Hình 6 - Quản lý rủi ro an ninh mạng và các quy trình quản lý

CHÚ THÍCH Thông tin chi tiết của kiểm soát an ninh đánh giá rủi ro an ninh mạng và việc quản lý các đánh giá, xem trong TCVN ISO/IEC 27001, TCVN ISO/IEC 27002 và ISO/IEC 27005.

8. Kiểm soát hỗ trợ

8.1. Giới thiệu

Điều này cung cấp tổng quan của các kiểm soát an ninh hỗ trợ các kiến trúc kỹ thuật an ninh mạng và các kiểm soát an ninh kỹ thuật liên quan của chúng, như các kiểm soát an ninh khác (kỹ thuật và phi kỹ thuật) mà được áp dụng không chỉ cho các mạng. Thông tin trên các loại kiểm soát an ninh này có thể được tìm thấy trong TCVN/IEC 27001, TCVN ISO/IEC 27002 và ISO/IEC 27005. Các kiểm soát an ninh này đặc biệt quan trọng với việc sử dụng của các mạng được mở rộng dựa trên các điều từ 8.2 tới 8.9 bên dưới, mà chỉ định đến sự quản lý của an ninh mạng (các hoạt động quản lý an ninh mạng, các vai trò an ninh mạng và trách nhiệm, việc giám sát mạng và đánh giá an ninh mạng), sự quản lý lỗ hổng kỹ thuật, sự xác định và chứng thực, sự ghi thử mạng và giám sát, phát hiện xâm nhập, chống lại mã độc, các dịch vụ dựa trên mã hóa, và sự quản lý kinh doanh liên tục. Các tham chiếu được cung cấp với nội dung liên quan của TCVN ISO/IEC 27001, TCVN ISO/IEC 27002 và ISO/IEC 27005.

8.2. Quản lý an ninh thông tin

Việc quản lý tổng thể của an ninh mạng phải được thực hiện theo một cách thức an toàn, và được hoàn thành dựa trên việc xem xét của các giao thức mạng khác nhau sẵn có và các dịch vụ an ninh liên quan. Xa hơn nữa, một tổ chức phải xem xét một số lượng kiểm soát an ninh mạng, hầu như mà có thể được xác định qua việc sử dụng TCVN ISO/IEC 27002 và ISO/IEC 270005. Chúng cần được mở rộng dựa trên bối cảnh an ninh mạng được mô tả từ Điều 8.2.2 tới 8.2.5.

Một yêu cầu quan trọng cho bất kỳ mạng nào là nó được hỗ trợ bởi các hoạt động quản lý an ninh, phải được khởi tạo và kiểm soát an ninh việc thiết lập và vận hành an ninh. Những hoạt động này nên được diễn ra để đảm bảo rằng sự an toàn của tất cả các hệ thống thông tin của một tổ chức/cộng đồng. Các hoạt động quản lý an ninh mạng nên bao gồm:

- Định nghĩa tất cả trách nhiệm liên quan đến an ninh mạng, và việc chỉ định của một nhà quản lý an ninh với trách nhiệm tổng quan,

- Chính sách an ninh mạng được dẫn chứng và sự đi kèm kiến trúc an ninh kỹ thuật được dẫn chứng,

- Các SecOPs mạng được dẫn chứng,

- Các kiểm soát của việc kiểm tra tuân theo an ninh, bao gồm việc thử nghiệm an ninh để đảm bảo an ninh được duy trì ở mức độ được yêu cầu,

- Các điều kiện an ninh được dẫn chứng cho kết nối mạng, để liên kết trước khi kết nối được phép - bởi các tổ chức hay cá nhân nội bộ và bên ngoài tổ chức,

- Các điều kiện an ninh được dẫn chứng cho những người dùng mạng từ xa,

- Kịch bản của sự phản lý sự cố an ninh mạng,

- Các kế hoạch phục hồi thảm họa/tính kinh doanh liên tục được thực nghiệm và ghi nhận.

Các thông tin chi tiết trong chủ đề tham khảo này nên được tạo cho TCVN ISO/IEC 27002, ISO/IEC 27005 và ISO/IEC 27035. Chỉ những chủ đề nêu trên là đặc biệt quan trọng về vấn đề sử dụng mạng được cung cấp hướng dẫn nhiều hơn trong các mục bên dưới.

8.2.2.2. Chính sách an ninh mạng

Trách nhiệm của việc quản lý để chấp thuận hiện hữu và hỗ trợ chính sách an ninh mạng của tổ chức (được đề cập trong TCVN ISO/IEC 27002). Chính sách an ninh mạng nên tuân theo, và được phù hợp với chính sách an ninh thông tin của tổ chức. Chính sách phải đáp ứng được sự thiết lập, sự sẵn có cho các thành viên được phép và bao gồm các mệnh đề rõ ràng:

- Lập trường của tổ chức có liên quan đến việc thỏa thuận sử dụng,

- Các quy tắc rõ ràng cho việc sử dụng an toàn các nguồn tài nguyên, các dịch vụ và các ứng dụng mạng đặc trưng,

- Hậu quả của việc không tuân thủ các quy tắc an ninh,

- Thái độ của tổ chức với việc lạm dụng mạng,

- (Các) yếu tố căn bản của chính sách, và cho bất kỳ các quy tắc an ninh đặc trưng nào.

(Trong một vài trường hợp các mệnh đề rõ ràng này có thể được đưa vào chính sách an ninh thông tin, nếu điều này thuận tiện hơn cho tổ chức và/hoặc sẽ rõ ràng hơn cho chính cá nhân.)

Thông thường, nội dung của chính sách an ninh mạng phải bao gồm một tóm tắt của các kết quả từ việc đánh giá rủi ro an ninh mạng và quản lý đánh giá (cung cấp sự biện minh cho việc dùng các kiểm soát an ninh) bao gồm chi tiết của tất cả các kiểm soát an ninh được chọn lọc tương ứng với các rủi ro được đánh giá. (xem Điều 7.3)

8.2.2.3. Thủ tục vận hành an ninh mạng

Để hỗ trợ chính sách an ninh mạng, các văn bản SecOPs phải được phát triển và duy trì. Chúng bao gồm các chi tiết của các thủ tục vận hành hàng ngày tương ứng với an ninh mạng, và cá nhân chịu trách nhiệm sử dụng và quản lý. Một mẫu ví dụ được trình bày trong Phụ lục C.

Với tất cả các mạng, việc kiểm tra tuân theo an ninh phải diễn ra đối với một danh sách kiểm tra được thiết lập từ các kiểm soát được nêu cụ thể trong:

- Chính sách an ninh mạng,

- Các SecOPs liên quan,

- Kiến trúc an ninh kỹ thuật,

- Chính sách (an ninh) truy cập dịch vụ cổng an ninh,

- (Các) kế hoạch kinh doanh liên tục,

- Các điều kiện an ninh, liên quan đến việc kết nối.

Điều này phải xảy ra trước khi vận hành trực tiếp bất kỳ mạng nào, trước một ban hành chính mới (liên quan đến quyền lợi kinh doanh hoặc thay đổi liên quan đến mạng) và hàng năm khác.

Điều này bao gồm việc kiểm soát an ninh của việc thử nghiệm an ninh để nhận biết các tiêu chuẩn, với một chiến lược thử nghiệm an ninh và các kế hoạch liên quan được cung cấp trước khi thiết lập chính xác thử nghiệm nào được thực hiện, với cái gì, ở đâu và khi nào. Điều này phải bao gồm một sự kết hợp của việc quét lỗ hổng và việc thử nghiệm thâm nhập. Trước khi việc khởi tạo bất kỳ một thử nghiệm nào, kế hoạch thử nghiệm phải được kiểm tra để đảm bảo rằng thử nghiệm đó được thực hiện theo một cách thức tương thích hoàn toàn với luật pháp tương ứng. Khi thực hiện kiểm tra này nó không được quên rằng một mạng có thể không bị hạn chế cho một quốc gia - nó có thể được phân tán qua các quốc gia khác nhau với luật pháp khác nhau. Theo thử nghiệm này, các báo cáo phải chỉ ra các đặc trưng của các lỗ hổng bị phát hiện và các sửa lỗi được yêu cầu và cái ưu tiên.

Trừ phi các điều kiện an ninh kết nối được đặt đúng và được đồng ý thỏa thuận, một tổ chức chấp nhận hệ quả các rủi ro mà kết hợp với các phần cuối khác của một kết nối mạng ra bên ngoài tên miền của nó. Các rủi ro này có thể bao gồm sự bảo vệ dữ liệu/chính sách liên quan, mà một kết nối có được sử dụng để trao đổi các chủ đề dữ liệu cá nhân cho luật pháp quốc gia ở một hoặc cả hai điểm cuối, mà điểm cuối khác của một kết nối mạng (bên ngoài tên miền của một tổ chức) trong một quốc qua khác, luật pháp có thể khác biệt.

Ví dụ, tổ chức A có thể yêu cầu rằng là trước khi tổ chức B có thể kết nối tới hệ thống của họ thông qua một kết nối mạng, B phải duy trì và mô tả một mức an ninh cụ thể của hệ thống của họ bao gồm cả kết nối đó. Theo cách này A có thể đảm bảo B đang quản lý các rủi ro của chính họ theo cách thức mà có thể chấp nhận được. Ở trường hợp này, A phải đưa ra một văn bản các điều kiện an ninh cho kết nối mà các chi tiết của các kiểm soát an ninh đó có mặt tại điểm cuối của B. Chúng phải được thiết lập bởi B, tuân theo bởi việc ký kết một mệnh đề ràng buộc của tổ chức mà hiệu quả và việc an ninh này phải được duy trì. A sẽ đảo ngược quyền để ủy quyền hoặc hướng dẫn một kiểm tra thỏa thuận với B.

Nó cũng dẫn đến các trường hợp khi các tổ chức trong một cộng đồng thỏa thuận chung một văn bản "các điều kiện an ninh cho kết nối" mà các bản ghi các giao thức và trách nhiệm của tất cả các bên, bao gồm việc kiểm tra thỏa thuận qua lại.

Người dùng trái phép để làm việc từ xa phải được đưa ra với một văn bản "các điều kiện an ninh cho các người dùng mạng từ xa" được dẫn chứng. Nó mô tả các trách nhiệm người dùng với phần cứng, phần mềm và dữ liệu trong mối quan hệ liên kết với mạng, và sự an toàn của chính nó.

Các sự cố an ninh mạng có thể hay xảy ra, và các tác động kinh doanh bất lợi nghiêm trọng hơn dẫn đến hệ quả, nơi các mạng được sử dụng (trái ngược với nơi không có). Hơn nữa, với các mạng đang kết nối với các tổ chức khác đặc biệt có thể là có tác động pháp lý quan trọng được kết nối với các sự cố an ninh.

Vì vậy, một tổ chức với các kết nối mạng có một kịch bản quản lý sự cố an ninh thông tin được thiết lập và được dẫn chứng và hạ tầng liên quan để có thể phản hồi nhanh chóng như các sự cố an ninh đã được xác định, tối giản tác động của chúng và học các bài học để cố gắng ngăn chặn sự tái xuất hiện. Đề án này có thể giải quyết cả hai sự kiện an ninh thông tin (các sự xuất hiện được xác định của một hệ thống, dịch vụ của trạng thái mạng chỉ ra một sự vi phạm của chính sách an ninh thông tin hoặc lỗi của các bộ phận an ninh, hoặc tình huống không biết trước đó mà có thể liên quan đến an toàn), và các sự cố an ninh thông tin (một chuỗi hoặc 1 phần riêng của các sự kiện an ninh thông tin không mong đợi hay không mong muốn mà có một khả năng quan trọng của việc thỏa thuận các vận hành kinh doanh và việc đe dọa an ninh thông tin). Chi tiết hơn việc quản lý sự cố an ninh thông tin được cung cấp trong tiêu chuẩn ISO/IEC 27035.

8.2.3. Trách nhiệm và vai trò của an ninh mạng

Vai trò và trách nhiệm phải được đánh giá tương ứng với việc quản lý an ninh mạng được tuân theo (lưu ý rằng, dựa trên quy mô tổ chức, các vai trò này có thể được kết hợp).

- Định nghĩa các mục tiêu an ninh của tổ chức,

- Định hướng, xác nhận, xuất bản và tuân theo các quy tắc, thủ tục và chính sách an ninh của tổ chức,

- Định hướng, xác nhận, xuất bản và tuân theo chính sách sử dụng có thể chấp nhận được của tổ chức,

- Đảm bảo các chính sách sử dụng có thể chấp nhận và an ninh là bắt buộc.

CHÚ THÍCH Quản lý cấp cao gồm các chủ kinh doanh.

- Phát triển chính sách an ninh mạng chi tiết,

- Thiết lập chính sách an ninh mạng,

- Thiết lập chính sách sử dụng mạng có thể chấp nhận được,

- Quản lý giao diện với các bên liên quan/các bên cung cấp dịch vụ bên ngoài để đảm bảo sự phù hợp với các chính sách an ninh mạng nội bộ lẫn bên ngoài,

- Đảm bảo rằng trách nhiệm vận hành cho các mạng là tách biệt khỏi các vận hành máy tính khi thích hợp.

- Thu thập, phát triển, thử nghiệm, kiểm tra, và duy trì các công cụ và các thành phần an ninh mạng,

- Duy trì các thành phần và công cụ an ninh mạng để theo dõi chặt chẽ sự phát triển của các mối đe dọa (ví dụ: cập nhật các tập tin chữ ký mã độc (chứa vi-rút)),

- Cập nhật các cấu hình liên quan an ninh mạng (ví dụ: các danh sách kiểm soát an ninh truy cập) dựa trên sự thay đổi của các nhu cầu kinh doanh.

- Cài đặt, cập nhật, sử dụng và bảo vệ các thành phần và dịch vụ an ninh mạng,

- Thực hiện các tác vụ thường nhật cần thiết để áp dụng các đặc tính kỹ thuật an ninh mạng, quy tắc và các thông số yêu cầu của các chính sách an ninh có hiệu lực,

- Thực hiện các biện pháp thích hợp để đảm bảo việc bảo vệ của các thành phần an ninh mạng (ví dụ: lưu trữ dự phòng, giám sát hoạt động mạng, phản hồi các báo lỗi hoặc các tai nạn an ninh,…)

- Kết nối với yêu cầu an ninh của họ,

- Tuân theo chính sách an ninh doanh nghiệp,

- Tuân theo các chính sách sử dụng có thể chấp nhận được của doanh nghiệp cho các tài nguyên mạng,

- Báo cáo các rắc rối và các sự kiện an ninh mạng,

- Cung cấp các phản hồi về các hiệu quả an ninh mạng

- Đánh giá và kiểm toán (Ví dụ: kiểm tra định kỳ tín hiệu quả của an ninh mạng),

- Kiểm tra việc tuân thủ chính sách an ninh mạng,

- Kiểm tra và thử nghiệm sự tương thích của việc vận hành các quy tắc an ninh mạng với các yêu cầu kinh doanh và các hạn chế luật pháp hiện tại (ví dụ: các danh sách được cấp cho các truy cập mạng)

Giám sát mạng là một phần rất quan trọng của việc quản lý an ninh mạng. Nó được đưa ra trong Điều 8.5.

An ninh mạng là một quan niệm động. Nhân viên an ninh phải tiếp tục theo kịp với sự phát triển trong lĩnh vực này và đảm bảo rằng các mạng tiếp tục làm việc với bản vá bảo mật và các bản sửa lỗi sẵn có từ các bên cung cấp. Các bước phải được tiến hành định kỳ để kiểm nghiệm các kiểm soát an ninh hiện có đối với các điểm chuẩn đã được thiết lập, bao gồm việc thử nghiệm an ninh - quét lỗ hổng an ninh v.v. An toàn phải là một xem xét chính trong việc đánh giá công nghệ mạng và các môi trường mạng mới.

8.3. Quản lý lỗ hổng kỹ thuật

Môi trường mạng như các hệ thống phức tạp khác không bao giờ là không có lỗi. Các lỗ hổng kỹ thuật hiện tại và đã được công bố cho các thành phần thường được sử dụng trong các mạng. Việc lợi dụng các lỗ hổng kỹ thuật có thể có một vài tác động vào sự an ninh của các mạng, thường được thấy theo các lĩnh vực sẵn có và bảo mật. Việc quản lý lỗ hổng kỹ thuật bao trùm tất cả các thành phần mạng, và bao gồm:

- Thu được thông tin thời gian về các lỗ hổng kỹ thuật,

- Đánh giá sự tiếp xúc của các mạng với các lỗ hổng đó,

- Định nghĩa các kiểm soát an ninh thích hợp để giải quyết các rủi ro liên quan, và

- Thiết lập và kiểm tra các kiểm soát an ninh quy định.

Một điều kiện tiên quyết cho việc quản lý lỗ hổng kỹ thuật là phải sẵn sàng cho một bản kiểm kê hoàn chỉnh và hiện tại của các thiết bị mạng, cung cấp thông tin kỹ thuật cần thiết, như loại thiết bị, bên cung cấp, số lượng phiên bản của phần cứng, phần sụn và phần mềm, và thông tin tổ chức, ví dụ: các nhân viên quản trị chịu trách nhiệm.

Nếu tổ chức đã được thiết lập một chương trình quản lý lỗ hổng kỹ thuật tổng thể, sự tích hợp của việc quản lý lỗ hổng mạng kỹ thuật thành nhiệm vụ tổng thể phải là giải pháp ưu tiên. (Thông tin bổ sung của sự quản lý lỗ hổng kỹ thuật, bao gồm việc thiết lập các hướng dẫn, có thể tìm thấy trong TCVN ISO/IEC 27002).

8.4. Định danh và xác nhận

Điều này quan trọng vì nó cho phép truy cập hạn chế qua các kết nối với người có thẩm quyền (có thể ở nội bộ hoặc bên ngoài tổ chức). Ví dụ, đó là một yêu cầu chính sách phổ biến mà truy cập vào các dịch vụ mạng nhất định và các thông tin liên quan phải được hạn chế với người có thẩm quyền. Các yêu cầu này là không độc quyền cho việc sử dụng các kết nối mạng, do đó chi tiết phù hợp với việc sử dụng các mạng cần được thực hiện bằng việc sử dụng TCVN ISO/IEC 27002 và ISO/IEC 27005.

Ba lĩnh vực kiểm tra an ninh mà có thể liên quan tới việc sử dụng các mạng, và các hệ thống thông tin là:

- Các đăng nhập từ xa - cho dù từ người có thẩm quyền làm việc xa tổ chức, từ các kỹ sư bảo trì từ xa, hoặc cá nhân từ các tổ chức khác, mà thực hiện thông qua cả việc chuyển mạch tới tổ chức, các kết nối Internet, các nối ghép dành riêng từ các tổ chức khác, hoặc truy cập chia sẻ qua mạng Internet. Các kết nối này được thiết lập cần một trong hai hệ thống nội bộ hoặc các đối tác hợp đồng sử dụng các mạng công cộng. Mỗi loại đăng nhập từ xa phải có các kiểm soát an ninh bổ sung phù hợp với tính chất của mạng liên quan, ví dụ: không cho phép truy cập trực tiếp tới hệ thống và phần mềm mạng từ các tài khoản sử dụng cho các truy cập từ xa, ngoại trừ thẩm quyền bổ sung được cung cấp (xem bên dưới) - và thậm chí việc mã hóa cuối-đến-cuối, và việc bảo vệ thông tin được liên kết với phần mềm thư điện tử và dữ liệu thư mục được lưu trữ trên máy tính cá nhân và các máy tính xách tay sử dụng bên ngoài các văn phòng của một tổ chức bởi nhân viên của chính nó từ truy cập trái phép,

- Các chứng thực tăng cường - trong khi việc sử dụng của các cặp mã id người dùng/mật khẩu là một cách đơn giản để chứng thực người sử dụng, chúng có thể được thỏa hiệp hoặc đoán ra. Vậy phải cách thức an toàn hơn để chứng thực người dùng phải được tiến hành - đặc biệt cho người dùng từ xa và/hoặc khi một khả năng cao tồn tại một nhân vật trái phép có thể gia tăng việc truy cập cho các hệ thống quan trọng được bảo vệ - bởi vì truy cập có thể được khởi tạo sử dụng các mạng công cộng, hoặc truy cập hệ thống có thể mất kiểm soát an ninh trực tiếp của tổ chức (ví dụ: thông qua một máy tính xách tay). Các ví dụ đơn giản là việc sử dụng CLID (nhưng vì đây là việc mở cửa cho việc giả mạo phải nó không phải sử dụng như một ID chứng minh mà không cần thêm chứng thực) và các liên kết thông qua các modem bị ngắt khi không sử dụng - và chỉ được kết nối sau khi xác minh danh tính của người gọi. Các ví dụ phức tạp hơn, nhưng an toàn hơn - đặc biệt trong bối cảnh của truy cập từ xa, được sử dụng theo cách thức khác của việc định danh để hỗ trợ việc xác thực người dùng như các thẻ được kiểm tra và các cạc thông minh từ xa - để việc đảm bảo rằng chúng có thể chỉ hoạt động kết hợp với tài khoản được chứng thực của người dùng ủy quyền (và tốt nhất, đó là người dùng máy tính và điểm truy cập/khu vực), ví dụ: bất kì PIN hoặc hồ sơ sinh trắc học nào. Nói chung, điều này được gọi là việc chứng minh mạnh mẽ, hai yếu tố xác thực.

- Đăng nhập một lần an toàn - khi các mạng có liên quan đến người dùng có thể gặp phải các kiểm tra chứng thực và đa nhận dạng. Trong trường hợp đó, người dùng có thể bị lôi kéo để chấp nhận các hành động không an toàn như việc viết ra các mật khẩu hoặc việc sử dụng cùng dữ liệu xác thực. Đăng nhập một lần an toàn có thể giảm các rủi ro liên quan tới hành vi bằng việc giảm số của các mật khẩu mà người dùng đã phải nhớ. Để giảm các rủi ro, năng suất người dùng có thể được tăng cường và các tải làm việc liên kết với các điều chỉnh lại mật khẩu có thể được giảm tải. Tuy nhiên, lưu ý rằng những hậu quả của một hệ thống đăng nhập một lần an toàn có thể là nghiêm trọng bởi không chỉ một mà nhiều hệ thống và ứng dụng gặp rủi ro và mở ra để thỏa hiệp (đôi khi được gọi là rủi ro "chìa khóa vương quốc". Việc sử dụng các cơ chế xác thực và định danh mạnh hơn thông thường có thể là cần thiết, và nó có thể được mong muốn loại trừ việc định danh và xác thực cho các tính năng (mức hệ thống) đặc quyền cao từ một chế độ đăng nhập một lần an toàn.

8.5. Giám sát và ghi nhật ký mạng

Điều này quan trọng để đảm bảo sự hiệu quả an ninh mạng thông qua việc giám sát liên tục và ghi nhật ký, với sự dò tìm, điều tra và báo cáo của các sự kiện an ninh, và phản hồi với các sự cố nhanh chóng. Không có hoạt động này, không có khả năng chắc chắn rằng các kiểm soát an ninh mạng vẫn luôn còn hiệu lực và các sự cố an ninh sẽ không xảy ra như một hệ quả của các hiệu ứng đối nghịch trong các vận hành kinh doanh.

Thông tin ghi nhật ký đầy đủ của các điều kiện lỗi và các sự kiện hiệu lực phải được ghi để cho phép thông qua đánh giá về các rủi ro thực tế và nghi ngờ. Tuy nhiên, việc nhận định rằng việc ghi một lượng lớn thông tin liên quan kiểm nghiệm có gây ra khó khăn cho việc quản lý, và có thể ảnh hưởng đến hiệu năng, việc quan tâm phải được diễn ra qua thời gian về cái thực tế được ghi. Các bản ghi kiểm tra cho mạng phải được duy trì mà bao gồm các loại sự kiện sau:

- Các cố gắng đăng nhập lỗi từ xa với ngày tháng và thời gian,

- Các sự kiện tái chứng thực (hoặc việc sử dụng thẻ) lỗi,

- Các nhánh lưu lượng cổng an ninh,

- Các báo lỗi quản lý/báo động an ninh hệ thống với các tác động an ninh (ví dụ: việc sao chép địa chỉ IP, việc gián đoạn mạch vô danh…)

Trong một bối cảnh mạng, các ghi nhật ký phải được rút ra từ một số nguồn, ví dụ: các bộ định tuyến, các tường lửa, IDS và được gửi đến một máy chủ nhật ký trung tâm cho việc phân tích và tổng hợp toàn diện. Tất cả các bản ghi kiểm tra phải được kiểm tra trong cả thời gian thực và thời gian offline. Tại thời gian thực, các bản ghi có thể hiển thị trên một màn cuộn và được sử dụng để cảnh báo các cuộc tấn công tiềm năng. Phân tích thời gian offline là thiết yếu bởi nó cho phép xác định một bức tranh toàn cảnh hơn cùng với phân tích xu hướng. Những chỉ báo ban đầu của một cuộc tấn công có thể là những "giọt" trên đáng kể trên các bản ghi của tường lửa, chúng chỉ ra hoạt động tìm kiếm chống lại mục tiêu. Một hệ thống IDS cũng có thể dò tìm trong thời gian thực dựa trên một dấu hiệu tấn công.

Nó nhấn mạnh cho việc phân tích và điều tra các mục đích phù hợp đáp ứng việc quản lý ghi nhật ký và phần mềm phân tích phải được sử dụng cho lưu trữ bản ghi và tìm kiếm, sự truy xuất nguồn gốc và báo cáo từ các bản ghi kiểm tra (chống lại các người dùng, các ứng dụng và các loại thông tin cụ thể, và qua một khoảng thời gian cụ thể khi được yêu cầu cho các mục đích điều tra) và báo cáo - với các ngõ xuất dễ hiểu, nhanh chóng và được nhấn mạnh. Các báo cáo phân tích bản ghi kiểm tra phải được giữa trong một khu vực an ninh, và lưu trữ với một giai đoạn thời gian thỏa thuận. Hơn nữa, việc xác định và chứng thực, và việc bảo vệ và kiểm soát an ninh truy cập phải được đặt vào chính các bản ghi nhật ký.

Việc giám sát liên tục phải bao trùm:

- Các bản ghi kiểm tra từ các tường lửa, các bộ định tuyến, các máy chủ,.v.v.

- Các báo lỗi/báo động từ các bản ghi kiểm tra đã được cấu hình trước để nhắc nhở các loại sự kiện hiện hữu, từ các tường lửa, các bộ định tuyến, các máy chủ,

- Ngõ xuất từ IDS,

- Các kết quả từ các hoạt động quét an ninh mạng,

- Thông tin trên các sự kiện và các rủi ro được báo cáo bởi người dùng và hỗ trợ nhân viên, và

- Các kết quả từ các đánh giá tuân theo sự an toàn.

Các biên bản nhật ký phải được duy trì online trong một giai đoạn phụ thuộc nhu cầu của tổ chức, với tất cả các biên bản nhật ký được sao lưu và lưu trữ theo cách thức đảm bảo tính toàn vẹn và tính sẵn sàng, bằng việc sử dụng phương tiện WORM như các CD. Hơn nữa, các bản ghi kiểm tra chứa thông tin nhạy cảm hoặc thông tin sử dụng của những người muốn tấn công hệ thống thông qua các kết nối mạng, và việc sở hữu các bản ghi kiểm tra có thể cung cấp bằng chứng của việc chuyển giao qua một mạng trong trường hợp có tranh chấp - và do đó đặc biệt cần thiết trong bối cảnh của việc đảm bảo tính toàn vẹn và không thoái thác. Do vậy mọi bản ghi kiểm tra phải được bảo vệ phù hợp, kể cả khi lưu trữ các CD bị phá hủy ở thời điểm được chỉ định. Các biên bản nhật ký phải được giữ lại trong một khoảng thời gian phù hợp với các yêu cầu của tổ chức và luật pháp quốc gia. Nó cũng quan trọng khi mà việc đồng bộ thời gian được đánh giá thường xuyên cho tất cả các biên bản nhật ký và các máy chủ liên quan, ví dụ: việc sử dụng NTP, đặc biệt là đối với pháp y và có thể sử dụng trong việc truy tố.

Nó nhấn mạnh rằng việc giám sát mạng phải được tiến hành một cách hoàn toàn phù hợp với luật pháp quốc gia, quốc tế và các quy định liên quan. Nó bao gồm luật pháp cho việc bảo vệ dữ liệu và cho quy định quyền hạn điều tra (theo quy định của luật pháp, tất cả người dùng phải được thông báo của bất kỳ giám sát nào trước khi nó được tiến hành). Nói chung việc giám sát phải được tiến hành có trách nhiệm, và không phải sử dụng tức thời để xem xét hành vi của nhân viên ở các quốc gia có các luật riêng tư rất hạn chế. Rõ ràng là các hoạt động diễn ra phải nhất quán với các chính sách an ninh và nhân viên có tổ chức/cộng đồng, và các thủ tục thích hợp với các trách nhiệm liên quan đưa ra. Ghi nhật ký và giám sát mạng có thể điều chỉnh theo một cách an toàn pháp lý nếu bằng chứng nhật ký được sử dụng trong các vấn đề pháp lý dân sự hoặc truy tố.

Hầu hết các kiểm soát an ninh giám sát và ghi nhật ký được yêu cầu liên quan đến việc sử dụng các mạng và các hệ thống thông tin liên quan có thể được xác định bằng việc sử dụng TCVN ISO/IEC 27002 và ISO/IEC 27005.

8.6. Phát hiện và phòng ngừa xâm nhập

Với việc sử dụng tăng cường các mạng, điều này trở phải dễ dàng cho kẻ gây xâm nhập tìm ra nhiều cách thức để thâm nhập vào các mạng và các hệ thống thông tin của một tổ chức hoặc cộng đồng, để che giấu điểm truy cập ban đầu đó, và truy cập thông qua các mạng và nhắm mục tiêu các hệ thống thông tin nội bộ. Hơn nữa, kẻ xâm nhập đang trở phải phức tạp hơn, và các phương thức tấn công nâng cao và các công cụ dễ dàng có sẵn trên Internet hoặc trong các tài liệu mở. Thật vậy, đa phần các công cụ là tự động, có thể rất hiệu quả và dễ sử dụng - bao gồm các nhân viên với các kinh nghiệm hạn chế.

Với hầu hết các tổ chức đó là điều bất khả thi tài chính để ngăn cản tất cả các xâm nhập tiềm năng. Do đó, một vài xâm nhập là có thể xảy ra. Những rủi ro tương ứng với hầu hết các xâm nhập đó phải được đánh giá thông qua việc thiết lập và xác thực, kiểm soát an ninh truy cập logic, kế toán và các kiểm soát an ninh nhật ký tốt, và nếu hợp lý, cùng với việc phát hiện xâm nhập và ngăn chặn các khả năng. Các khả năng cung cấp theo cách thức mà dự đoán các xâm nhập, xác định các xâm nhập trong thời gian thực và tăng cường các cảnh báo phù hợp, và phòng ngừa các xâm nhập. Nó cũng cho phép tập hợp khu vực của thông tin về các xâm nhập, và việc phân tích và sự tập hợp theo sau, như việc phân tích các khung hệ thống thông tin thông thường của một tổ chức của việc sử dụng/hành vi.

Một IDS lắng nghe tất cả lưu lượng truy cập vào các mạng nội bộ để xác định rằng một xâm nhập đã được thử, đang hoặc đã xảy ra và có khả năng phản hồi với các xâm nhập, cũng như cảnh báo nhân viên phù hợp. có hai loại IDS:

- NIDS, mà giám sát các gói trong một mạng và được thử để khám phá một kẻ xâm nhập bằng cách đối chiếu khung tấn công với một cơ sở dữ liệu của các khung tấn công đã biết, và

- HIDS, mà giám sát hoạt động trên các máy chủ - bằng cách giám sát các bản nghi sự kiện an ninh hoặc kiểm tra các thay đổi cho hệ thống, như các thay đổi các tệp hệ thống nghiêm trọng, hoặc đăng ký các hệ thống.

Một ISP kiểm tra tất cả lưu lượng trước khi nó truyền qua trong các mạng nội bộ và tự động khóa tất cả các cuộc tấn công đã nhận diện, nói các khác IPS được thiết kế đặc biệt để cung cấp khả năng phản hồi chủ động.

Hướng dẫn chi tiết cho việc dò tìm và phòng ngừa xâm nhập được cung cấp trong tiêu chuẩn ISO/IEC 18043.

8.7. Bảo vệ chống lại mã độc

Mã độc (vi-rút, sâu, Troijan, phần mềm gián điệp.v.v. - mà thường được gọi chung là: "phần mềm độc hại") có thể được cung cấp qua các kết nối mạng. Mã độc có thể là do một máy tính thực thi các chức năng trái phép (như tấn công dồn dập một đối tượng cho sẵn với các tin nhắn tại một thời gian và ngày định trước), hoặc thực sự phá hủy các nguồn tài nguyên cần thiết (ví dụ xóa các tệp tin) ngay sau khi nó đã tái tạo cho cố gắng tìm ra các máy chủ dễ tổn thương khác. Mã độc không thể dò tìm trước khi phá hủy được hoàn tất trừ khi các kiểm soát an ninh phù hợp được thiết lập. Mã độc có thể dẫn đến việc thỏa hiệp của các kiểm soát an ninh (như việc nắm bắt và tiết lộ các mật khẩu), thông tin không cố ý công bố, các thay đổi thông tin không chủ định, sự phá hủy thông tin, và/hoặc việc sử dụng không xác thực của các tài nguyên hệ thống.

Vài mẫu mã độc phải được dò tìm và gỡ bỏ bởi phần mềm quét đặc biệt. Các bộ quét là sẵn có cho các tường lửa, các máy chủ tệp, các máy chủ thư, và các máy trạm/máy tính cá nhân cho một vài loại của mã độc. Hơn nữa, nhằm phát hiện mã độc mới là rất quan trọng để đảm bảo rằng phần mềm quét là thường xuyên cập nhật, qua các cập nhật hàng ngày. Tuy nhiên, người dùng và nhà quản trị phải chú ý các bộ quét không thể phản hồi dựa trên các dò tìm tất cả mã độc (hoặc thậm chí tất cả mã độc của một loại cụ thể) bởi các mẫu mới của mã độc vẫn tiếp tục phát sinh. Thông thường, các hình thức kiểm soát an ninh khác được yêu cầu để tăng cường bảo vệ được cung cấp bởi các bộ quét (khi chúng tồn tại).

Tổng quan, đây là công việc của phần mềm chống mã độc để quét dữ liệu và các chương trình để xác định các mẫu nghi ngờ liên quan đến phần mềm độc hại. Thư viện mẫu được quét được biết đến như các chữ ký, và phải được cập nhật ở các khoảng thông thường, hoặc bất kỳ khi nào các chữ ký mới trở phải sẵn có cho các cảnh báo phần mềm độc hại rủi ro cao. Trong bối cảnh của việc truy cập từ xa, phần mềm chống mã độc phải được chạy trong các hệ thống từ xa và các máy chủ của hệ thống trung tâm - đặc biệt trên các máy chủ thư điện tử và Windows.

Người dùng và các nhà quản trị mạng phải chú ý rằng lượng lớn hơn thông thường rủi ro tương ứng với phần mềm mã độc khi quyết định với các bên ngoài thông qua các liên kết bên ngoài. Các hướng dẫn cho người dùng và các nhà quản trị phải được phát triển vạch ra các thủ tục và các thực hành để tối giản các khả năng cung cấp mã độc.

Người dùng và nhà quản trị phải lưu tâm đặc biệt tới việc cấu hình các hệ thống và các ứng dụng tương ứng với các kết nối mạng để tắt đi các tính năng mà không cần thiết trong các hoàn cảnh, ví dụ: các ứng dụng máy tính cá nhân có thể được cấu hình mà các macro được tắt mặc định, hoặc yêu cầu xác nhận người dùng trước khi thực hiện các macro.

Việc bảo vệ mã độc được cung cấp chi tiết hơn trong TCVN ISO/IEC 27002 và 27005.

CHÚ THÍCH Tiêu chuẩn ISO/IEC 11889 mô tả công nghệ được thiết lập rộng rãi cho các hệ thống máy chủ khách hàng mà có thể sử dụng để dò tìm và cách ly các mã độc hoặc không rõ nguồn gốc.

8.8. Dịch vụ dựa trên mã hóa

Khi việc đảm bảo của độ tin cậy là quan trọng, các kiểm soát an ninh mã hóa phải được xem xét để thông tin mã hóa truyền qua các mạng. Khi việc đảm bảo của tính toàn vẹn là quan trọng, chữ ký số và/hoặc các kiểm soát an ninh toàn vẹn tin nhắn phải được xem xét để bảo vệ thông tin truyền qua các mạng. Các kiểm soát an ninh chữ ký số có thể cung cấp các bảo vệ tương tự cho các kiểm soát an ninh chứng thực tin nhắn, nhưng cũng có các đặc tính mà cho phép bật các giao thức không thoái thác.

Khi một yêu cầu để đảm bảo rằng chứng minh quan trọng có thể được cung cấp thông tin được mang bởi một mạng (không thoái thác), các kiểm soát an ninh như sau phải đề cập đến:

- Giao thức kết nối mà cung cấp sự thừa nhận của việc đệ trình,

- Giao thức ứng dụng mà yêu cầu địa chỉ của người khởi tạo hoặc người xác định được cung cấp và kiểm tra sự hiện diện của thông tin đó,

- Cổng kiểm tra các định dạng địa chỉ của người gửi và người nhận hiệu lực của cú pháp và tính thống nhất của thông tin trong các thư mục liên quan,

- Giao thức mà sự phân phối thừa nhận từ các mạng, cho phép các chuỗi thông tin được xác định.

Điều này quan trọng khi mà việc truyền tải hoặc nhận thông tin có thể được chứng minh nếu nó bị tranh chấp (dạng thức khác của sự không thoái thác, hơn nữa việc đảm bảo phải được cấp qua việc sử dụng một phương thức chữ ký số tiêu chuẩn. Người gửi đi thông tin, khi mà giấy tờ chứng minh là cần thiết, phải đóng dấu thông tin bằng cách sử dụng một chữ ký số cho một tiêu chuẩn phổ biến. Khi việc chứng minh giao nhận là cần thiết, người gửi phải yêu cầu một phản hồi được đóng dấu với một chữ ký số.

Việc quyết định sử dụng mã hóa, chữ ký số, sự toàn vẹn tin nhắn hoặc các kiểm soát an ninh dựa trên mã hóa khác phải phân chia theo các luật và các điều chỉnh của Chính phủ liên quan và các hạ tầng khóa phổ thông tương ứng, các yêu cầu cho quản lý khóa, sự sẵn có của các cơ chế bên dưới sử dụng theo loại mạng bao hàm và mức độ của việc bảo vệ yêu cầu, và việc đăng ký tin cậy của người dùng hoặc các thực thể tương ứng với các khóa (được chứng thực khi liên quan) sử dụng trong các giao thức chữ ký số.

Các cơ chế mã hóa được tiêu chuẩn hóa trong ISO/IEC 18033. Một công nghệ mã hóa sử dụng phổ biến được biết đến như là một tổ hợp khóa chặn, và cách thức sử dụng các tổ hợp khóa chặn cho việc bảo vệ mã hóa, được biết đến như các cơ chế vận hành, được tiêu chuẩn hóa trong ISO/IEC 10116. Các kiểm soát an ninh toàn vẹn tin nhắn, được biết đến như các mã thẩm quyền tin nhắn (hoặc MAC) được tiêu chuẩn hóa trong ISO/IEC 9797. Các công nghệ chữ ký số được tiêu chuẩn hóa trong ISO/IEC 9796 và ISO/IEC 14888. Thông tin không thoái thác được cung cấp trong các tiêu chuẩn ISO/IEC 14516 và ISO/IEC 13888.

Quản lý khóa đảm bảo, như một dịch vụ cơ sở cho tất cả các dịch vụ mã hóa khác, mà tất cả các khóa mã hóa cần thiết được quản lý trong suốt vòng đời hoàn chỉnh của chúng và được sử dụng theo một cách thức an toàn. Về mặt thông tin trong quản lý khóa, và các chủ đề liên quan như PKI hoặc chủ đề bao gồm của việc quản lý xác định, thông tin tham chiếu phải được tạo ra cho các văn bản và tiêu chuẩn khác, ví dụ:

- TCVN 7817 (ISO/IEC 11770) (Quản lý khóa),

- ISO/IEC 9594-8 (Thư mục: khóa phổ thông và nền chứng nhận thuộc tính),

- ISO 11166-2 (Ngân hàng, quản lý khóa bởi các thuật toán không đồng bộ),

- ISO 11568 (Ngân hàng - quản lý khóa bán buôn),

- ISO 11649 (Các dịch vụ tài chính - tham chiếu khởi tạo có cấu trúc cho các việc chuyển thông tin),

- ISO 13492 (Các phần tử dữ liệu quản lý khóa bán buôn),

- ISO 21118 (Nền tảng khóa phổ thông ngân hàng)

Chú thích rằng việc mã hóa cũng phải được sử dụng cho việc quản lý các thiết bị mạng. Hơn nữa, việc truy cập và đăng nhập quản lý mạng phải được truyền thành các khối mã hóa an toàn để bảo vệ các dữ liệu nhạy cảm.

8.9. Quản lý kinh doanh liên tục

Điều này quan trọng cho các kiểm soát an ninh để đảm bảo chức năng đang thực thi của việc kinh doanh của một tai nạn bằng cách cung cấp khả năng để phục hồi mỗi phần của việc kinh doanh tiếp theo với một sự gián đoạn trong một khoảng thời gian thích hợp. Do vậy một tổ chức phải có một chương trình quản lý kinh doanh liên tục tại chỗ, với các quy trình bao trùm tất cả các giai đoạn kinh doanh liên tục - đánh giá phân tích tác động kinh doanh, xem xét việc đánh giá rủi ro, việc thiết lập các yêu cầu phục hồi kinh doanh, xây dựng chiến lược kinh doanh liên tục, việc đưa ra kế hoạch kinh doanh, việc kiểm tra kế hoạch kinh doanh liên tục, đảm bảo việc nâng cao nhận thức kinh doanh liên tục cho tất cả các nhân viên, việc duy trì kế hoạch kinh doanh liên tục đang diễn ra và việc giảm thiểu rủi ro. Chỉ bằng cách làm theo tất cả các giai đoạn, nó có thể đảm bảo rằng:

- Các mức ưu tiên kinh doanh được yêu cầu và khoản thời gian phù hợp nhu cầu kinh doanh,

- Các lựa chọn chiến lược kinh doanh ưu thích được xác định là tương xứng với những mức ưu tiên và khoảng thời gian, và do đó

- Các cơ sở và kế hoạch cần thiết, chính xác được đưa ra, thử nghiệm, bao gồm thông tin, các quy trình kinh doanh, các hệ thống thông tin và dịch vụ, các truyền thông dữ liệu và thoại, con người và các cơ sở vật chất.

Hướng dẫn trong việc quản lý tổng thể kinh doanh, bao gồm sự phát triển của chiến lược kinh doanh liên tục tương ứng với các kế hoạch liên quan, và việc thử nghiệm tiếp sau của chúng, có thể được thu thập trong tiêu chuẩn ISO/PAS 22399:2007.

Theo quan điểm mạng, việc duy trì của các kết nối mạng, việc thiết lập của các kết nối luân phiên đủ năng lực và việc phục hồi của các kết nối tiếp theo cho các sự kiện không mong đợi, mà có thể được giải quyết. Các khía cạnh và yêu cầu đó phải dựa trên sự quan trọng của các kết nối của hoạt động kinh doanh qua thời gian, và các tác động kinh doanh bất lợi dự kiến trong trường hợp gián đoạn. Trong kết nối có thể đáp ứng đủ các lợi thế của một tổ chức trong trường hợp gián đoạn về tính linh hoạt và khả năng của các phương thức tiếp cận sáng tạo, mà chúng có thể thể hiện các điểm yếu và "các điểm lỗi đơn" mà có các tác động phá hoại nghiêm trọng trong tổ chức.

9. Hướng dẫn cho việc thiết kế và thiết lập an ninh mạng

9.1. Nền tảng

Điều 9 nêu ra các khía cạnh thiết kế/kiến trúc an ninh mạng và các vùng kiểm soát an ninh xu hướng liên quan. Điều 10 giới thiệu về rủi ro, thiết kế, các kỹ thuật thiết kế và các vùng kiểm soát an ninh cho các kịch bản nghiệp vụ mạng tham chiếu. Điều 11 giới thiệu về rủi ro, thiết kế, các kỹ thuật thiết kế cho các chủ đề "công nghệ" cụ thể của liên quan đến các tổ chức hiện nay. Một giải pháp an ninh mạng cụ thể có thể bao gồm trong thực tế một số lượng của các chủ đề và các vùng kiểm soát an ninh mà được giới thiệu trong Điều 10 và 11. Một bảng hiển thị các tham chiếu dọc giữa các kiểm soát an ninh liên quan đến an ninh mạng của TCVN ISO/IEC 27001 / 27002 và các điều của TCVN 9801-1 (ISO/IEC 27033-1) được thể hiện trong Phụ lục B.

Các Điều từ 8 đến 11 (và Phụ lục A), thiết kế/kiến trúc an ninh kỹ thuật được cung cấp và danh sách các kiểm soát an ninh được xác định phải được đánh giá thông qua trong bối cảnh của các kiến trúc mạng và các ứng dụng đề cập đến. Kiến trúc và danh sách của các kiểm soát an ninh sau đó phải được điều chỉnh nếu cần thiết và liên tục sử dụng như cơ sở cho việc phát triển, thiết lập và thử nghiệm pháp an ninh kỹ thuật (xem Điều 12). Sau đó, một khi kiến trúc an ninh kỹ thuật và do đó việc thiết lập kiểm soát an ninh đã được đăng xuất, các vận hành trực tiếp phải được bắt đầu (xem trong Điều 13), với việc giám sát liên tục và đánh giá việc thiết lập (xem Điều 14).

9.2. Kiến trúc/thiết kế an ninh kỹ thuật

Các tài liệu hướng dẫn của kiến trúc/thiết kế an ninh kỹ thuật mạng khả thi và các tùy chọn thiết lập cung cấp một cách thức cho việc kiểm tra các giải pháp khác nhau, và một cơ sở cho phân tích sự cân bằng. Nó cũng tạo cơ hội cho bước tiến hóa các mục tương ứng với các hạn chế kỹ thuật, và sự cạnh tranh giữa các yêu cầu kinh doanh và cho bảo mật, mà phải thường xuyên tăng tiến.

Trong tài liệu hướng dẫn các tùy chọn, phải tính đến bất kỳ các yêu cầu chính sách an ninh thông tin (xem Điều 7.2.1), kiến trúc mạng, các ứng dụng, các dịch vụ, các loại kết nối và các đặc tính khác liên quan (xem Điều 7.2.2), và danh sách các kiểm soát an ninh tiềm năng nào được xác định bởi các phần rủi ro an ninh và đánh giá quản lý (xem Điều 7.3). Để thực hiện điều này phải tính đến bất kỳ các thiết kế/kiến trúc an ninh kỹ thuật hiện tại. Một khi các tùy chọn này đã được ghi nhận và xem xét, như một phần của quy trình thiết kế kiến trúc kỹ thuật, kiến trúc an ninh được ưu thích hơn phải được thỏa thuận và ghi nhận trong một văn bản đặc trưng kiểm soát an ninh kiến trúc/thiết kế an ninh kỹ thuật (mà tương thích với các thiết kế/kiến trúc kỹ thuật, và ngược lại). Sau đó các thay đổi phải đưa kết quả cho kiến trúc, các ứng dụng và dịch vụ mạng (để đảm bảo sự tương thích với sự đồng ý thiết kế/kiến trúc an ninh kỹ thuật đề cập), và/hoặc danh sách các kiểm soát an ninh tiềm năng (ví dụ: bởi nó được đồng tình rằng thiết kế/kiến trúc an ninh có thể cho thiết lập kỹ thuật theo một cách cụ thể, cần một thay thế cho một kiểm soát an ninh xác định)

Chú thích rằng ISO/IEC 27033-2 định nghĩa cách thức các tổ chức phải lưu trữ các kiến trúc an ninh kỹ thuật chất lượng/các thiết kế mà phải đảm bảo an ninh mạng tương ứng với các môi trường doanh nghiệp, sử dụng một cách tiếp cận phù hợp cho việc lập kế hoạch, thiết kế và thiết lập an ninh mạng.

Đầu vào của quy trình phát triển kiến trúc an ninh kỹ thuật mạng/thiết kế, như được mô tả trong ISO/IEC 27033-2, bao gồm:

- Các yêu cầu dịch vụ văn bản của tổ chức/cộng đồng,

- Văn bản cho bất kỳ kiến trúc, thiết kế và/hoặc thiết lập đang tồn tại hoặc dự kiến,

- Chính sách an ninh mạng hiện tại (hoặc các phần liên quan của chính sách an ninh thông tin tương ứng) - hơn là dựa trên kết quả từ 1 tổng quan quản lý và giám sát rủi ro an ninh,

- Định nghĩa các khía cạnh mà phải được bảo vệ,

- Các yêu cầu hiệu năng hiện tại và dự kiến, bao gồm các luồng liên quan,

- Thông tin sản phẩm hiện tại.

Đầu vào từ quy trình thiết kế gồm:

- Văn bản kiến trúc an ninh kỹ thuật mạng/thiết kế,

- Văn bản yêu cầu (an ninh) truy cập dịch vụ cho mỗi cổng an ninh/hệ thống tường lửa (gồm các quy tắc tường lửa cơ bản),

- Thủ tục vận hành an ninh (SecOPs),

- Điều kiện cho việc kết nối mạng an ninh với bên thứ ba,

- Hướng dẫn người dùng cho người dùng bên thứ ba.

Văn bản thiết kế/ kiến trúc an ninh kỹ thuật mạng được mô tả chi tiết trong tiêu chuẩn ISO/IEC 27033-2 mà cũng bao gồm một mẫu ví dụ cho các văn bản yêu cầu (an ninh) truy cập dịch vụ ở Phụ lục D của ISO/IEC 27033-2). Các thông tin của các văn bản khác được đề cập có thể được tìm thấy trong Điều 8.2.2 bên trên hoặc trong ISO/IEC 27033-2.

(Hơn nữa, một khi thiết kế/kiến trúc an ninh kỹ thuật mạng được yêu cầu đã được ghi nhận và thiết lập, các kế hoạch kiểm tra an ninh phải được cung cấp và tiến hành thử nghiệm an ninh). Một khi các kết quả thử nghiệm có thể chấp nhận được đã được lưu trữ, với bất kỳ sự điều chỉnh nào được thực hiện theo các điểm sáng của các vấn đề tìm thấy trong quá trình thử nghiệm, việc quản lý chính thức ký tắt phải được thu được cho thiết kế/kiến trúc an ninh kỹ thuật mạng và việc thiết lập hoàn thiện (xem Điều 12)

Thông tin cho mỗi hoạt động được cung cấp trong ISO/IEC 27033-2 (và sau đó không được nhắc lại ở đây):

- Chuẩn bị cho việc thiết kế kỹ thuật và thiết lập an ninh mạng.

- Định hướng dự án an ninh mạng,

- Xác định các yêu cầu mạng chính cho tổ chức/cộng đồng,

- Xem xét việc kiến trúc kỹ thuật đang tồn tại và dự kiến và việc thiết lập,

- Đánh giá xác định/xác nhận,

- Xác nhận việc đánh giá rủi ro an ninh và các kết quả quản lý, và xem xét các kiểm soát an ninh mạng hiện tại và/hoặc dự kiến trong bối cảnh của những kết quả đó, và việc chọn lọc các kiểm soát an ninh tiềm năng,

- Xem xét các yêu cầu hiệu năng mạng và xác nhận lĩnh vực (các yêu cầu hiệu năng cần được xem xét, tập trung giải quyết và lĩnh vực hiệu năng được giải quyết được yêu cầu phải được đáp ứng bởi kiến trúc kỹ thuật và thiết kế/kiến trúc an ninh kỹ thuật liên quan được thỏa thuận hợp pháp. Hơn nữa dữ liệu được yêu cầu để cho phép việc cấu hình các dòng kết nối, các máy chủ, các cổng an ninh,.v.v. được xác định mà phải đảm bảo tính sẵn có của dịch vụ được yêu cầu.

- Thiết kế an ninh kỹ thuật mạng, bao gồm việc bao trùm của các chủ đề kỹ thuật có thể áp dụng được (được xử lý phù hợp theo tiêu đề trong ISO/IEC 27001:2009) và:

- Sử dụng hướng dẫn "kịch bản" và "công nghệ" (được cung cấp từ ISO/IEC 27033-3 tới ISO/IEC 27033-6) (cũng có thể xem trong Điều 10 và 11),

- Sử dụng các mô hình/nền tảng (bao gồm ITU-T X.805) và các thứ khác,

- Chọn lọc sản phẩm,

- Biện minh ý tưởng,

- Sự hoàn thiện kiến trúc an ninh kỹ thuật mạng/thiết kế, và các văn bản liên quan,

- Chuẩn bị để thử nghiệm (một văn bản chiến lược thử nghiệm an ninh phải được cung cấp mô tả việc tiếp cận để được tạo ra với việc thử nghiệm để chứng minh kiến trúc an ninh kỹ thuật mạng, chủ yếu tập trung cách thức các kiểm soát an ninh kỹ thuật chính phải được kiểm tra. Do vậy một kiểm tra phải được phát triển cho kiến trúc an ninh kỹ thuật mạng, bao gồm việc chi tiết hơn bao gồm các thử nghiệm được bởi người nào và từ đâu),

- Việc ký tắt kiến trúc an ninh kỹ thuật mạng chính thức.

Các nguyên tắc thiết kế (các điều mà áp dụng trong hầu hết các trường hợp) được mô tả trong tiêu chuẩn ISO/IEC 27033-2. Việc tham chiếu phải được tạo ra cho các phụ lục của tiêu chuẩn ISO/IEC 27033-2 - nền tảng/mô hình ví dụ (kiến trúc "tham chiếu") cho an ninh mạng, nghiên cứu trường hợp nên tảng/mô hình, và các mẫu văn bản ví dụ.

Nó được nhấn mạnh rằng thiết kế/kiến trúc an ninh kỹ thuật cho bất kỳ dự án nào phải được tán thành và ghi nhận toàn bộ, trước khi việc hoàn thiện doanh sách các kiểm soát an ninh cho việc thiết lập.

10. Kịch bản nghiệp vụ mạng tham chiếu - Các rủi ro, thiết kế, kỹ thuật và các vấn đề kiểm soát

10.1. Giới thiệu

ISO/IEC 27003-3 mô tả các rủi ro, các kỹ thuật thiết kế và các vấn đề kiểm soát tương ứng với các kịch bản nghiệp vụ mạng tham chiếu. Một vài ví dụ của kịch bản này được giới thiệu từ Điều 10.2 đến 10.10. Phần 3 cung cấp hướng dẫn chi tiết về các rủi ro an ninh và các kỹ thuật thiết kế an ninh và các kiểm soát an ninh mà được yêu cầu để giảm nhẹ các rủi ro đó trong toàn bộ các kịch bản đặc trưng. Phần 3 bao gồm các tham chiếu từ Phần 4 đến Phần 7 để tránh lặp nội dung của các văn bản đó.

Ngày nay hầu như các tổ chức cung cấp các dịch vụ truy cập mạng Internet cho nhân viên của họ, và việc cung cấp các dịch vụ phải được truy cập với các mục đích có thẩm quyền và xác định rõ ràng, không phải truy cập mở phổ thông. Nó phải được định nghĩa theo một chính sách riêng mà các dịch vụ được cung cấp, và mục đích. Truy cập mạng Internet là việc cho phép thông thường cho các lý do kinh doanh nghiệp, và mục tiêu cho truy cập mạng Internet chính sách doanh nghiệp cũng cho phép (thường ở mức giới hạn) cho các mục đích nhân viên. Các đề cập cần để đưa ra các dịch vụ được phép để sử dụng - đó là các dịch vụ cơ bản như www (http & https), cũng thu thập thông tin thu thập được cho phép và/hoặc các nhân viên được phép tham gia trong các kênh tán gẫu, các diễn đàn, .v.v. và tăng cường sự phối hợp các dịch vụ cho phép - nếu có cũng giới thiệu tập các rủi ro của chính nó được chỉ định nội bộ một kịch bản đặc trưng.

Cơ sở cơ bản phải chỉ có các dịch vụ mà phục vụ các nhu cầu doanh nghiệp được cho phép, nhưng thường thì các vận hành doanh nghiệp yêu cầu việc sử dụng của các dịch vụ có nhiều hơn các rủi ro an ninh tương ứng. Thậm chí khi một chính sách nghiêm khắc được đưa ra, các dịch vụ truy cập mạng Internet cho nhân viên cung cấp các rủi ro an ninh đáng kể.

10.3. Dịch vụ cộng tác tăng cường

Dịch vụ cộng tác tăng cường (như tin nhắn tức thời - tán gẫu, hội nghị video và các môi trường chia sẻ văn bản), mà tương tác nhiều kết nối và các khả năng chia sẻ văn bản, được tăng cường nhiều hơn nữa sự quan trọng trong môi trường doanh nghiệp ngày nay. Các dịch vụ phối hợp phổ biến: điện thoại video, kết nối thoại với nhiều kênh tán gẫu, các dịch vụ thư điện tử tương tác, cũng như chia sẻ văn bản và các môi trường cùng làm việc online. Có hai cách thức cơ bản cho việc sử dụng các dịch vụ trong một tổ chức:

- Sử dụng chúng chỉ như các dịch vụ nội bộ, nhưng với các hạn chế rằng cách vụ không thể sử dụng với các đối tác bên ngoài.

- Sử dụng chúng như các dịch vụ nội bộ và các dịch vụ bên ngoài cho một tổ chức. Điều này cung cấp nhiều lợi ích hơn việc sử dụng các dịch vụ như vậy, nhưng đồng thời cũng có nhiều hơn các rủi ro an ninh tương ứng so với việc chỉ sử dụng nội bộ.

Về việc thực hiện, các dịch vụ có thể được thiết lập tại gia nhằm hoặc chỉ mang đến như một dịch vụ từ bên thứ ba. Trong nhiều trường hợp, các dịch vụ tại gia chỉ được sử dụng, và việc thiết lập tại gia phải sử dụng. Nếu các dịch vụ sử dụng nội bộ và bên ngoài, sau đó việc mua dịch vụ phối hợp từ một bên thứ ba có thể tạo ra một giải pháp phù hợp. Các rủi ro và tư vấn dựa về các kiểm soát an ninh và kỹ thuật thiết kế an ninh để giảm thiểu các rủi ro đó được mô tả cho cả việc sử dụng nội bộ và bên ngoài.

10.4. Dịch vụ Doanh nghiệp tới Doanh nghiệp

Dịch vụ doanh nghiệp tới doanh nghiệp truyền thống đã được thiết lập bằng cách sử dụng các đường dây thuê chuyên dụng hoặc các phân đoạn mạng. Mạng Internet và các công nghệ liên quan cung cấp nhiều lựa chọn, những cũng giới thiệu một rủi ro an ninh mới tương ứng với việc thiết lập các dịch vụ đó, các dịch vụ Doanh nghiệp tới Doanh nghiệp phổ biến có những đòi hỏi riêng của chúng. Ví dụ, tính khả dụng và đáng tin cậy là yêu cầu quan trọng bởi các tổ chức thường xuyên phụ thuộc trực tiếp vào các dịch vụ Doanh nghiệp tới Doanh nghiệp

Khi sử dụng mạng Internet như một kết nối mạng cơ sở để thiết lập các dịch vụ này, các yêu cầu như tính sẵn có và đáng tin cậy cần phải được quản lý khác trước. Các đơn vị chứng nhận ví dụ: chất lượng sử dụng dịch vụ được sử dụng để kết hợp với đường dây thuê không còn hoạt động nữa. Những rủi ro an ninh mới cần phải giảm thiểu qua những công nghệ thiết kế và kiểm soát an ninh phù hợp.

10.5. Dịch vụ Doanh nghiệp tới Khách hàng

Dịch vụ Doanh nghiệp tới Khách hàng bao gồm thương mại điện tử và ngân hàng điện tử. Các yêu cầu bao gồm sự tin tưởng (đặc biệt liên quan đến ngân hàng điện tử), thẩm quyền (phương cách khả thi hiện nay ví dụ: hai nhân tố, dựa trên chứng nhận,… mối quan hệ giữa giá của việc thiết lập - phổ biến bởi số lượng lớn khách hàng, và những giảm thiểu rủi ro như thất thoát tài chính, mất mát danh tiếng hay mức tín dụng của doanh nghiệp), sự toàn vẹn, và sức chống cự lại những tấn công phức tạp như những tấn công "người trung gian" hay "người trong trình duyệt".

Các đặc tính bao gồm:

- Bảo mật không "đảm bảo" trong các nền tảng cuối, phổ biến dưới dự kiểm soát an ninh của một tổ chức, cung cấp một môi trường tốt cho việc thiết lập các kiểm soát an ninh và duy trì một an ninh mức độ nền tảng tốt,

- Bảo mật trên nền tảng khách hàng, thường là trên một máy tính cá nhân, có thể là không bền vững. Nó khó khăn hơn để kiểm soát an ninh thiết lập trong môi trường như vậy, do đó các nền tảng khách hàng phải thể hiện các rủi ro đáng kể trong tình huống này (không có các bộ yêu cầu "điều kiện để kết nối an toàn" trong một ký kết mà có thể khó khăn để áp đặt trong một môi trường như thế).

10.6. Dịch vụ thuê ngoài

Dựa trên sự phức tạp của các môi trường IT hiện nay sử dụng các dịch vụ hỗ trợ IT hoặc có một phần hoặc toàn phần thuê ngoài hỗ trợ cho nền tảng IT của họ, và/hoặc sử dụng các dịch vụ thuê ngoài bên ngoài. Nhà bán lẻ cũng có các yêu cầu cho các truy cập online cho các sản phẩm thay vì các tổ chức khách hàng, để có thể tương ứng quản lý hỗ trợ và/hoặc các mục quản lý.

Trong khi nhiều dịch vụ thuê ngoài yêu cầu các quyền truy cập vĩnh viễn như để hỗ trợ nền tảng, các đối tượng khác có thể chỉ cần truy cập tạm thời. Một vài trường hợp các dịch vụ thuê ngoài cần các quyền truy cập có đặc quyền cao để hoàn thiện những nhiệm vụ yêu cầu, đặc biệt trong những tình huống quản lý sự cố.

10.7. Phân đoạn mạng

Với nhiều tổ chức, đặc biệt là các tổ chức đa quốc gia, luật pháp cụ thể từng nước có ảnh hưởng lớn tới yêu cầu bảo mật thông tin. Các tổ chức quốc tế thường thực hiện kinh doanh ở nhiều quốc gia, vì thế cho phải có nghĩa vụ tuân thủ luật pháp mỗi quốc gia mà có thể dẫn tới những yêu cầu về bảo mật thông tin khác nhau với mỗi quốc gia mà tổ chức đang hoạt động. Ví dụ, luật pháp của một quốc gia cụ thể có thể yêu cầu sự bảo vệ cụ thể về dữ liệu khách hàng/nhân viên và không cho phép chuyển dữ liệu đó tới một quốc gia khác. Điều đó đặt ra yêu cầu về quản lý an ninh thông tin bổ sung để bảo đảm tuân thủ pháp lý.

Để bao trùm những yêu cầu bảo mật thông tin khác nhau với nhiều quốc gia mà một tổ chức quốc tế đang hoạt động, phân đoạn mạng có hiệu lực phù hợp với các ranh giới quốc gia có thể là một giải pháp rộng có hiệu quả. Trong nhiều trường hợp, giải pháp rộng đó có thể được sử dụng để xây dựng một rào chắn phòng hộ riêng như thêm vào mức độ ứng dụng kiểm soát an ninh truy cập.

10.8. Kết nối di động

Phần kịch bản nghiệp vụ mạng tham chiếu này đề cập các thiết bị kết nối di động nhân viên, như các máy điện thoại thông minh hoặc các máy PDA, mà đang rất phổ biến. (Hướng dẫn của các khía cạnh an ninh của các kết nối qua mạng tới và từ các thiết bị được nêu trong tiêu chuẩn ISO/IEC 27033-7 trong các kết nối an ninh qua mạng không dây và các mạng vô tuyến).

Mặc dù trình kiểm soát an ninh chính cho sự phát triển nhanh chóng các đặc tính mới của các thiết bị kết nối di động cá nhân đến từ nhiều thị trường khách hàng, các đặc tính này cũng được sử dụng trong các môi trường doanh nghiệp. Như cụm từ "nhân viên" chứa đựng, những thiết bị đó thường được sở hữu cả nhân viên và sử dụng cho cả mục đích doanh nghiệp và nhân viên. Ngay cả những thiết bị được chỉ đạo ở thị trường doanh nghiệp cũng cần những đặc trưng được đưa ra cho thị trường người dùng bởi người bán lẻ muốn mở rộng doanh nghiệp có tính khả thi vào thị trường cạnh tranh.

Nhiều đặc trưng mới khả dụng với những thiết bị, sự phát triển khả năng ghi nhớ của thiết bị và kết nối dây vĩnh cửu qua mạng Internet được mở cho cộng đồng, hay chính là những rủi ro an ninh thông tin đáng kể bởi những trường hợp mà một người sử dụng cùng một thiết bị cho cả mục đích nhân viên cũng như doanh nghiệp.

Hơn nữa với sự tăng trưởng thành mạnh mẽ của các thiết bị kết nối di động nhân viên và các trạng thái của chúng như một "đồ nhân viên", trong nhiều trường hợp các chính sách nghiêm ngặt chỉ sử dụng một tập đặc trưng giới hạn hoặc để chỉ cho phép một giới hạn số lượng các thiết bị lỗi hay bị phá vỡ và do đó có nghĩa là hiệu quả an ninh thông tin hạn chế.

10.9. Hỗ trợ mạng cho người dùng di chuyển

Ngày nay người dùng di chuyển mong chờ các mức độ kết nối đáp ứng với cái mà họ có trong các khu vực cố định, như văn phòng chính của họ. Các giải pháp và đề nghị trong lĩnh vực này thường nhấn mạnh về phần tính năng. Theo quan điểm an ninh thông tin, các mức chức năng đề cập giới thiệu các rủi ro mới, ví dụ: bằng các tiêu thụ ảnh hưởng hoặc sự vô giá trị đề cập đến an ninh thông tin. Ví dụ: Giả sử duy trì một mạng Intranet được quản lý (từ bên ngoài) và bảo vệ tốt có thể bị đặt câu hỏi đáng kể nếu truy cập đi qua của người dùng vào Intranet không được thực hiện với sự kiểm soát an ninh phù hợp.

Văn phòng tại gia và doanh nghiệp nhỏ thường yêu cầu sự mở rộng của mạng nội bộ của một tổ chức cho một khu vực tại gia hoặc doanh nghiệp nhỏ. Cái giá của việc mở rộng các khu vực này là một vấn đề nghiêm khắc, từ khi sự phản chiếu/hiệu quả mà không yêu cầu các chi phí thiết lập cao. Có nghĩa là các hạn chế của các kiểm soát an ninh được sử dụng để bảo mật các mở rộng mạng và trách việc sử dụng của thiết lập các kiểm soát an ninh liên-mạng được sử dụng để kết nối các khối mạng Intranet lớn hơn.

Trong nhiều kịch bản tại gia hoặc doanh nghiệp nhỏ, hạ tầng cơ sở có thể được sử dụng vì mục đích cá nhân cũng như doanh nghiệp, mà có thể dẫn tới những rủi ro an ninh thông tin bổ sung. Những rủi ro an ninh được định nghĩa và lời khuyên về công nghệ thiết kế và quản lý an ninh để giảm thiểu những rủi ro đã được mô tả.

11. Các chủ đề "công nghệ" - Các rủi ro, công nghệ thiết kế và các vấn đề kiểm soát

Chi tiết của các rủi ro an ninh, công nghệ thiết kế và vấn đề kiểm soát tương ứng với các chủ đề "công nghệ" được thực hiện trong Phụ lục A. Chủ đề này bao trùm:

- Mạng cục bộ (xem A.1),

- Mạng vùng rộng (xem A.2),

- Mạng không dây (xem A.3),

- Mạng vô tuyến (xem A.4),

- Mạng băng thông (xem A.5),

- Cổng an ninh (xem A.6),

- Mạng cá nhân ảo (xem A.7),

- Mạng thoại (xem A.8),

- Hộ tụ IP (xem A.9),

- Máy chủ web (xem A.10),

- Thư điện tử mạng Internet (xem A.11),

- Truy cập điều hướng tới các tổ chức bên thứ 3 (xem A.12),

- Trung tâm dữ liệu (xem A.13)

12. Phát triển và kiểm tra giải pháp an ninh

Một khi kết cấu an ninh kỹ thuật được ghi nhận hoàn chỉnh và được chấp nhận, bao gồm các quản lý chính và giải pháp được phát triển, thiết lập ở "trạng thái chạy thử" và thông qua thử nghiệm và kiểm tra phù hợp một cách chuyên sâu.

Thử nghiệm giải pháp "hợp với mục đích" thông thường phải được tiến hành đầu tiên với một văn bản kế hoạch thử nghiệm cung cấp mô tả tiếp cận được tiến hành với việc thử nghiệm để chứng minh giải pháp và sau đó là kế hoạch thử nghiệm. Có thể cần những thay đổi được tạo ra như một hệ quả của sự thiếu hụt được xác định qua kiểu thử nghiệm này và bất kỳ thử nghiệm lại quan trọng nào được tiến hành.

Một khi thử nghiệm "hợp với mục đích" đã hoàn thành thành công và bất kỳ thay đổi nào được tạo ra, việc thực hiện phải được rà soát để phù hợp với văn bản kết cấu an ninh kỹ thuật và kiểm soát an ninh được yêu cầu trong những văn bản dưới đây:

- Kết cấu an ninh kỹ thuật,

- Chính sách an ninh mạng,

- Các SecOP liên quan,

- Chính sách (bảo mật) dịch vụ truy cập cổng an ninh,

- Kế hoạch liên tục của doanh nghiệp,

- Các điều kiện an ninh kết nối khi phù hợp.

Đánh giá tuân thủ phải được hoàn thiện trước hoạt động trực tiếp. Bản đánh giá phải là hoàn chỉnh khi tất cả những thiếu hụt đã được xác định, sửa chữa và kết thúc bởi quản lý cấp cao.

Có thể nhấn mạnh rằng nó phải bao gồm tiến hành thử nghiệm an ninh cho những tiêu chuẩn phù hợp được thừa nhận của quốc gia, Chính phủ, cộng đồng (khi không có tiêu chuẩn quốc tế), với chiến lược thử nghiệm an ninh và các kế hoạch thử nghiệm liên quan được cung cấp trước khi thiết lập chính xác thử nghiệm được tiến hành (Một ví dụ mẫu cho kế hoạch thử nghiệm an ninh được đưa ra trong ISO/IEC 27033-2. Nó phải bao gồm một tổ hợp quét hạn chế và thử nghiệm thâm nhập. Trước khi thực hiện bất kỳ thử nghiệm nào ở trên, kế hoạch thử nghiệm phải được kiểm tra để đảm bảo thử nghiệm sẽ được thực hiện theo một cách thức tuân thủ hoàn chỉnh các quy định và pháp lý liên quan. Khi tiến hành thử nghiệm, không phải quên rằng mạng có thể không chỉ bị giới hạn bởi một quốc gia, nó có thể được phân chia qua nhiều quốc gia khác nhau với pháp lý khác nhau. Sau những thử nghiệm, báo cáo phải thể hiện cụ thể những nhược điểm nhận thấy và những sửa chữa cần có và theo thứ tự ưu tiên nào, và với phụ lục xác nhận rằng tất cả những sửa chữa cần có đã được áp dụng. Những bản báo cáo đó phải được giải quyết bởi quản lý cấp cao.

Cuối cùng, khi tất cả đã thỏa mãn, việc thực hiện phải được kết thúc và chấp nhận bởi quản lý cấp cao.

13. Vận hành giải pháp an ninh

"Vận hành" tức là điều hành trực tiếp (hàng ngày) mạng lưới hoạt động với giải pháp an ninh tại chỗ đã được chấp nhận, với kiểm tra bảo mật được thực hiện và những hoạt động được yêu cầu hoàn thành trước đó. Nói cách khác, khi mà kết cấu an ninh kỹ thuật và do đó việc thực hiện kiểm soát an ninh bảo mật bị tắt, theo đó hoạt động trực tiếp phải được bắt đầu. Và qua thời gian, nếu thay đổi đáng kể diễn ra, việc thực hiện kiểm tra và rà soát hơn nữa phải được tiến hành (xem Điều 14)

14. Giám sát và đánh giá thiết lập giải pháp

Theo ghi chú về vận hành trực tiếp, giám sát liên tục và những hoạt động đánh giá tuân thủ phải được thực hiện cùng với những tiêu chuẩn thừa nhận phù hợp của quốc gia, nhà nước, cộng đồng (khi không có tiêu chuẩn quốc tế). Những hoạt động này phải được thực hiện trước một bản phát hành chính liên quan tới những thay đổi đáng kể trong nhu cầu doanh nghiệp, công nghệ, giải pháp an ninh và những phát hành thường niên khác. Những hoạt động ở đây tuân theo khuôn khổ được mô tả ở Điều 12.
PHỤ LỤC A

(Tham khảo)

CHỦ ĐỀ "CÔNG NGHỆ" - CÁC RỦI RO, CÔNG NGHỆ THIẾT KẾ VÀ CÁC VẤN ĐỀ KIỂM SOÁT

A.1. Mạng cục bộ

A.1.1. Nền tảng

Mạng LAN là mạng lưới kết nối các máy tính và máy chủ trong một khu vực địa lý nhỏ. Quy mô đi từ một vài hệ thống kết nối, ví dụ: việc định hình một mạng gia đình, tới vài nghìn, ví dụ: trong một mạng trường học. Các dịch vụ đặc trưng được triển khai bao gồm việc chia sẻ các tài nguyên ví dụ: các máy in, và việc chia sẻ các tệp tin và các ứng dụng. Mạng LAN đặc trưng cũng cung cấp các dịch vụ trung tâm như nhắn tin hay các dịch vụ lịch công tác. Trong một vài trường hợp, mạng LAN cũng được sử dụng để thay thế tính năng truyền thống của các mạng khác, ví dụ: khi các giao thức và dịch vụ VoIP được cung cấp như một hệ thống thay thế cho mạng điện thoại dựa trên PBX. Một mạng LAN có thể là mạng dây hoặc mạng không dây.

Mạng LAN có dây thường bao gồm các nút kết nối trong một mạng thông qua một bộ chuyển mạng sử dụng các cáp nối mạng và có thể cung cấp dung lượng mạng dữ liệu tốc độ cao. Công nghệ mạng LAN có dây phổ biến nhất là Ethernet (IEEE 802.3)

Mạng LAN không dây sử dụng các sóng tần số cao để gửi các gói mạng qua không khí. Trong thực tế, sự phức tạp của mạng LAN không dây là do nó có thể thiết lập nhanh chóng mà không cần thiết nối dây mạng. Các công nghệ mạng LAN không dây nổi tiếng bao gồm việc triển khai IEEE 802.11 và công nghệ Bluetooth.

Khi các mạng LAN được sử dụng trong các khu vực được bảo vệ về mặt vật lý, ví dụ: chỉ trong cơ sở của một tổ chức thì các rủi ro có khả năng xảy ra thường chỉ yêu cầu các kiểm soát an ninh kỹ thuật cơ bản. Tuy nhiên, để sử dụng trong các môi trường lớn hơn và cả khi công nghệ không dây được sử dụng, việc bảo vệ vật lý đơn độc là không chắc chắn để đảm bảo bất kỳ mức độ an ninh nào.

Màn hình nền là một khu vực dễ tổn thương giống như là giao diện người dùng. Nếu màn hình không bị khóa thì nó có thể bị người dùng cài đặt các phần mềm trái phép, không được ủy quyền vào mạng LAN. Các hệ thống máy chủ được sử dụng trong một mạng lưới doanh nghiệp, cả những hệ thống kết nối với mạng Internet và máy chủ nội bộ không có kết nối trực tiếp với mạng Internet thì đều có thể chứa các rủi ro an ninh chính tương ứng mà phải được giải quyết một cách cẩn trọng. Ví dụ: khi phần lớn các cơ quan về công nghệ thông tin cho rằng họ đã nỗ lực áp dụng các ráp nối ngay khi có sẵn, thì ngay cả các tổ chức lớn cũng đã từng thất bại để ráp nối tất cả các máy chủ một cách kịp thời, dẫn đến sự gián đoạn lưu lượng mạng nội bộ bởi sâu và vi rút.

Trong một mạng LAN có dây, rủi ro an ninh sẽ gia tăng từ các nút được kết nối với mạng về mặt vật lý. Về tổng thể, rủi ro an ninh chính liên quan tới mạng LAN bao gồm những rủi ro tương ứng với:

- Truy cập và thay đổi bất hợp pháp trên máy tính cá nhân, máy chủ và các thiết bị kết nối mạng LAN khác,

- Các thiết bị không được sửa chữa,

- Các mật khẩu chất lượng thấp,

- Trộm cắp phần cứng,

- Lỗi nguồn cung cấp,

- Nhập các mã độc qua truy cập web và thư điện tử,

- Lỗi lưu trữ đĩa cứng,

- Lỗi phần cứng ví dụ: đĩa cứng,

- Các kết nối bất hợp pháp tới hạ tầng mạng LAN, ví dụ: chuyển đổi và ráp nối hộp chứa,

- Các kết nối bất hợp pháp tới các thiết bị cuối ví dụ: máy tính xách tay,

- Các mật khẩu mặc định trên cổng quản lý của thiết bị mạng,

- Sự xâm nhập, khi thông tin bị rò rỉ hay tính toàn vẹn và/hoặc tính sẵn có của thông tin theo đó không còn được bảo đảm,

- Các tấn công DoS khi mà nguồn tài nguyên không sẵn có cho người dùng hợp pháp,

- Độ trễ bên ngoài sẽ gây ảnh hưởng tới các dịch vụ như dịch vụ VoIP,

- Lỗi thiết bị,

- Lỗi cáp,

- Bảo mật vật lý chất lượng kém.

Các rủi ro an ninh tương ứng với mạng LAN không dây được mô tả trong Điều A.3.2.

Việc giữ cho không gian mạng LAN an toàn yêu cầu các thành phần mạng và cả các thiết bị kết nối phải được bảo mật. Hơn nữa, các kiểm soát an ninh để đảm bảo môi trường LAN có thể bao gồm;

- Vật lý và môi trường:

- Sử dụng các hệ thống cáp thép để bảo vệ các CPU, màn hình và bàn phím khỏi việc trộm cắp,

- Sử dụng các khóa trên thiết bị để phòng ngừa các phần, ví dụ: bộ nhớ, khỏi việc bị đánh cắp,

- Sử dụng các thiết bị lân cận để chống tháo gỡ trái phép từ các site,

- Đảm bảo các thiết bị mạng LAN, như các bộ chuyển đổi và các bộ điều hướng, được giữ trong các hộp an toàn vật lý trong các phòng kết nối an toàn,

- Cung cấp UPS với hệ thống tắt tự động cho các thiết bị quan trọng và cho các máy tính cá nhân của người dùng nếu họ không muốn bị mất tiến trình công việc.

- Phần cứng và phần mềm:

- Cấu hình các thiết bị với địa chỉ cá nhân (ví dụ: IP),

- Chính sách mật khẩu mạnh,

- Yêu cầu đăng nhập vào mỗi máy tính cá nhân/máy trạm, ít nhất với mỗi một cặp mã người dùng/mật khẩu,

- Hiển thị thời gian lần đăng nhập thành công gần nhất,

- Không hiển thị lại tên người dùng lần đăng nhập thành công gần nhất, và bất cứ danh sách người dùng đã sử dụng trước đó.

- Cài đặt phần mềm chống mã độc (gồm cả chống vi-rút) và các cập nhật thông thường tự động,

- Thiết lập các cài đặt cấu hình an ninh,

- Tắt ổ đĩa mềm, ổ đĩa CD-ROM và các cổng USB,

- Các ổ đĩa máy chủ ảo (hoặc RAID được triển khai) để dự phòng,

- Gỡ bỏ phần mềm không cần thiết,

- Đảm bảo việc quản lý màn hình chính tại chỗ tốt.

- Tùy chọn:

- Phần mềm tài liệu và các cài đặt an ninh sử dụng cho tương lai trong việc cấu thành các máy tính cá nhân/máy trạm,

- Tải xuống và cài đặt định kỳ theo lịch trình các bảng sửa lỗi hệ điều hành,

- Tạo và duy trì chương trình Sửa chữa khẩn cấp đĩa và lưu trữ trongmột khu vực kiểm soát,

- Triển khai ghi nhật ký để ghi lại các vấn đề bảo trì và chưa sử dụng của máy tính cá nhân/máy trạm,

- Sắp xếp tất cả các tài liệu thành phần của máy tính cá nhân/máy trạm (giấy tờ/hướng dẫn/đĩa) theo mục đích sử dụng của các kỹ thuật viên dịch vụ,

- Đảm bảo chế độ sao lưu,

- Đảm bảo rằng tất cả các thiết bị mạng có các thay đổi mật khẩu mặc định,

- Thiết lập các mật khẩu/chuỗi cộng đồng theo giao thức quản lý mạng tương ứng,

- Mã hóa lưu lượng mạng,

- Cấu hình bản ghi kiểm tra hợp thức nếu khả dụng, và triển khai các thủ tục giám sát các bản ghi kiểm tra,

- Lên lịch trình cài đặt định kỳ cho các cập nhật phần mềm,

- Dẫn chứng các cài đặt thiết bị cho mục đích sau này trong thiết bị cấu hình lại; tạo bản sao lưu trữ của tệp cấu hình của bộ điều hướng và lưu trữ trong khu vực an toàn,

- Kiểm tra lỗ hổng bảo mật cho tất cả các thiết bị kết nối mạng LAN.

Các kiểm soát an ninh tương ứng với mạng LAN không dây được mô tả trong Điều A.3.3.

A.2. Mạng dải rộng

A.2.1. Nền tảng

Mạng WAN được sử dụng để kết nối các khu vực xa, và các mạng LAN của chúng với nhau. Một mạng WAN có thể được xây dựng thông qua việc sử dụng các cáp, mạch từ một bên cung cấp dịch vụ, hoặc qua thuê một dịch vụ từ một bên cung cấp viễn thông. Công nghệ mạng WAN cho phép việc truyền dẫn và điều hướng lưu lượng mạng qua khoảng cách xa, và thường cung cấp các tính năng điều hướng mở rộng tới các gói mạng điều hướng đến mạng LAN chuẩn đích. Hạ tầng mạng vật lý công cộng để điển hình được sử dụng cho việc liên kết nối các mạng LAN, ví dụ: các dây chính, các kết nối vệ tinh hay cáp quang. Một mạng WAN có thể kết nối dây hay không dây.

Mạng WAN có dây thường bao gồm các thiết bị điều hướng (ví dụ: các bộ điều hướng) được kết nối tới một mạng công cộng hoặc mạng cá nhân thông qua các đường dây viễn thông. Mạng WAN không dây tiêu chuẩn sử dụng các sóng vô tuyến để gửi các gói mạng qua không khí từ một khoảng cách xa, mà có thể lên tới 10 ki-lo-mét hoặc xa hơn.

Khi mạng WAN truyền thống ban đầu được tạo phải thông qua việc sử dụng các liên kết cố định giữa các khu vực được thuê bởi các bên cung cấp dịch vụ và với việc các bên cung cấp nắm trong tay kiểm soát an ninh tối thiểu tương ứng với những liên kết đó, thay vì đảm bảo rằng điều đó là tùy thuộc, thành tựu trong công nghệ mạng WAN đã dẫn tới kết quả về một sự chuyển đổi trách nhiệm quản lý vào bên cung cấp dịch vụ, cùng với lợi ích của một tổ chức khi không phải triển khai và quản lý mạng lưới của chính mình. Điều đó có nghĩa là trách nhiệm thuộc về bên cung cấp dịch vụ để bảo đảm thiết bị quản lý mạng lưới là bảo đảm. Hơn nữa, bởi mạng WAN được sử dụng chủ yếu cho mục đích điều hướng lưu lượng mạng qua khoảng cách xa, chức năng điều hướng cần phải bền chắc, đảm bảo lưu lượng mạng không bị điều hướng đến mạng LAN sai đích. Do đó, lưu lượng đi qua mạng WAN có khuynh hướng ngăn cản những người truy cập vào mặt bằng mạng WAN. Bởi vì mặt bằng mạng WAN có xu hướng dễ truy cập hơn là mạng LAN, việc bảo dưỡng phải được thực hiện để đảm bảo những thông tin nhạy cảm truyền tiếp qua môi trường mạng WAN được mã hóa. Bên cung cấp dịch vụ phải ký kết hợp đồng để chứng minh cho mức độ bảo mật được yêu cầu bởi tổ chức.

Trong khi mạng WAN dây cùng chia sẻ những rủi ro an ninh chính với mạng LAN dây (xem Điều A.1), nó cũng có nhiều rủi ro an ninh hơn bởi có rủi ro lớn hơn về lưu lượng mạng trong mạng WAN, tức là việc kiểm soát an ninh, cả cho truy cập, phải được thực hiện tại chỗ, đúng vị trí để đảm bảo mạng WAN dây không thể dễ dàng bị tổn hại, dẫn đến gián đoạn lan rộng. Tương tự khi mạng WAN không dây cũng có cùng một số rủi ro an ninh chính với mạng LAN không dây (xem Điều A.3), nó có xu hướng bị gián đoạn bởi khả năng bị nhiễu loạn hệ thống sử dụng cho truyền tiếp các gói mạng. Nói chung, những rủi ro an ninh chính liên quan đến mạng WAN bao gồm những rủi ro tương ứng với:

- Sự xâm nhập, khi mà thông tin bị rò rỉ hay tính toàn vẹn và/hay độ khả dụng của thông tin theo đó không còn được bảo đảm,

- Các tấn công DoS khi mà nguồn tài nguyên trở phải không khả dụng với người dùng hợp pháp,

- Độ trễ bên ngoài mà sẽ gây ảnh hưởng tới các dịch vụ như dịch vụ VoIP,

- Sự nhiễu loạn mạng lưới mà sẽ gây ảnh hưởng như chất lượng âm thanh (gây ra chủ yếu qua việc sử dụng cáp nối bằng đồng để chuyển tải dịch vụ),

- Lỗi thiết bị,

- Lỗi cáp,

- Các thiết bị có lỗ hổng,

- Mất nguồn tại một nơi trung chuyển, gây ảnh hưởng tới các điểm khác,

- Thiết bị quản lý mạng của bên cung cấp dịch vụ.

A.2.3. Kiểm soát an ninh

Kiểm soát an ninh yêu cầu để bảo mật mạng WAN bao gồm:

- Việc sử dụng các giao thức quản lý an ninh ví dụ: SSH, SCP hay SNMPv3,

- Việc mã hóa quản lý các liên kết,

- Việc mã hóa lưu lượng mạng,

- Việc thiết lập các thẩm quyền an ninh để truy cập các thiết bị mạng WAN, với các cảnh báo tương ứng của các thiết bị.

- Sự bảo mật thiết bị mạng WAN vật lý ở mỗi trang, như việc sử dụng các khoảng chứa đã khóa cùng với cảnh báo truy cập,

- Việc sử dụng UPS để bảo đảm chống lại gián đoạn nguồn điện,

- Các trang kết nối 2 chiều, sử dụng hệ thống điều hướng đa dạng,

- Kiểm soát vòng chủ động của các thiết bị mạng WAN,

- Lập bản đồ thiết bị mạng để xác định các thiết bị trái phép,

- Quản lý ráp nối,

- Phủ lớp mã hóa cho các thông tin nhạy cảm,

- Tiếp nhận các bảo đảm dịch vụ từ bên cung cấp dịch vụ, như về độ khả dụng, độ trễ hay độ nhiễu,

- Triễn khai nhật ký và kế toán truy cập vào các thiết bị mạng WAN,

- Sử dụng tường lửa để loại bỏ bất kỳ giao dịch không mong muốn trong mạng lưới,

- Đảm bảo hạ tầng cơ sở và địa chỉ được giấu kín,

- Thiết lập địa chỉ IP không thể bị điều hướng qua mạng Internet,

- Sử dụng phần mềm để tránh các mã độc như Trojan, vi-rút, phần mềm gián điệp và sâu từ việc mở các lỗ hổng an ninh từ nội bộ một mạng lưới,

- Sử dụng IDS để xác định giao dịch đáng nghi,

- Đảm bảo hệ thống quản lý mạng lưới là chắc chắn một cách hợp lý,

- Quản lý mạng lưới ngoài luồng,

- Đảm bảo địa điểm quản lý mạng lưới là chắc chắn về mặt vật lý,

- Đảm bảo các thiết bị đã được sao lưu,

- Thực hiện các lượt kiểm tra độ tin cậy đối với nhân viên quản lý mạng.

A.3. Mạng không dây

A.3.1. Nền tảng

Mạng không dây được nhận định là mạng lưới bao phủ những khu vực địa lý nhỏ và sử dụng các công cụ giao tiếp không dây như sóng vô tuyến hay hồng ngoại. Thông thường, các mạng không dây được sử dụng để thực hiện kết nối tương đương như được cung cấp bởi mạng LAN phải được gọi là mạng WLAN. Các công nghệ tiêu chuẩn chính được sử dụng là IEEE 802.11 và Bluetooth. Có thể nhấn mạnh rằng mạng không dây cấu thành một loại mạng khác so với mạng vô tuyến như GSM, 3G và VHF bởi chúng sử dụng cột ăng-ten để truyền tải (xem Điều A.4 ở dưới). Hơn nữa, kết nối hồng ngoại và các loại kết nối không dây phải được nhắc đến như một phần nhỏ trong các nhận xét đánh giá kết nối mạng không dây.

Các mạng WLAN cũng bị tất cả những lỗ hổng bảo mật như mạng LAN có dây, thêm vào một số những lỗ hổng liên quan tới đặc tính kết nối không dây. Một số công nghệ cụ thể (chủ yếu dựa vào mã hóa) đã được phát triển để giải quyết những nhược điểm này, mặc cho những phiên bản đầu tiên của chúng (như WEP) có những điểm yếu kết cấu, và vì thế đã không đạt được kỳ vọng về yêu cầu bảo mật.

A.3.2. Rủi ro an ninh

Rủi ro an ninh liên quan tới việc sử dụng mạng WLAN bao gồm những rủi ro tương ứng với:

- Nghe lén,

- Truy cập bất hợp pháp,

- Can thiệp và gây nhiễu loạn,

- Cấu hình sai,

- Chế độ truy cập an toàn bị tắt mặc định,

- Các giao thức mã hóa không an toàn,

- Các giao thức quản lý không an toàn được sử dụng để quản lý các mạng WLAN,

- Điều này không thường xuyên khả thi để xác định người dùng mạng,

- Các thiết bị giả mạo (như tại điểm truy cập).

A.3.3. Kiểm soát an ninh

Kiểm soát cần có cho các mạng WLAN bao gồm:

- Cấu hình hạ tầng với các đơn vị đo an toàn kỹ thuật tương thích (bao gồm như tường lửa cho mạng WLAN từ hạ tầng doanh nghiệp),

- Mã hóa các kết nối và trao đổi dữ liệu, như bằng cách thiết lập một IPsec dựa trên mạng VPN qua mạng WLAN giữa người dùng và một vành đai tường lửa,

- Đưa ra các đánh giá, xem xét để nâng cao bảo mật của mỗi thiết bị mạng WLAN bằng cách cấu hình tường lửa nhân viên, phát hiện xâm nhập và phần mềm chống mã độc (gồm cả chống vi-rút) trên thiết bị người dùng.

- Sử dụng thẩm quyền,

- Kiểm soát các cấp độ truyền tải để đánh giá một rủi ro bên ngoài tới một tên miền vật lý của một tổ chức,

- SNMP được cấu hình cho truy cập chỉ đọc,

- Tập hợp bản ghi kiểm tra và phân tích để nhận diện bất kỳ sai sót hay sử dụng trái phép,

- Quản lý mã hóa ngoài luồng như sử dụng SSH,

- Duy trì bảo mật vật lý tại các điểm truy cập mạng không dây,

- Củng cố bất kỳ thành phần mạng nào,

- Kiểm tra hệ thống,

- Xem xét việc khai thác một IDS giữa mạng doanh nghiệp và mạng không dây.

Mạng vô tuyến được nhận định là những mạng lưới sử dụng sóng vô tuyến như một kênh kết nối để bao phủ một khu vực địa lý rộng lớn. Ví dụ thường thấy của mạng vô tuyến là mạng di động sử dụng công nghệ như GSM hay UMTS và cung cấp các dịch vụ dữ liệu và âm thanh công cộng có sẵn.

Có thể nhấn mạnh rằng các mạng sử dụng sóng vô tuyến để bao phủ các khu vực nhỏ được xem như một thể loại khác và được nhắc đến ở Điều A.3.

Ví dụ của mạng vô tuyến bao gồm:

- TETRA,

- GSM,

- GPRS,

- CDMA.

Rủi ro an ninh chính liên quan tới việc sử dụng mạng vô tuyến nói chung bao gồm những rủi ro tương ứng với:

- Nghe lén,

- Cướp quyền,

- Mạo danh,

- Các ứng dụng cấp nguy hiểm (như lừa đảo, gian lận),

- Từ chối dịch vụ.

Rủi ro liên quan tới GSM bao gồm những rủi ro tương ứng với những thực tế rằng:

- Các thuật toán A5/x và Comp 128-1 yếu,

CHÚ THÍCH Thuật toán độc quyền được sử dụng ban đầu trong mặc định ở các thẻ SIM

- Mã hóa GSM nói chung bị tắt,

- Nhân bản SIM là có thật.

- Rủi ro liên quan tới 3G bao gồm những rủi ro tương ứng với những thực tế rằng:

- Điện thoại dễ bị tấn công điện tử, gồm việc chèn mã độc như vi-rút,

- Cơ hội cho tấn công là rất cao bởi điện thoại thường luôn hoạt động,

- Dịch vụ có thể là mục tiêu để nghe lén,

- Mạng vô tuyến có thể bị nhiễu,

- Việc chèn những trạm cơ sở sai là có thể xảy ra,

- Các cổng có thể là mục tiêu của các truy cập trái phép,

- Dịch vụ có thể là mục tiêu tấn công và truy cập trái phép qua mạng Internet,

- Sự xuất hiện thư rác là có thể xảy ra,

- Các hệ thống quản lý có thể là mục tiêu của truy cập trái phép qua RAS,

- Dịch vụ có thể bị tấn công qua thiết bị hỗ trợ kỹ thuật bị mất hay bị đánh cắp như máy tính xách tay.

UTMS là một thành phần chính của gia đình toàn cầu các công nghệ di động 3G và cung cấp dung lượng đáng kể cùng các khả năng băng thông rộng để hỗ trợ số lượng lớn khách hàng về âm thanh và dữ liệu. Nó sử dụng một kênh của bên cung cấp có tần số dao động 5 MHz để chuyển tải tỷ lệ dữ liệu cao hơn đáng kể và dung lượng tăng lên, cung cấp việc sử dụng tối ưu nguồn tài nguyên vô tuyến, đặc biệt là cho tổng đài điều hành, người đã được cấp những khối quang phổ lớn, tiếp giáp nhau - thường dao động từ 2x10 MHz lên tới 2x20 MHz - để giảm thiểu chi phí khai thác mạng 3G. GPRS là một bước tiến đầu tiên không thể thiếu tới thế hệ mạng di động thứ ba bằng cách tăng cường các tính năng của mạng GSM.GPRS là một đặc trưng cho việc truyền dữ liệu trên các kênh GSM mà cho phép cả giao dịch chuyển gói và chuyển mạch tồn tại ở 72.4 Kb hay 107.2 Kb. GPRS hỗ trợ tất cả kết nối TCP/IP và X.25. EDGE cho phép các mạng GSM được phép thực hiện EGPRS, một phiên bản nâng cao của GPRS, tăng dung lượng mỗi khe thời gian lên tới 60 Kb. GPRS cho phép kết nối Internet "luôn hoạt động" mà thực tế là một vấn đề bảo mật tiềm ẩn. Một bên cung cấp mạng GPRS sẽ thường xuyên cố gắng đánh giá an ninh của liên kết bằng cách cung cấp một tường lửa giữa mạng GPRS và Internet, nhưng phải được cấu hình để cho phép các dịch vụ hiệu quả làm việc, và do đó có thể bị khai thác bởi những bên thứ ba.

CDPD là một đặc trưng để hỗ trợ truy cập không dây cho Internet và các mạng chuyển gói công cộng khác thông qua các mạng điện thoại. CDPD hỗ trợ TCP/IP và CLNP. CDPD khai thác mã hóa dòng RC4 với các chìa khóa mã hóa 40 bit. CDPD được định nghĩa trong tiêu chuẩn IS-732. Thuật toán này không bền vững và có thể bị giải mã bởi một cuộc tấn công vét cạn.

CDMA, một dạng trải phổ, là một gia đình của các kỹ thuật kết nối số mà đã được sử dụng trong nhiều năm. Nguyên tắc căn bản của trải phổ là việc sử dụng các sóng mang như âm thanh mà có băng thông rộng hơn nhiều so với kết nối điểm-tới-điểm cho cùng tỷ lệ dữ liệu như nhau. Công nghệ mã hóa số cho phép CDMA ngăn cản nghe lén, cả cố ý hay vô ý. Công nghệ CDMA phân tách âm thanh thành nhiều bit nhỏ mà truyền trên một trải phổ của tần số. Mỗi bit nhỏ của cuộc đàm thoại (hay dữ liệu) được định dạng bởi một mã kỹ thuật số chỉ được biết đến ở máy CDMA và trạm cơ sở. Điều đó có nghĩa là thật sự không thiết bị nào khác có thể nhận được cuộc gọi. Bởi vì có hàng nghìn tổ hợp mã khả dụng cho bất kỳ cuộc gọi nào, nó bảo vệ chống lại việc nghe lén.

Một số kiểm soát an ninh kỹ thuật quản lý rủi ro từ những nguy hại xác định từ mạng vô tuyến mà có thể bao gồm:

- Bảo mật xác thực,

- Mã hóa với thuật toán hiệu quả,

- Các trạm dữ liệu cơ sở được bảo vệ,

- Tường lửa,

- Bảo vệ khỏi mã độc (vi-rút, Trojan,…),

- Chống thư rác.

Mạng băng thông rộng có thể từ một nhóm các kỹ thuật cho phép các thuê bao nhân viên truy cập tốc độ cao vào một mạng Internet ngay tại thời điểm hiện tại, Ví dụ của những công nghệ băng thông gồm:

- 3G,

- Cáp (quang, ở gần),

- xDSL,

- BPL,

Những nguyên nhân chính cho việc sử dụng công nghệ băng thông rộng là do chúng có tốc độ cao, công nghệ khả dụng luôn luôn có rẻ hơn so với các kết nối chuyển đổi, và có thể hỗ trợ các ứng dụng băng thông chuyên sâu (ví dụ: HDTV yêu cầu mức nén hiện tại là 15-20 Meg). Tất cả các công nghệ này cho phép truy cập tới một sóng mạng Internet, và vì thế chỉ nối từ mạng Internet tới cơ sở của người dùng. Việc sử dụng mạng Internet như một bên cung cấp dịch vụ toàn cầu cho phép các liên kết tới các trang khác được thực hiện nhanh và rẻ, có thể đi cùng với việc khai thác VPN cho các liên kết an toàn.