Kế hoạch an ninh mạng bằng văn bản (Written Network Security Plan) là gì? Nội dung và cách xây dựng

Định nghĩa

Kế hoạch an ninh mạng bằng văn bản (Written Network Security Plan - WNSP) là tài liệu chính thức, được phê duyệt bởi lãnh đạo, mô tả toàn diện **chiến lược, chính sách, quy trình, kiểm soát kỹ thuật và trách nhiệm** để bảo vệ hạ tầng mạng và dữ liệu của tổ chức khỏi các mối đe dọa. Là yêu cầu bắt buộc của hầu hết khung chuẩn: ISO 27001 (A.5.1, A.13.1), NIST CSF (ID.GV, PR.AC, PR.DS, PR.IP, PR.PT, DE.CM, RS.AN, RC.RP), PCI-DSS (Req 1, 12), HIPAA, GDPR, PDPA (Vietnam Decree 13/2023/ND-CP).

Sự khác biệt: Policy vs Plan vs Procedure

Nội dung cốt lõi của Written Network Security Plan

1. Phần 1: Thông tin chung & Phê duyệt

• Document Control: Version, Date, Author, Reviewer, Approver (CISO/CTO/CEO).
• Scope (Phạm vi): Mạng nào, hệ thống nào, dữ liệu nào, địa điểm nào, nhân sự nào.
• References: Luật, tiêu chuẩn, chính sách cha (Information Security Policy, Risk Management Policy).
• Definitions & Acronyms.

2. Phần 2: Quản trị rủi ro mạng (Network Risk Governance)

• Network Asset Inventory: Diagram topology, CMDB, Criticality rating (Tier 0/1/2/3).
• Threat Modeling: STRIDE/PASTA trên các trust boundary (Internet-DMZ, DMZ-Internal, Internal-Cloud, OT/IT).
• Risk Assessment: Likelihood × Impact → Risk Register → Risk Treatment Plan (Accept/Mitigate/Transfer/Avoid).
• Risk Appetite & Tolerance: Định lượng (VD: 0 critical vuln > 30 ngày, MTTD < 1h).

3. Phần 3: Kiến trúc an ninh mạng (Network Security Architecture)

• Segmentation Strategy: Zone/Zone model (Internet, DMZ, Management, Server, User, Guest, IoT/OT, Cloud). Zero Trust Micro-segmentation.
• Perimeter Controls: Next-Gen Firewall (App-ID, User-ID, SSL Decrypt, IPS, AV, File Blocking, URL Filtering, DNS Security).
• East-West Security: Internal Segmentation Firewall (ISFW), Distributed Firewall (NSX, Calico, Cilium), Host-based FW.
• Remote Access: ZTNA (Zero Trust Network Access) / VPN (MFA bắt buộc, posture check, split tunnel off).
• Wireless Security: WPA3-Enterprise (802.1X/EAP-TLS), Guest/IoT PSK rotation, NAC.
• Cloud Network Security: Security Groups, NACL, Transit Gateway, Firewall (AWS Network Firewall, Azure Firewall, GCP Firewall), Service Mesh (mTLS).
• DDoS Protection: Cloud scrubbing (Cloudflare, AWS Shield, Akamai) + On-prem detection.

4. Phần 4: Kiểm soát truy cập mạng (Network Access Control - NAC)

• 802.1X (Wired + Wireless): EAP-TLS (Cert), PEAP-MSCHAPv2, EAP-TTLS.
• Device Posture Assessment: Health check (AV, Patch, Disk Encryption, Domain Join, EDR running) trước khi cấp network access.
• Profiled Access: IoT/Printer/BYOD → VLAN/ACL hạn chế (chỉ Internet, không truy cập Server).
• Guest Access: Sponsor portal, time-limited, bandwidth throttle, captive portal.
• Certificate Lifecycle: Auto-enroll (GPO/Intune/SCEP), Revocation (OCSP/CRL), Renewal.

5. Phần 5: Giám sát, Phát hiện & Phản hồi (Monitoring, Detection & Response)

• Log Collection Strategy: Firewall, Switch, Router, Wireless Controller, NAC, VPN, Proxy, DNS, DHCP, Server (Sysmon), EDR, Cloud (CloudTrail, VPC Flow Logs, Azure NSG Flow Logs).
• SIEM / XDR Deployment: Use Case driven (MITRE ATT&CK coverage), Sigma rules, Behavioral Analytics (UEBA).
• Network Detection & Response (NDR): Zeek, Suricata, Corelight, Darktrace, ExtraHop (East-West visibility).
• Threat Intelligence Integration: TIP (MISP, OpenCTI), STIX/TAXII, Automated IOC blocking.
• SOC Operations: Tier 1 Triage → Tier 2 Investigation → Tier 3 Hunt/IR. Shift handoff, Runbook/Playbook.
• Incident Response Plan (IRP): NIST SP 800-61 phases, Communication plan, Evidence preservation, Legal/PR coordination.

6. Phần 6: Quản trị lỗ hổng & Cập nhật (Vulnerability & Patch Management)

• Continuous Scanning: Authenticated scan (Tenable, Qualys, Rapid7, OpenVAS) - schedule hàng tuần/ngày.
• Risk-based Prioritization: EPSS + CVSS + Asset Criticality + CISA KEV + Threat Intel → Remediation SLA (Critical: 72h, High: 7d, Med: 30d, Low: 90d).
• Patch Management: WSUS/SCCM/Intune/Jamf/Ansible → Test → Staged Rollout → Verify → Report.
• Firmware/BIOS/Driver Update: Server, Network Device, IoT, Endpoint.
• Exception Management: Formal risk acceptance với compensating control, expiry date, owner sign-off.

7. Phần 7: Bảo vệ dữ liệu trên mạng (Data Protection in Transit/At Rest)

• Encryption in Transit: TLS 1.2+ everywhere (mTLS cho service-to-service), IPsec/MACsec cho backbone, DTLS/QUIC.
• Encryption at Rest: AES-256 (BitLocker, LUKS, FileVault, S3 SSE-KMS, Azure Disk Encryption).
• DLP (Data Loss Prevention): Network DLP (ICAP/Proxy), Endpoint DLP, Cloud DLP (CASB). Policy: PCI, PII, PHI, IP, Credentials.
• Certificate Management: PKI, ACME (Let's Encrypt), Cert Manager (K8s), Monitoring expiry/revocation.

8. Phần 8: Đào tạo & Nhận thức (Training & Awareness)

• Security Awareness Program: Phishing simulation (quarterly), Micro-learning, Role-based training (Dev, Admin, Exec, Helpdesk).
• Secure Coding Training: OWASP Top 10, Language-specific, SAST/DAST hands-on.
• Incident Response Tabletop / Purple Team Exercise: Hàng quý / 6 tháng.

9. Phần 9: Tuân thủ & Kiểm toán (Compliance & Audit)

• Control Mapping: Policy → Standard → Procedure → Control Implementation → Evidence → Audit.
• Continuous Compliance Monitoring: Drift detection (IaC scan, Config rule), Automated evidence collection.
• Internal Audit / External Audit / Penetration Test (Annual + After major change).
• Regulatory Reporting: Breach notification (72h GDPR, PDPA Vietnam), Annual report.

10. Phần 10: Chỉ số & Báo cáo (Metrics & Reporting)

Cách xây dựng Written Network Security Plan (Quy trình 7 bước)

1. Kickoff & Sponsorship: CISO/CEO sponsor, gán Owner (Security Architect/Manager), setup Working Group (NetOps, SecOps, Cloud, App, Legal, HR, Business).
2. Current State Assessment: Network diagram, Tool inventory, Policy gap analysis, Recent incidents, Audit findings, Maturity assessment (CMMI/NIST CSF Tier).
3. Risk Assessment & Threat Modeling: Crown Jewels identification, Attack surface mapping, Risk register, Risk treatment decisions.
4. Architecture & Control Design: Zero Trust Target Architecture, Segmentation model, Tool selection/consolidation, Integration points.
5. Draft Plan: Viết theo template trên. Review với Working Group. Legal/Compliance review.
6. Approval & Communication: CISO/CEO sign-off. Publish to intranet. Townhall / Email communication. Training rollout.
7. Operationalize & Continuous Improvement: Project plan triển khai controls, SIEM use case backlog, Dashboard KPI, Quarterly review board, Annual full update.

Lưu ý cho Việt Nam (PDPA / Decree 13/2023/ND-CP / Circular 09/2024/TT-BTTTT)

• Network Security Plan phải thể hiện: **Data Controller/Processor responsibilities**, **Cross-border transfer safeguards**, **DPIA (Data Protection Impact Assessment)** cho xử lý dữ liệu nhạy cảm/lớn.
• Incident Response Plan phải có quy trình **thông báo cho Bộ TT&TT / Cơ quan bảo vệ dữ liệu cá nhân trong 72h** (theo PDPA).
• Network segmentation phải đảm bảo **cô lập dữ liệu cá nhân** theo nguyên tắc data minimization.
• Log retention: Tối thiểu 12 tháng cho log bảo mật (theo Circular 09/2024/TT-BTTTT draft).

Kết luận

Written Network Security Plan không phải "văn bản để để kệ". Là **bản thiết kế bảo vệ tài sản mạng**, **cơ sở pháp lý tuân thủ**, **hướng dẫn vận hành SOC**, và **công cụ giao tiếp rủi ro với Ban lãnh đạo**. Phải là living document: review quý, update khi có thay đổi lớn (M&A, Cloud migration, Incident lớn, Luật mới), đo lường KPI, liên tục cải tiến.