Tiêu chuẩn ISO/IEC 27019:2024 cung cấp các điều khoản và kiểm soát an ninh thông tin dành riêng cho ngành công nghiệp năng lượng, dựa trên ISO/IEC 27002:2022. Tiêu chuẩn này nhằm kiểm soát và giám sát việc sản xuất, truyền tải, lưu trữ và phân phối điện năng, khí đốt, dầu và nhiệt, cũng như kiểm soát các quy trình hỗ trợ liên quan.
Cấu trúc của ISO/IEC 27019:2024 tuân theo bố cục của ISO/IEC 27002:2022, bao gồm các nhóm kiểm soát chính sau:
-
Kiểm soát tổ chức: Bao gồm các chính sách và quy trình quản lý an ninh thông tin trong tổ chức.
-
Kiểm soát con người: Tập trung vào việc quản lý nhân sự, đào tạo và nhận thức về an ninh thông tin.
-
Kiểm soát vật lý: Liên quan đến bảo vệ cơ sở hạ tầng vật lý và môi trường làm việc.
-
Kiểm soát công nghệ: Bao gồm các biện pháp kỹ thuật để bảo vệ hệ thống thông tin và dữ liệu.
Mỗi nhóm kiểm soát này chứa các điều khoản cụ thể nhằm đảm bảo an ninh thông tin trong các hệ thống điều khiển và tự động hóa của ngành năng lượng. Để có danh sách chi tiết các điều khoản và kiểm soát, bạn nên tham khảo trực tiếp tiêu chuẩn ISO/IEC 27019:2024 thông qua các tổ chức tiêu chuẩn quốc gia hoặc các nhà cung cấp tiêu chuẩn uy tín.
Tiêu chuẩn ISO/IEC 27019 có tên đầy đủ là "Công nghệ thông tin - Kỹ thuật bảo mật - Kiểm soát an toàn thông tin cho ngành công nghiệp năng lượng". Phiên bản mới nhất của tiêu chuẩn này được ban hành vào năm 2017.
Tiêu chuẩn ISO/IEC 27019:2017 cung cấp hướng dẫn về quản lý an ninh thông tin cho các hệ thống điều khiển quy trình trong ngành năng lượng, dựa trên ISO/IEC 27002:2013. Tiêu chuẩn này mở rộng các yêu cầu của ISO/IEC 27001:2013 để áp dụng cho công nghệ điều khiển và tự động hóa trong ngành năng lượng.
iso.org
Cấu trúc của ISO/IEC 27019:2017 tuân theo bố cục của ISO/IEC 27002:2013, bao gồm các điều khoản chính sau:
-
Chính sách an ninh thông tin: Thiết lập các chính sách quản lý an ninh thông tin trong tổ chức.
-
Tổ chức an ninh thông tin: Xác định vai trò và trách nhiệm liên quan đến an ninh thông tin.
-
Quản lý tài sản: Quản lý và bảo vệ các tài sản thông tin quan trọng.
-
An ninh nguồn nhân lực: Đảm bảo nhân viên nhận thức và tuân thủ các yêu cầu an ninh thông tin.
-
An ninh vật lý và môi trường: Bảo vệ cơ sở hạ tầng vật lý và môi trường làm việc.
-
Quản lý truyền thông và vận hành: Đảm bảo an ninh trong các hoạt động vận hành và truyền thông.
-
Kiểm soát truy cập: Quản lý quyền truy cập vào thông tin và hệ thống.
-
Mua sắm, phát triển và bảo trì hệ thống thông tin: Đảm bảo an ninh trong quá trình mua sắm, phát triển và bảo trì hệ thống.
-
Quản lý sự cố an ninh thông tin: Thiết lập quy trình xử lý và báo cáo sự cố an ninh thông tin.
-
Quản lý liên tục kinh doanh: Đảm bảo khả năng phục hồi và tiếp tục hoạt động trong trường hợp xảy ra sự cố.
-
Tuân thủ: Đảm bảo tuân thủ các yêu cầu pháp lý, quy định và tiêu chuẩn liên quan đến an ninh thông tin.
Ngoài ra, tiêu chuẩn này cung cấp các hướng dẫn cụ thể cho ngành năng lượng, bao gồm:
-
Quản lý truy cập người dùng: Đăng ký và hủy đăng ký người dùng, cấp quyền truy cập, quản lý quyền truy cập đặc biệt, quản lý thông tin xác thực bí mật, xem xét quyền truy cập và loại bỏ hoặc điều chỉnh quyền truy cập.
-
Trách nhiệm của người dùng: Sử dụng thông tin xác thực bí mật và các biện pháp bảo vệ liên quan.
-
Kiểm soát truy cập hệ thống và ứng dụng: Hạn chế truy cập vào thông tin và các chức năng của hệ thống ứng dụng.
-
Mã hóa: Sử dụng các biện pháp mã hóa để bảo vệ tính bảo mật và toàn vẹn của thông tin.
-
Bảo vệ chống phần mềm độc hại: Phát hiện, phòng ngừa và phục hồi sau các sự cố phần mềm độc hại.
-
Sao lưu: Thực hiện sao lưu thông tin để đảm bảo khả năng phục hồi trong trường hợp mất mát dữ liệu.
-
Quản lý lỗ hổng kỹ thuật: Đánh giá và xử lý các lỗ hổng kỹ thuật trong hệ thống.
Để triển khai hiệu quả ISO/IEC 27019:2024, các tổ chức trong ngành năng lượng nên tích hợp các hướng dẫn này vào Hệ thống Quản lý An ninh Thông tin (ISMS) của họ, đồng thời đảm bảo rằng các biện pháp kiểm soát được điều chỉnh phù hợp với các rủi ro và yêu cầu cụ thể của môi trường điều khiển quy trình.
( Hiện tại idas đã xây dựng hệ thống ISO/IEC 27001:2024 trên nền tảng ISO điện tử -- Hãy liên hệ với idas để nắm được thông tin về tiêu chuẩn và cách thức triển khai áp dụng)
