Introduction to Security Frameworks, Góc nhìn của người mới học Security trên u.cisco.com

[Ngoc Quyen]

Chào anh em vnpro,

Mình vừa hoàn thành bài Introduction to Security Frameworks trong lộ trình học security trên u.cisco.com. Đây là bài nền tảng nhưng khá quan trọng, vì nó giúp mình hiểu được tư duy tổng thể khi làm bảo mật, chứ không chỉ dừng lại ở firewall, IDS hay antivirus.

Mình viết lại bài này theo cách hiểu của một người mới học, hy vọng giúp anh em nào đang bắt đầu với Cybersecurity / Network Security có cái nhìn rõ ràng hơn.

1. Security Framework là gì? (Hiểu theo cách đơn giản)

Security Framework có thể hiểu là một bộ khung chuẩn giúp tổ chức:

• Biết cái gì cần bảo vệ
• Biết đang có rủi ro gì
• Biết cần làm gì để giảm rủi ro
• Và biết làm sao để duy trì bảo mật lâu dài

Nếu không có framework, việc làm security thường rơi vào tình trạng:

• Mỗi phòng ban làm một kiểu
• Mua thiết bị theo cảm tính
• Có sự cố mới vá, không có kế hoạch từ trước

Framework giúp biến bảo mật từ phản ứng bị động → quản lý chủ động.



2. Mục đích chính của Security Framework

Theo nội dung Cisco trình bày, security framework có các mục tiêu cốt lõi sau:

• Cung cấp phương pháp có hệ thống để quản lý bảo mật
• Đảm bảo các biện pháp bảo mật được triển khai đồng bộ
• Giúp tổ chức đánh giá – đo lường – cải tiến mức độ an toàn
• Hỗ trợ tuân thủ luật pháp và tiêu chuẩn ngành

Một điểm mình thấy hay là:

Framework không bắt buộc dùng sản phẩm A hay B, mà chỉ đưa ra guideline, còn công nghệ thì tùy môi trường và ngân sách.

3. Các thành phần chính trong một Security Framework


Dù mỗi framework có cách trình bày khác nhau, nhưng đa phần đều xoay quanh các thành phần sau: 3.1 Policies & Procedures (Chính sách và quy trình)


Đây là nền móng của security framework.

• Ai được truy cập tài nguyên nào?
• Dữ liệu nào là nhạy cảm?
• Khi có sự cố thì ai xử lý, xử lý thế nào?

Nếu không có policy rõ ràng thì dù có công nghệ xịn tới đâu cũng rất dễ bị sai sót do con người.




3.2 Risk Management (Quản lý rủi ro)

Framework giúp tổ chức trả lời các câu hỏi:

• Tài sản nào là quan trọng nhất?
• Mối đe dọa nào có thể xảy ra?
• Lỗ hổng nào đang tồn tại?
• Nếu bị tấn công thì ảnh hưởng ra sao?

Từ đó ưu tiên bảo vệ đúng chỗ, tránh bảo mật dàn trải.

3.3 Security Controls (Biện pháp kiểm soát)

Security controls thường chia làm 3 nhóm:

• Technical controls
  Firewall, IDS/IPS, encryption, endpoint protection…
• Administrative controls
  Policy, quy trình, đào tạo nhận thức bảo mật
• Physical controls
  Camera, thẻ từ, kiểm soát phòng server

Framework giúp đảm bảo không bị lệch, ví dụ: chỉ chăm chăm vào thiết bị mà quên đào tạo người dùng

3.4 Compliance (Tuân thủ)

Nhiều doanh nghiệp bắt buộc phải tuân thủ:

• Luật pháp
• Quy định ngành
• Yêu cầu khách hàng

Security framework đóng vai trò như bản đồ, chỉ ra cần làm gì để đáp ứng các yêu cầu này (GDPR, ISO, HIPAA…).

3.5 Continuous Monitoring (Giám sát liên tục)

Security không phải làm một lần là xong.

Framework nhấn mạnh:

• Giám sát log
• Audit định kỳ
• Phát hiện sớm hành vi bất thường

Ví dụ: dùng SIEM để tập trung log và phân tích sự kiện.

3.6 Incident Response & Recovery (Xử lý & khôi phục sự cố)

Framework giúp tổ chức:

• Chuẩn bị trước kịch bản tấn công
• Biết rõ ai làm gì khi sự cố xảy ra
• Giảm thiểu downtime và thiệt hại

Điều này quan trọng hơn nhiều so với việc “đến lúc bị tấn công mới nghĩ cách xử lý”.

3.7 Training & Awareness (Đào tạo nhận thức)

Cisco nhấn mạnh rất rõ yếu tố con người:

• Đào tạo nhân viên về phishing
• Nhận diện social engineering
• Thực hành an toàn thông tin hằng ngày

Vì trong thực tế, con người thường là mắt xích yếu nhất.

3.8 Vendor & Third-party Management

Framework cũng đề cập đến rủi ro từ:

• Nhà cung cấp
• Đối tác bên thứ ba

Doanh nghiệp cần đánh giá bảo mật vendor trước khi tích hợp vào hệ thống.

4. Vì sao nên áp dụng Security Framework chuẩn?

Theo bài học, lợi ích lớn nhất là:

• Nhất quán: toàn tổ chức cùng theo một chuẩn
• Quản lý rủi ro tốt hơn
• Dễ giao tiếp giữa các team
• Cải tiến liên tục, không bị lạc hậu

Framework giúp security trở thành chiến lược, không chỉ là công việc kỹ thuật.

5. Một số Security Framework phổ biến được nhắc tới

🔹 NIST Cybersecurity Framework (CSF)

• Rất phổ biến
• Gồm 6 chức năng:
  GOVERN – IDENTIFY – PROTECT – DETECT – RESPOND – RECOVER
• Phù hợp cho nhiều loại tổ chức

🔹 CISA – CDM

• Tập trung vào giám sát & đánh giá liên tục

🔹 DISA – STIGs

• Hướng dẫn cấu hình bảo mật rất chi tiết
• Dùng nhiều trong môi trường chính phủ / quân đội

🔹 ISO/IEC 27001

• Tiêu chuẩn quốc tế
• Phù hợp doanh nghiệp cần chứng chỉ ISMS

🔹 CIS Controls

• Thực tế, dễ áp dụng
• Chia theo mức độ trưởng thành

6. Các bước triển khai Security Framework (theo Cisco)

Cisco mô tả quá trình triển khai theo các giai đoạn:

1. Assessment – xác định tài sản, mối đe dọa, lỗ hổng
2. Policy Development – xây dựng policy
3. Security Implementation – triển khai công nghệ
4. Security Awareness Training – đào tạo con người
5. Monitoring & Detection – giám sát
6. Incident Response & Recovery – phản ứng & khôi phục
7. Continuous Improvement – cải tiến liên tục
8. Vendor Assessment – đánh giá bên thứ ba

7. Cảm nhận cá nhân sau khi học xong

Sau bài này mình hiểu rõ hơn rằng:

🔐 Làm security không phải bắt đầu từ thiết bị, mà bắt đầu từ framework và tư duy quản lý rủi ro

Framework giúp người làm network, system hay security đi đúng hướng, đặc biệt khi làm trong môi trường doanh nghiệp.

Hy vọng bài chia sẻ này hữu ích cho anh em mới học giống mình.

Anh em nào đã triển khai thực tế NIST, ISO hay CIS rồi thì chia sẻ thêm kinh nghiệm cho mình học hỏi nhé 🙌