Xây dựng kế hoạch bảo mật mạng (Network Security Plan) toàn diện

Hướng dẫn xây dựng Kế hoạch bảo mật mạng (Network Security Plan) hiệu quả

Kế hoạch bảo mật mạng là tài liệu chiến lược xác định cách tổ chức bảo vệ tài sản thông tin, cơ sở hạ tầng mạng và tuân thủ quy định. Dưới đây là quy trình 6 bước và các thành phần cốt lõi.

1. Quy trình 6 bước xây dựng kế hoạch

1. Hiểu mô hình kinh doanh (Understand Business Model): Xác định tài sản quan trọng (Crown Jewels), quy trình cốt lõi, rủi ro kinh doanh, yêu cầu pháp lý (Luật An ninh mạng, PDPD, GDPR...), ngân sách, văn hóa tổ chức.
2. Đánh giá rủi ro (Risk Assessment): Xác định tài sản → Mối đe dọa → Lỗ hổng → Xác suất & Tác động → Xếp hạng rủi ro (Risk Matrix). Dùng khung NIST SP 800-30, ISO 27005.
3. Phát triển Chính sách & Quy trình BT (IT Security Policies & Procedures): Viết các chính sách: Chấp nhận sử dụng (AUP), Kiểm soát truy cập, Phân loại dữ liệu, Phản hồi sự cố, Quản lý bản vá, Đào tạo nhận thức, Nhà cung cấp thứ 3. Phê duyệt bởi Ban lãnh đạo.
4. Xây dựng văn hóa bảo mật (Security-First Culture): Đào tạo định kỳ, mô phỏng phishing, chương trình champion bảo mật, khen thưởng tuân thủ, lãnh đạo القدوة.
5. Định nghĩa Phản hồi sự cố (Incident Response Plan - IRP): Theo NIST SP 800-61: Chuẩn bị → Phát hiện & Phân tích → Kiểm soát, Khử trừ, Khôi phục → Hoạt động sau sự cố. Xác định vai trò (CSIRT), SLA, kênh liên lạc, công cụ pháp y.
6. Triển khai Kiểm soát bảo mật (Security Controls Implementation): Áp dụng các biện pháp kỹ thuật (Firewall, IDS/IPS, EDR, SIEM, NAC, DLP, MFA, Mã hóa, Backup, Patch Management) và phi kỹ thuật (Quy trình, Hợp đồng, Bảo hiểm). Theo khung NIST CSF / CIS Controls / ISO 27001 Annex A.

2. Bước đầu tiên thực tế (Practical First Step)

Trước khi viết kế hoạch, hãy làm 3 việc này:

1. Xem xét môi trường pháp lý & Tuân thủ: Luật An ninh mạng VN, Nghị định 13/2023/ND-CP (Dữ liệu cá nhân), Ngành ngân hàng (TT 09/2023), Y tế, Giáo dục...
2. Xác định Quản trị, Giám sát, Trách nhiệm: Ai là CISO? Ai phê duyệt chính sách? Ai chịu trách nhiệm sự cố? RACI matrix.
3. Kiểm kê tài sản (Asset Inventory): Bạn không bảo vệ được thứ bạn không biết mình có. Dùng công cụ tự động (Nmap, Lansweeper, SCCM, Cloud Asset Inventory).

3. 8 thành phần bắt buộc của chính sách bảo mật (Theo NIST/ISO)

1. Mục đích (Purpose): Tại sao chính sách này tồn tại?
2. Phạm vi & Đối tượng (Scope & Audience): Áp dụng cho ai? Hệ thống nào? Vị trí nào?
3. Mục tiêu bảo mật thông tin (Information Security Objectives): CIA + Tuân thủ + Sẵn sàng vận hành.
4. Kiểm soát quyền hạn & Truy cập (Authority & Access Control): RBAC, ABAC, MFA, PAM, Least Privilege, Separation of Duties. Cả vật lý & logic.
5. Phân loại dữ liệu (Data Classification): Public, Internal, Confidential, Restricted. Xử lý, lưu trữ, truyền tải, hủy hủy cho từng mức.
6. Dịch vụ & Hoạt động dữ liệu (Data Services & Operations): Backup, Recovery, Retention, Disposal, Sharing, Transfer.
7. Nhận thức & Hành động bảo mật (Security Awareness & Action): Đào tạo, Phishing sim, Báo cáo sự cố, Clean desk, Remote work policy.
8. Quyền, Trách nhiệm, Nhiệm vụ (Rights, Duties, Responsibilities): CISO, IT, Manager, Nhân viên, Vendor, User. Rõ ràng, có văn bản.

4. Yếu tố then chốt cho chương trình bảo mật mạng hiệu quả

• Phân đoạn mạng (Network Segmentation): VLAN, Subnet, Micro-segmentation, Zero Trust Network Access (ZTNA). Ngăn chặn di chuyển ngang (Lateral Movement).
• Vượt qua Antivirus truyền thống: EDR/XDR (Endpoint Detection & Response), NGAV, Application Control, Memory Protection.
• Giám sát liên tục (Continuous Monitoring): SIEM/SOAR, UEBA, Network Traffic Analysis (NTA), Threat Intelligence Integration. 24/7 SOC (In-house hoặc MSSP).
• Kế hoạch phản hồi sự cố (Incident Response Plan): Đã test (Tabletop exercise, Red Team/Blue Team), có Playbook cho Top 5 kịch bản (Ransomware, Data Breach, DDoS, Insider Threat, Supply Chain).

5. Kế hoạch bảo mật IT (IT Security Plan) là gì?

Là tập hợp các quy trình, biện pháp kỹ thuật và quản trị được triển khai bởi doanh nghiệp để bảo vệ dữ liệu nhạy cảm và thông tin cá nhân. Mục tiêu: Giảm thiểu rủi ro, đảm bảo Tính toàn vẹn (Integrity), Tính bảo mật (Confidentiality), Tính sẵn sàng (Availability) của hệ thống thông tin. Mang lại sự an tâm cho kinh doanh.

6. Kế hoạch bảo mật nên bao gồm gì? (Daily/Operational)

• Chính sách hàng ngày (Daily Policy): Quản lý patch, Quét lỗ hổng, Review log, Backup verify, Phishing test.
• Biện pháp & Giao thức (Measures & Protocols): Cấu hình baseline, Hardening guide, Change management, Access review (hàng quý).
• Đặc thù sự cố (Special Protocol): Playbook sự cố, Danh bạ khẩn cấp, Law enforcement contact, Cyber insurance claim process.
• Quản trị rủi ro liên tục: Risk register cập nhật, KRI/KPI báo cáo Ban lãnh đạo hàng quý.

7. Checklist nhanh cho Kế hoạch bảo mật mạng