Nghiên cứu và đề xuất quy trình xây dựng hệ thống mạng an toàn

m quản lý quy trình an toàn thông tin hiệu quả và phù hợp. ISO 17799 là một quy trình xây dựng an toàn thông tin tổng thể, cung cấp cho các cơ quan tổ chức những lợi điểm sau: Một phương thức được quốc tế chấp nhận. Một quy trình nền tảng được xây dựng nhằm đánh giá, thi hành, bảo trì, và quản lý an toàn thông tin xuyên suốt tổ chức. Một hệ thống nền tảng các văn bản hướng dẫn, quy trình, tiêu chuẩn và chính sách. Chứng chỉ cho phép cơ quan tổ chức chứng tỏ mức độ an toàn thông tin của bản thân và đánh giá mức độ an toàn thông tin của các đối tác. Hiện nay, chứng chỉ ISO 17799 có thể trở thành bắt buộc cho những tổ chức đòi hỏi mức độ cam kết an toàn thông tin cao. Đối với một số tổ chức khác, chứng chỉ ISO 17799 có lợi điểm là có thể sử dụng như một công cụ marketing nâng cao hình ảnh công ty trên thương trường. Tính đến nay, đã có hơn 1000 tổ chức nhận chứng chỉ ISO 17799, bao gồm những công ty hàng đầu như Siemens, Fujitsu, Nokia, Hitachi, điều này càng khẳng định thêm lợi điểm chiến lược của việc áp dụng chuẩn ISO 17799 cho các doanh nghiệp và tổ chức. 2.1.3. Những phần kiểm soát cơ bản của ISO 17799. Chuẩn ISO 17799 thiết lập các hướng dẫn và nguyên tắc chung nhằm thi hành, duy trì và tăng cường quản lý an toàn thông tin trong một tổ chức. Hiện nay, bản cập nhật mới nhất của tiêu chuẩn ISO 17799-2005 bao gồm 11 phần sau: 1. Chính sách an ninh chung (Security Policy) 2. Tổ chức an toàn thông tin (Organizing Information Security) 3. Quản lý sự cố an toàn thông tin (Information Security Incident Management) 4. Xác định, phân cấp và quản lý tài nguyên (Asset Management) 5. An ninh nhân sự (Human Resources Security) 6. An ninh vật lý và môi trường (Physical and Environmental Security) 7. Quản trị CNTT và mạng (Communication and Operations Management) 8. Quản lý truy cập (Access Control) 9.Phát triển và duy trì hệ thống (Informations System Acquisition, Development and Maintenance) Quản lý tính liên tục kinh doanh (Business Continuity Management) Yếu tố tuân thủ luật pháp (Compliance) Văn bản tiêu chuẩn ISO 17799 xây dựng mỗi kiểm soát theo cấu trúc sau: Mục tiêu của phần kiểm soát: Nêu ra tiêu chí cần đạt được của kiểm soát. Kiểm soát: Định nghĩa và mô tả kiểm soát. Hướng dẫn thi hành: Cung cấp những thông tin nhằm hỗ trợ việc thi hành kiểm soát và đạt được mục tiêu đề ra. Một số hướng dẫn có thể không phù hợp trong mọi trường hợp và vì vậy, những cách thi hành khác có thể phù hợp hơn. Hình 2.1: Cấu trúc của tiêu chuẩn ISO 17799 2.1.3.1. Chính sách an ninh chung Chính sách an ninh chung đề cập đến sự hỗ trợ của cấp quản lý, cam kết và định hướng trong việc đạt được các mục tiêu về an toàn thông tin, bao gồm hai phần chính: Văn bản chính sách an toàn thông tin – được định nghĩa là một văn bản mang tính khái niệm, không cụ thể về phương thức thi hành, bao gồm các tiêu chí an toàn thông tin của một tổ chức. Văn bản này, kèm với một hệ thống các tiêu chuẩn, hướng dẫn, và các quy trình nhằm hỗ trợ cho việc đạt được các tiêu chí trên. Văn bản này cần được chấp thuận thông qua bởi ban lãnh đạo và được công bố rộng rãi cho tất cả nhân viên và những phía đối tác bên ngoài có liên quan. Xem xét cập nhật chính sách an toàn thông tin – Chính sách an toàn thông tin cần được quy trách nhiệm và giao quyền quản lý cho một chủ thể. Chủ thể này sẽ chịu trách nhiệm phát triển, xem xét cập nhật và đánh giá chính sách an toàn thông tin. Quy trình xem xét cập nhật cần được tiến hành thường xuyên nhằm đánh giá những cơ hội mới cho việc hoàn thiện chính sách an toàn thông tin và các thay đổi về quản lý an toàn thông tin đáp ứng những thay đổi đến môi trường tổ chức, những tình huống kinh doanh mới ,điều kiện luật pháp, hoặc môi trường kỹ thuật. 2.1.3.2. Tổ chức an toàn thông tin Tổ chức an toàn thông tin đề cập đến nhu cầu thiết lập một cơ cấu quản lý nhằm đề xướng và kiểm soát việc thi hành an toàn thông tin trong một tổ chức, bao gồm: Diễn đàn quản lý an toàn thông tin – cung cấp một hội đồng đa cấp nhằm thảo luận các vấn đề về an toàn thông tin xuyên suốt tổ chức. Giám đốc an toàn thông tin (ISSO) – đóng vai trò là trung tâm liên lạc cho các vấn đề, định hướng và quyết định liên quan đến an toàn thông tin. Trách nhiệm an toàn thông tin – trách nhiệm liên quan đến an toàn thông tin được vạch ra và mô tả cụ thể trong bảng mô tả công việc. Quy trình kiểm soát thẩm quyền – Đảm bảo những yếu tố vế bảo mật được xét đến và các vấn đề liên quan đến hệ thống mới hoặc sửa đổi hệ thống thông tin được thông qua. Nguồn chuyên gia – Đảm bảo các mối quan hệ với các chuyên gia độc lập nhằm có thể liên hệ các nguồn lực không sẵn có trong nội bộ tổ chức. Phối hợp tổ chức – Duy trì quan hệ với những đối tác chia sẻ thông tin và những cơ quan luật pháp có thẩm quyền. Xem xét độc lập – cơ chế cho phép thẩm định độc lập sự hiệu quả về mặt an toàn thông tin 2.1.3.3. Quản lý sự cố an toàn thông tin Mục tiêu của kiểm soát này là nhằm đảm bảo tất cả các sự cố và những điểm yếu liên quan đến hệ thống thông tin phải được liên lạc, thông báo kịp thời đến các bộ phận có thẩm quyền, cho phép khoảng thời gian phản hồi khắc phục sự cố. Quy trình báo cáo sự cố và tường trình lên cấp cao hơn phải được soạn thảo kỹ lưỡng và thông báo đến tất cả nhân viên trong tổ chức. 2.1.3.4. Xác định, phân cấp và quản lý tài nguyên Mục tiêu của việc xác định, phân cấp và quản lý tài nguyên là nhằm bảo vệ tài nguyên thông tin của một của tổ chức, quy trình đề nghị bao gồm: Kiểm kê, thống kê tài sản – cơ chế nhằm duy trì chính xác bảng liệt kê tài sản, và thiết lập chủ sở hữu của tất cả tài sản. Phân loại – cơ chế nhằm phân loại tài sản dựa trên mức độ ảnh hưởng kinh doanh. Xử lý – thiết lập những tiêu chuẩn xử lý, bao gồm các quy trình liên quan đến việc tạo ra, di chuyển, chuyển giao, hủy bỏ các tài sản thông tin, dựa trên phân loại tài sản. 2.1.3.5. An ninh nhân sự Mục đích của an ninh nhân sự nhắm đến khả năng của một tổ chức trong việc giảm thiểu rủi ro liên quan đến vấn đề con người, bao gồm: Kiểm tra nhân sự - những chính sách nhân sự cần đảm bảo trình độ và tính thích hợp của tất cả nhân sự có quyền truy cập vào tài sản thông tin của tổ chức. Mức độ phù hợp của nhân sự được đánh giá dựa trên mô tả công việc và kết quả phân loại mức độ bảo mật của tài sản thông tin. Trách nhiệm bảo mật – nhân viên cần hiểu rõ trách nhiệm bảo mật thông tin của mỗi cá nhân, thông qua các hướng dẫn thi hành và văn bản cam kết không tiết lộ thông tin. Điều khoản và điều kiện lao động – nhân viên cần hiểu rõ trách nhiệm bảo mật thông tin như là một điều kiện tiên quyết trong điều khoản lao động. Đào tạo: Một chương trình đào tạo an toàn thông tin cần được tiến hành cho tất cả nhân viên, bao gồm những người đang làm và những người mới vào. Giải quyết vi phạm – một quy trình chính thức được thiết lập để giải quyết những vi phạm các điều khoản trong chính sách an toàn thông tin. 2.1.3.6. An ninh vật lý và môi trường Kiểm soát bảo mật vật lý và môi trường đề cập đến rủi ro trong môi trường vật lý, bao gồm: Địa điểm – Các địa điểm trụ sở của tổ chức nên được phân tích về khía cạnh các mối đe dọa môi trường xung quanh. Bảo mật chu vi vật lý: Chu vi vật lý của một tòa nhà cần được xác định. Một tòa nhà của cơ quan có thể có nhiều vùng dựa trên các yêu cầu của tổ chức. Kiểm soát ra vào – Các lối ra vào của chu vi vật lý tòa nhà cần được bảo vệ dựa theo mức độ phân loại quan trọng bảo mật. Tài sản – Địa điểm đặt tài sản được tính toán kỹ lưỡng nhằm giảm thiểu rủi ro an ninh. 2.1.3.7. Quản trị CNTT và mạng Kiểm soát quản trị CNTT và mạng đề cập đến khả năng của một tổ chức trong việc đảm bảo quy trình vận hành của hệ thống CNTT nói chung và hệ thống hạ tầng mạng nói riêng. Quy trình vận hành – bao gồm các quy trình nhằm hỗ trợ các tiêu chuẩn và chính sách vận hành của tổ chức. Kiểm soát thay đổi – quy trình quản lý thay đổi và cấu hình, bao gồm các thay đổi trong hệ thống an toàn thông tin. Quản trị sự cố - các cơ chế được thiết lập nhằm đảm bảo sự phản hồi nhanh và hiệu quả đến bất kỳ sự cố bảo mật thông tin nào. Nguyên tắc tách quyền – Đảm bảo sự phân tách quyền hạn cho những tác vụ quan trọng và cơ chế thuyên chuyển công tác. Hoạch định khả năng – Cơ chế nhắm đến việc theo dõi khả năng đáp ứng của tổ chức cho những tác vụ yêu cầu kinh doanh cụ thể nhằm đảm bảo việc kinh doanh liên tục. Quản lý mã nguồn lạ – nhắm đến việc giảm thiểu rủi ro liên quan đến việc thâm nhập của những mã nguồn lạ. Quy chế bảo trì – Đảm bảo các chính sách, tiêu chuẩn và hướng dẫn đề cập đến vấn đề duy trì các hoạt động bảo trì thường xuyên như cơ chế backup, cơ chế log. Quản lý mạng – Những kiểm soát cần được thiết lập nhằm đảm bảo tính bảo mật trong các hoạt động vận hành mạng. Quản lý phương tiện lưu trữ dữ liệu – Đảm bảo việc xử lý, di chuyển, hủy bỏ an toàn những phương tiện lưu trữ dữ liệu. 2.1.3.8. Quản lý truy cập Kiểm soát truy cập cung cấp các cơ chế nhằm quản lý, kiểm soát truy cập đến nguồn tài nguyên thông tin dựa trên các yêu cầu cụ thể về kinh doanh và bảo mật, bao gồm: Yêu cầu kinh doanh – văn bản chính sách quyết định quyền truy cập đến tài nguyên thông tin dựa trên yêu cầu kinh doanh của chủ thể và nguyên tắc “cần được biết”. Quản lý người dùng – cơ chế có mục đích: Đăng ký và xóa tài khoản truy cập Kiểm soát và xem xét quyền truy cập Quản lý mật khẩu Trách nhiệm của người sử dụng – Thông báo cho người sử dụng trách nhiệm trong vấn đề truy cập, bao gồm trách nhiệm giữ kín mật khẩu và những vấn đề liên quan khác. Kiểm soát quyền truy cập mạng – chính sách quy định vấn đề sử dụng tài nguyên và dịch vụ mạng, bao gồm những cơ chế (đưa ra phù hợp) nhằm: Xác thực máy đầu cuối mạng Xác thực người sử dụng phía ngoài Xác định sơ đồ định tuyến an toàn Kiểm soát an ninh cho các thiết bị mạng Duy trì tính tách rời của các phân vùng mạng Kiểm soát kết nối mạng Duy trì an ninh cho các dịch vụ mạng Kiểm soát truy cập máy cá nhân – cơ chế (khi phù hợp) nhằm mục đích: Tự động nhận dạng máy đầu cuối Cơ chế xác thực an toàn Xác thực người sử dụng Quản lý mật khẩu Bảo mật những công cụ hệ thống Đảm bảo an toàn cho phiên truy cập, cơ chế tự động thoát khi không có hoạt động truy cập. Kiểm soát truy cập ứng dụng – giới hạn quyền truy cập đến ứng dụng dựa trên quyền hạn của người sử dụng đối với ứng dụng hoặc tài nguyên ứng dụng. Theo dõi truy cập – những cơ chế nhằm theo dõi truy cập hệ thống nhằm phát hiện những họat động trái phép Điện toán di động – các chính sách và tiêu chuẩn nhắm đến việc bảo vệ, đảm bảo truy cập an toàn và trách nhiệm của người dử dụng trong trường hợp là người dùng di động. 2.1.3.9. Phát triển và duy trì hệ thống Kiểm soát về duy trì và phát triển hệ thống đề cập đến những kiểm soát cần được xây dựng nhằm đảm bảo: Yêu cầu bảo mật hệ thống – tích hợp các yêu cầu bảo mật trong các bản mô tả chức năng của các dự án phát triển hệ thống. Yêu cầu bảo mật ứng dụng – tích hợp các yêu cầu bảo mật trong các bản mô tả chức năng và kiến trúc của ứng dụng. Yêu cầu mật mã – Chính sách, tiêu chuẩn và quy trình đề cập đến việc sử dụng và duy trì các kiểm soát mật mã. Tính toàn vẹn hệ thống – Cơ chế nhằm kiểm soát truy cập, và đảm bảo tính toàn vẹn của các phần mềm và dữ liệu, bao gồm một quy trình nhằm theo dõi, đánh giá và tích hợp các tác vụ nâng cấp và vá lỗi phần mềm. An ninh trong quá trình phát triển – Tích hợp các kiểm soát thay đổi và xét duyệt kỹ thuật vào trong quy trình phát triển phần mềm và hệ thống. 2.1.3.10. Quản lý tính liên tục kinh doanh Quản lý tính liên tục kinh doanh kiểm soát khả năng của một tổ chức nhằm đảm bảo tính liên tục trong hoạt động kinh doanh, bao gồm: Hoạch định liên tục kinh doanh – các chiến lược liên tục kinh doanh dựa trên phân tích về mức độ ảnh hưởng đến kinh doanh của các rủi ro. Thử nghiệm tính liên tục kinh doanh – thử nghiệm và mô tả các chiến lược liên tục kinh doanh. Duy trì tính liên tục kinh doanh – Xác định chủ sở hữu của chiến lược liên tục kinh doanh và các thẩm định liên tục và duy trì. 2.1.3.11. Yếu tố tuân thủ luật pháp Kiểm soát này nhằm đảm bảo tổ chức có các cơ chế đảm bảo các yêu cầu về luật pháp, tuân thủ các luật định trong ngành, bao gồm: Quyền sở hữu trí tuệ Bảo vệ các thông tin tổ chức Bảo vệ dữ liệu khách hàng và đối tác Chống lại việc sử dụng sai nguyên tắc Các luật lệ về mã hóa Thu thập chứng cứ 2.2. Đề xuất quy trình xây dựng Mô hình mạng an toàn. Theo chuẩn ISO 17799, vấn đề an toàn thông tin phải được đưa ra trong bước đầu triển khai thiết kế hệ thống mạng và sẽ được nhắc tới trong suốt quá trình thi công cũng như đưa vào vận hành. Do đó, cần phải có một chính sách được đưa ra nhằm thống nhất trong thiết kế và vận hành hệ thống mạng. Bản thân em sau khi tìm hiểu về ISO 17799 thì thấy nếu chúng ta dựa vào những khuyến cáo của ISO 17799 để xây dựng nên chính sách thiết kế và vận hành hệ thống mạng thì chính sách đó sẽ có được một nền tảng vững vàng về độ tin cậy và độ chính xác. Đồng thời khi áp dụng chính sách này vào xây dựng hệ thống mạng, chúng ta sẽ có một hệ thống mạng có tỉ lệ đáp ứng theo chuẩn ISO rất cao. Xuất phát từ việc tìm hiểu đó, em xin đề xuất đưa ra một quy trình mẫu, mang tính gợi ý và dựa trên ISO áp dụng vào việc xây dựng một hệ thống mạng an toàn. 2.2.1. Khảo sát hệ thống. Khảo sát hệ thống: Thu thập các thông tin, tài liệu liên quan đến cấu trúc của hệ thống và các hoạt động của hệ thống. Cần tìm hiểu vai trò chức năng, nhiệm vụ và cách thức hoạt động của hệ thống, từ đó xác định được nhu cầu bảo vệ thông tin của tổ chức. Nhu cầu bảo vệ thông tin của các tổ chức/doanh nghiệp khác nhau là khác nhau, nó phụ thuộc vào nhiều yếu tố như lĩnh vực, phương thức hoạt động, hoặc mục tiêu kinh doanh của các tổ chức, doanh nghiệp… Việc bảo vệ an toàn thông tin xoay quanh việc bảo đảm cho ba thuộc tính của an toàn thông tin: bí mật, toàn vẹn và sẵn sàng. Việc bảo đảm ba thuộc tính này của thông tin ở các tổ chức doanh nghiệp, tổ chức cũng khác nhau. Ví dụ như một công ty chuyên cung cấp dịch vụ game online sẽ chú trọng hơn đến tính sẵn sàng đáp ứng thông tin và dịch vụ hơn, còn các ngân hàng thường có xu hướng chú trọng hơn tới việc bảo mật các thông tin liên quan đến khách hàng: số tài khoản cá nhân, các khoản vay nợ…. Do đó cần xác định nhu cầu bảo đảm an toàn thông tin cho doanh nghiệp, tổ chức sẽ giúp việc triển khai xây dựng hệ thống đáp ứng đuợc yêu cầu của doanh nghiệp, tổ chức đó. Để tiếp cận an toàn tới một hệ thống đã cho, đầu tiên phải xác định và chỉ ra được chính xác rằng hệ thống đó bao gồm những cái gì. Nếu một cấu trúc hoàn thành không được đặc chỉ ở bước này, thì sau đó các khả năng bị tấn công trong các thành tố đã bị bỏ qua có thể không được tính tới trong các bước tiếp theo của quá trình. Nội dung khảo sát tương ứng với những vấn đề cần giải quyết sao cho phù hợp với yêu cầu của người sử dụng và quy mô của hệ thống thông tin. Công việc khảo sát có thể chia thành các nội dung chính sau: Khảo sát vật lý: Khảo sát và vẽ lại sơ đồ cấu trúc của tòa nhà, công ty… Xác định số lượng, vị trí đặt các máy tính, các thiết bị mạng trong từng phòng ban phòng ban và trong toàn hệ thống. Xác định các vấn đề cần giải quyết trong tổ chức và phạm vi giải quyết của từng vấn đề: Nghiên cứu cơ cấu tổ chức của hệ thống Nghiên cứu chức năng, nhiệm vụ của từng bộ phận và sự phân cấp quyền hạn trong hệ thống Thu thập và nghiên cứu các hồ sơ, sổ sách, tài liệu, các chứng từ giao dịch và các phương tiện xử lý thông tin. Thu thập các nhu cầu xử lý và sử dụng thông tin. Xác định nhóm người sử dụng: Xác định các nhóm cán bộ trong tổ chức mà công việc của họ có mối liên hệ mật thiết với các hoạt động của hệ thống thông tin. Việc xác định các nhóm người sử dụng nhằm làm rõ những nguồn thông tin mà họ có thể cung cấp cũng như yêu cầu của họ đối với hệ thống thông tin mới cần xây dựng. Mô tả và liệt kê tài nguyên làm cho việc tiến hành các biện pháp bảo vệ tài nguyên hiệu quả hơn. Việc đưa ra một bản kiểm kê tài nguyên là rất quan trọng của quản lý rủi ro. Một tổ chức hoàn toàn có thể định rõ các tài nguyên, các giá trị liên quan cùng với mức độ quan trọng của các tài nguyên này. Dựa vào các thông tin đó, tổ chức có thể đưa ra mức độ bảo vệ thích hợp so với giá trị và mức độ quan trọng của loại tài nguyên. Một bản kiểm kê tài nguyên cần được sắp xếp và đưa ra các tài nguyên quan trọng liên quan đến từng hệ thống thông tin. Mỗi loại tài nguyên cần được xác định rõ ràng quyền sở hữu của nó và phân loại bảo mật đã được thống nhất và có văn bản, cùng với vị trí hiện tại (quan trọng khi mà cố gắng phục hồi từ sự mất mát và hỏng hóc). Ví dụ về các tài nguyên liên quan đến các hệ thống thông tin như: a) tài nguyên thông tin: cơ sở dữ liệu và file dữ liệu, hệ thống văn bản, hướng dẫn người dùng, tài liệu đào tạo, các thủ tục hỗ trợ hay hoạt động, tính liên tục trong kế hoạch, sắp đặt dự phòng, thông tin lưu trữ… Các thông tin đó cũng cần được phân loại đảm bảo cho các tài nguyên thông tin có mức độ bảo vệ thích hợp. Thông tin cần được phân loại nhằm nắm được yêu cầu, các quyền ưu tiên cũng như mức độ bảo vệ. Mức độ nhạy cảm cũng như mức độ quan trọng của thông tin là rất khác nhau. Có nhiều loại thông tin yêu cầu tăng mức độ bảo vệ hoặc cần sự xử lý đặc biệt. Do đó cần phân loại thông tin được sử dụng để xác định một tập các mức độ bảo vệ sao cho phù hợp với mỗi loại thông tin, cũng như chuyển các yêu cầu cho các biện pháp xử lý mang tính đặc biệt. b) tài nguyên phần mềm: phần mềm ứng dụng, phần mềm hệ thống, công cụ phát triển và các tiện ích; c) tài nguyên vật lý: thiết bị máy tính (bộ xử lý, màn hình, máy xách tay, modem), các thiết bị truyền thông (router, PABX, máy fax, answer machine), phương tiện truyền thông (băng, đĩa), các thiết bị kỹ thuật khác (nguồn nuôi, điều khiển), đồ đạc, … d) dịch vụ: bao gồm các dịch vụ mà tổ chức sẽ cung cấp hay sử dụng. Những kết nối không an toàn tới các dịch vụ mạng có thể tác động tới toàn bộ tổ chức. Những người dùng không nên được cung cấp truy cập trực tiếp tới dịch vụ mà họ được cấp quyền riêng để sử dụng. Kiểm soát này đặc biệt quan trọng đối với các kết nối mạng tới những ứng dụng thương mại nhạy cảm hay then chốt hoặc tới những người dử dụng ở những vị trí rủi ro cao. Cần mô tả rõ ràng các dịch vụ cũng như việc sử dụng các dịch vụ đó: - Các mạng và các dịch vụ mạng mà tổ chức sử dụng cung cấp - xác định ai được phép truy cập những mạng và các dịch vụ mạng nào. Sau khi đã có thông tin đầy đủ về toàn bộ tài nguyên hệ thống, cần rà soát và lập danh sách các đối tượng cần được bảo vệ với những mô tả đầy đủ về: các đặc điểm của đối tượng, nhiệm vụ, chức năng, mức độ quan trọng (đối tượng ở đây có thể là một phần mềm, máy chủ, quy trình tác nghiệp của cơ quan đơn vị…) 2.2.2. Xác định và phân loại các nguy cơ, rủi ro gây mất an toàn đối với hệ thống mạng của tổ chức. Các nguy cơ, rủi ro gây mất an toàn đối với hệ thống mạng là rất lớn. Nguy cơ rủi ro đối với thông tin được thể hiện hoặc tiềm ẩn trên nhiều khía cạnh khác nhau như: người sử dụng, kiến trúc hệ thống thông tin, chính sách bảo mật thông tin, các công cụ quản lý và kiểm tra… 2.2.2.1. Các nguy cơ gây mất an ninh Nguy cơ được nhận biết khi một điểm yếu được khai thác bởi một nguồn phát sinh nguy cơ. Nguồn phát sinh nguy cơ bao gồm: Các nguy cơ do tự nhiên: bão lụt, động đất, bão táp, lở đất, lở tuyết, sấm chớp… Các nguy cơ do con người: sự kiện gây ra bởi con người , bao gồm vô ý (lỗi nhập liệu) hay cố tình (tấn công mạng, đăng tải các phần mềm có hại, truy nhập trái phép thông tin mật…). Các nguy cơ do môi trường: mất điện dài hạn, ô nhiễm, hóa chất độc hại, rò rỉ nhiên liệu… Dựa vào thành phần cũng như các tài nguyên, dịch vụ của tổ chức để đưa ra nhưng nguy cơ có thể gây mất an toàn đối với mạng máy tính. Các tư liệu về các nguy cơ, các cuộc tấn công hệ thống mạng từ các cơ quan chức năng, các phương tiện thông tin đại chúng cũng là một trong các nguồn tham khảo để có thể thu thập, thống kê các thông tin liên quan đến các nguy cơ gây mất an toàn đối với mạng máy tính của tổ chức. Một điều rất quan trọng là cần phải biết rõ tài nguyên nào cần được bảo vệ, tức là tài nguyên nào có tầm quan trọng lớn hơn để đi đến một giải pháp hợp lý về kinh tế. Đồng thời ta cũng phải xác định rõ đâu là nguồn đe doạ tới hệ thống. Nhiều nghiên cứu cho thấy rằng, thiệt hại do những kẻ "đột nhập bên ngoài" vẫn còn nhỏ hơn nhiều so với sự phá hoại của những "người bên trong". Phân tích nguy cơ bao gồm những việc: Ta cần bảo vệ những gì ? Ta cần bảo vệ những tài nguyên khỏi những gì ? Làm thế nào để bảo vệ ? Các nguy cơ cũng phải được xếp hạng theo tầm quan trọng và mức độ trầm trọng của thiệt hại. Có hai hệ số sau : 1. Ri là nguy cơ mất mát tài nguyên i 2. Wi là tầm quan trọng của tài nguyên i Ri có các giá trị từ 0.0 đến 1.0 trong đó : Ri = 0.0 là không có nguy cơ mất mát tài nguyên Ri = 1.0 là có nguy cơ mất mát tài nguyên cao nhất Wi có các giá trị từ 0.0 đến 1.0 trong đó : Wi = 0.0 là tài nguyên không có tầm quan trọng Wi = 1.0 là tài nguyên có tầm quan trọng cao nhất Khi đó trọng số nguy cơ của tài nguyên là tích của hai hệ số : WRi = Ri * Wi Các hệ số khác cần xem xét là tính hiệu lực, tính toàn vẹn và tính cẩn mật. Tính hiệu lực của một tài nguyên là mức độ quan trọng của việc tài nguyên đó luôn sẵn sàng dùng được mọi lúc. Tính toàn vẹn là tầm quan trọng cho các tài nguyên CSDL. Tính cẩn mật áp dụng cho các tài nguyên như tệp dữ liệu mà ta có hạn chế được truy nhập tới chúng. 2.2.2.1. Xác định các mối đe doạ chính. Sau khi đã xác định những tài nguyên nào cần được bảo vệ, chúng ta cũng cần xác định xem có các mối đe doạ nào nhằm vào các tài nguyên đó. Có thể có những mối đe doạ chính như sau: a) Truy nhập bất hợp pháp: Chỉ có những người dùng hợp pháp mới có quyền truy nhập tài nguyên mạng, khi đó ta gọi là truy nhập hợp pháp. Có rất nhiều dạng truy nhập được gọi là bất hợp pháp chẳng hạn như dùng tài khoản của người khác khi không được phép. Mức độ trầm trọng của việc truy nhập bất hợp pháp tuỳ thuộc vào bản chất và mức độ thiệt hại do truy nhập đó gây nên. b) Để lộ thông tin: Để lộ thông tin do vô tình hay cố ý là một mối đe doạ khác. Chúng ta nên định ra các giá trị để phản ánh tầm quan trọng của thông tin. Ví dụ đối với các nhà sản xuất phần mềm thì đó là: mã nguồn, chi tiết thiết kế, biểu đồ, thông tin cạnh tranh về sản phẩm... Nếu để lộ các thông tin quan trọng, tổ chức của chúng ta có thể bị thiệt hại về các mặt như uy tín, tính cạnh tranh, lợi ích khách hàng... c) Từ chối cung cấp dịch vụ: Mạng thường gồm những tài nguyên quý báu như máy tính, CSDL ... và cung cấp các dịch vụ cho cả tổ chức. Đa phần người dùng trên mạng đều phụ thưộc vào các dịch vụ để thực hiện công việc được hiệu quả. Chúng ta rất khó biết trước các dạng từ chối của một dịch vụ. Có thể tạm thời liệt kê ra một số dạng sau: Mạng không dùng được do một gói gây lỗi Mạng không dùng được do quá tải giao thông Mạng bị phân mảnh do một router quan trọng bị vô hiệu hoá Một virus làm chậm hệ thống do dùng các tài nguyên mạng Thiết bị bảo vệ mạng bị vô hiệu hoá 2.2.2.3. Đánh giá và quản lý rủi ro. Đánh giá rủi ro là một vấn đề có tính chất của hệ thống: Sự thiệt hại trong kinh doanh do mất đi tính mặt an toàn, dẫn đến các hậu quả tiềm ẩn như làm mất đi tính mật, tính toàn vẹn hoặc tính sẵn sàng của thông tin và các tài sản khác. Trên thực tế khả năng mất tính an toàn xảy ra trong các tình huống như xem nhẹ các nguy cơ đe dọa và các quy tắc triển khai hiện tại. Đánh giá rủi ro bao gồm xem xét các điểm yếu, các nguồn đe dọa, các biện pháp quản lý nhằm xác định mức độ các rủi ro còn lại đối với hoạt động, tài nguyên, nhân viên của tổ chức. Do đó tổ chức thực hiện việc đánh giá các rủi ro và mức độ nghiêm trọng các rủi ro đó. Các rủi ro đó có thể xảy ra do sự truy cập trái phép, sử dụng trái phép, mất, thay đổi hoặc phá hủy thông tin và hệ thống thông tin có liên quan tới hoạt động và tài nguyên của tổ chức. Kết quả của việc đánh giá này sẽ giúp hướng dẫn và quyết định các hành động quản lý và độ ưu tiên thích hợp nhằm quản lý các nguy cơ/rủi ro bảo mật thông tin, cũng như vận dụng các công cụ được lựa chọn để bảo vệ trước các nguy cơ/rủi ro này. Tiến trình đánh giá rủi ro và lựa chọn giải pháp/công cụ có thể cần một khoảng thời gian để tiến hành cho nhiều phần/bộ phận khác nhau của tổ chức cũng như từng hệ thống thông tin riêng biệt. Căn cứ trên mức độ rủi ro của các tài nguyên, đề xuất các giải pháp (công nghệ cũng như phi công nghệ) để giảm nhẹ hoặc loại trừ rủi ro theo nguyên tắc: - Giảm nhẹ/loại trừ các nguy cơ ở mức có thể. - Giảm nhẹ/loại trừ các điểm yếu ở mức có thể. - Tối thiểu hoá các tài nguyên hệ thống. Kết quả của việc đánh giá sẽ hướng dẫn và xác định các hành động quản lý tương ứng và mức độ ưu tiên cho vấn đề quản lý các rủi ro an toàn thông tin, và cho việc triển khai các quy tắc đã lựa chọn để bảo vệ các rủi ro này. Quá trình đánh giá các rủi ro và lựa chọn các quy tắc cần được thực hiện nhiều lần nhằm bao quát được toàn bộ các bộ phận khác nhau của tổ chức hoặc các hệ thống thông tin cá nhân. Đó là vấn đề quan trọng để tiến hành một cách định kỳ nhằm xem xét lại các rủi ro về an toàn cũng như các quy tắc đã triển khai để: Đưa ra các thay đổi về các yêu cầu cũng như mức độ ưu tiên trong kinh doanh. Rà soát các nguy cơ và các mối đe dọa mới. Xác nhận lại các quy tắc còn hiệu quả và thích hợp. Việc xem xét nên được thực hiện ở các mức độ khác nhau về chiều sâu phụ thuộc vào các kết quả đánh giá lần trước và việc thay đổi mức độ rủi ro mà nhà quản lý sẵn sàng cho việc chấp nhận. Đánh giá rủi ro thường được tiến hành đầu tiên ở mức độ cao, như quyền ưu tiên về các tài nguyên trong lĩnh vực có nguy cơ rủi ro cao, sau đó đến các mức độ cụ thể hơn, và cuối cùng là đến các rủi ro cụ thể. Các yêu cầu về an toàn thông tin được xác định bằng phương pháp định giá các rủi ro về an toàn. Vấn đề chi phí trên các sự kiểm soát cần được cân nhắc kỹ lưỡng đối với sự thiệt hại trong kinh doanh do sự mất đi tính an toàn. Các kỹ thuật định giá rủi ro có thể được áp dụng trong tổ chức, hoặc chỉ một bộ phận của tổ chức, như các hệ thống thông tin cá nhân, các thành phần hệ thống xác định hoặc các dịch vụ, … mang tính chất khả thi, thực tế và hữu ích. Sau khi đã xác định được khả năng khai thác điểm yếu của các mối đe dọa, ta có thể phân tích và hiểu rõ tầm ảnh hưởng của chúng tới hệ thống thông tin nói riêng và tổ chức nói chung. Trước khi phân tích ảnh hưởng thì cần có những thông tin sau: Tiêu chí hệ thống (ví dụ: các quy trình thực thi bởi hệ thống). Độ quan trọng của dữ liệu và hệ thống (ví dụ: tầm quan trọng hoặc giá trị của hệ thống đối với cơ quan/tổ chức). Độ nhạy cảm của dữ liệu và hệ thống. Các thông tin này có thể thu thập từ các tài liệu của tổ chức, ví dụ như tài liệu đánh giá độ quan trọng các tài nguyên thông tin – tài liệu đánh giá độ quan trọng và nhạy cảm các tài nguyên thông tin (ví dụ: phần cứng, phần mềm, các hệ thống, các dịch vụ và các tài nguyên liên quan đến công nghệ) hỗ trợ cho tiêu chí của tổ chức. Nếu không có tài liệu này thì độ nhạy cảm của dữ liệu và hệ thống có thể xác định dựa trên các mức bảo vệ để duy trì tính sẵn sàng, toàn vẹn và bí mật của dữ liệu và hệ thống. Phỏng vấn người quản lý hệ thống hay thông tin là phương pháp đánh giá và phân tích ảnh hưởng. 2.2.3. Lập kế hoạch và tiến hành xây dựng hệ thống 2.2.3.1. Xây dựng biện pháp đảm bảo an toàn an ninh cho hệ thống thông tin. Một giải pháp về an toàn an ninh thông tin dù ở cấp độ nào cũng cần có một tổng thể các biện pháp kiểm soát. An toàn an ninh bao gồm: quản lý, vận hành và kỹ thuật. Các biện pháp quản lý thường đề cập tới việc quản lý các giải pháp vầ an toàn an ninh và quản lý rủi ro. Các biện pháp kiểm soát vận hành thường do con người thực hiện. Các biện pháp kiểm soát về kỹ thuật là các biện kiểm soát an ninh do hệ thống tự động thực hiện và các biện pháp này phải luôn được gắn liền, thực hiện song song với các biện pháp kiểm soát quản lý cũng như vận hành hệ thống. Chỉ có các biện pháp kỹ thuật đơn thuần thì không đủ, nó luôn cần được giám sát và điều phối bởi các biện pháp về quản lý. Cũng giống như một cơ quan/tổ chức trang bị cho mình một hệ thống phòng chống virus rất tân tiến, hiện đại nhưng chính sách quản lý và vận hành lại lỏng lẻo, không thống nhất, cho phép nhiều máy tính truy cập Internet không có phần mềm phòng chống virus thì nguy cơ tấn công sẽ bắt nguồn từ những máy tính thiếu sự quản lý này. Việc xây dựng biện pháp đảm bảo an toàn an ninh cho hệ thống thông tin bao gồm: Xây dựng biện pháp quản lý vận hành: + Nâng cao ý thức an toàn thông tin: cần bảo đảm cho tất cả các người sử dụng (bao gồm cả những người quản lý và cán bộ cấp cao) nắm rõ các kiến thức cơ bản về bảo mật hệ thống thông tin trước khi cho phép truy nhập và sử dụng hệ thống. + Đào tạo nhân sự: Tổ chức xác định nhân sự với những vai trò quan trọng về an toàn hệ thống thông tin và những trách nhiệm, lập tài liệu những vai trò và trách nhiệm đó, và tiến hành đào tạo đầy đủ trước khi tiến hành các hoạt động quản lý hay kỹ thuật nghiệp vụ. + Thiết lập cấu hình: Tổ chức thiết lập cấu hình chặt chẽ nhất cho các sản phẩm an toàn thông tin nhưng vẫn duy trì yêu cầu hoạt động của hệ thống thông tin. Các thành phần của hệ thống thông tin sau khi cài đặt cần được cấu hình chặt chẽ. Cấu hình chuẩn là một cách tốt nhất để quản lý cấu hình cho các hệ thống, cầu hình chuẩn cũng hỗ trợ quá trình rà soát tính an toàn của các hệ thống. + Cung cấp quyền thấp nhất: Các hệ thống thông tin có khả năng cung cấp rất nhiều các chức năng và dịch vụ. Một trong số chúng được cung cấp mặc định, có thể không cần thiết để hỗ trợ các hoạt động thiết yếu của tổ chức. Các chức năng và dịch vụ cung cấp bởi hệ thống thông tin phải được xem xét cẩn thận để xác định những chức năng, dịch vụ nào sẽ giới hạn.( Ví dụ Voice Over Internet Protocol, Instant Messaging, File Transfer Protocol, Hyper Text Transfer Protocol, file sharing). Việc giới hạn chức năng và dịch vụ sẽ làm giảm đáng kể khả năng bị tấn công của hệ thống thông tin. + Kế hoạch cho trường hợp khẩn cấp: Tổ chức phát triển và thực thi một kế hoạch cho trường hợp khẩn cấp, chỉ định rõ các vai trò, trách nhiệm, các cá nhân đã được phân công phụ trách bao gồm thông tin liên lạc, các hoạt động liên quan cùng với việc phục hồi hệ thống thông tin sau khi có sự cố làm hư hại. Rà soát kế hoạch và phân phát các bản kế hoạch đến cá nhân có vai trò then chốt. + Xử lý và giám sát sự cố: Tổ chức chuẩn bị khả năng xử lý sự cố bảo mật. Khả năng này bao gồm các công việc: chuẩn bị, phát hiện và phân tích, ngăn chặn, loại bỏ và phục hồi sau sự cố. Tổ chức cần chuẩn bị khả năng sử dụng các công cụ hỗ trợ quá trình xử lý sự cố. Bên cạnh đó, cần theo dõi và ghi lại chính xác các sự cố bảo mật đối với hệ thống thông tin. Xây dựng các biện pháp quản lý kỹ thuật: + Quản lý tài khoản: Quản lý tài khoản bao gồm nhận dạng các loại tài khoản (tức là cá nhân, nhóm và hệ thống), xây dựng các tiêu chí thành viên của nhóm, và quá trình cấp phép liên quan. Tổ chức nhận dạng những người sử dụng được phép của hệ thống thông tin và chỉ định các quyền, đặc quyền truy nhập. Tổ chức cho phép và giám sát việc sử dụng của các tài khoản khách/ tài khoản nặc danh và loại bỏ/vô hiệu hóa/quản lý các tài khoản không cần thiết. + Áp đặt điều khiển truy xuất: Các quy chế điều khiển truy xuất và các phương thức áp đặt truy xuất bắt buộc khác được tổ chức triển khai để điều khiển truy nhập giữa những người dùng ( hoặc các tiến trình/chương hoạt động đại diện cho người dùng) và các đối tượng (ví dụ các thiết bị, file, bản ghi, tiến trình, chương trình, …) trong hệ thống thông tin. + Xác thực và định danh người dùng: Xác thực định danh người dùng được thực hiện qua việc sử dụng mật khẩu, token, sinh trắc học hoặc xác thực đa yếu tố, một số trường hợp là tổ hợp của các yếu tố trên. Có thể hiện thực thêm các cơ chế xác thực và định danh mức ứng dụng để cung cấp thêm tính an toàn trong xác thực. + Giới hạn số lần đăng nhập: Hệ thống thông tin giới hạn một số hữu hạn lần đăng nhập sai liên tiếp. Hệ thống tự động khóa tài khoản/cô lập tài khoản trong một khoảng thời gian nhất định trước khi tiếp tục cho đăng nhập nếu liên tục đăng nhập sai vượt quá số lần quy định. + Truy nhập từ xa: Tổ chức lập tài liệu, theo dõi, và kiểm soát tất cả các phương pháp truy nhập từ xa (chẳng hạn, quay số, Internet) tới hệ thống thông tin bao gồm cả sự truy nhập từ xa cho những chức năng đặc quyền. Cần có quá trình kiểm tra, cho phép ứng với mỗi phương pháp truy nhập từ xa và chỉ cho phép những người thật sự cần thiết truy nhập từ xa vào hệ thống. Tổ chức triển khai những cơ chế tự động để hỗ trợ cho việc giám sát và điều khiển những phương pháp truy nhập từ xa. Tổ chức kiểm soát tất cả các sự truy nhập từ xa thông qua một điểm điều khiển truy nhập duy nhất. + Hạn chế truy nhập thông qua mạng không dây: Tổ chức: thiết lập phương pháp hạn chế truy cập mạng không dây; và lập tài liệu, giám sát, và điều khiển truy nhập không dây tới hệ thống thông tin. Tổ chức sử dụng sự chứng thực và mã hóa để bảo vệ truy nhập không dây tới hệ thống thông tin. + Ghi nhận, quản lý và bảo vệ bản ghi nhật ký: Hệ thống thông tin cần ghi nhận đầy đủ các thông tin trong các bản ghi nhật ký để xác định những sự kiện nào đã xảy ra, nguồn gốc và các kết quả của sự kiện. Hệ thống thông tin ghi nhận ít nhất các sự kiện sau: quá trình đăng nhập hệ thống, các thao tác cấu hình hệ thống, quá trình truy xuất hệ thống. Bên cạnh đó cần có cơ chế bảo vệ và lưu giữ nhật ký trong một khoảng thời gian nhất định. 2.2.3.2. Xây dựng, quản lý và vận hành hệ thống bảo vệ an toàn thông tin theo kế hoạch. Một khi các yêu cầu về bảo mật đã được thiết lập, các giải pháp/công cụ phải được lựa chọn và thực thi nhằm đảm bảo rằng các nguy cơ bảo mật được giảm xuống một mức có thể chấp nhận được (ở đây ta không thể cam đoan rằng các nguy cơ bảo mật sẽ không còn nhưng ít ra là ở mức chấp nhận được đối với từng yêu cầu). Các giải pháp/công cụ có thể được lựa chọn từ tài liệu ISO 17799 hoặc từ các tài liệu về bảo mật khác, và nếu có thể, các giải pháp/bộ công cụ mới cần được phát triển nhằm đáp ứng các yêu cầu đặc biệt của tổ chức. Có rất nhiều cách để quản lý các nguy cơ bảo mật và ISO 17799 là một trong nhữn tài liệu cung cấp cách tiếp cận chung. Tuy nhiên, chúng ta cần hiểu rằng một số giải pháp/khuyến nghị trong ISO 17799 có thể không khả dụng đối với mọi hệ thống hoặc môi trường thông tin tại các tổ chức, cơ quan khác nhau. Ví dụ như trong mục 8.1.4 (tài liệu ISO 17799) mô tả các phận sự, chức vụ nên được chia tách nhằm hạn chế sự lạm dụng chức vụ. Khuyến nghị này có lẽ không khả thi đối với các cơ quan, tổ chức quy mô nhỏ. Một ví dụ khác như trong mục 9.7 và 12.1 (tài liệu ISO 17799) có mô tả việc sử dụng hệ thống có thể được giám sát và thu thập thông tin sử dụng như thế nào. Các giải pháp được khuyến nghị, ví dụ như ghi lại sự kiện mà người dùng thực hiện, có thể xung đột với luật bảo vệ quyền riêng tư cá nhân. Tóm lại, trong điều kiện ở Việt Nam, ISO 17799 nên được áp dụng một cách linh hoạt, các điều khoản vẫn dựa trên các khuyến nghị gốc nhưng cần có sự điều chỉnh sao cho thích hợp với từng môi trường cụ thể tại từng cơ quan, tổ chức vốn có quy mô không lớn. Mềm dẻo khi áp dụng cũng chính là khuyến cáo của tổ chức ISO cho các đơn vị triển khai các quy địng của ISO ban hành. Các giải pháp nên được lựa chọn dựa trên việc cân bằng giữa chi phí thực hiện và các thiệt hại có thể khi sự cố bảo mật xảy ra. Tuy nhiên cũng cần chú ý đến các yếu tố phi vật chất/tiền tệ như giảm uy tín, mất lòng tin … Trên thực tế không tồn tại giải pháp an toàn, bảo mật thông tin dạng “plug and play” cho các tổ chức đặc biệt khi phải đảm bảo các luật thương mại đã tồn tại và phải tương thích các ứng dụng, dữ liệu có sẵn. Không có một tài liệu nào có thể lường hết được mọi lỗ hổng trong hệ thống và cũng không có nhà sản xuất nào có thể cung cấp đủ các công cụ bảo đảm tuyệt đối an toàn cho hệ thống. Cách tốt nhất là sử dụng kết hợp các giải pháp, sản phẩm nhằm tạo ra cơ chế bảo mật đa năng. Firewall: xem xét và lựa chọn một sản phẩm Firewall hợp lý và đưa vào hoạt động phù hợp với chính sách của công ty là một trong những việc đầu tiên trong quá trình bảo mật hệ thống. Firewall có thể là giải pháp phần cứng hoặc phần mềm hoặc kết hợp cả hai. Nhiệm vụ của Firewall là ngăn chặn các tấn công trực tiếp vào các thông tin quan trọng của hệ thống, kiểm soát các thông tin ra vào hệ thống. Việc lựa chọn Firewall thích hợp cho một hệ thống không phải là dễ dàng. Các Firewall đều phụ thuộc trên một môi trường, cấu hình mạng, ứng dụng cụ thể. Khi xem xét lựa chọn một Firewall, cần tập trung tìm hiểu các chức năng của Firewall, tính năng lọc địa chỉ, gói tin… Hệ thống kiểm tra xâm nhập mạng (IDS): Một Firewall được gọi là tốt khi nó có thể lọc và tạo khả năng kiểm soát các gói tin khi đi qua nó. Và đây cũng chính là nơi mà hệ thống IDS nhập cuộc. Nếu xem Firewall như một con đập ngăn nước, thì ta có thể ví IDS như một hệ thống điều khiển luồng nước trên các hệ thống xả nước khác nhau. Một IDS không liên quan tới các công việc điều khiển hướng đi của các gói tin mà nó chỉ có nhiệm vụ phân tích các gói tin mà Firewall cho phép đi qua, tìm kiếm các dấu hiệu tấn cống đã biết mà không thể kiểm tra hay ngăn chặn bởi Firewall. IDS tương ứng với việc bảo vệ đằng sau của Firewall, cung cấp việc chứng thực thông tin cần thiết để đảm bảo chắc chắn cho Firewall hoạt động hiệu quả. Phần mềm Anti-Virus: phần mềm Anti-Virus nên được cài trên toàn bộ các máy trạm (workstation), máy chủ (server), hệ thống hỗ trợ dịch vụ và hầu hết những nơi chứa dữ liệu quan trọng vào ra. Hai vấn đề quan trọng nhất để xem xét khi đặt yêu cầu một nhà sản xuất Anti-Virus quản lý nhiều máy chủ và máy trạm trên toàn bộ phạm vi của công ty là khả năng nhà cung cấp đó có đối phó được các đe dọa từ virus mới hay không. Mạng riêng ảo (VPN): Việc sử dụng VPN để cung cấp cho các nhân viên hay các cộng sự truy cập tới các tài nguyên của công ty từ nhà hay nơi làm việc khác với mức bảo mật cao, hiệu quả nhất trong quá trình truyền thông, và làm tăng hiệu quả sản xuất của nhân viên. Tuy nhiên, không có điều gì không đi kèm sự rủi ro. Bất kỳ tại một thời điểm nào khi một VPN được thiết lập, bạn phải mở rộng phạm vi kiểm soát bảo mật của công ty tới toàn bộ các nút được kết nối với VPN. Để đảm bảo mức bảo mật cho hệ thống này, người sử dụng phải thực hiện đầy đủ các chính sách bảo mật của công ty. Điều này có thể thực hiện được qua việc sử dụng các hướng dẫn của nhà sản xuất về dịch vụ VPN như hạn chế các ứng dụng có thể chạy ở nhà, cổng mạng có thể mở, loại bỏ khả năng chia kênh dữ liệu, thiết lập hệ thống bảo vệ virus khi chạy hệ thống từ xa, tất cả công việc này giúp giảm thiểu rủi ro. Điều này quan trọng đối với các công ty phải đối mặt với những đe dọa trong việc kiện cáo mạng của họ hay hệ thống được sử dụng để tấn công các công ty khác. Các hệ điều hành: Sự lựa chọn hệ điều hành và ứng dụng là quá trình đòi hỏi phải có sự cân nhắc kỹ càng. Chọn cái gì giữa hệ điều hành Microsoft hay UNIX, trong rất nhiều trường hợp, đều thường do ấn tượng các nhân về sản phẩm. Khi lựa chọn một hệ điều hành, thông tin về nhà sản xuất không quan trọng bằng những gì nhà sản xuất đó làm được trong thực tế, về khả năng bảo trì hay dễ dàng thực hiện với các tài liệu đi kèm. Bất kỳ một hệ điều hành nào từ 2 năm trước đây đểu không thể đảm bảo theo những tiêu chuẩn ngày nay, và việc giữ các máy chủ, ứng dụng của bạn được cập nhật thường xuyên sẽ đảm bảo giảm thiểu khả năng rủi ro của hệ thống. Khi lựa chọn một hệ điều hành, cần tìm hiểu không chỉ các tiêu chuẩn thông thường như quản trị, hiệu năng, tính chứng thực mà còn phải xem xét khả năng áp dụng được của hệ điều hành với hệ thống hiện tại. Một hệ điều hành có thể cung cấp cơ chế bảo mật tốt hơn khi nó tương thích với các ứng dụng chạy bên trong nó như DNS hay WebServer, trong khi các hệ điều hành khác có thể có nhiều chức năng tốt hơn như một hệ thống application, database hay email server. Trong bước này, tập hợp các tiếp cận bảo vệ an toàn có thể được phân loại bao gồm cả các thủ tục và cơ chế an toàn chuẩn. Các ưu điểm và nhược điểm của mỗi loại bảo vệ với hệ thống cũng sẽ được khảo sát. Các nhân tố điển hình thường được người ta định hướng trong việc tìm kiếm một giải pháp bảo vệ an toàn khả dĩ thường bao gồm: ảnh hưởng cực tiểu lên tính sử dụng; tác động nhỏ nhất lên hoạt động của hệ thống; giá cả thấp; tác động ít nhất tới các ứng dụng hiện có và các thủ tục đang tồn tại. Một khi các giải pháp bảo vệ đã được lựa chọn, chúng phải được tích hợp vào hệ thống. Sự tích hợp này phải được thực hiện theo cách sao cho không mang vào hệ các khả năng bị tấn công mới. Điều này rất quan trọng vì rất có thể là trong khi triệt tiêu hậu quả của một hiểm hoạ này, lại có thể đem vào một loại hiểm hoạ tiềm ẩn mới đối với hệ. Tổ chức đội ngũ cán bộ nhân viên chuyên trách đủ năng lực đảm bảo an toàn an ninh cho hệ thống thông tin và xây dựng hệ thống theo kế hoạch. Tiến trình cài đặt và cấu hình phần mềm phải tuân thủ theo sơ đồ thiết kế mạng luận lý đã mô tả. Việc phân quyền cho người dùng theo đúng chiến lược khai thác và quản lý tài nguyên mạng. Sau khi đã tiến hành cài đặt xong, cần vận hành và quản lý chặt chẽ trang thiết bị, phần mềm theo đúng quy định đã đặt ra. Cần đảm bảo rằng toàn bộ các thủ tục an ninh trong khu vực trách nhiệm của họ phải thực hiện chính xác. Hơn nữa, toàn bộ các khu vực trong tổ chức nên được xem xét việc soát xét đều đặn để đảm bảo tuân thủ với các chính sách và tiêu chuẩn an ninh. Điều này bao gồm: a) các hệ thống thông tin; b) các nhà cung cấp hệ thống; c) các chủ sở hữu của thông tin và các tài sản thông tin; d) người sử dụng; e) nhà quản lý. Thực hiện việc giáo dục cho các nhân viên, cán bộ trong tổ chức. Đây chính là bước đi quan trọng mang tính chiến lược của mỗi công ty về vấn đề bảo mật. Các chi tiết kỹ thuật của bất kỳ sự mô tả nào cũng sẽ thay đổi theo môi trường, công nghệ, và các kỹ năng liên quan, ngoài ra có một phần không nằm trong việc thực thi bảo mật nhưng chúng ta không được coi nhẹ, đó chính là sự giáo dục. Để đảm bảo sự thành công bảo mật ngay từ lúc đầu, người sử dụng phải có được sự giáo dục cần thiết về chính sách, gồm có: Kỹ năng về các hệ thống bảo mật mới, các thủ tục mới. Hiểu biết về các chính sách mới về tài sản, dữ liệu quan trọng của công ty, doanh nghiệp. Hiểu các thủ tục bắt buộc mới, chính sách bảo mật công ty. Nói tóm lại, không chỉ đòi hỏi người sử dụng có các kỹ năng cơ bản, mà đòi hỏi học phải biết như tại sao và cái gì họ đang làm là cần thiết với chính sách của công ty. Thực hiện các thông báo hướng dẫn tới người sử dụng để đảm bảo mọi người hiểu và thực hiện theo các yêu cầu cũng như sự cần thiết của việc thực hiện các yêu cầu đó. 2.2.4. Kiểm tra đánh giá hoạt động của hệ thống. Hệ thống an toàn an ninh thông tin cần được kiểm tra, đánh giá thường xuyên, định kỳ, qua đó có được đánh giá chính xác về khả năng an toàn an ninh thông tin của hệ thống. Kiểm tra hoạt động của các dịch vụ, khả năng truy cập của người dùng vào các dịch vụ và mức độ an toàn của hệ thống. Nội dung kiểm thử cần dựa vào bảng đặc tả yêu cầu của hệ thống đã được xác định ban đầu. Cần thường xuyên kiểm tra, giám sát các hoạt động của hệ thống bảo vệ an toàn an ninh thông tin nói riêng cũng như toàn bộ hệ thống thông tin nói chung. Hầu hết những gì mong đợi của một hệ thống bảo mật bất kỳ là chạy ổn định, điều khiển được hệ thống và nắm bắt được các luồng dữ liệu của hệ thống. Quá trình phân tích, tổng hợp các thông tin, sự kiện từ firewall, IDPS, VPN, router, server, và các ứng dụng là cách duy nhất để kiểm tra hiệu quả của một hệ thống bảo mật, và cũng là cách duy nhất để kiểm tra hầu hết sự vi phạm về chính sách cũng như các lỗi thông thường mắc phải với hệ thống. Các hệ thống thông tin nên được kiểm tra đều đặn về việc tuân thủ các tiêu chuẩn an ninh. Việc kiểm tra tuân thủ kỹ thuật gồm kiểm tra về các hệ thống hoạt động để đảm bảo rằng các kiểm soát phần cứng và phần mềm được thực hiện chính xác. Loại kiểm tra việc tuân thủ này yêu cầu chuyên gia về trợ giúp kỹ thuật. Nên thực hiện thủ công (hỗ trợ bằng các công cụ phần mềm thích hợp nếu cần) bởi một kỹ sư hệ thống có kinh nghiệm hoặc bởi một gói phần mềm tự động mà đưa ra một báo cáo kỹ thuật về sự thể hiện tiếp theo bởi một chuyên gia kỹ thuật. Kiểm tra việc tuân thủ gồm, ví dụ kiểm tra thủ tục truy cập, có thể tiến hành bởi các chuyên gia độc lập đặc biệt được ký kết vì mục đích này. Điều này hữu ích trong việc phát hiện những khả năng bị tấn công trong hệ thống và để kiểm tra các kiểm soát ngăn ngừa truy cập trái phép do những khả năng bị tấn công này có hiệu quả thế nào. Cảnh báo nên được sử dụng trong trường hợp thành công của một cuộc kiểm tra thủ tục truy cập có thể dẫn đến một sự tổn hại về an ninh của hệ thống và lợi dụng không cố ý các khả năng dễ bị tấn công khác. Mọi kiểm tra việc tuân thủ kỹ thuật chỉ nên được tiến hành bởi hoặc dưới sự giám sát của những người có thẩm quyền, thạo việc. Báo cáo tổng kết tình hình theo định kỳ. 2.2.5. Bảo trì và nâng cấp hệ thống. Thường xuyên kiểm tra và bảo trì hệ thống bảo vệ an toàn an ninh thông tin nói riêng và hệ thống mạng của tổ chức nói chung. Mạng sau khi đã cài đặt, vận hành cần được bảo trì để khắc phục những vấn đề phát sinh xảy ra trong tiến trình thiết kế, cài đặt và vận hành hệ thống. Công việc bảo trì hệ thống mạng máy tính bao gồm các công việc: Cập nhật chương trình chống virus cho toàn hệ thống theo định kỳ, thời gian cập nhật phụ thuộc vào nhà sản xuất phần mềm chống virus sử dụng trên hệ thống mạng máy tính của công ty. Kiểm tra độ an toàn và bảo mật dữ liệu hệ thống Kiểm tra cơ chế backup dữ liệu có hoạt động tốt như đã cài đặt hay không. Cài đặt các phần mềm yêu cầu thêm của nhân viên sử dụng máy trạm nhằm đáp ứng nhu cầu sử dụng máy của nhân viên. Tối ưu hóa tốc độ máy tính: loại bỏ các chương trình thường trú không sử dụng, dọn dẹp dữ liệu rác và các file hệ thống theo định kỳ hàng tuần… Vệ sinh tất cả các thiết bị trên toàn hệ thống theo định kỳ mỗi năm một lần. Các hệ điều hành (Windows, Macintosh, Linux) đều có thể có các lỗ hổng bảo mật ở các cấp độ khác nhau, các ứng dụng trong PC cũng có thể tiềm ẩn chứa các điểm yếu bảo mật. Các nguy cơ tấn công luôn luôn tìm cách khai thác các điểm yếu bảo mật này để nhằm tấn công phá hoại hoặc kiểm soát máy tính. Việc kiểm soát và “vá” các lỗ hổng bảo mật này là một hành động rất quan trọng trong việc ngặn chặn và loại trừ các nguy cơ đối với hệ thống máy tính. Có thể liên hệ trực tiếp với web site của nhà sản xuất để tải xuống các bản vá hoặc sử dụng các dịch vụ quản lý bản vá tập trung của chính cơ quan, hệ thống đang hoạt động. Cần phải thường xuyên kiểm soát việc xuất hiện các bản vá mới hoặc cài đặt việc tự động kết nối để tải xuống và cài đặt các bản vá mới. Nên lưu ý rằng điểm yếu của ứng dụng (của trình duyệt, của trình soạn thảo, ...) cũng gây nguy hiểm không kém điểm yếu của hệ điều hành. Cần nhanh chóng mở rộng, nâng cấp hoặc thay đổi khi cần thiết. Lưu ý rằng, toàn bộ quá trình thiết kế an toàn hệ thống có thể được lặp lại cho đến khi độ mạo hiểm của hệ thống được đánh giá là chấp nhận được. Thông thường, quá trình thực hiện vài lần lặp đối với phân loại khả năng bị tấn công, đánh giá độ mạo hiểm và tích hợp bảo vệ thì độ mạo hiểm có thể giảm xuống một cách phù hợp. Ngoài ra đôi khi chỉ đòi hỏi một phần các bước trước đó phải lặp lại (chứ không phải tất cả các bước). Ví dụ, bước thứ nhất thường không phải lặp lại nếu sự khảo sát kỹ lưỡng đã thực hiện để chỉ rõ các thành tố của hệ thống. Như vậy trong quy trình thiết kế an toàn một hệ thống đòi hỏi đầu tiên là phải tiến hành nhận biết và phân loại các khả năng bị tấn công hay là các kênh rò rỉ thông tin, các kênh mất an toàn của hệ thống đó. Đó chính là quá trình phân tích an toàn hệ thống. Như các bước trên đã chỉ rõ, trong phân tích an toàn hệ thống phải dùng các phép phân loại các hiểm hoạ, các khả năng bị tấn công và các tấn công; phải cố gắng tìm ra các kênh mất an toàn và tập trung vào các nguyên nhân sinh ra chúng. Và mục đích của an toàn là đề ra được các giải pháp, phương án loại trừ các nguyên nhân này, triệt tiêu các khả năng bị tấn công và bịt kín các kênh rò rỉ an toàn đó. KẾT LUẬN Đề tài về bảo đảm an toàn thông tin luôn là mối quan tâm hàng đầu của các nhà quản trị mạng nói riêng và của những nhà tin học nói chung. Để có thể xây dựng được một hệ thống mạng mà có thể tránh khỏi mọi sự tấn công là không thể, nhưng chúng ta có thể xây dựng được những hệ thống mạng có tính an toàn cao theo những yêu cầu cụ thể. Để có thể xây dựng được những hệ thống mạng như vậy, người quản trị mạng phải nắm rõ các kiến thức cơ bản về mạng và an toàn mạng cũng như cần có một quy trình xây dựng hệ thống mạng an toàn cụ thể để có thể đảm bảo các yêu cầu của tổ chức, doanh nghiệp. Dựa trên kiến thức chung về an toàn mạng và an toàn thông tin nói chung, đề tài đã đưa ra một quy trình phần thiết kế tổng quát mà các nhà quản trị mạng có thể tham khảo để xây dựng một hệ thông mạng an toàn. Đề tài “Nghiên cứu và đề xuất quy trình xây dựng một hệ thống mạng an toàn” đã đưa ra và giải quyết những nội dung chủ yếu liên quan đến việc xây dựng một quy trình hệ thống mạng an toàn, các kết quả rút ra trong quá trình làm đồ án như sau: Đã phân tích tổng quan và cơ bản về an toàn thông tin và các nguy cơ mất an toàn trong các mạng thông tin máy tính, nêu bật các khả năng mất an toàn, các phương pháp cơ bản phòng vệ cho mạng máy tính. Đã nghiên cứu và đề xuất quy trình tổng quát để có thể xây dựng một hệ thống mạng an toàn. Do các điều kiện khách quan, bản luận văn không tránh khỏi những thiếu sót, em rất mong nhận được các ý kiến đóng góp, bổ sung hoàn thiện thêm. TÀI LIỆU THAM KHẢO [1]. International Standard ISO/IEC 17799 [2]. Giáo trình thực hành an toàn mạng - Học viện Kỹ thuật mật mã. [3]. Giáo trình an toàn mạng máy tính - Học viện Kỹ thuật mật mã. [4]. Giáo trình an toàn hệ điều hành - Học viện Kỹ thuật mật mã. [5]. Quản lý an toàn thông tin theo chuẩn ISO 17799 – Phùng Mạnh Hải, Vishield JSC.