Tiêu chuẩn quốc gia TCVN 10295:2014 (hoàn toàn tương đương với tiêu chuẩn quốc tế ISO/IEC 27005:2011) là văn bản kỹ thuật quan trọng về Công nghệ thông tin – Các kỹ thuật an toàn – Quản lý rủi ro an toàn thông tin. Tiêu chuẩn này đưa ra các hướng dẫn mang tính hệ thống nhằm giúp các tổ chức nhận diện, phân tích, đánh giá và xử lý các rủi ro an toàn thông tin liên quan đến các tài sản chiến lược của tổ chức, đặc biệt là các thành phần phần cứng và phần mềm.

- Nhận diện và phân loại thành phần Phần mềm trong quản lý rủi ro

Trong công tác quản lý rủi ro an toàn thông tin, phần mềm là một trong những tài sản thông tin cốt lõi cần được phân loại rõ ràng để xác định mức độ ảnh hưởng và áp dụng các biện pháp kiểm soát phù hợp:

• Khái niệm chung về phần mềm: Được xác định bao gồm toàn bộ các chương trình đóng góp trực tiếp hoặc gián tiếp vào quá trình vận hành của một bộ xử lý dữ liệu trong hệ thống.
• Phần mềm hệ thống và phần mềm bổ sung: Là nhóm phần mềm hỗ trợ trực tiếp cho các dịch vụ của hệ điều hành và hỗ trợ gián tiếp cho các dịch vụ của người dùng hoặc các ứng dụng khác. Mặc dù hoạt động gián tiếp, nhóm phần mềm này là thành phần bắt buộc, cần thiết và không thể thiếu đối với sự vận hành ổn định của toàn bộ hệ thống thông tin.
• Phần mềm chuẩn và gói phần mềm thương mại: Là những sản phẩm phần mềm hoàn chỉnh được thương mại hóa rộng rãi trên thị trường (không phải là phần mềm được thiết kế riêng biệt hoặc phát triển một lần theo yêu cầu đặc thù). Các phần mềm này có đầy đủ phương tiện thông tin, quy trình phát hành, cập nhật và duy trì từ nhà cung cấp, phục vụ các nhu cầu chung của người dùng và ứng dụng mà không mang tính cá nhân hóa cho từng nghiệp vụ cụ thể.

- Nhận diện các mối đe dọa và lỗ hổng bảo mật đối với Phần cứng và Phần mềm

Tiêu chuẩn chỉ ra các điểm yếu kỹ thuật và lỗ hổng bảo mật phổ biến liên quan đến hạ tầng thiết bị và ứng dụng mà tổ chức cần lưu ý khi đánh giá rủi ro:

• Rủi ro đối với Phần cứng: Các thiết bị vật lý cấu thành hệ thống thông tin luôn đối mặt với các nguy cơ hỏng hóc vật lý, sự cố nguồn điện, hoặc bị tiếp cận vật lý trái phép nếu không có biện pháp bảo vệ nghiêm ngặt.
• Phần lưu trữ không được bảo vệ: Việc lưu trữ thông tin, dữ liệu nhạy cảm trên các thiết bị hoặc phân vùng không được mã hóa, thiếu cơ chế kiểm soát truy cập là một lỗ hổng nghiêm trọng, dễ dẫn đến nguy cơ rò rỉ, mất mát hoặc bị đánh cắp dữ liệu.
• Phần mềm phân phối quá rộng rãi: Các phần mềm được sử dụng quá phổ biến trên thị trường thường là mục tiêu hàng đầu của tin tặc. Khi xuất hiện lỗ hổng bảo mật, thông tin chi tiết về cách thức khai thác thường bị phát tán nhanh chóng, gây rủi ro lớn cho các tổ chức chưa kịp thời cập nhật bản vá.
• Phần mềm mới hoặc chưa chạy ổn định: Việc đưa các phần mềm mới, phần mềm thử nghiệm hoặc các ứng dụng chưa được kiểm thử kỹ lưỡng vào vận hành thực tế tiềm ẩn nguy cơ cao về lỗi hệ thống, xung đột phần mềm, làm gián đoạn dịch vụ và tạo ra các lỗ hổng bảo mật chưa được phát hiện để kẻ xấu khai thác.