Quản trị an ninh mạng

ISO 27001 là tiêu chuẩn quốc tế mô tả các thông lệ tốt nhất cho Hệ thống quản lý an ninh thông tin (ISMS).

Đạt được chứng nhận ISO 27001 cho thấy tập đoàn chúng tôi đang tuân thủ các thông lệ tốt nhất về bảo mật thông tin và có thể cung cấp xác minh độc lập của chuyên gia rằng hoạt động quản lý bảo mật thông tin của chúng tôi phù hợp với thông lệ tốt nhất trên thế giới và các mục tiêu kinh doanh.
Hoạt động quản trị an ninh mạng cho Siemens được chứng nhận đạt ISO 27001 kể từ tháng 11/2017.
Chúng tôi đã được chứng nhận đạt tiêu chuẩn mới ISO 27001:2022 kể từ tháng 11/2023.

• Tải về giấy chứng nhận
• Tìm hiểu thêm về các Chứng chỉ hệ thống

Chúng tôi luôn nỗ lực xây dựng Bộ phận an ninh mạng linh hoạt, dựa trên dữ liệu với kiến trúc mạnh mẽ nhằm bảo vệ Siemens.

Để thực hiện điều này, chúng tôi đang triển khai Chiến lược an ninh mạng của mình trong dự án và sử dụng dịch vụ Kiến trúc doanh nghiệp mới được tạo ra để lập sơ đồ các mục tiêu chiến lược của mình thành một kiến trúc mục tiêu nhằm hướng dẫn tất cả nhân sự của Bộ phận an ninh mạng khi triển khai chiến lược.

Các mục tiêu chính của dự án là: Hợp lý hóa việc sử dụng tài nguyên thông qua các biện pháp tự động hóa và hiệu quả, tăng cường mực độ nhận diện và tính minh bạch về các rủi ro an ninh mạng trong toàn Tập đoàn Siemens và tận dụng việc ra quyết định dựa trên dữ liệu nhằm tăng cường giảm thiểu rủi ro một cách tích cực và chủ động.

Dự án của chúng tôi được cấu trúc theo năm luồng công việc:

• Khái niệm & quy trình:

  Mục tiêu của chúng tôi là mô tả và duy trì quy trình kiến trúc trong Bộ phận an ninh mạng của Siemens, đảm bảo quy trình được tích hợp đầy đủ thông tin về chiến lược và danh mục đầu tư của Tập đoàn, đồng thời mô tả nền tảng của kiến trúc an ninh mạng dựa trên dữ liệu, bao gồm khả năng, ứng dụng, đầu vào, đầu ra và yếu tố phụ thuộc.

• Quản trị:

  Chúng tôi đặt mục tiêu tìm hiểu cách kết hợp dữ liệu an ninh mạng nhằm xác định và đánh giá rủi ro an ninh mạng tự động, hỗ trợ quá trình ra quyết định để giảm thiểu và tăng cường tuân thủ chính sách.

• Nhận thức về tình hình:

  Mục tiêu của chúng tôi là dẫn dắt và trở thành tiếng nói của dự án EA, thu thập thông tin về kỳ vọng của người dùng và nâng cao khả năng ứng phó rủi ro toàn diện nhằm tăng cường hoạt động hàng ngày của người dùng cuối.

• Thông tin bảo mật:

  Chúng tôi đặt mục tiêu xây dựng điểm quyết định dựa trên dữ liệu và sự hỗ trợ của AI nhằm thúc đẩy khả năng tự động xác định và giảm thiểu rủi ro an ninh mạng của Siemens bằng cách tạo điều kiện thuận lợi cho việc ra quyết định.

• Dữ liệu:

  Dữ liệu từ Workstream sẽ giúp Bộ phận an ninh mạnh áp dụng phương pháp tiếp cận dựa trên dữ liệu thông qua việc thiết lập tính minh bạch của dữ liệu, ngăn chặn sự trùng lặp dữ liệu và hướng dẫn cho đội ngũ nhân sự về chiến lược dữ liệu của họ.

Khung chính sách an ninh mạng được áp dụng cho Siemens và các công ty liên kết. Đặc biệt, khung này gồm những yêu cầu về an ninh mạng được đặt ra trong các chính sách, tiêu chuẩn và cơ sở cụ thể.

Tất cả các chính sách đều dựa trên những tiêu chuẩn ngành có liên quan như ISO 2700x hoặc IEC 62443. Nhằm đảm bảo tuân thủ những tiêu chuẩn quan trọng khác, Siemens cũng kiểm soát chặt chẽ việc tham chiếu những tiêu chuẩn này. Danh sách các tiêu chuẩn liên quan bao gồm NIST 800-53, Hướng dẫn về CNTT-TT và kiểm soát rủi ro bảo mật từ EBA, v.v.

Các sản phẩm, giải pháp và dịch vụ của Siemens gồm rất nhiều phần mềm và các yếu tố liên quan đến CNTT sẽ được sử dụng các cơ sở hạ tầng quan trọng trong nhiều trường hợp và có thể tiếp xúc nhiều hơn với các mối đe dọa mạng. Các yêu cầu về quy định và bảo mật cụ thể của khách hàng ngày càng tăng và cần được Siemen giải quyết.

Để duy trì tính cạnh tranh và đáng tin cậy, Sáng kiến PSS được xây dựng và áp dụng trong toàn Siemens nhằm đảm bảo các sản phẩm, giải pháp và dịch vụ của chúng tôi cho phép khách hàng vận hành cơ sở của mình trong một môi trường an toàn.

Vì mục đích này, những yêu cầu ràng buộc đối với PSS và các khuyến nghị để triển khai sáng kiến đã được đưa ra. Cải tiến và rút kinh nghiệm liên tục là điều kiện tiên quyết cơ bản để thực hiện thành công sáng kiến.

Điều quan trọng sống còn là tạo ra nhận thức và hiểu biết chung cho tất cả nhân viên về các khía cạnh cơ bản của an ninh mạng và thực hiện tập huấn với nội dung cụ thể dành riêng cho các nhân sự liên quan đến an ninh mạng. Nhằm đáp ứng mong đợi của khách hàng về công nghệ và tính bảo mật trong các sản phẩm, giải pháp và dịch vụ hiện đại với chất lượng đảm bảo từ Siemens thông qua việc liên tục nâng cao nhận thức về an ninh mạng trong công ty và cho phép nhân viên xem xét vấn đề an ninh mạng trong tất cả các bước, hoạt động và quy trình của toàn bộ chuỗi giá trị, chúng tôi đã tạo ra một số hoạt động. Ví dụ:

• Một chiến dịch nâng cao nhận thức toàn cầu bắt buộc với mục tiêu cung cấp cho tất cả nhân viên thông tin liên quan đến các chủ đề an ninh mạng chung và quan trọng. Trong chiến dịch này, sẽ có các buổi đào tạo trực tuyến, không có rào cản và đa ngôn ngữ. Ngoài ra, chúng tôi sẽ tổ chức khóa đào tạo “Chuyên sâu” dành cho những nhân viên được xếp nhóm theo vai trò cụ thể. Đây là khóa tập huấn bắt buộc, cho phép họ áp dụng tất cả các hướng dẫn bảo mật CNTT/CNVH của Siemens. Sau khi hoàn thành xong khóa tập huấn, các nhân viên tham gia sẽ nhận được chứng chỉ có giá trị trong hai năm.
• Chúng tôi cũng triển khai một số khóa đào tạo và cơ hội học tập được cập nhật liên tục cho tất cả nhân viên của Siemens. Nhân viên có thể tham gia các khóa đào tạo này trên tinh thần tự nguyện. Nội dung đào tạo không chỉ gồm kiến thức cơ bản mà còn có nhiều thông tin chuyên sâu cho các lĩnh vực đặc thù cụ thể như Bảo mật sản phẩm và giải pháp.
• Chúng tôi tin rằng học tập liên tục là chìa khóa để thành công và vì vậy chúng tôi liên tục tìm kiếm những phương pháp mới để đào tạo và cập nhật kiến thức cho nhân viên của mình.

Luôn duy trì một cái nhìn tổng quan: Để đạt được điều này, chúng tôi xây dựng một nền tảng an ninh mạng nội bộ, gọi là "CyberMart" có chức năng cung cấp một cái nhìn toàn diện về dữ liệu và quy trình an ninh mạng tại Siemens.

CyberMart cho phép đưa ra các quyết định kinh doanh sáng suốt và có mục tiêu bằng cách tạo

• nền tảng cho các ứng dụng an toàn xử lý thông tin liên quan đến an ninh mạng,
• kho dữ liệu an toàn cho dữ liệu liên quan đến an ninh mạng, cũng như
• báo cáo đáo hạn và tình trạng về các quy trình bảo mật (ví dụ: bảo vệ tài sản, xử lý ngoại lệ).

Một phần của nền tảng này là bảng thông tin an ninh mạng cung cấp thông tin tổng quan về tình hình hoạt động an ninh mạng cũng như các điểm dữ liệu chiến lược. Thông tin này là cơ sở để báo cáo quản lý nội bộ thường xuyên cho Ban quản lý và Ban giám sát của Siemens.

Mục tiêu chính của Bộ phận kiểm soát rủi ro an ninh mạng nằm trong Ban kiểm soát rủi ro doanh nghiệp (ERM) của Siemens là cho phép Siemens đạt được sự minh bạch về các rủi ro an ninh mạng của mình và kiểm soát chặt chẽ các rủi ro này ở mức chấp nhận được.
Khung quản lý rủi ro an ninh mạng của Siemens được xây dựng dựa trên tiêu chuẩn quốc tế (ISO/IEC 27005 và ISF IRAM2), xem xét tất cả các cấp độ, từ hoạt động đến doanh nghiệp, đồng thời áp dụng những quy trình và vai trò đã được xây dựng cho ERM.
Các rủi ro an ninh mạng được báo cáo và kiểm soát ở cấp cao nhất là ERM sẽ được xác định trong các quy trình sau bằng các công cụ kiểm soát tương ứng:

• Quy trình kiểm soát rủi ro an ninh mạng tổng thể
• Quy trình phân loại và bảo vệ tài sản cho tài sản CNTT và tài liệu & thông tin
• tinPhân tích mối đe dọa và rủi ro cho các sản phẩm, giải pháp và dịch vụ
• Quy trình xử lý ngoại lệ đối với các sai lệch tạm thời so với khung an ninh mạng của Siemens
• Kiểm soát rủi ro của nhà cung cấp an ninh mạng

mạngQuản lý rủi ro của nhà cung cấp an ninh mạng:

Các rủi ro an ninh mạng cần được kiểm soát dọc theo toàn bộ chuỗi cung ứng. Siemens luôn xem xét chủ đề này một cách toàn diện, bao gồm những vấn đề về CNTT, CNVH và PSS để mua sắm các bộ phận, sản phẩm và dịch vụ ngang và dọc. Vì lý do này, các hoạt động chính để cải thiện mức độ an ninh mạng dọc theo chuỗi cung ứng bao gồm:

• Tính minh bạch về rủi ro an ninh mạng dọc theo chuỗi cung ứng
• Thông lệ kiểm soát rủi ro có hệ thống với sự hỗ trợ của phương pháp đánh giá nhà cung cấp bên thứ ba, các công cụ và biểu mẫu tương ứng liên quan đến yêu cầu an ninh mạng theo hợp đồng đối với nhà cung cấp
• Tham gia tích cực vào Liên minh các công ty an ninh mạng nhằm thúc đẩy nguyên tắc thứ 2: “Trách nhiệm trong suốt chuỗi cung ứng số” cũng như các cộng đồng chuyên gia khác nhau
• Những khóa đào tạo và chiến dịch nâng cao nhận thức thường xuyên cho các nhóm mục tiêu và trường hợp khác nhau

Sự cố an ninh thông tin là gì?

Sự cố an ninh thông tin được định nghĩa là: Sự xâm phạm trực tiếp hoặc gián tiếp về tính bảo mật, tính toàn và/hoặc tính khả dụng của thông tin theo phân loại thông tin (dựa trên ISO27001 và NIST 800-61 rev2). Các ví dụ về sự cố bao gồm, nhưng không giới hạn ở:

1. Nỗ lực thành công để có được quyền truy cập trái phép vào hệ thống hoặc dữ liệu của hệ thống
2. Làm gián đoạn hoặc từ chối dịch vụ
3. Sử dụng trái phép một hệ thống để xử lý hoặc lưu trữ dữ liệu
4. Thay đổi các đặc điểm phần cứng, chương trình cơ sở hoặc phần mềm hệ thống mà không có kiến thức, hướng dẫn hoặc sự đồng ý của chủ sở hữu

Ứng phó với sự cố

Chúng tôi thực hiện phân tích chuyên sâu về các sự cố an ninh mạng. Để đạt được điều này, chúng tôi kết nối với các phóng viên và các bên liên quan phụ trách kinh doanh, bên trong và bên ngoài nhằm phối hợp các hoạt động ứng phó, đảm bảo ngăn chặn kịp thời và bắt đầu các biện pháp khắc phục thích hợp. Ngoài ra, chúng tôi cũng có Giám đốc dự án sự cố, hỗ trợ xử lý và truyền thông về các sự cố nghiêm trọng và phức tạp.

Quy trình xử lý sự cố

• Phát hiện

  Tổn hại đến tính bảo mật, toàn vẹn và/hoặc khả dụng của thông tin.

• Ứng phó

  Phân tích sự tấn công và bắt đầu thực hiện các biện pháp ứng phó.

• Khắc phục

  Kiểm soát: Hạn chế hoạt động độc hại, Giảm thiểu: Ngăn chặn thiệt hại sâu hơn, Khắc phục: Khắc phục và ngăn chặn tái diễn

• Phục hồi

  Khôi phục tính toàn vẹn của các hệ thống bị ảnh hưởng về lại trạng thái hoạt động bình thường.

Các mối đe dọa an ninh buộc toàn ngành phải hành động.

Các cuộc tấn công của tội phạm mạng có thể thao túng toàn bộ chuỗi giá trị thường không chỉ dẫn đến sự cố sản xuất mà còn gây thiệt hại đáng kể cho hình ảnh của bạn. Để bảo vệ CNVH của mình một cách tốt nhất có thể, cần phải có sự minh bạch về rủi ro tài sản của bạn. Điều này cho phép xác định và loại bỏ các mối đe dọa an ninh mạng trước khi chúng gây ra thiệt hại lớn. Chúng tôi đảm bảo an ninh mạng tốt hơn cho các quy trình sản xuất của bạn. Phương pháp tiếp cận toàn diện của chúng tôi được thiết kế để xác định các lỗ hổng bảo mật về quy trình và kỹ thuật trước khi những lỗ hổng này bị các tác nhân xấu khai thác.

Xem thêm thông tin

AI là một công cụ quan trọng trong nỗ lực đảm bảo an ninh mạng của Siemens. AI tự động xác định và chống lại các mối đe dọa bảo mật bằng cách phát hiện sự bất thường trong mạng và hệ thống của chúng tôi. Hành động tức thời chống lại các vi phạm bảo mật này sẽ giúp hạn chế tác hại tiềm ẩn.

Ngoài ra, AI làm tăng hiệu quả trong các quy trình an ninh mạng của chúng tôi bằng cách tự động hóa các nhiệm vụ nhỏ. Điều này cho phép các nhóm bảo mật của chúng tôi tập trung vào những vấn đề phức tạp và cấp bách hơn. Cùng với đó, AI thiết lập các giao thức bảo mật tùy chỉnh dựa trên phân tích hành vi người dùng, thúc đẩy chiến lược bảo mật chính xác cho từng bộ phận trong Siemens.

Mặc dù có nhiềug lợi thế, điều quan trọng cần lưu ý là AI cũng có thể là một công cụ làm tăng mức độ phức tạp trong các hành động độc hại của những kẻ tấn công mạng. Họ có thể khai thác AI để tự động hóa các cuộc tấn công của mình, né tránh các hệ thống an ninh thông thường hoặc thậm chí mô phỏng hành vi của con người để thoát khỏi sự phát hiện.

Tuy nhiên, Siemens đã chuẩn bị tốt cho kịch bản phức tạp này. Chúng tôi đã thiết lập các giao thức bảo mật nghiêm ngặt nhằm đảm bảo việc áp dụng AI an toàn và có trách nhiệm. Phương pháp tiếp cận tiên tiến của chúng tôi hỗ trợ duy trì sự toàn vẹn của hệ thống và bảo vệ chúng tôi khỏi những rủi ro tiềm ẩn, qua đó cho phép chúng tôi tận dụng lợi thế của AI trong các hoạt động an ninh mạng của mình.

Những lợi ích mà Siemens thu được từ AI vượt trội hơn rủi ro. Thông qua việc triển khai kỹ lưỡng và giám sát liên tục, chúng tôi giảm thiểu những rủi ro này và nhân rộng lợi ích của AI. Do đó, AI được coi một công cụ vô giá giúp tăng cường đáng kể khả năng của chúng tôi trong việc loại bỏ các mối đe dọa bảo mật.