Ba mục tiêu cốt lõi (CIA Triad)
Mọi chương trình an ninh mạng đều xây dựng trên Tam giác CIA:
| Mục tiêu | Tiếng Anh | Ý nghĩa | Biện pháp kỹ thuật điển hình |
|---|---|---|---|
| Mật tính | Confidentiality | Chỉ người được ủy quyền mới truy cập được thông tin. Ngăn chặn tiết lộ trái phép. | Mã hóa (AES-256, TLS 1.3, IPsec), RBAC/ABAC, DLP, Data Classification, Zero Trust Network Access. |
| Toàn vẹn | Integrity | Thông tin chính xác, hoàn chỉnh, không bị sửa đổi/xóa trái phép (cả hữu ý và vô ý). | Hash (SHA-256), Digital Signature, Blockchain/Merkle Tree, FIM (File Integrity Monitoring), WORM Storage, Code Signing, Git signed commits. |
| Sẵn sàng | Availability | Hệ thống, dữ liệu, dịch vụ hoạt động và truy cập được khi cần thiết. | HA/Cluster, Load Balancer, DR/BCP, Backup 3-2-1, DDoS Protection, Chaos Engineering, SLA/SLO monitoring. |
Mở rộng: 5 Mục tiêu của chương trình An ninh Mạng (Parkerian Hexad - 6 yếu tố, thường gom thành 5)
- Confidentiality (Mật tính)
- Integrity (Toàn vẹn)
- Availability (Sẵn sàng)
- Accountability (Trách nhiệm/Trả lời): Mọi hành động đều có thể truy vết đến thực thể cụ thể (non-repudiation). Audit log, SIEM, Digital Signature, Blockchain.
- Assurance (Đảm bảo/Tin cậy): Hệ thống hoạt động đúng như thiết kế, được kiểm chứng độc lập. Certification (Common Criteria), Penetration Test, Red Team, Compliance Audit (ISO 27001, SOC 2).
Lưu ý: Parkerian Hexad thêm "Authenticity" (Tính xác thực) và "Possession/Control" (Sở hữu/Kiểm soát).
Mục tiêu theo từng lớp (Layered Security Goals)
| Lớp (Layer) | Mục tiêu bảo mật ưu tiên |
|---|---|
| Physical (Vật lý) | Availability, Integrity (bảo vệ server, cáp, UPS, biometric access) |
| Network (Mạng) | Confidentiality (Encryption), Integrity (Segmentation, NAC), Availability (DDoS protection) |
| Endpoint | Integrity (EDR, App Control), Confidentiality (Disk Encryption), Availability (Patch mgmt) |
| Application | Integrity (Secure SDLC, WAF, RASP), Confidentiality (Secrets mgmt), Availability (Rate limit) |
| Data | Confidentiality (Classification, Encryption, Tokenization), Integrity (Immutable backup), Availability (Replication) |
| Identity (Danh tính) | Authenticity (MFA, FIDO2, Passwordless), Accountability (Privileged Access Management) |
Mục tiêu quản trị (Governance Goals)
- Compliance: Tuân thủ pháp luật (GDPR, PDPA, Luật An ninh mạng VN, ngành ngân hàng/y tế).
- Risk Management: Rủi ro còn lại (Residual Risk) nằm trong ngưỡng chấp nhận (Risk Appetite).
- Cost Optimization: Chi phí bảo mật hợp lý so với giá trị tài sản bảo vệ (ROSI - Return on Security Investment).
- Business Enablement: An ninh không cản trở, mà hỗ trợ kinh doanh an toàn (DevSecOps, Secure by Design).
Ví dụ áp dụng CIA vào quyết định kỹ thuật
| Quyết định | Ảnh hưởng CIA | Trade-off / Giải pháp cân bằng |
|---|---|---|
| Bật mã hóa toàn bộ ổ đĩa (BitLocker, LUKS) | ↑ Confidentiality, ↑ Integrity | ↓ Availability (nếu quên key/recovery key → mất data). Giải pháp: Backup recovery key vào AD/Azure AD/Key Vault. |
| Chặn tất cả traffic outbound không cần thiết | ↑ Confidentiality (chặn exfil), ↑ Integrity | ↓ Availability (app hợp pháp bị chặn). Giải pháp: Baseline behavior, allowlist, proxy inspection TLS. |
| Yêu cầu MFA cho mọi đăng nhập | ↑ Confidentiality, ↑ Authenticity, ↑ Accountability | ↓ Usability (user phiền). Giải pháp: FIDO2/WebAuthn (passwordless), Conditional Access (chỉ MFA khi rủi ro cao). |
| Triển khai WAF chặn SQLi, XSS | ↑ Integrity, ↑ Availability | ↓ Performance (latency), False positive. Giải pháp: Tuning rule, Learning mode, API security. |
Kết luận
Mục tiêu cuối cùng của an ninh mạng không phải là "an toàn tuyệt đối" (không tồn tại), mà là quản trị rủi ro để CIA + Accountability + Assurance đạt mức độ phù hợp với ngưỡng rủi ro chấp nhận của tổ chức. Mỗi quyết định kỹ thuật, đầu tư công nghệ, quy trình đều phải cân đối các trụ cột này.