Network Security Control Policy là gì?
Tài liệu chính thức định nghĩa quy tắc, trách nhiệm, tiêu chuẩn, thủ tục để bảo vệ tài sản thông tin và hạ tầng mạng của tổ chức. Là "hiến pháp" an ninh mạng – cầu nối giữa chiến lược kinh doanh, yêu cầu pháp lý và triển khai kỹ thuật.
Tại sao Policy quan trọng?
- Thiết lập ranh giới rõ ràng: Điều gì được phép, điều gì cấm (Acceptable Use, Remote Access, Wireless, BYOD, Cloud, Incident Response).
- Cơ sở pháp lý & tuân thủ: Bằng chứng cho auditor/regulator (GDPR, HIPAA, PCI-DSS, ISO 27001, Luật An ninh mạng VN) rằng tổ chức có quản trị an ninh.
- Giảm thiểu rủi ro nhân sự (Insider Risk): Nhân viên biết rõ hậu quả vi phạm, giảm lỗi vô tình và cố ý.
- Hướng dẫn triển khai kỹ thuật: Firewall rule, NAC policy, IAM role, Encryption standard, Patch baseline – tất cả xuất phát từ Policy.
- Đảm bảo tính nhất quán & khả năng lặp lại: Mọi admin/engineer làm theo cùng một tiêu chuẩn.
- Hỗ trợ Incident Response: RACI, escalation path, evidence preservation, communication plan đã định sẵn.
- Tạo văn hóa an ninh (Security Culture): Policy + Training + Awareness → Behavior change.
Các Policy cốt lõi bắt buộc (Must-have Policies)
| Policy | Nội dung chính | Mapping Control |
|---|---|---|
| Information Security Policy (Chính sách ATTT tổng thể) | Cam kết lãnh đạo, phạm vi, vai trò, nguyên tắc CIA, tuân thủ pháp luật. | ISO 27001 Clause 5, NIST CSF ID.GV |
| Access Control Policy | Least privilege, RBAC/ABAC, MFA, JIT/JEA, Privileged Access Management (PAM), Offboarding. | NIST AC, ISO A.9 |
| Network Security Policy | Segmentation, Firewall rule management, VPN, Wireless, NAC, DDoS, Monitoring, Encryption in transit. | NIST SC, ISO A.13 |
| Data Classification & Handling Policy | Labeling (Public/Internal/Confidential/Restricted), Encryption at rest, DLP, Retention, Disposal. | ISO A.8, NIST MP/SI |
| Incident Response Policy | Phân loại sự cố, Team (CSIRT), SLA, Playbook, Evidence, Legal/PR, Lessons learned. | NIST IR, ISO A.16 |
| Vulnerability & Patch Management Policy | Scan schedule, SLA remediation (Critical 72h, High 30d), Testing, Rollback, Exception process. | NIST SI/RA, ISO A.12.6 |
| Acceptable Use Policy (AUP) | Quy tắc sử dụng IT resource, Internet, Email, Social media, Shadow IT, Personal device. | ISO A.7, NIST PS |
| Encryption & Key Management Policy | Algorithm, Key length, Rotation, HSM/KMS, Certificate lifecycle, TLS config. | NIST SC, ISO A.10 |
| Third-Party / Supply Chain Security Policy | Vendor risk assessment, Contractual security clauses, 4th party risk, SBOM, SLSA. | NIST SR, ISO A.15 |
| Business Continuity / Disaster Recovery Policy | RTO/RPO, Backup strategy, Failover test, Crisis management, Cyber resilience. | NIST CP, ISO A.17 |
Vòng đời Policy (Policy Lifecycle)
- Draft: Soạn thảo bởi Security Team, review bởi Legal, HR, IT, Business Units.
- Approve: Ký duyệt bởi CISO → CIO → CEO/Board (tùy mức độ).
- Publish & Communicate: Đăng trên Intranet, gửi email, briefing hội nhóm, training bắt buộc.
- Enforce: Triển khai kiểm soát kỹ thuật (GPO, Intune, Jamf, IaC Policy as Code – OPA, Sentinel), audit tuân thủ.
- Monitor & Measure: KPI/KRI (compliance rate, exception count, audit findings, phishing click rate).
- Review & Update: Ít nhất hàng năm hoặc khi có thay đổi lớn (tổ chức, pháp luật, công nghệ, threat landscape). Version control, change log.
- Retire: Gộp, thay thế, lưu trữ phiên bản cũ.
Sai lầm thường gặp
- Viết quá chung chung, không thể thực thi (unenforceable).
- Chỉ có policy, không có standard/guideline/procedure đi kèm.
- Không review/update thường xuyên → policy "dead document".
- Không truyền đạt đến người dùng cuối (chỉ IT biết).
- Exception process quá lỏng lẻo hoặc không có.
- Policy xung đột nhau (Network policy vs Cloud policy vs App policy).
Kết luận
Network Security Control Policy không phải văn bản để "để kệ". Nó là cơ sở bắt buộc cho mọi quyết định kỹ thuật, đầu tư công cụ, tuyển dụng, đào tạo và phản ứng sự cố. Tổ chức thành熟 (mature) coi Policy as Code – tự động hóa enforcement & audit qua CI/CD, IaC, CSPM, CSPM.