Quy trình thực hiện kiểm toán bảo mật
- Xác định mục tiêu & bên liên quan: Mục tiêu kiểm toán, các bên tham gia (IT, quản trị, pháp lý...).
- Xác định phạm vi: Hệ thống, mạng, ứng dụng, dữ liệu nào được kiểm toán.
- Nhận diện đe dọa: Liệt kê các rủi ro tiềm ẩn (bên trong, bên ngoài).
- Đánh giá rủi ro & kiểm soát: Xác định xác suất, tác động, và kiểm soát hiện có.
- Xác định kiểm soát cần thiết: So sánh với tiêu chuẩn (ISO 27001, NIST CSF, CIS Controls...) để tìm khoảng trống.
Kiểm toán các kiểm soát an ninh mạng
- Định phạm vi kiểm toán.
- Nhận diện đe dọa & phản hồi.
- Rà soát & cập nhật chính sách nội bộ.
- Không chỉ dựa vào mật khẩu (dùng MFA, Certificate).
- Đánh giá chiến lược bảo mật.
- Bảo vệ dữ liệu nhạy cảm (mã hóa, DLP, phân loại).
- Kiểm tra server (cấu hình, vá lỗi, hardening).
- Hệ thống quản lý quy trình (Procedure Management).
- Xem nhật ký đào tạo (Training logs).
Cơ chế kiểm toán an ninh mạng (MSSP)
Nhà cung cấp dịch vụ an ninh quản lý (MSSP) thường thực hiện kiểm toán cho khách hàng. Bước quan trọng: MSSP rà soát chính sách an ninh mạng và tài sản mạng của khách hàng để tìm lỗ hổng bảo mật.
Thực hiện đánh giá an ninh mạng (Network Security Assessment)
- Kiểm kê tài sản: Hardware, software, dữ liệu, người dùng.
- Đánh giá giá trị thông tin: Phân loại dữ liệu (Công khai, Nội bộ, Bí mật, Tuyệt mật).
- Quét lỗ hổng hạ tầng IT: Vulnerability scanning (Nessus, OpenVAS, Qualys...).
- Kiểm tra khả năng phòng thủ: Penetration test, Red teaming, kiểm tra cấu hình sai.
- Báo cáo kết quả: Tài liệu hóa lỗ hổng, rủi ro, khuyến nghị ưu tiên.
- Triển khai kiểm soát cải thiện: Vá lỗi, cập nhật chính sách, đào tạo, công nghệ mới.
Kiểm toán mạng trong an ninh mạng là gì?
Quy trình đánh giá hiệu quả bảo mật tổ chức chống lại đe dọa nội bộ & bên ngoài. Xác định vấn đề nền tảng có được khắc phục bởi biện pháp hiện có không. Giúp biết tổ chức được bảo vệ đến mức nào.
Tại sao cần kiểm toán bảo mật?
- Tạo chính sách bảo mật mới.
- Phát hiện vấn đề bảo mật.
- Đo lường hiệu quả chiến lược bảo mật.
- Đảm bảo nhân viên tuân thủ quy tắc.
- Phát hiện lỗ hổng mới xuất hiện.
Các loại kiểm toán bảo mật
- Đánh giá rủi ro (Risk Assessment)
- Quét lỗ hổng (Vulnerability Assessment)
- Kiểm thử xâm nhập (Penetration Testing)
- Kiểm toán tuân thủ (Compliance Audit)
Kiểm toán bảo mật và các loại
Quá trình đánh giá, kiểm tra tư thế an ninh mạng tổng thể của tổ chức, bao gồm khả năng phản hồi đe dọa. Có nhiều phương pháp thực hiện tùy mục tiêu kinh doanh.
Tìm gì trong kiểm toán bảo mật?
- Đánh giá rủi ro (xác định, ưu tiên rủi ro).
- Đánh giá lỗ hổng bảo mật.
- Kiểm thử xâm nhập.
- Kiểm toán tuân thủ.
Ý nghĩa kiểm toán bảo mật
Rà soát, kiểm tra, xem xét bản ghi và hoạt động của hệ thống máy tính để: xác định kiểm soát có đầy đủ không, đảm bảo tuân thủ quy trình bảo mật, phát hiện vi phạm để có biện pháp đối phó.
Kiểm soát an ninh mạng (Network Security Controls) là gì?
Các biện pháp kỹ thuật hoặc quản trị đảm bảo Tính bảo mật (Confidentiality), Toàn vẹn (Integrity), Sẵn sàng (Availability) của dịch vụ. Mục đích: giảm thiểu rủi ro vi phạm an ninh.
Kiểm toán mạng bao gồm gì?
- Thu thập dữ liệu (cấu hình, log, topology...).
- Nhận diện đe dọa & điểm yếu.
- Biên bản kiểm toán chính thức, chia sẻ cho quản trị mạng & bên liên quan.
Công việc an ninh mạng là gì?
Biện pháp bảo vệ mạng máy tính khỏi đe dọa xâm phạm tính bảo mật, toàn vẹn, khả dụng của dữ liệu. Bao gồm: phần mềm, phần cứng, quy trình.
Thực hiện đánh giá rủi ro an ninh
- Kiểm kê & xác định tài sản thông tin.
- Nhận diện đe dọa.
- Nhận diện lỗ hổng.
- Phân tích kiểm soát nội bộ.
- Xác định xác suất xảy ra sự cố.
- Đánh giá tác động tiềm ẩn.
- Ưu tiên rủi ro an ninh thông tin.
Đánh giá mạng (Network Assessment) là gì?
Xem xét toàn diện hạ tầng IT hiện có, đưa ra khuyến nghị: hợp nhất, đơn giản hóa, tự động hóa để cải thiện.
Đánh giá an ninh (Security Assessment) bao gồm gì?
Đánh giá định kỳ tư thế an ninh. Kiểm tra bảo mật hệ thống IT, quy trình kinh doanh, khuyến nghị giảm thiểu rủi ro tương lai.
Đánh giá rủi ro mạng (Network Risk Assessment) là gì?
Xác định, đo lường, giảm thiểu rủi ro đối với mạng mà nhân viên sử dụng hàng ngày. Dùng công cụ rủi ro để tìm hệ thống/dữ liệu nào đang bị đe dọa.