Khung làm việc & Tài liệu đo lường hiệu quả An ninh mạng
Các khung làm việc (Framework) phổ biến
| Framework | Đặc điểm | Phù hợp |
|---|---|---|
| NIST CSF (Cybersecurity Framework) | Tự nguyện, dựa trên rủi ro, 5 chức năng: Identify, Protect, Detect, Respond, Recover | Cơ sở hạ tầng quan trọng, doanh nghiệp mọi quy mô |
| ISO/IEC 27001/27002 | Chuẩn quốc tế, tập trung quản trị rủi ro, chứng nhận được | Tổ chức cần chứng nhận, định hướng rủi ro |
| CIS Controls (Critical Security Controls) | 18 biện pháp kiểm soát ưu tiên, thực tế, dễ triển khai | Doanh nghiệp muốn cải thiện nhanh |
| NIST 800-53 | Điều khiển bảo mật chi tiết, bắt buộc cho hệ thống liên bang Mỹ | Chính phủ, nhà cung cấp chính phủ |
| COBIT / ITIL | Quản trị CNTT, quản trị rủi ro doanh nghiệp | Tổ chức lớn, cần alignment IT-business |
Tài liệu ghi nhận phản hồi hiệu quả
- Báo cáo đánh giá rủi ro (Risk Assessment Report)
- Kết quả Penetration Testing / Red Teaming
- Báo cáo kiểm toán nội bộ (Internal Audit Report)
- Security Metrics Dashboard / KPI Report (tháng/quý)
- Incident Response After-Action Report
- Vulnerability Scan & Patch Compliance Report
- Phishing Simulation Results
- Security Awareness Training Completion Report
Chỉ số đo lường (Metrics) hiệu quả Cybersecurity
| Nhóm chỉ số | Ví dụ |
|---|---|
| Phát hiện & Phản ứng | MTTD (Mean Time to Detect), MTTR (Mean Time to Respond/Remediate), Số sự cố theo mức độ nghiêm trọng |
| Quản trị lỗ hổng | Thời gian vá lỗ hổng trung bình, % hệ thống đã vá, Số lỗ hổng critical/open |
| Kiểm soát truy cập | % hệ thống dùng MFA, % tài khoản đặc quyền được quản lý PAM, Số lần truy cập trái phép |
| Nhận biết người dùng | % nhân viên hoàn thành training, Tỷ lệ click phishing test, Số báo cáo sự cố từ nhân viên |
| Bảo vệ dữ liệu | % dữ liệu được mã hóa, Số vụ rò rỉ dữ liệu, Thời gian phát hiện rò rỉ |