Tại hội nghị thường niên về an ninh mạng, công nghệ bảo mật, bảo vệ dữ liệu RSA 2024 diễn ra từ 6 - 9/5/2024, Fortinet® tái khẳng định mạnh mẽ hơn một trong những cam kết lâu dài của công ty trong việc trở thành đơn vị bảo mật minh bạch và có trách nhiệm bằng việc tiên phong ký cam kết tuân thủ quy định bảo mật theo thiết kế do cơ quan an ninh mạng và cơ sở hạ tầng (CISA) của Mỹ phát triển.

Đây là cam kết tự nguyện đối với ngành bảo mật được xây dựng dựa trên các biện pháp thực hành tốt nhất về bảo mật phần mềm hiện có của Fortinet, cùng với các biện pháp do CISA, viện Tiêu chuẩn và Công nghệ quốc gia (NIST), các cơ quan liên bang khác của Mỹ cũng như các đối tác trong ngành và quốc tế phát triển. Cam kết nêu rõ 7 mục tiêu trong đó các chính sách thông báo lỗ hổng bảo mật có trách nhiệm, vốn đã là một phần không thể thiếu trong quy trình phát triển bảo mật sản phẩm của Fortinet.

Bảo mật thông qua các nguyên tắc thiết kế và quy trình thông báo có trách nhiệm

Sáng kiến ​​mới nhất của CISA phù hợp với các quy trình phát triển sản phẩm hiện có của Fortinet dựa trên các nguyên tắc bảo mật theo thiết kế (secure-by-design) và bảo mật theo mặc định (secure-by-default).

Fortinet cam kết tuân thủ theo đúng quy trình giám sát chặt chẽ về bảo mật sản phẩm ở tất cả các giai đoạn trong vòng đời phát triển sản phẩm, giúp đảm bảo tính năng bảo mật được thiết kế trong từng sản phẩm từ khi bắt đầu cho đến khi kết thúc vòng đời sản phẩm theo những cách thức sau:

Vòng đời phát triển sản phẩm an toàn (SPDLC): Fortinet điều chỉnh các quy trình của công ty theo các tiêu chuẩn hàng đầu, bao gồm NIST 800-53, NIST 800-161, NIST 800-218, US EO 14028 và đạo luật An ninh Viễn thông của vương quốc Anh.

Kiểm tra sản phẩm bảo mật chặt chẽ: Fortinet tận dụng các công cụ và kỹ thuật như kiểm thử bảo mật ứng dụng tĩnh (SAST) và phân tích thành phần phần mềm được tích hợp trong quy trình xây dựng, kiểm tra bảo mật ứng dụng động (DAST), quét lỗ hổng bảo mật và kiểm thử fuzzing trước mỗi lần phát hành, cũng như kiểm tra thâm nhập và kiểm tra mã thủ công.

Nhà cung cấp đáng tin cậy: Để đảm bảo lựa chọn nghiêm ngặt và đánh giá chính xác năng lực của các đối tác sản xuất chính, Fortinet tuân thủ theo NIST 800-161: Các thực hành quản lý rủi ro chuỗi cung ứng an ninh mạng cho các hệ thống và tổ chức.

Cam kết của Fortinet về quyền riêng tư và bảo mật dữ liệu được thể hiện trong mọi hoạt động kinh doanh của công ty và trong mọi giai đoạn của quá trình phát triển, sản xuất và phân phối sản phẩm.

Chương trình bảo mật thông tin: Chương trình bảo mật thông tin của Fortinet được phát triển và tuân thủ các tiêu chuẩn và khung bảo mật hàng đầu trong ngành, bao gồm ISO 27001/2, ISO 27017 và 27018 và NIST 800-53, cũng như các quy định về quyền riêng tư dữ liệu như GDPR và CCPA.

Chứng nhận của bên thứ ba: Các sản phẩm của Fortinet thường được chứng nhận đạt tiêu chuẩn và được xác thực thông qua các tiêu chuẩn chất lượng sản phẩm của bên thứ ba, bao gồm NIST FIPS 140-2 và NIAP Common Criteria NDcPP / EAL4+.

Ngoài ra, nhóm ứng phó sự cố bảo mật sản phẩm (PSIRT) của Fortinet chịu trách nhiệm duy trì các tiêu chuẩn bảo mật cho các sản phẩm của Fortinet và điều hành một trong những chương trình PSIRT mạnh nhất trong ngành, bao gồm việc thông báo các lỗ hổng bảo mật một cách chủ động và minh bạch.

Gần 80% lỗ hổng của Fortinet được phát hiện vào năm 2023 đã được xác định thông qua quy trình kiểm tra nội bộ nghiêm ngặt của công ty. Sự chủ động này giúp Fortinet phát triển và triển khai các bản sửa lỗi trước khi việc khai thác mã độc có thể xảy ra. Fortinet cũng luôn hợp tác chặt chẽ với các khách hàng, nhà nghiên cứu bảo mật độc lập, nhà tư vấn, các tổ chức trong ngành và các nhà cung cấp khác để đảm bảo khả năng ứng phó sự cố bảo mật tốt nhất.

Fortinet duy trì hợp tác lâu dài với các đối tác

Nhằm nâng cao hơn nữa cam kết thực thi văn hóa minh bạch triệt để và có trách nhiệm trong kinh doanh, Fortinet duy trì hợp tác lâu dài với các đối tác công và tư phù hợp với sứ mệnh của công ty.

Cụ thể với tư cách là thành viên sáng lập của Liên minh bảo mật mạng Network Resilience Coalition, Fortinet đang giúp cung cấp các giải pháp thực tế để bảo vệ mạng và dữ liệu nhạy cảm, bao gồm cả việc giải quyết vấn đề thiếu triển khai các bản vá cũng như bản cập nhật phần mềm và phần cứng.

Thông qua tư cách thành viên của Trung tâm Hợp tác Phòng thủ mạng - Bộ An ninh nội địa Mỹ JCDC (được CISA thành lập vào năm 2021), Fortinet làm việc với các tổ chức công và tư để thu thập, phân tích và chia sẻ thông tin hữu ích nhằm chủ động bảo vệ và chống lại các mối đe dọa mạng.

Là thành viên sáng lập của Liên minh chống lại các mối đe dọa mạng (Cyber Threat Alliance - CTA), Fortinet chia sẻ kịp thời thông tin tình báo về mối đe dọa với các chuyên gia bảo mật mạng khác nhằm giúp bảo vệ các tổ chức, doanh nghiệp tốt hơn trước những kẻ tấn công mạng.

Làm việc với các nhà lãnh đạo toàn cầu với tư cách là thành viên sáng lập trung tâm an ninh mạng (C4C) của diễn đàn kinh tế thế giới, Fortinet đang khuyến khích chia sẻ thông tin trong toàn ngành nhằm giảm thiểu các cuộc tấn công mạng trên quy mô toàn cầu và ngăn chặn tội phạm mạng.

Ông Jim Richberg, Trưởng bộ phận chính sách mạng và giám đốc an ninh thông tin (CISO) toàn cầu, công ty Fortinet chia sẻ: “Tại Fortinet, chúng tôi theo đuổi cam kết bền vững với việc trở thành đơn vị điển hình của ngành trong phát triển sản phẩm và trách nhiệm thông báo về các lỗ hổng bảo mật".

Tại phiên thảo luận tại Hội nghị RSA 2024 với tiêu đề: “Không có bí mật trong an ninh mạng: Hướng tới minh bạch triệt để” được diễn ra vào, ngày 9/5, Fortinet sẽ cùng các đại biểu cấp cao trao đổi về cách mở rộng và phát triển văn hóa minh bạch triệt để, nâng cao tinh thần trách nhiệm, giúp tăng cường khả năng phục hồi an ninh, chống lại tội phạm mạng./.

Hạnh Tâm