Khái niệm "Domain" trong An ninh mạng
"Domain" (Lĩnh vực/Miền) là nhóm các chủ đề, kiểm soát, thực hành liên quan chặt chẽ, dùng để cấu trúc kiến thức, chứng chỉ, framework hoặc chương trình bảo mật. Không có một bộ domain duy nhất – tùy chuẩn/mô hình.
1. CISSP (ISC)² – 8 Domain (Cập nhật 2021, 2024)
Chứng chỉ황金标准 cho quản lý an ninh thông tin:
- Security and Risk Management (Bảo mật & Quản trị rủi ro) – Governance, policy, legal, compliance, risk mgmt, BCP/DRP, security awareness.
- Asset Security (An ninh tài sản) – Classification, handling, lifecycle, privacy, data remanence.
- Security Architecture and Engineering (Kiến trúc & Kỹ thuật bảo mật) – Secure design, models (Bell-LaPadula, Biba), crypto, physical security, site/facility design, vulnerability assessment.
- Communication and Network Security (Truyền thông & Mạng) – OSI/TCP-IP, secure channels (VPN, TLS, IPsec), network components, wireless, IoT/OT, cloud networking.
- Identity and Access Management (IAM - Quản trị định danh & Truy cập) – IAAA (Identification, Authentication, Authorization, Accounting), MFA, SSO, Federation (SAML/OIDC), PAM, IGA, Zero Trust.
- Security Assessment and Testing (Đánh giá & Thử nghiệm) – Audit, pen test, red team, BAS, vulnerability scanning, code review, certification/accreditation.
- Security Operations (Vận hành bảo mật) – SOC, SIEM, SOAR, incident response, forensics, disaster recovery, logging, monitoring, threat intelligence, patch mgmt.
- Software Development Security (Bảo mật phát triển phần mềm) – SDLC, DevSecOps, secure coding, API security, container security, supply chain (SBOM, SLSA).
2. NIST Cybersecurity Framework (CSF) 2.0 – 6 Function (2024)
- Govern (Quản trị) – Mới thêm 2024: Context, risk strategy, policy, oversight, supply chain.
- Identify (Nhận diện) – Asset, business environment, governance, risk assessment, supply chain.
- Protect (Bảo vệ) – Identity mgmt, awareness, data security, platform security, technology resilience.
- Detect (Phát hiện) – Continuous monitoring, adverse event analysis, detection processes.
- Respond (Đáp ứng) – Response planning, communications, analysis, mitigation, improvements.
- Recover (Phục hồi) – Recovery planning, communications, improvements.
3. ISO/IEC 27001:2022 – 4 Theme / 93 Controls (Annex A)
4 Theme (nhóm điều khiển):
- Organizational (Tổ chức) – 37 controls – Policy, roles, awareness, supplier, incident mgmt, legal.
- People (Con người) – 8 controls – Screening, terms, training, disciplinary, remote work.
- Physical (Vật lý) – 14 controls – Perimeter, entry, offices, equipment, media, utilities.
- Technological (Công nghệ) – 34 controls – Access control, crypto, operations, network, app dev, config, vulnerability, audit, monitoring.
4. Mô hình CIA Triad – 3 Domain cốt lõi của Data Security
- Confidentiality – Encryption, Access Control, DLP, Classification.
- Integrity – Hashing, Digital Signature, Version Control, WORM, Blockchain.
- Availability – HA, DR, Backup, DDoS Protection, Capacity Mgmt.
5. Các Domain chuyên biệt khác
| Mô hình / Chứng chỉ | Domains / Pillars |
|---|---|
| CIS Controls v8 | 18 Controls nhóm thành 3 IG (Implementation Groups) |
| Zero Trust (CISA/DoD) | 5 Pillars: Identity, Device, Network, Application, Data + Visibility/Analytics, Automation/Orchestration, Governance |
| Cloud Security (CCSK/CCSP) | Cloud Concepts, Architecture, Legal/Compliance, Data Security, Platform/Infra Security, App Security, Operations, Incident Response |
| Industrial/OT Security (IEC 62443) | Policies, Organization, Risk Assessment, Secure Architecture, Component Requirements, System Integration, Maintenance |
| Privacy (CIPP/CIPM) | Data Life Cycle, Data Subject Rights, Cross-border Transfer, Accountability, Governance |
Domain trong ngữ cảnh "Security Domain" (Miền bảo mật kỹ thuật)
Khác với "Knowledge Domain" trên, đây là khái niệm kỹ thuật:
- Một **Security Domain** là tập hợp các đối tượng (subjects: user, process, device; objects: file, port, memory) chia sẻ **chính sách bảo mật chung** (cùng classification, cùng label, cùng trust level).
- Ví dụ: **DoD 3 Domain**: Top Secret, Secret, Confidential (Multilevel Security - MLS).
- Cross Domain Solution (CDS): Guard, Gateway cho phép chia sẻ dữ liệu an toàn giữa các domain khác nhau (High-to-Low, Low-to-High).
Tóm tắt so sánh
| Chuẩn | Số Domain | Đặc điểm |
|---|---|---|
| CISSP | 8 | Quản trị viên cấp cao, bao quát management + technical |
| NIST CSF 2.0 | 6 Functions | Risk-based, voluntary, US critical infrastructure, global adoption |
| ISO 27001:2022 | 4 Themes (93 controls) | Certifiable, international standard, PDCA cycle |
| CIA Triad | 3 | Cốt lõi data security, nền tảng mọi model |
Lời khuyên
- Học CISSP 8 domains để có **tư duy toàn diện (holistic)**.
- Dùng NIST CSF để **xây dựng chương trình bảo mật thực tế** cho tổ chức.
- Tuân thủ ISO 27001 khi cần **chứng chỉ quốc tế** cho khách hàng/đối tác.
- Luôn quay về **CIA Triad** khi thiết kế bất kỳ control nào.