Ông Hồ Công, PGĐ PTC3 phát biểu khai mạc lớp học
Đây là khóa đào tạo được xây dựng nhằm truyền tải các kiến thức về công tác quản lý an toàn thông tin trong định hướng của nhà nước, ngành điện và EVNNPT, Cung cấp cho học viên cái nhìn tổng quan về hệ thống an toàn thông tin (ATTT), nắm được tầm quan trọng của ATTT trong hệ thống công nghệ thông tin (CNTT), chu trình phát triển của hệ thống thông tin, cũng như hệ thống chính sách quản lý Nhà nước về ATTT.
Về vai trò của quản lý ATTT trong EVNNPT, khóa học đã tổng quát hóa các khái niệm về an toàn thông tin, an ninh thông tin; các con số thống kê đáng báo động về xu hướng tội phạm, các điểm yếu phố biến trong tổ chức/doanh nghiệp, các loại hình tấn công mạng, đồng thời chỉ ra 3 lý do khiến ATTT hiện nay quan trọng hơn bất kì lúc nào:
- Tấn công mạng ảnh hướng đến tất cả mọi người, tất các góc độ từ chi phí, úy tín đến an toàn vật lý cơ bản.
- Công nghệ mới phát triển nhanh cũng góp phần tạo nguồn lực dồi dào, phân tích nạn nhân, tự động hóa tấn công mạng.
- Khối lượng quy định ngày càng nhiều và trách nhiệm bảo vệ an toàn thông tin cũng ngày càng lớn đòi hỏi nhu cầu cấp thiết phải áp dụng phương pháp quản lý ATTT phù hợp.
Về hệ thống quy định chính sách, Học viên đã nắm bắt nội dung chính liên quan đến tổ chức của mình từ các văn bản pháp quy về ATTT trong thời gian qua như:
- Luật An toàn thông tin mạng 2015,
- Luật An ninh mạng,
- Nghị định 85/2016/NĐ-CP về đảm bảo an toàn hệ thống thông tin theo cấp độ,
- Quyết định 05/2017/QĐ-TTg của Thủ tướng Chính phủ về việc ban hành Quy định về hệ thống phương án ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia,
- Nghị định 15/2020/NĐ-CP của Chính phủ về việc quy định xử phạt vi phạm hành chính trong lĩnh vực bưu chính, viễn thông, tần số vô tuyến điện, công nghệ thông tin và giao dịch điện tử,
- Thông tư 03/2017/TT-BTTTT của Bộ Thông tin và Truyền thông về việc quy định chi tiết và hướng dẫn một số điều của Nghị định 85/2016/NĐ-CP,
- Thông tư 121/2018/TT-BTC của Bộ Tài chính quy định về lập dự toán, quản lý, sử dụng và quyết toán kinh phí để thực hiện công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng,
- Thông tư 20/2017/TT-BTTTT của Bộ Thông tin và Truyền thông quy định về điều phối, ứng cứu sự cố an toàn thông tin mạng trên toàn quốc,
- Thông tư 31/2017/TT-BTTTT của Bộ Thông tin và Truyền thông về việc quy định hoạt động giám sát an toàn hệ thống thông tin
Khóa đào tạo đã giới thiệu các mô hình/khung quản trị ATTT, các thành phần tham gia và vai trò của mình trong công tác quản trị ATTT. Về khung quản trị ATTT, lớp học trao đổi và thống nhất các mục tiêu cơ bản nhất của quản trị ATTT là: liên kết chiến lược (liên kết mục tiêu ATTT với mục tiêu doanh nghiệp), mang lại giá trị và trách nhiệm giải trình (đảm bảo rủi ro an toàn thông tin được giải quyết thỏa đáng). Về nguyên tắc của quản trị ATTT, khóa đào tạo đưa ra 6 nguyên tắc:
- ATTT phải thiết lập trong toàn hệ thống, tổng thể và toàn diện.
- Đưa ra hướng tiếp cận dựa trên rủi ro.
- Quyết định đầu tư theo chiến lược/kế hoạch dài hạn.
- Đảm bảo tuân thủ yêu cầu bên trong và bên ngoài.
- Thúc đẩy môi trường an toàn tích cực.
- Thường xuyên đánh giá hiệu quả.
Khóa đào tạo cũng đưa ra các nguyên tắc, trình tự thực hiện đào tạo nhận thức, đào tạo chuyên sâu về ATTT, định hướng nội dung đào tạo đến từng đối tượng người dùng.
Mô hình quản trị ATTT và định hướng đào tạo ATTT
Trong phần lớn thời gian của khóa đào tạo, các học viên đã được giới thiệu, tìm hiểu và trao đổi các quy trình liên quan đến quản lý ATTT như:
- Quản lý các kiểm soát, tuân thủ ATTT;
- Quản lý sự kiện, sự cố ATTT;
- Quản lý nguy cơ, lỗ hổng ATTT;
- Hệ thống chỉ số giám sát đo lường ATTT.
- Quản lý rủi ro
- Quản lý kế hoạch dự phòng
- Quản lý thay đổi, quản lý cấu hình
Trong quá trình diễn ra khóa học, Ban VTCNTT - Tập đoàn Điện lực Việt Nam đã tham dự để chia sẻ với học viên khóa đào tạo. Ông Nguyễn Xuân Tuấn, Trưởng Ban VTCNTT EVN trình bày hiện trạng, mô hình đảm bảo ATTT của EVN; các hướng tiếp cận mới về ATTT bao gồm AI, Cloud computing, Telemetry Data, Zero Trust Architecture (NIST.SP.800-207); đánh giá sơ bộ việc thực hiện các chỉ đạo của EVN về ATTT; các hạn chế cần tập trung xem xét khắc phục (ý thức, đào tạo nhận thức, công tác giám sát vật lý); Mô hình 4 lớp đảm bảo ATTT bao gồm lực lượng tại chỗ, giám sát chuyên nghiệp, kiểm tra độc lập, liên kết chia sẻ.
Ngoài các nội dung hướng dẫn về quản lý ATTT dành cho cấp quản lý, EVNNPT cũng đã tổ chức hội thảo nâng cao nhận thức về ATTT cho CBCNV, xây dựng và ban hành Sổ tay ATTT cho người dùng trong nội bộ được công bố rộng rãi trong EVNNPT và trên website nội bộ.
Ông Nguyễn Xuân Tuấn, Trưởng Ban VTCNTT EVN chia sẻ kết quả đánh giá ATTT trong EVN và chỉ đạo lớp học
Học viên và giảng viên chụp ảnh lưu niệm