Việc sử dụng các biện pháp mã hóa kém, chẳng hạn như xác thực đầu vào không chính xác và tạo khóa yếu, có thể dẫn đến các cuộc tấn công mạng và xâm phạm các thông tin nhạy cảm.
Vì lý do này, tin tặc đã khai thác lỗi Heartbleed khét tiếng để truy cập vào hơn 4 triệu hồ sơ bệnh nhân.
Để ngăn ngừa lỗ hổng bảo mật, các tổ chức cần tuân theo các nguyên tắc mã hóa an toàn.
Mục đích của Phụ lục A 8.28 của ISO 27001:2022 là gì?
Theo ISO 27001:2022 , Phụ lục A Kiểm soát 8.28 hỗ trợ các tổ chức ngăn ngừa rủi ro và lỗ hổng bảo mật có thể phát sinh do các hoạt động mã hóa phần mềm kém thông qua việc phát triển, triển khai và xem xét các hoạt động mã hóa phần mềm an toàn phù hợp.
Ai là người sở hữu Phụ lục A 8.28?
Giám đốc an ninh thông tin phải chịu trách nhiệm thực hiện các bước thích hợp để đảm bảo tuân thủ 8.28, trong đó yêu cầu phải phát triển và triển khai các nguyên tắc và quy trình mã hóa an toàn trên toàn bộ tổ chức.
Hướng dẫn tuân thủ ISO 27001:2022 Phụ lục A 8.28
Các tổ chức phải phát triển và triển khai các quy trình mã hóa an toàn áp dụng cho các sản phẩm do bên ngoài cung cấp và các thành phần phần mềm nguồn mở, như được nêu trong Phụ lục A Kiểm soát 8.28 của ISO 27001.
Ngoài ra, các tổ chức nên luôn cập nhật về các mối đe dọa bảo mật thực tế đang phát triển và thông tin mới nhất về các lỗ hổng bảo mật phần mềm đã biết hoặc tiềm ẩn. Bằng cách sử dụng phương pháp này, các tổ chức có thể phát triển các nguyên tắc mã hóa mạnh mẽ, an toàn để chống lại các mối đe dọa mạng đang phát triển .
Hướng dẫn bổ sung về lập kế hoạch
Điều quan trọng là cả các dự án mã hóa mới và hoạt động tái sử dụng phần mềm đều phải tuân thủ các nguyên tắc mã hóa phần mềm an toàn.
Những nguyên tắc này cần được tuân thủ khi phát triển phần mềm nội bộ cũng như khi chuyển giao sản phẩm hoặc dịch vụ phần mềm.
Các tổ chức nên cân nhắc các yếu tố sau khi xây dựng kế hoạch cho các nguyên tắc mã hóa an toàn và xác định các điều kiện tiên quyết cho mã hóa an toàn:
- Kỳ vọng về bảo mật phải được điều chỉnh theo nhu cầu cụ thể của tổ chức và các nguyên tắc được phê duyệt cho mã phần mềm bảo mật phải được thiết lập để áp dụng cho quá trình phát triển phần mềm nội bộ và các thành phần thuê ngoài.
- Các tổ chức nên xác định và ghi lại những lỗi thiết kế mã hóa phổ biến và mang tính lịch sử nhất cũng như các thông lệ mã hóa kém để ngăn ngừa vi phạm bảo mật dữ liệu.
- Các tổ chức nên triển khai và cấu hình các công cụ phát triển phần mềm để đảm bảo tính bảo mật của tất cả mã được tạo. Môi trường phát triển tích hợp (IDE) là một ví dụ về các công cụ như vậy.
- Các công cụ phát triển phần mềm phải cung cấp hướng dẫn và chỉ dẫn để hỗ trợ các tổ chức tuân thủ các hướng dẫn và chỉ dẫn.
- Các công cụ phát triển như trình biên dịch cần được các tổ chức xem xét, bảo trì và sử dụng một cách an toàn.
Hướng dẫn bổ sung về bảo mật trong quá trình mã hóa
Để đảm bảo các quy trình và thực hành mã hóa an toàn, cần cân nhắc những điều sau trong quá trình mã hóa:
- Nguyên tắc mã hóa cho phần mềm bảo mật phải phù hợp với từng ngôn ngữ lập trình và kỹ thuật.
- Phát triển theo hướng kiểm thử và lập trình cặp là những ví dụ về kỹ thuật và phương pháp lập trình an toàn.
- Triển khai các kỹ thuật lập trình có cấu trúc.
- Ghi chép mã và loại bỏ lỗi trong mã.
- Việc sử dụng các phương pháp mã hóa phần mềm không an toàn như mẫu mã chưa được chấp thuận hoặc mật khẩu được mã hóa cứng đều bị nghiêm cấm.
Cần tiến hành thử nghiệm bảo mật trong và sau quá trình phát triển, như được chỉ định trong Phụ lục A Kiểm soát 8.29 của ISO 27001.
Các tổ chức nên cân nhắc những mục sau trước khi triển khai phần mềm trong môi trường ứng dụng trực tiếp:
- Có bề mặt tấn công không?
- Nguyên tắc đặc quyền tối thiểu có được tuân thủ không?
- Phân tích các lỗi lập trình phổ biến nhất và ghi lại cách loại bỏ chúng.
Hướng dẫn bổ sung cho quá trình đánh giá
Sau khi triển khai Bộ luật trong Môi trường sản xuất
- Nên sử dụng phương pháp an toàn để áp dụng các bản cập nhật.
- Theo Phụ lục A Kiểm soát 8.8 của ISO 27001:2022 , các lỗ hổng bảo mật cần được giải quyết.
- Cần lưu giữ hồ sơ về các cuộc tấn công và lỗi nghi ngờ trên hệ thống thông tin và cần xem xét thường xuyên các hồ sơ này để có thể thực hiện những thay đổi phù hợp.
- Việc sử dụng các công cụ như công cụ quản lý nên được dùng để ngăn chặn việc truy cập, sử dụng hoặc sửa đổi mã nguồn trái phép.
Các tổ chức nên xem xét các yếu tố sau khi sử dụng các công cụ bên ngoài
- Việc giám sát và cập nhật thường xuyên các thư viện bên ngoài nên được thực hiện theo chu kỳ phát hành của chúng.
- Việc xem xét, lựa chọn và ủy quyền kỹ lưỡng các thành phần phần mềm là điều cần thiết, đặc biệt là những thành phần liên quan đến mật mã và xác thực.
- Xin giấy phép cho các thành phần bên ngoài và đảm bảo tính bảo mật của chúng.
- Cần phải có hệ thống theo dõi và bảo trì phần mềm. Hơn nữa, phải chắc chắn rằng phần mềm đó đến từ một nguồn đáng tin cậy.
- Điều cần thiết là phải có sẵn nguồn lực phát triển dài hạn.
Những yếu tố sau đây cần được xem xét khi thực hiện thay đổi cho gói phần mềm:
- Các quy trình toàn vẹn hoặc các biện pháp kiểm soát tích hợp có thể khiến một tổ chức phải chịu rủi ro.
- Điều cần thiết là phải xác định xem nhà cung cấp có đồng ý với những thay đổi hay không.
- Có thể xin được sự đồng ý của nhà cung cấp để thực hiện cập nhật phần mềm thường xuyên không?
- Tác động có thể xảy ra khi duy trì phần mềm khi nó thay đổi.
- Những thay đổi này sẽ có tác động như thế nào đến các thành phần phần mềm khác mà tổ chức sử dụng?
Hướng dẫn bổ sung về ISO 27001:2022 Phụ lục A 8.28
Các tổ chức phải đảm bảo sử dụng mã liên quan đến bảo mật bất cứ khi nào cần thiết và mã đó có khả năng chống giả mạo.
Phụ lục A Kiểm soát 8.28 của ISO 27001:2022 đưa ra các khuyến nghị sau đây cho mã liên quan đến bảo mật:
- Trong khi các chương trình được tải xuống thông qua mã nhị phân sẽ bao gồm mã liên quan đến bảo mật trong chính ứng dụng, thì phạm vi của mã này sẽ bị giới hạn ở dữ liệu được lưu trữ nội bộ trong ứng dụng.
- Việc theo dõi mã liên quan đến bảo mật chỉ hữu ích nếu nó được chạy trên một máy chủ mà người dùng không thể truy cập và được tách biệt khỏi các quy trình đang sử dụng nó để dữ liệu của nó được giữ an toàn trong một cơ sở dữ liệu khác và được tách biệt an toàn khỏi các quy trình sử dụng nó. Có thể sử dụng dịch vụ đám mây để chạy mã được diễn giải và bạn có thể hạn chế quyền truy cập vào mã đối với các quản trị viên có đặc quyền để hạn chế quyền truy cập vào mã. Khuyến nghị là các quyền truy cập này được bảo vệ bằng các đặc quyền của quản trị viên just-in-time và các cơ chế xác thực mạnh mẽ chỉ cấp quyền truy cập vào trang web vào đúng thời điểm.
- Cần triển khai cấu hình phù hợp trên máy chủ web để ngăn chặn truy cập và duyệt trái phép các thư mục trên máy chủ.
- Để phát triển mã ứng dụng an toàn, bạn phải giả định rằng mã dễ bị tấn công do lỗi mã hóa và hành động của tác nhân độc hại. Một ứng dụng quan trọng phải được thiết kế để miễn nhiễm với các lỗi nội bộ theo cách ngăn ngừa ứng dụng dễ bị lỗi. Ví dụ, khi đánh giá đầu ra của một thuật toán, có thể đảm bảo rằng đầu ra tuân thủ các yêu cầu bảo mật trước khi thuật toán có thể được sử dụng trong các ứng dụng quan trọng, chẳng hạn như các ứng dụng liên quan đến tài chính, trước khi có thể sử dụng trong ứng dụng.
- Do thiếu các biện pháp mã hóa tốt, một số ứng dụng web rất dễ bị đe dọa bảo mật, chẳng hạn như tấn công vào cơ sở dữ liệu và tấn công xuyên trang.
- Các tổ chức được khuyến nghị tham khảo ISO/IEC 15408 để biết thêm thông tin về đánh giá bảo mật CNTT và cách thực hiện.
Những thay đổi so với ISO 27001:2013 là gì?
Phụ lục A 8.28 là biện pháp kiểm soát Phụ lục A mới đã được bổ sung vào tiêu chuẩn ISO 27001:2022 .
