Quản lý bảo mật & Rủi ro

1. Lý thuyết cốt lõi / Core theory

1.1. Quản trị bảo mật cấp chiến lược (Security governance)

Quản trị bảo mật (security governance) là tập hợp các trách nhiệm và thực hành do hội đồng quản trị (Board of Directors) và ban lãnh đạo điều hành thực hiện, nhằm đảm bảo bảo mật được tích hợp vào chiến lược kinh doanh. Ba thành phần cốt lõi: Chiến lược (định hướng dài hạn), Chính sách (quy tắc thực hiện), và Kiểm soát (đo lường tuân thủ).

1.2. Khung pháp lý & Tuân thủ toàn cầu (Legal & regulatory landscape)

Các tổ chức hoạt động trong môi trường pháp lý phức tạp với nhiều quy định chồng lấn:

• GDPR (EU General Data Protection Regulation): Bảo vệ dữ liệu cá nhân công dân EU. Yêu cầu: lawful basis for processing, data minimization, right to erasure, 72-hour breach notification. Phạt tối đa €20M hoặc 4% doanh thu toàn cầu.
• HIPAA (Health Insurance Portability and Accountability Act - US): Bảo vệ Protected Health Information (PHI). Bao gồm Privacy Rule, Security Rule, và Breach Notification Rule. Áp dụng cho covered entities và business associates.
• PCI-DSS (Payment Card Industry Data Security Standard): 12 yêu cầu bảo mật cho tổ chức xử lý thẻ thanh toán. Mức tuân thủ SAQ A đến SAQ D tùy mức độ giao dịch.
• SOX (Sarbanes-Oxley Act - US): Section 404 yêu cầu kiểm soát nội bộ với báo cáo tài chính. IT controls phải được kiểm toán hàng năm.

1.3. Đạo đức nghề nghiệp ISC2 (ISC2 Code of Ethics)

Tất cả thành viên ISC2 phải tuân thủ Code of Ethics với 4 canon theo thứ tự ưu tiên:

1. Protect society, the common good, necessary public trust and confidence, and the infrastructure. (Ưu tiên cao nhất — xã hội trên hết)
2. Act honorably, honestly, justly, responsibly, and legally.
3. Provide diligent and competent service to principals. (Client/employer)
4. Advance and protect the profession. (Ưu tiên thấp nhất)

1.4. Phân tích rủi ro & Các khung quản lý rủi ro (Risk management frameworks & analysis)

CISSP yêu cầu hiểu sâu cả phân tích định tính (qualitative) và định lượng (quantitative):

Công thức định lượng trọng tâm:

• SLE (Single Loss Expectancy) = Asset Value × Exposure Factor (%)
• ALE (Annual Loss Expectancy) = SLE × ARO (Annual Rate of Occurrence)
• ALE sau kiểm soát = SLE × ARO_after
• ROI biện pháp kiểm soát = (ALE_before − ALE_after − Cost_control) / Cost_control × 100%

Các khung quản lý rủi ro:

• NIST RMF (Risk Management Framework): 7 bước — Prepare → Categorize → Select → Implement → Assess → Authorize → Monitor. Dùng rộng rãi trong chính phủ Mỹ.
• ISO 31000: Khung quản lý rủi ro tổng quát cho mọi loại tổ chức — nguyên lý, khung, quy trình.
• FAIR (Factor Analysis of Information Risk): Mô hình định lượng hóa rủi ro CNTT — phân tách Threat Event Frequency và Vulnerability thành các thành phần đo lường được.

1.5. Threat Modeling & Chính sách bảo mật (Threat modeling & security policies)

Threat Modeling là quy trình có cấu trúc để xác định mối đe dọa, lỗ hổng và biện pháp giảm thiểu từ giai đoạn thiết kế. Ba phương pháp phổ biến:

• STRIDE (Microsoft): Spoofing · Tampering · Repudiation · Information Disclosure · Denial of Service · Elevation of Privilege. Tập trung vào loại tấn công.
• PASTA (Process for Attack Simulation and Threat Analysis): 7 giai đoạn, tập trung vào góc nhìn kẻ tấn công và business impact. Phù hợp CISSP vì kết hợp business risk.
• VAST (Visual, Agile, Simple Threat): Tích hợp vào Agile/DevOps pipeline, tự động hóa cao.

Hệ thống chính sách bảo mật phân cấp từ trừu tượng đến cụ thể:

• Policy: Tuyên bố cấp cao, do Senior Management phê duyệt. Ví dụ: "Mọi dữ liệu nhạy cảm phải được mã hóa khi lưu trữ."
• Standard: Quy định cụ thể phải tuân thủ. Ví dụ: "Sử dụng AES-256 cho mã hóa data-at-rest."
• Guideline: Khuyến nghị, không bắt buộc.
• Procedure: Hướng dẫn từng bước thực hiện.
• Baseline: Cấu hình tối thiểu bắt buộc (CIS Benchmarks là ví dụ).

1.6. Bảo mật chuỗi cung ứng (Supply Chain Security)

Chuỗi cung ứng phần mềm và phần cứng ngày càng là mục tiêu tấn công — compromise một vendor duy nhất có thể ảnh hưởng đến hàng nghìn tổ chức downstream.

SCRM Controls (Supply Chain Risk Management):

• Vendor vetting: Đánh giá bảo mật vendor trước ký hợp đồng — yêu cầu SOC 2 Type II, ISO 27001, pen test reports. CIS Control 15: Service Provider Management.
• SBOM (Software Bill of Materials): Danh sách đầy đủ mọi component phần mềm và dependency — biết bạn đang chạy gì để phản ứng nhanh khi CVE mới được công bố (như Log4Shell). Executive Order 14028 (US) yêu cầu SBOM cho phần mềm bán cho chính phủ Mỹ.
• Code signing & integrity verification: Mọi package phải được ký số — verify signature trước khi cài. Dùng checksum (SHA-256) để xác minh file download. Reproducible builds để verify build process không bị tamper.
• Hardware supply chain: Rủi ro counterfeit components (chips giả) và implanted backdoors phần cứng. Mua hardware từ authorized resellers; dùng hardware attestation (TPM) để verify firmware integrity khi boot.

2. Bài thực hành / Hands-on labs

Lab 1 — Tính toán rủi ro định lượng & kiểm tra Separation of Duties (PowerShell)

OS: Windows Server 2022 · Tool: PowerShell 7 (Run as Administrator)

1. Mở PowerShell 7 với quyền Administrator trên Windows Server 2022.
2. Chạy script tính ALE và ROI của biện pháp kiểm soát:

# === QUANTITATIVE RISK ANALYSIS SCRIPT ===
# Thông tin tài sản
$AssetValue    = 200000   # Giá trị server (USD)
$EF            = 0.25     # Exposure Factor: thiệt hại 25% nếu sự cố
$ARO_before    = 0.3      # 0.3 lần/năm trước khi có kiểm soát
$ARO_after     = 0.05     # 0.05 lần/năm sau khi có kiểm soát
$ControlCost   = 8000     # Chi phí biện pháp kiểm soát/năm

# Tính toán
$SLE        = $AssetValue * $EF
$ALE_before = $SLE * $ARO_before
$ALE_after  = $SLE * $ARO_after
$NetBenefit = $ALE_before - $ALE_after - $ControlCost
$ROI        = ($NetBenefit / $ControlCost) * 100

Write-Host "`n=== RISK ANALYSIS RESULTS ===" -ForegroundColor Cyan
Write-Host "Asset Value   : `$$AssetValue" -ForegroundColor White
Write-Host "SLE           : `$$SLE" -ForegroundColor Yellow
Write-Host "ALE (Before)  : `$$ALE_before/year" -ForegroundColor Red
Write-Host "ALE (After)   : `$$ALE_after/year" -ForegroundColor Green
Write-Host "Control Cost  : `$$ControlCost/year" -ForegroundColor White
Write-Host "Net Benefit   : `$$NetBenefit/year" -ForegroundColor $(if($NetBenefit -gt 0){"Green"}else{"Red"})
Write-Host "ROI           : $([math]::Round($ROI,1))%" -ForegroundColor $(if($ROI -gt 0){"Green"}else{"Red"})
if ($ROI -gt 0) { Write-Host "`n[DECISION] INVEST in this control - positive ROI" -ForegroundColor Green }
else { Write-Host "`n[DECISION] DO NOT invest - negative ROI" -ForegroundColor Red }

# --- Kiểm tra Separation of Duties trong AD ---
Write-Host "`n=== SEPARATION OF DUTIES CHECK ===" -ForegroundColor Cyan
$FinanceMembers  = (Get-ADGroupMember "Finance"  -ErrorAction SilentlyContinue).SamAccountName
$ITAdminMembers  = (Get-ADGroupMember "IT-Admin" -ErrorAction SilentlyContinue).SamAccountName
$Conflicts = $FinanceMembers | Where-Object { $ITAdminMembers -contains $_ }
if ($Conflicts) {
    Write-Host "[VIOLATION] Users in BOTH Finance AND IT-Admin:" -ForegroundColor Red
    $Conflicts | ForEach-Object { Write-Host "  - $_" -ForegroundColor Yellow }
} else {
    Write-Host "[OK] No SoD violations found between Finance and IT-Admin" -ForegroundColor Green
}

Lab 2 — Compliance Baseline Check với OpenSCAP (Bash)

OS: Ubuntu 22.04 · Tool: Bash + OpenSCAP (hoặc manual grep)

1. Cài OpenSCAP nếu chưa có: sudo apt install openscap-scanner ssg-debderived -y
2. Chạy đánh giá CIS baseline hoặc kiểm tra thủ công:

# === Option A: OpenSCAP CIS Assessment ===
sudo oscap xccdf eval \
  --profile xccdf_org.ssgproject.content_profile_cis \
  --results /tmp/cissp-scan-results.xml \
  --report /tmp/cissp-scan-report.html \
  /usr/share/xml/scap/ssg/content/ssg-ubuntu2204-ds.xml 2>/dev/null | tail -30

# === Option B: Manual SSH hardening check ===
echo "=== SSH Configuration Security Check ==="
grep -E "^PermitRootLogin|^PasswordAuthentication|^X11Forwarding|^MaxAuthTries|^Protocol" \
  /etc/ssh/sshd_config

echo -e "\n=== Audit Rules Check ==="
sudo cat /etc/audit/audit.rules 2>/dev/null | head -20

echo -e "\n=== Passwd file permissions ==="
ls -la /etc/passwd /etc/shadow /etc/sudoers

echo -e "\n=== Users with UID=0 (root-level) ==="
awk -F: '$3==0{print $1}' /etc/passwd

echo -e "\n=== World-writable files (security risk) ==="
find /etc -xtype f -perm -o+w 2>/dev/null | head -10

3. Tình huống doanh nghiệp / Enterprise scenario

4. Tự kiểm tra / CISSP-style knowledge check

1. Công ty bạn muốn đầu tư hệ thống IDS trị giá $50,000/năm. ALE hiện tại là $80,000, sau khi có IDS giảm còn $20,000. Bạn khuyến nghị gì với Board và vì sao?
2. Nhân viên CNTT phát hiện CFO đang truy cập dữ liệu khách hàng không liên quan đến công việc. Theo ISC2 Code of Ethics, hành động ưu tiên là gì?
3. Công ty bạn phải tuân thủ đồng thời GDPR và HIPAA. Khi hai quy định xung đột về thời gian lưu trữ dữ liệu, nguyên tắc nào áp dụng?
4. STRIDE model phân loại tấn công "attacker giả mạo là admin để reset password người dùng" vào category nào?
5. Separation of Duties vs Dual Control: giải thích sự khác biệt và cho ví dụ tình huống áp dụng mỗi loại.
6. Một vendor mới yêu cầu truy cập VPN vào network nội bộ để support phần mềm. Theo nguyên lý supply chain risk management, các bước kiểm soát tối thiểu cần thiết là gì?