NIST Cybersecurity Framework (CSF) là gì?
Được phát hành bởi Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST) theo Lệnh thi hành 13636 (2014). Khung làm việc tự nguyện, dựa trên rủi ro, giúp tổ chức mọi quy mô/ngành quản trị rủi ro an ninh mạng. Phiên bản hiện hành: CSF 1.1 (2018), CSF 2.0 (draft 2023) thêm chức năng Govern.
5 Chức năng cốt lõi (Core Functions) - CSF 1.1
| Chức năng | Mã | Mô tả chính | Hoạt động điển hình |
|---|---|---|---|
| Identify (Nhận diện) | ID | Hiểu bối cảnh kinh doanh, tài sản, rủi ro, quy định | Asset Management, Business Environment, Governance, Risk Assessment, Risk Management Strategy, Supply Chain Risk Management |
| Protect (Bảo vệ) | PR | Triển khai bảo vệ để đảm bảo cung cấp dịch vụ | Identity Management, Access Control, Awareness Training, Data Security, Info Protection Processes, Maintenance, Protective Technology |
| Detect (Phát hiện) | DE | Phát hiện sự kiện an ninh mạng kịp thời | Anomalies & Events, Security Continuous Monitoring, Detection Processes |
| Respond (Phản hồi) | RS | Hành động khi phát hiện sự cố | Response Planning, Communications, Analysis, Mitigation, Improvements |
| Recover (Phục hồi) | RC | Khôi phục năng lực, dịch vụ bị ảnh hưởng | Recovery Planning, Improvements, Communications |
3 Thành phần chính của CSF
- Framework Core: Tập hợp hoạt động, kết quả mong muốn, tài liệu tham chiếu (như bảng trên).
- Implementation Tiers (4 cấp độ): Partial (1) → Risk Informed (2) → Repeatable (3) → Adaptive (4). Mô tả mức độ thành熟 của quy trình quản trị rủi ro.
- Profiles: Current Profile (trạng thái hiện tại) vs Target Profile (mục tiêu) → Gap Analysis → Action Plan.
Secunia (nay Flexera Software Vulnerability Management) & NIST CSF
Secunia/Flexera cung cấp giải pháp Software Vulnerability Management (SVM) – quét, đánh giá, ưu tiên vá lỗ hổng phần mềm thương mại/mã nguồn mở. Hỗ trợ NIST CSF qua:
- ID.RA (Risk Assessment): Cung cấp danh sách lỗ hổng (CVE), CVSS, exploit availability, threat context cho tài sản phần mềm.
- PR.IP-12 (Vulnerability Management): Tự động hóa quy trình: Discover → Assess → Prioritize → Remediate (Patch/Workaround) → Verify.
- DE.CM-8 (Vulnerability Scanning): Tích hợp scanner agentless/agent-based, scheduled/continuous.
- RS.MI-3 (Mitigation): Cung cấp workaround, mitigation script khi chưa có patch.
- ID.SC-4 (Supply Chain): Theo dõi lỗ hổng thư viện thứ 3 (SBOM, SCA).
So sánh NIST CSF với các khung làm việc khác
| Khung làm việc | Đặc điểm | Phù hợp |
|---|---|---|
| NIST CSF | Dựa trên rủi ro, tự nguyện, linh hoạt, miễn phí, mapping đến nhiều chuẩn khác | Mọi tổ chức, đặc biệt Critical Infrastructure, chính phủ Mỹ, doanh nghiệp toàn cầu |
| ISO/IEC 27001/27002 | Chuẩn quốc tế, chứng nhận được, tập trung ISMS, risk-based, 114 controls (27002:2022: 93 controls) | Doanh nghiệp cần chứng nhận, hoạt động đa quốc gia, B2B yêu cầu ISO cert |
| CIS Controls v8 | 18 kiểm soát ưu tiên, hành động cụ thể (Implementation Groups IG1/IG2/IG3), thực thi cao | Tổ chức muốn quick wins, resource-constrained, baseline kỹ thuật |
| COBIT 2019 | Governance & Management của Enterprise IT, 40 objectives, align business-IT | Enterprise IT Governance, Board level, audit committee |
| NIST 800-53 Rev.5 | Kho kiểm soát toàn diện (1000+ controls), bắt buộc cho Federal US (FISMA), baseline cho FedRAMP | Hệ thống thông tin liên bang Mỹ, nhà thầu quốc phòng, tổ chức muốn catalog đầy đủ |
Lợi ích áp dụng NIST CSF
- Ngôn ngữ chung cho Business & Technical stakeholders.
- Độ linh hoạt cao – áp dụng từng phần, tùy chỉnh Profile.
- Hiệu ứng dây chuyền cung ứng (Supply chain ripple) – vendor cũng tuân theo.
- Giúp ưu tiên đầu tư: "Protect the Crown Jewels first".
- Cơ sở cho Cyber Insurance underwriting, Due Diligence M&A.
7 bước triển khai NIST CSF (NIST IR 8170)
- Ưu tiên & Phác thảo (Prioritize & Scope): Xác định mục tiêu kinh doanh, rủi ro cao, phạm vi hệ thống.
- Hướng dẫn (Orient): Xác định tài sản, quy định, đe dọa, lỗ hổng, kiểm soát hiện có.
- Tạo hồ sơ hiện tại (Create Current Profile): Đánh giá mức độ đạt từng Category/Subcategory của Core.
- Đánh giá rủi ro (Conduct Risk Assessment): Xác suất, tác động, rủi ro còn lại (residual risk).
- Tạo hồ sơ mục tiêu (Create Target Profile): Mức độ thành熟 mong muốn mỗi Category (Tier 1-4).
- Phân tích khoảng trống (Determine, Analyze, Prioritize Gaps): So sánh Current vs Target → Gap → ưu tiên theo rủi ro/chi phí/lợi ích.
- Thực hiện kế hoạch (Implement Action Plan): Triển khai kiểm soát, đào tạo, công cụ, đo lường, báo cáo, cải tiến liên tục.
NIST CSF & GDPR / Luật An ninh mạng VN
- NIST CSF không thay thế GDPR/Luật ATTT nhưng cung cấp cấu trúc triển khai các yêu cầu: DPIA (ID.RA), Bảo vệ dữ liệu (PR.DS), Phát hiện vi phạm (DE.CM), Báo cáo 72h (RS.CO), Phục hồi (RC).
- NIST SP 800-53 Rev.5 có mapping chi tiết đến GDPR Art. 32 (Security of processing).
3 trụ cột an ninh thông tin (CIA Triad) trong CSF
- Confidentiality: PR.AC (Access Control), PR.DS (Data Security), PR.PT (Protective Technology).
- Integrity: PR.DS (Integrity checks), DE.CM (Monitoring), RS.AN (Analysis).
- Availability: PR.PT (Resilience), RC.RP (Recovery Planning), ID.BE (Business Environment).