<![CDATA[Latest posts for the topic "Case study: HVA forum và "risk management""]]> /hvaonline/posts/list/21.html JForum - http://www.jforum.net Case study: HVA forum và "risk management" /hvaonline/posts/list/35379.html#217725 /hvaonline/posts/list/35379.html#217725 GMT Case study: HVA forum và "risk management"

conmale wrote:
1. HVA có "risks" không? Nếu có, những "risks" ấy là gì?  
Nếu nói risks nó có thể hơi mơ hồ một chút, có người sẽ lý luận vì các bác admin quá giỏi nên sẽ không có risk. :P Có thể chuyển câu hỏi sang thành: 1. HVA có "threats" hay không? Nếu có, đó là những "threats" gì?]]> /hvaonline/posts/list/35379.html#217729 /hvaonline/posts/list/35379.html#217729 GMT Case study: HVA forum và "risk management"

conmale wrote:
1. HVA có "risks" không? Nếu có, những "risks" ấy là gì?  
- Cái này thiệt khó trả lời nhưng bản thân em nghĩ cái gì cũng có rủi ro (risks) cả. Rủi ro thường thấy là HVA hay bị "kiểm tra" bởi các "thợ" ;-) .

conmale wrote:
2. Thiệt hại lớn nhất nếu HVA bị tấn công là gì? Có thể quy ra giá trị vật chất không?  
- Tuỳ vào mức độ rủi ro ;) .

conmale wrote:
3. Nếu có thể quy ra giá trị vật chất (nếu HVA bị thiệt hại), trong hoàn cảnh hoạt động phi lợi nhuận và hoàn toàn thiện nguyện, HVA có thể "mitigate risks" bằng những biện pháp nào khả thi nhất và hữu lý nhất?  
- Đào sâu vào các rủi ro (risks) và sửa chữa bằng kinh nghiệm và kỹ thuật của từng người quản trị (admin) :P . Thân,]]> /hvaonline/posts/list/35379.html#217731 /hvaonline/posts/list/35379.html#217731 GMT Case study: HVA forum và "risk management"

cvhainb wrote:
- Cái này thiệt khó trả lời nhưng bản thân em nghĩ cái gì cũng có rủi ro (risks) cả. Rủi ro thường thấy là HVA hay bị "kiểm tra" bởi các "thợ" ;-) . - Tuỳ vào mức độ rủi ro ;) . - Đào sâu vào các rủi ro (risks) và sửa chữa bằng kinh nghiệm và kỹ thuật của từng người quản trị (admin) :P . Thân, 
@cvhainb : cả 3 câu trả lời của bác chẳng có ý nghĩa gì cho thảo luận cả (đừng cố gắng góp mặt). @all : nên có những hiểu biết nhất định về vấn đề hãy tham gia. @all : Sorry cả nhà ! :-) ]]> /hvaonline/posts/list/35379.html#217735 /hvaonline/posts/list/35379.html#217735 GMT Case study: HVA forum và &quot;risk management&quot;

conmale wrote:
Để tiếp tục khai triển khía cạnh "risk management" từ chủ đề "Để trở thành hacker" cũng trong phân mục này. Tôi mở ra chủ đề mới và cụ thể về mục tiêu là "HVA forum" để tránh "lạc đề" và để tạo điều kiện cho những ai thích đào sâu hơn về "risk management". Tôi xin "mào đầu" bằng vài câu hỏi sau: 1. HVA có "risks" không? Nếu có, những "risks" ấy là gì? 2. Thiệt hại lớn nhất nếu HVA bị tấn công là gì? Có thể quy ra giá trị vật chất không? 3. Nếu có thể quy ra giá trị vật chất (nếu HVA bị thiệt hại), trong hoàn cảnh hoạt động phi lợi nhuận và hoàn toàn thiện nguyện, HVA có thể "mitigate risks" bằng những biện pháp nào khả thi nhất và hữu lý nhất? Mời bà con :P . 
1. HVA có "risks", HVA là diễn đàn phát triển có quy mô, tổ chức và có định hướng đúng đắn nhất trong các diễn đàn về CNTT tại Việt Nam, điều này dẫn đến nhiều hệ luỵ : nhiều kẻ lên HVA bị chỉnh vài câu đâm ra không thích phá cho vui, những kẻ ghen ghét thực hiện dò tìm khai thác lỗi, DDOS cho sập ... hoặc nguỵ tạo thông tin bôi xấu một số thành viên . Đại loại như sản phầm của microsoft luôn bị chú tâm bời các hacker . HVA chắc cũng luôn bị chú tâm, nhiều kẻ mong muốn hạ gục. 2. Thiệt hại lớn nhất HVA bị tấn công khi hva bị đánh sập hoặc bị DDOS nặng thì member sẽ không thể truy cập vào HVA, không có môi trường tham gia trao đổi học hỏi kiến thức, kinh nghiệm. HVA hoạt động phi lợi nhuận do đó việc quy ra vật chất thì hơi khó. Tuy nhiên có thể quy ra vật chất ở tiền thuê đường truyền, server chạy tốn điện , thời gian admin fix lỗi ( thời gian của admin có thể quy ra tiền) 3. Chắc phải treo cái bảng xin đừng phá em . Giống như sau đít xe tải thường hay để câu " Xin đừng hôn em , má la " :-) p/s: post xong mới thấy bác AIO nhắc nhở, thui thì bác mod nào cho ẩn bài em giùm #:S ]]> /hvaonline/posts/list/35379.html#217740 /hvaonline/posts/list/35379.html#217740 GMT Case study: HVA forum và "risk management" /hvaonline/posts/list/35379.html#217741 /hvaonline/posts/list/35379.html#217741 GMT Case study: HVA forum và &quot;risk management&quot; /hvaonline/posts/list/35379.html#217742 /hvaonline/posts/list/35379.html#217742 GMT Case study: HVA forum và "risk management"

updateslove wrote:
Theo em thì backup dữ liệu là phương pháp đạt hiệu quả nhiều nhất tính trên công sức bỏ ra :D 
Three Sysadmin Rules You Can’t (And Shouldn’t) Break -->>Rule #1: Backup Everything ( and validate the backup regularly ) http://www.thegeekstuff.com/2010/07/three-sysadmin-rules/ . Backup là vấn đề được đề cập hầu hết trong tất cả các cuốn sách, sau khi hướng dẫn thiết lập hệ thống.]]> /hvaonline/posts/list/35379.html#217743 /hvaonline/posts/list/35379.html#217743 GMT Case study: HVA forum và &quot;risk management&quot;

AIO wrote:

cvhainb wrote:
- Cái này thiệt khó trả lời nhưng bản thân em nghĩ cái gì cũng có rủi ro (risks) cả. Rủi ro thường thấy là HVA hay bị "kiểm tra" bởi các "thợ" ;-) . - Tuỳ vào mức độ rủi ro ;) . - Đào sâu vào các rủi ro (risks) và sửa chữa bằng kinh nghiệm và kỹ thuật của từng người quản trị (admin) :P . Thân, 
@cvhainb : cả 3 câu trả lời của bác chẳng có ý nghĩa gì cho thảo luận cả (đừng cố gắng góp mặt). @all : nên có những hiểu biết nhất định về vấn đề hãy tham gia. @all : Sorry cả nhà ! :-)  
Có bao giờ cậu tự hỏi: Tại sao câu trả lời là như thế không ? =)) . Câu nói thứ 2 của cậu là chính xác: CÓ HIỂU BIẾT NHẤT ĐỊNH THÌ HÃY THAM GIA NHÉ ;) . @all: Khi có một vấn đề mình đọc không hiểu, hãy training thật nhanh vì không biết mọi người thế nào, riêng tớ thì tớ không thích tớ bị lạc hậu :-) . Thân,]]> /hvaonline/posts/list/35379.html#217744 /hvaonline/posts/list/35379.html#217744 GMT Case study: HVA forum và &quot;risk management&quot;

louisnguyen27 wrote:
@vikjava tư duy của bồ nặng kỹ thuật quá.  
Thật sự mình chưa tiếp xúc hoặc đọc, hiểu về risk management. Tuy nhiên theo mình RISK bao gồm những thứ thấy đươc và có thể không thấy được. Tuỳ thuộc vào vị trí người đưa ra nhận định về RISK. Mình đứng trên cương vị là một người quản lý server HVA :| ]]> /hvaonline/posts/list/35379.html#217746 /hvaonline/posts/list/35379.html#217746 GMT Case study: HVA forum và &quot;risk management&quot; /hvaonline/posts/list/35379.html#217747 /hvaonline/posts/list/35379.html#217747 GMT Case study: HVA forum và &quot;risk management&quot;

vikjava wrote:
Thật sự mình chưa tiếp xúc hoặc đọc, hiểu về risk management. Tuy nhiên theo mình RISK bao gồm những thứ thấy đươc và có thể không thấy được.  
Nên mình mới nói trí tưởng tượng phải phong phú một chút.

H3x4 wrote:
-Chỉ có 1 người duy nhất nằm quyền "sinh sát" cho hva.  
Chỗ này có một risk khác.]]> /hvaonline/posts/list/35379.html#217748 /hvaonline/posts/list/35379.html#217748 GMT Case study: HVA forum và &quot;risk management&quot;

louisnguyen27 wrote:

H3x4 wrote:
-Chỉ có 1 người duy nhất nằm quyền "sinh sát" cho hva.  
Chỗ này có một risk khác. 
Dạ đúng là nó có risk, nhưng mà nếu để nhiều người nắm quyền thỉ em nghĩ risk sẽ cao hơn :D. Do vậy giải pháp của em là 1 hoặc cùng lắm là 2 người!]]> /hvaonline/posts/list/35379.html#217749 /hvaonline/posts/list/35379.html#217749 GMT Case study: HVA forum và &quot;risk management&quot;

louisnguyen27 wrote:
@AIO cvhainb nói cũng có lý đó. 
@louisnguyen27 : những câu "trả lời" chung chung "thường khá rộng" và "dễ đúng". -:|- ]]> /hvaonline/posts/list/35379.html#217751 /hvaonline/posts/list/35379.html#217751 GMT Case study: HVA forum và &quot;risk management&quot;

H3x4 wrote:
Do vậy giải pháp của em là 1 hoặc cùng lắm là 2 người! 
Vậy trong trường hợp 1 người thì Risk của nó là gì? 2 người thì risk là gì???]]> /hvaonline/posts/list/35379.html#217753 /hvaonline/posts/list/35379.html#217753 GMT Case study: HVA forum và &quot;risk management&quot;

AIO wrote:

louisnguyen27 wrote:
@AIO cvhainb nói cũng có lý đó. 
@louisnguyen27 : những câu "trả lời" chung chung "thường khá rộng" và "dễ đúng". -:|-  
@AIO: Có đọc câu hỏi lại của tớ không thế ? Sao không trả lời câu hỏi của tớ kìa: Tại sao tớ lại trả lời chung chung ? :) . Đừng làm loãng chủ đề. @all: Đó là vấn đề khi có một câu hỏi chung chung, risks thì quá nhiều (một diễn đàn như HVA thì càng nhiều) mà trong khi anh commale không đưa ra một vấn đề cụ thể vì thế đôi khi mình cần phải trả lời câu hỏi để làm xuất hiện vấn đề cụ thể, khi có vấn đề cụ thể sẽ có giải pháp. ]]> /hvaonline/posts/list/35379.html#217754 /hvaonline/posts/list/35379.html#217754 GMT Case study: HVA forum và "risk management"

conmale wrote:
1. HVA có "risks" không? Nếu có, những "risks" ấy là gì? 2. Thiệt hại lớn nhất nếu HVA bị tấn công là gì? Có thể quy ra giá trị vật chất không? 3. Nếu có thể quy ra giá trị vật chất (nếu HVA bị thiệt hại), trong hoàn cảnh hoạt động phi lợi nhuận và hoàn toàn thiện nguyện, HVA có thể "mitigate risks" bằng những biện pháp nào khả thi nhất và hữu lý nhất?  
1. HVA có "risks" không? Nếu có, những "risks" ấy là gì? Nguy cơ đâu tiên là liên quan đến uy tín của 'thương hiệu' HVA :). Không cần nói cũng biết hvaonline.net là cái tên uy tín nhất trong các diễn đàn ở Việt Nam. Nếu một ngày BQT xảy ra bất đồng, lục đục nội bộ, tranh dành quyền lực ... thì chắc chắn sẽ ảnh hưởng không nhỏ đến uy tín của HVA. Hay như việc HVA bị hack, DDOS cũng vậy. (Cái này chỉ là giả sư thôi nha, đừng chém em :D). Thêm nữa, đó 'risks' tiềm ẩn trong mọi vấn đề liên quan đến 'tài sản' quan trong nhất của HVA là database. Từ đó có thể suy ra được nhiều risk: + Lỗi/lỗ hổng liên quan trực tiếp đến DBMS cũng như vận hành nó. Lỗi liên quan đến giải thuật cũng có thể làm hỏng DB, hay lỗ hổng bị exploit cũng có nguy cơ dẫn đến bị drop DB. Lỗi vận hành thì liên quan trực tiếp đến admin, một thao tác bất cẩn của admin có thể làm mất mát data. + Nguy cơ liên quan đến phần cứng. Nhất là về đĩa cứng, nơi lưu trữ dữ liệu. + Nguy cơ liên quan đến phần mềm: Các nguy cơ liên quan đến OS và các services của nó. + ... (Cái này là để em suy nghĩ thêm :) ) Thêm mấy risks có vẻ xa vời, nhưng không có nghĩa là không có :D. Chẳng hạn như cháy nhà, động đất ... tại nơi đặt server của HVA. Có đợt em đọc báo thấy một trung tâm nghiên cứu khoa học vì hoả hoạn mà mất 2TB dữ liệu, công sức nghiên cứu của một trung tâm đi tong. 2. Thiệt hại lớn nhất nếu HVA bị tấn công là gì? Có thể quy ra giá trị vật chất không? Bị tấn công, cũng giống như trong một cuộc chiến tranh, dù ít nhiều, ai thắng thua đều bị thiệt hại. Phạm trù tấn công ở đây hiểu theo nghĩa rộng có thể là tấn công vào con người, quan hệ giữa các thành viên (nhất là BQT) hoặc là tấn công vào các phần mềm, phần cứng đang vận hành HVA. Nếu cuộc tấn công gây ảnh hưởng lớn đến hình ảnh HVA thì việc lấy lại nó sẽ không dễ tí nào. Về mặt này có thể thiệt hại hơn nhiều so với tấn công vào database. Nếu xét về tấn công liên quan đến database, thiệt hại lớn nhất là mất dữ liệu mà không thể khôi phục được do không có phương án dự phòng. Cái này thì chắc HVA đã dự phòng từ lâu. Nhưng cứ giả sử như HVA bị ai đó lấy mất database, kể cả backup :D Nếu toàn bộ database của HVA bị mất, thì hệ luỵ của nó đương nhiên là HVA phải bắt đầu lại từ đầu, công sức xây dựng đóng góp của các thành viên cả chục năm trời biến mất. Thiệt hại là có thể quy ra giá trị vật chất lẫn tinh thần :) 3. Nếu có thể quy ra giá trị vật chất (nếu HVA bị thiệt hại), trong hoàn cảnh hoạt động phi lợi nhuận và hoàn toàn thiện nguyện, HVA có thể "mitigate risks" bằng những biện pháp nào khả thi nhất và hữu lý nhất? Như em nói về các nguy cơ ở trên. Các biện pháp tối thiểu phải có: + Luôn bảo vệ và phát triển hình ảnh của HVA + Backup database và lưu trữ không chỉ ở một nơi :D PS: Vài lời chém gió của newbie, có gì sai các anh thông cảm :)]]> /hvaonline/posts/list/35379.html#217755 /hvaonline/posts/list/35379.html#217755 GMT Case study: HVA forum và &quot;risk management&quot;

cvhainb wrote:
risks thì quá nhiều  
Vấn đề ở chỗ thu hẹp phạm vi kiểm soát như thế nào???

newbieproit wrote:
Thêm nữa, đó 'risks' tiềm ẩn trong mọi vấn đề liên quan đến 'tài sản' quan trong nhất của HVA là database 
Còn các tài sản khác ??? Tài sản là một khởi đầu tốt cho việc đánh giá risk.

newbieproit wrote:
Luôn bảo vệ và phát triển hình ảnh của HVA 
Cái này không phải là biện pháp, mà là policy. ]]> /hvaonline/posts/list/35379.html#217759 /hvaonline/posts/list/35379.html#217759 GMT Case study: HVA forum và "risk management" /hvaonline/posts/list/35379.html#217760 /hvaonline/posts/list/35379.html#217760 GMT Case study: HVA forum và "risk management" /hvaonline/posts/list/35379.html#217763 /hvaonline/posts/list/35379.html#217763 GMT Case study: HVA forum và &quot;risk management&quot; /hvaonline/posts/list/35379.html#217766 /hvaonline/posts/list/35379.html#217766 GMT Case study: HVA forum và "risk management" /hvaonline/posts/list/35379.html#217767 /hvaonline/posts/list/35379.html#217767 GMT Case study: HVA forum và &quot;risk management&quot; Cái risk lớn nhất là dạo này nhiều member nói phét ghê quá, khiến các admin mất rất nhiều thời gian để nhắc nhở và xoá bài, lock nick ... khiến cho họ bỏ bê khá nhiều thời gian lẽ ra nên dành cho nghiên cứu kỹ thuật và theo dõi log, kiện toàn hệ thống. Tận dụng điều đó hacker có thể làm 2 việc: - đăng kí nick để chọc tức ban quản trị, hay phán nhiều cái chẳng đầu chẳng đuôi - trong lúc đó âm thầm chọc HVA ]]> /hvaonline/posts/list/35379.html#217768 /hvaonline/posts/list/35379.html#217768 GMT Case study: HVA forum và "risk management" /hvaonline/posts/list/35379.html#217769 /hvaonline/posts/list/35379.html#217769 GMT Case study: HVA forum và &quot;risk management&quot;

gamma95 wrote:
Cái risk lớn nhất là dạo này nhiều member nói phét ghê quá, khiến các admin mất rất nhiều thời gian để nhắc nhở và xoá bài, lock nick ... khiến cho họ bỏ bê khá nhiều thời gian lẽ ra nên dành cho nghiên cứu kỹ thuật và theo dõi log, kiện toàn hệ thống. Tận dụng điều đó hacker có thể làm 2 việc: - đăng kí nick để chọc tức ban quản trị, hay phán nhiều cái chẳng đầu chẳng đuôi - trong lúc đó âm thầm chọc HVA  

conmale wrote:
Bà con tham gia xôm tụ quá smilie . Vẫn chưa thấy ai đề cập đến khía cạnh "risk" ở chỗ HVA forum vẫn còn tồn tại nhưng lại... chết vì nó chẳng còn giá trị và ích lợi gì cả. Cái risk này có không? và để "mitigate" nó thì cần làm gì? 
Tại mr Conmale không nói tới cái risk này ngay từ đầu, cho nên toàn bộ reply không có ai nói tới cái này. Nguồn gây ra risk này được chị gà mờ liệt kê ra một phần. Member hiện này chưa tự nhận biết lợi ích HVA đem lại, chỉ biết lợi dụng giá trị của HVA vào hoạt động phá hoại vặt. Hay member xem diễn đàn HVA là chổ tạo topic phô diễn tài năng copy,xào, chế bậy bạ, hoặc quảng cáo cho kỹ năng "hack",... hoạt động tiêu cực tuơng tự để thể hiện cái tôi. Hoặc member và quản lý có nhiều chuyện để lo hơn là chuyện giao tiếp trên diễn đàn HVA. Em đoán mr conmale đang nói tới các loại risk này. PS: chị gà mờ cho em nói phét vài cái. RISK mà mr Conmale nói tới có thể hiểu nôm na là "chỉ biết XIN để người ta CHO, nhưng không bao giờ CHO lại" , cái risk con của cái RISK này là "CHO những cái vô ích" ]]> /hvaonline/posts/list/35379.html#217771 /hvaonline/posts/list/35379.html#217771 GMT Case study: HVA forum và "risk management"

lQ wrote:
Bác louis có lẽ khá rành ISMS. Nhờ bác liệt kê các bước cho đúng quy trình để hoàn tất câu 1 của anh conmale. Làm như các post nói trên, thể nào cũng đưa thiếu risk.  
Bác louis làm bài hoàn chỉnh cho anh em học hỏi -:-) ]]> /hvaonline/posts/list/35379.html#217772 /hvaonline/posts/list/35379.html#217772 GMT Case study: HVA forum và "risk management"

conmale wrote:
Bà con tham gia xôm tụ quá :P . Vẫn chưa thấy ai đề cập đến khía cạnh "risk" ở chỗ HVA forum vẫn còn tồn tại nhưng lại... chết vì nó chẳng còn giá trị và ích lợi gì cả. Cái risk này có không? và để "mitigate" nó thì cần làm gì? 
Trời!!! Theo em nghĩ đây là risk nghiêm trọng nhất và cần phải ưu tiên số 1. Mitigate thì cần: - Tuân thủ nghiêm chỉnh nội quy diễn đàn và quy định gửi bài. - Hạn chế tối thiểu đăng các thắc mắc đã có trả lời ở diễn đàn hoặc có nhiều hướng dẫn / trả lời trên Internet. Thay vào đó, tích cực đóng góp các bài viết dạng mở rộng một vấn đề hoặc một sản phẩm, giải pháp IT/Security. 02 khoản này cần sự tham gia của tất cả thành viên. Và cần số lượng 'nhân sự' như vầy, thì chi phí (thời gian, chi phí đào tạo hoặc tự đào tạo,...) bỏ ra là không ít, tuỳ khả năng mỗi người. Do đó mình mới khằng dịnh đây là risk nghiêm trọng nhất và ưu tiên cao nhất. Anh conmale gừng già có khác :x.]]> /hvaonline/posts/list/35379.html#217779 /hvaonline/posts/list/35379.html#217779 GMT Case study: HVA forum và &quot;risk management&quot; /hvaonline/posts/list/35379.html#217780 /hvaonline/posts/list/35379.html#217780 GMT Case study: HVA forum và "risk management" /hvaonline/posts/list/35379.html#217781 /hvaonline/posts/list/35379.html#217781 GMT Case study: HVA forum và "risk management"

conmale wrote:
1. HVA có "risks" không? Nếu có, những "risks" ấy là gì?  
Có , risk ghê gớm nhất của HVA là anh conmale .

conmale wrote:
2. Thiệt hại lớn nhất nếu HVA bị tấn công là gì?  
Khi anh đi ngủ .

conmale wrote:
Có thể quy ra giá trị vật chất không?  
Không . Nếu có thì chỉ là giá trị tinh thần .

conmale wrote:
3. Nếu có thể quy ra giá trị vật chất (nếu HVA bị thiệt hại), trong hoàn cảnh hoạt động phi lợi nhuận và hoàn toàn thiện nguyện, HVA có thể "mitigate risks" bằng những biện pháp nào khả thi nhất và hữu lý nhất?  
Biện pháp khả thi nhất là không tạo xì trét . Biện pháp hữu lý nhất là xoa và bóp, đấm (vào) lưng để không gia tăng thêm xì trét . ]]> /hvaonline/posts/list/35379.html#217782 /hvaonline/posts/list/35379.html#217782 GMT Case study: HVA forum và "risk management" /hvaonline/posts/list/35379.html#217784 /hvaonline/posts/list/35379.html#217784 GMT Case study: HVA forum và "risk management" /hvaonline/posts/list/35379.html#217786 /hvaonline/posts/list/35379.html#217786 GMT Case study: HVA forum và &quot;risk management&quot; /hvaonline/posts/list/35379.html#217790 /hvaonline/posts/list/35379.html#217790 GMT Case study: HVA forum và "risk management" /hvaonline/posts/list/35379.html#217817 /hvaonline/posts/list/35379.html#217817 GMT Case study: HVA forum và &quot;risk management&quot;

H3x4 wrote:
... -Chỉ có 1 người duy nhất nằm quyền "sinh sát" cho hva. ...  
Bạn có thể giải thích rõ hơn về cái nắm quyền "sinh sát" này được không? Ý bạn là người đó có những khả năng gì?]]> /hvaonline/posts/list/35379.html#217822 /hvaonline/posts/list/35379.html#217822 GMT Case study: HVA forum và "risk management"

louisnguyen27 wrote:
5. Làm ISMS bắt đầu từ đâu??? Làm ISMS phải bắt đầu từ việc học từ ngữ (ISO27000) sử dụng trong ISMS để thống nhất cách hiểu, tư duy, diễn đạt và trình bày. Tránh trường hợp một từ bị diễn giải thành nhiều nghĩa lệch lạc. Tuy nhiên, vì lý do thời gian, tiền bạc, và kể cả... kiêu ngạo mà nhiều đơn vị thường bỏ qua bước này. Câu trả lời thông thường khi người tư vấn yêu cầu triển khai học về từ vựng là: "Cái này dễ, để tự đọc là được rồi" nhưng thực tế không mấy ai đọc. Hơn nữa mục đích chính không phải là hiểu từ vựng mà để cho toàn bộ nhân viên có cách hiểu giống nhau. Chính vì vậy mà khi làm ISMS các đơn vị thường bị thất bại và có tính hình thức vì quan điểm và cách hiểu của mỗi người, mỗi cấp trong tổ chức là khác nhau. Những người mới vào cũng không được học nên dần dần khi mà turnover của employee cao thì cách tư duy và định hướng không còn được như ban đầu. 
Đọc qua một số tài liệu em cũng biết 1 số khái niệm về ISMS (Một hệ thống quản lý thông tin bảo mật). Có vẻ nó thiên về quản lý nhiều hơn là kĩ thuật phải không anh.]]> /hvaonline/posts/list/35379.html#217823 /hvaonline/posts/list/35379.html#217823 GMT Case study: HVA forum và &quot;risk management&quot;

tungdang wrote:

H3x4 wrote:
... -Chỉ có 1 người duy nhất nằm quyền "sinh sát" cho hva. ...  
Bạn có thể giải thích rõ hơn về cái nắm quyền "sinh sát" này được không? Ý bạn là người đó có những khả năng gì? 
Em nghĩ anh nói thế có vẻ không khách quan nắm. Vì HVA là một tổ chức nên "Chỉ có 1 người duy nhất nằm quyền "sinh sát" cho hva." không được phù hợp cho nắm.]]> /hvaonline/posts/list/35379.html#217824 /hvaonline/posts/list/35379.html#217824 GMT Case study: HVA forum và "risk management" hiểm hoạ có thể biến đổi hoặc huỷ hoại giá trị đó. Khi xét đến HVA, một diễn đàn có số thành viên khá đông và có lịch sử hiện diện trên mạng khá lâu thì hiểm hoạ ấy có thể là: 1. Sự gián đoạn (dài hoặc ngắn). 2. Sự thay đổi tính chất (giá trị). 3. Sự chấm dứt (vĩnh viễn). Từ ba "hiểm hoạ" tổng quát trên, mình có thể khai triển chi tiết của từng cái để từ đó mới có thể hình thành được phương hướng và phương pháp "mitigate" cho thích hợp. Những thảo luận trong chủ đề này cho đến nay đã đề cập đến 3 "hiểm hoạ" trên nhưng chưa hệ thống hoá lại cho sâu sát. Ví dụ, 1. Sự gián đoạn (dài hoặc ngắn): Do đâu có gián đoạn (khách quan và chủ quan), những khả năng có thể tác động đến sự gián đoạn là gì? (e.g. bị cúp điện, bị đứt cáp mạng, hết tiền trả tiền thuê máy chủ, lỡ tay gõ shutdown -h now, disk bị chết, quản lý bị.. mua chuộc ;).... ). 2. Sự thay đổi tính chất (giá trị): tính chất thay đổi thế nào được xem là nguy hại? Do đâu có những thay đổi này? (e.g. bị xâm nhập CSDL và bị flood thông điệp phá hoại, bị deface, bị thành viên flood rác, bị thay đổi từ diễn đàn kỹ thuật thành diễn đàn xã hội để... tám..... ). 3. Sự chấm dứt (vĩnh viễn): do đâu có tình trạng này? (e.g. chẳng còn ai muốn có hva hiện diện nữa, trọn bộ tên miền, máy chủ, csdl... đều bị mất....). Mỗi dạng "hiểm hoạ" ở trên có thể có cả chục, cả trăm hoặc thậm chí cả ngàn khả năng. Khi hình thành được danh sách khả năng, lúc ấy mới xếp loại "rất có thể xảy ra" (most likely happening) đến "ít có thể xảy ra" (least likely happening). Sau khi hình thành xong bảng đánh giá này rồi mới có thể đi đến phương án và biện pháp "mitigate". Sau khi hình thành được các biện pháp "mitigate" (từ đơn giản nhất, ít tốn kém nhất đến phức tạp nhất và bảo đảm nhất) rồi mới có thể chọn ra những biện pháp tốt nhất và hợp lý nhất. Tóm lại: xác định các hiểm hoạ --> xác định các khả năng có thể xảy ra --> sắp xếp khả năng cao đến thấp ---> hình thành các biện pháp khắc phục --> chọn lựa các biện pháp khả thi và thích hợp nhất.]]> /hvaonline/posts/list/35379.html#217830 /hvaonline/posts/list/35379.html#217830 GMT Case study: HVA forum và &quot;risk management&quot; /hvaonline/posts/list/35379.html#217838 /hvaonline/posts/list/35379.html#217838 GMT Case study: HVA forum và "risk management" /hvaonline/posts/list/35379.html#217854 /hvaonline/posts/list/35379.html#217854 GMT Case study: HVA forum và &quot;risk management&quot;

conmale wrote:
1. Sự gián đoạn (dài hoặc ngắn). 2. Sự thay đổi tính chất (giá trị). 3. Sự chấm dứt (vĩnh viễn).  
Em mở rộng thêm phần của anh một chút. Đánh giá risk bao gồm 2 phần, một phần là qualitative và phần khác là quantitative. Trong 3 cái risk anh conmale trình bày thì cái đầu tiên là quantitative vì thời gian gián đoạn là measurable, cái risk thứ hai là qualitative. Cái risk thứ 3 thực ra là một trường hợp đăc biệt của cái risk thứ 2 và thứ 1. Hai cái risk này có một sự tương quan qua lại: một sự gián đoạn có thể làm thay đổi tính chất giá trị và ngược lại sự thay đổi tính chất giá trị có thể làm gián đoạn hệ thống. Đi sâu hơn vào chi tiết các yêu cầu sau phải xem xét: - Cấu trúc tổ chức (vai trò và hoạt động của admin và mod - đó là câu hỏi tại sao 1 người thì khác gì 2 người cho H3x4, 1 người thì có thể tạo ra risk 1 nhưng 2 người có thể tạo ra risk 2). - Quản lý tài sản (kể cả tài sản vô hình hay hữu hình - vấn đề newbieproit đề cập - chu kỳ sống của một phần cứng, một kỹ thuật hay một phần mềm cần được phân tích và đánh giá, khó nhất là có thể dự báo được công nghệ hay kỹ thuật thay thế). - Nguồn nhân lực (năng lực của admin mod, trong trường hợp các min hiện tại đều về vườn thì khả năng thay đổi tính chất và giá trị rất lớn) - Môi trường và các yếu tố vật lý - Trao đổi thông tin và quản lý hoạt động (Hoạt động của các min và mod, phòng thủ cho HVA, phần này 100% là kỹ thuật) - Access control (Cái này thể hiện ở việc các elite hoặc mod được truy cập vào các khu vực sâu hơn). 1. Trong một cái Risk lớn sẽ có những cái risk nhỏ hơn và xác suất để cái risk nhỏ đó trở thành cái risk lớn. 2. Khi phân tích các risk phải có cái nhìn bao quát và toàn diện. 3. Việc khai triển từ cái risk lớn xuống cái risk nhỏ hơn sẽ được tiếp tục cho đến khi các risk con là có khả năng kiểm soát được tức là các control có tính thực tế. ]]> /hvaonline/posts/list/35379.html#217865 /hvaonline/posts/list/35379.html#217865 GMT Case study: HVA forum và "risk management"

conmale wrote:
1. Sự gián đoạn (dài hoặc ngắn). 2. Sự thay đổi tính chất (giá trị). 3. Sự chấm dứt (vĩnh viễn). 1. Sự gián đoạn (dài hoặc ngắn): Do đâu có gián đoạn (khách quan và chủ quan), những khả năng có thể tác động đến sự gián đoạn là gì? (e.g. bị cúp điện, bị đứt cáp mạng, hết tiền trả tiền thuê máy chủ, lỡ tay gõ shutdown -h now, disk bị chết, quản lý bị.. mua chuộc ;).... ). 2. Sự thay đổi tính chất (giá trị): tính chất thay đổi thế nào được xem là nguy hại? Do đâu có những thay đổi này? (e.g. bị xâm nhập CSDL và bị flood thông điệp phá hoại, bị deface, bị thành viên flood rác, bị thay đổi từ diễn đàn kỹ thuật thành diễn đàn xã hội để... tám..... ). 3. Sự chấm dứt (vĩnh viễn): do đâu có tình trạng này? (e.g. chẳng còn ai muốn có hva hiện diện nữa, trọn bộ tên miền, máy chủ, csdl... đều bị mất....).  
Cháu nghĩ là risk 3 chỉ có thể xuất hiện khi có risk 2. Bởi vì diễn đàn hay user group có bản chất là nơi trao đổi thông tin. Để chấm dứt vĩnh viễn sự tồn tại của chúng thì chỉ có thể là do bản thân chúng không còn mang những giá trị cốt lõi, không còn chứa đựng những thông tin mà các thành viên cần trao đổi. Khi đó, nhu cầu cho sự tồn tại của chúng không còn nữa và chúng sẽ tự diệt vong. Còn các vấn đề như mất trọn bộ cơ sở hạ tầng, thậm chí lực lượng quản lí gặp trục trặc với luật pháp hay tệ hơn là bị đặt ra ngoài vòng luật pháp đi nữa thì có thể chỉ gây ra risk 1, đó là gián đoạn tạm thời (theo thời gian dài hoặc ngắn). Do vậy, nếu xét trong trường hợp HVA, thì cháu nghĩ điều quan trọng nhất là HVA phải gắn bó với những giá trị cốt lõi của chính nó. Ví dụ như đảm bảo việc thi hành nội quy một cách chặt chẽ và định hướng các chủ đề thảo luận đi theo đường lối chung. Regards. -stk]]> /hvaonline/posts/list/35379.html#218256 /hvaonline/posts/list/35379.html#218256 GMT