NIST SP 800-61 Revision 2 là gì?
NIST Special Publication 800-61 Revision 2: Computer Security Incident Handling Guide là tài liệu chuẩn mực của Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST) cung cấp hướng dẫn thực tế để tổ chức xử lý các sự cố an ninh thông tin một cách hiệu quả, giảm thiểu tác động và ngăn chặn tái diễn. Phiên bản Rev. 2 phát hành tháng 8/2012 (Rev. 1: 2008, Original: 2004).
4 Giai đoạn xử lý sự cố theo NIST (Incident Response Lifecycle)
| Giai đoạn | Hoạt động chính | Đầu ra |
|---|
| 1. Preparation (Chuẩn bị) | Chính sách, đội ngũ CSIRT, công cụ, training, hardening, threat intel, playbook | IR Plan, Playbooks, Ready Team, Tools |
| 2. Detection & Analysis (Phát hiện & Phân tích) | Nguồn sự kiện (SIEM, EDR, User report, Threat Intel), Triage, Phân loại mức độ (Severity), Evidence preservation | Incident Ticket, Scope, IOCs, Timeline |
| 3. Containment, Eradication & Recovery (Kiểm soát, Khử trừ, Khôi phục) | Short-term containment (network isolation), Long-term containment (patch, rebuild), Eradication (remove malware, rotate creds), Recovery (restore, verify, monitor) | Contained env, Clean systems, Restored ops |
| 4. Post-Incident Activity (Hoạt động sau sự cố) | Root Cause Analysis (RCA), Lessons Learned meeting, Update Plan/Playbook, Evidence retention, Metrics reporting | After-Action Report, Improved Controls |
So sánh NIST 800-61 với các khung khác
| Khung làm việc | Số giai đoạn | Đặc điểm nổi bật |
|---|
| NIST SP 800-61 Rev.2 | 4 | Chi tiết, thực tế, chuẩn Mỹ/Quốc tế, tích hợp NIST CSF |
| NIST CSF (Cybersecurity Framework) | 5 (ID, PR, DE, RS, RC) | Strategic, risk-based, 5 Functions, 23 Categories, 108 Subcategories |
| SANS PICERL | 6 | Preparation, Identification, Containment, Eradication, Recovery, Lessons Learned |
| ISO/IEC 27035 | 5 | Plan, Detect, Assess, Respond, Learn - Quốc tế, tích hợp ISMS |
| CREST | 6 | Chuẩn UK, tập trung testing/response service |
Các ấn bản NIST liên quan quan trọng
- SP 800-61 Rev.2: Incident Handling Guide (Chủ đề bài này)
- SP 800-53 Rev.5: Security Controls (IR family: IR-1 đến IR-10)
- SP 800-171 Rev.2: Protecting CUI in Non-federal Systems (CMMC basis)
- SP 800-86: Guide to Integrating Forensic Techniques into Incident Response
- SP 800-115: Technical Guide to Information Security Testing (Pen Test)
- SP 800-150: Guide to Cyber Threat Information Sharing
- SP 1800-11: Data Integrity: Recovering from Ransomware (Practice Guide)
Yếu tố then chốt thành công
- Leadership Buy-in: C-level sponsor, budget, authority cho CSIRT
- Defined Roles (RACI): Incident Commander, Lead Analyst, Comms, Legal, PR, IT Ops, Forensics
- Playbooks cho Top 10 scenarios: Ransomware, Phishing/Credential Theft, Web App Attack, Insider, DDoS, Supply Chain, Cloud Breach, Lost Device, Malware Outbreak, Data Exfiltration
- Threat Intelligence Integration: TIP, MISP, STIX/TAXII, ATT&CK mapping
- Tabletop Exercise (TTX) hàng quý: Mô phỏng kịch bản thực tế, đo lường MTTR, decision making
- Metrics (KPIs): MTTD (Mean Time to Detect), MTTR (Mean Time to Respond/Recover), #Incidents by severity, False positive rate, Playbook coverage
Ứng dụng tại Việt Nam
- Tham chiếu cho Luật An ninh mạng 2018, Nghị định 13/2023/NĐ-CP, Thông tư 09/2020/TT-BTTTT
- Ngân hàng: Tuân thủ Thông tư 09/2018/TT-NHNN (An ninh thông tin ngân hàng)
- Cơ quan nhà nước: Tuân thủ Chỉ thị 14/CT-TTg, Quy trình ứng phó sự cố của VNCERT/CC
- Doanh nghiệp quan trọng: Kế hoạch ứng phó sự cố bắt buộc theo pháp luật
