Tiêu chuẩn quốc tế an ninh thông tin
ISO/IEC 27001 - Tiêu chuẩn quốc tế hàng đầu cho Hệ thống Quản trị An ninh Thông tin (ISMS). Cung cấp khung làm việc toàn diện: quản trị rủi ro, chính sách, quy trình, kiểm soát kỹ thuật, nhân sự, vật lý. Có chứng chỉ được công nhận toàn cầu.
Hệ tiêu chuẩn ISO 27000 Series
- ISO 27000: Thuật ngữ & định nghĩa
- ISO 27001: Yêu cầu ISMS (có thể chứng nhận)
- ISO 27002: Thực hành tốt nhất (Code of practice) - 93 kiểm soát nhóm 4 chủ đề
- ISO 27005: Quản trị rủi ro an ninh thông tin
- ISO 27701: Mở rộng riêng tư (PIMS) - GDPR
- Tổng cộng 46 tiêu chuẩn trong họ ISO 27000
Các khung chuẩn (Framework) phổ biến khác
- NIST Cybersecurity Framework (CSF): Identify, Protect, Detect, Respond, Recover - phổ biến tại Mỹ, chính phủ, doanh nghiệp
- NIST SP 800-53 Rev 5: Danh mục kiểm soát an ninh & riêng tư cho hệ thống liên bang
- CIS Controls v8: 18 kiểm soát ưu tiên cao (Implementation Groups IG1/IG2/IG3)
- COBIT 2019: Quản trị & quản lý CNTT doanh nghiệp (ISACA)
- PCI-DSS: Tiêu chuẩn bảo mật dữ liệu thẻ thanh toán
- SOC 2 (AICPA): Báo cáo kiểm soát an ninh, sẵn sàng, xử lý, bảo mật, riêng tư cho nhà cung cấp dịch vụ
Thực hành tốt nhất quản trị an ninh mạng (Best Practices)
Cấp chiến lược (Macro View)
- Hiểu mô hình OSI & kiến trúc mạng
- Quản trị an ninh thông tin chính thức (Information Security Governance)
- Phân đoạn mạng (Network Segmentation) theo vùng bảo mật
- Đặt thiết bị an ninh đúng vị trí (Firewall, IDS/IPS, WAF, Proxy)
- Dịch địa chỉ mạng (NAT) che cấu trúc nội bộ
- Ghi log tập trung (Centralized Logging) + Phân tích ngay (SIEM)
Cấp vận hành (Micro View)
- Quản trị thay đổi an toàn (Secure Change Management)
- Mô phỏng tấn công theo ngữ cảnh (Context-aware Attack Simulation)
- Đánh giá rủi ro nhạy cảm ngữ cảnh (Context-sensitive Risk Assessment)
- Giám sát liên tục (Continuous Monitoring)
- Quản trị lỗ hổng vòng đời (Vulnerability Management Lifecycle)
Thực hành an ninh cá nhân & doanh nghiệp
- Mật khẩu mạnh + MFA (Xác thực đa yếu tố)
- Đào tạo nhận thức an ninh (Security Awareness Training)
- Phòng chống Social Engineering, Phishing
- Cập nhật bản vá kịp thời (Patch Management)
- Backup 3-2-1 & kiểm tra khôi phục
- Firewall host & mạng, EDR/XDR
- Chính sách sử dụng chấp nhận được (AUP) rõ ràng
Tiêu chuẩn ngành cụ thể
- Chính phủ Úc: Bắt buộc ISO 27001, SOC 2, FedRAMP (Mỹ) cho thông tin "BẢO MẬT"
- Ngân hàng/VN: Thông tư 09/2018/TT-NHNN, Tiêu chuẩn VNISA
- Y tế: HIPAA (Mỹ), ISO 27799
- Điện lực: NERC CIP