Giới thiệu chung về Tiêu chuẩn quốc gia TCVN 11238:2015 (ISO/IEC 27000:2014)

Tiêu chuẩn quốc gia TCVN 11238:2015 (hoàn toàn tương đương với tiêu chuẩn quốc tế ISO/IEC 27000:2014) về Công nghệ thông tin - Các kỹ thuật an toàn - Hệ thống an toàn thông tin - Mô hình tham chiếu cơ bản là văn bản nền tảng trong bộ tiêu chuẩn về Hệ thống quản lý an toàn thông tin (ISMS). Tiêu chuẩn này mô tả các nguyên tắc cơ bản của hệ thống quản lý an toàn thông tin, tạo thành chủ đề cốt lõi của họ tiêu chuẩn ISMS, đồng thời định nghĩa các thuật ngữ và khái niệm liên quan nhằm đảm bảo sự hiểu biết thống nhất trong toàn bộ hệ thống.

Hệ thống các tiêu chuẩn cốt lõi trong họ tiêu chuẩn ISMS

Dựa trên mô hình tham chiếu của TCVN 11238:2015, hệ thống quản lý an toàn thông tin được cấu thành và hỗ trợ bởi một loạt các tiêu chuẩn chuyên biệt, cụ thể bao gồm:

• TCVN ISO/IEC 27001 - Yêu cầu bắt buộc đối với hệ thống ISMS: Đây là tiêu chuẩn trung tâm đưa ra các yêu cầu bắt buộc để phát triển, vận hành, giám sát và cải tiến một hệ thống ISMS. Tiêu chuẩn này cung cấp một tập hợp các biện pháp kiểm soát nhằm kiểm soát và giảm thiểu các rủi ro liên quan đến tài sản thông tin mà tổ chức cần bảo vệ. Các tổ chức vận hành hệ thống ISMS có thể được đánh giá và chứng nhận về việc tuân thủ. Các mục tiêu kiểm soát và biện pháp kiểm soát trong Phụ lục A (TCVN ISO/IEC 27001) được lựa chọn như một phần của quy trình ISMS, có nguồn gốc trực tiếp và phù hợp với các nội dung được liệt kê từ Điều 5 đến Điều 18 của tiêu chuẩn TCVN ISO/IEC 27002.
• TCVN ISO/IEC 27002 - Hướng dẫn thực hiện các biện pháp kiểm soát: Tiêu chuẩn này đưa ra các hướng dẫn chi tiết về việc thực hiện các biện pháp kiểm soát an toàn thông tin. Cụ thể, các Điều từ 5 đến 18 cung cấp các tư vấn triển khai thực tế và hướng dẫn thực hành tốt nhất để hỗ trợ cho các biện pháp kiểm soát quy định tại các điều tương ứng từ A.5 đến A.18 của tiêu chuẩn TCVN ISO/IEC 27001.
• ISO/IEC 27006 - Yêu cầu đối với tổ chức chứng nhận: Tiêu chuẩn này đóng vai trò bổ trợ cho tiêu chuẩn ISO/IEC 17021 trong việc cung cấp các yêu cầu bắt buộc đối với tổ chức chứng nhận được công nhận. Điều này cho phép các tổ chức này thực hiện việc đánh giá và cung cấp chứng nhận tuân thủ một cách nhất quán với các yêu cầu đặt ra trong tiêu chuẩn TCVN ISO/IEC 27001.
• TCVN 15041 - Hướng dẫn triển khai theo quy trình: Cung cấp một phương pháp tiếp cận theo định hướng quy trình rõ ràng nhằm hỗ trợ tổ chức thực hiện thành công hệ thống ISMS theo đúng các tiêu chí của TCVN ISO/IEC 27001.
• TCVN 10542 - Bộ khung đo lường hiệu lực: Thiết lập một bộ khung đo lường khoa học, cho phép tổ chức thực hiện đánh giá và đo lường hiệu lực vận hành thực tế của hệ thống ISMS đã thiết lập.
• TCVN 10295 - Quản lý rủi ro an toàn thông tin: Hướng dẫn chi tiết về phương pháp tiếp cận quản lý rủi ro theo định hướng quy trình. Tiêu chuẩn này hỗ trợ đắc lực cho việc thực hiện và hoàn thành các yêu cầu khắt khe về quản lý rủi ro an toàn thông tin theo quy định của TCVN ISO/IEC 27001.
• ISO/IEC 27007 - Hướng dẫn đánh giá hệ thống ISMS: Cung cấp các chỉ dẫn cụ thể cho các tổ chức khi thực hiện đánh giá nội bộ hoặc đánh giá độc lập từ bên ngoài đối với hệ thống ISMS, hoặc khi quản lý một chương trình đánh giá ISMS toàn diện so với các yêu cầu quy định trong TCVN ISO/IEC 27001.
• Báo cáo kỹ thuật về rà soát biện pháp kiểm soát: Tài liệu này tập trung chuyên sâu vào việc rà soát các biện pháp kiểm soát an toàn thông tin, bao gồm cả việc kiểm tra tính tuân thủ kỹ thuật theo tiêu chuẩn an toàn thông tin đã triển khai trong tổ chức. Tài liệu này không nhằm cung cấp hướng dẫn cụ thể về kiểm tra tuân thủ liên quan đến đo lường, đánh giá rủi ro hay đánh giá hệ thống ISMS theo quy định trong ISO/IEC 27004, 27005 hoặc 27007, và không dành cho việc đánh giá hệ thống quản lý nói chung.

Tích hợp hệ thống quản lý và quản trị an toàn thông tin

Bên cạnh các tiêu chuẩn kỹ thuật và quy trình, họ tiêu chuẩn ISMS còn mở rộng sang các khía cạnh quản trị, kinh tế và tích hợp hệ thống:

• Tích hợp TCVN ISO/IEC 27001 và ISO/IEC 20000-1: Cung cấp cho các tổ chức thông tin chi tiết về các đặc điểm tương đồng và khác biệt giữa hai tiêu chuẩn này, từ đó hỗ trợ lập kế hoạch xây dựng một hệ thống quản lý tích hợp tuân thủ đồng thời cả hai tiêu chuẩn quốc tế.
• Quản trị an toàn thông tin trong tổ chức: An toàn thông tin đã trở thành một vấn đề sống còn đối với các tổ chức do yêu cầu pháp lý ngày càng tăng và những tác động trực tiếp đến uy tín thương hiệu khi xảy ra sự cố. Vì vậy, bộ phận quản trị của tổ chức có trách nhiệm ngày càng cao trong việc giám sát an toàn thông tin để đảm bảo đạt được các mục tiêu chiến lược đề ra.
• Khía cạnh kinh tế của an toàn thông tin: Báo cáo kỹ thuật bổ sung cho họ tiêu chuẩn ISMS góc nhìn từ quan điểm kinh tế trong việc bảo vệ tài sản thông tin của tổ chức trong môi trường xã hội rộng lớn. Tài liệu cung cấp các hướng dẫn về cách áp dụng kinh tế vào an toàn thông tin thông qua việc sử dụng các mô hình và ví dụ thực tiễn.

Phạm vi áp dụng và các tiêu chuẩn chuyên ngành đặc thù

Tiêu chuẩn được thiết kế để áp dụng linh hoạt cho nhiều mô hình tổ chức và lĩnh vực đặc thù khác nhau:

• Phạm vi áp dụng chung: Áp dụng cho tất cả các hình thức trao đổi và chia sẻ thông tin nhạy cảm, cho cả lĩnh vực công cộng và tư nhân, trong nước và quốc tế, giữa các lĩnh vực sản xuất/kinh doanh tương tự hoặc khác nhau. Đặc biệt, tiêu chuẩn có thể áp dụng hiệu quả để trao đổi và chia sẻ thông tin liên quan đến việc cung cấp, duy trì và bảo vệ các tổ chức hoặc cơ sở hạ tầng quan trọng của quốc gia.
• Lĩnh vực Viễn thông (ISO/IEC 27011): Cung cấp cho các tổ chức viễn thông một bản hướng dẫn tương thích với TCVN ISO/IEC 27002, được thiết kế riêng cho lĩnh vực viễn thông với các chỉ dẫn bổ sung nhằm hoàn thiện các yêu cầu đã nêu trong TCVN ISO/IEC 27001, Phụ lục A.
• Lĩnh vực Dịch vụ Tài chính: Báo cáo kỹ thuật này là một bản bổ sung đặc biệt cho TCVN ISO/IEC 27001 và TCVN ISO/IEC 27002, được thiết kế riêng cho các tổ chức cung cấp dịch vụ tài chính nhằm hỗ trợ tối ưu hóa công tác bảo mật thông tin.
• Lĩnh vực Y tế (ISO/IEC 27799): Cung cấp cho các tổ chức y tế hướng dẫn thực hiện tiêu chuẩn ISO/IEC 27002 chuyên biệt cho ngành y tế, bổ sung các chỉ dẫn cần thiết nhằm đáp ứng các yêu cầu trong TCVN ISO/IEC 27001, Phụ lục A.

Các thuật ngữ và định nghĩa cốt lõi

Để đảm bảo tính nhất quán trong việc áp dụng, tiêu chuẩn định nghĩa rõ ràng các khái niệm then chốt sau:

• Mục tiêu (Objective): Kết quả hoặc đích đến cần đạt được.
• Mục tiêu của biện pháp kiểm soát (Control objective): Tuyên bố mô tả những gì cần đạt được thông qua việc thực hiện các biện pháp kiểm soát nhằm giảm thiểu rủi ro an toàn thông tin.
• Mục tiêu soát xét (Review objective): Định hướng hoặc mục đích cụ thể cần đạt được khi tiến hành hoạt động rà soát, đánh giá tính hiệu quả của các biện pháp kiểm soát hoặc hệ thống quản lý.