TÓM TẮT TIÊU CHUẨN QUỐC GIA TCVN 10542:2014 (ISO/IEC 27004:2009) VỀ CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - QUẢN LÝ AN TOÀN THÔNG TIN - ĐO LƯỜNG

I. THÔNG TIN CHUNG VỀ TIÊU CHUẨN

• Tên tiêu chuẩn: Tiêu chuẩn quốc gia TCVN 10542:2014 (hoàn toàn tương đương với tiêu chuẩn quốc tế ISO/IEC 27004:2009).
• Chủ đề: Công nghệ thông tin - Các kỹ thuật an toàn - Quản lý an toàn thông tin - Đo lường.
• Mục tiêu chính: Cung cấp hướng dẫn phát triển và sử dụng các số đo, phép đo nhằm đánh giá hiệu lực của Hệ thống quản lý an toàn thông tin (ISMS) và các biện pháp quản lý (hoặc nhóm biện pháp quản lý) được triển khai theo tiêu chuẩn TCVN ISO/IEC 27001.

II. NGUYÊN TẮC XÂY DỰNG CHƯƠNG TRÌNH ĐO LƯỜNG AN TOÀN THÔNG TIN

Chương trình đo lường an toàn thông tin và cấu trúc đo lường cần được tích hợp toàn diện vào ISMS nhằm đảm bảo giúp tổ chức đạt được phép đo mục tiêu có liên quan, có thể lặp lại và cung cấp kết quả đo cho các bên liên quan để xác định nhu cầu cải tiến ISMS. Các thủ tục đo lường cần kết hợp chặt chẽ với hoạt động của ISMS bao gồm:

• Xác định phạm vi đo lường và nhu cầu thông tin cụ thể của tổ chức.
• Lựa chọn đối tượng đo lường và các thuộc tính liên quan.
• Phát triển cấu trúc phép đo từ khâu lựa chọn số đo, phương pháp đo, hàm đo lường, mô hình phân tích, chỉ báo, tiêu chí quyết định cho đến xác định các bên liên quan.
• Thu thập, lưu trữ, xác minh, phân tích dữ liệu và lập báo cáo kết quả đo thường kỳ.
• Ước lượng và thực hiện các cải tiến đối với chính chương trình đo lường.

III. PHÂN TÍCH CHI TIẾT CÁC CẤU TRÚC PHÉP ĐO CỤ THỂ (PHỤ LỤC B)

Tiêu chuẩn đưa ra các ví dụ điển hình về cấu trúc phép đo áp dụng cho các khía cạnh khác nhau của an toàn thông tin trong tổ chức:

1. Đo lường về đào tạo và nhận thức an toàn thông tin (B.1)

• B.1.1. Nhân sự đã được đào tạo về ISMS:
  • Mục đích: Thiết lập các biện pháp quản lý tuân thủ chính sách an toàn thông tin của tổ chức.
  • Số đo cơ bản: Số nhân sự được đào tạo ISMS theo kế hoạch hàng năm và tổng số nhân sự cần phải đào tạo.
  • Số đo dẫn xuất: Tỷ lệ phần trăm nhân viên được đào tạo hệ thống ISMS.
  • Tiêu chí quyết định: Đạt màu xanh lá cây (90-100%) - không cần hành động; màu vàng (60-90%) - cần theo dõi chặt chẽ (nếu tỷ lệ tăng không đạt tối thiểu 10% mỗi quý sẽ tự động chuyển sang màu đỏ); màu đỏ (0-60%) - cần can thiệp và phân tích nguyên nhân ngay lập tức.
• B.1.2. Đào tạo về an toàn thông tin:
  • Mục đích: Ước lượng mức độ phù hợp với yêu cầu đào tạo nhận thức an toàn thông tin hàng năm cho nhân viên, nhà thầu và bên thứ ba.
  • Số đo dẫn xuất: Tỷ lệ phần trăm cá nhân được đào tạo nâng cao nhận thức an toàn thông tin hàng năm.
  • Tiêu chí quyết định: Tương tự như B.1.1, áp dụng mô hình phân tích ba màu (đỏ, vàng, xanh lá cây) để đưa ra hành động quản lý phù hợp.
• B.1.3. Tuân thủ nhận thức an toàn thông tin:
  • Mục đích: Đánh giá tình trạng tuân thủ chính sách nhận thức an toàn thông tin trước khi cấp quyền truy cập hệ thống.
  • Số đo cơ bản: Số lượng cá nhân được lên kế hoạch đào tạo/ký cam kết thỏa thuận người dùng và số lượng thực tế đã hoàn thành/đã ký.
  • Tiêu chí quyết định: Đánh giá dựa trên xu hướng đường biểu thị và tỷ lệ so sánh. Nếu tỷ lệ kết quả nằm trong khoảng 0,99 đến 1,01 thì đạt mục tiêu; nếu nằm ngoài khoảng này (thể hiện bằng chữ nghiêng hoặc chữ in đậm trong báo cáo) thì chưa đạt và cần can thiệp quản lý.

2. Đo lường các chính sách đặt mật khẩu (B.2)

• B.2.1. Chất lượng mật khẩu - kiểu thiết lập thủ công:
  • Mục đích: Hạn chế người dùng lựa chọn mật khẩu không an toàn (yêu cầu độ dài > 8 ký tự, không dễ đoán, không chứa ký tự liên tiếp giống nhau...).
  • Số đo dẫn xuất: Tổng số lượng mật khẩu tuân thủ chính sách chất lượng mật khẩu của tổ chức.
  • Tiêu chí quyết định: Đạt mục tiêu nếu tỷ lệ trên 0,9 (không cần hành động); từ 0,8 đến 0,9 là chưa đạt nhưng có xu hướng tích cực; dưới 0,8 cần can thiệp và hành động khắc phục ngay lập tức.
• B.2.2. Chất lượng mật khẩu - kiểu thiết lập tự động:
  • Mục đích: Đánh giá độ mạnh mật khẩu thông qua công cụ kiểm tra tự động (bẻ khóa thử nghiệm).
  • Số đo cơ bản: Tổng số mật khẩu người dùng và số lượng mật khẩu không thể bẻ khóa trong vòng 4 giờ.
  • Tiêu chí quyết định: Tương tự thiết lập thủ công, mục tiêu đạt được khi tỷ lệ mật khẩu không thể bẻ khóa đạt trên 0,9.

3. Đo lường tiến trình soát xét ISMS (B.3)

• Mục đích: Đánh giá mức độ hoàn thành của việc soát xét độc lập hệ thống ISMS bởi bên thứ ba theo định kỳ hàng quý.
• Số đo cơ bản: Số lượng báo cáo soát xét đã thực hiện so với số lượng kế hoạch soát xét đã đề ra.
• Tiêu chí quyết định: Tỷ lệ kết quả từ 0,8 đến 1,1 được coi là đạt mục tiêu. Nếu tỷ lệ dưới 0,6, cần can thiệp khẩn cấp. Nếu đến cuối năm chỉ báo vẫn không thỏa mãn, phải báo cáo và yêu cầu hỗ trợ từ ban quản lý cấp cao.

4. Đo lường việc cải tiến ISMS thường xuyên (B.4)

• B.4.1. Hiệu lực của quản lý sự cố an toàn thông tin:
  • Mục đích: Đánh giá khả năng phát hiện nhanh chóng và phản ứng kịp thời với các sự cố an toàn thông tin.
  • Số đo cơ bản: Số lượng sự cố thực tế xảy ra so với ngưỡng chấp nhận được của tổ chức.
  • Tiêu chí quyết định: Vượt ngưỡng chấp nhận (màu đỏ) yêu cầu điều tra nguyên nhân ngay lập tức. Nếu tình trạng đỏ kéo dài qua 2 chu kỳ báo cáo, phải soát xét lại toàn bộ biện pháp quản lý sự cố.
• B.4.2. Triển khai các hành động khắc phục:
  • Mục đích: Đánh giá khả năng loại bỏ nguyên nhân của các điểm không phù hợp trong hệ thống ISMS.
  • Số đo dẫn xuất: Số hành động khắc phục chưa được triển khai (phân tách rõ có lý do chính đáng và không có lý do).
  • Tiêu chí quyết định: Nếu hơn 40% hành động khắc phục không được triển khai (bất kể lý do), hoặc hơn 20% không được triển khai không có lý do chính đáng, ban quản lý bắt buộc phải can thiệp.

5. Cam kết của ban quản lý (B.5)

• Mục đích: Đánh giá sự chủ động hỗ trợ của ban quản lý đối với ISMS thông qua tần suất và chất lượng các cuộc họp soát xét định kỳ hàng tháng.
• Số đo dẫn xuất: Tỷ lệ các cuộc họp soát xét đã tổ chức so với kế hoạch; tỷ lệ tham gia trung bình của các thành viên ban quản lý có trách nhiệm liên quan.
• Tiêu chí quyết định: Tỷ lệ hoàn thành cuộc họp từ 0,7 đến 1,1 là đạt yêu cầu. Tỷ lệ dưới 0,5 là không đạt, đòi hỏi phải có biện pháp chấn chỉnh.

6. Đo lường bảo vệ chống mã độc (B.6)

• Mục đích: Đánh giá hiệu lực của hệ thống phòng chống mã độc bảo vệ tính toàn vẹn của phần mềm và thông tin.
• Số đo dẫn xuất: Khả năng bảo vệ (tỷ lệ giữa số sự cố mất an toàn thông tin do mã độc gây ra trên tổng số lần phát hiện và ngăn chặn thành công).
• Tiêu chí quyết định: Đường biểu thị xu hướng phải đi xuống hoặc đi ngang ở mức thấp. Xu hướng tăng đáng kể là cảnh báo nguy cơ bảo mật nghiêm trọng, cần điều tra hệ thống ngay.

7. Đo lường biện pháp quản lý truy nhập vật lý (B.7)

• Mục đích: Đánh giá mức độ và chất lượng của hệ thống kiểm soát vào/ra tại các khu vực an toàn.
• Thang đo đánh giá (từ 0 đến 5):
  • Mức 0: Không có hệ thống kiểm soát.
  • Mức 1: Sử dụng mã PIN.
  • Mức 2: Sử dụng thẻ từ.
  • Mức 3: Kết hợp mã PIN và thẻ từ.
  • Mức 4: Mức 3 kết hợp chức năng ghi nhớ lịch sử truy cập (file log).
  • Mức 5: Mức 4 kết hợp xác thực sinh trắc học (vân tay, mống mắt, giọng nói...).
• Tiêu chí quyết định: Đạt từ mức 3 trở lên là thỏa mãn yêu cầu an toàn. Dưới mức 3 được coi là chưa thỏa mãn và cần nâng cấp hệ thống kiểm soát.

8. Đo lường soát xét các file log (B.8)

• Mục đích: Đảm bảo việc thường xuyên giám sát và soát xét các file log của hệ thống thiết yếu nhằm phát hiện truy cập trái phép.
• Số đo dẫn xuất: Tỷ lệ phần trăm các file log quan trọng thực tế đã được soát xét trong một khoảng thời gian cụ thể.
• Tiêu chí quyết định: Xu hướng mong muốn là đạt tỷ lệ soát xét 100%. Nếu tỷ lệ này giảm xuống dưới 20%, tổ chức bắt buộc phải kiểm tra nguyên nhân gây suy giảm hiệu suất giám sát.

9. Đo lường quản lý bảo trì ISMS thường xuyên (B.9)

• Mục đích: Đánh giá tính kịp thời và đầy đủ của các hoạt động bảo trì trang thiết bị phần cứng, phần mềm theo lịch trình.
• Số đo dẫn xuất: Mức độ trễ đối với mỗi sự kiện bảo trì (hiệu số giữa ngày dự kiến và ngày thực tế hoàn thành).
• Tiêu chí quyết định: Tỷ lệ hoàn thành bảo trì phải đạt trên 0,9 và mức độ trễ trung bình không được quá 3 ngày. Nếu vượt quá ngưỡng này, cần kiểm tra năng lực vận hành hoặc sự thiếu hụt nguồn lực.

10. An toàn trong các thỏa thuận với bên thứ ba (B.10)

• Mục đích: Đảm bảo tất cả các yêu cầu an toàn thông tin cốt lõi được cam kết đầy đủ trong hợp đồng/thỏa thuận với các đối tác, nhà thầu bên ngoài.
• Số đo dẫn xuất: Tỷ lệ phần trăm trung bình các yêu cầu an toàn thông tin hợp lý thực tế được đưa vào thỏa thuận.
• Tiêu chí quyết định: Chỉ số tỷ lệ trung bình phải đạt trên 0,9 và có xu hướng ổn định hoặc đi lên để đảm bảo giảm thiểu rủi ro từ chuỗi cung ứng và bên thứ ba.