1)). H ướng d ẫ n tr iể n khai: Tài s ả n là bất k ì thứ g ì có giá trị đối với tổ chức và do đó c ần được bảo vệ. Nhận biết tài s ả n cần phải xem xét trong khuôn khổ hệ thống thông tin, trong đó không chỉ bao gồm phần cứng và ph ầ n mềm. Nhận biết t à i sản phải được thực hiện ở mức chi tiết phù hợp để cung c ấ p đ ầ y đủ thông tin cho hoạt động đánh giá rủi ro. Mức chi tiết được sử dụng trong quy trình nhận biết tài sản s ẽ ảnh hư ở ng đến toàn bộ lượng thông tin được thu thập trong suốt quy trình đánh giá rủi ro. Mức chi tiết này có thể được cải tiến trong các bước lặp đi lặp lại của quy trình đánh giá rủi ro. C ầ n phải nhận biết r õ người s ở hữu tài sản đối với mỗi tài s ả n, để quy định nghĩa vụ và trách nhiệm đối v ớ i tài sản. Người sở hữu tài sản có thể không có quyền sở hữu đối v ớ i tài sản đó, nhưng lại c ó trách nhiệm trong việc s ả n xuất, phát triển, duy trì, sử dụng và đảm b ả o an toàn phù hợp. Người s ở hữu tài sản thường l à người thích hợp nhất đ ể xác định giá tr ị của tài sản đối với tổ chức (xem 8.3.2 v ề đ ị nh giá tài sản). Gi ớ i hạn cho việc soát xét là tập hợp tất cả các tài sản của tổ chức đ ã được nhận biết được qu ả n lý bởi quy trình quản lý rủi ro an toàn thông tin. Thông tin cho việc nhận biết và đ ị nh giá tài s ả n liên quan tới an toàn thông tin được tr ì nh bày trong Phụ lục B. Đầu ra: Một danh sách các tài sản c ầ n được quản lý rủi ro và danh sách các quy trình nghiệp vụ liên quan đến các tài sản v à các v ấ n đề liên quan khác. 8.2.3 . Nhận bi ế t v ề mối đe dọa Đ ầ u v à o: Thông tin v ề các mối đe dọa thu được từ việc soát xét sự cố, người sở hữu tài sản, người sử dụng tài sản và các nguồn thông tin khác, kể cả danh mục v ề các mối đe dọa từ bên ngoài. Hành đ ộ n g : C ần phải nhận biết các mối đe dọa và nguồn gốc phát sinh các mối đe dọa (liên quan tới TCVN ISO/IEC 27001:2009, xem 4.2.1 d) 2)). H ướng d ẫ n triển khai: Một mối đe dọa có khả năng gây thiệt hại cho các tài sản như: thông tin, các quy trì n h nghiệp vụ, các hệ thống và t ổ chức. Các mối đe dọa có thể xuất phát từ những lý do khách quan hay chủ quan, cũng có thể là do c ố ý hoặc vô ý. Dù mối đe dọa bắt ngu ồ n từ lý do nào cũng đều phải được nhận bi ế t r õ . Một mối đe dọa có thể phát sinh từ b ê n trong hoặc bên ngoài tổ chức. Những mối đe dọa này phải được nhận biết một cách t ổ ng quát và theo loại (ví dụ: hành động b ấ t h ợ p pháp, phá hủy về vật lí, lỗi về công nghệ) và nếu phù hợp là theo từng mối đe dọa riêng trong các phân loại cụ thể. Đi ề u này có nghĩa là không được bỏ s ó t bất cứ mối đe dọa nào, k ể cả trong những trường hợp khó xảy ra, nh ư ng cần phải giới hạn khối lượng công việc cần thực hiện. Một số mối đe dọa có th ể gây ảnh hưởng đồng thời l ê n nhiều tài s ả n. Trong trường hợp này. chúng có thể gây ra các tác động khác nhau tùy thuộc vào tài sản nào bị ảnh hưởng. Đầu vào cho việc nhận bi ế t đe d ọ a và việc ước lượng các khả năng xảy ra (8.3.3) có thể thu thập được từ: người quản lý hay người sử dụng tài sản, đội ngũ nhân vi ê n, chuyên gia quản lý phương tiện và chuyên gia an to à n th ô ng tin, các chuyên gia an toàn vật Lí, bộ phận pháp lý và các t ổ chức kh á c bao gồm: các cơ quan luật pháp, cơ quan dự báo thời tiết, công ty bảo hiểm và các cơ quan quản lý của chính phủ. Ngoài ra, khi giải quyết các mối đe dọa cũng cần phải quan tâm đến kh í a cạnh môi trường và văn hóa. Cần phải tham khảo kinh nghiệm nội bộ thu được từ những sự cố đã xảy ra và kết quả đánh giá các đe dọa đ ã gặp phải trước khi ti ế n hành các đánh giá ở hiện tại. Những kinh nghiệm này r ất hữu ích khi tra cứu các danh mục về các m ố i đe dọa khác nhau (có thể chi ti ế t đ ố i với từng tổ chức hay nghiệp vụ), để hoàn th i ện danh sách các mối đe dọa có đặc điểm chung. Danh mục các mối đe dọa và số liệu thống kê có thể tham kh ả o từ các cơ quan như: các cơ s ở nghiên cứu, các hiệp hội, công ty bảo hiểm, các cơ quan quản lý nhà nước về công nghệ thông tin, viễn thông... Khi sử d ụ ng danh mục về các mối đe dọa hoặc các k ế t quả đánh giá trước đó về các mối đe dọa, cần phải chú ý rằng luôn luôn có những thay đổi liên quan đến các đe dọa, đặc biệt là những thay đ ổ i về môi trường nghiệp vụ hay môi trường hệ th ố ng thông tin. Thông tin chi tiết v ề các loại đe dọa được tr ì nh bày ở trong Phụ lục C . Đầu ra: Một danh sách các mối đe dọa cùng với những thông tin nhận bi ế t về kiểu và nguồn gốc của các mối đe dọa. 8.2.4 . Nhận biết về các bi ệ n pháp ki ể m soát hi ệ n có Đầu vào: Tài liệu về các biện pháp kiểm soát, các kế hoạch triển khai xử lý rủi ro. Hành đ ộ n g : Nhận biết các biện pháp kiểm soát hiện có hoặc đ ã có kế hoạch triển khai. H ướn g d ẫ n triển khai : Nhận biết các biện pháp kiểm soát hiện có là cần thiết nh ằ m tránh phải thực hiện nhiều công việc hay đ ỡ mất chi ph í một cách không c ầ n thiết, như trong trường hợp áp dụng các biện pháp kiểm soát trùng lặp. Ngoài ra, khi nhận biết các biện pháp kiểm soát hiện có, c ầ n phải tiến hành v iệc kiểm tra để đảm bảo các biện pháp kiểm soát này được thực hiện một cách đúng đắn - việc tham khảo các báo cáo kiểm toán hệ thống ISM S l à có thể giúp hạn chế thời gian thực hiện công việc này. Nếu một biện pháp kiểm soát không được thực hiện đúng như mong muốn, đây có thể là nguyên nhân gây ra các điểm yếu. Cần phải chú ý đến trường hợp n ế u một biện pháp (hay chiến lược) đã được chọn lựa bị thất bại khi vận hành th ì lúc đó cần phải triển khai các biện pháp kiểm soát bổ sung để giải quyết các rủi ro đã bi ế t một cách hiệu quả. Trong một hệ thống ISMS, theo TCVN ISO/IEC 27001:2009, th ì hoạt động này được hỗ trợ bởi việc đánh giá hiệu quả các biện pháp kiểm soát. Một cách để ước lượng tính hiệu quả của một biện pháp kiểm soát là xem xét khả năng giảm thiểu sự xuất hiện các mối đe dọa và sự dễ dàng trong khai thác các điểm y ế u hoặc tác hại của các sự cố. Ban quản lý cần phải soát xét và kiểm toán các báo cáo cũng như cung c ấ p các thông tin về t í nh hiệu quả của các biện pháp kiểm soát hiện có. Các biện pháp kiểm soát đang được lập kế hoạch để triển khai theo kế hoạch triển khai xử lý rủi ro cần được xem xét theo cùng một phương pháp giống như các biện pháp đã được tri ể n khai. Một biện pháp kiểm soát hiện có hoặc đã có kế hoạch triển khai có thể không hiệu quả, không đầy đủ hoặc không thích đáng. N ế u nhận th ấ y biện pháp kiểm soát này không đầy đủ hoặc không thích đáng thì cần kiểm tr a để xác định có loại bỏ hoặc thay thế biện pháp kiểm soát này bằng các biện pháp kiểm soát khác phù hợp h ơn hay giữ nguyên vì một s ố lý do nào đó (ví dụ như: chi phí). Các hoạt động sau có th ể giúp í ch cho việc nhận biết các biện pháp kiểm soát hiện có hoặc đ ã có kế hoạch: • Soát xét lại các tài liệu chứa thông tin về các biện pháp kiểm soát (ví dụ: các k ế hoạch triển khai xử lý rủi ro). Nếu quy trình qu ả n lý an toàn thông tin được t à i liệu hóa tốt th ì tất c ả các biện pháp kiểm soát hiện có hoặc đ ã được lập kế hoạch và tình hình triển khai của chúng sẽ có sẵn; • Phối hợp với người chịu trách nhiệm về an toàn thông tin của tổ chức (như chuyên viên an toàn thông tin, chuyên viên an toàn hệ thống thông tin, cán bộ quản lý tòa nhà hoặc cán bộ quản lý vận hành) và những người sử dụng xem xét biện pháp kiểm soát thực sự được triển khai cho hoạt động xử lý thông tin hoặc hệ thống thông tin; • Ti ế n hành soát xét tại chỗ các biện pháp kiểm soát vật lí , đối chi ế u những biện pháp kiểm soát đã triển khai với danh sách các biện pháp kiểm soát cần ph ả i thực hiện và kiểm tra tính chính xác và hiệu quả của việc triển khai các biện pháp này; hoặc • Soát xét các kết quả kiểm toán. Đ ầ u ra: Một danh sách các biện pháp kiểm soát hiện có hoặc đã đượ c lập kế hoạch triển khai; tình h ì nh triển khai và tình trạng sử dụng các biện pháp kiểm soát này. 8.2.5 . Nhận biết v ề điểm y ế u Đ ầ u v à o: Một danh sách các m ố i đe dọa đã biết, danh sách các tài sản và các biện pháp kiểm soát hiện có. M ô t ả: Cần phải nhận bi ế t các điểm yếu mà có thể b ị khai thác bởi các mối đe dọa v ề an toàn thông tin, chúng chính là nguyên nhân g â y thiệt hại cho các tài sản hoặc cho tổ chức (liên quan tới TCVN ISO/IEC 27001:2009, xem 4.2.1 d) 3)). Hư ớ ng d ẫ n triển khai : Có thể nhận biết các điểm y ế u trong các lĩnh vực sau: • Tổ chức • Các thủ tục và quy trình • Thủ tục quản lý • Nhân sự • Môi trường vật l í • C ấ u hình h ệ thống thông tin • Ph ầ n cứng, phần m ề m hoặc thiết bị truyền thông • Sự phụ thuộc vào các thành phần bên ngoài Điểm yếu không tự gây ra thiệt hại, mà cần phải có một mối đe dọa khai thác. Một điểm yếu mà không có mối đe dọa tương ứng thì có thể không cần thiết triển khai biện pháp kiểm soát nào, nhưng các thay đổi cần phải được phát hiện và giám sát chặt chẽ. Cầ n lưu ý , một biện pháp kiểm soát được thực hiện không đúng cách hoặc sai chức năng, hoặc áp dụng kh ô ng đúng cũng có thể là một điểm yếu. Một biện pháp kiểm soát c ó thể hiệu quả hoặc kh ô ng hiệu quả tùy thuộc vào môi trường vận hành. Ngược lại, một mối đe dọa mà không có điểm y ế u tương ứng có thể không gây ra một rủi ro. Các điểm y ế u có thể liên quan đến các thuộc tính của tài sản b ị sử dụng khác với mục đích và cách thức khi được mua sắm hoặc chế tạo. Cần phải xem xét các điểm yếu phát sinh từ nhiều nguồn khác nhau, ví dụ như từ bản chất bên trong hoặc bên ngo à i của tài sản. Các ví dụ về các điểm yếu và các phương pháp đánh giá điểm yếu được trình bày trong Phụ lục D. Đầu ra: Một danh sách các điểm yếu liên quan đến các tài sản, các mối đe dọa và các biện pháp k iểm soát; một danh sách các điểm yếu không liên quan đến bất k ì mối đe dọa nào đã được nhận biết để soát xét. 8.2. 6. Nhận biết v ề hậu quả Đ ầ u vào: Một danh sách các tài sản, một danh sách các quy trình nghiệp vụ và một danh sách các điểm yếu và các mối đe dọa, có liên quan đến các tài sản và các v ấ n đề li ê n quan. Hành đ ộ ng: Cầ n nhận bi ế t các hậu qu ả làm mất đi tính bí mật, tính toàn vẹn và tính sẵn sàng đối với các tài sản (xem TCVN ISO/IEC 27001:2009, 4.2.1 d) 4)). H ướ ng d ẫ n t riể n khai: Một hậu quả có th ể là sự mất đi tính hiệu qu ả , các b ấ t lợi trong điều kiện vận hành, yếu kém trong hoạt động nghiệp vụ, m ấ t u y tín, gây thiệt hại... Hoạt động này nhằm nhận biết thiệt hại hay hậu quả đối với tổ chức mà có thể nguyên nhân do kịch bản sự cố g â y ra. Một kịch bản sự cố là bản mô tả về một mối đe dọa đang khai thác một hoặc một tập hợp các đi ể m yếu trong một sự cố an toàn thông tin (xem tham khảo đi ề u 13 trong TCVN ISO/IEC 27002:2011). Tác động của các kịch bản sự cố được xác định theo ti ê u ch í tác động đ ã được nhận biết trong hoạt động thiết lập bối c ả nh. Những tác động này có thể ảnh h ưở ng tới một hoặc nhiều tài sản mà cũng có thể chỉ trên một phần của tài sản. Do đó, giá trị tài sản có thể được xem xét dựa vào hai khía cạnh: chi phí tài chính và ảnh hưởng của hoạt động nghiệp vụ nếu tài sản b ị thiệt hại hoặc bị xâm phạm. Ảnh hư ở ng này có thể mang tính ch ấ t tạm thời hoặc vĩnh viễn như trường hợp tài sản b ị phá hủy hoàn to à n. CHÚ THÍCH: TCVN ISO/IEC 27001:2009 mô tả sự xuất hi ệ n của các kịch bản sự cố là “ các lỗi an toàn”. Các tổ chức c ầ n phải nhận biết các hậu quả hoạt động của các kịch bản sự cố về các mặt sau (nhưng không chỉ giới h ạ n trong những mặt này): • Việc điều tra nghiên cứu và thời gian khắc phục • Thời gian (công việc) bị l ã ng phí • Cơ hội b ị lãng phí • Sức khỏe và an toàn • Chi phí tài chính cho từng kĩ năng để khắc phục thiệt hại • Sự tín nhiệm và danh tiếng. Chi ti ế t về đánh giá các điểm yếu thuộc kỹ thuật được tr ì nh bày trong Phụ lục B.3 “Đánh giá Tác động”. Đ ầ u ra: Một danh sách các kịch bản sự cố cùng với các hậu quả của chúng liên quan đến các tài sản và quy trình nghiệp vụ. 8.3. Phân tích rủi ro 8.3.1 . Các phương pháp phân t í ch rủi ro Phân tích rủi ro có thể được thực hiện theo các mức chi tiết khác nhau phụ thuộc vào mức quan trọng của các tài sản, phạm vi của các đi ể m yếu đ ã biết và các sự cố xảy ra trước đây liên quan tới tổ chức. Một phương pháp luận phân tích rủi ro có thể là định lượng hoặc định tính hoặc c ả hai, dựa vào từng hoàn cảnh cụ thể. Trong thực t ế , phân tích định tính thường được sử dụng đ ầ u ti ê n để tìm được một biểu th ị tổng quan về mức rủi ro và làm bộc lộ các rủi ro chủ yếu. Sau đó, có thể cần thực hiện chi tiết hơn hoặc phân tích định lượng các rủi ro chủ yếu này b ở i v ì việc thực hiện phân tích định tính thường í t phức tạp và í t tốn kém hơn so với việc phân tích định lượng. H ì nh thức phân tích c ầ n phải phù h ợ p với các tiêu ch í ước lượng rủi ro, được phát tri ể n như là một ph ầ n của thiết lập b ố i c ả nh. Chi tiết hơn về hai phương pháp ư ớc lượng được mô tả như sau: (a) Phương pháp phân tích rủi ro định tính: Phân tích rủi ro định tính sử dụng một thang đo các thuộc tính ch ấ t lượng (thang thuộc t í nh) để mô tả tính chất nghiêm trọng của cá c hậu quả tiềm ẩ n (ví dụ: Th ấ p, Trung b ì nh và Cao) và khả năng xảy ra của các hậu quả đó. Ưu điểm của phân tích định tính là giúp các nhân viên có liên q u an có thể dễ dàng hiểu được những hậu quả này, trong khi nhược điểm của phương pháp này là sự phụ thuộc vào lựa chọn chủ quan của th a ng đ o thuộc tính. Các thang đo thuộc tính có thể được thay đổi hoặc điều chỉnh đ ể phù hợp với hoàn cảnh và những mô tả khác nhau có thể được sử dụng cho những rủi ro khác nhau. Phân tích rủi ro định t í nh có thể được sử dụng: • Như một hoạt động lọc thô ban đ ầ u để nhận bi ế t những rủi ro, sau đ ó yêu cầu phân tích chi ti ế t hơn những rủi ro đ ó. • Khi mà kiểu phân tích này phù h ợ p với các quy ế t định • Khi mà các dữ liệu số hay tài nguyên số không đủ để thực hiện phân tích rủi ro định lượng Phân tích định tính cần phải sử dụng các thông tin và dữ liệu thực t ế có sẵn. (b) Phương pháp phân tích rủi ro định lượng: Phân t í ch rủi ro định lư ợn g sử dụng thang đo với các giá tr ị số (thang giá tr ị số) (chứ không phải l à thang mang tính chất mô t ả sử dụng trong phân tích rủi ro định tính) cho cả hậu quả và khả năng xảy ra hậu quả. Phân tích rủi ro định lượng sử dụng dữ liệu từ nhi ề u nguồn khác nhau. Ch ấ t lượng của việc phân tích phụ thuộc vào độ chính xác và độ đầy đủ của giá trị số học và giá trị của mô h ì nh đ ã sử dụng. Trong hầu h ế t các trường hợp, phân tích rủi ro định lượng thường sử dụng các dữ liệu sự cố trong quá khứ, ưu điểm là có thể liên hệ trực tiếp đến các mục ti ê u và mối quan tâm về an toàn thông tin của tổ chức. Nhược điểm của phương pháp này l à sự thiếu dữ liệu về các rủi ro mới hoặc các điểm yếu an toàn thông tin. Nhược đi ể m của phương pháp tiếp cận định lượng xuất hiện khi thiếu các dữ liệu thực tế, có thể kiểm chứng được, từ đó dẫn đ ế n việc tạo ra ảo tư ở ng về giá tr ị và t í nh chính xác của việc đánh giá rủi ro. Cách thức diễn t ả hậu quả và khả năng xảy ra và các cách thức kết hợp hai vấn đề này để tạo ra mức rủi ro sẽ thay đổi theo loại rủi ro và mục đích cho đ ầ u ra của việc đánh giá rủi ro dự t í nh được sử dụng. Sự không chắc chắn và tính hay thay đổi của cả hậu qu ả và khả năng xảy ra có thể được xem xét trong quá trình phân tích và truy ề n thông thông tin một cách hiệu quả. 8.3.2 . Đánh giá các hậu quả Đầu v à o: Một danh sách các kịch bản sự cố liên quan đã được nhận biết, bao gồm nhận biết về các mối đe dọa, các đi ể m yếu, các tài sản b ị ảnh hư ở ng, những hậu qu ả đ ố i với t à i sản và các quy trình nghiệp vụ. Hành đ ộ ng: C ần phải đánh giá các tác động nghiệp vụ đối với tổ chức mà nguyên nh â n g â y ra có thể từ những sự cố an toàn thông tin có th ể x ả y ra hoặc đã xảy ra ở hiện tại và cần phải xem xét các hậu quả do vi phạm an toàn thông tin gây ra như làm ảnh hưởng tới tính b í mật, t í nh toàn vẹn hay tính sẵn sàng của các tài sản (liên quan tới TCVN ISO/IEC 27001:2009, xem 4.2.1 e) 1)). H ướng d ẫ n triển khai: Sau khi nhận biết t ấ t cả các tài sản đang trong quy trình soát xét, các giá tr ị mà được gắn cho những tài sản này cần phải được xem xét khi đánh giá những hậu quả. Giá trị tác động nghiệp vụ có thể được thể hiện dưới hai hình thức: mô t ả định t í nh và mô tả định lượng, nhưng nói chung b ấ t k ì phương ph á p đánh giá giá trị tiền tệ nào cũng có thể cung c ấ p thêm nhiều thông tin cho việc đưa ra quyết định và do vậy tạo điều kiện thuận lợi cho một quy trình ra quyết định thêm hiệu quả hơn. Đ ị nh giá t à i sản bắt đầu với việc phân loại các t à i sản theo mức rủi ro của tài sản, tầm quan trọng của t à i s ả n đ ố i với việc hoàn thành các mục tiêu nghiệp vụ của t ổ chức. Sau đó, việc định giá tài sản sẽ được xác định bằng cách sử dụng hai phương pháp: • Giá trị thay th ế của tài sản, gồm: chi phí khôi phục thông tin và chi phí thay thế thông tin • Các hậu quả nghiệp vụ do làm m ấ t mát hoặc gây tổn hại t ớ i tài sản, như nghiệp vụ b ấ t lợi tiềm ẩ n và/ho ặ c các hậu quả về pháp lý hay quy định từ sự tiết lộ, thay đổi, tính không sẵn sàng và/hoặc sự phá hoại thông tin và những tài sản thông tin khác Việc định giá này có thể được xác đị nh từ quy trình phân tích tác động nghiệp vụ. Giá trị mà được xác định bằng hậu quả nghiệp vụ thường cao hơn đáng kể so với chi phí thay th ế đơn gi ả n, tùy thuộc v à o tầm quan trọng của tài sản đối với tổ chức trong việc đáp ứng các mục tiêu nghiệp vụ của tổ chức đó. Định giá tài sản là một bước quan trọng trong việc đánh giá tác động của một kịch bản sự cố, bởi vì sự cố có thể ảnh hư ởn g tới nhiều hơn một t à i sản (chẳng hạn như các t à i sản phụ thuộc) hoặc ch ỉ một phần của một tài sản. Các mối đe dọa và điểm yếu khác nhau sẽ có các tác động khác nhau đối với các tài sản, như làm m ấ t đi tính b í mật, t í nh toàn vẹn hoặc tính sẵn sàng. V ì vậy, việc đánh giá các hậu quả có liên quan đ ế n đị nh giá tài sản dựa trên các phân tích tác động nghiệp vụ. Các hậu quả hoặc tác động nghiệp vụ có thể được xác định bằng việc mô h ì nh hóa các kết qu ả của một hoặc một t ập hợp các sự kiện, hoặc ngoại suy từ các nghiên cứu thực nghiệm hoặc từ các dữ liệu trong quá khứ. Các hậu quả có thể được thể hiện theo các tiêu chí tác động về ti ề n tệ, kỹ thuật hoặc con người, hoặc các tiêu chí khác liên quan đến tổ chức. Trong một số trường hợp, yêu cầu phải có nhiều giá trị s ố học để xác định nh ữ ng hậu quả cho những thời đi ể m, địa đi ể m, các nhóm hoặc những tình trạng khác nhau. Các hậu quả về thời gian và tài chính cần phải được đánh giá với cùng một phương pháp ti ế p cận được sử dụng để đánh gi á khả năng xảy ra mối đe dọa và điểm yếu. Tính nh ấ t quán phải được duy tr ì trong các phương pháp ti ế p cận định tính hay định lượng. Chi tiết thông tin về định giá tài sản và đánh gi á tác động được tr ì nh bày trong Phụ lục B. Đầu ra: Một danh sách các hậu quả của một k ị ch bản sự cố đ ã được diễn t ả theo tài sả n và tiêu ch í tác động. 8.3.3 . Đánh giá khả n ăng xảy ra sự cố Đầu v à o: Một danh sách các kịch b ả n sự cố li ê n quan đ ã được nhận bi ế t, bao gồm nhận biết về các mối đe dọa, các tài sản bị ảnh hưởng, các điểm yếu b ị khai thác và các hậu quả đối với các tài sản và các quy trình nghiệp vụ. Hơn nữa, còn bao gồm các danh sách tất cả các biện pháp kiểm soát hiện có và đ ã lên kế hoạch triển khai, t í nh hi ệ u quả của những biện pháp kiểm soát đ ó , tình h ì nh triển khai và tình trạng sử dụng các biện pháp kiểm soát này. Hành đ ộ ng: Khả năng xảy ra của các kịch bản sự cố c ầ n phải được đánh giá (liên quan đến TCVN ISO/IEC 27001:2009, xem 4.2.1 e) 2)). Hư ớ ng d ẫ n triển khai Sau khi nhận biết được các kịch bản sự cố thì cần thiết phải đánh giá khả năng xảy ra của từng kịch bản và tác động đang xảy ra, sử dụng các kỹ thuật phân tích đ ị nh lượng hay định t í nh, cần chú ý đến tần suất xuất hiện của các mối đe dọa và cách thức các điểm yếu có thể b ị khai thác dễ dàng, xem xét: • Kinh nghiệm và các số liệu thống kê có thể áp dụng được đ ố i với khả năng xuất hiện m ố i đe dọa. • Đối với các nguồn đe d ọ a có ch ủ ý: động cơ và khả năng, s ẽ thay đổi theo thời gian và các nguồn lực sẵn c ó của kẻ tấn công, cũng như nhận thức về sự h ấ p dẫn v à đi ể m y ế u của các tài sản đối với kẻ tấn công • Đối với các nguồn đe dọa khách quan: các yếu t ố địa lý, v í dụ như gần nhà m á y h ó a chất hoặc xăng dầu, điều kiện thời ti ế t khắc nghiệt và các yếu t ố có thể ảnh hưởng đ ế n lỗi của con người v à lỗi trang thiết b ị • Các điểm yếu đơn lẻ và tích hợp • Các biện pháp kiể m soát hiện có và sự hiệu quả của chúng trong việc gi ả m thiểu c á c điểm yếu Ví dụ, một hệ thống thông tin có thể có một đi ể m yếu đối v ớ i các mối đe dọa về gi ả mạo danh tính người d ùng và lạm dụng các tài nguyên. Đi ể m yếu về giả mạo d anh t í nh người dùng c ó khả năng xảy ra cao bởi v ì sự thiếu xác thực của người dùng. Trái lại, khả năng lạm dụng các tài nguy ê n c ó thể xảy ra thấp mặc dù sự thiếu xác thực của người sử dụng, b ở i v ì cách lạm dụng tài nguy ê n ch ỉ có giới hạn. Tùy thuộc vào sự cần thiết về sự chính xác, các tài sản có thể được nhóm lại, hoặc có thể cần thiết để phân tách tài sản theo từng thành phần của chúng kết nối các kịch bản vào những thành phần này. Ví dụ, dọc theo các vị tr í địa lý, b ả n ch ấ t của những mối đe dọa đối với c ù ng loại tài sản có thể thay đổi, hoặc t í nh hiệu quả của những biện pháp kiểm soát hiện có có th ể biến đổi. Đầu ra: Khả năng xả y ra của các kịch bản sự cố ( đị nh lượng hoặc định tính). 8.3.4 . Xác đ ị nh mức rủi ro Đầu vào: Một danh sách các kịch bản sự cố cùng với các hậu quả liên quan đến các tài sản và các quy trình nghiệp vụ và khả năng xảy ra các kịch bản đó (đ ị nh tính hay đ ị nh lư ợ ng). Hành đ ộ ng: Cầ n phải xác định mức rủi ro cho t ất c ả các kịch bản sự cố (liên quan tới TCVN ISO/IEC 27001:2009, xem 4.2.1 e)) 4)). H ướng d ẫ n tri ể n khai: Phân tích rủi ro sẽ định rõ giá trị cho khả n ă ng xảy ra và những hậu qu ả của một rủi ro. Các giá tr ị này có thể là định tính hay định lượng. Phân tích rủi ro được dựa tr ê n các hậu quả đã được đánh giá và khả năng xảy ra. Thêm vào đó, chúng ta c ầ n ph ả i xem xét đến lợi í ch về chi ph í , các mối quan tâm của những bên liên quan và những bi ế n đổi khác, như sự phù hợp đối v ớ i ước lượng rủi ro. Rủi ro được đánh giá là sự kết hợp giữa khả năng xảy ra của một kịch bản sự cố v ớ i các hậu quả. Các v í dụ về những phương pháp ti ế p cận hoặc phương pháp phân tích rủi ro an t o àn thông tin khác nhau được trình bày trong Phụ lục E. Đ ầ u ra: Một danh sách các rủi ro cùng với các mức giá tr ị được định r õ . 8.4. Ước lượng rủi ro Đầu vào: Một danh sách các rủi ro cùng với các mức giá trị được định r õ và các ti ê u chí ước lượng rủi ro. Hành đ ộ n g : Mức rủi ro được đối chi ế u dựa v à o các tiêu chí ước lượng rủi ro và các tiêu chí chấp nhận rủi ro (liên quan t ới TCVN ISO/IEC 27001:2009, xem 4.2.1 e) 4)). H ướng d ẫ n tr iể n k ha i : Bản ch ấ t của các quy ế t định gắn liền v ớ i ước lượng rủi ro và các ti ê u chí ước lượng rủi ro sẽ được sử dụng để đưa ra những quyết định sẽ được quyết định khi thiết lập bối c ả nh. Nh ữ ng quyết định và bối cảnh này cần phải được xem xét lại chi tiết hơn ở bước này khi đã có thêm thông tin về các rủi ro cụ thể đã được nhận biết. Đ ể ước lượng các rủi ro, các tổ chức cần đối chiếu các rủi ro đã được ước đoán (sử dụng c á c phương pháp hoặc phương pháp tiếp cận đã được chọn như được nêu trong Phụ lục E) với các tiêu chí ước lượng rủi ro được vạch rõ trong suốt quy trình thiết lập bối cảnh. Các tiêu chí ước lượng rủi ro được sử dụng để đưa ra quyết định cần phải phù hợp với bối c ả nh quản lý rủi ro an toàn thông tin trong nội bộ và bên ngoài tổ chức, đồng thời phải xem xét đến các mục tiêu của tổ chức và các quan điểm của các bên liên quan... Các quyết định được thực hiện trong hoạt động ước lượng rủi ro được dựa vào chủ yếu là mức rủi ro có thể chấp nhận được. Tuy nhiên, cũng c ầ n phải xem xét các hậu quả, khả năng xảy ra và mức tin tưởng trong nhận biết và phân tích rủi ro. Sự k ế t hợp của các rủi ro th ấ p và trung b ì nh có thể tạo ra các rủi ro c ó mức nguy hiểm cao hơn nhiều và cần có biện pháp giải quyết phù hợp. Xem x é t c ầ n phải bao gồm: • Các tính chất của an toàn thông tin: nếu một tiêu ch í không liên quan đến tổ chức (ví dụ như mất tính bí mật), thì t ấ t cả các rủi ro tác động đến ti ê u ch í này có thể cũng không liên quan • Sự quan trọng của quy trình nghiệp vụ hoặc các hoạt động được hỗ trợ bởi một tài sản cụ thể hoặc tập hợp các t à i sản: nếu quy trình được xác định là í t quan trọng, các rủi ro liên quan có thể được xem xét ở mức quan tâm th ấ p hơn so với các rủi ro mà có nhi ề u quy trình hay hoạt động bị tác động hơn Ư ớ c lượng rủi ro sử dụng những hiểu bi ế t về rủi ro thu được từ phân t í ch rủi ro để đưa ra quyết đ ị nh cho các hành động trong tương lai. Các quyết định cần bao gồm: • Liệu một hoạt động cần được tiến hành hay kh ô ng • Các ưu tiên đối với việc xử lý rủi ro xét theo các mức rủi ro đã được đánh giá Trong suốt giai đoạn ước lượng rủi ro, các y ê u c ầ u về hợp đồng, về pháp lý và quy định là các yếu tố cần phải được xem xét bổ sung thêm vào các rủi ro đã được đánh giá. Đ ầ u ra: Một danh sách các rủi ro đ ã được sắp x ế p ưu tiên theo các ti ê u chí ước lượng rủi ro liên quan đến các kịch bản sự cố mà dẫn đến các rủi ro đ ó . 9. Xử lý rủi ro an toàn thông tin 9.1. Mô tả chung về xử lý rủi ro Đầu vào: Một danh sách các rủi ro đã được phân loại ưu ti ê n theo các tiêu ch í ước lượng rủi ro liên quan đến các kịch bản sự cố mà d ẫ n đ ế n các rủi ro đó. Hành độ n g : C ần phải lựa chọn các biện pháp kiểm soát để giảm thiểu, duy tr ì , ngăn ngừa, hoặc chia sẻ những rủi ro và xác định một kế hoạch xử lý rủi ro. Hư ớng d ẫ n tri ể n khai: Có bốn phương án lựa chọn sẵn có cho việc xử lý rủi ro là: thay đổi rủi ro (9.2), duy tr ì rủi ro (9.3), ngăn ngừa rủi ro (9.4) và chia sẻ rủi ro (9.5). CH Ú T HÍ CH: xem 4.2.1. f) 2) trong TCVN ISO/IEC 27001:2009 sử dụng thuật ngữ “chấp nhận rủi ro ” thay cho thuật ngữ “duy tr ì rủi ro ” . H ì nh 3 minh họa hoạt động xử lý rủi ro trong quy trình quản lý rủi ro an toàn thông tin như đ ã được tr ì nh bày trong H ì nh 2. Hình 3 - Hoạt động xử lý rủi ro Những lựa chọn xử lý rủi ro cần phải được chọn lựa dựa trên kết quả của đánh giá rủi ro, chi ph í mong muốn cho triển khai c á c lựa chọn này và các lợi í ch mong muốn xu ấ t phát từ những lựa chọn đó. Cần phải triển khai những lựa chọn khi đạt được những giảm thiểu l ớ n về rủi ro với chi ph í tương đối thấp. Những lựa chọn bổ sung để nâng c ấ p c ó thể không mang lại giá trị k inh tế và cần thiết phải thực hiện việc đánh giá đ ể xem xét liệu những lựa chọn đó có hợp l ý hay không. Nh ì n chung, những hậu qu ả tiêu cực của rủi ro cần phải làm thấp đ ế n mức thích hợp và không phân biệt bất kỳ tiêu chí tuy ệ t đối nào. Những người quản lý cũng cần phải xem xét những rủi ro í t khi xảy ra nhưng lại là những rủi ro nghiêm trọng. Trong những trường hợp này, các biện pháp kiểm soát mà không hoàn toàn phù hợp với hoàn cảnh kinh tế vẫn c ầ n được triển khai (ví dụ như các biện pháp kiểm soát liên tục trong nghiệp vụ được xem xét để biện pháp kiểm soát các rủi ro mức cao). Bốn lựa chọn cho việc xử lý rủi ro không loại trừ lẫn nhau. Đôi khi tổ chức có thể được lợi chắc chắn b ở i sự kết hợp những lựa chọn như giảm thiểu khả năng xảy ra rủi ro, giảm thiểu hậu quả rủi ro và chia sẻ hoặc duy tr ì b ấ t k ì rủi ro t ồ n đọng nào. Một vài xử lý rủi ro có thể giải quy ế t một cách hiệu quả nhi ề u rủi ro (ví dụ như đào tạo và nhận thức an toàn thông tin). Một kế hoạch xử lý rủi ro cần phải nhận biết r õ ràng thứ tự ưu tiên để triển khai xử lý rủi ro theo thời gian đ ị nh sẵn. C á c ưu ti ê n có thể được thiết lập bằng việc sử dụng các kỹ thuật khác nhau, bao gồm xếp loại các rủi ro và phân tích chi ph í - lợi nhuận. Đó là trách nhiệm của nh ữ ng người quản lý của tổ chức để quy ế t định sự cân đối giữa chi phí triển khai các biện pháp kiểm soát v ớ i phân bổ ngân sách. Việc nhận biết các biện pháp kiểm soát hiện có có thể xác định được các biện pháp kiểm soát đó có vượt quá nhu cầu hiện tại hay không, về mặt đối chi ế u chi ph í , bao gồm cả duy tr ì . N ế u có xem xét loại b ỏ những biện pháp kiểm soát dư thừa hoặc không cần thiết (đặc biệt n ế u những bi ệ n pháp kiểm soát này có chi ph í duy trì cao), những yếu t ố về chi phí và an toàn thông tin cần ph ả i được quan tâm. Do các biện pháp kiểm soát có thể ảnh hư ở ng l ẫ n nhau, vi ệ c loại bỏ các biện pháp ki ể m soát dư thừa có thể làm giảm an toàn tổng thể. Thêm vào đó, chi phí có thể s ẽ th ấ p hơn khi vẫn đ ể lại những biện pháp kiểm soát dư thừa hoặc không cần thiết hơn l à loại bỏ ch ú ng. Những lựa chọn xử lý rủi ro có thể quan tâm đ ế n: • Các bên b ị ảnh hưởng nhận thức rủi ro như th ế nào • Cách th í ch hợp nhất để truyền thông giữa các b ê n li ê n quan Thiết lập bối cảnh (7.2 - Tiêu chí ước lượng rủi ro) s ẽ cung c ấ p những thông tin về các y ê u cầu về luật pháp và quy định để tổ chức phải tuân thủ. Rủi ro đối v ớ i tổ chức là th ấ t bại trong việc tuân thủ và v ì vậy cần phải triển khai các lựa chọn xử lý để gi ớ i hạn khả năng xảy ra rủi ro đối với tổ chức. Toàn bộ r à ng buộc về mặt tổ chức, kỹ thuật, c ấ u trúc... đ ã được nhận biết trong suốt quá trình hoạt động thiết lập bối cảnh cần phải được xem xét trong suốt quy trình xử lý rủi ro. Một khi kế hoạch xử lý rủi ro được vạch rõ, những rủi ro tồn đọng cũng phải được xác đ ị nh. Điều n à y liên quan tới việc cập nhật hoặc lặp lại chu trình đánh giá rủi ro, xem xét những tác động mong muốn của việc xử lý rủi ro đ ã đ ượ c đề xu ấ t. N ế u những rủi ro t ồ n đọng vẫn chưa đáp ứng được các tiêu chí chấp nhận rủi ro của tổ chức, cần thiết phải có thêm một chu tr ì nh lặp lại của việc đánh giá rủi ro trước khi đi đến quy trình chấp nhận rủi ro. Thông tin chi tiết được tr ì nh bày theo 3.2 trong TCVN ISO/IEC 27002:2011. Đầu ra: Kế hoạch xử lý rủi ro và những rủi ro tồn đọng tùy thuộc vào quyết định ch ấ p nhận của ban quản l ý của tổ chức. 9.2. Thay đổi rủi ro Hành đ ộ n g : Mức rủi ro cần phải được quản lý bằng cách đưa ra, loại bỏ hoặc thay thế các biện pháp kiểm soát sao cho các rủi ro tồn đọng có thể được đánh giá lại là chấp nhận được. H ướng d ẫ n triển khai : Cần phải lựa chọn các biện pháp kiểm soát thích hợp và đã được minh chứng để đáp ứng những yêu cầu đã được nhận biết bằng việc đánh giá và xử lý rủi ro. Lựa chọn này phải chú ý tới các tiêu chí chấp nhận rủi ro cũng như những y ê u c ầ u về luật pháp, quy định và các yêu cầu theo hợp đồng. Lựa chọn này cần phải xem xét t ớ i chi phí và thời gian triển khai các biện pháp kiểm soát, hoặc các kh í a cạnh kỹ thuật, môi trường và văn h ó a. Nếu những biện pháp kiểm soát an to à n thông tin được lựa chọn một cách đúng đắn thì có thể giảm được toàn bộ chi ph í cho các bên s ở hữu cùng một hệ thống. Nói chung, các biện pháp kiểm soát có thể cung c ấ p một hoặc nhi ề u loại bảo vệ như sau: hiệu ch ỉ nh, loại bỏ, phòng ngừa, giảm thiểu tác động, ngăn chặn, phát hiện, khôi phục, giám sát và n â ng cao nhận thức. Trong suốt quá trình lựa chọn biện pháp kiểm soát, đi ề u quan trọng là phải cân nhắc chi phí để có được, triển khai, qu ả n trị, vận hành, giám sát và duy trì các biện pháp kiểm soát so với giá trị tài sản được bảo v ệ . H ơ n nữa, lợi nhuận đ ầ u tư do giảm thiểu rủi ro và tiềm năng khai thác những cơ hội nghiệp vụ mới được tạo ra b ở i những biện pháp kiểm soát cụ thể cũng cần phải được xem xét. Ngoài ra, c ầ n xem xét đến các kĩ năng chuyên môn cần thiết để nhận bi ế t và triển khai những biện pháp kiểm soát mới hoặc sửa đ ổ i những biện pháp kiểm soát hiện có TCVN ISO/IEC 27002:2011 cung c ấ p những hướng dẫn và thông tin chi tiết về các biện pháp kiểm soát. Có nhiều ràng buộc mà có thể ảnh hư ở ng t ớ i việc lựa chọn những biện pháp kiểm soát. Những ràng buộc về kỹ thuật như các yêu cầu thực hiện, khả năng quản lý (các yêu cầu hỗ trợ vận hành) và các vấn đề về tính tương thích có thể ngăn cản việc sử dụng các biện pháp kiểm soát hoặc g â y ra do lỗi của con người hoặc vô hiệu hóa các biện pháp kiểm soát, dẫn đến nhận thức sai về an toàn hoặc thậm chí làm tăng rủi ro cao đến mức vượt quá t ầ m kiểm soát (v í dụ như y ê u cầu những mật khẩu phức tạp mà thiếu hướng dẫn phù hợp cho người dùng khi đặt mật kh ẩ u). Hơn thế nữa, có thể xảy ra trường hợp biện pháp kiểm soát làm ảnh hưởng t ớ i thực hiện. Những người quản lý phải c ố gắng nhận biết một giải pháp để làm thỏa đáng các yêu cầu thực hiện thích hợp trong khi vẫn đảm bảo tốt an toàn thông tin. Kết quả của bước này là một danh sách các biện pháp kiểm soát có thể thực hiện được, với chi phí, lợi ích và mức ưu tiên triển khai của những biện pháp kiểm soát đó. Những ràng buộc khác nhau phải được xem xét đến khi lựa chọn các biện pháp kiểm soát và trong suốt quy trình triển khai. Điển hình cần quan tâm đến: • Ràng buộc về thời gian • Ràng buộc về t ài chính • Ràng buộc về kỹ thuật • Ràng buộc về vận hành • Ràng buộc về văn hóa • Ràng buộc về đạo đức • Ràng buộc về môi trường • Ràng buộc về luật pháp • Sự dễ d àng sử dụng • Ràng buộc về nhân sự • Ràng buộc về khả năng hợp nhất giữa các biện pháp kiểm soát mới và các biện pháp kiểm soát hiện có Th ô ng tin chi ti ế t về những ràng buộc để thay đổi rủi ro có th ể tìm th ấ y trong Phụ lục F. 9.3. Duy trì rủi ro Hành đ ộ n g : Dựa vào ước lượng rủi ro để ra quyết đ ị nh giữ lại rủi ro mà không cần thêm bất kì hành động nào nữa. CH Ú T HÍ CH: xem 4.2.1 f) 2) của TCVN ISO/IEC 27001:2009 “ ch ấ p nhận rủi ro một cách khách quan hay chủ quan với đi ề u kiện chúng hoàn toàn đáp ứng các ch í nh sách và tiêu ch í ch ấ p nh ậ n rủi ro của t ổ chức” mô tả hoạt động tương tự. Hư ớ n g dẫn triển khai: Nếu mức rủi ro đáp ứng được các tiêu chí chấp nhận rủi ro thì không cần thực hiện th ê m b ấ t k ì biện pháp kiểm soát nào và rủi ro có thể được giữ lại. 9.4. Tránh rủi ro Hành độ ng: C ần phải tránh những hoạt động hay hoàn cảnh làm phát sinh các rủi ro. H ướ ng dẫn tr iể n khai: Khi rủi ro được nhận biết ở mức quá cao, hoặc các chi phí triển khai những lựa chọn xử lý rủi ro vượt quá lợi ích, cần phải đưa ra quyết định để tránh hoàn toàn rủi ro, bằng cách rút lại hoạt động hay những hoạt động hiện có hoặc đã được lập kế hoạch, hoặc thay đổi các đi ề u kiện mà theo đó hoạt động được vận hành. V í dụ, với những rủi ro mà do tự nhiên gây ra th ì phương án thay thế hiệu quả nhất là chuyển những phương tiện xử lý thông tin đến nơi rủi ro không tồn tại hoặc nơi có thể kiểm soát/quản lý được. 9.5. Chia sẻ rủi ro Hành đ ộ ng: Rủi ro có thể được chia sẻ với các bên khác, các b ê n mà có thể quản lý một cách hiệu quả nh ấ t những rủi ro cụ thể tùy thuộc vào quy trình ước lượng rủi ro. H ướng d ẫ n triển khai: Chia sẻ rủi ro là quy ế t định chia sẻ những rủi ro nào đó với các bên bên ngoài tổ chức. Chia sẻ rủi ro có thể tạo ra những rủi ro mới hoặc làm thay đổi những rủi ro hiện có, đã được nhận bi ế t. Do đó, việc xử lý rủi ro bổ sung là cần thiết. Chia sẻ có thể được thực hiện bởi sự b ả o đảm sẽ hỗ trợ giải quy ế t những hậu quả rủi ro, hoặc bằng hợp đồng phụ với một đối tác khác, đối tác này sẽ có vai trò giám sát hệ thống thông tin và có hành động ngay lập tức để ngăn chặn kẻ t ấ n công trước khi chúng g â y ra một thiệt hại nh ấ t định. Cần lưu ý có thể chia sẻ trách nhiệm quản lý rủi ro nhưng sẽ không b ì nh thường n ế u chia sẻ trách nhiệm pháp lý đối với một tác động. Khách hàng sẽ thường quy cho vi ệ c xu ấ t hiện một tác động bất lợi là do lỗi của t ổ chức. 10. Chấp nhận rủi ro an toàn thông tin Đầu vào : Kế hoạch xử lý rủi ro và việc đánh giá rủi ro t ồ n đọng (tức là rủi ro chưa được xử lý hoàn toàn) tùy thuộc vào quy ế t định chấp nhận của những người quản lý của tổ chức. Hành đ ộ ng: Quy ế t định để chấp nhận rủi ro và các trách nhiệm đối với quyết định phải được đưa ra và cần phải ghi chép một cách chính thức (v ấ n đề này liên quan tới TCVN ISO/IEC 27001:2009, xem 4.2.1 h)). H ướ ng d ẫ n triển khai: Các kế hoạch xử lý rủi ro cần ph ả i mô t ả được nh ữ ng rủi ro đ ã được đánh giá được xử lý th ế nào để đáp ứng được các tiêu ch í ch ấ p nhận rủi ro (xem 7.2 Tiêu ch í ch ấ p nhận rủi ro). Điều quan trọng là những người quản lý có trách nhiệm phải xem xét và ph ê chuẩn các kế hoạch xử lý rủi ro đã được đề xu ấ t và những rủi ro tồn đọng còn lại và ghi chép lại b ấ t k ì đi ề u kiện nào có liên quan đ ế n sự phê chu ẩ n này. Ti ê u ch í ch ấ p nhận rủi ro có thể phức tạp hơn so với ch ỉ xác định xem liệu một rủi ro tồn đọng có nằm trên hoặc dưới một ngư ỡ ng đơn nào đó không Trong một số trường hợp, mức rủi ro tồn đọng không phù hợp với các ti ê u chí chấp nhận rủi ro b ở i vì các ti ê u chí đang được áp dụng này không xem xét các hoàn cảnh thông thường. Ví dụ: có thể thảo luận đ ể ch ấ p nhận rủi ro v ì những lợi ích đi kèm rủi ro r ấ t hấp dẫn, hoặc v ì chi phí để thay đổi rủi ro lại quá cao. Những trường hợp trên có thể kết luận các ti ê u ch í chấp nhận rủi ro là không đầy đủ và cần được xem xét lại nếu c ó thể. Tuy nhi ê n, không phải lúc nào cũng có thể xem xét lại các tiêu chí chấp nhận rủi ro một cách kịp thời. Trong trường hợp này, người đưa ra quyết định có thể phải chấp nhận rủi ro mặc dù chúng không đáp ứng được tiêu ch í ch ấ p nhận thông thường. Nếu cần thiết th ì người ra quyết định nên giải thích rõ ràng cho mỗi rủi ro và có thể đưa ra những chứng minh cho quyết định đó để loại ti ê u chí chấp nhận rủi ro thông thường ra một bên. Đầu ra: Một danh sách các rủi ro đ ã được chấp nhận với các chứng minh đi kèm nếu các rủi ro này không đáp ứng được các ti ê u chí ch ấ p nhận rủi ro thông thường của tổ chức. 11. Truyền thông và tư vấn rủi ro an toàn thông tin Đ ầ u vào: Toàn bộ thông tin rủi ro thu được từ các hoạt động quản lý rủi ro (xem H ì nh 2). Ho ạ t độ n g : Thông tin về rủi ro phải được truyền thông và/hoặc chia s ẻ giữa người ra quy ế t định và các bên liên quan khác. H ướng d ẫ n triển khai: Truyền thông rủi ro là mộ t hoạt động nhằm đạt được sự nhất trí giữa các b ê n tham gia về việc làm th ế nào để quản lý những rủi ro bằng việc truy ề n thông và/hoặc chia sẻ thông tin về rủi ro giữa người ra quyết định và các bên liên quan khác. Các thông tin này bao gồm, nhưng không b ị giới hạn về tính tồn tại, tính tự nhiên, hình thức, khả năng xảy ra, mức nghiêm trọng, cách xử lý và khả năng chấp nhận rủi ro. Truyền thông hiệu quả giữa các bên liên quan l à quan trọng vì truyền thông có thể có một tác động quan trọng vào việc đưa ra các quyết định cần thiết. Truy ề n thông s ẽ đảm bảo người chịu trách nhiệm đã đưa ra triển khai quản lý rủi ro và người c ó quy ề n lợi cá nhân sẽ hiểu được cơ sở của các quyết định và tại sao cần thiết phải có các hành động cụ thể. Truyền thông c ó t í nh hai chiều. Nhận thức về rủi ro có thể thay đổi do sự khác nhau trong các giả thiết, khái niệm và nhu c ầ u, các vấn đề và các mối quan tâm của các b ê n có li ê n quan đến rủi ro hoặc các vấn đề đang được thảo luận. Các bên liên quan có thể quy ế t định ch ấ p nhận rủi ro dựa vào nhận thức của họ về rủi ro. Đi ề u này đặc biệt quan trọng để đảm bảo rằng nhận thức về rủi ro của các bên liên quan, cũng như nhận thức của họ về các lợi í ch, có thể được nhận biết và được tài liệu hóa và những lý do cơ bản đã được hiểu và được giải quyết một cách rõ ràng. Truyền thông rủi ro cần phải được tiến hành để đạt được những đi ề u sau: • Cung cấp sự đảm bảo cho k ế t quả quản lý rủi ro của tổ chức • Thu thập thông tin về rủi ro • Chia sẻ những kết quả từ hoạt động đánh giá rủi ro và đưa ra kế hoạch xử lý rủi ro • Ngăn ngừa và giảm thiểu sự cố và hậu quả có thể xảy ra của việc vi phạm an toàn thông tin do sự thiếu hi ể u bi ế t lẫn nhau giữa người ra quy ế t định và các bên liên quan • Hỗ trợ cho việc ra quyết định • Thu được những hiểu biết mới về an toàn thông tin • Ph ố i hợp với các b ê n khác và lập kế hoạch đáp ứng kịp thời nhằm giảm thiểu các hậu quả từ b ấ t kỳ sự cố nào • Đưa ra ý thức trách nhiệm về rủi ro cho người ra quy ế t định và các bên liên quan • Nâng cao nhận thức Một tổ chức cần phải ph á t triển các kế hoạch truy ề n thông rủi ro cho các trường hợp vận hành thông thường cũng như cho các trường hợp kh ẩ n cấp. V ì vậy, hoạt động truyền thông rủi ro phải được thực hiện liên tục và thường xuyên. Sự phối hợp giữa người ra quy ế t định chính với các bên liên quan có thể đạt được bằng cách thành lập một ủy ban để tranh luận về những rủi ro, thứ tự ưu tiên của chúng và cách xử lý thích hợp và việc ch ấ p nhận có thể xảy ra. Một điều quan trọng là phải hợp tác với đơn vị quan hệ công chúng hoặc với đơn vị truyền thông thích hợp trong phạm vi của t ổ chức nhằm đi ề u phối tất cả các nhiệm vụ liên quan đến truyền thông rủi ro. Điều này r ấ t quan trọng trong hoạt động truyền thông về kh ủ ng hoảng, v í dụ như để đáp ứng với các sự cố cụ thể. Đầu ra : Sự hiểu biết l iên tục về quy trình và các kết quả của việc quản lý rủi ro an toàn thông tin của tổ chức. 12. Giám sát và soát xét rủi ro an toàn thông tin 12.1. Giám sát và soát xét các yếu tố rủi ro Đầu vào: Tất c ả các thông tin rủi ro thu được từ những hoạt động quản lý rủi ro (xem Hình 2). Hành độ ng: Rủi ro và các yếu tố rủi ro (như giá trị của các tài sản, những tác động, c á c mối đe dọ a , những điểm yếu, khả năng xảy ra rủi ro) cần phải được giám sát và soát xét để nhận biết bất kì sự thay đổi nào trong bối cảnh của tổ chức ở giai đoạn đầu và để duy trì một tổng thể về bức tranh rủi ro hoàn ch ỉ nh. H ướ ng dẫn triển khai: Các rủi ro là không ổn định. Các mối đe dọa, những điểm yếu, khả năng xảy ra hoặc những hậu quả có thể thay đ ổ i b ấ t ng ờ mà không c ó b ấ t k ì dấu hiệu nào. Do đó, việc ki ể m tra liên tục l à cần thiết để phát hiện những thay đổi này. Điều này có thể được hỗ trợ bởi các dịch vụ bên ngoài, những dịch vụ mà cung c ấ p các th ô ng tin về các mối đe dọa mới hay những điểm yếu. Các tổ chức cần phải đảm bảo những điều sau phải được kiểm tra liên tục: • Các tài sản mới đã được đưa vào trong phạm vi quản lý rủi ro • Những sự thay đổi cần thiết đối với giá trị của tài sản, v í dụ như do những yêu cầu về nghiệp vụ b ị thay đổi • Những mối đe dọa m ớ i mà có thể hoạt động cả bên ngoài và nội bộ tổ chức và vẫn chưa được đánh giá • Khả năng các điểm yếu mới hoặc gia tăng có thể tạo điều kiện cho các mối đe dọa khai thác các điểm yếu mới hoặc gia tăng này • Các đi ể m yếu đã được nhận bi ế t để xác định các điểm yếu đang bị phơi bày cho những mối đe dọa mới hoặc t á i xuất hiện • Tác động tăng lên hay các hậu quả gia tăng của các mối đe dọa, các điểm y ế u và những rủi ro tích h ợ p lại d ẫ n đ ế n một mức rủi ro không thể chấp nhận được. • Các sự cố an toàn thông tin Những mối đe dọa, các điểm yếu hoặc những thay đổi mới về khả năng xảy ra hay những hậu quả có t h ể làm tăng những rủi ro mà trước đó được đánh giá là thấp. Soát xét các rủi ro ở mức thấp và đã được chấp nhận cần phải xem xét một cách riêng biệt mỗi rủi ro và t ấ t cả các rủi ro này như là một tập hợp, đ ể đánh giá các tác động được tích lũy t iềm ẩ n của những rủi ro này. Nếu các rủi ro không r ơ i vào lo ạ i rủi ro th ấ p hay rủi ro có thể chấp nhận được thì chúng cần phải được xử lý bằng cách sử dụng một hoặc nhiều tuỳ chọn được xem xét tại đi ề u 9. Những yếu tố ảnh hưởng đến khả năng xuất hiện và hậu quả của những mối đe dọa xảy ra có thể thay đổi, bởi vì có th ể các yếu tố này ảnh hưởng đến tính thích hợp hay chi phí của những lựa chọn xử lý khác nhau. Những thay đ ổ i lớn ảnh hưởng đ ế n tổ chức là lý do đ ể có một sự xem xét cụ thể hơn. Do đó, các hoạt động giám sát rủi ro cần phải được lặp lại một cách thư ờ ng xuyên và các tùy chọn đ ã được chọn lọ c để xử lý rủi ro phải được xem xét một cách định kỳ. Kết quả của các hoạt động giám sát rủi ro có thể l à đ ầ u vào cho các hoạt động soát xét rủi ro khác. V ì vậy, t ổ chức cần ph ả i xem xét tất cả những rủi ro một cách thư ờ ng xuyên và khi có những thay đ ổ i lớn xảy ra (TCVN ISO/IEC 27001:2009, xem 4.2.3)). Đầu ra: Sự đi ề u chỉnh li ê n tục của việc quản lý rủi ro với các mục ti ê u nghiệp vụ của tổ chức và với các tiêu chí ch ấ p nhận rủi ro. 12.2. Giám sát soát xét và cải tiến quản lý rủi ro Đ ầ u vào: T ấ t cả các thông tin rủi ro thu được t ừ các hoạt động quản lý rủi ro (xem H ì nh 2). Hành độ n g : C ần phải giám sát, soát xét và c ả i tiến liên tục quy trình quản lý rủi ro an toàn thông tin. Hướng dẫn triển khai: Liên tục giám sát và soát xét là cần thiết đ ể đảm bảo bối cảnh, kết quả của việc đánh giá và xử lý rủi ro, cũng như các kế hoạch quản lý rủi ro v ẫ n còn có thích đáng và phù hợp với hoàn cảnh. Tổ chức cần phải chắc chắn quy trình quản lý rủi ro an toàn thông tin và những hoạt động liên quan vẫn còn phù hợp trong hoàn cảnh hiện tại và tương lai sau này. B ấ t k ì sự cải tiến nào đã được chấp nhận cho quy trình hoặc các hành động cần thiết để cải tiến phù hợp với quy trình đó nên được thông b á o cho ng ườ i quản lý thích hợp để đảm bảo không c ó rủi ro hay yếu tố rủi ro nào b ị bỏ qua hoặc bị đánh giá th ấ p và những hành động cần thiết được thực hiện và các quy ế t định được đưa ra để cung c ấ p đ ầ y đ ủ sự hiểu biết về rủi ro thực t ế và khả năng để đáp ứng lại kịp th ờ i. Ngoài ra, tổ chức cần phải th ẩ m tra thư ờ ng xuyên các tiêu chí được sử dụng để đo lư ờ ng m ứ c rủi ro và các yếu tố của tiêu chí có còn phù hợp với mục tiêu, chiến lược và chính sách nghiệp vụ không và cần phải xem xét một cách đầy đủ nh ữ ng thay đổi đối v ớ i bối cảnh nghiệp vụ trong su ố t quy trình quản lý rủi ro an toàn thông tin. Hoạt động kiểm tra và soát xét cần phải giải quyết (nhưng không gi ớ i hạn): • Bối cảnh môi trường và pháp lý • Bối c ả nh cạnh tranh • Phương pháp ti ế p cận đánh giá rủi ro • Các loại tài sản và giá trị tài sản • Tiêu chí tác động • Tiêu chí ước lượng rủi ro • Tiêu chí ch ấ p nhận rủi ro • Tổng chi ph í sở hữu • Các nguồn lực cần thiết T ổ chức cần phải đảm bảo các nguồn lực đánh giá và xử lý rủi ro luôn luôn liên tục sẵn sàng để soát xét rủi ro, giải quyết các mối đe dọa hoặc điểm yếu mới hoặc đã b ị thay đ ổ i và tư vấn quản lý cho phù hợp. Giám sát quản lý rủi ro có th ể dẫn đến kết quả là sửa đổi hay bổ sung phương pháp tiếp cận, phương pháp luận hoặc những công cụ đã được sử dụng và phụ thuộc vào: • Những thay đ ổ i đã được nhận biết • Chu tr ì nh lặp đi lặp lại của việc đánh giá rủi ro • Mục đích c ủa quy trình qu ả n l ý rủi ro an toàn thông tin (như quy tr ì nh liên tục trong nghiệp vụ, khả năng khôi phục sau sự cố, sự tuân th ủ ) • Mục tiêu của qu y tr ì nh quản lý rủi ro an toàn thông tin (như tổ chức, đ ơ n vị nghiệp vụ, quy trình thông tin, triển khai kỹ thuật, ứng dụng, kết nối internet) Đầu ra : Sự phù hợp liên tục của quy trình quản l ý rủi ro an toàn thông tin với mục tiêu nghiệp vụ hoặc sự cập nhật các quy trình của tổ chức. PHỤ LỤC A (Tham khảo) Xác định phạm vi và giới hạn của quy trình quản lý rủi ro an toàn thông tin A.1 . Nghiên cứu về tổ chức Ướ c l ượng t ổ ch ứ c: Nghi ê n cứu về tổ chức l à nghiên cứu các yếu tố đặc tr ư ng xác định danh tính của một tổ chức. Đó là: mục đích, nghiệp vụ, nhiệm vụ, giá trị và chi ế n lược của tổ chức đ ó . Những v ấ n đề này ph ả i được nhận bi ế t cùng với các yếu t ố đóng góp cho sự phát triển chung (ví dụ như kí kết hợp đ ồ ng phụ). Khó khăn của hoạt động nghi ê n cứu n à y là hi ể u đ ư ợc một cách chính xác tổ chức được cấu trúc như th ế nào. Việc nhận biết c ấ u trúc thực t ế của tổ chức s ẽ giúp cho chúng ta hiểu rõ thêm về vai trò và tầm quan trọng của mỗi đơn v ị trong việc hoàn thành các mục tiêu của tổ chức. V í dụ, trong thực t ế việc ngư ờ i quản lý an toàn thông tin b áo c á o với ngư ờ i quản lý cấp cao nh ấ t thay vì báo cáo cho những ngư ờ i quản lý công nghệ thông tin có thể thể hiện sự tham gia của ngư ờ i quản lý cấp cao nhất trong an toàn th ô ng tin. M ụ c đích ch í nh của tổ chức: Mục đích chính của một tổ chức có thể được xác định như là lý do tại sao tổ chức tồn tại (về I ĩ nh vực hoạt động, thị phần...) Nghi ệ p v ụ của tổ chức: Nghiệp vụ của t ổ chức, được xác định bởi các kỹ thuật và hiểu biết của nhân viên, giúp tổ chức hoàn thành các nhiệm vụ của m ì nh. Đây là nét đặc tr ư ng cho lĩ nh vực hoạt động của tổ chức và thư ờ ng tạo nên văn hóa của tổ chức đó. Nhi ệ m v ụ của tổ chức: Tổ chức đạt được mục đích bằng cách hoàn thành nhiệm vụ của m ì nh. Đ ể nhận biết các nhiệm vụ của tổ chức, các dịch vụ được cung c ấ p và/hoặc các s ả n ph ẩ m được sản xu ấ t phải được nhận biết trong mối quan hệ với những ngư ờ i dùng cuối. Giá tr ị của tổ ch ứ c: Giá tr ị là các nguy ê n tắc ch í nh hoặc l à một quy tắc quản lý được xác định tốt được áp dụng cho việc thực hiện nghiệp vụ. Các giá tr ị này c ó thể liên quan đến nhân sự, các mối quan hệ với các tác nhân bên ngoài (khách hàng...), chất lượng s ả n phẩm được đáp ứng hoặc d ị ch vụ được cung cấp. L ấ y ví dụ về một tổ chức có mục đích là dịch vụ c ô ng cộng, có nghiệp vụ là c ô ng việc vận chuyển và có nhiệm vụ là đưa và đón trẻ đến trường học. Những giá tr ị của tổ chức có thể là đúng gi ờ và t í nh an toàn trong suốt quá trình đưa đón. Cấ u trúc của tổ chức: Tổ chức có những kiểu c ấ u trúc khác nhau như sau: • Cấu trúc phò n g ban: Mỗi phòng ban được đặt dư ớ i sự giám sát của một cán bộ quản lý có trách nhiệm đ ố i v ớ i các quyết định về chi ế n lược, quản trị và vận hành liên quan đến đ ơn vị. • Cấ u tr ú c chức năng: Quyền hạn mang tính chức năng được thực thì dựa trên thủ tục, bản chất công việc và đôi khi là các quy ế t đ ị nh hoặc kế hoạch (ví dụ: sản phẩm, IT, các nguồn nhân lực, thương mại...). Chú ý: • Một phòng ban trong một tổ chức có cấu trúc phòng ban có thể được thiết lập như một cấu trúc chức năng và ngược lại. • Một tổ chức có thể được nói là có một cấu trúc ma trận n ế u tổ chức đó c ó các yếu tố của cả hai kiểu cấu trúc trên. • Trong b ấ t k ì c ấ u trúc tổ chức nào đều phải phân biệt các mức sau đây: o m ức ra q u yết định (xác định các định hướng chiến lược); o m ức lãnh đạo (điều phối và quản lý); o m ức vận hành (các hoạt động sản xu ấ t và hỗ trợ). Biểu đ ồ của tổ chức: Cấ u trúc của tổ chức được trình bày theo mô h ì nh biểu đồ tổ chức. Biểu đồ này c ầ n phải nêu bật được phạm vi quản lý và quyền hạn của ngư ờ i lãnh đạo, nhưng cũng phải bao gồm những mối quan hệ khác, mặc dù những mối quan hệ này không dựa vào bất cứ quyền hạn ch í nh thức nào nhưng vẫn phải thể hiện thông tin rõ ràng. Chi ế n lư ợ c của tổ chức: Yêu c ầ u phải c ó một thể hiện ch í nh thức v ề các nguyên tắc định hướng của tổ chức. Chiến lược của tổ chức sẽ xác định phương hướng và nhu cầu phát triển đ ể mang lại lợi ích từ những vấn đề đang bấp bênh và những thay đổi chính trong kế hoạch của t ổ chức. A.2 . Danh sách các ràng buộc ảnh hưởng đến tổ chức Cần phải xem xét toàn bộ các ràng buộc ảnh hưởng đến tổ chức và việc xác định định hướng an to à n thông tin của tổ chức đó. Nguồn của các ràng buộc này có thể ở bên trong tổ chức và trong trường hợp n à y có vài biện pháp kiểm soát vượt quá ràng buộc hoặc ở bên ngoài tổ chức và do đ ó nói chung là khó có thể thương lượng. Các ràng buộc về nguồn lực (ngân sách, nhân sự) và những ràng buộc kh ẩ n cấp l à những ràng buộc quan trọng nh ấ t. Tổ chức đặt ra các mục tiêu của mình (liên quan đến nghiệp vụ, h à nh vi của tổ chức...) cam kết theo một đường lối nh ấ t định, có khả năng l à trong một th ờ i gian dài. Tổ chức phải xác định mục tiêu mà tổ chức muốn hướng t ớ i và những phương tiện cần thiết đ ể triển khai. Trong quá trình xác định đường lối này, t ổ chức cần xem xét đến sự phát triển về kỹ thuật và hiểu biết, những mong muốn được bày t ỏ của những ngư ờ i s ử dụng, khách hàng... Mục tiêu này có thể được thể hiện dưới dạng vận h à nh hoặc trong các chiến lược phát triển với mục đích như cắt giảm chi phí vận hành, c ả i tiến chất lượng dịch vụ… Các chiến lược này có thể bao gồm cả thông tin và hệ thống thông tin (IS) mà hỗ trợ cho những ứng dụng của hệ thống. Do đ ó , những đặc điểm liên quan đến danh tính, nhiệm vụ và các chiến lược của tổ chức là những yếu t ố cơ b ả n trong việc phân tích vấn đề bởi vì sự vi phạm của một khía cạnh an toàn thông tin dẫn đến việc xem xét lại các mục tiêu ch i ến lược này. Ngoài ra, điều quan trọng l à những đề xuất cho các yêu cầu an toàn thông tin vẫn còn phù hợp v ớ i các quy tắc, tập quán và các biện pháp đang có hiệu lực trong tổ chức. Danh sách các ràng buộc bao gồm (nhưng không giới hạn): Ràng bu ộ c về bản chất chính tr ị Là những ràng buộc có liên quan đến các cơ quan h à nh chính thuộc ch í nh ph ủ , các tổ chức hiệp hội cộng đồng hoặc khái quát h ơ n là b ấ t k ì tổ chức nào phải áp dụng các quyết định của c h í nh ph ủ . Chúng thư ờ ng l à những quyết định liên quan đến các định hướng chiến lược hay vận h à nh được ban h à nh bởi một cơ quan thuộc ch í nh phủ hoặc cơ quan chịu trách nhiệm trong việc đưa ra quyết định và phải được áp dụng. Ví dụ: việc tin học hóa c á c hóa đơn chứng từ hay các tài liệu quản lý mở đầu cho c á c vấn đề an toàn thông tin. Ràng bu ộ c về b ả n chất chi ế n lư ợ c Các ràng buộc có thể n ả y sinh từ những thay đổi có kế hoạch hoặc có thể xảy ra đối với c ấ u trúc hoặc định hướng của tổ chức. Các ràng buộc này được thể hiện trong các kế hoạch chi ế n lược hoặc vận h à nh của tổ chức. V í dụ: hoạt động hợp tác quốc tế trong v ấ n đề chia sẻ những thông tin nhạy cảm có thể đòi hỏi phải c ó những thỏa thuận liên quan tới sự truyền thông an toàn. R à n g bu ộ c về l ã nh thổ Cấu trúc và/hoặc mục đích của tổ chức có thể đưa ra các ràng buộc đặc trưng như sự phân bố về vị trí trên toàn bộ l ã nh thổ của quốc gia hoặc ở nước ngoài. V í d ụ bao gồm: các dịch vụ bưu ch í nh, đại sứ quán, ngân hàng, c á c công ty con của một tập đoàn công nghiệp lớn... Ràng bu ộ c nả y sinh từ tình h ì nh kinh tế và ch í nh tr ị Hoạt động của một tổ chức có thể b ị thay đổi sâu sắc bởi những sự kiện cụ thể như các cuộc đình công hoặc các cuộc khủng ho ả ng trong phạm vi quốc gia và quốc tế. Ví dụ: một vài dịch vụ cần có thể tiếp tục duy trì thậm ch í trong một khủng hoảng nghiêm trọng. Ràng bu ộ c v ề c ấ u trúc Bản chất cấu trúc của một tổ chức (phân chia theo bộ phận, theo chức năng hay loại khác) có thể dẫn tới một chính sách an toàn thông tin cụ thể và tổ ch ứ c an toàn phù hợp v ớ i c ấ u trúc. V í dụ: một cấu trúc quốc t ế cần ph ả i có kh ả năng điều hòa các yêu c ầ u an toàn đặc trưng theo t ừ ng nước. Ràng bu ộ c về chức nă ng Các r à ng buộc về chức n ăng phát sinh tr ự c tiếp từ các nhiệm vụ chung hay riêng của tổ chức. Ví dụ: một tổ ch ứ c vận h à nh theo chu trì n h c ầ n đảm bảo chắc ch ắ n các nguồn l ự c của tổ chức đó phải luôn luôn sẵn sàng. Ràng bu ộ c liên quan đ ế n v ấ n đề nh â n sự Tính ch ấ t của những ràng buộc này tha y đổi một cách đáng kể. Chúng bị chi ph ố i bởi: mức trách nhiệm, tuyển dụng, ph ẩ m chất, đào tạo, nhận thức về an to à n, động cơ, sự sẵn sàng... Ví dụ: toàn bộ nh â n viên của một tổ chức bảo vệ cần phải có thẩm quyền xử lý thông tin mật ở mức cao. Ràng bu ộ c nả y sinh từ lịch c ô n g t ác (th ờ i gian biểu ) của t ổ chức: Những r à ng buộc này có thể là kết quả từ việc tái c ấ u trúc hoặc thiết lập những chính sách mới mang tầm quốc gia hoặc quốc tế trong những th ờ i hạn nhất định. Ví dụ: vi ệc tạo ra một bộ phận an toàn. Ràng bu ộ c liên q uan tới phương pháp Các phương pháp phù h ợ p với tr i thức của tổ chức sẽ cần được áp dụng cho k hía cạnh như là lập kế hoạch dự án, h ướ ng d ẫn kỹ thuật sự phát triển... Ví dụ: một ràng buộc điển hình thuộc loại này là nhu cầu hợp nhất c á c nghĩa vụ hợp ph á p của tổ chức th à nh chính sách an toàn. Ràng bu ộ c ma ng bản ch ấ t văn h ó a Trong một vài tổ chức, các thói q u en trong công việc hoặc nghiệp vụ chính đ ã dẫn đến một “văn hóa” đặc tr ư ng trong tổ chức, “ văn h ó a ” này c ó thể không phù hợp với các biện pháp kiểm soát an toàn. Văn hóa nà y là khung tham k h ảo chung của nh â n sự và có th ể được quy ế t định b ằ ng nhiều khía cạnh, bao gồm: giáo dục, học v ấ n, kinh nghiệm chuyên gia, kinh nghiệm bên ngo à i công việc, quan điểm, triết học, lòng tin, đ ị a vị xã hội... Ràng bu ộ c về ngân sách Các biện pháp kiểm soá t an toàn đã được đề xuất đôi lúc có thể có chi ph í áp dụng quá cao. Do đó, cần phải cân nh ắ c khi áp dụng các biện pháp kiểm soát này vì còn phụ thuộc vào ngân sách của từng tổ chức. Ví dụ: trong khu vực tư nhâ n và một vài tổ chức công cộng, tổng chi phí cho các biện pháp kiểm soát an t oàn thông tin cần không vượt qu á chi ph í xử lý c á c hậu quả tiềm ẩn của những rủi ro. Do đó, ban quản lý cao nh ấ t c ầ n ph ả i đánh g iá và ch ấ p nhận c á c rủi ro đ ã được t í nh toán nếu tổ chức muốn tránh nh ữ ng chi ph í an toàn vư ợ t trội. A.3 . Danh sách các t à i liệu tham khảo v ề quy đị nh pháp lý có thể áp dụng cho t ổ chức Các yêu c ầ u quy định áp dụng cho tổ chức cần được nhận bi ế t. Các yêu cầu này có thể là các luật, ngh ị đ ị nh, những quy định cụ thể trong lĩ nh vực của t ổ chức hay các quy định nội bộ và/hoặc bên ngoài. Điều này cũng li ê n quan đến các hợp đồng, các thỏa thuận và khái quát hơn là bất kì nghĩa vụ nào có tính chất quy phạm pháp lý hoặc quy định. A.4 . Danh sách các ràng buộc ảnh h ư ởng đến phạm vi Thông qua việc nhận bi ế t các ràng buộc, có thể liệt k ê các ràng buộc có tác động đến phạm vi và xác định được ràng buộc mà chịu ảnh hưởng của hoạt động. Những ràng buộc này thêm vào và có thể điều chỉnh các ràng buộc của tổ chức đã xác định ở tr ê n. Phần dưới đây đưa ra danh sách chưa hoàn chỉnh về những kiểu ràng buộc. Ràng bu ộ c nả y sinh từ những qu y tr ì nh đ ã có Các dự án ứ ng dụng không nh ấ t thiết phải được phát tri ể n một cách đ ồ ng th ờ i. Một vài dự án ứ ng dụng phụ thuộc vào những quy trình đ ã có. Mặc dù một quy trình có thể b ị phân ra th à nh nhiều quy trình con, quy trình này không nhất thiết phải chịu ảnh hưởng bởi toàn bộ các quy trình con của quy trình khác. Ràng bu ộ c kỹ thu ậ t Các ràng buộc kỹ thuật, liên quan đ ế n cơ sở hạ tầng của tổ chức, phát sinh khi c à i đặt các thiết bị ph ầ n cứng hay ph ầ n m ề m và phát sinh từ ph ò ng hay vị trí diễn ra quy trình: • Các tập tin (các yêu cầu liên quan đến t ổ chức, quản lý phương tiện thông tin, quản lý các quy tắc truy cập...) • Kiến trúc tổng thể (các yêu c ầ u liên quan đến kiểu ki ế n trúc (tập trung, phân t á n, khách - máy chủ), kiểu ki ế n trúc vật lí...) • Phần m ề m ứng dụng (các yêu cầu liên quan đến thiết k ế phần mềm đặc trưng, các tiêu chu ẩ n của thị trường...) • Gói phần mềm (các yêu cầu liên quan đến các tiêu chuẩn, mức đánh giá, ch ấ t lượng, tuân thủ quy chu ẩ n kỹ thuật, an toàn...) • Phần cứng (các yêu c ầ u liên quan đến các tiêu chu ẩ n, chất lượng, tuân thủ quy chuẩn kỹ thuật...) • Các mạng truyền thông (các y ê u cầu liên quan đ ế n phạm vi truyền thông, các tiêu chu ẩ n, dung lượng, độ tin cậy...) • Xây dựng cơ s ở hạ t ầ ng (các yêu cầu liên quan đến xây dựng dân dụng, công tr ì nh, điện áp cao, điện áp th ấp.. .) Ràng bu ộ c về t à i ch í nh Việc triển khai các biện pháp kiểm soát an toàn thông tin thư ờ ng bị giới hạn về ngân sách m à tổ chức có th ể cam kết. Tuy nhiên, ràng buộc về mặt tài chính vẫn l à ràng buộc cuối cùng cần phải được xem xét bởi vì việc cấp ngân sách cho an toàn thông tin có thể được dàn xếp trên cơ sở nghiên c ứ u về an toàn thông tin. Ràng bu ộ c v ề m ô i trường Các ràng buộc về môi trường bắt nguồn từ môi trường địa lý hay kinh t ế mà ở đó các quy trình đang được triển khai: đ ấ t nước, khí hậu, các rủi ro tự nhiên, điều kiện đ ị a lý, môi trường kinh tế... Ràng bu ộ c về th ờ i gian Th ờ i gian cần thiết cho việc triển khai các biện pháp kiểm soát an toàn thông tin cần phải được xem xét trong mối liên quan đ ế n khả năng nâng cấp của hệ thống thông tin; n ế u th ờ i gian triển khai là quá dài, những rủi ro mà biện pháp kiểm soát đã được thiết kế để xử lý chúng có thể đ ã thay đổi. Th ờ i gian là một yếu t ố quyết định cho việc lựa chọn các giải pháp và các ưu tiên. R à ng bu ộ c li ê n quan đ ế n các ph ương pháp Các phương pháp thích hợp với hiểu bi ế t của t ổ chức phải được sử dụng cho việc lập kế hoạch dự án, xác định đặc t í nh kỹ thuật, phát triển... R à n g bu ộ c mang t í nh tổ ch ứ c Các r à ng buộc khác nhau có thể xuất phát từ các yêu cầu của tổ chức: • Vận h à nh (các yêu c ầ u liên quan đến th ờ i gian trễ khởi động, cung c ấ p dịch vụ, theo dõi, giám sát, kế hoạch ứng cứu khẩn c ấ p, hoạt động vận h à nh b ị xuống c ấ p...) • Duy trì (các y ê u c ầ u đối với việc xử lý sự cố, các h à nh động phòng ngừa, khắc phục nhanh chóng...) • Quản lý nguồn nhân lực (các yêu cầu liên quan đến việc đào tạo ngư ờ i vận h à nh và người sử dụng, năng lực đối với những v ị trí công tác như là người quản tr ị hệ thống và người quản trị dữ liệu...) • Quản lý h à nh chính (các yêu cầu li ê n quan đến trách nhiệm...) • Quản lý phát tri ể n (các y ê u c ầ u liên quan đ ế n các công cụ phát triển, kĩ sư phần mềm máy tính, các kế hoạch chấp nhận, thiết lập tổ chức...) • Quản lý các mối quan h ệ bên ngoài ( các yêu cầu li ê n quan đ ế n việc thiết lập các mối quan hệ với b ê n thứ ba, ký kết h ợ p đồng...) PHỤ LỤC B (Tham khảo) Nhận biết, định giá tài sản và đánh giá tác động B.1 . Ví dụ về nhận bi ế t t à i sản Để thực hiện định giá tài sản, trước tiên tổ chức cần phải nhận bi ế t được các tài sản của tổ chức đó (ở một mức chi tiết phù hợp). Tài sản có thể được chia th à nh hai loại: • Tài sản cơ bản: • Hoạt động và q u y trình nghiệp vụ • Thông tin • Tài sản bổ trợ (là tài sản mà các yếu tố cơ bản của phạm vi dựa vào), gồm các loại: • Phần cứng • Phần mềm • Mạng • Nhân sự • V ị trí • C ấ u trúc của tổ chức B.1.1 . Nhận biết tài sản cơ bản Để mô tả phạm v i một cách chính xác hơn, hoạt động này bao g ồ m việc nhận biết tài sản cơ bản (các quy trình và hoạt động nghiệp vụ, thông tin). Việc nhận biết tài sản này được ti ế n h à nh bởi một nhóm người đại diện của quy trình (những người quản lý, các chuyên gia hệ thống thông tin và những người sử dụng). Tài sản cơ bản thư ờ ng là nh ữ ng quy trình và thông tin c ố t l õ i của hoạt động trong phạm vi b ố i c ả nh tổ chức. Những t à i sản cơ bản khác như l à các quy tr ì nh của tổ chức cũng cần phải xem xét, điều này sẽ thích hợp hơn cho việc xây dựng một ch í nh sách an toàn thông tin hay một kế hoạch liên tục trong nghiệp vụ. Tùy thuộc vào từng mục đích, một vài nghiên cứu không yêu cầu một sự phân tích triệt để các yếu tố của phạm vi. Trong những trường hợp này, ranh giới nghiên cứu có thể được giới hạn trong những yếu tố ch í nh của phạm vi. T à i sản cơ bản gồm hai loại: 1- Các q u y trình (hoặc quy tr ì nh con) và ho ạ t đ ộ ng nghi ệ p v ụ, ví d ụ : • Các quy trình mà sự mất mát hoặc xuống c ấ p của ch ú ng làm m ấ t khả năng thực hiện nh ữ ng nhiệm vụ của tổ chức • Các quy trình chứa các quy trình b í mật hoặc các quy trình liên quan đ ế n công nghệ độc quyền • Các quy trình mà nếu bị sửa đ ổ i có thể gây ảnh hưởng lớn đến việc hoàn th à nh nhi ệ m vụ của tổ chức • C á c quy trình cần thiết cho tổ chức để tuân thủ các yêu cầu hợp đồng, quy định hoặc yêu cầu pháp lý 2- Tài sản th ô ng tin Một cách tổng quát hơn, tài sản thông tin chủ yếu bao g ồ m: • Th ô ng tin cần thiết cho việc thực hiện nhiệm vụ hoặc nghiệp vụ của tổ chức • Thông tin cá nhân, có thể được định nghĩa một cách cụ thể theo luật pháp quốc gia về quyền riêng tư. • Thông tin chi ế n lược cần thiết cho việc đạt được các mục tiêu được xác định bởi những định hướng chiến lược . • Thông tin có chi ph í cao mà việc thu thập, lưu tr ữ , xử lý và truyền dẫn những thông tin đ ó đòi hỏi một khoảng th ời gian dài và/hoặc liên quan tới chi phí mua lại cao. Các quy trình và những t hông tin không được xác định là nhạy cảm sau hoạt động này s ẽ không có sự phân loại rõ ràng trong phần còn lại của nghiên cứu. Điều đó có nghĩa là ngay cả khi các quy trình hoặc thông tin này bị gây hại th ì tổ chức vẫn hoàn th à nh nhiệm vụ một cách th à nh công. Tuy nhi ê n, tổ chức sẽ thư ờ ng xuyên k ế thừa những biện pháp kiểm soát mà đã được triển khai để bảo vệ các quy tr ì nh và thông tin đ ã được xác định là nhạy cảm. B.1.2 . Danh sách và mô tả những tài sản bổ tr ợ Phạm vi bao gồm các tài sản cần được nhận bi ế t và mô tả. Các tài sản này có những điểm yếu dễ bị khai thác bởi những mối đe dọa có mục đích làm hư hại các tài sản cơ bản (các quy trình và thông tin). Tài sản bổ trợ gồm nhiều loại khác nhau: Ph ầ n cứng Loại phần cứng bao gồm t ấ t cả các phần tử vật l í h ỗ trợ các quy trình. Thiết bị xử lý dữ liệu (tích cực) Thiết bị xử lý th ô ng tin tự động bao g ồ m các thiết b ị có thể vận h à nh một cách độc lập. Thiết b ị có thể v ậ n chu yể n đư ợ c Thiết bị máy t í nh xách tay. Ví dụ: máy tính xách tay, thiết bị hỗ trợ kỹ thuật số cá nhân (PDA). Thiết b ị c ố đ ị nh Thiết bị máy tính được sử dụng trong phạm vi tổ chức. Ví dụ: máy ch ủ , máy vi tính được sử dụng như một máy trạm. Thiết b ị xử lý n g o ạ i vi Thiết bị được k ế t nối tới một máy tính thông qua một cổng truyền thông (li ê n k ế t nối tiếp, song song...) đ ể nhập dữ liệu, chuyển dữ liệu hoặc truyền dữ li ệ u. Ví dụ: máy in, ổ đọc đĩa. Phư ơ n g ti ệ n dữ liệu (th ụ đ ộ ng) Đây là những phương tiện để lưu trữ dữ liệu hoặc các chức năng. Phư ơng ti ệ n đi ệ n tử Một phương tiện thông tin mà có thể kết nối với một máy tính hoặc mạng máy t í nh để lưu tr ữ dữ liệu. Mặc dù chỉ có k í ch thước nhỏ gọn nhưng các phương tiện thông tin này có thể chứa được một khối lượng lớn dữ liệu. Các thiết b ị này có thể được sử dụng với thiết b ị điện toán quy chu ẩ n. Ví dụ: đĩa mềm, đĩa CD, băng đĩa từ sao lưu, ổ cứng di động, th ẻ nh ớ , băng từ. Các p hư ơng ti ệ n khác Phương tiện t ĩ nh, phi điện tử chứa dữ liệu. Ví dụ: gi ấ y, slide, tài liệu văn bản, fax. Phần mềm Phần mềm bao gồm toàn bộ chương tr ì nh đ ó ng góp vào việc vận h à nh của một bộ xử lý dữ liệu. H ệ điều h à nh Hệ điều h à nh bao gồm toàn bộ chương trình của một máy t í nh tạo th à nh bộ vận h à nh n ề n tảng cho các chương tr ì nh phần m ề m khác chạy (như là các ứng dụng hoặc dịch vụ). Hệ điều h à nh bao gồm một ph ầ n trung tâm và các chức năng hoặc dịch vụ cơ bản. Tùy vào từng kiến trúc, một hệ đi ề u h à nh có thể l à nguyên khối hoặc được tạo ra từ một phần trung tâm rất nhỏ và một tập hợp các dịch vụ hệ thống. Các th à nh phần chính của hệ điều h à nh l à toàn bộ các dịch vụ quản lý thiết bị (bộ xử lý trung tâm, bộ nhớ máy t í nh, đ ĩ a và các giao diện mạng), các dịch vụ quản lý nhiệm vụ hoặc quy trình và các dịch vụ quản lý quyền của người sử dụng. D ị ch v ụ, p hần mềm bảo tr ì ho ặ c qu ả n tr ị Phần mềm bổ sung trực tiếp cho các dịch vụ hệ điều hành và bổ sung gián tiếp cho các dịch vụ của người dùng hoặc các ứng dụng (mặc dù phần mềm thường là cần thiết hoặc không thể thiếu được đối với toàn bộ hoạt động của hệ thống thông tin). Gói p h ầ n mềm ha y ph ầ n mềm chuẩn Phần mềm chuẩn hoặc gói phần mềm được hi ể u theo cách thông thường là những sản phẩm trọn v ẹ n được thương mại hóa (không phải là các phần mềm được phát tri ể n cụ thể hoặc chỉ làm một lần) có phương tiện thông tin, phát hành và duy trì. Các phần mềm này cung cấp các dịch vụ cho người sử dụng và các ứng dụng, nhưng không mang tính cá nhân hoặc cụ thể như các ứng dụng nghiệp vụ. Ví dụ: phần mềm quản lý cơ sở dữ liệu, phần mềm thư đi ệ n tử, phần mềm nhóm, phần mềm danh mục, phần mềm máy chủ web... Ứ ng d ụ ng nghi ệ p v ụ Ứ ng d ụ ng nghi ệ p v ụ ti ê u chuẩn Đây là phần mềm thương mại được thiết k ế để đưa tới cho những người sử dụng sự truy cập trực tiếp đ ế n các dịch vụ và các chức n ă ng mà họ y ê u cầu từ hệ thống thông tin trong bối cảnh chuyên môn của họ, có phạm vi r ấ t rộng, không gi ớ i hạn về mặt lý thuyết và bao g ồm nhiều lĩnh vực. Ví dụ: phần mềm k ế toán, phần mềm đi ề u khiển công cụ máy, phần mềm chăm sóc khách hàng, phần mềm quản lý năng lực cán bộ, phần mềm qu ả n tr ị. .. Ứ ng d ụ ng nghi ệ p v ụ đ ặ c trưng Đây là phần mềm mà ở đó các khía cạnh khác nhau (v í dụ như: hỗ trợ, bảo tr ì , nâng cấp...) được phát tri ể n một cách đ ặ c thù để đưa t ớ i cho những người sử dụng sự truy cập trực ti ế p đến các dịch vụ và chức năng mà họ y ê u cầu từ h ệ thống thông tin của họ. Đây là phạm vi r ấ t rộng, không giới hạn về mặt lý thuy ế t và đa lĩnh vực. Ví dụ: quản lý hóa đơn của các khác hàng khai thác viễn thông, ứng dụng giám sát th ờ i gian thực cho vi ệ c ph ó ng t ê n lửa. Mạng Mạng bao gồm toàn bộ các thiết b ị viễn thông được sử d ụng đ ể k ế t n ố i nhiều máy tính hay nhiều thành phần của một hệ thống th ô ng tin ở cách xa nhau về điều kiện tự nhiên. Phương ti ệ n th ô n g tin và s ự hỗ tr ợ Phương tiện hay thiết bị thông tin và viễn thông được mô tả chủ yếu bởi các đặc điểm về vật l í và kỹ thuật của thiết bị (điểm tới điểm, quảng bá) và bằng các giao thức truyền thông (li ê n k ế t hoặc mạng - tầng 2 và 3 theo mô h ì nh mạng OSI 7 tầng). Ví dụ: mạng điện thoại chuyển mạch công cộng (PSTN), chuẩn Ethernet, Gigabit Ethernet, đường dây thuê bao kỹ thuật số không đối xứng (ADSL), đặc tả giao thức không dây (theo chuẩn WiFi 802.11), chuẩn Bluetooth, chu ẩ n Firewire. B ộ chu y ển ti ế p th ụ đ ộ ng ho ặ c chủ đ ộ ng Kiểu này bao gồm toàn bộ thiết b ị mà kh ô ng phải l à thiết b ị kết cuối logic (trong hệ thống th ô ng tin) mà là thiết bị trung gian hoặc thiết b ị chuyển tiếp. Các thiết bị chuyển tiếp được mô t ả bằng các giao thức truy ề n thông mạng được hỗ trợ. Ngoài chức năng chuyển tiếp cơ bản, các thiết bị này thư ờ ng có th ê m các chức năng, dịch vụ định tuyến và/hoặc lọc, bộ chuyển mạch và bộ định tuy ế n v ớ i c á c bộ lọc. Chúng có thể được quản lý từ xa và thường c ó khả năng tạo ra các bản ghi. Ví dụ: cầu n ố i, thiết bị định tuyến, máy chủ truy cập, thiết bị chuyển mạch, tổng đài tự động. Giao di ệ n tru y ền th ô ng Các giao diện truyền thông của các bộ xử lý đều được k ế t nối tới các bộ xử lý nhưng được mô tả bằng phương tiện thông tin và các giao thức hỗ trợ, bằng các chức năng lọc, ghi vết hoặc phát cảnh báo và dung lượng của chúng và bằng khả năng và yêu cầu quản lý từ xa. Ví dụ: dịch vụ vô tuyến gói tổng hợp (GPRS), bộ tương thích Ethernet. Nhân s ự Nhân sự bao gồm toàn bộ nhóm người liên quan đến hệ thống thông tin. Người đ ư a ra qu yế t đ ị nh Người đưa ra quyết định là ng ườ i chủ sở hữu các tài sản cơ bản (thông tin và chức năng) và là người quản lý tổ chức hoặc dự án cụ thể. Ví dụ: người quản lý ở cấp cao nh ấ t, người phụ trách dự án. N gườ i dùng Người dùng là những người xử lý các thành phần nhạy cảm trong bối cảnh hoạt động của họ và là người có một trách nhiệm đặc biệt ở lĩnh vực này. Người dùng có quyền truy cập đặc biệt đ ế n hệ thống thông tin để thực hiện các nhiệm vụ hàng ngày của họ. Ví dụ: người quản lý nguồn nhân lực, người quản lý tài chính, người quản lý rủi ro. Nh â n vi ê n v ậ n hành/bảo trì Là những người phụ trách việc vận hành và bảo tr ì h ệ thống thông tin. Những nhân viên này có quy ề n truy c ậ p đặc biệt t ớ i h ệ thống th ô ng tin để thực hiện các nhiệm vụ hàng ngày. Ví dụ: người quản trị hệ thống, người quản tr ị dữ liệu, văn thư, bộ phận hỗ trợ, ng ườ i triển khai ứng dụng, các nhân viên bảo vệ. Nhà p hát triển ứ ng d ụ ng Người phát triển là ngư ờ i phụ trách phát triển các ứn g dụng của tổ chức. Họ có quyền cấp cao để truy cập tới bộ phận của hệ thống thông tin nhưng không đưa ra b ấ t kì hành động nào tới việc sản xu ấ t dữ liệu. Ví dụ: người phát triển ứng dụng nghiệp vụ. Trụ s ở Trụ sở bao gồm t ấ t c ả các đ ị a điểm chứa toàn bộ phạm vi hoặc một phần của phạm vi và các phương tiện vật ch ấ t cần thiết để trụ sở hoạt động. Đ ị a đi ể m Môi trường b ê n ngo à i Gồm to à n bộ các địa điểm mà ở đó các biện pháp an toàn của tổ chức không thể được áp dụng. V í dụ: nhà của nhân viên, cơ sở của các tổ chức khác, môi trường bên ngoài trụ sở (khu vực đô thị, khu vực nguy hiểm). Cơ sở Nơi này đ ược giới hạn bởi v à nh đai của t ổ chức và giữ liên hệ trực tiếp với bên ngoài. Cơ sở có thể được bảo vệ bằng việc tạo ra các hàng rào hoặc các phương tiện giám sát xung quanh các t òa nhà. Ví dụ: cơ sở, các tòa nhà. Khu v ự c Khu vực được h ì nh thành b ở i một ranh giới bảo vệ vật lí tạo ra các v á ch ngăn trong cơ sở của tổ chức. Khu vực có được b ằ ng cách tạo ra các hàng rào vật Lí xung quanh các cơ sở hạ tầng xử lý thông tin của tổ chức. V í d ụ : các ph ò ng ban, khu vực truy cập ri ê ng tư, khu vực an toàn. C á c d ị ch v ụ thiết yế u Toàn bộ các dịch vụ cần thiết để vận hành các trang thiết b ị của tổ chức. Tr u yền th ô n g C á c dịch vụ viễn thông và trang thiết bị được cung cấp b ở i một doanh nghiệp viễn thông. Ví dụ: đường dây điện thoại, thiết bị trao đổi PABX, các mạng điện thoại nội bộ. Các h ệ thống ti ệ n í ch kh á c Các d ị ch vụ và phương tiện (các nguồn cung cấp và h ệ thống mạng dây d ẫ n) cần thiết cho việc cung cấp điện năng cho các thiết bị công nghệ thông tin và thiết bị ngoại vi. Ví dụ: nguồn điện áp thấp, bộ biến tần, bảng mạch điện đầu cuối. Ngu ồ n cung cấp nước Xử lý chất thải Các dịch vụ và phương tiện (thiết b ị , kiểm soát) cho vi ệ c làm mát và lọc không khí. V í dụ: các đường ống nước làm mát, các bộ điều hòa không khí. Tổ chức Các loại hình tổ chức mô tả c ấ u trúc tổ chức, bao gồm t ấ t cả các c ấ u trúc nhân sự của tổ chức đã được phân công nhiệm vụ và các phương pháp quản lý các c ấ u trúc này. Cơ qu an quy ề n l ự c Đây là những đơn v ị có thẩm quy ề n đối với tổ chức đang xét, có thể là chi nhánh hợp pháp hoặc từ bên ngoài. Các đơn v ị này áp đặt những ràng buộc đối với tổ chức đang xét qua c á c quy định, quy ế t định và các hành động. Ví dụ: cơ quan qu ả n trị, văn phòng chính của một tổ chức. C ấ u trúc của tổ chức Bao g ồ m nhiều chi nhánh khác nhau của tổ chức, có nhiều chức năng đan xen, hoạt động dưới sự quản lý của ban quản lý của tổ chức đó. Ví dụ: quản lý các nguồn nhân lực, quản lý công ngh ệ thông tin, quản lý mua sắm, quản lý kinh doanh, dịch vụ an toàn cho t ò a nhà, dịch vụ chữa cháy, quản lý kiểm toán. Tổ chức d ự án ha y h ệ thống Liên quan đ ế n việc t ổ chức được thành lập cho một dự án hoặc dịch vụ cụ thể. Ví dụ: dự án phát triển ứng dụng mới, dự án di chuy ể n hệ thống thông tin. Nh à thầu p h ụ / nh à cung cấp / nhà sản xuất Đây là những đơn v ị cung cấp cho tổ chức dịch vụ hoặc các nguồn tài nguyên và b ị ràng buộc với tổ chức thông qua hợp đồng. Ví dụ: công ty quản lý trang thiết b ị , công ty thuê ngoài, công ty tư v ấ n. B.2 . Định giá tài sản Bước tiếp theo sau khi nhận biết tài sản là th ố ng nh ấ t thang đo được sử dụng và các tiêu ch í để xác định giá trị cụ thể trên thang đo đó cho mỗi tài sản, dựa vào việc định giá. Trong hầu hết các tổ chức, vì tài sản là v ô cùng đa dạng nên có khả năng một vài t à i sản có giá trị tiền tệ đã được nhận biết s ẽ được định giá ngay theo đơn v ị tiền t ệ địa phương. Trong khi đó, những tài sản khác có giá tr ị đ ị nh lượng nhiều hơn thì c ó thể được g ắ n cho một giá trị trong dải, ví dụ từ “ r ấ t th ấ p ” tới “r ấ t cao”. Quyết định sử dụng thang đo định lượng hay thang đo định tính là tùy thuộc vào mỗi tổ chức, nhưng phải thích hợp với những tài sản đang được định giá. Cả hai loại định giá có thể được sử dụng cho cùng một loại t à i sản. Các thuật ngữ điển h ì nh được sử dụng cho việc định giá tài sản theo định tính thường l à những từ như: kh ô ng đáng k ể , r ấ t th ấ p, th ấ p, trung b ì nh, cao, r ấ t cao và nghiêm trọng. Việc lựa ch ọ n và xếp loại các thuật ngữ cho phù hợp với tổ chức phụ thuộc r ấ t lớn vào nhu c ầ u an toàn của tổ chức, quy m ô của tổ chức và các yếu tố cụ thể khác. Tiêu chí Các tiêu ch í được sử dụng như là cơ sở cho việc định giá đối với m ỗ i tài sản cần được viết bằng những thuật ngữ rõ ràng. Đây thường là một trong những kh í a cạnh khó nh ấ t của việc định giá tài sản, bởi vì giá tr ị của một s ố tài sản có thể phải được xác định một cách chủ quan và việc xác định có thể được thực hiện bởi nhiều cá nhân khác nhau. Các ti ê u chí thường được sử dụng để xác định giá trị của tài sản bao gồm: c hi phí ban đ ầ u, chi ph í thay thế hay tạo lập lại hoặc giá tr ị của tài sản có thể là trừu tượng, ví dụ như: giá tr ị uy t í n của một tổ chức. Một cơ sở khác cho việc định giá tài sản là các chi phí phải gánh chịu do sự mất đi t í nh b í mật, tính toàn vẹn và tính sẵn s à ng như là kết quả của một sự c ố . Tính không ch ố i bỏ, trách nhiệm giải tr ì nh, tính xác thực và độ tin cậy cũng phải được xem xét một cách thích hợp. Việc đ ị nh giá như thế này phải đưa ra những thông số th à nh phần quan trọng để đánh giá giá trị , bổ sung thêm vào chi phí thay thế, dựa trên các đánh giá đối với các hậu quả nghiệp vụ b ấ t lợi là kết quả của các sự c ố an to à n trong những hoàn c ả nh đã đư ợc giả thiết. C ần phải nhấn mạnh phương pháp ti ế p cận này d à nh cho các hậu quả mà cần thiết đưa hệ số vào việc đánh giá rủi ro. Nhiều tài sản trong suốt quy trình đ ị nh giá có thể được g á n nhiều giá trị. Ví dụ: một kế hoạch nghiệp vụ có thể được định giá dựa tr ê n số lao động được sử dụng để phát triển kế hoạch, có thể được định giá dựa trên s ố lao động nhập dữ liệu và có thể được định giá dựa trên giá trị của kế hoạch nghiệp vụ đ ó đ ố i với một đối thủ cạnh tranh. Mỗi giá tr ị được gán sẽ có sự khác nhau một cách đáng kể. Giá trị được gán c ó thể lớn nh ấ t trong số t ấ t cả các gi á tr ị t ồ n tại hoặc c ó thể là tổng của một vài hoặc tất cả các giá tr ị tồn tại. Trong bản phân tích cuối cùng, giá trị hoặc những giá trị nào mà được gán cho một tài sản phải được quyết định một cách c ẩ n thận b ở i vì giá tr ị cuối cùng sẽ được dùng vào việc xác đ ị nh các nguồn lực được sử dụng cho việc bảo vệ tài sản. Giảm nh ẹ t ới m ứ c chung Cuối cùng, toàn bộ định giá tài sản cần phải được giảm nhẹ tới một m ứ c chung. Đi ề u này có thể được thực hiện với sự trợ giúp của các ti ê u ch í được liệt k ê ở dưới. Những tiêu chí có thể được sử dụng để đánh giá hậu quả có thể xảy ra do sự m ấ t đi t í nh bí mật, tính toàn vẹn, tính sẵn s à ng, t í nh chống chối bỏ, trách nhiệm giải tr ì nh, t í nh xác thực, hoặc độ tin cậy của tài sản là: • Vi phạm luật pháp và/hoặc quy định • Làm suy giảm việc thực th i nghiệp vụ • M ấ t th i ện ý/ảnh hưởng tiêu cực tới uy tín • Vi phạm liên quan đến thông tin cá nhân • Gây nguy hiểm đến an toàn cá nhân • Ảnh hưởng xấu đến việc th i hành pháp l u ật • Vi phạm tính b í mật • Vi phạm trật tự công cộng • Thiệt hại tài chính • Ảnh hưởng đ ế n các hoạt động nghiệp vụ • Đe dọa an toàn môi trường Những phương pháp ti ế p cận khác đ ể đánh giá các hậu quả có thể là: • Gián đoạn dịch vụ o không có khả năng cung cấp dịch vụ • Đánh mất niềm ti n của khách h à ng o đánh m ấ t độ tin cậy trong hệ thống thông tin nội bộ o hủy hại tới uy tín • Phá v ỡ vận hành nội bộ o phá v ỡ ngay trong chính tổ chức o th ê m vào chi ph í nội bộ • Phá vỡ hoạt động của một bên thứ ba o phá v ỡ trong nội bộ của các bên th ứ ba có giao dịch với t ổ chức o các loại thiệt hại khác nhau • Vi phạm pháp luật / quy định o không có khả năng thực hiện các nghĩa vụ pháp lý • Vi phạm hợp đ ồ ng o không có khả năng thực hiện các nghĩa vụ theo hợp đồng • Nguy hiểm đến an toàn của nhân sự / người sử dụng o nguy hiểm cho nhân sự của tổ ch ứ c và/hoặc người sử dụng • Tấn công vào cuộc s ố ng ri ê ng tư của người sử dụng • Thiệt hại về tài chính • Chi phí tài chính trong trường hợp khẩn cấp hoặc sửa chữa o về mặt nhân sự o về mặt trang thiết b ị o về mặt nghiên cứu, báo cáo của các chuyên gia • Thiệt hại hàng hóa / vốn / tài sản • Đánh mất khách hàng, đánh m ấ t nhà cung cấp • Th ủ tục tố tụng tư pháp và hình phạt • Đánh m ấ t lợi thế cạnh tranh • Đánh mất vị trí dẫn đầu về công nghệ / kỹ thuật • Mất hiệu quả / sự tin tưởng • M ấ t uy t í n công nghệ • Suy giảm năng lực đàm ph á n • Khủng ho ả ng công nghiệp (các cuộc đ ì nh công) • Khủng hoảng ch í nh phủ • Sự giải tán • Hư h ỏ ng nguy ê n vật liệu Các tiêu chí này là những v í dụ về những v ấ n đề cần được xem xét cho việc đ ị nh giá tài sản. Để thực hiện việc định giá, tổ chức cần phải lựa chọn các tiêu chí th í ch hợp với loại h ì nh nghiệp vụ và các yêu cầu an toàn. Đi ề u đó có nghĩa là một vài trong số các tiêu chí được liệt k ê ở trên không thể áp dụng được và một số ti ê u chí khác có thể cần được thêm vào danh sách. Thang đo Sau khi việc thiết l ập các tiêu chí được xem xét, tổ chức cần phải thống nh ấ t một thang đo được sử dụng trong toàn bộ tổ chức. Bước đ ầ u tiên là quy ế t định số lượng mức được sử dụng. Không có quy tắc nào li ê n quan đ ế n số lượng mức như th ế nào thích hợp nh ấ t. Nhiều mức hơn thì sẽ cung cấp một mức chi ti ế t l ớ n h ơ n, nhưng đôi khi một sự phân biệt quá chính xác sẽ làm cho việc gán tiêu ch í nhất quán trong tổ chức kh ó thực hiện. Thông thường, b ấ t kỳ số lượng mức nào nằm giữa 3 (như thấp, trung bình và cao) và 10 có thể được sử dụng miễn là phù h ợ p với phương pháp tiếp cận mà các tổ chức đang sử dụng cho toàn bộ quy trình đánh giá rủi ro. Một tổ ch ứ c có thể định nghĩa các giới hạn của mình đối với các giá tr ị tài sản, như là “thấp”, “trung b ì nh”, hoặc “cao”. Các giới hạn này n ê n được đánh giá căn cứ theo các tiêu ch í đã được lựa chọn (ví dụ như đối với thiệt hại tài ch ín h có thể xảy ra, các giới hạn nên được đưa ra theo các giá trị tiền tệ, nhưng để đánh giá cho những nguy hi ể m đ ế n an toàn cá nhân thì việc đánh giá theo giá trị tiền tệ có th ể phức tạp và không phù hợp với mọi tổ chức). Cuối cùng, việc quy ế t định hậu quả như thế nào là “ nhỏ ” hay “l ớ n’ hoàn toàn phụ thuộc vào tổ chức. Một hậu quả có th ể l à thảm họa đối với một tổ chức nh ỏ nhưng có thể là nhỏ hoặc thậm chí không đáng kể đối với một tổ chức r ấ t lớn. S ự ph ụ thu ộ c Tài sản c à ng h ỗ trợ thích hợp và nhiều quy trình nghiệp vụ th ì giá tr ị của tài sản c à ng lớn. Sự phụ thuộc của các tài sản vào các quy trình nghiệp vụ và các tài sản khác cũng cần được nhận biết bởi vì điều này có thể ảnh hưởng đến giá tr ị tài sản. Ví dụ: tính bí mật của dữ liệu cần được lưu giữ trong suốt vòng đ ờ i của dữ liệu, ở t ấ t cả các giai đoạn, bao gồm lưu trữ và xử lý, tức là nhu c ầ u an toàn của các chương tr ì nh xử lý và lưu trữ dữ liệu phải có liên quan trực tiếp đến giá trị đại diện cho tính b í mật của dữ liệu được lưu tr ữ và xử lý. Cũng như vậy, n ế u một quy trình nghiệp vụ dựa vào tính toàn vẹn của dữ liệu được tạo bởi một chương trình thì dữ liệu đầu vào của chương trình này phải đáng tin cậy. Hơn nữa, t í nh toàn v ẹ n của thông tin sẽ phụ thuộc vào phần cứng và phần mềm được sử dụng để lưu trữ và xử lý thông tin. Cũng như vậy, phần cứng sẽ phụ thuộc vào việc cung cấp điện năng và điều hòa không khí. Do đó, thông tin về sự phụ thuộc sẽ trợ giúp cho việc nhận bi ế t các mối đe dọa và điểm yếu cụ thể. Thêm vào đó, nó cũng giúp đảm bảo giá tr ị thực sự của tài sản (th ô ng qua các mối quan hệ phụ thuộc) sẽ được gán cho các tài sản, qua đ ó chỉ ra mức b ả o vệ hợp lý. Giá trị của tài sản mà các tài sản khác phụ thuộc vào đó có thể được sửa đổi theo cách sau: • Nếu giá trị của tài sản phụ thuộc (ví dụ: dữ liệu) thấp h ơ n hoặc bằng giá trị của tài sản được xem xét (ví dụ: phần mềm) thì giá tr ị của tài sản được xem x é t v ẫ n giữ nguy ê n • Nếu giá tr ị của tài sản phụ thuộc ( v í dụ: dữ liệu) lớn hơn thì giá trị của t à i sản được xem x é t (v í dụ: phần mềm) phải được tăng lên theo tùy thuộc: o M ứ c phụ thuộc o Giá trị của các tài sản khác Một t ổ chức có thể có một v à i tài sản với số lư ợ ng lớn hơn một, như là các bản sao của các chương trình phần mềm hoặc các m á y tính cùng loại được sử dụng trong h ầ u h ế t các phòng ban. Thực t ế này cần thiết phải được xem xét khi ti ế n hành định giá tài sản. Một mặt, những tài sản này dễ dàng b ị bỏ sót, do đó cần phải chú ý để nhận biết t ấ t c ả các tài sản đó; mặt khác, chúng có thể được sử dụng để giảm thiểu các v ấ n đề có sẵn. Đ ầ u ra Kết quả cu ố i cùng của bước này là một danh sách các tài sản và các giá trị của chúng li ê n quan đến: sự tiết lộ (duy trì tính b í mật), sự thay đổi (duy trì tính toàn vẹn, tính xác thực, tính chống chối bỏ và trách nhiệm giải trình), tính không sẵn s à ng và sự phá hủy (duy trì t í nh sẵn s à ng và độ tin cậy) và chi ph í thay th ế . B.3 . Đánh giá tác động Một sự c ố an toàn thông tin c ó thể tác động tới nhiều hơn một tài sản hoặc chỉ một phần tài sản. Tác động có liên quan tới mức thành công của sự c ố . Giống như hậu quả, có một sự khác biệt quan trọng giữa giá trị tài sản và tác động được gây ra từ sự cố. Tác động được xem như hoặc có một ảnh hưởng ngay lập tức (về vận hành) hoặc có ảnh hưởng trong tương lai (về nghiệp vụ) mà bao gồm các hậu quả về tài ch í nh và thị trư ờ ng. Tác động ngay lập tức (về vận hành) có thể là trực ti ế p hoặc gián ti ế p. Tr ự c ti ế p: a) Giá trị thay th ế tài chính của tài sản hoặc một phần tài sản b ị mất b) Chi ph í thu nhận, c ấ u h ì nh và c à i đặt t à i sản mới hoặc sao lưu c) Chi ph í vận h àn h bị dừng do các sự cố cho đ ế n khi các dịch vụ được cung cấp bởi (các) t à i sản được khôi phục đ) Tác động gây ra một sự vi phạm an to à n thông tin Gián tiếp: a) Chi phí cơ hội (các nguồn tài ch í nh cần thiết để thay th ế hoặc s ử a ch ữ a một tài sản lẽ ra đã được sử dụng cho mục đích khác) b) Ch i phí cho các hoạt động b ị gián đoạn c) Tiềm ẩ n sự lạm dụng các thông tin thu được thông qua sự vi phạm an toàn thông tin d) V i phạm các nghĩa vụ do luật pháp quy định hoặc vi phạm quy định e) Vi phạm c ác chuẩn mực đạo đức ứng xử Như vậy, bước đánh giá đ ầ u tiên (không có bất cứ biện pháp kiểm soát nào) sẽ ước lượng được một tác động mà r ấ t gần với (các) giá trị tài sản có liên quan . Ở bất k ì quy trình lặp lại tiếp theo nào đối với (các) tài sản này thì tác động cũng sẽ khác nhau (thường là th ấ p hơn nhiều) do s ự có mặt và hiệu quả của các biện pháp kiểm soát đ ã được triển khai. PHỤ LỤC C (Tham khảo) Ví dụ về những mối đe dọa điển hình Bảng dưới đây s ẽ đưa ra các ví d ụ về những mối đe dọa điển h ì nh. Danh sách này có th ể được sử dụng trong suốt quy trình đánh giá các mối đe dọa. Các mối đe dọa có thể là do có ý, vô ý hay do môi trường (tự nhiên) và có thể gây ra ví dụ như sự thiệt hại hay m ấ t mát những dịch vụ cần thiết. Dưới đây liệt kê đối với từng kiểu đe dọa với C (c ố ý), V (vô ý), MT (môi trường). C: được sử dụng cho t ấ t cả các hành động c ố ý nhằm tới các tài sản thông tin. V: được sử dụng cho tất cả các hành động do con người có thể vô ý gây ra thiệt hại l ê n các tài sản thông tin. MT: đư ợ c sử dụng cho t ấ t cả các sự cố không d o hành động của con người gây ra. Các nhóm đe dọa không được sắp x ế p theo thứ tự ưu tiên. Loại Các mối đe dọa Nguồn gốc Thiệt hại về vật chất Cháy/Hỏa hoạn C , V, MT Thiệt hại về nguồn nước C , V, MT Sự ô nhiễm C , V, MT Tai nạn nghiêm trọng C , V, MT Sự phá hủy thiết bị hoặc các phương tiện thông tin C , V, MT Bụi, ăn m ò n, đ ó ng băng C , V, MT Các sự kiện th i ên nhiên Hiện tượng khí hậu MT Hiện tượng địa chấn MT Hiện tượng núi l ử a MT Hiện tượng khí tượng MT Lũ lụt MT Thiệt hại các d ịc h vụ cần thiết Lỗi hệ thống điều hòa không khí hay hệ thống cấp nước C , V Thất thoát trong cung cấp điện năng C , V, MT Hư h ỏ ng các trang thiết b ị truyền thông C , V Nhiễu do bức xạ Bức xạ điện t ử C , V, MT Bức xạ nhiệt C , V, MT Xung điện t ử C , V, MT Gây hại tới th ô ng tin Nghe trộm các tín hiệu nhiễu gây hại t ớ i thông tin C Gián điệp từ xa C Nghe trộm C Lấy trộm phương tiện thông tin hoặc tài liệu C L ấ y trộm thiết bị C Khôi phục thông tin từ phương tiện đ ã được tái chế h o ặc đã bị loại bỏ C Tiết lộ thông tin C, V Dữ liệu từ các nguồn không đáng tin cậy C , V Gi ả mạo phần cứng C Giả mạo phần mềm C , V Phát hiện v ị tr í C Các lỗi kỹ thuật Lỗi do thiết b ị V Sự cố, hỏng thiết b ị V Trạng thái bão hòa của hệ thống thông tin C, V Sự cố phần mềm V Vi phạm về bảo tr ì hệ thống thông tin C, V Các hành vi trái phép Sử dụng trái phép thiết b ị C Sao chép gian lận phần mềm C Sử dụng phần mềm giả mạo hoặc đã bị sao chép C , V Sửa đổi l à m sa i hỏng dữ liệu C Xử lý dữ liệu không hợp pháp C G â y hại tới các chức năng Lỗi trong sử dụng V Lạm dụng quyền C, V Giả mạo quyền C Từ chối hành động C Vi phạm tính sẵn s à ng của nhân viên C , V, MT Đặc biệt phải chú ý tới các nguồn gốc mối đe dọa mà nguyên nhân là do con người. Những nguồn g ố c này được nhóm thành từng nhóm trong bảng dưới đây: Nguồn gốc m ố i đe dọa Động cơ thực hiện Các hậu quả có th ể xảy ra Tin tặc, người bẻ khóa Thách thức Lòng tự trọng Sự n ổ i loạn, chống đối Đ ị a v ị /danh tiếng Tiền bạc • T ấ n công máy tính • Kỹ thuật lừa đảo • Xâm phạm, tấn công hệ thống • Truy cập hệ thống trái phép Tội phạm máy tính Phá hủy thông tin Công bố thông tin b ấ t hợp pháp Lợi í ch tài ch í nh Thay đổi dữ liệu trái phép • Tội phạm máy tính (ví dụ: theo d õi trên mạng) • Hành vi gian lận (v í dụ: tái tạo, mạo danh, nghe lén thông tin) • Mua chuộc th ô ng tin • Giả mạo thông tin • Xâm nhập hệ thống Khủng bố Tống ti ề n Phá hủy Khai thác Trả thù Lợi ích ch í nh trị Đưa thông tin • Bom/khủng bố • Chiến tranh thông tin • Tấn công hệ thống ( v í dụ: t ấ n c ô ng từ ch ố i dịch vụ phân tán) • Xâm nhập h ệ thống • Giả mạo hệ thống Gián điệp c ô ng nghiệp (cơ quan tình báo, các công ty, ch í nh ph ủ nước ngoài, các tổ chức quan tâm khác) Lợi í ch cạnh tranh Gián điệp kinh tế • Lợi ích quốc phòng • Lợi ích chính trị • Khai thác kinh tế • Trộm cắp thông tin • Xâm phạm quyền riêng tư cá nhân • Kỹ thuật lừa đảo • Xâm nhập hệ thống • Truy cập vào hệ thống trái phép (truy cập đến các thông tin đã phân loại, độc quyền và/hoặc các thông tin liên quan đến công nghệ) Những người trong nội bộ của tổ chức (được đào tạo kém, b ấ t m ã n, có ý xấu , cẩu thả, không trung thực, hoặc thôi việc) Tò mò Lòng tự trọng Tin tức tình báo Lợi í ch tài chính Sự trả thù Lỗi và thiếu sót do vô ý (ví dụ: lỗi nhập dữ liệu, lỗi lập trình) • Tấn công vào chuyên viên • Tống tiền • Xem thông t i n độc quyền • Lạm dụng máy tính • Gian lận và trộm cắp • Mua chuộc thông t i n • Giả mạo dữ liệu đầu vào, dữ liệu bị h ỏ ng • Nghe trộm • Mã độc (ví dụ như virus, bom logic, Trojan) • Bán thông tin cá nhân • Lỗi hệ thống • Xâm nhập hệ thống • Phá hoại hệ thống • Truy cập hệ thống trái phép PHỤ LỤC D (Tham khảo) Các điểm yếu và các phương pháp đánh giá điểm yếu D.1 . Các ví dụ v ề đi ể m y ế u Bảng dưới đây đưa ra những ví dụ về các điểm yếu trong những lĩ nh vực an toàn khác nhau, bao gồm các ví dụ về những mối đe dọa mà có thể khai thác các điểm yếu này. Những danh sách này cung cấp nh ữ ng trợ giúp trong suốt quá trình đánh giá các mối đe dọa và đi ể m yếu, nhằm xác đ ị nh các kịch b ả n sự cố liên quan . C ần p h ải n hấ n mạnh, trong một số trường hợp thì có những mối đe dọa khác cũng có thể khai thác các điểm yếu này. Kiểu Những v í dụ v ề các đi ể m yếu Những ví dụ v ề các mối đe dọa Phần cứng B ả o tr ì thiết b ị không đầy đủ/cài đặt lỗi các phương tiện l ưu trữ Vi phạm về bảo tr ì hệ thống thông tin Thiếu phương án thay th ế đị nh kỳ Ph á hủy thiết b ị hoặc phương tiện thông tin Dễ ảnh hưởng bởi độ ẩ m, bụi, bẩn Bụi, ă n mòn, đ ó ng băng Nhạy cảm với bức xạ điện từ Bức xạ điện từ Thiếu biện pháp quản lý thay đổi c ấ u hình hiệu quả Lỗi trong sử dụng Dễ ảnh hưởng bởi biến đổi điện áp Mất ngu ồ n cung cấp điện năng Dễ ảnh hư ở ng bởi thay đổi nhiệt độ Hiện tượng kh í tượng học Phần lưu trữ không được b ả o vệ Trộm cắp các phương tiện thông tin hoặc tài liệu Thiếu cẩn thận khi loại bỏ Trộm cắp các phương tiện thông tin hoặc tài liệu Sao chép không được kiểm soát Trộm cắp các phương tiện thông tin hoặc tài liệu Phần mềm Thiếu hoặc không kiểm thử thích đáng phần mềm Lạm dụng quyền Lỗ h ổ ng phổ biến trong phần mềm Lạm dụng quyền Không “đ ă ng xuất” khi r ờ i khỏi m á y tr ạm Lạm dụng quyền Loại bỏ hoặc tái sử dụng các phương tiện l ưu trữ mà không x ó a h ế t d ữ liệu đúng cách Lạm dụng quy ề n Thiếu các bản ghi phục vụ kiểm toán Lạm dụng quy ề n Cấp sai quyền truy cập Lạm dụng quy ề n Phần mềm phân phối quá rộng r ã i Sai lệch dữ liệu Á p dụng các ch ươn g trình ứng dụng cho cấp dữ liệu sai về mặt th ờ i gian Sai lệch dữ liệu Giao diện người dùng quá phức tạp Lỗi trong sử dụng Thiếu t ài liệu Lỗi trong sử dụng Phạm vi thiết lập không chính xác L ỗ i trong sử dụng Ngày tháng không chính xác Lỗi trong sử dụng Thiếu cơ chế nhận dạng và xác thực như xác thực người dùng Giả mạo quy ề n Bảng mật kh ẩ u không được bảo vệ Giả mạo quyền Việc quản lý mật kh ẩ u kém Giả mạo quyền K í ch hoạt những dịch vụ không cần thiết Xử lý dữ liệu b ấ t hợp pháp Phần mềm mới hoặc chưa chạy ổn định Sai chức năng phần mềm Chỉ dẫn kỹ thuật cho những người phát triển phần mềm không rõ ràng hoặc không đầy đủ Sai chức năng phần mềm Thiếu biện pháp quản lý thay đổi hiệu quả Sai chức năng phần mềm Không kiểm soát được việc t ả i xuống và sử dụng phần mềm Giả mạo phần mềm Thiếu bản sao lưu dự phòng Giả mạo phần mềm Thiếu bảo vệ vật Lí đối với tòa nhà, các cửa ra vào và cửa sổ Trộm c ắ p các phương tiện hoặc tài liệu thông tin Lỗi khi đưa ra báo cáo quản lý Sử dụng thiết bị trái phép Mạng Thiếu bằng ch ứ ng về việc gửi hoặc nhận được một t h ông điệp Từ chối hành động Đường truyền thông giao tiếp không được bả o vệ Nghe trộm Luồng thông tin nhạy cảm không được bảo v ệ Nghe trộm Khớp nối c á p yếu Lỗi các trang thiết b ị viễn thô n g Điểm chịu lỗi duy nh ấ t Lỗi c á c trang thiết bị viễn thông Thiếu nhận diện và xác thực người gửi và ng ườ i nhận Giả mạo quyền Kiến trúc mạng kh ô ng an toàn Gián điệp từ xa Truyền đi những mật kh ẩ u ở dạng rõ ràng (mật kh ẩ u không được m ã hóa) Gián điệp từ xa Quản lý mạng không thích đáng Tình trạng b ã o hòa của hệ thống thông tin Các k ế t nối mạng công cộng không được bảo vệ Sử dụng trang thiết bị trái phép Nhân sự Sự vắng mặt của nhân vi ê n Vi phạm t í nh sẵn s à ng của nhân viên Thủ tục tuyển dụng không đ ầ y đủ Phá hủy trang thiết bị hay phương tiện thông tin Đào tạo về an toàn không đầy đủ L ỗ i trong sử dụng Việc sử dụng phần mềm và phần c ứ ng không đ ú ng Lỗi trong sử dụng Th iế u nhận thức về bảo mật Lỗi trong sử d ụng Thiếu cơ ch ế giám sát Xử lý dữ liệu b ấ t hợp pháp Thiếu giám sát công việc của nhân viên Trộm cắp các phương tiện thông tin hoặc tài liệu Thiếu ch í nh sách cho việc sử dụng đúng phương tiện thông tin viễn th ô ng và th ô ng điệp Sử dụng trang thiết b ị trái phép Địa đi ể m Không cẩn thận khi ki ể m soát hay ki ể m soát không đầy đủ sự vào ra tại các toàn nhà hay v ă n phòng Phá hủy trang thiết b ị hoặc phương tiện thông tin V ị tr í ở một khu vực dễ bị lũ lụt Lũ lụt Lưới điện không ổ n định Mất điện Thiếu sự bảo vệ đối với tòa nhà , các cửa ra vào và cửa sổ Trộm cắ p các trang thiết b ị Tổ chức Thiếu th ủ tục chính thức cho việc đ ă ng ký và hủy đ ă ng ký người dùng Lạm dụng quy ề n Thiếu q uy trình ch í nh thức để xem xét (giám sát) quyền truy cập Lạm dụng quyền Thiếu hoặc không có đầy đủ các quy định (liên quan đến an toàn) trong các hợp đồng với khách hàng và/hoặc các bên thứ ba Lạm dụng quyền Thiếu thủ tục giám sát các phương tiện xử lý thông tin Lạm dụng quyền Việc kiểm toán thiếu thường xuyên Lạm dụng quyền Thiếu th ủ tục nhận biết và đánh giá rủi ro Lạm dụng quyền Thiếu ghi chép báo cáo khuyết điểm trong quản trị và vận hành Lạm dụng quyền Việc đáp ứng bảo trì dịch vụ chưa th ỏ a đáng Vi phạm về b ả o tr ì hệ thống thông tin Thiếu hoặc không c ó đầy đủ các thỏa thuận mức dịch vụ Vi phạm về bảo tr ì hệ thống thông tin Thiếu thủ tục kiểm soát sự thay đổi Vi phạm về bảo trì hệ thống thông tin Thiếu thủ tục chính thức về kiểm soát ghi chép tài liệu ISMS Sai lệch dữ liệu Thiếu thủ tục chính thức để giám sát bản ghi ISMS Sai lệch dữ liệu Thiếu th ủ tục chính thức cho việc xác thực các thông tin công khai sẵn có Dữ liệu từ các nguồn không đáng tin Thiếu phân bố trách nhiệm an toàn thông tin phù hợp Từ chối hành động Thiếu kế hoạch liên tục trong nghiệp vụ L ỗ i trang thiết bị Thiếu chính sách sử dụng thư điện tử L ỗ i trong sử dụng Thiếu thủ tục giới thiệu phần mềm trong hệ th ốn g vận hành Lỗi trong sử dụng Thiếu ghi chép bản ghi quản trị và vận hành L ỗ i trong sử dụng Thiếu th ủ tục xử lý thông tin đã được phân loại Lỗi trong sử dụng Thiếu trách nhiệm an toàn thông tin trong m ô tả công việc Lỗi trong sử dụng Thiếu hoặc không có đầy đủ những đi ề u khoản (liên quan đ ế n an toàn thông tin) trong các hợp đồng với người lao động Xử lý dữ liệu bất hợp pháp Thiếu hoạt động xử lý kỷ luật trong trường h ợ p xảy ra sự cố an toàn thông tin Trộm cắp các trang thiết bị Thiếu chính sách chính thức đối v ớ i việc sử dụng thiết b ị máy tính di động Trộm cắp các trang thiết b ị Thiếu quyền kiểm soát các tài sản bên ngoài t ổ chức Trộm cắp các trang thiết bị Thiếu hoặc kh ô ng c ó đầy đủ các ch í nh sá ch đối với bàn làm việc và máy t í nh của nhân viên Trộm cắp các phương tiện thông tin hoặc tài liệu Thiếu giấy phép của các tổ chức xử lý thông tin Trộm cắp các phương tiện thông tin hoặc tài liệu Thiếu cơ chế giám sát đ ố i với các vi ph ạ m an toàn thông tin Trộm cắp các phương tiện thông tin hoặc tài liệu Việc xem xét quản lý thiếu thường xuyên Sử dụng trang thiết b ị trái phép Thiếu th ủ tục cho việc báo cáo các đi ể m yếu về an to à n Sử dụng trang thiết b ị trái phép Thiếu các thủ tục và đi ề u khoản liên quan đến quyền sở hữu trí tuệ (bản quy ề n) Sử dụng phần mềm giả mạo hoặc đã bị sao ché p D.2 . Phương pháp đánh giá các đi ể m yếu và kỹ thuật Các phương pháp chủ động thực hiện trước tiên như kiểm thử hệ thống thông tin có thể được sử dụng nhằm nhận biết các đi ể m yếu thông tin dựa trên tính nguy cấp của hệ thống Công nghệ thông tin và Truy ề n thông (ICT) và các nguồn lực sẵn có (ví dụ: các nguồn vốn được phân bổ, công nghệ sẵn có, các cá nhân có k i nh nghiệm tiến hành ki ể m th ử ). Các phương pháp ki ể m thử bao gồm: • Công cụ qu é t đ iể m yếu tự động • Kiểm thử và ước lượng an toàn • Ki ể m thử việc x â m nhập • Soát xét mã Công cụ quét điểm yếu tự động được sử dụng đ ể quét một nhóm các máy hoặc một mạng nhằm tìm ra các đi ể m yếu của những dịch vụ này (ví dụ: hệ thống cho ph é p Giao thức truyền tập tin FTP nặc danh, chuy ể n ti ế p gửi thư). Tuy nhi ê n, cần ph ả i lưu ý rằng một vài đi ể m yếu tiềm ẩ n được nhận biết bằng công cụ quét tự động không h ẳ n là các điểm yếu thật sự trong bối cảnh của môi trường hệ thống. Ví dụ: một vài công cụ quét đánh giá các đi ể m yếu ti ề m ẩ n mà không xem xét đến môi trường và các yêu cầu của địa điểm. Một số điểm yếu được c ả nh báo bởi phần mềm quét tự động có th ể không thực sự là điểm yếu đối với một địa điểm cụ thể nhưng có thể được c ấ u h ì nh như vậy theo yêu cầu của môi trường. Do đó, phương pháp ki ể m thử này có thể đưa ra kết quả sai. Kiểm thử và ước lượng an toàn (STE) l à một kỹ thuật khác mà có thể được sử dụng trong việc nhận biết các điểm yếu của hệ thống ICT trong suốt quy trình đánh giá rủi ro. Phương pháp này bao gồm việc phát triển và thực th i một kế hoạch kiểm thử (như kịch b ả n th ử nghiệm, các quy trình kiểm thử và kết quả mong đợi). Mục đích của việc kiểm thử an toàn hệ thống l à đ ể kiểm th ử tính hiệu quả của các biện pháp an toàn trong một hệ thống ICT khi chúng được áp dụng trong môi trường hoạt động. Mục tiêu là đ ể đảm b ả o các biện pháp được áp dụng đáp ứ ng được các tiêu chí kỹ thuật về an toàn đã được phê duyệt đối với phần cứng và phần mềm và triển khai chính sách an toàn th ô ng tin cho tổ chức hoặc đáp ứng được các tiêu chu ẩ n công nghiệp. Kiểm thử thâm nhập c ó thể được dùng để bổ sung cho việc soát xét các biện pháp an toàn và đảm b ả o các kh í a cạnh khác nhau của hệ th ố ng ICT được an toàn. Ki ể m thử th â m nhập, khi được sử dụng trong quy trình đánh giá rủi ro, đ ể đánh giá kh ả năng của một hệ thống ICT nhằm chống lại những hoạt động c ố gắng phá v ỡ an toàn h ệ thống. Mục tiêu của việc ki ể m thử thâm nhập là đ ể kiểm thử h ệ thống ICT từ các nguồn hi ể m họa và xác định được các lỗi tiềm ẩn trong các phương án bảo vệ h ệ thống ICT. Soát xét m ã là ph ươ ng pháp toàn di ệ n nhất (nh ư ng cũng tốn kém nh ấ t) đ ể đánh giá điểm y ế u. Kết quả của nh ữ ng phương pháp kiểm thử trên sẽ giúp ích cho việc nhận bi ế t các điểm yếu của một hệ thống. Điều quan trọng cần lưu ý là các công cụ và kỹ thuật thâm nhập có thể cho kết qu ả sai, trừ khi điểm yếu được khai thác một cách thành công. Để khai thác các đi ể m yếu cụ thể thì một đi ề u cần thiết là phải biết chính xác hệ th ốn g/ứng dụng/b ả n v á lỗi được cài đặt trên h ệ thống được kiểm thử. Nếu những dữ liệu đó không được bi ế t đến tại th ờ i điểm kiểm thử thì không có khả năng khai thác thành công đi ể m yếu cụ th ể đó; tuy nhi ê n, v ẫ n có thể phá hỏng hoặc khởi động lại hệ thống hoặc quy trình đ ã được kiểm th ử . Trong trường hợp này, đối tượng được ki ể m thử cần phải được xem xét là có dễ bị gây hại hay không. Các phương pháp có thể bao g ồ m các hoạt động sau: • Phỏng vấn ng ườ i dân và người sử dụng • Bảng câu hỏi thăm dò ý kiến • Điều tra thực t ế • Phân tích tài liệu PHỤ LỤC E (Tham khảo) Các phương pháp tiếp cận đánh giá rủi ro an toàn thông tin E.1 . Đánh giá rủi ro an toàn thông tin ở mức cao Đánh giá ở mức cao sẽ cho phép định nghĩa được trình tự và thứ tự ưu tiên cho các hành động. V ì nhiều lý do khác nhau, như ngân sách, nên không th ể có khả năng triển khai t ấ t cả các biện pháp đánh giá rủi ro cùng một lúc mà chỉ giải quy ế t những rủi ro nghiêm trọng nh ấ t thông qua quy trình xử lý rủi ro. Có th ể là vội vàng để bắt đ ầ u việc quản lý rủi ro chi tiết n ế u việc triển khai mới chỉ được vạch ra sau một hoặc hai năm. Đ ể đạt được mục ti ê u này, việc đánh giá ở mức cao có thể bắt đầu với việc đánh giá ở mức cao các hậu qu ả thay vì bắt đ ầ u với việc phân tích có hệ thống các mối đe dọa, các điểm yếu, các t à i sản và các hậu quả. Một lý do khác để bắt đầu với việc đánh giá ở mức cao là đồng bộ các kế hoạch khác có liên quan đến việc thay đổi quản lý (hoặc liên tục trong nghiệp vụ). Ví dụ: sẽ không thể đảm bảo hoàn toàn an toàn cho một hệ thống hay ứng d ụng n ế u hệ thống hay ứng dụng đã được lên kế hoạch thuê ngoài trong tương lai g ầ n, mặc dù có thể vẫn có giá trị khi thực hiện đánh giá rủi ro để xác định hợp đồng thuê ngoài. Những đặc tính của chu trình lặp của việc đánh giá rủi ro ở mức cao có th ể bao gồm: • Đánh giá rủi ro ở mức cao có thể đưa ra một tầm nh ì n toàn diện hơn về tổ chức và hệ thống thông tin của t ổ chức, xem xét các kh í a cạnh công nghệ một cách độc lập với các vấn đề nghiệp vụ. Theo cách này thì việc phân tích bối cảnh sẽ tập trung nhiều vào nghiệp vụ và môi trường vận hành hơn so với các yếu tố công nghệ. • Đánh giá rủi ro ở mức cao có thể gi ả i quyết một danh sách hạn chế hơn các đe dọa và điểm yếu đã được nhóm lại trong những phạm vi xác định hoặc, để đ ẩ y nhanh quy trình đánh giá, có thể tập trung vào các rủi ro hoặc các kịch bản t ấ n công thay vì tập trung vào các thành phần của chúng. • Những rủi ro mà được thể hiện trong đánh giá rủi ro ở mức cao thường tổng quát hơn những rủi ro đã được nhận biết cụ thể. B ở i vì các kịch bản hay những mối đe dọa được nhóm trong những phạm vi nên việc xử lý rủi ro đưa ra danh sách những biện pháp quản lý trong phạm vi này. Các hoạt động xử lý rủi ro trước tiên đưa ra và chọn lựa các biện pháp phổ biến mà hợp l í cho toàn bộ hệ thống. • Tuy nhiên, đánh giá rủi ro ở mức cao do í t khi giải quy ế t chi tiết về công nghệ nên phù hợp hơn trong việc đưa ra các biện pháp quản lý về mặt tổ chức và phi kỹ thuật và các khía cạnh quản lý của các biện pháp quản lý kỹ thuật, hoặc các biện pháp b ả o vệ kỹ thuật chính và phổ biến như sao lưu và chống virus. Ưu đi ể m của việc đánh giá rủi ro ở m ứ c cao là: • Kết hợp với một phương pháp tiếp cận đơn giản khởi đầu có thể sẽ đạt được sự chấp nhận của chương trình đánh giá rủi ro. • Có thể xây dựng một h ì nh ảnh chiến lược của một chương trình an toàn thông tin thuộc tổ chức, hoạt động như là một công cụ lập kế hoạch tốt. • Các nguồn tài nguyên và ti ề n bạc có thể được sử dụng ở nơi có nhiều lợi ích nhất và những hệ thống có nhu cầu bảo vệ nhiều nhất sẽ được giải quyết trước tiên. Do các phân tích rủi ro ban đầu ở mức cao và có khả năng kém chính xác hơn nên nhược điểm tiềm ẩn duy nhất chính là một số quy trình nghiệp vụ hoặc hệ thống có thể không được xác định là cần một đánh giá rủi ro chi tiết lần thứ hai. Điều này có thể tránh được nếu có đầy đủ thông tin v ề mọi kh í a cạnh của tổ chức, các thông tin và hệ thống của tổ chức, bao gồm cả những thông tin th u được từ việc đánh giá các sự cố an toàn thông tin. Việc đánh giá rủi ro ở mức cao xem xét đến các giá tr ị nghiệp vụ của các tài sản thông tin và những rủi ro từ quan điểm nghiệp vụ của tổ chức. Tại điểm quyết định đầu tiên (xem H ì nh 2), một số yếu tố hỗ trợ cho việc quyết định liệu việc đánh giá ở mức cao có đủ đ ể xử lý rủi ro hay không; các yếu tố này có thể bao gồm như sau: • Các mục tiêu nghiệp vụ đạt được bằng việc sử dụng nhiều tài sản thông tin khác nhau; • Mức nghiệp vụ của tổ chức phụ thuộc vào mỗi tài sản thông tin, tức là liệu các chức n ă ng mà tổ chức xem là tối quan trọng đ ố i với sự tồn tại của tổ chức hoặc hiệu quả quản lý nghi ệ p vụ có phụ thuộc vào t ừ ng tài sản hay kh ô ng, hoặc có phụ thuộc vào t í nh bí mật, tính toàn vẹn, t í nh sẵn s à ng, t í nh ch ố ng chối bỏ, trách nhiệm giải trình, t í nh xác thực và độ tin cậy của thông tin đã được lưu trữ và xử lý trên tài sản này hay không; • Mức đầu tư đối với mỗi tài s ả n thông tin, về mặt phát triển, duy trì hoặc thay th ế tài sản • Các tài sản thông tin mà tổ chức trực tiếp định giá cho chúng. Khi các yếu tố này được đánh giá, quyết định trở n ên dễ dàng hơn. Nếu các mục tiêu của một tài sản là cực kỳ quan trọng đối v ớ i hoạt động nghiệp vụ của tổ chức, hoặc nếu các tài sản có độ rủi ro cao thì khi đó một chu trình lặp lại lần thứ hai, đánh giá rủi ro chi tiết, cần phải được tiến hành đối với tài sản thông tin cụ thể (hoặc một phần tài sản đó). Một quy tắc chung để áp dụng là: nếu việc thiếu an toàn thông tin có thể dẫn đến những hậu quả gây thiệt hại lớn cho tổ chức, cho các hoạt động nghiệp vụ hoặc các tài sản của tổ chức đó thì quy trình lặp lại lần thứ hai của việc đánh giá rủi ro, ở mức chi tiết hơn, là cần thiết cho việc nhận biết các rủi ro tiềm ẩn. E.2. Đánh giá chi t iế t rủi ro an toàn thông t i n Quy trình đánh giá chi ti ế t rủi ro an toàn thông tin liên quan đến việc nhận biết và đ ị nh giá chuyên sâu về các t à i sản, đánh giá các mối đe dọa đối với các tài sản đó và đánh giá các điểm yếu. K ế t quả từ các hoạt động này được sử dụng để đánh giá những rủi ro và sau đó là nhận biết phương pháp x ử lý rủi ro. Bước chi tiết này thường đòi hỏi nhiều th ờ i gian, công sức và chuyên môn và có thể là th í ch hợp nh ấ t cho hệ thống thông tin có rủi ro ở mức cao. Giai đoạn cuối cùng của việc đánh giá chi tiết rủi ro an toàn thông tin l à đánh giá những rủi ro t ổ ng thể, đó cũng là trọng tâm của Phụ lục n à y. Các hậu quả có thể được đánh giá theo nhiều cách, k ể cả bằng cách sử dụng phương pháp định lượng (ví dụ: ti ề n tệ) và phương pháp định tính (dựa trên việc sử dụng các tính từ ch ỉ mức như: “vừa phải’ hay “r ấ t nghiêm tr ọ ng”), hoặc kết hợp cả hai. C ần phải thiết lập khung thời gian đối với tài sản có giá trị hoặc cần được bảo vệ đ ể đánh giá khả năng xảy ra mối đe dọa. Khả năng xảy ra một mối đe d ọa cụ thể b ị ảnh hưởng bởi những điều sau đây: • Sự h ấ p dẫn của tài sản, hoặc tác động có thể xảy ra có thể áp dụng đư ợ c khi một mối đe dọa có chủ ý của co n người đang được xem xét • Sự d ễ dàng chuy ể n đổi việc khai thác một điểm yếu của tài sản thành lợi nhuận, có thể áp dụng được n ế u một mối đe dọa c ó chủ ý của con người đang được xem xét • Khả năng kỹ thuật của tác nhân mối đe dọa, có thể áp dụng đối với các mối đe dọa có chủ ý của con người và • T í nh nhạy cảm của các điểm yếu đối với việc khai thác, có thể áp dụng đối với cả điểm yếu kỹ thuật và phi kỹ thuật Nhiều phương pháp sử dụng các bảng biểu và kết hợp c á c biện pháp chủ quan và đo lư ờ ng thực nghiệm. Điều quan trọng là t ổ chức sử dụng một phương pháp mà tổ chức cảm th ấ y dễ dàng khi triển khai mà vẫn đảm bảo tính bí mật cho t ổ chức và sẽ đem lại những kết quả có thể lặp lại. Một vài ví dụ về các kỹ thuật dựa trên bảng biểu được đưa ra ở phần ti ế p theo. Xem thêm IEC 31010 để có những hướng dẫn bổ sung về các kỹ thuật được sử dụng cho việc đánh giá chi tiết rủi ro an toàn th ô ng tin. Những ví dụ sau sử dụng con số để mô tả các phương pháp đánh giá định tính. Người sử dụng những phương pháp này cần phải nhận thức được rằng việc thực hiện thêm các thao tác toán học sử dụng các con số là k ế t quả định tính được tạo ra bởi những phương pháp đánh giá rủi ro định tính có thể không hợp lệ. E.2.1 . V í dụ 1 - Ma trận với các giá tr ị đ ã đ ượ c xác đ ị nh trước Trong phương pháp đánh giá rủi ro c ó sử dụng ma trận v ớ i các giá trị đã được xác định trước, những tài sản vật ch ấ t hiện có hoặc đã được đề xuất phải được đ ị nh giá v ề mặt chi phí thay thế hoặc tái xây dựng (tức l à sử dụng phương pháp đo định lượng). Các chi phí này sau đó được chuy ể n đ ổ i vào cùng một thang đo đ ị nh tính mà đã được sử dụng cho thông tin (xem bên dưới). Các tài sản phần mềm hiện có hoặc đ ã được đề xu ấ t được định giá theo cùng một cách giống như tài sản vật chất, với chi phí mua hoặc tái xây dựng đ ã được nhận biết và sau đó được chuy ể n đổi vào cùng một thang đo định tính mà đ ã được sử dụng cho thông tin. Ngoài ra, nếu b ấ t c ứ phần mềm ứng dụng nào được nhận thấy là phải có thêm y ê u cầu đ ả m bảo tính b í mật hay tính toàn vẹn (ví dụ với những m ã nguồn thương mại l à tài sản r ấ t nhạy cảm) thì phải được định giá theo cùng một cách giống như đối với thông tin. Các giá trị đối với thông tin thu được bằng cách phỏng v ấ n người quản lý nghiệp vụ được lựa chọn (“ch ủ sở hữu dữ liệu”), là những người phát ngôn có th ẩ m quy ề n về dữ liệu, để xác định giá trị và mức nhạy cảm của dữ liệu được sử dụng trong thực tế, hoặc được lưu trữ, xử lý hoặc truy cập. Các cuộc phỏng vấn tạo đi ề u kiện cho việc đánh giá về giá trị và độ nhạy c ả m của thông tin trong trường hợp kịch b ả n dự kiến xấu nh ấ t xảy ra t ừ các hậu quả nghiệp vụ b ấ t lợi do tiết lộ trái phép, thay đổi trái ph é p, tính không sẵn s à ng cho những chu kì thời gian khác nhau và tiêu hủy. Việc định giá được thực hiện bằng cách sử dụng các hướng dẫn về định giá thông tin, bao g ồ m các v ấ n đề như: • An toàn cá nhân • Thông tin riêng tư cá nhân • Các nghĩa vụ về luật pháp và quy định • Thi hành luật • Lợi ích về thương mại và kinh t ế • Thiệt hại/gián đoạn về tài chính của các hoạt động • Trật tự c ô ng cộng • Chính sách nghiệp vụ và vận hành • Đánh m ấ t thi ệ n chí • Hợp đồng hoặc thoả thuận với khách hàng Các hư ớ ng dẫn tạo điều kiện cho việc nhận biết giá trị trên một thang đo giá trị số, như t hang đo từ 0 đến 4 được hi ể n thị trong v í dụ về ma trận dưới đây, do đó giúp xác định những giá trị định lượng khi có th ể và h ợ p l ô gic và các giá trị đị nh t í nh n ế u như không thể xác đ ị nh giá trị định lượng, v í dụ như những mối đe dọa cho cuộc s ố ng con người. Hoạt động q u an trọng tiếp theo là việc hoàn thành các cặp câu h ỏ i đ ố i v ớ i từng loại mối đe dọa, đối với từng nhóm tài sản có liên quan đến từng loại m ố i đe dọa đó, đ ể giúp cho việc đánh giá mức đe dọa (khả năng xảy ra) và mức đi ể m yếu (dễ dàng bị khai thác bởi các mối đe dọa gây ra các hậu quả x ấ u). Mỗi câu trả l ờ i cho một câu hỏi được một đi ể m. Các đi ể m này được t í ch lũy thông qua một cơ sở tri thức và được đối chi ế u với thang điểm. Dựa trên sự đối chiếu giữa điểm tích lũy với thang đi ể m s ẽ cho chúng ta bi ế t mức đe dọa từ mức cao xuống thấp và mức điểm yếu nh ư trong ví dụ về ma trận dưới đây. Thông tin đ ể hoàn thành bảng câu hỏi được thu thập từ những cuộc ph ỏ ng v ấ n v ớ i những người phụ trách về kỹ thuật, nhân sự và người dân và từ các cuộc ki ể m tra v ị trí vật Lí và soát xét lại tài liệu. Các giá trị tài sản, mức m ối đe dọa và mức điểm yếu, tương ứng v ớ i từng loại hậu quả, có quan hệ phù hợp như trong ma trận dưới đây, sẽ xác định mỗi t ổ hợp tương ứng với đo lư ờ ng của rủi ro trong thang đo từ 0 đến 8. Các giá trị được đặt trong ma trận một cách có c ấ u trúc. Xem ví dụ ở bảng dưới đây . Bảng E.1 a) Khả năng xả y ra - mối đe dọa Th ấ p (T) Trung b ì nh (TB) Cao (C) Kh ả năng d ễ bị khai thác (mức điểm yếu) T TB C T TB C T TB C Giá trị t à i sản 0 0 1 2 1 2 3 2 3 4 1 1 2 3 2 3 4 3 4 5 2 2 3 4 3 4 5 4 5 6 3 3 4 5 4 5 6 5 6 7 4 4 5 6 5 6 7 6 7 8 Đ ố i với từng tài sản, cần phải xem xét các điểm yếu liên quan và các mối đe dọa tư ơ ng ứng của từng tài sản này. N ế u có một điểm yếu mà không có mối đe dọa tương ứng, hoặc có một mối đe dọa mà không có điểm yếu tương ứng, thì không có rủi ro (nhưng cũng cần phải xem xét đ ế n trường hợp khi tình huống này thay đổi). Trong bảng trên thì hàng tương ứng trong ma trận được nhận biết bởi giá trị tài sản và cột tương ứng được nhận bi ế t bởi khả năng xảy ra mối đe dọa và khả năng dễ bị khai thác. V í dụ, n ế u tài sản có giá trị 3, mối đe dọa này là “cao” và đi ể m yếu là “th ấ p” thì đo lư ờ ng cho rủi ro này là 5. Giả sử một tài sản có giá trị là 2, ví dụ như đối với việc thay đ ổ i rủi ro, mức đe dọa l à “thấp” và khả năng dễ bị khai thác là “cao”, thì đo lư ờ ng cho rủi ro là 4. Tùy theo nhu cầu của mỗi t ổ chức mà có thể điều chỉnh k í ch thước của ma trận, về mặt số lượng các loại khả năng xảy ra mối đe dọa, các lo ạ i khả năng d ễ b ị khai thác và số lượng các loại đ ị nh giá tài sản. Việc th ê m các cột và các hàng sẽ đòi hỏi phải b ổ sung thêm các ph é p đo rủi ro. Phương pháp tiếp cận này có giá trị trong việc xếp loại các rủi ro cần phải được giải quy ế t, xử lý. Bảng E.1 b) dưới đây là một ma trận tương tự, có được từ việc xem xét k hả năng xảy ra của một kịch bản sự cố, được sắp x ế p theo tác động nghiệp vụ đã được ước đoán. Khả năng xảy ra của một kịch bản sự cố được đưa ra bởi một mối đe dọa khai thác một điểm yếu với một khả năng xảy ra nhất định. Bảng này th ể hiện k hả năng xảy ra của kịch bản sự cố và mức của tác động nghiệp vụ liên quan đến kịch bản sự cố đó. Kết qu ả rủi ro được đo thể hi ệ n trên một thang đo t ừ 0 đến 8 mà có thể được ước lượng theo các tiêu chí ch ấ p nhận rủi ro. Phạm vi rủi ro này cũng có th ể được s ắ p xếp theo một tỉ lệ rủi ro tổng thể đơn gi ả n, v í dụ như: • Rủi ro mức th ấ p: 0-2 • Rủi ro mức trung b ì nh: 3-5 • Rủi ro mức cao: 6-8 Bảng E.1 b) Khả năng xảy ra của kịch bản sự c ố Rất th ấ p (R ấ t khó xảy ra) Th ấ p (Khó xảy ra) Trung b ì nh (Có khả năng xảy ra) Cao (Có thể xảy ra) R ấ t cao (Thư ờn g xuyên xảy ra) Tác động nghiệp vụ R ấ t thấp 0 1 2 3 4 Th ấ p 1 2 3 4 5 Trung b ì nh 2 3 4 5 6 Cao 3 4 5 6 7 Rất cao 4 5 6 7 8 E.2.2 . Ví dụ 2 - x ế p hạng các m ố i đe dọa b ằ ng đo l ườ ng rủi ro Một ma trận hoặc bảng như được thể hiện trong Bảng E.2 có thể được sử dụng đ ể đưa ra các yếu tố của hậu quả (giá trị t à i sản) và khả n ă ng xảy ra mối đe dọa (ở đây chúng ta đang quan tâm đ ế n khía cạnh là các điểm yếu). Bước đ ầ u tiên là ước lư ợ ng hậu quả (giá trị tài sản) trên một thang đo đã được xác định trước, v í dụ: giá trị từ 1 đến 5 là ư ớ c lượng hậu quả của mỗi tài sản bị đe dọa (cột “b” trong bảng). Bư ớ c thứ hai là ước lượng khả năng xảy ra mối đe dọa trên một thang đo đ ã được nhận biết trước, v í dụ: giá trị từ 1 đến 5 là ước lượng khả năng xảy ra mối đe dọa của mỗi m ố i đe dọa (cột “ c ” trong bảng). Bước thứ ba là tính toán đo lư ờ ng rủi ro bằng cách tính t í ch của 2 cột b và c (b x c). Cuối cùng, các mối đe dọa có thể được sắp xếp theo thứ tự gắn li ề n v ớ i mức rủi ro. Lưu ý, trong ví dụ này, số 1 trong cột b và c được coi như là hậu quả th ấ p nh ấ t và khả năng thấp nhất xảy ra m ố i đe dọa. Bảng E.2 M ô tả mối đe dọa (a) Hậu quả (giá trị tài sản) (b) Khả năng xảy ra mối đe dọa (c) Mức rủi ro (d) Xếp loại đe dọa (e) Đe dọa A 5 2 10 2 Đe dọa B 2 4 8 3 Đe dọa C 3 5 15 1 Đe dọa D 1 3 3 5 Đe d ọ a E 4 1 4 4 Đe dọa F 2 4 8 3 Như bảng tr ê n đã thể hi ệ n, đ â y là phương pháp mà cho phép đối chiếu và sắp xếp theo thứ tự ưu tiên các mối đe dọa khác nhau mà có những hậu quả và khả năng xảy ra khác nhau. Trong một số trường hợp thì cần thiết k ế t hợp các giá trị ti ề n tệ với các thang đo thực nghiệm đã được sử dụng ở đ â y. E.2.3 . Ví dụ 3 - Đánh giá giá trị đối với khả năng xảy ra và hậu quả có thể xảy ra của những rủi ro V í dụ này nhấn mạnh vào những hậu quả của các sự cố an toàn thông tin (tức là các k ị ch bản sự cố) và xác định những hệ thống cần được ưu tiên. Điều này được thực hiện b ằ ng cách đánh giá hai giá trị cho từng tài sản và rủi ro, k ế t hợp hai giá trị này sẽ xác định được s ố đi ể m cho từng tài sản. Khi tất cả các đi ể m của tài sản đ ố i với h ệ thống được tổng kết thì thước đo rủi ro của hệ thống đó được xác định. Đ ầ u tiên, g ắ n giá trị cho mỗi tài sản. Mỗi giá trị này liên quan đ ế n những hậu qu ả xấu tiềm ẩn mà có th ể phát sinh nếu tài sản bị đe dọa. Đối v ớ i từng mối đe dọa có th ể xảy ra đ ố i với tài sản thì giá trị của tài sản phải được g ắ n cho tài sản đ ó . Tiếp theo là đánh giá giá trị khả năng xảy ra. Dựa vào khả năng xảy ra mối đe dọa và mức dễ d à ng khai thác đi ể m y ế u đ ể đ á nh giá giá trị khả năng xảy ra, xem Bảng E.3 thể hiện khả năng xảy ra của một kịch bản sự c ố . Bảng E.3 Khả năng xảy ra mối đe dọa Th ấ p (T) Trung b ì nh (TB) Cao(C) Mức của điểm yếu T TB C T TB C T TB C Giá trị khả năng xảy ra của một kịch bản sự cố 0 1 2 1 2 3 2 3 4 Ti ế p theo, điểm của tài sản/m ố i đe dọa được tính bằng t ổ ng của giá trị tài sản v ớ i giá trị khả n ă ng xảy ra được th ể hiện trong Bảng E.4. Điểm của tài sản/m ố i đe dọa được tính tổng đ ể tạo ra điểm tổng của tài sản. Số liệu này có thể được sử dụng để phân biệt giữa các t à i sản mà tạo ra bộ phận của một hệ thống. Bảng E.4 Giá trị tài sản 0 1 2 3 4 Giá trị khả năng xảy ra 0 0 1 2 3 4 1 1 2 3 4 5 2 2 3 4 5 6 3 3 4 5 6 7 4 4 5 6 7 8 Bước cuối cùng là tính t ổ ng số điểm cho t ấ t cả các tài sản của hệ thống, tạo ra điểm của hệ thống. Bước này được sử dụng để phân biệt giữa các hệ thống và để xác định thứ tự ưu tiên cho hệ thống bảo vệ. Trong ví dụ sau, t ấ t c ả các giá trị đều được ch ọ n một cách ngẫu nhi ê n. Giả sử hệ thống S có ba tài sản là A1, A2 và A3; có hai mối đe dọa là T1 và T2 có thể xảy ra đối với hệ thống S. Đặt giá trị t à i sản của A1 là 3, tương tự thế, đặt giá tr ị tài sản của A2 là 2 và gi á trị tài sản của A3 là 4. Nếu cho A1 và T1 có khả năng xảy ra mối đe dọa là th ấ p và kh ả năng d ễ bị khai thác điểm y ế u là ở mức trung b ì nh thì khả năng này có giá trị là 1 (xem Bảng E.3). Cặp điểm của tài sản/mối đe dọa (hay A1/T1) có thể được suy ra từ B ả ng E.4: là giao điểm của giá trị tài sản là 3 và giá trị khả năng xảy ra là 1 thì giá trị t ừ B ả ng E . 4 là 4. Tương tự thế, nếu cho A1/T2 có kh ả năng xảy ra mối đe dọa là trung bình và khả n ă ng dễ b ị khai thác điểm yếu là cao, thì điểm của A1/T2 là 6. Và cuối cùng tổng đi ể m của tài sản A1/T được tính toán là 10. Tổng đi ể m của tài s ả n được tính toán cho từng tài sản và mối đe dọa có th ể xảy ra. Tổng đi ể m của h ệ thống được tính toán bằng cách cộng A1/T + A2/T + A3/T để đưa ra tổng S/T. Các hệ thống khác nhau cũng như các tài sản khác nhau trong cùng một h ệ thống có thể được đối chiếu để thiết lập thứ tự ưu tiên. Các ví dụ được th ể hiện ở tr ê n được áp d ụng về mặt hệ thống thông tin, tuy nhiên phương pháp ti ế p cận tư ơ ng tự cũng có th ể được áp dụng cho các hoạt động nghiệp vụ. PHỤ LỤC F (Tham khảo) Các ràng buộc thay đổi rủi ro Trong khi xem xét những ràng buộc nhằm thay đổi rủi ro cần phải lưu ý xem xét đến các r à ng buộc sau: Ràng buộc về thời gian: Có nhiều loại ràng buộc về thời gian. V í dụ, các biện pháp cần ph ả i được triển khai trong một khoảng thời gian chấp nhận đ ư ợc đối với những người quản lý của tổ chức. Một loại ràng buộc kh á c về thời gian là liệu một biện pháp có thể được tri ể n khai trong khoảng thời gian tồn tại của thông tin hay hệ thống hay không. Loạ i ràng buộc thứ ba về thời gian là khoảng thời gian mà nh ữ ng người quản lý của tổ chức quy ế t định là một khoảng thời gian chấp nhận được khi tiếp xúc với một rủi ro cụ thể. Ràng buộc về tài ch í nh: Các biện pháp được thi ế t k ế để bảo vệ khi triển khai hoặc duy trì không được đắt hơn giá trị của những rủi ro, trừ trường hợp bắt buộc phải thực hiện (v í dụ như trong trường hợp t uân thủ theo pháp luật). Mọi c ố gắng về tài chính được thực hiện đều không được vượt quá ngân sách được giao và đạ t được lợi ích tài chính thông qua việc sử dụng các biện pháp. Tuy nhi ê n, trong một số trường hợp có th ể không đạt được độ an toàn và mức chấp nhận rủi ro như mong muốn do b ị ràng buộc về ngân sách. Bởi vậy, để giải quyết tình trạng này thì phụ thuộc vào quyết đ ị nh của những người quản lý của tổ chức. Cần phải hết sức c ẩ n thận trong trường hợp nếu như ngân sách của tổ chức làm giảm số lượng hay chất lượng của các biện pháp được triển khai, bởi vì điều này có thể dẫn đến việc duy trì rủi ro tiềm ẩ n lớn hơn so v ớ i kế hoạch đã lập. Ngân sách được thiết lập cho các biện pháp nên được sử dụng như là một nhân tố giới hạn có sự xem xét tương đối. Ràng buộc về kỹ thuật: Các vấn đề về kỹ thuật, như là khả năng tương th í ch của các chương trình hay phần cứng, có thể dễ dàng tr á nh được nếu tất cả được xem xét trong suốt quá trình lựa chọn biện pháp. Ngoài ra, việc triển khai các biện pháp có hiệu lực trở về trước cho một quy trình hay hệ thống đang tồn tại thường bị c ả n trở bởi các ràng buộc kỹ thuật. Những khó khăn này có thể làm thay đ ổ i sự cân bằng của các biện pháp về mặt an toàn thuộc về thủ tục và vật ch ấ t. Và cũng thật cần thiết để xem xét đến chương trình an toàn thông tin để đạt được các mục tiêu an toàn. Điều này có thể xảy ra khi các biện pháp không đáp ứng được những kết quả như mong muốn trong việc giảm thi ể u rủi ro. Ràng buộc về vận hành: Những ràng buộc về vận hành như sự cần thiết để vận hành 24x7 nhưng vẫn cần thực hiện sao lưu k ế t quả có th ể phức tạp và tốn kém h ơ n trừ khi chúng được xây dựng theo đúng thiết kế từ khi bắt đầu. Ràng buộc về văn hóa: Những ràng buộc về văn hóa để lự a chọn các biện pháp phù hợp có thể là đặc trưng của mỗi qu ố c gia, mỗi ng à nh, mỗi t ổ chức hoặc thậm ch í là của một bộ phận trong một t ổ ch ứ c. Không phải t ấ t cả các biện pháp đều có thể áp dụng được cho t ấ t cả các nước. Ví dụ, có thể thực hi ệ n các gói nghiên cứu ở các bộ phận của Châu Âu nhưng lại không thể áp d ụng cho các bộ phận ở Trung Đông. Các kh í a cạnh về văn hóa không thể b ỏ qua bởi vì r ấ t nhiều biện pháp cần phải dựa vào sự hỗ trợ tích cực của các nhân viên. N ế u nhân viên không hiểu được sự cần thi ế t của các biện pháp hoặc không nhận ra biện pháp đ ó có được ch ấ p nhận về mặt văn hóa hay không thì các biện pháp sẽ trở nê n không hiệu quả theo thời gian. Ràng buộc về đạo đức: Những ràng buộc về đạo đức có thể gây tác động lớn đến các biện pháp như đạo đức thay đổi dựa vào các chuẩn mực xã hội. Đi ề u này có thể cản trở việc triển khai các biện pháp như quét thư điện tử ở một số nước. Sự riêng tư của những thông tin c ó thể cũng thay đ ổ i dựa vào quy tắc đạo đức của khu vực hay chính ph ủ . Đi ề u này có thể được quan tâm nhiều hơn trong một số ng à nh công nghiệp so v ớ i những ng à nh khác, ví dụ như ch í nh phủ và y t ế . Ràng buộc về môi trường: Các yếu tố về môi trường có thể ảnh hưởng đến việc lựa chọn các biện pháp, chẳng hạn như không gian sẵn có, các điều kiện khí hậu khắc nghiệt, v ị trí địa lý tự nhiên và đ ô thị bao quanh. V í dụ, th ử nghiệm diễn tập chống động đất có thể cần thiết đối với một vài nước này nhưng lại không cần thi ế t đối với một số nước khác. Ràng buộc về pháp lý: Các yếu tố về pháp lý như bảo vệ dữ liệu cá nhân hoặc các quy định của luật h ì nh sự về xử lý thông tin có thể ảnh hưởng đến việc lựa chọn các biện pháp. Việc tuân thủ theo luật pháp và quy định có thể ch ỉ thị cho một số biện pháp bao gồm bảo vệ dữ liệu và kiểm toán tài chính; các yếu tố về pháp lý này cũng có thể ngăn chặn việc sử dụng một s ố biện pháp, ví dụ như mã h ó a. C á c quy định và điều luật khác như luật về quan hệ lao động, phòng cháy chữa cháy, y t ế và an toàn và các quy định trong các ng à nh kinh tế... có thể cũng ảnh hưởng nhiều đ ế n việc lựa chọn biện ph á p. Tính dễ dàng sử dụng: Giao diện công nghệ ké m thân th i ện với người dùng sẽ dẫn đến những lỗi do con người và làm cho các biện pháp trở nên vô ích. Nên lựa chọn các biện pháp kiểm soát mà cung cấp tối ưu tính dễ sử dụng trong khi đạt được một mức rủi ro tồn đọng ch ấ p nhận được đối với các nghiệp vụ. Các biện pháp kiểm soát khó sử dụng sẽ gây tác động đến hiệu quả của các biện pháp, bởi vì người sử dụng có thể c ố ý ph á hỏng hoặc bỏ qua chúng c à ng nhiều c à ng tốt. Các biện pháp truy cập phức tạp trong một tổ chức có thể khuy ế n kh í ch người sử dụng t ì m đến các phương pháp truy cập trái phép đ ể thay thế. Ràng buộc v ề nhân sự: Cần phải xem xét đến tính sẵn sàng và chi ph í tiền lương của các nhóm kĩ năng chuyên môn trong việc triển khai các biện pháp và cũng cần xem xét đến khả năng thuyên chuyển nhân viên giữa các vị tr í trong những điều kiện làm việc không thuận lợi. Các chuyên gia có thể không phải lúc nào cũng sẵn sàng để triển khai các biện pháp đã được lên kế hoạch hoặc chi phí cho các chuyên gia quá tốn kém đối với tổ chức. Các khía cạnh khác như xu hướng của một vài nhân viên phân biệt với các nhân viên khác, những người mà không được thẩm tra về an toàn thông tin, có th ể ảnh hưởng lớn đến các chính sách an toàn và các hoạt động thực tiễn. Cũng như vậy, nhu cầu thuê đúng người đối với từng công việc và t ì m được đúng người có th ể dẫn đến việc tuy ể n dụng trước khi hoàn thành việc th ẩ m tra về an toàn thông tin. Yêu cầu về việc hoàn thành th ẩ m tra an toàn thông tin trước khi tuyển dụng là bình thường, đúng thực tiễn và an toàn nhất. Ràng buộc của việc hợp nhất c á c biện ph á p mới và các biện ph á p hiện có: Việc hợp nhất các biện pháp mới vào cơ sở hạ tầng hiện có và sự phụ thuộc l ẫ n nhau giữa các biện pháp thường bị bỏ qua. Những biện pháp mới có th ể không dễ dàng được thực hiện nếu có đi ể m v ô lí hoặc không tương thích với các biện pháp hiện có. Ví dụ, một kế hoạch sử dụng th ể sinh trắc h ọ c cho biện pháp kiểm soát truy cập vật l í có th ể gây xung đột với hệ thống nhập mã PIN hiện có. Chi phí cho việc thay đổi các biện pháp từ các biện pháp hiện có sang các biện pháp đ ã được lập kế hoạch cần phải tính đ ế n các yếu tố được th ê m vào tổng chi phí của xử lý rủi ro. Có thể không có khả năng triển khai một biện pháp đã được lựa chọn do sự can thiệp của các biện pháp hiện có. PHỤ LỤC G (Tham khảo) Sự khác biệt về định nghĩa giữa ISO/IEC 27005:2008 và ISO/IEC 27005:2011 CHÚ THÍCH: Phụ lục n à y d à nh cho người sử dụng ISO/IEC 27001:2005. Do có sự khác biệt của một số thuật ngữ và đ ị nh nghĩa trong TCVN 9788:2013 và ISO/IEC 27001:2005 và ti ế p theo là ISO/IEC 27005:2008, Phụ lục này tóm t ắ t t ấ t cả những thay đ ổ i liên quan. Thuật ng ữ đ ư ợc định nghĩa trong ISO/IEC 27005:2008 Thuật ngữ đư ợ c định nghĩa trong ISO/IEC 27000:2009 đ ược sử dụng trong ISO/IEC 27005:2008 Thuật ng ữ được định nghĩa trong TCVN 9788:2013 đ ược s ử dụng trong TCVN ISO/IEC 27005:2011 n/a n/a 3.1 Hậu quả (consequence) Kết quả của một sự k i ện (3.3) gây ảnh hưởng đến các mục tiêu của tổ chức [TCVN 9788:2013] CH Ú T HÍ CH 1: Một sự kiện có thể d ẫ n đế n một loại các hậu qu ả . CHÚ THÍCH 2: M ột hậu quả có thể ch ắ c ch ắ n ho ặ c không chắc chắn x ả y ra và trong bối c ả nh an toàn thông tin thì thường mang nghĩa tiêu cực. CH Ú THÍCH 3: Hậu quả có thể được thể hiện d ư ớ i dạng đ ị nh tính hoặc định lượng. CH Ú T HÍ CH 4: H i ệu quả ban đ ầ u có thể gây ảnh hưởng leo thang đ ế n các hậu quả ti ế p theo. n/a Biện pháp (control) Phương pháp quản lý rủi ro, bao gồm những chính sách, thủ tục , hướng d ẫ n, phương pháp hoặc cấu trúc tổ ch ứ c, mà có thể quản trị kỹ thuật, quản lý, hoặc pháp lu ậ t trong tự nhi ê n. CHÚ THÍCH: Biện ph á p cũng được sử d ụ ng với nghĩa như biện pháp bảo vệ, biện pháp đ ố i phó. [TCVN ISO/IEC 27002:2011] 3.2 Biện pháp kiểm soát (control) Biện pháp sẽ làm thay đổi rủi ro (3.9) [TCVN 9788:2013] CH Ú THÍCH 1: Biện pháp an t oàn t hông tin bao g ồ m b ấ t k ỳ quy trình, ch í nh sách, th ủ t ục, h ướn g dẫ n, phương pháp hoặc cấu trúc tổ chức trong các l ĩnh vực hành ch í nh, kỹ thuật, quản lý ; hoặc ph á p luậ t đ ể thay đổi r ủi ro an toàn t hông tin. CHÚ THÍCH 2: B iệ n pháp thay đổ i r ủ i ro kh ô ng phải lúc nào cũng phát huy tác d ụ ng như m on g đợi hoặc như gi ả định. CH Ú T HÍ CH 3: Biện pháp cũng được sử dụng với ngh ĩ a l à biện pháp bảo vệ hoặc biện pháp đ ố i ph ó . n/a n/a 3.3 Sự kiện (event) Sự xu ấ t hiện hoặc sự thay đổi của một tập h ợp các tình huống cụ thể [TCVN 9788:2013] CH Ú T HÍ CH 1: Một sự kiệ n có th ể xảy ra m ộ t hay nhiều l ầ n và có thể do nhiều lý do khác nhau. CH Ú T HÍ CH 2: Một sự kiện c ó th ể bao gồm cả những sự v iệ c không xảy ra. CH Ú T HÍ CH 3: Một sự ki ệ n đôi khi có th ể được dùng theo ngh ĩ a “ sự c ố” hay “ sự r ủ i ro ” . n/a n/a 3.4 B ố i cảnh bên ngoài (exte rn al context) Môi trường b ê n ngoài nơi mà tổ chức theo đuổi để đạt được các mục ti ê u của m ì nh [ T CVN 9788:2013] CH Ú T HÍ CH: B ố i cảnh bên ngoài có thể bao gồm: - m ô i trường v ă n hóa, xã hội , ch í nh tr ị , pháp lý , quy định, tài c hí nh, c ông nghệ, kinh t ế, m ôi trường tự nhiên và mô i trường cạnh tranh, trong phạm vi q uố c tế, q uố c gia, khu vực hoặc địa phương; - những xu hướng v à động lực ch í nh tác động đ ế n những mục t iê u của tổ chức - những m ố i quan h ệ , những nh ậ n thức và g i á tr ị đ ố i với các b ê n li ê n quan b ê n ngoài tổ chức đ ó . 3.1 Tác động (impact) Thay đổi b ấ t lợi t ớ i mức của các mục ti ê u nghiệp vụ Thuật ngữ này đã b ị lược bỏ 3.2 Rủi ro an toàn th ô ng tin (in f ormation s e curity risk) Khả năng một mối đe dọa đã có sẽ khai thác các đi ể m yếu an toàn thông tin của một hoặc một nh ó m tài sản và do đ ó g â y hại cho tổ chức CHÚ THÍCH: Thuật ngữ n à y đ ượ c hi ể u theo nghĩa l à m ột s ự k ế t hợp giữa khả n ă ng x ả y ra mộ t sự ki ệ n và hậu quả của n ó Thuật ngữ này đ ã b ị lược b ỏ (xem CHÚ THÍCH 6 theo 3.9) n/a n/a 3.5 B ố i c ả nh nội bộ (internal context) M ô i trường nội bộ nơi mà tổ chức theo đuổi đ ể đạt được các mục ti ê u của mình [TCVN 9788:2013] CHÚ THÍCH: B ối cảnh nội bộ c ó thể bao gồm: - quản tr ị, c ấu trúc tổ chức, vai trò và tr á ch nhiệm giải trình; - những ch í nh sách, mục ti ê u và chi ế n lư ợc của t ổ chức được đưa ra đ ể đạt được mục đích ; - n ă ng lực , đ ược hiểu như l à các ngu ồ n lực v à tri thức (V í dụ như ngu ồ n vốn , thời gian, con người , c á c quy trình, các h ệ thống v à các c ô ng nghệ); - c á c h ệ th ố ng thông tin , l uồng t h ông tin và quy trình đưa ra quy ế t định (cả ch í nh thức và khô n g ch í nh thức); - những mối quan hệ với các b ê n l iê n quan b ê n trong t ổ ch ứ c và những nh ậ n th ứ c và giá trị của các b ê n liên quan b ê n trong tổ chức đ ó ; - v ă n h ó a của tổ chức ; - những ti ê u chu ẩ n, h ư ớng dẫn và mô h ì nh m à t ổ chức tuân th ủ - hình thức và phạm vi của những mối quan hệ b ằ ng hợp đồ ng. n/a n/a 3.6 Mức rủi ro (level of risk) T í nh ch ấ t nghiêm trọng của một r ủi ro (3.9) được hiểu theo nghĩa là sự k ế t hợp giữa hậu quả (3.1) và khả năng xảy ra (3.7) của một sự kiện. [TCVN 9788:2013] n/a n/a 3.7 Khả năng xảy ra (likelihood) Cơ hội xảy ra một sự kiện [TCVN 9788:2013] CH Ú T HÍ CH 1: Trong t hu ậ t ngữ quản lý rủi ro , từ “ kh ả n ă ng ” xảy ra thường được d ùng đ ể ch ỉ c ơ hội x ả y ra một sự kiện, có thể được đị nh nghĩa, được đo lư ờ ng hay được xác định một cách ch ủ quan hay khách quan, dưới dạng định tính hay đị nh lư ợng và đ ư ợc mô tả b ằ ng cách sử dụng thuật ngữ chung hoặc b ằ ng to á n học (như xác su ấ t hoặc tần su ấ t tro n g một khoảng thời gian nhất định) CH Ú T HÍ CH 2: Thu ậ t ngữ “ kh ả n ă ng xảy ra ” có nghĩa tương đương với thuật ngữ “ xác suất ” . Tuy nhiên thuật ngữ “ x á c su ất” thường ch ỉ hiểu theo nghĩa hẹp như là thuật ngữ toán học. Do đó, trong thuật ngữ quản lý rủi ro , “ khả năng xảy ra ” thường được sử dụng với mục đích giải th í ch như thuật ngữ “ x á c su ấ t ” . n/a Rủi ro t ồ n đọng (residual risk) Rủi ro tồn đọng sau xử lý rủi ro [TCVN ISO/IEC 27001:2009] 3.8 Rủi ro t ồ n đọng (residual risk) Rủi ro (3.9) c ò n lại sau khi xử lý rủi ro (3.17) [TCVN 9788:2013] CH Ú T HÍ CH 1: Rủi ro t ồ n đọng có thể g ồ m rủi ro chưa được nhận bi ế t. CHÚ THÍCH 2: Rủi ro tồn đọng cũng có th ể đư ợ c gọi l à “ r ủi ro được giữ lại ” . Rủi ro ( r i s k) Sự k ế t hợp giữa khả n ă ng của một sự kiện và hậu quả của sự kiện đó [TCVN IS O /IEC 27002:2011) 3.9 Rủi ro (risk) Ảnh hưởng của sự kh ô ng ch ắ c chắn đến các mục ti ê u [TCVN 9788:2013] CHÚ THÍCH 1 : Một ảnh hưởng l à một sự sai lệch so với k ỳ v ọ ng - k ế t qu ả ảnh hưởng có thể là t í ch cực hay tiêu cực. CHÚ THÍCH 2: Những mục tiêu có thể có những kh í a c ạ nh kh á c nhau (n hư kh í a cạnh về tài ch í nh, y t ế và an toàn, an toàn thông tin và những mục ti ê u về môi trường) v à có th ể áp dụng ở các mức khác nhau (như chi ế n lược, tổ chức mở rộng, dự án , sản ph ẩ m và quy trình) CH Ú T HÍ CH 3: Rủi ro t h ư ờ ng được đặc trưng bởi c á c s ự kiện (3.3) và hậu quả (3.1) tiềm ẩn ho ặ c là sự k ế t hợp giữa ch ú ng. CHÚ THÍCH 4: Rủ i ro an toàn t hông tin thường được thể hiện b ằ ng sự k ế t hợp giữa hậu quả c ủ a mộ t sự kiện an t oàn th ô ng tin và khả n ă ng xảy ra kèm theo. CHÚ THÍCH 5: Sự kh ô ng ch ắ c ch ắ n l à tình tr ạ ng thi ế u th ô ng tin li ê n quan tới việc hi ể u b iế t ho ặ c nh ậ n thức về một sự kiện, hi ệu quả hay kh ả n ă ng xảy ra sự k iện. CHÚ THÍCH 6: Rủi ro an toàn thông tin liên quan đ ế n những tiềm ẩ n mà những m ố i đe d ọa có thể khai thác những đi ể m y ế u của một hoặc một nh ó m tà i sản th ôn g tin hoặc và do đó gây ra thi ệ t hại đ ố i với t ổ ch ứ c. n/a Phân tích rủi ro (risk analysis) Việc sử dụng có hệ thống các thông tin để nhận biết nguồn gốc và ư ớ c lượng rủi ro CHÚ THÍCH: Phân tíc h rủi ro cung cấp mộ t n ề n tảng cho ước lượng rủi ro , xử lý rủi ro và chấp nh ậ n rủi ro [TCVN ISO/IEC 27001:2009] 3.10 Phân tích rủi ro (risk ana l ysis) Quy trình để hiểu bản chất của rủi ro và xác định mức rủi ro (3.6) [TCVN 9788:2013] CH Ú T HÍ CH 1: Phân t í ch rủi ro cung cấp cơ sở cho việc ước lượng rủi ro và quy ế t đ ị nh c á c h xử lý rủi ro. CH Ú T HÍ CH 2: Phân t í ch rủi ro bao gồm cả ước đoán rủi ro. Đánh gi á rủi ro (r i sk assessment) Quy trình t ổ ng thể bao gồm phân tích rủi ro và ước lượng rủi ro [TCVN ISO/IEC 27001:2009] 3.11 Đ á nh giá rủi ro (risk asseasment) Quy trình tổng thể bao gồm nhận bi ế t rủi ro (3.15), phân tích rủi ro (3.10) và ướ c l ượ ng rủi ro (3.14) [TCVN 9788:2013] 3.3 Tránh rủi ro (risk avoidance) Quy ế t định để không x ả y ra hoặc hành động để tránh được một tình huống rủi ro an toàn thông tin [ISO/ I EC Guide 73 :200 2 ] Thuật ngữ này hiện đã được bao hàm trong thuật ngữ X ử lý rủi ro 3.4 Truyền th ô ng rủi ro (risk communication) Sự trao đổi hoặc chia sẻ thông tin về rủi ro giữa người ra quyết định và những th à nh ph ầ n tham gia khác [ISO/IEC Guide 73:2002) 3.12 Truyền thông v à tư vấn rủi ro (risk communic a tion and consultat i on) Những quy trình li ê n tục và lặp đi lặp lại mà tổ chức tiến hành để cung cấp, chia s ẻ hay thu nhận thông tin và ti ế n hành đối thoại với những b ê n liên quan (3.18) về quản lý rủi ro (3.9) [TCVN 9788:2013] CH Ú T HÍ CH 1: Thông tin c ó thể liê n quan đ ế n sự tồn t ạ i , bản chất, h ì nh thức, kh ả n ă ng xảy ra , tầm quan trọng, việc ước l ượ ng , khả năng chấp nhận và xử lý rủi ro. CH Ú T HÍ CH 2: Tư vấn là một quy trình truyền thông hai c hiề u giữa tổ chức đó với những b ê n li ê n quan về một v ấ n đề trước khi đưa ra quy ế t định hoặc x á c định định hướng về v ấ n đề đó. Tư v ấ n l à : - mộ t quy trình t ác động đ ế n quy ế t định thông qua những ảnh hưởng hơn là thông qua quy ề n lực; - là đầu vào để ra quy ế t định, nh ưn g không tham gia vào quá trình ra quy ế t đ ị nh. n/a n/a 3.13 Tiêu chí rủi ro (risk crit e ria) Đ iề u khoản tham chi ế u mà dựa vào đó để ước lượng mức nghiêm tr ọng của rủi ro (3.9) [TCVN 9788:2013] CH Ú T HÍ CH 1: T iê u chí rủi ro dựa vào những mục tiêu, b ố i cảnh nội bộ và bối cảnh b ê n ngoài của t ổ chức. CH Ú T HÍ CH 2: Tiêu ch í rủi ro có th ể đ ư ợc bắt ngu ồ n từ những tiê u chu ẩ n , luật, ch í nh sách v à c á c y ê u c ầ u khác 3.5 Ư ớc đo á n rủi ro (r i sk est i mation) Quy trình ấn định các giá trị cho khả năng xuất hiện và hậu quả của rủi ro [ISO/IEC Guide 73:2002] CH Ú T HÍ CH 1: Trong b ố i cảnh của tiêu chu ẩ n này , thuật ngữ “ activ i ty ” đ ược sử d ụ ng thay cho thuật ng ữ “ process ” tro n g ước lượng rủi ro CH Ú T HÍ CH 2: Trong b ố i cảnh của tiêu chuẩn này , t hu ậ t ngữ “li kelihood ” được sử d ụng thay cho thuật ngữ “ p r oba b i li ty ” trong ước lượng rủ i ro Thuật ngữ n à y đã bị l ư ợc bỏ n/a Ư ớ c lư ợ ng rủi ro (risk evaluation) Quy trình đối chiếu rủi ro đã được ước đoán với tiêu chí rủi ro cho t rư ớc để xác định tầm ảnh hưởng của rủi ro [TCVN ISO/IEC 27001:2009] 3.14 Ư ớ c lư ợ ng rủi ro (risk evaluation) Quy trình đ ố i chiếu kết quả của việc phân tích rủi ro (3.1 0 ) với các t iê u chí r ủi r o (3.13) đ ể xác định xem rủi ro đó và/ho ặ c mức nghiêm trọng của rủi ro đ ó có thể chấp nhận hoặc chịu đựng được hay kh ô ng. [TCVN 9788:2013] CH Ú T HÍ CH: Ư ớc lượng rủi ro h ỗ trợ việc quy ế t định các h xử lý rủi ro. 3.6 Nhận bi ế t rủi ro (risk i d enti f ication) Quy trình t ì m kiếm, liệt k ê và đưa ra các yếu tố đặc t í nh của rủi ro (ISO/IEC Guide 73:2002 ) CH Ú T HÍ CH: Trong b ố i cảnh của tiê u chuẩn n à y , thuật ng ữ “ ac ti vity ” được sử dụng thay cho thu ậ t ngữ “ process ” trong việc nhận bi ế t rủi ro 3.15 Nhận bi ế t rủi ro (ri s k i denti fi cation) Quy trình t ì m ki ế m, nhận dạng và mô tả rủi ro [TCVN 9788:2013] CH Ú T HÍ CH 1: Nh ậ n biế t rủi ro bao g ồ m nhận b iế t về nguồn gố c của r ủi ro , các sự kiện, những nguy ê n nhân và hậu quả tiề m ẩ n của chúng. CHÚ THÍCH 2: Nh ậ n biết rủi ro có thể liê n quan đ ế n d ữ liệu trong qu á khứ , phân t í c h lý thuyết , thông tin và ý ki ế n chuyên môn và nhu c ầ u của các b ê n liê n quan. n/a Quản lý rủi ro (risk management) Các hoạt động đ iề u ph ố i đ ể chỉ đạo và kiểm soát tổ chức về v ấ n đề rủi ro 3.16 Quản lý rủi ro (risk management) Hoạt động phối hợp về v ấ n đề rủi ro để điều hành và ki ể m soát tổ c h ứ c [TCVN 9788:2013] CH Ú T HÍ CH: Ti ê u chu ẩ n n à y sử dụng thuật ng ữ “q uy trình ” đ ể mô t ả t ổn g quan việc qu ả n lý rủi ro. C á c yếu tố bên trong quy đị nh quản lý rủi ro được gọi là “ c á c hoạt động ” . 3.7 Giảm nh ẹ rủi ro (r i sk reduction) Các hành động đ ể giảm kh ả n ă ng có thể xảy ra, các hậu quả tiêu cực , hoặc cả hai, có li ê n quan đ ế n rủi ro [ISO/IEC Gui d e 73:2002] CH Ú T HÍ CH: Trong bố i cảnh của tiêu chuẩn n ày , thuật ngữ “li kelihoo d” được sử dụ ng thay cho thuật ngữ “ proba bi lity ” tr o n g giảm nh ẹ rủi ro Thuật ngữ này đã được thay th ế b ằ ng thuật ngữ “| thay đổi rủi ro ” và hiện tại được bao h à m tr ong thuật ngữ “ xử lý rủi ro ” 3.8 Duy trì rủi ro (r i sk r e tention) Việc chấp nh ậ n gánh nặng thiệt hại hoặc lợi ích thu được từ việc duy trì một rủi ro cụ th ể [ISO/IEC Guide 73:2002] CH Ú T HÍ CH: Trong b ố i cảnh rủi ro an to à n thông tin, chỉ các hậu quả ti ê u cực (c á c thiệt hại) được xem xét khi duy trì rủ i ro Thuật ngữ này hi ệ n tại được bao hàm trong thuật ngữ “ x ử lý rủi ro ” 3.9 Truyền rủi ro (risk trans f er) Việc chia sẻ với các b ê n khác về gánh nặng thiệt hại hoặc lợi ích thu được từ một rủi ro CH Ú T HÍ CH: Trong b ố i cảnh rủi ro an to à n thông tin, ch ỉ các hậu quả ti ê u cực (các thiệt hại) đư ợ c xem x é t khi truy ề n rủi ro Thuật ngữ này được thay thế bởi thuật ngữ “chia s ẻ rủi ro” và hiện tại được bao hàm trong thuật ngữ “ xử lý rủi ro” n/a X ử lý rủi ro (ri s k treatment) Quy trình lựa chọn và triển khai các biện pháp thay đổi rủi ro CH Ú T HÍ CH: Trong tiêu chu ẩ n này thu ậ t ng ữ “ contro l” (biện pháp) được sử dụng tư ơn g đương với thuật ngữ “ measure ” [TCVN ISO/IEC 27001:2009] 3.17 X ử lý rủi ro (ri s k treatment) Quá trình điều chỉnh rủi ro [TCVN 9788:2013 ] CH Ú T HÍ CH 1: X ử lý rủi ro có thể l iê n quan đ ế n việc: - tr á nh rủi ro b ằ ng cách quy ết định không bắt đ ầ u hoặc ti ế p tục việc ho ạt động làm t ă ng th ê m rủi ro; - ch ấ p nhận hoặc làm t ă ng rủi ro đ ể theo đu ổ i một cơ hội; - loại bỏ ngu ồ n gốc rủi ro; - thay đổi khả năng xảy ra; - thay đổi hậu quả; - chia s ẻ rủi ro v ớ i một bên hay nhiều b ê n khác (bao g ồ m c ả hợp đ ồ ng và gây quỹ b ồi thường r ủi ro. - Duy trì rủi ro b ằ ng lựa chọn c ó hi ể u bi ế t. CH Ú T HÍ CH 2: Xử lý rủ i ro đ ể gi ả i quyết các hậu quả tiêu cực đ ô i khi được gọi l à “ giảm nhẹ rủi ro ” , “ loại b ỏ rủi ro ” , “ ngăn ch ặ n rủi ro ” và “ giảm bớ t rủi ro ” . CH Ú T HÍ CH 3: x ử lý rủi ro có th ể t ạ o ra nh ữ ng rủi ro m ớ i hoặc l à m thay đ ổ i những rủi ro hi ện có. n/a n/a 3.18 B ê n liên quan (stakeholder) Cá nhân hay tổ chức có thể gây ảnh hưởng, b ị ảnh hưởng, hoặc nhận th ấ y b ị ảnh hưởng bởi một quy ế t định hay một hành động [TCVN 9788:2013] CH Ú T HÍ CH: Người đưa ra quyết định có thể là một bên l iê n quan. Mối đe dọa (threat) Một nguy ê n nhân ti ề m ẩ n t ừ một sự cố không mong muốn, có thể gây hại cho hệ th ố ng hoặc t ổ chức Á p dụng đị nh nghĩa nh ư trong ISO/IEC 27000:2009 THƯ MỤC TÀI LIỆU THAM KHẢO [1] ISO/IEC 27005:2011, In f ormation technology - Security techniques - In f ormation security risk management [2] ISO/IEC 27000, Information technology - Security techniques - Information security management systems - Overview and vocabu l ary [3] TCVN ISO/IEC 27001:2009, Công nghệ thông tin - Các kỹ thuật an toàn - Hệ thống quản lý an toàn thông tin - Các y ê u cầu [4] TCVN ISO/IEC 27002:2011, Công nghệ thông tin - Các kỹ thuật an toàn - Quy tắc thực hành quản lý an toàn thông tin [5] TCVN 9788:2013, Quản lý rủi ro - Từ v ự ng [6] ISO/IEC 16085:2006, Systems and software engineering - Life cycle processes - Risk management [7] AS/NZS 4360:2004, Risk Management [8] NIST Special Publication 800-12, An Introduction to Computer Security: The NIST Handbook [9] NIST Special Publication 800-30, Risk Management Guide for Information Te c hnology Systems, Recommendations of the National Institute of Standards and Technology. MỤC LỤC L ờ i nói đầu 1 Phạm vi áp dụng 2 Tài liệu viện dẫn 3 Thuật ngữ và định nghĩa 4 Cấ u trúc c ủ a tiêu chuẩn 5 Thông tin cơ bản 6 Tổng quan về quy trình quản lý rủi ro an toàn thông tin 7 Thiết lập bối c ả nh 7.1 Xem xét chung 7.2 Tiêu chí cơ bản 7.2.1 Phương pháp tiếp cận qu ả n lý rủi ro 7.2.2 Tiêu chí ước lượng rủi ro 7.2.3 Tiêu ch í tác động 7.2.4 Tiêu ch í chấp nhận rủi ro 7.3 Phạm vi và gi ớ i hạn 7.4 Tổ chức quản lý rủi ro an toàn thông tin 8 Đánh giá rủi ro an toàn thông tin 8.1 Mô tả chung về đánh giá rủi ro an toàn thông tin 8.2 Nhận biết rủi ro 8.2.1 Gi ớ i th i ệu về nhận bi ế t rủi ro 8.2.2 Nhận biết về tài sản 8.2.3 Nhận biết về mối đe dọa 8.2.4 Nhận biết về các biện pháp hiện có 8.2.5 Nhận biết về điểm yếu 8.2.6 Nhận bi ế t về hậu quả 8.3 Phân tích rủi ro 8.3.1 Các phương pháp phân tích rủi ro 8.3.2 Đánh giá các hậu qu ả 8.3.3 Đánh giá khả năng xảy ra sự cố 8.3.4 Xác định mức rủi ro 8.4 Ư ớc lượng rủi ro 9 Xử lý rủi ro an toàn thông tin 9.1 Mô tả chung về xử lý rủi ro 9.2 Thay đổi rủi ro 9.3 Duy trì rủi ro 9.4 Tránh rủi ro 9.5 Chia sẻ rủi ro 10 Chấp nhận rủi ro an toàn thông tin 11 Truy ề n thông và tư v ấ n rủi ro an toàn thông tin 12 Giám sát và soát xét rủi ro an toàn thông tin 12.1 Giám sát và soát xét các yếu tố rủi ro 12.2 Giám sát soát xét và cải ti ế n quản lý rủi ro Phụ lục A (Tham khảo): Xác định phạm vi và giới hạn của quy trình quản lý rủi ro an toàn thông tin Phụ lục B (Tham khảo): Nhận biết, định giá tài sản và đánh giá tác động Phụ lục C (Tham khảo): V í dụ về những mối đe dọa điển h ì nh Phụ lục D (Tham khảo): Các điểm yếu và các phương pháp đánh giá đi ể m yếu Phụ lục E (Tham khảo): Các phương pháp ti ế p cận đánh giá rủi ro an toàn thông tin Phụ lục F (Tham khảo): Các ràng buộc thay đổi rủi ro Phụ lục G (Tham kh ả o): Sự khác biệt về định nghĩa giữa ISO/IEC 27005:2008 và ISO/IEC 27005:2011 Thư mục tài liệu tham khảo