Tiêu chuẩn quốc gia TCVN 9801-2:2015 về Công nghệ thông tin – Các kỹ thuật an toàn – An toàn mạng – thiết kế và triển khai

Phụ lục A

(Tham khảo)

Tham chiếu giữa các biện pháp liên quan đến an toàn mạng trong TCVN ISO/IEC 27001:2009;

TCVN ISO/IEC 27002:2011 và ISO/IEC 27033-2:2012

TCVN ISO/IEC 27001:2009/ TCVN ISO/IEC 27002:2011		ISO/IEC 27033-2:2012
10.6.1 - Kiểm soát mạng	Mạng phải được quản lý và kiểm soát bằng cách thích hợp, để được bảo vệ khỏi mối đe dọa và duy trì an toàn cho hệ thống và ứng dụng đang sử dụng trong mạng, bao gồm cả thông tin chuyển tiếp.	Xem lại phần dưới đây TCVN ISO/IEC 27001/27002 xem 10.6.1 IG a) tới e)
10.6.1 IG a)	Trách nhiệm vận hành mạng cần phải tách riêng khỏi sự vận hành máy tính sao cho thích hợp.	8.4. Quản trị mạng
10.6.1 IG d)	Giám sát và tạo nhật ký phải được áp dụng một cách thích hợp cho phép ghi lại hành động an toàn có liên quan.	8.5. Giám sát và ghi nhật ký
10.6.1 IG e)	Hoạt động quản trị phải được phối hợp chặt chẽ để tối ưu hóa dịch vụ của tổ chức và đảm bảo rằng biện pháp kiểm soát được áp dụng thống nhất trên cơ sở hạ tầng xử lý thông tin	8.4. Quản trị mạng
10.6.2 - Tính an toàn của dịch vụ mạng	Tính năng an toàn, mức độ dịch vụ và yêu cầu quản lý của tất cả dịch vụ mạng phải được xác định trong bất kỳ thỏa thuận dịch vụ mạng nào, cho dù dịch vụ là tự cung cấp hay được thuê khoán bên ngoài.	6.3. Thu thập yêu cầu 6.4. Yêu cầu rà soát
10.8.1. Thủ tục và chính sách trao đổi thông tin	Sự thay đổi chính thức về chính sách, thủ tục và biện pháp kiểm soát phải bảo đảm rằng sự thay đổi của thông tin được bảo vệ thông qua việc sử dụng tất cả kiểu phương tiện truyền thông.	8.5. Lập tài liệu
11.4.1. Chính sách sử dụng dịch vụ mạng	Người dùng chỉ có quyền truy cập tới các dịch vụ mà họ đã được cấp quyền cụ thể để sử dụng.	8.4. Quản trị mạng
11.4.2. Xác thực người dùng cho kết nối bên ngoài	Phương thức xác thực thích hợp phải được sử dụng để kiểm soát truy cập từ những người dùng từ xa.	8.4. Quản trị mạng

 

Phụ lục B

(Tham khảo)

Ví dụ về các mẫu tài liệu

B.1. Ví dụ về mẫu tài liệu cấu trúc an toàn mạng

B.1.1. Giới thiệu

Bao gồm các phần như:

• mục đích/đối tượng/phạm vi;

• giả thuyết, cả kỹ thuật và phương diện khác;

• trạng thái tài liệu;

• cấu trúc tài liệu.

B.1.2. Yêu cầu liên quan đến nghiệp vụ

Bao gồm các phần như:

• giới thiệu;

• bối cảnh;

• mạng lưới và dịch vụ IT khác.

B.1.3. Cấu trúc kỹ thuật

Bao gồm các phần như:

• giới thiệu;

• tổng quan về kỹ thuật;

- khái quát;

- tên miền chính 1;

- tên miền chính 2;

- tên miền chính 3;

- v.v..

- máy chủ;

- máy trạm;

- bản ghi nhật ký;

- quản lý;

- kiểm soát xác thực và truy cập;

- phạm vi dịch vụ và tính phục hồi.

• vị trí hệ thống;

• thành phần hệ thống;

• kết nối;

• thành phần 1;

- tổng quan,

- cấu hình,

- bản ghi nhật ký,

- quản lý,

• thành phần 2;

- tổng quan;

- cấu hình;

- bản ghi nhật ký;

- quản lý.

• thành phần 3;

- tổng quan;

- cấu hình;

- bản ghi nhật ký;

- quản lý.

• thành phần ‘x’;

• quản lý máy chủ;

- giới thiệu;

- giám sát các dịch vụ;

- quản lý hệ thống mở rộng (XSA);

- quản lý an toàn doanh nghiệp (ESM);

- bất kỳ quản lý nào khác.

• tường lửa;

- giới thiệu;

- tổng quan;

- cấu hình tường lửa dự phòng;

- tiêu chí thiết kế và cấu hình;

- luật cơ bản.

• quản lý tường lửa;

- cấu hình;

- cảnh báo tường lửa;

- truy cập từ xa.

• bản ghi nhật ký;

• hệ thống dự phòng,

- giới thiệu;

- tường lửa;

- máy chủ;

- ứng dụng;

• truyền thông mạng;

- mạng nội bộ ví dụ VLAN, WLAN;

- bộ định tuyến;

- bộ chuyển mạch;

- dải IP.

• trách nhiệm quản trị;

- máy chủ;

- tường lửa;

- cơ sở hạ tầng;

- quản lý ứng dụng.

B.1.4. Dịch vụ mạng

Bao gồm các phần như:

• giới thiệu;

• dịch vụ ở vị trí x;

• dịch vụ ở vị trí y;

Phải đưa ra danh sách tất cả dịch vụ mạng theo vị trí, bao gồm:

• dịch vụ KiloStream;

• dịch vụ MegaStream;

• dịch vụ chuyển tiếp khung;

• Công nghệ chuyển mạch ATM

• IP clear/chuyển mạch nhãn đa giao thức (MPLS);

• dịch vụ băng thông rộng;

• wifi/wimax;

• dịch vụ kết nối LAN;

• Mạng thông tin di động toàn cầu (GSM);

• ISDN tốc độ cơ bản (lên đến 30/64 Kbps kênh phân phối trên 1 MegaStream);

• giao diện tốc độ cơ bản (BRI) mạng số tích hợp dịch vụ (ISDN), (các kênh 2 x 64 Kbps);

• đường trao đổi trực tiếp tín hiệu tương tự (DELs);

• dịch vụ mạng Intranet/Extranet;

• Nhà cung cấp dịch vụ mạng Internet (ISP).

với tất cả các đường truyền và dịch vụ được bao gồm.

Nếu danh sách được mở rộng thì danh sách này phải được mô tả trong phụ lục với tham chiếu từ phần chính của tài liệu.

B.1.5. Bố trí vật lý/phần cứng

Bao gồm các phần như:

• giới thiệu;

• vị trí.

Phải có danh sách tất cả các phần cứng, với kế hoạch mặt bằng và vị trí bố trí tủ, bao gồm cả phạm vi, ví dụ, các máy chủ, bộ định tuyến, bộ chuyển mạch, tường lửa và trang thiết bị truyền thông khác. Tất cả phần cứng phải được dán nhãn, phải lên kế hoạch dán nhãn hoặc ít nhất là có tham chiếu.

Bảng B.1 cho ví dụ bảng danh sách phần cứng. Mỗi kiểu phần cứng phải có 1 bảng - ví dụ bảng phạm vi các thành phần máy chủ.

Bảng B.1 - Ví dụ bảng danh sách phần cứng

Thành phần máy chủ	Phần cứng	Phần mềm	Nhận xét
Tên và nhà sản xuất máy chủ	Số ký hiệu	Phần mềm và phiên bản	Các nhận xét cụ thể như các yêu cầu, thu hẹp theo chiều dọc, hoặc phân nhóm.

B.1.6. Phần mềm

Bao gồm các phần như:

• giới thiệu;

• danh sách phần mềm;

- phần mềm ở vị trí x;

- phần mềm ở vị trí y;

- v.v..

Danh sách tất cả các phần mềm, bao gồm cả số phiên bản và:

• phần mềm windows;

• tường lửa;

• RAS/RADIUS;

• phần mềm định tuyến;

• phần mềm chuyển mạch;

• proxy;

• quản lý đánh giá;

• máy chủ thư điện tử;

• chuyển tiếp thư điện tử bằng giao thức truyền thư điện tử đơn giản (SMTP);

• quản lý nội dung;

• kiểm tra Java/ActiveX;

• máy chủ web;

• máy chủ FTP;

• kiểm soát tên miền;

• phần mềm dự phòng;

• phần mềm khác.

Danh sách phải được mô tả trong phụ lục và có tham chiếu từ phần chính của tài liệu.

B.1.7. Hiệu năng

Chi tiết hiệu năng mong đợi phải được mô tả, gồm cả ‘các hệ thống con’ như:

• máy tính bàn;

• các máy chủ;

• Mạng LAN;

• Mạng WAN;

• cổng kết nối,

• dịch vụ mở rộng.

B.1.8. Vấn đề đã biết

Chi tiết về vấn đề đã biết, bao gồm lĩnh vực liên quan đến vấn đề không tuân thủ, nên được mô tả dưới dạng tiêu đề như phần kỹ thuật:

• giới thiệu;

• vùng không phù hợp.

B.1.9. Tham khảo

Các tham chiếu phải được mô tả trong tất cả tài liệu liên quan, bao gồm:

• kết quả rà soát quản lý và đánh giá rủi ro an toàn;

• chính sách an toàn mạng;

• chính sách an toàn thông tin;

• chính sách an toàn khác có liên quan;

• tài liệu cấu trúc kỹ thuật;

• các tài liệu yêu cầu truy cập dịch vụ (an toàn) đối với mỗi hệ thống tường lửa (bao gồm các luật cơ bản của tường lửa);

• tài liệu yêu cầu phần mềm phân tích bản ghi nhật ký;

• báo cáo phân tích sản phẩm;

• kế hoạch và chiến lược kiểm thử tổng quát;

• chương trình quản lý sự cố an toàn thông tin;

• Thủ tục vận hành an toàn;

• điều kiện để kết nối an toàn cho bên thứ ba;

• hướng dẫn sử dụng cho người dùng bên thứ ba.

B.1.10. Bổ sung

Bao gồm các chi tiết như:

• cấu hình phần cứng;

• cấu hình máy chủ/giao diện điều khiển;

• cấu hình tường lửa;

• cấu hình bộ định tuyến;

• cấu hình phần mềm;

• cấu hình cơ sở dữ liệu;

• kế hoạch đánh địa chỉ IP;

• cấu hình SNMP;

• các bẫy hệ thống;

• các tiêu chuẩn.

B.1.11. Thuật ngữ

B.2. Ví dụ mẫu về tài liệu yêu cầu an toàn chức năng

CHÚ THÍCH: Tài liệu phải được tạo ra cho từng hệ thống tường lửa

B.2.1. Giới thiệu

Bao gồm các phần như sau:

• kiến thức cơ bản/phạm vi/đối tượng;

• tên hệ thống tường lửa;

• vị trí đặt tường lửa;

• vai trò tường lửa;

• tên cá nhân/nhóm chịu trách nhiệm vận hành tường lửa;

• bản ghi sửa đổi nội dung tài liệu;

• tài liệu tham chiếu.

B.2.2. Cấu hình tường lửa

Bao gồm các phần như sau

• giới thiệu;

• Nhận biết liên kết thông qua hệ thống tường lửa;

• tổng quan cấu trúc tường lửa;

• chi tiết hệ thống tường lửa

- phần cứng;

- phần mềm;

- cấu trúc tường lửa;

- dịch vụ tường lửa;

- quản trị tường lửa;

- định tuyến nội bộ;

- định tuyến bên ngoài;

- trung tâm vùng DMZ;

- Chống mã độc hại trên máy chủ

- thư điện tử SMTP;

- trang web;

- máy chủ thư điện tử SMTP;

- máy chủ bản ghi nhật ký;

- UPS;

- thành phần khác;

- kiểm soát khác được yêu cầu.

• miêu tả các liên kết đến và của, các hệ thống khác

• các kiểu thông tin có liên quan và sự nhạy cảm của chúng

• số lượng và các loại người sử dụng v.v..

B.2.3. Rủi ro an toàn

Bao gồm các phần như sau:

• giới thiệu;

• tác động nghiệp vụ tiêu cực tiềm ẩn (đôi khi được biết đến như giá trị tài sản);

• đánh giá mối đe dọa;

• đánh giá lỗ hổng;

• đánh giá rủi ro.

trong bối cảnh của việc sử dụng tường lửa

B.2.4. Quản lý an toàn

Bao gồm các phần trách nhiệm như sau:

• nhân viên/nhóm an toàn;

• nhân viên mạng;

• nhân viên hỗ trợ tường lửa;

• quản lý mạng;

• quản lý Công nghệ thông tin khác;

• người dùng.

B.2.5. Quản trị an toàn

Bao gồm các phần như sau:

• SecOP (thủ tục vận hành an toàn);

• Soát xét việc tuân thủ an toàn;

• tính sẵn sàng;

• duy trì;

• kiểm soát cấu hình;

• quản lý khả năng;

• quản lý vấn đề;

• quản lý mức dịch vụ;

• thời hạn của tài liệu.

B.2.6. Kiểm soát và xác thực truy cập

Bao gồm các phần như:

• giới thiệu;

• kiểm soát truy cập logic như quản trị tường lửa, người dùng nội bộ và người dùng từ xa;

• biện pháp kiểm soát truy cập bên ngoài như các luật cơ bản từ mạng tới tường lửa, nền tảng an toàn và máy chủ chủ proxy ứng dụng;

• bảo vệ mức mạng.

B.2.7. (Nhật ký) bản ghi

Bao gồm các phần như bản ghi:

• các thông tin được ghi lại;

• phân tích được thực hiện bằng những công cụ nào;

• an toàn.

B.2.8. Quản lý sự cố an toàn thông tin

Bao gồm các phần như hồ sơ có liên quan đến:

• giới thiệu;

• báo cáo sự cố;

• xử lý sự cố;

• v.v..

B.2.9. An toàn vật lý

Bao gồm phần trách nhiệm như kiểm soát truy cập:

• hệ thống tường lửa;

• dây cáp.

B.2.10. An toàn cá nhân

Bao gồm phần ứng dụng tường lửa liên quan đến cá nhân như:

• hệ thống tường lửa;

• dây cáp.

B.2.11. Bổ sung

Bao gồm dịch vụ và giao thức chi tiết như:

• truy cập ra bên ngoài và vào bên trong;

• quản lý từ xa;

• quản lý tường lửa;

• quản lý máy chủ DMZ;

• bất cứ dịch vụ khác có liên quan và các chi tiết giao thức.

B.2.12. Chú giải thuật ngữ

 

Phụ lục C

(Tham khảo)

ITU-T X.805 khung làm việc và TCVN ISO/IEC 27001:2009 mô hình kiểm soát

ITU-T X.805 có thể được sử dụng để tăng thêm tính kỹ thuật của kiểm soát trong tiêu chuẩn TCVN ISO/IEC 27001:2009. Trong trường hợp đặc biệt, được mô tả trong Hình C.1, ITU-T X.805 có thể tăng thêm 4 biện pháp kiểm soát trong TCVN ISO/IEC 27001:2009 chính sách an toàn, quản lý tài sản, kiểm soát truy cập và quản lý sự cố an toàn thông tin. Lớp ITU-T X.805 cụ thể, kế hoạch, khía cạnh ứng dụng được cho mỗi loại kiểm soát này được mô tả trong hình. Ví dụ, quản lý tài sản, cơ sở hạ tầng và lớp dịch vụ và kiểm soát và kế hoạch quản lý mang tính ứng dụng nhất, với sự kiểm soát truy cập và các khía cạnh sẵn có là những mối quan tâm nổi bật nhất.

Hình C.1 - ITU-T X.805 Sự mở rộng cho kiểm soát TCVN ISO/IEC 27001

Như trong ví dụ, sự mở rộng có thể được sử dụng cho việc đánh giá mang tính hệ thống và thiết kế an toàn trung tâm dữ liệu của doanh nghiệp là nơi lưu trữ thông tin nhân viên, thông tin cá nhân cụ thể phải hạn chế chỉ cho người dùng có thẩm quyền. Thông tin nhân viên được truy cập bởi một số nhân viên thuộc bộ phận hỗ trợ được tổ chức chỉ định ví dụ bộ phận hỗ trợ dịch vụ; ngoài ra trung tâm dữ liệu và hệ thống đó được duy trì bởi công nghệ thông tin của tổ chức. Như trong Hình C.2 bộ phận hỗ trợ dịch vụ truy cập thông tin nhân viên để xử lý khiếu nại, hỗ trợ đơn đặt hàng cho các dịch vụ công nghệ thông tin mới, giải quyết các vấn đề nhân viên gặp phải với các dịch vụ công nghệ thông tin (ví dụ: truy cập từ xa), v.v... Ngoài ra bộ phận công nghệ thông tin của tổ chức truy cập vào thông tin nhân viên cũng là một phần của sự duy trì các hoạt động nhằm duy trì hệ thống tệp tin, cập nhật hệ thống, quản lý bản vá lỗi v.v...

Hình C.2 - Kịch bản truy cập cho tài sản doanh nghiệp

ITU-T X.805 phân tích phát hiện mối đe dọa/điểm yếu mà thành viên bộ phận công nghệ thông tin của tổ chức có thể xem và chỉnh sửa thông tin nhân viên qua đó tạo ra các điểm yếu khiến lỗ hổng dễ bị lộ và sai lệch bên trong cơ sở hạ tầng (xem Hình C.3). Ngoài ra như là một phần của giải quyết vấn đề, thông tin nhân viên được truyền trong suốt giữa trung tâm dữ liệu và bộ phận hỗ trợ dịch vụ; do đó dễ bị lộ, sai lệch và gián đoạn trong lớp dịch vụ. Do đó, biện pháp kiểm soát phải được xác định và lựa chọn để bảo vệ thông tin nhân viên chống lại mối đe dọa và điểm yếu trong quản lý cơ sở hạ tầng và lớp các dịch vụ. Cần lưu ý rằng ITU-T X.805 phân tích theo từng bước và không được trình bày trong tiêu chuẩn này. Chỉ kết quả như là kết quả phân tích được giả định để ngắn gọn.

Hình C.3 - ITU-T X.805 Kết quả phân tích mối đe dọa và lỗ hổng cho tài sản doanh nghiệp

TCVN ISO/IEC 27001:2009, biện pháp kiểm soát A.10.9.2 được xác định và lựa chọn như được yêu cầu để bảo vệ sự quản lý thông tin nhân viên trong dịch vụ và lớp cơ sở hạ tầng do các điểm yếu và các mối đe dọa đã được xác định theo có trong phân tích của ITU-T X.805 (Hình C.4). TCVN ISO/IEC 27001, biện pháp kiểm soát A.10.9.2 cho biết thông tin liên quan đến việc giao dịch trực tuyến phải được bảo vệ để ngăn ngừa việc truyền tải không đầy đủ, lỗi định tuyến, thay đổi thông điệp trái phép, tiết lộ trái phép, sao chép hoặc gửi lại tin nhắn trái phép.

Hình C.4 - Kiểm soát TCVN ISO/IEC 27001

ITU-T X.805 cung cấp việc triển khai và chi tiết hóa sự vận hành cho kiểm soát A.10.9.2 trong dịch vụ và lớp cơ sở hạ tầng của tài sản thông tin cá nhân. Trong lớp các dịch vụ, khía cạnh An toàn Truyền thông quy định việc sử dụng mạng riêng ảo VPN để ngăn ngừa lỗi định tuyến. Khía cạnh an toàn dữ liệu quy định việc sử dụng IPSec AH để ngăn ngừa việc truyền tải không đầy đủ, thay đổi và nhân bản tin nhắn trái phép cũng như việc ngăn ngừa gửi lại thông điệp. Khía cạnh An toàn Dữ liệu quy định việc sử dụng IPSec ESP để ngăn ngừa tiết lộ trái phép. Trong lớp cơ sở hạ tầng, khía cạnh Toàn vẹn Dữ liệu quy định việc sử dụng file checksums để ngăn ngừa sự thay đổi trái phép, khía cạnh Bảo mật Dữ liệu quy định việc sử dụng các danh sách kiểm soát truy cập hệ thống file (ACLs) để ngăn ngừa nhân bản trái phép. Hình C.5 mô tả cách mà khía cạnh ITU-T X.805 quy định sự triển khai và sự vận hành của kiểm soát A.10.9.2 để bảo vệ tài sản thông tin nhân viên.

Hình C.5 - ITU-T X.805 cho triển khai TCVN ISO/IEC 27001:2009

 

THƯ MỤC TÀI LIỆU THAM KHẢO

[1] ITU-T X.805, Security architecture for systems providing end-to-end communication (Kiến trúc an toàn cho các hệ thống truyền thông đầu cuối)

[2] RFC 5246, The Transport Layer Security (TLS) Protocol Version 1.2, IETF, August 2008. (Giao thức An toàn tầng giao vận (TLS))

 

MỤC LỤC

Lời nói đầu

1. Phạm vi áp dụng

2. Tài liệu viện dẫn

3. Thuật ngữ và định nghĩa

4. Từ viết tắt

5. Cấu trúc tài liệu

6. Chuẩn bị thiết kế an toàn mạng

6.1. Giới thiệu

6.2. Xác định tài sản

6.3. Thu thập các yêu cầu

6.3.1. Yêu cầu về pháp lý và quy định

6.3.2. Yêu cầu nghiệp vụ

6.3.3. Yêu cầu hiệu năng 

6.4. Soát xét các yêu cầu

6.5. Soát xét những thiết kế và triển khai hiện tại

7. Thiết kế an toàn mạng

7.1. Giới thiệu

7.2. Nguyên tắc thiết kế

7.2.1. Giới thiệu

7.2.2. Bảo vệ theo chiều sâu

7.2.3. Vùng mạng

7.2.4. Thiết kế khả năng phục hồi

7.2.5. Kịch bản

7.2.6. Khung và mô hình

7.3. Ký thiết kế

8. Triển khai

8.1. Giới thiệu

8.2. Tiêu chí lựa chọn thành phần mạng

8.3. Tiêu chí lựa chọn sản phẩm hoặc nhà cung cấp

8.4. Quản lý mạng

8.5. Ghi nhật ký, giám sát và phản hồi sự cố

8.6. Lập tài liệu

8.7. Kế hoạch kiểm thử và tiến hành kiểm thử

8.8. Ký

Phụ Lục A (tham khảo) Tham chiếu giữa các biện pháp liên quan đến an toàn mạng trong TCVN ISO/IEC 27001:2009; TCVN ISO/IEC 27002:2011 và ISO/IEC 27033-2:2012

Phụ Lục B (tham khảo) Ví dụ về các mẫu tài liệu

B.1. Ví dụ về mẫu tài liệu cấu trúc an toàn mạng

B.1.1. Giới thiệu

B.1.2. Yêu cầu liên quan đến nghiệp vụ

B.1.3. Cấu trúc kỹ thuật

B.1.4. Dịch vụ mạng

B.1.5. Bố trí vật lý/phần cứng

B.1.6. Phần mềm

B.1.7. Hiệu năng

B.1.8. Vấn đề đã biết 

B.1.9. Tham khảo

B.1.10. Bổ sung

B.1.11. Thuật ngữ

B.2. Ví dụ mẫu về tài liệu yêu cầu an toàn chức năng

B.2.1. Giới thiệu

B.2.2. Cấu hình tường lửa

B.2.3. Rủi ro an toàn

B.2.4. Quản lý an toàn

B.2.5. Quản trị an toàn

B.2.6. Kiểm soát và xác thực truy cập

B.2.7. (Nhật ký) bản ghi

B.2.8. Quản lý sự cố an toàn thông tin

B.2.9. An toàn vật lý

B.2.10. An toàn cá nhân

B.2.11. Bổ sung

Phụ Lục C (tham khảo) ITU-T X.805 khung làm việc và TCVN ISO/IEC 27001:2009 mô hình kiểm soát

Thư mục tài liệu tham khảo