Bài viết này sẽ trình bày ba vấn đề tiếp theo được xem là nền tảng của việc xây dựng tính an toàn, bảo mật mạng trong một tổ chức, doanh nghiệp.
Bước 3: Thẩm định tính rủi ro của hệ thống
Khi thẩm định tính rủi ro của hệ thống, hãy sử dụng công thức sau:
Tính rủi ro = Giá trị thông tin * Mức độ của lỗ hổng * Khả năng mất thông tin.
Tính rủi ro bằng với giá trị thông tin trong câu hỏi (bao gồm giá trị đồng tiền, giá trị thời gian máy bị lỗi do lỗi bảo mật, giá trị mất mát khách hàng – tương đối), thời gian của quy mô lỗ hổng (tổng cộng/từng phần của tổn thất dữ liệu, thời gian hệ thống ngừng hoạt động, sự nguy hiểm khi dữ liệu hỏng), thời gian về khả năng xuất hiện mất thông tin.
Để lấy được các kết quả từ bước đầu (các giá trị, báo cáo về cơ chế bảo mật ngoài, và chính sách bảo mật), và tập trung vào ba trong số các mặt thường được đề cập. Sau đó, bắt đầu với một số câu hỏi khung sau:
■ Cơ chế bảo mật đã tồn tại của công ty có được đề ra rõ ràng và cung cấp đủ biện pháp bảo mật chưa?
■ Kết quả từ cơ chế bảo mật bên ngoài có hợp lệ so với chính sách bảo mật của công ty?
■ Có mục nào cần sửa lại trong cơ chế bảo mật mà không được chỉ rõ trong chính sách?
■ Hệ thống bảo mật sẽ mất tác dụng trong tính rủi ro cao nhất nào?
■ Giá trị, thông tin gì mang tính rủi ro cao nhất?
Các câu trả lời cung cấp cái nhìn toàn diện cho việc phân tích về toàn bộ chính sách bảo mật của công ty. Có lẽ, thông tin quan trọng được lấy trong quá trình kết hợp các giá trị thẩm định và tính rủi ro tương ứng. Theo giá trị thông tin, bạn có thể tìm thấy các giải pháp mô tả được toàn bộ các yêu cầu, bạn có thể tạo ra một danh sách quan tâm về lỗ hổng bảo mật.
Bước 4: Xây dựng giải pháp
Trên thực tế không tồn tại giải pháp an toàn, bảo mật thông tin dạng Plug and Play cho các tổ chức đặc biệt khi phải đảm bảo các luật thương mại đã tồn tại và phải tương thích với các ứng dụng, dữ liệu sẵn có. Không có một tài liệu nào có thể lường hết được mọi lỗ hổng trong hệ thống và cũng không có nhà sản xuất nào có thể cung cấp đủ các công cụ cần thiết. Cách tốt nhẫt vẫn là sử dụng kết hợp các giải pháp, sản phẩm nhằm tạo ra cơ chế bảo mật đa năng như tường lửa, IDS, H- IDS, Anti-Virus…
Bước 5: Thực hiện và giáo dục
Ban đầu, sự hỗ trợ cần thiết sẽ được đúc kết lại và lên kế hoạch hoàn chỉnh cho dự án bảo mật. Đây chính là bước đi quan trọng mang tính chiến lược của mỗi công ty về vấn đề bảo mật. Các chi tiết kỹ thuật của bất kỳ sự mô tả nào cũng sẽ thay đổi theo môi trường, công nghệ, và các kỹ năng liên quan, ngoài ra có một phần không nằm trong việc thực thi bảo mật nhưng chúng ta không được coi nhẹ, đó chính là sự giáo dục. Để đảm bảo sự thành công bảo mật ngay từ lúc đầu, người sử dụng phải có được sự giáo dục cần thiết về chính sách, gồm có:
-Kỹ năng về các hệ thống bảo mật mới, các thủ tục mới.
-Hiểu biết về các chính sách mới về tài sản, dữ liệu quan trọng của công ty.
-Hiểu các thủ tục bắt buộc mới, chính sách bảo mật công ty.
Nói tóm lại, không chỉ đòi hỏi người sử dụng có các kỹ năng cơ bản, mà đòi hỏi họ phải biết như tại sao và cái gì họ đang làm là cần thiết với chính sách của công ty.
