Đánh giá rủi ro an ninh mạng (Security Risk Assessment) là gì?
Là quá trình có hệ thống: Xác định tài sản → Xác định mối đe dọa & Lỗ hổng → Phân tích xác suất & Tác động → Ưu tiên rủi ro → Lập kế hoạch xử lý. Mục tiêu: Giúp lãnh đạo hiểu rủi ro an ninh mạng theo ngôn ngữ kinh doanh (tiền, thời gian, uy tín) để quyết định đầu tư kiểm soát phù hợp.
Quy trình 7 bước tiêu chuẩn (Theo NIST SP 800-30 / ISO 27005)
- Chuẩn bị (Preparation / Scope):
- Xác định phạm vi: Toàn tổ chức / Hệ thống cụ thể / Mạng DMZ / Cloud VPC / OT/ICS / Nhà cung cấp quan trọng.
- Thu thập tài liệu: Sơ đồ mạng, Asset Inventory (CMDB), Chính sách, Báo cáo audit/vuln scan trước, Threat Intel.
- Xác định tiêu chí rủi ro: Thang đo Xác suất (Rare → Almost Certain), Tác động (Negligible → Catastrophic), Risk Matrix 5x5.
- Tập nhóm: Security Analyst, Network Engineer, System Admin, Business Owner, Legal/Compliance, Vendor PM.
- Xác định tài sản thông tin (Asset Identification & Valuation):
- Phân loại: Hardware, Software, Data (PII, PHI, PCI, IP, Financial), People, Process, Facility, Cloud Resource.
- Gán giá trị: Confidentiality Impact (C), Integrity Impact (I), Availability Impact (A) — theo FIPS 199 (Low/Moderate/High).
- Crown Jewels: Xác định tài sản quan trọng nhất (Critical Assets) — ưu tiên bảo vệ cao nhất.
- Xác định mối đe dọa (Threat Identification):
- Nguồn: MITRE ATT&CK (TTP), Threat Intel Feed (ISAC, Vendor, Gov CERT), Incident History, Industry Reports (Verizon DBIR, IBM X-Force, Mandiant M-Trends).
- Phân loại: External (APT, Cybercrime, Hacktivist), Internal (Malicious, Negligent, Compromised), Environmental (Natural, Power, Hardware failure), Supply Chain.
- Mapping: Threat → Asset (Threat Library per Asset Type).
- Xác định lỗ hổng (Vulnerability Identification):
- Kỹ thuật: Credentialed Vulnerability Scan (Nessus, Qualys, OpenVAS, Microsoft Defender VM), SAST/DAST/SCA (App), Container/Image Scan, Cloud Config Audit (CSPM).
- Phi kỹ thuật: Policy gap, Process gap, Training gap, Physical security gap, Vendor risk.
- Nguồn CVE/NVD, KEV (Known Exploited Vulnerabilities), Vendor Advisory.
- Phân tích rủi ro (Risk Analysis / Likelihood & Impact Assessment):
- Qualitative (Định tính): High/Medium/Low — Dựa trên chuyên môn, threat intel, exploitability (EPSS), compensating controls.
- Quantitative (Định lượng - FAIR Model): Tính toán SLE (Single Loss Expectancy), ARO (Annualized Rate of Occurrence), ALE = SLE × ARO. Monte Carlo simulation cho phân phối xác suất.
- Cân nhắc: Existing Controls (Giảm Likelihood/Impact), Control Maturity (CMMI 0-5), Residual Risk.
- Ưu tiên rủi ro (Risk Prioritization / Risk Register):
- Risk Register: Asset, Threat, Vulnerability, Likelihood, Impact, Inherent Risk, Current Controls, Residual Risk, Risk Owner, Treatment Option, Timeline, Status.
- Sắp xếp: Residual Risk Critical/High → Top priority. Risk Heat Map (Likelihood vs Impact).
- Risk Appetite: Ngưỡng chấp nhận rủi ro của tổ chức — quyết định Accept / Mitigate / Transfer / Avoid.
- Xử lý rủi ro & Theo dõi (Risk Treatment & Monitoring):
- Mitigate (Giảm thiểu): Triển khai control mới / Nâng cấp control (Patch, Config hardening, MFA, Segmentation, EDR, DLP, IR Plan...).
- Transfer (Chuyển嫁): Cyber Insurance, Outsource (MSSP), Vendor SLA/Indemnity.
- Accept (Chấp nhận): Rủi ro thấp, chi phí control > loss expectancy — CẦN dokument, sign-off bởi Risk Owner + CISO.
- Avoid (Tránh): Ngừng hoạt động/rủi ro (ví dụ: tắt dịch vụ legacy, không lưu trữ dữ liệu nhạy cảm không cần thiết).
- Continuous Monitoring: Continuous Vuln Scan, Continuous Compliance (CSPM/CCM), Threat Intel Feed, KRI Dashboard (MTTD, MTTR, %Critical Vuln > SLA, Phish Click Rate...).
Phương pháp đánh giá rủi ro phổ biến
| Phương pháp | Đặc điểm | Phù hợp |
|---|---|---|
| NIST SP 800-30 Rev.1 | Tiêu chuẩn liên bang Mỹ, cấu trúc hóa, qualitative/quantitative, tích hợp RMF | Gov, Contractor, Enterprise tuân thủ NIST |
| ISO 27005 / ISO 31000 | Quốc tế, dựa trên ISMS, linh hoạt, qualitative focus | ISO 27001 certified org, Multi-national |
| FAIR (Factor Analysis of Information Risk) | Định lượng tài chính (Monte Carlo), nói ngôn ngữ kinh doanh ($), Open Group Standard | CISO/Board cần ROI, Cyber Insurance, M&A Due Diligence |
| OCTAVE (Operationally Critical Threat, Asset, Vulnerability Evaluation) | Tự đánh giá, tập trung tổ chức/process, team-based, qualitative | Internal team-driven, ít phụ thuộc consultant |
| MITRE ATT&CK-based Risk Assessment | Mapping TTP → Detection/Protection Gap → Risk Score (ATT&CK Navigator, CAR) | Threat-informed Defense, Purple Team, Detection Engineering |
| CVSS + EPSS + KEV (Vuln-centric) | Severity (CVSS) + Exploit Probability (EPSS) + Active Exploitation (KEV) → Priority | Vulnerability Management Program, Patch Prioritization |
Công cụ hỗ trợ Risk Assessment
| Danh mục | Công cụ |
|---|---|
| GRC Platform (Quản trị rủi ro trung tâm) | RSA Archer, ServiceNow GRC/IRM, MetricStream, LogicGate, AuditBoard, Hyperproof, Drata, Vanta, Sprinto |
| Vulnerability & Threat Management | Tenable.io, Qualys VMDR, Rapid7 InsightVM, Microsoft Defender VM, Kenna (Vuln Prioritization), Brinqa, Nucleus |
| FAIR / Quantitative Risk | RiskLens, FAIR-U (Open source), Jack Jones FAIR Model, Monte Carlo tools (@Risk, ModelRisk) |
| Attack Surface Management (ASM) | Randori (IBM), CyCognito, Hadrian, Detectify, Assetnote, Intruder, Censys, Shodan (Recon) |
| Breach & Attack Simulation (BAS) | Cymulate, AttackIQ, SafeBreach, Picus, XM Cyber, SCYTHE — Validate control effectiveness |
| Threat Intelligence Platform (TIP) | MISP (Open), Anomali, ThreatConnect, EclecticIQ, Recorded Future, Mandiant Advantage, IBM X-Force Exchange |
| Network/Cloud Discovery | RunZero, Censys, Shodan, NetBrain, CloudSploit/Prowler/ScoutSuite, Nmap/Masscan |
5 Loại đánh giá rủi ro (Risk Assessment Types)
- Quantitative (Định lượng): Số liệu tài chính ($), xác suất thống kê — FAIR, Monte Carlo.
- Qualitative (Định tính): High/Medium/Low — NIST 800-30, ISO 27005, Risk Matrix 5x5.
- Generic (Chung): Baseline, template áp dụng rộng rãi — điểm khởi đầu.
- Site-specific (Đặc thù): Tùy chỉnh cho hệ thống/mạng/quy trình cụ thể — chính xác hơn.
- Dynamic (Động / Continuous): Real-time / Near real-time — Continuous Controls Monitoring, BAS, ASM, Threat Intel-driven.
Kết luận
Đánh giá rủi ro an ninh mạng không phải "quét vuln xong" — là quy trình quản trị rủi ro toàn diện liên kết Tài sản → Đe dọa → Lỗ hổng → Kiểm soát → Rủi ro còn lại → Quyết định kinh doanh. Thành công đòi hỏi: Cam kết lãnh đạo, Dữ liệu tài sản chính xác (CMDB), Threat Intel chất lượng, Phương pháp có cấu trúc (NIST/FAIR/ISO), Công cụ tự động hóa (GRC, VM, BAS, ASM), và Vòng lặp cải tiến liên tục (Continuous Risk Management). Biến Risk Assessment từ "báo cáo hàng năm" thành "dashboard rủi ro real-time" để Board/CISO ra quyết định kịp thời.