Tiêu chuẩn quốc gia TCVN 13723-3:2023 Kỹ thuật an toàn công nghệ thông tin – Phần 3

Tiêu chuẩn về Năng lực Đánh giá viên Bảo mật Thông tin

Ngày 25/08/2023, Bộ Khoa học và Công nghệ đã công bố Tiêu chuẩn quốc gia TCVN 13723-3:2023, quy định các yêu cầu về năng lực cho kiểm thử viên và đánh giá viên bảo mật thông tin. Tiêu chuẩn này có hiệu lực từ ngày công bố và nằm trong bộ Tiêu chuẩn về Kỹ thuật an toàn công nghệ thông tin.

Tiêu chuẩn này áp dụng cho các cơ quan có thẩm quyền phê duyệt và chứng nhận, cơ quan công nhận phòng thử nghiệm, các kế hoạch đánh giá, cơ sở thử nghiệm, cũng như các đánh giá viên và tổ chức cung cấp chứng chỉ nghề nghiệp.

Mục tiêu của Tiêu chuẩn

Tiêu chuẩn TCVN 13723-3:2023 xác định các yêu cầu về kiến thức, kỹ năng và tính hiệu quả của các đánh giá viên trong lĩnh vực bảo mật thông tin. Điều này nhằm đảm bảo rằng các đánh giá viên có đủ năng lực thực hiện các hoạt động đánh giá an toàn cho sản phẩm công nghệ thông tin theo tiêu chuẩn quốc tế ISO/IEC 15408.

Kiến thức cần thiết

Đánh giá viên cần nắm vững các kiến thức sau:

• Kiến thức về tiêu chuẩn đánh giá an toàn kỹ thuật thông tin (TCVN 8709 và 11386).
• Đặc điểm và yêu cầu của sản phẩm công nghệ thông tin, cũng như các công nghệ được đánh giá.
• Quy trình đánh giá, bao gồm cả các phương pháp và kỹ thuật liên quan.

Kỹ năng đánh giá

Đánh giá viên phải thành thạo các kỹ năng đánh giá cơ bản, bao gồm:

• Khả năng sử dụng công cụ đánh giá và hiểu các phương pháp đánh giá khách quan và chủ quan.
• Kỹ năng phân tích, ghi chép kết quả và thực hiện các hoạt động đánh giá liên quan đến các lớp an toàn, tài liệu hướng dẫn, và kiểm thử.

Tính hiệu quả trong đánh giá

Tiêu chuẩn cũng đề cập đến yêu cầu về tính hiệu quả trong việc thực hiện các đánh giá và báo cáo kết quả. Điều này đảm bảo rằng việc đánh giá phải được thực hiện đúng thời gian, chính xác và đáng tin cậy để cung cấp sự bảo đảm về an ninh thông tin cho sản phẩm công nghệ thông tin.

Yêu cầu về đào tạo và kinh nghiệm

Các đánh giá viên cần có bề dày kinh nghiệm thực tiễn trong lĩnh vực này và phải tham gia các khóa đào tạo chuyên sâu để cập nhật kiến thức và kỹ năng mới trong lĩnh vực an toàn thông tin.

Tiêu chuẩn này tạo nền tảng cho việc nâng cao chất lượng đánh giá bảo mật thông tin, góp phần tăng cường an ninh thông tin cho các sản phẩm công nghệ thông tin tại Việt Nam.