CHƯƠNG 1
TỔNG QUAN VỀ AN TOÀN THÔNG TIN
10/25/2014
ThS.Nguyễn Duy
[email protected]
Nội dung
2
[email protected]
An toàn thông tin là gì?
Mối quan hệ giữa các khái niệm ATTT
Phân loại kiểm soát
Phân loại dữ liệu
Mô hình phòng thủ theo chiều sâu
Khuôn khổ an ninh (security framework)
Quản lý rủi ro (risk managment)
10/25/2014
Nội dung
3
[email protected]
An toàn thông tin (ATTT) là gì?
Mối quan hệ giữa các khái niệm ATTT
Phân loại kiểm soát
Phân loại dữ liệu
Mô hình phòng thủ theo chiều sâu
Khuôn khổ an ninh (security framework)
Quản lý rủi ro (risk managment)
10/25/2014
An toàn thông tin (ATTT) là gì?
Những đặc điểm của thông tin
4
[email protected]
Source: Internet
10/25/2014
An toàn thông tin (ATTT) là gì?
Những trạng thái của thông tin
5
[email protected]
Databases or
Repositories
Data-at-Rest
Email Gateway
DLP Prevent
Web Gateway
Data-in-Motion
DLP Monitor
Data-in-Use
Data-in-Use
Switch
DLP Endpoint
DLP Prevent
Firewall
Source: Mcafee
10/25/2014
An toàn thông tin (ATTT) là gì?
Những trạng thái của thông tin - tt
6
[email protected]
Data-in-Motion
Web Post
Network
IM Chat
W I L D
Data-at-Rest
Database
Desktop/Laptop
Data-in-Use
Removable Media
Printer
Screen
W E S T
File Share
Source: Mcafee
W I L D
Email
Clipboard
10/25/2014
An toàn thông tin (ATTT) là gì?
Khái niệm
7
[email protected]
Bảo mật thông tin là đảm bảo tính bảo mật,
tính toàn vẹn và tính sẵn sàng của thông tin
trên các thiết bị lưu trữ, trong quá trình sử dụng
và truyền thông.
Source: Internet
10/25/2014
BẢO MẬT THÔNG TIN LÀ GÌ
8
Source: Internet
10/25/2014
BẢO MẬT THÔNG TIN LÀ GÌ - tt
9
[email protected]
Source: Internet
10/25/2014
An toàn thông tin (ATTT) là gì?
Kĩ thuật bảo vệ các yếu tố bảo mật
10
[email protected]
Tính bảo mật
Mã hóa dữ liệu ở trạng thái lưu trữ (Disk và Database)
Mã hóa dữ liệu trên đường truyền (IPSec, SSL, SSH,...)
Quản lý truy cập (Vật lý và Logic)
Tính toàn vẹn
Hashing ( data security)
Quản lý cấu hình (system security)
Quản lý truy cập (Vật lý và Logic)
10/25/2014
An toàn thông tin (ATTT) là gì?
Kĩ thuật bảo vệ các yếu tố bảo mật
11
[email protected]
Tính sẵn sàng
RAID
Clustering
Load balancing
Redundant power
Backup
Disk shadowing
Roll-back functions
Fail-over configurations
10/25/2014
Nội dung
12
[email protected]
An toàn thông tin là gì?
Mối quan hệ giữa các khái niệm ATTT
Phân loại kiểm soát
Phân loại dữ liệu
Mô hình phòng thủ theo chiều sâu
Khuôn khổ an ninh (security framework)
Quản lý rủi ro (risk managment)
10/25/2014
Mối quan hệ giữa các khái niệm
ATTT
13
[email protected]
Source: CISSP 6th
10/25/2014
Mối quan hệ giữa các khái niệm
ATTT - tt
14
[email protected]
Vulnerability (lỗ hổng)
Threat (mối đe dọa)
Thiếu biện pháp đối phó hoặc trong biện pháp đối phó
có điểm yếu
Phần cứng, phần mềm, qui trình và con người có thể bị
khai thác
Hành động nguy hiểm khai thác những lỗ hổng
Risk (rủi ro)
Threat Agent khai thác lỗ hổng và tác động tới hoạt
động kinh doanh
10/25/2014
Mối quan hệ giữa các khái niệm
ATTT - tt
15
[email protected]
Exposure
Sự phơi bày dữ liệu dẫn đến sự chú ý của người tấn
công.
Control, countermeasure và Safeguard
Phương pháp làm giả Risk
10/25/2014
Nội dung
16
[email protected]
An toàn thông tin là gì?
Mối quan hệ giữa các khái niệm ATTT
Phân loại kiểm soát
Phân loại dữ liệu
Mô hình phòng thủ theo chiều sâu
Khuôn khổ an ninh (security framework)
Quản lý rủi ro (risk managment)
10/25/2014
Phân loại kiểm soát
17
[email protected]
Giảm rủi ro mà tổ chức phải đối mặt:
Phòng tránh (preventive)
Phát hiện (detective)
Ngăn chặn (corrective)
Khắc phục (deterrent)
Phục hồi (recovery)
Đền bù (compensating)
Kiểm soát được chia 3 phần:
Hành chính (Administrative)
Kĩ thuật (Techinical)
Vật lý (Physical)
10/25/2014
Phân loại kiểm soát
Administrative (hành chính)
18
[email protected]
Bảo mật tài liệu (document security)
Qui trình quản lý rủi ro (risk management)
Bảo mật thông tin cá nhân (personnel security)
Đào tạo (training)
10/25/2014
Phân loại kiểm soát
Technical
19
[email protected]
Cơ chế nhận dạng
Yếu tố xác thực
Thuật toán mã hóa
Firewall
IDS/IPS
10/25/2014
Phân loại kiểm soát
Physical
20
[email protected]
Khóa cổng công ty (external doors)
Khóa cửa công ty (internal doors)
Khóa tủ phòng máy chủ (server room door)
Khóa tủ RACK
Nhân viên bảo vệ
Camera
10/25/2014