SPM401 - Quản trị dự án an toàn thông tin

SPM401 - Quản trị dự án an toàn thông tin (Security Project Management) là môn 3 tín chỉ bậc cử nhân của Đại học FPT, đặt sau môn tiên quyết IAP301. Tên môn có chữ dự án nhưng phần lớn nội dung là quản trị an toàn thông tin ở cấp tổ chức, tức nhìn an toàn như một chức năng quản lý có chiến lược, chính sách, ngân sách và nhân sự, chứ không nhìn như một tập công cụ kỹ thuật. Mạch nội dung đi từ trên xuống. Trước hết là quản trị và hoạch định chiến lược, với ba tầng kế hoạch nối nhau theo một chiều: kế hoạch chiến lược sinh ra kế hoạch chiến thuật, kế hoạch chiến thuật sinh ra kế hoạch tác nghiệp. Tiếp đến là hệ thống chính sách ba cấp gồm chính sách khung của doanh nghiệp, chính sách theo từng vấn đề và chính sách gắn với từng hệ thống, kèm cách phân biệt chính sách với hướng dẫn và quy định. Rồi tới việc dựng chương trình an toàn thông tin cùng bộ máy nhân sự, và việc đào tạo nâng cao nhận thức theo đúng thứ tự từ xác định phạm vi và mục tiêu trở đi. Khối giữa môn là quản trị rủi ro: nhận diện tài sản và mối đe doạ, đánh giá, rồi chọn một trong bốn chiến lược kiểm soát là phòng vệ, giảm nhẹ, chấp nhận và chuyển giao, với khẩu vị rủi ro làm mốc quyết định và rủi ro tồn dư làm phần phải ghi lại. Ba khối cuối lo các mô hình và thông lệ quản lý cùng cặp nghĩa vụ cẩn trọng và mẫn cán vốn quyết định trách nhiệm pháp lý, kế hoạch dự phòng với ba nhánh ứng phó sự cố, khắc phục thảm hoạ và duy trì hoạt động, mặt con người từ kiểm tra lý lịch tới đặc quyền tối thiểu, và các cơ chế bảo vệ kỹ thuật gồm kiểm soát truy cập theo mạng tinh thể, xác thực, mật mã và sinh trắc học. Học xong, người học soạn được bộ chính sách an toàn cho một tổ chức, chạy được một vòng đánh giá rủi ro và biện minh được lựa chọn kiểm soát bằng chi phí so với mức rủi ro còn lại, dựng được kế hoạch ứng phó sự cố, và nói được chuyện an toàn bằng ngôn ngữ mà ban lãnh đạo nghe hiểu.