Mua thêm công cụ bảo mật hay xây dựng hệ thống quản lý: Doanh nghiệp cần gì?

Một công cụ giải quyết phần nào của vấn đề?

Công cụ có thể phát hiện, ngăn chặn, ghi nhận hoặc hỗ trợ phản ứng theo thiết kế. Nó thường hiệu quả khi mục tiêu, nguồn dữ liệu, phạm vi và người sử dụng đầu ra đã rõ. Nếu những điều kiện ấy chưa có, thêm công cụ có thể tạo thêm thông tin mà tổ chức chưa biết dùng.

Một nền tảng rà quyền có thể tổng hợp danh sách, nhưng người sở hữu dữ liệu phải biết quyền nào phù hợp nhu cầu. Một công cụ quản lý lỗ hổng có thể chỉ ra điểm kỹ thuật, nhưng việc chọn thời điểm xử lý cần nhìn dịch vụ, tác động và phương án. Không nên dùng khả năng kỹ thuật để thay quyền quyết định.

Trước đề xuất, nhóm cần mô tả kịch bản rủi ro và cơ chế công cụ hỗ trợ. Nếu chỉ nói cần bảo mật tốt hơn, sẽ khó xác định phạm vi, tiêu chí thử và chi phí duy trì. Cần biết đầu ra được dùng để hành động nào và ai có quyền thực hiện.

Không phải mọi khoảng trống đều được sửa bằng công nghệ. Quyền không rõ, dữ liệu chưa có chủ sở hữu hoặc nhân sự không được thông báo khi chuyển vai trò cần cơ chế tổ chức. Công cụ có thể hỗ trợ sau khi cách làm được thiết kế, nhưng không tự tạo trách nhiệm cho các bên.

ISMS tổ chức việc quản lý liên tục

Information Security Management System, gọi tắt ISMS, là hệ thống quản lý an toàn thông tin. Theo cách tiếp cận ISO/IEC 27001, tổ chức xác lập bối cảnh và phạm vi, quản lý rủi ro, tổ chức trách nhiệm và nguồn lực, thực hiện, đánh giá rồi cải tiến. Đây là cơ chế vận hành, không chỉ một bộ chính sách.

Một ISMS giúp nối nhu cầu bảo vệ với lựa chọn kiểm soát và cách theo dõi. Nếu quyết định đầu tư chưa có chủ rủi ro hoặc điều kiện xác nhận, hệ thống quản lý phải làm rõ. Nếu kiểm soát đã chọn nhưng người thực hiện thiếu quyền hay kỹ năng, phải tổ chức điều kiện trước khi kết luận họ chưa tuân thủ.

ISO/IEC 27001 là tiêu chuẩn yêu cầu, còn các hướng dẫn và khung khác có thể hỗ trợ cách thực hiện. Không nên coi ISMS là danh sách công cụ theo một nhãn chuẩn. Lựa chọn biện pháp cần dựa trên rủi ro cùng những yêu cầu áp dụng, với căn cứ và trách nhiệm rõ.

Năng lực tổ chức hệ thống và kiểm soát có thể được phát triển qua chương trình Quản lý Bảo mật Thông tin. Khi áp dụng, doanh nghiệp cần trao quyền và giữ cơ chế phối hợp, để kiến thức không chỉ trở thành tài liệu được ban hành mà chưa được sử dụng.

Chẩn đoán khoảng trống trước khi chọn đầu tư

Nhóm nên phân biệt thiếu khả năng kỹ thuật, thiếu thông tin và thiếu cơ chế quản lý. Các phần có thể cùng tồn tại, nhưng cần biết phần nào đang cản kết quả. Một khảo sát công cụ chỉ theo tính năng sẽ bỏ qua những điều kiện quyết định đầu ra có được dùng hay không.

Tình huống giả định: doanh nghiệp có nhiều tài khoản còn quyền sau khi nhân viên đổi công việc. Nhóm IT đề nghị mua nền tảng mới, nhưng rà hiện trạng cho thấy thông tin thay đổi vai trò đến muộn và không có người xác nhận quyền cũ. Công cụ hiện tại có thể xử lý thu hồi, song chưa nhận căn cứ.

Bảng là công cụ chẩn đoán đề xuất, không phải mô hình đánh giá chính thức của ISO/IEC 27001. Với từng nhận định, cần bằng chứng thực tế. Nếu chưa biết, ghi giả định và chọn phạm vi kiểm chứng thay vì vội kết luận cần mua hoặc không cần mua.

Năng lực điều phối trách nhiệm và kế hoạch có thể được phát triển qua chương trình Trưởng Phòng IT – IT Manager. Trong doanh nghiệp, người quản lý phải biết thông tin đến từ đâu và ai có thể thay điều kiện, để khoảng trống tổ chức không bị đẩy thành vấn đề riêng của kỹ thuật.

Kết hợp cơ chế và công nghệ trong một phương án

Trong tình huống tài khoản giả định, doanh nghiệp trước hết xác định nguồn thay đổi nhân sự, người sở hữu quyền và thời điểm thông báo. Các bên thống nhất dữ liệu tối thiểu, cách xử lý thiếu hụt và xác nhận hoàn tất. IT dùng khả năng hiện có để thực hiện trong phạm vi rõ.

Sau thử, nhóm biết phần việc nào còn thủ công, dữ liệu nào không thể tích hợp hoặc bằng chứng nào khó giữ. Nếu nền tảng mới giúp giải quyết khoảng trống đó, đề xuất có căn cứ cụ thể hơn. Không cần giữ công cụ cũ chỉ vì đã đầu tư, cũng không bỏ toàn bộ chỉ vì muốn có khởi đầu mới.

Phương án đầu tư phải nêu công cụ hỗ trợ kiểm soát nào, ai quản lý, dữ liệu cần và cách xác nhận. Những điều kiện như tích hợp, quyền, hỗ trợ và cập nhật cần nguồn lực. Giá mua không phản ánh toàn bộ khả năng duy trì, nên kế hoạch phải nhìn công việc sau triển khai.

Năng lực vận hành và kiểm tra có thể được phát triển qua chương trình Quản trị Vận hành IT. Trong áp dụng, nhóm vận hành cần biết đầu ra đúng là gì và cách xử lý ngoại lệ, không chỉ cách bật tính năng hoặc đọc trạng thái thành công.

Kiểm chứng bằng tác dụng của kiểm soát

Một thử nghiệm cần phạm vi, dữ liệu nền và điều kiện. Nếu muốn giảm quyền không còn nhu cầu, hãy kiểm tra trường hợp chuyển vai trò, thời gian xử lý và việc quyền được thu hồi thực tế. Số tài khoản được đưa vào công cụ mới chưa tự chứng minh rủi ro đã giảm.

Với công cụ cảnh báo, cần xem tín hiệu có dẫn tới hành động phù hợp, lượng sai lệch và khả năng điều tra. Nhiều cảnh báo hơn có thể là quan sát tốt hơn hoặc cấu hình chưa phù hợp. Kết luận phải nhìn chất lượng, người nhận và kết quả thay vì chỉ khối lượng.

Thử nghiệm cũng cần nhìn trường hợp không thuận lợi. Dữ liệu thiếu, nguồn chậm hoặc người có quyền vắng mặt có thể làm kiểm soát không hoạt động. Nếu chỉ dùng hồ sơ sạch đã chuẩn bị, tổ chức có thể đánh giá quá cao khả năng trong vận hành thường xuyên.

Kết quả cần được trình cùng giới hạn và điều kiện mở rộng. Một biện pháp tốt ở phạm vi nhỏ chưa chắc phù hợp mọi dịch vụ. Nhóm cần biết phụ thuộc, tải công việc và yêu cầu bảo vệ trước khi tăng phạm vi, để công cụ không tạo rủi ro mới qua quyền hoặc dữ liệu tập trung.

Chọn theo giá trị quản lý có thể duy trì

Lãnh đạo cần xem phương án trong mối quan hệ giữa mục tiêu, rủi ro và nguồn lực. Có thể cần đầu tư kỹ thuật ngay cho một khoảng trống có tác động, đồng thời tổ chức ISMS theo phạm vi phù hợp. Không nên dùng việc chưa hoàn thiện hệ thống quản lý làm lý do trì hoãn mọi biện pháp cần thiết.

Ngược lại, mua công cụ không phải bằng chứng đã có hệ thống quản lý. ISMS cần tiếp tục dùng thông tin để rà rủi ro, xử lý ngoại lệ và cải tiến. Chứng nhận nếu được lựa chọn cũng không thay việc giữ hiệu lực thường xuyên hoặc bảo đảm không có sự cố.

Góc nhìn trong chương trình Lãnh đạo IT – CIO là hướng tham khảo để phát triển cách trình đầu tư như lựa chọn doanh nghiệp. Người bảo trợ phải hiểu điều công cụ có thể làm, điều cần các bên thực hiện và phần rủi ro còn lại, thay vì chỉ nhận lời hứa bảo vệ toàn diện.

Một cơ chế quản lý còn giúp tránh trùng lặp. Hai công cụ có thể cùng thu một nguồn nhưng mỗi nhóm dùng cách phân loại và xử lý khác, làm thông tin khó nối. Trước khi bổ sung, cần xem khả năng hiện có, mục đích mới và người sở hữu. Tích hợp có thể tạo giá trị, nhưng dữ liệu dùng chung phải giữ quyền cùng chất lượng phù hợp, không chỉ gom về một nơi.

Khi lựa chọn nhà cung cấp, nhóm cần kiểm tra điều kiện vận hành, khả năng xuất dữ liệu và cách hỗ trợ khi kết thúc sử dụng. Phụ thuộc mới phải được nhìn như một phần rủi ro của phương án. Một giải pháp được giới thiệu tốt chưa chứng minh tổ chức có thể duy trì hoặc thay đổi trong hoàn cảnh của mình. Cần thử những tình huống phù hợp và ghi giới hạn trước quyết định.

Doanh nghiệp nên bắt đầu bằng một rủi ro hoặc kiểm soát đang có vấn đề, rồi chẩn đoán khả năng, thông tin, trách nhiệm và giám sát. Căn cứ ấy giúp chọn phần giữ, sửa và đầu tư. Công cụ tạo khả năng, còn hệ thống quản lý giữ cách sử dụng khả năng đó để bảo vệ thông tin trong điều kiện thực tế.

Bài viết liên quan

• An toàn thông tin không phải việc riêng của IT: Đưa rủi ro lên bàn lãnh đạo
• Thiết lập phạm vi và bối cảnh của hệ thống quản lý an toàn thông tin theo ISO/IEC 27001.
• Lập kế hoạch xử lý rủi ro: Khi nào cần giảm thiểu, tránh, chia sẻ hoặc chấp nhận rủi ro?
• Xây dựng Statement of Applicability: Liên kết rủi ro với các biện pháp kiểm soát.

Nguồn tham khảo

1. ISO — ISO/IEC 27001:2022: Information security management systems
2. ISO — ISO/IEC 27001: What’s new in IT security?
3. ISO — ISO/IEC 27002:2022: Information security controls