Phụ lục A Kiểm soát 6.8 của ISO 27001:2022 là gì?
Phụ lục A 6.8 của ISO 27001:2022 yêu cầu các tổ chức phải tạo một hệ thống cho phép nhân viên báo cáo các sự kiện bảo mật thông tin mà họ quan sát hoặc nghi ngờ kịp thời và thông qua các kênh thích hợp.
Giải thích về các sự kiện bảo mật thông tin
Vi phạm an ninh thông tin (còn được gọi là sự cố an ninh thông tin) đang gia tăng, với tần suất và cường độ ngày càng tăng. Thật không may, nhiều sự cố trong số này không được chú ý.
Nhiều yếu tố có thể gây ra sự cố bảo mật thông tin:
- Phần mềm độc hại như vi-rút và sâu là một vấn đề.
- Tin tặc có thể truy cập trái phép vào hệ thống máy tính thông qua internet hoặc mạng máy tính (“hack”).
- Truy cập trái phép vào máy tính và mạng (thường được gọi là “bẻ khóa mật khẩu”) là hành vi vi phạm giao thức bảo mật.
- Những tin tặc có thể truy cập vào hệ thống hoặc không đều có thể thay đổi dữ liệu một cách bất hợp pháp.
- Các nguồn bên ngoài xâm nhập vào hệ thống nội bộ của doanh nghiệp để đánh cắp thông tin hoặc cản trở hoạt động.
Cho dù mạng của bạn an toàn đến đâu, vẫn luôn có một số rủi ro về sự kiện bảo mật thông tin xảy ra. Để giảm thiểu rủi ro này, hãy sử dụng nhiều công cụ và kỹ thuật khác nhau, chẳng hạn như báo cáo, để xác định các mối đe dọa tiềm ẩn trước khi chúng có thể gây ra bất kỳ tác hại nào.
Báo cáo sự kiện bảo mật thông tin là gì?
Báo cáo sự kiện bảo mật thông tin là thành phần chính của bất kỳ chiến lược an ninh mạng nào. Triển khai công nghệ tốt nhất để bảo vệ dữ liệu là một chuyện, nhưng hiểu được những gì đang diễn ra lại là chuyện khác.
Báo cáo sự kiện bảo mật thông tin là quá trình ghi lại các sự cố, vi phạm và các sự kiện mạng khác xảy ra trong một tổ chức để xem xét và đưa ra các chiến lược nhằm ngăn ngừa sự cố lặp lại. Các chiến lược lập tài liệu, phân tích và phòng ngừa đều là những yếu tố thiết yếu.
Tại sao báo cáo sự kiện bảo mật thông tin lại quan trọng?
Báo cáo sự kiện bảo mật thông tin là điều cần thiết đối với bất kỳ tổ chức nào; nếu không có báo cáo, sẽ không có thông tin nào về việc mạng có bị xâm nhập hay có những rủi ro tiềm ẩn nào khác hay không. Nếu không có sự hiểu biết này, các biện pháp ngăn ngừa các sự cố trong tương lai không thể được đưa ra, cũng như không thể xác định và khắc phục các cuộc tấn công trước đó.
Điều cần thiết là phải giải quyết mọi sự cố một cách nhanh chóng và hiệu quả. Thời gian phản hồi rất quan trọng để bảo vệ doanh nghiệp và giảm thiểu tác động đến khách hàng và các bên liên quan khác.
Phụ lục A 6.8 của ISO 27001:2022 được tạo ra để thực hiện điều này.
Mục đích của Phụ lục A 6.8 của ISO 27001:2022 là gì?
Mục đích của Phụ lục A Kiểm soát 6.8 của ISO 27001:2022 là tạo điều kiện báo cáo kịp thời, nhất quán và hiệu quả các sự kiện bảo mật thông tin được nhân viên phát hiện.
Đảm bảo các sự cố được báo cáo nhanh chóng và ghi chép chính xác là rất quan trọng để đảm bảo các hoạt động ứng phó sự cố và các trách nhiệm quản lý an ninh khác được hỗ trợ phù hợp.
Các tổ chức nên có chương trình báo cáo sự kiện bảo mật thông tin theo Phụ lục A của ISO 27001:2022 Kiểm soát 6.8 để phát hiện và giảm thiểu các sự cố có thể ảnh hưởng đến bảo mật thông tin. Chương trình nên cho phép tiếp nhận, đánh giá và phản hồi các sự cố được báo cáo.
Phụ lục A của ISO 27001:2022 Kiểm soát 6.8 nêu rõ mục đích và hướng dẫn xây dựng hệ thống báo cáo sự kiện bảo mật thông tin theo khuôn khổ ISO 27001.
Kiểm soát này nhằm mục đích:
- Đảm bảo nhân viên báo cáo kịp thời và nhất quán các sự kiện bảo mật thông tin một cách hiệu quả.
- Chủ động phát hiện mọi truy cập trái phép hoặc sử dụng không đúng mục đích hệ thống thông tin.
- Hỗ trợ việc chuẩn bị kế hoạch ứng phó sự cố.
- Tạo cơ sở cho các hoạt động quan sát liên tục.
Việc thường xuyên xem xét các sự cố và xu hướng để phát hiện các vấn đề trước khi chúng trở nên nghiêm trọng (ví dụ bằng cách theo dõi số lượng sự cố hoặc thời gian xử lý mỗi sự cố) phải là một phần quan trọng trong việc triển khai Phụ lục A 6.8.
Bao gồm những gì và làm thế nào để đáp ứng các yêu cầu
Phụ lục A 6.8 của ISO 27001:2022 yêu cầu như sau:
- Mọi người đều phải hiểu rõ nghĩa vụ của mình trong việc báo cáo kịp thời các sự cố an ninh thông tin để ngăn chặn hoặc giảm thiểu tác động của chúng.
- Tổ chức phải lưu giữ hồ sơ liên lạc để báo cáo sự cố bảo mật dữ liệu và đảm bảo quy trình này đơn giản, dễ tiếp cận và khả dụng nhất có thể.
- Tổ chức phải lưu giữ hồ sơ về các sự cố bảo mật thông tin , chẳng hạn như báo cáo sự cố, nhật ký sự kiện, yêu cầu thay đổi, báo cáo sự cố và tài liệu hệ thống.
Theo Phụ lục A 6.8, các sự kiện yêu cầu báo cáo bảo mật thông tin bao gồm:
- Các biện pháp bảo vệ thông tin không hiệu quả.
- Vi phạm kỳ vọng về bảo mật liên quan đến tính bảo mật, tính toàn vẹn hoặc tính khả dụng của dữ liệu.
- Sai lầm của con người.
- Không tuân thủ chính sách bảo mật thông tin, các chính sách cụ thể hoặc các tiêu chuẩn có liên quan.
- Bất kỳ hành vi vi phạm nào đối với các biện pháp an ninh vật lý .
- Những sửa đổi hệ thống chưa được gửi đến quy trình quản lý thay đổi.
- Trong trường hợp xảy ra bất kỳ trục trặc hoặc hành vi bất thường nào của hệ thống phần mềm hoặc phần cứng.
- Trong trường hợp có bất kỳ vi phạm truy cập nào.
- Nếu có bất kỳ lỗ hổng nào xảy ra.
- Nếu nghi ngờ có sự nhiễm phần mềm độc hại.
Hơn nữa, nhân viên báo cáo không có trách nhiệm kiểm tra lỗ hổng hoặc hiệu quả của sự kiện bảo mật thông tin. Nên để nhân viên đủ trình độ xử lý việc này vì có thể dẫn đến trách nhiệm pháp lý cho nhân viên.
Những thay đổi và khác biệt so với ISO 27001:2013
Đầu tiên, Phụ lục A 6.8 trong ISO 27001:2022 không phải là một biện pháp kiểm soát mới, mà là sự kết hợp của Phụ lục A 16.1.2 và Phụ lục A 16.1.3 trong ISO 27001:2013 . Hai biện pháp kiểm soát này đã được sửa đổi trong ISO 27001:2022 để dễ tiếp cận hơn ISO 27001:2013.
Nhân viên và nhà thầu cần nhận thức được trách nhiệm của mình trong việc báo cáo kịp thời các sự kiện bảo mật thông tin và quy trình thực hiện, bao gồm cả người liên hệ để nhận báo cáo.
Nhân viên và nhà thầu phải báo cáo ngay lập tức bất kỳ điểm yếu nào về bảo mật thông tin cho điểm liên hệ để ngăn ngừa các sự cố bảo mật thông tin. Hệ thống báo cáo phải đơn giản, dễ tiếp cận và dễ đạt được nhất có thể.
Bạn có thể thấy rằng khuyến nghị thứ sáu và thứ tám đã được hợp nhất thành một trong ISO 27001:2022 đã sửa đổi.
Phụ lục A 6.8 nêu thêm hai cân nhắc không có trong Phụ lục A 16.1.2 và Phụ lục A 16.1.3. Đó là:
- Những thay đổi của hệ thống chưa được xử lý bằng quy trình kiểm soát thay đổi.
- Nghi ngờ bị nhiễm phần mềm độc hại.
Cuối cùng, cả hai lần lặp lại đều khá giống nhau. Sự khác biệt lớn nhất là việc thay đổi số kiểm soát, tên kiểm soát và ngôn ngữ dễ tiếp cận hơn với người dùng. Hơn nữa, ISO 27001:2022 bao gồm bảng thuộc tính và mục đích kiểm soát, các tính năng bị bỏ qua trong phiên bản 2013.
Mục đích của Phụ lục A 6.8 của ISO 27001:2022 là gì?
Mục đích của Phụ lục A Kiểm soát 6.8 của ISO 27001:2022 là tạo điều kiện báo cáo kịp thời, nhất quán và hiệu quả các sự kiện bảo mật thông tin được nhân viên phát hiện.
Đảm bảo các sự cố được báo cáo nhanh chóng và ghi chép chính xác là rất quan trọng để đảm bảo các hoạt động ứng phó sự cố và các trách nhiệm quản lý an ninh khác được hỗ trợ phù hợp.
Các tổ chức nên có chương trình báo cáo sự kiện bảo mật thông tin theo Phụ lục A của ISO 27001:2022 Kiểm soát 6.8 để phát hiện và giảm thiểu các sự cố có thể ảnh hưởng đến bảo mật thông tin. Chương trình nên cho phép tiếp nhận, đánh giá và phản hồi các sự cố được báo cáo.
Phụ lục A của ISO 27001:2022 Kiểm soát 6.8 nêu rõ mục đích và hướng dẫn xây dựng hệ thống báo cáo sự kiện bảo mật thông tin theo khuôn khổ ISO 27001.
Kiểm soát này nhằm mục đích:
- Đảm bảo nhân viên báo cáo kịp thời và nhất quán các sự kiện bảo mật thông tin một cách hiệu quả.
- Chủ động phát hiện mọi truy cập trái phép hoặc sử dụng không đúng mục đích hệ thống thông tin.
- Hỗ trợ việc chuẩn bị kế hoạch ứng phó sự cố.
- Tạo cơ sở cho các hoạt động quan sát liên tục.
Việc thường xuyên xem xét các sự cố và xu hướng để phát hiện các vấn đề trước khi chúng trở nên nghiêm trọng (ví dụ bằng cách theo dõi số lượng sự cố hoặc thời gian xử lý mỗi sự cố) phải là một phần quan trọng trong việc triển khai Phụ lục A 6.8.
Bao gồm những gì và làm thế nào để đáp ứng các yêu cầu
Phụ lục A 6.8 của ISO 27001:2022 yêu cầu như sau:
- Mọi người đều phải hiểu rõ nghĩa vụ của mình trong việc báo cáo kịp thời các sự cố an ninh thông tin để ngăn chặn hoặc giảm thiểu tác động của chúng.
- Tổ chức phải lưu giữ hồ sơ liên lạc để báo cáo sự cố bảo mật dữ liệu và đảm bảo quy trình này đơn giản, dễ tiếp cận và khả dụng nhất có thể.
- Tổ chức phải lưu giữ hồ sơ về các sự cố bảo mật thông tin , chẳng hạn như báo cáo sự cố, nhật ký sự kiện, yêu cầu thay đổi, báo cáo sự cố và tài liệu hệ thống.
Theo Phụ lục A 6.8, các sự kiện yêu cầu báo cáo bảo mật thông tin bao gồm:
- Các biện pháp bảo vệ thông tin không hiệu quả.
- Vi phạm kỳ vọng về bảo mật liên quan đến tính bảo mật, tính toàn vẹn hoặc tính khả dụng của dữ liệu.
- Sai lầm của con người.
- Không tuân thủ chính sách bảo mật thông tin, các chính sách cụ thể hoặc các tiêu chuẩn có liên quan.
- Bất kỳ hành vi vi phạm nào đối với các biện pháp an ninh vật lý .
- Những sửa đổi hệ thống chưa được gửi đến quy trình quản lý thay đổi.
- Trong trường hợp xảy ra bất kỳ trục trặc hoặc hành vi bất thường nào của hệ thống phần mềm hoặc phần cứng.
- Trong trường hợp có bất kỳ vi phạm truy cập nào.
- Nếu có bất kỳ lỗ hổng nào xảy ra.
- Nếu nghi ngờ có sự nhiễm phần mềm độc hại.
Hơn nữa, nhân viên báo cáo không có trách nhiệm kiểm tra lỗ hổng hoặc hiệu quả của sự kiện bảo mật thông tin. Nên để nhân viên đủ trình độ xử lý việc này vì có thể dẫn đến trách nhiệm pháp lý cho nhân viên.
Những thay đổi và khác biệt so với ISO 27001:2013
Đầu tiên, Phụ lục A 6.8 trong ISO 27001:2022 không phải là một biện pháp kiểm soát mới, mà là sự kết hợp của Phụ lục A 16.1.2 và Phụ lục A 16.1.3 trong ISO 27001:2013 . Hai biện pháp kiểm soát này đã được sửa đổi trong ISO 27001:2022 để dễ tiếp cận hơn ISO 27001:2013.
Nhân viên và nhà thầu cần nhận thức được trách nhiệm của mình trong việc báo cáo kịp thời các sự kiện bảo mật thông tin và quy trình thực hiện, bao gồm cả người liên hệ để nhận báo cáo.
Nhân viên và nhà thầu phải báo cáo ngay lập tức bất kỳ điểm yếu nào về bảo mật thông tin cho điểm liên hệ để ngăn ngừa các sự cố bảo mật thông tin. Hệ thống báo cáo phải đơn giản, dễ tiếp cận và dễ đạt được nhất có thể.
Bạn có thể thấy rằng khuyến nghị thứ sáu và thứ tám đã được hợp nhất thành một trong ISO 27001:2022 đã sửa đổi.
Phụ lục A 6.8 nêu thêm hai cân nhắc không có trong Phụ lục A 16.1.2 và Phụ lục A 16.1.3. Đó là:
- Những thay đổi của hệ thống chưa được xử lý bằng quy trình kiểm soát thay đổi.
- Nghi ngờ bị nhiễm phần mềm độc hại.
Cuối cùng, cả hai lần lặp lại đều khá giống nhau. Sự khác biệt lớn nhất là việc thay đổi số kiểm soát, tên kiểm soát và ngôn ngữ dễ tiếp cận hơn với người dùng. Hơn nữa, ISO 27001:2022 bao gồm bảng thuộc tính và mục đích kiểm soát, các tính năng bị bỏ qua trong phiên bản 2013.
