Security Score (Điểm an ninh) / Cyber Risk Score (Điểm rủi ro mạng) là gì?
Là số liệu định lượng (quantitative metric) biểu diễn trình độ bảo mật (Security Posture) hoặc mức độ rủi ro mạng (Cyber Risk) của một tổ chức, tài sản, nhà cung cấp hoặc sản phẩm. Giúp chuyển đổi thông tin kỹ thuật phức tạp thành chỉ số dễ hiểu, so sánh, theo dõi, báo cáo cho Ban lãnh đạo, Hội đồng quản trị, Bảo hiểm, Đối tác.
Các loại Score phổ biến
| Loại Score | Đặc điểm | Ví dụ Nhà cung cấp / Framework |
|---|---|---|
| Security Rating / External Risk Score | Outside-in, passive, non-intrusive. Scan internet-facing assets (IP, Domain, Cert, DNS, Leak, Reputation). Grade A-F hoặc 0-1000. | SecurityScorecard, BitSight, RiskRecon, UpGuard, Panorays, CyberGRX. Dùng cho: Vendor Risk Mgmt, Cyber Insurance, M&A Due Diligence, Board Reporting. |
| Internal Security Posture Score | Inside-out, agent/scan-based. Đánh giá config, patch, control, user behavior, vuln內部. | Microsoft Secure Score (M365/Azure), AWS Security Hub Score, Google Cloud Security Command Center, Qualys VMDR Score, Tenable Lumin, Rapid7 InsightVM. Dùng cho: Internal Hygiene, Compliance, Prioritization. |
| Cyber Risk Quantification (CRQ) Score | Định lượng rủi ro theo đơn vị tiền tệ ($) hoặc xác suất thiệt hại. FAIR Model, Monte Carlo. | RiskLens, Axio, Safe Security, Kovrr, CyberSaint. Dùng cho: Board Communication, Cyber Insurance Pricing, Capital Allocation. |
| Compliance / Maturity Score | Đánh giá mức độ tuân thủ khung chuẩn (NIST CSF, ISO 27001, CIS Controls, PCI-DSS). | NIST CSF Tier (Partial → Adaptive), CMMI, ISO 27001 Maturity Level, CIS CSAT Score. Dùng cho: Audit, Regulation, Framework Alignment. |
| Application / Code Security Score | Đánh giá rủi ro code/app (SAST/DAST/SCA findings severity, density, remediation rate). | SonarQube Quality Gate, Snyk Score, Veracode Flaw Density, GitHub Advanced Security Score. Dùng cho: DevSecOps, AppSec Program. |
Microsoft Secure Score (Điểm an ninh Microsoft) - Phổ biến nhất cho Org dùng M365/Azure
- Phạm vi: Microsoft 365 (Identity, Device, Apps, Data), Azure (Azure Security Center/Defender for Cloud), Windows.
- Cách tính: Tổng điểm các Improvement Actions (Hành động cải tiến) đã hoàn thành / Tổng điểm tối đa có thể. Mỗi action có điểm (1-50+ pts) dựa trên tác động giảm rủi ro.
- Điểm chuẩn (Benchmark):
- < 30%: Rất dễ bị tấn công (Highly Vulnerable).
- 30-50%: Chưa áp dụng đủ Best Practices.
- ~67%: Mục tiêu thực tế tốt (Best practices + All security features enabled).
- > 80%: Rất mạnh (Mature), nhưng khó đạt 100% do trade-off usability/functionality.
- Hành động cải tiến mẫu: Enable MFA for Admins (30 pts), Block legacy auth (25 pts), Enable Conditional Access (20 pts), Enable Defender for Endpoint (15 pts), Configure DLP policies (10 pts), Review Guest access (5 pts)...
- So sánh: So sánh với Organisations similar size/industry/region (Anonymous).
SecurityScorecard (External Rating) - Chi tiết
- 10 Factor Groups (A-F Grade each): DNS Health, IP Reputation, Web Application Security, Network Security, Leaked Information, Hacker Chatter, Endpoint Security, Patching Cadence, Cubit Score (Cognitive/Threat Intel), Social Engineering.
- Overall Score: 0-1000 (A: 900+, B: 800+, C: 700+, D: 600+, F: <600).
- Data Collection: Global sensor network (Passive DNS, Internet Scanning, Honeypots, Sinkholes, Malware Analysis, Threat Intel Feeds, Public Leaks, Cert Transparency Logs). Không scan chủ động (non-intrusive).
- Accuracy: Được kiểm chứng ~95% accuracy trong attribution (gán đúng IP/Domain cho Org).
- Legal/Privacy: Chỉ dùng dữ liệu công khai/quan sát bị động. Tuân thủ GDPR, CCPA. Cho phép Org claim/fix attribution errors.
Azure Secure Score (Defender for Cloud)
- Điểm số cho từng Recommendation (Khuyến nghị) dựa trên: Severity (High/Med/Low) × Resources Affected × Potential Impact Reduction.
- Tổng điểm = Tổng điểm các Recommendation đã remediate / Tổng điểm tối đa.
- Giúp ưu tiên: Fix recommendation điểm cao trước → Giảm rủi ro nhanh nhất.
NIST Score / NIST CSF Tier
- Không phải điểm số đơn lẻ. Là 4 Tiers (Partial → Risk Informed → Repeatable → Adaptive) đánh giá tính trưởng thành (Maturity) của 5 Functions: Identify, Protect, Detect, Respond, Recover.
- Dùng tool NIST CSF Self-Assessment Tool (CSAT) hoặc CIS CSAT (CIS Controls Self-Assessment Tool).
Cách đo lường Cyber Risk (Cyber Risk Measurement)
- Qualitative (Định tính): Risk Matrix (Likelihood: Very Low → Very High × Impact: Negligible → Catastrophic) → Risk Level (Low, Medium, High, Critical). Dùng cho comms, prioritization nhanh.
- Quantitative (Định lượng - CRQ): Mô hình FAIR (Factor Analysis of Information Risk). Tính: Risk = Loss Event Frequency (LEF) × Probable Loss Magnitude (PLM). Đơn vị: USD/năm (Annualized Loss Expectancy - ALE). Dùng cho: Bảo hiểm, Đầu tư, Báo cáo Ban lãnh đạo.
Ứng dụng thực tế của Security Score
- Vendor Risk Management (VRM): SecurityScorecard/BitSight score nhà cung cấp → Tự động hóa Questionnaire, Tiering Vendor (Critical/High/Med/Low), Continuous Monitoring.
- Cyber Insurance: Underwriter dùng External Rating (SecurityScorecard/BitSight) + Internal Posture (Secure Score) + CRQ → Định giá Premium, Coverage Limit, Exclusions.
- Board & Executive Reporting: "Score 650 (C) → Target 750 (B) in 12 months. Top 3 gaps: MFA, Patching, Email Security. Investment needed: $X."
- Internal Prioritization: Microsoft Secure Score / AWS Security Hub → Top 5 Improvement Actions → Sprint Remediation.
- M&A Due Diligence: External Rating của target company → Identify hidden liabilities.
- Regulatory Compliance: NIST CSF Tier / CIS Controls Score → Evidence cho Auditor.
Lưu ý quan trọng
- Score ≠ Security. Score là chỉ số đại diện (proxy). Có thể "gaming score" (làm action dễ để lên điểm) mà không giảm rủi ro thực. Focus vào Risk Reduction, không phải Score Maximization.
- External Rating có lỗi (False Positive Attribution, Stale Data). Luôn verify & dispute.
- Internal Score phụ thuộc coverage (Agent deployed? All clouds connected? All apps scanned?).
- Context is King: Score 800 của ngân hàng ≠ Score 800 của startup 10 người.