Chính sách bảo mật bao gồm gì?
- Mục đích
- Đối tượng áp dụng
- Mục tiêu an ninh thông tin
- Chính sách quyền hạn & kiểm soát truy cập
- Phân loại dữ liệu
- Dịch vụ & vận hành dữ liệu
- Nhận thức & trách nhiệm an ninh
- Quyền, trách nhiệm, nhiệm vụ nhân viên
Ba loại chính sách an ninh
- Chính sách tổ chức (Master policy)
- Chính sách hệ thống cụ thể (System-specific)
- Chính sách theo vấn đề (Issue-specific)
Chính sách giúp xây dựng mạng an toàn
- Xác định mục tiêu chương trình
- Đào tạo nhân sự
- Chọn đối tượng truyền thông
- Động lực hóa quản lý & nhân viên
- Triển khai chương trình
- Duy trì chương trình
- Đánh giá chương trình
Chính sách cần thiết cho an ninh thông tin tổ chức
- Chính sách mã hóa & quản lý khóa
- Chính sách sử dụng chấp nhận được (AUP)
- Chính sách bàn làm việc sạch (Clean Desk)
- Chính sách ứng phó vi phạm dữ liệu
- Chính sách khôi phục thảm họa (DRP)
- Chính sách an ninh nhân sự
- Chính sách sao lưu dữ liệu
- Chính sách nhận diện, xác thực, phân quyền
Năm thành phần chính sách an ninh
Tính bảo mật, Toàn vẹn, Khả dụng, Tính xác thực, Không thể chối cãi (Non-repudiation).
Nội dung chính sách an ninh bằng văn bản
Xác định yêu cầu an ninh thông tin, mục tiêu cụ thể, cách đáp ứng yêu cầu kinh doanh/hợp đồng, cam kết cải tiến liên tục.
Loại chính sách an ninh
- Kỹ thuật (Technical): cấu hình công nghệ để dùng an toàn.
- Hành chính (Administrative): quy định hành vi con người.
3 yếu tố then chốt An ninh thông tin (CIA Triad)
Tính bảo mật (Confidentiality), Toàn vẹn (Integrity), Khả dụng (Availability). Mỗi yếu tố là mục tiêu cơ bản.
Tại sao chính sách an ninh mạng quan trọng?
Đối phó đe dọa, định nghĩa cách giảm thiểu lỗ hổng IT, quy trình khôi phục sau xâm nhập, hướng dẫn hành vi đúng/sai cho nhân viên.
Cách làm cho mạng an toàn
- Đổi SSID Wi-Fi nhà.
- Mật khẩu mạng mạnh.
- Bật mã hóa mạng.
- Tắt broadcast tên mạng.
- Cập nhật firmware router.
- Kiểm tra tường lửa.
Tại sao cần chính sách an ninh?
Bảo vệ thông tin/cái tài sản trí tuệ giá trị bằng cách xác định rõ trách nhiệm nhân viên, lý do và cách bảo vệ thông tin.
Chính sách an ninh thông tin (ISP) là gì?
Quy tắc & thủ tục cho nhân viên đối với CNTT, mạng, ứng dụng. Bảo vệ tính bảo mật, toàn vẹn, khả dụng dữ liệu.
Chính sách bộ phận IT cần
- Chính sách sử dụng chấp nhận được
- Chương trình nhận thức & đào tạo an ninh
- Quản lý thay đổi
- Ứng phó sự cố
- Truy cập từ xa
- Quản lý nhà cung cấp
- Tạo & quản lý mật khẩu
- Tổng quan chính sách an ninh mạng
Triển khai chính sách an ninh thông tin
- Đánh giá rủi ro sử dụng sai mục đích
- Tham khảo best practices
- Tuân thủ pháp luật
- Mức độ bảo mật theo mức độ rủi ro
- Tham gia nhân viên vào xây dựng chính sách
- Đào tạo nhân viên
- Văn bản hóa
- Xác định & thi hành xử phạt rõ ràng