Đánh giá tác động bảo mật

Đánh giá tác động bảo mật (Security Impact Assessment) là gì?

Đánh giá tác động bảo mật (SIA) là quy trình phân tích có hệ thống các rủi ro bảo mật thông tin phát sinh khi triển khai hệ thống, ứng dụng hoặc dịch vụ mới trong tổ chức ngân hàng. Hoạt động này là yêu cầu bắt buộc theo Thông tư 04/2020/TT-NHNN về an toàn, bảo mật trong hoạt động ngân hàng điện tử và phù hợp chuẩn ISO/IEC 27001:2013.

Đặc điểm

• Xác định tài sản thông tin, mối đe dọa, lỗ hổng và tác động tiềm ẩn đến C-I-A (Confidentiality - Integrity - Availability).
• Đánh giá mức rủi ro theo thang 4 cấp: thấp, trung bình, cao, nghiêm trọng.
• Đề xuất biện pháp kiểm soát giảm thiểu rủi ro trước khi go-live.
• Phải được phê duyệt bởi Trưởng đơn vị CNTT và lưu trữ hồ sơ kiểm toán tối thiểu 5 năm.

Ví dụ

Ngân hàng X triển khai tính năng thanh toán QR Code trên app di động. Bộ phận an ninh thông tin thực hiện SIA và phát hiện nguy cơ lộ thông tin giao dịch nếu không mã hóa end-to-end và không xác thực 2 lớp. Kết quả đánh giá yêu cầu bổ sung chuẩn PCI DSS và mã hóa AES-256 trước khi đưa vào vận hành.