Giới thiệu tiêu chuẩn về lĩnh vực an toàn thông tin - ISO/IEC 27002

13:00 | 14/04/2021 | TIN TỨC SẢN PHẨM

ISO/IEC 27002 là một tiêu chuẩn quốc tế thuộc bộ tiêu chuẩn ISO/IEC 27000 về lĩnh vực ATTT, đưa ra các biện pháp kiểm soát phù hợp với các tổ chức thuộc nhiều lĩnh vực khác nhau. Tính đến thời điểm hiện tại đã có gần 18.000 tổ chức trên thế giới được cấp chứng nhận, trong đó đáp ứng được các yêu cầu về quy tắc thực hành ATTT theo tiêu chuẩn ISO/IEC 27002:2005. Bên cạnh đó nhiều nước cũng đã và đang cập nhật tiêu chuẩn quốc gia của mình ứng với tiêu chuẩn quốc tế mới ISO/IEC 27002:2013 nhằm cải thiện hiệu quả khi triển khai quản lý hệ thống ISMS.

NGUỒN GỐC, CƠ SỞ HÌNH THÀNH TIÊU CHUẨN ISO/IEC 27002

Tiêu chuẩn ISO/IEC 27002 là bộ quy tắc thực hành quản lý An toàn thông tin (ATTT). Tiêu chuẩn này có nguồn gốc xuất phát từ một tài liệu có tên “PD 0003 A Code of Practice for Information Security Management” được Viện Tiêu chuẩn Anh Quốc xuất bản. Đến năm 1995, Viện Tiêu chuẩn Anh Quốc đã thông qua tài liệu này và ban hành thành tiêu chuẩn BS 7799-1. Tiêu chuẩn này được phát triển thành Tiêu chuẩn Quốc tế mã hiệu ISO/IEC 17799:2000 và phát triển thành tiêu chuẩn ISO/IEC 17799:2005 vào tháng 6/2005. Đến tháng 11/2005, tiêu chuẩn này được sửa đổi thành ISO/IEC 27002:2005 “Công nghệ thông tin (CNTT) - Các kỹ thuật an ninh - Quy tắc thực hành quản lý ATTT”. Nội dung ISO/IEC 17799:2005 được phát triển thành tiêu chuẩn ISO 27002:2005 bao gồm 134 biện pháp cho an ninh thông tin và được nhóm thành 39 phân loại, thuộc 11 điều khoản.

Đến tháng 9/2013, tiêu chuẩn ISO/IEC 27002 được cập nhật lên phiên bản mới ISO/IEC 27002:2013. Phiên bản cập nhật này có nhiều thay đổi so với phiên bản năm 2005 để đáp ứng sự phát triển và bùng nổ của ngành CNTT sau gần một thập kỷ. Tiêu chuẩn ISO/IEC 27002:2013 giữ lại một số phần nội dung chính về đề mục và biện pháp kiểm soát theo phiên bản ISO/IEC 27002:2005, ngoài ra cũng thay đổi bổ sung các biện pháp kiểm soát mới và cập nhật lại các biện pháp kiểm soát cho phù hợp. Nội dung tiêu chuẩn ISO/IEC 27002:2013 bao gồm 114 biện pháp kiểm soát nhóm lại trong 35 phân loại, thuộc 14 điều khoản (nhóm mục tiêu) như sau: Chính sách ATTT; Tổ chức đảm bảo ATTT; Đảm bảo ATTT từ nguồn lực; Quản lý tài sản; Quản lý truy cập; Mật mã hóa; Đảm bảo an toàn vật lý và môi trường; An toàn vận hành; An toàn truyền thông; Tiếp nhận, phát triển và duy trì các hệ thống thông tin; Quan hệ với nhà cung cấp; Quản lý sự cố ATTT; Các khía cạnh ATTT trong quản lý sự liên tục của hoạt động nghiệp vụ; Sự tuân thủ.

Giới thiệu tiêu chuẩn về lĩnh vực an toàn thông tin - ISO/IEC 27002

TIÊU CHUẨN ISO/IEC TẠI VIỆT NAM

Tiêu chuẩn quốc gia TCVN ISO/IEC 27002:2011 ở Việt Nam được Viện Khoa học Kỹ thuật Bưu điện biên soạn và Bộ Khoa học và Công nghệ công bố dựa theo tiêu chuẩn quốc tế ISO/ IEC 27002:2005. Tiêu chuẩn này thiết lập các định hướng và nguyên tắc chung cho khởi tạo, triển khai, duy trì và cải tiến công tác quản lý an toàn thông tin trong một tổ chức. Mục tiêu của tiêu chuẩn này là đưa ra hướng dẫn chung nhằm đạt được các mục đích chung đã được chấp nhận trong quản lý an toàn thông tin.

Nội dung của TCVN 27002:2011 bao gồm 134 biện pháp cho an toàn thông tin và được chia thành 11 nhóm. Dựa trên việc phân tích các ý kiến thu thập từ việc triển khai thực tế, cấu trúc phiên bản mới này có khá nhiều thay đổi so với phiên bản năm 2000. Nội dung mới được cập nhật đã làm rõ hơn các vấn đề trong việc bảo đảm an toàn thông tin trong thương mại điện tử, các dịch vụ do các đối tác bên ngoài cung cấp, quản lý nhân sự, sử dụng mạng không dây v.v… Tiêu chuẩn này bao gồm 14 điều, cụ thể như: Phạm vi áp dụng; Thuật ngữ và định nghĩa; Cấu trúc của tiêu chuẩn; Chính sách an toàn thông tin; Tổ chức đảm bảo an toàn thông tin; Quản lý tài sản; An toàn thông tin từ nguồn nhân lực; Đảm bảo an toàn vật lý và môi trường; Quản lý truyền thông và vận hành; Quản lý truy cập; Tiếp nhận, duy trì và phát triển hệ thống thông tin; Quản lý các sự cố an toàn thông tin; Quản lý sự liên tục của hoạt động nghiệp vụ; Sự tuân thủ.

Trong đó có 11 điều về kiểm soát an toàn thông tin với tất cả 39 danh mục an toàn chính và một điều giới thiệu về đánh giá và xử lý rủi ro.

Kể từ khi phiên bản ISO/IEC 27002 ban hành đầu tiên năm 2005, có rất nhiều thay đổi về an ninh thông tin, các mối đe dọa, điểm yếu kỹ thuật và rủi ro liên quan đến điện toán đám mây, dữ liệu lớn và nhất là an ninh mạng. Tổ chức tiêu chuẩn quốc tế đã tổ chức cuộc họp với các chuyên gia chuyên ngành tìm kiếm các điểm cải tiến cho tiêu chuẩn ISO/IEC 27002:2013. Kết quả rất tích cực và đã tinh giản các biện pháp kiểm soát cũng như áp dụng bổ sung một số biện pháp an toàn trước đây chưa có.

Tiêu chuẩn quốc gia TCVN ISO/IEC 27002:2011 được ban hành như một bản hướng dẫn chi tiết thực hiện các biện pháp kiểm soát cho quy trình quản lý hệ thống ATTT đưa ra trong tiêu chuẩn ISO/IEC 27002 từ việc khởi đầu, thiết lập, quản lý và duy trì ATTT trong tổ chức. Phiên bản ISO/IEC 27002:2013 ban hành để cập nhật các nội dung cho phù hợp với tình hình ATTT hiện nay trên thế giới. Các tổ chức trên thế giới và tại Việt Nam cũng đã nhận thức được tầm quan trọng của ATTT. Việc ban hành và cập nhật phiên bản mới nhất tiêu chuẩn Việt Nam TCVN ISO/IEC 27002 là cần thiết để tạo điều kiện thuận lợi cho các doanh nghiệp trong nước áp dụng.

Bộ Thông tin và Truyền thông cũng tổ chức các hội thảo và các khóa đào tạo hướng dẫn doanh nghiệp hiểu rõ về các biện pháp kiểm soát chi tiết đưa ra trong tiêu chuẩn ISO/IEC 27002. Các biện pháp kiểm soát này được đưa ra dưới hình thức các tình huống, kịch bản về ATTT khác nhau để các tổ chức cũng như người tham gia hiểu được và áp dụng đúng đắn trong trường hợp của mình.

Quốc Trường

‹ › ×

Tin liên quan

ISO 27701 - Tiêu chuẩn tuân thủ các quy định về quyền riêng tư

13:00 | 12/02/2020

Được Tổ chức Tiêu chuẩn hóa Quốc tế và Ủy ban Kỹ thuật điện quốc tế phát hành năm 2019, tiêu chuẩn ISO/IEC 27701:2019 cung cấp thông số kỹ thuật để quản lý an ninh thông tin thông qua các quy định, chính sách, quy trình và biện pháp kiểm soát khác liên quan đến con người, quy trình và công nghệ để giúp các tổ chức bảo vệ và quản lý dữ liệu của họ.

Ban hành hướng dẫn đánh giá tiêu chuẩn ký số của các tổ chức cung cấp dịch vụ chứng thực chữ ký số

10:00 | 12/05/2020

Ngày 07/5/2020, Trung tâm Chứng thực Điện tử quốc gia (NEAC) đã ban hành công văn hướng dẫn, kiểm tra, đánh giá việc áp dụng các tiêu chuẩn trong triển khai cung cấp dịch vụ chứng thực chữ ký số theo mô hình ký số trên thiết bị di động và ký số từ xa, áp dụng cho các tổ chức cung cấp dịch vụ chứng thực chữ ký số (CA) công cộng và các CA chuyên dùng.

Tiêu chuẩn IEC 62443 nền tảng an toàn mạng công nghiệp

10:00 | 29/10/2021

Các hệ thống công nghiệp phụ thuộc vào công nghệ vận hành luôn coi trọng vấn đề về an toàn mạng. Tiêu chuẩn IEC 62443 được phát triển để bảo đảm an toàn cho các mạng truyền thông công nghiệp và các hệ thống điều khiển và tự động hóa công nghiệp (Industrial Automation and Control Systems - IACS) thông qua phương pháp tiếp cận có hệ thống.

Việt Nam tăng 25 bậc trong bảng xếp hạng chỉ số an toàn thông tin mạng toàn cầu

10:00 | 25/10/2021

Đây là thông tin trong báo cáo kết quả khảo sát của VNISA được ông Trần Minh Triết, Phó Chủ tịch Chi hội VNISA phía Nam công bố tại Hội thảo trực tuyến An toàn thông tin khu vực phía Nam năm 2021.

Tin cùng chuyên mục

Google dự kiến tính phí dịch vụ tìm kiếm AI

09:00 | 19/04/2024

Theo báo cáo của Financial Times, Google đang phát triển các tính năng nâng cao hỗ trợ bởi trí tuệ nhân tạo (AI) trong dịch vụ tìm kiếm của hãng. Tuy nhiên, để trải nghiệm tính năng này, người dùng sẽ phải trả thêm một khoản phí.

Atlassian phát hành bản vá cho hơn 20 lỗ hổng

14:00 | 26/03/2024

Công ty sản xuất phần mềm Atlassian (Úc) phát hành các bản vá bảo mật để giải quyết hơn 20 lỗ hổng, bao gồm một lỗ hổng nghiêm trọng ảnh hưởng đến Data Center và máy chủ Bamboo, có thể bị khai thác mà không cần sự tương tác của người dùng.

Ba tính năng trên Android có thể bị tin tặc khai thác và cách thức bảo vệ an toàn

10:00 | 06/12/2023

Mặc dù Android là hệ điều hành phổ biến hiện nay, thế nhưng vẫn có một số tính năng có thể khiến điện thoại thông minh hoặc máy tính bảng của người dùng Android có nguy cơ bị lây nhiễm nghiêm trọng. Bài viết này đề cập đến ba tính năng trên Android có thể bị tin tặc khai thác khiến thiết bị dễ bị phần mềm độc hại tấn công, đồng thời đưa ra biện pháp giảm thiểu khi sử dụng chúng.

Nhóm chuyên gia Việt Nam vô địch cuộc thi tấn công mạng toàn cầu Pwn2Own Toronto 2023

12:00 | 31/10/2023

Theo chia sẻ của ông Trần Quang Hưng, Phó Cục trưởng Cục An toàn thông tin (Bộ TT&TT), vào tối ngày 27/10, nhóm chuyên gia đại diện Viettel Cyber Security đã giành ngôi vô địch tại cuộc thi tấn công mạng toàn cầu Pwn2Own, với số điểm tuyệt đối và giành giải thưởng 180.000 USD.