Hình 1.1. Các lĩnh vực quan trọng cần ưu tiên đảm bảo an toàn thông tin mạng và hệ thống thông tin quan trọng quốc gia của Việt Nam
(Nguồn: Cục An toàn thông tin, 12-2017)
1.2. MỤC TIÊU VÀ YÊU CẦU CỦA AN TOÀN VÀ BẢO MẬT THÔNG TIN
1.2.1. Mục tiêu của an toàn và bảo mật thông tin
Đảm bảo an toàn và bảo mật thông tin cho một hệ thống thông tin trong tổ chức, doanh nghiệp nhằm đạt được những mục tiêu cụ thể sau:
(1) Phát hiện các lỗ hổng của hệ thống thông tin cũng như dự đoán trước những nguy cơ tấn công vào thông tin của tổ chức, doanh nghiệp gây mất an toàn thông tin.
(2) Ngăn chặn những hành động gây mất an toàn thông tin và bảo mật thông tin từ bên trong cũng như bên ngoài tổ chức, doanh nghiệp.
(3) Phục hồi kịp thời các tổn thất của tổ chức, doanh nghiệp trong trường hợp hệ thống thông tin bị tấn công gây mất an toàn và bảo mật
thông tin, nhằm đưa hệ thống thông tin trở lại hoạt động bình thường trong thời gian sớm nhất.
Hai nguyên tắc quan trọng trong việc thiết kế và đánh giá các hệ thống đảm bảo an toàn và bảo mật thông tin là:
(1) Phải tìm đến tất cả các khả năng mà đối tượng phá hoại có thể thâm nhập vào hệ thống thông tin. Thông thường, trước khi thâm nhập vào hệ thống thông tin để gây mất an toàn và bảo mật thông tin, các đối tượng cố ý phá hoại sẽ tìm mọi cách để thử các khả năng có thể nhằm thâm nhập để phá hoại các thành phần khác nhau trong hệ thống thông tin của tổ chức. Vì vậy, những người làm công việc đảm bảo an toàn thông tin và bảo mật thông tin cho hệ thống thông tin cần đề phòng tất cả những khả năng có thể xảy ra, nhằm hạn chế tối đa những tổn thất cho thông tin trong hệ thống thông tin khi vận hành.
(2) Cần đảm bảo tất cả các tài sản của tổ chức phải được bảo vệ đến khi hết giá trị sử dụng. Điều này có nghĩa là các thông tin chưa hết hạn sử dụng, các thiết bị công nghệ, các phần mềm,... đều cần được bảo vệ cho đến khi chúng bị loại bỏ hoàn toàn khỏi sự vận hành của hệ thống thông tin.
1.2.2. Yêu cầu cho an toàn và bảo mật thông tin
An toàn và bảo mật thông tin là một vấn đề phức tạp, liên quan đến nhiều yếu tố khác nhau nhưng về cơ bản cần phải đảm bảo cho thông tin có được các tính chất sau: tính bí mật, tính toàn vẹn, tính sẵn sàng và tính tin cậy của thông tin.
Tính bí mật: Trong an toàn và bảo mật thông tin, tính bí mật (Confidentiality) là yêu cầu mà thông tin của người sử dụng phải được bảo vệ tránh bị những người không được phép có thể biết được. Nói khác đi là phải đảm bảo được rằng: ai là người được phép sử dụng (và sử dụng được) các thông tin (theo sự phân loại bí mật của thông tin) trong hệ thống thông tin của tổ chức, doanh nghiệp.
Thông tin đạt được tính bí mật khi nó không bị truy nhập hay sử dụng trái phép bởi những người không sở hữu chúng. Trên thực tế, rất
nhiều thông tin cá nhân của người sử dụng đều cần phải đạt được độ bí mật cao chẳng hạn như các thông tin về mã số thẻ tín dụng, số thẻ bảo hiểm xã hội,... Vì vậy, có thể nói đảm bảo tính bí mật là yêu cầu quan trọng nhất đối với tính an toàn của một hệ thống thông tin.
Tính toàn vẹn: Trong an toàn và bảo mật thông tin, tính toàn vẹn (Integrity) có nghĩa là thông tin không bị tạo ra, thay đổi hay bị xóa bỏ bởi những người không có quyền sở hữu. Tính toàn vẹn đề cập đến khả năng đảm bảo cho các thông tin không bị thay đổi nội dung bằng bất cứ cách nào bởi người không được phép trong quá trình truyền thông.
Chính sách toàn vẹn dữ liệu phải đảm bảo: cho ai là người được phép có thể thay đổi thông tin và ai là người không được phép thay đổi thông tin. Thông tin trên thực tế có thể bị vi phạm tính toàn vẹn, khi hệ thống thông tin không đạt được độ an toàn cần thiết. Chẳng hạn một hệ quản trị cơ sở dữ liệu xây dựng kém có thể gây mất mát dữ liệu trong trường hợp mất điện đột ngột, gặp sự cố khi truy cập. Các hành động phá hoại nhằm vào hệ thống thông tin cũng có thể gây ra mất tính toàn vẹn của dữ liệu.
Việc đảm bảo tính toàn vẹn của thông tin bao gồm: Đảm bảo sự toàn vẹn đổi với dữ liệu gốc; Bảo vệ thông tin không bị sửa chữa và phá hoại bởi những người không có thẩm quyền và bảo vệ thông tin không bị những thay đổi không đúng về mặt ngữ nghĩa hay logic.
Tính sẵn sàng: Tuy thông tin phải được đảm bảo bí mật và toàn vẹn nhưng đối với người sử dụng, thông tin phải luôn trong trạng thái sẵn sàng (Availability). Các biện pháp bảo mật thông tin làm cho người sử dụng gặp khó khăn hay không thể thao tác được với thông tin đều không thể được chấp nhận. Nói khác đi, các biện pháp đảm bảo an toàn thông tin phải đảm bảo được sự bí mật và toàn vẹn của thông tin nhưng đồng thời cũng phải hạn chế tối đa những khó khăn gây ra cho người sử dụng thông tin thực sự. Thông tin và tài nguyên khác của hệ thống thông tin phải luôn ở trong tình trạng sẵn sàng phục vụ bất cứ lúc nào đối với những người dùng có thẩm quyền sử dụng một cách thuận lợi.
Tính tin cậy: Yêu cầu về tính tin cậy (Reliability) của thông tin liên quan đến khả năng đảm bảo rằng, một mặt, ngoài những người có quyền, không ai có thể xem các thông điệp và truy cập những thông tin có giá trị. Mặt khác, nó cũng phải đảm bảo rằng thông tin mà người dùng nhận được là đúng với sự mong muốn của họ, chưa hề bị mất mát hay bị lọt vào tay những người dùng không được phép.
Việc đánh giá độ an toàn và bảo mật của thông tin trong một hệ thống thông tin phải xem xét đến tất cả những yếu tố trên, nếu thiếu một trong số đó thì độ an toàn và bảo mật của hệ thống thông tin được coi là không hoàn thiện hay được đánh giá là chưa đảm bảo.
1.2.3. Các nguyên tắc an toàn và bảo mật thông tin
Để đảm bảo cho các hệ thống quản lý an toàn và bảo mật thông tin hoạt động hiệu quả, các nguyên tắc chung được đặt ra bao gồm:
Thứ nhất, giới hạn quyền hạn tối thiểu (Last Privilege) cho người dùng trong hệ thống thông tin của tổ chức, doanh nghiệp. Đây là nguyên tắc cơ bản nhất, theo nguyên tắc này, bất kỳ một đối tượng nào cũng chỉ có những quyền hạn nhất định đối với tài nguyên trong hệ thống. Khi thâm nhập vào hệ thống, mỗi đối tượng chỉ được sử dụng một số tài nguyên nhất định.
Thứ hai, cần triển khai mô hình bảo vệ theo chiều sâu (Defence In Depth). Nguyên tắc này đảm bảo cho hoạt động của hệ thống quản lý an toàn và bảo mật thông tin không phụ thuộc vào một cơ chế an toàn duy nhất nào cho dù cho chúng rất mạnh, mà trong các hệ thống quản lý thông tin cần tạo nhiều cơ chế đảm bảo an toàn để chúng tương hỗ lẫn nhau trong quá trình đảm bảo an toàn và bảo mật thông tin cho hệ thống thông tin.
Thứ ba, việc kiểm soát trong hệ thống thông tin phải được thực hiện theo cơ chế nút thắt (Choke Point). Việc tạo ra một “cửa khẩu” hẹp và chỉ cho phép các thông tin đi vào hoặc đi ra từ hệ thống thông tin của tổ chức, doanh nghiệp bằng một con đường duy nhất. Nguyên tắc này tạo một cơ
chế gia tăng độ an toàn và bảo mật và khả năng kiểm soát cho hệ thống thông tin.
Thứ tư, thường xuyên phát hiện và gia cố các điểm nối yếu nhất (Weakest Link) của hệ thống thông tin. Đây là nguyên tắc dựa trên luận điểm “Một dây xích có độ bền bằng độ bền tại mắt xích yếu nhất của nó”. Trong thực tế, kẻ phá hoại thường tìm những chỗ yếu nhất trong hệ thống để tấn công, do đó các hệ thống quản lý an toàn và bảo mật thông tin cần phải thường xuyên phát hiện và gia cố các điểm yếu hay mắt xích yếu nhất của hệ thống. Thông thường chúng ta chỉ tập trung quan tâm đến kẻ tấn công trên mạng nhiều hơn là để ý đến kẻ tiếp cận trực tiếp vào hệ thống, do đó an toàn vật lý được coi là điểm yếu nhất trong hệ thống thông tin của tổ chức, doanh nghiệp.
Thứ năm, các giải pháp đảm bảo an toàn và bảo mật thông tin phải mang tính toàn cục (Global solutions): các hệ thống an toàn đòi hỏi phải có tính toàn cục của các hệ thống cục bộ. Nếu có một kẻ nào đó có thể bẻ gãy một cơ chế an toàn thì chúng có thể thành công bằng cách tấn công hệ thống tự do của ai đó và sau đó tấn công hệ thống từ nội bộ bên trong.
Cuối cùng là cần đa dạng các biện pháp bảo vệ (Multi-methods). Cần phải sử dụng nhiều biện pháp bảo vệ khác nhau để đảm bảo an toàn và bảo mật cho thông tin trong hệ thống thông tin. Các biện pháp bảo vệ khác nhau một mặt hỗ trợ nhau trong việc bảo vệ, mặt khác, tạo ra một hệ thống bảo vệ dày đặc, nhiều lớp, từ đó tạo ra sự an toàn cao cho hệ thống, nếu không, khi kẻ tấn công vào được một hệ thống thì chúng cũng dễ dàng tấn công vào các hệ thống khác.
1.2.4. Các mô hình đảm bảo an toàn và bảo mật thông tin
1.2.4.1. Mô hình theo cấu trúc mạng
Trong thời đại Internet, an toàn và bảo mật thông tin có liên quan mật thiết với an toàn mạng máy tính và an toàn máy tính của chính người sử dụng. Vì vậy, nghiên cứu về an toàn và bảo mật thông tin trong hệ thống thông tin thực chất là nghiên cứu đảm bảo an toàn cho máy tính và đảm
bảo an toàn cho mạng máy tính. Mô hình nghiên cứu này được gọi là mô hình an toàn và bảo mật thông tin theo cấu trúc mạng.
An toàn máy tính (Computer Security): Đảm bảo an toàn cho máy tính là đảm bảo an toàn cho các tệp tin, các dạng thông tin chứa trong máy tính. An toàn máy tính gắn với việc bảo vệ các tài sản có sẵn trong máy tính không bị truy nhập, sử dụng hoặc phá hủy trái phép. Về cơ bản, an toàn máy tính là loại an toàn kỹ thuật (an toàn logic) với việc người kiểm soát máy tính phân quyền (cho phép hoặc không cho phép) người khác đột nhập hoặc sử dụng các thông tin có trong máy tính. Thông thường, để bảo vệ máy tính cá nhân hoặc thông tin trong máy tính cá nhân, chủ sở hữu thường đặt mật khẩu (Password) cho máy tính hoặc cho các tệp tin (trong trường hợp máy tính được phân quyền, chia sẻ cho người khác sử dụng).
An toàn mạng máy tính (Network Security): Khi các máy tính kết nối với nhau thành mạng máy tính, tài nguyên trên mạng máy tính phong phú, tiện lợi cho các bên sử dụng nhưng cũng đem lại rủi ro cho họ. Một kẻ xấu hoặc một đối thủ cạnh tranh có thể truy nhập trái phép vào một (một số) máy trong mạng để phá hủy hoặc điều khiển các máy tính khác, ăn cắp thông tin, điều khiển các thông tin khi truyền trong mạng.
Chú ý rằng trong an toàn và bảo mật thông tin, không có ranh giới rõ rệt giữa an toàn máy tính và an toàn mạng máy tính.
1.2.4.2. Mô hình đảm bảo an toàn và bảo mật thông tin nhiều lớp
Để làm giảm các ảnh hưởng của những thiệt hại do sự mất mát thông tin mang lại đồng thời giúp cho hệ thống thông tin có được sự an toàn cao nhất chúng ta nên tổ chức bảo vệ hệ thống máy tính nói chung và thông tin nói riêng thành nhiều mức khác nhau. Làm như vậy, cho dù kẻ gian có thể vượt qua được một mức nào đó thì vẫn còn phải đối mặt với những tầng bảo vệ ở phía sâu bên trong. Mô hình xây dựng kiểu này được gọi là mô hình đảm bảo an toàn thông tin nhiều lớp hay bảo mật theo chiều sâu (defense in depth layers).
Theo các tài liệu khác nhau, có mô hình nhiều lớp chia thành bốn mức là mức vật lý, mức mạng, mức hệ điều hành và mức dữ liệu, có mô
hình chia thành bảy mức gồm mức chính sách, mức vật lý, mức người dùng, mức mạng, mức máy chủ, mức ứng dụng và mức dữ liệu. Trước đây, hệ thống bảo mật nhiều lớp thường được quan niệm gồm bốn mức, tuy nhiên, hiện nay do các kịch bản tấn công gây mất an toàn và bảo mật thông tin ngày càng đa dạng và vai trò của các bộ phận trong mỗi tổ chức đều có sự quan trọng trong tiến hành triển khai các giải pháp đảm bảo an toàn cho hệ thống thông tin của tổ chức, nên hệ thống bảo mật nhiều lớp được chia thành bảy mức, được mô tả trong Hình 1.2.
(1) Mức chính sách, quy trình và thủ tục: Đây là mức bảo mật được coi là quan trọng nhất trong các tổ chức, đơn vị hoặc quốc gia. Bởi hệ thống chính sách, các quy trình và thủ tục được quy định để thực hiện trong mỗi tổ chức, đơn vị và quốc gia sẽ quyết định xem hệ thống bảo mật trong tổ chức, đơn vị và quốc gia đó được thực hiện như thế nào? Có ban hành các chính sách gì? Đã ban hành những đạo luật nào? Quy định xử phạt và các vấn đề liên quan khác đến các vấn đề vi phạm trong an toàn và bảo mật thông tin?
Hình 1.2. Mô hình an toàn và bảo mật thông tin nhiều lớp (Nguồn: Mark Rhodes - Ousley [16]) |
Có thể bạn quan tâm!
-
An toàn và bảo mật thông tin: Phần 1 - PGS.TS. Đàm Gia Mạnh, TS. Nguyễn Thị Hội Chủ biên - 1 -
An toàn và bảo mật thông tin: Phần 1 - PGS.TS. Đàm Gia Mạnh, TS. Nguyễn Thị Hội Chủ biên - 2 -
Giới Thiệu Chung Về An Toàn Và Bảo Mật Thông Tin -
Mô Hình An Toàn Và Bảo Mật Thông Tin Trên Kênh Truyền Thông Tin -
Các Nội Dung Quản Trị Rủi Ro Trong Hệ Thống Thông Tin -
Các Chính Sách An Toàn Và Bảo Mật Thông Tin Trên Thế Giới
Xem toàn bộ 142 trang tài liệu này.
(2) Bảo vệ mức vật lý: Đây là mức bảo vệ ngoài cùng của hệ thống thông tin chống lại sự mất mát, hỏng hóc thông tin. Ở mức này, các biện pháp chủ yếu là chống lại những nguy cơ mất mát thông tin qua các thành phần vật lý, như các hỏng hóc về phần cứng hay các biện pháp tấn công trực tiếp qua đường truyền vật lý, các mất mát do các yếu tố vật lý khác gây ra, như thiên tai, kẻ gian đột nhập,... Để có một hệ thống bảo vệ mức vật lý tốt cần:
- Đánh giá tốt các khả năng thiên tai có thể xảy ra, đưa ra những dự đoán về những diễn biến bất thường của khí hậu, thời tiết. Đặc biệt cần chú ý đến những thiệt hại do hỏa hoạn bởi vì đây là thảm họa không thể dự đoán trước nhưng lại hoàn toàn có thể phòng tránh một cách hiệu quả.
- Đánh giá được mức độ chịu đựng được của hệ thống thông tin trước những sự cố bất ngờ như động đất, cháy nổ, lũ lụt,... từ đó đưa ra các phương pháp bảo vệ, sao lưu dữ liệu, thông tin cho phù hợp.
- Quản lý chặt chẽ các truy nhập ở mức vật lý vào phần cứng hệ thống như các truy nhập qua đĩa mềm, ổ cứng di động hoặc ổ USB. Do các thiết bị này có thể chứa những chương trình độc hại như virus, trojan có thể gây nguy hiểm cho thông tin (mất hoặc bị thay đổi thông tin). Cũng cần có những điều khiển hợp lý cho các truy nhập vật lý như giới hạn khả năng truy nhập vào các thiêt bị vật lý bằng cách sử dụng các phần mềm khóa cứng (hard lock), đồng thời cần có những cơ chế ghi lại vết của những người truy nhập vào hệ thống thông tin và thời điểm truy nhập để dễ dàng trong việc quản lý.
- Quản lý tốt hoạt động của các thiết bị cần bảo vệ và thiết bị bảo vệ, để đảm bảo sự hoạt động một cách ổn định, có những kiểm tra và sửa chữa định kỳ với những thiết bị có khả năng hỏng hóc cao, có biện pháp chống trộm và cảnh bảo hỏa hoạn.
(3) Bảo vệ mức người dùng: Đây là mức bảo vệ nhằm hạn chế các nguy cơ do người dùng hệ thống thông tin gây ra trong quá trình tác nghiệp như các sai sót trong vận hành, truy cập hoặc sao chép, thay đổi, xóa bỏ thông tin của hệ thống. Các biện pháp thường được các tổ chức thực hiện