VietnamCredit: Định hình thành công doanh nghiệp từ Xây dựng chính sách bảo mật

Reading Time: 10 minutes

VietnamCredit đã phải đối mặt với nhiều thách thức liên quan đến chính sách bảo mật, khiến quá trình làm việc cùng khách hàng cuối gặp nhiều khó khăn. CyStack, cùng giải pháp Xây dựng chính sách bảo mật, đã giúp VietnamCredit vượt qua trở ngại và chinh phục niềm tin của khách hàng.

Về khách hàng

Trong môi trường cạnh tranh khốc liệt của doanh nghiệp hiện nay, việc phân tích báo cáo tài chính trở thành một quy trình quan trọng. Những con số có khả năng giúp doanh nghiệp có cái nhìn rõ ràng hơn về hiệu suất kinh doanh, lợi nhuận và khả năng thanh toán, từ đó có cái nhìn rõ ràng hơn về tình hình tài chính của mình. Các chỉ số tài chính như tỷ suất lợi nhuận, đòn bẩy tài chính và khả năng sinh lời được sử dụng để đưa ra quyết định, xác định các rủi ro tiềm ẩn, hướng dẫn chiến lược, đầu tư và phát triển phù hợp. Ngoài ra, việc phân tích báo cáo tài chính còn giúp thu hút sự quan tâm từ nhà đầu tư, tuân thủ các quy định, đảm bảo sự minh bạch và trung thực của doanh nghiệp.

Khách hàng của chúng tôi, VietnamCredit, là một trong những nhà cung cấp hàng đầu trong lĩnh vực phân tích các báo cáo tín dụng của nhiều ngành khác nhau với cơ sở dữ liệu lên đến 1.740.000 doanh nghiệp SMEs đang hoạt động tại Việt Nam. Do sở hữu lượng lớn khách hàng chuyên nghiệp với những yêu cầu khắt khe ở nhiều khía cạnh, vấn đề chính sách bảo mật đối với VietnamCredit là một trở ngại lớn khi tìm kiếm những nhà đầu tư tiềm năng.

Trong quá trình làm việc với khách hàng cuối, VietnamCredit chưa thể thiết lập một quy trình đánh giá bảo mật đáng tin cậy. Mặc dù đã cố gắng hoàn thiện 21 hạng mục kiểm soát bảo mật theo yêu cầu (bao gồm chứng minh bằng các văn kiện quy trình – chính sách, báo cáo, đơn từ, ảnh chụp bằng chứng sẵn), song VietnamCredit vẫn gặp khó khăn trong việc giải quyết các chi tiết tồn đọng trong 17 hạng mục lớn chưa được xử lý đúng theo yêu cầu từ phía IT auditor.

Giải pháp

Để hỗ trợ VietnamCredit khắc phục tình trạng này, CyStack đã đề xuất giải pháp Xây dựng chính sách bảo mật (Security Policy Development), bằng cách rà soát tài liệu và bằng chứng sẵn có, bổ sung các vấn đề còn tồn đọng chưa giải quyết trong bộ hồ sơ chứng minh của VietnamCredit.

Thời gian triển khai: Khoảng 2 tuần.

Một số chính sách bảo mật phổ biến mà CyStack có thể hỗ trợ xây dựng bao gồm:

• Chính sách bảo mật thông tin: Nêu rõ cam kết của công ty trong việc bảo vệ thông tin nhạy cảm và thông tin mật, bao gồm các chỉ dẫn về phân loại dữ liệu, kiểm soát truy cập, mã hóa và quy trình xử lý dữ liệu.
• Chính sách bảo vệ dữ liệu: Tập trung vào việc bảo vệ dữ liệu nhạy cảm và bí mật, bao gồm các quy trình phân loại, mã hóa và xử lý dữ liệu.
• Chính sách bảo mật dữ liệu: Làm rõ vấn đề bảo mật thông tin cá nhân của khách hàng và nhân viên, đồng thời nêu rõ các biện pháp bảo vệ dữ liệu và quyền riêng tư.
• Chính sách sử dụng được chấp nhận (AUP): Chỉ ra cách sử dụng tài nguyên CNTT hợp lệ và không hợp lệ.
• Chính sách bảo mật vật lý: Nêu các biện pháp bảo vệ quyền truy cập vật lý vào các cơ sở, bao gồm kiểm soát vào ra, giám sát và quản lý khách mời.
• Chính sách quản lý tài sản vật chất: Đề cập đến việc theo dõi và quản lý tài sản vật chất, bao gồm phần cứng và thiết bị, để ngăn chặn hành vi trộm cắp và truy cập trái phép.
• Chính sách quản lý thiết bị di động (MDM): Quản lý tính bảo mật của các thiết bị di động được sử dụng cho công việc.
• Chính sách tự chuẩn bị thiết bị (BYOD): Đề cập đến việc sử dụng an toàn các thiết bị cá nhân cho mục đích công việc.
• Chính sách phân loại thông tin: Phân loại dữ liệu dựa trên độ nhạy cảm và mức độ quan trọng.
• Chính sách kiểm soát truy cập: Xác định các quy tắc cấp, thu hồi và giám sát quyền truy cập vào hệ thống thông tin và tài nguyên.
• Chính sách mật khẩu: Thiết lập các quy tắc tạo, quản lý và lưu trữ mật khẩu để ngăn chặn truy cập trái phép.
• Chính sách sử dụng các phương tiện liên lạc và email: Đặt ra các nguyên tắc cho các biện pháp sử dụng email và phương tiện liên lạc an toàn.
• Chính sách sử dụng Internet và mạng xã hội: Xác định việc sử dụng tài nguyên Internet và mạng xã hội phù hợp để giảm thiểu rủi ro bảo mật.
• Chính sách bảo mật mạng: Chỉ định các biện pháp bảo mật mạng, bao gồm cấu hình tường lửa, sử dụng VPN, phân đoạn mạng và phát hiện xâm nhập.
• Chính sách làm việc và liên lạc từ xa: Bao gồm các biện pháp bảo mật cho nhân viên làm việc từ xa.
• Chính sách giám sát hệ thống thông tin: Xác định cách tổ chức sẽ tiến hành kiểm tra và ghi nhật ký các hoạt động trong hệ thống và mạng CNTT.
• Chính sách quản lý thay đổi: Quản lý quá trình thực hiện các thay đổi đối với hệ thống CNTT một cách an toàn.
• Chính sách phát triển phần mềm và lập trình an toàn: Chỉ định các quy tắc lập trình an toàn trong phát triển phần mềm.
• Chính sách quản lý phần mềm và bản vá: Xác định cách mua, cập nhật và vá phần mềm để giải quyết các lỗ hổng bảo mật.
• Chính sách mã hóa dữ liệu: Xác định thời điểm và cách thức mã hóa dữ liệu để bảo vệ khỏi các truy cập trái phép.
• Chính sách lưu giữ và hủy dữ liệu: Bao gồm thời gian lưu giữ dữ liệu và cách xử lý dữ liệu an toàn khi vòng đời dữ liệu kết thúc.
• Chính sách sao lưu: Bao gồm các quy trình sao lưu dữ liệu và lưu trữ ngoại vi để đảm bảo hoạt động kinh doanh liên tục.
• Chính sách ứng phó sự cố: Cung cấp các quy trình để xác định, báo cáo và ứng phó với các sự cố bảo mật.
• Chính sách kinh doanh liên tục và phục hồi sau thảm họa: Phác thảo chiến lược của tổ chức nhằm duy trì các hoạt động thiết yếu trong thời gian gián đoạn.
• Chính sách bảo mật đám mây: Đề cập đến các biện pháp kiểm soát bảo mật, bảo vệ dữ liệu và tuân thủ đối với cơ sở hạ tầng điện toán đám mây.
• Chính sách bảo mật đối với nhà cung cấp dịch vụ và bên thứ ba: Chỉ định các yêu cầu bảo mật đối với nhà cung cấp dịch vụ, nhà thầu và đối tác bên thứ ba.
• Chính sách đánh giá bảo mật của nhà cung cấp: Trình bày chi tiết quy trình đánh giá các biện pháp và sản phẩm bảo mật của nhà cung cấp bên thứ ba.
• Chính sách tuân thủ quy định: Đảm bảo tuân thủ các luật liên quan, các quy định cụ thể của ngành và các yêu cầu tuân thủ.
• Chính sách đào tạo và nâng cao nhận thức cho nhân viên: Thiết lập yêu cầu về các chương trình đào tạo và nâng cao nhận thức bảo mật cho nhân viên.

Khi tiến hành xây dựng chính sách bảo mật, CyStack bám sát theo các tiêu chuẩn ngành và đa dạng các phương pháp tốt nhất để xây dựng khung chính sách bảo mật và các chính sách tương ứng. Một số tiêu chuẩn ngành phổ biến có thể được tham khảo bao gồm:

• ISO/IEC 27001: Tiêu chuẩn quốc tế về hệ thống quản lý bảo mật thông tin (ISMS), cung cấp khuôn mẫu để thiết lập, triển khai, duy trì và liên tục cải thiện bảo mật thông tin.
• ISO/IEC 27002: Cung cấp các hướng dẫn và phương pháp tốt nhất để triển khai các biện pháp kiểm soát bảo mật, bổ sung cho ISO/IEC 27001.
• Tiêu chuẩn bảo mật dữ liệu ngành thẻ thanh toán (PCI DSS): Bắt buộc đối với các doanh nghiệp xử lý dữ liệu thẻ tín dụng.
• Khung an ninh mạng NIST: Được phát triển bởi Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST), khung này đưa ra các hướng dẫn và phương pháp thực hành tốt nhất để quản lý và giảm thiểu rủi ro an ninh mạng.
• Bộ Ấn phẩm Đặc biệt 800 (SP 800) của NIST: Cung cấp các hướng dẫn, phương pháp tốt nhất và đề xuất cho các khía cạnh khác nhau về bảo mật thông tin và an ninh mạng.
• Bộ Kiểm soát bảo mật (Critical Security Controls) của Trung tâm An ninh Internet (CIS): Một bộ các giải pháp ưu tiên nhằm tăng cường an ninh mạng.
• Mục tiêu kiểm soát đối với thông tin và công nghệ liên quan (COBIT): Một khuôn khổ để quản trị và quản lý CNTT của doanh nghiệp.
• Ma trận kiểm soát đám mây CSA (CCM): Một khuôn khổ cung cấp tiêu chuẩn chi tiết, được ngành chấp nhận để kiểm soát bảo mật và đánh giá tình hình bảo mật của các nhà cung cấp dịch vụ đám mây.

Bên cạnh việc sử dụng các tiêu chuẩn ngành, CyStack chú trọng xem xét các quy định mà công ty phải tuân thủ. Một số quy định chung có thể được yêu cầu đối với các khách hàng cụ thể bao gồm:

• Luật An ninh mạng số 24/2018/QH14 của Việt Nam: Quy định bảo vệ an ninh quốc gia và trật tự công cộng trên không gian mạng; trách nhiệm của các tổ chức, cá nhân có liên quan.
• Nghị định số 13/2023/NĐ-CP về Bảo vệ dữ liệu cá nhân của Việt Nam: Quy định về bảo vệ dữ liệu cá nhân và trách nhiệm của các cơ quan, tổ chức, cá nhân liên quan.
• Quy định chung về bảo vệ dữ liệu (GDPR): Áp dụng cho các công ty xử lý dữ liệu cá nhân của công dân Liên minh Châu Âu.
• Đạo luật về quyền riêng tư của người tiêu dùng California (CCPA): Thực thi quyền riêng tư và bảo vệ dữ liệu cho cư dân California.
• Đạo luật về trách nhiệm giải trình và cung cấp thông tin bảo hiểm y tế (HIPAA): Bắt buộc đối với các tổ chức chăm sóc sức khỏe tại Hoa Kỳ.
• Đạo luật Sarbanes-Oxley (SOX): Được thi hành đối với các công ty đại chúng ở Hoa Kỳ.
• Đạo luật Gramm-Leach-Bliley (GLBA): Yêu cầu các tổ chức tài chính bảo vệ thông tin tài chính và quyền riêng tư của người tiêu dùng.
• Đạo luật quản lý bảo mật thông tin liên bang (FISMA): Quản lý các biện pháp bảo mật thông tin trong chính phủ liên bang Hoa Kỳ.
• Đạo luật bản quyền thiên niên kỷ kỹ thuật số (DMCA): Luật bản quyền của Hoa Kỳ nhằm giải quyết các vấn đề liên quan đến nội dung kỹ thuật số.

Quy trình làm việc

Với nhiều năm kinh nghiệm cùng hiểu biết sâu sắc về các tiêu chuẩn và điều luật bảo mật cũng như thực trạng các mối đe doạ mới nhất trong ngành, đội ngũ chuyên gia CyStack đã tái cấu trúc chính sách bảo mật sẵn có của VietnamCredit với quy trình làm việc gồm các bước sau:

Bước 1: Khởi tạo và lên kế hoạch

• Tiếp nhận và trao đổi về những vấn đề mà VietnamCredit cần giải quyết để hiểu rõ nhu cầu và các yêu cầu bắt buộc nhằm xác định mục tiêu, phân bổ tài nguyên và lên bản kế hoạch dự án một cách phù hợp.
• Thiết lập và thống nhất hình thức truyền tải thông tin chung (qua Telegram, email).

Bước 2: Đánh giá rủi ro

• Tiếp nhận hồ sơ từ VietnamCredit bao gồm: tài liệu chi tiết về kết quả đánh giá và yêu cầu bổ sung từ phía Auditor; tập các tài liệu và bằng chứng đang bị đánh giá không đúng, chất lượng kém hoặc thiếu sót.
• Phân tích mối đe doạ, mức độ ảnh hưởng, thống kê và sắp xếp mức độ ưu tiên cho các rủi ro đã xác định.

Bước 3: Thiết kế bộ khung chính sách

• Định nghĩa phạm vi và cấu trúc của chính sách, tham chiếu theo các điều luật và quy định hiện hành.
• Nghiên cứu, đối chiếu với bộ hồ sơ đã nhận được từ phía VietnamCredit.

Bước 4: Xây dựng chính sách

• Sau khi nghiên cứu và đối chiếu, tiến hành đưa ra các chỉnh sửa, bổ sung phù hợp, bao gồm chỉ rõ nhân sự chịu trách nhiệm thi hành và giám sát tuân thủ. Các hướng dẫn và thủ tục trong mỗi chính sách cần được trình bày dễ hiểu và rõ ràng.

Bước 5: Đánh giá chính sách

• Đảm bảo các chính sách thống nhất, không tối nghĩa, phù hợp với các mục tiêu đề ra của doanh nghiệp. Nếu cần thiết, các chính sách có thể được đánh giá thêm bởi bộ phận pháp lý của khách hàng.

Bước 6: Thực thi chính sách

• Gửi lại các tài liệu chỉnh lý để VietnamCredit tiếp tục làm việc với IT auditor.
• Hướng dẫn soạn thảo các mẫu đơn chưa có, chỉnh lý lại các tài liệu chính sách và tư vấn phương pháp chứng minh các vấn đề thực hành bảo mật.

Bước 7: Hỗ trợ liên tục

• Liên tục trao đổi, bổ sung nếu IT auditor chưa công nhận các kết quả ở khâu trên.
• Quá trình chỉnh lý và bổ sung kết thúc khi VietnamCredit được IT auditor xác nhận hoàn thiện đầy đủ yêu cầu cho bộ khung bảo mật tiêu chuẩn.
• Bàn giao lại toàn bộ tài liệu cho VietnamCredit.

*Bước 4 và 5 sẽ lặp lại cho đến khi đạt đủ yêu cầu.

Kết quả

Xuyên suốt tháng 9 năm 2023 chúng tôi đã chỉnh lý gần như tất cả các tài liệu được duyệt và điều chỉnh sau tư vấn và khâu kiểm duyệt nội bộ. Các đề mục đã được thực hiện tư vấn đánh giá bao gồm:

• Quản trị (Governance)
• Quản lý rủi ro (Risk Management)
• An ninh nhân sự (Personnel Security)
• Quản lý tài sản thông tin (Information Asset Management)
• Quản lý danh tính và quyền truy cập (Identity and Access Management)
• Các thuật toán mật mã (Cryptography)
• Kết nối truy cập từ xa (Remote Access Connection)
• Bảo mật đám mây (Cloud Security)
• Quản trị sự thay đổi (Change Management)
• Bảo mật điểm cuối (Endpoint Security)
• Bảo mật mạng (Network Security)
• Quản lý lỗ hổng bảo mật (Vulnerability Management)
• Giám sát bảo vệ (Protective Monitoring)
• Bảo mật vật lý (Physical Security)
• Kế hoạch đảm bảo tính liên tục trong kinh doanh và phục hồi sau thảm hoạ (Business Continuity and Disaster Recovery)
• Quản lý rủi ro bên thứ ba (Third-party Risk Management)

CyStack đã hoàn thành dự án đúng tiến độ và đảm bảo chất lượng đầu ra. Hơn thế nữa, sự phê duyệt tích cực từ phía khách hàng cuối của VietnamCredit là bước quan trọng trong hành trình hỗ trợ xây dựng nền tảng bảo mật cho doanh nghiệp.