Các tổ chức tiêu chuẩn hóa bảo mật mạng quốc tế chính
| Tổ chức | Vai trò / Tiêu chuẩn nổi bật |
|---|---|
| ISO/IEC JTC 1/SC 27 | ISO 27001 (ISMS), ISO 27002 (Controls), ISO 27005 (Risk), ISO 27032 (Cybersecurity), ISO 27035 (Incident Response), ISO 27701 (PIMS). |
| NIST (National Institute of Standards and Technology - Mỹ) | NIST CSF (Cybersecurity Framework), NIST SP 800-53 (Security Controls), NIST SP 800-171 (CUI), NIST SP 800-53B (Baselines), NIST SP 800-207 (Zero Trust Architecture), FIPS 140-3 (Crypto Module). |
| IETF (Internet Engineering Task Force) | RFC chuẩn giao thức: TLS 1.3 (RFC 8446), IPsec (RFC 4301/4303), SSH (RFC 4253), QUIC (RFC 9000), DNSSEC, RPKI, BGPsec, OAuth 2.0, JWT, ACME. |
| IEEE (Institute of Electrical and Electronics Engineers) | 802.1X (Port-based NAC), 802.11i (WPA2/WPA3), 802.1AE (MACsec), 802.1AR (DevID), 1686 (Substation Security). |
| PCI SSC (Payment Card Industry Security Standards Council) | PCI DSS (Data Security Standard), PA-DSS, PTS, 3DS – bắt buộc cho xử lý thẻ thanh toán. |
| CIS (Center for Internet Security) | CIS Controls (v8: 18 Controls), CIS Benchmarks (Hardening guide cho OS, Cloud, Network Device, Kubernetes, Docker). |
| ENISA (EU Agency for Cybersecurity) | EU Cybersecurity Act, Certification Framework, Sectoral guidelines (Finance, Health, Energy, Transport). |
| ITU-T (International Telecommunication Union - Telecommunication) | X.509 (PKI), X.800 (Security Architecture), X.1035 (Password), Y.1540 (IoT Security), Y.3500 (Blockchain Security). |
| OASIS | SAML, XACML, STIX/TAXII (Threat Intel), KMIP, TOSCA. |
| W3C | Web Crypto API, WebAuthn/FIDO2, CSP, Subresource Integrity, COSE. |
Tiêu chuẩn & Quy định tại Việt Nam
| Văn bản | Cơ quan ban hành | Nội dung chính |
|---|---|---|
| Luật An ninh mạng (Luật số 24/2018/QH14) | Quốc hội | Cơ sở pháp lý an ninh mạng, bảo vệ dữ liệu cá nhân, hệ thống thông tin quan trọng, trách nhiệm doanh nghiệp. |
| Nghị định 53/2022/NĐ-CP | Chính phủ | Chi tiết Luật An ninh mạng: bảo vệ hệ thống thông tin quan trọng, dữ liệu cá nhân, đánh giá tác động an ninh mạng. |
| Thông tư 05/2017/TT-BTTTT | Bộ TT&TT | Quản trị an ninh thông tin hệ thống thông tin nhà nước. |
| Quy chuẩn TCVN ISO/IEC 27001:2013 | Bộ KH&ĐT (TCVN) | Chuẩn quốc gia hóa ISO 27001 – hệ thống quản trị an ninh thông tin. |
| Quy chuẩn TCVN 8686:2011 (ISO 15408) | Bộ KH&ĐT | Tiêu chí đánh giá bảo mật sản phẩm CNTT (Common Criteria). |
| Chuẩn kỹ thuật VNPT / Viettel / FPT Telecom | Các tập đoàn viễn thông | Yêu cầu kỹ thuật an ninh cho thiết bị CPE, gateway, quản trị mạng truy cập. |
Ngành ngân hàng / Tài chính (Việt Nam & Quốc tế)
- NHNN Việt Nam: Thông tư 09/2020/TT-NHNN (An ninh thông tin ngân hàng), Thông tư 13/2018/TT-NHNN (Thanh toán không dùng tiền mặt).
- Basel Committee: BCBS 239 (Risk data aggregation), Operational Risk.
- SWIFT CSP: Customer Security Programme – bắt buộc cho thành viên SWIFT.
Vai trò của tiêu chuẩn trong bảo mật
- Ngôn ngữ chung (Common Language): Định nghĩa thuật ngữ, metric, mức độ bảo vệ – giúp giao tiếp, mua sắm, audit đồng nhất.
- Baseline tốt nhất (Best Practice Baseline): CIS Controls, NIST CSF cung cấp "gói khởi tạo" bảo vệ thiết yếu.
- Tuân thủ pháp lý (Regulatory Compliance): Chứng minh due diligence, tránh phạt, duy trì giấy phép hoạt động.
- Khả năng tương tác (Interoperability): TLS, IPsec, SAML, OIDC, STIX/TAXII cho phép hệ thống khác vendor làm việc cùng nhau an toàn.
- Chứng nhận & Đấu thầu (Certification & Procurement): ISO 27001, SOC 2, FIPS 140-3, Common Criteria – điều kiện bắt buộc nhiều hợp đồng Gov/Enterprise.
- Cải tiến liên tục (Continuous Improvement): PDCA cycle (Plan-Do-Check-Act) nhúng trong ISO 27001, NIST CSF.
Kết luận
Không có một tổ chức đơn lẻ "thiết lập tiêu chuẩn bảo mật mạng" cho toàn thế giới. Thay vào đó, hệ sinh thái tiêu chuẩn (Standards Ecosystem) bao gồm: ISO/IEC (quản trị), NIST (kiến trúc/kỹ thuật/khung), IETF (giao thức), IEEE (lớp liên kết/mạng), PCI SSC (thanh toán), CIS (hardening thực tế), ENISA/ITU (chính sách khu vực/quốc tế) + Quy định pháp luật quốc gia (Luật An ninh mạng VN, Nghị định 53, Thông tư 09 NHNN...). Doanh nghiệp nên áp dụng: NIST CSF làm khung chiến lược + ISO 27001 làm hệ thống quản trị + CIS Benchmarks làm hardening kỹ thuật + IETF/IEEE protocols làm triển khai + Tuân thủ pháp luật địa phương.