Ai chịu trách nhiệm an ninh mạng? - Phân vai rõ ràng
An ninh mạng không phải trách nhiệm của một bên đơn lẻ. Đây là trách nhiệm chung (Shared Responsibility) phân chia theo vai trò, lớp hạ tầng và mô hình triển khai (On-prem, Cloud, SaaS).
1. Trách nhiệm theo vai trò tổ chức (Enterprise)
| Vai trò | Trách nhiệm an ninh mạng |
|---|---|
| Ban Lãnh đạo (Board / CxO) | Chiến lược, ngân sách, tone-at-the-top, chịu trách nhiệm cuối cùng (Accountability), báo cáo rủi ro cyber cho cổ đông/quan chức |
| CISO / CIO / IT Director | Chiến thuật: Xây dựng chương trình an ninh, chính sách, kiến trúc, tuyển dụng, vendor management, báo cáo định kỳ |
| Security Team (SOC, SecOps, AppSec, CloudSec, GRC) | Vận hành hàng ngày: Giám sát (SIEM/SOAR), 응答 sự cố (IR), Quét lỗ hổng, Penetration test, Secure SDLC, Policy enforcement, Compliance |
| IT Operations / Infra / NetOps | Triển khai & vận hành: Firewall, Network Segmentation, Patch Management, Backup, Identity/Access (AD/Entra ID), Endpoint Config, Monitoring |
| Dev / Engineering Teams | Security by Design: Threat Modeling, Secure Coding, SAST/DAST/SCA, Container Security, IaC Security, Shift Left |
| Nhân sự (HR) & Pháp lý (Legal) | Background check, NDA, On/Off-boarding access, Đào tạo nhận thức, Tuân thủ pháp lý (GDPR, PDPA, Luật An ninh mạng), Incident notification |
| TẤT CẢ NHÂN VIÊN | Dòng phòng thủ đầu tiên: Nhận diện phishing, báo cáo sự cố, tuân thủ chính sách, bảo vệ thiết bị, không chia sẻ mật khẩu, lock screen |
2. Mô hình Shared Responsibility (Cloud / SaaS)
On-Premise: Customer 100%一切 → IaaS: Provider (Physical, Network, Hypervisor) / Customer (OS, App, Data, Identity, Config) → PaaS: Provider (+ Runtime, Middleware) / Customer (App, Data, Identity, Config) → SaaS: Provider (Hầu như tất cả Infra/App) / Customer (Data, Identity, Config, User Behavior)
- AWS/Azure/GCP (IaaS): Cloud Provider bảo vệ "Security OF the Cloud" (Physical DC, Network backbone, Hypervisor). Khách hàng bảo vệ "Security IN the Cloud" (OS patch, Firewall/SG/NACL, IAM, Encryption, App code, Data).
- Microsoft 365 / Google Workspace / Salesforce (SaaS): Provider bảo vệ Infra, App, Platform. Khách hàng bảo vệ: Identity (MFA, Conditional Access), Data (DLP, Labeling, Retention), Configuration (Sharing settings, Admin roles), User Training.
3. Nhà cung cấp dịch vụ an ninh mạng (Security Vendors / MSSP / MDR)
Tổ chức có thể thuê ngoài (outsource) một phần hoặc toàn bộ vận hành an ninh:
| Loại dịch vụ | Mô tả | Ví dụ nhà cung cấp | ||||
|---|---|---|---|---|---|---|
| MSSP (Managed Security Service Provider) | Vận hành firewall, SIEM, Vuln scanning, Log management 24/7 | IBM, Secureworks, Trustwave, AT&T Cybersecurity, NTT, Việt Nam: VNPT Security, Viettel Cyber Security, BKAV, VinCSS | ||||
| MDR (Managed Detection & Response) | Tìm kiếm đe dọa chủ động (Threat Hunting), Response có hướng dẫn/hỗ trợ | CrowdStrike Falcon Complete, Red Canary, Expel, Arctic Wolf, Sophos MDR, SentinelOne Vigilance | ||||
| Penetration Testing / Red Teaming | Kiểm tra xâm nhập định kỳ, mô phỏng đối thủ (APT) | Synack, HackerOne, Cobalt, Bishop Fox, Việt Nam: CyStack, WhiteHat, VNPT PenTest | ||||
| Incident Response (IR) Retainer | Đội ngũ sẵn sàng hỗ trợ khi có sự cố nghiêm trọng (Ransomware, Data breach) | Mandiant (Google), CrowdStrike Services, Kroll, Unit 42 (Palo Alto), Việt Nam: VNCERT/CC, BKAV IR | ||||
| Security Software Vendor | Cung cấp công cụ: EDR, Firewall, Email Sec, Cloud Sec, Identity, DLP, SIEM... | Microsoft, CrowdStrike, Palo Alto, Fortinet, Zscaler, Okta, Proofpoint, SentinelOne, Splunk, Elastic |
| Hoạt động | Leadership | CISO/SecTeam | IT/NetOps | Dev/Eng | All Staff | Vendor/MSSP |
|---|---|---|---|---|---|---|
| Chiến lược & Ngân sách | R/A | R | C | C | I | C |
| Chính sách & Kiến trúc | A | R | C | C | I | C |
| Triển khai Firewall/EDR/Cloud Sec | I | A | R | C | I | R (MSSP) |
| Secure Coding / AppSec | I | A | C | R | I | C |
| Patch Management | I | A | R | C | I | R (Managed) |
| Phishing Awareness | I | A | C | C | R | C |
| Incident Response | A | R | R | R | C | R (MDR/IR) |
| Compliance Audit | A | R | C | C | I | C |
R=Responsible (Thực hiện), A=Accountable (Chịu trách nhiệm cuối cùng), C=Consulted (Tham vấn), I=Informed (Thông báo)
Kết luận
An ninh mạng do toàn thể tổ chức chịu trách nhiệm, dẫn dắt bởi Ban Lãnh đạo và điều phối bởi CISO/Security Team. Mỗi nhân viên là một phần của hệ thống phòng thủ. Có thể thuê ngoài (MSSP/MDR/IR) phần vận hành, nhưng KHÔNG THỂ thuê ngoài trách nhiệm (Accountability). Mô hình Shared Responsibility với Cloud Provider phải hiểu rõ ranh giới. Chọn vendor uy tín, có chứng chỉ (ISO 27001, SOC2, CMMC), SLA rõ ràng.