ISO 27002:2022, Kiểm soát 6.7 – Làm việc từ xa

Kiểm soát 6.7 là gì?

Kiểm soát 6.7, Làm việc từ xa là một kiểm soát trong ISO 27002:2022 đã sửa đổi. Kiểm soát này khuyến nghị rằng các tổ chức nên có chính sách về làm việc từ xa cũng như hệ thống quản lý bảo mật thông tin bao gồm các quy trình bảo mật quyền truy cập từ xa vào hệ thống thông tin và mạng.

Hậu quả của việc làm việc từ xa đối với an ninh thông tin

Làm việc từ xa đã trở nên phổ biến hơn khi công nghệ phát triển và giờ đây nhân viên có thể làm việc tại nhà mà không làm giảm năng suất hoặc hiệu quả. Tuy nhiên, điều này cũng có thể gây ra một số lo ngại về bảo mật dữ liệu.

Nếu bạn là chủ doanh nghiệp, bạn sẽ muốn biết cách bảo vệ tài sản trí tuệ của mình khỏi tội phạm mạng và đảm bảo dữ liệu của bạn an toàn trước tin tặc.

Sau đây là một số tác động về bảo mật thông tin của việc làm việc từ xa:

Kiểm soát truy cập

Làm việc từ xa có thể có lợi vì nó cho phép truy cập dễ dàng hơn vào thông tin và hệ thống nhạy cảm. Tuy nhiên, làm việc từ xa có một số tác động về bảo mật.

Làm việc từ xa, nếu không được quản lý đúng cách, có thể dễ gặp phải các rủi ro về bảo mật như tin tặc, tấn công phần mềm độc hại, truy cập trái phép và các rủi ro khác. Điều này đặc biệt đúng khi nhân viên không ở trong môi trường an toàn.

Mất an ninh vật lý

Làm việc từ xa cũng có thể ảnh hưởng đến an ninh vật lý của doanh nghiệp. Điều này có nghĩa là nhân viên không còn ở trong văn phòng hoặc tòa nhà nữa và do đó, có thể không nhìn thấy hoặc nghe thấy hoạt động đáng ngờ.

Bảo mật

Làm việc từ xa cũng có thể gây ra một số rủi ro liên quan đến tính bảo mật. Ví dụ, nhân viên có thể truy cập thông tin bí mật từ xa và truy cập mà không cần sự đồng ý của công ty.

Ngoài ra, nhân viên có thể dễ dàng truy cập thông tin nhạy cảm của công ty trên internet công cộng. Trên thực tế, thậm chí còn có các trang web nơi nhân viên có thể tải thông tin nhạy cảm lên để mọi người cùng xem.

Sự riêng tư

Làm việc từ xa cũng có thể ảnh hưởng đến quyền riêng tư của một tổ chức. Ví dụ, nếu nhân viên làm việc tại nhà, họ có thể có nhiều khả năng để lại đồ đạc cá nhân của mình ở khắp nơi.

Những đồ vật này có thể chứa thông tin nhạy cảm có thể xâm phạm đến quyền riêng tư của công ty.

Bảo vệ dữ liệu

Làm việc từ xa cũng có thể gây rủi ro cho dữ liệu của doanh nghiệp. Ví dụ, nhân viên có thể truy cập dữ liệu của công ty từ xa, có thể được lưu trữ ở nhiều vị trí khác nhau.

Điều này có thể bao gồm dữ liệu trên máy tính, máy chủ và thiết bị di động. Nếu nhân viên rời khỏi văn phòng và mang theo thiết bị, việc khôi phục dữ liệu có thể khó khăn hơn.

Ngoài ra, nhân viên có thể mắc lỗi hoặc làm điều gì đó có hại với thiết bị, điều này có thể làm mất dữ liệu.

Bảng Thuộc tính

Thuộc tính được sử dụng để phân loại các điều khiển. Bạn có thể ngay lập tức khớp tùy chọn điều khiển của mình với các cụm từ và thông số kỹ thuật được sử dụng rộng rãi trong ngành bằng cách sử dụng các thuộc tính.

Thuộc tính để kiểm soát 6.7 được thể hiện như bên dưới.

Mục đích của Control 6.7 là gì?

Mục đích của Kiểm soát 6.7 là đảm bảo rằng nhân viên làm việc từ xa có các biện pháp kiểm soát quyền truy cập đầy đủ để bảo vệ tính bảo mật, toàn vẹn và tính khả dụng của thông tin, quy trình và hệ thống nhạy cảm hoặc độc quyền khỏi sự truy cập hoặc tiết lộ trái phép của những cá nhân không được phép.

Để đảm bảo an toàn thông tin khi nhân viên làm việc từ xa, các tổ chức nên ban hành chính sách cụ thể về làm việc từ xa, trong đó nêu rõ các điều kiện và hạn chế liên quan đến an toàn thông tin. Chính sách này nên được phân phối cho tất cả nhân viên và bao gồm hướng dẫn về cách họ có thể sử dụng công nghệ truy cập từ xa một cách an toàn và bảo mật.

Một chính sách theo chủ đề cụ thể như thế này có thể sẽ bao gồm:

• Những trường hợp được phép làm việc từ xa.
• Các quy trình được sử dụng để đảm bảo rằng nhân viên làm việc từ xa được phép truy cập thông tin bí mật.
• Các thủ tục đảm bảo thông tin được bảo vệ khi truyền giữa các địa điểm vật lý khác nhau.

Ngoài các yêu cầu cơ bản này, điều quan trọng là phải có một quy trình được xác định rõ ràng để báo cáo sự cố, bao gồm thông tin liên lạc phù hợp. Điều này có thể giúp giảm nguy cơ vi phạm hoặc các loại sự cố bảo mật khác xảy ra ngay từ đầu.

Chính sách này cũng có thể cần giải quyết các vấn đề như mã hóa, tường lửa và cập nhật phần mềm diệt vi-rút cũng như đào tạo nhân viên về cách sử dụng kết nối từ xa một cách an toàn.

Bao gồm những gì và làm thế nào để đáp ứng các yêu cầu

Để đáp ứng các yêu cầu kiểm soát 6.7, các tổ chức cho phép hoạt động làm việc từ xa phải ban hành chính sách cụ thể theo chủ đề về làm việc từ xa, trong đó nêu rõ các điều kiện và hạn chế có liên quan.

Chính sách cần được xem xét thường xuyên, đặc biệt là khi có bất kỳ thay đổi nào về công nghệ hoặc luật pháp.

Chính sách này phải được truyền đạt tới tất cả nhân viên, nhà thầu và các bên khác tham gia vào hoạt động làm việc từ xa.

Chính sách này phải được ghi chép lại và cung cấp cho bất kỳ bên thứ ba có liên quan nào, bao gồm cơ quan quản lý và kiểm toán viên.

Các tổ chức cũng phải đảm bảo có các biện pháp thích hợp để bảo vệ thông tin nhạy cảm hoặc bí mật được truyền hoặc lưu trữ dưới dạng điện tử trong các hoạt động làm việc từ xa.

Theo quy định của điều khiển 6.7, cần xem xét những vấn đề sau:

• An ninh vật lý hiện tại hoặc được đề xuất tại địa điểm làm việc từ xa, có tính đến an ninh vật lý của địa điểm và môi trường tại địa phương, bao gồm các khu vực pháp lý khác nhau nơi nhân sự làm việc.
• Các quy tắc và cơ chế bảo mật cho môi trường vật lý từ xa như tủ hồ sơ có khóa, vận chuyển an toàn giữa các địa điểm và các quy tắc về truy cập từ xa, dọn dẹp bàn làm việc, in ấn và xử lý thông tin cũng như các tài sản liên quan khác và báo cáo sự kiện bảo mật thông tin.
• Môi trường làm việc từ xa vật lý dự kiến.
• Các yêu cầu về bảo mật truyền thông, có tính đến nhu cầu truy cập từ xa vào hệ thống của tổ chức, mức độ nhạy cảm của thông tin được truy cập và truyền qua đường truyền thông cũng như mức độ nhạy cảm của các hệ thống và ứng dụng.
• Việc sử dụng quyền truy cập từ xa như quyền truy cập máy tính để bàn ảo hỗ trợ xử lý và lưu trữ thông tin trên thiết bị cá nhân.
• Mối đe dọa về việc truy cập trái phép vào thông tin hoặc tài nguyên từ những người khác tại nơi làm việc từ xa (ví dụ như gia đình và bạn bè).
• Mối đe dọa về việc truy cập trái phép vào thông tin hoặc tài nguyên từ những người khác ở nơi công cộng.
• Việc sử dụng mạng gia đình và mạng công cộng, cũng như các yêu cầu hoặc hạn chế về cấu hình dịch vụ mạng không dây.
• Sử dụng các biện pháp bảo mật như tường lửa và bảo vệ chống phần mềm độc hại.
• Cơ chế bảo mật để triển khai và khởi tạo hệ thống từ xa.
• Cơ chế xác thực và cấp quyền truy cập an toàn, lưu ý đến lỗ hổng của cơ chế xác thực một yếu tố khi cho phép truy cập từ xa vào mạng của tổ chức.

Các hướng dẫn và biện pháp cần xem xét bao gồm:

1. Cung cấp thiết bị và đồ đạc lưu trữ phù hợp cho các hoạt động làm việc từ xa, trong đó không được phép sử dụng thiết bị cá nhân không nằm trong tầm kiểm soát của tổ chức.
2. Định nghĩa về công việc được phép, phân loại thông tin có thể lưu giữ và các hệ thống và dịch vụ nội bộ mà nhân viên làm việc từ xa được phép truy cập.
3. Cung cấp đào tạo cho những người làm việc từ xa và những người cung cấp hỗ trợ. Điều này bao gồm cách tiến hành kinh doanh một cách an toàn khi làm việc từ xa.
4. Cung cấp thiết bị truyền thông phù hợp, bao gồm các phương pháp bảo mật quyền truy cập từ xa, chẳng hạn như yêu cầu về khóa màn hình thiết bị và bộ hẹn giờ không hoạt động.
5. Cho phép theo dõi vị trí thiết bị.
6. Cài đặt chức năng xóa dữ liệu từ xa.
7. An ninh vật lý.
8. Quy định và hướng dẫn về quyền truy cập thiết bị và thông tin của gia đình và khách tham quan.
9. Cung cấp hỗ trợ và bảo trì phần cứng và phần mềm.
10. Việc cung cấp bảo hiểm.
11. Các thủ tục sao lưu và duy trì hoạt động kinh doanh.
12. Kiểm toán và giám sát an ninh.
13. Thu hồi thẩm quyền và quyền truy cập và trả lại thiết bị khi hoạt động làm việc từ xa kết thúc.

Những thay đổi và khác biệt so với ISO 27002:2013

Kiểm soát 6.7 trong ISO 27002:2022 là phiên bản sửa đổi của kiểm soát 6.2.2 trong ISO 27002:2013 và không phải là kiểm soát mới.

Mặc dù hai biện pháp kiểm soát này có nhiều đặc điểm, nhưng chúng có phần khác nhau về danh pháp và cách diễn đạt. Ví dụ, tên biện pháp kiểm soát không giống nhau. Biện pháp kiểm soát 6.2.2 trong ISO 27002:2013 được gọi là làm việc từ xa. Biện pháp kiểm soát 6.7 gọi là làm việc từ xa. Đồng thời, làm việc từ xa đã được thay thế bằng làm việc từ xa trong phiên bản mới của tiêu chuẩn.

Trong control 6.7, ISO 27002:2022, tiêu chuẩn này định nghĩa làm việc từ xa là gì và các loại công việc có thể đủ điều kiện là làm việc từ xa. Điều này bao gồm teleworking, đây là tên control gốc trong phiên bản 2013 của tiêu chuẩn.

Các hướng dẫn triển khai có phần giống nhau mặc dù ngôn ngữ và thuật ngữ khác nhau. Phiên bản 2022 sử dụng nhiều ngôn ngữ thân thiện với người dùng để đảm bảo rằng người dùng tiêu chuẩn có thể hiểu những gì họ đang làm.

Tuy nhiên, một số điểm đã được thêm vào trong bản kiểm soát 6.7 và một số điểm đã bị xóa khỏi bản kiểm soát 6.2.2.

Đã thêm vào Control 6.7 Làm việc từ xa

• các quy tắc và cơ chế bảo mật cho môi trường vật lý từ xa như tủ hồ sơ có khóa, vận chuyển an toàn giữa các địa điểm và các quy tắc về truy cập từ xa, dọn dẹp bàn làm việc, in ấn và xử lý thông tin và các tài sản liên quan khác, cũng như báo cáo sự kiện bảo mật thông tin.
• môi trường làm việc từ xa vật lý dự kiến.
• mối đe dọa về việc truy cập trái phép vào thông tin hoặc tài nguyên từ những người khác ở nơi công cộng.
• cơ chế an toàn để triển khai và khởi tạo hệ thống từ xa.
• cơ chế an toàn để xác thực và cấp quyền truy cập, lưu ý đến lỗ hổng của cơ chế xác thực một yếu tố khi cho phép truy cập từ xa vào mạng của tổ chức.

Đã xóa khỏi Kiểm soát 6.2.2 Làm việc từ xa

• Việc sử dụng mạng gia đình và các yêu cầu hoặc hạn chế về cấu hình dịch vụ mạng không dây.
• Chính sách và thủ tục nhằm ngăn ngừa tranh chấp liên quan đến quyền sở hữu trí tuệ được phát triển trên thiết bị tư nhân.
• Việc tiếp cận thiết bị cá nhân (để xác minh tính bảo mật của máy móc hoặc trong quá trình điều tra) có thể bị pháp luật ngăn chặn.
• Thỏa thuận cấp phép phần mềm theo đó các tổ chức có thể phải chịu trách nhiệm cấp phép cho phần mềm của khách hàng trên các máy trạm do nhân viên hoặc người dùng bên ngoài sở hữu riêng.

Hơn nữa, ISO 27002 phiên bản 2022 cung cấp các tuyên bố về mục đích và bảng thuộc tính cho từng biện pháp kiểm soát, giúp người dùng hiểu rõ hơn và triển khai các biện pháp kiểm soát.

Phiên bản 2013 không có hai phần này.

Ai là người chịu trách nhiệm cho quá trình này?

Trách nhiệm chính trong việc tạo ra chính sách bảo mật thông tin cho nhân viên làm việc từ xa thuộc về nhân viên bảo mật thông tin của tổ chức. Tuy nhiên, các bên liên quan khác cũng nên tham gia vào quá trình này.

Điều này bao gồm các nhà quản lý CNTT, những người chịu trách nhiệm triển khai và duy trì chính sách, cũng như các nhà quản lý nhân sự, những người chịu trách nhiệm đảm bảo rằng nhân viên hiểu và tuân thủ chính sách.

Nếu bạn có chương trình quản lý nhà cung cấp, thì câu trả lời sẽ phụ thuộc vào người chịu trách nhiệm quản lý nhà thầu và nhà cung cấp nói chung. Trong hầu hết các trường hợp, người này cũng sẽ chịu trách nhiệm tạo chính sách bảo mật thông tin cho nhân viên làm việc từ xa trong bộ phận đó.

Những thay đổi này có ý nghĩa gì đối với bạn?

Tiêu chuẩn ISO 27002 không có thay đổi đáng kể nên bạn không cần phải làm nhiều ngoài việc kiểm tra xem quy trình bảo mật thông tin của bạn có phù hợp với bản nâng cấp hay không.

Thay đổi chính là sửa đổi một số biện pháp kiểm soát và làm rõ một số yêu cầu. Tác động chính liên quan đến biện pháp kiểm soát 6.7 là nếu bạn thuê ngoài bất kỳ hoạt động nào của mình cho bên thứ ba hoặc có người làm việc từ xa, bạn sẽ cần đảm bảo rằng họ có mức kiểm soát bảo mật phù hợp.

Nếu bạn đã có chứng chỉ ISO 27001, thì quy trình quản lý bảo mật thông tin hiện tại của bạn sẽ đáp ứng các yêu cầu mới.

Điều này có nghĩa là nếu bạn đang muốn gia hạn chứng nhận ISO 27001 hiện tại của mình thì bạn không cần phải làm gì cả. Bạn chỉ cần đảm bảo rằng các quy trình của mình vẫn phù hợp với tiêu chuẩn mới.

Tuy nhiên, nếu bạn bắt đầu từ con số 0, thì bạn sẽ cần phải suy nghĩ về cách công ty của bạn có thể chuẩn bị ứng phó với các cuộc tấn công mạng và các mối đe dọa khác đối với tài sản thông tin của công ty.

Điều quan trọng nhất là phải coi rủi ro mạng là một vấn đề nghiêm trọng để có thể quản lý chúng như một phần trong chiến lược kinh doanh tổng thể thay vì chỉ được bộ phận CNTT hoặc bộ phận an ninh coi là một vấn đề riêng biệt.