TIÊU CHUẨN AN TOÀN MẠNG
n An toàn thông tin làcác biện pháp nhằm đảm
bảo tính bímật (confidentiality), tính toàn vẹn
(integrity) vàtính sẵn sàng (availability) của
thông tin.
n ISO 17799: Mục tiêu của BS7799 / ISO 17799
là“tạo nền móng cho sự phát triển các tiêu
chuẩn về ATTT vàcác biện pháp quản lý
ATTT hiệu quả trong một tổ chức , đồng thời
tạo ra sự tin cậy trong các giao dịch liên tổ
chức”
n ISO 17799 nhằm để thiết lập hệ thống quản
lý bảo mật thông tin, gồm các bước như
sau:
n a) Xác định phạm vi vàranh giới của hệ
thống ISMS phùhợp với đặc điểm của
hoạt động kinh doanh, việc tổ chức, vị trí
địa lý, tài sản vàcông nghệ, vàbao gồm
các chi tiết của chúng vàcác minh chứng
cho các loại trừ trong phạm vi áp dụng.
n b) Xác định một chính sách của hệ thống bảo
mật phùhợp với đặc điểm của hoạt động
kinh doanh, việc tổ chức, vị trí địa lý, tài sản
vàcông nghệ mà:
n 1) Bao gồm cơ cấu cho việc thiết lập các
mục tiêu vàxây dựng ý thức chung trong
định hướng vàcác nguyên tắc hành động
về bảo mật thông tin.
n 2) Quan tâm đến các hoạt động kinh doanh
vàcác yêu cầu của luật hoặc pháp lý, vàcác
bổn phận bảo mật thõa thuận.

các lỗi bảo mật do khinh suất các mối đe
dọa vàyếu điểm phổ biến hoặc thường gặp,
vàdo các ảnh hưởng liên quan đến các
tài sản này, vàdo việc áp dụng các
biện pháp kiểm soát hiện hành.
n 3) Ước lượng các mức độ rủi ro
n 4) Định rõ xem coi các rủi ro cóthể
chấp nhận được hay cần thiết phải có
xử lý bằng cách sử dụng các tiêu chuẩn
chấp nhận rủi ro đã được lập trong mục
c –2
n f) Xác định và đánh giácác phương án xử lý
các rủi ro
n 1) Áp dụng các biện pháp kiểm soát thích
hợp
n 2) Chủ tâm vàmột cách khách quan chấp
nhận các rủi ro, với điều kiện chúng thõa
mãn một cách rõ ràng các chính sách của tổ
chức vàcác chuẩn mực chấp nhận rủi ro.
n 3) Tránh các rủi ro
n 4) Chuyển các công việc rủi ro liên đới
cho các tổ chức/cánhân khác như nhà
bảo hiểm, nhàcung cấp
n g) Chọn các mục tiêu kiểm soát vàcác biện
pháp kiểm soát để xử lý các rủi ro
n h) Thông qua lãnh đạo các đề suất về các rủi
ro còn lại sau xử lý
n i) Được phép của lãnh đạo để áp dụng vàvận
hành hệ thống quản lý bảo mật thông tin