Xây dựng Chính sách Bảo mật Mạng (Network Security Policy) toàn diện
Chính sách bảo mật mạng là tài liệu chính quy định quy tắc, trách nhiệm, quy trình bảo vệ tài sản thông tin của tổ chức. Phải được phê duyệt bởi Ban lãnh đạo, truyền đạt đến toàn bộ nhân viên, xem xét/cập nhật định kỳ (ít nhất 1 năm/lần).
1. Cấu trúc bắt buộc của một chính sách bảo mật
- Mục đích (Purpose): Tại sao cần chính sách này?
- Phạm vi áp dụng (Scope): Áp dụng cho ai? Hệ thống nào? Dữ liệu nào? Vị trí nào?
- Đối tượng (Audience): Nhân viên, nhà thầu, bên thứ ba, khách vãng lai
- Mục tiêu an ninh thông tin (InfoSec Objectives): CIA triad + tuân thủ pháp luật
- Chính sách kiểm soát truy cập & Thẩm quyền (Access Control & Authority): Vật lý + Logic (RBAC, MFA, Least Privilege, Need-to-know)
- Phân loại dữ liệu (Data Classification): Public, Internal, Confidential, Restricted - từng mức có biện pháp bảo vệ khác nhau
- Dịch vụ & Vận hành dữ liệu (Data Services & Operations): Backup, Retention, Disposal, Encryption (at rest/in transit)
- Nhận thức & Hành động an ninh (Security Awareness & Behavior): Đào tạo, phishing simulation, clean desk, báo cáo sự cố
- Quyền, Trách nhiệm, Nhiệm vụ (Rights, Duties, Responsibilities): RACI matrix cho các vai trò (CISO, IT, HR, Legal, User)
2. 5 thành phần cốt lõi (5 Pillars of Security Policy)
| Thành phần | Mô tả |
|---|
| Confidentiality (Bảo mật) | Chỉ người được phép mới truy cập thông tin |
| Integrity (Toàn vẹn) | Thông tin chính xác, hoàn chỉnh, không bị thay đổi trái phép |
| Availability (Sẵn sàng) | Hệ thống, dữ liệu hoạt động khi cần thiết |
| Authenticity (Xác thực) | Xác danh thực thể, nguồn gốc dữ liệu |
| Non-repudiation (Không thể chối cãi) | Chứng minh hành động đã xảy ra, không thể phủ nhận |
3. Các chính sách con bắt buộc (Sub-policies)
- Chính sách sử dụng chấp nhận được (AUP - Acceptable Use Policy)
- Chính sách kiểm soát truy cập (Access Control Policy)
- Chính sách quản lý thay đổi (Change Management Policy)
- Chính sách an ninh thông tin (Information Security Policy - chính sách cha)
- Chính sách ứng phó sự cố (Incident Response Policy / Plan)
- Chính sách truy cập từ xa (Remote Access Policy)
- Chính sách email/liên lạc (Email/Communication Policy)
- Chính sách khôi phục thảm họa (Disaster Recovery Policy)
- Chính sách sao lưu dữ liệu (Data Backup Policy)
- Chính sách bảo mật nhân sự (Personnel Security Policy)
- Chính sách mã hóa & quản lý khóa (Encryption & Key Management Policy)
- Chính sách bàn làm việc sạch (Clean Desk Policy)
- Chính sách ứng phó vi phạm dữ liệu (Data Breach Response Policy)
4. 3 loại chính sách theo cấp độ
- Organizational / Master Policy: Rणनी lược, cấp cao, phê duyệt bởi Board/CISO
- System-specific Policy: Cho từng hệ thống (Email, Database, Cloud, VPN...)
- Issue-specific Policy: Cho vấn đề cụ thể (BYOD, Social Media, Crypto, AI/ML...)
5. Kiểm soát an ninh mạng (Network Security Controls) trong chính sách
| Loại kiểm soát | Ví dụ |
|---|
| Vật lý (Physical) | Khóa phòng server, Camera, Badge, Biometric, UPS, Fire suppression |
| Kỹ thuật (Technical) | Firewall, IDS/IPS, WAF, EDR, NAC, VPN, MFA, Encryption, DLP, SIEM, Vuln Scanner |
| Quản trị (Administrative) | Chính sách, Quy trình, Đào tạo, Kiểm toán, Background check, Vendor management |
| Tuân thủ (Compliance) | ISO 27001, PCI-DSS, GDPR, HIPAA, Luật An ninh mạng VN, NIST CSF |
6. Tại sao bắt buộc phải có chính sách?
- Giảm thiểu rủi ro an ninh, tuân thủ pháp luật
- Chuẩn hóa hành vi, tạo văn hóa an ninh
- Cơ sở pháp lý cho kỷ luật, xử phạt vi phạm
- Yêu cầu của bảo hiểm cyber, đối tác, khách hàng lớn
- Hỗ trợ kiểm toán, chứng chỉ (ISO 27001, SOC 2)
7. Quy trình triển khai hiệu quả
- Đánh giá rủi ro (Risk Assessment) → xác định tài sản, mối đe dọa, lỗ hổng
- Soạn thảo chính sách phù hợp ngữ cảnh tổ chức
- Review pháp lý, kỹ thuật, nhân sự
- Phê duyệt bởi Leadership
- Triển khai: Đào tạo, công cụ, quy trình
- Giám sát, đo lường (KPI/KRI), kiểm toán nội bộ
- Cập nhật liên tục (Continuous Improvement)
