Kiểm kê và phân loại tài sản thông tin: Nền tảng để xác định yêu cầu bảo vệ.

Phân biệt thông tin với nguồn lực hỗ trợ

Tài sản thông tin có thể gồm dữ liệu, tài liệu, hồ sơ và tri thức có ý nghĩa với doanh nghiệp. Các nguồn lực như ứng dụng, hạ tầng, dịch vụ hoặc phương tiện hỗ trợ việc tạo, xử lý và sử dụng. Cần nhìn quan hệ giữa chúng thay vì chỉ gộp tất cả theo tên thiết bị.

Một tập dữ liệu có thể được dùng trên ứng dụng, xuất sang tệp và gửi cho đối tác. Kiểm kê ứng dụng không tự cho biết mọi nơi thông tin tồn tại. Ngược lại, một dịch vụ dùng nhiều nguồn lực cần được nối với những loại thông tin để đánh giá tác động khi chúng không hoạt động.

Người sở hữu thông tin chịu trách nhiệm quản lý theo quyền được giao, không nhất thiết là người trực tiếp vận hành hệ thống. Người quản lý kỹ thuật có thể giữ cấu hình và lưu trữ, còn nghiệp vụ xác định ý nghĩa cùng nhu cầu sử dụng. Hai vai trò cần phối hợp để yêu cầu bảo vệ không chỉ dựa trên khả năng công cụ.

Năng lực tổ chức trách nhiệm và kiểm soát có thể được phát triển qua chương trình Quản lý Bảo mật Thông tin. Trong áp dụng, chủ thông tin phải được xác nhận và có quyền thực tế, để tên trong danh mục dẫn tới quyết định khi cần phân loại hoặc chia sẻ.

Chọn dữ liệu kiểm kê theo câu hỏi quản lý

Danh mục cần đủ để trả lời thông tin gì, ai sở hữu, được dùng ở đâu, trong luồng nào và có yêu cầu gì. Không nhất thiết mọi nơi cần cùng mức chi tiết, nhưng phải giữ những phần phục vụ quyết định. Thu thập nhiều trường không dùng có thể làm cập nhật nặng và chất lượng yếu đi.

Có thể bắt đầu từ dịch vụ hoặc hoạt động quan trọng rồi đi theo luồng thông tin. Ghi nơi tạo, lưu, xử lý, chia sẻ và kết thúc sử dụng, cùng các nguồn lực và bên tham gia. Cách đi này giúp thấy bản sao, xuất dữ liệu hoặc kho nội dung không hiện rõ trong danh sách hạ tầng.

Thông tin kiểm kê cần nguồn và người cập nhật. Một bản danh mục đúng ở ngày khảo sát có thể lỗi thời khi ứng dụng hoặc đối tác đổi. Nhóm phải nối cập nhật với những hoạt động thay đổi, mua sắm, bàn giao và kết thúc dịch vụ để việc duy trì không chỉ dựa vào một cuộc rà hằng năm.

Cũng cần xác định trường hợp chưa biết. Nếu chủ sở hữu chưa rõ hoặc vị trí dữ liệu chưa được xác nhận, ghi thiếu hụt và người xử lý. Đừng tự điền theo suy đoán chỉ để danh mục không có ô trống, vì sự chắc chắn bề ngoài có thể dẫn tới yêu cầu bảo vệ sai.

Phân loại theo tác động và yêu cầu

Phân loại giúp tổ chức chọn cách xử lý và bảo vệ phù hợp. Tiêu chí cần dựa trên tác động, nhu cầu và yêu cầu áp dụng; các nhãn như công khai, nội bộ hoặc hạn chế chỉ là ví dụ có thể tùy chỉnh. Không nên trình một bộ nhãn đề xuất như hệ phân loại bắt buộc của ISO/IEC 27001.

Cần nhìn bí mật, toàn vẹn và sẵn sàng theo từng bối cảnh. Thông tin công khai vẫn có thể cần bảo đảm độ đúng hoặc khả năng cung cấp cao. Một hồ sơ ít người xem có thể ảnh hưởng lớn nếu bị sửa sai. Không nên dùng mức bí mật làm đại diện cho toàn bộ yêu cầu bảo vệ.

Tình huống giả định: doanh nghiệp có bảng giá đã công bố và dữ liệu chào giá đang thương lượng. Cả hai phục vụ bán hàng, nhưng nhu cầu chia sẻ khác nhau. Bảng công khai cần giữ độ đúng và khả năng tra cứu; dữ liệu thương lượng cần phạm vi truy cập phù hợp cùng trách nhiệm xác nhận khi chia sẻ.

Bảng là công cụ phân tích đề xuất, không phải thang điểm hay hệ nhãn chuẩn. Chủ thông tin cần cùng các bên xác nhận tác động, còn người chuyên môn giúp chọn cách thực hiện. Kết luận phải giữ phạm vi và căn cứ, không chỉ một mức cao được chọn cho an toàn.

Năng lực diễn giải công việc và trách nhiệm có thể được phát triển qua chương trình Trưởng Phòng IT – IT Manager. Trong thực tế, người quản lý phải biết việc phân loại sẽ dẫn tới hành động nào, để nhãn không tồn tại riêng mà quyền và cách xử lý vẫn giữ nguyên.

Chuyển kết quả phân loại thành cách làm

Mỗi loại cần hướng dẫn về truy cập, sử dụng, lưu, chuyển và kết thúc theo điều kiện phù hợp. Nếu chỉ gắn nhãn mà không chỉ ra người dùng phải làm gì, tổ chức chưa tạo khả năng bảo vệ. Hướng dẫn cần khớp công cụ và quyền, không yêu cầu cách làm mà người thực hiện không có điều kiện áp dụng.

Có thể xác định người được phép thay phân loại và cách xử lý khi thông tin được tổng hợp hoặc chia sẻ. Một tập dữ liệu kết hợp có thể tạo tác động khác từng phần riêng; một bản sao vẫn cần yêu cầu phù hợp dù nằm ở nơi khác. Không nên mặc định xuất tệp làm thông tin ra khỏi phạm vi trách nhiệm.

Nội dung nhận thức cần theo vai trò và tình huống. Người dùng phải biết cách tìm nhãn, chọn kênh, hỏi khi chưa chắc và báo vấn đề. Chương trình Nhận Thức An Toàn Bảo Mật Thông Tin là hướng tham khảo để phát triển khả năng này trong công việc thực tế.

Các biện pháp cần tương xứng. Gắn mọi thông tin mức cao nhất có thể tạo gánh nặng và động lực đi vòng, còn hạ mức để thuận tiện có thể bỏ tác động quan trọng. Cần người sở hữu và bằng chứng để quyết định, cùng cách rà khi hoàn cảnh đổi.

Theo một luồng dữ liệu để kiểm chứng danh mục

Trong tình huống giả định, nhóm chọn một bộ hồ sơ chào giá và đi qua tạo, duyệt, gửi, lưu và kết thúc. Họ phát hiện một bản tổng hợp nằm trong thư mục dùng chung, một bản được xuất cho đối tác và thông tin cũ chưa có người xác nhận thời điểm không còn cần.

Danh mục được cập nhật theo nguồn cùng chủ sở hữu. Phân loại dẫn tới quyền và cách chia sẻ, còn điều kiện giữ và kết thúc được xác định với những yêu cầu liên quan. Nếu chưa biết nghĩa vụ cụ thể, nhóm ghi việc cần xác nhận với người đủ chuyên môn, không tự chọn thời gian để điền cho đủ.

Sau điều chỉnh, kiểm tra người dùng có thực hiện được và các bản liên quan có được quản lý nhất quán. Không chỉ nhìn danh mục đã hoàn thành. Một nhãn đúng trên bản chính chưa chứng minh bản sao hoặc luồng chia sẻ cũng được bảo vệ theo điều kiện.

Năng lực quản lý dịch vụ và các quan hệ thông tin có thể được phát triển qua chương trình Quản lý Dịch vụ IT – ITSM. Trong áp dụng, cần nối danh mục với hoạt động thay đổi và giao nhận, để người sở hữu nhận được thông tin cập nhật khi luồng dịch vụ đổi.

Duy trì nền tảng cho quản lý rủi ro

Danh mục và phân loại tạo đầu vào cho đánh giá rủi ro, nhưng không thay toàn bộ đánh giá. Nhóm còn phải xem kịch bản, điều kiện, khả năng xảy ra và tác động. Một tài sản mức quan trọng cao không tự quyết mọi rủi ro liên quan đều cùng ưu tiên; cần căn cứ theo tình huống.

Người sở hữu cần rà khi dữ liệu, mục đích, người nhận hoặc nguồn lực thay đổi. Có thể chọn những sự kiện cập nhật cùng chu kỳ kiểm tra phù hợp, thay vì dựa vào việc nhắc mọi người tự báo. Dữ liệu kiểm kê phải tiếp tục được dùng trong quyết định để chất lượng có động lực duy trì.

Tổ chức nên bắt đầu từ một phạm vi có ý nghĩa và mở rộng theo bằng chứng. Những phần chưa có chủ sở hữu hoặc chưa biết luồng phải có người xử lý, không bị che trong số lượng tài sản đã ghi. Kết quả quản lý nằm ở khả năng xác định yêu cầu và hành động, không chỉ độ lớn của bảng danh mục.

Kiểm kê và phân loại tốt giúp doanh nghiệp biết thông tin ở đâu, ai chịu trách nhiệm và điều gì cần được bảo vệ. Khi nhãn nối với cách làm và danh mục được cập nhật qua hoạt động thực, tổ chức có nền tảng để quản lý rủi ro. Tài sản thông tin lúc đó được nhìn theo giá trị cùng tác động, vượt khỏi danh sách thiết bị.

Bài viết liên quan

• Thiết lập phạm vi và bối cảnh của hệ thống quản lý an toàn thông tin theo ISO/IEC 27001.
• Đánh giá rủi ro an toàn thông tin: Phương pháp nhận diện, phân tích và xác định mức ưu tiên.
• Xây dựng Statement of Applicability: Liên kết rủi ro với các biện pháp kiểm soát.
• Quản lý danh tính và quyền truy cập: Kiểm soát vòng đời tài khoản nhân viên.

Nguồn tham khảo

1. CIS — Critical Security Control 3: Data Protection
2. NIST — IR 8286D, updated: Using Business Impact Analysis to Inform Risk Prioritization and Response
3. ISO — ISO/IEC 27002:2022: Information security controls