Chuyên gia ManageEngine tại Vietnam dựa trên khung NIST, CisControl, ISO 27001:2002 và Nghị Định 13/NĐ-CP về bảo vệ dữ liệu cá nhân đưa ra khuyến cáo nhằm đáp ứng tuân thủ Công văn số 379/QĐ-UBCK tháng 6.2021 về tiêu chuẩn cơ sở kỹ thuật hệ thống CNTT trong hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến trên thị trường chứng khoán.
1. Quản lý tài sản và kiểm soát truy cập
1. Quản lý tài sản và kiểm soát truy cập
a. Căn cứ theo CIS Controls v8 (Control 01 & 06):
Yêu cầu mới: Phải thực hiện kiểm kê tất cả các tài sản CNTT, bao gồm cả phần cứng, phần mềm, và tài sản đám mây.
- Bổ sung quy định: Mọi tài sản phải được đăng ký và quản lý trong hệ thống quản lý tài sản tập trung.
Kiểm soát truy cập:
- Áp dụng nguyên tắc least privilege để đảm bảo rằng chỉ những người dùng được ủy quyền mới có thể truy cập vào các dữ liệu hoặc hệ thống quan trọng.
- Yêu cầu triển khai Multi-Factor Authentication (MFA) trên toàn bộ hệ thống.
b. Căn cứ theo ISO/IEC 27001:2022 (Điều 5 & 9):
- Quy định: Thực hiện đánh giá rủi ro định kỳ và đảm bảo các biện pháp kiểm soát được cập nhật phù hợp với bối cảnh thay đổi.
2. Bảo vệ dữ liệu
2. Bảo vệ dữ liệu
a. Căn cứ theo CIS Controls v8 (Control 03):
Bổ sung yêu cầu:
- Mã hóa dữ liệu khi lưu trữ (at rest) và truyền tải (in transit).
- Đặt thời gian lưu trữ log ít nhất 6 tháng và bảo vệ nhật ký khỏi truy cập trái phép.
b. Theo NIST SP 800-207 và Zero Trust:
- Áp dụng Zero Trust để bảo vệ dữ liệu. Mọi truy cập phải được xác thực và đánh giá theo thời gian thực dựa trên ngữ cảnh (context-aware access).
c. Theo Nghị định 13/NĐ-CP:
- Đảm bảo tuân thủ yêu cầu bảo vệ dữ liệu cá nhân, bao gồm việc xin phép khi xử lý và truyền tải dữ liệu người dùng.
3. Kiến trúc bảo mật không tin cậy (Zero Trust Architecture - ZTA)
3. Kiến trúc bảo mật không tin cậy (Zero Trust Architecture - ZTA)
a. Căn cứ theo NIST SP 800-207 và ZTMM v2 (2023):
Bổ sung chiến lược:
- Triển khai xác thực liên tục (Continuous Authentication) để đảm bảo trạng thái bảo mật của người dùng và thiết bị trước khi truy cập.
- Phân đoạn mạng (Micro-Segmentation) để cô lập các thành phần quan trọng và giảm thiểu nguy cơ lây lan khi bị tấn công.
Cập nhật yêu cầu:
- Xây dựng chính sách xác thực và ủy quyền động (dynamic policy) dựa trên rủi ro thời gian thực.
4. Quản lý sự cố và khôi phục dữ liệu
4. Quản lý sự cố và khôi phục dữ liệu
a. Căn cứ theo CIS Controls v8 (Control 17):
Yêu cầu mới:
- Cần có kế hoạch phản ứng sự cố (IRP) chi tiết bao gồm phát hiện, ứng phó, và báo cáo.
- Hệ thống sao lưu dữ liệu phải được kiểm tra định kỳ và đáp ứng tiêu chuẩn ISO/IEC 27001.
b. Theo Zero Trust Maturity Model:
- Tích hợp công cụ SIEM (ví dụ: ManageEngine Log360) để theo dõi và phản ứng nhanh với các sự kiện bất thường.
5. Đào tạo và nhận thức an ninh mạng
5. Đào tạo và nhận thức an ninh mạng
a. Căn cứ theo CIS Controls v8 (Control 14):
Bổ sung:
- Tổ chức đào tạo định kỳ về nhận thức an ninh mạng và thực hành an toàn thông tin cho tất cả nhân viên.
- Thực hiện các kịch bản tấn công giả định (phishing simulation) để nâng cao kỹ năng phản ứng.
6. Công nghệ bảo vệ hệ thống
6. Công nghệ bảo vệ hệ thống
a. Căn cứ theo ZTMM và NIST SP 800-207:
- Triển khai Endpoint Detection and Response (EDR) để bảo vệ thiết bị đầu cuối.
- Yêu cầu sử dụng công cụ phát hiện và phòng chống mã độc (Anti-Malware).
7. Đo lường và báo cáo
7. Đo lường và báo cáo
a. Căn cứ theo CIS Controls v8 và Zero Trust Maturity Model:
Xây dựng hệ thống đo lường hiệu quả bảo mật như:
- Thời gian phát hiện mối đe dọa (MTTD).
- Thời gian phản ứng và khôi phục (MTTR).
Báo cáo định kỳ về tình trạng tuân thủ các tiêu chuẩn bảo mật.
ManageEngine cùng i3 JSC dựa trên kinh nghiệm thực tiễn thống nhất cung cấp đến thị trường tại Vietnam gói Cyber Security như dưới đây:
I. ManageEngine Log360
- Mô tả: Giải pháp giám sát, phân tích nhật ký log tập trung và quản trị tuân thủ mạnh mẽ, kết hợp với SIEM (Security Information and Event Management), giúp phát hiện và phản ứng kịp thời với các hành vi bất thường, chỉ ra các lỗ hoặc các cuộc tấn công bảo mật.
- Tính năng nổi bật:
- Quản lý nhật ký tập trung từ nhiều nguồn (Windows, mạng, thiết bị,...).
- Phân tích bảo mật chuyên sâu, phát hiện mối đe dọa theo thời gian thực.
- Tuân thủ các tiêu chuẩn như GDPR, HIPAA, ISO 27001:2022 (mới thêm, trong khi duy trì ISO 27001:2013 theo tiêu chuẩn tuân thủ riêng)
- Tóm tắt lợi ích đến khách hàng: Giúp doanh nghiệp nhanh chóng phát hiện và phản ứng trước các sự cố an ninh. Việc trải nghiệm dùng thử sẽ trợ giúp đánh giá khả năng tích hợp vào hệ thống hiện tại.
II. ManageEngine AD360
- Mô tả: Giải pháp Quản trị Danh tính và quyền Truy cập (IAM - Identity and Access Management) toàn diện, giúp kiểm soát và bảo mật việc truy cập vào hệ thống mạng của tổ chức.
- Tính năng nổi bật:
- Tự động hóa quản lý người dùng trên Active Directory.
- Bảo vệ tài khoản với đa yếu tố xác thực (MFA).
- Quản lý chính sách mật khẩu, theo dõi hoạt động đăng nhập.
- Tóm tắt lợi ích đến khách hàng: Hỗ trợ quản lý danh tính dễ dàng và bảo vệ các tài khoản nhạy cảm, rất phù hợp cho các doanh nghiệp đang tìm kiếm giải pháp IAM.
III. ManageEngine Vulnerability Manager Plus
- Mô tả: Công cụ quét lỗ hổng bảo mật, giúp phát hiện các lỗ hổng trong hệ thống và cung cấp giải pháp vá lỗi.
- Tính năng nổi bật:
- Quét và phát hiện lỗ hổng bảo mật trên toàn mạng.
- Tự động hóa các bản vá lỗi, giảm thiểu rủi ro từ các lỗ hổng.
- Báo cáo chi tiết về tình trạng bảo mật của mạng.
- Lợi ích với khách hàng: Doanh nghiệp có thể kiểm tra và xác định các lỗ hổng trước khi chúng trở thành mối đe dọa thực tế, giúp giảm thiểu nguy cơ bị tấn công.
IV. ManageEngine Endpoint Central:
Giải pháp quản lý điểm cuối hợp nhất, giúp các doanh nghiệp quản lý và bảo mật các thiết bị đầu cuối của mình một cách hiệu quả với các tính năng như sau:
1. Quản lý cấu hình (Configuration Management)
- Triển khai Cấu hình Hệ thống: Tự động thiết lập cấu hình cho các hệ điều hành, bao gồm cài đặt mạng, máy in, và các thiết lập người dùng.
- Chính sách Bảo mật: Áp dụng các chính sách bảo mật như cài đặt tường lửa, thiết lập mật khẩu, và cài đặt chính sách cho các trình duyệt web.
- Tự động hóa Kịch bản (Scripts): Triển khai các kịch bản PowerShell, VBScript, Batch, hoặc Shell để tự động hóa các tác vụ quản lý.
2. Quản lý bản vá (Patch Management)
- Quét và Phát hiện Bản vá: Tự động quét các điểm cuối để phát hiện các bản vá lỗi cần thiết cho hệ điều hành và ứng dụng bên thứ ba.
- Triển khai Bản vá: Lên lịch và tự động triển khai các bản vá để đảm bảo tất cả các hệ thống luôn được cập nhật và an toàn.
- Báo cáo Bản vá: Cung cấp các báo cáo chi tiết về tình trạng bản vá, bao gồm các bản vá đã được triển khai và những bản vá còn thiếu.
3. Triển khai Phần mềm (Software Deployment)
- Tự động Triển khai Phần mềm: Hỗ trợ triển khai hàng loạt phần mềm đến nhiều máy tính cùng lúc.
- Gỡ bỏ Phần mềm: Quản lý việc gỡ bỏ phần mềm không cần thiết hoặc không được phép trên các thiết bị.
- Hỗ trợ Đa nền tảng: Hỗ trợ triển khai phần mềm cho Windows, macOS, và Linux.
4. Quản lý Tài sản CNTT (IT Asset Management)
- Theo dõi Phần cứng và Phần mềm: Quản lý thông tin chi tiết về phần cứng và phần mềm được cài đặt trên mỗi thiết bị.
- Quản lý Vòng đời Tài sản: Theo dõi toàn bộ vòng đời của tài sản từ khi mua sắm, triển khai, sử dụng, cho đến khi thải bỏ.
- Kiểm tra Giấy phép Phần mềm: Quản lý và theo dõi giấy phép phần mềm để đảm bảo tuân thủ và tránh phí phạm.
5. Quản lý Thiết bị Di động (Mobile Device Management - MDM)
- Cấu hình và Chính sách Bảo mật: Thiết lập và triển khai các chính sách bảo mật trên thiết bị di động.
- Quản lý Ứng dụng Di động: Triển khai và quản lý các ứng dụng trên thiết bị di động.
- Theo dõi và Định vị Thiết bị: Theo dõi vị trí và tình trạng của thiết bị di động.
6. Quản lý Năng lượng (Power Management)
- Lên lịch Bật/Tắt: Tối ưu hóa việc tiêu thụ năng lượng bằng cách lên lịch bật/tắt các thiết bị.
- Báo cáo Tiết kiệm Năng lượng: Cung cấp báo cáo chi tiết về việc tiết kiệm năng lượng và hiệu quả sử dụng điện.
7. Kiểm tra Từ xa và Sửa chữa (Remote Control and Troubleshooting)
- Điều khiển Từ xa: Cho phép quản trị viên điều khiển máy tính từ xa để hỗ trợ kỹ thuật.
- Chẩn đoán Từ xa: Chẩn đoán và khắc phục sự cố từ xa mà không cần có mặt trực tiếp.
8. Quản lý USB và Thiết bị Ngoại vi (USB Device Management)
- Kiểm soát Thiết bị USB: Ngăn chặn hoặc cho phép sử dụng các thiết bị USB dựa trên chính sách.
- Giám sát Thiết bị Ngoại vi: Theo dõi và kiểm soát việc sử dụng các thiết bị ngoại vi để bảo vệ dữ liệu.
9. Bảo mật Điểm cuối (Endpoint Security)
- Quản lý Antivirus: Triển khai và quản lý các giải pháp chống virus trên các điểm cuối.
- Quản lý Chính sách Bảo mật: Thiết lập và giám sát các chính sách bảo mật để bảo vệ điểm cuối khỏi các mối đe dọa.
10. Báo cáo và Phân tích (Reporting and Analytics)
- Báo cáo Tùy chỉnh: Tạo các báo cáo tùy chỉnh về nhiều khía cạnh khác nhau của quản lý điểm cuối.
- Phân tích Dữ liệu: Sử dụng phân tích dữ liệu để phát hiện các xu hướng và vấn đề tiềm ẩn.
- Dashboard Trực quan: Cung cấp các bảng điều khiển trực quan để quản lý hiệu quả và ra quyết định nhanh chóng.
V. ManageEngine DataSecurity Plus
- Mô tả: Giải pháp giám sát và bảo vệ dữ liệu nhạy cảm. Giúp phát hiện truy cập bất thường và bảo vệ dữ liệu khỏi bị lộ.
- Tính năng nổi bật:
- Giám sát truy cập file và thư mục.
- Phát hiện hoạt động bất thường trong thời gian thực.
- Tuân thủ các tiêu chuẩn bảo mật dữ liệu.
- Lợi ích với khách hàng: Doanh nghiệp có thể bảo vệ các tệp nhạy cảm và giám sát ai đang truy cập vào chúng, đảm bảo an ninh dữ liệu tối đa.
VI. ManageEngine Firewall Analyzer
- Mô tả: Công cụ phân tích và quản lý tường lửa, giúp tối ưu hóa bảo mật mạng.
- Tính năng nổi bật:
- Phân tích lưu lượng mạng qua tường lửa.
- Báo cáo các chính sách tường lửa.
- Phát hiện các mối đe dọa tiềm ẩn trong lưu lượng mạng.
- Lợi ích với khách hàng: Quản lý và tối ưu hóa cấu hình tường lửa, đảm bảo mạng được bảo vệ hiệu quả khỏi các cuộc tấn công.
Cách thức tạo hứng thú cho PoC:
- Trải nghiệm dùng thử 60 ngày: Giúp khách hàng có cái nhìn trực tiếp về khả năng triển khai và hiệu quả của các giải pháp trong môi trường của họ.
- Tư vấn chuyên sâu từ phía ManageEngine: Cung cấp hỗ trợ kỹ thuật, tư vấn tối ưu hoá cấu hình, và giải thích các tính năng, giúp khách hàng cảm thấy tự tin hơn khi quyết định triển khai PoC.
- Báo cáo kết quả đánh giá: Sau 60 ngày, doanh nghiệp có thể tạo ra các báo cáo đánh giá hệ thống, phân tích hiệu quả và hiệu suất của các giải pháp để đưa ra quyết định cuối cùng.
Việc triển khai và đánh giá PoC bộ Giải pháp ManageEngine Cyber Security, chúng tôi mong muốn trợ giúp doanh nghiệp, đặc biệt là các Công ty Chứng khoán đảm bảo an ninh toàn diện từ Quản trị Danh tính, Bảo mật Mạng đến Bảo vệ Dữ liệu nhằm tuân thủ công văn 454/CATTT-ATHTTT, Nghị định số 85/2016/NĐ-CP của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ, cũng như Công văn 2677/CATTT-NCSC Cục ATTT tháng 12.2024 về báo cáo định kỳ hoạt động giám sát an toàn thông tin mạng từ các Công ty Chứng khoán.
