TẬP ĐOÀN ĐIỆN LỰC VIỆT NAM
TỔNG CÔNG TY
TRUYỀN TẢI ĐIỆN QUỐC GIA
^{______________}
Số: 1936/QĐ-EVNNPT

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
^{________________________}

Hà Nội, ngày 01 tháng 10 năm 2025

AD

Active Directory - Hệ thống dịch vụ thư mục của Microsoft

ADSS

All Dielectric Self Supporting Optical Cable - Cáp quang tự treo cách điện hoàn toàn

ANM

An ninh mạng

ATTT

An toàn thông tin

ANM&ATTT

An ninh mạng và An toàn thông tin mạng

ANQG

An ninh quốc gia

ATVSLĐ

An toàn vệ sinh lao động

AV

Anti-Virus: Phần mềm chống virus/mã độc/phần mềm độc hại

NSMO ,

NSO ,

CSO ,

SSO.

NSMO - Công ty TNHH MTV Vận hành hệ thống điện và thị trường điện Quốc gia;

NSO - Trung tâm điều độ Hệ thống điện miền Bắc;

CSO - Trung tâm điều độ Hệ thống điện miền Trung;

SSO - Trung tâm điều độ Hệ thống điện miền Nam.

B0x

Trung tâm giám sát vận hành các Công ty Truyền tải điện 1,2,3,4.

Ban QLDA

Các Ban Quản lý dự án trực thuộc EVNNPT

BCP

Business Continuity Plan - Kế hoạch bảo đảm hoạt động nghiệp vụ liên tục.

Big Data

Dữ liệu lớn - sử dụng công nghệ để xử lý dữ liệu lớn

Blockchain

Chuỗi khối - là một cơ sở dữ liệu phân cấp lưu trữ thông tin trong các khối thông tin được liên kết với nhau bằng mã hóa và mở rộng theo thời gian, được thiết kế để chống lại việc thay đổi của dữ liệu

BVDLCN

Bảo vệ dữ liệu cá nhân

CSIRT

Computer Security Incident Response Team: Đội/Tổ ứng cứu sự cố an ninh mạng và an toàn thông tin

Cloud computing

Điện toán đám mây

CMDB

Configuration Management Database – Cơ sở dữ liệu cấu hình

CNTT

Hệ thống Công nghệ thông tin

CSDL

Cơ sở dữ liệu

DAST,

SAST,

SCA

Dynamic Application Security Testing: Kiểm thử bảo mật ứng dụng động.

Static Application Security Testing: Kiểm thử bảo mật ứng dụng tĩnh

Software Composition Analysis: Phân tích thành phần phần mềm

ĐHCS

Điều hành cơ sở

ĐHTQ

Điều hành toàn quốc

ĐVCT

Đơn vị công tác

ĐVQLVH

Đơn vị quản lý vận hành

DHCP

Dynamic Host Configuration Protocol: Giao thức cấu hình máy chủ động

DKIM

DomainKeys Identified Mail: Thư được xác thực bằng Khóa miền (một phương pháp xác thực email).

DMARC

Domain-based Message Authentication, Reporting, and Conformance: Xác thực, Báo cáo và Tuân thủ Tin nhắn dựa trên Tên miền (một phương pháp xác thực email)

SFP

Sender Policy Framework: Khung chính sách người gửi (dùng cho xác thực email).

DNS

Domain Name System: Hệ thống tên miền.

DCS

Distributed Control System - Hệ thống điều khiển phân tán

DDF

Digital Distribution Frame - Giá phối dây luồng số

ĐKCN

Điều khiển công nghiệp (hệ thống giám sát, điều khiển TBA/NMĐ; SCADA trung tâm)

EDR

Endpoint Detection and Response: Phát hiện và phản ứng tại điểm cuối.

EMS

Energy Management System - Hệ thống quản lý năng lượng

ERP

Enterprise Resource Planning - Quản lý nguồn lực doanh nghiệp

ETMS

Phần mềm Quản lý kỹ thuật hệ thống thông tin của EVN.

EVN

Tập đoàn Điện lực Việt Nam

EVNICT

EVN Information and Communication Technology Company - Công ty Viễn thông Điện lực và Công nghệ thông tin

EVNNPT

Tổng công ty Truyền tải điện Quốc gia

EWS

Engineering Workstation: Máy tính kỹ thuật/Trạm làm việc kỹ thuật; máy tính cấu hình, quản trị thiết bị hệ thống

GW

SCADA Gateway: Thiết bị truyền dữ liệu SCADA giữa hệ thống DCS/SAS với các Trung tâm điều khiển hoặc giám sát

HMI

Human-Machine Interface: Giao diện người - máy

HIS

Historical Information System: Hệ thống thông tin lịch sử.

HASH

Hàm băm (thuật toán để tạo ra một chuỗi ký tự có độ dài cố định từ một chuỗi đầu vào).

PTCx

Các công ty truyền tải điện

HNTH

Hội nghị truyền hình

HSĐXCĐ

Hồ sơ đề xuất cấp độ

Hotline

Điện thoại trực thông

HTĐ

Hệ thống điện Việt Nam

HTTT

Hệ thống thông tin

IEC

International Electrotechnical Commission

Ủy ban Kỹ thuật điện Quốc tế

IED

Intelligent Electronic Device - Thiết bị điện tử thông minh

ITU

International Telecommunication Union - Liên minh Viễn thông Quốc tế

IP

Internet Protocol - Giao thức liên mạng (giao thức Internet)

IIOT

Industrial Internet of Things: Internet vạn vật công nghiệp

IOT

Internet of Things: Internet vạn vật

IoC

Indicator of Compromise: Dấu hiệu nhận diện xâm nhập

IP PBX

Internet Protocol Private Branch Exchange: Tổng đài nội bộ qua giao thức IP.

ISMS

Information Security Management System - Hệ thống quản lý an toàn thông tin (TCVN ISO/IEC 27001:2019 - Tương thích với ISO/IEC 27001:2013)

KHCN

KTAT

TCNS

TTĐK

TTGSVH

Viết tắt của Ban Khoa học công nghệ và Chuyển đổi số

Viết tắt của Ban Kỹ thuật và An toàn

Viết tắt của Ban Tổ chức và Nhân sự

Trung tâm điều khiển

Trung tâm giám sát vận hành

LAN

Local Area Network - Mạng cục bộ

MODEM

Modulator/demodulator - Bộ điều chế/Giải điều chế

MFA

Multi-Factor Authentication: Xác thực đa yếu tố

NAC

Network Access Control: Kiểm soát truy cập mạng

NDA

Non-Disclosure Agreement: Thỏa thuận bảo mật thông tin

NMOC

Non-Metallic Optical Cable - Cáp quang không có thành phần kim loại

NMĐ

Nhà máy điện

NSM / NIDS

Network Security Monitoring / Network Intrusion Detection System: giải pháp phát hiện xâm nhập lớp mạng (phân tích dữ liệu đường truyền mạng để phát hiện tấn công, rủi ro, sự cố an toàn thông tin mạng)

PAM

PIM

Privileged Access Management: Quản lý truy cập đặc quyền

Privileged Identity Management: Quản lý tài khoản đặc quyền

SIEM

Quản lý và phân tích sự kiện an toàn thông tin

WAF

Tường lửa ứng dụng web

SOAR

Điều phối, tự động hóa và phản ứng an toàn thông tin;

TIP

Threat Intelligence Platform - Nền tảng tri thức mối đe dọa an toàn thông tin

SOC

Security Operations Center: Giải pháp trung tâm điều hành an ninh mạng. Bao gồm các giải pháp kỹ thuật: SIEM, NIDS, AV/EDR, WAF, SOAR, TIP (Kết hợp nhân lực giám sát, phân tích, phối hợp ứng cứu sự cố và Hệ thống quy trình phối hợp).

ODF

Optical Distribution Frame - Giá phối dây quang

OPGW

Optical Ground Wire - Dây chống sét kết hợp cáp quang.

PABX

Private Automatic Branch eXchange - Tổng đài nội bộ

PCM

Pulse Code Modulation - Ghép/phân kênh phân chia thời gian theo nguyên tắc điều chế xung mã

PICL

Protocol Interoperability Checklist - là bảng kiểm định chuẩn vận hành của giao thức truyền tin.

PLC

Programmable Logic Controller - Là bộ điều khiển lập trình thực hiện các thuật toán điều khiển logic thông qua một ngôn ngữ lập trình

Radio VHF/UHF

Thiết bị vô tuyến sử dụng tần số VHF/UHF

SCADA

Supervisory Control And Data Acquisition - Hệ thống thu thập số liệu để phục vụ việc giám sát, điều khiển và vận hành hệ thống điện

SAS

Substation Automation System - Hệ thống tự động hóa trạm biến áp

SCANM

Sự cố An ninh mạng (được phân loại thành SCANM_01, SCANM_02, SCANM_03)

SCIT

Sự cố Công nghệ thông tin (được phân loại thành SCIT_01, SCIT_02, SCIT_03).

SDH

Synchronous Digital Hierarchy - Phân cấp số đồng bộ

TCVN

Tiêu chuẩn Việt Nam

TBA

Trạm biến áp

TĐH

Tự động hóa

Teleprotection

Thiết bị bảo vệ xa

TTĐ

Truyền tải điện

UHF

Ultra High Frequency - Thiết bị vô tuyến tần số cực cao

ƯCSC

Ứng cứu sự cố

VHF

Very High Frequency - Thiết bị vô tuyến tần số rất cao

VIETTEL

Tập đoàn Công nghiệp - Viễn thông Quân đội

VT

Viễn thông

WAN

Wide Area Network - Mạng máy tính diện rộng

WSUS

Windows Server Update Services: Dịch vụ cập nhật máy chủ Windows

STT

Công việc thực hiện

Phụ trách

Đầu vào

Đầu ra

1

Bước 1: Tiếp nhận, phân tích, đánh giá cảnh báo.

- Nhân sự trực giám sát ATTT tiếp nhận cảnh báo mới từ:

+ Hệ thống vận hành ATTT

+ Tier 2: thông báo cảnh báo, sự cố

+ Cán bộ chuyên trách của đơn vị trực SOC

- Thu thập bổ sung các sự kiện, thông tin liên quan đến cảnh báo (nếu cần)

- Phân tích, đánh giá xác định hệ thống có bị tấn công hay không theo hướng dẫn và quy trình vận hành.

Đơn vị giám sát ATTT
(Tier 1 + Tier 3)

Cảnh báo ATTT

Kết quả xác minh khả năng hệ thống bị tấn công

2

Trong trường hợp xác định:

- Hệ thống không bị tấn công, chuyển Bước 2.

- Hệ thống có bị tấn công, chuyển Bước 3.

Bước 2: Đóng cảnh báo (mã False Positive).

Đối với cảnh báo được nhân sự trực giám sát phân tích đánh giá:

- Không có tấn công do liên quan tới nghiệp vụ quản trị, tác động của Tier 2 được thông báo trước

- Rule giám sát bắt rộng hoặc chưa tối ưu dẫn tới cảnh báo sai

□ Nhân sự trực giám sát thực hiện đóng cảnh báo với mã False Positive với đầy đủ các thông tin đã xác minh. Hành động này để ghi nhận giúp đánh giá chất lượng của các rule phát sinh cảnh báo, từ đó triển khai các hoạt động tối ưu rule không đảm bảo chất lượng.

Đơn vị giám sát ATTT
(Tier 1 + Tier 3)

Kết quả xác minh khả năng hệ thống bị tấn công

Cảnh báo đóng (mã False positive)

3

Bước 3: Tạo Ticket xác minh.

Thực hiện tạo Ticket trên hệ thống của đơn vị trực SOC để quản lý việc xác minh thêm thông tin về hành vi hoặc phản ứng ngăn chặn tấn công đang nhắm vào hệ thống nhưng chưa thành công hoặc các hành động khắc phục khi tấn công thành công.

Hệ thống có bị tấn công nhưng chưa thành công hoặc chưa xác định (cần xác minh thêm) chuyển Bước 4. Nếu hệ thống bị tấn công thành công, chuyển Bước 8.

Đơn vị giám sát ATTT
(Tier 1 + Tier 3)

Kết quả xác minh khả năng hệ thống bị tấn công hoặc cần xác minh thêm thông tin về hành vi

Case được tạo trên SOAR

4

Bước 4: Tạo/Gán Case và nếu cần thiết thì tạo thêm ticket để gán cho các nhóm phù hợp để phản ứng cho Tier 2

(Tier 1 + Tier 3) tạo Case/ticket cho Tier 2 kèm mô tả rõ thông tin cần thực hiện:

- Xác minh hành vi: Tùy theo thông tin cảnh báo, cần xác minh hành vi liên quan nghiệp vụ quản trị, khai thác hoặc tác động của Tier 2.

- Phản ứng tấn công: Căn cứ vào loại tấn công để đưa ra phương án ngăn chặn phù hợp, bao gồm nhưng không giới hạn các phương án:

+ Chặn IP đang thực hiện tấn công dò quét từ internet

+ Thiết lập luật chặn email theo người gửi, tiêu đề, ...

- Trường hợp Case gán sai, thực hiện gán lại đúng cán bộ cần xử lý.

Lưu ý: Trong trường hợp không xác định được phòng ban, người xử lý theo đầu mối công việc được định nghĩa trước, chuyển ticket cho Phòng An ninh bảo mật xử lý.

Đơn vị giám sát ATTT
(Tier 1 + Tier 3)

Loại tấn công vào hệ thống

Ticket được tạo trên SOC

5

Bước 5: Xử lý Case.

Tier 2 thực hiện xử lý ticket trong phạm vi nghiệp vụ quản trị, vận hành theo yêu cầu (Tier 1 + Tier 3) được mô tả, hướng dẫn trong ticket

Tier 2

Ticket trên NOC

Kết quả xử lý ticket

6

Bước 6: Cập nhật kết quả và Chuyển trạng thái Case về chờ phê duyệt.

Tier 2 thực hiện xử lý Case theo nghiệp vụ quản trị và vận hành. Cập nhật chi tiết thông tin đã xác minh, xử lý vào ticket. Đóng ticket xác nhận hoàn thành xử lý

Tier 2

Kết quả xử lý Case

Ticket được chuyển trạng thái chờ phê duyệt trên SOC

7

Tier 1 + Tier 3 kiểm tra lại kết quả xử lý ticket của Tier 2.

- Gán lại Case đúng cán bộ vận hành Tier 2 theo đúng chức năng nghiệp vụ, quay lại bước 4.

- Trường hợp ticket tấn công chưa được ngăn chặn triệt để, quay lại Bước 4. Nếu tấn công đã được ngăn chặn thành công, hoặc hành vi liên quan nghiệp vụ quản trị chuyển Bước 7.

- Dựa vào kết quả xác minh nghiệp vụ của Tier 2, đánh giá có sự cố, chuyển Bước 8.

Bước 7: Đóng case/ticket.

(Tier 1 + Tier 3) thực hiện đóng ticket, kết thúc quy trình xử lý cảnh báo.

Đơn vị giám sát ATTT
(Tier 1 + Tier 3)

Kết quả xử lý Case

Case được đóng trên SOAR

Ticket được kết thúc trên SOC

8

Bước 8: Xác định mức độ sự cố.

- Mức độ của sự cố được xác định theo Quy định của EVN.

- Cập nhật mức độ sự cố cho Case

Đơn vị giám sát ATTT
(Tier 1 + Tier 3)

Kết quả xác minh khả năng hệ thống bị tấn công

Severity của case được tạo trên SOAR:

9

Bước 9: Thông báo sự cố.

- Thông báo về sự cố cho đầu mối ATTT của Thường trực Đội/Tổ CSIRT, Ban KHCN, Đơn vị QLVH.

- CSIRT triển khai các biện pháp ứng cứu theo Quy trình xử lý sự cố ATTT.

Đơn vị giám sát ATTT
(Tier 1 + Tier 3)

Sự cố ATTT

Email, điện thoại cho đầu mối ATTT nắm được thông tin sự cố

STT

Giai đoạn

Công việc thực hiện

Phụ trách

Đầu vào

Đầu ra

1

Detection

Bước 1: Xác định phạm vi ảnh hưởng, mức độ nghiêm trọng.

Đối với Dữ liệu cá nhân, Bộ phận Quản trị CSDL thuộc Đội/Tổ CSIRT có trách nhiệm thông báo và phối hợp với Tổ BVDLCN thực hiện đánh giá mức độ ảnh hưởng và dấu hiệu vi phạm.

CSIRT

Các thông tin liên quan đến sự cố ATTT

Mức độ sự cố: Nghiêm trọng, Không nghiêm trọng, Vi phạm dữ liệu cá nhân

Bước 2: Xác định & triển khai các phương án phản ứng nhanh.

Hành động này nhằm giảm thiểu khả năng ảnh hưởng của sự cố đối với các hệ thống đang bị tấn công và chưa bị tấn công. Bao gồm, không giới hạn các hành động sau:

- Đối với máy tính người dùng: thực hiện cô lập máy tính bị phát hiện tấn công (bằng giải pháp Network Access Control, ngắt kết nối internet, ...)

- Đối với máy chủ: chặn kết nối C&C (bằng Firewall, IPS, ...).

- Lập báo cáo sự cố theo Mẫu 01, Phụ lục 2, QĐ 1828

- Khi xác định sự cố có liên quan đến vi phạm dữ liệu cá nhân, Tổ BVDLCN lập báo cáo và thông báo cho Bộ Công an (A05) trong vòng 72 giờ kể từ khi xảy ra vi phạm" theo hướng dẫn tại Điều 11 của Quyết định 654/QĐ-EVN.

CSIRT

Thông tin liên quan đến sự cố, mức độ sự cố, mức độ ảnh hưởng kinh doanh nếu cô lập thiết bị

Hành động phản ứng nhanh hoàn thành triển khai

2

Analysis

Bước 3: Phân tích, điều tra số.

Sử dụng các nghiệp vụ về điều tra số, rà soát/phân tích mã độc/webshell, threat hunting để nhanh chóng xác định bao gồm, không giới hạn các thông tin sau:

- Cách thức kẻ tấn công xâm nhập vào hệ thống

- Cách thức kẻ tấn công duy trì kiểm soát, leo thang trong mạng

- Cách thức kết nối điều khiển mã độc

- Danh sách máy tính/máy chủ/thiết bị/tài khoản bị kẻ tấn công chiếm quyền

- Hành động của kẻ tấn công sau khi chiếm quyền thành công

CSIRT

Danh sách thiết bị nghi ngờ, log hệ thống/ứng dụng/thiết bị

Attack map, Evidences

Kiểm tra kết quả điều tra, phân tích, có xuất hiện IOC mới không, nếu có chuyển bước 4, không có chuyển bước 5.

IOC bao gồm, không giới hạn những loại sau:

- Host IOC: mã độc, công cụ kẻ tấn công sử dụng

- Network IOC: IP/Domain máy chủ điều khiển của kẻ tấn công

- Kỹ thuật đặc thù nhóm tấn công sử dụng để chiếm quyền, duy trì khả năng điều khiển, tấn công leo thang, nâng đặc quyền, ...

CSIRT

Kết quả điều tra, phân tích

IOCs

Bước 4: Săn tìm IOC.

Mục tiêu để xác định toàn bộ, đầy đủ các thành phần trong hệ thống có dấu hiệu bị kẻ tấn công chiếm quyền. Căn cứ vào từng loại IOC để đưa ra phương án săn tìm phù hợp, bao gồm nhưng không giới hạn các phương pháp:

- Xây dựng & đẩy script săn tìm trên endpoint qua kênh quản trị tập trung (ví dụ: powershell remoting, giải pháp EDR, Antivirus, ...)

- Săn tìm qua các event log quá khứ trên SIEM

CSIRT

IOCs

Danh sách thiết bị có dấu hiệu chiếm quyền

3

Containment, Eradication & Recovery

Bước 5: Xác định phương án khắc phục.

Căn cứ vào kết quả điều tra, phân tích ở bước 3, xây dựng kế hoạch khắc phục đảm bảo sự cố được xử lý triệt để. Bao gồm, không hạn chế các hoạt động khắc phục sau:

- Ngăn chặn: chặn lọc địa chỉ IP độc, chặn phân giải tên miền độc,

- Loại bỏ: các thành phần kẻ tấn công để lại để kiểm soát hệ thống (mã độc, webshell, tài khoản, ...), đổi mật khẩu các tài khoản bị lộ, khắc phục các lỗ hổng/điểm yếu trên các hệ thống bị chiếm quyền, ...

- Khôi phục: dựng lại các hệ thống bị chiếm quyền trong trường hợp cần thiết.

CSIRT

Attack map, Evidences

Kế hoạch khắc phục

Bước 6: Triển khai hành động khắc phục.

Đây là bước quan trọng, mục tiêu loại bỏ toàn bộ kênh kiểm soát hệ thống của kẻ tấn công, đưa dịch vụ về trạng thái bình thường.

Lưu ý: cần thực hiện các hành động này đồng bộ và triệt để. Tránh rủi ro khi kẻ tấn công bị đánh động sẽ sử dụng con đường khác chưa bị chặn để cài thêm backdoor & ngủ đông chờ cơ hội quay lại.

CSIRT, Tier 2 (QLVH)

Kế hoạch khắc phục

Kết quả thực hiện các hành động khắc phục

Kiểm tra kết quả khắc phục sự cố. Nếu sự cố đã hoàn thành xử lý (Dịch vụ/Hệ thống hoạt động bình thường; kẻ tấn công không còn khả năng kiểm soát hệ thống), chuyển bước 7. Ngược lại, quay về bước 3.

CSIRT

Kết quả thực hiện các hành động khắc phục

Kết quả xử lý sự cố

4

Post-Incident Activity

Bước 7: Xây dựng báo cáo sự cố.

Tổng hợp toàn bộ thông tin về sự cố; cũng như kết quả điều tra, phân tích; kế hoạch & kết quả thực hiện các biện pháp phản ứng; vấn đề tồn tại; …

Xây dựng báo cáo theo Mẫu 02, Phụ lục 2, QĐ 1828.

Thông báo sự cố cho các bên liên quan yêu cầu của pháp luật và/hoặc hợp đồng.

CSIRT

Toàn bộ thông tin về sự cố & quá trình xử lý

File báo cáo theo Mẫu 02, Phụ lục 2, QĐ 1828.

Bước 8: Triển khai lesson learned.

Hoạt động này nhằm rà soát lại toàn bộ quá trình xử lý sự cố, rút ra bài học sau sự cố, cải tiến quá trình xử lý để đạt hiệu quả hơn trong tương lai, xác định các vấn đề ATTT trung hạn & dài hạn cần phải xử lý. Bao gồm, không giới hạn vấn đề sau:

- Rà soát, xác định các lỗ hổng điểm yếu mới chỉ workaround để lên phương án khắc phục triệt để.

- Rà soát, xác định các vấn đề ATTT trung hạn, dài hạn cần xử lý (ví dụ: nâng cấp mô hình xác thực đa nhân tố, đào tạo nhận thức ATTT cho cán bộ nhân viên, triển khai bổ sung các giải pháp ATTT, quy hoạch lại hệ thống mạng, …).

- Rà soát, xác định các evidence không có cảnh báo để viết bổ sung rule nhận diện.

Đơn vị QLVH (Tier2)

Báo cáo sự cố

Kế hoạch triển khai công tác ATTT tiếp theo

TT

Tên bước

Trách nhiệm

Mô tả

1

1. Phân loại thay đổi

QLVH (Cấp ĐHCS)

Khi tiếp nhận yêu cầu thay đổi trong hoạt động vận hành, bảo trì, nâng cấp trong hệ thống thông tin, Đơn vị QLVH thực hiện các yêu cầu đáp ứng Điều 17 Quy định ANM&ATTT-EVN.

Cấp trực tiếp thực thi yêu cầu phải thực hiện phân loại thay đổi để xác định có đúng thẩm quyền của mình thực hiện hay không.

Trong đó các thay đổi lớn cần phải kiểm soát quá trình thay đổi (ví dụ chuyển HTTT từ giai đoạn kiểm thử sang vận hành chính thức hoặc khi thay đổi cấu hình, thiết lập chính sách, phân quyền…).

Các thay đổi nhỏ, thường xuyên như kết nối máy tính của người dùng vào mạng; hỗ trợ người dùng đổi mật khẩu hoặc các thay đổi khẩn cấp, thay đổi phòng ngừa, thay đổi trong quá trình ứng cứu sự cố theo sự điều hành của Ban Chỉ đạo bảo đảm ANM&ATTT EVNNPT sau đây có thể rút gọn bước phê duyệt.

Các thay đổi về thiết kế HTTT, phương án bảo đảm ANM&ATTT bắt buộc thông qua EVNNPT xem xét phê duyệt.

EVNNPT duy trì danh mục các thay đổi trong phạm vi quyết định của Đơn vị QLVH. Trong quá trình quản lý vận hành, EVNNPT xem xét điều chỉnh danh mục này để tối ưu hoạt động quản lý.

Đơn vị QLVH phải duy trì danh mục các thay đổi thuộc thẩm quyền của cấp ĐHCS. Và định kỳ rà soát cập nhật danh mục này để các cấp ĐHCS hiểu rõ phạm vi thao tác của mình.

2

Lập phương án

QLVH

Lập kế hoạch và kiểm tra phương án thực hiện (phương án phải đủ chi tiết để phục vụ đánh giá rủi ro ATTT đến hệ thống hoặc các tác động liên đới đến các HTTT khác);

Phương án thực hiện trong hệ thống OT phải xem xét đến an toàn cho con người trong khu vực thực hiện.

3

Đánh giá rủi ro tác động

QLVH/

ANM&ATTT

- Đánh giá các tác động tiềm năng, đánh giá rủi ro của phương án đối với hoạt động SXKD của EVNNPT/Đơn vị;

- Các thay đổi có rủi ro cao hoặc có tác động liên đới đến các HTTT cấp độ 3 trở lên phải có phương án hủy bỏ/khôi phục đối với các thay đổi không thành công và sự kiện bất khả kháng.

- Có thể thực hiện toàn bộ hoặc 1 phần Quy trình quản lý rủi ro tùy thuộc vào phạm vi thay đổi.

4

Kiểm tra, phê duyệt phương án

Lãnh đạo QLVH,

Tổ ISMS

- Tổ ISMS kiểm tra sự phù hợp của phương án đối với các Quy định quản lý trước khi trình cấp có thẩm quyền phê duyệt.

- Trường hợp thay đổi thuộc thẩm quyền EVNNPT phê duyệt hoặc thông qua để Đơn vị QLVH phê duyệt thì thực hiện gửi EVNNPT xem xét.

- Trường hợp thuộc thẩm quyền của EVNNPT: Ban KHCN thực hiện xem xét các vấn đề về ANM&ATTT, phối hợp với các Ban chuyên môn xem xét, tham mưu lãnh đạo EVNNPT phê duyệt.

- Nếu có thay đổi về phương án An ninh mạng đã được Bộ Công an thẩm định, ĐV QLVH cập nhật Hồ sơ đề xuất cấp độchuyển ĐVCT ANM&ATTT xem xét ý kiến chuyên môn và xin ý kiến của Bộ Công an xem xét thẩm định phần phương án thay đổi.

- Cấp có thẩm quyền thực hiện phê duyệt.

5

Thực hiện thay đổi

QLVH/ĐHCS

- Các đơn vị có liên quan trong phương án: thực hiện triển khai thay đổi và kiểm tra các yêu cầu về ATTT được đáp ứng sau khi thay đổi;

- Thông báo kết quả đến các bộ phận liên quan.

- Cập nhật hồ sơ thay đổi và các hồ sơ tài liệu có liên quan (tài liệu hướng dẫn, phương án ứng cứu, thông tin cấu hình…).

- Quy trình liên quan: Quy trình quản lý cấu hình.

6

Xem xét kết quả thay đổi

QLVH

ANM&ATTT

- Đánh giá hiệu quả của các biện pháp ANM&ATTT.

- Kiểm tra, đánh giá các thiết lập, thay đổi sau khi thực hiện để kịp thời phát hiện các rủi ro mới.

7

Cập nhật hồ sơ

QLVH/ĐHCS

Tổ ISMS

Đơn vị QLVH cập nhật các hồ sơ quản lý theo HTTT phục vụ kiểm tra, đánh giá. Hồ sơ thay đổi phải phản ánh toàn bộ các bước thực hiện của quy trình.

ISMSkiểm soát việc cập nhật hồ sơ. Lưu các hồ sơ liên quan đến quy trình quản lý ANM&ATTT.

TT

Tên bước

Trách nhiệm

Mô tả

1

Xác định phạm vi quản lý cấu hình

QLVH

EVNNPT thông nhất công tác quản lý cấu hình, thiết lập đường cơ sở phục vụ công tác giám sát HTTT, quản lý tài nguyên, thay đổi cấu hình, quản lý sự kiện và vấn đề đảm bảo tính nhất quán và hiệu quả.

Quản lý cấu hình (thông số kỹ thuật tĩnh và động) là việc thiết lập và duy trì cơ sở dữ liệu cấu hình (CMDB) cho toàn bộ tài sản CNTT (thiết bị, dịch vụ) của EVNNPT. Đây là biện pháp bổ sung cho hoạt động quản lý tài sản nhằm quản lý các thông tin logic của tài sản vật lý và dịch vụ (cấu hình, các mối quan hệ, trạng thái hoạt động) nhằm phục vụ các hoạt động Giám sát dịch vụ, quản lý tài nguyên, thay đổi, hỗ trợ người dùng, xử lý sự cố, quản lý vấn đề và phân tích, báo cáo…

Đơn vị QLVH phải thiết lập và duy trình danh mục toàn bộ các hệ thống thông tin, tài sản vật lý, tài sản phần mềm thuộc trách nhiệm quản lý và phân công thực hiện công tác quản lý cấu hình.

2

Xác định trạng thái chuẩn

(Baseline)

QLVH

EVNNPT giao chỉ tiêu vận hành và các yêu cầu về cấu hình cho từng loại hệ thống.

Đơn vị căn cứ chỉ tiêu QLVH được giao (số giờ downtime, suất sự cố…), tiêu chí sự cố (các tiêu chí suy giảm hiệu năng), các yêu cầu cấu hình của EVN để xây dựng trạng thái chuẩn cho các tài sản, cấu hình của mỗi HTTT. Thực hiện rà soát Baseline mỗi khi có thay đổi cấu hình hoặc xuất hiện các yêu cầu thay đổi mới.

Baseline là mốc để so sánh, đánh giá và phát hiện các sai lệch về cấu hình. Baseline về hiệu năng như %CPU<80% hay Baseline về An ninh mạng như SMBv1=OFF, Antivirus=ON.

Xây dựng mối liên hệ giữa các cấu hình/tài sản trong một HTTT phục vụ công tác lập kế hoạch thay đổi, xác định nguyên nhân gốc rễ hoặc phân tích tác động đến HTTT khi một baseline bị sai lệch. Nếu có thể, sử dụng những công cụ cho phép mô hình hóa trực quan mối liên hệ như CMDBuild, GLPI, ServiceNow, iTop...

3

Kiểm kê, xác định cấu hình

QLVH

Đơn vị QLVH định kỳ kiểm kê, phát hiện các tài sản mới trong hệ thống, thực hiện xác định và cập nhật trạng thái vào Phần mềm quản lý hoặc hồ sơ tương đương.

4

Thay đổi cấu hình

QLVH

Mọi thay đổi cấu hình (nâng cấp, sửa chữa, thay thiết bị…) đều phải được Đơn vị QLVH cập nhật trạng thái vào CMDB sau khi hoàn thành kèm theo mô tả và thời gian thực hiện.

Khi lập kế hoạch thay đổi, Đơn vị QLVH sử dụng CMDB để xác định phạm vi cần cấu hình để triển khai các thay đổi.

5

Kiểm soát cấu hình

QLVH

Áp dụng quy trình quản lý thay đổi khi thực hiện các thay đổi cấu hình lớn (phê duyệt, đánh giá rủi ro).

Rà soát định kỳ để đảm bảo thông tin cấu hình thực tế khớp với thông tin trong cơ sở dữ liệu cấu hình (CMDB).

6

Báo cáo, phân tích

QLVH

Đơn vị QLVH báo cáo định kỳ 06 tháng về tỉ lệ sai lệch cấu hình, bất thường; đề xuất chuẩn hóa chính sách cấu hình.

TT

Tên bước

Trách nhiệm

Mô tả

1

Lập phương án

QLVH

- Kiểm tra phiên bản phần mềm, hệ điều hành, chủng loại thiết bị và Baseline áp dụng cho loại thiết bị để chuẩn bị công cụ, nguồn lực thực hiện.

- Xác minh cấu hình ban đầu của thiết bị, máy chủ, ứng dụng.

2

Thông qua checklist

QLVH/ANM

- Xây dựng hoặc lựa chọn tài liệu cấu hình tiêu chuẩn (Checklist). Phạm vi triển khai phải bảo gồm toàn bộ tài sản phần cứng, phần mềm, hệ điều hành liên quan đến HTTT. máy tính đầu cuối, thiết bị di động và cầm tay, thiết bị mạng, thiết bị OT/IoT, máy chủ... hệ điều hành, ứng dụng…

- Nội dung triển khai bao gồm các biện pháp kỹ thuật theo quy định tại TCVN 11930:2017; phương án đảm bảo ATTT theo cấp độ; cấu hình ghi nhật ký hệ thống; cấu hình tối ưu, tăng cường bảo mật cho thiết bị hệ thống (cứng hóa. trước khi đưa vào vận hành, khai thác; Quy tắc cấu hình bảo mật tại Quyết định số 1290/QĐ-EVN ngày 05/9/2022 của Tập đoàn Điện lực Việt Nam về việc Quyết định ban hành tài liệu Bộ quy tắc cấu hình an toàn thông tin.

- Chuẩn bị tài liệu hướng dẫn các bước thực hiện (nếu có), bao gồm thực hiện: Cấu hình tự động khoá phiên làm việc trên các tài sản phần cứng và phần mềm; Gỡ bỏ hoặc vô hiệu hoá các tính năng, dịch vụ không cần thiết trên các tài sản phần cứng và phần mềm và các thiết lập tối thiểu theo Phương án bảo đảm ATTT và các hướng dẫn của EVN/EVNNPT.

- Phê duyệt checklist (lồng ghép vào phương án thi công).

3

Thiết lập cấu hình

QLVH

- Thực hiện cấu hình dựa trên checklist và ghi nhận kết quả thực hiện của từng nội dung.

- Đối với những nội dung không thực hiện được cần phải ghi chú rõ ràng lý do và đề xuất biện pháp xử lý hoặc giảm thiểu.

4

Kiểm tra, đối chiếu

QLVH/ANM

- Thực hiện kiểm tra kết quả thực hiện; có thể sử dụng các công cụ kiểm tra độc lập.

- Đối chiếu với Baseline, đề xuất của bước 3 để báo cáo kết quả hardening.

5

Kiểm tra điều kiện đưa vào vận hành

QLVH

Cấp có thẩm quyền

- Căn cứ đề xuất từ bước 4, Người có thẩm quyền có thể quyết định đưa vào vận hành hoặc nếu có nội dung chưa đạt thì có thể thực hiện các bước đánh giá và xử lý rủi ro.

- Với rủi ro mức cao: cần phải xử lý khắc phục ngay trước khi đưa vào vận hành.

- Với rủi ro mức trung bình có thể áp dụng các biện pháp giảm nhẹ, ghi nhận để khắc phục sau.

- Với rủi ro thấp: có thể tạm ghi nhận ngoại lệ, tồn tại để xử lý sau.

- Đơn vị phải lập hồ sơ các ngoại lệ, tồn tại; trình cấp có thẩm quyền để xác nhận rủi ro và phê duyệt phương án tạm thời. Đồng thời phải thiết lập deadline cho các mục chưa đáp ứng và theo dõi tiến độ xử lý. Kiểm tra lại trong lần Hardening tiếp theo hoặc các đợt kiểm tra, đánh giá ANM định kỳ.

- Không vận hành hệ thống nếu chưa có kiểm tra, đánh giá và quản lý rủi ro An ninh mạng.

6

Sao lưu và cập nhật CMDB

QLVH

- Sao lưu cấu hình của hệ thống sau khi thực hiện thiết lập cấu hình.

- Cập nhật CMDB đối với các cấu hình đã thay đổi.

7

Cập nhật hồ sơ QLVH

QLVH/ISMS

- Cập nhật Hồ sơ vận hành.

TT

Tên bước

Trách nhiệm

Mô tả

1

Rà soát, phát hiện, xác định thành phần tồn tại điểm yếu

QLVH

Khi tiếp nhận cảnh báo lỗ hổng hoặc có yêu cầu thực hiện đột xuất hoặc định kỳ tối thiểu 01 lần/tháng thực hiện rà soát các tài sản để xác định các lỗ hổng bảo mật, điểm yếu như sau:

▪ Từ Hồ sơ của HTTT hoặc quy trình quản lý tài sản, thực hiện xác định các thiết bị, máy chủ, phần mềm, dịch vụ có liên quan cần kiểm tra, đánh giá lỗ hổng điểm yếu.

▪ Đối chiếu hiện trạng các thành phần trong HTTT với danh mục điểm yếu đã biết.

▪ Sử dụng các giải pháp công nghệ hỗ trợ:

○ Giải pháp quét lỗ hổng, báo cáo từ người dùng, cảnh báo từ nhà sản xuất để hỗ trợ cho việc xác định các thành phần tồn tại lỗ hổng, điểm yếu.

○ Giải pháp kiểm tra an ninh mạng trên máy chủ, máy trạm (Microsoft Baseline Security Analyzer).

○ Giải pháp quản lý bản vá để tự động phát hiện các lỗ hổng chưa vá và quản lý quá trình triển khai bản vá.

○ Xem xét cảnh báo trên SOC/SIEM.

○ Giải pháp phân tích, đánh giá ATTT mã nguồn.

○ Sử dụng thông tin tình báo để xác định các lỗ hổng hoặc mật khẩu yếu, mật khẩu bị lộ lọt.

2

Đánh giá mức độ nghiệm trọng của lỗ hổng, điểm yếu.

QLVH

▪ Thực hiện đánh giá mức độ nghiêm trọng của lỗ hổng, từ đó xác định mức độ ưu tiên của việc khắc phục lỗ hổng theo thứ tự các mức Nghiêm trọng, Cao, Trung bình và Thấp.

3

Lập Kế hoạch, phương án xử lý lỗ hổng, điểm yếu; triển khai bản vá

QLVH

Tổ ISMS

▪ Xây dựng phương án, kế hoạch khắc phục cho các lỗ hổng, điểm yếu đã phát hiện theo thứ tự mức độ ưu tiên. Trong kế hoạch phải có nội dung sao lưu dữ liệu, cấu hình của hệ thống.

▪ Đánh giá tác động, rủi ro của việc khắc phục, tiến hành kiểm thử và xây dựng phương án phục hồi nếu việc khắc phục hoặc triển khai bản vá thất bại.

▪ Các Kế hoạch, Phương án phải có Tổ ISMS xem xét và thông qua về kết quả đánh giá rủi ro và mức độ tuân thủ quy trình, quy định nhằm giảm thiểu bỏ sót các nguy cơ.

4

Phê duyệt kế hoạch

QLVH

▪ Lãnh đạo Đơn vị Quản lý vận hành phê duyệt Kế hoạch, phương án khắc phục nếu đạt 1 trong 2 điều kiện sau:

○ HTTT cấp độ 3 trở lên và lỗ hổng, điểm yếu mức Cao trở lên.

○ Tác động, rủi ro của việc khắc phục ở mức Cao trở lên.

▪ Lãnh đạo Phòng ĐĐVT phê duyệt Kế hoạch, phương án đối với các trường hợp còn lại.

5

Triển khai kế hoạch.

QLVH

▪ Triển khai khắc phục theo Kế hoạch đã duyệt.

▪ Trong trường hợp hệ thống bị sự cố trong khi khắc phục: Đơn vị triển khai phương án phục hồi trạng thái khi chưa khắc phục.

6

Kiểm tra & xác nhận khắc phục

QLVH

Tổ ISMS

▪ Kiểm tra lại kết quả khắc phục lỗ hổng, điểm yếu để bảo đảm lỗ hổng, điểm yếu đã được khắc phục hoàn toàn.

▪ Sử dụng các giải pháp công nghệ trong quá trình đánh giá lại tương tự bước 1.

▪ Nếu lỗ hổng, điểm yếu chưa hoặc không thể khắc phục cần triển khai đánh giá rủi ro và thực hiện phương án xử lý tạm thời.

7

Cập nhật hồ sơ và báo cáo

QLVH

▪ Cập nhật nhật ký vận hành; hồ sơ quản lý thay đổi; cơ sở dữ liệu cấu hình;

▪ Báo cáo EVNNPT các lỗ hổng, điểm yếu chưa hoặc không thể khắc phục, mức độ rủi ro còn lại và phương án xử lý tạm thời.

TT

Tên bước

Trách nhiệm

Mô tả

1

Đề nghị cấp mới, thay đổi và thu hồi truyền truy cập

Đơn vị đề nghị sử dụng tài nguyên, dịch vụ, truy cập HTTT

○ Đơn vị có nhu cầu cấp mới, thay đổi hoặc thu hồi quyền truy cập để khai thác, sử dụng HTTT (đối với CBCNV hoặc Nhà thầu, đối tác khi thực hiện hợp đồng/thỏa thuận) gửi Đề nghị cho Đơn vị QLVH HTTT.

○ Đề nghị phải bao gồm:

● Họ và tên, Bộ phận công tác, chức danh/vị trí.

● Ngày bắt đầu và thời hạn cấp phát.

● Mã định danh/tài khoản (nếu đã cấp).

● Phạm vi thay đổi quyền truy cập (tài nguyên, dịch vụ, HTTT).

● Phương án xử lý tài nguyên, dữ liệu (nếu cần) sau khi thu hồi quyền truy cập (ví dụ: copy gửi Chủ quản dữ liệu hoặc phân quyền cán bộ khác thụ lý hoặc hủy bỏ hoặc chuyển chế độ lưu trữ trong không quá 30 ngày).

○ Tổ ISMS của Đơn vị đề nghị có trách nhiệm kiểm tra các tài liệu, hồ sơ liên quan (Quyết định công tác, hợp đồng lao động hoặc hợp đồng với đối tác) để xác nhận việc đề nghị là đúng người, đúng việc, đúng phạm vi, thời gian.

○ Đề nghị cấp quyền hoặc thu hồi phải có xác nhận của Người đứng đầu Ban/Đơn vị hoặc người được uỷ quyền.

2

Xác minh Đề nghị

Đơn vị QLVH tài nguyên, dịch vụ, HTTT

Đơn vị tiếp nhận Đề nghị thực hiện xác minh nhu cầu, kiểm tra các định danh liên quan (tài khoản, chữ ký điện tử, các mật mã dân sự khác,…) bảo đảm Đề nghị đã bao gồm đủ thông tin để thực hiện. Cụ thể như sau:

○ Xem xét Phiếu đề nghị có đủ thông tin và xác nhận cần thiết.

○ Xem xét phạm vi quyền truy cập đáp ứng nguyên tắc phân quyền tối thiểu và các chính sách của EVNNPT.

○ Đối với việc cấp tài khoản cho đối tác bên ngoài EVNNPT phải có ký kết thỏa thuận bảo mật thông tin (NDA).

○ Đối với đề nghị huỷ bỏ, thu hồi quyền truy cập của Cán bộ thôi việc, nghỉ hưu đã có Quyết định của cấp có thẩm quyền cần gửi ngay (trong vòng 01 ngày) đến Bộ phận quản lý định danh để tạm thời vô hiệu hoá tài khoản.

3

Lập phương án thay đổi quyền truy cập

Đơn vị QLVH tài nguyên, dịch vụ, HTTT

○ Bộ phận Quản trị CNTT xây dựng phương án cấp, thay đổi, thu hồi quyền truy cập bao gồm:

● Đề nghị tạo hoặc vô hiệu hoá tài khoản trên hệ thống quản lý định danh (nếu cần thiết).

● Checklist thực hiện cấp phát, thay đổi, kiểm tra.

● Checklist thu hồi, khôi phục việc cấp phát, thay đổi;

● Checklist các biện pháp kiểm soát, giám sát hoạt động của tài khoản quản trị.

● Đánh giá phạm vi hiệu lực của người dùng khi được cấp phát/thu hồi theo checklist.

○ Đề xuất biện pháp kiểm soát đặc quyền vượt nhu cầu (ví dụ người dùng chỉ yêu cầu quyền ghi dữ liệu nhưng hệ thống không có lựa chọn để phân quyền ghi dữ liệu mà phải chọn thêm quyền xóa dữ liệu thì phải có biện pháp kiểm soát các đặc quyền vượt nhu cầu).

○ Checklist phải bao gồm toàn bộ các tài sản hoặc HTTT có liên quan. Ví dụ: Thẻ ra vào, chữ ký điện tử, phương tiện lưu trữ hoặc xử lý thông tin phát cho cá nhân, các dịch vụ CNTT cơ bản VPN, Wifi, các phần mềm đặc thù, các phần mềm dùng chung …

○ Đề nghị tạo (nếu chưa có) hoặc thu hồi tài khoản phải gửi đến Bộ phận quản lý định danh (hệ thống quản lý định danh chung của EVNNPT hoặc các hệ thống định danh Cloud khác mà EVNNPT thuê dịch vụ như Microsoft 365…) sau khi Phương án được duyệt.

4

Duyệt phương án thay đổi quyền truy cập

Đại diện QLVH tài nguyên, dịch vụ, HTTT

○ Tổ ISMS xem xét phương án bao gồm checklist và các biện pháp kiểm soát rủi ro.

○ Đơn vị QLVH phê duyệt phương án khi các checklist và biện pháp kiểm soát là lựa chọn tối ưu nhất để kiểm soát rủi ro. Đồng thời Đơn vị QLVH chấp nhận các rủi ro tồn đọng sau khi áp dụng biện pháp kiểm soát.

5

Tạo mới hoặc vô hiệu tài khoản

Bộ phận quản lý định danh

Bộ phận quản lý định danh thực hiện tạo hoặc vô hiệu hoá tài khoản như sau:

○ Nếu tạo tài khoản: thực hiện theo đúng chính sách tài khoản theo Điều 14 khoản 5 Quy định ANM&ATTT-EVN; khởi tạo mật khẩu ban đầu ngẫu nhiên và yêu cầu thay đổi sau lần đăng nhập đầu tiên; gán các chính sách bảo mật đối với tài khoản trên hệ thống quản lý định danh. Thiết lập chính sách xác thực đa yếu tố (nếu có).

○ Nếu vô hiệu hoá tài khoản: Thực hiện vô hiệu hoá tài khoản trong vòng 01 ngày kể từ khi nhận được đề nghị/yêu cầu. Chuyển tài khoản sang khối quản lý dành cho các tài khoản đã bị vô hiệu quá để tiếp tục theo dõi.

○ Trong trường hợp Bộ phận quản lý định danh nhận được Quyết định thôi việc hoặc nghỉ hưu: Thực hiện ngay việc vô hiệu hoá tài khoản và các định danh khác của người dùng thôi việc hoặc nghỉ hưu như EVNCA, Microsoft 365… Sau khi phương án được duyệt thì đối chiếu các nội dung của Phương án và các việc đã thực hiện để tiếp tục triển khai.

○ Định kỳ 30 ngày rà soát và vô hiệu hoá các tài khoản không còn sử dụng.

○ Cập nhật Hồ sơ quản lý tài khoản chung của EVNNPT.

6

Thực hiện phương án thay đổi quyền truy cập

Đại diện QLVH tài nguyên, dịch vụ, HTTT

○ Bộ phận Quản trị CNTT của Đơn vị thực hiện phương án.

○ Thời hạn kết thúc phải được đưa vào hệ thống theo dõi để thu hồi đúng hạn hoặc làm thủ tục gia hạn.

○ Định kỳ hàng Quý: rà soát, đánh giá lại để kịp thời thu hồi quyền truy cập.

○ Liên tục giám sát hoạt động của Nhà thầu, bên thứ 3 truy cập vào HTTT để kịp thời phát hiện xử lý các nguy cơ, vi phạm tuân thủ.

7

Kiểm tra, thông báo kết quả và cập nhật hồ sơ

Đại diện QLVH tài nguyên, dịch vụ, HTTT

○ Kiểm tra kết quả thực hiện;

○ Kiểm tra hiệu quả các biện pháp kiểm soát rủi ro (ngăn ngừa, giám sát, giảm thiểu).

○ Thông báo cho người dùng hoặc đầu mối Hỗ trợ người dùng để hướng dẫn sử dụng.

○ Cập nhật nhật ký vận hành và Hồ sơ quản lý quyền truy cập theo HTTT.

TT

Tên bước

Trách nhiệm

Mô tả

1

Triển khai cấu hình ghi nhật ký thiết bị hệ thống

Nhà thầu, Đơn vị QLDA, Đơn vị QLVH

● Thiết lập dung lượng lưu nhật ký để không mất hoặc tràn nhật ký.

● Thiết lập cấu hình hệ thống để ghi nhật ký:

○ (1) Đáp ứng yêu cầu tại Mục 9.2.1.4 TCVN 11930:2017;

○ (2) Nhật ký hệ thống phòng chống xâm nhập;

○ (3) Nhật ký hệ thống phòng chống mã độc trên môi trường mạng;

● Thiết lập cấu hình hệ thống của sản phẩm Giám sát hệ thống thông tin tập trung (nếu có) để quản lý tập trung toàn bộ thiết bị mạng, thiết bị bảo mật, máy chủ, ứng dụng;

● Chia sẻ các nhật ký nói trên về SIEM;

2

Triển khai cấu hình ghi nhật ký máy chủ

Nhà thầu, Đơn vị QLDA, Đơn vị QLVH

● Thiết lập dung lượng lưu nhật ký để không mất hoặc tràn nhật ký.

● Không được xóa nhật ký hệ thống sau khi bàn giao vật tư, thiết bị từ Nhà thầu để lắp đặt trên công trình.

● Thiết lập cấu hình hệ thống để ghi nhật ký:

○ Thông tin về mã độc phát hiện trong hệ thống.

○ Nhật ký của hệ thống EDR, Phòng chống mã độc.

○ Nhật ký máy chủ đáp ứng yêu cầu tại Mục 9.2.2.3 TCVN 11930:2017

● Chia sẻ các nhật ký nói trên về SIEM.

3

Triển khai cấu hình ghi nhật ký ứng dụng

Nhà thầu, Đơn vị QLDA, Đơn vị QLVH

● Thiết lập dung lượng lưu nhật ký để không mất hoặc tràn nhật ký.

● Cấu hình ghi nhật ký đối với:

○ Tường lửa ứng dụng web (nếu có).

○ Tường lửa cơ sở dữ liệu (nếu có).

○ Hệ thống bảo đảm an toàn thông tin cho hệ thống thư điện tử (nếu có).

○ Hệ thống của hệ thống Phòng, chống thất thoát dữ liệu (nếu có)

○ Ứng dụng của máy chủ cung cấp dịch vụ (nếu có). Nhật ký hệ thống chia sẻ đáp ứng yêu cầu tại Mục 9.2.3.3 TCVN 11930:2017.

● Chia sẻ các nhật ký nói trên về SIEM;

4

Triển khai cấu hình ghi nhật ký thiết bị đầu cuối

Nhà thầu, Đơn vị QLDA, Đơn vị QLVH

● Thiết lập dung lượng lưu nhật ký để không mất hoặc tràn nhật ký.

● Cấu hình ghi nhật ký đối với:

○ Hệ thống Quản lý truy cập lớp mạng (nếu có).

○ Thiết bị đầu cuối (nếu thiết bị đầu cuối hỗ trợ chức năng chia sẻ nhật ký hệ thống).

● Chia sẻ các nhật ký nói trên về SIEM;

5

Thiết lập kênh giám sát ATTT

Nhà thầu, Đơn vị QLDA, Đơn vị QLVH

● Đồng bộ thời gian các thiết bị với đồng hồ chung của hệ thống;

● Thiết lập kênh giám sát ATTT để thu nhận dữ liệu giám sát từ HTTT về hệ thống SIEM/SOC của EVNNPT/PTC.

● Sử dụng chung kênh mạng IP từ TBA về B0x phục vụ giám sát vận hành.

6

Thiết lập hệ thống SIEM/ SOC

Nhà thầu, Đơn vị QLDA, Đơn vị QLVH

● Thiết lập cấu hình hệ thống SIEM để quản lý tập trung nhật ký hệ thống của toàn bộ thiết bị mạng, thiết bị bảo mật, máy chủ, ứng dụng.

● Chia sẻ cảnh báo của hệ thống SIEM sang hệ thống quản lý ticket/SOC phục vụ quá trình xác minh, xử lý sự cố. Hệ thống SOC có thể độc lập hoặc là tính năng có sẵn trên hệ thống SIEM được sử dụng để phục vụ hoạt động giám sát tổng thể, tạo và theo dõi việc xử lý các Ticket.

● Hệ thống SIEM/SOC được phân loại là hệ thống cơ sở hạ tầng thông tin; thiết lập các biện pháp bảo vệ cho hệ thống SIEM/SOC với cấp độ ATTT tối thiểu là 3.

7

Kiểm tra dữ liệu nhật ký đã về SIEM/SOC

Nhà thầu, Đơn vị QLDA, Đơn vị QLVH

● Kiểm tra các dữ liệu nhật ký của tất cả các thành phần đã về hệ thống SIEM.

● Thử nghiệm các kịch bản và kiểm tra các cảnh báo xuất hiện với kịch bản tương ứng.

TT

Tên bước

Trách nhiệm

Mô tả

1

Triển khai giải pháp phòng chống mã độc trên máy chủ, máy trạm

Nhà thầu, Đơn vị QLDA, Đơn vị QLVH

● Cài đặt hoặc sử dụng giải pháp phòng chống mã độc hiện hữu của Hệ điều hành.

● Thiết lập chế độ ghi nhật ký cho phần mềm phòng chống mã độc.

● Thiết lập chính sách phòng chống mã độc theo Baseline.

● Thiết lập cơ chế cập nhật CSDL nhận dạng mã độc mới.

● Chia sẻ các nhật ký từ giải pháp quản lý tập trung hoặc từ máy chủ/máy trạm về SIEM;

2

Triển khai phòng chống mã độc trên môi trường mạng, email

Nhà thầu, Đơn vị QLDA, Đơn vị QLVH

● Thiết lập chính sách phòng chống mã độc cho các giải pháp phòng chống mã độc trên môi trường mạng, email (nếu có).

● Thiết lập cơ chế cập nhật CSDL nhận dạng mã độc mới (nếu giải pháp và mô hình triển khai hỗ trợ).

● Chia sẻ các nhật ký từ giải pháp quản lý tập trung hoặc từ máy chủ/máy trạm về SIEM.

3

Cập nhật CSDL IoC của EVNNPT và
CSDL nhận dạng mã độc của nhà sản xuất.

Nhà thầu, Đơn vị QLDA, Đơn vị QLVH

● Cập nhật CSDL IoC khi thiết lập lần đầu và mỗi khi có thay đổi CSDL IoC. Việc cập nhật CSDL IoC của EVNNPT không ghi đè CSDL nhận diện hiện có của phần mềm phòng chống mã độc.

● Ban KHCN thông báo đến các đơn vị mỗi khi có cập nhật CSDL IoC.

● Cập nhật CSDL mã độc cho máy chủ quản lý tập trung (đối với máy chủ CSDL nhận diện đối với mạng OT phải thực hiện offline và thủ công).

4

Thiết lập kênh quản trị, cập nhật CSDL, chia sẻ nhật ký

Nhà thầu, Đơn vị QLDA, Đơn vị QLVH

● Thiết lập kênh từ HTTT có máy chủ máy trạm để đồng bộ CSDL nhận dạng và chia sẻ nhật ký.

● Đối với hệ thống ở vùng mạng IT, có kết nối Internet nhưng không có kết nối WAN của EVNNPT thì thực hiện đồng bộ qua Internet; việc đồng bộ phải sử dụng kết nối an toàn.

5

Kiểm tra kết quả cập nhật định danh mã độc và chia sẻ nhật ký

Nhà thầu, Đơn vị QLDA, Đơn vị QLVH

● Kiểm tra nhật ký của phần mềm phòng chống mã độc và các giải pháp phòng chống mã độc của mạng, qua email (nếu có) đã chia sẻ với SIEM.

● Kiểm tra việc đồng bộ CSDL nhận dạng của Nhà sản xuất đã thành công và không ghi đè CSDL IoC của EVNNPT.

6

Rà quét, xử lý mã độc và báo cáo

Nhà thầu, Đơn vị QLDA, Đơn vị QLVH

● Thực hiện rà soát tổng thể mỗi khi thiết lập lần đầu và mỗi khi thay đổi CSDL nhận diện mã độc của EVNNPT IoC và của Hãng.

● Kiểm tra kết quả quét mã độc và xử lý các mã độc phát hiện được.

● Kết quả rà soát khi thiết lập lần đầu phải được đính kèm hồ sơ nghiệm thu kỹ thuật HTTT.

● Đối với các HTTT hoặc thiết bị đã đưa vào vận hành: Báo cáo theo chế độ báo cáo công tác CNTT.

TT

Tên bước

Trách nhiệm

Mô tả

1

Xác định dữ liệu cần sao lưu

Đơn vị QLVH

● Đơn vị QLVH (Tổ ISMS hỗ trợ nếu cần thiết) thực hiện rà soát các tài sản để xác định các tài sản rủi ro; đánh giá rủi ro và xác định các dữ liệu cần bảo vệ.

● Xác định rõ các dữ liệu cần sao lưu bao gồm tối thiểu: tập tin cấu hình hệ thống, bản dự phòng hệ điều hành máy chủ, cơ sở dữ liệu, dữ liệu và thông tin nghiệp vụ;

● Tạo bảng để phục vụ việc điền các thuộc tính dữ liệu trong các bước tiếp theo.

2

Xác định các mục tiêu khôi phục

Chủ quản dữ liệu và Đơn vị QLVH

● Phối hợp với chủ quản dữ liệu để:

● Đánh giá mức độ nhạy cảm, tầm quan trọng và tần suất thay đổi của mỗi dữ liệu.

● Xác định mục tiêu về thời gian khôi phục (RTO) và thời điểm khôi phục (RPO) đối với từng dữ liệu bảo đảm hiệu quả về chi phí.

● Đối với HTTT quan trọng, yêu cầu chỉ tiêu RTO ≤ 4 giờ và RPO ≤ 15 phút.

3

Xây dựng kế hoạch sao lưu dữ liệu

Đơn vị QLVH

● Căn cứ các mục tiêu RTO, RPO và đặc thù của HTTT để xác định tần suất và phương pháp sao lưu.

● Với các loại dữ liệu quan trọng (như lĩnh vực tài chính, đo đếm, thông tin khách hàng,…): sao lưu dữ liệu thay đổi theo ngày, sao lưu toàn bộ dữ liệu tối thiểu 03 ngày/01 lần.

● Với các loại dữ liệu khác: thực hiện sao lưu dữ liệu thay đổi hàng tuần, sao lưu đầy đủ dữ liệu với tần suất tối thiểu 15 ngày/01 lần.

● Ước lượng dung lượng dữ liệu hiện tại và mức độ tăng trưởng để dự kiến dung lượng lưu trữ bản sao lưu theo quy tắc 3-2-1.

● Ứng dụng các giải pháp sao lưu tự động nếu có thể.

● Đối với máy chủ CSDL của HTTT quan trọng: Phải thiết lập chế độ nhật ký giao dịch (Transaction log) và sao lưu nhật ký giao dịch.

● Đối với máy tính thuộc hệ thống ĐKMT, khuyến nghị sau lưu thêm 01 bản hệ điều hành theo kỹ thuật convert thành máy ảo để phục vụ (1) săn tìm nguy cơ, (2) nghiên cứu, thử nghiệm các phương án trong môi trường Lab hoặc (3) để khôi phục tạm thời trong trường hợp không thể khôi phục từ bản backup khác. Bản máy ảo này phải thực hiện tạo ảnh (snapshot) trước khi bật lên lần đầu tiên. Giải pháp này không yêu cầu tắt máy tính và nhanh (khoảng 10 phút/máy)

● Kế hoạch sao lưu bao gồm: phương pháp sao lưu, tần suất thực hiện, vị trí lưu, công cụ sao lưu, Bộ phận thực hiện sao lưu (đối với nhà thầu bảo trì phần mềm phải thực hiện sao lưu mã nguồn, CSDL và các dữ liệu phi cấu trúc).

● Yêu cầu các Nhà thầu, bên thứ 3 có quan thực hiện sao lưu đối với các dữ liệu, hệ thống do Bên thứ 3 quản lý, bảo trì:

4

Phê duyệt

Tổ ISMS và Đại diện Đơn vị QLVH

● Tổ ISMS của Đơn vị QLVH xem xét kế hoạch sao lưu để xác nhận kết quả phân loại dữ liệu và sự phù hợp của Kế hoạch đối với các mục tiêu bảo vệ dữ liệu.

● Đơn vị QLVH phê duyệt phương án khi các checklist và biện pháp kiểm soát là lựa chọn tối ưu nhất để kiểm soát rủi ro. Đồng thời Đơn vị QLVH chấp nhận các rủi ro tồn đọng sau khi áp dụng biện pháp kiểm soát.

5

Thực hiện sao lưu

● Triển khai các giải pháp sao lưu tự động (nếu có thể).

● Thực hiện sao lưu dữ liệu (tự động hoặc thủ công) theo kế hoạch đã duyệt.

● Kiểm tra kết quả và copy dữ liệu đến các vị trí lưu trữ dự phòng theo nguyên tắc 3-2-1.

6

Bảo vệ dữ liệu sao lưu

● Lưu trữ bản sao dữ liệu theo nguyên tắc sao lưu 3-2-1 (Đối với hệ thống ĐKMT: 01 bản online tại máy EWS; 01 bản Offline tại Đội truyền tải điện; 01 bản lưu tập trung tại TTGSVH)

● Thời gian lưu trữ dữ liệu sao lưu bằng thời gian lưu trữ dữ liệu gốc và tuân thủ các quy định hiện hành về lưu trữ dữ liệu điện tử.

● Các bản sao lưu dữ liệu cần phải được định danh, quản lý phiên bản và lưu trữ ở những hạ tầng tách biệt với môi trường vận hành (máy EWS phải được thiết lập tường lửa để tách biệt với mạng LAN TBA)

● Thực hiện mã hoá đối với những dữ liệu quan trọng (file cấu hình có chứa mật khẩu, file project…).

● Dữ liệu quan trọng định kỳ kiểm tra bản sao lưu 01 lần/tuần, kiểm tra khả năng khôi phục toàn bộ hệ thống 01 lần/quý.

● Dữ liệu khác định kỳ kiểm tra bản sao lưu dữ liệu 01 lần/tháng.

● Cập nhật nhật ký vận hành mỗi khi thực hiện sao lưu dữ liệu, đồng bộ bản sao lưu, kiểm tra dữ liệu sao lưu.

Bước thực hiện

Trách nhiệm

Nội dung và trình tự thực hiện

1. Rà soát bối cảnh, Yêu cầu, Phạm vi, Nguồn lực, Chính sách

Tổ ISMS

- Xác định các vấn đề nội bộ và bên ngoài liên quan đến EVNNPT/Đơn vị và có ảnh hưởng đến khả năng đạt các kết quả mong muốn của hệ thống ISMS; tham khảo Điều 5.3 của TCVN ISO 31000:2011 (ISO 31000:2009) và Quy trình Quản lý Rủi ro EVNNPT.

- Xác định các yêu cầu mới hoặc thay đổi về yêu cầu và phạm vi áp dụng liên quan đến an toàn thông tin (ví dụ thay đổi quy định quản lý thông tin mật, nội bộ; hoặc các hợp đồng EVNNPT/Đơn vị ký kết với bên thứ 3 có liên quan đến bảo mật thông tin).

- Rà soát nguồn lực triển khai, vận hành ISMS, đưa vào kế hoạch hoàn thiện nếu chưa đáp ứng (ví dụ: đào tạo, bổ sung nguồn lực…).

- Rà soát các chính sách để đảm bảo phù hợp với Bối cảnh, các Yêu cầu và Phạm vi áp dụng.

- Tài liệu liên quan: Tài liệu mô tả Phạm vi áp dụng ISO 27001 và bối cảnh; Chính sách ATTT, các quy trình kiểm soát truy cập, quản lý sự cố, quy trình sao lưu và các quy trình ATTT khác.

2. Đánh giá rủi ro và xác định các kiểm soát

Tổ ISMS

- Xác định các rủi ro và cơ hội cải tiến để bảo đảm hệ thống ISMS hoạt động hiệu quả, giảm tác động không mong muốn và được cải tiến liên tục.

- Hàng năm, căn cứ kết quả đánh giá rủi ro theo Quy trình Quản lý rủi ro của EVNNPT; Tổ ISMS xác định các rủi ro liên quan đến ANM&ATTT và các kiểm soát cần phải thực hiện; xây dựng kế hoạch ISMS hàng năm để triển khai các biện pháp kiểm soát.

- Các biện pháp kiểm soát chia thành các nhóm Tổ chức, Con người, Vật lý và Công nghệ; bao gồm Biện pháp trong Quy chế, quy định quản lý nội bộ của EVNNPT, Phụ lục A của TCVN 27001 và các biện pháp bổ sung nếu cần thiết.

- Cập nhật Bảng Tuyên bố áp dụng (Statement of Applicability - SoA) bao gồm các biện pháp kiểm soát và lý giải việc áp dụng kiểm soát hoặc không áp dụng (nếu cần thiết).

- Hồ sơ liên quan: Hồ sơ đánh giá rủi ro

3. Xác định mục tiêu và xây dựng Kế hoạch ATTT

Tổ ISMS

- Xác định các mục tiêu cụ thể, khả thi, đo lường được (ví dụ: đào tạo nhận thức, giảm thời gian phát hiện sự cố, hoàn thành nhiệm vụ kiểm tra, đánh giá, 100% CBCNV mới ký cam kết bảo mật, hoàn thành triển khai rà soát đánh giá tác động xử lý dữ liệu cá nhân…).

- Xây dựng Kế hoạch để đạt được các mục tiêu trên; trong đó cụ thể nhiệm vụ, nguồn lực thực hiện, thời điểm hoàn thành và kết quả mong muốn.

- Lồng ghép vào Kế hoạch bảm đảm ATTT hàng năm của EVNNPT/Đơn vị để triển khai thực hiện.

- Hồ sơ liên quan: Kế hoạch bảo đảm ATTT hàng năm.

4. Tổ chức thực hiện Kế hoạch ISMS

Đơn vị và

Tổ ISMS

- Đơn vị tổ chức thực hiện kế hoạch để đạt được mục tiêu an toàn thông tin

- Tổ ISMS truyền thông mục tiêu ISMS trong toàn bộ tổ chức. Ghi nhận, tạo lập, bảo quản các hồ sơ được hình thành trong quá trình thực hiện.

- Hồ sơ liên quan: Kế hoạch bảo đảm ATTT hàng năm.

5. Đánh giá rủi ro ANM&ATTT

Tổ ISMS và

Bộ phận ANM&ATTT Đơn vị

- Định kỳ hoặc khi có sự thay đổi của Hệ thống thông tin hoặc biện pháp kiểm soát, phương án bảo đảm ANM&ATTT: Tổ ISMS phối hợp cùng Bộ phận ANM&ATTT của Đơn vị QLVH HTTT thực hiện đánh giá rủi ro ANM&ATTT (theo Quy trình Quản lý rủi ro ANM&ATTT)

- Hồ sơ liên quan: Hồ sơ đánh giá rủi ro

6. Thực hiện xử lý rủi ro ANM&ATTT

Bộ phận ANM&ATTT Đơn vị

- Thực hiện các kế hoạch xử lý rủi ro an toàn thông tin từ bước 5.

- Tổ ISMS theo dõi, cập nhật hồ sơ.

- Hồ sơ liên quan: Hồ sơ đánh giá rủi ro (bao gồm kế hoạch xử lý rủi ro)

7. Đánh giá nội bộ

Tổ ISMS

- Định kỳ 06 tháng thực hiện Đánh giá nội bộ ISMS

- Phương pháp: Dựa trên bằng chứng là các hồ sơ, tài liệu, trao đổi với cán bộ thực hiện quy trình, quan sát hoạt động của hệ thống, kiểm tra xác nhận sự phù hợp giữa “thực tế”-“hồ sơ”-“quy định”. Đánh giá có thể áp dụng phương pháp xuôi từ quy định - hồ sơ - thực thế (tìm các điểm không phù hợp, không tuân thủ) hoặc phương pháp ngược từ thực tế - hồ sơ - quy trình (tìm các điểm cần cải tiến của quy trình, quy định)

- Các kiểm soát cần đánh giá:

● Đảm bảo nguồn nhân lực;

● Sử dụng thiết bị di động, làm việc từ xa;