Bảo mật thông tin: Chuyện sống còn của doanh nghiệp

Trong một nền kinh tế toàn cầu hóa như hiện nay thì vấn đề thông tin được xem là sự sống còn đối với các doanh nghiệp. Thế nhưng, rất nhiều doanh nghiệp vẫn chưa nhận thức được tầm quan trọng của vấn đề bảo mật thông tin và những nguy cơ có thể xảy ra từ việc rò rỉ thông tin trong chính nội bộ của doanh nghiệp mình.
Nội dung trích xuất từ tài liệu:
Bảo mật thông tin: Chuyện sống còn của doanh nghiệp Bảo mật thông tin:Chuyện sống còn của doanh nghiệpTrong một nền kinh tế toàn cầu hóa như hiện nay thì vấn đề thông tin đượcxem là sự sống còn đối với các doanh nghiệp. Thế nhưng, rất nhiều doanhnghiệp vẫn chưa nhận thức được tầm quan trọng của vấn đề bảo mật thôngtin và những nguy cơ có thể xảy ra từ việc rò rỉ thông tin trong chính nội bộcủa doanh nghiệp mình.Theo một số liệu thống kê về vấn đề bảo mật thông tin của Tổ chức chứngnhận TÜVRheinland Việt Nam cho biết, mỗi năm có trên 15.000 hồ sơ củacác bệnh viện bị tìm thấy trong thùng rác, 30.000 mật khẩu của các tài khoảnInternet bị công bố trên mạng, 25 người từ phòng phát triển kinh doanh củacông ty này chuyển sang công ty đối thủ, các ngân hàng phải trả hàng triệuUSD do bị tấn công vào hệ thống giao dịch nghiệp vụ và 300.000 số tàikhoản tín dụng cá nhân bị trộm, một số bị công bố trên Web.Bảo mật thông tin - vấn đề nóng bỏngBảo mật thông tin hiểu đúng là gì? Ông Hans-Joachim Roderfeld, Tổnggiám đốc Tổ chức chứng nhận TÜVRheinland tại Việt Nam cho biết: “Bảomật thông tin là duy trì tính bảo mật, tính trọn vẹn và tính sẵn sàng củathông tin. Bảo mật nghĩa là đảm bảo thông tin chỉ được tiếp cận bởi nhữngngười được cấp quyền tương ứng. Tính trọn vẹn là bảo vệ sự chính xác,hoàn chỉnh của thông tin và thông tin chỉ được thay đổi bởi những ngườiđược cấp quyền. Tính sẵn sàng của thông tin là những người được quyền sửdụng có thể truy xuất thông tin khi họ cần”.Theo một cuộc khảo sát về vấn đề bảo mật thông tin của tổ chức nghiên cứuthị trường EY, có 66% các công ty được hỏi cho biết họ gặp các vấn đề vềbảo mật thông tin, 65% bị tấn công bởi nhân viên nội bộ, 49% chưa xem bảomật thông tin là ưu tiên hàng đầu, 40% không nghiên cứu về các vấn đề rủiro trong bảo mật.Trong khi đó, với những lĩnh vực quan trọng, có khả năng bị ảnh hưởng lớndo rò rỉ thông tin mang lại như vừa nêu thì chưa có sự đầu tư cân xứng chobảo mật thông tin. Chỉ có ngành công nghệ là chi khoảng 22,6% từ ngânsách IT cho bảo mật thông tin, còn các ngành khác thì tỷ lệ lần lượt là: dược(16,4%), dịch vụ tài chính (16,3%), dịch vụ công cộng (15,2%), dịch vụchăm sóc sức khỏe và năng lượng (12,9%).Trong quản lý bảo mật thông tin hiện nay, vấn đề được đặt ra là Bảo mậtthông tin là một thách thức trong quản lý hay vấn đề về kỹ thuật, công nghệ?Ông Hans-Joachim Roderfeld cho rằng thực chất 80% sẽ thuộc về quản lý.Vấn đề quản lý phải được hiểu bao gồm các chính sách bảo mật thông tin,vấn đề phân công trách nhiệm bảo mật thông tin, nhận thức và huấn luyện vềbảo mật thông tin, hoạch định đảm bảo việc kinh doanh liên tục. Chỉ có 20%là vấn đề kỹ thuật gồm hệ thống, công cụ, cấu trúc v.v.Thách thức trong quản lý hay vấn đề về kỹ thuậtBảo mật thông tin phải được xem xét như là một trách nhiệm quản lý vàkinh doanh, không đơn giản chỉ là yếu tố kỹ thuật cần được giao cho cácchuyên gia công nghệ hay bộ phận IT. Để bảo đảm bảo mật kinh doanh,doanh nghiệp phải hiểu biết cả các vấn đề của nó và những giải pháp chovấn đề.Chính vì thế, việc áp dụng các hệ thống quản lý bảo mật thông tin là việclàm rất quan trọng của các doanh nghiệp trong thời kỳ nền kinh tế hội nhậptoàn cầu hóa như hiện nay. Hệ thống quản lý bảo mật thông tin là một phầncủa hệ thống quản lý toàn diện trong doanh nghiệp, chủ yếu là tiếp cận vớirủi ro trong kinh doanh để thiết lập, thực thi, vận hành, giám sát, xem xét,duy trì và cải thiện bảo mật thông tin. Hệ thống quản lý bảo mật thông tinbao gồm cơ cấu tổ chức, chính sách, các hoạt động hoạch định, trách nhiệm,thực hành, quy trình, phương pháp và nguồn tài nguyên.Bảo mật thông tin không còn là “chuyện nhỏ” với các doanh nghiệp khi mànhững mối đe dọa việc bảo mật ngày càng nhiều và phức tạp. Theo tiêuchuẩn ISO/IEC CD 27005 thì có 4 nhóm gây hại đến việc bảo mật thông tinnhư các dạng tổn hại vật lý, các sự cố tự nhiên, thất thoát những dịch vụ thiếtyếu, ảnh hưởng do bức xạ. Bên cạnh đó, chúng ta còn thấy hàng ngày nhữngnhân tố có thể đe dọa đến các đơn vị làm kinh doanh rất lớn như những nhânviên bất mãn, đối thủ cạnh tranh, nhà đầu tư hay tin tặc.Không chỉ có sự ngộ nhận “bảo mật thông tin là vấn đề cần quan tâm củaquản lý IT và phòng IT” mà rất nhiều doanh nghiệp còn có những ngộ nhận“trầm trọng” khác. Đó là cách suy nghĩ cho rằng những đe dọa về bảo mậtđến từ bên ngoài mới là những rủi ro lớn nhất; bảo mật thông tin chỉ nhằmbảo đảm bảo vệ hệ thống và cơ sở hạ tầng công nghệ thông tin; quản lý nhânsự trong bảo mật thông tin không quan trọng bằng công nghệ; áp dụngnhững giải pháp công nghệ cao và tiên tiến sẽ làm tăng tính bảo mật. Trongkhi đó, những vấn đề về quản lý bảo mật thông tin bằng nhân sự, chính sáchvà hệ thống quản lý lại không được áp dụng.Giải pháp mà nhiều công ty lớn trên thế giới hiện áp dụng chính là hệ thốngquản lý bảo mật thông tin (ISMS). ISMS được đưa ra không chỉ là một giảipháp để thể hiện chức năng của nó như một công cụ bảo mật thông tin vớichu kỳ 4 bước (thiết kế, thực hiện, giám sát và duy trì) mà còn góp phần làmthay đổi những ngộ nhận về việc bảo mật thông tin hiện nay của doanhnghiệp. Một số doanh nghiệp Việt Nam hiện cũng đang áp dụng giải phápnày như là một biện pháp nhằm tăng cường tính bảo mật của mình trong thờikỳ hội nhập toàn cầu.“ISMS không chỉ giới hạn trong vấn đề quản lý thông tin được xử lý bởi cácphương tiện điện tử mà còn có thể là thông tin ở các dạng khác như thông tinđược viết trên giấy, lưu trữ dạng tập tin điện tử, gửi đi bằng đường bưu điện,email hoặc được trao đổi bằng lời nói. ISMS là một phần của hệ thống quảnlý toàn diện trong doanh nghiệp, chủ yếu là tiếp cận với rủi ro trong kinhdoanh để thiết lập, thực thi, vận hành, giám sát, xem xét, duy trì và cải thiệnbảo mật thông tin.Như vậy, hệ thống quản lý bao gồm cơ cấu tổ chức, chính sách, các hoạtđộng hoạch định, trách nhiệm, thực hành, quy trình, phương pháp và nguồntài nguyên. Mà ...