Quy trình đánh giá rủi ro an ninh mạng (Security Risk Assessment)
Bước 1: Xác định phạm vi & Ngữ cảnh
- Hệ thống, ứng dụng, dữ liệu, quy trình nào trong phạm vi?
- Tiêu chuẩn áp dụng: ISO 27001, NIST 800-30, PCI-DSS, Luật An ninh mạng VN
Bước 2: Thu thập tài sản (Asset Inventory)
- Phần cứng, phần mềm, dữ liệu, người, quy trình, thiết bị mạng, cloud
- Phân loại độ nhạy cảm: Công khai, Nội bộ, Bí mật, Tuyệt mật
- Xác định chủ sở hữu tài sản (Asset Owner)
Bước 3: Nhận diện đe dọa (Threat Identification)
- Nguồn đe dọa: Ngoại bộ (hacker, APT, hacktivist), Nội bộ (nhân viên, contractor), Môi trường (thiên tai, mất điện)
- Tham khảo: MITRE ATT&CK, Threat Intelligence, CISA KEV, báo cáo ngành
Bước 4: Nhận diện lỗ hổng (Vulnerability Identification)
- Quét tự động: Nessus, OpenVAS, Qualys, Microsoft Defender Vulnerability Management
- Kiểm thử thủ công: Penetration test, Code review, Cấu hình sai (Misconfiguration)
- CVE, CWE, CVSS scoring
Bước 5: Phân tích rủi ro (Risk Analysis)
Công thức: Rủi ro = Xác suất (Likelihood) × Tác động (Impact)
- Xác suất: Dễ khai thác, độ phức tạp, kiểm soát hiện có, threat actor capability
- Tác động: Tài chính, vận hành, uy tín, pháp lý, an ninh quốc gia
- Ma trận rủi ro: Critical / High / Medium / Low / Informational
Bước 6: Đánh giá kiểm soát hiện có (Control Effectiveness)
- Kiểm soát phòng ngừa (Preventive): Firewall, MFA, Patch, Encryption
- Kiểm soát phát hiện (Detective): SIEM, EDR, IDS, Audit Log
- Kiểm soát khắc phục (Corrective): Backup, IR Plan, Disaster Recovery
- Đánh giá độ hiệu quả: Effective / Partially Effective / Ineffective
Bước 7: Xác định rủi ro còn lại (Residual Risk)
Residual Risk = Inherent Risk × (1 - Control Effectiveness)
- Chấp nhận (Accept): Rủi ro thấp, chi phí kiểm soát > tổn hại
- Giảm thiểu (Mitigate): Triển khai kiểm soát bổ sung
- Chuyển嫁 (Transfer): Bảo hiểm mạng, outsourcing
- Tránh (Avoid): Ngừng hoạt động rủi ro cao
Bước 8: Báo cáo & Theo dõi
- Báo cáo rủi ro cho ban lãnh đạo, hội đồng quản trị
- Kế hoạch xử lý rủi ro (Risk Treatment Plan): Hành động, chủ trì, hạn chót, ngân sách
- Review định kỳ: Hàng quý/hàng năm hoặc khi có thay đổi lớn
Công cụ hỗ trợ
- GRC Platform: RSA Archer, ServiceNow GRC, MetricStream, LogicGate
- Risk Quantification: RiskLens (FAIR), Safe Security
- Vulnerability Management: Tenable.io, Qualys VMDR, Rapid7 InsightVM
- Threat Intelligence: Recorded Future, Mandiant, IBM X-Force
Tiêu chuẩn tham chiếu
- NIST SP 800-30 Rev 1: Hướng dẫn đánh giá rủi ro
- ISO 27005: Quản trị rủi ro an ninh thông tin
- FAIR Model: Định lượng rủi ro tài chính
- OCTAVE: Đánh giá rủi ro dựa trên tài sản