Phụ lục A 6.7 của ISO 27001:2022 là gì?
ISO 27001:2022 Phụ lục A 6.7, Làm việc từ xa cung cấp hướng dẫn về cách các tổ chức nên có chính sách để đảm bảo quyền truy cập an toàn vào hệ thống thông tin và mạng khi làm việc từ xa. Ngoài ra, tiêu chuẩn này còn khuyến nghị triển khai hệ thống quản lý bảo mật thông tin bao gồm các quy trình bảo vệ quyền truy cập từ xa.
Hậu quả của việc làm việc từ xa đối với an ninh thông tin
Làm việc từ xa đã trở thành xu hướng phổ biến hơn, vì công nghệ đã phát triển để cho phép nhân viên làm việc từ xa mà không ảnh hưởng đến năng suất và hiệu quả. Tuy nhiên, điều này đi kèm với những lo ngại về bảo mật dữ liệu.
Là chủ doanh nghiệp, cần phải bảo vệ sở hữu trí tuệ khỏi tội phạm mạng và đảm bảo an toàn dữ liệu trước tin tặc. Thực hiện hành động, người ta có thể bảo vệ chống lại tội phạm mạng và đảm bảo an ninh thông tin.
Làm việc từ xa có thể gây ra nhiều rủi ro bảo mật cần được giải quyết, chẳng hạn như:
Kiểm soát truy cập
Làm việc từ xa có thể có lợi, cung cấp quyền truy cập lớn hơn vào dữ liệu và hệ thống bí mật. Tuy nhiên, nó đi kèm với một số cân nhắc về bảo mật.
Làm việc từ xa, nếu không được giám sát đúng cách, có thể dễ gặp phải các vấn đề về bảo mật như tin tặc, phần mềm độc hại, truy cập trái phép, v.v. Điều này đặc biệt đúng nếu nhân viên không có mặt trong môi trường an toàn.
Mất an ninh vật lý
Làm việc từ xa cũng có thể ảnh hưởng đến an ninh vật lý của doanh nghiệp . Vì nhân viên không còn ở văn phòng hoặc tòa nhà nên họ có thể không phát hiện được bất kỳ hoạt động đáng ngờ nào.
Bảo mật
Làm việc từ xa có thể gây ra rủi ro về tính bảo mật. Ví dụ, nhân viên có thể truy cập thông tin bí mật mà không được công ty cho phép.
Nhân viên có thể dễ dàng truy cập dữ liệu công ty bí mật từ web công cộng. Hơn nữa, thậm chí còn có các trang web nơi nhân viên có thể tải dữ liệu bí mật lên để công chúng xem.
Sự riêng tư
Làm việc từ xa có thể ảnh hưởng đến quyền riêng tư của một tổ chức. Ví dụ, nếu nhân viên làm việc tại nhà, họ có thể có xu hướng không cất đồ đạc cá nhân của mình.
Tài sản này có thể chứa dữ liệu bí mật có thể gây nguy hiểm cho quyền riêng tư của công ty.
Bảo vệ dữ liệu
Làm việc từ xa có thể gây nguy hiểm cho dữ liệu của doanh nghiệp. Ví dụ, nhân viên có thể truy cập thông tin công ty từ xa và dữ liệu này có thể được lưu trữ ở nhiều vị trí.
Trong trường hợp nhân viên rời khỏi nơi làm việc và mang theo thiết bị, việc truy xuất dữ liệu được lưu trữ trên máy tính, máy chủ và thiết bị di động có thể trở nên khó khăn hơn.
Người lao động có thể mắc lỗi hoặc hành động không trung thực với thiết bị, gây nguy hiểm cho tính bảo mật của dữ liệu.
Mục đích của Phụ lục A 6.7 của ISO 27001:2022 là gì?
Mục đích của Phụ lục A 6.7 của ISO 27001:2022 là đảm bảo nhân viên từ xa có các biện pháp kiểm soát truy cập cần thiết để bảo vệ tính bảo mật, toàn vẹn và tính khả dụng của thông tin, quy trình và hệ thống bí mật hoặc độc quyền khỏi sự truy cập hoặc tiết lộ trái phép của những người không được phép.
Các tổ chức phải đảm bảo an ninh thông tin khi nhân viên làm việc từ xa. Do đó, họ nên ban hành chính sách riêng liên quan đến làm việc từ xa, nêu rõ các điều kiện và giới hạn áp dụng cho bảo mật dữ liệu. Chính sách này phải được phổ biến cho tất cả nhân viên, bao gồm hướng dẫn về cách sử dụng công nghệ truy cập từ xa một cách an toàn và bảo mật.
Chính sách này có thể giải quyết:
- Các điều kiện được phép làm việc từ xa.
- Quy trình đảm bảo nhân viên làm việc từ xa có quyền truy cập vào thông tin bí mật.
- Đảm bảo thông tin được bảo vệ khi truyền giữa các địa điểm vật lý khác nhau đòi hỏi phải tuân thủ một số quy trình nhất định.
Điều cần thiết là thiết lập một hệ thống rõ ràng để báo cáo sự cố , bao gồm thông tin liên hệ phù hợp. Điều này có thể giúp ngăn ngừa vi phạm an ninh hoặc các sự cố khác.
Chính sách này cũng nên bao gồm mã hóa, tường lửa, cập nhật phần mềm diệt vi-rút và hướng dẫn nhân viên cách sử dụng kết nối từ xa một cách an toàn.
Bao gồm những gì và làm thế nào để đáp ứng các yêu cầu
Để tuân thủ Phụ lục A 6.7, các tổ chức cung cấp dịch vụ làm việc từ xa phải ban hành chính sách về làm việc từ xa, trong đó nêu rõ các quy định và giới hạn liên quan.
Chính sách nên được đánh giá định kỳ, đặc biệt là khi công nghệ hoặc luật pháp thay đổi.
Tất cả nhân viên, nhà thầu và các đơn vị tham gia vào hoạt động làm việc từ xa phải được thông báo về chính sách này.
Chính sách này cần được lập thành văn bản, công khai cho các bên liên quan như cơ quan quản lý và kiểm toán viên, đồng thời phải được cập nhật thường xuyên.
Các tổ chức phải đảm bảo có các biện pháp bảo vệ cần thiết để bảo mật thông tin nhạy cảm hoặc bí mật được truyền hoặc lưu trữ điện tử trong quá trình hoạt động từ xa.
Theo Phụ lục A 6.7, cần lưu ý những điều sau:
- Hãy xem xét vấn đề an ninh vật lý tại nơi làm việc từ xa, cả hiện tại và tương lai, bao gồm sự an toàn của địa phương, khu vực xung quanh và hệ thống pháp lý của khu vực nơi nhân viên làm việc.
- Các quy tắc về môi trường vật lý an toàn, chẳng hạn như tủ hồ sơ có khóa, vận chuyển an toàn giữa các địa điểm, quy định truy cập từ xa, bàn làm việc sạch sẽ, in ấn và xử lý dữ liệu và tài sản liên quan, cũng như báo cáo về các sự kiện an ninh , phải được thực hiện.
- Môi trường vật lý dự kiến cho làm việc từ xa.
- Phải đảm bảo truyền thông an toàn, có tính đến nhu cầu truy cập từ xa của tổ chức, tính nhạy cảm của dữ liệu được truyền và tính dễ bị tấn công của các hệ thống và ứng dụng.
- Truy cập từ xa, chẳng hạn như truy cập máy tính để bàn ảo, cho phép xử lý và lưu trữ thông tin trên các thiết bị cá nhân.
- Nguy cơ truy cập trái phép vào dữ liệu hoặc tài sản từ những cá nhân bên ngoài không gian làm việc từ xa – chẳng hạn như người thân và bạn bè – là có thật.
- Nguy cơ truy cập trái phép vào dữ liệu hoặc tài sản của mọi người ở nơi công cộng là một mối lo ngại.
- Việc sử dụng cả mạng gia đình và mạng công cộng, cũng như các quy tắc hoặc lệnh cấm liên quan đến việc thiết lập dịch vụ mạng không dây đều là cần thiết.
- Việc sử dụng các biện pháp bảo mật như tường lửa và bảo vệ chống phần mềm độc hại là điều cần thiết.
- Đảm bảo hệ thống có thể được triển khai và khởi chạy từ xa bằng các giao thức an toàn.
- Phải bật cơ chế xác thực an toàn để cấp quyền truy cập, đồng thời lưu ý đến khả năng bị tấn công của cơ chế xác thực một yếu tố khi cho phép truy cập từ xa vào mạng của tổ chức.
Các hướng dẫn và biện pháp cần lưu ý bao gồm:
- Tổ chức phải cung cấp thiết bị và đồ đạc lưu trữ phù hợp cho các hoạt động làm việc từ xa, nghiêm cấm sử dụng thiết bị cá nhân không thuộc quyền kiểm soát của mình.
- Công việc này bao gồm: xác định công việc được phép, phân loại thông tin có thể lưu trữ và cho phép nhân viên làm việc từ xa truy cập vào các hệ thống và dịch vụ nội bộ.
- Cần cung cấp đào tạo cho những người làm việc từ xa và những người cung cấp hỗ trợ. Nội dung đào tạo này sẽ bao gồm cách tiến hành kinh doanh an toàn bên ngoài văn phòng.
- Đảm bảo cung cấp thiết bị truyền thông phù hợp, chẳng hạn như yêu cầu khóa màn hình thiết bị và bộ hẹn giờ không hoạt động để truy cập từ xa, là điều cần thiết.
- Có thể bật tính năng theo dõi vị trí thiết bị.
- Việc cài đặt chức năng xóa dữ liệu từ xa là điều bắt buộc.
- An ninh vật lý.
- Phải tuân theo các hướng dẫn và quy định liên quan đến việc gia đình và khách truy cập truy cập vào thiết bị và dữ liệu.
- Doanh nghiệp cung cấp hỗ trợ và bảo trì phần cứng và phần mềm.
- Việc cung cấp bảo hiểm.
- Giao thức sao lưu dữ liệu và đảm bảo hoạt động liên tục.
- Kiểm toán và giám sát an ninh .
- Khi chấm dứt hoạt động làm việc từ xa, phải thu hồi quyền hạn và quyền truy cập và trả lại toàn bộ thiết bị.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 6.7 của ISO 27001:2022 là bản điều chỉnh của Phụ lục A 6.2.2 từ ISO 27001:2013 chứ không phải là phần tử mới.
ISO 27001:2022 Phụ lục A 6.7 và 6.2.2 có nhiều điểm tương đồng, mặc dù thuật ngữ và cách diễn đạt khác nhau. Trong ISO 27001:2013, 6.2.2 được gọi là làm việc từ xa, trong khi 6.7 được gọi là làm việc từ xa. Sự thay đổi này được phản ánh trong phiên bản mới của tiêu chuẩn, thay thế làm việc từ xa bằng làm việc từ xa.
Trong Phụ lục A 6.7 của ISO 27001:2022, tiêu chuẩn nêu rõ những gì được coi là làm việc từ xa, bao gồm làm việc từ xa – tên gọi ban đầu của thuật ngữ kiểm soát trong phiên bản ISO 27001:2013.
Phiên bản 2022 của hướng dẫn triển khai phần lớn tương tự, mặc dù ngôn ngữ và thuật ngữ khác nhau. Để đảm bảo người dùng hiểu được tiêu chuẩn, ngôn ngữ thân thiện với người dùng được sử dụng.
Một số nội dung bổ sung được thực hiện trong Phụ lục A 6.7 và một số nội dung bị xóa trong 6.2.2.
Đã thêm vào ISO 27001:2022 Phụ lục A 6.7 Làm việc từ xa
- Đảm bảo an ninh vật lý bằng tủ hồ sơ có khóa, cung cấp hướng dẫn vận chuyển và tiếp cận an toàn, ban hành chính sách bàn làm việc sạch sẽ, phác thảo giao thức in/xử lý thông tin/tài sản và triển khai hệ thống ứng phó sự cố.
- Dự kiến mọi người sẽ làm việc từ xa. Có thể do điều kiện vật chất.
- Nguy cơ truy cập trái phép vào thông tin hoặc tài nguyên từ người lạ ở nơi công cộng.
- Phương pháp an toàn để triển khai và thiết lập hệ thống từ xa.
- Có các cơ chế bảo mật để xác thực và cấp quyền truy cập , đồng thời tính đến khả năng bị tấn công của các cơ chế xác thực một yếu tố khi bật quyền truy cập từ xa vào mạng của tổ chức.
Đã xóa khỏi ISO 27001:2013 Phụ lục A 6.2.2 Làm việc từ xa
- Việc triển khai mạng gia đình và các quy định hoặc hạn chế về cấu hình dịch vụ mạng không dây là cần thiết.
- Cần phải thiết lập các chính sách và thủ tục để giảm thiểu tranh chấp liên quan đến quyền sở hữu trí tuệ được phát triển trên thiết bị tư nhân.
- Việc tiếp cận máy móc tư nhân (để đảm bảo an toàn hoặc cho mục đích điều tra) có thể bị pháp luật nghiêm cấm.
- Các tổ chức có thể chịu trách nhiệm cấp phép phần mềm trên các máy trạm do nhân viên hoặc người dùng bên ngoài sở hữu riêng.
ISO 27001:2022 đưa ra các tuyên bố về mục đích và bảng thuộc tính cho từng biện pháp kiểm soát, giúp người dùng hiểu và áp dụng các biện pháp kiểm soát hiệu quả hơn.
Phiên bản ISO 27001:2013 thiếu hai thành phần này.
Ai là người chịu trách nhiệm cho quá trình này?
Nhiệm vụ chính trong việc thiết kế chính sách bảo mật thông tin cho nhân viên làm việc từ xa thuộc về nhân viên bảo mật thông tin của tổ chức. Tuy nhiên, các bên liên quan khác cũng nên tham gia vào quá trình này.
Các nhà quản lý CNTT và nhân sự có trách nhiệm chung trong việc đảm bảo chính sách được triển khai và duy trì, cũng như đảm bảo nhân viên hiểu và tuân thủ chính sách.
Nếu bạn có chương trình quản lý nhà cung cấp, thì nhiều khả năng cá nhân chịu trách nhiệm quản lý nhà thầu và nhà cung cấp sẽ chịu trách nhiệm xây dựng chính sách bảo mật cho nhân viên bên ngoài trong bộ phận đó.
Những thay đổi này có ý nghĩa gì đối với bạn?
ISO 27001:2022 vẫn không có nhiều thay đổi; do đó, bạn chỉ cần đảm bảo rằng quy trình bảo mật thông tin của mình tuân thủ phiên bản mới.
Thay đổi chính là thay đổi một số biện pháp kiểm soát và làm rõ một số yêu cầu. Phụ lục A 6.7 có tác động quan trọng nhất – nếu bạn thuê ngoài hoạt động hoặc tuyển dụng nhân viên từ xa, bạn phải đảm bảo rằng họ có các biện pháp bảo mật phù hợp.
Nếu tổ chức của bạn đã có chứng nhận ISO 27001 , quy trình bạn sử dụng để quản lý bảo mật thông tin sẽ đáp ứng các quy định mới.
Nếu bạn đang tìm cách gia hạn chứng nhận ISO 27001 , bạn không cần phải thực hiện bất kỳ hành động nào. Chỉ cần đảm bảo rằng các quy trình của bạn vẫn tuân thủ theo tiêu chuẩn mới.
Nếu bạn mới bắt đầu, bạn cần cân nhắc cách bảo vệ dữ liệu và thông tin của công ty khỏi các cuộc tấn công mạng và các rủi ro khác.
Điều cần thiết là phải nghiêm túc xem xét rủi ro mạng và quản lý chúng như một phần của kế hoạch kinh doanh tổng thể, thay vì chỉ coi chúng là vấn đề của bộ phận CNTT hoặc an ninh.
