Mô hình đánh giá mức độ trưởng thành của đội ứng cứu sự cố an toàn thông tin mạng: Quyết định 2029/QĐ-BTTTT

STT

Tên chỉ số

Tên ký hiệu

I

Nhóm chỉ số đánh giá về tổ chức

VNO

1

Chức năng, nhiệm vụ

VNO-1

2

Đối tượng phục vụ

VNO-2

3

Quyền hạn

VNO-3

4

Trách nhiệm

VNO-4

5

Danh mục các hoạt động nghiệp vụ

VNO-5

6

Phân loại sự cố

VNO-6

7

Quy chế hoạt động

VNO-7

8

Chính sách bảo mật

VNO-8

II

Nhóm chỉ số đánh giá về con người

VNH

9

Quy tắc ứng xử

VNH-1

10

Phương án dự phòng nhân sự

VNH-2

11

Yêu cầu về kỹ năng

VNH-3

12

Phát triển đội ngũ

VNH-4

13

Đào tạo kỹ thuật

VNH-5

14

Đào tạo kỹ năng mềm

VNH-6

15

Kết nối- hợp tác

VNH-7

III

Nhóm chỉ số đánh giá về công cụ

VNT

16

Danh sách tài nguyên CNTT

VNT-1

17

Danh sách nguồn thông tin

VNT-2

18

Kênh thông tin liên lạc không gián đoạn

VNT-3

19

Hệ thống theo dõi sự cố

VNT-4

20

Đảm bảo kết nối internet ổn định

VNT-5

21

Bộ công cụ phòng ngừa sự cố

VNT-6

22

Bộ công cụ phát hiện sự cố

VNT-7

23

Hệ thống xử lý sự cố

VNT-8

IV

Nhóm chỉ số đánh giá về quy trình

VNP

24

Quy trình báo cáo sự cố lên cấp quản lý cao hơn

VNP-1

25

Quy trình công khai thông tin

VNP-2

26

Quy trình cung cấp thông tin cho cơ quan pháp lý

VNP-3

27

Quy trình phòng ngừa sự cố

VNP-4

28

Quy trình phát hiện sự cố

VNP-5

29

Quy trình xử lý sự cố

VNP-6

30

Quy trình đánh giá hoàn thiện tổ chức

VNP-7

31

Quy trình tiếp cận khẩn cấp

VNP-8

32

Quy trình xử lý thông tin mật

VNP-9

33

Quy trình quản lý nguồn tin

VNP-10

34

Quy trình tiếp cận khách hàng, đối tác

VNP-11

35

Quy trình kết nối cơ quan quản lý nhà nước

VNP-12

36

Quy trình thống kê sự cố

VNP-13

37

Quy trình họp

VNP-14

38

Quy trình phối hợp trong Mạng lưới

VNP-15

V

Nhóm chỉ số đánh giá hoạt động thường xuyên

VNA

39

Kế hoạch hoạt động

VNA-1

40

Tham gia nền tảng IRLab

VNA-2

41

Rà quét lỗ hổng

VNA-3

42

Săn lùng mối nguy

VNA-4

43

Diễn tập thực chiến

VNA-5

44

Chia sẻ thông tin

VNA-6

Mức độ trưởng thành

Tên các giai đoạn

Số điểm

Đặc điểm

A

Tối ưu

> 132

CSIRT phát triển toàn diện về tổ chức, nhân sự chất lượng, công cụ được trang bị đầy đủ, quy trình thường xuyên được xem xét, cập nhật để đánh giá tính hiệu quả. CSIRT luôn được cải tiến theo chu kỳ, đảm bảo năng lực phát hiện, cảnh báo, phân tích, xử lý sự cố và phục hồi hệ thống. Các bài học kinh nghiệm của CSIRT được ghi lại và chia sẻ trong toàn Mạng lưới.

B

Hoàn thiện

107-132

CSIRT bắt đầu đi vào hoạt động bài bản. Ngoài các mức trưởng thành như mức độ C, CSIRT bắt đầu thiết lập các chức năng quản lý sự cố, đồng thời triển khai một số hoạt động thường xuyên để nâng cao năng lực CSIRT.

C

Cơ bản

71-106

CSIRT đạt mức trưởng thành cơ bản, có sự phân chia nhiệm vụ và phạm vi hoạt động, bắt đầu có quy trình xử lý sự cố và thực hiện việc phối hợp xử lý các sự cố ở mức cơ bản.

D

Sơ khởi

33-70

CSIRT đang trong quá trình hình thành. CSIRT có đầu mối liên hệ (PoC) tiếp nhận và gửi thông tin sự cố, có các quy tắc và quy định để thông báo cho các đơn vị có liên quan về việc này.

E

Ý tưởng

<33

CSIRT giai đoạn đầu tiên. Công việc của các tổ chức đòi hỏi có đội ngũ đảm nhận trách nhiệm ứng cứu sự cố an toàn thông tin mạng và vấn đề thành lập CSIRT bắt đầu được nhắc đến.

Điểm đánh giá:

0: Chưa hình thành đội/ nhóm ứng cứu sự cố (CSIRT) trong tổ chức. Các nhiệm vụ đảm bảo an toàn thông tin chưa tách riêng với nhiệm vụ công nghệ thông tin,

1: Chưa hình thành đội/ nhóm ứng cứu sự cố trong tổ chức, nhưng nhiệm vụ đảm bảo an toàn thông tin đã có các hoạt động được triển khai riêng. Tùy từng nhiệm vụ, lãnh đạo tổ chức giao cho những người khác nhau triển khai.

2: Đội ứng cứu sự cố chưa có quyết định thành lập chính thức, nhưng đã bắt đầu làm việc theo nhóm trong các hoạt động liên quan.

3: Đã có quyết định thành lập đội ứng cứu sự cố, có phân công nhiệm vụ rõ ràng, tuy nhiên tất cả đều là các thành viên kiêm nhiệm.

4: CSIRT đã có quyết định thành lập, có chức năng, nhiệm vụ rõ ràng, có thành viên chuyên trách.

Điểm đánh giá:

0: Các thành viên CSIRT không xác định được đối tượng phục vụ của mình.

1: Các thành viên của CSIRT biết đối tượng phục vụ của đội mình, nhưng chưa có văn bản nào thể hiện điều này.

2: Các thành viên của CSIRT đã dự thảo văn bản đề cập đến đối tượng phục vụ của đội mình, nhưng chưa được cấp trên phê duyệt.

3: CSIRT đã có văn bản chính thức quy định rõ các đối tượng phục vụ.

4: CSIRT đã có văn bản chính thức quy định rõ các đối tượng phục vụ. Trong quá trình triển khai, các thành viên của CSIRT luôn có đánh giá định kỳ, kiểm tra để điều chỉnh khi cần.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết về quyền hạn của mình.

1: Các thành viên của CSIRT biết quyền hạn của mình, nhưng chưa nhìn thấy văn bản liên quan.

2: CSIRT không có văn bản chính thức về việc này, nhưng tự xây dựng tài liệu liên quan, chưa được phê duyệt chính thức.

3: CSIRT có văn bản tự xây dựng và do lãnh đạo đội phê duyệt.

4: CSIRT có văn bản chính thức do cấp trên phê duyệt về việc này và thường xuyên thực hiện đánh giá lại sự phù hợp.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết về trách nhiệm của mình.

1: Các thành viên của CSIRT biết trách nhiệm của mình, nhưng chưa có văn bản nào nói về điều này.

2: CSIRT chưa có văn bản chính thức quy định về trách nhiệm của CSIRT, nên tự xây dựng dự thảo. Dự thảo này chưa được lãnh đạo phê duyệt

3: CSIRT có văn bản chính thức quy định về trách nhiệm của mình do cấp trên phê duyệt.

4: CSIRT có văn bản chính thức do cấp trên phê duyệt. Trong quá trình hoạt động, các thành viên của CSIRT thường xuyên đánh giá định kỳ để hoàn thiện trách nhiệm của mình.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết và chưa bao giờ đề cập đến điều này.

1: Các thành viên của CSIRT biết những hoạt động mà CSIRT cung cấp, nhưng chưa có văn bản nào thể hiện danh mục đó.

2: CSIRT đã tự xây dựng dự thảo liên quan danh mục các hoạt động nghiệp vụ nhưng chưa phải văn bản chính thức.

3: CSIRT có bản mô tả danh mục các hoạt động, đã được lãnh đạo phê duyệt và đã được gửi tới các đối tác, khách hàng.

4: CSIRT đã có văn bản phê duyệt chính thức về danh mục các hoạt động nghiệp vụ, đã đưa vào triển khai và thực hiện đánh giá định kỳ để hoàn thiện.

Điểm đánh giá:

0: Các thành viên của CSIRT không thực hiện phân loại sự cố và không có khái niệm về việc này.

1: Các thành viên của CSIRT hiểu rằng có nhiều loại sự cố khác nhau, cần phân loại, nhưng chưa thực hiện phân loại.

2: CSIRT không có văn bản chính thức về phân loại sự cố nên đã tự xây dựng tài liệu liên quan, chưa được lãnh đạo phê duyệt.

3: CSIRT có phân loại sự cố, đã được thể hiện bằng văn bản và đã được lãnh đạo phê duyệt.

4: CSIRT có văn bản phân loại sự cố đã được phê duyệt. Trong quá trình đánh giá định kỳ, CSIRT phân biệt các loại sự cố khác nhau và có cách thức xử lý phù hợp cho từng loại sự cố.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết và chưa thảo luận về điều này.

1: CSIRT có một quan điểm nhất quán về việc xây dựng quy chế hoạt động, nhưng chưa có văn bản nào thể hiện điều này.

2: CSIRT có dự thảo văn bản liên quan, nhưng chưa được phê duyệt.

3: CSIRT đã ban hành chính thức quy chế hoạt động.

4: CSIRT có quy chế hoạt động chính thức và đã triển khai, được đánh giá định kỳ để hoàn thiện.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa quan tâm đến chính sách bảo mật thông tin và chưa bao bao giờ đề cập đến điều này.

1: Các thành viên của CSIRT biết về việc cần thực hiện bảo mật thông tin, nhưng chưa có văn bản nào thể hiện điều này.

2: CSIRT có dự thảo văn bản liên quan nhưng chưa được phê duyệt.

3: CSIRT đã có văn bản chính thức quy định về việc bảo mật thông tin.

4: CSIRT đã có văn bản chính thức quy định về việc bảo mật thông tin, đã triển khai và được đánh giá định kỳ để hoàn thiện.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết các quy tắc ứng xử mình cần có là gì.

1: Các thành viên của CSIRT hiểu rõ quy tắc ứng xử cần có đối với vị trí của mình, nhưng chưa có văn bản nào thể hiện điều này.

2: CSIRT có dự thảo về quy tắc ứng xử của nhân sự CSIRT, nhưng chưa được phê duyệt.

3: CSIRT đã có văn bản chính thức do lãnh đạo phê duyệt.

4: CSIRT đã có văn bản chính thức được phê duyệt, đã triển khai, và được đánh giá định kỳ để hoàn thiện.

Điểm đánh giá:

0: CSIRT không có nhân sự dự phòng và việc này nằm ngoài phạm vi quyết định của CSIRT.

1: CSIRT có đủ người dự phòng trong công việc, nhưng kế hoạch dự phòng chưa được viết ra thành văn bản.

2: CSIRT đã có kế hoạch dự phòng nhân sự được viết ra thành văn bản, nhưng chưa được lãnh đạo chính thức phê duyệt.

3: CSIRT có văn bản chính thức về số lượng nhân viên và kế hoạch dự phòng nhân sự, đã được lãnh đạo phê duyệt.

4: CSIRT có kế hoạch dự phòng nhân sự đã được phê duyệt. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra thực tế hiệu quả của kế hoạch và thực hiện điều chỉnh (nếu cần).

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết và chưa thảo luận về điều này.

1 : Các thành viên của CSIRT biết mình cần phải có những kỹ năng gì, nhưng chưa có văn bản nào mô tả hay đưa ra yêu cầu về những kỹ năng đó.

2: CSIRT không có văn bản mô tả các kỹ năng cần phải có cho các vị trí công việc. Do vậy, các thành viên của CSIRT đã tự viết tài liệu để sử dụng riêng, lãnh đạo chưa phê duyệt.

3: CSIRT có tài liệu mô tả các kỹ năng cần thiết cho từng vị trí việc làm tại CSIRT. Văn bản này đã được phê duyệt.

4: CSIRT có bản mô tả kỹ năng đã được phê duyệt. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem bộ kỹ năng này có đủ để triển khai hoạt động, giải quyết công việc, thực hiện xử lý các sự cố an toàn thông tin hay không.

Điểm đánh giá:

0: CSIRT không thực hiện các hoạt động phát triển đội ngũ.

1: CSIRT có ý tưởng về phát triển đội ngũ và các thành viên của CSIRT đã tự đào tạo nhau, nhưng chưa có văn bản nào thể hiện việc làm này.

2: CSIRT không có chương trình phát triển đội ngũ chính thức, do đó các thành viên của CSIRT đã tự viết tài liệu sử dụng riêng. Tài liệu này chưa được lãnh đạo phê duyệt.

3: CSIRT có một chương trình phát triển đội ngũ đã được lãnh đạo phê duyệt.

4: CSIRT có một chương trình phát triển đội ngũ được lãnh đạo phê duyệt. Trong quá trình đánh giá định kỳ, các thành viên của CSIRT sẽ kiểm tra xem chương trình này đã đáp ứng nhu cầu của tổ chức hay chưa.

Điểm đánh giá:

0: CSIRT không thực hiện loại hình đào tạo này.

1: Các thành viên của CSIRT cử người tham gia các khóa đào tạo như vậy khi cần thiết, nhưng CSIRT không có văn bản nào quy định về việc này.

2: CSIRT chưa có hướng dẫn, quy định chính thức về việc đào tạo này. Tuy nhiên, các thành viên CSIRT đã tự xây dựng một bộ tài liệu liên quan, lãnh đạo chưa phê duyệt.

3: CSIRT có kế hoạch cử nhân viên đi đào tạo kỹ thuật bên ngoài và đã được phê duyệt.

4: CSIRT có kế hoạch, chương trình đào tạo kỹ thuật bên ngoài đã được phê duyệt. Chương trình này cho phép các nhân viên của CSIRT được gửi đi đào tạo tại các tổ chức khác. Trong quá trình đánh giá định kỳ, chương trình đào tạo kỹ thuật này được xem xét là đủ để đáp ứng nhu cầu đào tạo của CSIRT hay chưa.

Điểm đánh giá:

0: CSIRT không thực hiện loại hình đào tạo này.

1: CSIRT có cử người tham gia các khóa đào tạo như vậy khi cần, nhưng CSIRT chưa có văn bản nào nói về việc này.

2: CSIRT chưa có chương trình đào tạo kỹ năng mềm chính thức, nhưng đã có đề xuất cụ thể về việc này.

3: CSIRT có chủ trương, chương trình đào tạo về kỹ năng mềm đã được phê duyệt. Đây là căn cứ để CSIRT cử nhân viên của mình tham gia các khóa đào tạo như vậy.

4: CSIRT có chủ trương, kinh phí, chương trình đào tạo về kỹ năng mềm đã được phê duyệt. Trong quá trình đánh giá định kỳ, CSIRT sẽ kiểm tra xem chương trình đào tạo này đã đủ để đáp ứng nhu cầu đào tạo của đơn vị hay chưa và tiến hành hoàn thiện.

Điểm đánh giá:

0: CSIRT không có thời gian hoặc kinh phí cho loại hoạt động này.

1: Các thành viên của CSIRT có tham gia các sự kiện như vậy, nhưng không theo kế hoạch hay văn bản quy định, hướng dẫn nào.

2: CSIRT không có chính sách, quy định về việc kết nối mạng lưới chuyên gia bên ngoài. Các thành viên của CSIRT đã đưa ra đề xuất về việc này.

3: CSIRT có văn bản chính thức (chính sách, định hướng, quy định...) về việc kết nối mạng lưới chuyên gia.

4: CSIRT có văn bản chính thức về việc kết nối các chuyên gia, được lãnh đạo chấp thuận. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem CSIRT có tích cực theo đuổi mạng lưới chuyên gia này hay không và lợi ích là gì.

Điểm đánh giá:

0: CSIRT không có danh sách này và các thành viên của CSIRT hoàn toàn không có ý tưởng gì về danh sách này.

1: CSIRT không có danh sách này nhưng các thành viên hiểu rằng việc nắm danh sách các tài nguyên CNTT là rất quan trọng để triển khai hoạt động ứng cứu sự cố an toàn thông tin mạng.

2: CSIRT có danh sách tài nguyên CNTT tự xây dựng, nhưng danh sách chưa được lãnh đạo phê duyệt.

3: CSIRT có danh sách tài nguyên CNTT đã được phê duyệt.

4: CSIRT có danh sách tài nguyên CNTT đã được phê duyệt, được theo dõi và quản lý bằng công cụ. Trong quá trình đánh giá định kỳ, các thành viên của CSIRT sẽ kiểm tra xem danh sách này có hữu ích và đủ chính xác để hoàn thành các nhiệm vụ đề ra hay không.

Điểm đánh giá:

0: CSIRT không có danh sách nguồn thông tin. CSIRT nhận được thông tin sự cố thì xử lý và không kiểm tra nguồn.

1: CSIRT không có danh sách này, nhưng các thành viên của CSIRT hiểu tầm quan trọng của nguồn thông tin và có kiểm tra nguồn.

2: CSIRT có danh sách các nguồn thông tin tự xây dựng, nhưng chưa chính thức, do chưa được lãnh đạo phê duyệt.

3: CSIRT có một danh sách chính thức các nguồn thông tin đã được phê duyệt.

4: CSIRT có danh sách chính thức các nguồn thông tin. Trong quá trình đánh giá định ký, các thành viên của CSIRT sẽ kiểm tra xem danh sách này có hữu ích và đủ để hoàn thành nhiệm vụ, đạt được các mục tiêu không.

Điểm đánh giá:

0: Tổ chức chưa có kênh liên lạc dành riêng cho hoạt động đảm bảo an toàn thông tin mạng.

1: Tổ chức đã có kênh riêng dành cho các hoạt động đảm bảo an toàn thông tin mạng, tuy nhiên các kênh này hoạt động chưa ổn định và chưa có đa dạng hình thức liên lạc.

2: Tổ chức có đa dạng kênh liên lạc chuyên trách dành riêng cho CSIRT, tuy nhiên chưa có phương án dự phòng khi các kênh này gặp sự cố.

3: CSIRT có hệ thống các kênh liên lạc riêng, hoạt động ổn định và luôn có phương án dự phòng, tuy nhiên, chưa có văn bản nào thể hiện việc bố trí các kênh liên lạc cùng các phương án dự phòng này.

4: CSIRT có hệ thống các kênh liên lạc riêng, hoạt động ổn định và luôn có phương án dự phòng. Việc bố trí các kênh liên lạc cùng các phương án dự phòng đã được ban hành thành văn bản chính thức.

Điểm đánh giá:

0: CSIRT không có công cụ đăng ký, quản lý các sự cố.

1: CSIRT thực hiện đăng ký, theo dõi các sự cố, nhưng chưa ghi lại việc này.

2: CSIRT có hệ thống theo dõi sự cố, nhưng chưa được lãnh đạo phê duyệt.

3: CSIRT có một hệ thống theo dõi sự cố và đã được phê duyệt.

4: CSIRT có một hệ thống theo dõi sự cố đã được phê duyệt. Trong quá trình đánh giá định kỳ, hệ thống theo dõi này sẽ được kiểm tra xem có đáp ứng các yêu cầu của CSIRT hay không.

Điểm đánh giá:

0: CSIRT không có kết nối internet.

1: CSIRT có kết nối internet, nhưng đường truyền không ổn định.

2: Kết nối internet của CSIRT ổn định, có tài liệu hướng dẫn và quản lý kết nối nhưng chưa ban hành chính thức.

3: Kết nối internet của CSIRT ổn định và CSIRT có tài liệu được phê duyệt về việc này.

4: Đường truyền truy cập internet của CSIRT ổn định cho các hoạt động của CSIRT và CSIRT có tài liệu quy định việc này. Trong quá trình đánh giá định kỳ, tổ chức số kiểm tra xem khả năng truy cập internet như vậy có đủ hay không.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết và chưa thảo luận về bộ công cụ này.

1 : CSIRT có những công cụ như vậy, nhưng chưa liệt kê hoặc ghi lại chúng.

2: CSIRT có những công cụ như vậy, đã lập danh sách, nhưng chưa được lãnh đạo phê duyệt.

3: CSIRT có các công cụ như vậy, đã có danh sách được phê duyệt.

4: CSIRT có các công cụ như vậy, đã lập danh sách và đã được phê duyệt. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem những công cụ này có đủ đáp ứng các yêu cầu của CSIRT hay không.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết và chưa thảo luận về bộ công cụ này.

1: CSIRT có những công cụ như vậy, nhưng chưa liệt kê hoặc ghi lại chúng.

2: CSIRT có những công cụ như vậy, đã có danh sách nhưng chưa được lãnh đạo cấp trên phê duyệt.

3: CSIRT có các công cụ như vậy, đã lập danh sách và đi được phê duyệt.

4: CSIRT có các công cụ như vậy, đã lập danh sách, đã được phê duyệt. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem những công cụ này có đủ đáp ứng các yêu cầu của CSIRT hay không.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết và chưa thảo luận về công cụ này.

1: CSIRT có những công cụ như vậy, nhưng chưa liệt kê hoặc ghi lại chúng.

2: CSIRT có những công cụ như vậy, đã lập danh sách, nhưng chưa được lãnh đạo phê duyệt.

3: CSIRT có các công cụ như vậy, đã lập danh sách và đã được phê duyệt.

4: CSIRT có các công cụ như vậy, đã lập danh sách và đã được phê duyệt. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem những công cụ này có đủ đáp ứng các yêu cầu của CSIRT hay không.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết và chưa thảo luận về việc báo cáo này.

1: CSIRT có thực hiện báo cáo lên các cấp cao hơn, nhưng việc làm này chưa được lập thành văn bản.

2: CSIRT có quy trình báo cáo bằng văn bản tự xây dựng, nhưng chưa được lãnh đạo phê duyệt.

3: CSIRT có quy trình báo cáo chính thức bằng văn bản đã được phê duyệt.

4: CSIRT có quy trình báo cáo chính thức bằng văn bản đã được phê duyệt. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem quy trình này đã được sử dụng một cách thích hợp chưa và hoạt động như thế nào.

Điểm đánh giá:

0: CSIRT chưa bao giờ công khai thông tin hoạt động của mình trên báo chí hay internet.

1: CSIRT có thực hiện cung cấp thông tin cho báo chí và công khai trên internet, tuy nhiên chưa có văn bản nào hướng dẫn hay ghi lại cách làm.

2: CSIRT đã xây dựng văn bản liên quan (hướng dẫn, quy định) việc cung cấp thông tin cho báo chí, công khai trên internet nhưng chưa được phê duyệt.

3: CSIRT đã ban hành quy trình cung cấp thông tin cho báo chí, công khai trên internet.

4: CSIRT có một quy trình cung cấp thông tin cho báo chí, còng khai trên internet đã được phê duyệt. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem quy trình này đủ được sử dụng một cách thích hợp chưa và nó hoạt động như thế nào.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết và chưa thảo luận về điều này.

1: CSIRT có thực hiện cung cấp thông tin cho cơ quan pháp lý, tuy nhiên chưa có văn bản nào ghi lại điều này.

2: CSIRT có dự thảo văn bản về việc cung cấp thông tin cho cơ quan pháp lý, nhưng chưa được phê duyệt.

3: CSIRT có một quy trình cung cấp thông tin cho cơ quan pháp lý đã được lập thành văn bản và đã được phê duyệt.

4: CSIRT có quy trình cung cấp thông tin cho cơ quan pháp lý chính thức. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem quy trình này đã được sử dụng một cách thích hợp chưa và hoạt động như thế nào.

Điểm đánh giá:

0: Các thành viên CSIRT đã có hoạt động phòng ngừa, ngăn chặn sự cố nhưng bị động, chưa có ý thức về điều này.

1: Các thành viên của CSIRT biết cách triển khai, đã chủ động thực hiện hoạt động phòng ngừa, ngăn chặn sự cố, nhưng chưa xây dựng thành văn bản.

2: CSIRT đã dự thảo quy trình phòng ngừa sự cố nhưng chưa được lãnh đạo phê duyệt.

3: CSIRT đã có quy trình phòng ngừa sự cố chính thức.

4: CSIRT có quy trình phòng ngừa sự cố chính thức. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem quy trình này hoạt động như dự kiến không.

Điểm đánh giá:

0: Các thành viên của CSIRT biết cách thực hiện nhiệm vụ này, nhưng chưa ghi lại thành văn bản.

1: CSIRT không có quy trình chính thức, nhưng có tài liệu liên quan tự xây dựng, chưa được lãnh đạo phê duyệt.

2: CSIRT có một quy trình chính thức bằng văn bản đã được phê duyệt.

3: CSIRT có một quy trình chính thức bằng văn bản đã được phê duyệt. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem quy trình này có hoạt động như dự kiến hay không.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết và chưa thảo luận về điều này.

1: Các thành viên của CSIRT biết cách thực hiện việc này, nhưng chưa ghi lại thành văn bản.

2: CSIRT không có quy trình chính thức, nhưng có tài liệu liên quan tự xây dựng, chưa được lãnh đạo phê duyệt.

3: CSIRT có một quy trình chính thức bằng văn bản đã được phê duyệt.

4: CSIRT có quy trình chính thức băng văn bản. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem quy trình này có hoạt động như dự kiến không.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa có ý thức về điều này.

1: CSIRT đã có đánh giá tổng thể về chính đội ngũ của mình để điều chỉnh, nhưng chưa có văn bản nào thể hiện điều đó.

2: CSIRT đã dự thảo quy trình, nhưng chưa chính thức.

3: CSIRT đã ban hành chính thức quy trình đánh giá hoàn thiện tổ chức.

4: CSIRT có quy trình chính thức bằng văn bản được phê duyệt bởi cấp quản lý cao hơn.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa có ý tưởng gì về quy trình này.

1: Trong trường hợp khẩn cấp, các bên liên quan biết cách liên hệ với các thành viên của CSIRT, nhưng CSIRT chưa có văn bản nào đề cập vấn đề này.

2: CSIRT có dự thảo quy trình, nhưng chưa được lãnh đạo phê duyệt.

3: CSIRT có quy trình chính thức bằng văn bản đã gửi cho các bên liên quan.

4: CSIRT có quy trình chính thức bằng văn bản gửi cho các bên liên quan. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem quy trình này có hoạt động như dự kiến hay không.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết và chưa thảo luận về điều này.

1: Các thành viên của CSIRT biết cách bảo mật thông tin, nhưng chưa ghi lại thành văn bản.

2: CSIRT không có quy trình chính thức, nhưng có tài liệu liên quan tự xây dựng, chưa được lãnh đạo phê duyệt.

3: CSIRT có quy trình chính thức bằng văn bản đã được phê duyệt.

4: CSIRT có quy trình chính thức bằng văn bản đã được phê duyệt. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem quy trình này có hoạt động như dự kiến hay không.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết và chưa thảo luận về điều này.

1: Các thành viên của CSIRT biết cách làm điều này, nhưng không ghi lại thành văn bản.

2: CSIRT không có quy trình chính thức, nhưng có tài liệu liên quan tự xây dựng, chưa được lãnh đạo phê duyệt.

3: CSIRT có một quy trình chính thức bằng văn bản đã được phê duyệt.

4: CSIRT có một quy trình chính thức bằng văn bản đã được phê duyệt. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem quy trình này có hoạt động như dự kiến hay không.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết và chưa thảo luận về điều này.

1: Các thành viên CSIRT biết cách thực hiện nhưng chưa ghi thành văn bản.

2: CSIRT không có quy trình chính thức, nhưng có tài liệu liên quan tự xây dựng, chưa được lãnh đạo phê duyệt.

3: CSIRT có một quy trình chính thức bằng văn bản đủ được phê duyệt.

4: CSIRT có một quy trình chính thức bằng văn bản đã được phê duyệt. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem quy trình này có hoạt động như dự kiến hay không.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết và chưa thảo luận về điều này.

1: Các thành viên của CSIRT biết cách thực hiện công việc, nhưng chưa ghi lại thành văn bản.

2: CSIRT chưa có quy trình chính thức nên các thành viên CSIRT đã tự xây dựng tài liệu liên quan, chưa được lãnh đạo phê duyệt.

3: CSIRT có một quy trình chính thức bằng văn bản đã được phê duyệt.

4: CSIRT có một quy trình chính thức bằng văn bản đã được quản lý cấp trên phê duyệt. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem quy trình này có hoạt động như dự kiến hay không.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa thảo luận về việc cần có một quy trình thống kê sự cố.

1: Các thành viên của CSIRT có thực hiện thống kê và phân loại sự cố, nhưng việc này chưa được ghi lại thành văn bản.

2: CSIRT không có quy trình chính thức, nhưng có tài liệu liên quan tự xây dựng, chưa được lãnh đạo phê duyệt.

3: CSIRT có quy trình chính thức bằng văn bản đã được phê duyệt.

4: CSIRT có quy trình chính thức bằng văn bản đã được phê duyệt. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem quy trình này có hoạt động như dự kiến hay không.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết và chưa thảo luận về điều này.

1: Các thành viên của CSIRT gặp nhau thường xuyên, tổ chức họp thường xuyên, nhưng không có văn bản nào ghi lại điều này.

2: CSIRT không có quy trình chính thức, nhưng có tài liệu liên quan tự xây dựng, chưa được lãnh đạo phê duyệt.

3: CSIRT có một quy trình chính thức bằng văn bản đã được phê duyệt.

4: CSIRT có quy trình chính thức bằng văn bản đã được phê duyệt. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem quy trình này có hoạt động như dự kiến hay không.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết và chưa thảo luận về điều này.

1: Các thành viên của CSIRT biết cách thực hiện, nhưng chưa ghi lại thành văn bản về hoạt động này.

2: CSIRT không có quy trình chính thức, nhưng có tài liệu liên quan tự xây dựng, chưa được lãnh đạo phê duyệt.

3: CSIRT có một quy trình chính thức bằng văn bản đã được phê duyệt.

4: CSIRT có quy trình chính thức bằng văn bản. Trong quá trình đánh giá định kỳ, tổ chức sẽ kiểm tra xem quy trình này có hoạt động như dự kiến hay không.

Điểm đánh giá:

0: CSIRT chưa có kế hoạch hoạt động.

1: CSIRT đã xây dựng kế hoạch hoạt động nhưng chưa ban hành chính thức.

2: CSIRT đã có kế hoạch hoạt động chính thức và đã được triển khai.

3: CSIRT đã có kế hoạch hoạt động được ban hành chính thức, được cấp kinh phí triển khai theo kế hoạch và đã hoàn thành kế hoạch đề ra.

4: CSIRT đã có kế hoạch hoạt động được ban hành chính thức, được cấp kinh phí triển khai theo kế hoạch, và kế hoạch đã được hoàn thành để có các kế hoạch triển khai tiếp theo giúp mở rộng hoạt động và phát triển tổ chức.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết đến việc tham gia nền tảng này.

1: CSIRT đã tham gia, nhưng các thành viên trong đội không nắm được các hoạt động nghiệp vụ được thực hiện trên nền tảng.

2: Việc sử dụng Nền tảng để tiếp nhận cảnh báo, theo dõi, xử lý, gửi báo cáo sự cố được phổ biến đến tất cả các thành viên trong CSIRT.

3: CSIRT đã tham gia nền tảng, thực hiện tiếp nhận và phản hồi, xử lý kịp thời các cảnh báo, sự cố liên quan đến tổ chức mình từ cơ quan điều phối quốc gia.

4: CSIRT đã tham gia thường xuyên, tiếp nhận, phản hồi và xử lý kịp thời các cảnh báo, sự cố từ cơ quan điều phối quốc gia. CSIRT tích cực chia sẻ tri thức về ứng cứu sự cố cho các thành viên khác trong toàn mạng lưới, được VNCERT/CC đánh giá cao và đã tuyên truyền, phổ biến, hướng dẫn đến các đơn vị khác cùng tham gia.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa thực hiện rà quét lỗ hổng trên các hệ thống thông tin được giao trách nhiệm bảo vệ.

1: Các thành viên của CSIRT đã tìm cách rà quét lỗ hổng trên các hệ thống thông tin được giao trách nhiệm bảo vệ nhưng thiếu công cụ thực hiện.

2: CSIRT đã sử dụng công cụ để thực hiện rà quét lỗ hổng trên các hệ thống thông tin được giao trách nhiệm bảo vệ nhưng không thường xuyên.

3: CSIRT đã thường xuyên sử dụng công cụ để thực hiện rà quét lỗ hổng trên các hệ thống thông tin được giao trách nhiệm bảo vệ tối thiểu 01 lần, 06 tháng, nhưng không xử lý triệt để các lỗ hổng được phát hiện.

4: CSIRT đã thực hiện rà quét lỗ hổng trên các hệ thống thông tin được giao trách nhiệm bảo vệ tối thiểu 01 lần/06 tháng và đã phát hiện, xử lý kịp thời các lỗ hổng tồn tại trên hệ thống thông qua việc cấu hình lại máy chủ, thiết bị tường lửa và cập nhật mã nguồn.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa thực hiện săn lùng mối nguy trên các hệ thống thông tin được giao trách nhiệm bảo vệ.

1: Các thành viên của CSIRT đã tìm cách săn lùng mối nguy trên các hệ thống thông tin được giao trách nhiệm bảo vệ nhưng thiếu công cụ thực hiện.

2: CSIRT đã sử dụng công cụ để thực hiện săn lùng mối nguy trên các hệ thống thông tin được giao trách nhiệm bảo vệ nhưng không thường xuyên.

3: CSIRT đã thường xuyên săn lùng mối nguy tối thiểu 01 lần/ 06 tháng trên các hệ thống thông tin được giao trách nhiệm bảo vệ nhưng thiếu đội ngũ chuyên gia để phân tích chuyên sâu.

4: CSIRT đã thực hiện săn lùng mối nguy hại trên các hệ thống thông tin được giao trách nhiệm bảo vệ tối thiểu 01 lần/06 tháng và đã phát hiện, xử lý kịp thời các mối nguy cho hệ thống; đồng thời yêu cầu chuyên gia, các cơ quan chuyên môn hỗ trợ thực hiện phân tích chuyên sâu và cải thiện hệ thống phòng thủ để ngăn chặn các mối đe dọa tương tự trong tương lai.

Điểm đánh giá:

0: Các thành viên của CSIRT chưa biết và hiểu về diễn tập thực chiến.

1: Các thành viên của CSIRT đã hiểu biết về diễn tập thực chiến nhưng chưa tham gia.

2: CSIRT đã tham gia các hoạt động diễn tập thực chiến quy mô nhỏ.

3: CSIRT đã tự xây dựng kế hoạch tổ chức diễn tập thực chiến với sự tham gia của tất cả các thành viên CSIRT mà đơn vị quản lý.

4: CSIRT tham gia đầy đủ các hoạt động diễn tập thực chiến, được VNCERT/CC đánh giá cao về việc tổ chức và chất lượng hoạt động.

Điểm đánh giá:

0: CSIRT không chia sẻ thông tin về sự cố, không cập nhật thông tin liên quan sự cố với bất kỳ đơn vị nào.

1 : CSIRT tuân thủ việc báo cáo sự cố mà tổ chức mình gặp phải cho Trung tâm VNCERT/CC, nhưng không chia sẻ thông tin sự cố trong Mạng lưới.

2: CSIRT tuân thủ việc báo cáo sự cố mà tổ chức mình gặp phải cho Trung tâm VNCERT/CC; thực hiện chia sẻ thông tin liên quan đến sự cố tới toàn bộ thành viên Mạng lưới ở mức hạn chế, nhưng không theo cơ chế chia sẻ thông tin liên quan đến sự cố được báo cáo trên nền tảng IRLab.

3: CSIRT tuân thủ việc báo cáo sự cố mà tổ chức mình gặp phải cho Trung tâm VNCERT/CC; thực hiện chia sẻ thông tin liên quan đến sự cố thông qua nền tảng IRLab theo đúng cơ chế chia sẻ thông tin liên quan đến sự cố được báo cáo trên nền tảng IRLab.

4: CSIRT tuân thủ việc báo cáo sự cố mà tổ chức mình gặp phải cho Trung tâm VNCERT/CC; thực hiện chia sẻ thông tin liên quan đến sự cố thông qua nền tảng IRLab theo đúng cơ chế chia sẻ thông tin liên quan đến sự cố được báo cáo trên nền tảng IRLab; thường xuyên chia sẻ, cập nhật các thông tin, tri thức liên quan đến hoạt động tấn công mạng cho các thành viên trong Mạng lưới.