QUI TRÌNH KHẢO SÁT AN NINH MẠNG DOANH NGHIỆP

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 1 |
P a g e


QUI TRÌNH KHẢO SÁT AN NINH MẠNG DOANH NGHIỆP


I/ Tường lửa lớp ngoài
Chính sách tại tuờng lửa lớp ngoài. Truy cập từ Internet, mạng bên ngoài vào mạng
Cấm truy cập từ bên ngoài vào mạng riêng bên trong (private network)
- Có
- Không có
- Không xác ñịnh

Cấm truy cập tệp tin từ bên ngoài vào.
- Có
- Không có
- Không xác ñịnh

Nếu thiết lập vùng DMZ chỉ ñược phép truy cập các cổng sau ñây với một số ñối tượng (các
trường hợp còn lại ñều bị cấm)
Web-Server.
Chỉ ñược phép truy cập vô danh với cổng 80.
- Có
- Không có
- Không xác ñịnh

Cho phép người quản trị WEB server truy cập FTP có xác thực tới cổng 21 và 20 (Có

thể xác thực /phân quyền trên TL) chỉ ñược từ phân vùng quản trị (với ñịa chỉ IP
riêng).
- Có
- Không có
- Không xác ñịnh

Từ mạng an toàn, chỉ có thể từ vùng quản lý quản trị (với IP của quản trị) có thể truy
cập từ xa theo giao thức rsh lên WEB- server.
- Có

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 2 |
P a g e

- Không có
- Không xác ñịnh

Mail-Server (SMTP và POP3)
Chỉ cho phép truy cập từ mạng nội bộ tới cổng POP3 – 110, ngoại trừ mạng con
Phòng nghiên cứu, ñào tạo.

- Có
- Không có
- Không xác ñịnh

Chỉ cho phép truy cập dịch vụ SMTP – cổng 25 từ mạng nội bộ, ngoại trừ mạng con
Phòng nghiên cứu, ñào tạo.
- Có
- Không có

- Không xác ñịnh

Truy cập từ mạng <T Ổ CH ỨC-CÔNG TY> lên Internet ñược phép không hạn chế.


Sử dụng Thư ñiện tử.
Phải ñảm bảo khả năng gửi nhận thư một cách an toàn thông qua máy chủ <TỔ CHỨC-CÔNG
TY> qua Internet.
- Có
- Không có
- Không xác ñịnh

Sử dụng hệ thống phòng phát hiện xâm nhập (IDS - Intrusion Detection System).
- Có
- Không có
- Không xác ñịnh

Có thể sử dụng hệ thống ISS Real Secure hoặc bất kỳ loại nào có tính năng tương tự (nếu
sử dụng sản phẩm FW của ChekPoint với khả năng kết hợp các tính năng của ISS Real
Secure (RS) ta có thể tự ñộng cấu hình lại FW trong trường hợp phát hiện xâm nhập).

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 3 |
P a g e

Console ñiều khiển của RS nằm tại segment quản trị hệ thống hoặc tại segment local.

Kiểm tra password e-mail :

Có thể sniffer ñược password e-mail công ty không ?

Kiểm tra tính xâm nhập server :

Có thể hacking ñược server nội bộ không?

Kiểm soát nội dung lưu thông.
- Có
- Không có
- Không xác ñịnh

ðể kiểm soát nội dung thông báo ta có thể sử dụng hệ thống kiểm soát và phân tích thông
báo dạng MIME Sweeper Batimore.

Ghi biên bản và giám sát truy cập.
Ghi nhật ký tại tường lửa, toàn bộ các giao dịch (mọi cố gắng thiết lập kết nối) với mạng <TỔ
CHỨC-CÔNG TY>.Log file phải ñược bảo vệ tại chỗ và từ xa.
- Có
- Không có
- Không xác ñịnh

Hệ thống phát hiện xâm nhập lưu giữ thông tin về các cuộc tấn công và các hành vi khả nghi
vào tệp nhật ký. Log file phải ñược lưu tại chỗ và từ xa.
- Có
- Không có
- Không xác ñịnh

Web Server lưu thông tin về khách hàng viếng thăm trang web vào tệp nhật ký.
- Có
- Không có

- Không xác ñịnh

Server phân tích nội dung lưu những thông tin về các vi phạm vào tệp nhật ký.

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 4 |
P a g e

- Có
- Không có
- Không xác ñịnh

An Ninh Mạng nội bộ (máy trạm và máy chủ)
Kiểm soát virus.
Bắt buộc phải kiểm soát virus trên các máy trạm.
- Có
- Không có
- Không xác ñịnh
Bắt buộc tự ñộng khởi ñộng giám sát virus (antivirus monitoring) tự ñộng cập nhật từ
Internet it nhất hàng tuần.
- Có
- Không có
- Không xác ñịnh
Bảo vệ chống lại các hành vi trái phép. Thiết lập các chế ñộ bảo vệ máy tính khỏi các hành vi
khởi ñộng, sử dụng trái phép các máy trạm, máy chủ ở mức thiết bị. Hệ thống cần phải:
Không phụ thuộc vào hệ ñiều hành
- Có
- Không có
- Không xác ñịnh

Khi khởi ñộng, người dùng phải ñược xác thực bằng cơ chế xác thực 2 thành phần.
- Có
- Không có
- Không xác ñịnh

Cấm tất cả mọi người, trừ quản trị ñược truy cập “setup” của các máy trạm và máy chủ.
- Có
- Không có
- Không xác ñịnh

Khóa máy, nếu người dùng rời chỗ làm việc (không nhấn phím, timeout…)
- Có

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 5 |
P a g e

- Không có
- Không xác ñịnh
Bảo vệ bằng mật mã ñối với dữ liệu
Dữ liệu có mức từ “tuyệt mật” ñược bảo vệ ở dạng mật mã do lãnh ñạo Cong ty chuẩn y
- Có
- Không có
- Không xác ñịnh
Bảo vệ bằng tường lửa cá nhân.
Tất cả các máy tính cơ ñộng ñều phải ñược bảo vệ bằng tường lửa cá nhân.
- Có
- Không có

- Không xác ñịnh

Lưu trữ dự phòng dữ liệu.
Bắt buộc lưu trữ dự phòng ñối với các dữ liệu quan trọng trên các máy tính cá nhân và máy
chủ trong mạng <CÔNG TY>
- Có
- Không có
- Không xác ñịnh

Bắt buộc phải có disk-backup trên máy chủ dữ liệu. Backup thực hiện hàng tuần hoặc sau
mỗi lần thay ñổi lớn của hệ thống. Cần lưu trử ít nhất 3 chu kỳ backup.
- Có
- Không có
- Không xác ñịnh

Kiểm soát truy cập
Ghi nhật ký tất cả các truy cập tại chỗ của người dùng vào các máy trạm làm việc (kiểm
soát cả các truy cập thành công và không thành công vào hệ thống).
- Có
- Không có
- Không xác ñịnh


2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 6 |
P a g e

Ghi nhật ký tất cả các truy cập tại chỗ của người quản trị vào các máy chủ (kiểm soát tất cả
các truy cập thành công và không thành công).

- Có
- Không có
- Không xác ñịnh

An Toàn Thông Tin Vật lý
Tường lửa, máy chủ WEB, mail, IPS… tất cả phải ñược bố trí trong phòng riêng biệt có khóa
và chỉ các quản trị hệ thống mới có quyền vào (có chìa khóa hoặc thẻ từ ñể mở, phòng
thường xuyên khóa). Sử dụng mật khẩu kép: một phần mật khẩu quản trị do CIO giữ và
phần còn lại do ISO giữ.
- Có
- Không có
- Không xác ñịnh

Phòng máy phải ñược trang bị thông gió bắt buộc và thiết bị chữa cháy (tự ñộng hoặc bán tự
ñộng) và nếu có thể, hệ thống camera quan sát.
- Có
- Không có
- Không xác ñịnh

Chỉ có thể thâm nhập vào văn phòng của <CÔNG TY> bằng thẻ từ.
- Có
- Không có
- Không xác ñịnh

Phân loại tài nguyên thông tin - Vai trò và trách nhiệm

Xác ñịnh trách nhiệm cá nhân
Lãnh ñạo (Giám ñốc, phó giám ñốc): chịu trách nhiệm toàn diện ñối với chiến lược ATTT
và phải huy ñộng mọi nguồn lực có ñược ñể loại trừ các nguy cơ ñối với hoạt ñộng kinh
doanh của <TỔ CHỨC-CÔNG TY> DL. ðồng thời là người chịu trách nhiệm phổ biến

chiến lược và thiêt lập nên văn hóa nhận thức An toàn Thông tin cho toàn thể cán bộ
nhân viên.
- Có

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 7 |
P a g e

- Không có
- Chưa xác ñịnh

Quản lý ATTT: ISM (Information Secuity Manager) Chịu trách nhiệm ATTT cho toàn
Trung Tâm Máy Tính. Người quản lý ATTT xác ñịnh nguyên tắc chỉ ñạo ATTT cùng
các qui trình thực hiện. ISM cũng chịu trách nhiệm về sự quản lý nhận thức và khuyến
cáo một cách ñúng ñắn trong những trường hợp vi phạm về ATTT. ISM có thể tiến
hành các ñánh giá rủi ro. ðiều quan trọng là ISM luôn ñược cập nhật các vấn ñề, các rủi
ro và các giải pháp mới nhất. Thường xuyên ñiều phối hoạt ñộng với các công ty ñối
tác, các tổ chức ATTT.
- Có
- Không có
- Chưa xác ñịnh

Các trưởng phòng: (Hành chính, Công nghệ phần mềm, Kỹ thuật, Nghiên cứu ñào tạo) là những
người trực tiếp chịu trách nhiệm ñối với các dữ liệu của ñơn vị mình , các hoạt ñộng kinh
doanh và báo cáo trực tiếp cho lãnh ñạo cao nhất

- Có
- Không có
- Chưa xác ñịnh

Phòng kỹ thuật: Lắp ñặt , triển khai và bảo trì các hệ thống. Phải có một bản thỏa thuận
xác ñịnh vai trò và trách nhiệm của phòng kỹ thuật với các các ñối tượng ñược phục
vụ.Người quản trị hệ thống và quản trị ATTT thuộc biên chế phòng Kỹ thuật và là
những người chịu trách nhiệm áp dụng một cách ñúng ñắn cơ chế bảo mật ATTT.
- Có
- Không có
- Không xác ñịnh

Thiết kế viên hệ thống: Là người phát triển hệ thống, có vai trò quan trọng ñảm bảo cho
một hệ thống ñược khai thác một cách an toàn. Một hệ thống mới ñược phát triển phải
ñược tính trước tới các yêu cầu về ATTT tại ngay từ giai ñoạn khởi ñầu.
- Có
- Không có
- Không xác ñịnh


2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 8 |
P a g e

Project Leaders: Thực hiện các hướng dẫn về An toàn Thông tin trong dự án.
- Có
- Không có
- Không xác ñịnh

Các trưởng nhóm: ðảm bảo mọi thành viên trong nhóm hoàn toàn nhận thức ñầy ñủ về
chính sách ATTT và không làm gì gây xung ñột, trái với chính sách ATTT. Hiệu lực
hóa chính sách và kiểm tra thực thi ATTT.

- Có
- Không có
- Không xác ñịnh

Người dùng: Từng nhân viên của <CÔNG TY> chịu trách nhiệm ñối với các hoạt ñộng của mình.
Nhận thức ñược chính sách ATTT của Trung Tâm, hiểu rõ tầm quan trọng của công việc và có
hành ñộng thích ứng.

- Có
- Không có
- Chưa xác ñịnh

Kiểm toán ATTT: Là người ñộc lập có thể thuộc <CÔNG TY> hoặc không, là người kiểm
tra tình hình ATTT, rất giống cách các kiểm toán viên tài chính kiểm tra các bản ghi tài
khoản. Kiểm toán viên ATTT phải ñộc lập, không bị ảnh hưởng của các quản trị ATTT.
Thông thường, các nhà tư vấn thực hiện vai trò này.
- Có
- Không có
- Chưa xác ñịnh

Phân loại tài nguyên.
a . Trong <CÔNG TY> có các mức phân loại ñộ mật của thông tin như sau ( Nếu không có
a) thì bỏ luôn b)
Thông tin “Công khai”
- Có
- Không có
- Không xác ñịnh


2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM

www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 9 |
P a g e

Thông tin “Nội bộ”
- Có
- Không có
- Không xác ñịnh

Thông tin “Mật”
- Có
- Không có
- Không xác ñịnh

Thông tin “Tuyệt mật”.
- Có
- Không có
- Không xác ñịnh

b. Ra quyết ñịnh ñộ mật

Tổng giám ñốc hoặc giám ñốc kỹ thuật của <CÔNG TY>.Ra quyết ñịnh thông tin ở mức
“Công khai”
- Có
- Không có
- Không xác ñịnh


Ra quyết ñịnh ñộ mật là “Mật” của thông tin kỹ thuật là Phó Giám ñốc kỹ thuật <CÔNG
TY>

- Có
- Không có
- Không xác ñịnh


Ra quyết ñịnh ñộ mật là “Tuyệt Mật” của thông tin tài chính là tổng giám ñốc <TỔ CHỨC-
CÔNG TY>. Ra quyết ñịnh ñộ mật là “Tuyệt Mật” của thông tin kỹ thuật là Giám ñốc
kỹ thuật <TỔ CHỨC-CÔNG TY>
- Có
- Không có

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 10 |
P a g e

- Không xác ñịnh

9. Vai trò và trách nhiệm.
Phân loại người sử dụng
a. Trong <CÔNG TY> có phân loại những người dùng như sau:
Nhóm các quản trị: gồm có quản trị CNTT (IT-Manager) và quản trị ATTT (IS-manager).
Các quản trị có toàn quyền truy cập các tài nguyên của <TỔ CHỨC-CÔNG TY> với
mục ñích quản trị.
- Có
- Không có
- Không xác ñịnh

Nhóm các nhà quản lý: gồm Giám ñốc , (các) Phó Giám ñốc , Trưởng, phó các phòng
chuyên môn.

- Có
- Không có
- Không xác ñịnh

Nhóm nhân viên: gồm toàn thể cán bộ, nhân viên của <TỔ CHỨC-CÔNG TY>
- Có
- Không có
- Không xác ñịnh

Nhóm tập sự, thực tập sinh: thành viên của nhóm tương ứng có thể ñược phép truy cập
thông tin có ñộ mật cao hơn chỉ khi ñược phép bằng văn bản của người có thẩm quyền
nhóm lãnh ñạo.
- Có
- Không có
- Không xác ñịnh

Quy trình tiếp cận với các thông tin thuộc diện ñược bảo vệ.

Có phân loại các hoạt ñộng sau ñây ñối với thông tin: Sao chép; Lữu trữ; Gửi bằng bưu
ñiện, Fax, Email; Truyền thoại, kể cả ñiện thoại di ñộng, thư thoại; Tiêu hủy.
- Có
- Không có

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 11 |
P a g e

- Không xác ñịnh

Thông tin mức “công khai”: Không hạn chế sao chép, lưu trữ, truyền chỉ người sở hữu
thông tin có thể hủy nó.
- Có
- Không có
- Không xác ñịnh

Thông tin mức “Nội bộ” ñược hạn chế bởi các phương tiện cách ly , hạn chế truy cập.
- Có
- Không có
- Không xác ñịnh

Sao chép và bất kỳ hình thức truyền tải nào của loại thông tin “Mật”này chỉ ñược phép
thực hiện trong phạm vi <CÔNG TY> bởi những người ñược ủy quyền.
- Có
- Không có
- Không xác ñịnh

Chỉ người chủ sở hữu thông tin mới có quyền hủy bỏ.
- Có
- Không có
- Không xác ñịnh

Quyền loại bỏ thông tin mức “mật” chỉ có ñược khi quản trị CNTT cùng quản trị ATTT
(mật khẩu root ñược chia cho 2 người) với sự cho phép của Giám ñốc kỹ thuật.
- Có
- Không có
- Không xác ñịnh

Truy cập thông tin mức “mật” ñược thực hiện bởi người dùng nhóm lãnh ñạo, nhân
viên (ñược phép bằng văn bản do Giám ñốc <CÔNG TY> ký)

- Có
- Không có

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 12 |
P a g e

- Không xác ñịnh

Thông tin mức “tuyệt mật” chịu sự bảo vệ của các phương tiện hạn chế truy cập,
phương tiện mã hóa và bắt buộc có biên bản truy cập.
- Có
- Không có
- Không xác ñịnh

Truy cập từ xa vào Thông tin mức “tuyệt mật” mạng cục bộ ñược thực hiện bằng mã
hóa.
- Có
- Không có
- Không xác ñịnh

Chỉ ñược phép sao chép và truyền tải Thông tin mức “tuyệt mật” bên trong mạng và
ñược thực hiện bởi người có thẩm quyền.
- Có
- Không có
- Không xác ñịnh

Chỉ có chủ sở hữu có quyền hủy Thông tin mức “tuyệt mật”.
- Có

- Không có
- Không xác ñịnh

Quyền loại bỏ thông tin mức “Tuyệt mật mật” chỉ ñược trao cho quản trị CNTT và
quản trị ATTT cùng nhau (mật khẩu root ñược chia cho mỗi người 1 phần) và ñược
phép của Giám ñốc.
- Có
- Không có
- Không xác ñịnh

Truy cập thông tin mức “tuyệt mật” chỉ có người dùng thuộc nhóm “lãnh ñạo”.
- Có
- Không có

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 13 |
P a g e

- Không xác ñịnh

10. ` Những qui tắc, yêu cầu và hướng dẫn ñảm bảo An Ninh Mạng nội bộ .
a) Qui tắc bảo vệ bằng mật khẩu.
Chiều dài mật khẩu không ít hơn 8 ký tự.
- Có
- Không có
- Không xác ñịnh

Mật khẩu bắt buộc phải chứa tổ hợp bất kỳ tối thiểu từ hai thành phần thuộc các nhóm sau:
Chữ nhỏ, chữ cái, số và ký hiệu.

- Có
- Không có
- Không xác ñịnh

Dùng mật khẩu là tên, họ, ngày tháng năm sinh, tên họ hàng, súc vật, người thân cũng như
các từ có nghĩa (có trong từ ñiển).
- Có
- Không có
- Không xác ñịnh

Viết mật khẩu ra ñâu ñấy.
- Có
- Không có
- Không xác ñịnh

Cho phép truy cập mật khẩu cá nhân.
- Có
- Không có
- Không xác ñịnh

Mật khẩu bắt buộc phải ñược ñổi hàng quí.
- Có
- Không có
- Không xác ñịnh


2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 14 |
P a g e

Mật khẩu mức Root gồm 16 bytes ñược chia làm hai phần (một cặp 8 bytes). Mỗi phần giao
cho quản trị CNTT và quản trị ATTT.
- Có
- Không có
- Không xác ñịnh

Nhất thiết phải sử dụng mật khẩu cá nhân (khi cần có thể sử dụng mật khẩu nhóm, tuy nhiên
không khuyến cáo).
- Có
- Không có
- Không xác ñịnh

Cần thiết cho phép người dùng thay ñổi và chọn mật khẩu và có cơ chế kiểm tra lỗi khi nhập
mật khẩu.
- Có
- Không có
- Không xác ñịnh

Trong trường hợp người dùng tự tạo mật khẩu, cần có cơ chế ñổi mật khẩu ở lần ñăng nhập
ñầu tiên.
- Có
- Không có
- Không xác ñịnh

Ghi lại khi thay thế các mật khẩu của người dùng (ví dụ sau 12 tháng) ñể tránh việc sử dụng
lặp lại mật khẩu.
- Có
- Không có
- Không xác ñịnh

Không hiển thị mật khẩu khi ñăng nhập.
- Có
- Không có
- Không xác ñịnh

Lưu trữ tệp tin mật khẩu tách rời với hệ thống ứng dụng.

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 15 |
P a g e

- Có
- Không có
- Không xác ñịnh

Lưu tệp chứa mật khẩu ở dạng mã hóa và sử dụng thuật toán mã mạnh.
- Có
- Không có
- Không xác ñịnh

Qui tắc bảo vệ khỏi virus và mã chương trình ñộc hại

Sử dụng phần mềm có bản quyền và cấm cài ñặt các phần mềm bất hợp pháp.
- Có
- Không có
- Không xác ñịnh

Hàng ngày cập nhật trình chống virus trên các máy trạm và máy chủ. ðảm bảo việc quét và

kiểm soát thường xuyên.
- Có
- Không có
- Không xác ñịnh

Bắt buộc kiểm tra virus tất cả các tập tin ñi vào và ra khỏi hệ thống.
- Có
- Không có
- Không xác ñịnh

Thường xuyên phân tích các phần mềm và dữ liệu làm nhiệm vụ xử lý các dữ liệu nhạy cảm.
Khi có những sự không tương ứng của các tệp, cần phải ñiều tra.
- Có
- Không có
- Không xác ñịnh

ðóng màn hình theo dõi virus tại các máy làm việc và máy chủ.
- Có

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 16 |
P a g e

- Không có
- Không xác ñịnh

Khi cần phải tắt màn hình theo dõi virus (antivirus monitoring) người dùng phải ñược phép của
quản trị ATTT và thông báo sự việc cho quản trị CNTT. Quản trị CNTT phải có biện pháp
tức thời khởi ñộng màn hình theo dõi virus.

- Có
- Không có
- Không xác ñịnh

Trong khi tắt chế ñộ hiển thị theo dõi virus, tuyệt ñối cấm khởi ñộng, mở, gửi, nhận tài liệu vào
hệ thống (dạng Word, Exel…) và các tệp thực thi.
- Có
- Không có
- Không xác ñịnh

Có kế hoạch khôi phục hoạt ñộng liên tục của hệ thống sau khi bị virus tấn công, bao gồm từ
backup phần mềm và dữ liệu.
- Có
- Không có
- Không xác ñịnh

Yêu cầu kiểm soát truy cập vật lý.

Khách hàng của <CÔNG TY> cần ñược kiểm soát về mặt thời gian, ngày tháng ñến và ñi bằng
cách ghi nhật ký. Những người khách khi nhận ñược những truy cập tương ứng, cần thiết
phải ñược làm quen với các hướng dẫn về ATTT và cách xử lý trong trường hợp xảy ra các
sự cố, tai nạn.
- Có
- Không có
- Không xác ñịnh

Truy cập tới những thông tin bí mật và các phương tiện xử lý chúng phải ñược kiểm soát một
cách tự ñộng. Cần phải sử dụng các phương thức xác thực (ví dụ Smart Card, Ikey). Mọi
thông tin về truy cập vào hệ thống phải ñược biên bản hóa.
- Có

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 17 |
P a g e

- Không có
- Không xác ñịnh

Cá nhân phải mang thẻ ñịnh danh dễ thấy và phải báo cho bộ phận an ninh biết về các phát
hiện người lạ, không có thẻ.
- Có
- Không có
- Không xác ñịnh

Quyền truy cập cần ñược thường xuyên phân tích và cập nhật.
- Có
- Không có
- Không xác ñịnh

Yêu cầu bảo vệ trang bị

Các thiết bị phải ñược lắp ñặt có tính ñến yêu cầu giảm thiểu việc tiếp cận chỗ làm việc của
những người không liên quan ñến việc phục vụ các thiết bị máy.
- Có
- Không có
- Không xác ñịnh

Các hệ thống xử lý và lưu trữ thông tin chứa các dữ liệu quan trọng cần ñược bố trí sao cho
giảm thiểu việc truy cập vô tình hay cố ý của những người không có thẩm quyền trong quá

trình xử lý.
- Có
- Không có
- Không xác ñịnh

Các ñối tượng ñòi hỏi bảo vệ ñặc biệt phải ñược cách ly.
- Có
- Không có
- Không xác ñịnh

Cần áp dụng các phương thức bảo vệ ñể giảm thiểu các nguy cơ tiềm năng sau: Trộm cắp;
Cháy; Nổ; Khói; Nước; Bụi; Hóa chất; Bức xạ từ trường mạnh.

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 18 |
P a g e

- Có
- Không có
- Không xác ñịnh

Cấm việc ăn uống, hút thuốc trong phòng máy.
- Có
- Không có
- Không xác ñịnh

 Các thiết bị phải thường xuyên ñược xem xét và kiểm tra từ xa nhằm phát hiện những dấu
hiệu có thể dẫn tới trục trặc hệ thống.
- Có

- Không có
- Không xác ñịnh

Sử dụng các phương tiện bảo vệ ñặc biệt, chẳng hạn cần có tấm che bàn phím, trong trường
hợp bố trí thiết bị ở khu vực công nghiệp.
- Có
- Không có
- Không xác ñịnh

Cần tính ñến những tác ñộng xảy ra trên các ñối tượng lân cận. (Cháy nhà hàng xóm, lụt lội,
cháy trên tầng trên…)
- Có
- Không có
- Không xác ñịnh

Hướng dẫn tiêu hủy thông tin hoặc thiết bị một cách an toàn.

Thiết bị lưu trữ thông tin chứa các dữ liệu quan trọng, khi thanh lý cần ñược tiêu hủy vật lý
hoặc tiến hành hủy một cách an toàn (xóa thông tin nhiều lần hoặc xóa trên mức vật lý).
- Có
- Không có
- Không xác ñịnh


2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 19 |
P a g e

Tất cả các thiết bị bao gồm cả các vật mang tin (media) (ñĩa cứng, ñĩa mềm, băng từ…) cần

ñược kiểm tra sao cho thông tin quan trọng phải ñược xóa trước khi ghi mới.
- Có
- Không có
- Không xác ñịnh

Các thiết bị lưu trữ hỏng, có chứa thông tin quan trọng cần ñược phân tích ñể quyết ñịnh tiêu
hủy, phục hồi hay loại bỏ.
- Có
- Không có
- Không xác ñịnh

6) Các hướng dẩn ATTT chỗ làm việc (các tài liệu trên bàn làm việc, trên màn hình)
Tài liệu trên tất cả các dạng vật mang tin và phương tiện xử lý (máy PC, Palm, Ipot…) trong
trường hợp nếu không sử dụng, hoặc ngoài giờ làm việc phải ñược cất giữ trong phòng có
khóa.
- Có
- Không có
- Không xác ñịnh

Thông tin nhạy cảm, khi không sử dụng tới cần ñược cất giữ trong két sắt hoặc chỗ ñể riêng
biệt.
- Có
- Không có
- Không xác ñịnh

Máy PC, Terminal, máy in… không ñược ñể chỗ không có người giám sát, trong thời gian xử
lý tin và phải ñược bảo vệ bằng cách khóa bàn phím, bằng mật khẩu và những cách thức
khác khi người dùng vắng mặt.
- Có
- Không có

- Không xác ñịnh

Sử dụng máy Photo Copy một cách bất hợp pháp ngoài giờ làm việc.
- Có

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 20 |
P a g e

- Không có
- Không xác ñịnh

Bản in có chứa thông tin mật cần ñược lấy ngay ra khỏi máy in.
- Có
- Không có
- Không xác ñịnh

Các qui tắc ATTT về truy cập từ xa

Người dùng và quản trị có quyền không hạn chế truy cập Internet từ bên trong mạng <CÔNG
TY> với ñiều kiện phù hợp chức trách chuyên môn.
- Có
- Không có
- Không xác ñịnh

Người dùng và quản trị có quyền truy cập không hạn chế từ mạng <CÔNG TY> vào các tài
nguyên của Trung tâm với ñiều kiện phù hợp chức trách nhiệm vụ của mình.
- Có
- Không có

- Không xác ñịnh

 Nghiêm cấm cá nhân quét, dò, và tìm cách tấn công vào tài nguyên mạng của <CÔNG
TY>, mạng Internet.
- Có
- Không có
- Không xác ñịnh

 Nghiêm cấm cá nhân báo cho người khác biết User name và mật khẩu của mình ñể truy cập
tài nguyên mạng <CÔNG TY>.
- Có
- Không có
- Không xác ñịnh

 Nghiêm cấm (tất cả cá nhân bao gồm cả lãnh ñạo) thiết lập modem tại chỗ làm việc mà
không ñược phép của quản trị ATTT và phê chuẩn của Giám ñốc kỹ thuật.

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 21 |
P a g e

- Có
- Không có
- Không xác ñịnh

 Nghiêm cấm (tất cả cá nhân bao gồm cả lãnh ñạo) truy cập từ xa vào mạng <CÔNG TY>
qua Internet không sử dụng kênh mã hóa hoặc bỏ qua các hướng dẫn và qui tắc trong tài
liệu ATTT
- Có

- Không có
- Không xác ñịnh

Các qui tắc thực hiện truy cập vật lý tại chỗ

Mọi user thực hiện truy cập vật lý dành riêng cho mình khi bắt ñầu làm việc trên máy
tính.
- Có
- Không có
- Không xác ñịnh

Người dùng và quản trị khi rời khỏi chỗ làm việc phải cấm truy cập vật lý vào máy tính
của mình.
- Có
- Không có
- Không xác ñịnh

Nhất thiết kết thúc phiên làm việc ở cấp máy chủ (không tắt ngang máy trạm).
- Có
- Không có
- Không xác ñịnh

Tắt hiển thị giám sát virus và tường lửa cá nhân khi không ñược phép của quản trị ATTT.
- Có
- Không có
- Không xác ñịnh


2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477

Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 22 |
P a g e

Nói cho người khác biết tên ñăng nhập và mật khẩu, ñưa cho mượn thẻ truy nhập máy tính
của mình.
- Có
- Không có
- Không xác ñịnh

Truy cập máy tính của người khác hoặc máy chủ.
- Có
- Không có
- Không xác ñịnh

Tìm cách truy cập bất hợp pháp bất kỳ ñối tượng nào của mạng xí nghiệp.
- Có
- Không có
- Không xác ñịnh

13. Những yêu cầu sao lưu dự phòng thông tin

 Các bản sao lưu dự phòng cùng hướng dẫn khôi phục cần ñược lưu cùng chỗ, ngăn cách về
mặt vật lý với bản sao gốc. ðối với những thông tin ñặc biệt quan trọng, cần lưu ít nhất 3
bản sao cuối cùng.
- Có
- Không có
- Không xác ñịnh

Cần áp dụng các biện pháp hành chính cũng như tổ chức ñể bảo vệ các sao lưu dữ liệu, ñược
áp dụng cho vật mang tin.

- Có
- Không có
- Không xác ñịnh

Các vật mang tin chứa dữ liệu sao lưu dự phòng phải ñược kiểm tra thường xuyên ñể ñảm bảo
không có lỗi.
- Có
- Không có

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 23 |
P a g e

- Không xác ñịnh

Thường xuyên kiểm tra qui trình phục hồi dữ liệu và huấn luyện, thực tập qui trình này với
mục ñích bảo ñảm khả năng phục hồi dữ liệu theo trình tự ñịnh trước và trong thời gian
ñảm bảo.
- Có
- Không có
- Không xác ñịnh

14. Những yêu cầu giám sát và ghi nhật ký chẩn ñoán (Diagnostic Log)

a. Ghi lại các hành ñộng của ñiều hành viên.
Thời gian khởi ñộng và dừng của hệ thống.
- Có
- Không có
- Không xác ñịnh

Các lỗi hệ thống và các hành ñộng khắc phục.
- Có
- Không có
- Không xác ñịnh

Khẳng ñịnh việc xử lý ñúng với dữ liệu vào và ra.
- Có
- Không có
- Không xác ñịnh

ðịnh danh ñiều hành viên thực hiện những hành ñộng ñược ghi vào nhật kỳ.
- Có
- Không có
- Không xác ñịnh

b. Ghi nhật ký các trục trặc hệ thống

 Phân tích nhật ký ghi nhận trục trặc hệ thống
- Có
- Không có

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 24 |
P a g e

- Không xác ñịnh

 Phân tích các biện pháp ñã thực hiện liên quan các qui trình khắc phục hậu quả.

- Có
- Không có
- Không xác ñịnh

15. Những yêu cầu giám sát truy cập và sử dụng hệ thống, ghi nhật ký

Nhật ký sự kiện bao gồm: ðịnh danh người dùng; Thời gian, ngày tháng ñăng nhập, xuất;
ðịnh danh host hoặc ñịa chỉ IP ( nếu ñược); Ghi nhận các cố gắng ñăng nhập thành công và
không thành công; Ghi nhận các cố gắng truy cập thành công và không thành công các dữ liệu
hoặc tài nguyên.
 Nhật ký phải ñược phân tích thường xuyên.
- Có
- Không có
- Không xác ñịnh

 Xác ñịnh các dữ liệu về truy cập trong nhật ký
 ðịnh danh người dùng.
- Có
- Không có
- Không xác ñịnh

 Thời gian, ngày tháng của các sự kiện quan trọng.
- Có
- Không có
- Không xác ñịnh

 Các loại sự kiện (event)
- Có
- Không có
- Không xác ñịnh

 Các yêu cầu.( requets)
- Có
- Không có

2 Bis ðinh Tiên Hoàng,DaKao, Quận 1, Tp HCM
www.athena.com.vn . Tel : 1900 54 54 56 – 090 7879 477
Tài liệu nghiên cứu và thực hiện kiểm tra an ninh mạng doanh nghiệp của an ninh mạng ATHENA 25 |
P a g e

- Không xác ñịnh

 Các phần mềm và dữ liệu ñã sử dụng.
- Có
- Không có
- Không xác ñịnh

3) Xác ñịnh trong nhật ký tất cả các hoạt ñộng hợp pháp

 ðăng nhập với quyền quản trị.
- Có
- Không có
- Không xác ñịnh

 Khởi ñộng và dừng hệ thống.
- Có
- Không có
- Không xác ñịnh

 Kết nối với các thiết bị ngoại vi.

- Có
- Không có
- Không xác ñịnh

4) Xác ñịnh trong nhật ký tất cả các nỗ lực truy cập bất hợp pháp

 Những nỗ lực không thành công.
- Có
- Không có
- Không xác ñịnh

 Vi phạm qui tắc chính sách truy cập của tường lửa.
- Có
- Không có
- Không xác ñịnh