Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Chính sách an ninh mạng (Network Security Policy) là gì?

Định nghĩa

Chính sách an ninh mạng (Network Security Policy) là tài liệu chính thức quy định quy tắc, nguyên tắc, thủ tục và trách nhiệm để bảo vệ cơ sở hạ tầng mạng, dữ liệu và dịch vụ của tổ chức khỏi các mối đe dọa. Nó là cơ sở pháp lý & vận hành cho mọi quyết định kỹ thuật, đầu tư, kiểm toán và ứng phó sự cố.

Cấu trúc một chính sách an ninh mạng chuẩn (ISO 27001 / NIST SP 800-53 / PCI-DSS aligned)

  1. Mục đích & Phạm vi (Purpose & Scope): Áp dụng cho ai (nhân viên, contractor, third-party), hệ thống nào (on-prem, cloud, OT, IoT), dữ liệu nào (PII, PCI, IP, CUI).
  2. Roles & Responsibilities (Vai trò & Trách nhiệm): CISO, Security Architect, NetOps, SecOps, Data Owner, System Owner, End User, Auditor.
  3. Asset Classification & Inventory (Phân loại & Danh mục tài sản): CMDB, Network Diagram, Data Flow Diagram, Criticality Rating (High/Med/Low).
  4. Access Control Policy (Chính sách kiểm soát truy cập):
    • Network Segmentation (Zone/Trust Level), Zero Trust, Least Privilege, Need-to-Know.
    • Authentication: MFA bắt buộc (Admin, Remote, Privileged), Certificate-based, Password Policy (NIST 800-63B).
    • Authorization: RBAC/ABAC, Privileged Access Management (PAM), Just-in-Time (JIT).
  5. Network Architecture & Perimeter Security (Kiến trúc & Biên giới):
    • Firewall Rulebase Standard (Naming, Document, Review cycle), Default Deny, Implicit Deny Logging.
    • DMZ Design, Egress Filtering, DDoS Protection, DNS Security, TLS Inspection Policy.
  6. Monitoring, Logging & Incident Response (Giám sát, Nhật ký & Phản ứng sự cố):
    • Log Sources: Firewall, Router, Switch, Proxy, VPN, NAC, DNS, DHCP, Cloud Flow Logs.
    • SIEM Correlation Rules, UEBA, Threat Hunting Playbooks.
    • Incident Response Plan (NIST SP 800-61): Preparation, Detection, Containment, Eradication, Recovery, Lessons Learned.
  7. Vulnerability & Patch Management (Quản trị lỗ hổng & Vá lỗi):
    • Scan schedule (Authenticated, Unauthenticated, Agent-based), SLA remediation theo CVSS/CISA KEV.
    • Firmware/OS/App/Container/Base Image patching. Emergency patch process.
  8. Encryption & Cryptographic Controls (Mã hóa & Kiểm soát mật mã):
    • Data in Transit: TLS 1.2/1.3, IPsec, MACsec, WireGuard. Data at Rest: AES-256, LUKS, BitLocker, Cloud KMS.
    • Key Management: HSM, Cloud KMS, Rotation, Split Knowledge, Dual Control, Certificate Lifecycle (ACME, SCM).
  9. Wireless & Remote Access (Wi-Fi & Truy cập từ xa):
    • WPA3-Enterprise (EAP-TLS), Certificate-based, NAC Posture Check, Guest Isolation.
    • ZTNA/SASE thay thế VPN truyền thống, Device Compliance Check (MDM/EDR).
  10. Physical & Environmental Security (An ninh vật lý & Môi trường): DC Access Control, Rack Lock, Environmental Monitoring, Media Sanitization (NIST SP 800-88).
  11. Compliance & Audit (Tuân thủ & Kiểm toán): Mapping controls to PCI-DSS, ISO 27001, NIST CSF, GDPR, PDPD (Vietnam), SOC 2, HIPAA. Internal/External Audit Schedule.
  12. Awareness & Training (Nhận thức & Đào tạo): Phishing Simulation, Secure Coding, Role-based Training, Annual Refresh, Phishing Reporting Mechanism.
  13. Exception & Waiver Process (Ngoại lệ & Miễn trừ): Business Justification, Risk Acceptance (Residual Risk), Compensating Controls, Expiry Date, Approval Chain (CISO → Legal → Business Owner).
  14. Review & Version Control (Xem xét & Kiểm soát phiên bản): Review hàng năm hoặc khi thay đổi lớn (M&A, Cloud Migration, New Regulation, Major Incident). Git/Document Control System.

Các loại chính sách con (Sub-policies) thường tách riêng

  • Firewall Rule Management Policy
  • VPN / Remote Access Policy
  • Wireless Network Policy
  • Network Device Hardening Baseline (CIS Benchmark, STIG)
  • Network Monitoring & Logging Policy
  • DDoS Response Playbook
  • Network Change Management Policy
  • Third-Party/Vendor Network Access Policy
  • BYOD / MDM Policy
  • Cryptographic Key Management Policy

Tại sao quan trọng? (Business Value)

  • Legal/Regulatory Defense: Bằng chứng due care/due diligence trước tòa án/regulator.
  • Operational Consistency: Mọi team (NetOps, SecOps, Cloud, DevOps) làm theo một chuẩn chung – giảm misconfig, shadow IT.
  • Risk Management: Định lượng rủi ro, ưu tiên đầu tư (Risk Appetite Statement).
  • Audit Readiness: Sẵn sàng cho Internal Audit, External Audit, Customer Assessment (SIG, CAIQ).
  • Incident Response Speed: Runbook, RACI, Escalation Path đã định sẵn – giảm MTTR.

Best Practices viết chính sách hiệu quả

  • Ngôn ngữ rõ ràng, súc tích, tránh двусмысленность (ambiguity) – dùng Must/Shall (bắt buộc), Should (khuyến nghị), May (tùy chọn).
  • Mapping 1-1 với Control Framework (NIST 800-53 Rev 5, ISO 27001 Annex A, CIS Controls v8).
  • Automation-as-Policy: Infrastructure as Code (Terraform, Ansible, Policy-as-Code: OPA/Rego, Kyverno, Sentinel) – enforce tại CI/CD, GitOps.
  • Stakeholder Review: Legal, HR, Procurement, Business Units, Union/Works Council (nếu có).
  • Communicate & Train: Phát hành qua Policy Portal, Quiz bắt buộc, Acknowledgment signature (e-signature).