Chính sách an ninh mạng (Network Security Policy - NSP) là gì?
Là tài liệu chính quy định quy tắc, tiêu chuẩn, thủ tục và trách nhiệm để bảo vệ hạ tầng mạng, dữ liệu và dịch vụ của tổ chức. NSP là "luật chơi" bắt buộc tuân thủ — chuyển đổi chiến lược an ninh thành các yêu cầu kỹ thuật và vận hành cụ thể, có thể đo lường, kiểm tra và thực thi.
Cách hoạt động của Network Policy (Cơ chế thực thi)
- Policy Definition (Định nghĩa chính sách): Viết thành văn bản (PDF/Confluence/Wiki) — Phân loại dữ liệu, Quy tắc truy cập, Yêu cầu mã hóa, Tiêu chuẩn cấu hình, Quy trình sự cố.
- Policy Translation (Dịch sang kỹ thuật): Chuyển đổi chính sách thành cấu hình thiết bị: Firewall Rule, ACL, NAC Policy, IPS Signature, WAF Rule, DLP Pattern, VPN Profile, Certificate Profile.
- Enforcement Point (Điểm thực thi): Firewall, Switch (ACL/VLAN/NAC), Router (CoPP, uRPF), Wireless Controller, Proxy, Email Gateway, API Gateway, Cloud Security Group/NACL.
- Monitoring & Verification (Giám sát & Xác minh): SIEM rule (Policy violation alert), Config Compliance Scan (CIS Benchmark), Drift Detection (IaC vs Running), Vulnerability Scan, Penetration Test, Internal Audit.
- Exception Management (Quản trị ngoại lệ): Quy trình xin phép, đánh giá rủi ro, compensating control, duyệt cấp có thẩm quyền, hạn chế thời gian, review định kỳ.
- Continuous Improvement (Cải tiến liên tục): Feedback từ Incident, Audit, Threat Intel, Tech Change, Regulatory Change → Update Policy → Re-deploy.
3 Loại chính sách an ninh (Policy Hierarchy)
| Cấp độ | Tên gọi | Phạm vi | Ví dụ |
|---|---|---|---|
| 1 (Cao nhất) | Organizational / Master Policy (Chính sách tổ chức/chính) | Toàn công ty, cấp chiến lược | Information Security Policy, Cyber Risk Management Policy, Data Classification Policy |
| 2 | Issue-specific Policy (Chính sách theo vấn đề) | Chủ đề cụ thể | Network Security Policy, Remote Access Policy, Wireless Policy, Email Policy, Cloud Policy, BYOD Policy, Cryptographic Policy, Vulnerability Management Policy |
| 3 (Thấp nhất) | System-specific Policy / Standard / Procedure / Baseline (Chính sách/Quy chuẩn/Thủ tục hệ thống) | Hệ thống/Thiết bị cụ thể | Firewall Rule Standard, Switch Hardening Baseline, VPN Config Guide, Server Build Checklist, PKI CP/CPS |
Các loại chính sách an ninh mạng kỹ thuật (Technical Network Security Policies)
- Firewall Policy: Default Deny, Allow by exception, Rule naming convention, Change management, Annual recertification.
- Network Segmentation Policy: Zone definition (DMZ, App, DB, Mgmt, OT, Guest, Dev/Test/Prod), Inter-zone traffic matrix, Micro-segmentation standards.
- Remote Access / VPN / ZTNA Policy: MFA bắt buộc, Device Compliance (Health Attestation), Split Tunnel vs Full Tunnel, Session Timeout, Privileged Access (PAM/JIT).
- Wireless Policy: WPA2/3-Enterprise (802.1X), Certificate/PSK management, Guest/IoT Isolation, Rogue AP Response, Tx Power/Channel Plan.
- Email Security Policy: DMARC/DKIM/SPF enforcement, Attachment Sandboxing, Link Rewriting, DLP Rules, Phishing Reporting.
- Web/Internet Access Policy: URL Category Block/Allow, SSL Inspection Scope, DLP, RBI (Remote Browser Isolation), Shadow IT Discovery.
- Data Loss Prevention (DLP) Policy: Data Classification Schema, Rule Set per Channel (Email, Web, Endpoint, Cloud, Print), Incident Workflow.
- Vulnerability & Patch Management Policy: Scan Cadence, SLA by Severity (Critical 72h, High 30d...), Exception Process, Compensating Controls.
- Monitoring & Logging Policy: Log Source Coverage, Retention (Hot/Warm/Cold), SIEM Correlation Rules, Alert Threshold, UEBA Baseline.
- Incident Response Policy: Severity Matrix, Roles/RACI, Communication Plan, Evidence Preservation, Legal/Regulatory Notification, Postmortem.
Xây dựng Network Security Policy (7 bước)
- Inventory Assets: Network Diagram, CMDB, Data Flow, Crown Jewels.
- Risk Assessment: Threat Modeling (STRIDE/MITRE), Likelihood × Impact, Risk Appetite.
- Requirements Analysis: Regulatory (PCI, HIPAA, GDPR), Contractual, Business Need, Best Practice (CIS, NIST).
- Draft Policy: Purpose, Scope, Roles, Policy Statements (Must/Should/May), Enforcement, Exception, Review Cycle, Version Control.
- Review & Approve: Stakeholder Review (Legal, HR, Ops, Business), CISO Approve, Board Acknowledge (Master Policy).
- Publish & Communicate: Accessible repo (Confluence/SharePoint/Git), Training/Awareness, Acknowledgment Sign-off.
- Implement & Enforce: Translate → Config (IaC/Automation), Deploy → Monitor → Audit → Remediate Drift.
Yếu tố bắt buộc trong Network Security Policy Document
- Mục đích (Purpose) & Phạm vi (Scope)
- Đối tượng áp dụng (Audience / Roles)
- Định nghĩa thuật ngữ (Definitions)
- Các tuyên bố chính sách (Policy Statements) — dùng ngôn ngữ bắt buộc: SHALL / MUST (bắt buộc), SHOULD (khuyến nghị), MAY (tùy chọn).
- Trách nhiệm & Quyền hạn (Roles & Responsibilities — RACI)
- Quy trình ngoại lệ (Exception Process)
- Tham chiếu (References: Standards, Regulations, Other Policies)
- Lịch xem xét/cập nhật (Review Cycle — thường 1 năm/lần hoặc sau thay đổi lớn)
- Lịch sử phiên bản (Version History)
Ví dụ chính sách mạng cụ thể (Policy Statement Examples)
- SHALL: "Mọi truy cập quản trị vào thiết bị mạng (Router, Switch, Firewall) PHẢI sử dụng SSHv2 với xác thực khóa công khai (Public Key Auth) — CẤM Telnet, SSHv1, HTTP."
- SHALL: "Mọi lưu lượng quản trị (Management Plane) CHỈ được phép từ Management Subnet (10.10.10.0/24) qua Jump Host/Bastion đã đăng ký."
- SHALL: "Tất cả mạng không dây doanh nghiệp PHẢI dùng WPA3-Enterprise (EAP-TLS) hoặc WPA2-Enterprise (PEAP-MSCHAPv2) — CẤM WPA2-PSK, WEP, Open."
- SHOULD: "Firewall Rule NÊN có Description rõ ràng: Business Justification, Owner, Ticket Number, Expiry Date (nếu tạm thời)."
- MUST NOT: "KHÔNG ĐƯỢC cấu hình Port Forwarding / DMZ Host trực tiếp đến Server/Workstation nội bộ từ Internet — PHẢI qua VPN/ZTNA/Reverse Proxy."
Lợi ích của Network Access Policies
- Xây dựng niềm tin giữa các hệ thống lớn → An toàn cho mọi người.
- Giảm thiểu rủi ro (Risk Reduction) — kiểm soát bề mặt tấn công.
- Bảo vệ thông tin độc quyền (Proprietary Information Protection).
- Tạo môi trường làm việc hiện đại, an toàn (Modern Workplace Enablement).
- Tuân thủ quy định (Compliance) — bằng chứng cho Auditor.
Kết luận
Chính sách an ninh mạng không phải "văn bản để để trên kệ" — là hợp đồng vận hành giữa Security, Network, Infra, App, Business và Leadership. Hiệu quả khi: Viết rõ ràng, có thể đo lường, tự động hóa thực thi (Policy as Code / IaC), giám sát liên tục (Continuous Compliance), quản trị ngoại lệ chặt chẽ, và cập nhật kịp thời. Mục tiêu cuối cùng: Biến Policy thành "Guardrails" (Làn chắn an toàn) cho phép Innovation nhanh nhưng an toàn — không phải "Gate" (Cổng chặn) cản trở kinh doanh.