Mục đích của ISO 27001:2022 Phụ lục A 8.7
Phần mềm độc hại là một trong những mối đe dọa lớn nhất đối với tính liên tục của hoạt động kinh doanh và bảo mật dữ liệu trong thời đại số.
Thế giới kinh doanh toàn cầu phải đối mặt với vô số mối nguy hiểm hàng ngày từ nhiều phương thức tấn công nhằm mục đích truy cập vào hệ thống và dữ liệu bí mật mà không được phép, trích xuất dữ liệu và tiền, lừa dối những nhân viên nhẹ dạ cả tin và sử dụng dữ liệu đã đòi để đòi tiền chuộc lớn.
Bảo vệ phần mềm độc hại an toàn phải là ưu tiên hàng đầu khi tạo chính sách bảo mật thông tin. Điều cần thiết là các tổ chức phải thực hiện các bước để bảo vệ chống lại phần mềm độc hại.
Phụ lục A 8.7 của ISO 27001:2022 nêu ra một loạt các biện pháp nhằm giáo dục nhân viên về các rủi ro của phần mềm độc hại và triển khai các biện pháp phòng ngừa hiệu quả để bảo vệ chống lại các mối đe dọa bên trong và bên ngoài, do đó tránh được sự gián đoạn và mất dữ liệu.
Quyền sở hữu của Phụ lục A 8.7
Bảo vệ phần mềm độc hại là một chủ đề rộng, bao gồm nhiều chức năng kinh doanh với nhiều mức độ rủi ro khác nhau và nhiều biện pháp kiểm soát ISO. Do đó, trách nhiệm đối với Phụ lục A 8.7 của ISO 27001:2022 phải được giao cho Giám đốc An ninh thông tin hoặc tương đương. Nhân viên quản trị CNTT và người dùng tiêu chuẩn phải thực hiện các bước thiết thực để bảo vệ chống lại phần mềm độc hại.
Hướng dẫn về ISO 27001:2022 Phụ lục A 8.7 Tuân thủ
Phụ lục A 8.7 yêu cầu các công ty thực hiện biện pháp phòng thủ phần mềm độc hại bao gồm bốn khía cạnh chính:
- Hệ thống được kiểm soát và quyền truy cập tài khoản.
- Quản lý thay đổi.
- Phần mềm chống phần mềm độc hại.
- Nhận thức về bảo mật thông tin của tổ chức (đào tạo người dùng).
ISO cảnh báo không nên tin rằng phần mềm chống phần mềm độc hại là đủ để cung cấp một môi trường an toàn. Phụ lục A 8.7 của ISO 27001:2022 kêu gọi các tổ chức áp dụng chiến lược toàn diện chống lại phần mềm độc hại, bắt đầu bằng việc giáo dục người dùng và kết thúc bằng một mạng an toàn giúp giảm thiểu khả năng xâm nhập từ nhiều nguồn tấn công.
Các tổ chức nên thực hiện các biện pháp để đạt được mục tiêu của mình, bao gồm:
- Không khuyến khích sử dụng phần mềm chưa được chấp thuận (tham khảo Phụ lục A 8.19 và Phụ lục A 8.32).
- Ngăn chặn truy cập vào các trang web độc hại hoặc không phù hợp.
- Giảm số lượng các điểm yếu tồn tại trên mạng của họ có thể bị phần mềm độc hại hoặc những cá nhân có ý định xấu lợi dụng (tuân theo Phụ lục A 8.8 và Phụ lục A 8.19).
- Tiến hành đánh giá phần mềm thường xuyên để phát hiện phần mềm trái phép, sửa đổi hệ thống và/hoặc dữ liệu trên mạng.
- Bảo mật dữ liệu và ứng dụng với rủi ro tối thiểu, thông qua việc thu thập dữ liệu nội bộ hoặc bên ngoài.
- Các tổ chức nên triển khai chính sách phát hiện phần mềm độc hại bao gồm quét thường xuyên và toàn diện tất cả các hệ thống và tệp có liên quan, được điều chỉnh theo rủi ro riêng biệt của từng khu vực. Nên áp dụng phương pháp ‘phòng thủ chuyên sâu’ bao gồm các thiết bị đầu cuối và kiểm soát cổng, tính đến nhiều vectơ tấn công (ví dụ: phần mềm tống tiền).
- Ngăn chặn sự xâm nhập bắt nguồn từ các giao thức và quy trình khẩn cấp – đặc biệt là khi có sự cố hoặc hoạt động bảo trì có rủi ro cao.
- Soạn thảo quy trình cho phép nhân viên kỹ thuật vô hiệu hóa một số hoặc toàn bộ các nỗ lực chống phần mềm độc hại khi chúng cản trở hoạt động của tổ chức.
- Triển khai kế hoạch sao lưu và phục hồi thảm họa (BUDR) vững chắc giúp tổ chức khôi phục hoạt động sớm nhất có thể sau khi gián đoạn (xem Phụ lục A 8.13). Kế hoạch này phải bao gồm các quy trình dành cho phần mềm không thể được bảo vệ bằng phần mềm chống phần mềm độc hại (ví dụ: phần mềm máy móc).
- Chia mạng lưới và/hoặc không gian làm việc kỹ thuật số và ảo thành các phần để ngăn ngừa thiệt hại thảm khốc nếu xảy ra tấn công.
- Cung cấp cho tất cả nhân viên chương trình đào tạo chống phần mềm độc hại để nâng cao hiểu biết của họ về nhiều chủ đề, bao gồm (nhưng không giới hạn ở):
- Bảo mật email
- Cài đặt phần mềm độc hại
- Kỹ thuật xã hội
- Thu thập thông tin về những tiến bộ mới nhất trong bảo mật phần mềm độc hại liên quan đến ngành.
- Đảm bảo rằng tất cả thông báo liên quan đến các cuộc tấn công phần mềm độc hại tiềm ẩn (đặc biệt là từ các nhà cung cấp phần mềm và phần cứng) đều đến từ nguồn đáng tin cậy và chính xác.
Phụ lục A kèm theo Kiểm soát
- ISO 27001:2022 Phụ lục A 8.13
- ISO 27001:2022 Phụ lục A 8.19
- ISO 27001:2022 Phụ lục A 8.32
- ISO 27001:2022 Phụ lục A 8.8
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 8.7 của ISO 27001:2022 thay thế Phụ lục A 12.2.1 của ISO 27001:2013 (trong đó đề cập đến các biện pháp kiểm soát chống phần mềm độc hại).
ISO 27001:2022 Phụ lục A 8.7 tương tự như ISO 27001:2013 Phụ lục A 12.2.1, nhưng một số lời khuyên bổ sung đã được ưu tiên hơn, xét đến tầm quan trọng của nó đối với các chương trình chống phần mềm độc hại của các công ty. Cụ thể, nó bao gồm:
- Đảm bảo an toàn trước phần mềm độc hại trong thời gian bảo trì là điều cần thiết.
Phụ lục A 12.2.1 của ISO 27001:2013 yêu cầu các tổ chức cân nhắc sử dụng hai nền tảng chống phần mềm độc hại khác nhau, trong khi Phụ lục A 8.7 của ISO 27001:2022 chỉ sử dụng một giải pháp tích hợp duy nhất.
