Nội dung bắt buộc trong Chính sách An ninh Mạng (Network Security Policy)
1. Phạm vi & Đối tượng áp dụng (Scope)
Ai phải tuân thủ: nhân viên, nhà thầu, bên ba, mọi thiết bị truy cập mạng doanh nghiệp.
2. Mục tiêu an ninh thông tin (Objectives)
Bảo vệ CIA: Confidentiality, Integrity, Availability của dữ liệu và hệ thống.
3. Kiểm soát truy cập & Quyền hạn (Access Control & Authority)
- Vật lý: Badge, biometric, camera, rack khóa.
- Logic: RBAC (Role-Based), Least Privilege, MFA, PAM (Privileged Access Management), Segmentation (VLAN, Zero Trust).
4. Phân loại dữ liệu (Data Classification)
Public, Internal, Confidential, Restricted – từng mức có quy tắc xử lý, lưu trữ, truyền tải, hủy hủy khác nhau.
5. Hỗ trợ & Vận hành dữ liệu (Data Handling & Operations)
- Backup (3-2-1), Retention, Disposal (shred, degauss, crypto-erase).
- Mã hóa at-rest (AES-256) & in-transit (TLS 1.2+).
6. Nhận thức & Hành vi an ninh (Security Awareness & Behavior)
- Đào tạo định kỳ: Phishing, Social Engineering, Password Hygiene, Clean Desk.
- Mô phishing thử nghiệm (Simulated Phishing).
7. Quyền & Trách nhiệm (Roles & Responsibilities)
RACI matrix: CISO, Security Team, IT Ops, Business Owners, HR, Legal, All Users.
Tại sao cần chính sách?
- Bảo vệ tài sản IT & dữ liệu quý giá.
- Tuân thủ luật pháp, tiêu chuẩn (ISO 27001, NIST CSF, PCI-DSS).
- Chuẩn hóa hành vi, giảm lỗi người.
- Cơ sở pháp lý cho kỷ luật, xử phạt vi phạm.
Các chính sách đi kèm nên có
- Chính sách Mã hóa & Quản lý khóa (Encryption & Key Management).
- Chính sách Sử dụng chấp nhận được (Acceptable Use Policy - AUP).
- Chính sách Bàn làm việc sạch (Clean Desk Policy).
- Chính sách Ứng phó vi phạm dữ liệu (Data Breach Response).
- Chính sách Phục hồi thảm họa (Disaster Recovery / BCP).
- Chính sách An ninh Nhân sự (HR Security: onboarding, offboarding, background check).
- Chính sách Sao lưu dữ liệu (Data Backup Policy).
- Chính sách Xác thực & Phân quyền (IAM Policy: MFA, PAM, Joiner-Mover-Leaver).