Tiêu chuẩn Quốc gia TCVN 11386:2016 ISO/IEC 18045:2008 Công nghệ thông tin-Các kỹ thuật an toàn-Phương pháp đánh giá an toàn công nghệ thông tin

Tiêu chuẩn Quốc gia TCVN 11386:2016 ISO/IEC 18045:2008: Hướng dẫn Đánh giá An toàn Công nghệ Thông tin

Tiêu chuẩn Quốc gia TCVN 11386:2016 tương đương với ISO/IEC 18045:2008 và được ban hành bởi Học viện Công nghệ Bưu chính Viễn thông, với sự chỉ đạo của Bộ Thông tin và Truyền thông, có hiệu lực từ ngày ban hành. Tiêu chuẩn này quy định các kỹ thuật an toàn và phương pháp đánh giá an toàn công nghệ thông tin, nhằm hướng dẫn cho những người đánh giá sử dụng tiêu chuẩn TCVN 8709 (ISO/IEC 15408).

Tiêu chuẩn quy định các hành động tối thiểu mà người đánh giá phải thực hiện trong quá trình đánh giá, nhằm đảm bảo tính hợp lệ và chính xác. Mặc dù không bao quát hết mọi khía cạnh liên quan đến đánh giá an toàn công nghệ thông tin, tiêu chuẩn này vẫn thiết lập được khung cơ bản làm nền tảng cho các hoạt động đánh giá.

Trong nội dung quy định, tài liệu viện dẫn quan trọng nhất là TCVN 8709 (ISO/IEC 15408), định nghĩa các tiêu chí đánh giá an toàn công nghệ thông tin. Tiêu chuẩn này không quy định các hành động cụ thể đối với từng thành phần đảm bảo, mà chỉ đưa ra hướng dẫn cho các hành động tổng quát.

Tiêu chuẩn TCVN 11386:2016 sử dụng một số thuật ngữ chính như: "hành động", "hoạt động", "kiểm tra", "bằng chứng đánh giá", "báo cáo kỹ thuật đánh giá", tạo ra một hệ thống định nghĩa rõ ràng cho các hoạt động đánh giá. Cụ thể, “hành động” được hiểu là các bước thực hiện của người đánh giá trong quy trình kiểm định các yêu cầu.

Tiêu chuẩn này còn chi tiết hóa quy trình đánh giá an toàn công nghệ thông tin, xác định các nhiệm vụ như: nhiệm vụ đầu vào, nhiệm vụ đầu ra và các hoạt động con đánh giá, với mục đích đảm bảo tính chính xác và tính nhất quán của các kết quả đánh giá.

Quy trình đánh giá được mô tả chi tiết, theo đó, các vai trò tổ chức như nhà bảo trợ, nhà phát triển, người đánh giá và tổ chức đánh giá đều có trách nhiệm riêng trong việc cung cấp tài liệu và hỗ trợ nhau trong quá trình đánh giá. Sự phân tách rõ ràng giữa các vai trò sẽ giúp tránh những tác động không mong muốn.

Cuối cùng, báo cáo kết quả đánh giá phải đảm bảo sự nhất quán và chính xác. Người đánh giá phải cung cấp Báo cáo Kỹ thuật Đánh giá (ETR) và Báo cáo Quan sát (OR) trong quá trình hoàn tất đánh giá để đáp ứng các yêu cầu của tiêu chuẩn và đảm bảo các kết quả có thể được lặp lại. Tất cả các quy định này nhằm mục đích nâng cao tính an toàn và bảo mật trong công nghệ thông tin, từ đó tạo dựng niềm tin cho người sử dụng cũng như cho các tổ chức liên quan.