Quản lý rủi ro an toàn thông tin là gì?
Quản lý rủi ro an toàn thông tin là quy trình lặp lại để xác định điều gì có thể làm lộ, mất hoặc gián đoạn dữ liệu và hệ thống, mức độ nghiêm trọng của nó, và doanh nghiệp sẽ làm gì. Hầu hết framework tuân thủ đều bắt đầu từ đây: control được chọn dựa trên rủi ro, và kiểm toán viên kiểm tra rằng quyết định đó có căn cứ.
Quy trình quản lý rủi ro 5 bước
Xác định phạm vi và tài sản
Liệt kê hệ thống, dữ liệu, quy trình, nhà cung cấp và người phụ trách trong phạm vi.
Nhận diện và phân tích rủi ro
Xác định mối đe dọa, lỗ hổng, rồi chấm khả năng xảy ra và mức độ ảnh hưởng theo tiêu chí đã thống nhất.
Đánh giá và ưu tiên
So sánh mức rủi ro với khẩu vị rủi ro để quyết định rủi ro nào cần xử lý trước.
Xử lý rủi ro
Chọn giảm thiểu, chấp nhận, chuyển giao hoặc tránh; gắn control, người phụ trách và thời hạn.
Theo dõi và đánh giá lại
Theo dõi rủi ro còn lại, evidence của control và review định kỳ hoặc khi có thay đổi.
Framework nào yêu cầu quản lý rủi ro?
| Framework | Yêu cầu về rủi ro |
|---|---|
| ISO 27001:2022 | Điều khoản 6.1.2 (đánh giá rủi ro), 6.1.3 (xử lý rủi ro, SoA), 8.2 và 8.3 (thực hiện định kỳ) |
| SOC 2 | Nhóm tiêu chí CC3 (Risk Assessment) trong Trust Services Criteria |
| PCI DSS v4.0 | Yêu cầu 12.3.1: phân tích rủi ro có mục tiêu (targeted risk analysis) |
| HIPAA | §164.308(a)(1)(ii)(A) Risk Analysis và (B) Risk Management |
| ISO 42001 | Điều khoản 6.1.2 (đánh giá rủi ro AI), 6.1.3 (xử lý), 6.1.4 (đánh giá tác động hệ thống AI) |
| GDPR | Điều 32 (an toàn xử lý theo rủi ro) và Điều 35 (DPIA) |
Sổ đăng ký rủi ro (risk register) cần có gì?
pTrackly hỗ trợ quản lý rủi ro như thế nào
pTrackly quét hệ thống đã kết nối để tìm khoảng trống control và tạo mục rủi ro kèm ánh xạ tài sản, mức khả năng xảy ra và đề xuất xử lý. Người đánh giá xác nhận thay vì xây từ đầu.
Kế hoạch xử lý rủi ro, Statement of Applicability và evidence nằm cùng workspace với các framework bạn đang triển khai.
Theo dõi rủi ro của nhà cung cấp và bên thứ ba cùng với rủi ro nội bộ.
Danh mục hệ thống AI, đánh giá rủi ro AI và workflow giám sát cho doanh nghiệp xây sản phẩm AI.
Câu hỏi thường gặp
Quản lý rủi ro an toàn thông tin là gì?
Là quy trình lặp lại để xác định tài sản thông tin, nhận diện mối đe dọa và lỗ hổng, đánh giá khả năng xảy ra và mức độ ảnh hưởng, chọn biện pháp xử lý, rồi theo dõi và đánh giá lại. Đây là yêu cầu cốt lõi của ISO 27001 và xuất hiện trong SOC 2, PCI DSS, HIPAA và ISO 42001.
ISO 27001 yêu cầu gì về đánh giá rủi ro?
ISO 27001:2022 yêu cầu một quy trình đánh giá rủi ro có tiêu chí rõ ràng và cho kết quả nhất quán (Điều khoản 6.1.2), một quy trình xử lý rủi ro dẫn tới Statement of Applicability (6.1.3), và thực hiện đánh giá, xử lý rủi ro theo kế hoạch hoặc khi có thay đổi đáng kể (8.2, 8.3).
Sổ đăng ký rủi ro (risk register) gồm những gì?
Tối thiểu gồm: tài sản hoặc quy trình liên quan, mô tả rủi ro, chủ sở hữu rủi ro, khả năng xảy ra, mức độ ảnh hưởng, mức rủi ro, phương án xử lý (giảm thiểu, chấp nhận, chuyển giao, tránh), control liên quan, rủi ro còn lại và ngày review.
Bao lâu cần đánh giá lại rủi ro?
ISO 27001 yêu cầu đánh giá lại theo chu kỳ đã lập kế hoạch và khi có thay đổi đáng kể, ví dụ hệ thống mới, nhà cung cấp mới hoặc sự cố. Nhiều doanh nghiệp review toàn bộ hằng năm và review rủi ro trọng yếu hằng quý.
pTrackly hỗ trợ quản lý rủi ro như thế nào?
pTrackly quét các hệ thống đã kết nối để tìm khoảng trống control và tạo mục rủi ro kèm ánh xạ tài sản, mức khả năng xảy ra và đề xuất phương án xử lý. Người đánh giá rủi ro xác nhận thay vì xây từ đầu. Rủi ro được liên kết với control và evidence của các framework pTrackly hỗ trợ.
