Tiêu chuẩn quốc gia TCVN 27008:2018 về Công nghệ thông tin - Các kỹ thuật an toàn

• Số hiệu: TCVN27008:2018
• Loại văn bản: Tiêu chuẩn Việt Nam
• Nơi ban hành: ***
• Người ký: ***
• Ngày ban hành: Năm 2018

A.1  Kiểm tra kỹ thuật đối với biện pháp kiểm soát phòng ngừa các mã độc.
Biện pháp kiểm soát		TCVN ISO/IEC 27002:2011 9.4.1 Biện pháp kiểm soát chống lại mã độc. Các biện pháp quản lý việc phát hiện, ngăn chặn và phục hồi để bảo vệ chống lại mã độc và các thủ tục tuyên truyền nâng cao nhận thức của người dùng phải được thực hiện.
Thông tin kỹ thuật bổ sung		Mã độc là một thuật ngữ chung dùng để chỉ một đoạn mã bao gồm phần mềm, chương trình, kịch bản được thiết kế gây thiệt hại cho hệ thống máy tính bằng cách ăn cắp thông tin, gian lận, hoạt động gián điệp, làm hỏng và phá hoại. Khi mã độc đã được đưa vào một hệ thống máy tính, hệ thống có thể bị thiệt hại hoặc các thông tin của hệ thống có thể bị đánh cắp. Hành vi đó cũng sẽ có thể gây thiệt hại các hệ thống khác. Phần mềm độc hại bao gồm vi-rút máy tính, sâu, trojan, bot, phần mềm gián điệp, phần mềm quảng cáo, mã độc và các phần mềm không mong muốn khác. Trong điều kiện kết nối mạng của tổ chức với mạng Internet, chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin nên soát xét rằng các chức năng phát hiện/phòng ngừa mã độc đang được đặt tại ranh giới của mạng Internet một cách toàn diện và hiệu quả, những chức năng đó thích hợp với công việc. Đặc biệt, để xem xét liệu các chức năng phát hiện / phòng ngừa có đang làm việc một cách phù hợp, chuyên gia đánh giá kiểm soát biện pháp an toàn thông tin phải xác nhận xem các tệp tin hoặc chữ ký mẫu được sử dụng để phát hiện phần mềm độc hại đã được cập nhật chưa. Một số hệ thống phát hiện / phòng ngừa được kiến trúc để phát hiện phần mềm độc hại bằng cách sử dụng các tệp tin hoặc chữ ký mẫu và một vài trong số đó được kiến trúc để phát hiện hành vi bất thường của hệ thống máy tính mà không cần sử dụng bất kỳ tệp tin hoặc chữ ký mẫu nào. Vì có một số mô hình để kết nối với Internet như kết nối mạng của tổ chức với Internet thông qua cổng hoặc kết nối trực tiếp mỗi máy tính với Internet, nên chuyên gia đánh giá kiểm soát an toàn thông tin cần đảm bảo rằng hệ thống phát hiện / phòng ngừa làm việc một cách phù hợp theo từng hoàn cảnh. CHÚ Ý: Chuyên gia đánh giá kiểm soát an toàn thông tin cần biết rằng khả năng của hệ thống phát hiện/ngăn ngừa bị hạn chế đối với các mã độc chưa biết, chẳng hạn như tấn công Zero day.
	Tiêu chuẩn thực thi an toàn	Việc cài đặt và cập nhật thường xuyên phần mềm phát hiện và sửa chữa mã độc để quét máy tính và các phương tiện là một biện pháp phòng ngừa hoặc được làm thường xuyên; việc kiểm tra được thực hiện cần bao gồm: 1) Kiểm tra mã độc cho mọi tệp tin trên phương tiện điện tử hoặc quang học và các tệp tin nhận được qua mạng trước khi sử dụng; 2) Kiểm tra mã độc cho các tệp tin đính kèm thư điện tử và các tệp tin tải về trước khi sử dụng; việc kiểm tra này phải được thực hiện tại các địa điểm khác nhau, ví dụ: tại máy chủ thư điện tử, máy tính bàn và khi vào mạng của tổ chức; 3) Kiểm tra mã độc hại cho các trang web.
	Lưu ý kỹ thuật tiêu chuẩn thực thi an toàn	Tại cổng, lối vào mạng của tổ chức, hệ thống phát hiện /phòng chống phần mã độc hại cận làm việc phù hợp với một loạt các dịch vụ hoặc giao thức mạng như: www, mail, FTP.
	1.1	Hướng dẫn thực hành	Hướng dẫn thực hành sau đây được áp dụng cho “tiêu chuẩn thực thi an toàn” 1), 2) và 3). 1) Kiểm tra xem hệ thống phát hiện mã độc và sửa chữa được thiết lập một cách toàn diện và có hiệu quả đối với bất kỳ tệp tin trên phương tiện truyền thông điện tử hoặc quang học và các tệp tin nhận được qua mạng bằng cách xem xét các đặc tả kỹ thuật hoặc sơ đồ mạng. Chuyên gia đánh giá kiểm soát an toàn thông xem xét kiểm tra xem hệ thống phát hiện/phòng ngừa đã được thiết lập cách toàn diện và hiệu quả bằng cách xem xét các đặc tả kỹ thuật hệ thống hoặc sơ đồ mạng. 2) Kiểm tra xem hệ thống phát hiện mã độc và sửa chữa được thiết lập một cách toàn diện và có hiệu quả đối với bất kỳ tệp tin đính kèm thư điện tử và các tải về bằng cách xem xét các đặc tả kỹ thuật hệ thống hoặc sơ đồ mạng bao gồm các máy chủ thư điện từ, máy tính bàn và các cổng. Hệ thống phát hiện mã độc và sửa chữa đôi khi được mô tả rõ ràng trong các đặc tả hệ thống như một thiết bị chuyên quyền, tuy nhiên, chuyên gia đánh giá kiểm soát an toàn thông tin lưu ý rằng thiết bị này cũng được đặt trong các máy chủ được thiết kế để cung cấp một số chức năng/dịch vụ khác (www, mail, FTP) và do đó nó vốn đã có trong đặc tả hệ thống nhưng không được mô tả rõ ràng. Đối với máy tính để bàn, chuyên gia đánh giá kiểm soát an toàn thông tin xem xét lưu ý rằng hệ thống phát hiện các mã độc hại và sửa chữa vốn cũng đã có trong đặc tả hệ thống mà không có mô tả rõ ràng. 3) Kiểm tra xem hệ thống phát hiện mã độc và sửa chữa đã được thiết lập một cách toàn diện và có hiệu quả cho các trang web bằng cách rà soát các đặc tả hệ thống hoặc sơ đồ mạng bao gồm máy chủ web. Đối với máy tính để bàn sử dụng cho soát xét hoặc duyệt các trang web, chuyên gia đánh giá kiểm soát an toàn thông tin lưu ý rằng hệ thống phát hiện mã độc và sửa chữa vốn đã nằm trong đặc tả hệ thống và không có mô tả rõ ràng. Trong trường hợp này, hệ thống phát hiện mã độc và sửa chữa có thể đặt sẵn trong trình duyệt. Đối với máy chủ web, hệ thống phát hiện mã độc và sửa chữa đôi khi được mô tả rõ ràng trong các đặc tả hệ thống như một thiết bị chuyên quyền, tuy nhiên, chuyên gia đánh giá kiểm soát an toàn thông tin lưu ý rằng nó cũng được đặt sạn trong các máy chủ web có trong đặc tả hệ thống mà không có mô tả rõ ràng.
		Chứng cứ giả định	Đặc tả hệ thống, sơ đồ mạng
		Phương pháp	Kiểm tra/soát xét
		Hướng dẫn thực hành	Hướng dẫn thực hành sau đây tương ứng được áp dụng cho tiêu chuẩn thực thi an toàn 1), 2) và 3). 1) Kiểm tra xem hệ thống phát hiện mã độc và sửa chữa đã được đặt và đang làm việc phù hợp để phát hiện bất kỳ tệp tin trên phương tiện điện tử hoặc quang học và các tệp tin nhận được qua mạng bằng cách quan sát các phương tiện xử lý thông tin. Kiểm tra xem phần mềm quản lý có đang làm việc phù hợp trong hệ thống tích hợp khi mà hệ thống phát hiện mã độc và sửa chữa được quản lý thành một hệ thống tích hợp. 2) Kiểm tra xem hệ thống phát hiện mã độc và sửa chữa đã được thực hiện, đang làm việc phù hợp để phát hiện bất kỳ tệp tin đính kèm thư điện tử và các tệp tin tải về tại các máy chủ thư điện tử, các máy tính bàn được lấy mẫu và các cổng bằng cách quan sát các phương tiện xử lý thông tin. Đối với thư điện tử, kiểm tra xem hệ thống phát hiện có hoạt động không chỉ cho các tệp tin đính kèm mà còn với mã độc trên các thư điện tử. 3) Kiểm tra xem hệ thống phát hiện mã độc và sửa chữa đã được đặt và nó đang làm việc một cách thích hợp để phát hiện bất kỳ trang web bằng cách quan sát các phương tiện xử lý thông tin. Đối với máy tính để bàn sử dụng cho soát xét hoặc duyệt web, kiểm tra xem hệ thống phát hiện có làm việc cho kiểm soát Active X, kịch bản v.v.. Đối với máy chủ web, kiểm tra xem hệ thống phát hiện hoạt động không chỉ cho các tệp tin html mà còn cả mã độc trong các dịch vụ web như Apache, IIS, v.v..
		Chứng cứ giả định	Các phương tiện của hệ thống phát hiện mã độc và sửa chữa đã được thiết lập, ví dụ: • Máy chủ tệp tin; • Máy chủ thư điện tử; • Các máy tính để bàn được lấy mẫu; • Máy tính di động; • Một hệ thống phát hiện mã độc và sửa chữa chuyên quyền được đặt tại cổng (ranh giới giữa mạng của tổ chức và Internet); • Máy chủ Web; • PROXY máy chủ; • Trình duyệt web; • Các loại khác (thiết bị để ngăn chặn USB được cắm vào).
		Phương pháp	Kiểm tra/Quan sát
	1.3	Hướng dẫn thực, hành	Thu thập các tệp tin đăng nhập từ hệ thống phát hiện và sửa chữa và kiểm tra rằng các hồ sơ nhật ký đăng nhập cho thấy rằng hệ thống đang được chạy và hoạt động cần thiết đã được thực hiện khi phần mềm độc hại đã được phát hiện. CHÚ THÍCH: Đối với máy tính để bàn, các nhật ký đầu ra thông thường từ hệ thống phát hiện và sửa chữa được lưu trữ trong máy tính. Đối với các máy chủ và các thiết bị bên ngoài, những nhật ký này được đôi khi chuyển giao và lưu trữ trong các hệ thống khác thông qua giao thức chuyển giao như nhật ký hệ thống. Đối với máy tính để bàn được sử dụng để soát xét hoặc trình duyệt các trang web, chức năng phát hiện trong trình duyệt web có thể không tạo ra hồ sơ nhật ký cho thấy rằng các chức năng đang được chạy. Thay vào đó hầu hết các trình duyệt hiển thị thông báo khi các đoạn scrip trái phép được phát hiện.
		Chứng cứ giả định	• Hệ thống phát hiện trong dịch vụ; • Đầu ra tệp tin đăng nhập từ hệ thống phát hiện; • Hồ sơ về cảnh báo của hệ thống phát hiện; • Tin nhắn từ hệ thống phát hiện trong trình duyệt web;
		Phương pháp	Kiểm tra/Quan sát
	Tiêu chuẩn thực thi an toàn	Phần mềm phát hiện mã độc và sửa chữa để quét các máy tính và phương tiện là một biện pháp phòng ngừa phải được cập nhật thường xuyên.
	Lưu ý kỹ thuật tiêu chuẩn thực thi an toàn	Trong hầu hết các trường hợp, đều có các chức năng để cập nhật tự động các tệp tin hoặc chữ ký mẫu.
	2.1	Hướng dẫn thực hành	Kiểm tra thiết kế của phần mềm phát hiện mà độc và sửa chữa để cập nhật các tệp tin hoặc chữ ký mẫu tự động hoặc thường xuyên.
		Chứng cứ giả định	Thiết kế hoặc đặc điểm kỹ thuật của hệ thống phát hiện.
		Phương pháp	Kiểm tra/soát xét
	2.2	Hướng dẫn thực hành	Kiểm tra xem việc thiết lập phần mềm phát hiện mã độc và sửa chữa để cập nhật các tệp tin hoặc chữ ký mẫu tự động hoặc thường xuyên.
		Chứng cứ giả định	Các thiết lập của hệ thống phát hiện
		Phương pháp	Kiểm tra/Quan sát
	2.3	Hướng dẫn thực hành	Kiểm tra xem tệp tin hoặc chữ ký mẫu đã được cập nhật thông qua quan sát các tên sản phẩm, phiên bản cập nhật và nhật ký cập nhật của các tệp tin hoặc chữ ký mẫu của chúng. CHÚ THÍCH: Thông tin về tên sản phẩm và phiên bản của hệ thống phát hiện và sửa chữa có thể được quan sát trong các tệp tin trợ giúp của sản phẩm.
		Chứng cứ giả định	Thông tin về hệ thống phát hiện/phòng ngừa là: • Tên sản phẩm; • Phiên bản của sản phẩm; • Phiên bản của tệp tin hoặc chữ ký mẫu.
		Phương pháp	Kiểm tra/Quan sát
A.2  Kiểm tra kỹ thuật đối với biện pháp kiểm soát trên nhật ký đánh giá
Biện pháp kiểm soát		TCVN ISO/IEC 27002:2011 9.10.1 nhật ký đánh giá
		Nhật ký đánh giá ghi lại các hoạt động người dùng, các trường hợp ngoại lệ và các sự kiện an toàn thông tin phải, được tạo và lưu giữ trong một thời gian để hỗ trợ cho việc điều tra trong tương lai và giám sát kiểm soát truy cập.
Thông tin kỹ thuật bổ sung		Để phát hiện các hoạt động xử lý thông tin trái phép, điều quan trọng là phải ghi lại các nhật ký đánh giá được sử dụng đề theo dõi các hoạt động của người sử dụng, những người quản trị hệ thống, các sự kiện và hệ thống an toàn. Các nhật ký đánh giá phải có các thông tin sau đây để phân tích xem có các hoạt động trái phép, các sự kiện an toàn không: • Tên truy cập của người dùng; • Ngày và thời gian; • Sự kiện quan trọng như đăng nhập và đăng xuất; • Tên thiết bị đầu cuối; • Địa chỉ mạng và các giao thức. Để tạo hồ sơ cần thiết bao gồm những thông tin trên, những thiết bị tạo ra nhật ký cần được bật hoặc một số quy tắc sẽ được áp dụng đối với chúng. Phương pháp ghi nhật ký phụ thuộc vào cấu trúc, kiến trúc hệ thống và các ứng dụng được triển khai. Chuyên gia đánh giá soát xét biện pháp an toàn thông tin cần xem xét sự khác biệt của phương pháp ghi nhật ký đối với các kiến trúc hệ thống khác nhau chẳng hạn như máy chủ và máy tính cá nhân. CHÚ THÍCH: Ví dụ về các cấu trúc hệ thống cần được quan tâm là: • Hệ thống máy chủ khách; • Hệ thống dựa trên web; • Hệ thống máy khách loại nhẹ; • Sự ảo hóa; • Việc sử dụng ASP (Nhà cung cấp dịch vụ ứng dụng), SaaS (phần mềm dịch vụ) hoặc điện toán đám mây. Ví dụ về các kiến trúc hệ thống cần được quan tâm là: • Hệ điều hành UNIX, Linux; • Phần mềm Windows; • Máy tính lớn. Ví dụ về các loại nhật ký cần được quan tâm là: • Nhật ký hệ thống; • Nhật ký ứng dụng.
1	Tiêu chuẩn thực thi an toàn	Cần đưa ra các nhật ký đánh giá ghi lại các hoạt động của người sử dụng, các trường hợp ngoại lệ và các sự kiện an toàn thông tin. Nhật ký đánh giá phải bao gồm: a) ID người dùng; b) Ngày, giờ và các chi tiết của sự kiện quan trọng, ví dụ đăng nhập và đăng xuất; c) Tên thiết bị đầu cuối hoặc vị trí nếu có thể; d) Các hồ sơ về các cố gắng truy cập hệ thống thành công và bị từ chối; e) Các hồ sơ về các cố gắng truy cập dữ liệu và tài nguyên khác thành công và bị từ chối; f) Các thay đổi cấu hình hệ thống; h) Sử dụng các tiện ích hệ thống và các ứng dụng; i) Các tệp tin được truy cập và loại truy cập; j) Các địa chỉ và giao thức mạng; k) Các cảnh báo đưa ra bởi hệ thống kiểm soát truy cập; l) Sự kích hoạt và vô hiệu hóa hệ thống bảo vệ, chẳng hạn như hệ thống chống virus và hệ thống phát hiện xâm nhập.
	Lưu ý kỹ thuật tiêu chuẩn thực thi an toàn	Để tìm ra sự kiện bảo mật và nguyên nhân của chúng, chuyên gia đánh giá soát xét biện pháp an toàn thông tin kiểm tra và phân tích tình trạng hoạt động của hệ thống, việc sử dụng và thay đổi hồ sơ trong nhật ký. Để điều tra các sự kiện, nguyên nhân của sự cố, nhật ký đánh giá từ nhiều hệ thống cần được kết hợp lại. Với mục đích này, việc hiểu được vị trí và loại tệp tin nhật ký đánh giá từ việc xem xét hệ thống cấu trúc/kiến trúc/cấu hình rất quan trọng.
	1.1	Hướng dẫn thực hành			Kiểm tra xem thiết kế hệ thống của ghi nhập ký có được thực hiện dựa trên tiêu chuẩn thực thi an toàn.
		Chứng cứ giả định			• Tài liệu đặc tả kỹ thuật • Tài liệu xác định yêu cầu • Tài liệu thiết kế phần mềm
		Phương pháp			Kiểm tra/soát xét
	1.2	Hướng dẫn thực hành			Kiểm tra xem việc thiết lập các tệp tin cấu hình hệ thống của nhật ký có như mô tả trong các tài liệu thiết kế hệ thống không.
		Chứng cứ giả định			• Tài liệu thiết kế phần mềm • Các tệp tin cấu hình hệ thống
		Phương pháp			Kiểm tra/Quan sát
	1.3	Hướng dẫn thực hành			Kiểm tra các hồ sơ của các tệp tin nhật ký đánh giá thực tế được như mô tả trong tài liệu thiết kế hệ thống. CHÚ THÍCH: Trong các nhật ký đánh giá, có một số hồ sơ xuất hiện liên tục và một số các hồ sơ như hồ sơ lỗi thì không. Để kiểm tra xem hệ thống có ghi lại các hồ sơ chỉ xuất hiện trong một số trường hợp cụ thể hay không, chuyên gia đánh giá soát xét biện pháp an toàn thông tin có thể cần phải sử dụng các biện pháp khác nhau bao gồm tạo ra các trường hợp kiểm thử, kiểm tra một tài liệu thiết kế hệ thống.
		Chứng cứ giả định			Tệp tin nhật ký
		Phương pháp			Kiểm tra/Quan sát
	1.4	Hướng dẫn thực hành			Kiểm tra tính toàn vẹn của hồ sơ trong các nhật ký đánh giá để xác định nhật ký thích hợp. CHÚ THÍCH: Một vài hồ sơ phải được ghi lại trong nhật ký đánh giá đang bị mất do hiệu năng và năng lực của hệ thống, hoặc một vài lý do khác, mặc dù các thiết lập cho nhật ký là phù hợp.
		Chứng cứ giả định			Tệp tin nhật ký
		Phương pháp			Kiểm tra/Quan sát
	Tiêu chuẩn thực thi an toàn	Các nhật ký đánh giá phải được giữ trong một thời gian để hỗ trợ cho việc điều tra trong tương lai và biện pháp theo dõi truy cập.
	Lưu ý kỹ thuật tiêu chuẩn thực thi an toàn	Trong một số trường hợp, thời gian lưu trữ nhật ký đánh giá được xác định theo mục đích nghiệp vụ, hợp đồng và luật pháp / quy định. Ví dụ, các nhật ký đánh giá chứa cảnh báo đưa ra bởi hệ thống kiểm soát truy cập cần được lưu giữ cho đến khi việc điều tra các sự kiện, nguyên nhân của sự cố đã được hoàn thành. CHÚ THÍCH: với các hệ thống tương đối mới mà hoạt động mới chỉ bắt đầu, các nhật ký đánh giá chưa được lưu trữ trong thời gian thỏa thuận. Trong trường hợp này, để đạt được Hướng dẫn thực hành 2.3 thì các hướng dẫn thực hành 2.1 và 2.2 cần thiết để được kiểm tra.
	2.1	Hướng dẫn thực hành		Kiểm tra xem thời gian lưu trữ các nhật ký đánh giá có như được mô tả trong các tài liệu thiết kế hệ thống không.
		Chứng cứ giả định		• Tệp tin nhật ký • Tài liệu thiết kế hệ thống.
		Phương pháp		Kiểm tra/Quan sát
	2.2	Hướng dẫn thực hành		Kiểm tra xem việc thiết lập thời gian lưu trữ các nhật ký đánh giá trong hệ thống có như được mô tả trong tài liệu thiết kế hệ thống không hoặc việc thiết lập ghi đè hay xóa bỏ nhật ký đánh giá trước thời hạn lưu trữ đã không được áp dụng.
		Chứng cứ giả định		Nhật ký hệ thống Tài liệu thiết kế hệ thống
		Phương pháp		Kiểm tra/Quan sát
	2.3	Hướng dẫn- thực hành		Kiểm tra xem thời gian lưu trữ các nhật ký đánh giá có dài hơn thời gian được chấp thuận không bằng cách quan sát các nhãn thời gian của tệp tin nhật ký hoặc hồ sơ thời gian trong nhật ký.
		Chứng cứ giả định		Nhật ký hệ thống Tài liệu thiết kế hệ thống
		Phương pháp		Kiểm tra/quan sát

A.3  Kiểm tra kỹ thuật đối với biện pháp kiểm soát quản lý đặc quyền.

Biện pháp kiểm soát

TCVN ISO/IEC 27002:2011 10.2.2 Quản lý đặc quyền

Việc phân bổ và sử dụng đặc quyền cần được hạn chế và kiểm soát.

Thông tin kỹ thuật bổ sung

Quản lý đặc quyền là quan trọng, bởi vì việc sử dụng đặc quyền không phù hợp gây tác động đáng kể đến hệ thống.

Quản lý đặc quyền là quan trọng, bởi vì việc sử dụng đặc quyền không phù hợp gây tác động đáng kể đến hệ thống.

Tình trạng phân bổ đặc quyền cần được mô tả trong các tài liệu xác định đặc quyền (tài liệu định nghĩa đặc quyền). Vì các đặc quyền truy cập liên quan đến mỗi sản phẩm hệ thống (hệ điều hành, hệ quản trị cơ sở dữ liệu và mỗi ứng dụng) là khác nhau.

...

...

...

• Root (hệ điều hành UNIX, Linux);

• Người quản trị (hệ điều hành Windows);

• Người điều hành sao lưu (hệ điều hành Windows);

• Người dùng chuyên nghiệp (hệ điều hành Windows);

• Sa (DBMS);

• quản trị cơ sở dữ liệu (DBMS);

Việc phân bổ đặc quyền tối thiểu phải trên cơ sở nhu cầu sử dụng. Ngoài ra, nó là không nhất thiết phải được phân bổ đều đặn.

Phương pháp quản lý đặc quyền sẽ khác nhau trong các hệ thống khác nhau. Ví dụ về quản lý đặc quyền dựa trên hệ thống là:

• Trong hệ điều hành, danh sách điều khiển truy cập định nghĩa đặc quyền;

...

...

...

• Trong ứng dụng có thể xác định nhiều đặc quyền mặc định cho chức năng quản lý ứng dụng, do vậy chuyên gia đánh giá kiểm soát biện pháp an toàn thông tin trước tiên cần xác định cấp độ kiểm tra;

• Trong hệ điều hành an toàn, có chức năng kiểm soát truy cập bắt buộc.

1

Tiêu chuẩn thực thi an toàn

Các đặc quyền truy cập liên quan đến mỗi sản phẩm hệ thống, ví dụ như hệ điều hành, hệ quản trị cơ sở dữ liệu và mỗi ứng dụng và người dùng cần được phân bổ đặc quyền cần phải được xác định.

Lưu ý kỹ thuật tiêu chuẩn thực thi an toàn

Hoạt động của người sử dụng đặc quyền cần được giám sát, ví việc sử dụng không phù hợp các đặc quyền sẽ gây ra một tác động đáng kể tới hệ thống. Các phương pháp phát hiện việc sử dụng không phù hợp các đặc quyền là khác nhau nếu kiến trúc hệ thống khác nhau.

CHÚ THÍCH: Các kiến trúc hệ thống đại diện là

• Máy tính lớn;

...

...

...

• Hệ điều hành UNIX, Linux;

• Hệ điều hành an toàn.

1.1

Hướng dẫn thực hành

Kiểm tra xem việc phân bổ quyền đã được mô tả tài liệu định nghĩa trong đặc quyền chưa.

Chứng cứ giả định

Tài liệu định nghĩa đặc quyền

Phương pháp

Kiểm tra/Quan sát

...

...

...

Hướng dẫn thực hành

Kiểm tra xem việc thiết lập cấu hình hệ thống có như mô tả trong các tài liệu định nghĩa đặc quyền không. Phương pháp kiểm tra hoạt động đặc quyền là khác nhau theo kiến trúc hệ thống.

Ví dụ về các phương pháp kiểm tra hoạt động đặc quyền.

1) (Trong trường hợp ‘Máy tính lớn’) Kiểm tra xem tình trạng sử dụng đặc quyền có thích hợp không bằng cách kiểm tra báo cáo RACF.

2) (Trong trường hợp của hệ điều hành UNIX, Linux hoặc Windows) kiểm tra xem tình trạng sử dụng các đặc quyền có phù hợp không bằng cách điều tra các nhật ký điều tra về việc sử dụng đặc quyền.

CHÚ THÍCH:

1) RACF (phương tiện kiểm soát truy cập tài nguyên) là phần mềm trung gian quản lý an toàn trong máy tính lớn.

2) Trong hệ điều hành UNIX hay Linux, sẽ rất nguy hiểm nếu chỉ kiểm tra đăng nhập bằng root để điều tra việc sử dụng không phù hợp của người chủ. Lý do cho điều đó là người dùng thông thường có thể trở thành người chủ bằng cách sử dụng lệnh 'su' sau khi đăng nhập vào trong hệ điều hành UNIX hay Linux.

Chứng cứ giả định

...

...

...

• Danh sách kiểm soát truy cập

• Báo cáo RACF

Phương pháp

Kiểm tra/Quan sát

2

Tiêu chuẩn thực thi an toàn

Đặc quyền cần được trao cho một tên đăng nhập (ID) người dùng khác với các ID được sử dụng cho các hoạt động nghiệp vụ bình thường.

Lưu ý kỹ thuật tiêu chuẩn thực thi an toàn

Trong trường hợp truy cập bởi đặc quyền, có khả năng thực hiện hoạt động trái phép một cách ngẫu nhiên và tình hình sử dụng đặc quyền thường trở thành điểm nóng cho các truy cập trái phép.

...

...

...

2.1

Hướng dẫn thực hành

Kiểm tra xem những người dùng có đặc quyền có ID người dùng thông thường bên cạnh ID đặc quyền không bằng cách quan sát các ACL (danh sách điều khiển truy cập) của hệ thống.

Chứng cứ giả định

Danh sách quản lý truy cập.

Phương pháp

Kiểm tra/Quan sát

2.2

Hướng dẫn thực hành

...

...

...

Trong trường hợp của hệ điều hành UNIX hoặc Linux, kiểm tra các tăng cường cấu hình hệ thống mà hệ thống từ chối truy nhập bằng ‘root’.

CHÚ THÍCH: Chuyên gia đánh giá soát xét biện pháp an toàn thông tin cố gắng phỏng vấn để kiểm tra xem đặc quyền có sử dụng ID người dùng khác cho nghiệp vụ thông thường dùng nhật ký chỉ ra đặc quyền chỉ sử dụng ID đặc quyền.

Chứng cứ giả định

• Tệp tin nhật ký;

• Cấu hình hệ thống đăng nhập vào bằng cách ‘root’.

Phương pháp

Kiểm tra/Quan sát

2.2

Hướng dẫn thực hành

...

...

...

Chứng cứ giả định

• Tệp tin nhật ký:

• Cấu hình hệ thống đăng nhập vào bằng cách ‘root’.

Phương pháp

Kiểm tra/Quan sát

A.4  Kiểm tra kỹ thuật đối với biện pháp kiểm soát sao lưu.

Biện pháp kiểm soát

TCVN ISO/IEC 27002:2011 9.5.1 Sao lưu thông tin

...

...

...

Thông tin kỹ thuật bổ sung

Để sao lưu một cách thích hợp, tiêu chuẩn của tổ chức phải được xác định phù hợp với chính sách sao lưu và nó phải được thể hiện vào tài liệu thiết kế sao lưu.

Sao lưu được sử dụng để khôi phục lại các thông tin hoặc phần mềm cần thiết trong trường hợp của một sự kiện mất dữ liệu ví dụ một thảm họa hay hư hỏng phương tiện lưu trữ.

Khi một tổ chức thiết kế sao lưu, vị trí sao lưu, đường dẫn sao lưu và phương pháp sao lưu phù hợp cần được lựa chọn phù hợp với chính sách sao lưu của tổ chức.

Đối với vị trí sao lưu, tổ chức cần lựa chọn sao lưu tại chỗ hoặc sao lưu ngoại vi. Sao lưu tại chỗ được coi là nhanh hơn nhiều so với sao lưu ngoại vi khi sao lưu và khôi phục. Sao lưu ngoại vi sao lưu thường được lựa chọn để ngăn chặn ảnh hưởng của thiên tai như hỏa hoạn, lũ lụt, động đất.

Đối với đường dẫn sao lưu, cho dù là hình thức tại chỗ hoặc từ xa thì cũng đều được lựa chọn. Sao lưu trực tuyến có nghĩa là dữ liệu được sao lưu qua mạng hoặc đường dây thông tin liên lạc. Sao lưu ngoại tuyến có nghĩa là dữ liệu sao lưu được vận chuyển vật lý bằng phương tiện lưu trữ di động như DLT hoặc đĩa CD/DVD.

Phương pháp sao lưu được phân loại theo một số tùy chọn như sao lưu đầy đủ, sao lưu thêm và sao lưu một phần.

Sao lưu đầy đủ có nghĩa là tất cả các dữ liệu được lựa chọn để sao lưu đều được sao lưu. Phương pháp này cần nhiều thời gian và dung lượng dữ liệu hơn so với các phương pháp khác, nhưng là phương pháp đơn giản nhất và dễ dàng nhất để khôi phục dữ liệu. Sao lưu thêm có nghĩa là sao lưu dữ liệu đã thay đổi kể từ lần sao lưu cuối cùng. Phương pháp này cần ít thời gian và dung lượng dữ liệu hơn các phương pháp khác, nhưng là phương pháp phức tạp nhất để khôi phục dữ liệu.

Sao lưu một phần thực hiện sao lưu dữ liệu đã thay đổi kể từ lần sao lưu đầy đủ cuối cùng. Phương pháp này cần ít thời gian và dung lượng dữ liệu hơn so với sao lưu đầy đủ và là phương pháp đơn giản và dễ dàng hơn khi phục hồi so với sao lưu thêm.

...

...

...

Tiêu chuẩn thực thi an toàn

Mức độ (ví dụ sao lưu đầy đủ hoặc một phần) và tần suất sao lưu cấn phản ánh các yêu cầu nghiệp vụ của tổ chức, các yêu cầu an toàn của thông tin có liên quan và sự quan trọng của các thông tin để tiếp tục các hoạt động của tổ chức.

Lưu ý kỹ thuật tiêu chuẩn thực thi an toàn

Để phù hợp với yêu cầu nghiệp vụ, tổ chức cần chọn thời gian sao lưu/khôi phục dữ liệu thích hợp và dung lượng dữ liệu dành cho sao lưu. Hội thẩm cần đánh giá xem phương pháp sao lưu phù hợp đã được lựa chọn để thỏa mãn các yêu cầu của tổ chức.

Dưới đây là các ví dụ về tần suất cần được quan tâm:

• Sao chép trung thực hoặc theo thời gian thực (nếu tầm quan trọng của thông tin ở mức cao nhất);

• Hàng ngày (nếu việc khôi phục dữ liệu đã được sao lưu ít nhất là trong ngày là cần thiết);

• Hàng tuần;

• Hàng Tháng.

...

...

...

1.1

Hướng dẫn thực hành

Kiểm tra xem thiết kế sao lưu có được dựa trên tiêu chuẩn thực hiện an toàn không.

Chứng cứ giả định

• Tài liệu đặc tả sao lưu;

• Tài liệu định nghĩa yêu cầu nghiệp vụ và an toàn;

• Tài liệu thiết kế sao lưu.

Phương pháp

Kiểm tra/Đánh giá.

...

...

...

Hướng dẫn thực hành

Kiểm tra xem việc thiết lập các tệp tin cấu hình hệ thống sao lưu có như được mô tả trong tài liệu thiết kế sao lưu không.

Chứng cứ giả định

• Tài liệu thiết kế sao lưu

• Các tệp tin cấu hình hệ thống sao lưu

Phương pháp

Kiểm tra/Đánh giá

1.3

Hướng dẫn thực hành

...

...

...

Chứng cứ giả định

• Tài liệu thiết kế sao lưu;

• Tệp tin nhật ký;

• Phương tiện sao lưu.

Phương pháp

Kiểm tra/Quan sát

2

Tiêu chuẩn thực thi an toàn

Thủ tục phục hồi phải được kiểm tra và kiểm thử thường xuyên để đảm bảo rằng chúng có hiệu quả và họ có thể được hoàn thành trong thời gian được phân bổ trong thủ tục thực hiện phục hồi.

...

...

...

Sự phức tạp và thời gian cần thiết để phục hồi khác nhau giữa các phương pháp thực hiện; ví dụ sao lưu đầy đủ hoặc từng phần.

Kế hoạch kiểm thử và kiểm tra các thủ tục phục hồi cần được chuẩn bị và lập thành tài liệu.

2.1

Hướng dẫn thực hành

Kiểm tra xem kế hoạch kiểm thử và kiểm tra có được kiểm tra thường xuyên không.

Chứng cứ giả định

• Hồ sơ về việc kiểm tra kế hoạch kiểm thử và kiểm tra

Phương pháp

Kiểm tra/Đánh giá

...

...

...

Biện pháp kiểm soát

TCVN ISO/IEC 27002:2011 9.6.2 An toàn của dịch vụ mạng

Các Tính năng bảo mật, mức dịch vụ và yêu cầu quản lý của tất cả các dịch vụ mạng cần phải được xác định và bao gồm trong bất kỳ thỏa thuận dịch vụ mạng, cho dù các dịch vụ này được cung cấp trong nội bộ hoặc thuê ngoài.

Biện pháp kiểm soát

Dịch vụ mạng là dịch vụ, được cung cấp trên các máy tính nối mạng môi trường cho dù đó là trong nội bộ hay thuê ngoài. Khi một tổ chức sử dụng các dịch vụ mạng, thông tin bí mật của tổ chức có thể truyền trong các dịch vụ mạng bên ngoài. Vì vậy, chuyên gia đánh giá cần xem xét tài khoản mà các chức năng bảo mật cần thiết như mã hóa và / hoặc xác thực được cung cấp bởi các nhà cung cấp dịch vụ mạng.

Ví dụ về các hệ thống được sử dụng cho các dịch vụ mạng là:

• DNS

• DHCP

• Firewall/VPN

...

...

...

• IDS/IPS

Tiêu chuẩn thực thi an toàn

Các thỏa thuận an toàn cần thiết cho các dịch vụ cụ thể, chẳng hạn như tính năng bảo mật, mức dịch vụ và yêu cầu quản lý cần được xác định. Các tổ chức phải đảm bảo rằng các nhà cung cấp dịch vụ mạng có thực hiện các biện pháp này.

Tiêu chuẩn thực thi an toàn

Để sử dụng dịch vụ mạng, sắp xếp an toàn là rất quan trọng để bảo vệ thông tin đi qua nó.

Các yêu cầu về tính năng bảo mật thường được bao gồm trong các yêu cầu nghiệp vụ.

Ví dụ về các tính năng bảo mật liên quan đến dịch vụ mạng được, mô tả như sau:

...

...

...

• Kiểm soát truy cập mạng chống lại truy cập trái phép;

• IDS / IPS chống lại hoạt động độc hại;

• Lọc URL chống truy cập WEB trái phép;

• Đáp ứng sự cố cho các sự kiện an toàn không mong muốn.

1.1

Hướng dẫn thực hành

Kiểm tra xem tài liệu hợp đồng bao gồm SLA (Thỏa thuận mức dịch vụ) được cung cấp từ nhà cung cấp dịch vụ có thỏa mãn các yêu cầu nghiệp vụ, pháp lý và an toàn của tổ chức không.

Chứng cứ giả định

...

...

...

• Tài liệu định nghĩa yêu cầu

Phương pháp

Kiểm tra/soát xét.

1.2

Hướng dẫn thực hành

Trọng trường hợp trong nhà, kiểm tra xem các thiết lập của hệ thống sử dụng cho các dịch vụ mạng được như mô tả trong tài liệu thiết kế dịch vụ mạng.

Chứng cứ giả định

• Cấu hình hệ thống

• Tài liệu thiết kế dịch vụ mạng

...

...

...

Kiểm tra/soát xét

1.3

Hướng dẫn thực hành

Trong trường hợp trong nội bộ, kiểm tra xem hồ sơ của các tệp tin nhật ký thực tế từ các hệ thống dịch vụ mạng có như được mô tả trong các tài liệu thiết kế dịch vụ mạng không.

Ví dụ về hồ sơ của các dịch vụ mạng:

• Xác thực;

• Mã hóa;

• Các điều khiển kết nối mạng;

• Tốc độ của kênh;

...

...

...

• Khoảng thời gian chết.

Chứng cứ giả định

• Tệp tin nhật ký;

• Tin nhắn cảnh báo;

• Tài liệu, thiết kế dịch vụ mạng

...

...

...

Kiểm tra / Quan sát

A.6. Kiểm tra kỹ thuật đối với biện pháp kiểm soát và trách nhiệm người dùng

Biện pháp kiểm soát

TCVN ISO /IEC 27002:2011 10.3.1 sử dụng mật khẩu

Người sử dụng được yêu cầu tuân thủ các thực hành an toàn đúng đắn trong việc lựa chọn và sử dụng các mật khẩu.

Thêm ký thuật thông tin về kiểm soát

Để ngăn chặn truy cập trái phép vào các nguồn tài nguyên máy tính, mật khẩu sẽ được tạo ra và giữ bí mật trước những người không được phép truy cập vào chúng.

Xác thực mật khẩu là phương pháp xác thực người dùng được sử dụng bởi một số nguồn tài nguyên như hệ điều hành, chương trình, cơ sở dữ liệu, mạng hoặc các trang web. Chất lượng của mật khẩu phụ thuộc vào độ dài và kiểu ký tự như ký tự chữ và dấu.

...

...

...

Thẩm định cần đánh giá các chức năng ủy quyền với mật khẩu đặt ở tài nguyên máy tính được hiệu quả và những chức năng làm việc thích hợp.

1

Tiêu chuẩn thực hiện an toàn

Chọn mật khẩu chất lượng với đầy đủ độ dài tối thiểu có đặc điểm:

1) Dễ nhớ;

2) Không dựa trên những điều để người khác có thể dễ dàng suy đoán hoặc, có được nếu sử dụng các thông tin liên quan đến cá nhân, ví dụ tên, số điện thoại và ngày sinh v.v..;

3) Không dễ bị tổn hại trước các tấn công từ điển (tức là không bao gồm các từ có trong từ điển);

4) Không có tất cả các ký tự, con số hoặc chữ cái liên tiếp giống nhau.

Chú thích kỹ thuật về tiêu chuẩn thực hiện an toàn

...

...

...

1.1

Hướng dẫn thực hành

Kiểm tra quy tắc lựa chọn mật khẩu đã được mô tả trong chính sách mật khẩu của tổ chức.

Chứng cứ giả định

Chính sách mật khẩu của tổ chức.

Phương pháp

Kiểm tra/soát xét

1.2

Hướng dẫn thực hành

...

...

...

Chứng cứ giả định

• Cấu hình hệ thống (chính sách mật khẩu của hệ thống)

• Chính sách mật khẩu của tổ chức

Phương pháp

Kiểm tra/Quan sát

1.3

Hướng dẫn thực hành

Kiểm tra xem tệp tin nhật ký đăng nhập xem những người dùng thay đổi mật khẩu

Chứng cứ giả định

...

...

...

Phương pháp

Kiểm tra/Quan sát

Phụ lục B

(Tham khảo)

Thu thập thông tin ban đầu (khác ngoài IT)

Trưởng đoàn đánh giá soát xét biện pháp kiểm soát an toàn thông tin phải phân bổ chuyên gia đánh giá soát xét biện pháp kiểm soát an toàn thông tin có kinh nghiệm và năng lực liên quan cho mỗi lĩnh vực an toàn thông tin.

Câu hỏi ban đầu đối với nhân viên liên quan có thể bao gồm danh sách các lĩnh vực và không đầy đủ theo ví dụ được chỉ dẫn sau:

B.1  Nguồn nhân lực và an toàn

...

...

...

b. Kiến thức an toàn thông tin và bảo mật sẵn có tại chỗ để trả lời các câu hỏi, thúc đẩy nhân viên và cung cấp hướng dẫn cần thiết.

c. Chính sách và thủ tục được áp dụng có rõ ràng và SMART (cụ thể, có khả năng đo lường được, có thể được chấp nhận, thực tế, trong khoảng thời gian nhất định).

d. Cá nhân được thuê có đáp ứng kiến thức “vận hành” như mong đợi.

e. Cá nhân có đáng tin cậy để xử lý thông tin nhạy cảm và các hệ thống đó sẽ gây nguy hiểm cho sự sống còn của tổ chức.

f. Hiệu quả của nhân viên có đáng tin cậy?

g. Làm thế nào để xác định được sự tin cậy và đo lường chúng.

B.2  Chính sách

a. Sự phân cấp:

i. Chính sách an toàn thông tin có xuất phát từ các mục tiêu nghiệp vụ và từ chính sách an toàn tổng thể không

...

...

...

b. Toàn diện

i. Chính sách giải quyết an toàn thông tin có trong tất cả ngành hoạt động nghiệp vụ (Nguồn nhân lực, vật lý, công nghệ thông tin, bán hàng, sản xuất, nghiên cứu và phát triển, liên hệ...).

ii. Có các chính sách hoàn chỉnh trong thiết kế bao gồm chiến lược, chiến thuật và vận hành.

c. Sự phát biểu

i. Chính sách có chấp thuận theo TCVN ISO/IEC 27002:2011 hoặc các mục tiêu kiểm soát và biện pháp kiểm soát có phù hợp với bối cảnh cụ thể.

ii. Có chính sách bằng văn bản để xác định rõ ràng (các) hành động phải chịu trách nhiệm.

iii. Hành động được dự kiến trong chính sách và thủ tục nên xem xét các câu hỏi “cơ bản” như: ai, khi nào, tại sao, cái gì, ở đâu và như thế nào.

• nếu cá nhân chịu trách nhiệm (ai) để thực hiện các hành động không được xác định, cá nhân đó có đạt được mục tiêu đề ra không?

• Nếu mốc thời gian (khi nào) để thực hiện hành động không được xác định, liệu các hành động có được thực hiện đúng thời gian không?

...

...

...

• Nếu hành động nội tại (cái gì) không được xác định, làm cách nào để có thể thực hiện nó?

• Nếu hành động không xác định được đối tượng, địa điểm, quy trình, tài sản thông tin hoặc “biện pháp kiểm soát” mà nó có ảnh hưởng, nó sẽ ảnh hưởng như thế nào (ở đâu)?

• Nếu hành động trong thủ tục không được xác định rõ ràng về những thứ được hoàn thành như thế nào và được thực hiện chính xác như thế nào?

• Nếu một hành động không được xác định các chỉ số và mục đích các biện pháp kiểm soát nhằm xác minh rằng nó tiến triển chính xác và đặt được các mục tiêu, làm cách nào để tổ chức đảm bảo rằng các mục tiêu có thể đạt được?

iv. Các biện pháp kiểm soát và môi trường kiểm tra tại chỗ để xác định nếu tuyên bố chính sách được thực hiện, triển khai và đạt được các mục tiêu?

v. Mục tiêu trong tuyên bố chính sách cần xem xét các tiêu chí SMART. Nếu không:

• Các mục tiêu không cụ thể không dễ dàng để nhận diện rõ ràng và (các) cá nhân có trách nhiệm để đạt được nó thông thường không được xác định.

• Nếu mục tiêu không thể đo lường được, có rất ít cơ hội mà một tổ chức có thể xác minh được mục tiêu có đạt được yêu cầu hay không.

• Nếu mục tiêu, không được truyền thông/truyền đạt và có thể được chấp nhận tới người phải đối phó với những thay lớn về biện pháp kiểm soát sẽ bị hiểu lầm, tránh né hoặc ngắt kết nối.

...

...

...

• Nếu mục tiêu liên quan tới thời gian không được xác định (mục tiêu phải đạt được khi nào, khi nào bắt đầu hành động hỗ trợ...). Có một cơ hội tốt là không cần đưa ra hành động nào và mục tiêu chưa bao giờ gặp phải.

B.3  Tổ chức

Tập hợp các vai trò và xác định trách nhiệm, phân bổ vai trò, trách nhiệm cần thiết, đủ đáp ứng mục tiêu nghiệp vụ có xem xét đến bối cảnh và các ràng buộc.

Có liên kết với các cơ quan bên ngoài đã được xác định?

Trách nhiệm đảm bảo an toàn có được thuê ngoài nếu nội bộ tổ chức không có đủ năng lực thực hiện?

Việc đảm bảo an toàn thông tin có được đề cập trong hợp đồng?

B.4  An toàn vật lý và môi trường

B.4.1  Vị trí an toàn của thông?

a. 'Khu vực'

...

...

...

ii. Các khu vực được xác định có phải là nơi chứa nhiều thông tin quan trọng (bởi người hoặc hệ thống ICT).

iii. Có phải "khu vực bảo mật" được phân tách một cách phù hợp để tránh thay đổi thông tin?

b. Vị trí

i. Các vùng khác nhau được xác định rõ ràng và ở các vị trí phù hợp;

ii. Các đường biên (tường, sàn, trần nhà) được gán nhãn.

c. "Cổng" - Các điểm truy cập

i. Cửa và cửa sổ tại các đường biên được bảo vệ cả khi mở lẫn khi đóng;

ii. Kiểm soát truy cập thích hợp tại các lối ra/vào;

iii. Hệ thống có chống được xâm nhập không;

...

...

...

d. Lối đi và "đường dẫn"

i. Các chỉ dẫn để nhận biết các vùng và vị trí.

• Lối đi cho con người;

• Cáp (đường dẫn cho thông tin).

ii. Có đường dự phòng phòng?

iii. Các đường này có được bảo vệ và giám sát không?

e. Giám sát

i. Nguồn lực giám sát có thể nhìn thấy không thông qua mắt thường?

ii. Nguồn lực giám sát có thể nhìn thấy sự xâm nhập từ xa?

...

...

...

iv. Hồ sơ được lưu trữ và phân tích ở đâu? như thế nào?

f. Đồ nội thất

i. Phù hợp để lưu trữ thông tin

ii. Vị trí đặt đúng

iii. Vận hành như mong muốn.

B.4.2  Các vị trí có an toàn cho Công nghệ thông tin và Truyền thông (ICT)? (Khía cạnh về môi trường).

a. Nguồn cấp điện.

i. Đầy đủ/phù hợp

ii. Có nguồn thay thế?

...

...

...

i. Đầy đủ/phù hợp

ii. Có điều hòa thay thế?

c. Cấp dụng cụ chữa cháy

i. Đầy đủ/phù hợp

ii. Có thiết bị thay thế?

B.4.3  Các địa điểm có an toàn cho con người?

a. Lối thoát hiểm có sẵn (và có biện pháp kiểm soát phù hợp);

b. Các "rò rỉ" (nguồn cấp điện, nước, khí đốt, chất lỏng) là mối nguy hiểm tiềm ẩn cho con người;

c. Nhiệt độ, độ ẩm, vật liệu và các rung động là mối nguy hiểm tiềm ẩn cho con người;

...

...

...

e. Đồ nội thất được lắp đặt và duy trì để tránh gây chấn thương cho con người.

B.5  Quản lý sự cố

a. Các sự cố an toàn thông tin đã được xác định chưa?

b. Xây dựng năng lực đề phản ứng các sự cố an toàn thông tin.

i. Xây dựng tài liệu hướng dẫn?

ii. Phân công vai trò và trách nhiệm.

iii. Phân bổ phương tiện và nguồn lực.

Thư mục tài liệu tham khảo

...

...

...

[2] TCVN ISO/IEC 27002:2011, Công nghệ thông tin - Các kỹ thuật an toàn - Quy tắc thực hành quản lý an toàn thông tin.

[3] TCVN 10295:2014, Công nghệ thông tin - Kỹ thuật an toàn - Quản lý rủi ro an toàn thông tin.

[4] TCVN ISO/IEC 27006:2017, Công nghệ thông tin - Các kỹ thuật an toàn - Các yêu cầu đối với các tổ chức đánh giá và cấp chứng nhận hệ thống quản lý an toàn thông tin

[5] ISO/IEC 27007:2011, Information technology - Security techniques - Guidelines for information security management systems auditing.

[6] TCVN ISO 19011:2013, Hướng dẫn đánh giá hệ thống quản lý.

[7] TCVN 9788:2013, Quản lý rủi ro - Từ vựng.

[8] NIST Special publication (SP) 800-53A, Guide for reviewing the controls in federal information systems, July 2008. Available from: http://csrc.nist.gov/publications/PubsSPs.html

[9] Institute For Security And Open Methodologies, Open-Source Security Testing Methodology Manual. Available from: http://www.isecom.org/osstmm/.

[10] Federal Office for Information Security (BSI), Germany, Standard 100-1, Information Security Management Systems (ISMS); 100-2, IT-Grundschutz Methodology; 100-3, Risk Analysis based on IT- Grundschutz and IT-Grundschutz Catalogues (available in German and English). Available from: https://www.bsi.bund.de/cln_174/EN/Publications/publications_node.html.

...

...

...

Mục lục

Lời nói đầu

Lời giới thiệu

1  Phạm vi áp dụng

2  Tài liệu viện dẫn

3  Thuật ngữ và định nghĩa

3.1  Đối tượng soát xét (review object)

3.2  Mục tiêu soát xét (review objective)

...

...

...

4  Cấu trúc tiêu chuẩn

5  Nền tảng

6  Tổng quan về soát xét các biện pháp kiểm soát an toàn thông tin

6.1  Quy trình soát xét

6.2  Nguồn lực

7  Phương pháp soát xét

7.1  Tổng quan

7.2  Phương pháp soát xét: Kiểm tra

7.2.1  Khái quát

...

...

...

7.3  Phương pháp soát xét: Phỏng vấn

7.3.1  Khái quát

7.3.2  Các thuộc tính

7.3.3  Thuộc tính bao hàm

7.4  Phương pháp soát xét: kiểm thử

7.4.1  Khái quát

7.4.2  Các loại kiểm thử

7.4.3  Các thủ tục soát xét mở rộng

8  Các hoạt động

...

...

...

8.2  Xây dựng kế hoạch

8.2.1  Tổng quan

8.2.2  Phạm vi

8.2.3  Thủ tục soát xét

8.2.4  Các xem xét đối tượng liên quan

8.2.5  Các phát hiện trước

8.2.6  Phân công công việc

8.2.7  Hệ thống bên ngoài

8.2.8  Tài sản thông tin và tổ chức

...

...

...

8.2.10  Tối ưu hóa

8.2.11  Hoàn tất kế hoạch soát xét

8.3  Tiến hành soát xét

8.4  Phân tích và báo cáo kết quả

Phụ lục A (Tham khảo) Hướng dẫn thực hành kiểm tra sự tuân thủ kỹ thuật

Phụ lục B (Tham khảo) Thu thập thông tin ban đầu

Thư mục tài liệu tham khảo