Tiêu chuẩn Việt Nam TCVN 7562:2005 (hoàn toàn tương đương với tiêu chuẩn quốc tế ISO/IEC 17799 : 2000) về Công nghệ thông tin - Mã thực hành quản lý an ninh thông tin là văn bản kỹ thuật quan trọng do Bộ Khoa học và Công nghệ ban hành. Tiêu chuẩn này thiết lập một khuôn khổ toàn diện và các nguyên tắc hướng dẫn nhằm giúp các tổ chức, doanh nghiệp xây dựng, triển khai, duy trì và cải tiến hệ thống quản lý an ninh thông tin một cách hiệu quả.

Dưới đây là phần tóm tắt và phân tích chi tiết các mục tiêu cốt lõi được quy định trong TCVN 7562:2005:

Tiêu chuẩn đặt nền móng cho việc xây dựng một hệ thống quản lý an ninh thông tin đồng bộ thông qua các mục tiêu cụ thể:

• Cung cấp phương hướng quản lý rõ ràng và sự hỗ trợ mạnh mẽ từ cấp lãnh đạo đối với công tác an ninh thông tin, đảm bảo an ninh thông tin luôn đồng hành cùng mục tiêu hoạt động của tổ chức.
• Thiết lập cơ chế quản lý an ninh thông tin chặt chẽ trong nội bộ tổ chức, phân định rõ ràng vai trò, trách nhiệm của từng bộ phận và cá nhân liên quan.

Trong xu thế hợp tác và toàn cầu hóa, tiêu chuẩn đặc biệt chú trọng đến việc kiểm soát rủi ro từ các tác nhân bên ngoài:

• Duy trì an ninh tuyệt đối cho các phương tiện xử lý thông tin của tổ chức cũng như các tài sản thông tin khi có sự tiếp cận, truy cập từ các bên thứ ba.
• Đảm bảo tính an toàn, bảo mật và tính toàn vẹn của thông tin khi trách nhiệm xử lý thông tin được chuyển giao hoặc ủy quyền cho một tổ chức cung ứng dịch vụ bên ngoài (thuê ngoài dịch vụ).

Tài sản thông tin là cốt lõi của mọi tổ chức, do đó tiêu chuẩn đưa ra các yêu cầu nghiêm ngặt nhằm bảo vệ nhóm tài sản này:

• Duy trì sự bảo vệ thích hợp đối với mọi tài sản thuộc quyền sở hữu hoặc quản lý của tổ chức.
• Đảm bảo các tài sản thông tin được phân loại và áp dụng mức độ bảo vệ tương thích với giá trị và tầm quan trọng của chúng.
• Chủ động giảm thiểu tối đa các rủi ro phát sinh từ hành vi sai sót vô ý, hành vi đánh cắp, gian lận hoặc lạm dụng các phương tiện xử lý thông tin của tổ chức.

Con người luôn là mắt xích quan trọng trong hệ thống an ninh, tiêu chuẩn định hướng tối ưu hóa nguồn lực này bằng cách:

• Đảm bảo toàn bộ người sử dụng (nhân viên, nhà thầu, đối tác) nhận thức đầy đủ về các mối đe dọa an ninh thông tin tiềm ẩn và các vấn đề liên quan.
• Trang bị kiến thức, kỹ năng cần thiết cho nhân sự để họ hỗ trợ hiệu quả cho chính sách an ninh của tổ chức trong quá trình thực hiện công việc hàng ngày.
• Xây dựng quy trình giảm thiểu thiệt hại từ các trục trặc, sự cố an ninh thông tin; đồng thời thiết lập cơ chế theo dõi, ghi nhận và rút kinh nghiệm sâu sắc từ các sự cố đã xảy ra để ngăn ngừa tái diễn.

Bảo vệ ranh giới vật lý và môi trường làm việc là điều kiện tiên quyết để bảo vệ dữ liệu số:

• Ngăn ngừa triệt để việc truy cập trái phép, gây hại vật lý hoặc can thiệp bất hợp pháp vào các khu vực làm việc, vùng an ninh và thông tin kinh doanh nhạy cảm của tổ chức.
• Ngăn ngừa sự mất mát, tổn thất, hư hỏng tài sản vật lý cũng như sự gián đoạn ngoài ý muốn đối với các hoạt động vận hành kinh doanh bình thường.
• Phòng chống hành vi làm hại hoặc đánh cắp thông tin cùng các phương tiện, thiết bị xử lý thông tin của tổ chức.

Hệ thống công nghệ thông tin cần được duy trì trạng thái hoạt động liên tục và tin cậy:

• Đảm bảo các phương tiện, công cụ xử lý thông tin luôn hoạt động đúng chức năng, an toàn và đạt hiệu suất tối ưu theo thiết kế.
• Áp dụng các biện pháp kỹ thuật và quản lý nhằm giảm thiểu tối đa rủi ro xảy ra lỗi hệ thống hoặc sự cố kỹ thuật nghiêm trọng gây gián đoạn vận hành.

Tóm lại, TCVN 7562:2005 (ISO/IEC 17799 : 2000) là bộ quy tắc thực hành toàn diện, đóng vai trò như kim chỉ nam giúp các tổ chức thiết lập một lá chắn an ninh vững chắc, bảo vệ toàn diện tài sản thông tin trước các mối đe dọa từ cả bên trong lẫn bên ngoài.