DoD 8570 / 8140 là gì?
DoD Directive 8570 (nay hợp nhất vào DoD 8140) là chính sách Bộ Quốc phòng Mỹ (Department of Defense - DoD) yêu cầu **tất cả nhân sự** (quân nhân, dân sự, nhà thầu) làm việc trong **Information Assurance (IA)** phải đạt chứng chỉ phù hợp với chức danh.
Mục đích: Đảm bảo lực lượng an ninh thông tin có năng lực chuẩn hóa, bảo vệ hệ thống.task.mission-critical của DoD.
3 Trục chứng chỉ chính (Categories)
| Viết tắt | Tên đầy đủ | Tập trung | Đối tượng |
|---|---|---|---|
| IAT | Information Assurance Technical (Kỹ thuật Đảm bảo Thông tin) | Kỹ thuật thi triển, vận hành, cấu hình, giám sát bảo mật (Hands-on technical) | Network/Security Admin, SOC Analyst, Firewall Engineer, System Admin |
| IAM | Information Assurance Management (Quản trị Đảm bảo Thông tin) | Quản trị, chính sách, rủi ro, tuân thủ, giám sát chương trình IA (Management, Policy, Governance) | ISSM, ISSO, Security Manager, CISO, Compliance Officer |
| IASAE | Information Assurance System Architecture and Engineering (Kiến trúc & Kỹ thuật Hệ thống Đảm bảo Thông tin) | Thiết kế kiến trúc an ninh, engineering giải pháp, tích hợp hệ thống bảo mật (Architecture, Engineering, Design) | Security Architect, Security Engineer, IA System Architect, Solutions Architect |
3 Cấp độ (Levels) cho mỗi Trục
Mức độ trách nhiệm tăng dần: Level I (Nhập môn) → Level II (Trung cấp) → Level III (Cao cấp/Chuyên gia).
IAT Levels & Chứng chỉ điển hình (Baseline Certifications)
| Level | Mô tả | Chứng chỉ Baseline (Phải có ít nhất 1) | Chứng chỉ nâng cao (CE - Computing Environment) |
|---|---|---|---|
| IAT Level I | Hỗ trợ kỹ thuật, helpdesk, cấu hình cơ bản | CompTIA A+, Network+, Security+ (ce), CCNA | CCNA Security, CySA+, GSEC, Cloud+ |
| IAT Level II | Vận hành, giám sát, phản ứng sự cố, cấu hình FW/IDS | Security+ (ce), CCNA Security, CySA+, GSEC, GCIH, SSCP, Cloud+, CND | CEH, PenTest+, GCIA, GICSP, CASP+, CISSP (Associate) |
| IAT Level III | Chuyên gia sâu, thiết kế giải pháp phức tạp, lead team | CASP+ (ce), CISSP (or Associate), CISM, GSLC | CISSP-ISSAP, CISSP-ISSEP, CSSLP, GSE |
(ce) = Computing Environment cert - bắt buộc cho môi trường tính toán cụ thể.
IAM Levels & Chứng chỉ
| Level | Mô tả | Chứng chỉ Baseline |
|---|---|---|
| IAM Level I | Hỗ trợ quản trị IA, viết policy cơ bản | Security+ (ce), GSLC, CISM (Associate) |
| IAM Level II | Quản trị chương trình IA, risk management, audit | CISM, CISSP (or Associate), GSLC, GSNA |
| IAM Level III | Lãnh đạo chiến lược IA, CISO level | CISSP-ISSMP, CISM, CCISO, GSLC |
IASAE Levels & Chứng chỉ
| Level | Mô tả | Chứng chỉ Baseline |
|---|---|---|
| IASAE Level I | Hỗ trợ thiết kế, triển khai control | Security+ (ce), CASP+ (ce), CISSP (Associate), CSSLP, Cloud+ |
| IASAE Level II | Kiến trúc sư an ninh, thiết kế giải pháp enterprise | CASP+ (ce), CISSP (or Associate), CSSLP, CCISO |
| IASAE Level III | Chuyên gia cấp cao, enterprise architecture, innovation | CISSP-ISSAP, CISSP-ISSEP, CSSLP, GSE |
CSSP (Cyber Security Service Provider) - Chuyên môn hóa thêm
DoD 8570/8140 bổ sung **CSSP** cho các vai trò chuyên biệt (Analyst, Infrastructure Support, Incident Responder, Auditor, Manager). Mỗi CSSP role yêu cầu chứng chỉ Baseline + chứng chỉ chuyên biệt (VD: CSSP Analyst cần GCIA/GCIH/CySA+; CSSP IR cần GCIH/GCFA).
Ai phải tuân thủ DoD 8140?
- Quân nhân hiện役 (Active duty), dự bị (Reserve), vệ binh quốc gia (National Guard).
- Nhân sự dân sự DoD (DoD Civilian).
- **Nhà thầu (Contractors)** làm hợp đồng DoD liên quan IA (điều khoản hợp đồng DFARS 252.239-7001).
- Consultant, part-time, full-time - miễn là làm việc IA cho DoD.
Lộ trình lấy chứng chỉ DoD 8140 (Cho người Việt Nam muốn làm contractor DoD)
- Xác định **vai trò (IAT/IAM/IASAE/CSSP)** và **Level** trong hợp đồng/job description.
- Xem **DoD 8140 Cyberspace Workforce Qualification & Management Program Manual** (bản mới nhất) để confirm baseline cert yêu cầu.
- Học & thi chứng chỉ baseline (CompTIA Security+, (ISC)² CISSP, ISACA CISM, GIAC...).
- Nộp hồ sơ qua **ISA Manager (Information System Assurance Manager)** của đơn vị.
- Duy trì chứng chỉ (CE - Continuing Education): CPE credits, renewal fees.
Lưu ý quan trọng cho ngữ cảnh Việt Nam
- DoD 8140 **chỉ áp dụng cho hợp đồng DoD Mỹ**. Các doanh nghiệp VN làm sub-contractor cho Prime Contractor Mỹ (Lockheed, Northrop, Booz Allen, GDIT, Leidos...) khi làm việc trên hệ thống DoD **BẮT BUỘC** tuân thủ.
- Chứng chỉ **CompTIA Security+** là "chìa khóa vàng" phổ biến nhất cho IAT Level I/II.
- **CISSP** là "vua" cho IAT III, IAM II/III, IASAE II/III.
- **GIAC certs (GSEC, GCIH, GCIA, GCFA, GNFA...)** được đánh giá rất cao cho hands-on technical roles (IAT II/III, CSSP).
- Luật An ninh mạng VN (Luật 24/2018/QH14, ND 13/2023/NĐ-CP) có khái niệm riêng về "Chức năng an ninh mạng" và yêu cầu chứng chỉ/đào tạo, nhưng **KHÔNG** dùng framework IAT/IAM/IASAE.
Kết luận
IASAE = Information Assurance System Architecture and Engineering (Kiến trúc & Kỹ thuật Hệ thống Đảm bảo Thông tin). Là 1 trong 3 trụ cột chứng chỉ DoD 8140 bên cạnh IAT (Kỹ thuật) và IAM (Quản trị). Hiểu rõ framework này giúp bạn: **Chọn đúng chứng chỉ cho đúng vai trò, tuân thủ hợp đồng DoD, và xây dựng lộ trình carrière an ninh thông tin quốc tế chuẩn.**