Không có một tiêu chuẩn an ninh mạng duy nhất phù hợp với mọi tổ chức. Doanh nghiệp có thể dùng một khung để quản trị rủi ro, một tiêu chuẩn khác để xác định biện pháp kiểm soát cho ứng dụng, nhiều giao thức để xác thực người dùng, một mô hình trưởng thành để lập lộ trình và các luật để xác định nghĩa vụ bắt buộc.

Đó là lý do Zero Trust, NIST, ISO 27001, SOC 2, OWASP, PCI DSS, CIS Controls, SLSA và GDPR thường được nhắc cùng nhau dù chúng giải quyết những vấn đề khác nhau.

Bài viết này là bản đồ thực tế về an ninh mạng hiện đại, được cập nhật đến tháng 8/2026. Danh sách bao gồm hơn 100 tiêu chuẩn, khung quản lý, giao thức, quy định, danh mục và mô hình kỹ thuật phổ biến. Phạm vi bài viết khá rộng, nhưng điều đó không có nghĩa mọi tài liệu đều áp dụng cho mọi tổ chức.

Tiêu chuẩn không phải danh sách để áp dụng máy móc. Hãy chọn yêu cầu dựa trên rủi ro, hệ thống, khách hàng, hợp đồng và khu vực pháp lý của bạn. Tuân thủ có thể hỗ trợ an ninh mạng, nhưng không thay thế việc mô hình hóa mối đe dọa, kỹ thuật tốt, giám sát hoặc khả năng phục hồi đã được diễn tập.

Trước tiên: hiểu loại tài liệu bạn đang đọc

  • Tiêu chuẩn định nghĩa yêu cầu hoặc đặc tả để đánh giá một hệ thống hoặc hệ thống quản lý. Ví dụ gồm ISO/IEC 27001, PCI DSS và TLS 1.3.
  • Khung quản lý tổ chức các kết quả và hoạt động nhưng không bắt buộc một cách triển khai duy nhất. Ví dụ gồm NIST CSF 2.0 và NIST AI RMF.
  • Danh mục biện pháp kiểm soát cung cấp các biện pháp bảo vệ chi tiết để tổ chức lựa chọn. Ví dụ gồm NIST SP 800-53 và CIS Controls.
  • Mô hình trưởng thành mô tả các giai đoạn phát triển năng lực. Ví dụ gồm CISA Zero Trust Maturity Model và OWASP SAMM.
  • Giao thức định nghĩa hành vi kỹ thuật có khả năng tương tác. Ví dụ gồm OAuth, OpenID Connect, SAML, WebAuthn, DNSSEC và TLS.
  • Hệ thống phân loại mối đe dọa hoặc điểm yếu tạo ngôn ngữ chung cho các nhóm. Ví dụ gồm MITRE ATT&CK, CWE, CAPEC và OWASP Top 10.
  • Quy định hoặc luật tạo ra nghĩa vụ pháp lý. Ví dụ gồm GDPR, NIS2, DORA, Đạo luật Khả năng phục hồi không gian mạng của EU, Luật An ninh mạng và Luật Bảo vệ dữ liệu cá nhân của Việt Nam.
  • Chứng nhận hoặc báo cáo bảo đảm là bằng chứng cho một phạm vi xác định tại một thời điểm hoặc trong một giai đoạn. Ví dụ gồm chứng nhận ISO 27001, báo cáo SOC 2 và CSA STAR.

Lộ trình ngắn nhất nhưng vẫn hữu ích

Nếu danh sách đầy đủ quá lớn, hãy bắt đầu từ đây:

  1. Dùng NIST CSF 2.0 hoặc CIS Controls v8.1 để tổ chức chương trình an ninh mạng.
  2. Dùng NIST SP 800-207 và CISA Zero Trust Maturity Model để thiết kế lại quyền truy cập dựa trên danh tính, trạng thái thiết bị, tài nguyên và đánh giá liên tục.
  3. Dùng OWASP ASVS 5.0 cho yêu cầu ứng dụng web, OWASP API Security Top 10 cho API và NIST SSDF cho vòng đời phát triển.
  4. Yêu cầu MFA chống lừa đảo hoặc khóa truy cập dựa trên FIDO2/WebAuthn. Hiện đại hóa OAuth theo RFC 9700.
  5. Duy trì danh mục tài sản, dữ liệu, phần phụ thuộc và kế hoạch phục hồi đã được kiểm thử.
  6. Tạo SBOM theo SPDX hoặc CycloneDX, bảo vệ quy trình biên dịch bằng SLSA, ký bản phát hành và thông tin nguồn gốc.
  7. Ưu tiên lỗ hổng dựa trên bối cảnh kinh doanh, bằng chứng đang bị khai thác, CVSS 4.0 và EPSS, thay vì chỉ dựa vào điểm cơ sở.
  8. Ánh xạ yêu cầu pháp lý, hợp đồng và yêu cầu ngành. Thu thập bằng chứng một lần và tái sử dụng cho nhiều khung.

1. Kiến trúc Zero Trust và quyền truy cập

Zero Trust không có nghĩa là “không tin ai”, không đơn giản là thay thế VPN và cũng không phải sản phẩm của một nhà cung cấp. Mục tiêu là loại bỏ sự tin cậy mặc định chỉ dựa vào vị trí mạng hoặc quyền sở hữu thiết bị. Quyết định truy cập phải xét danh tính, thiết bị, tài nguyên, chính sách, rủi ro và bối cảnh hiện tại.

  1. NIST SP 800-207: Zero Trust Architecture. Đây là định nghĩa trung lập và nền tảng về Zero Trust. Mô hình chuyển trọng tâm bảo vệ từ phân đoạn mạng sang người dùng, thiết bị, ứng dụng, dịch vụ và tài nguyên. Xác thực và cấp quyền diễn ra trước phiên làm việc, đồng thời có thể được đánh giá lại liên tục. Xem tài liệu chính thức của NIST.

  2. NIST SP 800-207A: kiểm soát truy cập Zero Trust cho ứng dụng thuần đám mây. Mở rộng Zero Trust sang ứng dụng và dịch vụ trong môi trường kết hợp hoặc nhiều nhà cung cấp đám mây. Tài liệu nhấn mạnh danh tính ứng dụng, danh tính tác vụ, cổng API, proxy đi kèm, lưới dịch vụ và chính sách theo lớp danh tính.

  3. NIST SP 1800-35: Implementing a Zero Trust Architecture. Hướng dẫn thực hành hoàn tất năm 2025 mô tả 19 kiến trúc mẫu được xây dựng cùng 24 đối tác. Tài liệu giúp chuyển từ sơ đồ khái niệm sang mẫu triển khai thực tế.

  4. CISA Zero Trust Maturity Model 2.0. Chia chương trình thành 5 trụ cột gồm danh tính, thiết bị, mạng, ứng dụng và tác vụ, cùng dữ liệu. Ba năng lực xuyên suốt là khả năng quan sát và phân tích, tự động hóa và điều phối, cùng quản trị. Các mức trưởng thành gồm truyền thống, ban đầu, nâng cao và tối ưu.

  5. Software Defined Perimeter (SDP). Mẫu kiến trúc này ẩn dịch vụ cho đến khi kiểm tra danh tính và chính sách thành công. SDP có thể hỗ trợ ZTNA nhưng không đại diện cho toàn bộ kiến trúc Zero Trust.

  6. Zero Trust Network Access (ZTNA). Nhóm kiến trúc và sản phẩm này cung cấp quyền truy cập theo từng ứng dụng dựa trên danh tính và bối cảnh. Nên ưu tiên chính sách ở mức tài nguyên, trạng thái thiết bị, phiên ngắn và dữ liệu quan sát tốt, thay vì chỉ thay một loại đường hầm mạng bằng loại khác.

  7. SASE và Security Service Edge (SSE). SASE kết hợp mạng diện rộng với các dịch vụ bảo mật cung cấp qua đám mây. SSE là phần bảo mật, thường gồm cổng web an toàn, CASB, ZTNA và kiểm soát dữ liệu. Đây là nhóm kiến trúc, không phải chứng nhận.

  8. Phân đoạn vi mô. Giới hạn khả năng di chuyển ngang giữa các tác vụ và tài nguyên. Khi có thể, hãy dùng danh tính của dịch vụ hoặc tác vụ thay vì quy tắc chỉ dựa trên địa chỉ IP.

  9. Điểm quyết định chính sách và điểm thực thi chính sách. Thiết kế trưởng thành tách nơi ra quyết định khỏi nơi thực thi, ghi lại bối cảnh đã sử dụng, từ chối an toàn khi thành phần phụ thuộc gặp lỗi và hỗ trợ thu hồi quyền nhanh.

  10. Continuous Adaptive Risk and Trust Assessment (CARTA). Mô hình chiến lược do Gartner khởi xướng, hữu ích cho việc ra quyết định liên tục theo rủi ro nhưng không phải tiêu chuẩn mở hoặc mục tiêu chứng nhận.

2. Quản trị, rủi ro và khung kiểm soát doanh nghiệp

  1. NIST Cybersecurity Framework 2.0 (CSF). Khung kết quả gồm Quản trị, Nhận diện, Bảo vệ, Phát hiện, Ứng phó và Phục hồi. Phiên bản 2.0 đưa quản trị thành một chức năng riêng và phù hợp với tổ chức ở mọi quy mô. Hãy tạo hồ sơ hiện trạng, hồ sơ mục tiêu và kế hoạch hành động có thứ tự ưu tiên tại NIST CSF 2.0.

  2. NIST SP 800-53 Rev. 5. Danh mục rất lớn về biện pháp kiểm soát an ninh và quyền riêng tư cho hệ thống và tổ chức. Tài liệu phù hợp để xây dựng yêu cầu chi tiết, lớp kiểm soát bổ sung và ánh xạ bằng chứng. Không nên áp dụng toàn bộ một cách máy móc.

  3. NIST Risk Management Framework: SP 800-37 Rev. 2. Vòng đời gồm chuẩn bị, phân loại hệ thống, chọn và triển khai biện pháp kiểm soát, đánh giá, cấp phép vận hành và giám sát liên tục.

  4. NIST SP 800-30: Guide for Conducting Risk Assessments. Phương pháp có cấu trúc để xác định nguồn đe dọa, sự kiện, lỗ hổng, khả năng xảy ra, tác động và rủi ro. Cách làm này giúp sổ đăng ký rủi ro không trở thành danh sách lo ngại thiếu ưu tiên.

  5. NIST SP 800-161 Rev. 1: Cybersecurity Supply Chain Risk Management. Áp dụng quản lý rủi ro cho nhà cung cấp, sản phẩm, dịch vụ, thành phần phụ thuộc và vòng đời mua sắm.

  6. CIS Critical Security Controls v8.1. Gồm 18 nhóm kiểm soát có thứ tự ưu tiên. Các Nhóm triển khai IG1, IG2 và IG3 giúp tổ chức nhỏ bắt đầu từ vệ sinh an ninh mạng thiết yếu rồi mở rộng theo rủi ro. Phiên bản 8.1 được căn chỉnh với chức năng Quản trị của CSF 2.0. Xem CIS Controls chính thức.

  7. CIS Benchmarks. Cung cấp cấu hình an toàn cơ sở cho hệ điều hành, nền tảng đám mây, cơ sở dữ liệu, bộ chứa, thiết bị mạng và ứng dụng. Cần điều chỉnh và kiểm thử theo môi trường thực tế. Một hệ thống được gia cố nhưng làm gián đoạn hoạt động kinh doanh sẽ nhanh chóng bị người dùng tìm cách bỏ qua.

  8. ISO/IEC 27001:2022. Tiêu chuẩn yêu cầu cho hệ thống quản lý an toàn thông tin, viết tắt là ISMS. Tiêu chuẩn dựa trên rủi ro và có thể được chứng nhận trong phạm vi cụ thể. Chứng nhận không chứng minh mọi hệ thống đều bất khả xâm phạm. Xem ISO 27001.

  9. ISO/IEC 27002:2022. Hướng dẫn triển khai các biện pháp kiểm soát an toàn thông tin. Tài liệu bổ trợ cho ISO 27001 nhưng không phải tiêu chuẩn chứng nhận ISMS riêng.

  10. ISO/IEC 27005. Hướng dẫn quản lý rủi ro an toàn thông tin, hữu ích khi xây dựng quy trình đánh giá và xử lý rủi ro cho ISMS.

  11. ISO/IEC 27014. Hướng dẫn quản trị an toàn thông tin, bao gồm cách cơ quan quản trị đánh giá, định hướng, giám sát và truyền đạt các vấn đề an toàn thông tin.

  12. COBIT 2019. Khung của ISACA về quản trị và quản lý thông tin cùng công nghệ trong doanh nghiệp. Phạm vi rộng hơn an ninh mạng, phù hợp để xác định trách nhiệm, mục tiêu, đánh giá năng lực và gắn công nghệ với mục tiêu kinh doanh.

  13. SOC 2 Trust Services Criteria. Khung báo cáo bảo đảm của AICPA gồm tiêu chí bắt buộc về an ninh và các tiêu chí tùy chọn về tính sẵn sàng, tính toàn vẹn xử lý, tính bí mật và quyền riêng tư. Type I xem xét thiết kế tại một thời điểm. Type II xem xét hoạt động trong một giai đoạn. Luôn đọc kỹ phạm vi, ngoại lệ, biện pháp kiểm soát bổ sung và đơn vị cung cấp dịch vụ phụ.

  14. CSA Cloud Controls Matrix (CCM) v4 và CAIQ. Cung cấp nhóm kiểm soát và câu hỏi đánh giá cho điện toán đám mây của Cloud Security Alliance. Tài liệu hữu ích khi phân định trách nhiệm chung giữa nhà cung cấp và khách hàng.

  15. CSA STAR. Chương trình đăng ký và bảo đảm cho dịch vụ đám mây dựa trên CCM, từ tự đánh giá đến chứng nhận hoặc báo cáo bảo đảm của bên thứ ba và bảo đảm liên tục.

  16. FAIR. Factor Analysis of Information Risk giúp ước lượng định lượng tần suất và quy mô tổn thất. Hãy dùng khoảng giá trị và giả định đã được hiệu chỉnh. Không nên trình bày dữ liệu đầu vào còn rất bất định như một con số chính xác tuyệt đối.

3. Danh tính, xác thực, cấp quyền và bí mật

  1. NIST SP 800-63-4 Digital Identity Guidelines. Bản sửa đổi 4 hoàn tất năm 2025, bao phủ việc chứng minh danh tính, xác thực, quản lý phương tiện xác thực, liên kết danh tính, gian lận và mức bảo đảm. Tài liệu thay thế Bản sửa đổi 3, đồng thời bổ sung khóa truy cập đồng bộ, nội dung giả mạo và chỉ số đánh giá liên tục. Xem NIST Revision 4.

  2. FIDO2: WebAuthn và CTAP. Nền tảng hiện đại cho xác thực chống lừa đảo. WebAuthn định nghĩa API trên web, còn CTAP kết nối thiết bị khách với phương tiện xác thực. Khóa truy cập là thông tin xác thực FIDO, không phải một tiêu chuẩn tách biệt. Quy trình khôi phục tài khoản phải mạnh ít nhất tương đương quy trình đăng nhập.

  3. WebAuthn Level 3. Bản khuyến nghị ứng viên hiện tại của W3C mở rộng khả năng của thông tin xác thực dùng khóa công khai. Cần kiểm tra mức hỗ trợ của trình duyệt và trạng thái đặc tả trước khi phụ thuộc vào tính năng chỉ có ở Cấp độ 3.

  4. OAuth 2.0 và RFC 9700. OAuth dùng để ủy quyền truy cập, không phải giao thức xác thực. RFC 9700 là thực hành bảo mật tốt nhất hiện tại. Nên dùng mã ủy quyền với PKCE, đối chiếu chính xác địa chỉ chuyển hướng, ràng buộc mã truy cập với bên gửi khi phù hợp và tránh các luồng đã bị loại bỏ. OAuth 2.1 vẫn đang được phát triển, vì vậy không nên gọi bản dự thảo là tiêu chuẩn chính thức. Xem RFC 9700.

  5. OpenID Connect (OIDC). Lớp danh tính trên OAuth 2.0, chuẩn hóa việc xác thực và mã định danh. Cần kiểm tra bên phát hành, đối tượng nhận, chữ ký, giá trị chống phát lại, thời gian hiệu lực và luồng cụ thể.

  6. OpenID FAPI 2.0. Hồ sơ OAuth bảo mật cao cho API tài chính và hoạt động chia sẻ dữ liệu có giá trị lớn. Hồ sơ bảo mật và đặc tả ký thông điệp đều hoàn tất trong năm 2025. Hệ sinh thái chịu quản lý nên ưu tiên cách triển khai đã được chứng nhận.

  7. SAML 2.0. Giao thức liên kết danh tính dựa trên XML, được dùng lâu năm trong đăng nhập một lần của doanh nghiệp. Cần kiểm tra chữ ký, đối tượng nhận, bên nhận, chống phát lại, độ tin cậy của siêu dữ liệu và cách phân tích XML.

  8. SCIM 2.0: RFC 7643 và RFC 7644. Chuẩn hóa việc cấp tài khoản và quản lý vòng đời danh tính. Thu hồi tài khoản an toàn quan trọng ngang với quá trình tiếp nhận người dùng mới. Tài khoản cũ có thể âm thầm phá vỡ nguyên tắc đặc quyền tối thiểu.

  9. X.509 PKI và RFC 5280. Hồ sơ chứng thư và thu hồi đứng sau TLS, mTLS, danh tính thiết bị và nhiều hệ thống tin cậy. Vòng đời khóa, chính sách phát hành, thay khóa, thu hồi và quản trị kho tin cậy quan trọng không kém cú pháp chứng thư.

  10. SPIFFE và SPIRE. Đặc tả mở và phần triển khai để cấp danh tính có thể kiểm chứng cho tác vụ, phổ biến trong lưới dịch vụ và kiến trúc Zero Trust thuần đám mây.

  11. Kiểm soát truy cập dựa trên vai trò (RBAC). Gán quyền thông qua vai trò. Cách làm này dễ hiểu nhưng có thể tạo quá nhiều vai trò và quyền thường trực vượt mức cần thiết.

  12. Kiểm soát truy cập dựa trên thuộc tính và chính sách (ABAC/PBAC). Quyết định dựa trên thuộc tính và bối cảnh của người dùng, thiết bị, tài nguyên, hành động, rủi ro và thời gian. Mô hình phù hợp với Zero Trust nhưng cần dữ liệu thuộc tính chất lượng và kết quả đánh giá chính sách có thể giải thích.

  13. Quản lý truy cập đặc quyền (PAM) và truy cập đúng thời điểm. Lưu giữ an toàn, thay thông tin xác thực, phê duyệt, ghi lại và giới hạn thời gian của phiên đặc quyền. Loại bỏ quyền quản trị thường trực khi có thể. Quyền truy cập khẩn cấp cần biện pháp kiểm soát đã được kiểm thử.

  14. Quản lý bí mật. Dùng kho bí mật chuyên dụng, danh tính tác vụ, thông tin xác thực ngắn hạn, thay khóa tự động và quét tìm bí mật. Không coi biến môi trường, nhật ký CI, kho mã nguồn hoặc mã chạy phía người dùng là kho bí mật an toàn.

4. Bảo mật ứng dụng, API, di động và phát triển phần mềm

  1. OWASP Top 10:2025. Danh sách nâng cao nhận thức hiện tại gồm kiểm soát truy cập bị phá vỡ, cấu hình bảo mật sai, lỗi chuỗi cung ứng phần mềm, lỗi mật mã, chèn lệnh, thiết kế không an toàn, lỗi xác thực, lỗi toàn vẹn phần mềm hoặc dữ liệu, lỗi ghi nhật ký và cảnh báo, cùng xử lý tình huống ngoại lệ không đúng. Đây là điểm bắt đầu, không phải tiêu chuẩn kiểm thử đầy đủ. Xem OWASP Top 10:2025.

  2. OWASP ASVS 5.0. Bộ yêu cầu bảo mật ứng dụng có thể kiểm chứng và các mức đánh giá. Dùng ASVS cho yêu cầu, xem xét kiến trúc, lập trình an toàn, kiểm thử, mua sắm và tiêu chí nghiệm thu. Phiên bản 5.0.0 được phát hành năm 2025.

  3. OWASP API Security Top 10:2023. Tập trung vào rủi ro API như cấp quyền sai ở mức đối tượng hoặc chức năng, tiêu thụ tài nguyên không giới hạn, luồng nghiệp vụ nhạy cảm, SSRF, quản lý danh mục API và việc sử dụng API bên ngoài thiếu an toàn.

  4. OWASP SAMM. Mô hình trưởng thành gồm Quản trị, Thiết kế, Triển khai, Kiểm chứng và Vận hành. Dùng để cải thiện cách thực hiện bảo mật phần mềm thay vì chỉ đếm lỗ hổng.

  5. OWASP MASVS và MASTG. Bộ yêu cầu và hướng dẫn kiểm thử cho ứng dụng di động, bao gồm lưu trữ, mật mã, xác thực, mạng, nền tảng, mã nguồn, khả năng chống chịu và quyền riêng tư.

  6. OWASP Software Component Verification Standard (SCVS). Mô hình quản lý và kiểm chứng rủi ro của thành phần bên thứ ba. Cần kiểm tra mức trưởng thành và phiên bản trước khi dùng làm mục tiêu tuân thủ trong hợp đồng.

  7. NIST SP 800-218: Secure Software Development Framework (SSDF) 1.1. Khung cấp cao gồm chuẩn bị tổ chức, bảo vệ phần mềm, tạo bản phát hành an toàn và phản hồi lỗ hổng. Xem NIST SSDF.

  8. An toàn ngay từ thiết kế và an toàn theo mặc định. Nguyên tắc của CISA đặt trách nhiệm về kết quả an toàn lên nhà sản xuất. Nhà sản xuất nên loại bỏ mật khẩu mặc định, giảm cả nhóm lỗ hổng, cung cấp tính năng bảo mật quan trọng mà không thu thêm phí và công bố cam kết có thể đo lường.

  9. Mô hình hóa mối đe dọa bằng STRIDE. Phân loại giả mạo, sửa đổi, chối bỏ, lộ thông tin, từ chối dịch vụ và nâng quyền. Nên dùng sớm với sơ đồ luồng dữ liệu và xem xét lại khi ranh giới tin cậy thay đổi.

  10. Cây tấn công, trường hợp lạm dụng, PASTA và LINDDUN. Cây tấn công phân rã mục tiêu của kẻ tấn công. Trường hợp lạm dụng khám phá cách hệ thống bị lợi dụng. PASTA tập trung vào rủi ro, còn LINDDUN tập trung vào đe dọa quyền riêng tư. Hãy chọn phương pháp tạo ra quyết định, không chỉ tạo sơ đồ để hoàn tất thủ tục.

  11. Common Weakness Enumeration (CWE). Danh mục các loại điểm yếu như cấp quyền không đúng hoặc xử lý bộ nhớ thiếu an toàn. CWE phân loại nguyên nhân gốc, còn CVE nhận diện một lỗ hổng cụ thể đã được công bố.

  12. CAPEC. Danh mục mẫu tấn công liên kết với điểm yếu và biện pháp giảm thiểu, hữu ích cho mô hình hóa mối đe dọa, kiểm thử và đào tạo.

  13. SEI CERT và hướng dẫn lập trình an toàn theo ngôn ngữ. Các quy tắc cụ thể hỗ trợ an toàn bộ nhớ, xử lý số nguyên, đồng thời, xử lý lỗi và hành vi không xác định. Với thành phần mới nhạy cảm về bảo mật, nên ưu tiên ngôn ngữ an toàn bộ nhớ khi khả thi.

  14. Các nhóm kiểm thử bảo mật. SAST xem mã nguồn, DAST kiểm thử hệ thống đang chạy, IAST quan sát quá trình thực thi, SCA lập danh mục phần phụ thuộc, kiểm thử mờ khám phá dữ liệu đầu vào bất thường và kiểm thử xâm nhập thực hành đường tấn công. Không công cụ nào tự bao phủ logic nghiệp vụ hoặc toàn bộ OWASP Top 10.

5. Điện toán đám mây, bộ chứa, Kubernetes và hạ tầng dưới dạng mã

  1. Mô hình trách nhiệm chung trên đám mây. Nhà cung cấp bảo vệ phần hạ tầng đám mây đã xác định. Khách hàng vẫn chịu trách nhiệm về dữ liệu, danh tính, cấu hình, tác vụ và các biện pháp kiểm soát tùy theo dịch vụ.

  2. ISO/IEC 27017. Hướng dẫn các biện pháp kiểm soát an ninh đám mây cho cả nhà cung cấp và khách hàng, mở rộng mô hình của ISO 27002.

  3. ISO/IEC 27018. Hướng dẫn bảo vệ thông tin nhận dạng cá nhân trong đám mây công cộng khi nhà cung cấp đóng vai trò bên xử lý thông tin đó.

  4. CSA CCM và CAIQ. Hỗ trợ đánh giá biện pháp kiểm soát trên đám mây, phân định trách nhiệm của nhà cung cấp và so sánh bằng chứng mà không phải tự xây bảng câu hỏi từ đầu.

  5. CIS Foundations Benchmarks cho đám mây. Đưa ra cấu hình cơ sở cho tài khoản, danh tính, nhật ký, mạng, lưu trữ, cơ sở dữ liệu và dịch vụ nền tảng. Nên áp dụng bằng chính sách dưới dạng mã và liên tục phát hiện sai lệch cấu hình.

  6. NIST SP 800-190: Application Container Security Guide. Bao quát rủi ro của ảnh bộ chứa, kho ảnh, bộ điều phối, bộ chứa và máy chủ. Dù tài liệu đã cũ, mô hình rủi ro vẫn hữu ích khi kết hợp với hướng dẫn nền tảng mới hơn.

  7. NSA/CISA Kubernetes Hardening Guidance. Đưa ra hướng dẫn thực tế về bảo mật pod, phân tách mạng, xác thực, cấp quyền, nhật ký kiểm toán, chuỗi cung ứng và cập nhật thành phần.

  8. Kubernetes Pod Security Standards. Xác định ba mức Privileged, Baseline và Restricted. Cần bắt buộc mức phù hợp qua cơ chế kiểm soát tiếp nhận, đồng thời ghi rõ những ngoại lệ thật hẹp.

  9. Bảo mật hạ tầng dưới dạng mã. Quét mẫu, mô đun, chính sách và định nghĩa bộ chứa trước khi triển khai. Yêu cầu rà soát và thông tin nguồn gốc, bảo vệ tệp trạng thái, đồng thời theo dõi sai lệch cấu hình sau triển khai.

  10. Chính sách dưới dạng mã với OPA, Rego và công cụ tương tự. Diễn đạt rồi kiểm thử chính sách cấp quyền và cấu hình như mã nguồn có quản lý phiên bản. Cần kiểm thử đơn vị, rà soát thay đổi và nhật ký quyết định vì công cụ chính sách không tự sửa được quyền sở hữu mơ hồ hoặc logic yếu.

  11. Danh tính tác vụ thuần đám mây. Ưu tiên danh tính dịch vụ ngắn hạn được cấp tự động thay cho khóa đám mây nhúng trong mã nguồn. Gắn đặc quyền với tác vụ và môi trường cụ thể, đồng thời giới hạn đối tượng sử dụng và thời hạn.

6. Chuỗi cung ứng phần mềm, SBOM, nguồn gốc và công bố lỗ hổng

  1. SLSA 1.2: Supply-chain Levels for Software Artifacts. Đặc tả được phê duyệt hiện tại có các nhánh về nguồn và quá trình biên dịch, cùng cấp độ, thông tin nguồn gốc và cơ chế kiểm chứng. Mục tiêu là tăng độ tin cậy rằng sản phẩm phần mềm đến từ nguồn được bảo vệ và quy trình biên dịch phù hợp. Xem SLSA 1.2.

  2. Chứng thực in-toto. Khung tạo các tuyên bố có thể kiểm chứng bằng mật mã về từng bước trong chuỗi cung ứng phần mềm. Đây là nền tảng của nhiều cơ chế chứng minh nguồn gốc.

  3. The Update Framework (TUF). Bảo vệ quá trình cập nhật phần mềm trước nguy cơ lộ khóa, quay lui phiên bản, đóng băng cập nhật, trộn thành phần không tương thích và tấn công kho lưu trữ bằng cách tách vai trò cùng ngưỡng tin cậy.

  4. SPDX 3.0. Phiên bản hiện tại của tiêu chuẩn mở quốc tế để trao đổi thông tin về phần mềm và bảng kê thành phần. SPDX cũng là ISO/IEC 5962:2021. Xem đặc tả SPDX.

  5. CycloneDX 1.7. Tiêu chuẩn BOM hiện tại của OWASP và Ecma hỗ trợ thành phần, dịch vụ, phần phụ thuộc, lỗ hổng, quy trình tạo sản phẩm, tài sản mật mã, mô hình học máy, chú thích và tuyên bố. Xem tổng quan CycloneDX.

  6. SBOM: Software Bill of Materials. SBOM là bản kê thành phần, không phải báo cáo lỗ hổng hay bằng chứng rằng phần mềm an toàn. Nên tạo SBOM trong lúc biên dịch, ký, phân phối theo quyền truy cập phù hợp và kết nối với quy trình quản lý tài sản cùng lỗ hổng.

  7. VEX: Vulnerability Exploitability eXchange. Truyền đạt việc một lỗ hổng đã biết có thực sự ảnh hưởng đến sản phẩm trong hoàn cảnh cụ thể hay không. VEX giúp giảm cảnh báo sai nhưng cần trạng thái, lý do, danh tính sản phẩm và quy trình cập nhật có thể kiểm chứng.

  8. Package URL (purl) và CPE. Các cơ chế định danh giúp kết nối thành phần hoặc sản phẩm với thông tin lỗ hổng. Không cơ chế nào nhận diện hoàn hảo mọi sản phẩm, vì vậy cần lưu cả giá trị băm, phiên bản, nhà cung cấp và quan hệ phụ thuộc.

  9. Sigstore. Hệ sinh thái mở để ký và kiểm chứng sản phẩm phần mềm, danh tính cùng nhật ký minh bạch. Sigstore giảm khó khăn trong quản lý khóa nhưng vẫn cần chính sách danh tính và bước kiểm chứng khi triển khai.

  10. OpenSSF Scorecard và Best Practices. Cung cấp tín hiệu tự động và thông lệ về bảo mật nguồn mở. Nên dùng làm dữ liệu đầu vào cho đánh giá rủi ro, không dùng như kết luận đơn giản rằng một gói phần mềm an toàn hay không.

  11. Công bố lỗ hổng có phối hợp và ISO/IEC 29147. Quy định cách tiếp nhận, đánh giá, phối hợp, khắc phục và công bố báo cáo lỗ hổng.

  12. ISO/IEC 30111. Quy định quy trình xử lý lỗ hổng nội bộ. Nên kết hợp với đầu mối bảo mật công khai, chính sách công bố, thời hạn phản hồi, cam kết bảo vệ người báo cáo phù hợp và tệp security.txt theo RFC 9116.

7. Mạng, web, thư điện tử và tiêu chuẩn mật mã

  1. TLS 1.3: RFC 8446. Giao thức hiện đại bảo vệ dữ liệu khi truyền. Cần tắt SSL và TLS cũ, tự động gia hạn chứng thư, dùng cấu hình bộ mã hóa hiện hành và hiểu rõ nơi kết thúc kết nối TLS. Xem RFC 8446.

  2. HTTP Strict Transport Security (HSTS). Yêu cầu trình duyệt chỉ dùng HTTPS trong thời gian xác định. Cần triển khai thận trọng trước khi bật includeSubDomains hoặc đưa tên miền vào danh sách nạp sẵn vì sai sót có thể gây gián đoạn dài.

  3. Content Security Policy (CSP). Giới hạn nguồn nội dung được phép và giảm tác động của việc chèn mã lệnh. Ưu tiên giá trị dùng một lần hoặc giá trị băm cùng chính sách nghiêm ngặt. Bắt đầu ở chế độ chỉ báo cáo, loại bỏ mã lệnh bên thứ ba không cần thiết rồi mới bắt buộc thực thi.

  4. Các tiêu đề cô lập trình duyệt hiện đại. Dùng frame-ancestors trong CSP để chống nhúng trang trái phép, X-Content-Type-Options: nosniff, Referrer-Policy, Permissions-Policy, cùng COOP, COEP và CORP khi cần cô lập giữa các nguồn.

  5. Cookie an toàn. Đặt Secure, HttpOnly và SameSite phù hợp. Giới hạn Path cùng Domain, thay phiên làm việc sau khi xác thực và dùng tiền tố __Host- khi thích hợp.

  6. DNSSEC. Bổ sung khả năng xác thực nguồn và bảo đảm tính toàn vẹn cho dữ liệu DNS nhưng không mã hóa truy vấn. Nên kết hợp với trình phân giải an toàn và phương thức truyền DNS có mã hóa theo mô hình mối đe dọa.

  7. CAA và Certificate Transparency. CAA giới hạn tổ chức chứng thực được phép cấp chứng thư cho tên miền. Nhật ký CT giúp phát hiện chứng thư bất thường.

  8. SPF, DKIM và DMARC. SPF cho phép hạ tầng gửi thư, DKIM ký thư điện tử, còn DMARC đối chiếu tên miền người gửi hiển thị và quy định chính sách cùng chế độ báo cáo. Nên tăng dần đến mức bắt buộc và theo dõi mọi nguồn gửi hợp lệ.

  9. DANE, MTA-STS và báo cáo TLS. Các cơ chế bổ sung để bảo vệ quá trình truyền thư và báo lỗi TLS. Việc áp dụng phụ thuộc DNSSEC, khả năng hỗ trợ của nhà cung cấp và mức trưởng thành vận hành.

  10. HTTP Message Signatures: RFC 9421. Ký các thành phần HTTP đã chọn ở lớp ứng dụng. Cơ chế này có thể bảo vệ tính xác thực và toàn vẹn khi đi qua trung gian nhưng không thay thế TLS. Hệ thống vẫn cần chống phát lại và quản lý khóa.

  11. FIPS 140-3. Tiêu chuẩn thẩm định mô đun mật mã trong phạm vi liên bang Hoa Kỳ và nhiều ngành chịu quản lý. Việc dùng AES không đồng nghĩa với việc đang dùng mô đun đã được thẩm định trong chế độ được phê duyệt.

  12. NIST SP 800-57: Key Management. Hướng dẫn vòng đời, độ mạnh, bảo vệ, luân chuyển, sao lưu, khôi phục, thu hồi và hủy khóa.

  13. Mật mã hậu lượng tử với FIPS 203, 204 và 205. NIST đã chuẩn hóa ML-KEM để thiết lập khóa, cùng ML-DSA và SLH-DSA cho chữ ký vào năm 2024. Tổ chức nên kiểm kê phần phụ thuộc mật mã, xác định dữ liệu tồn tại lâu có nguy cơ bị thu thập hôm nay rồi giải mã trong tương lai, xây lộ trình linh hoạt mật mã và không tự tạo cơ chế lai. Xem chương trình PQC của NIST.

8. Bảo mật dữ liệu và quyền riêng tư

  1. Quyền riêng tư ngay từ thiết kế và theo mặc định. Giảm thiểu dữ liệu, giới hạn mục đích, thiết lập mặc định bảo vệ, phân tách nhiệm vụ, thời hạn lưu giữ và xóa dữ liệu phải nằm trong hệ thống, không chỉ xuất hiện trong thông báo quyền riêng tư ở bước cuối.

  2. NIST Privacy Framework 1.0. Khung tự nguyện để xác định và quản lý rủi ro quyền riêng tư. NIST đang phát triển bản cập nhật, vì vậy cần phân biệt rõ phiên bản 1.0 đã công bố với bản dự thảo.

  3. ISO/IEC 27701. Mở rộng ISO 27001 và ISO 27002 bằng các biện pháp quản lý thông tin quyền riêng tư cho bên kiểm soát và bên xử lý PII. Cần xác minh phiên bản cùng cơ chế chứng nhận áp dụng với tổ chức đánh giá.

  4. ISO/IEC 27040. Hướng dẫn bảo mật lưu trữ từ thiết kế, triển khai, vận hành đến khi kết thúc vòng đời.

  5. Phân loại dữ liệu và kiểm soát vòng đời. Kiểm kê dữ liệu, phân loại theo độ nhạy cảm và mức quan trọng, sau đó định nghĩa cách thu thập, truy cập, chia sẻ, lưu giữ, lưu trữ lâu dài và xóa. Nhãn phân loại cần được truyền sang nhật ký, bản sao lưu, hệ thống phân tích và AI.

  6. Mã hóa thay thế, che dữ liệu và công nghệ tăng cường quyền riêng tư. Mã hóa thay thế làm giảm mức lộ của giá trị nhạy cảm, còn che dữ liệu giới hạn phần được hiển thị. Có thể dùng quyền riêng tư vi sai hoặc điện toán bí mật khi trường hợp sử dụng và mô hình mối đe dọa phù hợp.

  7. GDPR. Quy định bảo vệ dữ liệu của Liên minh châu Âu áp dụng theo hoàn cảnh xử lý và phạm vi lãnh thổ, không chỉ theo vị trí công ty. Nội dung bao gồm cơ sở xử lý hợp pháp, minh bạch, quyền của chủ thể dữ liệu, bên xử lý, bảo mật, thông báo vi phạm, chuyển dữ liệu và trách nhiệm giải trình.

  8. California CCPA được sửa đổi bởi CPRA. Quy định quyền của người tiêu dùng và nghĩa vụ của doanh nghiệp thuộc phạm vi điều chỉnh, gồm truy cập, xóa, sửa, từ chối việc bán hoặc chia sẻ, giới hạn dữ liệu nhạy cảm và hợp đồng với nhà cung cấp.

  9. Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 của Việt Nam. Có hiệu lực ngày 1/1/2026. Nghị định 356/2025/NĐ-CP thay Nghị định 13/2023. Doanh nghiệp cần rà soát hồ sơ đánh giá tác động xử lý, chuyển dữ liệu xuyên biên giới, dữ liệu nhạy cảm, nhân sự phụ trách, sự đồng ý hoặc căn cứ xử lý khác, sự cố, hợp đồng và quyền của chủ thể dữ liệu. Xem thông tin chính thức của Chính phủ.

9. Lỗ hổng, hành vi đối thủ, phát hiện và ứng phó sự cố

  1. CVE. Mã định danh chung cho lỗ hổng đã công bố. Một bản ghi CVE không phải quyết định về rủi ro, bản vá hay bằng chứng rằng hệ thống triển khai cụ thể của bạn có thể bị khai thác.

  2. CVSS 4.0. Tiêu chuẩn hiện tại của FIRST để truyền đạt đặc điểm kỹ thuật và mức nghiêm trọng. Dùng các nhóm chỉ số Base, Threat, Environmental và Supplemental phù hợp. Không nên sắp xếp toàn bộ hàng đợi bản vá chỉ theo điểm Base. Xem CVSS 4.0.

  3. EPSS. Ước lượng xác suất một CVE đã công bố sẽ bị khai thác trong thực tế trong 30 ngày tiếp theo. Cần kết hợp với mức lộ của tài sản, tác động kinh doanh, biện pháp bù đắp và bằng chứng khai thác đã biết.

  4. CISA Known Exploited Vulnerabilities (KEV) Catalog. Danh mục lỗ hổng có bằng chứng đang bị khai thác, là dữ liệu ưu tiên rất giá trị kể cả với tổ chức ngoài phạm vi liên bang Hoa Kỳ.

  5. MITRE ATT&CK. Cơ sở tri thức về chiến thuật và kỹ thuật của đối thủ cho Enterprise, Mobile và ICS. Có thể dùng để mô hình hóa mối đe dọa, thiết kế phát hiện, diễn tập và tìm khoảng trống bao phủ. ATT&CK v19.1 là phiên bản hiện tại vào tháng 8/2026. Mọi ánh xạ cần được duy trì như nội dung luôn thay đổi.

  6. MITRE D3FEND. Đồ thị tri thức về kỹ thuật phòng thủ, giúp kết nối hành vi đối thủ với biện pháp đối phó tiềm năng.

  7. Cyber Kill Chain. Mô hình vòng đời xâm nhập cấp cao hữu ích cho giao tiếp, dù ATT&CK thường chi tiết hơn. Không phải cuộc tấn công hiện đại nào cũng đi theo chuỗi tuyến tính.

  8. Kỹ thuật phát hiện với Sigma, YARA và STIX/TAXII. Sigma mô tả quy tắc phát hiện trên nhật ký có thể chuyển đổi giữa nền tảng, YARA đối chiếu mẫu trong tệp hoặc bộ nhớ, còn STIX/TAXII cấu trúc và truyền tin tình báo mối đe dọa. Chất lượng phụ thuộc dữ liệu quan sát, hiệu chỉnh, ngữ cảnh và người chịu trách nhiệm.

  9. NIST SP 800-61 Rev. 3. Hướng dẫn ứng phó sự cố hiện tại, hoàn tất năm 2025 và phù hợp với cả sáu chức năng của CSF 2.0. Bản sửa đổi 3 thay bản sửa đổi 2 và xem ứng phó sự cố là một phần của quản lý rủi ro trên toàn tổ chức. Xem NIST SP 800-61r3.

  10. NIST SP 800-92: Log Management. Hướng dẫn hạ tầng và quy trình quản lý nhật ký. Cách triển khai hiện đại cần bổ sung dữ liệu quan sát từ đám mây, danh tính, ứng dụng, API, SaaS, thiết bị đầu cuối và hệ thống biên dịch.

  11. Mức trưởng thành của vận hành an ninh. SIEM tập trung và tương quan sự kiện. SOAR tự động hóa quy trình. EDR và XDR phát hiện trên thiết bị đầu cuối cùng nhiều miền. UEBA mô hình hóa hành vi. Công cụ chỉ hữu ích khi tổ chức xác định dữ liệu quan sát, người sở hữu quy tắc phát hiện, cách phân loại, thẩm quyền ngăn chặn và chế độ kiểm thử.

10. Khả năng chống chịu, liên tục, khôi phục và rủi ro bên thứ ba

  1. ISO 22301. Tiêu chuẩn hệ thống quản lý có thể chứng nhận cho hoạt động liên tục của doanh nghiệp, kết nối phân tích tác động kinh doanh, chiến lược duy trì, diễn tập và cải tiến liên tục.

  2. NIST SP 800-34. Hướng dẫn lập kế hoạch dự phòng cho hệ thống thông tin, gồm phân tích tác động kinh doanh, chiến lược khôi phục, xây dựng kế hoạch, kiểm thử, đào tạo và bảo trì.

  3. Sao lưu theo nguyên tắc 3 2 1, kết hợp tính bất biến và kiểm thử khôi phục. Giữ nhiều bản sao trên các loại phương tiện khác nhau và một bản ở địa điểm khác. Để chống mã độc tống tiền, cần thêm bản sao cô lập hoặc bất biến, thông tin xác thực tách biệt, giám sát công việc sao lưu, mục tiêu khôi phục và diễn tập khôi phục định kỳ.

  4. Khả năng chống chịu vận hành và kỹ thuật hỗn loạn. Kiểm thử hệ thống khi phần phụ thuộc, khu vực, thông tin xác thực, hàng đợi hoặc mặt phẳng điều khiển gặp lỗi. An ninh mạng bao gồm tính sẵn sàng và khả năng khôi phục an toàn, không chỉ tính bí mật.

  5. Quản lý rủi ro bên thứ ba. Phân tầng nhà cung cấp theo mức quan trọng và quyền truy cập dữ liệu. Thực hiện thẩm định, quy định điều khoản bảo mật cùng sự cố, theo dõi thay đổi, lập kế hoạch chấm dứt và xóa dữ liệu, đồng thời đánh giá rủi ro tập trung cùng rủi ro từ nhà cung cấp cấp dưới.

11. Yêu cầu ngành và quy định an ninh mạng

  1. PCI DSS 4.0.1. Tiêu chuẩn thẻ thanh toán hiện hành cho tổ chức lưu trữ, xử lý, truyền hoặc có thể ảnh hưởng đến môi trường dữ liệu chủ thẻ. Phiên bản 4.0.1 là bản sửa đổi có giới hạn. Thu hẹp phạm vi và dùng nhà cung cấp thanh toán đáng tin cậy có thể giảm đáng kể rủi ro. Xem PCI SSC.

  2. HIPAA Security Rule. Quy định biện pháp bảo vệ của Hoa Kỳ cho thông tin sức khỏe được bảo vệ ở dạng điện tử, cùng yêu cầu về quyền riêng tư và thông báo vi phạm. Cần theo dõi quá trình ban hành quy tắc cùng hướng dẫn ngành hiện tại, không phụ thuộc danh sách kiểm tra đã cũ nhiều năm.

  3. HITRUST CSF. Khung bảo đảm có thể chứng nhận, hài hòa yêu cầu chăm sóc sức khỏe với nhiều yêu cầu khác. Đây không phải quy định của chính phủ và không thay thế việc xác định luật áp dụng.

  4. FedRAMP. Chuẩn hóa cách đánh giá, cấp phép và giám sát liên tục cho dịch vụ đám mây của liên bang Hoa Kỳ. Yêu cầu cụ thể phụ thuộc con đường cấp phép và mức tác động.

  5. CMMC 2.0 và NIST SP 800-171 Rev. 3. Liên quan các nhà thầu trong cơ sở công nghiệp quốc phòng Hoa Kỳ xử lý FCI hoặc CUI. Điều khoản hợp đồng và quy tắc đánh giá chính thức quyết định nghĩa vụ cụ thể.

  6. NIS2. Chỉ thị của Liên minh châu Âu tăng yêu cầu về quản lý rủi ro an ninh mạng, quản trị, chuỗi cung ứng, báo cáo sự cố và giám sát đối với tổ chức thiết yếu hoặc quan trọng. Phạm vi áp dụng phụ thuộc ngành, quy mô, nơi thành lập và cách mỗi quốc gia chuyển hóa chỉ thị thành luật.

  7. DORA. Đạo luật Khả năng chống chịu vận hành số của Liên minh châu Âu đặt ra yêu cầu theo ngành cho tổ chức tài chính, gồm rủi ro bên thứ ba về công nghệ thông tin và truyền thông, sự cố, báo cáo, kiểm thử khả năng chống chịu và giám sát.

  8. EU Cyber Resilience Act (CRA). Tạo nghĩa vụ an ninh mạng trong suốt vòng đời cho sản phẩm có thành phần số. Phần lớn quy định áp dụng từ ngày 11/12/2027. Nghĩa vụ báo cáo lỗ hổng đang bị khai thác và sự cố nghiêm trọng áp dụng từ ngày 11/9/2026. Nhóm sản phẩm cần chuẩn bị quy trình xử lý lỗ hổng, cập nhật an toàn, tài liệu kỹ thuật, đánh giá phù hợp và thời hạn hỗ trợ. Xem EUR-Lex CRA.

  9. EU AI Act. Quy định dựa trên rủi ro cho hệ thống AI, với nghĩa vụ phụ thuộc vai trò và nhóm rủi ro. Nhóm an ninh cần kết nối quản trị AI, quản trị dữ liệu, đánh giá mô hình, ghi nhật ký, giám sát của con người, quản lý sự cố và tài liệu chuỗi cung ứng.

  10. Luật An ninh mạng 116/2025/QH15 của Việt Nam. Có hiệu lực ngày 1/7/2026, hợp nhất và cập nhật Luật An ninh mạng cùng Luật An toàn thông tin mạng trước đây. Tổ chức hoạt động tại Việt Nam nên cùng chuyên gia pháp lý đánh giá nghĩa vụ về hệ thống, dịch vụ, dữ liệu, sự cố, nội dung bị cấm, phối hợp với cơ quan chức năng và yêu cầu riêng của ngành. Xem văn bản chính thức.

  11. Luật Trí tuệ nhân tạo 134/2025/QH15 của Việt Nam. Có hiệu lực ngày 1/3/2026. Nghị định 142/2026/NĐ-CP hướng dẫn có hiệu lực ngày 1/5/2026. Luật lấy con người làm trung tâm và quản lý theo rủi ro, bao gồm an toàn, an ninh mạng, minh bạch, trách nhiệm giải trình, rủi ro vòng đời, bảo vệ dữ liệu, cách sử dụng bị cấm và nghĩa vụ của tổ chức phát triển, cung cấp, triển khai hoặc sử dụng AI tại Việt Nam. Xem văn bản chính thức.

  12. Khung nghĩa vụ hợp đồng. Phụ lục bảo mật, thỏa thuận xử lý dữ liệu, điều kiện bảo hiểm an ninh mạng, điều khoản nền tảng và hợp đồng ngành có thể tạo nghĩa vụ vượt quá luật. Cần duy trì sổ đăng ký yêu cầu và xử lý xung đột trước khi ký.

12. AI, hệ thống tác tử và tiêu chuẩn mới nổi

  1. NIST AI Risk Management Framework 1.0. Khung tự nguyện gồm bốn chức năng Govern, Map, Measure và Manage. NIST đang sửa đổi khung, vì vậy phiên bản 1.0 vẫn là cơ sở đã công bố, còn tài liệu dự thảo phải được ghi rõ là dự thảo. Xem NIST AI RMF.

  2. NIST AI 600-1: Generative AI Profile. Mở rộng AI RMF bằng các rủi ro và hành động riêng cho AI tạo sinh về quản trị, nguồn gốc nội dung, quyền riêng tư, bảo mật, đánh giá và sự cố.

  3. ISO/IEC 42001:2023. Tiêu chuẩn hệ thống quản lý AI có thể chứng nhận, bao quát chính sách, vai trò, tác động, rủi ro, vòng đời, nhà cung cấp, giám sát và cải tiến. Đây không phải tiêu chuẩn kiểm thử xâm nhập mô hình.

  4. ISO/IEC 23894. Hướng dẫn quản lý rủi ro AI, dùng cùng ISO 42001 và quy trình quản lý rủi ro của tổ chức.

  5. OWASP Top 10 for LLM Applications. Danh sách nâng cao nhận thức về chèn chỉ dẫn, lộ thông tin nhạy cảm, điểm yếu chuỗi cung ứng, đầu độc dữ liệu hoặc mô hình, xử lý đầu ra không đúng, trao quyền quá mức, lộ chỉ dẫn hệ thống, điểm yếu véc tơ hoặc dữ liệu nhúng, thông tin sai và tiêu thụ tài nguyên không giới hạn. Khi ánh xạ biện pháp kiểm soát, cần ghi đúng phiên bản.

  6. OWASP Top 10 for Agentic Applications. Phát hành cuối năm 2025 cho hệ thống có thể lập kế hoạch và thực hiện hành động qua công cụ. Tài liệu này bổ sung, không thay thế biện pháp kiểm soát ứng dụng, danh tính, API, chuỗi cung ứng và Zero Trust.

  7. MITRE ATLAS. Cơ sở tri thức về chiến thuật và kỹ thuật tấn công hệ thống có AI, dùng cho mô hình hóa mối đe dọa AI, diễn tập tấn công và lập kế hoạch phát hiện.

  8. Diễn tập tấn công AI và TEVV. Kiểm thử, đánh giá, kiểm chứng và xác nhận cần bao quát ranh giới bảo mật, chèn chỉ dẫn, cấp quyền công cụ, rò rỉ dữ liệu, đầu ra không an toàn, đầu độc mô hình hoặc hệ thống truy xuất, tính sẵn sàng, giám sát và cơ chế chuyển cho con người xử lý.

  9. Danh tính tác tử và quyền hành tối thiểu. Mỗi tác tử AI cần danh tính riêng có thể quy trách nhiệm, quyền công cụ tối thiểu, thông tin xác thực ngắn hạn với phạm vi hẹp, ranh giới phê duyệt rõ ràng, kiểm tra đầu ra, nhật ký hành động, giới hạn chi phí cùng tần suất và cơ chế dừng khẩn cấp đáng tin cậy. Không dùng văn bản do mô hình tạo ra làm quyết định cấp quyền.

  10. Nguồn gốc nội dung với C2PA. Đặc tả kỹ thuật mở cho thông tin xác thực nội dung và lịch sử chỉnh sửa được ký bằng mật mã. C2PA có thể hỗ trợ xác minh nguồn gốc nhưng không chứng minh nội dung là sự thật.

  11. Khả năng thay đổi mật mã. Kiểm kê thuật toán, khóa, chứng thư, giao thức, thư viện, phần cứng và phần phụ thuộc từ đối tác để có thể thay mật mã mà không thiết kế lại toàn bộ hệ thống. Đây là cầu nối giữa biện pháp kiểm soát hiện tại và quá trình chuyển sang mật mã hậu lượng tử.

Các tiêu chuẩn kết nối với nhau như thế nào?

Một chương trình an ninh trưởng thành thường cần ít nhất một thành phần từ mỗi lớp:

  • Quản trị doanh nghiệp: NIST CSF 2.0, ISO 27001, CIS Controls, COBIT hoặc sự kết hợp phù hợp.
  • Biện pháp kiểm soát chi tiết: NIST SP 800-53, CIS Safeguards, ISO 27002, CSA CCM và yêu cầu riêng của ngành.
  • Kiến trúc: NIST Zero Trust, CISA ZTMM, mô hình trách nhiệm chung trên đám mây, kiến trúc danh tính và dữ liệu.
  • Vòng đời kỹ thuật: NIST SSDF, OWASP SAMM, ASVS, mô hình hóa mối đe dọa, SLSA, SBOM và phát hành an toàn.
  • Giao thức kỹ thuật: TLS, WebAuthn, OAuth/OIDC, SCIM, DNSSEC, xác thực thư điện tử, danh tính tác vụ và sản phẩm phần mềm có chữ ký.
  • Vận hành: quản lý tài sản cùng lỗ hổng, phát hiện theo ATT&CK, ghi nhật ký, ứng phó sự cố, sao lưu và diễn tập.
  • Bảo đảm: kiểm thử, bằng chứng, đánh giá độc lập, SOC 2, chứng nhận ISO, thẩm định PCI hoặc cấp phép theo ngành.
  • Luật và hợp đồng: nghĩa vụ về quyền riêng tư, an ninh mạng, khả năng chống chịu, sản phẩm, ngành, khách hàng và lao động.

Đừng tạo một biện pháp kiểm soát tách biệt cho từng câu trong từng khung. Hãy xây một bộ biện pháp kiểm soát chung có người phụ trách, hệ thống áp dụng, mô tả triển khai, cách kiểm thử, bằng chứng, ngoại lệ và ngày rà soát. Sau đó ánh xạ từng yêu cầu vào biện pháp chung. Một quy trình rà soát quyền truy cập tốt có thể đồng thời hỗ trợ ISO 27001, SOC 2, NIST, PCI DSS, bảng câu hỏi khách hàng và chính sách nội bộ mà không cần sáu thủ tục trùng nhau.

Roadmap thực tế trong 12 tháng

Tháng 1 đến 3: biết mình đang có gì

  • Chỉ định người phụ trách an ninh và trách nhiệm giải trình của lãnh đạo.
  • Kiểm kê hệ thống, tên miền, tài khoản đám mây, danh tính, dữ liệu, nhà cung cấp, phần mềm và quy trình kinh doanh quan trọng.
  • Xác định tài sản trọng yếu và ranh giới tin cậy.
  • Tạo Hồ sơ Hiện tại theo NIST CSF 2.0 hoặc đánh giá khoảng cách theo CIS IG1.
  • Khắc phục dịch vụ bị lộ, thông tin xác thực mặc định, phần mềm hết hỗ trợ, tài khoản thiếu MFA và bản sao lưu chưa kiểm thử.
  • Tạo sổ đăng ký yêu cầu pháp lý và hợp đồng.

Tháng 4 đến 6: kiểm soát truy cập và thay đổi phần mềm

  • Triển khai MFA chống lừa đảo hoặc passkey cho quản trị viên và người dùng có rủi ro cao.
  • Tập trung hóa vòng đời danh tính và xóa tài khoản không còn sử dụng.
  • Kiểm tra trạng thái thiết bị, áp dụng đặc quyền tối thiểu, quyền quản trị đúng lúc và truy cập đến từng tài nguyên.
  • Áp dụng ASVS và mô hình hóa mối đe dọa cho ứng dụng quan trọng.
  • Bảo vệ hệ thống quản lý mã nguồn cùng CI/CD, quét bí mật và phần phụ thuộc, sau đó tạo SBOM có chữ ký.

Tháng 7 đến 9: tăng khả năng quan sát và ứng phó

  • Tập trung hóa các nhật ký có giá trị cao về danh tính, đám mây, ứng dụng, thiết bị đầu cuối và thay đổi.
  • Ánh xạ mối đe dọa ưu tiên với ATT&CK và kiểm thử quy tắc phát hiện.
  • Dùng KEV, EPSS, CVSS, mức lộ và tầm quan trọng của tài sản để ưu tiên khắc phục.
  • Viết và diễn tập quy trình cho sự cố, mã độc tống tiền, vi phạm dữ liệu và lỗi nhà cung cấp.
  • Đo thời gian và lượng dữ liệu khôi phục theo RTO cùng RPO.

Tháng 10 đến 12: chứng minh và cải tiến

  • Kiểm thử thiết kế cùng hiệu quả vận hành của biện pháp kiểm soát bằng bằng chứng.
  • Thực hiện kiểm thử xâm nhập có phạm vi rõ và diễn tập khôi phục.
  • Đóng ngoại lệ rủi ro cao hoặc phê duyệt chấp nhận rủi ro có thời hạn.
  • Rà soát bằng chứng của nhà cung cấp và kế hoạch chấm dứt quan hệ.
  • Chỉ chọn chứng nhận hoặc chứng thực khi khách hàng, cơ quan quản lý hoặc chiến lược kinh doanh thực sự cần.
  • Xây Hồ sơ Mục tiêu cho năm sau từ khoảng cách và bài học đã đo lường.

An ninh mạng tốt trông như thế nào?

An ninh mạng tốt không có nghĩa là tổ chức sở hữu thư viện chính sách dài nhất. Đó là khả năng biết tài nguyên nào quan trọng, kiểm chứng mọi quyền truy cập, phát hành thay đổi có kiểm soát, nhận ra bất thường có ý nghĩa, giới hạn phạm vi ảnh hưởng, giao tiếp rõ ràng và khôi phục đúng kỳ vọng kinh doanh.

Hãy dùng tiêu chuẩn để tạo ra những năng lực đó, không phải để trang trí bảng câu hỏi.

Nếu doanh nghiệp cần biến bản đồ này thành lộ trình thực tế cho trang web, thương mại điện tử, tác vụ đám mây hoặc quy trình phát triển, hãy liên hệ ViWeb. ViWeb có thể giúp xác định bộ biện pháp kiểm soát nhỏ nhất nhưng giảm đáng kể rủi ro và có thể duy trì lâu dài.

Câu hỏi thường gặp

Zero Trust là sản phẩm hay chứng nhận?

Không phải cả hai. Zero Trust là kiến trúc và mô hình vận hành. NIST SP 800-207 định nghĩa các nguyên tắc; mô hình trưởng thành của CISA và NIST SP 1800-35 hỗ trợ lập kế hoạch và triển khai.

Doanh nghiệp nhỏ nên bắt đầu với khung an ninh mạng nào?

Hãy bắt đầu với Nhóm triển khai 1 của CIS Controls v8.1 hoặc một hồ sơ NIST CSF 2.0 gọn. Sau đó áp dụng OWASP ASVS cho ứng dụng web, kiểm thử bản sao lưu và kế hoạch ứng phó sự cố, bật MFA chống lừa đảo, đồng thời xác định các yêu cầu pháp lý áp dụng cho dữ liệu và thị trường của bạn.

ISO 27001 có đảm bảo doanh nghiệp an toàn không?

Không chứng nhận nào bảo đảm an toàn tuyệt đối. ISO/IEC 27001 cho thấy tổ chức vận hành hệ thống quản lý an toàn thông tin theo rủi ro trong một phạm vi xác định. Chất lượng biện pháp kiểm soát, cách triển khai kỹ thuật và việc cải tiến liên tục vẫn quyết định hiệu quả.

OWASP Top 10 có phải tiêu chuẩn bảo mật ứng dụng đầy đủ không?

Không. Đây là tài liệu nâng cao nhận thức và giúp ưu tiên rủi ro. OWASP khuyến nghị dùng ASVS cho các yêu cầu có thể kiểm chứng và SAMM để cải thiện chương trình bảo mật phần mềm.

Bao lâu nên cập nhật bản đồ tiêu chuẩn này?

Ít nhất mỗi năm một lần và mỗi khi kiến trúc, thị trường, loại dữ liệu hoặc nghĩa vụ pháp lý thay đổi. Giao thức, danh mục mối đe dọa, pháp luật và hướng dẫn triển khai thay đổi với tốc độ khác nhau.