Nội dung thông báo sự cố an toàn thông tin cần có gì?

Thông tin nhận diện sự cố

Phần đầu tiên cần giúp người tiếp nhận xác định chính xác sự cố đang được thông báo. Có thể bao gồm:

·         Tên hoặc mã định danh sự cố

·         Thời điểm phát hiện sự cố

·         Thời điểm sự cố được xác định hoặc bắt đầu xảy ra nếu đã biết

·         Đơn vị, hệ thống hoặc dịch vụ liên quan

·         Người hoặc đơn vị phát hiện và thực hiện thông báo

·         Mức độ hoặc cấp độ sự cố theo cơ chế phân loại đang áp dụng

Thông tin định danh giúp tránh nhầm lẫn khi một đơn vị đồng thời phải xử lý nhiều sự cố và tạo cơ sở để theo dõi các lần cập nhật tiếp theo.

Mô tả sự cố và dấu hiệu phát hiện

Thông báo cần mô tả ngắn gọn nhưng đủ rõ điều gì đã xảy ra và dựa trên dấu hiệu nào để xác định sự cố.

Nội dung có thể nêu:

·         Biểu hiện bất thường được phát hiện

·         Loại sự cố hoặc nhóm sự cố nếu đã xác định

·         Hệ thống, tài khoản, thiết bị, ứng dụng hoặc dịch vụ liên quan

·         Dấu hiệu cho thấy hệ thống có khả năng bị xâm nhập, gián đoạn, mất dữ liệu hoặc bị thay đổi trái phép

·         Trạng thái xác minh: đã xác nhận hay vẫn đang điều tra

Nếu nguyên nhân chưa được xác định, không nên trình bày giả định như một kết luận. Có thể phân biệt rõ giữa thông tin đã xác minh và nhận định đang được điều tra.

Phạm vi và mức độ ảnh hưởng

Đây là phần quan trọng để bên nhận thông báo đánh giá mức độ nghiêm trọng của sự cố.

Cần làm rõ, trong phạm vi thông tin đã xác minh:

·         Hệ thống hoặc tài sản thông tin nào bị ảnh hưởng

·         Đơn vị, người dùng hoặc nhóm dịch vụ nào bị tác động

·         Phạm vi ảnh hưởng đã xác định

·         Dữ liệu hoặc chức năng nào có khả năng bị ảnh hưởng

·         Tính bí mật, toàn vẹn và khả dụng của thông tin có bị tác động hay không

·         Dịch vụ đang hoạt động bình thường, suy giảm hay gián đoạn

·         Có dấu hiệu sự cố đang tiếp tục lan rộng hay không

Nếu chưa thể xác định chính xác phạm vi, thông báo nên ghi rõ phạm vi hiện đã xác minh và phần nào chưa có đủ dữ liệu để kết luận.

Thời gian và diễn biến sự cố

Một mốc thời gian rõ ràng giúp bên tiếp nhận hiểu được quá trình phát triển của sự cố.

Có thể trình bày theo trình tự:

1.    Thời điểm phát hiện dấu hiệu bất thường

2.    Thời điểm xác nhận sự cố

3.    Các diễn biến đáng chú ý sau khi phát hiện

4.    Thời điểm áp dụng biện pháp ứng phó

5.    Tình trạng hiện tại

Đối với sự cố đang diễn biến, cần ghi rõ thời điểm cập nhật để người nhận biết mức độ mới của thông tin.

Biện pháp ứng phó đã thực hiện

Thông báo không chỉ cần cho biết sự cố đang xảy ra mà còn cần thể hiện đơn vị đang làm gì để kiểm soát tình hình.

Có thể nêu:

·         Biện pháp cô lập hoặc hạn chế phạm vi ảnh hưởng

·         Biện pháp bảo vệ hệ thống hoặc tài khoản liên quan

·         Biện pháp khôi phục dịch vụ

·         Biện pháp bảo toàn log, dữ liệu và các dấu vết cần thiết cho điều tra

·         Hoạt động giám sát hoặc xác minh đang thực hiện

·         Tình trạng khắc phục tại thời điểm thông báo

Thông tin này giúp bên nhận đánh giá liệu sự cố đã được kiểm soát hay vẫn đang trong quá trình ứng phó.

Thông tin về dữ liệu và bằng chứng liên quan

Nếu đã có thông tin xác minh, thông báo có thể nêu những dữ liệu hoặc dấu hiệu liên quan đến sự cố, chẳng hạn:

·         Nhật ký hệ thống hoặc sự kiện đáng chú ý

·         Tài khoản, thiết bị hoặc dịch vụ liên quan

·         Thời gian xuất hiện dấu hiệu bất thường

·         Các chỉ dấu kỹ thuật đã được xác minh

·         Tình trạng dữ liệu bị truy cập, thay đổi, mất hoặc không thể sử dụng

Phần này cần được kiểm soát phù hợp với mức độ nhạy cảm của thông tin. Không nên đưa vào thông báo những thông tin có thể làm phát sinh thêm rủi ro nếu bên nhận không cần chúng để xử lý sự cố.

Mức độ và tình trạng xử lý hiện tại

Thông báo nên cho biết sự cố đang ở trạng thái nào. Chẳng hạn:

·         Đang xác minh

·         Đang cô lập

·         Đang khắc phục

·         Đã kiểm soát nhưng tiếp tục giám sát

·         Đã khôi phục dịch vụ

·         Đang đánh giá ảnh hưởng sau sự cố

Nếu mức độ sự cố đã được phân loại theo quy trình nội bộ, cần sử dụng đúng cách phân loại đó để thống nhất trong quá trình phối hợp.

Đầu mối liên hệ và yêu cầu phối hợp

Một thông báo chỉ thực sự hữu ích khi bên nhận biết liên hệ với ai và cần thực hiện hành động gì.

Nên cung cấp:

·         Tên đơn vị hoặc bộ phận phụ trách

·         Đầu mối kỹ thuật hoặc đầu mối xử lý sự cố

·         Kênh liên hệ phù hợp

·         Thời gian có thể liên hệ

·         Yêu cầu hỗ trợ hoặc phối hợp nếu có

·         Thời điểm dự kiến cung cấp bản cập nhật tiếp theo

Nếu sự cố cần phối hợp nhiều đơn vị, phần yêu cầu hành động nên viết rõ để tránh tình trạng thông báo đã được gửi nhưng không xác định được trách nhiệm tiếp theo.

Những thông tin cần cập nhật khi chưa đủ dữ liệu

Không phải ngay khi phát hiện sự cố đã có thể xác định toàn bộ nguyên nhân và phạm vi ảnh hưởng. Trong trường hợp đó, thông báo ban đầu nên tập trung vào thông tin đã xác minh, đồng thời nêu rõ những nội dung đang tiếp tục điều tra.

Có thể phân biệt:

·         Đã xác định: sự kiện, thời gian, hệ thống và ảnh hưởng đã được xác minh

·         Đang xác minh: nguyên nhân, phạm vi hoặc dữ liệu bị ảnh hưởng chưa có kết luận

·         Đã thực hiện: các biện pháp ứng phó đã triển khai

·         Tiếp theo: hoạt động điều tra, khắc phục hoặc cập nhật dự kiến

Cách trình bày này giúp tránh việc một giả thuyết ban đầu bị hiểu nhầm thành kết luận chính thức.

Một nội dung thông báo sự cố an toàn thông tin đầy đủ vì vậy nên bao quát tối thiểu: thông tin nhận diện sự cố, thời gian và diễn biến, mô tả sự cố, phạm vi và mức độ ảnh hưởng, dữ liệu hoặc dấu hiệu liên quan, biện pháp ứng phó, tình trạng hiện tại và đầu mối phối hợp. Khi chưa đủ dữ liệu, cần phân biệt rõ thông tin đã xác minh với nội dung đang điều tra để bảo đảm thông báo chính xác và có giá trị cho quá trình xử lý.