Quy trình đánh giá rủi ro an ninh mạng toàn diện cho doanh nghiệp

Đánh giá rủi ro an ninh mạng là quá trình doanh nghiệp xác định mình có những tài sản thông tin nào, chúng có thể bị đe dọa ra sao, điểm yếu nằm ở đâu, nếu sự cố xảy ra thì thiệt hại lớn tới mức nào, rồi quyết định xử lý rủi ro nào trước. Một quy trình toàn diện thường đi qua sáu bước: xác định phạm vi, kiểm kê tài sản, nhận diện mối đe dọa và điểm yếu, phân tích mức rủi ro, lựa chọn cách xử lý, và theo dõi định kỳ.

Các khung tham chiếu phổ biến như ISO/IEC 27005 hay NIST SP 800-30 đều mô tả quy trình tương tự. Bài viết này trình bày theo cách thực dụng để doanh nghiệp vừa và nhỏ ở Việt Nam có thể tự triển khai.

Bước 1: Xác định phạm vi và tiêu chí

Đánh giá toàn bộ công ty ngay lần đầu thường quá sức. Hãy bắt đầu với một phạm vi rõ ràng: hệ thống bán hàng trực tuyến, dữ liệu khách hàng, hay hạ tầng văn phòng chính. Cùng lúc, thống nhất với ban lãnh đạo thang đo: thế nào là tác động "cao" (mất doanh thu, vi phạm pháp luật, ảnh hưởng uy tín), và mức rủi ro nào doanh nghiệp chấp nhận được. Không có tiêu chí chung, mỗi người sẽ chấm điểm theo cảm tính.

Bước 2: Kiểm kê tài sản thông tin

Tài sản không chỉ là máy chủ. Danh sách nên bao gồm:

• Dữ liệu: thông tin khách hàng, hồ sơ nhân sự, dữ liệu tài chính, bí mật kinh doanh.
• Ứng dụng và dịch vụ: phần mềm kế toán, website, email, dịch vụ đám mây.
• Hạ tầng: máy chủ, thiết bị mạng, máy trạm, thiết bị di động.
• Con người và quy trình: người nắm quyền quản trị, quy trình thanh toán, nhà cung cấp có quyền truy cập.

Với mỗi tài sản, ghi chủ sở hữu, vị trí, mức độ quan trọng với ba thuộc tính: bí mật, toàn vẹn, sẵn sàng.

Bước 3: Nhận diện mối đe dọa và điểm yếu

Mối đe dọa là điều có thể gây hại: mã độc tống tiền, email lừa đảo, nhân viên làm lộ dữ liệu, mất điện, nhà cung cấp bị xâm nhập. Điểm yếu là kẽ hở khiến mối đe dọa thành hiện thực: phần mềm chưa vá, không có xác thực đa yếu tố, sao lưu nằm chung mạng với dữ liệu gốc.

Nguồn thông tin cho bước này gồm kết quả quét lỗ hổng, báo cáo kiểm thử xâm nhập, sự cố đã xảy ra, phỏng vấn các bộ phận và cảnh báo trong ngành. Bài phân tích các nhóm lỗ hổng phổ biến là một danh sách gợi ý tốt để rà soát.

Một mẹo nhỏ khi tổ chức buổi đánh giá: mời mỗi bộ phận kể lại hai câu chuyện, một lần suýt xảy ra sự cố và một quy trình mà họ thấy "nếu ai đó cố tình lợi dụng thì sẽ rất dễ". Những câu chuyện này thường chỉ ra điểm yếu thực tế hơn bất kỳ danh sách kiểm tra nào, chẳng hạn mật khẩu phần mềm kế toán dán dưới bàn phím, hay việc gửi hồ sơ khách hàng qua ứng dụng nhắn tin cá nhân. Ghi lại nguyên văn rồi chuyển thành kịch bản rủi ro có cấu trúc.

Bước 4: Phân tích và xếp hạng rủi ro

Rủi ro thường được đánh giá theo hai trục: khả năng xảy ra và mức tác động. Ma trận đơn giản 3x3 hoặc 5x5 là đủ cho phần lớn doanh nghiệp.

Bảng trên chỉ là ví dụ minh họa cách ghi, mỗi doanh nghiệp sẽ có đánh giá riêng. Điều quan trọng là viết rủi ro dưới dạng kịch bản cụ thể (ai, làm gì, gây ra hậu quả gì) thay vì những cụm từ chung chung như "rủi ro mạng".

Bước 5: Chọn cách xử lý

Với mỗi rủi ro vượt ngưỡng chấp nhận, có bốn lựa chọn:

1. Giảm thiểu: áp dụng biện pháp kiểm soát, ví dụ sao lưu tách biệt, xác thực đa yếu tố, quy trình xác minh thanh toán.
2. Chuyển giao: mua bảo hiểm an ninh mạng, thuê dịch vụ quản lý có cam kết.
3. Tránh: ngừng hoạt động gây rủi ro, ví dụ không lưu số thẻ thanh toán nếu không thật sự cần.
4. Chấp nhận: ghi nhận rõ ràng, có người có thẩm quyền ký xác nhận, đặt thời điểm xem xét lại.

Mỗi biện pháp cần có người chịu trách nhiệm và hạn hoàn thành. Ví dụ, rủi ro mất dữ liệu cao thường dẫn tới dự án sao lưu và phục hồi thảm họa, còn rủi ro con người dẫn tới chương trình đào tạo nhận thức.

Bước 6: Theo dõi và đánh giá lại

Rủi ro thay đổi khi doanh nghiệp mở chi nhánh, chuyển lên đám mây, thuê nhà cung cấp mới hay khi xuất hiện phương thức tấn công mới. Sổ đăng ký rủi ro nên được cập nhật ít nhất mỗi năm và sau mỗi thay đổi lớn hoặc sự cố. Việc kiểm tra độc lập xem các biện pháp kiểm soát có vận hành đúng như mô tả hay không là phần việc của kiểm toán; bạn có thể đọc thêm về lợi ích của kiểm toán an toàn thông tin định kỳ để kết nối hai hoạt động này.

Sai lầm khiến đánh giá rủi ro trở thành thủ tục giấy tờ

• Chỉ bộ phận IT tham gia, thiếu tiếng nói của kinh doanh, tài chính, pháp chế.
• Chấm điểm mọi thứ ở mức "trung bình" để tránh tranh luận.
• Lập xong sổ đăng ký rồi cất đi, không gắn với ngân sách và kế hoạch.
• Bỏ qua rủi ro từ nhà cung cấp và đối tác có quyền truy cập hệ thống.

Đánh giá rủi ro có giá trị khi nó giúp lãnh đạo trả lời câu hỏi: tiền và thời gian bảo mật năm nay nên dành cho việc gì trước.