Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Cybersecurity Information Sharing Act (CISA) 2015: Nội dung, Mục đích & Tác động

Cybersecurity Information Sharing Act (CISA) 2015 là gì?

CISA (Cybersecurity Information Sharing Act) là luật liên bang Mỹ (Public Law 114-113, Division N) được ký vào ngày **18/12/2015** như một phần của **Consolidated Appropriations Act, 2016**. Luật tạo khung pháp lý khuyến khích **chia sẻ thông tin đe dọa an ninh mạng (Cyber Threat Indicators - CTIs & Defensive Measures - DMs)** tự nguyện giữa **Chính phủ Liên bang** và **Tổ chức phi chính phủ (Private Sector)**.

Mục đích cốt lõi

  1. Cải thiện nhận thức tình hình (Situational Awareness): Cả hai phía đều thấy được bức tranh đe dọa toàn cảnh hơn.
  2. Tăng cường khả năng phòng thủ (Collective Defense): Chia sẻ IOC (Indicators of Compromise), TTPs (Tactics, Techniques, Procedures), signature malware, IP độc hại, domain C2...
  3. Bảo vệ cơ sở hạ tầng then chốt (Critical Infrastructure): Năng lượng, tài chính, y tế, giao thông, chính phủ...
  4. Bảo vệ quyền riêng tư & Tự do dân sự: Yêu cầu xóa thông tin cá nhân (PII) không liên quan trước khi chia sẻ.

Cơ chế hoạt động chính

1. Tự nguyện (Voluntary)

Không bắt buộc doanh nghiệp phải chia sẻ. Nhưng được **miễn trừ trách nhiệm pháp lý (Liability Protection)** nếu chia sẻ tuân thủ quy trình.

2. Cổng chia sẻ tập trung - DHS / CISA (Agency)

  • DHS (Department of Homeland Security) là trung tâm tiếp nhận, xử lý, phân phối thông tin.
  • CISA (Cybersecurity and Infrastructure Security Agency) - thành lập 2018 dưới DHS - hiện là chủ thể vận hành.
  • Cổng tự động: **AIS (Automated Indicator Sharing)** - giao thức STIX/TAXII.

3. Quy trình chia sẻ (Simplified)

  1. Tổ chức私营 phát hiện đe dọa → Tạo **Cyber Threat Indicator (CTI)** hoặc **Defensive Measure (DM)** theo định dạng **STIX (Structured Threat Information eXpression)**.
  2. Gửi qua **TAXII (Trusted Automated eXchange of Indicator Information)** đến **DHS/CISA AIS**.
  3. DHS/CISA **xử lý tự động**: Xóa PII (Privacy scrubbing), làm giàu ngữ cảnh (enrichment), gán TLP (Traffic Light Protocol).
  4. Phân phối lại cho các thành viên tham gia AIS (Real-time/near real-time).
  5. Người nhận nạp IOC vào SIEM, EDR, Firewall, Threat Intel Platform (TIP) để block/phát hiện.

4. Bảo vệ pháp lý (Legal Protections)

  • Anti-Trust Exemption: Chia sẻ giữa đối thủ cạnh tranh không vi phạm luật chống độc quyền.
  • Liability Protection: Miễn trừ trách nhiệm dân sự cho việc chia sẻ/nhận/ sử dụng CTI/DM tuân thủ luật (Good faith compliance).
  • FOIA Exemption: Thông tin chia sẻ không bị công khai theo Freedom of Information Act.
  • No Regulatory Use: Thông tin chia sẻ **KHÔNG** được dùng để điều tra/trừng phạt vi phạm quy định khác (VD: HIPAA, SEC) trừ các trường hợp nghiêm trọng (death, serious bodily harm, national security).

STIX & TAXII: Xương sống kỹ thuật của CISA

CISA Agency (Cybersecurity and Infrastructure Security Agency) - Không nhầm lẫn với Act

  • Thành lập: **November 2018** (Cybersecurity and Infrastructure Security Agency Act of 2018).
  • Thuộc: **Department of Homeland Security (DHS)**.
  • Giám đốc hiện tại: **Jen Easterly** (từ 2021).
  • Sứ mệnh: **"Lead the national effort to understand, manage, and reduce risk to the cyber and physical infrastructure that Americans rely on every hour of every day."**
  • Chức năng chính: Quản trị AIS, cung cấp công cụ/free services (Vulnerability Scanning, Phishing Assessment, CSET, Cyber Hygiene), điều phối Incident Response (NRMC), bảo vệ Critical Infrastructure (NCFs - National Critical Functions), phát triển chuẩn (NIST CSF, CPGs).

Tác động & Thực tế triển khai (2016-2024)

Thành quả

  • Hàng nghìn tổ chức tham gia AIS (Federal, SLTT - State/Local/Tribal/Territorial, Private - ISACs/ISAOs).
  • Tỷ lệ chia sẻ tự động (machine-to-machine) tăng mạnh nhờ STIX/TAXII.
  • Phản ứng nhanh hơn cho các vụ Log4j, SolarWinds, MoveIT, Volt Typhoon.
  • CISA cung cấp **Free Cyber Hygiene Services** (Vuln scanning, Web app scanning, Phishing campaign assessment) cho bất kỳ tổ chức .gov/.mil/.us nào đăng ký.

Thách thức / Chỉ trích

  • Privacy concerns: ACLU, EFF lo ngại PII scrubbing không đủ, surveillance scope creep.
  • Information Overload / Noise: Quá nhiều IOC low-fidelity, thiếu context → Alert fatigue.
  • One-way street perception: Private sector chia sẻ nhiều, nhận lại ít actionable intel từ Gov (classified sources).
  • Adoption gap: Nhiều SMB không có năng lực STIX/TAXII/SIEM để tiêu thụ feed tự động.
  • International sharing: CISA chủ yếu domestic. Chia sẻ quốc tế qua ISACs, ISAOs, INTERPOL, bilateral agreements.

So sánh CISA Act với các luật liên quan

Tiêu chuẩnVai tròĐặc điểm
STIX (Structured Threat Information eXpression)Ngôn ngữ/Định dạng dữ liệu (JSON-based)Định nghĩa "Cái gì" (What): IOC, TTP, Campaign, Threat Actor, Malware, Vulnerability, Course of Action. Machine-readable, extensible, versioning (v2.1 mới nhất).
TAXII (Trusted Automated eXchange of Indicator Information)Giao thức truyền tải (HTTPS/REST API)Định nghĩa "Như thế nào" (How): Discovery, Collection, Channel, Polling/Push. Hỗ trợ authentication, authorization, filtering, pagination.
Luật / Chỉ thịNămFocus chínhMối quan hệ
CISA Act2015Thông tin chia sẻ CTI/DM tự nguyện, miễn trừ pháp lýCốt lõi chia sẻ thông tin
Cybersecurity Enhancement Act2014NIST CSF, R&D, Education, Workforce, Federal cybersecurityBổ sung: NIST CSF framework
Federal Information Security Modernization Act (FISMA)2014 (update)Yêu cầu bảo mật hệ thống liên bang, báo cáo CongressBắt buộc cho Federal agencies
Executive Order 140282021Improve Nation's Cybersecurity (Zero Trust, EDR, Logging, SBOM, Incident Response)Mệnh lệnh hành chính, buộc Federal & Contractor
CIRCIA (Cyber Incident Reporting for Critical Infrastructure Act)2022BẮT BUỘC báo cáo sự cố & ransomware payment cho CISA trong 72h/24hBổ sung: Bắt buộc báo cáo (Mandatory) vs CISA Act (Voluntary sharing)

Ý nghĩa đối với Việt Nam

  • Mô hình **CISA Act (Voluntary sharing + Liability protection + AIS/STIX/TAXII)** là tham khảo cho **Luật An ninh mạng VN (2018), Nghị định 13/2023/NĐ-CP** về chia sẻ thông tin đe dọa qua **VNCERT/CC**.
  • Việt Nam đang xây dựng **National Cyber Security Information Sharing Platform** - có thể áp dụng chuẩn **STIX/TAXII** để tương thích quốc tế.
  • Khái niệm **National Critical Functions (NCFs)** của CISA hữu ích để xác định **Cơ sở hạ tầng quan trọng (Critical Infrastructure)** theo Luật VN.

Kết luận

CISA Act 2015 là mốc ngoặt: Chuyển từ "chia sẻ thủ công, ngại pháp lý" sang "chia sẻ tự động, chuẩn hóa (STIX/TAXII), được bảo vệ pháp lý". Dù còn thách thức, nó đặt nền móng cho **Collective Defense (Phòng thủ tập thể)** - triết lý cốt lõi của an ninh mạng hiện đại. Tổ chức VN nên: Theo dõi CISA Advisories/Alerts, tham gia ISAC/ISAOs khu vực, triển khai STIX/TAXII cho Threat Intel Platform, chuẩn bị cho chế độ báo cáo bắt buộc (như CIRCIA) trong tương lai.