Ai chịu trách nhiệm phê duyệt chính sách bảo mật thông tin?
Theo các khung chuẩn quốc tế (ISO 27001, NIST CSF, COBIT, PCI-DSS):
- Ban Giám đốc / Hội đồng quản trị (Board of Directors / Senior Management) có trách nhiệm cuối cùng (ultimate accountability) phê duyệt Chính sách bảo mật thông tin cấp cao (Information Security Policy - Master Policy).
- CISO / CIO / CSO chịu trách nhiệm soạn thảo, đề xuất, triển khai, vận hành và báo cáo định kỳ cho Ban Giám đốc.
- Information Security Steering Committee / Risk Committee (nếu có) thẩm định, tư vấn trước khi trình Ban Giám đốc phê duyệt.
Quy trình phát triển & phê duyệt chính sách (Policy Lifecycle)
- Khởi xướng (Initiation): CISO/Security Team xác định nhu cầu (mới, cập nhật, sự cố, quy định mới).
- Phân tích rủi ro & Yêu cầu pháp lý: Risk assessment, legal/regulatory mapping (Luật An ninh mạng, GDPR, PCI-DSS...).
- Soạn thảo (Drafting): Security Team viết draft, tham khảo template (ISO 27001 Annex A, NIST 800-53, SANS policy templates).
- Tư vấn liên ngành (Stakeholder Review): IT Ops, Legal, HR, Compliance, Business Units, DPO, Worker Council (nếu có) – góp ý tính khả thi, tác động vận hành.
- Thẩm định kỹ thuật & Pháp lý: Legal review, Technical accuracy review.
- Phê duyệt (Approval): Trình Senior Management / Board phê duyệt chính thức (ký tên, ngày hiệu lực, phiên bản).
- Ban hành & Truyền thông (Publication & Communication): Công bố trên Intranet, email toàn nhân viên, đào tạo bắt buộc, ký nhận (acknowledgement).
- Triển khai & Thực thi (Implementation & Enforcement): Biến chính sách thành control technical (firewall rule, IAM policy, DLP rule, config baseline), procedure, guideline.
- Giám sát & Đánh giá (Monitoring & Review): KPI, audit nội bộ/ngoài, metric compliance, incident trend.
- Cập nhật / Thu hồi (Update / Retire): Định kỳ (thường 1 năm) hoặc khi có thay đổi lớn (tổ chức, công nghệ, pháp luật, sự cố lớn).
Ba cấp độ chính sách (Three Tiers of Policy)
| Cấp độ | Tên gọi | Phạm vi | Người phê duyệt | Ví dụ |
|---|---|---|---|---|
| 1 | Chính sách cấp tổ chức (Enterprise/ Master Policy) | Toàn công ty, nguyên tắc chung, cam kết lãnh đạo | CEO / Board / CISO | Information Security Policy, Data Protection Policy, Acceptable Use Policy (cấp cao) |
| 2 | Chính sách hệ thống/miền (System/Domain Specific Policy) | Miền công nghệ cụ thể | CISO / CIO / Domain Owner | Network Security Policy, Cloud Security Policy, Endpoint Policy, Crypto Policy, Incident Response Policy |
| 3 | Chính sách vấn đề/đặc thù (Issue-Specific Policy) | Vấn đề đơn lẻ, kỹ thuật chi tiết | Domain Owner / Security Manager | Remote Access Policy, Wi-Fi Policy, BYOD Policy, Password Policy, Mobile Device Policy, Vendor Access Policy |
Vai trò & Trách nhiệm (RACI) chính
| Vai trò | Responsible (Thực hiện) | Accountable (Chịu trách nghiệm cuối) | Consulted (Tư vấn) | Informed (Thông báo) |
|---|---|---|---|---|
| Board / Senior Mgmt | ✓ Master Policy | ✓ | ||
| CISO / Security Lead | ✓ Draft, Implement, Operate | ✓ Domain/Issue Policy | Legal, IT, HR, Business | Board, All Staff |
| IT Operations / Infra | ✓ Technical controls | ✓ | ✓ | |
| Legal / Compliance / DPO | ✓ Legal req, Privacy | ✓ | ||
| Business Unit Managers | ✓ Business impact | ✓ | ||
| Internal Audit | ✓ Independent assurance | Board, CISO | ||
| All Employees | ✓ Comply | ✓ Policy content |
Yếu tố then chốt để chính sách có hiệu lực
- Sponsorship từ C-level: CEO/CFO/COO công khai ủng hộ, cấp ngân sách, enforce.
- Rõ ràng, khả thi, đo lường được: Tránh chính sách "văn chương", không thi hành được.
- Đào tạo & Nhận thức: 100% nhân viên hoàn thành training, ký nhận hàng năm.
- Công cụ thi hành tự động (Technical Enforcement): Policy-as-Code, GPO, Intune, CSPM, NAC, DLP – không chỉ dựa vào ý thức.
- Kiểm toán & Cải tiến liên tục: Internal audit, external audit, metric dashboard, feedback loop.
Kết luận
Ban Giám đốc (Board/Senior Management) phê duyệt chính sách cấp Master. CISO chịu trách nhiệm soạn thảo, vận hành, báo cáo. Quy trình phải có: Risk-based drafting → Stakeholder review → Legal/Technical validation → Executive Approval → Publication & Training → Technical Enforcement → Continuous Monitoring → Annual Review. Không có "chính sách hiệu lực" nếu chỉ có văn bản mà không có enforcement kỹ thuật và sponsorship lãnh đạo.