Bảo mật thông tin là một quá trình trải qua các giai đoạn xây dựng và củng cố bảo mật trong một thời gian dài. Quá trình bảo mật khó xác định được đích cần đạt đến một cách tuyệt đối. Nói một cách khác, quá trình bảo mật không có điểm đích, việc bảo mật cho 1 hệ thống phải được tiến hành thường xuyên và liên tục. Mặc dù quá trình bảo mật thông tin có rất nhiều kế hoạch và hành động, nhưng chúng ta có thể nhóm chúng thành ba giai đoạn phòng ngừa, phát hiện, và đối phó.

Mỗi giai đoạn yêu cầu các kế hoạch và hành động để chuyển giai đoạn sang bước tiếp theo. Sự phát triển của các kiểu tấn công, sự xuất hiện của các lỗ hổng bảo mật mới đòi hỏi phải điều chỉnh thời gian cũng như phương pháp trong các quá trình phòng ngừa, phát hiện và đối phó. Trong một vài trường hợp, một sự thay đổi trong một giai đoạn bất bỳ sẽ ảnh hưởng đến toàn bộ quá trình. Bài học kinh nghiệm trong quá trình đối phó sẽ được thể hiện trong khi lập kế hoạch tính toán phòng ngừa và cấu hình cho bảo vệ.

Như đã đề cập, bảo mật thông tin là một quá trình, một chu kỳ chịu các thay đổi liên tiếp theo các hiểm họa và lỗ hổng bảo mật. Để thực hiện tốt quá trình, kế hoạch phải được thực hiện vượt trước một bước so với kế hoạch của người tư vấn hoặc it nhất cũng phải thực hiện cùng với kế hoạch của người tư vấn. Để làm được điều này, mỗi giai đoạn phải được đảm bảo thiết kế với một khả năng đầy đủ và quản lý giám sát.

Mục tiêu cuối cùng của quá trình bảo mật thông tin là nhằm bảo vệ ba thuộc tính của thông tin:

Có vài kiểu tấn công gây hư hại cho hệ thống mà không gây ảnh hưởng đến một bất kỳ một thuộc tính nào ở trên. Một sự tấn công trên tính bí mật sẽ làm lộ ra các thông tin không được phép truy nhập. Một sự tấn công trên tính toàn vẹn sẽ phá hoại hay làm hỏng thông tin và một sự tấn công trên tính sẵn sàng sẽ phá vỡ hay gây nên sự từ chối phục vụ của hệ thống. Bảo mật thông tin bảo vệ các thuộc tính này bằng cách:

• Bảo vệ tính bí mật.
• Đảm bảo tính toàn vẹn.
• Duy trì tính sẵn sàng.

Một tổ chức muốn thành công trong bảo vệ các thuộc tính trên của thông tin cần phải có một kế hoạch thích hợp. Có kế hoạch thích hợp trước khi có tai nạn sẽ làm giảm tối đa rủi ro của tấn công và làm giảm tối đa thời gian cần cho việc phát hiện và đối phó nếu có tấn công xảy ra. Hãy trở lại vấn đề kiểm tra mỗi giai đoạn của quá trình phòng ngừa, phát hiện, và đối phó, minh họa từng quá trình đơn lẻ và xem chúng có quan hệ với nhau như thế nào.

Sự phòng ngừa

Các chuyên gia bảo mật thông tin phải liên tục hoàn thiện khả năng của họ bằng cách làm việc nhanh nhạy hơn chứ không phải nặng nhọc hơn. Đó là cách tốt hơn để phòng ngừa ngăn chặn, sau đó bắt kịp và bám sát. Ngăn chặn một tai nạn đòi hỏi phải được phân tích cẩn thận và phải có kế hoạch.

Thông tin là tài sản quý báu đòi hỏi sự bảo vệ  tương xứng với giá trị của nó. Việc đo lường mức độ bảo vệ phải được thực hiện để bảo vệ thông tin không bị thay đổi trái phép, bị phá hoại, hay bị lộ ra khi có tai nạn hoặc do cố ý. Trong giai đoạn bảo vệ, chính sách an toàn thông tin, sự điều khiển và quá trình tiến hành sẽ được thiết kế và thực hiện. Chính sách an toàn thông tin, các chương trình nhận thức về bảo mật và các thủ tục điều khiển sự truy cập là tất cả mối quan hệ tương quan qua lại và cần phải được xây dựng sớm. Chính sách an toàn thông tin  là nền tảng cho tất cả những gì được xây dựng lên.

Chính sách an toàn thông tin

Đối tượng đầu tiên trong quá trình phát triển kế hoạch bảo vệ là xác định những gì cần bảo vệ và tài liệu hóa các tin tức này trong một chính sách thông thường. Chính sách phải xác định trách nhiệm của tổ chức, của các cá nhân và của người quản lý. Chính sách này cũng đặt ra các trách nhiệm cho sự triển khai thực hiện, kỷ luật cần thi hành, sự kiểm tra và xem xét lại bảo mật. Thêm nữa, chính sách phải rõ ràng, ngắn gọn súc tích, mạch lạc chặt chẽ và thống nhất. Nếu không được hiểu rõ ràng, chính sách sẽ được thực thi kém và hiệu lực, kiểm tra và xem xét lại sẽ kém hiệu quả. Mỗi lần người quản lý xác nhận tán thành một chính sách hoàn chỉnh, tổ chức cần phải được nhận thức đầy đủ về các yêu cầu của chính sách.

Nhận thức về bảo mật

Nhận thức về bảo mật là một quá trình giáo dục nhân viên về tầm quan trọng của bảo mật, cách sử dụng các công cụ đo lường bảo mật, các thủ tục báo cáo về sự vi phạm chế độ bảo mật, và trách nhiệm chung của nhân viên khi thực thi chính sách an toàn thông tin. Nhận thức về bảo mật cần sử dụng nhằm cho mục đích trên. Chương trình hành động sẽ tiếp tục quá trình duy trì một mức độ nhận thức cho tất cả nhân. Chương trình cần được thiết kế để phổ biến đến toàn bộ tổ chức cũng như tập trung đào tạo riêng biệt. Chương trình sẽ nhấn mạnh đến đội ngũ làm việc và sự quan trọng của những người tham gia. Để thúc đẩy các cá nhân , một quá trình nhìn nhận sẽ được thực hiện để khen hoặc thưởng cho các nhân viên thực hiện tốt việc học tập về bảo mật.

Điều  khiển quá trình truy cập

Truy cập là cách thức mà người dùng sử dụng hệ thống thông tin để khai thác thông tin. Tất nhiên, tất cả các người dùng không thể truy cập được tất cả hệ thống thông tin và thông tin trong đó. Truy cập sẽ bị ngăn chặn và được phân quyền dựa trên các yếu tố nhận biết căn bản. Để quản lý các truy cập này hệ thống hình thành nên các tài khoản bằng cách sử dụng các phương pháp định danh, xác nhận để đảm bảo các quy tắc trong định danh và nhận thực để giới hạn truy cập đến tài nguyên.

• Định danh (Identification) – định danh là số nhận dạng duy nhất. Đó là những gì mà một user – (người, máy khách, phần mềm ứng dụng, phần cứng, mạng) sử dụng để phân biệt nó với các đối tượng khác. Một user dùng định danh để chỉ ra anh/chị ta là ai. Định danh được tạo ra cho user không được phép chia sẻ với bất kỳ user hay nhóm user nào khác. Người sử dụng dùng định danh để truy cập đến tài nguyên cho phép.

• Xác thực (Authentication)– Xác thực là quá trình xác nhận tính hợp lệ đối với định danh của một người dùng. Khi một người dùng trình diện định danh của mình, quyền truy nhập và định danh của user đó phải được xác thực. Xác thực đảm bảo một mức độ tin cậy bằng ba nhân tố bao gồm:

1. Những gì bạn biết – Mật khẩu là cách được sử dụng thường xuyên nhất. Tuy nhiên, từ một cụm từ bí mật và số PIN cũng được sử dụng. Chúng được biết dưới tên gọi là xác thực một nhân tố hay xác thực đơn.

2. Những gì bạn có – Nhân tố xác thực này sử dụng những gì bạn có, chẳng hạn như một tấm thẻ nhận dạng, smartcard ... Mỗi vật đòi hỏi user phải sở hữu một vật gì đó để làm vật xác nhận. Đây là một cách xác thực tin cậy hơn đòi hỏi hai nhân tố chẳng hạn như những gì bạn biết với những gì bạn có để nhận thực. Kiểu xác thực này được biết dưới tên gọi xác thực hai nhân tố hoặc xác thực nhiều mức.

3. Những gì bạn đại diện cho – Nhân tố xác thực tốt nhất là những gì mà bạn đại diện cho. Đây là các đặc điểm riêng biệt của cơ thể chẳng hạn như dấu tay, võng mạc, hay DNA. Việc đo lường các nhân tố này gọi là sinh trắc học. Quá trình xác thực tốt nhất này đòi hỏi ba nhân tố. Các phương tiện máy móc hoặc ứng dụng có độ bảo mật cao sẽ dùng ba nhân tố để xác thực một user.

• Xác thực – Xác thực là một quá trình cho phép người sử dụng xác định đã được xác thực sử dụng nguồn tài nguyên nhất định. Giới hạn truy nhập đến tài nguyên được hình thành bởi các quy tắc về phân quyền cho phép điều khiển tốt hơn đối với các thao tác của người dùng. Sự cho phép được phân bổ trên nguyên tắc cho số quyền hạn tối thiểu. Càng ít quyền được gán thì càng ít yêu cầu cần cho việc thực hiện tác vụ / công việc, và quyền hạn không nên mở rộng quyền khi yêu cầu tối thiểu về thời gian hoàn thành công việc. Điều này hạn chế được truy cập, hình thành mới các công việc thường nhật&bsp; và làm giảm accountability.

  Mỗi khi tổ chức thông qua một chính sách, cần tạo một môi trường nhận thức và thực hiện điều khiển các quá trình truy nhập, nó phải thực hiện được chiến lược phòng ngừa phát hiện và kế hoạch đối phó đã vạch ra. Nó có nhiệm vụ tổ chức thực hiện tiên phong trong việc chuẩn bị đối phó với tấn công hay thảm họa hơn là đáp trả lại các hiểm họa không được đánh giá đúng.

  Quá trình phát hiện nguy hiểm hay hiểm họa sử dụng tài nguyên nhiều hơn là cảnh báo. Mặc dù vậy, đáp trả lại tai nạn còn dùng nhiều tài nguyên hơn là phát hiện hiểm họa. Một tổ chức muốn thành công phải hiểu được những gì cần phải phòng chống, phát hiện và mỗi cảnh báo phải biết được làm thế nào để tối ưu hóa cân bằng nguồn tài nguyên sử dụng cho đáp trả hiểmhọa. Với cả hai quá trìn, thời gian là vấn ề cốt lõi.

  Phát hiện

  Phát hiện hiểm hoạ đối với hệ thống là một vấn đề rất quan trọng. Với sự đe dọa xung quanh ngày càng tăng, dù cho hệ thống đã được bảo vệ ở mức nào đi chăng nữa thì cũng vẫn bị hiểm họa và đòi hỏi kỹ năng ngày càng cao. Không thể có một giải pháp bảo mật nào “hoàn hảo” dựa trên những thông tin không đầy đủ. Một biện pháp bảo vệ theo lớp được áp dụng vậy nên mỗi khi một lớp bị hỏng thì nó sẽ được biết trước và sẽ được báo động. Yếu tố quan trọng nhất trong biện pháp này là sự phát hiện đúng lúc và khả năng báo trước nguy hiểm. Hệ thống phát hiện xâm nhập trái phép (IDS) được sử dụng cho mục đích này.

  IDS có khả năng kiểm soát các hoạt động của hệ thống và thông báo cho người chịu trách nhiệm khi hoạt động đó cần kiểm tra chứng thực. Hệ thống có thể dò tìm dấu vết tấn công, những thay đổi trên tập tin, cấu hình và các hoạt động khác của hệ thống. Để bảo vệ hệ thống thì toàn bộ hệ thống cần được giám sát. Các công cụ dò tìm xâm nhập máy tính trái phép sẽ được đặt ở một chỗ hợp lý trên mạng và trên tầng ứng dụng. Tuy nhiên, kiểm soát một mạng hay các máy chủ đang bận thì không phải là một việc dễ dàng. Công cụ dò tìm này phải có khả năng phân biệt được sự khác nhau giữa một hoạt động bình thường và một hoạt động gây hại. Điều này có thiên hướng là một nghệ thuật hơn là khoa học. IDS phải được điều chỉnh hay “biến đổi” theo yêu cầu để IDS có thể làm việc với một mạng hay một máy chủ cụ thể. Quá trình điều chỉnh này ghi nhận một đe doạ biết trước, kiểu xâm phạm, phương pháp và quá trình xâm nhập.

  Như đã đề cập ở trên, phát hiện ra xâm nhập máy tính quan trọng hơn cả một sự cảnh báo. Mặc dù đó là một sự cảnh báo động nhưng cảnh báo hoạt động được như một bộ não. Thử hình dung ra một báo động cứu hoả có khả năng phát hiện hoả hoạn, phân biệt được loại hoả hoạn, chỉ ra được nơi xuất phát và đường dẫn, báo động cho các nhân viên trong toà nhà và các ban cứu hoả và thông báo một cách thông minh đến các trạm chữa cháy trước để họ kịp thời đối phó. Tất cả những điều kể trên cùng với khả năng phân biệt được với những hành động bình thường như hoả hoạn do nấu nướng. Cấu hình hệ thống phát hiện thâm nhập trái phép đúng đắn cũng giống như một công cụ. Một cảnh báo sẽ được điều khiển thông minh như một bộ não.

  Mỗi khi IDS đã được cấu hình đúng dắn và đặt ở một nơi hợp lý thì vấn đề chỉ còn là thời gian trước khi cảnh báo sẽ kêu và thông báo được gửi đi. Vậy thì sao? nếu không có một kế hoạch đối phó được văn bản hoá trước thì bạn sẽ hoàn toàn bị bị động và hoang mang.

  Đáp ứng

  Để quá trình phát hiện có giá trị, thì phải có một đáp ứng đúng lúc. Đáp ứng đối phó lại một tai nạn cần được lập kế hoạch thật tốt. Đưa ra một quyết định quan trọng hay xây dựng một chính sách trong khi đang chịu tấn công là một phương pháp trong đối phó với thảm họa. Rất nhiều tổ chức đã tiêu tốn một số tiền khổng lồ và rất nhiều thời gian cho đối phó với thảm họa chẳng hạn như bão, động đất, hỏa hoạn và ngập lụt. Nhưng trong thực tế, sự may rủi còn lớn hơn khi một hiểm họa bảo mật máy tính xảy ra so với một trong các thảm họa ở trên. Các trang thiết bị nếu không đủ hiệu quả và nguồn tài nguyên sẽ đưa đến kế hoạch cần phải đối phó hiểm họa bảo mật máy tính.

  Kế hoạch đối phó phải được viết ra và thông qua các cấp lãnh đạo thích hợp. Kế hoạch nên làm rõ mức độ ưu tiên của từng loại sự kiện và yêu cầu một mức cảnh báo và đáp ứng thích hợp đối với mỗi mức độ ưu tiên của sự kiện/hiểm họa. Một nhóm chuyên đối phó với hiểm họa bảo mật máy tính (CSIRT) sẽ được thành lập với một vai trò nhất định và trách nhiệm đã được xác định trước. Các vai trò này cần được ấn định cho các thành viên có đủ trình độ trong tổ chức. Người quản lý nhóm pahỉ được chỉ định và ấn định trách nhiệm giải thích các hiểm họa, kết hợp các hoạt động trong nhóm, và báo cáo với cấp quản lý cao hơn.

  Có hai triết lý về hiểm họa xuất hiện như thế nào và điều khiển ra sao. Một tổ chức thường muốn cắt bỏ các kết nối trái phép, loại trừ tận gốc nguyên nhân của hiểm họa và khôi phục lại hệ thống. Phương pháp tiếp cận này mang tính khả thi nhiều hơn khi thực thi nhiệm vụ với các máy móc hiệu quả hơn và thời gian để khôi phục hợp lý. Một phương pháp khác là theo dõi và bắt giữ kẻ phá hoại. Người quản lý phải xem xét mỗi giải pháp trong từng trường hợp cụ thể và giải quyết theo thực tế. Khi tổ chức quyết định đi theo một biện pháp nào, lý thuyết về phương cách đối phó phải được ghi lại trong kế hoạch đối phó. Người thực hiện se được chỉ định các tác vụ phù hợp với kỹ năng của họ. 

  Sau khi tai nạn đã được làm sáng tỏ và thông báo được gửi đến những người thực hiện đối phó với hiểm họa, tai nạn phai được khoanh vùng lại, các hỏng hóc và hệ thống “sạch” được khôi phục lại. Mỗi một quá trình đòi hỏi một kỹ năng đặc biệt và có vai trò đặc biệt quan trọng trong khi đối phó với hiểm họa. Tuy nhiên, các phân tích và báo cáo trước đây là một bước quan trọng nhất để hướng đến việc bảo vệ vững chắc trong toàn bộ chu trình bảo mật thông tin. Bước này đặc biệt quan trọng đối với việc rút ra bài học kinh nghiệm. Bằng các ví dụ về trả lời các câu hỏi ai, cái gì, ở đâu, tại sao, và khi nào và các câu trả lời có giá trị, một tổ chức có thể kết hợp các bài học kinh nghiệm trong mỗi quá trình tiến hành bảo mật.

  Chu kỳ phát triển

  Để làm tiêu tan sự tấn công bên trong cũng như bên ngoài, sự tổ chức bảo mật phải được chuẩn bị đúng đắn. Như đã nêu, quá trình bảo mật không có điểm đích. Nó là một quá trình động yêu cầu kỹ năng quản lý và linh hoạt. Quản lý có kỷ luật các quá trình bảo vệ, phát hiện và đối phó đòi hỏi đảm bảo phải liên tục cải tiến. Tổ chức hỗ trợ trên diện rộng và bao bọc các điểm quan trọng nhất của chiến lược.