Xây dựng chính sách bảo mật thông tin nội bộ vững chắc

Một chính sách bảo mật thông tin nội bộ vững chắc là bộ quy định rõ ràng về cách tổ chức bảo vệ dữ liệu và hệ thống: ai chịu trách nhiệm, được làm gì, không được làm gì, và làm gì khi có sự cố. Chính sách tốt không phải tài liệu dày cộp sao chép từ mẫu trên mạng, mà phản ánh đúng rủi ro của doanh nghiệp, được viết dễ hiểu, được nhân viên biết đến và được thực thi. Bài viết hướng dẫn cách xây dựng bộ chính sách từ cấu trúc đến triển khai.

Vì sao cần chính sách bằng văn bản

• Thống nhất kỳ vọng: nhân viên biết rõ quy tắc thay vì mỗi người hiểu một kiểu.
• Cơ sở để thực thi: khi có vi phạm, tổ chức có căn cứ xử lý.
• Nền tảng cho biện pháp kỹ thuật: cấu hình hệ thống cần dựa trên quyết định chính sách.
• Tuân thủ: các tiêu chuẩn và quy định về bảo vệ dữ liệu đều yêu cầu có chính sách.
• Bằng chứng với đối tác: khách hàng doanh nghiệp thường yêu cầu xem chính sách bảo mật.

Cấu trúc bộ tài liệu chính sách

Tách cấp giúp chính sách tổng thể ngắn gọn, ổn định, trong khi tiêu chuẩn và quy trình có thể cập nhật thường xuyên theo công nghệ.

Nội dung cốt lõi cần có

1. Phạm vi và trách nhiệm

Áp dụng cho ai (nhân viên, nhà thầu, thực tập sinh), hệ thống nào. Ai là người chịu trách nhiệm chung về an toàn thông tin, vai trò của lãnh đạo, quản lý, IT và từng nhân viên.

2. Phân loại và xử lý dữ liệu

Các mức phân loại như Công khai, Nội bộ, Mật, Tuyệt mật, và quy tắc lưu trữ, chia sẻ, in ấn, hủy cho từng mức.

3. Kiểm soát truy cập

Nguyên tắc đặc quyền tối thiểu, quy trình cấp và thu hồi quyền, rà soát định kỳ. Xem bài quản lý quyền truy cập dữ liệu nhạy cảm.

4. Mật khẩu và xác thực

Yêu cầu mật khẩu dài, không dùng lại, sử dụng trình quản lý mật khẩu, bắt buộc xác thực đa yếu tố cho hệ thống quan trọng.

5. Sử dụng thiết bị và tài sản

Quy định về máy tính công ty, thiết bị cá nhân dùng cho công việc, thiết bị lưu trữ di động, mã hóa, khóa màn hình. Xem thêm bài bảo mật thiết bị lưu trữ di động.

6. Sử dụng email, Internet và ứng dụng

Ứng dụng nào được phép, quy định về phần mềm tự cài, dịch vụ đám mây cá nhân, công cụ trí tuệ nhân tạo trực tuyến khi xử lý dữ liệu công ty.

7. Làm việc từ xa

Yêu cầu dùng VPN, bảo mật mạng tại nhà, không làm việc với dữ liệu nhạy cảm ở nơi công cộng. Xem bài cấu hình VPN cho nhân viên.

8. Sao lưu và khôi phục

Dữ liệu nào phải sao lưu, tần suất, nơi lưu, trách nhiệm kiểm tra.

9. Ứng phó sự cố

Thế nào là sự cố, báo cáo cho ai, trong bao lâu. Nhấn mạnh việc báo cáo sớm, kể cả khi chỉ nghi ngờ.

10. Bên thứ ba

Yêu cầu bảo mật với nhà cung cấp, đối tác được tiếp cận dữ liệu.

11. Bảo vệ dữ liệu cá nhân

Nguyên tắc xử lý dữ liệu cá nhân phù hợp với pháp luật hiện hành, quyền của chủ thể dữ liệu.

12. Giám sát và xử lý vi phạm

Phạm vi giám sát hệ thống công ty, hình thức xử lý vi phạm, liên kết với nội quy lao động.

Viết chính sách để người ta đọc được

• Ngắn gọn: chính sách tổng thể chỉ nên vài trang.
• Ngôn ngữ đơn giản: tránh thuật ngữ khó hiểu, giải thích khi buộc phải dùng.
• Rõ ràng "phải" và "nên": phân biệt yêu cầu bắt buộc với khuyến nghị.
• Có ví dụ: "Không gửi danh sách khách hàng về email cá nhân" dễ hiểu hơn "không chuyển dữ liệu mật qua kênh không được phê duyệt".
• Giải thích lý do: người hiểu vì sao sẽ tuân thủ tốt hơn.
• Thực tế: quy định không thể thực hiện được sẽ bị phớt lờ, làm giảm uy tín toàn bộ chính sách.

Quy trình xây dựng

1. Đánh giá rủi ro và hiện trạng: tổ chức đang có gì, rủi ro chính là gì.
2. Xác định yêu cầu bên ngoài: pháp luật, tiêu chuẩn, hợp đồng.
3. Soạn thảo với sự tham gia của các bộ phận: IT, nhân sự, pháp chế, đại diện nghiệp vụ.
4. Lãnh đạo phê duyệt và ký cam kết.
5. Phổ biến: đào tạo, ký xác nhận đã đọc, đưa vào quy trình tiếp nhận nhân viên mới.
6. Thực thi: cấu hình kỹ thuật tương ứng, giám sát tuân thủ.
7. Rà soát: ít nhất mỗi năm và khi có thay đổi lớn.

Thực thi: chính sách sống hay chết

Chính sách chỉ có ý nghĩa khi được thực thi nhất quán. Biện pháp kỹ thuật nên phản ánh chính sách, ví dụ chính sách yêu cầu MFA thì hệ thống phải bắt buộc MFA chứ không chỉ khuyến khích. Kiểm toán định kỳ giúp kiểm tra mức độ tuân thủ; xem bài tầm quan trọng của kiểm toán an toàn thông tin. Xử lý vi phạm cần công bằng, áp dụng cho mọi cấp, kể cả lãnh đạo.

Những sai lầm thường gặp

• Sao chép nguyên mẫu từ tổ chức khác, không phù hợp thực tế.
• Viết xong cất vào tủ, không ai biết đến.
• Quá nhiều ngoại lệ không được ghi nhận.
• Không cập nhật khi công nghệ thay đổi, ví dụ chuyển lên đám mây, làm việc từ xa.
• Chỉ IT chịu trách nhiệm, các bộ phận khác coi là "việc của IT".