Diễn Đàn SEO - vnseo.edu.vn - An ninh là một nỗi lo thường khi nói đến CNTT như trộm cắp dữ liệu, hacking, phần mềm độc hại và một loạt các mối đe dọa khác có thể xảy ra. Trong bài viết này, mình sẽ nêu ra một số nguyên tắc cơ bản tốt nhất mà chúng tôi sử dụng để giữ cho hệ thống của doanh nghiệp luôn được an toàn. Những rủi ro đối với các thông tin như bị lộ, bị thay đổi, bị mất mát, bị từ chối đều ảnh hưởng nghiêm trong đến hoạt động, đến uy tín, chiến lược của tổ chức, doanh nghiệp. Vì vậy mục tiêu đưa ra là cần phải bảo vệ an toàn thông tin, đảm bảo tính bí mật thông tin (confidentiality), tính toàn vẹn thông tin (integrity), tính sẵn sàng thông tin (availabiltiy). Đảm bảo được các yếu tố trên sẽ giúp tổ chức doanh nghiệp bảo vệ chống lại lộ thông tin, thay đổi thông tin, phá hủy thông tin, mất mát thông tin. An ninh là một nỗi lo thường khi nói đến CNTT như trộm cắp dữ liệu, hacking, phần mềm độc hại và một loạt các mối đe dọa khác có thể xảy ra. Trong bài viết này, mình sẽ nêu ra một số nguyên tắc cơ bản an toàn thông tin cho doanh nghiệp Theo tiêu chuẩn ISO 27001:2005, để đánh giá và thiết lập Hệ thống An toàn Thông tin cho tất cả các lĩnh vực trong doanh nghiệp, các doanh nghiệp cần thực hiện theo các nguyên tắc sau đây: - An toàn nguồn nhân lực: Mục tiêu đảm bảo rằng các nhân viên, nhà thầu và các bên thứ ba hiểu rõ trách nhiệm của mình và phù hợp với vai trò được giao, đồng thời giảm thiểu các rủi ro về việc đánh cắp, gian lận hoặc lạm dụng chức năng, quyền hạn; Đảm bảo rằng mọi nhân viên của tổ chức, khách hàng, đối tác và bên thứ ba nhận thức được các mối nguy cơ và các vấn đề liên quan tới ATTT, trách nhiệm và nghĩa vụ pháp lý của họ, và được trang bị các kiến thức, điều kiện cần thiết nhằm hỗ trợ chính sách ATTT của tổ chức trong quá trình làm việc, giảm thiểu các rủi ro do con người gây ra; Đảm bảo rằng mọi nhân viên của tổ chức, khách hàng, đối tác và bên thứ ba nghỉ việc hoặc thuyên chuyển công việc một cách có tổ chức, theo thủ tục trình tự nhất định để đảm bảo được ATTT đối với các tài sản. - Quản lý truyền thông và vận hành: Mục tiêu đảm bảo việc vận hành đúng và an toàn đối với các phương tiện xử lý thông tin; Thực hiện và duy trì mức độ ATTT phù hợp và cung cấp dịch vụ theo đúng các thỏa thuận cung cấp dịch vụ với đối tác bên ngoài; Giảm thiểu rủi ro do sự hư hỏng của hệ thống; Bảo vệ tính toàn vẹn của phần mềm và thông tin; Duy trì tính toàn vẹn và tính sẵn sàng của thông tin và các phương tiện xử lý thông tin; Đảm bảo an toàn cho thông tin trên mạng và an toàn cho cơ sở hạ tầng hỗ trợ; Nhằm ngăn ngừa sự tiết lộ, sửa đổi, xoá bỏ hoặc phá hoại bất hợp pháp các tài sản và sự gián đoạn các hoạt động nghiệp vụ chính yếu. Phương tiện truyền thông phải được kiểm soát và bảo vệ vật lý; Duy trì an toàn cho các thông tin và phần mềm được trao đổi trong nội bộ công ty hoặc với các thực thể bên ngoài; Nhằm đảm bảo an toàn cho các dịch vụ thương mại điện tử và việc sử dụng an toàn các dịch vụ này; Nhằm phát hiện các hoạt động xử lý thông tin trái phép - Phân ra các nguồn tài nguyên: Đối với an ninh thông tin trong hệ thống để làm việc, họ phải biết ai được phép xem và làm những việc cụ thể. Điều nầy có nghĩa là người quản lý hệ thống mạng phải biết gán quyền truy cập của một số nhân viên được phép truy cập vào những user cho phép theo từng loại công việc của mỗi người và chỉ theo giới hạn cho phép của người đứng đầu trong doanh nghiệp của bạn. Điều quan trọng là phân quyền rỏ ràng cho những ai có quyền truy cập vào danh mục nào trong hệ thống mà thôi và người đứng đầu trong doanh nghiệp của bạn có thể truy cập vào bất cứ user nào nếu muốn. - Kế hoạch nếu thất bại: Kế hoạch nếu có sự thất bại sẽ giúp giảm thiểu hậu quả thực tế của nó xảy ra. Có hệ thống sao lưu tại chỗ trước khi cho phép bộ phận CNTT để liên tục theo dõi các biện pháp an ninh và phản ứng nhanh với một hành vi vi phạm. Nếu vi phạm không nghiêm trọng, các doanh nghiệp hoặc tổ chức có thể tiếp tục hoạt động trên sao lưu trong khi vấn đề được giải quyết. An ninh CNTT càng nhiều thì việc hạn chế những thiệt hại do hành vi vi phạm gây ra.. - Ghi chép lại: Lý tưởng nhất, một hệ thống an ninh sẽ không bao giờ được phép vi phạm, nhưng khi vi phạm sự kiện này sẽ được ghi lại. Trong thực tế, nhân viên CNTT thường ghi lại nhiều khi có thể, ngay cả khi một hành vi vi phạm là không xảy ra. Đôi khi nguyên nhân của hành vi vi phạm không rõ ràng sau khi thực tế, vì vậy điều quan trọng là phải có dữ liệu để theo dõi ngược. Dữ liệu từ hành vi cuối cùng sẽ giúp cải thiện hệ thống và ngăn chặn các cuộc tấn công trong tương . - Thu thập, phát triển và duy trì hệ thống thông tin: Mục tiêu nhằm đảm bảo rằng an ninh thông tin là một phần không thể thiếu của các hệ thống thông tin; Nhằm ngăn chặn các lỗi, mất mát, sửa đổi hoặc sử dụng trái phép thông tin trong các ứng dụng; Nhằm bảo vệ tính bí mật, xác thực hoặc nguyên vẹn của thông tin bằng các biện pháp mã hóa; Nhằm đảm bảo an ninh cho các tệp tin hệ thống; Nhằm duy trì an ninh của thông tin và các phần mềm hệ thống ứng dụng; Nhằm giảm thiểu các mối nguy hiểm xuất phát từ việc tin tặc khai thác các điểm yếu kỹ thuật đã được công bố. Thực hiện các nguyên tắc cơ bản ở trên thì hệ thống an ninh mạng của các doanh nghiệp sẽ được đảm bảo hơn Nguồn: SecurityBox
