HƯỚNG DẪN CƠ BẢN XÂY DỰNG HỒ SƠ ĐỀ XUẤT CẤP ĐỘ AN TỒN HỆ THỐNG THƠNG TIN Hồ sơ đề xuất cấp độ gồm 02 loại tài liệu cứng: Tài liệu thuyết minh Hồ sơ đề xuất cấp độ Tài liệu thiết kế hệ thống Ngồi ra, có thêm văn ý kiến mặt chun mơn đơn vị chun trách an tồn thông tin chủ quản hệ thống thông tin hệ thống thông tin đề xuất cấp độ cấp độ Tài liệu thuyết minh Hồ sơ đề xuất cấp độ bao gồm nội dung: a) Mô tả, thuyết minh tổng quan hệ thống thông tin b) Thuyết minh việc đề xuất cấp độ tiêu chí theo quy định pháp luật c) Thuyết minh phương án bảo đảm an tồn thơng tin theo cấp độ tương ứng Tài liệu thiết kế hệ thống tài liệu sau: a) Đối với dự án đầu tư xây dựng mở rộng, nâng cấp hệ thống thơng tin: Thiết kế sơ tài liệu có giá trị tương đương; b) Đối với hệ thống thông tin vận hành: Thiết kế thi công cấp có thẩm quyền phê duyệt tài liệu có giá trị tương đương Khi xây dựng Hồ sơ đề xuất cấp độ cần ý, hệ thống thơng tin lớn có nhiều hệ thống thành phần, đó, hệ thống thành phần quản lý, chia sẻ hạ tầng dùng chung, có đơn vị vận hành triển khai phương án bảo đảm an tồn thơng tin chung cho tồn hạ tầng đó, xây dựng Hồ sơ đề xuất cấp độ chung cho hệ thống thông tin thành phần Chỉ xây dựng Hồ sơ đề xuất cấp độ riêng biệt trường hợp độc lập hạ tầng, chế quản lý đơn vị vận hành Xây dựng Hồ sơ đề xuất cấp độ theo hướng dẫn mẫu sau: CHỦ QUẢN HỆ THỐNG THÔNG TIN ĐƠN VỊ VẬN HÀNH HỆ THỐNG THÔNG TIN (MẪU) TÀI LIỆU THUYẾT MINH HỒ SƠ ĐỀ XUẤT CẤP ĐỘ CHO HỆ THỐNG THƠNG TIN A Quảng Bình, năm PHẦN I THUYẾT MINH TỔNG QUAN VỀ HỆ THỐNG THƠNG TIN Thơng tin Chủ quản hệ thống thông tin Hướng dẫn: Cung cấp thông tin Chủ quản hệ thống thông tin, bao gồm: - Tên Tổ chức: (Ví dụ) Cơ quan A - Số Quyết định thành lập/Quy định chức năng, nhiệm vụ quyền hạn - Người đại diện: Họ tên, Chức vụ - Địa chỉ: Địa trụ sở quan - Thông tin liên hệ: Số điện thoại, thư điện tử Thông tin Đơn vị vận hành Hướng dẫn: Cung cấp thông tin đơn vị vận hành, bao gồm: - Tên Đơn vị vận hành: (Ví dụ) Đơn vị AA - Số Quyết định thành lập/Quy định chức năng, nhiệm vụ quyền hạn - Người đại diện: Họ tên, Chức vụ - Địa chỉ: Địa trụ sở đơn vị - Thông tin liên hệ: Số điện thoại, thư điện tử Trường hợp hệ thống thông tin lớn có nhiều đơn vị vận hành khác cung cấp đầy đủ thơng tin đơn vị vận hành Mô tả phạm vi, quy mô hệ thống Hướng dẫn: Mô tả phạm vi, quy mô, thành phần ứng dụng, dịch vụ đối tượng cung cấp dịch vụ Hệ thống Chú ý hệ thống thơng tin bao gồm nhiều hệ thống thông tin thành phần thành phần cung cấp ứng dụng, dịch vụ khác Ví dụ: - Phạm vi, quy mô hệ thống: Hệ thống thông tin A thiết lập để phục vụ công tác đạo điều hành, cung cấp thông tin cung cấp dịch vụ công trực tuyến tỉnh/cơ quan A - Đối tượng phục vụ hệ thống: Cơ quan, tổ chức, doanh nghiệp, người dẫn địa bàn tỉnh/cơ quan A - Danh mục hệ thống thông tin thành phần/các dịch vụ cung cấp hệ thống A: + Hệ thống quản lý văn điều hành + Hệ thống thông tin cửa điện tử + Hệ thống cổng thông tin điện tử + Hệ thống thư điện tử công vụ + Hệ thống báo cáo trực tuyến thông tin KT-XH + Hệ thống quản lý hồ sơ CBCCVC đánh giá kết làm việc + Hệ thống quản lý công tác tra… Mô tả cấu trúc hệ thống Hướng dẫn: Mô tả cấu trúc Hệ thống, bao gồm thông tin: a) Cấu trúc logic mô tả thiết kế vùng mạng chức có hệ thống; hướng kết nối mạng; thiết bị đầu cuối; thiết bị mạng Trường hợp thiết bị vật lý cài đặt thành phần ảo hóa logic, hoạt động thiết bị độc lập sơ đồ logic thể thành phần ảo hóa logic thay cho thiết bị vật lý Trường hợp hệ thống thơng tin có cấu trúc đặt thù theo chức khơng có vùng mạng đưa Thông tư số 03/2017/TTBTTTT Bộ TT&TT quy định chi tiết hướng dẫn số điều Nghị định 85/2016/NĐ-CP ngày 01/7/2016 Chính phủ bảo đảm an tồn hệ thống thơng tin theo cấp độ (gọi tắt Thơng tư 03) việc mơ tả cấu trúc hệ thống thơng tin mô tả theo cấu trúc thực tế hệ thống b) Cấu trúc vật lý mô tả thiết bị mạng, thiết bị đầu cuối có hệ thống kết nối vật lý thiết bị c) Cung cấp danh mục thiết bị sử dụng hệ thống: Cung cấp thông tin thiết bị mạng thiết bị đầu cuối có hệ thống Bao gồm thông tin Tên thiết bị/Chủng loại; Vị trí triển khai, trường hợp thiết bị vật lý chia thành thiết bị logic vị trí triển khai vị trí thiết bị logic d) Danh mục ứng dụng/dịch vụ cung cấp hệ thống (bao gồm ứng dụng nghiệp vụ quản lý văn bản, thư điện tử… dịch vụ hệ thống DNS, DHCP, NTP…) : Cung cấp thơng tin ứng dụng/dịch vụ có hệ thống bao gồm Tên dịch vụ; Máy chủ triển khai/Vị trí triển khai/Hệ điều hành máy chủ; Mục đích sử dụng dịch vụ Ví dụ 1: Mơ tả cấu trúc hệ thống Hệ thống A sau: a) Sơ đồ logic tổng thể Hình 1: Cấu trúc logic hệ thống A Các vùng mạng thiết kế sau: + Vùng mạng biên thiết kế để kết nối hệ thống mạng A mạng bên mạng Internet; bảo vệ hệ thống A từ bên Internet Vùng mạng triển khai hệ thống phịng chống cơng DDoS Thiết bị cung cấp cổng kết nối VPN + Vùng DMZ đặt máy chủ công cộng, cung cấp dịch vụ bên ngồi Internet Vùng mạng triển khai thiết bị phịng chống xâm nhập IPS, thiết bị Web Application Firewall, thiết bị Anti-Spam + Vùng mạng quản trị đặt máy chủ quản trị máy chủ hệ thống + Vùng máy chủ nội đặt máy chủ nội bộ, cung cấp dịch vụ nội cho người sử dụng hệ thống Vùng mạng triển khai thiết bị phòng chống xâm nhập IPS, thiết bị Web Application Firewall, thiết bị tường lửa cho CSDL… + Vùng mạng nội đặt máy tính người sử dụng b) Sơ đồ kết nối vật lý Hình 2: Kết nối vật lý Hệ thống A c) Danh mục thiết bị sử dụng hệ thống STT Tên thiết bị/Chủng loại Vị trí triển khai Mục đích sử dụng Router01/Cisco3 Vùng mạng biên 800 Kết nối định tuyến động với Router 02 ISP Firewall01/ASA Vùng DMZ 5505 Quản lý truy cập bảo vệ vùng mạng DMZ … … … d) Danh mục ứng dụng/dịch vụ cung cấp hệ thống STT Tên dịch vụ Máy chủ triển khai Máy chủ Noibo01/ Hệ thống quản Vùng máy chủ nội lý văn bộ/ WindowServer điều hành 2012 Mục đích sử dụng Cung cấp ứng dụng quản lý văn cho cán bên hệ thống; kết nối, liên thông với hệ thống liên quan Hệ thống thông Máy chủ Noibo02/ Cung cấp ứng dụng theo dõi, tin cửa điện Vùng máy chủ nội quản lý thông tin tiếp nhận, tử bộ/ Centos7 giải TTHC bên hệ thống cung cấp thông tin cơng khai DVCTT, tình trạng giải TTHC cho người sử dụng bên Internet … … … PHẦN II THUYẾT MINH ĐỀ XUẤT CẤP ĐỘ AN TOÀN HỆ THỐNG THƠNG TIN Danh mục hệ thống thơng tin cấp độ đề xuất tương ứng Hướng dẫn: Việc xác định cấp độ hệ thống thông tin vào loại thơng tin hệ thống xử lý loại hình hệ thống thơng tin Khi xác định cấp độ, ta không cần thiết phải liệt kê hết tiêu chí, mà đưa tiêu chí tiêu chí đủ để xác định cấp độ cao Trường hợp hệ thống thông tin lớn, bao gồm nhiều thành phần khác nhau, cần xác định loại thơng tin loại hình thành phần tương ứng Thành phần có tiêu chí để đề xuất cấp độ cao định cấp độ an tồn thơng tin hệ thống Do đó, xác định cấp độ Hệ thống thông tin cần xác định thành phần hệ thống thông tin tổng thể khớp với tiêu chí xác định cấp độ cấp cao Thành phần hệ thống thơng tin phân chia nhiều hình thức khác nhau, miễn ta phân biệt thành phần với thành phần khác hệ thống theo cách phân chia thực Thành phần hệ thống phân theo ứng dụng/dịch vụ cụ thể (Thư điện tử, Cổng thông tin điện tử…) phân theo vùng mạng (Vùng DMZ, Vùng máy chủ nội bộ,…) hay chức (Hệ thống chăm sóc khác hàng, hệ thống truyền hình trực tuyến…) thành phần Khi thành phần hệ thống phân chia theo ứng dụng/dịch vụ quy hoạch vào vùng mạng ứng dụng/dịch vụ quan trọng định tiêu chí xác định cấp độ vùng mạng Chú ý: Việc phân chia hệ thống thơng tin thành thành phần cần phải đảm bảo số lượng thành phần nhỏ, đơn giản đủ để áp dụng tiêu chí để xác định cấp độ cho hệ thống thơng tin Ví dụ: Hệ thống thông tin thuộc phạm vi quản lý quan A bao gồm hệ thống thông tin với cấp độ đề xuất tương ứng, bao gồm: STT Hệ thống Loại thông tin xử lý Hệ thống sở hạ tầng thông tin dùng chung phục vụ hoạt động quan, tổ chức phạm vi ngành/tỉnh Phịng máy chủ/Trung tâm tích hợp liệu tỉnh Hệ thống quản lý Thông văn điều riêng hành tỉnh Loại hình HTTT Hệ thống thông tin phục tin vụ hoạt động nội quan nhà nước tỉnh Thông tin công cộng, Hệ thống cửa thông tin điện tử tỉnh riêng thông tin cá nhân Hệ thống thông tin phục vụ người dân, doanh nghiệp, Cổng thông tin Thông tin cung cấp điện tử tỉnh công cộng thông tin DVC trực tuyến từ mức độ trở xuống Hệ thống thư điện Thông tử công vụ tỉnh riêng Hệ thống thông tin phục vụ người dân, doanh nghiệp tin Hệ thống thông tin phục vụ hoạt động nội quan nhà nước tỉnh kết hợp cung cấp Cấp độ đề xuất Căn đề xuất Khoản 3, Điều Nghị định số 85/2016/NĐ-CP Khoản 1, Điều Nghị định số 85/2016/NĐ-CP Khoản 2, Điều Nghị định số 85/2016/NĐ-CP Điểm a, Khoản 2, Điều Nghị định số 85/2016/NĐ-CP Điểm c, Khoản 2, Điều Nghị định số 85/2016/NĐ-CP dịch vụ trực tuyến có xử lý thơng tin riêng 10.000 người sử dụng Hệ thống quản lý hồ sơ CBCCVC Thông đánh giá kết riêng làm việc tỉnh Hệ thống mạng nội - LAN quan … Hệ thống thông tin phục tin vụ hoạt động nội quan nhà nước tỉnh Hệ thống sở hạ tầng thông tin phục vụ hoạt động quan Khoản 1, Điều Nghị định số 85/2016/NĐ-CP Khoản 3, Điều Nghị định số 85/2016/NĐ-CP Thuyết minh chi tiết hệ thống thông tin Hướng dẫn: Nội dung yêu cầu hệ thống đề xuất cấp độ cấp độ 5, theo khoản 4, Điều Thông tư 03 Bao gồm nội dung: 1) Xác định hệ thống thông tin khác có liên quan có kết nối đến có ảnh hưởng quan trọng tới hoạt động bình thường hệ thống thơng tin đề xuất; đó, xác định rõ mức độ ảnh hưởng đến hệ thống thông tin đề xuất cấp độ hệ thống bị an tồn thơng tin; 2) Danh mục đề xuất thành phần, thiết bị mạng quan trọng mức độ quan trọng; 3) Thuyết minh nguy cơng mạng, an tồn thông tin hệ thống ảnh hưởng; 4) Đánh giá phạm vi mức độ ảnh hưởng tới lợi ích cơng cộng, trật tự an tồn xã hội quốc phòng, an ninh quốc gia bị cơng mạng gây an tồn thơng tin gián đoạn hoạt động; 5) Thuyết minh yêu cầu cần phải vận hành 24/7 không chấp nhận ngừng vận hành mà khơng có kế hoạch trước Ví dụ: Đối với Hệ thống thông tin B đề xuất cấp độ sau: 1) Danh mục hệ thống thơng tin khác có kết nối có liên quan đến hệ thống thông tin B mức độ ảnh hưởng đến hệ thống thông tin B hệ thống bị an tồn thơng tin: - Hệ thống mạng ISP, hệ thống có cố làm kết nối truy cập từ xa từ hệ thống thành phần hệ thống trung tâm qua kết nối VPN - Hệ thống sở liệu quốc gia điện lực, hệ thống bị an tồn thơng tin làm lộ lọt thông tin liên quan đến hoạt động kinh doanh, sản xuất, an tồn cơng trình Nhà máy Thủy điện/Cơng trình thủy lợi B (hệ thống bị phá hoại làm tổn hại nghiêm trọng) 2) Danh mục đề xuất thành phần, thiết bị mạng mức độ quan trọng: Thông tin xử lý Chức năng/ Mức độ quan trọng Router01 Toàn thông tin từ bên mạng trao đổi với mạng bên hệ thống trung tâm Kết nối hệ thống với mạng bên ngoài; làm toàn kết nối tới mạng bên hệ thống gặp cố Firewall01 Quản lý truy cập bảo vệ vùng mạng OT; làm ATTT Thông tin vào/ra vùng cho hệ thống máy chủ điều mạng OT từ mạng IT khiển bị chiếm quyền điều khiển xảy cố SCADAServer01 Lưu trữ quản lý thông tin điều khiển hoạt động hệ Thông tin điều khiển hoạt thống liệu giám sát; làm động hệ thống ngừng hoạt động làm phá liệu giám sát hoại liệu hệ thống bị chiếm quyền điều khiển xảy cố STT Tên thiết bị 3) Thuyết minh nguy công mạng, an tồn thơng tin hệ thống ảnh hưởng: - Nguy công, chiếm quyền điều khiển thơng qua điểm yếu an tồn thông tin máy chủ điều khiển làm ngừng hoạt động toàn hệ thống; - Nguy cơng mạng mã độc vào máy tính cán quản trị hệ thống, làm lộ lọt thông tin quản trị hệ thống, dẫn tới máy chủ hệ thống bị chiếm quyền điều khiển bị phá hủy; 10 - Nguy công từ mạng IT (Information Technology) sang mạng OT (Operator Technology); - Mô tả nguy cơng khác (nếu có) 4) Đánh giá phạm vi mức độ ảnh hưởng tới lợi ích cơng cộng, trật tự an tồn xã hội quốc phịng, an ninh quốc gia bị cơng mạng gây an tồn thơng tin gián đoạn hoạt động Ví dụ: Hệ thống sử dụng để điều khiển hoạt động bình thường Cơng trình Thủy điện/thủy điện B địa bàn tỉnh Q, bị phá hoại làm ngừng cung cấp điện cho toàn nhà máy, hộ dân địa bàn tỉnh, làm ảnh hưởng đặc biệt nghiêm trọng tới lợi ích công cộng 5) Thuyết minh yêu cầu cần phải vận hành 24/7 không chấp nhận ngừng vận hành mà khơng có kế hoạch trước Ví dụ: Do đặc thù hệ thống cung cấp điện phục vụ sản xuất, kinh doanh nhà máy, doanh nghiệp địa bàn, yêu cầu hệ thống phải đảm bảo hoạt động 24/7 PHẦN III THUYẾT MINH PHƯƠNG ÁN BẢO ĐẢM AN TỒN HỆ THỐNG THƠNG TIN Hướng dẫn chung: Đối với hệ thống thông tin/hệ thống thành phần độc lập hạ tầng, đơn vị vận hành sách quản lý xây dựng phương án bảo đảm an tồn thơng tin riêng cho hệ thống Phương án bảo đảm an tồn thơng tin hệ thống thông tin mới, cần phương án triển khai cụ thể xây dựng thiết lập hệ thống Ví dụ để đáp ứng yêu cầu an tồn thơng tin sử dụng giải pháp gì, phương án triển khai Phương án bảo đảm an tồn thơng tin hệ thống đưa vào quản lý vận hành, cần rõ yêu cầu đáp ứng mô tả ngắn gọn giải pháp phương án triển khai Đối với yêu cầu chưa đáp ứng, cần mô tả phương án dự kiến sử dụng gì, kế hoạch lộ trình triển khai để đáp ứng yêu cầu an toàn Để thuyết minh chi tiết việc đáp ứng yêu cầu an toàn quy định Thơng tư 03, tham khảo u cầu an toàn cụ thể Tiêu chuẩn quốc gia TCVN 11930:2017 yêu cầu an toàn hệ thống thông tin theo cấp độ Yêu cầu quản lý 11 Hướng dẫn: Tùy theo cấp độ đề xuất tương ứng, thuyết minh phương án bảo đảm an toàn thông tin đáp ứng ứng yêu cầu quản lý cần: - Đối với hệ thống thông tin xây dựng phải có dự thảo Chính sách an tồn thơng tin đáp ứng yêu cầu quản lý quy định Thông tư 03 thuyết minh theo hướng dẫn tài liệu này, Chủ quản hệ thống thông tin ban hành sau đưa hệ thống vào vận hành, khai thác - Đối với hệ thống thông tin đưa vào vận hành, khai thác phải có Chính sách an tồn thơng tin Quy chế bảo đảm an tồn thơng tin đáp ứng u cầu quản lý quy định Thông tư 03 thuyết minh theo hướng dẫn tài liệu này, Chủ quản hệ thống thông tin phê duyệt ban hành Thuyết minh phương án đáp ứng yêu cầu quản lý theo cấu trúc sau: 1.1 Mục tiêu, nguyên tắc bảo đảm an tồn thơng tin 1.2 Trách nhiệm đơn vị chun trách an tồn thơng tin, cán làm an tồn thơng tin, người sử dụng đầu cuối, đối tượng thuộc phạm vi điều chỉnh sách an tồn thơng tin 1.3 Phạm vi sách an tồn thơng tin 1.4 Tổ chức bảo đảm an tồn thơng tin 1.5 Bảo đảm nguồn nhân lực 1.6 Quản lý thiết kế, xây dựng hệ thống (cấp độ trở lên) 1.7 Quản lý vận hành hệ thống - Quản lý an toàn máy chủ - Quản lý an toàn ứng dụng - Quản lý an toàn liệu - Quản lý an toàn mạng (cấp độ trở lên) - Quản lý cố an tồn thơng tin - Quản lý an tồn người sử dụng đầu cuối Đối với hệ thống thông tin cấp độ trở lên cần bổ sung: - Quản lý an toàn thiết bị đầu cuối - Quản lý phòng chống phần mềm độc hại - Quản lý giám sát an tồn hệ thống thơng tin - Quản lý điểm yếu an tồn thơng tin 1.8 Kiểm tra, đánh giá quản lý rủi ro (cấp độ trở lên) 12 Yêu cầu kỹ thuật Hướng dẫn: Tùy thuộc vào đặc trưng hệ thống cụ thể, việc thuyết minh phương án bảo đảm an toàn thơng tin thuyết minh cho phù hợp với đặc thù hệ thống Ví dụ: Trường hợp có hệ thống thơng tin có tính chất đặc thù hệ thống điều khiển cơng nghiệp, khơng có kết nối Internet, khơng phải thuyết minh phương án phịng chống DDoS hay thiết kế vùng mạng DMZ… Chú ý: Một yêu cầu kỹ thuật thực nhiều phương án khác Đối với hệ thống thông tin cấp độ 1,2 cấp độ để giảm thiểu chi phí đầu tư để đáp ứng yêu cầu kỹ thuật không thiết phải đầu tư thiết bị chuyên dụng mà sử dụng chia sẻ đưa phương án tương đương khác Ví dụ: Yêu cầu phương án xử lý cơng DDoS th dịch vụ xây dựng phương án xử lý riêng mình, dựa lực hệ thống có, thay đầu tư thiết bị xử lý công DDoS chuyên dụng Thuyết minh phương án đáp ứng yêu cầu kỹ thuật theo cấu trúc sau: 2.1 Bảo đảm an toàn mạng (cấp độ trở lên) a) Thiết kế hệ thống b) Kiểm sốt truy cập từ bên ngồi mạng c) Kiểm soát truy cập từ bên mạng d) Nhật ký hệ thống e) Phòng chống xâm nhập f) Phòng chống phần mềm độc hại môi trường mạng g) Bảo vệ thiết bị hệ thống 2.2 Bảo đảm an tồn máy chủ a) Xác thực b) Kiểm sốt truy cập c) Nhật ký hệ thống d) Phòng chống xâm nhập e) Phòng chống phần mềm độc hại f) Xử lý máy chủ chuyển giao 2.3 Bảo đảm an tồn ứng dụng a) Xác thực 13 b) Kiểm sốt truy cập c) Nhật ký hệ thống d) Bảo mật thông tin liên lạc e) Chống chối bỏ 2.4 Bảo đảm an toàn liệu a) Nguyên vẹn liệu b) Bảo mật liệu c) Sao lưu dự phòng Lưu ý: Nghiên cứu hướng dẫn Điều 8, Điều Phụ lục từ đến Thông tư số 03/2017/TT-BTTTT 14 ... vận hành mà khơng có kế ho? ??ch trước Ví dụ: Do đặc thù hệ thống cung cấp điện phục vụ sản xuất, kinh doanh nhà máy, doanh nghiệp địa bàn, yêu cầu hệ thống phải đảm bảo ho? ??t động 24/7 PHẦN III... Hệ thống thông tin phục tin vụ ho? ??t động nội quan nhà nước tỉnh Hệ thống sở hạ tầng thông tin phục vụ ho? ??t động quan Khoản 1, Điều Nghị định số 85/2016/NĐ-CP Khoản 3, Điều Nghị định số 85/2016/NĐ-CP... Nội dung yêu cầu hệ thống đề xuất cấp độ cấp độ 5, theo khoản 4, Điều Thông tư 03 Bao gồm nội dung: 1) Xác định hệ thống thơng tin khác có liên quan có kết nối đến có ảnh hưởng quan trọng tới ho? ??t