TIÊU CHUẨN QUỐC GIA TCVN 11779:2017 (ISO/IEC 27007:2011) VỀ CÔNG NGHỆ THÔNG TIN – CÁC KỸ THUẬT AN TOÀN – HƯỚNG DẪN ĐÁNH GIÁ HỆ THỐNG QUẢN LÝ AN TOÀN THÔNG TIN

TCVN 10295:2014 từ 3.1 tới 3.9 (TCVN 9788:2013)

TCVN 10295:2014 7.1,7.2, 7.3 và 7.4

ISO/IEC 27006 3.1, 3.5, 9.1.2 và 9.1.4.2 b) tới d)

• Phạm vi của ISMS (4.3.1 b));

• Biểu đồ của tổ chức;

• Chiến lược của tổ chức;

• Bản tuyên bố chính sách nghiệp vụ, quy trình và các hoạt động nghiệp vụ.

• Tài liệu quy định các vai trò và trách nhiệm;

• Cấu hình mạng;

• Thông tin về địa điểm, bao gồm cả danh sách các chi nhánh, nghiệp vụ, văn phòng và các cơ sở vật chất và sơ đồ các tầng của các vị trí.

• Giao diện và sự phụ thuộc của các hoạt động nghiệp vụ được thực hiện bên trong phạm vi của ISMS với bên ngoài phạm vi

• Các điều luật, quy định và hợp đồng liên quan.

• Thông tin chính về các tài sản

• Tài liệu về chính sách ISMS

• Được tổ chức và thực hiện trong bối cảnh các hoạt động nghiệp vụ tổng thể của tổ chức và những rủi ro phải đối mặt;

• Được lập tài liệu để đáp ứng các yêu cầu về hệ thống tài liệu (nêu tại 4.3)

Ngoài ra, cần phải chứng minh ISMS đã được thiết lập, triển khai, vận hành, giám sát, soát xét, duy trì và phát triển, ví dụ: một tổ chức chứng minh rằng họ có đủ năng lực thực hiện các quá trình này.

Phạm vi của ISMS cần được nhận biết để đảm bảo rằng tất cả các tài sản có liên quan đều được xem xét trong quản lý ISMS và quản lý rủi ro ISMS. Thêm vào đó ranh giới, giao diện và các phụ thuộc cần được nhận biết để giải quyết những rủi ro có thể phát sinh giữa chúng.

Cần thiết phải xác nhận rằng thông tin về tổ chức đã được thu thập để xác định bối cảnh vận hành của tổ chức, mối tương quan của tổ chức với ISMS và các quy trình quản lý rủi ro an toàn thông tin của mình, để xác định phạm vi và giới hạn.

Chuyên gia đánh giá phải xác nhận rằng tổ chức đã xem xét các thông tin sau đây để định rõ phạm vi và giới hạn:

• chiến lược mục tiêu và các chính sách nghiệp vụ của tổ chức;

• quy trình nghiệp vụ;

• chức năng và cơ cấu của tổ chức;

• yêu cầu của luật pháp, hợp đồng và các yêu cầu khác liên quan đến tổ chức;

• các tài sản thông tin chính

• vị trí của tổ chức và đặc điểm địa lý của nó;

• các hạn chế ảnh hưởng đến tổ chức;

• kỳ vọng của các bên liên quan;

• môi trường văn hóa-xã hội;

• các giao diện (ví dụ: trao đổi thông tin với môi trường).

Cần soát xét và xác minh rằng tổ chức cung cấp các lý do cho bất kỳ loại trừ nào ra ngoài phạm vi ISMS. Cũng cần xác nhận rằng tổ chức đang sở hữu có chức năng và quyền quản trị và có thể đảm bảo rằng ISMS được thực hiện liên tục trong suốt vòng đời của nó (TCVN ISO/IEC 27001:2009 tại 4.1 và ISO/IEC 27006 tại 3.5).

Hướng dẫn khác về cách đánh giá phạm vi của ISMS được đưa ra trong 6.2.3.

• Một khuôn khổ cho việc thiết lập các mục tiêu ISMS (các cơ sở và sự phù hợp cho việc thiết lập các mục tiêu nếu chính sách ISMS và các chính sách an toàn thông tin được mô tả trong một tài liệu), cũng như phương hướng và nguyên tắc hành động xét từ quan điểm quản lý;

• các yêu cầu nghiệp vụ cần thiết, các yêu cầu về pháp lý, yêu cầu về hợp đồng và các yêu cầu khác liên quan đến tổ chức được đánh giá.

• vị trí và giao diện như thế nào mà quản lý rủi ro an toàn thông tin liên kết với quản lý rủi ro tổng thể của tổ chức bao gồm cả trách nhiệm xã hội, quản lý nội bộ, kiểm soát tài chính và an toàn.v.v..

• lý do để quản lý rủi ro, chẳng hạn như những tài sản chính cần được quan tâm để bảo vệ và các khía cạnh của an toàn thông tin, ví dụ: tính bí mật, tính toàn vẹn hoặc tính sẵn sàng cần được đánh giá một cách nghiêm túc nhất khi đánh giá rủi ro ISMS được thực hiện.

• Phê duyệt và cam kết của lãnh đạo cấp cao.

Việc đánh giá chính sách ISMS có thể được thực hiện bằng cách:

• xác nhận rằng chính sách ISMS được đề ra là một tài liệu có chữ ký hoặc con dấu cho thấy rằng lãnh đạo cấp cao đã thiết lập chính sách;

• xác nhận thông qua các tài liệu liên quan rằng các thủ tục về việc thành lập chính sách (ví dụ như cách thức để chính sách được phê chuẩn hay được xem xét trong tổ chức) quy tắc cho các thủ tục được xác định, các quy tắc được lập tài liệu và các phương pháp kiểm soát các tài liệu được quy định;

• phỏng vấn ban quản lý để hiểu cách tiếp cận và cam kết của họ đối với ISMS của tổ chức.

• đánh giá thông qua biên bản và hồ sơ soát xét của ban quản lý, cam kết và sự tham gia của ban quản lý trong việc triển khai, duy trì và cải tiến chính sách ISMS;

• đánh giá liệu ban quản lý có truyền đạt hiệu quả chính sách ISMS, ví dụ bằng cách tập trung trên đối tượng tiếp thu cụ thể tại tất cả các cấp của tổ chức;

• tiến hành các cuộc phỏng vấn với các cá nhân trong phạm vi ISMS để xác minh họ nhận có nhận thức được tầm quan trọng của các mục tiêu an toàn thông tin, phù hợp với chính sách an toàn thông tin và trách nhiệm của mình với an toàn thông tin;

• xem xét các chính sách an toàn thông tin (nếu có) và mối quan hệ của nó với chính sách ISMS;

Việc đánh giá các mục tiêu ISMS có thể được thực hiện bằng cách xác nhận rằng:

• mục tiêu ISMS của tổ chức đã được xác định, được phản ánh trong chính sách ISMS và phù hợp với các mục tiêu nghiệp vụ tổng thể;

• biện pháp kiểm soát ISMS và các quy trình được xác định và được lập tài liệu để đáp ứng các mục tiêu của ISMS;

• các mục tiêu được lập tài liệu một cách thích hợp;

• các mục tiêu ISMS đều được truyền thông một cách thích hợp đến tất cả các cấp của tổ chức;

• tổ chức đã giao cho các cá nhân chịu trách nhiệm những người này là nguồn lực cần thiết để đạt được các mục tiêu.

Khuyến nghị trong các giai đoạn đánh giá soát xét tài liệu thì các chuyên gia đánh giá cần kiểm tra chính sách và mục tiêu ISMS đã được lập;

Chính sách và mục tiêu ISMS yêu cầu phải được soát xét và cập nhật để đáp ứng với bối cảnh thay đổi của quản lý rủi ro. Các chuyên gia đánh giá phải xác nhận rằng việc cải tiến liên tục đã được thực hiện theo bối cảnh môi trường nghiệp vụ.

Các chuyên gia đánh giá phải ghi nhớ rằng sự phù hợp với chính sách ISMS và sự hoàn thành mục tiêu có thể được đo một cách định lượng hay định tính.

Chuyên gia đánh giá cần phải xác minh rằng các phương pháp đánh giá rủi ro phù hợp với các yêu cầu về đánh giá rủi ro trong tiêu chuẩn TCVN ISO/IEC 27001:2009, phù hợp với tổ chức và quản lý rủi ro tổng thể.

Cần xác nhận rằng phương pháp đánh giá rủi ro được triển khai để xác định rủi ro trong các quy trình nghiệp vụ, hoạt động và đưa ra hành động thích hợp để đối phó với những rủi ro.

TCVN 10295:2014 cung cấp hướng dẫn về đánh giá rủi ro và quản lý rủi ro. Chuyên gia đánh giá cần phải nhận thức được rằng có nhiều phương pháp định lượng và định tính hoặc sự kết hợp bất kỳ của phương pháp định tính và định lượng để đánh giá rủi ro, tùy thuộc vào phương pháp được tổ chức quyết định sử dụng.

Các quy trình và thủ tục theo TCVN ISO/IEC 27001:2009 từ 4.2.1 c) tới 4.2.1 j) được yêu cầu để xác định, triển khai và lập tài liệu như là một phương pháp tiếp cận đánh giá rủi ro theo thông báo của ban quản lý như đã được mô tả trong chính sách ISMS của tổ chức (như 4.2.1 b) 4) tiêu chí đối phó với rủi ro sẽ được đánh giá). Phương pháp tiếp cận được xác định bao gồm cách thức để giải quyết việc tuân thủ theo pháp lý, các yêu cầu của hợp đồng và các yêu cầu khác liên quan đến rủi ro và rủi ro mà tổ chức cần xử lý theo chiến lược, theo bối cảnh của nghiệp vụ và đánh giá rủi ro. Trong cuộc đánh giá giá, chuyên gia đánh giá cần phải xác nhận rằng phương pháp tiếp cận này được triển khai và thực hiện theo yêu cầu của tiêu chuẩn TCVN ISO/IEC 27001:2009 4.2.1 b) tới 4.2.1 j).

Chuyên gia đánh giá phải xác nhận rằng các kết quả của đánh giá rủi ro theo phương pháp tiếp cận đánh giá rủi ro trên có thể được so sánh và tái lập.

Nói cách khác, chuyên gia đánh giá phải xác nhận rằng phương pháp tiếp cận cho phép những người chịu trách nhiệm khác nhau về đánh giá rủi ro đạt được kết quả như nhau bất kể là ai và khi nào tiến hành đánh giá rủi ro, cho thấy rằng họ có mức nhất định về năng lực đánh giá rủi ro và đã tiến hành đánh giá trên các tài sản giống nhau theo đúng các quy trình và thủ tục được xác trong phương pháp tiếp cận. Nếu kết quả mang lại là khác nhau, cần cho phép họ xác định xem sự khác nhau là ở đâu và vì sao. Tổ chức cũng cần có phương pháp tiếp cận để có thể có được sự lựa chọn như nhau cho các biện pháp xử lý rủi ro nếu các rủi ro được ước lượng là như nhau, tức là với cùng mức và đặc điểm rủi ro (các tài sản và yêu cầu an toàn).

Các xác nhận này phải được thực hiện bằng cách lấy mẫu dựa trên các hồ sơ báo cáo đánh giá rủi ro để truy vết từ đầu đến cuối theo tuần tự quy trình đánh giá rủi ro với đánh giá tại chỗ về tài sản trong cơ sở vật chất.

Tiêu chí cho việc chấp nhận rủi ro thường chịu ảnh hưởng bởi các chính sách quản lý, mục tiêu, công nghệ, vốn, pháp luật và các quy định liên quan của tổ chức và các bên quan tâm đã được xác định bởi tổ chức. Do đó chuyên gia đánh giá cần soát xét với sự quan tâm đúng mức, hiệu lực của tiêu chí trong điều khoản bởi các thực thể bên trên, cũng như xác nhận rằng chúng đã được tồn tại và định rõ. Chuyên gia đánh giá có thể tham khảo theo 7.3 của tiêu chuẩn TCVN 10295:2014 để biết chi tiết các tiêu chí chấp nhận rủi ro.

• Bản kiểm kê tài sản;

• Các tài liệu về phương pháp luận đánh giá rủi ro;

• Các báo cáo đánh giá rủi ro.

Chuyên gia đánh giá phải xác nhận bằng việc lấy mẫu rằng tất cả các tài sản quan trọng được liệt kê trong kiểm kê tài sản có được đánh giá rủi ro và xem xét các mẫu về các kịch bản sự cố được đánh giá rủi ro để đánh giá xem chúng có phản ánh các nhu cầu nghiệp vụ và các tác động thích hợp hay không.

Sự sẵn sàng của nhân viên có năng lực là rất quan trọng để ISMS hoạt động hiệu quả. Chuyên gia đánh giá cần đánh giá các bằng chứng cho thấy những rủi ro tầm trung và dài hạn liên quan đến việc mất tính sẵn sàng của nhân viên đã được tổ chức đánh giá đầy đủ và soát xét theo các cập nhật mới nhất và các biện pháp kiểm soát an toàn thông tin thích hợp được triển khai để làm tăng khả năng chịu đựng của tổ chức trước các thiệt hại.

ISO/IEC 27006 9.1.2

• Các tài liệu về phương pháp luận đánh giá rủi ro;

• Báo cáo đánh giá rủi ro;

• Tài liệu mô tả mức độ giảm thiểu rủi ro qua các biện pháp kiểm soát được chấp nhận (kết quả của việc đánh giá rủi ro);

• Hồ sơ cho thấy sự phê chuẩn các rủi ro tồn đọng của ban quản lý. (đặc biệt là khi rủi ro tồn đọng là cao hơn mức được xác định trong tiêu chí chấp nhận rủi ro, có thể bao gồm cả các điều chỉnh của họ);

• Hồ sơ thể hiện sự cho phép của ban quản lý khi triển khai và vận hành ISMS;

• Bản tuyên bố về khả năng áp dụng.

Cần kiểm tra xem mọi yêu cầu an toàn thông tin được chỉ thị rõ ràng bởi chính sách của tổ chức, quy định của ngành, pháp luật, hợp đồng v.v.. có được phản ánh phù hợp trong các tài liệu về biện pháp kiểm soát, mục tiêu kiểm soát và những rủi ro có được giảm thiểu rõ ràng các để đạt các tiêu chí chấp nhận rủi ro. Cần xác minh rằng việc xử lý rủi ro được áp dụng nhiều lần nếu những rủi ro tồn đọng không đạt được yêu cầu theo tiêu chí rủi ro cho phép sau khi đã thực hiện các biện pháp.

Cho phép triển khai và vận hành hệ thống ISMS của ban quản lý (4.2.1 i))

Ngoài ra chuyên gia đánh giá phải xác nhận việc ban quản lý đã cho phép việc thực thi và điều hành của ISMS, ví dụ thông qua một biên bản ghi nhớ chính thức, phê duyệt dự án, thư hỗ trợ của Giám đốc điều hành v.v.. nó cần được kiểm tra rằng đây không phải chỉ là hình thức và có bằng chứng rằng ban quản lý thực sự hiểu rõ và hỗ trợ ISMS.

TCVN ISO/IEC 27002:2011

TCVN 10295:2014 8.2.1.4, 9.1

• Kế hoạch xử lý rủi ro và các hồ sơ quá trình trong kế hoạch các dự án.

• Các thủ tục và các hồ sơ đã được lập tài liệu về đo lường hiệu lực biện pháp kiểm soát.

• Kế hoạch xử lý rủi ro đã được triển khai trong đó có xem xét các mức ưu tiên và trách nhiệm như đã được xác định;

• Các tài nguyên phù hợp được cấp phát để hỗ trợ vận hành ISMS (xem tại C.9 bên dưới);

• Mức độ ưu tiên và thời gian cho triển khai xử lý rủi ro tương ứng được xác định rõ ràng;

• Nguồn vốn, vai trò và trách nhiệm cho xử lý rủi ro được xác định;

• Kế hoạch xử lý rủi ro được sử dụng và chủ động cập nhật như là một công cụ quản lý an toàn thông tin.

Chuyên gia đánh giá phải soát xét xem ISMS có được triển khai và vận hành theo các yêu cầu ISMS đã được lập tài liệu không bằng cách lấy mẫu biện pháp kiểm soát (xem 4.2.1 g) và Phụ lục A của TCVN ISO/IEC 27001:2009 về triển khai và thực hiện. Điều này rất cần thiết để tìm kiếm bằng chứng hỗ trợ hoặc bác bỏ mối tương quan giữa các rủi ro được lập tài liệu với các biện pháp đã được lập kế hoạch và triển khai.

Chuyên gia đánh giá phải xác nhận rằng mục đích và cách để đo lường hiệu quả các biện pháp kiểm soát được lựa chọn phải được định nghĩa rõ ràng.

Điều quan trọng là có thể kiểm tra biện pháp kiểm soát nào thực sự giảm thiểu rủi ro hoặc các tác động của sự cố trong phương pháp đo lường hiệu quả của các biện pháp kiểm soát (TCVN 10295:2014 8.2.1.4).

Khi đánh giá việc đo lường ISMS, lưu ý rằng các bài đo có thể đạt được bằng một số cách, trong đó có một số cách phức tạp hơn các cách còn lại. Chuyên gia đánh giá cần phải nhận biết được rằng mặc dù có hướng dẫn về các bài đo ISMS sẵn có, nhưng các yêu cầu của TCVN ISO/IEC 27001:2009 sẽ vẫn được đáp ứng miễn là các tiêu chí để đưa ra kết quả có thể so sánh và tái hiện của việc đánh giá hiệu quả biện pháp kiểm soát phải được xác định và chấp thuận bởi ban quản lý. Điều này quan trọng để đảm bảo các đo lường ISMS đáp ứng các yêu cầu nghiệp vụ của tổ chức, lưu ý các kết quả của quy trình đánh giá và xử lý rủi ro. Các bài đo hiệu lực đảm bảo rằng biện pháp kiểm soát đó giảm thiểu hiệu quả các rủi ro liên quan một cách đáng kể.

Khi đánh giá việc vận hành ISMS, chuyên gia đánh giá phải đánh giá bằng cách nào tổ chức đảm bảo hiệu quả của các biện pháp kiểm soát. Cuối phần này chuyên gia đánh giá phải đánh giá sự mở rộng và đầy đủ của các phép đo ISMS.

• Báo cáo sự kiện/sự cố an toàn thông tin;

• Tài liệu cho soát xét của ban quản lý (đầu vào và đầu ra);

• Định nghĩa (thủ tục) đo lường hiệu quả các biện pháp kiểm soát và hồ sơ đo lường, đánh giá các biện pháp kiểm soát;

• Hồ sơ sử dụng các phép đo (bao gồm biện pháp tăng cường các biện pháp kiểm soát, hồ sơ về các hành động khắc phục hoặc phòng ngừa và kế hoạch xử lý rủi ro );

• Tài liệu chứa thông tin về các tài sản thông tin, đánh giá và phân tích rủi ro, kế hoạch xử lý rủi ro, Thông báo áp dụng;

• Kế hoạch hàng năm về an toàn thông tin.

Cần phải xác nhận rằng những thay đổi được xem xét tại 4.2.3 d) 1) tới 4.2.3 d) 6) trong TCVN ISO/IEC 27001:2009 đã được phản ánh trong các quy trình để xác định, phân tích, đánh giá và xử lý rủi ro. Ngoài ra cần phải xác nhận rằng các tài liệu và bản ghi ISMS liên quan tới đánh giá rủi ro đã được cập nhật.

Chuyên gia đánh giá phải đặc biệt chú ý tới đánh giá quy trình giám sát và soát xét ISMS. Quy trình này khá khác nhau phụ thuộc vào loại hình và quy mô của tổ chức nhưng các hoạt động này cần phải được chứng minh bởi tổ chức, được trình bày rõ ràng trong TCVN ISO/IEC 27001:2009.

Chuyên gia đánh giá cần đặc biệt quan tâm đến sự thay đổi và liệu tổ chức có xem xét sự thay đổi nội bộ và/hoặc bên ngoài để vận hành chúng và liệu những thay đổi này có ảnh hưởng đến các quy trình ISMS không.

• Báo cáo các cải tiến được xác định từ các hành động được định nghĩa trong TCVN ISO/IEC 27001:2009 4.2.3;

• Báo cáo không phù hợp;

• Báo cáo hành động khắc phục/phòng ngừa;

• Báo cáo sự kiện và báo cáo sự cố an toàn.

• Các biện pháp và các thủ tục đã được lập tài liệu để hỗ trợ ISMS;

• Hồ sơ vận hành ISMS;

• Báo cáo đánh giá rủi ro;

• Thủ tục cho hành động khắc phục và phòng ngừa

• Thông báo áp dụng.

Chuyên gia đánh giá ISMS phải tìm kiếm bằng chứng hữu hình về việc cải tiến chính sách, thủ tục, phương pháp và biện pháp kiểm soát, đánh giá rủi ro mới, soát xét và thay đổi chính sách an toàn thông tin, các hoạt động nghiệp vụ mới gồm các thành phần quan tâm mới, duy trì (không chỉ trong công nghệ thông tin mà cả ước lượng khoảng thời gian cho các cài đặt), năng lực và các hoạt động quản lý sự cố, các thay đổi để thủ tục truyền tải và xử lý thông tin tốt như các thay đổi về luật pháp, công nghệ và tuân thủ an toàn cho các thành phần bên ngoài.

Do đó, khi đánh giá cũng cần phải xác nhận rằng các thủ tục và quy trình triển khai các cải tiến phù hợp với các yêu cầu được quy định trong 4.2.4 b) tới 4.2.4 d) của TCVN ISO/IEC 27001:2009.

Chuyên gia đánh giá xác minh bằng cách nào các mục tiêu tổng thể của tổ chức được chuyển dịch thành các yêu cầu an toàn thông tin nội bộ thông qua các quy trình thích hợp và các yêu cầu này được truyền thông và giám sát như thế nào. Bởi vậy, chuyên gia đánh giá phải tìm kiếm bằng chứng chứng minh rằng tổ chức phân tích dữ liệu từ việc giám sát ISMS và sau đó lấy kết quả trước đó để đánh giá hiệu quả ISMS và cải tiến ISMS nếu thấy cần thiết.

Chuyên gia đánh giá phải xác nhận rằng các mục tiêu cải tiến và các ưu tiên phù hợp với mục tiêu ISMS. Tuy nhiên, phải kết luận được rằng không có chính sách và mục tiêu nào liên quan đến cải tiến liên tục mà rõ ràng không tuân thủ tiêu chuẩn.

Nếu ban quản lý có bộ mục tiêu cải tiến và thực tế không có bằng chứng về sự cải tiến, thông tin này phải được phản hồi cho ban quản lý xem xét để ban quản lý có thể quyết định kiểu hành động thích hợp, ví dụ điều chỉnh lại mục tiêu và cung cấp biện pháp khác để tác động đến quy trình.

Nếu tổ chức sử dụng thống kê hiệu năng (ví dụ giảm bớt số sự cố an toàn thông tin) để đo các cải tiến, chuyên gia đánh giá phải đánh giá cẩn thận nếu thực tế các thống kê liên quan tới các rủi ro được xác định hoặc nếu lựa chọn dễ dàng dựa trên tính toán.

Thường có những trường hợp mà phương pháp đưa ra dẫn tới sự không phù hợp nhưng hành động để ngăn chặn việc tái diễn này chưa được đưa ra bởi vì việc phân tích nguyên nhân gốc rễ đã bị thất bại. Báo cáo hành động khắc phục và xác nhận rằng các hành động được ghi lại có hiệu quả có thể được áp dụng thông qua tiến hành quan sát tại chỗ.

Trong các điều khoản quản lý rủi ro ISMS, phân tích nguyên nhân gốc rễ cần phải thực hiện:

• Xác định xem có phải chính do thực tế mà các rủi ro này đã không được xác định;

• Nếu rủi ro đã được xác định, kiểm tra xem các biện pháp kiểm soát (biện pháp) cho các rủi ro có được áp dụng không;

• Nếu các rủi ro được xác định và biện pháp kiểm soát được áp dụng cho rủi ro, kiểm tra xem các biện pháp kiểm soát được áp dụng có phù hợp với rủi ro không;

• Nếu các rủi ro được xác định và các biện pháp kiểm soát phù hợp được áp dụng cho rủi ro, xác minh rằng các biện pháp kiểm soát được triển khai có hiệu quả hoặc thực hiện như mong đợi không.

Một trong các nguyên nhân trên hoặc sự kết hợp các nguyên nhân trên có thể dẫn đến sự không phù hợp. Trong bối cảnh quản lý rủi ro, xảy ra sự không phù hợp có thể được xem xét như là các rủi ro được phơi bày, sự không phù hợp tiềm ẩn có thể được xem xét như là các rủi ro được ước đoán. Chuyên gia đánh giá phải xác minh và xác nhận rằng nguyên nhân gốc rễ về sự không phù hợp đã được xác định với phân tích chi tiết được mô tả như ở bên trên, các hành động dẫn tới sự không phù hợp là thích hợp với hồ sơ và thực tế quan sát tại chỗ.

Các điều khoản dưới đây có thể được xem xét khi đánh giá các hành động phòng ngừa:

1) Làm cách nào tổ chức phát hiện ra các sự không phù hợp tiềm ẩn và nguyên nhân gây ra. Ví dụ điển hình gồm:

• Nhận biết các rủi ro mới hoặc bị thay đổi thông qua cập nhật đánh giá rủi ro (TCVN ISO/IEC 27001:2009 4.2.3 d) và 8.3);

• Phân tích xu hướng các đặc điểm ISMS. Một xu hướng xấu đi có thể chỉ báo rằng nếu không đưa ra hành động thích hợp thì sự không phù hợp có thể xảy ra;

• Báo động nhằm cung cấp cảnh báo sớm để tiếp cận các điều kiện vận hành ngoài tầm kiểm soát;

• Giám sát sự cố và phân tích xu hướng của các sự cố;

• Đánh giá sự không phù hợp đã xảy ra trong các hoàn cảnh tương tự nhưng đối với các thành phần khác của ISMS, các bộ phận khác của tổ chức hoặc thậm chí đối với tổ chức khác.

• Quá trình lập kế hoạch cho cả tình huống có thể dự đoán trước (ví dụ do sự mở rộng, bảo trì hoặc do thay đổi nhân sự) và cả những tình huống không thể dự đoán trước (như các thay đổi về pháp lý, xảy ra các vấn đề tự nhiên như: bão, động đất, lũ lụt…).

2) Làm cách nào tổ chức xác định hành động được yêu cầu và làm cách nào để triển khai chúng. Chuyên gia đánh giá phải tìm kiếm bằng chứng chứng minh rằng:

• Tổ chức đã phân tích những nguyên nhân không phù hợp tiềm ẩn (sử dụng biểu đồ phân tích kết quả và các công cụ an toàn thông tin khác có thể thích hợp cho việc này);

• Các hành động được yêu cầu đã được triển khai một cách kịp thời bên trong tất cả các bộ phận liên quan của tổ chức;

• Đã có các xác định rõ ràng về trách nhiệm trong việc nhận biết, đánh giá, triển khai và soát xét các hành động phòng ngừa;

• Đã có sự đào tạo đầy đủ về các biện pháp kiểm soát mới hoặc thay đổi.

3) Chuyên gia đánh giá phải xác nhận rằng:

• Các hồ sơ thích hợp đã được lưu trữ;

• Các hồ sơ là sự phản ánh trung thực kết quả đánh giá;

• Các hồ sơ đã được kiểm soát phù hợp theo 4.3.3 của TCVN ISO/IEC 27001:2009.

4. Soát xét đưa ra các hành động phòng ngừa, chuyên gia đánh giá phải xem xét liệu:

• Hành động đã có hiệu lực (tức là sự không phù hợp đã được ngăn chặn xảy ra và không cần thêm bất kì chi phí nào);

• Có cần thiết để tiếp tục các hành động phòng ngừa theo cách này không;

• Các hành động phòng ngừa cần được thay đổi hoặc liệu có cần lập kế hoạch cho các hành động mới không.

• Tài liệu ISMS được mô tả trong TCVN ISO/IEC 27001:2009 4.3.1 a) tới 4.3.1 i).

Chuyên gia đánh giá phải yêu cầu và thu được các thông tin về quá trình hoạt động đánh giá, phỏng vấn các nhân viên ở mọi cấp độ (bao gồm cả nhân viên hành chính, người sở hữu quy trình và người vận hành) và quan sát các hoạt động, hành vi của họ và việc thực hiện quy trình để xác nhận rằng việc thực hiện ISMS và hiệu suất tại chỗ phù hợp với các yêu cầu về tài liệu và quy định.

Bất kỳ tài liệu cần thiết nào trên phương diện quan sát nên được đánh giá nhất quán, tầm quan trọng của thông tin trong đó và vai trò của bất kỳ tài liệu có thể tránh các rủi ro lớn, rủi ro định trước.

TCVN ISO/IEC 27001:2009 4.2.1 b)5). Phụ lục A.5.1.1, A.6.1.1

TCVN ISO/IEC 17021:2011 9.2.3.2 f)

ISO/IEC 27006 9.2.3.2.2 f)

TCVN 10295:2014 9.2

• Chính sách ISMS với ngày được chấp thuận, chữ ký, v.v..;

• Hồ sơ soát xét của chính sách ISMS;

• Kế hoạch an toàn/lập lịch cho các hoạt động ISMS, ví dụ: Kế hoạch xử lý rủi ro, chương trình giáo dục và đào tạo, kế hoạch/ chương trình đánh giá nội bộ, v.v..;

• Biên bản soát xét của ban quản lý cùng với tài liệu vào/ra, biên bản của Ủy ban an toàn thông tin, v.v..;

• Tài liệu về vai trò và trách nhiệm;

• Báo cáo đánh giá nội bộ;

• Báo cáo đánh giá rủi ro;

• Tài liệu phỏng vấn ban quản lý;

• Hồ sơ phê duyệt rủi ro còn tồn tại, phê duyệt kế hoạch xử lý rủi ro, hồ sơ đánh giá quản lý, quyết định ngân sách trên kế hoạch nghiệp vụ và kết quả của việc phê chuẩn các yêu cầu cho quyết định;

• Hồ sơ về xem xét các hoạt động PDCA và các biện pháp;

• Tiêu chí năng lực;

• Nguồn nhân lực và hồ sơ thẩm quyền;

• Chương trình/kế hoạch đào tạo;

• Hồ sơ đào tạo và các báo cáo.

• Phê chuẩn chính thức của ban quản lý về chính sách ISMS;

• Chấp nhận quản lý mục tiêu của ISMS và kế hoạch thực hiện, cùng với việc phân bổ nguồn lực đầy đủ và phân công các ưu tiên phù hợp với các hoạt động liên quan (xem 5.2.1);

• Vai trò và trách nhiệm rõ ràng về an toàn thông tin bao gồm quá trình phân bổ và chấp nhận trách nhiệm đối với việc bảo vệ thích hợp các tài sản thông tin có giá trị;

• Biên bản ghi nhớ của ban quản lý, email, biên bản, thuyết trình, giao ban, giới thiệu công việc, v.v.. thể hiện việc hỗ trợ và cam kết với ISMS;

• Tiêu chí chấp nhận rủi ro và chấp nhận chính thức của nó, dẫn tới rủi ro liên quan đến các rủi ro an toàn thông tin;

• Các phạm vi, nguồn lực, sự khởi đầu của đánh giá nội bộ và đánh giá quản lý của ISMS.

Có khuyến cáo rằng việc quản lý các nguồn lực không được đánh giá riêng lẻ. Không phụ thuộc vào cách tổ chức được cấu trúc và nhận dạng các quá trình của nó, chuyên gia đánh giá có thể kiểm tra tính đầy đủ và quản lý hiệu quả các nguồn lực để đạt được kết quả theo kế hoạch. Điều quan trọng là chuyên gia đánh giá kiểm tra xem tổ chức đã đánh giá hiệu quả trong quá khứ và hiện tại (ví dụ như sử dụng phân tích chi phí lợi nhuận, đánh giá rủi ro) khi quyết định các nguồn lực được phân bổ.

Quản lý các nguồn lực có thể được đánh giá bởi các cuộc phỏng vấn với quản lý và nhân viên có trách nhiệm khác để kiểm tra xem các quy trình phù hợp đều được đưa ra. Điều này là cần thiết, tuy nhiên, cần được hỗ trợ bởi bằng chứng khách quan thu thập trong suốt cuộc đánh giá. Bằng chứng có thể thu được ở các giai đoạn khác nhau của cuộc đánh giá, soát xét đầu vào, hiệu quả và kết quả đầu ra của quy trình. Điều này nên được thực hiện khi đánh giá tất cả các quy trình, hệ thống liên quan và tài liệu hướng dẫn, chẳng hạn như:

• Cam kết và trách nhiệm quản lý;

• Quá trình đánh giá quản lý;

• Quá trình ISMS bao gồm quản lý rủi ro, các hoạt động khắc phục và phòng ngừa và cải tiến liên tục;

• Mô tả công việc;

• Hồ sơ về thời gian và ngân quỹ cho các hoạt động cụ thể ISMS.

Chuyên gia đánh giá nên tránh đưa ra đánh giá chủ quan về tính đầy đủ của các nguồn lực được phân bổ theo tổ chức và nên hạn chế vai trò của họ đến việc đánh giá hiệu quả của quá trình quản lý nguồn lực.

Để đáp ứng yêu cầu về hiệu quả của TCVN ISO/IEC 27001:2009, mỗi tổ chức thường sẽ cần phải làm một số việc sau:

• Xác định những yêu cầu về năng lực của người thực hiện các công việc mà có ảnh hưởng đến an toàn thông tin;

• Xác định những người đã thực hiện công việc có năng lực đạt yêu cầu;

• Quyết định những năng lực bổ sung cần thiết;

• Quyết định làm thế nào để đạt được những năng lực bổ sung, đào tạo nhân sự (bên ngoài hoặc nội bộ), đào tạo lý thuyết hay qua thực tế, thuê mới nhân viên có năng lực, phân công cán bộ có năng lực sẵn có với các công việc khác nhau;

• Xem xét tính hiệu quả của hoạt động thực hiện để đáp ứng năng lực cần thiết;

• Định kỳ soát xét năng lực của nhân viên.

Trong suốt quá trình này, tổ chức phải được duy trì các báo cáo thích hợp về giáo dục, đào tạo, kỹ năng và kinh nghiệm. Tuy nhiên, theo tiêu chuẩn TCVN ISO/IEC 27001:2009 không xác định như thế nào quá trình này sẽ được thực hiện hoặc bản chất chính xác của các báo cáo phải được duy trì.

1.) Khi đánh giá sự tuân thủ của tổ chức với các yêu cầu về đánh giá năng lực và đào tạo, chuyên gia đánh giá sẽ thường tìm kiếm bằng chứng cho thấy các vấn đề sau được giải quyết:

Một tổ chức cần phải xác định những năng lực theo yêu cầu của người thực hiện các công việc ảnh hưởng đến việc bảo mật thông tin.

Mục tiêu của chuyên gia đánh giá phải xác định xem liệu có một hệ thống phương pháp tiếp cận tại chỗ để xác định những năng lực và để xác minh rằng phương pháp tiếp cận có hiệu quả. Kết quả của quá trình này có thể là một bản danh sách, bản đăng ký, cơ sở dữ liệu, kế hoạch nguồn nhân lực, kế hoạch phát triển năng lực, hợp đồng, kế hoạch hoặc dự án sản phẩm, v.v..

Các cuộc thảo luận ban đầu có thể được tổ chức với quản lý để đảm bảo họ hiểu tầm quan trọng của việc xác định năng lực cần thiết. Đây cũng có thể là một nguồn tiềm năng của các thông tin liên quan đến các cái mới, các hoạt động đã thay đổi hoặc các quá trình có thể dẫn đến yêu cầu khác nhau về năng lực trong tổ chức. Một đánh giá năng lực cũng có thể cần thiết khi có một cuộc đấu thầu mới hoặc hợp đồng đang được xem xét. Bằng chứng của điều này có thể được tìm thấy trong hồ sơ có liên quan. Yêu cầu về năng lực có thể được bao gồm trong các văn bản hợp đồng mà các hoạt động của nhà thầu phụ có thể có ảnh hưởng đến quá trình hoặc an toàn thông tin. Chuyên gia đánh giá cần phải xác định xem tổ chức đã xác định mới hoặc thay đổi yêu cầu về năng lực, ví dụ như trong quá trình kiểm tra giám sát.

2.) Các chuyên gia đánh giá cần xem xét các nhân viên có năng lực nơi công việc họ được giao cần thiết để kiểm soát an toàn thông tin.

Các chuyên gia đánh giá phải xác minh rằng một số hình thức của quá trình đánh giá được đặt ra để đảm bảo rằng năng lực phù hợp với hoạt động của tổ chức và rằng các nhân viên có khả năng được lựa chọn chứng minh được năng lực phù hợp. Ngoài ra, quá trình này phải đảm bảo rằng bất kỳ sự thiếu hụt đang gần xảy ra và hiệu quả của nhân viên đang được đo đếm. Nó là cần thiết để xác minh rằng các hoạt động có ảnh hưởng đến an toàn thông tin được thực hiện bởi những người được lựa chọn là có năng lực. Bằng chứng thu được được trong suốt cuộc đánh giá với trọng tâm là các quy trình, các hoạt động, nhiệm vụ và các sản phẩm mà sự can thiệp của con người có thể có ảnh hưởng lớn nhất. Các chuyên gia đánh giá có thể xem xét mô các tả công việc, các hoạt động kiểm tra, thanh tra, hoạt động giám sát, xem xét hồ sơ quản lý, xác định trách nhiệm và quyền hạn, hồ sơ không phù hợp, báo cáo đánh giá, khiếu nại của khách hàng, xác nhận hồ sơ xử lý, v.v..

3.) Tổ chức cần phải đánh giá hiệu quả của các hành động được thực hiện để đáp ứng nhu cầu về năng lực.

Tổ chức có thể sử dụng một số kỹ thuật bao gồm cả đóng vai, thẩm tra, quan sát, đánh giá đào tạo và việc làm hồ sơ và/hoặc các cuộc phỏng vấn (xem TCVN ISO 19011: 2013, Bảng 2 để có thêm ví dụ). Sự phù hợp của một phương pháp đánh giá cụ thể sẽ phụ thuộc vào nhiều yếu tố. Ví dụ, hồ sơ đào tạo có thể được xem để xác minh rằng một khóa đào tạo đã được thực hiện thành công (nhưng lưu ý là chỉ thêm điều này thì không cung cấp bằng chứng cho thấy người được đào tạo có đủ năng lực). Tuy nhiên, cùng một phương pháp này sẽ không được chấp nhận để đánh giá liệu một chuyên gia đánh giá thực hiện một cách thỏa đáng trong một cuộc đánh giá. Thay vào đó, điều này có thể yêu cầu quan sát, thẩm định, các cuộc phỏng vấn, v.v.. Các tổ chức có thể cần phải chứng minh việc đạt được năng lực nhân sự của mình thông qua việc kết hợp giáo dục, đào tạo và/hoặc kinh nghiệm làm việc.

4) Duy trì năng lực.

Chuyên gia đánh giá cần phải xác minh rằng một số hình thức của giám sát hiệu quả quy trình được đặt ra và thực thi. Cách làm này bao gồm tiếp tục một quá trình phát triển chuyên nghiệp (như được mô tả trong TCVN ISO 19011:2013 theo 7.4), thường xuyên đánh giá nhân viên và hoạt động của nhân viên, hoặc thường xuyên kiểm tra, đánh giá của các sản phẩm hoặc hệ thống của cá nhân hoặc nhóm là có trách nhiệm. Những thay đổi đang diễn ra trong các yêu cầu về năng lực có thể cho thấy một tổ chức là chủ động trong việc duy trì trình độ nhân sự.

Điều khoản này cung cấp hướng dẫn để đánh giá bên ngoài, tự kiểm tra hoặc hướng dẫn đánh giá ngang hàng đối với đánh giá nội bộ.

ISO/IEC 27006 9.1.2, 9.1.4, 9.2.3.2.2

TCVN ISO/IEC 17021:2011 9.2.3.2, 9.3.2.1

• Chương trình đánh giá nội bộ, các kế hoạch, báo cáo và hồ sơ;

• Biên bản soát xét quản lý các tài liệu đầu vào và đầu ra

• Báo cáo đánh giá rủi ro.

Các tổ chức có thể tối đa hóa việc sử dụng các nguồn lực sẵn có trong việc tiến hành các hoạt động đánh giá ISMS nội bộ.

Đó phải là bằng chứng cho thấy tổ chức:

• đã xác định các yêu cầu năng lực cho chuyên gia đánh giá để đánh giá ISMS nội bộ;

• đã cung cấp đào tạo phù hợp;

• đã áp dụng một quy trình giám sát hoạt động của chuyên gia đánh giá nội bộ ISMS và các đoàn đánh giá;

• các nhân viên trong đoàn đánh giá có kiến thức phù hợp với chuyên ngành cụ thể (để họ có thể xác định đâu là sự thay đổi trong một quá trình cụ thể hoặc một hoạt động có thể dẫn đến một hệ quả quan trọng đối với an toàn thông tin).

Cần phải xác định chắc chắn rằng tổ chức đã lên kế hoạch đánh giá ISMS nội bộ, và các phương pháp đánh giá đã được xác định, để đảm bảo việc sử dụng hiệu quả các nguồn lực. Điều này cũng sẽ giúp đảm bảo rằng những rủi ro vốn có của sai sót trong quá trình đánh giá và với kết quả đánh giá, đều được giảm thiểu.

Các tổ chức cần phải có một quy trình cho việc tận dụng các kết quả đánh giá trước đó trong việc lập kế hoạch đánh giá ISMS nội bộ trong tương lai. Các chuyên gia đánh giá phải xác minh rằng tổ chức có thể sử dụng thông tin đó khi thiết lập tần suất đánh giá các hoạt động và quy trình.

Bằng cách đưa các yếu tố bên trên vào bản kê khai và kiểm tra xem quy trình đánh giá ISMS nội bộ dẫn đến bất kỳ sự cải tiến rõ rệt nào cho ISMS, chuyên gia đánh giá ISMS sẽ có thể hình thành một phán quyết về việc có tổ chức đã thực hiện một chương trình đánh giá ISMS nội bộ hiệu quả. Chuyên gia đánh giá ISMS cũng cần có khả năng đưa ra phán đoán xem liệu kết quả của đánh giá nội bộ có cung cấp đầy đủ bằng chứng sẽ được sử dụng như một phần của quy trình cải tiến ISMS không.

Việc soát xét có thể được đưa ra tại một cuộc họp riêng biệt (bất thường) nhưng điều này không phải là yêu cầu của tiêu chuẩn. Có rất nhiều cách, trong đó ban quản lý có thể xem xét ISMS chẳng hạn như tiếp nhận và xem xét các báo cáo, liên lạc điện tử hoặc như là một phần của các cuộc họp thường niên, nơi các vấn đề như ngân sách và mục tiêu cũng được thảo luận.

Quy trình soát xét quy trình của ban quản lý cần được thực hiện để đáp ứng các yêu cầu của tiêu chuẩn và các chuyên gia đánh giá; nó phải là một phần không thể thiếu của quá trình quản lý nghiệp vụ của tổ chức. Soát xét tổng thể của ban quản lý là một quá trình phức tạp được thực hiện ở các cấp độ khác nhau trong tổ chức. Nó luôn luôn là một quá trình hai chiều, được tạo ra bởi nhà quản lý hàng đầu với đầu vào từ tất cả các cấp trong tổ chức. Những hoạt động này có thể thay đổi hàng ngày, hàng tuần, hàng tháng theo các cuộc họp đơn vị thuộc tổ chức đến cả các thảo luận hoặc báo cáo đơn giản.

Chuyên gia đánh giá nên tìm kiếm bằng chứng cho thấy các đầu vào và đầu ra của quá trình soát xét quản lý có liên quan đến quy mô, độ phức tạp của tổ chức và do đó chúng được sử dụng để phát triển ISMS. Chuyên gia đánh giá cũng cần xem xét xem việc quản lý của tổ chức được cấu trúc như thế nào và làm thế nào quá trình xem xét quản lý được sử dụng trong cấu trúc này.

Các hồ sơ về soát xét quản lý đều được yêu cầu nhưng các định dạng của chúng không được quy định. Biên bản cuộc họp là các dạng phổ biến nhất của hồ sơ, nhưng hồ sơ điện tử, biểu đồ thống kê, thuyết trình, v.v.. có thể là một loại hồ sơ được chấp nhận. Điều quan trọng là để đảm bảo rằng có bằng chứng để chứng minh việc xem xét đã được đưa ra đối với tất cả các vấn đề được liệt kê trong tiêu chuẩn ISO/IEC 27001: 2005 quy định tại điều 7, ngay cả khi nó được quyết định rằng không cần thiết phải có hành động.

Quá trình soát xét của ban quản lý cũng có thể bao gồm các yếu tố về lập kế hoạch ISMS ở đó các thay đổi về quy trình và hệ thống đang được xem xét. Nếu điều này xảy ra thì chuyên gia đánh giá cần soát xét xem những điểm sau đây đã được xem xét hay chưa:

• Các thay đổi dự kiến có được đánh giá trước khi thực hiện?

• Trong quá trình chuẩn bị các kế hoạch chiến lược, những vấn đề liên quan đến ISMS có được xem xét?

• Các biện pháp cần thiết có được xác định trước khi thay đổi được thực hiện, ví dụ việc thuê ngoài của một quy trình đã được bắt đầu.

Bằng cách xem xét các báo cáo quản lý, biên bản, và các hồ sơ khác và/ hoặc bằng cách phỏng vấn những người có liên quan, cần được kiểm tra những gì đã được xem xét quản lý trước đây. (TCVN ISO/IEC 27001:2009 xác định hạng mục chính như các kết quả khác kiểm tra/ đánh giá, phản hồi và đề nghị cải tiến, thông tin về các điểm yếu và các mối đe dọa, v.v..) Nó là cần thiết để đánh giá phạm vi quản lý, đóng một vai trò tích cực và được tham gia đầy đủ trong việc soát xét.

• thay đổi chính sách và mục tiêu của ISMS;

• kế hoạch và hành động khả thi cho việc cải tiến;

• sự thay đổi của các nguồn lực;

• các kế hoạch nghiệp vụ được điều chỉnh

• ngân quỹ;

• thông báo áp dụng điều điều chỉnh;

• các bài đo điều chỉnh.

Đầu ra không chỉ liên quan đến những cải tiến hoặc thay đổi mà còn có thể bao gồm các quyết định về các vấn đề quan trọng khác như kế hoạch giới thiệu các công nghệ, các hệ thống hoặc các sản phẩm mới. Nếu cần thiết, xác nhận rằng các hành động đã được khép lại trên thực tế đã được hoàn thành đúng cách, đặc biệt chú ý đến bất cứ hành động mà không được hoàn thành kịp thời hoặc đúng, lúc.