Tầm quan trọng của kiểm toán an toàn thông tin định kỳ

Kiểm toán an toàn thông tin định kỳ là cách để doanh nghiệp kiểm chứng rằng những gì ghi trong chính sách thực sự đang diễn ra trong thực tế. Không có kiểm toán, tổ chức dễ sống trong cảm giác an toàn giả: tường lửa đã mua nhưng quy tắc lỏng lẻo, sao lưu đã cấu hình nhưng thất bại âm thầm, tài khoản người nghỉ việc vẫn hoạt động. Bài viết giải thích vì sao kiểm toán quan trọng, các loại đánh giá thường gặp, phạm vi cần bao phủ và cách biến kết quả kiểm toán thành cải tiến thực sự.

Kiểm toán mang lại gì cho doanh nghiệp

• Phát hiện khoảng trống: giữa chính sách và thực tế, giữa rủi ro và biện pháp kiểm soát.
• Ưu tiên đầu tư: biết nên chi tiền vào đâu thay vì mua theo xu hướng.
• Tuân thủ: đáp ứng yêu cầu pháp lý, tiêu chuẩn và hợp đồng với đối tác.
• Niềm tin: có bằng chứng để trình bày với khách hàng, nhà đầu tư, ban lãnh đạo.
• Cải tiến liên tục: mỗi lần kiểm toán là một vòng học hỏi.

Phân biệt các loại đánh giá

Các loại này bổ sung cho nhau. Quét lỗ hổng thường xuyên, kiểm thử xâm nhập theo định kỳ hoặc khi có thay đổi lớn, kiểm toán tuân thủ theo chu kỳ của tiêu chuẩn áp dụng.

Kiểm toán nội bộ và kiểm toán độc lập

• Nội bộ: do nhân sự trong tổ chức (không trực tiếp vận hành hệ thống được kiểm toán) thực hiện. Ưu điểm là hiểu môi trường, chi phí thấp, thực hiện thường xuyên.
• Độc lập: do đơn vị bên ngoài thực hiện. Khách quan hơn, có góc nhìn từ nhiều tổ chức khác, cần thiết cho chứng nhận.

Mô hình phổ biến là kiểm toán nội bộ định kỳ kết hợp đánh giá độc lập theo chu kỳ dài hơn. Nếu doanh nghiệp theo đuổi các chuẩn như ISO/IEC 27001, kiểm toán nội bộ là yêu cầu bắt buộc của hệ thống quản lý; xem bài bảo vệ dữ liệu khách hàng theo tiêu chuẩn quốc tế.

Phạm vi kiểm toán nên bao phủ

Quản trị và chính sách

• Chính sách bảo mật có được cập nhật, phổ biến, tuân thủ không.
• Vai trò, trách nhiệm có rõ ràng không.
• Đánh giá rủi ro gần nhất là khi nào.

Quản lý truy cập

• Tài khoản người nghỉ việc đã bị vô hiệu hóa chưa.
• MFA đã bật cho tài khoản quan trọng chưa.
• Quyền có được rà soát định kỳ không. Chi tiết trong bài quản lý quyền truy cập.

Hạ tầng kỹ thuật

• Bản vá có được cài kịp thời không.
• Quy tắc tường lửa có thừa, có quy tắc "cho phép tất cả" không.
• Dịch vụ nào đang mở ra Internet.
• Thiết bị có được mã hóa, có phần mềm bảo vệ không.

Sao lưu và khôi phục

• Sao lưu có chạy thành công không.
• Lần khôi phục thử gần nhất là khi nào, kết quả thế nào.

Ứng phó sự cố

• Có kế hoạch không, đã diễn tập chưa.
• Nhật ký có được thu thập và ai xem.

Con người và bên thứ ba

• Nhân viên có được đào tạo không.
• Nhà cung cấp xử lý dữ liệu có được đánh giá không.

Quy trình một cuộc kiểm toán

1. Lập kế hoạch: xác định mục tiêu, phạm vi, tiêu chí, lịch trình, người tham gia.
2. Thu thập bằng chứng: tài liệu, cấu hình, nhật ký, phỏng vấn, quan sát, kiểm tra mẫu.
3. Đánh giá: so sánh thực tế với tiêu chí, xác định điểm không phù hợp.
4. Báo cáo: phát hiện, mức độ nghiêm trọng, bằng chứng, khuyến nghị.
5. Kế hoạch khắc phục: chủ sở hữu, thời hạn cho từng phát hiện.
6. Theo dõi: kiểm tra việc khắc phục đã hoàn thành.

Biến phát hiện thành hành động

Báo cáo kiểm toán chỉ có giá trị khi được hành động. Một số nguyên tắc:

• Xếp hạng phát hiện theo rủi ro, xử lý mức cao trước.
• Mỗi phát hiện có người chịu trách nhiệm và hạn chót rõ ràng.
• Báo cáo tiến độ cho ban lãnh đạo.
• Với rủi ro chưa xử lý được, ghi nhận chấp nhận rủi ro có phê duyệt của người có thẩm quyền.
• Tìm nguyên nhân gốc rễ, không chỉ sửa triệu chứng. Ví dụ, tài khoản người nghỉ việc còn hoạt động là triệu chứng; quy trình nhân sự không thông báo cho IT là nguyên nhân.

Chuẩn bị cho một cuộc kiểm toán

Kiểm toán diễn ra suôn sẻ hơn nhiều khi tổ chức chuẩn bị tốt, không phải bằng cách "làm đẹp hồ sơ" mà bằng cách duy trì bằng chứng trong quá trình vận hành hằng ngày. Một số việc nên làm thường xuyên:

• Lưu biên bản rà soát quyền truy cập, kèm người xác nhận và ngày thực hiện.
• Giữ báo cáo sao lưu và kết quả các lần khôi phục thử.
• Ghi nhận các thay đổi cấu hình quan trọng qua quy trình quản lý thay đổi.
• Lưu danh sách nhân viên đã hoàn thành đào tạo bảo mật.
• Duy trì sổ đăng ký rủi ro và sổ ghi nhận sự cố.

Khi bằng chứng được tạo ra như một phần tự nhiên của công việc, kiểm toán trở thành dịp kiểm tra thực chất thay vì một đợt chạy nước rút căng thẳng trước ngày đánh giá.

Tần suất kiểm toán hợp lý

Không có con số chung cho mọi tổ chức. Nhiều doanh nghiệp thực hiện đánh giá toàn diện mỗi năm một lần, quét lỗ hổng hàng tháng hoặc liên tục, rà soát quyền mỗi quý, và đánh giá bổ sung khi triển khai hệ thống mới, sau sự cố hoặc khi có thay đổi lớn về tổ chức. Tiêu chuẩn và hợp đồng cụ thể có thể quy định tần suất bắt buộc.

Sai lầm thường gặp

• Coi kiểm toán là thủ tục, chuẩn bị hồ sơ đẹp trước ngày kiểm toán.
• Phạm vi quá hẹp, bỏ qua dịch vụ đám mây, chi nhánh, bên thứ ba.
• Người kiểm toán cũng là người vận hành hệ thống.
• Không theo dõi khắc phục, phát hiện năm sau lặp lại năm trước.

Kết quả kiểm toán cũng là đầu vào quý giá để cập nhật chính sách, như trình bày trong bài xây dựng chính sách bảo mật nội bộ.