Xây dựng Chính sách An ninh Mạng (Network Security Policy) – Các yếu tố bắt buộc
Chính sách an ninh mạng là tài liệu cấp cao định nghĩa quy tắc, trách nhiệm, kiểm soát để bảo vệ tài sản thông tin của tổ chức. Phải dựa trên đánh giá rủi ro, phù hợp ngữ cảnh, có thể thi hành.
1. Cấu trúc chuẩn của một chính sách an ninh mạng
- Mục đích (Purpose): Tại sao cần chính sách? (Bảo vệ CIA, tuân thủ pháp luật, giảm rủi ro).
- Phạm vi (Scope): Áp dụng cho ai? (Nhân viên, contractor, vendor, hệ thống, mạng, dữ liệu, cloud).
- Định nghĩa & Thuật ngữ: Rõ ràng, thống nhất.
- Chính sách cụ thể (Policy Statements): Quy tắc bắt buộc (Must/Shall), không phải khuyến nghị (Should).
- Trách nhiệm & Vai trò (Roles & Responsibilities): CISO, ISSM, ISSO, NetOps, SecOps, User, Vendor.
- Tuân thủ & Hành vi vi phạm (Compliance & Enforcement): Kiểm tra, phạt, quy trình ngoại lệ (Exception process).
- Tham chiếu (References): Luật, tiêu chuẩn (NIST, ISO, PCI-DSS), chính sách khác.
- Lịch sử phiên bản & Phê duyệt: Version, Date, Author, Approver, Review cycle (6-12 tháng).
2. Nội dung kỹ thuật bắt buộc (Technical Policy Requirements)
| Lĩnh vực | Yêu cầu chính sách (Ví dụ) |
|---|---|
| Kiến trúc mạng | Segmentation (DMZ, Server, User, IoT, Mgmt), Zero Trust, Deny-by-default, Least privilege. |
| Firewall/Perimeter | Rule change management, Review 6 tháng/lần, Logging all deny/allow critical, Geo-blocking high-risk. |
| Access Control | MFA bắt buộc remote/admin/privileged. Unique ID. Password policy (NIST 800-63B: dài, không complexity, kiểm tra breach list). PAM cho admin. Review access 90 ngày. |
| VPN/Remote Access | Chỉ thiết bị managed/compliant. Certificate + MFA. Split tunneling tắt. Timeout 15-30p. Log full. |
| Wireless | WPA2-Enterprise (802.1X) hoặc WPA3. Guest network cách ly. No WEP/WPA-TKIP. NAC/Posture check. |
| Encryption | Data in transit: TLS 1.2+ (1.3 ưu tiên), IPsec, MACsec. Data at rest: AES-256 (Disk, DB, Backup). Key management: HSM/KMS. |
| Vulnerability & Patch | Scan liên tục (Credentialed). Critical/High patch < 72h/30d. Compensating control nếu không patch được. Legacy system isolation. |
| Monitoring & Detection | SIEM central logging (Firewall, AD, VPN, Proxy, Cloud, EDR, Server). Correlation rules (MITRE ATT&CK). 24/7 SOC hoặc MDR. Retention 1 năm+. |
| Incident Response | IR Plan (NIST 800-61). Playbook top scenarios (Ransomware, Phishing, Insider, Cloud breach). Tabletop 6 tháng. Evidence preservation. |
| Data Protection / DLP | Data Classification (Public/Internal/Confidential/Restricted). DLP network/endpoint/cloud. Encryption email (S/MIME, PGP). |
| Cloud Security | Shared responsibility. CSPM, CWPP, CIEM. IaC scanning. Identity center. No public S3/Blob. Encryption by default. |
| Supply Chain / Vendor | Vendor risk assessment (SIG, SOC2, ISO27001). BAA cho PHI. Contractual security requirements. SBOM. Software supply chain (SLSA). |
| Physical & Environmental | Server room access control (biometric, logging). UPS, Cooling, Fire suppression. Media disposal (shred, degauss, crypto-erase). |
| Security Awareness | Onboarding + Annual + Role-based + Phishing sim (quarterly). Metrics: Click rate, Report rate. Culture program. |
3. Quy trình phát triển chính sách (Policy Development Lifecycle)
- Initiate: Leadership sponsorship, assign owner (CISO/ISSM).
- Risk Assessment: Identify assets, threats, vulnerabilities, impact, likelihood.
- Draft: Map controls to risk (NIST CSF, ISO 27001 Annex A, CIS Controls). Align legal/regulatory.
- Review: Stakeholders (Legal, HR, IT, Business, Union). Public comment period.
- Approve: Senior Management / Board sign-off.
- Publish & Communicate: Intranet, LMS, Acknowledgment sign-off.
- Train: Role-based training, phishing sim.
- Enforce & Monitor: Technical controls, Audit, KPI/KRI dashboard.
- Review & Update: Trigger: Incident, Regulation change, Tech change, Annual. Version control.
4. Sai lầm thường gặp
- Viết quá chung chung, không thể thi hành (ví dụ: "nhân viên phải bảo mật dữ liệu" – thiếu quy tắc cụ thể).
- Copy-paste template không tùy biến theo rủi ro tổ chức.
- Không có exception process – dẫn đến shadow IT hoặc vi phạm chính sách.
- Không review/update định kỳ – chính sách lỗi thời.
- Chỉ tập trung kỹ thuật, bỏ quên nhân sự, quy trình, pháp lý.
- Không có metrics đo lường hiệu quả.
5. Framework tham khảo
- NIST CSF (Identify, Protect, Detect, Respond, Recover).
- NIST SP 800-53 Rev 5 (Security & Privacy Controls).
- ISO/IEC 27001:2022 Annex A (93 controls).
- CIS Controls v8 (18 Controls, IG1/IG2/IG3).
- Zero Trust Architecture (NIST SP 800-207).
- Việt Nam: Luật An ninh mạng 2018, Nghị định 13/2023/NĐ-CP, Tiêu chuẩn TCVN 11998 (ISO 27001).
Kết luận: Chính sách an ninh mạng hiệu quả = Rủi ro cụ thể + Kiểm soát kỹ thuật/quy trình/nhân sự rõ ràng + Cam kết lãnh đạo + Đào tạo + Giám sát + Cải tiến liên tục.