Giá trị của bằng chứng tuân thủ an toàn thông tin

Về bản chất, bằng chứng tuân thủ không chỉ cho thấy một chính sách đã được ban hành. Giá trị lớn hơn nằm ở khả năng nối được một yêu cầu hoặc biện pháp an toàn thông tin với hành động thực tế, thời điểm thực hiện, người hoặc hệ thống chịu trách nhiệm, kết quả kiểm tra và cách tổ chức xử lý khi phát hiện thiếu sót.

Vì vậy, bằng chứng tốt có thể giúp phân biệt giữa các tình huống rất khác nhau: biện pháp chưa từng được thiết kế, đã thiết kế nhưng không triển khai, đã triển khai nhưng vận hành không đầy đủ, đã kiểm tra và phát hiện vấn đề nhưng không khắc phục, hoặc biện pháp đã được thực hiện hợp lý nhưng vẫn không ngăn được một sự cố ngoài khả năng kiểm soát.

Bằng chứng tuân thủ an toàn thông tin chứng minh điều gì?

Giá trị đầu tiên của hồ sơ tuân thủ là chứng minh quá trình thực hiện nghĩa vụ hoặc biện pháp bảo vệ, thay vì chỉ chứng minh ý định của tổ chức.

Một chính sách yêu cầu xác thực đa yếu tố, chẳng hạn, mới chỉ chứng minh rằng tổ chức đã đặt ra yêu cầu. Hồ sơ cấu hình, danh sách tài khoản áp dụng, nhật ký xác thực và kết quả kiểm tra mới có thể cho thấy yêu cầu đó đã được triển khai và vận hành như thế nào.

Có thể hình dung chuỗi chứng minh theo bốn lớp:

Yêu cầu → Biện pháp → Thực hiện → Kết quả kiểm tra

Nếu chỉ có lớp “yêu cầu”, bằng chứng còn yếu. Khi hồ sơ cho thấy cả bốn lớp, khả năng xác định trách nhiệm sẽ rõ hơn.

Giá trị của hồ sơ cũng phụ thuộc vào việc nó có thể trả lời các câu hỏi:

·         Biện pháp nào phải được thực hiện?

·         Ai hoặc bộ phận nào chịu trách nhiệm?

·         Biện pháp được thực hiện vào thời điểm nào?

·         Phạm vi áp dụng đến đâu?

·         Kết quả thực hiện là gì?

·         Có kiểm tra hoặc giám sát hay không?

·         Nếu phát hiện sai lệch thì đã xử lý thế nào?

Đây cũng phù hợp với cách tiếp cận quản trị rủi ro của các khung an toàn thông tin: trách nhiệm không tách rời khỏi vai trò, quyền hạn, chính sách, giám sát và quá trình quản lý rủi ro.

Giá trị của hồ sơ trong việc phân biệt các dạng trách nhiệm

Không phải mọi sự cố đều dẫn đến cùng một kết luận về trách nhiệm. Hồ sơ thực hiện biện pháp giúp làm rõ trách nhiệm phát sinh ở khâu nào.

Trường hợp chưa thiết kế biện pháp

Nếu một rủi ro đã được nhận diện nhưng tổ chức không thiết lập biện pháp kiểm soát phù hợp, hồ sơ đánh giá rủi ro, quyết định xử lý và phê duyệt có thể cho thấy khoảng trống nằm ở cấp quản trị hoặc thiết kế hệ thống kiểm soát.

Trường hợp có chính sách nhưng không triển khai

Một quy định nội bộ có thể yêu cầu sao lưu, phân quyền hoặc kiểm soát truy cập, nhưng hồ sơ vận hành lại cho thấy hệ thống thực tế không áp dụng biện pháp đó.

Khi ấy, bằng chứng giúp phân biệt có quy định với có thực hiện. Hai trạng thái này không có giá trị chứng minh giống nhau.

Trường hợp đã triển khai nhưng vận hành không đầy đủ

Biện pháp có thể tồn tại nhưng không được duy trì đúng yêu cầu. Ví dụ, hệ thống có cơ chế kiểm soát quyền truy cập nhưng tài khoản của nhân sự đã nghỉ việc không được thu hồi đúng thời hạn.

Nhật ký thay đổi tài khoản, yêu cầu thu hồi quyền và thời điểm phê duyệt có thể giúp xác định điểm đứt gãy trong quy trình.

Trường hợp đã phát hiện thiếu sót nhưng không khắc phục

Đây là nhóm hồ sơ đặc biệt quan trọng. Báo cáo đánh giá có thể cho thấy tổ chức đã biết về điểm yếu trước sự cố. Khi đó, câu hỏi không còn chỉ là “có kiểm soát hay không” mà chuyển thành “đã biết rủi ro thì đã xử lý như thế nào?”.

Hồ sơ phát hiện, mức độ rủi ro, người được giao xử lý, thời hạn khắc phục và bằng chứng hoàn thành có thể giúp làm rõ trách nhiệm ở giai đoạn này.

Những loại hồ sơ nào có giá trị chứng minh cao?

Không phải mọi tài liệu có chữ “tuân thủ” đều có sức nặng như nhau. Hồ sơ có giá trị hơn khi chứng minh được hành động thực tế và có thể truy nguyên.

Các nhóm thường có giá trị gồm:

·         Hồ sơ đánh giá và xử lý rủi ro

·         Chính sách, quy trình và phân công trách nhiệm

·         Hồ sơ phê duyệt biện pháp kiểm soát

·         Nhật ký truy cập và nhật ký hệ thống

·         Hồ sơ cấp, thay đổi và thu hồi quyền

·         Hồ sơ cấu hình hoặc thay đổi hệ thống

·         Kết quả kiểm tra và đánh giá định kỳ

·         Hồ sơ đào tạo và xác nhận nhận thức an toàn thông tin

·         Hồ sơ sao lưu và kiểm tra khả năng khôi phục

·         Hồ sơ xử lý lỗ hổng và cập nhật bản vá

·         Biên bản phát hiện điểm không phù hợp

·         Hồ sơ hành động khắc phục

·         Nhật ký và hồ sơ xử lý sự cố

·         Hồ sơ phê duyệt ngoại lệ hoặc chấp nhận rủi ro

Trong đó, hồ sơ vận hành và nhật ký đương thời thường có vai trò khác với một bản tường trình được lập sau khi sự cố đã xảy ra. Hồ sơ càng gắn trực tiếp với sự kiện, thời điểm và hệ thống thực tế thì càng thuận lợi cho việc kiểm chứng.

Đối với hồ sơ ứng phó sự cố, tính toàn vẹn và nguồn gốc của bản ghi cũng đặc biệt quan trọng. Việc ghi nhận hành động điều tra, bảo vệ tính toàn vẹn của hồ sơ và duy trì provenance giúp người đánh giá xác định dữ liệu có phản ánh đúng quá trình xử lý hay không.

Vì sao tính truy nguyên và tính toàn vẹn của hồ sơ lại quan trọng?

Một tài liệu chỉ có giá trị chứng minh cao khi người kiểm tra có thể trả lời được nó đến từ đâu, được tạo khi nào, bởi ai và có bị thay đổi hay không.

Có thể đánh giá hồ sơ theo một chuỗi:

Tính xác thực → Tính toàn vẹn → Tính thời điểm → Tính đầy đủ → Tính liên kết

Ví dụ, một bản ghi cho biết quyền truy cập đã bị thu hồi sẽ thuyết phục hơn nếu có thể xác định tài khoản nào, ai thực hiện, thời điểm nào, hệ thống nào ghi nhận và sự kiện đó có thể đối chiếu với yêu cầu thu hồi quyền hay không.

Ngược lại, một bảng Excel được lập sau sự cố nhưng không có nguồn dữ liệu gốc, không có lịch sử thay đổi và không thể xác minh thời điểm tạo sẽ khó chứng minh mạnh rằng biện pháp đã thực sự được thực hiện trước khi sự cố xảy ra.

Điều này không có nghĩa hồ sơ điện tử luôn có giá trị hơn hồ sơ giấy. Điểm quan trọng là khả năng xác minh nguồn gốc và diễn biến của thông tin, chứ không phải hình thức lưu trữ.

Bằng chứng tuân thủ không đồng nghĩa với miễn trách nhiệm

Đây là giới hạn quan trọng nhất khi sử dụng bằng chứng tuân thủ.

Việc tổ chức có chính sách, chứng nhận hoặc hồ sơ thực hiện biện pháp an toàn thông tin không tự động chứng minh rằng tổ chức không có trách nhiệm đối với mọi sự cố xảy ra.

Có ít nhất bốn lý do.

Thứ nhất, một chứng nhận hoặc kết quả đánh giá thường phản ánh một phạm vi, thời điểm và tiêu chí nhất định. Nó không nhất thiết chứng minh mọi hệ thống, mọi tài khoản hoặc mọi thời điểm đều tuân thủ tuyệt đối.

Thứ hai, việc một biện pháp đã được thực hiện không có nghĩa biện pháp đó chắc chắn đủ để kiểm soát mọi rủi ro. Quản lý an toàn thông tin vốn dựa trên đánh giá và xử lý rủi ro, chứ không phải giả định rằng rủi ro có thể được loại bỏ hoàn toàn.

Thứ ba, bằng chứng phải được đối chiếu với nghĩa vụ cụ thể. Một hồ sơ có thể chứng minh tổ chức đã thực hiện một biện pháp theo tiêu chuẩn nội bộ nhưng chưa chắc chứng minh đã đáp ứng một yêu cầu pháp lý hoặc hợp đồng cụ thể.

Thứ tư, trách nhiệm còn phụ thuộc vào nguyên nhân sự cố, mức độ dự liệu được, nghĩa vụ áp dụng, hành vi của các bên liên quan và các quy định của cơ chế giải quyết tranh chấp hoặc cơ quan có thẩm quyền.

Do đó, giá trị đúng của bằng chứng là giúp xác định sự kiện, quá trình thực hiện và mức độ kiểm soát, chứ không phải thay thế cho toàn bộ quá trình đánh giá trách nhiệm.

Một bộ bằng chứng tốt nên tạo thành “chuỗi trách nhiệm”

Hồ sơ có giá trị cao nhất không nên tồn tại như các tài liệu rời rạc. Chúng nên liên kết với nhau thành một chuỗi có thể kiểm tra.

Ví dụ:

Rủi ro được nhận diện → Biện pháp được lựa chọn → Người chịu trách nhiệm được phân công → Biện pháp được triển khai → Hoạt động được ghi nhận → Kiểm tra phát hiện kết quả → Sai lệch được khắc phục → Kết quả khắc phục được xác nhận

Chuỗi này cho phép người đánh giá không chỉ hỏi “có tài liệu hay không” mà còn kiểm tra tính nhất quán giữa các tài liệu.

Nếu chính sách quy định một biện pháp nhưng nhật ký hệ thống không thể hiện việc thực hiện, đó là một dấu hiệu cần xem xét.

Nếu báo cáo đánh giá ghi nhận một lỗ hổng nhưng hồ sơ khắc phục cho thấy đã xử lý trước thời điểm sự cố, thông tin đó có thể có ý nghĩa khác.

Nếu hồ sơ thể hiện một ngoại lệ đã được phê duyệt và có đánh giá rủi ro đi kèm, trách nhiệm cũng cần được xem xét khác với trường hợp cùng một biện pháp bị bỏ qua mà không có phê duyệt hoặc kiểm soát thay thế.

Giá trị của bằng chứng phụ thuộc vào chất lượng, không chỉ số lượng

Có nhiều tài liệu không đồng nghĩa với có bằng chứng mạnh.

Một bộ hồ sơ tốt nên đáp ứng ít nhất các tiêu chí:

Liên quan: Trực tiếp gắn với biện pháp hoặc trách nhiệm đang được xem xét

Có thể truy nguyên: Xác định được nguồn, thời điểm, người hoặc hệ thống tạo ra

Toàn vẹn: Có cơ sở để tin rằng dữ liệu không bị sửa đổi trái phép

Đương thời: Được tạo hoặc ghi nhận gần thời điểm hoạt động thực tế

Đầy đủ: Không chỉ ghi nhận kết quả thuận lợi mà còn thể hiện ngoại lệ, sai lệch hoặc hành động khắc phục khi có

Đúng phạm vi: Phản ánh đúng hệ thống, tài sản, đơn vị và thời kỳ cần đánh giá

Có thể đối chiếu: Có thể kiểm tra chéo với các hồ sơ hoặc dữ liệu liên quan

Một báo cáo kiểm tra nói “đã tuân thủ” nhưng không có dữ liệu hoặc hồ sơ vận hành phía sau thường cung cấp ít thông tin hơn một chuỗi nhật ký, biên bản, kết quả kiểm tra và hồ sơ khắc phục có thể đối chiếu với nhau.

Cách sử dụng bằng chứng để đánh giá trách nhiệm một cách thận trọng

Khi xem xét một sự cố, không nên bắt đầu bằng kết luận “có hồ sơ nên không chịu trách nhiệm” hoặc “có sự cố nên chắc chắn đã vi phạm”.

Cách tiếp cận thận trọng hơn là lần lượt xác định:

1.    Nghĩa vụ hoặc yêu cầu nào đang được xem xét?

2.    Biện pháp kiểm soát tương ứng là gì?

3.    Ai hoặc đơn vị nào chịu trách nhiệm thực hiện?

4.    Bằng chứng nào chứng minh biện pháp đã được triển khai?

5.    Bằng chứng có phản ánh đúng thời điểm trước sự cố không?

6.    Biện pháp có được vận hành đúng phạm vi và điều kiện không?

7.    Có cảnh báo, ngoại lệ hoặc điểm không phù hợp nào đã được biết trước không?

8.    Nếu đã biết, tổ chức đã phản ứng và khắc phục ra sao?

9.    Bằng chứng có thể kiểm chứng độc lập hoặc đối chiếu chéo không?

10.  Sự cố có liên hệ nhân quả hoặc thực tế với điểm thiếu sót đang được xem xét hay không?

Cách tiếp cận này giúp tránh hai sai lầm đối nghịch: coi mọi hồ sơ tuân thủ là “lá chắn trách nhiệm”, hoặc coi mọi sự cố là bằng chứng trực tiếp rằng mọi biện pháp trước đó đều không được thực hiện.

Một hệ thống quản lý an toàn thông tin tốt không chỉ tạo ra các biện pháp bảo vệ mà còn phải tạo ra khả năng chứng minh những gì đã được quyết định, thực hiện, kiểm tra và khắc phục. Vì vậy, bằng chứng tuân thủ an toàn thông tin có giá trị quan trọng khi xác định trách nhiệm vì nó biến câu hỏi từ “tổ chức nói rằng mình đã làm gì?” thành “có thể kiểm chứng tổ chức đã làm gì, vào thời điểm nào, trong phạm vi nào và xử lý thiếu sót ra sao?”.

Tuy nhiên, bằng chứng chỉ là một thành phần của quá trình đánh giá. Sức nặng của nó phụ thuộc vào tính xác thực, toàn vẹn, thời điểm, phạm vi, khả năng đối chiếu và mối liên hệ với nghĩa vụ cụ thể. Một bộ hồ sơ đầy đủ có thể giúp làm rõ trách nhiệm; nó không tự động loại trừ trách nhiệm khi biện pháp không phù hợp, không được thực hiện đầy đủ, đã biết rủi ro nhưng không xử lý, hoặc còn các yếu tố khác phải được xem xét theo quy định áp dụng.