Tiêu chuẩn quốc gia TCVN ISO/IEC 27002:2020 (hoàn toàn tương đương với tiêu chuẩn quốc tế ISO/IEC 27002:2013) về Công nghệ thông tin - Các kỹ thuật an toàn - Quy tắc thực hành quản lý an toàn thông tin là một văn bản kỹ thuật mang tính chuẩn mực cao. Tiêu chuẩn này cung cấp các hướng dẫn chi tiết, toàn diện nhằm hỗ trợ các tổ chức thiết lập, triển khai, duy trì và cải tiến hệ thống quản lý an toàn thông tin đáp ứng các yêu cầu nghiệp vụ và tuân thủ pháp luật.

- Định hướng quản lý và thiết lập khung an toàn thông tin

Tiêu chuẩn đặt ra các mục tiêu nền tảng nhằm định hình chính sách và cơ cấu quản lý an toàn thông tin trong tổ chức:

• Cung cấp định hướng quản lý rõ ràng và hỗ trợ tối đa cho công tác an toàn thông tin, đảm bảo phù hợp với các yêu cầu hoạt động nghiệp vụ và các quy định pháp luật, thể chế liên quan.
• Thiết lập một khung quản lý vững chắc để khởi động, kiểm soát việc thực hiện và vận hành các biện pháp an toàn thông tin một cách đồng bộ trong toàn tổ chức.
• Đảm bảo an toàn thông tin tuyệt đối khi nhân viên thực hiện làm việc từ xa hoặc khi sử dụng các thiết bị di động cá nhân và của tổ chức để tiếp cận tài nguyên hệ thống.

- Quản lý nguồn nhân lực và nâng cao nhận thức an toàn thông tin

Yếu tố con người được xác định là mắt xích quan trọng trong hệ thống bảo mật. Tiêu chuẩn đưa ra các quy định chặt chẽ bao gồm:

• Đảm bảo các nhân viên và nhà thầu hiểu rõ trách nhiệm của mình, được đánh giá năng lực và đạo đức phù hợp với vai trò được giao trước khi tiếp nhận công việc.
• Đảm bảo nhân viên và nhà thầu nhận thức đầy đủ và thực hiện nghiêm túc các trách nhiệm an toàn thông tin trong suốt quá trình làm việc tại tổ chức.
• Xây dựng quy trình rõ ràng đối với việc thay đổi vị trí công tác hoặc chấm dứt hợp đồng làm việc nhằm bảo vệ tài sản và lợi ích hợp pháp của tổ chức.
• Thiết lập chương trình nhận thức an toàn thông tin thống nhất với các chính sách và thủ tục của tổ chức, có xét đến mức độ quan trọng của thông tin cần bảo vệ và các biện pháp kiểm soát hiện hành.
• Lồng ghép các hoạt động nâng cao nhận thức đa dạng như tổ chức các đợt vận động (ví dụ: "ngày an toàn thông tin"), phát hành sổ tay hướng dẫn hoặc các bản tin chuyên đề.
• Lên kế hoạch đào tạo định kỳ, thường xuyên, phù hợp với từng vai trò của nhân viên và lao động hợp đồng, đảm bảo tiếp cận được cả những nhân sự mới.
• Cập nhật thường xuyên nội dung đào tạo dựa trên các chính sách mới và các bài học kinh nghiệm thực tế rút ra từ các sự cố an toàn thông tin đã xảy ra.

- Quản lý tài sản và kiểm soát truy cập

Việc nhận diện tài sản và giới hạn quyền truy cập là cốt lõi của việc bảo vệ thông tin:

• Xác định chính xác danh mục tài sản của tổ chức và phân định rõ ràng trách nhiệm bảo vệ thích hợp cho từng tài sản.
• Phân loại thông tin để áp dụng mức độ bảo vệ tương xứng với tầm quan trọng và giá trị của thông tin đối với tổ chức.
• Quản lý chặt chẽ các thiết bị lưu trữ nhằm ngăn chặn triệt để việc tiết lộ, sửa đổi, loại bỏ hoặc phá hủy thông tin trái phép.
• Giới hạn quyền truy cập vào thông tin và các phương tiện xử lý thông tin dựa trên nguyên tắc cần biết và quyền hạn tối thiểu.
• Quản lý truy cập người dùng nhằm đảm bảo chỉ những người dùng hợp lệ mới được quyền truy cập, đồng thời ngăn chặn các truy cập trái phép vào hệ thống và dịch vụ.
• Nâng cao trách nhiệm cá nhân của người dùng trong việc tự bảo vệ và bảo mật thông tin xác thực của chính họ.
• Thiết lập các biện pháp kiểm soát truy cập chuyên sâu nhằm ngăn chặn việc truy cập trái phép vào các hệ thống và ứng dụng nghiệp vụ.
• Sử dụng hiệu quả và thích hợp các biện pháp mật mã để bảo vệ tính bí mật, tính xác thực và tính toàn vẹn của thông tin.

- An toàn vật lý, môi trường và vận hành hệ thống

Bảo vệ hạ tầng vật lý và duy trì tính ổn định của hệ thống vận hành hàng ngày:

• Ngăn chặn các hành vi truy cập vật lý trái phép, gây hư hại hoặc can thiệp vào thông tin cũng như các phương tiện xử lý thông tin của tổ chức.
• Bảo vệ thiết bị công nghệ nhằm ngăn ngừa mất mát, hư hại, đánh cắp, lợi dụng tài sản hoặc gây gián đoạn các hoạt động bình thường của tổ chức.
• Đảm bảo các phương tiện xử lý thông tin được vận hành một cách đúng đắn, an toàn và nhất quán.
• Thiết lập các biện pháp phòng vệ mạnh mẽ để bảo vệ dữ liệu và hệ thống chống lại các phần mềm độc hại (malware).
• Thực hiện sao lưu dữ liệu định kỳ để bảo vệ dữ liệu chống lại sự mất mát và đảm bảo khả năng phục hồi khi có sự cố.
• Ghi nhật ký hệ thống (logging) để lưu vết các sự kiện và tạo ra các bằng chứng phục vụ công tác giám sát, kiểm toán.
• Đảm bảo tính toàn vẹn của các hệ thống đang hoạt động; kiểm soát chặt chẽ việc cài đặt phần mềm trên các hệ thống vận hành.
• Theo dõi và kiểm soát việc cung cấp phần mềm cũng như các module từ bên ngoài để tránh bị thay đổi trái phép, ngăn ngừa phát sinh các lỗ hổng an toàn thông tin.
• Quản lý và ngăn chặn việc khai thác các lỗ hổng kỹ thuật của hệ thống công nghệ thông tin.
• Giảm thiểu tối đa tác động tiêu cực của các hoạt động đánh giá, kiểm thử kỹ thuật lên các hệ thống đang vận hành.

- An toàn truyền thông, phát triển hệ thống và quan hệ đối tác

Kiểm soát luồng thông tin di chuyển trong mạng và các mối quan hệ với bên thứ ba:

• Đảm bảo việc bảo vệ thông tin trên các mạng truyền thông và các phương tiện xử lý thông tin kết nối mạng.
• Duy trì an toàn cho thông tin được truyền tải trong nội bộ tổ chức cũng như khi trao đổi với bất kỳ thực thể bên ngoài nào.
• Tích hợp an toàn thông tin vào toàn bộ vòng đời của các hệ thống thông tin, bao gồm cả các yêu cầu đối với hệ thống cung cấp dịch vụ trên mạng công cộng.
• Thiết kế và thực hiện các biện pháp an toàn thông tin ngay từ giai đoạn phát triển và trong suốt quy trình hỗ trợ hệ thống.
• Bảo vệ nghiêm ngặt các dữ liệu được sử dụng cho mục đích kiểm thử hệ thống.
• Đảm bảo bảo vệ an toàn cho các tài sản của tổ chức mà các nhà cung cấp dịch vụ bên ngoài có quyền truy cập.
• Thiết lập và duy trì mức độ an toàn thông tin cũng như chất lượng cung cấp dịch vụ phù hợp với các thỏa thuận đã ký kết với nhà cung cấp.

- Quản lý sự cố, tính liên tục của hoạt động nghiệp vụ và tuân thủ

Sẵn sàng ứng phó với các tình huống khẩn cấp và đảm bảo tính pháp lý:

• Xây dựng cách tiếp cận phù hợp, nhất quán và hiệu quả để quản lý các sự cố an toàn thông tin, bao gồm việc tiếp nhận, xử lý thông tin về các sự kiện an toàn và lỗ hổng bảo mật.
• Lồng ghép các yêu cầu về an toàn thông tin liên tục vào hệ thống quản lý hoạt động nghiệp vụ liên tục của tổ chức để đảm bảo hoạt động không bị gián đoạn khi xảy ra thảm họa.
• Đảm bảo tính sẵn sàng cao của các phương tiện xử lý thông tin.
• Đảm bảo mọi hoạt động của tổ chức tuân thủ nghiêm ngặt các quy định pháp luật, các nghĩa vụ theo hợp đồng đã ký kết và các yêu cầu bắt buộc về đảm bảo an toàn thông tin, tránh mọi hành vi vi phạm pháp lý.