• Thứ Tư, 03/08/2011 16:01 (GMT+7)

    Đánh giá an toàn mạng: Cần góc nhìn tổng thể

    Minh Phương
    Trước đây, với hệ thống mạng chỉ cần “chạy được” là đủ, nhưng nay phải “chạy đúng” thì mới đáp ứng các điều kiện an toàn thông tin (ATTT).

    Giải pháp toàn diện

    Năm 2011 An ninh mạng Việt Nam được đánh giá là “vẫn nóng”. Việc đánh giá ATTT của một hệ thống mạng càng trở nên cần thiết, cấp bách và đầy thách thức đối với các nhà quản lý.

     
    Một buổi học về đánh giá an toàn mạng.
    Theo Th.S Nguyễn Anh Dũng, Phòng Đào tạo Khu Công nghệ Phần mềm, Đại học Quốc gia TP.HCM (Information Technology Park - ITP), một đơn vị cung cấp chương trình đào tạo và dịch vụ về ATTT: Doanh nghiệp cần chủ động, đặt an toàn hệ thống mạng trong tầm kiểm soát dựa trên nguyên tắc: “bí mật - toàn vẹn - sẵn sàng”.

    Dựa vào các kết quả nghiên cứu cũng như kinh nghiệm triển khai thực tế, ITP đã xây dựng Chương trình đào tạo Đánh giá an toàn mạng máy tính (Computer Network Security Assessment - CNSA), qua đó cung cấp cái nhìn tổng thể, giúp nhận diện và đánh giá toàn diện về ATTT. Qua chương trình này, người học nắm được phương pháp tiếp cận, quy trình đánh giá, các kỹ năng và công cụ cần thiết để có thể đánh giá mức độ an toàn của một hệ thống mạng máy tính. Người học cũng học được cách xây dựng các chính sách cho hệ thống thông tin về: trách nhiệm cho người quản lý CNTT trong trường hợp có sự cố xảy ra; đảm bảo an toàn cho tài sản vật chất và thông tin (an toàn về mặt vật lý, quy định trách nhiệm vật chất cho cá nhân liên quan); quản lý thiết bị… Học viên qua khóa học có thể lập được kế hoạch ATTT để xác định các rủi ro, sai phạm, gian lận đối với thông tin nhằm đảm bảo an toàn hệ thống có hiệu quả nhất.

    “Chạy đúng” mới đủ

    Theo Th.S Nguyễn Anh Dũng, trước đây, quản trị mạng chỉ cần làm sao cho hệ thống “chạy được” là đủ, nhưng nay phải “chạy đúng” thì mới đáp ứng được yêu cầu về đảm bảo ATTT. Lý do là người dùng máy tính (users) thường tải các phần mềm lạ, phần mềm không bản quyền hay dùng chung máy làm phát tán virus. Ngày càng nhiều các thiết bị di động như máy tính bảng (tablet), điện thoại thông minh (smartphone) được sử dụng đã làm ranh giới giữa công việc cá nhân và việc chung rất khó phân biệt…

     

    “Chương trình đào tạo CNSA được xây dựng trên nền tảng ISO 27002, giúp đánh giá và phân tích hệ thống một cách toàn diện cũng như kiểm soát các nhân tố ảnh hưởng đến ATTT dựa trên các tiêu chuẩn về: Chính sách ATTT; Quản lý tài sản; Đảm bảo an toàn vật lý và môi trường; , Quản lý truy cập; Tiếp nhận, phát triển và bảo trì các hệ thống thông tin; Quản lý sự liên tục của hoạt động nghiệp vụ; Quản lý các sự cố ATTT…”
    Th.S Nguyễn Anh Dũng

    Điều này có thể tiếp tay kích hoạt hệ thống gián điệp, làm mất hay lộ bí mật dữ liệu. Do đó yêu cầu “chạy đúng” nghĩa là phải xác lập hệ thống thủ tục kiểm soát chung như huấn luyện đầy đủ cho người sử dụng máy, quy định chỉ có người có quyền mới được cấp quyền sử dụng, mã hóa dữ liệu, hạn chế hoặc cấm truy cập hệ thống bất hợp pháp…

    Ngoài ra, hệ thống mạng máy tính rất cần những đánh giá thử nghiệm khách quan cả bên trong và bên ngoài để đảm bảo rằng hệ thống hoạt động đúng như mong đợi. Việc này cần làm thường xuyên vì các lỗ hổng cũng như phương pháp tấn công mới luôn xuất hiện theo thời gian.

    Kẽ hở mà nhiều tổ chức, doanh nghiệp vấp phải là chưa thiết lập và xây dựng kế hoạch ứng phó với các sự cố hệ thống nghiêm trọng như lũ lụt, động đất, hỏa hoạn hoặc do những kẻ tấn công trên mạng, virus, sâu máy tính gây ra, hay do nhân viên vô tình hoặc cố ý hủy dữ liệu, làm hệ thống bị hư hỏng. Một hệ thống sao lưu cùng với kế hoạch ứng phó hoàn chỉnh nhằm làm hệ thống hoạt động liên tục cũng như đảm bảo toàn vẹn dữ liệu là rất cần thiết.

     


     

    ID: B1106_66