Mục tiêu chính của chính sách an ninh mạng (Network Security Policy)
Theo mô hình CIA Triad, ba mục tiêu cốt lõi của an ninh thông tin (kể cả mạng) là:
- Confidentiality (Bảo mật): Chỉ người được ủy quyền mới truy cập dữ liệu.
- Integrity (Toàn vẹn): Dữ liệu không bị sửa đổi/xóa trái phép.
- Availability (Sẵn sàng): Hệ thống/dữ liệu khả dụng khi cần.
Các mục tiêu phụ/kiến tạo
- Authentication (Xác thực): Xác minh danh tính.
- Authorization (Phân quyền): Cấp quyền phù hợp (Least Privilege).
- Non-repudiation (Không thể chối cãi): Chữ ký số, audit log.
- Accountability (Trách nhiệm): Theo dõi hành vi người dùng.
Điều KHÔNG phải mục tiêu của chính sách an ninh mạng
"Bảo vệ khóa máy (Lock)" hoặc "Bảo vệ dữ liệu vật lý" là trách nhiệm của an ninh vật lý (Physical Security), không phải chính sách an ninh mạng. Chính sách mạng tập trung vào kiểm soát truy cập logic, mã hóa, giám sát lưu lượng, phân đoạn mạng...
Nội dung nên có trong chính sách an ninh mạng
- Phân loại dữ liệu (Public, Internal, Confidential, Restricted).
- Quy tắc truy cập (RBAC, ABAC), quản lý tài khoản đặc quyền (PAM).
- Yêu cầu mã hóa (TLS 1.2+, IPsec, WPA3, disk encryption).
- Quản trị firewall, IDS/IPS, segmentation, Zero Trust.
- Quản lý lỗ hổng & patch management.
- Phản hồi sự cố (IRP), backup & recovery.
- Đào tạo nhận thức an ninh cho nhân viên.
- Tuân thủ pháp luật (GDPR, HIPAA, PCI-DSS, Việt Nam: Luật An ninh mạng, Nghị định 13/2023/NĐ-CP).
Đặc điểm chính sách tốt
- Rõ ràng, súc tích, có thể thi hành (actionable).
- Được phê duyệt bởi lãnh đạo cao cấp.
- Được truyền đạt, đào tạo cho tất cả nhân viên.
- Đánh giá, cập nhật định kỳ (6-12 tháng/lần).
Tóm lại: Bảo vệ khóa vật lý / an ninh vật lý không phải mục tiêu của chính sách an ninh mạng.