Rủi ro chính trong an ninh mạng
- Đánh cắp thông tin nhạy cảm online (số thẻ tín dụng, mật khẩu)
- Virus máy tính
- Malware/Ransomware
- Phần mềm giả mạo chương trình an ninh
- Tấn công từ chối dịch vụ (DoS) dùng server riêng
Rủi ro trong an ninh phần mềm
Rủi ro phần mềm = xác suất sự kiện không chắc chắn + tổn thất tổ chức. Thường liên quan: độ bền, hiệu năng, an ninh, rủi ro giao dịch.
Ví dụ rủi ro phần mềm
- Yêu cầu tiến độ nhanh
- Ước lượng ngân sách sai
- Chất lượng code kém, rủi ro kỹ thuật
- Năng suất thấp
- Quản lý kém
- Sự tham gia người dùng
- Rủi ro bên ngoài không lường trước
Rủi ro an ninh mạng và nguyên nhân
- Virus máy tính - ai cũng biết và lo ngại
- Phần mềm giả mạo antivirus - lừa đảo Internet mới
- Mã ngựa Trojan
- Adware/Spyware
- Sâu (Worm)
- Tấn công DoS/DDoS
- Lừa đảo (Phishing)
- Rootkit
Yếu tố rủi ro ảnh hưởng chất lượng phần mềm
Thất bại/hủy dự án do: khó khăn kỹ thuật, chất lượng kém, khách hàng không chấp nhận. Test, lập kế hoạch test, team QA - 3 khía cạnh trực tiếp liên quan rủi ro chất lượng.
Lo ngại chính an ninh phần mềm
- SQL Injection
- Yếu tố xác thực/quản lý phiên yếu
- Cross-site Scripting (XSS)
- Tham chiếu đối tượng trực tiếp không an toàn
- Cấu hình bảo mật sai
- Rò rỉ dữ liệu nhạy cảm
- Thiếu kiểm soát truy cập cấp chức năng
- Cross-site Request Forgery (CSRF)
2 rủi ro an ninh mạng phổ biến
Mạng mang lại lợi ích nhưng tăng rủi ro vi phạm an ninh: mất dữ liệu, xâm phạm bảo mật thông tin, tấn công độc hại (hacker, virus).
Một số rủi ro mạng
- Virus máy tính
- Lỗ hổng phần mềm đe dọa an ninh mạng
- Hacker tiềm ẩn
- Nhân viên vô tình gây vi phạm an ninh
- Không biết điều mình không biết
5 mối đe dọa an ninh
- Email lừa đảo/Phishing
- Tấn công Malware
- Ransomware
- Mật khẩu yếu
- Đe dọa nội bộ (Insider threats)
Rủi ro an ninh là gì?
Rủi ro = khả năng tài sản bị mất, hỏng, phá hủy. Đe dọa = sự kiện tiêu cực (ví dụ exploit). Lỗ hổng làm tăng rủi ro bằng cách phơi bày trước đe dọa.
Quản trị rủi ro an ninh phần mềm
Lãnh đạo an ninh muốn quản trị tốt hơn phải: Giảm phơi bày rủi ro. Theo dõi đe dọa mới/tiến hóa, nâng cấp hệ thống bảo mật. Quản trị rủi ro tổ chức bắt đầu từ dữ liệu/hệ thống vững chắc.
Nguyên nhân rủi ro phần mềm
- Thiếu tham gia người dùng
- Yêu cầu thay đổi liên tục
- Mục tiêu dự án không thực tế/không rõ
- Ước lượng nguồn lực sai
- Yêu cầu hệ thống viết kém
- Báo cáo tiến độ kém
- Thiếu nguồn lực
- Rủi ro không được quản lý
Ví dụ rủi ro tốt (cơ hội)
- Thay đổi chính sách có lợi
- Công nghệ mới tiết kiệm thời gian
- Đơn xin grant đang chờ kết quả
Cách xác định rủi ro phần mềm
- Xác định yếu tố rủi ro
- Đánh giá rủi ro dự án và tác động
- Đánh giá rủi ro đã xác định, lập chiến lược giảm thiểu
- Theo dõi yếu tố rủi ro
- Đặt kế hoạch dự phòng
- Quản trị khủng hoảng
5 lý do vấn đề an ninh mạng
- Mạng chứa tài sản không xác định
- Lạm dụng đặc quyền tài khoản người dùng
- Lỗ hổng an ninh mạng chưa vá
- Thiếu phòng thủ sâu (defense in depth)
- Quản trị an ninh IT không đầy đủ