Đồ án Nghiên cứu và đề xuất quy trình xây dựng hệ thống mạng an toàn

loại thâm nhập. Ngoài ra, phát xạ điện từ của máy tính cũng làm cho nó trở thành vật chuyển giao thông tin. Đồng thời nó cũng có thể bị tác động bởi các tia bức xạ được điều khiển từ bên ngoài gây ra lỗi và sự cố đối với thiết bị và dữ liệu. Trước khi đi vào các giải pháp cho an ninh mạng, cũng cần nhấn mạnh một thực tế là: không có thứ gì là an toàn tuyệt đối cả. Các hệ thống bảo vệ có vững chắc đến đâu rồi cũng sẽ có lúc bị vô hiệu hoá bởi những kẻ phá hoại điêu luyện về kỹ xảo và có đủ thời gian. Chưa kể trong nhiều trường hợp kẻ phá hoại lại nằm trong chính hàng ngũ những nhân viên đang quản lý, khai thác các hệ thống đó. Vì vậy, một chính sách về an ninh mạng không chỉ là những thuật toán, những cơ chế, những thiết bị mà còn cả những chính sách về con người. Vì không thể có một giải pháp an toàn tuyệt đối nên người ta phải sử dụng đồng thời nhiều mức bảo vệ khác nhau tạo thành nhiều lớp "rào chắn" đối với các hoạt động xâm phạm. Việc bảo vệ thông tin trên mạng chủ yếu là bảo vệ thông tin cất giữ trên các máy tính, đặc biệt là trong các Server của mạng. Vì thế mọi cố gắng tập trung vào việc xây dựng các mức "rào chắn" từ ngoài vào trong cho các hệ thống kết nối vào mạng. Hình 1.2: Các mức bảo vệ an ninh mạng. Lớp bảo vệ trong cùng là quyền truy nhập (Access rights) nhằm kiểm soát các tài nguyên (thông tin) của mạng và quyền hạn (có thể thực hiện các thao tác gì) trên tài nguyên đó. Dĩ nhiên là kiểm soát được cấu trúc dữ liệu càng chi tiết càng tốt. Hiện tại việc kiểm soát thường ở mức File Lớp bảo vệ tiếp theo là đăng ký tên / mật khẩu (Login/Password). Thực ra đây cũng là kiểm soát quyền truy nhập nhưng không phải truy nhập ở mức thông tin mà ở mức hệ thống (tức là truy nhập vào mạng). Đây là phương pháp bảo vệ phổ biến nhất vì nó đơn giản ít phí tổn và rất có hiệu quả. Mỗi người sử dụng (kể cả người được quyền giám quản mạng - supervisor) muốn được vào mạng để sử dụng các tài nguyên của mạng đề phải có đăng ký tên và mật khẩu trước. Người giám quản mạng có trách nhiệm quản lý, kiểm soát mọi hoạt động của mạng và xác định quyền truy nhập người sử dụng khác tuỳ theo thời gian và không gian. Để bảo mật thông tin truyền trên mạng, người ta sử dụng các phương pháp mã hoá (Encryption). Dữ liệu được biến đổi từ dạng nhận thức được sang dạng không nhận thức được theo một thuật toán nào đó (tạo mật mã) và sẽ được biến đổi ngược lại (giải mã) ở trạm nhận. Đây là lớp bảo vệ thông tin rất quan trọng và được sử dụng rộng rãi trong môi trường mạng . Bảo vệ vật lý (Physical Protection) nhằm ngăn cản các truy nhập vật lý bất hợp pháp vào hệ thống. Thường dùng các biện pháp truyền thống như ngăn cấm tuyệt đối người không phận sự vào phòng đặt máy mạng, dùng ổ khoá máy tính, hoặc cài đặt cơ chế báo động khi có truy nhập vào hệ thống... Để bảo vệ từ xa một máy tính hay cho cả một mạng nội bộ (Intranet), người ta thường dùng các hệ thống đặc biệt là tường lửa (Firewall). Chức năng của tường lửa là ngăn chặn các truy nhập trái phép (theo danh sách truy nhập đã xác định trước) và thậm chí có thể lọc các gói tin mà ta không muốn gửi đi hoặc nhận vào vì một lý do nào đó. Phương thức bảo vệ này được dùng nhiều trong môi trường liên mạng Internet. Căn cứ vào các mức bảo vệ an toàn mạng, có hai mô hình an ninh mạng Mô hình sử dụng phương pháp mật mã. Mô hình sử dụng biện pháp kiểm soát truy cập. b) Mô hình an ninh mạng : Mô hình sử dụng phương pháp má hoá: Các bản tin truyền từ đối tượng A đến đối tượng B trong mạng được biểu diễn như hình vẽ 1.3. Khi quá trình định tuyến hình thành, một kênh logic được thiết lập từ trạm nguồn tới trạm đích. Hai trạm A và B sẽ sử dụng các giao thức truyền để đóng gói các bản tin đưa lên đường truyền. Từ mô hình trên, an ninh mạng phải đưa ra những kỹ thuật nhằm bảo vệ việc truyền tin khỏi những kẻ tấn công đe doạ đến yêu cầu bảo mật, xác thực và những yêu cầu khác. Để đảm bảo an toàn, các yếu tố bảo mật được đưa vào thông tin trước khi truyền đi. Phương pháp phổ biến nhất là mã hoá (encryption). Với mã hoá, bản tin được biến đổi đến mức kẻ khác có thu được bản điện cũng không thể đọc được và tìm ra nội dung đó. Đồng thời, các dấu hiệu mã hoá còn lại được dưa vào để kiểm tra tính hợp lệ của bên phát. Hình 1.3: Mô hình an ninh mạng dùng mã hóa. Như vậy, để xây dựng mô hình an ninh mạng theo phương pháp sử dụng mã hoá cần theo các bước sau : 1- Xây dựng thuật toán bảo mật thông tin đủ mạnh. 2- Sử dụng thuật toán để mã hoá các thông tin. 3- Phát triển các phương pháp cho các thông tin mật tập trung và phân tán. 4- Chỉ rõ giao thức mà hai đầu sử dụng cho phép thuật toán bảo mật và các thông tin mật được dịch vụ an ninh thực tế. Mô hình an ninh mạng kiểm soát truy nhập : Mô hình an ninh mạng nhằm chống lại những truy nhập bất hợp pháp được vẽ trên hình 1.4. Trong mô hình này, vai trò chính thuộc về cửa kiểm soát được đặt giữa kênh truy nhập và nguồn tài nguyên cần bảo vệ. Hình 1.4: Mô hình an ninh mạng dùng “cửa kiểm soát”. Các truy nhập không mong muốn có thể do hacker hoặc lợi dụng những sơ hở của hệ thống. Các truy cập này có thể nhằm đe doạ truy nhập thông tin như ngăn chặn hoặc làm biến đổi dữ liệu để giả mạo người dùng, truy cập những dữ liệu không được phép; cũng có thể nhằm đe doạ dịch vụ như lợi dụng những sai sót dịch vụ trong máy tính để ngăn cản một cách bất hợp pháp những người sử dụng khác. Vi rút tin học bọ điện tử là hai dạng của kiểu tấn công bằng phần mềm. Chúng có thể thâm nhập thông qua đĩa mềm, hoặc lây lan qua mạng. Cơ cấu an ninh này sử dụng một cửa kiểm soát. Nó gồm một mật khẩu từ chối tất cả trừ những người dùng được phép và một thuật toán cho phép phát hiện và loại bỏ các loại vi rút tin học, bọ điện tử và các tấn công tương tự. 1.2.2.2. Các phương pháp phòng vệ, chống tấn công trên mạng. a) Quản lý cấu hình Việc quản lý cấu hình là một yếu tố cơ bản trong bảo vệ một mạng máy tính. Trong việc quản lý cấu hình có nhiều vấn đề : phiên bản hệ điều hành được sử dụng trên các máy của mạng, các chương trình cập nhật sửa lỗi phần mềm, các lỗ hổng trong các file cấu hình và dịch vụ (ví dụ như tất cả mọi người đều có quyền ghi lên các file chứa mật khẩu), loại bỏ các từ khoá mặc định lấy ra từ các sản phẩm trong quá trình cài đặt chúng. Một số công cụ có sẵn để giúp người quản trị hệ thống kiểm soát mọi thứ một cách chặt chẽ. Một số công cụ cho phép bạn thực hiện điều khiển phiên bản tập trung; mặt khác, giống như Santan, cố gắng can thiệp vào các máy trên mạng bằng việc sử dụng các kiểu phá hoại thông thường. Một số kiểu phá hoại quan thuộc cùng với những công cụ thâm nhập sẽ là một ý tưởng tốt như là việc chúng có thể sử dụng các vị trí đối lập để cố gắng tấn công bạn. b) Tường lửa : Tường lửa hoạt động giống như một hệ thống hàng rào và cổng bảo vệ với các chỉ dẫn cụ thể về việc cho truy nhập hoặc không cho truy nhập. Các thông tin gửi qua tường lửa được tường lửa kiểm tra. Nếu thông tin không hợp lệ, tường lửa sẽ từ chối không cho đi qua, đồng nghĩa với việc kết nối bị từ chối. Phải xác định rõ ràng tài nguyên nào được phép kết nối từ xa qua hệ thống Internet, việc cấp địa chỉ Internet phải được xem xét cẩn thận nhằm đảm bảo an toàn cho tài nguyên đó và để tiết kiệm tài nguyên địa chỉ. Mô hình sử dụng tường lửa để bảo vệ hệ thống mạng có thể như sau: Hình 1.5: Sử dụng tường lửa để bảo vệ hệ thống mạng Tường lửa có 3 loại: Lọc gói : Mỗi cổng của thiết bị lọc gói tin có thể được sử dụng để thực hiện các chính sách mạng. Các chính sách mạng này mô tả loại dịch vụ mạng có thể được truy nhập qua cổng. Nếu số nhánh mạng đấu nối với thiết bị lọc gói tin là lớn thì các chính sách mà thiết bị này thực hiện trở nên phức tạp. Trong trường hợp một mạng nội bộ khi kết nối với Internet thì mô hình đấu nối có thể được dùng để hạn chế lưu lượng mạng đối với các dịch vụ cần từ chối. Hầu hết các thiết bị lọc gói hiện nay (bộ định tuyến sàng lọc hoặc các cổng lọc gói) đều được sử dụng như là hàng phòng vệ đầu tiên giữa mạng bên trong cần được bảo vệ và mạng bên ngoài không đáng tin cậy. Nó hoạt động theo các phương thức sau : - Các tiêu chuẩn bộ lọc gói phải được nhớ đối với các cổng của thiết bị lọc gói. Các tiêu chuẩn lọc gói được gọi là các "quy tắc lọc gói tin". - Khi một gói về đến cổng, chỉ có mào đầu của gói đó được phân tích. Hầu hết các thiết bị lọc gói tin chỉ kiểm tra các trường thuộc mào đầu của các gói IP, TCP hoặc UDP. - Các quy tắc lọc gói tin phải được lưu trữ theo một thứ tự nhất định. Mỗi quy tắc được áp dụng cho gói theo thứ tự nó lưu trữ. - Nếu việc gửi đi hoặc thu nhận một gói bị chặn lại thì gói đó sẽ không được phép. - Nếu một quy tắc cho phép gửi hoặc thu một gói thì gói tin đó được phép tiếp tục. - Nếu gói tin không thoả mãn với một quy tắc nào đó thì nó sẽ bị chặn. Mạch các cổng vào (Circuit gateways) : Circuit gateways, tập hợp và kiểm tra toàn bộ các gói trong mỗi kết nối TCP. Việc này đòi hỏi nhiều tài nguyên hơn việc lọc gói đơn giản, nhưng lại cung cấp thêm nhiều chức năng như cung cấp mạng riêng ảo trên Internet bằng việc thực hiện mã hoá thông tin từ tường lửa tới tường lửa. Tuy nhiên phương pháp bảo vệ này không ngăn cản được các tấn công ở lớp ứng dụng. Ví dụ như các đoạn mã mang mục đích xấu. Application relay : Loại thứ ba của tường lửa là Application Relay, nó hoạt động như là một proxy cho một hoặc nhiều dịch vụ như mail, telnet và Web. Ở lớp này ta có thể áp đặt các quy tắc như dỡ bỏ các macro trong tài liệu của Microsoft Word được truyền tới hay bỏ đi các thành phần hoạt động trong các trang web. Điều này mang lại sự bảo vệ thông minh chống lại nhiều thủ đoạn tấn công. Hạn chế của phương pháp này là có thể gây ra tắc nghẽn do không xử lý kịp các yêu cầu. Tiềm năng và hạn chế của tường lửa : Tường lửa thường chỉ thực hiện một số chức năng nhỏ nào đó nên nó có thể được tạo ra bằng cách rất đơn giản và bỏ đi nhiều thành phần phức tạp của hệ điều hành cơ sở (như RPC và các chương trình thư tín của Unix). Điều này đôi khi cũng giúp loại trừ nhiều điểm yếu và các lỗi trong chương trình nguồn cơ sở. Mặt khác, nó cũng giúp phân cấp quản lý, những người quản trị mạng chỉ quản lý từng phần nhỏ của mạng mà không phải quản lý cả một mạng máy tính phức tạp. Tuy nhiên, sự đơn giản trong quản lý mạng lại phải trả giá bằng sự phức tạp trong việc sử dụng các firewall. Đó là việc phải đặt cấu hình cho chương trình firewall thế nào để có thể phát huy được hiệu quả cao nhất, vừa ngăn chặn được các âm mưu tấn công ăn cắp thông tin vừa đảm bảo cho các hoạt động trên mạng được thông suốt. Thêm vào đó, cần phải cấu hình cho cả các máy tính trên mạng để nó có thể đảm bảo các hoạt động theo yêu cầu. Việc đặt lại cấu hình này không khó nhưng cũng đòi hỏi nhiều thời gian và công sức. c) Mã hoá : Để ngăn chặn các tấn công trên mạng, ta có thể sử dụng các phương pháp mã hoá. Một ví dụ cụ thể là chương trình Secure SHell (SSH). Chương trình này cung cấp các kết nối mật mã giữa Unix và các máy chủ Window. Trong quá trình người sử dụng dùng chương trình này để truy cập vào server, chương trình sẽ thực hiện mã hoá mật khẩu của người đó rồi mới truyền qua mạng. Điều này giúp ngăn chặn một kẻ nào đó theo dõi các gói tin trên mạng và lấy cắp mật khẩu của người sử dụng. Ngày nay với việc sử dụng giao thức IPv6 (IP version 6), ta có thể thực hiện việc mã hoá và xác thực từ tầng IP. Khả năng này cũng được bổ sung cho IP vefsion 4 hiện đang được sử dụng rộng rãi bằng bao thức IPsec. IPsec hứa hẹn ngăn chặn nhiều cuộc tấn công trên mạng và là một công cụ hỗ trợ đắc lực trong việc xây dựng các hệ thống phân tán. Tuy nhiên việc sử dụng IPsec hiện chưa được phổ biến do đó trang bị IPsec cho một máy chủ thực hiện nhiều giao dịch với bên ngoài không thực sự mạng lại hiệu quả. d) Hệ thống phát hiện xâm nhập (Intrusion Detection System): Một chương trình chống virus là một ví dụ của hệ thống phát hiện xâm nhập. Nói chung, trong lĩnh vực bảo vệ hệ thống, sẽ là hiệu quả hơn nếu như ta chỉ ngăn chặn một số hình thức tấn công và thực hiện phát hiện những hình thức còn lại khi chúng đang xẩy ra. Nhờ đó ta tránh được việc phải tổ chức ngăn chặn tất cả các hình thức tấn công vì nếu điều đó được thực hiện, sẽ tiêu tốn không ít tài nguyên của hệ thống và tính năng động của hệ thống bảo vệ không cao. Hệ thống làm nhiệm vụ phát hiện các cuộc tấn công có thể đang diễn ra được gọi là hệ thống phát hiện xâm nhập (Intrusion Detection System). Một vài hệ thống phát hiện xâm nhập được cấu hình để ngăn chặn những hoạt động bị nghi ngờ là tấn công, hay nói một cách cực đoan, làm ngừng hoạt động của hệ thống. Xét trong trường hợp các tấn công từ chối dịch vụ, thì hệ thống phát hiện xâm nhập lại có chức năng như một hệ thống kiểm soát truy nhập. Kiểm soát truy nhập là một vấn đề khó. Nó đòi hỏi phải có một sự kết hợp các chính sách an toàn áp dụng trên mạng một cách chính xác, hợp lý. Xây dựng được một hệ thống phát hiện xâm nhập là một việc khó. Trong môi trường mạng máy tính việc này còn khó khăn hơn bởi những lý do sau : - Mạng máy tính là môi trường rất phức tạp, không chỉ ở lớp nội dung mà còn ở lớp gói. Một số lượng lớn các gói có thể nói là ngẫu nhiên có thể bị hiểu sai và đuợc coi là dấu hiệu của các cuộc tấn công. - Ngược lại, việc có một tỉ lệ thấp các cuộc tấn công trên một mạng có lượng giao dịch lớn có thể dẫn đến sự không nhận ra các dấu hiệu tấn công. - Nhiều tấn công trên mạng luôn xác định các version phần mềm cụ thể, vì hầu hết chúng có liên quan đến các điểm sơ hở của chương trình phần mềm. Như vậy một công cụ phát hiện các hoạt động không hợp lệ cần phải được cập nhật thường xuyên và có thư viện lưu trữ các dấu hiệu các cuộc tấn công. - Trong nhiều trường hợp, các tổ chức thương mại chỉ mua hệ thống phát hiện xâm nhập để làm hài lòng các công ty bảo hiểm hoặc các nhà cố vấn. - Trong truyền tin mật, như các kết nối web sử dụng giao thức SSL, rất khó phân tích nội dung hoặc lọc các mã có chủ tâm phá hoại. Theo lý thuyết các mã này có thể bị ngăn chặn ở tường lửa hoặc cài đặt thêm một thiết bị quan sát với các khoá mật được chia sẻ. Có nhiều khó khăn trong việc xây dựng một hệ thống phát hiện xâm nhập cho mạng máy tính nhưng hiệu quả hệ thống này đem lại là rất lớn. Một hệ thống như vậy sẽ giúp người quản trị đoán trược hoặc phát hiện các cuộc tấn công từ đó đưa ra các biện pháp bảo vệ thích hợp và hiệu quả PHẦN 2: QUY TRÌNH XÂY DỰNG HỆ THỐNG MẠNG AN TOÀN. 2.1. Tiêu chuẩn ISO 17799 2.1.1. Định nghĩa tiêu chuẩn ISO 17799 ISO 17799 là một tiêu chuẩn quản lý an toàn thông tin được công nhận rộng rãi trên thế giới, được thiết lập đầu tiên bởi tổ chức chuẩn quốc tế ISO (www.iso.ch) vào tháng 12 năm 2000. ISO 17799 là một tiêu chuẩn mang tính chất tầm cao, trải rộng và thiên nhiều về tính khái niệm. Những đặc tính bao quát này cho phép tiêu chuẩn ISO 17799 có khả năng áp dụng rộng rãi đến nhiều loại cơ quan tổ chức và các ứng dụng đa ngành khác nhau. Cho đến nay, ISO 17799 là tiêu chuẩn duy nhất được công nhận tập trung chuyên sâu về lĩnh vực quản lý an toàn thông tin. ISO 17799 định nghĩa thông tin như là một loại tài sản tồn tại ở nhiều hình thức và có giá trị cao đối với một tổ chức. Mục tiêu của việc xây dựng hệ thống an toàn thông tin là nhằm bảo vệ tài sản này, đảm bảo cho sự hoạt động kinh doanh liên tục, giảm thiểu các hậu quả thiệt hại kinh doanh, và làm tối đa lợi nhuận của sự đầu tư. Được định nghĩa trong tiêu chuẩn ISO 17799, an toàn thông tin có các đặc tính liên quan đến việc phải bảo đảm ba đặc tính cơ bản của bảo mật thông tin: Tính bí mật thông tin – đảm bảo thông tin chỉ có thể được truy cập bởi những chủ thể hợp lệ được cho phép. Tính toàn vẹn – đảm bảo tính chính xác và toàn vẹn của thông tin và các phương pháp xử lý thông tin. Tính sẵn sàng – đảm bảo các chủ thể được xác thực luôn có khả năng truy cập đến thông tin và các tài nguyên liên quan khi cần thiết. ISO 17799 thiết lập các hướng dẫn và các nguyên tắc cơ bản để khởi tạo, thực hiện, duy trì và cải tiến quản lý an toàn bảo mật thông tin trong tổ chức. Lưu ý rằng tiêu chuẩn đơn giản chỉ đưa ra các hướng dẫn, nó không chứa thông tin đủ kỹ để chỉ ra bằng cách nào an toàn bảo mật thông tin được thực hiện và duy trì. Các kiểm soát an toàn bảo mật và các phương tiện quản lý các rủi ro đươc đề cập trong tiêu chuẩn không phải được lựa chọn tất cả. Các kiểm soát thích hợp được lựa chọn sau khi việc đánh giá rủi ro một cách đủ sâu đã hoàn tất. Chỉ từ khi đó các kiểm soát được lựa chọn mới đáp ứng được các cần thiết cụ thể của tổ chức. Mỗi tổ chức là duy nhất, do vậy với mỗi tổ chức sẽ đối diện với các mối đe dọa và các điểm yếu khác nhau. Điều này rất quan trọng đối với việc hiểu các kiểm soát được đề cập trong tiêu chuẩn không được sắp xếp và xây dựng theo tổ chức hoặc được ưu tiên theo bất kỳ một chuẩn mực cụ thể nào. Mỗi kiểm soát nên được cân bằng với tầm quan trọng và nên được cân nhắc theo các yêu cầu cụ thể của Hệ thống và chặng thiết kế. Các thất bại trong thực hiện thường ở chỗ thiếu các đo lường hiệu quả chi phí hoăc thậm chí thất bại trong việc tìm an toàn bảo mật thích hợp. Điểm cuối cùng nên được nhấn mạnh về tiêu chuẩn là ISO cảnh báo rằng không có một tập hợp các kiểm soát nào đạt được an toàn bảo mật hoàn thiện. ISO khuyến khích can thiệp thêm từ lãnh đạo để theo dõi, đánh giá và cải tiến hiệu lực của các kiểm soát an toàn bảo mật hỗ trợ cho các mục tiêu kinh doanh của tổ chức. 2.1.2. Lợi ích của tiêu chuẩn ISO 17799 Như đã nêu trên, mục đích chính của an toàn thông tin là nhằm cung cấp các kiểm soát để đảm bảo ba đặc tính của bảo mật thông tin, tính “bí mật”, tính “toàn vẹn” và tính “sẵn sàng”, cuối cùng là phục vụ các yêu cầu của kinh doanh cho một tổ chức. Theo truyền thống, quy trình an toàn thông tin thường được xây dựng dựa trên những văn bản đề nghị hướng dẫn và thi hành an toàn thông tin, được cung cấp bởi nhiều tổ chức bảo mật khác nhau. Tuy các hướng dẫn trên theo thời gian đã được chứng minh là hợp lý và có tính hiệu quả cao, sự đa dạng hóa của các văn bản này dẫn đến có nhiều phương cách khác nhau để xây dựng quy trình an toàn thông tin và gây khó khăn cho các tổ chức trong việc chọn lựa, đánh giá, đo lường tính hiệu quả của mỗi phương cách. Nhằm giải quyết những khó khăn trên, tiêu chuẩn ISO 17799 được thiết lập để cung cấp một thước đo chuẩn mực dựa trên đó xây dựng hệ thống an toàn thông tin cho các cơ quan tổ chức. Đồng thời nó cũng cung cấp một phương thức nhằm quản lý quy trình an toàn thông tin hiệu quả và phù hợp. ISO 17799 là một quy trình xây dựng an toàn thông tin tổng thể, cung cấp cho các cơ quan tổ chức những lợi điểm sau: Một phương thức được quốc tế chấp nhận. Một quy trình nền tảng được xây dựng nhằm đánh giá, thi hành, bảo trì, và quản lý an toàn thông tin xuyên suốt tổ chức. Một hệ thống nền tảng các văn bản hướng dẫn, quy trình, tiêu chuẩn và chính sách. Chứng chỉ cho phép cơ quan tổ chức chứng tỏ mức độ an toàn thông tin của bản thân và đánh giá mức độ an toàn thông tin của các đối tác. Hiện nay, chứng chỉ ISO 17799 có thể trở thành bắt buộc cho những tổ chức đòi hỏi mức độ cam kết an toàn thông tin cao. Đối với một số tổ chức khác, chứng chỉ ISO 17799 có lợi điểm là có thể sử dụng như một công cụ marketing nâng cao hình ảnh công ty trên thương trường. Tính đến nay, đã có hơn 1000 tổ chức nhận chứng chỉ ISO 17799, bao gồm những công ty hàng đầu như Siemens, Fujitsu, Nokia, Hitachi, điều này càng khẳng định thêm lợi điểm chiến lược của việc áp dụng chuẩn ISO 17799 cho các doanh nghiệp và tổ chức. 2.1.3. Những phần kiểm soát cơ bản của ISO 17799. Chuẩn ISO 17799 thiết lập các hướng dẫn và nguyên tắc chung nhằm thi hành, duy trì và tăng cường quản lý an toàn thông tin trong một tổ chức. Hiện nay, bản cập nhật mới nhất của tiêu chuẩn ISO 17799-2005 bao gồm 11 phần sau: 1. Chính sách an ninh chung (Security Policy) 2. Tổ chức an toàn thông tin (Organizing Information Security) 3. Quản lý sự cố an toàn thông tin (Information Security Incident Management) 4. Xác định, phân cấp và quản lý tài nguyên (Asset Management) 5. An ninh nhân sự (Human Resources Security) 6. An ninh vật lý và môi trường (Physical and Environmental Security) 7. Quản trị CNTT và mạng (Communication and Operations Management) 8. Quản lý truy cập (Access Control) 9.Phát triển và duy trì hệ thống (Informations System Acquisition, Development and Maintenance) Quản lý tính liên tục kinh doanh (Business Continuity Management) Yếu tố tuân thủ luật pháp (Compliance) Văn bản tiêu chuẩn ISO 17799 xây dựng mỗi kiểm soát theo cấu trúc sau: Mục tiêu của phần kiểm soát: Nêu ra tiêu chí cần đạt được của kiểm soát. Kiểm soát: Định nghĩa và mô tả kiểm soát. Hướng dẫn thi hành: Cung cấp những thông tin nhằm hỗ trợ việc thi hành kiểm soát và đạt được mục tiêu đề ra. Một số hướng dẫn có thể không phù hợp trong mọi trường hợp và vì vậy, những cách thi hành khác có thể phù hợp hơn. Hình 2.1: Cấu trúc của tiêu chuẩn ISO 17799 2.1.3.1. Chính sách an ninh chung Chính sách an ninh chung đề cập đến sự hỗ trợ của cấp quản lý, cam kết và định hướng trong việc đạt được các mục tiêu về an toàn thông tin, bao gồm hai phần chính: Văn bản chính sách an toàn thông tin – được định nghĩa là một văn bản mang tính khái niệm, không cụ thể về phương thức thi hành, bao gồm các tiêu chí an toàn thông tin của một tổ chức. Văn bản này, kèm với một hệ thống các tiêu chuẩn, hướng dẫn, và các quy trình nhằm hỗ trợ cho việc đạt được các tiêu chí trên. Văn bản này cần được chấp thuận thông qua bởi ban lãnh đạo và được công bố rộng rãi cho tất cả nhân viên và những phía đối tác bên ngoài có liên quan. Xem xét cập nhật chính sách an toàn thông tin – Chính sách an toàn thông tin cần được quy trách nhiệm và giao quyền quản lý cho một chủ thể. Chủ thể này sẽ chịu trách nhiệm phát triển, xem xét cập nhật và đánh giá chính sách an toàn thông tin. Quy trình xem xét cập nhật cần được tiến hành thường xuyên nhằm đánh giá những cơ hội mới cho việc hoàn thiện chính sách an toàn thông tin và các thay đổi về quản lý an toàn thông tin đáp ứng những thay đổi đến môi trường tổ chức, những tình huống kinh doanh mới ,điều kiện luật pháp, hoặc môi trường kỹ thuật. 2.1.3.2. Tổ chức an toàn thông tin Tổ chức an toàn thông tin đề cập đến nhu cầu thiết lập một cơ cấu quản lý nhằm đề xướng và kiểm soát việc thi hành an toàn thông tin trong một tổ chức, bao gồm: Diễn đàn quản lý an toàn thông tin – cung cấp một hội đồng đa cấp nhằm thảo luận các vấn đề về an toàn thông tin xuyên suốt tổ chức. Giám đốc an toàn thông tin (ISSO) – đóng vai trò là trung tâm liên lạc cho các vấn đề, định hướng và quyết định liên quan đến an toàn thông tin. Trách nhiệm an toàn thông tin – trách nhiệm liên quan đến an toàn thông tin được vạch ra và mô tả cụ thể trong bảng mô tả công việc. Quy trình kiểm soát thẩm quyền – Đảm bảo những yếu tố vế bảo mật được xét đến và các vấn đề liên quan đến hệ thống mới hoặc sửa đổi hệ thống thông tin được thông qua. Nguồn chuyên gia – Đảm bảo các mối quan hệ với các chuyên gia độc lập nhằm có thể liên hệ các nguồn lực không sẵn có trong nội bộ tổ chức. Phối hợp tổ chức – Duy trì quan hệ với những đối tác chia sẻ thông tin và những cơ quan luật pháp có thẩm quyền. Xem xét độc lập – cơ chế cho phép thẩm định độc lập sự hiệu quả về mặt an toàn thông tin 2.1.3.3. Quản lý sự cố an toàn thông tin Mục tiêu của kiểm soát này là nhằm đảm bảo tất cả các sự cố và những điểm yếu liên quan đến hệ thống thông tin phải được liên lạc, thông báo kịp thời đến các bộ phận có thẩm quyền, cho phép khoảng thời gian phản hồi khắc phục sự cố. Quy trình báo cáo sự cố và tường trình lên cấp cao hơn phải được soạn thảo kỹ lưỡng và thông báo đến tất cả nhân viên trong tổ chức. 2.1.3.4. Xác định, phân cấp và quản lý tài nguyên Mục tiêu của việc xác định, phân cấp và quản lý tài nguyên là nhằm bảo vệ tài nguyên thông tin của một của tổ chức, quy trình đề nghị bao gồm: Kiểm kê, thống kê tài sản – cơ chế nhằm duy trì chính xác bảng liệt kê tài sản, và thiết lập chủ sở hữu của tất cả tài sản. Phân loại – cơ chế nhằm phân loại tài sản dựa trên mức độ ảnh hưởng kinh doanh. Xử lý – thiết lập những tiêu chuẩn xử lý, bao gồm các quy trình liên quan đến việc tạo ra, di chuyển, chuyển giao, hủy bỏ các tài sản thông tin, dựa trên phân loại tài sản. 2.1.3.5. An ninh nhân sự Mục đích của an ninh nhân sự nhắm đến khả năng của một tổ chức trong việc giảm thiểu rủi ro liên quan đến vấn đề con người, bao gồm: Kiểm tra nhân sự - những chính sách nhân sự cần đảm bảo trình độ và tính thích hợp của tất cả nhân sự có quyền truy cập vào tài sản thông tin của tổ chức. Mức độ phù hợp của nhân sự được đánh giá dựa trên mô tả công việc và kết quả phân loại mức độ bảo mật của tài sản thông tin. Trách nhiệm bảo mật – nhân viên cần hiểu rõ trách nhiệm bảo mật thông tin của mỗi cá nhân, thông qua các hướng dẫn thi hành và văn bản cam kết không tiết lộ thông tin. Điều khoản và điều kiện lao động – nhân viên cần hiểu rõ trách nhiệm bảo mật thông tin như là một điều kiện tiên quyết trong điều khoản lao động. Đào tạo: Một chương trình đào tạo an toàn thông tin cần được tiến hành cho tất cả nhân viên, bao gồm những người đang làm và