THÔNG TIN CHUNG VỀ TIÊU CHUẨN

Tiêu chuẩn quốc gia TCVN 8051-1:2009 hoàn toàn tương đương với tiêu chuẩn quốc tế ISO/IEC 18028-1:2006 về Công nghệ thông tin - Kỹ thuật an ninh - An ninh mạng công nghệ thông tin - Phần 1: Quản lý an ninh mạng. Tiêu chuẩn này cung cấp các hướng dẫn chi tiết về việc định danh, phân tích các nhân tố liên quan đến truyền thông, thiết lập các yêu cầu an ninh mạng và lựa chọn các biện pháp kiểm soát an ninh phù hợp nhằm bảo vệ hệ thống thông tin của tổ chức.

NỘI DUNG CỐT LÕI CỦA TCVN 8051-1:2009

1. Quy trình định danh và phân tích các nhân tố an ninh mạng (Điều 7)

Quy trình quản lý theo ngữ cảnh an ninh mạng bao gồm các bước tuần tự nhằm thiết lập yêu cầu và lựa chọn kiểm soát an ninh mạng thích hợp:

• Đánh giá các yêu cầu an ninh chung về kết nối mạng dựa trên chính sách an ninh thông tin của tổ chức.
• Đánh giá ứng dụng và kiến trúc mạng liên quan để cung cấp bối cảnh định hướng cho các nhiệm vụ tiếp theo.
• Định danh một hoặc nhiều kiểu kết nối mạng cụ thể đang được xem xét.
• Đánh giá đặc điểm của kết nối mạng được đề xuất và các mối quan hệ tin cậy liên quan.
• Xác định kiểu rủi ro an ninh thông qua đánh giá rủi ro và kết quả xem xét của ban quản lý.
• Định danh phạm vi kiểm soát thích hợp tương xứng với kiểu kết nối, đặc điểm hệ thống và mối quan hệ tin cậy.
• Thực thi và điều hành các biện pháp kiểm soát an ninh đã lựa chọn.
• Giám sát và soát xét việc thực thi kiểm soát an ninh trên cơ sở liên tục phát triển.

2. Xem xét các yêu cầu về chính sách an ninh thông tin chung (Điều 8)

Chính sách an ninh thông tin chung của tổ chức đặt ra các yêu cầu cốt lõi đối với kết nối mạng, bao gồm:

• Xác định nhu cầu bảo vệ tính bảo mật, tính toàn vẹn, tính sẵn có, tính không từ chối, trách nhiệm giải trình, tính xác thực và tính tin cậy của thông tin.
• Đưa ra các quy định cụ thể như: cấm kết nối qua đường quay số, bắt buộc kết nối Internet qua cổng nối an ninh (gateway), sử dụng cổng nối riêng biệt, hoặc yêu cầu chữ ký số đối với các giao dịch tài chính quan trọng.

3. Soát xét ứng dụng và kiến trúc mạng (Điều 9)

Việc soát xét kiến trúc mạng và ứng dụng giúp xây dựng giải pháp an ninh khả thi, bao gồm các khía cạnh:

• Kiểu mạng: Phân loại theo quy mô địa lý gồm Mạng cục bộ (LAN), Mạng diện rộng (WAN), Mạng đô thị (MAN) và Mạng khu vực riêng (PAN).
• Giao thức mạng: Đánh giá đặc điểm an ninh của các giao thức truyền thông chia sẻ (LAN), giao thức định tuyến (WAN) và giao thức MPLS (dùng để triển khai mạng riêng ảo VPN dựa trên nhãn mà không cần mã hóa).
• Ứng dụng mạng: Xem xét các kiểu ứng dụng như ứng dụng khách, ứng dụng máy để bàn, ứng dụng mô phỏng thiết bị đầu cuối, hạ tầng thông điệp, ứng dụng in hoặc lưu trữ và chuyển tiếp, ứng dụng khách - chủ để áp dụng các biện pháp bảo vệ dữ liệu truyền tải và lưu trữ tạm thời thích hợp.
• Công nghệ thực thi mạng: Phân tích đặc điểm an ninh của mạng LAN có dây (Ethernet, Token Ring), mạng LAN không dây (IEEE 802.11, Bluetooth), mạng WAN có dây (ATM, Frame Relay, X.25) và mạng WAN không dây (TDMA, CDMA, GSM, IEEE 802.16).

4. Định danh các kiểu kết nối mạng (Điều 10)

Tiêu chuẩn phân loại các kiểu kết nối mạng chung từ viễn cảnh kinh doanh thành 7 nhóm chính:

• Kiểu A: Kết nối trong một vị trí được kiểm soát đơn của một tổ chức (ví dụ: liên kết giữa các bộ phận trong cùng một tòa nhà).
• Kiểu B: Kết nối giữa các bộ phận khác nhau về mặt địa lý của cùng một tổ chức (ví dụ: kết nối giữa văn phòng chi nhánh và trụ sở chính qua WAN).
• Kiểu C: Kết nối giữa một vị trí tổ chức và cá nhân làm việc từ xa (ví dụ: nhân viên làm việc tại nhà hoặc di động kết nối về hệ thống của công ty).
• Kiểu D: Kết nối giữa các tổ chức khác nhau trong một cộng đồng đóng, ràng buộc bởi hợp đồng hoặc pháp lý (ví dụ: liên kết giao dịch giữa ngân hàng và công ty bảo hiểm).
• Kiểu E: Kết nối với các tổ chức khác bên ngoài (ví dụ: truy cập cơ sở dữ liệu của nhà cung cấp dịch vụ bên ngoài).
• Kiểu F: Kết nối trong phạm vi công cộng (ví dụ: nhân viên truy cập Internet, website công cộng hoặc người dùng bên ngoài truy cập cổng thông tin của tổ chức).
• Kiểu G: Kết nối với mạng thoại công cộng (PSTN) từ môi trường IP.

5. Soát xét đặc điểm mạng và mối quan hệ tin cậy liên quan (Điều 11)

Tổ chức cần xác định rõ đặc điểm mạng (mạng công cộng hay mạng riêng; mạng truyền dữ liệu, truyền thoại hay mạng hội tụ; có cung cấp chất lượng dịch vụ QoS hay không) và phân loại môi trường tin cậy theo 3 mức độ:

• Thấp: Cộng đồng người sử dụng mạng chưa được xác định rõ (thường gắn với mạng công cộng và kết nối kiểu F, G).
• Trung bình: Cộng đồng người dùng đã biết và nằm trong cộng đồng doanh nghiệp đóng gồm nhiều tổ chức (gắn với kết nối kiểu D, E).
• Cao: Cộng đồng người dùng đã biết và duy nhất thuộc nội bộ tổ chức (gắn với kết nối kiểu A, B, C).

6. Định danh rủi ro an ninh thông tin (Điều 12)

Việc kết nối mạng làm phát sinh các rủi ro về mất tính bảo mật, tính toàn vẹn, tính sẵn có, tính không từ chối, trách nhiệm giải trình, tính xác thực và tính tin cậy của thông tin. Tiêu chuẩn phân tích các kiểu tấn công khai thác điểm yếu mạng bao gồm:

• Ngắt (Interruption): Gây mất hoặc gián đoạn dịch vụ, làm hệ thống cuối hoặc ứng dụng không có hiệu lực.
• Ngăn chặn (Interception): Giám sát giao dịch, nghe trộm thông tin truyền tải trên mạng.
• Sửa đổi (Modification): Thay đổi hoặc hủy bỏ trái phép dữ liệu, mã chương trình hoặc cấu hình hệ thống.
• Xâm nhập (Intrusion): Thâm nhập trái phép vào thiết bị, tài khoản hệ thống hoặc hạ tầng mạng vật lý.
• Lừa gạt (Spoofing): Giả mạo người dùng, hệ thống cuối hoặc thiết bị mạng để thực hiện giao dịch lừa đảo hoặc khởi chạy các cuộc tấn công khác.

7. Định danh phạm vi kiểm soát tiềm năng phù hợp (Điều 13)

Đây là nội dung trọng tâm của tiêu chuẩn, đưa ra các hướng dẫn kiểm soát chi tiết cho từng khía cạnh kỹ thuật và quản lý:

7.1. Kiến trúc an ninh mạng (Điều 13.2)

• Kiến trúc tham chiếu: Gồm 3 thành phần cấu trúc là Kích thước an ninh (các nhóm kiểm soát như bảo mật, toàn vẹn, sẵn có, không từ chối), Tầng an ninh (hạ tầng, dịch vụ, ứng dụng) và Mặt phẳng an ninh (quản lý, kiểm soát, người sử dụng cuối).
• Mạng cục bộ (LAN): Áp dụng kiểm soát vật lý (khóa thiết bị, UPS, phòng truyền thông an toàn), kiểm soát phần cứng/phần mềm (IP riêng, mật khẩu mạnh, phần mềm chống virus, vô hiệu hóa cổng USB/CD-ROM, cấu hình RAID) và kiểm soát thao tác (bản vá hệ điều hành, ghi nhật ký đánh giá, thử nghiệm điểm yếu).
• Mạng diện rộng (WAN): Sử dụng giao thức an toàn (SSH, SCP thay cho Telnet, FTP), mã hóa liên kết quản lý, xác thực thiết bị, sử dụng tường lửa, VPN, che giấu cấu trúc địa chỉ MPLS và dịch địa chỉ mạng (NAT).
• Mạng không dây (WLAN): Thiết lập tường lửa ngăn cách WLAN với mạng nội bộ, triển khai VPN trên nền WLAN, kiểm soát mức độ phát sóng vô tuyến, cấu hình SNMP chỉ đọc, sử dụng IDS.
• Mạng vô tuyến (GSM, 3G, GPRS, CDMA): Áp dụng xác thực an toàn, mã hóa thuật toán mạnh, bảo vệ trạm cơ sở, chống thư rác và mã độc trên thiết bị di động.
• Mạng băng rộng: Sử dụng tường lửa SOHO, phần mềm chống mã độc, hệ thống phát hiện/ngăn ngừa xâm nhập (IDS/IPS), thiết lập VPN và cập nhật phần mềm thường xuyên.
• Cổng nối an ninh (Gateway/Firewall): Phân chia mạng logic, kiểm soát luồng lưu lượng vào/ra theo chính sách an ninh, ghi nhật ký tập trung và ngăn chặn việc đi vòng qua cổng nối.
• Dịch vụ truy cập từ xa (RAS): Bảo vệ đường truyền qua Internet bằng VPN, áp dụng xác thực mạnh (multi-factor), tường lửa cá nhân và kiểm tra virus trên thiết bị đầu cuối.
• Mạng riêng ảo (VPN): Sử dụng kỹ thuật đường hầm (tunneling) kết hợp mã hóa để bảo vệ tính bảo mật và toàn vẹn của dữ liệu truyền qua mạng công cộng.
• Hội tụ IP (VoIP, Video): Triển khai cơ chế QoS để đảm bảo chất lượng thoại, đặt máy chủ VoIP sau tường lửa, hạn chế số lượng cổng mở trên tường lửa, phân tách mạng thoại và mạng dữ liệu khi có thể, sử dụng UPS cấp nguồn cho điện thoại IP.
• Dịch vụ mạng bên ngoài và Internet: Sử dụng tường lửa với chính sách mặc định "từ chối tất cả", triển khai Web proxy và Email proxy để lọc nội dung, chống bắt chước địa chỉ (anti-spoofing), chống chuyển tiếp thư điện tử trái phép (anti-relay) và tra cứu DNS đảo.
• Kiến trúc máy chủ Web: Thiết kế phân vùng an ninh (DMZ), loại bỏ điểm hỏng hóc đơn lẻ (single point of failure), sử dụng VLAN phân chia chức năng, mã hóa liên kết quản lý, đồng bộ hóa thời gian hệ thống (NTP) và thử nghiệm độ rắn chắc của hệ điều hành.

7.2. Khung quản lý dịch vụ an toàn (Điều 13.3)

• Chính sách an ninh mạng: Phải được ban quản lý phê duyệt, nhất quán với chính sách chung và quy định rõ ràng các quy tắc sử dụng tài nguyên mạng cũng như chế tài xử lý vi phạm.
• Thủ tục điều hành an ninh (SecOPs): Lập tài liệu chi tiết về các hoạt động vận hành hàng ngày và phân định rõ trách nhiệm của từng cá nhân.
• Kiểm tra việc tuân thủ: Thực hiện đánh giá tuân thủ trước khi đưa hệ thống vào vận hành trực tiếp hoặc khi có thay đổi lớn, bao gồm quét điểm yếu kỹ thuật và thử nghiệm thâm nhập (penetration testing).
• Điều kiện an ninh về kết nối: Thiết lập các thỏa thuận bằng văn bản về mức độ an ninh bắt buộc đối với bên thứ ba trước khi cho phép kết nối vào mạng của tổ chức.
• Quản lý sự cố: Xây dựng lược đồ và hạ tầng quản lý sự cố an ninh thông tin để phát hiện, phản ứng nhanh chóng và giảm thiểu thiệt hại.

7.3. Quản lý an ninh mạng (Điều 13.4)

• Phân định rõ vai trò và trách nhiệm của các bên liên quan: Ban quản lý cấp cao (phê duyệt chính sách), Nhà quản lý mạng (thực thi chính sách), Đội an ninh mạng (duy trì công cụ bảo mật), Người quản trị mạng (vận hành kỹ thuật), Người sử dụng mạng (tuân thủ quy định) và Bộ phận kiểm toán (đánh giá độc lập).

7.4. Quản lý điểm yếu kỹ thuật (Điều 13.5)

• Duy trì bản kiểm kê tài sản mạng hiện hành, thu thập thông tin kịp thời về các lỗ hổng mới công bố, đánh giá mức độ ảnh hưởng và thực thi các biện pháp khắc phục hoặc vá lỗi kịp thời.

7.5. Định danh và xác thực (Điều 13.6)

• Kiểm soát đăng nhập từ xa, áp dụng các biện pháp xác thực nâng cao (như hiển thị nhận dạng đường gọi CLID, token dùng một lần, thẻ thông minh kết hợp mã PIN hoặc sinh trắc học) và xem xét triển khai cơ chế Đăng nhập một lần (SSO) để giảm thiểu rủi ro lộ mật khẩu nhưng phải bảo vệ nghiêm ngặt tài khoản có đặc quyền cao.

7.6. Giám sát và ghi lại nhật ký đánh giá mạng (Điều 13.7)

• Thu thập nhật ký từ nhiều nguồn (tường lửa, bộ định tuyến, IDS) về máy chủ trung tâm để phân tích thời gian thực và ngoại tuyến. Bảo vệ tính toàn vẹn của nhật ký bằng phương tiện lưu trữ ghi một lần (WORM) và đồng bộ hóa thời gian chính xác bằng giao thức NTP để phục vụ công tác điều tra pháp lý.

7.7. Phát hiện sự xâm nhập (Điều 13.8)

• Triển khai hệ thống phát hiện xâm nhập mạng (NIDS) để giám sát lưu lượng gói tin và hệ thống phát hiện xâm nhập máy chủ (HIDS) để giám sát các thay đổi tệp tin hệ thống và nhật ký sự kiện, có thể kết hợp với hệ thống ngăn ngừa xâm nhập (IPS) để tự động hóa việc ngăn chặn tấn công.

7.8. Bảo vệ khỏi mã độc (Điều 13.9)

• Cài đặt phần mềm quét mã độc tại các cổng nối, máy chủ thư điện tử, máy chủ tệp tin và trạm làm việc; thiết lập cơ chế tự động cập nhật chữ ký virus hàng ngày và cấu hình vô hiệu hóa các tính năng không cần thiết (như macro mặc định).

7.9. Dịch vụ dựa trên mật mã hạ tầng chung (Điều 13.10)

• Sử dụng mật mã để bảo vệ tính bảo mật của dữ liệu truyền trên mạng (mã hóa khối theo ISO/IEC 18033 và ISO/IEC 10116).
• Sử dụng mã xác thực thông điệp (MAC) hoặc chữ ký số để bảo vệ tính toàn vẹn của dữ liệu (theo ISO/IEC 9797, ISO/IEC 9796, ISO/IEC 14888).
• Áp dụng các giao thức không từ chối để chứng minh nguồn gốc và việc chuyển phát thông tin thành công.
• Xây dựng hệ thống quản lý khóa an toàn trong suốt vòng đời của khóa, triển khai hạ tầng khóa công cộng (PKI) tin cậy để quản lý chứng thư số và bảo vệ khóa riêng bằng thẻ thông minh hoặc mã hóa đối xứng.

7.10. Quản lý tính liên tục của công việc (Điều 13.11)

• Xây dựng chương trình quản lý tính liên tục của công việc (BCM) dựa trên phân tích tác động kinh doanh (BIA), thiết lập các kịch bản khôi phục thảm họa cho hệ thống CNTT, chuẩn bị các đường truyền dự phòng và loại bỏ các điểm đơn hỏng hóc trong kiến trúc mạng.

8. Thực thi, điều hành, giám sát và soát xét (Điều 14 & Điều 15)

• Các biện pháp kiểm soát an ninh mạng sau khi được thiết kế phải được thực thi đầy đủ và trải qua quá trình đánh giá, kiểm tra sự tuân thủ nghiêm ngặt trước khi hệ thống chính thức đi vào hoạt động trực tiếp.
• Quá trình đánh giá định kỳ hoặc đánh giá khi có thay đổi lớn phải kết hợp giữa việc quét tìm điểm yếu kỹ thuật và thử nghiệm thâm nhập thực tế, đảm bảo tuân thủ các quy định pháp luật của quốc gia sở tại và quốc tế (đặc biệt là luật bảo vệ dữ liệu cá nhân và quyền riêng tư của người dùng).