Chính sách an ninh mạng là gì?
Là tài liệu quy định quy tắc, hướng dẫn và thủ tục để bảo vệ tài sản mạng của tổ chức. Xác định: ai được truy cập gì, khi nào, như thế nào, và hậu quả khi vi phạm. Kiến trúc vận hành: firewall rules, segmentation, VPN policy, access control.
3 loại chính sách an ninh (theo NIST/ISO)
- Chính sách tổ chức (Organizational/Master Policy): Tổng thể, cấp cao, cam kết lãnh đạo.
- Chính sách hệ thống (System-specific Policy): Áp dụng cho hệ thống cụ thể (email server, DB, cloud).
- Chính sách theo vấn đề (Issue-specific Policy): Ví dụ: Password Policy, Acceptable Use, Incident Response, BYOD, Encryption.
Ví dụ chính sách mạng
- Acceptable Use Policy: Chỉ dùng mạng cho công việc, cấm torrent, gambling, nội dung bất hợp pháp.
- Network Access Control: Chỉ thiết bị quản lý (domain-joined, compliant) mới truy cập LAN/VLAN nội bộ.
- Remote Access/VPN Policy: Bắt buộc MFA, chứng chỉ máy, timeout 8h, split-tunnel tắt.
- Wireless Policy: WPA2-Enterprise (802.1X), tách Guest Wi-Fi, tắt WPS.
Tầm quan trọng
- Bảo vệ tài sản thông tin quý giá nhất của tổ chức.
- Tuân thủ pháp luật (GDPR, HIPAA, PCI DSS, Luật An ninh mạng VN).
- Tăng nhận thức nhân viên, giảm rủi ro nội bộ.
- Cơ sở cho audit, kiểm tra tuân thủ, xử lý vi phạm.
Yếu tố bắt buộc trong tài liệu chính sách
- Mục đích, phạm vi, đối tượng áp dụng.
- Định nghĩa thuật ngữ, vai trò trách nhiệm.
- Quy tắc kiểm soát truy cập, phân loại dữ liệu.
- Yêu cầu kỹ thuật (mã hóa, log, monitor).
- Quy trình xử lý sự cố, báo cáo vi phạm.
- Đánh giá, rà soát, cập nhật định kỳ (thường 1 năm/lần).
Network Policy trong Kubernetes/Windows NPS
K8s NetworkPolicy: điều khiển luồng traffic giữa pod (ingress/egress) bằng label selector. Windows NPS (Network Policy Server): RADIUS server cho 802.1X, VPN, MFA.