Khách hàng yêu cầu chính sách an ninh của bạn. Bạn gửi ngay.

Xác định các nghĩa vụ thực sự áp dụng cho tổ chức của bạn, kèm thời hạn và người chịu trách nhiệm, loại bỏ những nghĩa vụ không liên quan, và quyết định ai phụ trách an ninh trong tổ chức.

• GDPR (RGPD): an toàn xử lý (điều 32), vi phạm dữ liệu (điều 33)
• NIS2 và bộ tiêu chuẩn ReCyF của ANSSI; RGS và các khung quy chuẩn ngành tùy hoạt động của bạn
• Vai trò và trách nhiệm: ai phụ trách an ninh, ai ra quyết định, trách nhiệm của lãnh đạo và người được bầu
• Nâng cao nhận thức người dùng và yêu cầu an ninh đối với nhà cung cấp
• Thang đo khả năng xảy ra và mức độ nghiêm trọng, thống nhất trước khi phân tích rủi ro

Chuyển từ mối lo ngại chung chung sang năm kịch bản cụ thể, được đánh giá và xếp hạng, mà ban lãnh đạo của bạn có thể hiểu và ra quyết định.

• Mã độc tống tiền: chuỗi tấn công thực tế, từ email đến mã hóa dữ liệu
• Xâm nhập hộp thư, gian lận chuyển khoản, rò rỉ dữ liệu, xâm nhập gián tiếp qua nhà cung cấp
• Phương pháp EBIOS RM: giá trị nghiệp vụ và tài sản hỗ trợ, sự kiện đáng lo ngại, nguồn rủi ro, kịch bản chiến lược và kịch bản tác nghiệp
• Chấm điểm từng kịch bản theo thang đo đã thống nhất ở bước 1
• Kế hoạch xử lý: biện pháp được chọn cho từng rủi ro, triển khai ở các bước 3 đến 7

Xác định ai cập nhật cái gì, với tần suất nào, và làm thế nào bạn chứng minh được điều đó cho một đơn vị kiểm toán mười hai tháng sau.

• Kiểm kê tài sản: cái gì không được biết đến thì không thể được bảo vệ
• Các hệ thống hết hạn hỗ trợ: rà soát và kế hoạch loại bỏ
• Khung thời gian bảo trì và bản vá khẩn cấp
• Sao lưu dữ liệu: quy tắc 3-2-1, bản sao ngoại tuyến, kiểm tra khôi phục
• Phần CNTT trong kế hoạch liên tục hoạt động: cùng các trưởng bộ phận nghiệp vụ, xác định thời gian gián đoạn và mức mất dữ liệu chấp nhận được cho từng ứng dụng, rồi thứ tự khởi động lại
• Bằng chứng: những gì cần lưu giữ để chứng minh việc duy trì điều kiện an toàn

Đóng các quyền truy cập không còn cần thiết, và siết chặt những quyền còn lại, bắt đầu từ các tài khoản đặc quyền.

• Xác thực đa yếu tố: phạm vi áp dụng, trường hợp ngoại lệ, phương thức cần tránh
• Tài khoản đặc quyền, tài khoản dịch vụ và dùng chung: rà soát, phân tách, lưu trữ trong kho an toàn
• Tuyển dụng, thôi việc, chuyển vị trí: quy trình gần như luôn bị thiếu
• Rà soát định kỳ quyền truy cập: ai thực hiện, tần suất nào, dựa trên bằng chứng gì
• Quy chế sử dụng CNTT: các quy tắc sử dụng mà mỗi người dùng chấp thuận

Cố định một cấu hình chuẩn tham chiếu cho từng loại hệ thống, và đo khoảng cách với hạ tầng của bạn, dựa trên hiện trạng được ghi nhận trước bước 1.

• Máy trạm: khóa cấu hình, mã hóa, quyền cục bộ
• Máy chủ và dịch vụ thư mục: dịch vụ không cần thiết, giao thức lỗi thời
• Hệ thống thư điện tử: SPF, DKIM, DMARC, lọc tệp đính kèm
• Thiết bị mạng và giao diện quản trị bị lộ ra ngoài
• Nguyên tắc đặc quyền tối thiểu được áp dụng trong thực tế

Đảm bảo rằng việc một máy trạm bị xâm nhập không dẫn đến việc mất toàn bộ hệ thống thông tin.

• Phân đoạn: theo mục đích sử dụng, theo mức độ nhạy cảm, theo nhóm người dùng
• Lọc luồng dữ liệu giữa các vùng và ma trận luồng được phép
• Truy cập từ xa và các máy trạm quản trị
• Mạng khách, wifi và thiết bị kết nối Internet
• Kết nối liên thông với nhà cung cấp và, nếu có, các hệ thống kỹ thuật của tòa nhà

Có khả năng trả lời câu hỏi "đã xảy ra chuyện gì?" và biết ai hành động khi sự cố xảy ra. Sau đó khép lại lộ trình: đánh giá lại rủi ro, bàn giao kế hoạch hành động, ban lãnh đạo phê duyệt PSSI.

• Cần ghi nhật ký gì, lưu trong bao lâu (quan điểm của CNIL), đóng dấu thời gian ra sao
• Điều gì cần kích hoạt cảnh báo, ai đọc, và điều gì xảy ra vào ban đêm
• Quản lý sự cố và khủng hoảng: ai quyết định, cần báo cho ai, phiếu phản ứng nhanh, danh bạ khủng hoảng lưu ngoài hệ thống, thông báo cho CNIL trong 72 giờ và báo cáo theo NIS2
• Đánh giá lại rủi ro sau xử lý: các rủi ro tồn dư mà bạn chấp nhận
• Kế hoạch hành động theo thứ tự ưu tiên và ban lãnh đạo phê duyệt PSSI