Khái niệm
Đánh giá rủi ro an ninh mạng là quy trình hệ thống: xác định tài sản, nhận diện đe dọa & lỗ hổng, phân tích xác suất & tác động, ưu tiên rủi ro và chọn biện pháp kiểm soát phù hợp. Mục tiêu: bảo vệ tính bảo mật, toàn vẹn, sẵn sàng (CIA) của dữ liệu và hệ thống.
Quy trình 7 bước (theo NIST SP 800-30 / ISO 27005)
- Xác định tài sản thông tin: Phần cứng, phần mềm, dữ liệu, người, quy trình. Phân loại mức độ nhạy cảm (Công khai, Nội bộ, Bí mật, Tuyệt mật).
- Nhận diện đe dọa: Tự nhiên (hỏa hoạn, ngập), nhân viên (phishing, insider), kỹ thuật (malware, zero-day), supply chain.
- Nhận diện lỗ hổng: Quét lỗ hổng (Nessus, OpenVAS), pentest, xem CVE, cấu hình sai, thiếu kiểm soát.
- Phân tích kiểm soát hiện có: Firewall, AV/EDR, IAM, MFA, backup, mã hóa, segment network, chính sách, đào tạo.
- Xác định xác suất & tác động: Ma trận rủi ro (Thấp/Trung bình/Cao/Nghiêm trọng). Định lượng (thiệt hại tài chính) hoặc định tính.
- Ưu tiên & xử lý rủi ro: Tránh, Giảm (triển khai kiểm soát), Chia sẻ (bảo hiểm cyber), Chấp nhận (rủi ro còn lại).
- Giám sát & xem xét: Dashboard rủi ro, KPI/KRI, audit định kỳ, cập nhật khi thay đổi môi trường.
Tại sao cần đánh giá rủi ro?
- Tránh đầu tư sai chỗ (mua tool không cần, bỏ qua lỗ hổng nghiêm trọng).
- Tuân thủ quy định (ISO 27001, PCI-DSS, GDPR, NIST CSF, Luật An ninh mạng VN).
- Hỗ trợ quyết định: ngân sách, nhân sự, kiến trúc bảo mật.
- Góc nhìn kẻ tấn công: red teaming, threat modeling.
Loại hình đánh giá an ninh
| Loại | Mô tả | Công cụ điển hình |
|---|---|---|
| Quét lỗ hổng tự động | Scan network, host, app tìm CVE đã biết | Nessus, Qualys, OpenVAS, Rapid7 |
| Kiểm thử xâm nhập (Pentest) | Mô phỏng tấn công thực tế khai thác lỗ hổng | Metasploit, Burp Suite, Cobalt Strike |
| Kiểm thử ứng dụng web/API | Tập trung OWASP Top 10, business logic | Burp, OWASP ZAP, Postman |
| Kiểm tra cấu hình (Baseline) | So sánh với CIS Benchmark, STIG | Ansible, Chef, SCCM, Nipper |
| Audit tuân thủ | Đối chiếu chính sách, quy định pháp lý | GRC platform (RSA Archer, MetricStream) |
| Đánh giá rủi ro (Risk Assessment) | Quy trình toàn diện như trên | Risk register, FAIR model, Bow-tie |
| Đánh giá tư thế an ninh (Posture Assessment) | Total view: people, process, technology | NIST CSF, CIS Controls, CMMC |
Rủi ro mạng phổ biến
- Phishing, Business Email Compromise (BEC).
- Ransomware, Double/Triple Extortion.
- Lỗ hổng zero-day, N-day chưa vá.
- Cấu hình sai cloud (S3 public, IAM over-permission).
- Tấn công DDoS (volumetric, application layer).
- Insider threat (nhận hối lộ, lỗi thao tác, rời đi mang data).
- Supply chain compromise (dependency confusion, CI/CD poisoning).
Ai thực hiện đánh giá?
- Đội ngũ an ninh nội bộ (Blue team, GRC).
- Tư vấn viên/Công ty an ninh độc lập (Third-party assessor).
- Red teamer cho pentest, adversary simulation.