Tuân thủ bảo mật mạng (Network Security Compliance) - Khái niệm, khung chuẩn và triển khai
Network Security Compliance là quá trình đảm bảo hạ tầng, chính sách, quy trình và kiểm soát bảo mật mạng của tổ chức tuân thủ các yêu cầu bắt buộc từ: Luật pháp, Quy định ngành, Tiêu chuẩn quốc tế, Hợp đồng, Chính sách nội bộ.
Compliance ≠ Security (Quan trọng)
- Compliance: "Đúng quy tắc" - Checklist, point-in-time audit, minimum baseline
- Security: "An toàn thực tế" - Continuous, risk-based, adaptive, defense-in-depth
- Mục tiêu: Compliance làm nền tảng (floor), Security xây dựng lên (ceiling)
Các khung chuẩn (Frameworks) phổ biến
| Framework | Phạm vi | Bắt buộc/Tự nguyện | Đối tượng áp dụng |
|---|
| NIST CSF 2.0 | Identify, Protect, Detect, Respond, Recover, Govern | Tự nguyện (bắt buộc FedRAMP) | Tất cả tổ chức, tiêu chuẩn事实上全球 |
| ISO 27001/27002 | ISMS - Information Security Management System | Tự nguyện (certifiable) | Doanh nghiệp toàn cầu, yêu cầu khách hàng |
| PCI-DSS v4.0 | Thanh toán thẻ (Cardholder Data) | Bắt buộc (Card brands) | Merchant, Service Provider, Acquirer |
| HIPAA Security Rule | Bảo vệ PHI (y tế) | Bắt buộc (Luật Mỹ) | Covered Entities, Business Associates |
| GDPR Art. 32 | Bảo vệ dữ liệu cá nhân EU | Bắt buộc (Luật EU) | Xử lý data người EU |
| SOX 404 | Internal control báo cáo tài chính | Bắt buộc (Công ty niêm yết Mỹ) | Public companies |
| NERC CIP | Bảo vệ điện lực critical infrastructure | Bắt buộc (FERC) | Bulk Electric System entities |
| CMMC 2.0 | Defense Industrial Base | Bắt buộc (DoD contracts) | Contractor/subcontractor DoD |
| CIS Controls v8 | 18 Controls prioritized | Tự nguyện | Tất cả, practical implementation |
| MITRE ATT&CK | Threat-informed defense | Tự nguyện | SOC, Threat Hunting, Red Team |
Network Security Compliance - Kiểm soát cụ thể
1. Network Segmentation & Segregation
- DMZ, Internal, Management, Guest, IoT, OT/ICS - VLAN/Subnet riêng
- Firewall/NSG/SG giữa các zone - Default deny
- Micro-segmentation cho workload (Calico, Cilium, NSX)
2. Access Control (Network Level)
- 802.1X / MAB cho wired/wireless access
- VPN: MFA, Certificate, Posture check, Split tunnel policy
- Zero Trust Network Access (ZTNA) thay thế VPN truyền thống
- Bastion/Jump host cho admin access
3. Monitoring & Logging
- Flow logs (VPC/NSG/Firewall) → SIEM (Splunk, Sentinel, Elastic, Chronicle)
- DNS logging, Proxy logs, Firewall logs - Retention ≥ 1 năm (PCI), 6 năm (HIPAA)
- Network Detection & Response (NDR) - ExtraHop, Corelight, Darktrace, Vectra
- Threat Intelligence feed integration
4. Encryption in Transit
- TLS 1.2+ cho tất cả service (mTLS cho service-to-service)
- IPsec VPN cho site-to-site
- WPA3-Enterprise (802.1X) cho Wi-Fi doanh nghiệp
- Certificate management tự động (ACM, cert-manager, Venafi)
5. Vulnerability Management
- Network scan định kỳ (Nessus, Qualys, OpenVAS, Tenable)
- Patch management SLA: Critical 72h, High 30d, Medium 90d
- Asset inventory chính xác (CMDB + Network discovery)
6. Incident Response (Network Forensics)
- PCAP retention (rolling buffer) cho critical segment
- Playbook: DDoS, Ransomware, Data Exfil, C2 Beaconing
- Tabletop exercise hàng quý
Quy trình Compliance Program
- Scope & Applicability: Xác định quy định áp dụng, phạm vi hệ thống
- Gap Assessment: So sánh hiện trạng vs yêu cầu (NIST CSF, PCI SAQ...)
- Remediation Plan: Ưu tiên rủi ro, timeline, owner, budget
- Implementation: Technical controls, Policy/Procedure, Training
- Evidence Collection: Artifacts cho auditor (config, logs, ticket, report)
- Internal Audit: Self-assessment trước audit ngoài
- External Audit/Attestation: QSA (PCI), CPA (SOC2), Registrar (ISO), FedRAMP 3PAO
- Continuous Monitoring: Automated compliance (CSPM, CNAPP, Drift detection)
Công cụ tự động hóa Compliance (Compliance as Code)
- CSPM/CNAPP: Wiz, Orca, Prisma Cloud, Defender for Cloud, CrowdStrike Falcon Cloud Security
- Policy as Code: OPA/Gatekeeper, Kyverno, AWS Config Rules, Azure Policy, Terraform Sentinel
- Drift Detection: Terraform drift, CloudFormation drift, GitOps (ArgoCD/Flux)
- Evidence Automation: Vanta, Drata, Secureframe, Sprinto, AuditBoard
- Continuous Controls Monitoring: Panaseer, MetricStream, LogicGate
Thách thức thường gặp
| Thách thức | Giải pháp |
|---|
| Nhiều framework overlap | Unified Control Framework (UCF), NIST CSF làm core, mapping matrix |
| Evidence collection thủ công | Automation: API integration, scheduled export, GRC tool |
| Shadow IT / Unmanaged assets | CASB, SASE, Network discovery, NAC |
| Legacy system không patch được | Compensating controls: Isolation, monitoring, virtual patching (WAF/IPS) |
| Skill gap compliance team | Training, co-source, managed compliance service |
Kết luận
Network Security Compliance không phải "đánh dấu xong" (check-the-box) mà là chương trình liên tục: Identify obligations → Implement controls → Monitor effectiveness → Evidence automation → Continuous improvement. Tích hợp vào SDLC, DevSecOps, Cloud Operations. Compliance là sàn (floor), Security là trần (ceiling) - hãy xây cao hơn sàn.
