Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Quản trị an ninh mạng (Cybersecurity Governance): Nguyên tắc và khung làm việc

Governance trong an ninh mạng là gì?

Là tập hợp chính sách, quy trình, cấu trúc tổ chức và văn hóa – đảm bảo các hoạt động bảo mật được điều phối, có trách nhiệm minh bạch, phù hợp với mục tiêu kinh doanh, tuân thủ pháp lý và quản trị rủi ro hiệu quả.

6 nguyên tắc quản trị an ninh mạng (theo ISACA/ISO 27014)

  1. Trách nhiệm (Responsibility): Ban lãnh đạo chịu trách nhiệm cuối cùng.
  2. Chiến lược (Strategy): Căn chỉnh bảo mật với mục tiêu tổ chức.
  3. Mua sắm/Đầu tư (Acquisition): Đầu tư dựa trên rủi ro, hiệu quả chi phí.
  4. Hiệu suất (Performance): Đo lường, báo cáo, cải tiến liên tục.
  5. Tuân thủ (Conformance): Tuân thủ luật, tiêu chuẩn, chính sách nội bộ.
  6. Con người/Văn hóa (Human Behavior): Đào tạo, nhận thức, trách nhiệm cá nhân.

Tại sao governance quan trọng?

  • Thiết lập khung trách nhiệm (accountability framework).
  • Giám sát (oversight) để đảm bảo rủi ro được giảm thiểu đủ mức.
  • Phân tách rõ: Governance (chỉ đạo, giám sát) vs Management (thực thi, vận hành).

5 mục tiêu quản trị an ninh thông tin

  1. Bảo mật ở cấp độ tổ chức (enterprise-wide).
  2. Phương pháp dựa trên rủi ro (risk-based).
  3. Quyết định đầu tư phù hợp.
  4. Đáp ứng yêu cầu nội bộ & bên ngoài (luật, tiêu chuẩn).
  5. Môi trường bảo mật bao trùm mọi bên liên quan.

Khung làm việc (Framework) phổ biến

  • NIST CSF: Identify, Protect, Detect, Respond, Recover.
  • ISO/IEC 27001: Hệ thống quản trị an ninh thông tin (ISMS).
  • COBIT 2019: Quản trị CNTT doanh nghiệp.
  • CIS Controls: 18 biện pháp kiểm soát ưu tiên.

Thành phần chính của chương trình governance

  • Cấu trúc tổ chức & phân vai trò (CISO, DPO, Security Council).
  • Chính sách, tiêu chuẩn, thủ tục, baseline cấu hình.
  • Chương trình nhận thức bảo mật (security awareness) liên tục.
  • Quản trị rủi ro tích hợp (ERM).
  • Đo lường hiệu suất (KPI, KRI) & báo cáo định kỳ cho Ban Giám đốc.
  • Quản trị bên thứ ba & chuỗi cung ứng.

10 nguyên tắc an ninh mạng (NCSC UK)

  1. Quản trị rủi ro (Risk management).
  2. Cấu hình an toàn (Secure configuration).
  3. An ninh mạng (Network security).
  4. Phòng chống mã độc (Malware prevention).
  5. Quản trị đặc quyền (User privilege management).
  6. Giáo dục & nhận thức người dùng (User education).
  7. Quản lý sự cố (Incident management).
  8. Làm việc từ xa/di động (Remote/mobile working).
  9. Kiểm soát thiết bị di động (Mobile device management).
  10. Quản trị chuỗi cung ứng (Supply chain security).