INFOCHIEF ACADEMY · INFORMATION SECURITY KNOWLEDGE SERIES

Lập kế hoạch xử lý rủi ro: Khi nào cần giảm thiểu, tránh, chia sẻ hoặc chấp nhận rủi ro?

Xử lý rủi ro là lựa chọn giữa tác động, nguồn lực và phần rủi ro còn giữ. So sánh các hướng, xác định trách nhiệm và kiểm chứng kết quả giúp kế hoạch thay đổi thực tế thay vì chỉ hoàn thành hành động.

Biên soạn: Infochief Academy · Chuyên đề: Quản lý an toàn thông tin

← Trở về thư viện bài viết

Minh họa biên tập: chủ nghiệp vụ và chuyên gia IT cân nhắc phương án xử lý cùng trách nhiệm đối với rủi ro.

Một rủi ro được xếp mức cao thường kéo theo đề nghị mua giải pháp bảo mật. Nhưng quyết định đầu tư chỉ có ý nghĩa khi giải pháp tác động đúng nguyên nhân và doanh nghiệp hiểu phần rủi ro còn lại. Có trường hợp nên thu hẹp hoạt động, thay cách cung cấp dịch vụ hoặc kết hợp nhiều biện pháp thay vì thêm một công cụ.

Lựa chọn xử lý vì thế là bài toán quản trị. Người phụ trách bảo mật cần trình bày các phương án đủ rõ để chủ rủi ro cân nhắc tác động kinh doanh, điều kiện thực hiện và giới hạn chấp nhận. Một kế hoạch tốt không dừng ở tên biện pháp; nó cho biết ai làm, khi nào hoàn thành và bằng chứng nào chứng minh tình hình đã thay đổi.

Bắt đầu từ mức rủi ro cần đạt và điều kiện không thể bỏ qua

Trước khi chọn phương án, nhóm đánh giá phải thống nhất kịch bản đang xử lý. Thông tin nào bị ảnh hưởng, qua hoạt động nào, kiểm soát hiện có yếu ở đâu và hậu quả có thể lan tới những bên nào? Nếu mô tả chỉ là “nguy cơ mất dữ liệu”, việc so sánh giải pháp sẽ thiếu căn cứ. Mất bản sao tạm khác với lộ hồ sơ khách hàng; mỗi tình huống cần cách xử lý riêng.

Tiếp đó là tiêu chí chấp nhận đã được tổ chức xác lập. Mục tiêu không nhất thiết đưa mọi rủi ro về mức thấp nhất trên bảng điểm. Doanh nghiệp cần mức phù hợp với khả năng chịu đựng, nghĩa vụ áp dụng và giá trị của hoạt động. Khi hậu quả vượt giới hạn, người đề xuất phải nêu điều kiện để giảm mức phơi nhiễm hoặc thay cách làm.

Các yêu cầu pháp luật, hợp đồng và cam kết dịch vụ cũng cần được kiểm tra bởi đầu mối có năng lực. Một chữ ký chấp nhận rủi ro trong nội bộ không tự động cho phép bỏ qua nghĩa vụ bắt buộc. Đây là điểm cần tách rõ khi lãnh đạo cân nhắc giữ hoạt động đang mang lại doanh thu nhưng có khoảng trống kiểm soát.

ISO/IEC 27005 cung cấp hướng dẫn quản lý rủi ro an toàn thông tin, còn ISO/IEC 27001 đặt yêu cầu đối với ISMS. Tổ chức lựa chọn cách triển khai phù hợp thay vì coi một bảng điểm hoặc biểu mẫu cụ thể là phương pháp bắt buộc. Nội dung quản lý rủi ro IT có thể giúp đội ngũ thực hành cách nối kịch bản với quyết định.

Bốn hướng xử lý có thể kết hợp trong cùng một kế hoạch

Giảm thiểu là thay đổi khả năng xảy ra hoặc hậu quả bằng các biện pháp phù hợp. Giới hạn dữ liệu gửi cho đối tác, kiểm soát quyền truy cập và kiểm thử khôi phục tác động tới những phần khác nhau của kịch bản. Trước khi đầu tư, cần giải thích mỗi biện pháp giúp gì; không nên suy ra hiệu quả chỉ từ việc sản phẩm có nhiều tính năng.

Tránh rủi ro là ngừng hoặc không bắt đầu hoạt động tạo ra kịch bản đó. Quyết định có thể là bỏ một chức năng xuất dữ liệu không cần thiết, thay luồng công việc hoặc chưa mở một dịch vụ mới. Tránh một kịch bản không có nghĩa toàn bộ rủi ro biến mất: cách thay thế có thể sinh thêm phụ thuộc hoặc làm gián đoạn công việc.

Chia sẻ rủi ro có thể thông qua thỏa thuận với đối tác hoặc cơ chế phù hợp khác. Cần xác định cụ thể phần hậu quả, trách nhiệm và điều kiện được chia sẻ. Thuê nhà cung cấp hay mua bảo hiểm không tự động chuyển hết trách nhiệm bảo vệ thông tin, khôi phục dịch vụ hoặc thực hiện nghĩa vụ của doanh nghiệp sang bên khác.

Chấp nhận là quyết định có căn cứ về phần rủi ro sẽ giữ lại. Người có thẩm quyền phải hiểu hậu quả, lý do, thời hạn xem xét và điều kiện cần thay đổi quyết định. Không xử lý vì chưa ai nhận việc khác với chấp nhận có chủ đích. Những rủi ro bị bỏ quên không nên được hợp thức hóa bằng một trạng thái trên sổ theo dõi.

Hướng xử lý	Câu hỏi trước khi chọn	Điều cần ghi rõ
Giảm thiểu	Biện pháp tác động vào phần nào của kịch bản?	Kết quả cần đạt và bằng chứng kiểm tra
Tránh	Hoạt động nào sẽ dừng hoặc được thiết kế lại?	Tác động tới nghiệp vụ và rủi ro của cách thay thế
Chia sẻ	Phần hậu quả nào thực sự được phân chia?	Phạm vi thỏa thuận và trách nhiệm còn giữ
Chấp nhận	Vì sao phần rủi ro còn lại phù hợp tiêu chí?	Chủ rủi ro, thẩm quyền và điều kiện xem xét lại

Bảng trên là gợi ý tổ chức thảo luận, không phải biểu mẫu bắt buộc của tiêu chuẩn. Trong thực tế, một kế hoạch có thể vừa giảm thiểu, vừa chia sẻ và chấp nhận phần còn lại. Giá trị nằm ở cách phối hợp làm thay đổi kịch bản, chứ không ở việc mỗi dòng chỉ được chọn một nhãn.

So sánh phương án bằng tác động và khả năng thực hiện

Khi có vài hướng xử lý, cần đặt chúng trên cùng điều kiện so sánh. Phương án mạnh về kỹ thuật nhưng cần dữ liệu tổ chức chưa có có thể chưa triển khai được. Phương án đơn giản hơn, áp dụng ngay cho phần dữ liệu nhạy cảm nhất, đôi khi tạo mức bảo vệ thực tế sớm hơn. Tuy nhiên, lựa chọn tạm thời phải có giới hạn và bước tiếp theo rõ.

Chi phí cần tính cả vận hành, phối hợp, duy trì và ảnh hưởng tới người dùng. Một kiểm soát làm quy trình phê duyệt quá khó có thể khiến nhân viên tìm đường vòng. Nhóm đánh giá nên thử với công việc thực tế để biết người dùng có thể thực hiện đúng hay không. Khả năng được vận hành bền vững là một phần của hiệu quả xử lý.

Cũng cần xem kiểm soát mới tạo thêm rủi ro nào. Chuyển toàn bộ dữ liệu sang một nền tảng khác có thể giảm khoảng trống hiện tại nhưng tăng phụ thuộc nhà cung cấp. Tập trung phê duyệt vào một người giúp phân quyền rõ hơn nhưng có thể tạo điểm nghẽn khi người đó vắng mặt. Bản đề xuất cần thể hiện cả mặt được và điều phải quản lý thêm.

Đây là lúc năng lực quản lý bảo mật thông tin giúp nối giải pháp với cơ chế chịu trách nhiệm. Đội bảo mật cung cấp phân tích chuyên môn; chủ nghiệp vụ và chủ rủi ro cùng xác nhận phương án có phù hợp hoạt động, mức chịu đựng và nguồn lực tổ chức hay không.

Biến lựa chọn thành công việc có thể nghiệm chứng

Một dòng “triển khai kiểm soát truy cập” còn quá rộng để điều hành. Kế hoạch cần nêu phạm vi hệ thống, nhóm quyền phải thay đổi, người chịu trách nhiệm, phụ thuộc và tiêu chí hoàn thành. Khi công việc có ranh giới rõ, bộ phận thực hiện mới ước lượng được nguồn lực và chủ rủi ro mới theo dõi được tiến triển.

Trạng thái mua sắm hoặc cài đặt không đủ để kết luận đã giảm rủi ro. Nếu mục tiêu là ngăn người không còn nhiệm vụ tải dữ liệu, cần kiểm tra quyền thực tế và các đường truy cập liên quan. Nếu mục tiêu là giảm hậu quả mất dữ liệu, cần kiểm chứng khả năng khôi phục theo yêu cầu nghiệp vụ. Bằng chứng phải tương ứng với kết quả cần đạt.

Rủi ro còn lại dự kiến trước triển khai cần được phân biệt với mức được đánh giá sau khi kiểm soát vận hành. Dự kiến dựa trên giả định về hiệu lực; kết quả thực tế cần dữ liệu kiểm tra. Không nên đổi màu một rủi ro sang xanh chỉ vì kế hoạch đã được phê duyệt hoặc nhà cung cấp đã cam kết tính năng.

Để các bước này đi vào công việc, năng lực quản lý IT cần kết nối kế hoạch xử lý với thay đổi hệ thống, nguồn lực và lịch kiểm tra. Những phụ thuộc vượt quyền của người thực hiện phải được đưa tới cấp quyết định trước khi chúng làm kế hoạch chậm kéo dài.

Một tình huống: giữ hợp tác nhưng thay cách trao đổi dữ liệu

Trong tình huống giả định, một doanh nghiệp gửi toàn bộ hồ sơ khách hàng cho đối tác để hỗ trợ đối soát. Đội bảo mật đề nghị mã hóa đường truyền. Chủ nghiệp vụ đồng ý về kỹ thuật, nhưng khi rà mục đích, nhóm nhận ra đối tác chỉ cần một phần trường thông tin. Mã hóa giúp bảo vệ luồng truyền nhưng không giải quyết việc bên nhận có quá nhiều dữ liệu.

Nhóm đưa ra phương án kết hợp: loại bỏ các trường không cần thiết, giới hạn người được nhận, xác định thời gian cần giữ và thống nhất cách xử lý sau đối soát. Đồng thời, đầu mối pháp lý và mua sắm xem xét thỏa thuận trách nhiệm với đối tác. Đây là giảm thiểu và chia sẻ có điều kiện, không phải chuyển hết rủi ro cho nhà cung cấp.

Phần còn lại vẫn phải được trình bày. Đối tác còn có thể sử dụng sai phần dữ liệu cần thiết; việc kiểm tra của doanh nghiệp cũng có giới hạn. Chủ rủi ro cần xem mức này có phù hợp tiêu chí hay không, có cần thêm bằng chứng hoặc thay phương thức đối soát hay không. Quyết định phải dựa trên phạm vi mới, không dùng lại đánh giá của luồng cũ.

Sau triển khai, nhóm kiểm tra mẫu dữ liệu thực sự gửi đi và xác nhận các quyền nhận đã được giới hạn. Nếu nhân viên vẫn chuyển hồ sơ đầy đủ qua kênh khác, kế hoạch chưa đạt mục tiêu. Tình huống cho thấy xử lý rủi ro thường cần điều chỉnh cả dữ liệu, công việc và trách nhiệm; một giải pháp kỹ thuật riêng lẻ khó bao phủ toàn bộ.

Giữ quyết định chấp nhận luôn có điều kiện

Kế hoạch xử lý có thể kéo dài qua nhiều kỳ điều hành. Trong thời gian đó, cần phân biệt phần rủi ro đang giữ tạm thời với phần đã được giảm bằng kiểm soát có bằng chứng. Quyết định giữ tạm phải có người chịu trách nhiệm và thời điểm xem xét, nhất là khi việc chậm triển khai làm mức phơi nhiễm cao hơn dự kiến.

Những thay đổi về dữ liệu, đối tác, quy mô người dùng hoặc sự cố mới có thể khiến kết luận trước đây hết phù hợp. Cơ chế theo dõi cần đưa các tín hiệu đó tới chủ rủi ro. Việc xem xét lại không nên chờ đến kỳ kiểm toán nếu điều kiện căn bản của phương án đã thay đổi.

Ở cấp tổ chức, lãnh đạo IT cần thấy quyết định nào còn hiệu lực, kế hoạch nào thiếu nguồn lực và rủi ro nào vượt thẩm quyền xử lý của nhóm. Báo cáo như vậy giúp ưu tiên đầu tư và tháo gỡ phụ thuộc bằng tác động kinh doanh cụ thể.

Lựa chọn xử lý tốt tạo được một chuỗi có thể giải thích: kịch bản nào, vì sao chọn phương án này, biện pháp đã vận hành ra sao và phần còn lại ai chịu trách nhiệm. Khi chuỗi đó rõ, doanh nghiệp vừa duy trì hoạt động cần thiết vừa tránh nhầm một kế hoạch đẹp với một rủi ro đã được kiểm soát.