Tạp chí Bảo mật

Tiến trình mô hình hóa luồng thông tin cho phần mềm thương mại và các ứng dụng web đã và đang được thảo luận rộng rãi và cũng dễ hiểu là nó đang được nhiều người biết đến. Nhưng việc thiếu tài liệu cho việc đánh giá các luồng thông tin tiềm năng trong hạ tầng IT là vấn đề mà các chuyên gia IT đang gặp phải.

Hướng dẫn Mô hình hoá Hạ tầng IT nhằm miêu tả và cân nhắc mở rộng phương pháp luận đang áp dụng cho mô hình hoá luồng thông tin Chu trình Phát triển Bảo mật - Security Development Lifecycle (SDL) và dùng nó để tạo ra tiến trình mô hình hoá cho hạ tầng IT.

Tại sao bạn phải cân nhắc tới mô hình hoá luồng thông tin cho hạ tầng cơ sở IT của công ty? Một trong những lý do là khả năng chống đỡ và uy tín công ty. Chiến thắng trong cuộc chiến chống tấn công siêu mạng – cyberattack - sẽ mang lại hiệu ứng tin cậy vào khả năng thực hiện kinh doanh của doanh nghiệp. Mô hình hoá luồng thông tin cho phép bạn xác định luồng tin nào đang tồn tại có thể ảnh hưởng đến công ty, giúp bạn nhận diện và giảm nhẹ các rủi ro nhằm bảo vệ tài nguyên và thông tin nhạy cảm. Điều này cũng giúp bạn đặt mức độ ưu tiên cho các mối quan tâm bảo mật. Tiến trình mô hình hoá luồng thông tin hạ tầng IT là việc phân tích hệ thống cấu thành IT của công ty nhằm kết hợp thông  tin cấu thành trong các mô tả sơ lược. Mục tiêu của tiến trình là phát triển một hồ sơ mô hình luồng thông tin tập hợp các mô tả sơ lược các cấu thành.
Mục tiêu của loạt bài này
Loạt bài này nhằm cung cấp một phương thức dễ hiểu, giúp chuyên gia IT tự phát triển mô hình luồng thông tin cho môi trường của chính họ và đặt mối quan tâm hàng đầu vào bảo mật hạ tầng IT. Mô hình hoá luồng thông tin hạ tầng IT cần được kết hợp chặt chẽ vào chính sách của công ty cũng như các phần xác thực, thực hiện và cài đặt tiến trình. Mô hình hoá luồng thông tin là tên của việc bảo mật hạ tầng cần được thực hiện suốt trong tiến trình kỹ thuật. Cũng như các cấu thành khác, nó cũng cần được đo đếm cho năng lực, tính hữu dụng và tính sẵn sàng.
Ba trụ cột của bảo mật IT là Tin cậy (Confidentiality) - Tính toàn vẹn (Integrity) - Tính sẵn sàng (Availability) - CIA. Một cách để tạo dựng các trụ cột này như một cơ sở cho mô hình hoá luồng thông tin là thông qua Microsoft Operations Framework (MOF) 4.0, một khung công việc cung cấp đầy đủ các chỉ dẫn cho việc thưc hành quản trị IT và các họat động xuyên suốt chu trình IT.
Nên bắt đầu một tiến trình mô hình hoá luồng thông tin hạ tầng từ dự án hoàn toàn mới vì như vậy, các điểm yếu trong quá trình lập kế hoạch, thiết kế trong kiến trúc của hệ thống hay trong triển khai có thể bắt buộc phải thay đổi toàn bộ dự án. Các thiết kế thay đổi càng sớm trong khi thực hiện tiến trình càng ít tốn kém hơn so với việc sửa chữa lại hệ thống đang vận hành không được lên kế hoạch tốt hoặc ảnh hưởng tới tính bảo mật của hệ thống. Cần cân nhắc xem xét lại mô hình hàng năm dù hoàn toàn không có sự thay đổi lớn nào trong hệ thống. Bởi vì các luồng thông tin rủi ro thay đổi liên tục, nên các mô hình cũng cần phải thích ứng liên tục. Kẻ tấn công sẽ không bao giờ dừng lại và các nỗ lực của bạn trong việc giảm thiểu rủi ro sẽ làm tổn thất luôn ở mức thấp nhất.
Thực hành mô hình hoá luồng thông tin có thể được đan xem vào trong phần lớn các ngữ cảnh hạ tầng IT đang tiến hành nào. Hãy cân nhắc lôi kéo sự tham gia của quản trị hệ thống, các kỹ thuật viên, các kiến trúc sư hệ thống và các quản lý dự án cũng như sự hỗ trợ từ ban giám đốc.
Đối tượng người đọc
Loạt bài này được viết cho các chuyên gia IT, bao gồm các quản trị mạng, phân tích thiết kế, kiến trúc sư hệ thống, các kỹ thuật viên và các nhà quản lý đang phải chiụ trách nhiệm bảo vệ các nguồn tài nguyên quan trọng của tổ chức. Thêm vào đó, tài liệu này cũng có thể áp dụng cho tất cả các lĩnh vực có cùng mô hình như hạ tầng IT.
Tổng quan
Một mô hình luồng thông tin tốt thường bao gồm việc tài liệu hoá tốt, việc định nghĩa tiến trình tốt giúp bảo đảm tránh được các cạm bẫy do thiếu kiểm soát, thiếu quản lý.

Các bước sau được coi như khung của tiến trình:
1. Tạo dựng một tầm nhìn - Vision. Tài liệu hoá mục đích hay chức năng mà cấu thành cung cấp cho hệ thống. Điều này thực sự quan trọng nhằm đạt được càng nhiều kỳ vọng càng tốt, và vì vậy bạn nên thu thập thông tin từ bất kỳ người nào có những hiểu biết về cấu thành.
2. Mô hình hoá, hoặc tạo sơ đồ - Model. Sơ đồ nên bao gồm các tiến trình, lưu trữ dữ liệu, dòng dữ liệu, và các biên giới tin cậy nhằm phân tách các cấu thành với nhau và phân tách cấu thành với các thông tin đầu vào. Mục tiêu của sơ đồ là làm cho vấn đề thảo luận được thuận tiện, trọng tâm hơn.
3. Nhận diện các luồng thông tin - Identify Threats. Với mỗi cấu thành, cân nhắc các yếu tố cấu thành đó phải đối mặt.
Dùng các phương thức tư duy từ các kỳ vọng của người dùng cả hai khu vực tin cậy và không tin cậy.

4. Giảm nhẹ luồng thông tin (rủi ro) - Mitigate Threats. Giảm nhẹ và ngăn chặn là yếu tố chính của bước này. Làm thế nào và Khi nào các điểm yếu của hạ thần được giải quyết? Một phần của tiến trình này phải xác định mức độ ưu tiên, ví dụ, chỉ ra các luồng thông tin rủi ro nhất cần được can thiệp đầu tiên. Điều này dựa trên khả năng có thể xảy ra của các luồng thông tin được khai thác và các ảnh hưởng có thể có trong hệ thống. Đề tránh việc phức tạp hoá thông tin, các ưu tiên được đánh giá theo 3 mức Cao - High, Trung Bình - Medium, Thấp - Low.
5. Xác thực - Validate. Cần có xác thực các mô hình, danh sách luồng thông tin, các giảm nhẹ và các ưu tiên cũng như các yếu tố lệ thuộc và các giả định.

Chuẩn bị cho mô hình hoá luồng thông tin hạ tầng IT

Mỗi một cấu thành hạ tầng được cân nhắc trong tiến trình đều được tài liệu hoá tách biệt trong các mô tả sơ lược. Kết quả tiến trình lưu lại trong Hồ sơ mô hình hoá luổng thông tin hạ tầng IT như một tập hợp hay kho chứa các mô tả sơ lược riêng.