Đánh giá an toàn thông tin | Trung tâm Giám sát an toàn không gian mạng quốc gia

Giới thiệu

Kiểm tra, đánh giá an toàn thông tin

Đánh giá An toàn thông tin (an toàn thông tin) là hoạt động kiểm tra, rà soát, phát hiện sớm các lỗ hổng mà hệ thống CNTT của tổ chức có thể bị Hacker sử dụng để tấn công. Quá trình đánh giá ngoài việc chỉ ra các lỗ hổng tiềm tàng trong hệ thống còn giúp cho tổ chức có cái nhìn chung nhất về tình hình an toàn thông tin của các hệ thống CNTT hiện hữu, từ đó đưa ra được các quy trình và giải pháp để hạn chế các lỗ hổng này trong tương lai.

Lợi ích mang lại cho khách hàng:

Xác định các điểm yếu bảo mật trong hệ thống.
Xác định được các nguy cơ, rủi ro mất an toàn thông tin, mức độ ảnh hưởng mà tổ chức gặp phải khi bị tấn công vào hệ thống.
Được tư vấn và đưa ra phương án khắc phục các điểm yếu mà hệ thống gặp phải.
Được tư vấn trong việc thiết lập chính sách về quản lý cũng như kỹ thuật để đảm bảo an toàn thông tin cho hệ thống.

Phương pháp

Phương pháp thực hiện

Dịch vụ đánh giá ATTT cơ bản (Blackbox)

Chỉ yêu cầu cung cấp cách để truy cập đến hệ thống Phương pháp đánh giá sẽ tiếp cận ứng dụng như một người dùng thường bên ngoài hệ thống. Phương pháp này chỉ phát hiện những lỗ hổng có thể dễ dàng tiếp cận từ bên ngoài, không thể phát hiện được các rủi ro sâu bên trong hệ thống.

Dịch vụ đánh giá ATTT nâng cao (Graybox)

Yêu cầu cung cấp các thông tin theo từng phân quyền của người dùng hệ thống Phương pháp đánh giá sẽ tiếp cận ứng dụng như một người dùng hệ thống, đánh giá an toàn thông tin đối với các nghiệp vụ của hệ thống, thực hiện các đánh giá về các lỗ hổng cho phép leo thang, vượt quyền bên trong hệ thống. Phương pháp này có thể phát hiện những lỗ hổng được các rủi ro sâu bên trong hệ thống.

Dịch vụ đánh giá ATTT toàn diện (Whitebox)

Yêu cầu cung cấp toàn bộ thông tin về hệ thống Phương pháp đánh giá sẽ tiếp cận ứng dụng một cách toàn diện, như một người trực tiếp phát triển ứng dụng. Phương pháp này có thể phát hiện những lỗ hổng được các rủi ro sâu bên trong hệ thống, phát hiện các lỗ hổng trên mã nguồn, trên các thành phần không trực tiếp được sử dụng ra bên ngoài với người dùng hệ thống.

Hình thức

Hình thức thực hiện

Đánh giá an toàn thông tin

(Security Audit)

Đánh giá kiến trúc an toàn thông tin
Đánh giá hệ thống máy trạm, máy chủ
Đánh giá hạ tầng mạng
Đánh giá các giải pháp an toàn thông tin
Đánh giá các ứng dụng nghiệp vụ
Đánh giá cơ sở dữ liệu
Đánh giá quy trình và chính sách

Thử nghiệm xâm nhập

(Penetration Testing)

Thử nghiệm xâm nhập hệ thống Website
Thử nghiệm xâm nhập hệ thống mạng
Thử nghiệm xâm nhập máy chủ, trung tâm dữ liệu
Thử nghiệm xâm nhập ứng dụng di dộng

Quy trình

Quy trình thực hiện

01

Khách hàng gửi yêu cầu đánh giá

02

NCSC khảo sát hệ thống cần đánh giá và xây dựng kế hoạch, phương án đánh giá

03

Khách hàng cung cấp thông tin và môi trường cần thiết theo phương án đánh giá được phê duyệt

04

NCSC thực hiện đánh giá

05

NCSC gửi kết quả đánh giá và hướng dẫn khắc phục các lỗ hổng phát hiện được

06

Khách hàng khắc phục lỗ hổng theo hướng dẫn. Thông báo cho NCSC sau khi đã khắc phục và yêu cầu đánh giá lại (Bước 1)

07

NCSC thực hiện tái đánh giá và thông báo kết quả cho khách hàng