Cách xác định phạm vi ISMS (ISO 27001)

Bối cảnh phiên bản: nội dung về năm 2013 được giữ để tham khảo lịch sử. Khi triển khai hiện nay, xem xét ISO/IEC 27001:2022 cùng sửa đổi Amd 1:2024. Chứng nhận hệ thống không bảo đảm tuyệt đối rằng mọi sự cố an toàn thông tin đều được ngăn ngừa.

ISO/IEC 27001:2022 và sửa đổi 2024

Phạm vi của ISMS có lẽ là một trong những chủ đề được thảo luận nhiều nhất kể từ khi ISO 27001:2013 được xuất bản, vì nó giới thiệu một số khái niệm mới như giao diện (interfaces) và sự phụ thuộc (dependencies). Tuy nhiên, khi nghĩ về phạm vi theo cách có cấu trúc, thực sự không quá khó để thiết lập nó một cách chính xác.

1. Mục đích của phạm vi ISMS là gì?

Mục đích chính của việc thiết lập phạm vi ISMS (hệ thống quản lý an toàn thông tin) là xác định thông tin nào mà bạn định bảo vệ. Do đó, việc thông tin này được lưu trữ trong văn phòng công ty của bạn hay ở đâu đó trên đám mây không quan trọng; Không quan trọng thông tin này được truy cập từ mạng cục bộ của bạn hay thông qua truy cập từ xa. Vấn đề là bạn sẽ chịu trách nhiệm bảo vệ thông tin này cho dù thông tin này được truy cập ở đâu, bằng cách nào và bởi ai.

Vì vậy, ví dụ: nếu bạn có máy tính xách tay mà nhân viên của bạn mang ra khỏi văn phòng của bạn, điều này không có nghĩa là những máy tính xách tay này nằm ngoài phạm vi của bạn - chúng sẽ được đưa vào phạm vi của bạn nếu thông qua những máy tính xách tay này, nhân viên có thể truy cập vào mạng cục bộ của bạn và tất cả các thông tin nhạy cảm và dịch vụ nằm ở đó.

Phạm vi cũng quan trọng khi chứng nhận: chuyên gia đánh giá xem xét ISMS trong ranh giới được xác định, bao gồm các giao diện và sự phụ thuộc với hoạt động ngoài phạm vi. Loại một phòng ban khỏi phạm vi không loại bỏ trách nhiệm quản lý ảnh hưởng của phòng ban đó đến thông tin trong phạm vi.

2. Các yêu cầu của ISO 27001 về phạm vi

Về cơ bản, ISO 27001 cho biết bạn phải thực hiện những điều sau khi xác định phạm vi:

• Tính đến các vấn đề bên trong và bên ngoài được định nghĩa trong điều khoản 4.1.
• Tính đến tất cả các yêu cầu được định nghĩa trong điều khoản 4.2.
• Xem xét các giao diện và sự phụ thuộc giữa những gì đang diễn ra trong phạm vi ISMS và thế giới bên ngoài.

Mô tả ngắn gọn địa điểm và đơn vị tổ chức giúp làm rõ ranh giới, ví dụ bằng sơ đồ mặt bằng hoặc sơ đồ tổ chức. Đây là cách trình bày thực hành, không có nghĩa bắt buộc mọi doanh nghiệp phải dùng một kiểu sơ đồ cụ thể.

Phạm vi ISMS phải sẵn có dưới dạng thông tin dạng văn bản. Có thể lập tài liệu riêng, tích hợp trong chính sách an toàn thông tin hoặc dẫn chiếu tài liệu về bối cảnh, bên quan tâm và yêu cầu của họ.

Bây giờ, câu hỏi quan trọng là làm thế nào để giải quyết về những giao diện và phụ thuộc này.

Giao diện và phụ thuộc

Hãy bắt đầu với các phần phụ thuộc - có lẽ dễ dàng nhất để mô tả chúng bằng một sơ đồ. Bạn có thể vẽ các quá trình được bao gồm trong phạm vi ISMS của mình và sau đó bên ngoài vòng kết nối này vẽ các quá trình được cung cấp từ bên ngoài phạm vi của bạn. Hãy nhận diện sự phụ thuộc theo quá trình, ý tôi không chỉ là các quá trình bảo mật hoặc CNTT - ý tôi là các quá trình kinh doanh chính trong phạm vi của bạn; nếu bạn đã thực hiện ISO 9001, bạn có thể có một sơ đồ quá trình tương tự. Đây là một ví dụ:

Chú giải: Company A = Công ty A; Scope of the ISMS = Phạm vi ISMS; Core process = Quá trình chính; Support process = Quá trình hỗ trợ. Ngoài phạm vi minh họa có phát triển và bảo trì phần mềm, dịch vụ pháp lý, vệ sinh, kế toán.

Một khi bạn biết các phụ thuộc (dependences), bạn phải xác định các giao diện (interfaces). Chúng rất quan trọng đối với một công ty để hiểu ranh giới ISMS của mình và hiểu đầu vào và đầu ra nào sẽ đi qua các giao diện này để bảo vệ chúng tốt hơn.

Có một số cách tiếp cận để xác định giao diện:

Bạn có thể cố gắng xác định tất cả các điểm cuối mà bạn kiểm soát - ví dụ: trong mạng cục bộ của bạn - giao diện có thể là bộ định tuyến (vì sau thời điểm đó, bạn thường không kiểm soát được liên kết - công ty viễn thông thì họ kiểm soát được), đối với văn phòng của bạn, giao diện có thể là cửa ra vào, v.v.

• Có lẽ cách tiếp cận tốt hơn sẽ là xác định các đặc tính cấp cao của giao diện thông qua ba yếu tố sau: (1) con người, (2) quá trình và (3) công nghệ. Vì vậy, trong ví dụ hiển thị trong sơ đồ trên, mọi người trong công ty A sẽ là tất cả người dùng phần mềm, trong khi trong công ty CNTT cung cấp phát triển và bảo trì phần mềm sẽ là nhà phát triển phần mềm chính;
• quá trình sẽ là hỗ trợ (giải quyết các vấn đề với lỗi phần mềm) và phát triển các chức năng phần mềm mới;
• công nghệ sẽ là ứng dụng Help desk, email, VPN, FTP, v.v.

3. Những sai lầm về phạm vi ISMS

Khi xác định phạm vi, bạn nên cẩn thận với những vấn đề sau:

• Phạm vi nhỏ hơn không có nghĩa là một công việc dễ dàng hơn. Khi để một số bộ phận trong công ty của bạn ra khỏi phạm vi, điều này có nghĩa là bạn phải coi họ như một “thế giới bên ngoài”: bạn phải giới hạn quyền truy cập của họ vào thông tin trong phạm vi, điều này có thể tạo ra nhiều vấn đề hơn dự đoán ban đầu. Giới hạn về phạm vi này phải được xác định rõ ràng, cụ thể.
• Lựa chọn biện pháp kiểm soát khác với xác định phạm vi ISMS. Không được bỏ kiểm soát chỉ vì doanh nghiệp không muốn áp dụng. Xác định kiểm soát cần thiết từ xử lý rủi ro và yêu cầu áp dụng, đối chiếu Phụ lục A để tránh bỏ sót, nêu căn cứ đưa vào hoặc loại trừ trong bản Công bố áp dụng. Có thể sử dụng kiểm soát từ nguồn khác.

4. Lợi ích của việc xác định phạm vi ISMS

Xác định phạm vi giúp hiểu môi trường hoạt động, các yêu cầu an toàn thông tin và thông tin cần ưu tiên bảo vệ. Thiết lập, lập thành văn bản phạm vi từ sớm tạo cơ sở cho tài liệu và hoạt động triển khai ISMS tiếp theo.