Checklist an toàn thông tin cho hệ thống mới

Một hệ thống chạy được chưa chắc đã an toàn. Checklist dưới đây dùng trước go-live hoặc khi nghiệm thu.

1. Định danh và phiên

SSO/MFA cho tài khoản đặc quyền; session lưu DB, cookie HttpOnly/SameSite; thu hồi quyền trong 24 giờ khi nghỉ việc.

Deny-by-default, phân quyền theo vai trò và phạm vi dữ liệu; rà soát quyền định kỳ 6 tháng.

HTTPS, HSTS, CSP, X-Content-Type-Options, Referrer-Policy; không dùng HTTP cho form đăng nhập.

Bật audit cho đăng nhập, thay đổi quyền, xuất dữ liệu; cảnh báo bất thường; không ghi mật khẩu/key vào log.

3-2-1-1-0; diễn tập phục hồi 6 tháng/lần; ghi biên bản RTO/RPO thực tế.

Bản đồ dữ liệu, phân loại, DPIA, consent khi cần, quy trình breach và đầu mối DPO.

Kiểm tra injection, XSS, CSRF, IDOR, rate limit; quét dependency và cấu hình sai.

Xuất dữ liệu, tài liệu vận hành, quy trình chuyển đổi và thời hạn hỗ trợ.

Nguồn: Sổ tay chuyển đổi số, chương quản trị rủi ro ATTT; báo cáo bảo mật & kiểm thử.