Kiểm soát truy cập ISO 27001 là tập hợp biện pháp bảo đảm chỉ người, thiết bị và hệ thống được phép mới truy cập được thông tin, với mức quyền vừa đủ cho công việc. Trong ISO/IEC 27001:2022, nhóm biện pháp này nằm ở chủ đề Tổ chức (5.15 đến 5.18) và chủ đề Công nghệ (8.2 đến 8.5). Đây là nhóm đánh giá viên gần như luôn lấy mẫu, vì bằng chứng dễ kiểm chứng trực tiếp trên hệ thống.
Tóm tắt
- Nguyên tắc: cần biết, quyền tối thiểu, tách biệt nhiệm vụ.
- Vòng đời định danh và quyền: cấp, thay đổi, rà soát định kỳ, thu hồi.
- Quyền đặc quyền (quản trị) và xác thực cần kiểm soát chặt hơn, mức độ dựa trên đánh giá rủi ro.
Các biện pháp liên quan trong Annex A
| Mã | Biện pháp | Ý chính |
|---|---|---|
| 5.15 | Kiểm soát truy cập | Quy tắc truy cập vật lý và logic dựa trên yêu cầu kinh doanh và an toàn thông tin |
| 5.16 | Quản lý định danh | Quản lý toàn bộ vòng đời định danh của người và hệ thống |
| 5.17 | Thông tin xác thực | Cấp phát, quản lý mật khẩu, khóa, mã; hướng dẫn người dùng giữ bí mật |
| 5.18 | Quyền truy cập | Cấp, rà soát, điều chỉnh, thu hồi quyền theo chính sách |
| 8.2 | Quyền truy cập đặc quyền | Hạn chế và quản lý việc cấp, sử dụng quyền quản trị |
| 8.3 | Hạn chế truy cập thông tin | Giới hạn truy cập thông tin và tài sản theo chính sách |
| 8.4 | Truy cập mã nguồn | Quản lý quyền đọc, ghi mã nguồn, công cụ phát triển, thư viện |
| 8.5 | Xác thực an toàn | Công nghệ và thủ tục xác thực phù hợp mức hạn chế truy cập |
Các biện pháp liên quan khác: 5.3 (tách biệt nhiệm vụ), 6.5 (trách nhiệm sau khi chấm dứt hoặc thay đổi công việc), 8.15 (ghi nhật ký). Hướng dẫn chi tiết cho từng biện pháp nằm trong ISO/IEC 27002:2022.
Nguyên tắc nền tảng
- Cần biết (need-to-know): chỉ truy cập thông tin cần cho nhiệm vụ.
- Quyền tối thiểu (least privilege): cấp mức quyền thấp nhất đủ để làm việc, mở rộng khi có yêu cầu được phê duyệt.
- Tách biệt nhiệm vụ: một người không nắm trọn quy trình nhạy cảm, ví dụ người tạo nhà cung cấp mới trên phần mềm kế toán không đồng thời duyệt thanh toán.
Cách làm phổ biến là phân quyền theo vai trò: định nghĩa nhóm quyền cho từng chức danh, rồi gán người vào vai trò. Cách này giúp rà soát nhanh hơn so với phân quyền lẻ cho từng cá nhân.
Vòng đời định danh và quyền truy cập (5.16, 5.18)
- Vào làm: yêu cầu quyền theo vai trò, có người phê duyệt; mỗi người một tài khoản định danh riêng.
- Chuyển vị trí: thu hồi quyền cũ trước hoặc cùng lúc cấp quyền mới, tránh tích lũy quyền.
- Rà soát định kỳ: chủ sở hữu hệ thống hoặc trưởng bộ phận xác nhận danh sách quyền; tài khoản đặc quyền rà soát dày hơn.
- Nghỉ việc, kết thúc hợp đồng: vô hiệu hóa tài khoản kịp thời trên mọi hệ thống, kể cả dịch vụ đám mây và truy cập từ xa.
Điểm yếu thường nằm ở khâu kết nối giữa nhân sự và CNTT. Nếu phòng nhân sự không có thủ tục báo nghỉ việc cho bộ phận quản trị hệ thống, tài khoản tồn đọng gần như chắc chắn xuất hiện.
Thông tin xác thực và xác thực an toàn (5.17, 8.5)
Biện pháp 5.17 bao quát việc cấp mật khẩu ban đầu an toàn, buộc đổi khi đăng nhập lần đầu, đổi mật khẩu mặc định của thiết bị, không chia sẻ thông tin xác thực. Biện pháp 8.5 yêu cầu công nghệ xác thực tương xứng với mức nhạy cảm. Với truy cập từ xa, email, hệ thống quan trọng và tài khoản quản trị, xác thực đa yếu tố là lựa chọn thường thấy, nhưng quyết định phải xuất phát từ đánh giá rủi ro an toàn thông tin, không phải từ danh sách mặc định.
Quyền đặc quyền (8.2)
- Tài khoản quản trị tách riêng khỏi tài khoản dùng hằng ngày.
- Danh sách người có quyền quản trị được phê duyệt và rà soát.
- Hoạt động quản trị được ghi nhật ký (8.15) và nhật ký được bảo vệ khỏi chỉnh sửa bởi chính người quản trị.
- Tài khoản dịch vụ, tài khoản kỹ thuật có chủ sở hữu rõ ràng.
Ví dụ minh hoạ: rà soát quyền theo quý
Ví dụ minh hoạ tại một công ty logistics 120 người dùng phần mềm quản lý kho, email đám mây và VPN. Mỗi quý, quản trị hệ thống xuất danh sách tài khoản từng hệ thống, gửi trưởng bộ phận xác nhận. Trưởng bộ phận đánh dấu “giữ”, “giảm quyền” hoặc “thu hồi”, ký và gửi lại. Quản trị hệ thống thực hiện thay đổi và lưu bằng chứng. Hồ sơ này chứng minh được 5.18; nếu thiếu bước thực hiện thay đổi sau rà soát, rà soát chỉ còn là thủ tục.
Đánh giá viên kiểm tra gì?
Đánh giá viên thường kết hợp xem tài liệu, phỏng vấn và kiểm tra trực tiếp trên hệ thống. Một cách lấy mẫu phổ biến: chọn vài người nghỉ việc trong kỳ, đối chiếu ngày nghỉ với ngày vô hiệu hóa tài khoản trên email, VPN và phần mềm nghiệp vụ.
- Chính sách kiểm soát truy cập (chính sách theo chủ đề) được phê duyệt và phổ biến.
- Hồ sơ phê duyệt cấp quyền cho nhân sự mới được lấy mẫu.
- Biên bản rà soát quyền gần nhất và bằng chứng xử lý sau rà soát.
- Danh sách tài khoản đặc quyền, cách phê duyệt và giám sát.
- Cấu hình xác thực trên các hệ thống trong phạm vi, nhất quán với SoA.
Điểm không phù hợp thường gặp: tài khoản người đã nghỉ việc vẫn hoạt động; tài khoản quản trị dùng chung không truy được người thực hiện; SoA ghi đã áp dụng xác thực đa yếu tố nhưng hệ thống thực tế chưa bật; rà soát quyền có biên bản nhưng không có hành động sau rà soát.
Xem thêm: 93 biện pháp Annex A ISO/IEC 27001:2022, ISO 27001 bản 2022 có gì mới. Trong đánh giá chứng nhận ISO 27001 của DAS, đánh giá viên lấy mẫu tài khoản, quyền truy cập và nhật ký để xác minh các biện pháp này.
Câu hỏi thường gặp
Xác thực đa yếu tố có bắt buộc theo ISO 27001 không?
Tiêu chuẩn không ghi bắt buộc một công nghệ cụ thể. Biện pháp 8.5 yêu cầu xác thực an toàn tương xứng với rủi ro. Nếu đánh giá rủi ro cho thấy truy cập từ xa hoặc tài khoản quản trị có rủi ro cao mà chỉ dùng mật khẩu, đánh giá viên sẽ hỏi lý do.
Có được dùng tài khoản dùng chung không?
Biện pháp 5.16 hướng đến định danh riêng để truy được trách nhiệm. Tài khoản dùng chung chỉ nên tồn tại khi có lý do nghiệp vụ, được phê duyệt, có người chịu trách nhiệm và có biện pháp bù đắp như ghi nhật ký người mượn.
Rà soát quyền truy cập bao lâu một lần?
Tiêu chuẩn không ấn định tần suất. Tổ chức tự xác định trong chính sách, thường dày hơn với tài khoản đặc quyền và hệ thống chứa dữ liệu nhạy cảm, rồi phải thực hiện đúng như đã đặt ra.
Nhà cung cấp truy cập từ xa thì kiểm soát thế nào?
Tài khoản của nhà cung cấp cũng phải theo vòng đời như tài khoản nội bộ: định danh riêng, quyền giới hạn, có thời hạn, ghi nhật ký và thu hồi khi kết thúc công việc. Yêu cầu này cần được đưa vào thỏa thuận với nhà cung cấp.
Nguồn tham khảo
- ISO/IEC 27001:2022: Annex A, biện pháp 5.15 đến 5.18 và 8.2 đến 8.5.
- ISO/IEC 27002:2022: hướng dẫn chi tiết cách thực hiện các biện pháp kiểm soát truy cập.
Bài viết cung cấp thông tin chung về yêu cầu tiêu chuẩn. Là tổ chức chứng nhận, DAS không tư vấn xây dựng hệ thống cho doanh nghiệp mà DAS đánh giá.
Biên soạn và rà soát
Chuyên gia đánh giá DAS Việt Nam Bài viết do đội ngũ chuyên gia đánh giá trưởng của DAS Việt Nam biên soạn và rà soát, dựa trên kinh nghiệm đánh giá chứng nhận thực tế tại doanh nghiệp.