NSec 8 - Polycies for information safety pptx

Xuất phát điểm của ATTTĐối với tổ chức: o bảo vệ dữ liệu và tính riêng tư của các thông tin cá nhân o an toàn các hồ sơ của tổ chức o quyền sở hữu tài sản trí tuệ Các nguyên tắc chu

NETWORK SECURITY

Policies for INFORMATION SAFETY

MAI Xuân Phú xuanphu150@gmail.com

ISO 17799-2005

2

An toàn thông tin

Thông tin là gì?

An toàn thông tin là gì?

Tại sao an toàn thông tin lại quan trọng?

Làm thế nào lập các yêu cầu ATTT

Định giá các rủi ro về an toàn (Assessing security

risks)

Chọn lựa quy tắc (Selecting controls)

Set of principles, objectives and business

requirements for information processing

4

Xuất phát điểm của ATTT

Đối với tổ chức:

o bảo vệ dữ liệu và tính riêng tư của các thông tin cá nhân

o an toàn các hồ sơ của tổ chức

o quyền sở hữu tài sản trí tuệ

Các nguyên tắc chung cho ATTT:

o tài liệu về chính sách an toàn thông tin

o đưa ra các trách nhiệm về vấn đề an toàn thông tin

o đào tạo và giáo dục về an toàn thông tin

o báo cáo các vấn đề về an toàn thông tin

o quản lý tính liên tục trong kinh doanh

Các yếu tố quyết định sự thành công

Chính sách an toàn, các mục tiêu và hành động phản ánh mục đích của doanh nghiệp

Cách tiếp cận nhằm triển khai sự an toàn là phù hợp với văn hóa của tổ chức

Các sự hỗ trợ tâm huyết từ các nhà quản lý

Sự hiểu biết tốt về các yêu cầu an toàn thông

tin, đánh giá rủi ro và quản lý rủi ro

6

Các yếu tố quyết định sự thành công

Phổ biến vấn đề an toàn thông tin

Đưa ra các hướng dẫn về chính sách an toàn thông tin và các chuẩn

Có sự đào tạo và giáo dục thích hợp

Các hệ thống đánh giá sự thực hiện trong vấn

đề quản lý an toàn thông tin phải có tính ổn

định, tính toàn diện

Làm thế nào để quản lý ATTT?

ISO 27001 đưa ra các yêu cầu cho việc xây

dựng, áp dụng, điều hành, kiểm tra, giám sát và phát triển hệ thống an ninh thông tin một cách tòan diện và khoa học

ISO/IEC 17799 nêu cụ thể số lượng kiểm soát

an ninh đơn lẻ, được lựa chọn và áp dụng như một phần của hệ thống an ninh thông tin

8

ISO 27000

ems — Overview and vocabulary

ISO/IEC 27031 — Guidelines for information and communications technology readiness for business continuity

ISO/IEC 27033-1 — Network security overview a

nd concepts

ISO 27799 — Information security management

in health using ISO/IEC 27002

10

ISO 17799 Structure (1)

Chương 1: Phạm vi

Chương 2: Các thuật ngữ và định nghĩa

Chương 3: Cấu trúc của bộ tiêu chuẩn

Chương 4: Đánh giá rủi ro

Chương 5: Tài liệu chính sách bảo mật

Chương 6: Thiết lập bảo mật thông tin

Chương 7: Quản lý tài sản

12

ISO 17799 Structure (2)

Chương 8: An toàn tài nguyên nhân lực

Chương 9: An toàn vật lý và môi trường

Chương 10: Quản lý mạng truyền thông và vận hành

Chương 11: Điều khiển truy cập

Chương 12: Điều hành và phát triển hệ thống

thông tin

Chương 13: Quản lý sự cố an toàn thông tin

Chương 14: Quản lý tính liên tục của kinh doanh

Chương 15: Sự tuân thủ

Đánh giá rủi ro

Làm rõ, xác định số lượng và những mục tiêu liên quan đến tổ chức

Ước tính mức độ rủi ro

So sánh giá trị ước tính và giá trị tiêu chuẩn

Thực hiện đánh giá định kỳ

ISO/IEC TR 13335-3 (Guidelines for the

Management of IT Security: Techniques for the Management of IT Security)

14

Tài liệu chính sách bảo mật

Hướng dẫn quản lý và hỗ trợ cho bảo mật thông tin cho phù hợp

o Những yêu cầu của doanh nghiệp

o Những luật pháp và qui định liên quan

Một tài liệu về chính sách bảo mật thông tin nên được chấp nhận bởi

o quyền quản lý

o được xuất bản

o được thông tin tới

• toàn thể nhân viên

• những đối tác bên ngoài có liên quan.

Thiết lập bảo mật thông tin

An toàn thông tin nội bộ

– Trách nhiệm quản lý cho bảo mật thông tin

– Sự phối hợp bảo mật thông tin

– Liên hệ với người chịu trách nhiệm

– …

• An toàn thông tin bên ngoài

o Xác định những mối nguy hiểm tới các “bạn hàng”

o Chỉ định bảo mật khi làm việc với “bạn hàng”

16

Quản lý tài sản

Phân loại thông tin

o Hướng dẫn phân loại thông tin

o Gán nhãn thông tin

Trách nhiệm của người quản lý và sử dụng tài sản

An toàn tài nguyên nhân lực

Xác định mục trách nhiệm và quyền hạn cho

An toàn vật lý và môi trường

Bảo vệ vùng vật lý

Bảo vệ thiết bị

Điều khiển truy cập

Quản lý việc truy cập của người dùng

Trách nhiệm của người dùng

Điều khiển truy cập mạng

Điều khiển truy cập vào hệ điều hành

Điều khiển truy cập ứng dụng

Điều khiển truy cập của điện thoại dây và không dây

20

Điều hành và phát triển hệ thống

thông tin

Yêu cầu an toàn thông tin của hệ thống

Chính sách điều khiển việc sử dụng mã hóa

Bảo mật các file hệ thống

Bảo mật cho tiến trình phát triển và hỗ trợ

Quản lý sự cố an toàn thông tin

Luôn ghi lại những security events và những

điểm yếu của hệ thống

Quản lý sự cố an toàn thông tin và khắc phục

o Trách nhiệm khi xảy ra sự cố

o Học tập từ những sự cố đã xảy ra

o

22