Nguyên lý bảo mật & Quản trị rủi ro

1. Lý thuyết cốt lõi / Core theory

1.1. CIA Triad — Bộ ba nguyên lý bảo mật (Confidentiality / Integrity / Availability)

CIA Triad là mô hình nền tảng của bảo mật thông tin, bao gồm ba thuộc tính cốt lõi mà mọi hệ thống và chính sách bảo mật phải đảm bảo:

Ba thuộc tính này đôi khi mâu thuẫn nhau — tăng Availability (nhiều điểm truy cập) có thể giảm Confidentiality. Nhiệm vụ của security professional là cân bằng ba yếu tố theo yêu cầu kinh doanh.

1.2. Non-repudiation — Trụ cột thứ tư của bảo mật (Non-repudiation: The 4th Security Pillar)

Trong khi CIA Triad là nền tảng được mọi người biết đến, sách thi ISC2 CC và CISSP nhấn mạnh Non-repudiation (Không thể phủ nhận) như một trụ cột bảo mật riêng biệt — không phải là một phần của CIA mà bổ sung cho nó. Non-repudiation đảm bảo rằng người thực hiện một hành động không thể phủ nhận đã thực hiện hành động đó.

Ví dụ thực tế: một kế toán chuyển $500,000 qua hệ thống ngân hàng và sau đó phủ nhận đã thực hiện. Nếu hệ thống có PKI signature trên giao dịch kết hợp audit log với timestamp và IP + MFA event — không thể phủ nhận. Ngược lại, nếu dùng username/password thông thường mà không có signature, kẻ tấn công có thể steal credentials và thực hiện giao dịch rồi đổ lỗi cho người khác.

1.3. AAA Framework (Authentication / Authorization / Accounting)

AAA là khung kiểm soát truy cập ba tầng được áp dụng rộng rãi trong mọi hệ thống IT:

• Authentication (Xác thực): Ai bạn là? — xác minh danh tính qua username/password, certificate, biometric, MFA. Ví dụ: đăng nhập Azure AD với MFA.
• Authorization (Ủy quyền): Bạn được phép làm gì? — sau khi xác thực, hệ thống kiểm tra quyền hạn. Ví dụ: user thuộc nhóm "Finance" được đọc file báo cáo, không được xóa.
• Accounting (Kiểm toán/Ghi log): Bạn đã làm gì? — ghi lại mọi hành động để phục vụ audit, forensics, compliance. Ví dụ: Windows Security Event Log ghi ID 4624 (logon) và 4625 (failed logon).

1.4. Privacy & Bảo vệ dữ liệu cá nhân (Privacy / PII / PHI / GDPR overview)

PII (Personally Identifiable Information) là bất kỳ thông tin nào có thể xác định một cá nhân: họ tên, CMND/CCCD, địa chỉ email, số điện thoại, IP address. PHI (Protected Health Information) là PII trong lĩnh vực y tế, được bảo vệ thêm bởi HIPAA (Mỹ). Tại Việt Nam, Nghị định 13/2023/NĐ-CP quy định bảo vệ dữ liệu cá nhân.

1.5. Quản trị bảo mật (Security Governance — Policies / Standards / Procedures / Guidelines)

Khung quản trị bảo mật gồm bốn cấp tài liệu, từ trừu tượng đến cụ thể:

• Policy (Chính sách): Tuyên bố cấp cao về ý định quản lý — "Mọi dữ liệu nhạy cảm phải được mã hóa." Bắt buộc, phê duyệt bởi Ban giám đốc.
• Standard (Tiêu chuẩn): Quy định cụ thể hơn — "Mã hóa phải dùng AES-256, TLS 1.2+." Bắt buộc, áp dụng toàn tổ chức.
• Procedure (Thủ tục): Hướng dẫn từng bước thực hiện — "Cách bật BitLocker trên laptop Windows 11." Bắt buộc, chi tiết thao tác.
• Guideline (Hướng dẫn): Khuyến nghị tốt nhất, không bắt buộc — "Nên dùng password manager để quản lý mật khẩu."

1.6. Vòng đời quản lý rủi ro (Risk Management Lifecycle)

Rủi ro (Risk) = Threat × Vulnerability × Impact. Công thức đơn giản hóa: Risk = Likelihood × Impact. Vòng đời gồm 4 bước:

• Identify (Nhận diện): Liệt kê tài sản (assets), mối đe dọa (threats) và lỗ hổng (vulnerabilities). Ví dụ: máy chủ web → threat: DDoS, SQLi; vulnerability: phiên bản Apache cũ.
• Assess (Đánh giá): Tính toán mức độ rủi ro bằng phân tích định lượng (SLE × ARO = ALE) hoặc định tính (ma trận Low/Medium/High/Critical).
• Treat (Xử lý): Chọn phương án phù hợp (xem bên dưới).
• Monitor (Giám sát): Liên tục theo dõi, tái đánh giá khi môi trường thay đổi.

1.7. Phân loại biện pháp kiểm soát & Due Care vs Due Diligence (Control Types / Due Care / Due Diligence)

Biện pháp kiểm soát (controls) phân loại theo loại hình và chức năng:

2. Bài thực hành / Hands-on lab

Lab 1 — Windows Security Policy Audit (PowerShell)

OS: Windows 11 · Tool: PowerShell 7 (chạy với quyền Administrator).

Mục tiêu: kiểm tra trạng thái tài khoản người dùng và phân tích Security Event Log để phát hiện đăng nhập thành công/thất bại — áp dụng Accounting trong AAA.

1. Mở PowerShell 7 với quyền Administrator.
2. Kiểm tra danh sách tài khoản người dùng cục bộ:

# Liệt kê tài khoản local, trạng thái, yêu cầu mật khẩu và lần đăng nhập cuối
Get-LocalUser | Select-Object Name, Enabled, PasswordRequired, LastLogon | Format-Table -AutoSize

# Kiểm tra tài khoản Administrator mặc định
Get-LocalUser -Name "Administrator" | Select-Object *

# Xem chính sách mật khẩu hiện tại
net accounts

3. Phân tích Security Event Log tìm sự kiện đăng nhập:

# Lấy 50 sự kiện Security log gần nhất, lọc ID 4624 (logon thành công) và 4625 (logon thất bại)
Get-WinEvent -LogName Security -MaxEvents 50 |
    Where-Object { $_.Id -in 4624, 4625 } |
    Select-Object TimeCreated, Id, @{N='Status';E={if($_.Id -eq 4624){'SUCCESS'}else{'FAILED'}}}, Message |
    Format-Table -AutoSize

# Đếm số lần đăng nhập thất bại trong 24h qua (dấu hiệu brute force)
$since = (Get-Date).AddHours(-24)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=$since} -ErrorAction SilentlyContinue |
    Measure-Object | Select-Object Count

Lab 2 — Xây dựng Risk Register bằng PowerShell

OS: Windows 11 · Tool: PowerShell 7.

Mục tiêu: tạo risk register dạng CSV — công cụ thiết yếu trong quy trình quản lý rủi ro của tổ chức.

# Định nghĩa danh sách rủi ro
$risks = @(
    [PSCustomObject]@{
        AssetID      = 'SRV-WEB-01'
        Asset        = 'Web Server Apache'
        Threat       = 'SQL Injection'
        Vulnerability= 'Input validation missing'
        Likelihood   = 'High'
        Impact       = 'High'
        RiskLevel    = 'Critical'
        Treatment    = 'Mitigate'
        Control      = 'Deploy WAF, parameterized queries'
        Owner        = 'DevOps Team'
    },
    [PSCustomObject]@{
        AssetID      = 'SRV-FILE-01'
        Asset        = 'File Server'
        Threat       = 'Ransomware'
        Vulnerability= 'No offline backup'
        Likelihood   = 'Medium'
        Impact       = 'Critical'
        RiskLevel    = 'High'
        Treatment    = 'Mitigate'
        Control      = 'Implement 3-2-1 backup, test restore'
        Owner        = 'IT Ops'
    },
    [PSCustomObject]@{
        AssetID      = 'NET-WIFI-01'
        Asset        = 'Guest WiFi'
        Threat       = 'Rogue AP / Evil Twin'
        Vulnerability= 'No WIPS monitoring'
        Likelihood   = 'Low'
        Impact       = 'Medium'
        RiskLevel    = 'Low'
        Treatment    = 'Accept'
        Control      = 'Segment guest VLAN, review quarterly'
        Owner        = 'Network Team'
    }
)

# Xuất risk register ra file CSV
$outputPath = "$env:USERPROFILE\Desktop\risk-register.csv"
$risks | Export-Csv -Path $outputPath -NoTypeInformation -Encoding UTF8
Write-Host "Risk register saved to: $outputPath" -ForegroundColor Green

# Xem lại kết quả dạng bảng
Import-Csv -Path $outputPath | Format-Table AssetID, Asset, Threat, RiskLevel, Treatment -AutoSize

# Thống kê theo mức rủi ro
Write-Host "`n=== Risk Summary ===" -ForegroundColor Cyan
Import-Csv -Path $outputPath | Group-Object RiskLevel | Select-Object Name, Count | Sort-Object Count -Descending

3. Tình huống doanh nghiệp / Real-world scenario

4. Tự kiểm tra / Knowledge check

1. Một cuộc tấn công ransomware mã hóa toàn bộ dữ liệu file server và yêu cầu tiền chuộc — vi phạm thuộc tính CIA nào? Giải thích tại sao có thể vi phạm nhiều hơn một thuộc tính.
2. Phân biệt Authentication và Authorization bằng một ví dụ thực tế trong môi trường corporate.
3. Tổ chức mua cyber insurance để chuyển rủi ro tài chính khi bị tấn công — đây là phương án risk treatment nào? Có cần kết hợp với phương án khác không?
4. Một security admin cài antivirus trên tất cả máy tính (due care) nhưng không bao giờ cập nhật virus definition — vi phạm nguyên tắc gì?
5. Vẽ ma trận 3×3 Likelihood × Impact. Rủi ro nào cần xử lý ngay lập tức? Rủi ro nào có thể accept?