Khung làm việc (Framework) an ninh mạng nào được các công ty bảo mật ưu tiên sử dụng?

Khung làm việc an ninh mạng (Cybersecurity Framework) là gì?

Framework an ninh mạng là bộ tiêu chuẩn, hướng dẫn, best practice giúp tổ chức quản trị rủi ro mạng, bảo vệ tài sản, tuân thủ quy định. Cung cấp ngôn ngữ chung, cấu trúc đánh giá độ chín (maturity), và lộ trình cải tiến.

Top Frameworks được ưu tiên sử dụng (Theo độ phổ biến & Uy tín)

1. NIST Cybersecurity Framework (NIST CSF) — PHỔ BIẾN NHẤT TOÀN CẦU

• Nguồn: NIST (National Institute of Standards and Technology) — Mỹ
• Phiên bản: CSF 1.1 (2018), CSF 2.0 (2024 - mới)
• 5 Chức năng cốt lõi (Core): Identify → Protect → Detect → Respond → Recover (+ Govern trong CSF 2.0)
• 4 Implementation Tiers: Partial → Risk Informed → Repeatable → Adaptive
• Profiles: Current vs Target profile
• Ưu điểm: Tự nguyện, linh hoạt, dựa trên rủi ro, mapping đến nhiều chuẩn khác (ISO 27001, COBIT, CIS Controls), miễn phí, được chính phủ Mỹ bắt buộc cho federal agencies/contractors
• Áp dụng: Mọi quy mô, mọi ngành, đặc biệt Critical Infrastructure, DoD contractors (CMMC mapping)

2. ISO/IEC 27001:2022 — TIÊU CHUẨN QUỐC TẾ CHO ISMS

• Nguồn: ISO/IEC (International Organization for Standardization)
• Đối tượng: Information Security Management System (ISMS)
• Cấu trúc: Clause 4-10 (Yêu cầu quản trị) + Annex A (93 Controls trong 4 themes: Organizational, People, Physical, Technological)
• Chứng nhận: Có thể audit cấp chứng chỉ bởi Registrar (BSI, SGS, DNV, A-LIGN...)
• Ưu điểm: Quốc tế, có chứng chỉ, risk-based, tích hợp với ISO 27002 (guidance), ISO 27701 (Privacy), ISO 22301 (BCM)
• Áp dụng: Doanh nghiệp muốn chứng minh cam kết bảo mật, B2B/Enterprise sales, Global operations

3. CIS Critical Security Controls (CIS Controls v8.1) — THỰC TẾ, ƯU TIÊN CAO, MIỄN PHÍ

• Nguồn: Center for Internet Security (CIS) — Cộng đồng chuyên gia
• 18 Controls phân theo 3 Implementation Groups (IG1: Basic cyber hygiene, IG2: Proactive, IG3: Advanced)
• Ưu điểm: Rất cụ thể, hành động được (actionable), prioritized (IG1 = 56 safeguards ngăn chặn ~85% attacks), miễn phí, mapping NIST CSF, MITRE ATT&CK
• CIS Benchmarks: Cấu hình an toàn cho 100+ OS, Cloud, Network device, Server software
• Áp dụng: SMB, Enterprise, Government — đặc biệt tốt cho "Quick wins" và baseline hardening

4. MITRE ATT&CK Framework — THREAT-INTEL DRIVEN

• Knowledge base về TTP (Tactics, Techniques, Procedures) của attacker
• Dùng cho: Threat Hunting, Detection Engineering, Red Teaming, Purple Teaming, Gap Analysis
• Mapping: Controls → Techniques → Coverage → Prioritize investment

5. Các Framework chuyên ngành / Khu vực

Framework nào "được ưu tiên sử dụng" nhất?

NIST CSF là framework được tham chiếu, áp dụng rộng rãi nhất toàn cầu vì: Miễn phí, linh hoạt, risk-based, mapping toàn diện, được chính phủ lớn (Mỹ, Canada, Nhật, Úc, Israel...) khuyến nghị/bắt buộc, nền tảng cho nhiều quy định khác.

Chiến lược áp dụng thực tế (Pragmatic Approach)

1. Baseline: CIS Controls IG1 (56 safeguards) — Quick wins, basic hygiene
2. Program Structure: NIST CSF (Govern, Identify, Protect, Detect, Respond, Recover)
3. Certification/Attestation: ISO 27001 (nếu cần chứng chỉ quốc tế)
4. Threat-informed Defense: MITRE ATT&CK mapping → Detection coverage → Purple team
5. Compliance Overlay: Thêm controls đặc thù (PCI DSS, HIPAA, CMMC, NERC CIP...) theo ngành

Lưu ý cho Việt Nam

• Nghị định 53/2022/NĐ-CP: An ninh mạng, bảo vệ dữ liệu cá nhân → Yêu cầu ISMS, đánh giá rủi ro, ứng phó sự cố
• Thông tư 03/2024/TT-BTTTT: Kỹ thuật an ninh mạng hệ thống thông tin
• Các tổ chức nhà nước, cơ sở hạ tầng then chốt: Bắt buộc tuân thủ, báo cáo bộ phận quản lý nhà nước
• Xu hướng: Kết hợp NIST CSF (chiến lược) + CIS Controls (kỹ thuật) + ISO 27001 (chứng chỉ) + MITRE ATT&CK (threat-informed)