Việc chuyển sang làm việc từ xa và sự phụ thuộc ngày càng tăng vào các thiết bị di động đã mang lại lợi thế cho năng suất của nhân viên và tiết kiệm chi phí cho các tổ chức. Thật không may, các điểm cuối của người dùng như máy tính xách tay, điện thoại di động và máy tính bảng dễ bị đe dọa mạng. Tội phạm mạng thường lợi dụng các thiết bị này để truy cập trái phép vào mạng công ty và xâm phạm thông tin bí mật.
Tội phạm mạng có thể tìm cách nhắm mục tiêu vào nhân viên bằng cách lừa đảo, thuyết phục họ tải xuống tệp đính kèm bị nhiễm phần mềm độc hại, có thể được sử dụng để phát tán phần mềm độc hại trong toàn bộ mạng công ty. Điều này có thể dẫn đến mất tính khả dụng, tính toàn vẹn hoặc tính bảo mật của tài sản thông tin.
Một cuộc khảo sát với 700 chuyên gia CNTT cho thấy 70% các tổ chức đã gặp phải vi phạm về tài sản thông tin và cơ sở hạ tầng CNTT do cuộc tấn công vào thiết bị của người dùng vào năm 2020.
ISO 27001:2022 Phụ lục A Kiểm soát 8.1 phác thảo các bước mà tổ chức có thể thực hiện để đảm bảo tài sản thông tin của họ được lưu trữ hoặc xử lý trên thiết bị đầu cuối của người dùng được bảo vệ khỏi bị xâm phạm, mất mát hoặc trộm cắp. Điều này bao gồm việc thiết lập, duy trì và triển khai các chính sách, quy trình và biện pháp công nghệ có liên quan.
Mục đích của ISO 27001:2022 Phụ lục A 8.1
ISO 27001:2022 Phụ lục A 8.1 cho phép các công ty bảo vệ và duy trì tính bảo mật, tính bí mật, tính toàn vẹn và tính khả dụng của các tài sản thông tin được lưu trữ trên hoặc có thể truy cập từ các thiết bị đầu cuối của người dùng. Điều này đạt được bằng cách thiết lập các chính sách, quy trình và biện pháp kiểm soát phù hợp.
Quyền sở hữu của Phụ lục A 8.1
Giám đốc An ninh thông tin phải chịu trách nhiệm đảm bảo tuân thủ các yêu cầu của Phụ lục A Kiểm soát 8.1 của ISO 27001:2022, đòi hỏi phải xây dựng và duy trì chính sách, quy trình và biện pháp kỹ thuật trên toàn tổ chức.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 8.1 Tuân thủ
Theo Phụ lục 8.1 của ISO 27001:2022, các tổ chức phải tạo chính sách bao gồm cấu hình và sử dụng an toàn các thiết bị đầu cuối của người dùng.
Nhân viên phải được thông báo về chính sách này, bao gồm:
- Loại dữ liệu nào, đặc biệt là về mức độ bảo mật, có thể được xử lý, lưu hoặc sử dụng tại điểm cuối của người dùng?
- Thiết bị phải được đăng ký.
- Việc bảo vệ vật lý cho thiết bị là bắt buộc.
- Việc cài đặt các chương trình phần mềm trên thiết bị là bị cấm.
- Phải tuân thủ các quy tắc cài đặt phần mềm trên thiết bị và cập nhật phần mềm.
- Các quy tắc quản lý việc kết nối thiết bị đầu cuối của người dùng với mạng công cộng hoặc với mạng nằm ngoài.
- Kiểm soát truy cập.
- Phương tiện lưu trữ thông tin phải được mã hóa.
- Thiết bị phải được bảo vệ khỏi sự xâm nhập của phần mềm độc hại.
- Thiết bị có thể bị vô hiệu hóa hoặc bị cấm sử dụng và dữ liệu được lưu trữ trong đó có thể bị xóa từ xa.
- Cần phải có các kế hoạch và giao thức dự phòng.
- Quy định về việc sử dụng ứng dụng và dịch vụ web.
- Phân tích hành vi của người dùng cuối để hiểu rõ hơn về cách họ tương tác với hệ thống.
- Phương tiện lưu trữ di động, chẳng hạn như ổ USB, có thể được sử dụng rất hiệu quả. Hơn nữa, các cổng vật lý, ví dụ như cổng USB, có thể bị vô hiệu hóa.
- Khả năng phân tách có thể được sử dụng để giữ cho thông tin tài sản của tổ chức khác biệt với các thông tin tài sản khác được lưu trên thiết bị của người dùng.
Theo Hướng dẫn chung, các tổ chức nên cân nhắc việc cấm lưu trữ dữ liệu nhạy cảm trên thiết bị đầu cuối của người dùng thông qua các biện pháp kiểm soát kỹ thuật.
Việc vô hiệu hóa các chức năng lưu trữ cục bộ như thẻ SD có thể là một trong những biện pháp kiểm soát kỹ thuật được sử dụng.
Các tổ chức nên triển khai Quản lý cấu hình như được nêu trong Phụ lục A Kiểm soát 8.9 của ISO 27001:2022 và sử dụng các công cụ tự động.
Hướng dẫn bổ sung về trách nhiệm của người dùng
Nhân viên phải được thông báo về các biện pháp bảo mật cho thiết bị đầu cuối của người dùng và nhiệm vụ của họ trong việc tuân thủ các biện pháp này. Ngoài ra, họ phải hiểu vai trò của mình trong việc thực hiện các biện pháp và quy trình này.
Các tổ chức nên chỉ đạo nhân viên tuân thủ các quy định và quy trình sau:
- Khi không còn cần đến dịch vụ nào đó hoặc phiên làm việc kết thúc, người dùng nên đăng xuất và chấm dứt dịch vụ.
- Nhân viên không nên để thiết bị của mình không có người giám sát. Khi không sử dụng, nhân viên phải đảm bảo an toàn cho thiết bị của mình bằng cách sử dụng các biện pháp vật lý như khóa chìa và các biện pháp kỹ thuật như mật khẩu mạnh.
- Nhân viên cần hết sức thận trọng khi sử dụng các thiết bị đầu cuối có chứa dữ liệu mật ở những nơi công cộng thiếu an ninh.
- Thiết bị đầu cuối của người dùng phải được bảo vệ chống trộm cắp, đặc biệt là ở những nơi nguy hiểm như phòng khách sạn, phòng họp hoặc phương tiện công cộng.
Các tổ chức nên thiết kế một hệ thống đặc biệt để quản lý tình trạng mất mát hoặc trộm cắp thiết bị đầu cuối của người dùng. Hệ thống này phải được xây dựng có tính đến các nhu cầu về mặt pháp lý, hợp đồng và bảo mật.
Hướng dẫn bổ sung về việc sử dụng thiết bị cá nhân (BYOD)
Việc cho phép nhân viên sử dụng thiết bị của riêng mình cho các hoạt động liên quan đến công việc có thể giúp tổ chức tiết kiệm tiền, tuy nhiên, nó lại tiềm ẩn rủi ro về dữ liệu bí mật.
Phụ lục A 8.1 của ISO 27001:2022 đề xuất năm điều mà các tổ chức cần lưu ý khi cho phép nhân viên sử dụng thiết bị cá nhân của họ cho các hoạt động liên quan đến công việc:
- Các biện pháp kỹ thuật như công cụ phần mềm nên được áp dụng để tách biệt việc sử dụng thiết bị cho mục đích cá nhân và công việc, bảo vệ thông tin của tổ chức.
- Nhân viên có thể truy cập vào thiết bị của mình với điều kiện họ đồng ý với những điều sau:
- Nhân viên thừa nhận nhiệm vụ của mình là bảo vệ vật lý các thiết bị và thực hiện các bản cập nhật phần mềm cần thiết.
- Nhân viên đồng ý không khẳng định bất kỳ quyền sở hữu nào đối với dữ liệu của công ty.
- Nhân viên đồng ý rằng dữ liệu trong thiết bị có thể được xóa từ xa nếu bị mất hoặc bị đánh cắp, theo hướng dẫn pháp lý về thông tin cá nhân.
- Thiết lập các nguyên tắc liên quan đến quyền sở hữu trí tuệ được tạo ra bằng tiện ích điểm cuối của người dùng.
- Liên quan đến các hạn chế theo luật định về quyền truy cập đó, cách thức truy cập vào các thiết bị cá nhân của nhân viên.
- Cho phép nhân viên sử dụng các tiện ích cá nhân của họ có thể dẫn đến trách nhiệm pháp lý do việc áp dụng phần mềm của bên thứ ba trên các tiện ích này. Các công ty nên xem xét các thỏa thuận cấp phép phần mềm mà họ có với nhà cung cấp của mình.
Hướng dẫn bổ sung về kết nối không dây
Các tổ chức nên tạo ra và duy trì các hoạt động thực hành cho:
- Cấu hình kết nối không dây trên thiết bị phải được thực hiện cẩn thận. Đảm bảo mỗi kết nối đều an toàn và đáng tin cậy.
- Phải sử dụng kết nối có dây hoặc không dây, có băng thông tuân thủ các chính sách cụ thể của từng chủ đề.
Hướng dẫn bổ sung về Phụ lục A 8.1
Khi nhân viên mang thiết bị đầu cuối của họ ra khỏi tổ chức, dữ liệu được lưu trữ trên đó có thể có nguy cơ bị xâm phạm cao hơn. Do đó, các tổ chức phải triển khai các biện pháp bảo vệ khác nhau cho các thiết bị được sử dụng bên ngoài cơ sở của họ.
Phụ lục A 8.1 của ISO 27001:2022 cảnh báo các tổ chức về hai rủi ro liên quan đến kết nối không dây có thể dẫn đến mất dữ liệu:
- Kết nối không dây có dung lượng hạn chế có thể dẫn đến hỏng dữ liệu sao lưu.
- Điểm cuối của người dùng đôi khi có thể mất kết nối với mạng không dây và việc sao lưu theo lịch trình có thể bị gián đoạn. Để đảm bảo an ninh và độ tin cậy của dữ liệu, nên sao lưu thường xuyên và kết nối với mạng không dây nên được theo dõi thường xuyên.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 8.1 của ISO 27001:2022 thay thế Phụ lục A 6.2.1 và Phụ lục A 12.2.8 của ISO 27001:2013 trong tiêu chuẩn đã sửa đổi năm 2022.
Sự khác biệt về cấu trúc
Ngược lại với ISO 27001:2022 có một biện pháp kiểm soát duy nhất bao gồm các thiết bị đầu cuối của người dùng (8.1), ISO 27001:2013 có hai biện pháp kiểm soát riêng biệt: Chính sách thiết bị di động (Phụ lục A, Biện pháp kiểm soát 6.2.1) và Thiết bị người dùng không giám sát (Biện pháp kiểm soát 11.2.8).
Trong khi Phụ lục A Điều khiển 8.1 của ISO 27001:2022 bao gồm tất cả các thiết bị đầu cuối của người dùng như máy tính xách tay, máy tính bảng và điện thoại di động thì Phiên bản 2013 chỉ đề cập đến các thiết bị di động.
ISO 27001:2022 quy định các yêu cầu bổ sung về trách nhiệm của người dùng
Cả hai phiên bản của thỏa thuận đều yêu cầu người dùng phải có mức độ trách nhiệm cá nhân nhất định; tuy nhiên, Phiên bản 2022 có thêm một yêu cầu:
- Nhân viên cần hết sức thận trọng khi sử dụng các thiết bị đầu cuối chứa dữ liệu nhạy cảm ở những nơi công cộng có thể không an toàn.
ISO 27001:2022 toàn diện hơn về BYOD
So với năm 2013, Phụ lục A 8.1 năm 2022 đưa ra ba yêu cầu mới về việc sử dụng BYOD (Mang theo thiết bị cá nhân) của nhân viên:
- Việc thiết lập các chính sách liên quan đến quyền sở hữu trí tuệ của các sáng tạo được thực hiện bằng thiết bị đầu cuối của người dùng là cần thiết. Các chính sách như vậy phải chính xác và rõ ràng, đảm bảo rằng tất cả các bên liên quan đều nhận ra quyền và trách nhiệm của mình.
- Xem xét các giới hạn pháp lý về việc truy cập vào thiết bị cá nhân của nhân viên, điều này sẽ được quản lý như thế nào?
- Cho phép nhân viên sử dụng thiết bị của riêng họ có thể dẫn đến trách nhiệm pháp lý do sử dụng phần mềm của bên thứ ba trên các thiết bị này. Các tổ chức nên cân nhắc đến các thỏa thuận cấp phép phần mềm mà họ có với nhà cung cấp của mình.
ISO 27001:2022 yêu cầu chính sách chi tiết hơn theo chủ đề cụ thể
So với ISO 27001:2013, hiện nay các tổ chức phải triển khai chính sách cụ thể cho từng chủ đề trên thiết bị của người dùng.
Phụ lục A 8.1 của ISO 27001:2022 toàn diện hơn, bao gồm ba yếu tố mới cần đưa vào:
- Đã tiến hành phân tích hành vi của người dùng cuối.
- Ổ USB là một cách tuyệt vời để truyền dữ liệu và có thể vô hiệu hóa các cổng USB vật lý để ngăn chặn việc truyền dữ liệu như vậy.
- Có thể phân tách tài sản thông tin của tổ chức bằng cách tận dụng các khả năng công nghệ. Điều này cho phép tách biệt tài sản khỏi các tài sản khác được lưu trữ trên thiết bị của người dùng.
