Phân loại các bên liên quan (Stakeholders) trong Network Security
Bảo mật mạng không chỉ là việc của bộ phận IT. Nó liên quan đến hệ sinh thái rộng lớn các bên có quyền, trách nhiệm, lợi ích hoặc rủi ro liên quan.
1. Bên nội bộ (Internal Stakeholders)
| Nhóm | Vai trò & Trách nhiệm bảo mật |
|---|---|
| Ban Lãnh đạo / Board / CEO | Chịu trách nhiệm cuối cùng (Accountability). Duyệt ngân sách, chiến lược, risk appetite. Báo cáo pháp lý. |
| CISO / CIO / CTO | Chiến lược, kiến trúc, quản trị rủi ro, tuân thủ, văn hóa an ninh. Cầu nối Board - Technical. |
| Security Team (Blue Team) | SOC Analyst, Threat Hunter, IR, Vuln Mgmt, SecOps, Sec Engineering, Architecture, GRC, Awareness. |
| IT Operations / Infra / NetOps | Vận hành Network, Server, Cloud, Endpoint. Triển khai patch, config, backup, monitoring. Hợp tác chặt chẽ Sec. |
| Dev / DevOps / SRE | Secure SDLC, DevSecOps, IaC Security, Container/K8s Sec, AppSec. Shift Left. |
| Legal / Compliance / DPO | Pháp lý (Luật ATTT, GDPR, PDPA), hợp đồng, điều tra, báo cáo vi phạm, DPIA, Records of Processing. |
| HR / People Ops | On/Off-boarding access, Background check, Awareness Training, Insider Threat Support, Disciplinary. |
| Finance / Procurement | Ngân sách, mua sắm công nghệ (Vendor Risk Assessment), Cyber Insurance, Cost Optimization. |
| Business Units / Process Owners | Chủ sở hữu dữ liệu (Data Owner), phân loại dữ liệu, BIA (Business Impact Analysis), chấp nhận rủi ro còn lại. |
| End Users / Nhân viên | Tuân thủ chính sách, báo cáo sự cố/phishing, vệ sinh mật khẩu, MFA, Clean Desk. Dòng phòng thủ đầu tiên. |
| Internal Audit | Kiểm toán độc lập hiệu quả kiểm soát bảo mật, tuân thủ chính sách/quy định. |
2. Bên ngoài (External Stakeholders)
| Nhóm | Vai trò & Mối quan hệ bảo mật |
|---|---|
| Khách hàng (Customers) | Người tin tưởng dữ liệu của họ được bảo vệ. Yêu cầu SOC 2, ISO 27001, DPA. Bị ảnh hưởng trực tiếp nếu vi phạm. |
| Nhà cung cấp / Vendor / Third Party / Fourth Party | Cung cấp HW/SW/Cloud/Managed Services. Rủi ro Supply Chain (Island Hopping). Cần TPRM (Third-Party Risk Management): Due diligence, Contract (DPA, SLA, Right-to-Audit), Continuous Monitoring. |
| Đối tác kinh doanh / Partner / API Consumer | Chia sẻ dữ liệu, tích hợp API. Cần Threat Modeling, mTLS, OAuth2/OIDC, Rate Limiting, Contractual Security. |
| Nhà quản lý / Regulator / Chính phủ | Ban hành luật (Luật ATTT, Nghị định 13/2023, Nghị định 53/2022), tiêu chuẩn (TCVN ISO 27001), kiểm tra, xử phạt, yêu cầu báo cáo sự cố. |
| ISP / Telco / Cloud Provider (AWS, Azure, GCP, VNPT, Viettel, FPT) | Cung cấp kết nối, hạ tầng. Shared Responsibility Model. DDoS Protection, BGP Security (RPKI), Lawful Intercept. |
| Cộng đồng an ninh mạng / Researcher / Bug Bounty | Phát hiện lỗ hổng, báo cáo trách nhiệm (Coordinated Vulnerability Disclosure - CVD). Platform: HackerOne, Bugcrowd, YesWeHack, VN-CERT. |
| Kẻ đe dọa (Threat Actors) | Ngoại部队 (APT), Cybercrime (Ransomware, BEC), Hacktivist, Insider (Malicious/Negligent), Script Kiddie. Động cơ: Tài chính, Gián điệp, Phá hoại, Chủ nghĩa. |
| Bảo hiểm mạng (Cyber Insurer) | Đánh giá rủi ro (Security Questionnaire, External Scan), định giá bảo phí, yêu cầu kiểm soát tối thiểu (MFA, Backup, EDR), hỗ trợ IR. |
| Tiêu chuẩn hóa / Tổ chức chuyên nghiệp | ISO, NIST, ISACA, (ISC)², CSA, OWASP, MITRE, FIRST, VNISA, VN-CERT. Xây dựng framework, chứng chỉ, best practice. |
Mô hình RACI cho Network Security Management
Áp dụng ma trận RACI (Responsible, Accountable, Consulted, Informed) cho từng quy trình (Ví dụ: Patch Management, Incident Response, Access Review, Vendor Onboarding) để rõ ràng trách nhiệm giữa các bên.
Quản trị rủi ro bên thứ ba (TPRM / Vendor Risk Management)
- Inventory: Danh sách tất cả vendor (SaaS, PaaS, IaaS, MSP, Hardware, Consultant).
- Tiering: Phân loại Critical/High/Medium/Low dựa trên tiếp cận dữ liệu/nhà máy/systems.
- Assessment: Security Questionnaire (SIG, CAIQ, Custom), External Scan (Bitsight, SecurityScorecard), Pen Test Report, SOC 2 Type II, ISO 27001 Cert, Financial Health.
- Contract: DPA, Security Addendum, Right-to-Audit, Incident Notification SLA, Liability Cap, Cyber Insurance Requirement.
- Ongoing Monitoring: Continuous Monitoring (Attack Surface, Threat Intel, Financial, News), Annual Re-assessment, Offboarding Securely.