Khái làm rõ câu hỏi: "Tiêu chuẩn an ninh mạng toàn cầu đầu tiên" do ai sản xuất?
Câu hỏi có thể hiểu nhầm. Không có một tổ chức đơn lẻ "sản xuất" tiêu chuẩn an ninh mạng toàn cầu đầu tiên. Thay vào đó, các tiêu chuẩn phát triển qua quá trình hợp tác đa bên (multi-stakeholder) dưới egide của các tổ chức chuẩn hóa quốc tế. Dưới đây là các tổ chức then chốt:
1. ITU (International Telecommunication Union) - Liên minh Viễn thông Quốc tế
- Vai trò: Cơ quan chuyên môn của Liên Hợp Quốc về ICT. Phát triển ITU-T X-series Recommendations (X.509, X.800, X.805, X.1035, X.1205...)
- Global Cybersecurity Index (GCI): Đánh giá cam kết an ninh mạng của 194 quốc gia thành viên (5 trụ cột: Legal, Technical, Organizational, Capacity Building, Cooperation). Phiên bản mới nhất 2024.
- ITU-T Study Group 17 (SG17): Chuyên Security, Languages & Telecommunication Software. Ra mắt X.1056 (Cybersecurity Framework), X.1500 (IoT Security).
2. ISO/IEC JTC 1/SC 27 - Ủy ban chuyên môn An ninh thông tin
- ISO/IEC 27001:2022: Hệ thống quản trị an ninh thông tin (ISMS) - Tiêu chuẩn phổ biến nhất toàn cầu
- ISO/IEC 27002:2022: Bộ điều khiển thực hành (Controls) - 93 controls, 4 themes
- ISO/IEC 27032: Hướng dẫn an ninh mạng (Cybersecurity guidelines)
- ISO/IEC 15408 (Common Criteria): Đánh giá bảo mật sản phẩm IT (EAL1-7)
- ISO/IEC 19790: Yêu cầu bảo mật module mật mã (FIPS 140-3 aligned)
- Quá trình: Quốc gia thành viên (Việt Nam: TCVN/STAMEQ) → Consensus → Xuất bản
3. NIST (National Institute of Standards and Technology) - Viện Tiêu chuẩn và Công nghệ Mỹ
- NIST Cybersecurity Framework (CSF) 2.0 (2024): Govern, Identify, Protect, Detect, Respond, Recover. Được áp dụng rộng rãi toàn cầu (không chỉ Mỹ)
- NIST SP 800-53 Rev. 5: Security & Privacy Controls for Information Systems (1000+ controls)
- NIST SP 800-171: Protecting CUI (Controlled Unclassified Information) - bắt buộc cho DoD contractor (CMMC)
- NIST SP 800-207: Zero Trust Architecture
- NIST PQC Standards (2024): ML-KEM (Kyber), ML-DSA (Dilithium), SLH-DSA (SPHINCS+) - Post-Quantum Cryptography
- NIST không "bắt buộc" toàn cầu nhưng trở thành de facto global standard do tính kỹ thuật, minh bạch, cập nhật liên tục
4. Các tổ chức khu vực & Ngành
| Tổ chức | Phạm vi | Tiêu chuẩn/Khung nổi bật |
|---|---|---|
| ENISA (EU Agency for Cybersecurity) | Châu Âu | NIS2 Directive, Cybersecurity Act, EU CSA Certification Scheme |
| CISA (US Cybersecurity & Infrastructure Security Agency) | Mỹ (Federal) | Binding Operational Directives (BOD), CISA KEV Catalog, Zero Trust Maturity Model |
| PCI SSC (Payment Card Industry Security Standards Council) | Ngành thẻ thanh toán | PCI DSS 4.0, PA-DSS, PTS |
| IEC 62443 | Hệ thống tự động hóa công nghiệp (OT/ICS/IIoT) | An ninh mạng cho nhà máy, năng lượng, giao thông |
| SAE / UN R155 | Ô tô (Automotive) | Cybersecurity Engineering, V2X, OTA updates |
| HITRUST | Y tế (US) | HITRUST CSF (map HIPAA, NIST, ISO) |
5. Lịch sử mốc: "Tiêu chuẩn an ninh mạng toàn cầu đầu tiên" có thể hiểu là gì?
- 1970s: Saltzer & Schroeder - "The Protection of Information in Computer Systems" (1975) - 8 nguyên tắc thiết kế an ninh (Least privilege, Economy of mechanism, Open design...) - Cơ sở lý thuyết đầu tiên
- 1983: TCSEC (Trusted Computer System Evaluation Criteria) - "Orange Book" - DoD Mỹ. Phân cấp A1, B1, B2, B3, C1, C2, D. Tiêu chuẩn đánh giá bảo mật hệ thống đầu tiên có ảnh hưởng toàn cầu
- 1990s: ITU-T X.509 (PKI certificate), X.800 (Security Architecture) - Tiêu chuẩn quốc tế đầu tiên về kiến trúc an ninh
- 1999: BS 7799-1 (British Standard) → ISO/IEC 17799 (2000) → ISO/IEC 27001 (2005) - Tiêu chuẩn quản trị an ninh thông tin quốc tế đầu tiên
- 2014: NIST CSF v1.0 - Khung an ninh mạng dựa trên rủi ro đầu tiên được áp dụng rộng rãi toàn cầu
Việt Nam: Cảnh quan tiêu chuẩn & Pháp lý
- Luật An ninh mạng 2018 (Luật 86/2015/QH13 sửa đổi 2018)
- Nghị định 13/2023/NĐ-CP: Hướng dẫn Luật An ninh mạng (Bảo vệ dữ liệu cá nhân, hệ thống thông tin quan trọng, an ninh không gian mạng)
- Thông tư 09/2023/TT-BTTTT: Kỹ thuật an ninh mạng, mã hóa, chữ ký số
- TCVN ISO/IEC 27001:2023: Áp dụng tiêu chuẩn ISO 27001:2022
- TCVN 13602:2022 (ISO/IEC 27032:2012) - Hướng dẫn an ninh mạng
- Cơ quan quản lý: Bộ Công an (Cục An ninh mạng - A05), Bộ Thông tin Truyền thông, Bộ Quốc phòng
Kết luận
Không có một "người sản xuất" đơn lẻ. Tiêu chuẩn an ninh mạng toàn cầu là kết quả của hợp tác quốc tế giữa:
- ISO/IEC JTC 1/SC 27: Tiêu chuẩn quản trị (ISO 27001) - Phổ biến nhất doanh nghiệp
- NIST: Khung kỹ thuật, kiểm soát, mật mã (CSF, 800-53, PQC) - Chi tiết nhất, cập nhật nhanh
- ITU: Khung chính sách, chỉ số toàn cầu (GCI), tiêu chuẩn viễn thông (X-series) - Mức nhà nước/chính sách
- ENISA/CISA/PCI SSC/IEC 62443: Ngành/khu vực đặc thù
Tổ chức nào "được giao nhiệm vụ" tùy thuộc vào ngữ cảnh: Chính sách quốc gia → ITU; Triển khai doanh nghiệp → ISO 27001/NIST CSF; Hệ thống cấp quốc gia/hạ tầng quan trọng → NIST 800-53/IEC 62443; Sản phẩm IT → Common Criteria (ISO 15408).