Ba nguyên tắc cốt lõi (CIA Triad) – Nền tảng của mọi best practice
- Confidentiality (Tính bảo mật): Chỉ người được ủy quyền mới truy cập dữ liệu.
- Integrity (Tính toàn vẹn): Dữ liệu không bị sửa đổi trái phép.
- Availability (Tính sẵn sàng): Hệ thống/dữ liệu có sẵn khi cần.
3 Best Practices thiết yếu cho an ninh mạng doanh nghiệp
1. Phân đoạn mạng (Network Segmentation) & Zero Trust
- Chia mạng thành các zone: DMZ, Server farm, User LAN, IoT/OT, Guest, Management.
- Triển khai Zero Trust: "Không tin tưởng ai, luôn xác minh" – mọi kết nối đều phải xác thực, ủy quyền, mã hóa (mTLS), áp dụng least privilege.
- Dùng firewall nội bộ (Internal Segmentation Firewall), VLAN, ACL, Micro-segmentation (VMware NSX, Cisco ACI, Calico).
2. Quản trị danh tính & truy cập mạnh (IAM & MFA)
- Bắt buộc MFA (Đa yếu tố) cho mọi tài khoản đặc quyền, VPN, cloud console, email.
- Áp dụng Least Privilege & Just-In-Time Access (PAM – Privileged Access Management).
- Tự động hóa onboarding/offboarding (SCIM, Entra ID, Okta) – xóa quyền ngay khi nhân viên nghỉ.
- Giám sát hành vi bất thường (UEBA – User and Entity Behavior Analytics).
3. Giám sát liên tục, phát hiện & phản ứng (Continuous Monitoring, Detection & Response)
- Triển khai SIEM (Splunk, Elastic, Microsoft Sentinel) tập trung log: firewall, AD, VPN, EDR, CloudTrail, App.
- Kết hợp EDR/XDR (CrowdStrike, SentinelOne, Defender for Endpoint) trên endpoint.
- Thiết lập SOAR tự động hóa playbook ứng phó sự cố (phân tích malware, block IOC, reset password, isolate host).
- Thực hiện Threat Hunting chủ động theo MITRE ATT&CK framework.
- Kế hoạch Incident Response (IR) rõ ràng, 演练 định kỳ (tabletop exercise).
Các best practice bổ trợ quan trọng
- Patch Management: Tự động vá lỗ hổng nghiêm trọng trong 72h (CISA KEV catalog).
- Backup & Recovery: Quy tắc 3-2-1 (3 bản sao, 2 loại lưu trữ, 1 offsite/immutable). Test restore định kỳ.
- Security Awareness Training: Mô phishing, vishing, smishing định kỳ cho toàn nhân viên.
- Cryptography: TLS 1.3 everywhere, quản lý chứng chỉ tự động (ACME/Let's Encrypt, cert-manager), mã hóa dữ liệu nhạy cảm tại chỗ (AES-256) và khi truyền.
- Hardening: CIS Benchmarks cho OS, DB, container, Kubernetes, cloud config.
Kết luận
Không có "danh sách 3 việc làm xong là an toàn". An ninh mạng là quá trình liên tục: Identify → Protect → Detect → Respond → Recover (NIST CSF). Ba trụ cột trên (Segmentation+Zero Trust, IAM+MFA, Monitoring+Response) là khung xương sống không thể thiếu.