INFOCHIEF ACADEMY · INFORMATION SECURITY KNOWLEDGE SERIES

Xây dựng chính sách an toàn thông tin phù hợp với chiến lược và rủi ro doanh nghiệp.

Chính sách cần định hướng các quyết định trong công việc. Nối chiến lược, rủi ro và cam kết với trách nhiệm, ngoại lệ cùng cách xem xét giúp doanh nghiệp đưa yêu cầu bảo vệ vào hoạt động hằng ngày.

Biên soạn: Infochief Academy · Chuyên đề: Quản lý an toàn thông tin

← Trở về thư viện bài viết

Minh họa biên tập: lãnh đạo nam và nữ ở nhiều độ tuổi trao đổi chính sách bảo vệ thông tin trong doanh nghiệp.

Một chính sách yêu cầu bảo vệ mọi thông tin ở mức cao, nhưng không giải thích cách chia sẻ với đối tác để hoàn thành công việc. Nhân viên vừa được yêu cầu làm nhanh vừa được yêu cầu luôn thận trọng, nên mỗi người tự diễn giải. Tài liệu thể hiện mong muốn, chưa tạo được định hướng có thể sử dụng.

Chính sách an toàn thông tin cần phù hợp mục đích, chiến lược và rủi ro của doanh nghiệp. Nó làm rõ điều cần bảo vệ, trách nhiệm và cách tổ chức lựa chọn, sau đó được chuyển thành các quy định và hướng dẫn cụ thể. Giá trị của chính sách nằm ở quyết định và hành vi mà nó giúp tạo ra.

Xác định định hướng cần giữ trước khi viết

Bước đầu là hiểu thông tin và công việc quan trọng. Doanh nghiệp phụ thuộc vào dữ liệu nào, chia sẻ với ai, sử dụng qua dịch vụ nào và chịu những yêu cầu áp dụng nào? Những nội dung này giúp chính sách phản ánh thực tế, thay vì một mẫu chứa nhiều câu đúng nhưng không có ưu tiên.

Chiến lược có thể tạo nhu cầu mới: mở kênh bán, thuê ngoài, làm việc từ nhiều địa điểm hoặc khai thác dữ liệu. Chính sách phải hỗ trợ cách thực hiện có kiểm soát, không chỉ cấm hoặc giữ cách làm cũ. Đồng thời, nhu cầu tăng tốc không tự tạo lý do bỏ những điều kiện bảo vệ quan trọng.

Cần có sự tham gia của lãnh đạo, chủ nghiệp vụ, người sở hữu thông tin và những chức năng liên quan. Nhóm an toàn thông tin cung cấp chuyên môn, nhưng không tự quyết mọi đánh đổi doanh nghiệp. Nếu chính sách được viết riêng trong IT, phần trách nhiệm ngoài IT dễ bị bỏ hoặc vượt quyền thực tế.

Góc nhìn trong chương trình Lãnh đạo IT – CIO là hướng tham khảo để phát triển khả năng nối định hướng bảo vệ với lựa chọn doanh nghiệp. Trong áp dụng, người bảo trợ cần xác nhận điều kiện và nguồn lực, không chỉ ký tài liệu sau khi nhóm kỹ thuật đã viết xong.

Phân biệt chính sách với quy trình và hướng dẫn

Chính sách thể hiện định hướng, nguyên tắc và cam kết ở cấp phù hợp. Quy trình tổ chức công việc, trách nhiệm và giao nhận; hướng dẫn giúp người thực hiện làm đúng trong tình huống. Nếu đưa mọi thao tác vào chính sách, tài liệu sẽ khó dùng và dễ lỗi thời khi công nghệ thay đổi.

Ví dụ, chính sách có thể xác định quyền truy cập dựa trên nhu cầu và trách nhiệm rõ. Quy trình mô tả cách yêu cầu, xác nhận, cấp và thu hồi; hướng dẫn giải thích thao tác ở công cụ. Các lớp cần khớp, nhưng không nhất thiết mọi doanh nghiệp phải có cùng số tài liệu hoặc cùng hệ thống tên.

Khi xây theo ISO/IEC 27001, chính sách cần phù hợp mục đích tổ chức, tạo căn cứ cho mục tiêu, thể hiện cam kết đáp ứng yêu cầu áp dụng và cải tiến liên tục ISMS. Nội dung phải được quản lý, truyền đạt và sẵn có cho các bên liên quan khi phù hợp, không chỉ được lưu trong một thư mục nội bộ.

Một câu cam kết cần được nối với cách thực hiện và đánh giá. Nếu nói phân quyền theo vai trò, phải có người xác nhận nhu cầu, thông tin và cơ chế rà. Nếu nói cải tiến liên tục, phải có dữ liệu cùng hành động. Tài liệu không tự tạo năng lực chỉ vì đã được ban hành.

Chuyển nguyên tắc thành lựa chọn cụ thể

Một chính sách dùng được cần chỉ rõ phạm vi, trách nhiệm và cách xử lý khi yêu cầu xung đột. Không nhất thiết chứa mọi chi tiết, nhưng phải giúp người quản lý biết ai có quyền quyết định và điều gì không thể tự bỏ. Những từ chung như tăng cường hay nâng cao cần được diễn giải thành điều có thể kiểm tra.

Tình huống giả định: doanh nghiệp thường chia sẻ tài liệu dự án với đối tác. Chính sách cần đặt định hướng theo phân loại, mục đích và quyền. Nếu chỉ cấm mọi chia sẻ, nhân viên có thể dùng kênh riêng để làm việc; nếu mở rộng vì thuận tiện, thông tin có thể được dùng ngoài nhu cầu.

Nội dung chính sách đề xuất	Điều cần làm rõ	Bằng chứng triển khai
Mục đích và phạm vi	Thông tin, hoạt động và chủ thể liên quan	Mô tả phù hợp bối cảnh
Nguyên tắc bảo vệ	Điều kiện về quyền, chia sẻ và sử dụng	Quy trình cùng hướng dẫn khớp
Trách nhiệm	Ai sở hữu, quyết định và thực hiện?	Quyền cùng đầu mối được xác nhận
Ngoại lệ	Khi nào cần trình lựa chọn?	Căn cứ, giới hạn và thời điểm xem lại
Đánh giá và cải tiến	Làm sao biết chính sách được thực hiện?	Dữ liệu, phát hiện và hành động

Bảng là công cụ biên soạn đề xuất, không phải cấu trúc tài liệu bắt buộc của ISO/IEC 27001. Doanh nghiệp cần đối chiếu yêu cầu tiêu chuẩn và những nghĩa vụ đã xác định. Một bảng đầy đủ tên mục chưa chứng minh nội dung phù hợp hoặc đã được thực hiện trong công việc.

Năng lực tổ chức chính sách và kiểm soát có thể được phát triển qua chương trình Quản lý Bảo mật Thông tin. Khi vận dụng, cần giữ việc chính sách được người có quyền chấp thuận và các chủ thể nhận trách nhiệm rõ, thay vì giao toàn bộ thực hiện cho người biên soạn.

Thiết kế ngoại lệ có giới hạn và trách nhiệm

Chính sách cần có cơ chế xử lý trường hợp cách thông thường chưa đáp ứng. Ngoại lệ không nên là một câu cho phép linh hoạt không có người quyết định. Cần căn cứ nhu cầu, tác động, biện pháp bổ sung, người chấp nhận và điều kiện xem lại.

Trong chia sẻ tài liệu giả định, chủ thông tin xác định phần được dùng, người nhận và mục đích. Nhóm chuyên môn đề xuất kiểm soát phù hợp. Nếu còn rủi ro vượt phạm vi được giao, trình tới đúng cấp để lựa chọn thu hẹp, thay cách cung cấp hoặc chấp nhận với điều kiện.

Ngoại lệ cần thời hạn hoặc sự kiện kích hoạt. Khi công việc kết thúc, đối tác thay người hoặc phạm vi dữ liệu đổi, phải xem lại. Một lựa chọn phù hợp ban đầu không tự tiếp tục đúng trong mọi hoàn cảnh, nên trách nhiệm theo dõi phải được giữ sau phê duyệt.

Cơ chế ngoại lệ còn tạo dữ liệu cải tiến. Nếu cùng một loại nhu cầu thường xuyên phải đi ngoài cách chuẩn, cần xem lại chính sách, khả năng công cụ hoặc quy trình. Không nên mặc định mọi ngoại lệ đều là vi phạm, cũng không để việc thường gặp tồn tại vô hạn trong một luồng tạm.

Truyền đạt theo vai trò và điều kiện công việc

Một tài liệu được gửi rộng chưa bảo đảm mọi người hiểu trách nhiệm. Cần chọn nội dung theo vai trò: người dùng hiểu cách xử lý thông tin; người quản lý hiểu quyền xác nhận; chủ thông tin hiểu phân loại và chia sẻ; lãnh đạo hiểu chấp nhận cùng giám sát. Ngôn ngữ cần đủ cụ thể để hành động.

Tổ chức nên thử bằng tình huống và quan sát. Nếu nhân viên không biết dữ liệu thuộc loại nào, cần sửa cách phân loại hoặc hướng dẫn. Nếu người quản lý ký nhưng không hiểu quyền được đề nghị, cần làm rõ thông tin họ dùng. Đừng kết luận thiếu ý thức trước khi kiểm tra điều kiện thực hiện.

Năng lực nhận thức theo vai trò có thể được phát triển qua chương trình Nhận Thức An Toàn Bảo Mật Thông Tin. Trong áp dụng, nội dung cần nối với công cụ và cách làm thực tế, để người dùng có thể thực hiện điều được yêu cầu mà không phải tự tìm một đường vòng.

Người quản lý cũng cần bảo đảm hướng dẫn và quy trình khớp chính sách. Nếu chính sách yêu cầu xác nhận trước nhưng công cụ cấp quyền tự động ngoài phạm vi, phải sửa quan hệ này. Cam kết ở trên và cách thực hiện ở dưới không nên tồn tại như hai hệ thống riêng.

Rà chính sách bằng tác dụng và thay đổi bối cảnh

Việc rà cần có thời điểm phù hợp và được kích hoạt bởi thay đổi đáng kể. Dịch vụ mới, dữ liệu mới, đối tác, yêu cầu áp dụng hoặc phát hiện hiệu lực yếu có thể làm nội dung cần sửa. Không nên chỉ thay ngày phiên bản trong khi những điều kiện quan trọng đã đổi.

Bằng chứng có thể gồm hồ sơ thực hiện, ngoại lệ, kết quả kiểm tra và phản hồi. Số người xác nhận đã đọc phản ánh hoạt động, chưa chứng minh cách xử lý đúng. Cần chọn những tình huống có ý nghĩa để xem nguyên tắc được thực hiện và kiểm soát tạo tác dụng ra sao.

Năng lực tổ chức phân công và theo dõi có thể được phát triển qua chương trình Trưởng Phòng IT – IT Manager. Trong doanh nghiệp, chủ chính sách cần cơ chế yêu cầu thông tin cùng quyền trình sửa, để phát hiện không chỉ được ghi mà có người xử lý.

Chính sách cũng cần được nối với mục tiêu an toàn thông tin. Một cam kết về quyền phù hợp có thể dẫn tới mục tiêu cải thiện việc rà và thu hồi theo nhu cầu; một cam kết về tính sẵn sàng có thể dẫn tới kiểm chứng phục hồi trong phạm vi xác định. Mỗi mục tiêu cần người sở hữu, kế hoạch và cách đánh giá phù hợp, không chỉ một tỷ lệ được chọn vì dễ báo cáo.

Khi ban hành phiên bản mới, phải xác định những quy trình và hướng dẫn bị tác động. Người sử dụng cần biết điều gì thay đổi, áp dụng từ đâu và cách xử lý công việc đang diễn ra. Nếu tài liệu cũ vẫn được dùng song song mà không rõ hiệu lực, một chính sách tốt có thể tạo thêm bất đồng thay vì làm quyết định nhất quán.

Một chính sách phù hợp làm người đọc biết điều cần bảo vệ, giới hạn quyền và đường xử lý khi hoàn cảnh khác. Khi nội dung được thử qua quyết định và hành vi thực, tài liệu trở thành định hướng quản lý. Doanh nghiệp lúc đó có căn cứ cải tiến chính sách theo chiến lược và rủi ro, thay vì chỉ duy trì một lời cam kết chung.