Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Chính sách An ninh Hệ thống & Mạng (Systems and Network Security Policy) là gì?

Khái niệm Chính sách An ninh Hệ thống & Mạng

Chính sách An ninh Hệ thống & Mạng (Systems and Network Security Policy) là tài liệu chính thức, được phê duyệt bởi ban lãnh đạo cao cấp, quy định nguyên tắc, quy tắc, tiêu chuẩn, quy trình và trách nhiệm để bảo vệ tài sản thông tin, hạ tầng công nghệ thông tin (mạng, server, endpoint, ứng dụng, dữ liệu, đám mây) của tổ chức khỏi các rủi ro an ninh. Nó là "Hiến pháp" an ninh của tổ chức.

Phân biệt: System Security vs Network Security Policy

Chính sách An ninh Hệ thống (System Security Policy)Chính sách An ninh Mạng (Network Security Policy)
Tập trung vào: Server, Workstation, Mobile, Hypervisor, Container, OS, Application, Database, Hypervisor.Tập trung vào: Router, Switch, Firewall, VPN, Wireless, WAN, SD-WAN, Cloud Network, Network Segmentation.
Kiểm soát: Hardening, Patch mgmt, Malware protection, Access control (local), Logging/Audit, Encryption at rest.Kiểm soát: Traffic filtering, Intrusion prevention, Bandwidth control, QoS, Network monitoring, Segmentation, VPN/Remote access.
Ví dụ: Baseline Windows/Linux, Container image policy, DB encryption policy.Ví dụ: Firewall rule management policy, Wireless policy, VPN policy, DDoS protection policy.

Thực tế: Thường gộp thành 1 tài liệu "Information Security Policy" hoặc tách thành Policy Set (Policy, Standard, Procedure, Guideline).

Mục đích của Chính sách An ninh Mạng/Hệ thống

  1. Xác lập ranh giới & Quy tắc chơi (Governance): Ai được làm gì, gì được phép, gì cấm, hậu vi phạm ra sao.
  2. Bảo vệ CIA Triad: Confidentiality, Integrity, Availability của dữ liệu & hệ thống.
  3. Tuân thủ (Compliance): Đáp ứng Luật An ninh mạng, PDPA, ISO 27001, PCI DSS, NIST, ngành Ngân hàng/Y tế/Chính phủ.
  4. Quản trị rủi ro (Risk Management): Khung để đánh giá, xử lý, chấp nhận, chuyển嫁 rủi ro.
  5. Chuẩn hóa vận hành (Standardization): Giảm sai sót, đảm bảo nhất quán, dễ dàng audit.
  6. Cơ sở pháp lý/Lao động: Cơ sở xử phạt vi phạm, sa thải, kiện tụng (nếu có vi phạm cố ý/nhiệm vụ).

Cấu trúc chuẩn của một Chính sách An ninh (Policy Structure)

  1. Mục đích (Purpose) & Phạm vi (Scope): Áp dụng cho ai, hệ thống gì, dữ liệu gì, địa điểm nào.
  2. Tham chiếu (References): Luật, tiêu chuẩn (ISO 27001, NIST 800-53), chính sách cha (Information Security Policy).
  3. Định nghĩa & Thuật ngữ (Definitions).
  4. Chính sách cụ thể (Policy Statements) - THE CORE: Các yêu cầu bắt buộc (MUST/SHALL), khuyến nghị (SHOULD), tùy chọn (MAY).
  5. Vai trò & Trách nhiệm (Roles & Responsibilities): CISO, IT Admin, User, Vendor, Auditor.
  6. Tuân thủ & Xử phạt (Enforcement & Sanctions).
  7. Xem xét & Cập nhật (Review & Revision): Chu kỳ (hàng năm), trigger (incident, law change, tech change). Version control.
  8. Phê duyệt & Ký tên (Approval & Sign-off): CISO, CIO, CEO/Legal.

Nội dung cốt lõi (Policy Statements) - Network Security Policy

1. Network Access Control (NAC) & Segmentation

  • Mọi thiết bị kết nối mạng doanh nghiệp **BẮT BUỘC** xác thực (802.1X, MAB, Posture Check) & tuân thủ baseline (AV, Patch, Encryption).
  • Phân đoạn mạng (VLAN/Zero Trust Segmentation): Mgmt, Server, User, Guest, IoT, DMZ, Cloud. **Default Deny Inter-VLAN**.
  • Remote Access: **Chỉ cho phép ZTNA/VPN + MFA + Device Compliance**. Cấm Split Tunneling (trừ trường hợp business justify).

2. Firewall & Perimeter Security

  • Default Deny Inbound/Outbound (chỉ cho phép rule cần thiết, documented, reviewed hàng quý).
  • App-ID / Layer 7 Control: Chặn High-risk App (Torrent, Anonymizer, Unsanctioned Cloud Storage).
  • SSL/TLS Inspection (Decryption) cho traffic nghi ngờ/rủi ro cao (kecuali Financial/Health).
  • IPS/IDS: Block mode cho Critical/High signatures. Alert cho Medium/Low.
  • DDoS Protection: On-prem/Cloud scrubbing cho public IP critical.

3. Wireless Security

  • Enterprise: **WPA3-Enterprise (802.1X/EAP-TLS)**. Không dùng PSK.
  • Guest: Captive Portal + Isolation + Rate Limit + WPA3-Personal (rotating PSK/QR).
  • IoT/OT: Dedicated SSID/VLAN, PSK mạnh unique per device/group, No Internet access (whitelist only).
  • Rogue AP Detection & Containment bật trên Controller/AP.

4. Monitoring, Logging & Detection

  • Log tập trung (SIEM): Firewall, Switch, Router, VPN, NAC, Wireless, Proxy, DNS, Cloud (VPC Flow, CloudTrail). Retention ≥ 1 năm (hot 90 ngày).
  • NetFlow/sFlow/Zeek cho Network Traffic Analysis (NTA/NDR).
  • Threat Intelligence Feed tích hợp (IP Reputation, Domain, Hash, C2).

5. Vulnerability & Patch Management (Network Devices)

  • Quét lỗ hổng mạng (Nessus, OpenVAS, Nuclei) hàng tháng / sau thay đổi lớn.
  • Patch Firmware/OS Network Device: Critical 30 ngày, High 60 ngày. Maintenance window có quy hoạch.
  • End-of-Life/End-of-Support device: Migration plan bắt buộc.

6. Change Management (Network)

  • Mọi thay đổi firewall rule, VLAN, routing, VPN, DNS, LB **BẮT BUỘC** qua Change Advisory Board (CAB) / Ticketing (Jira/ServiceNow).
  • Pre-change: Risk assessment, Rollback plan, Test lab (nếu có).
  • Post-change: Verify, Monitor, Update CMDB/Diagram.

Nội dung cốt lõi - System Security Policy (Endpoint/Server/Cloud)

  • Baseline Hardening: CIS Benchmark / DISA STIG cho OS (Win/Linux), DB, Middleware, K8s, Cloud (CIS AWS/Azure/GCP Foundations).
  • Patch Management: OS/App/Container/Base Image. Critical 48h (exploited in wild), High 2 tuần. Automated (WSUS, Intune, Ansible, SCCM, Vuln Mgmt integration).
  • Endpoint Protection: EDR/XDR bắt buộc. Tamper protection. USB/Peripheral control. App Control (Whitelisting/AppLocker/WDAC).
  • Access Control (Local): Least Privilege. No local admin cho user. LAPS cho local admin pass. PAM cho privileged access.
  • Encryption: Full Disk Encryption (BitLocker/FileVault/LUKS) bắt buộc. DB/File level encryption cho PII/Secrets.
  • Logging & Audit: Windows Event Log (Security, Sysmon), Linux Auditd, CloudTrail. Forward SIEM. Retention policy.
  • Cloud/Container Security: CSPM, CWPP, K8s Admission Control (Kyverno/OPA), Image Signing (Cosign), Runtime Security (Falco).

3 Loại Chính sách An ninh (Three Types of Security Policies - NIST SP 800-14)

  1. Chương trình/Chiến lược (Program/Policy - Organizational/Master Policy): Strategic, high-level. Ví dụ: Information Security Policy, Risk Management Policy. Phê duyệt bởi CEO/Board.
  2. Hệ thống/Chủ đề cụ thể (System/Issue-Specific Policy): Áp dụng cho hệ thống hoặc vấn đề đặc thù. Ví dụ: Network Security Policy, Email Security Policy, Cloud Security Policy, Incident Response Policy, Encryption Policy, BYOD Policy.
  3. Hệ thống cụ thể (System-Specific Policy): Cấu hình, quy tắc kỹ thuật chi tiết cho 1 hệ thống. Ví dụ: Firewall Rule Base Standard, Windows Server Hardening Standard, AWS Security Group Standard. Thường gọi là **Standard / Baseline / Procedure**.

Ví dụ Chính sách (Policy Examples)

  • Acceptable Use Policy (AUP) - Sử dụng chấp nhận được.
  • Data Classification & Handling Policy - Phân loại & Xử lý dữ liệu.
  • Access Control Policy - Kiểm soát truy cập.
  • Incident Response Policy - Ứng phó sự cố.
  • Business Continuity / Disaster Recovery Policy - BC/DR.
  • Remote Access / VPN / ZTNA Policy.
  • Vendor / Third Party Security Policy.
  • Cryptographic Policy - Quản trị khóa, thuật toán được phép.
  • Vulnerability Management Policy.
  • Security Awareness & Training Policy.

Kết luận

Chính sách An ninh Hệ thống & Mạng không phải văn bản để "có cho có". Nó phải: Sống (Living Document) - cập nhật liên tục; Thi hành được (Enforceable) - có kỹ thuật kiểm soát (technical controls) tương ứng; Được hiểu & Tuân thủ - đào tạo, nhận thức; Đo lường được (Measurable) - KPI, Metrics, Audit findings. "Policy without enforcement is just a suggestion."