TIÊU CHUẨN QUỐC GIA

TCVN 7562 : 2005

ISO/IEC 17799 : 2000

CÔNG NGHỆ THÔNG TIN – MÃ THỰC HÀNH QUẢN LÝ AN NINH THÔNG TIN

Information technology — Code of practice for information security management

Lời nói đầu

TCVN 7562 : 2005 hoàn toàn tương đương với ISO/IEC 17799 : 2000.

TCVN 7562 : 2005 do Ban kỹ thuật tiêu chuẩn TCVN/TC 154 "Quá trình, các yếu tố dữ liệu và tài liệu trong thương mại, công nghiệp và hành chính" biên soạn, Tổng cục Tiêu chuẩn Đo lường Chất lượng đề nghị, Bộ Khoa học và Công nghệ ban hành.

Tiêu chuẩn này được chuyển đổi năm 2008 từ Tiêu chuẩn Việt Nam cùng số hiệu thành Tiêu chuẩn Quốc gia theo quy định tại Khoản 1 Điều 69 của Luật Tiêu chuẩn và Quy chuẩn kỹ thuật và điểm a khoản 1 Điều 6 Nghị định số 127/2007/NĐ-CP ngày 1/8/2007 của Chính phủ quy định chi tiết thi hành một số điều của Luật Tiêu chuẩn và Quy chuẩn kỹ thuật.

CÔNG NGHỆ THÔNG TIN – MÃ THỰC HÀNH QUẢN LÝ AN NINH THÔNG TIN

Information Technology – Code of practice for information security management

1 Phạm vi áp dụng

Tiêu chuẩn này đưa ra các khuyến nghị về công tác quản lý an ninh thông tin cho những người có trách nhiệm cài đặt, thực thi hoặc duy trì an ninh trong tổ chức của họ. Tiêu chuẩn này nhằm cung cấp một cơ sở chung để xây dựng các tiêu chuẩn an ninh trong tổ chức và thực hành quản lý an ninh một cách hiệu quả và tạo tính tin cậy trong các giao dịch liên-tổ chức. Các khuyến nghị rút ra từ tiêu chuẩn này nên được lựa chọn và sử dụng phù hợp với các luật và các quy định liên quan.

2 Thuật ngữ và định nghĩa

Tiêu chuẩn này sử dụng các định nghĩa sau:

2.1 An ninh thông tin

Duy trì tính bảo mật, tính toàn vẹn và tính sẵn sàng của thông tin.

- Tính bảo mật

Đảo bảo rằng chỉ người được phép mới có thể truy cập thông tin.

- Tính toàn vẹn

Bảo vệ tính chính xác và đầy đủ của thông tin và các phương pháp xử lý.

- Tính sẵn sàng

Đảm bảo rằng người sử dụng được phép có thể truy cập thông tin và các tài sản tương ứng khi cần.

2.2 Đánh giá rủi ro

Đánh giá các mối đe dọa, những ảnh hưởng và điểm yếu của thông tin và các phương tiện xử lý thông tin cũng như khả năng có thể xảy ra.

2.3 Quản lý rủi ro

Quá trình xác định, kiểm soát và giảm thiểu hoặc loại trừ các rủi ro an ninh có thể ảnh hưởng đến các hệ thống thông tin với chi phí có thể chấp nhận được.

3 Chính sách an ninh

3.1 Chính sách an ninh thông tin

3.1.1 Tài liệu chính sách an ninh thông tin

Tài liệu chính sách nên được ban quản lý thông qua, được phát hành và truyền đạt cho toàn bộ nhân viên khi thích hợp. Bản chính sách này nên công bố cam kết của ban quản lý và trình bày cách tiếp cận quản lý an ninh thông tin của tổ chức một cách ngắn gọn, tối thiểu nó nên bao gồm hướng dẫn sau:

a) định nghĩa về an ninh thông tin, toàn bộ đối tượng, phạm vi của nó và tầm quan trọng của an ninh như một cơ chế tạo điều kiện cho việc chia sẻ th