Kiểm toán chế độ kiểm soát truy cập hệ thống thông tin

 Thường xuyên đánh giá chế độ kiểm soát hệ thống thông tin không những giúp doanh nghiệp nắm vững trạng thái hoạt động của các hệ thống thông tin mà còn hiểu rõ hơn về hạn chế, yếu kém trong công tác kiểm soát nội bộ và cả những rủi ro tiềm tảng để đưa ra những chính sách phù hợp.

Trong hệ thống xử lý trực tuyến, khả năng bị sửa đổi, đánh cắp, phá hủy dữ liệu và chương trình thường rất cao. Việc truy cập, phá hủy hệ thống và dữ liệu có thể do những thiếu sót trong quá trình phát triển, duy trì hoặc vận hành hệ thống hoặc do gian lận để tìm cách truy cập trái phép, đánh cắp thông tin và sửa đổi dữ liệu mà không để lại bằng chứng hay dấu vết có thể nhận thấy được.

Vì vậy, kiểm soát truy cập bất hợp pháp và phân quyền truy cập dữ liệu một cách khoa học trong hệ thống thông tin doanh nghiệp là một nội dung rất quan trọng trong công tác tổ chức hệ thống kiểm soát nội bộ CNTT. Nếu sự cố sảy ra có thể dẫn đến việc mất hoặc hỏng dữ liệu làm cho hệ thống thông tin ngừng hoạt động, ảnh hưởng nghiêm trọng tới hoạt động sản xuất kinh doanh của doanh nghiệp.

Một số hoạt động kiểm soát truy cập nhằm nâng cao năng lực hệ thống kiểm soát nội bộ CNTT trong doanh nghiệp:

1. Kiểm soát thiết bị đầu cuối

Việc tiến hành kiểm soát các nguy cơ bảo mật trên các thiết bị đầu cuối cùng các công cụ xử lý sự cố tức thì có thể đáp ứng nhu cầu bảo vệ liên tục trước sự tấn công của các hiểm họa ngày càng tân tiến hơn nhằm vào các thiết bị như điện thoại, máy tính bảng hay máy tính xách tay. Những công cụ này giám sát thiết bị đầu cuối, hệ thống mạng và lưu trữ dữ liệu trong một cơ sở dữ liệu tập trung. Các công cụ phân tích được dùng để tiếp tục tìm kiếm nhận diện các tiến trình nghi vấn trong cơ sở dữ liệu để nhằm cải thiện tình trạng an ninh để làm chệch hướng các cuộc tấn công phổ biến.

2. Bảo vệ hệ thống thông tin khỏi sự thâm nhập bất hợp pháp

Việc thâm nhập máy tính và các hệ thống thông tin bất hợp pháp có thể làm tổn hại vật chấp cho doanh nghiệp và làm cho các hệ thống thông tin không thể vận hành theo thiết kế. Để hạn chế nguy cơ truy cập bất hợp pháp để phá hoại, sử đổi hoặc lấy cắp thông tin thì việc kiểm soát truy cập vào hệ thống máy tính của doanh nghiệp là rất cần thiết.

Việc bảo vệ hệ thống dữ liệu của doanh nghiệp khỏi sự truy cập bất hợp pháp là biện pháp tích cực ngay từ đầu để ngăn chặn sự phá hoại bằng nhiều kỹ thuật thâm nhập vô cùng sắc sảo và tinh vị. Ngoài việc hạn chế thâm  nhập bất hợp pháp về mặt vật lý đối với các thiết bị máy tính, cần quan tâm để hạn chế quyền truy cập vào hệ thống dữ liệu và thông tin.

Các biện pháp cụ thể áp dụng để kiểm soát truy cập hệ thống bao gồm:

- Phân quyền truy cập và sử dụng hệ thống: việc phân quyền được thực hiện thông qua việc xác định rõ ràng cá nhân, chức năng hay nhiệm vụ được phép sử dụng hay truy cập trong hệ thống.

- Sử dụng các biệt pháp xác thực điện tử: mỗi cá nhân được cấp một tên truy nhập cùng với mật khẩu xác thực. Hệ thống chỉ cho phép truy nhập khi xác thực được người sử dụng. Doanh nghiệp cần sử dụng nhiều biện pháp kỹ thuật để hạn chế giả mạo và đánh cắp mật khẩu, nâng cao an toàn cho hệ thống.

- Sử dụng mật mã cho các tập tin: ngoài hệ thống xác thực truy cập hệ thống thông tin, doanh nghiệp còn có thể sử dụng mật mã cho các tập tin để giới hạn sự truy cập vào những tài nguyên nhất định.

- Phân quyền rõ ràng: quy định một người có thể thực hiện hoạt động nào đó trong số các hoạt động được phép khi thực hiện truy cập.

3. Giám sát hoạt động truy cập vào hệ thống

Đảm bảo an ninh cho hệ thống thông tin doanh nghiệp không chỉ ngăn chặn sự truy cập trái phép mà còn phải theo dõi giám sát tất cả các hoạt động truy cập vào hệ thống. Doanh nghiệp có thể sử dụng Nhật ký truy cập để theo dõi, kiểm soát thời gian đăng nhập, loại yêu cầu truy cập và dữ liệu truy cập. Đây là căn cứ để truy tìm những truy cập bất hợp pháp vào hệ thống thông tin doanh nghiệp.

4. Kiểm soát truy cập thích ứng

Thay cho việc phải khóa dữ liệu mỗi khi xảy ra sự cố, bộ phận CNTT cũng cần phải cung cấp sự hỗ trợ thích hợp cho một khối lượng lớn các thiết bị di động kết nối vào hệ thống công ty. Để đảm bảo an toàn cho dữ liệu, các chuyên gia đề xuất sử dụng phương pháp kiểm soát truy cập thích ứng, một dạng kiểm soát truy cập dựa theo ngữ cảnh cụ thể.

Phương pháp này sẽ tính toán cân bằng mức độ đáng tin cậy của hành vi truy cập với các đánh giá rủi ro tiềm ẩn. Việc nhận thức được bối cảnh truy cập sẽ quyết định lại cho phép hay không cho phép truy cập đối với đối tượng có danh tính hợp lệ song hành vi truy cập lại tiềm ẩn rủi ro vào thời điểm đó. Tương tự như vậy, quá trình giảm thiểu rủi ro tích cực lại có thể cho phép truy cập đối với một hành vi truy cập mà trước đây bị cấm.

Đây là loại hình kiến trúc quản lý truy cập cho phép các công ty cấp quyền cho bất kỳ thiết bị ở bất kỳ đâu truy cập vào hệ thống. Nó có thể thiết lập các mức độ truy cập vào hệ thống dữ liệu doanh nghiệp khác nhau tùy thuộc vào hồ sơ bảo mật của người dùng.

Lời kết

Trong điều kiện tin học hóa, nhận diện được các đặc điểm và yếu tố ảnh hưởng tới công tác kiểm soát hệ thống thông tin để trên cơ sở đó xây dựng các biện pháp an toàn nhằm bảo vệ tài nguyên hệ thống thông tin doanh nghiệp khỏi những tác động của môi trường, của sự truy cập trái phép hay nguy cơ đánh cắp, sửa đổi dữ liệu. Quan tâm đến vấn để kiếm soát và đảm bảo an toàn đối với hệ thống thông tin sẽ giảm thiểu được các thiệt hại về vật chất, đảm bảo sự hoạt động hiệu quả và liên tục của hệ thống thông tin, góp phần vào sự thành công của doanh nghiệp.

Nguyễn Huy Kháng - Phòng TTHTQT