Tối ưu hóa quản lý rủi ro CNTT với các giải pháp GRC an toàn thông tin chuyên sâu

Thảo Nguyên
4 giờ trước
8 phút đọc

Hạ tầng CNTT doanh nghiệp hiện nay không còn giới hạn trong máy chủ nội bộ. Cloud, SaaS, thiết bị đầu cuối, tài khoản đặc quyền, dữ liệu nhạy cảm và các nhà cung cấp bên thứ ba khiến bề mặt rủi ro ngày càng mở rộng. Trong bối cảnh đó, việc triển khai nhiều công cụ bảo mật riêng lẻ chưa chắc giúp doanh nghiệp trả lời được ba câu hỏi quan trọng: Rủi ro nào cần ưu tiên? Ai chịu trách nhiệm? Doanh nghiệp đã đáp ứng đầy đủ các yêu cầu quản trị và tuân thủ hay chưa?

Đây là lý do GRC an toàn thông tin ngày càng trở thành một phần quan trọng trong chiến lược quản trị CNTT. Thay vì để bộ phận kỹ thuật, an ninh mạng, pháp chế và kiểm toán hoạt động tách biệt, GRC giúp kết nối các yêu cầu quản trị, rủi ro và tuân thủ thành một mô hình thống nhất.

GRC trong an toàn thông tin là gì?

GRC là mô hình kết hợp ba yếu tố Governance - Risk - Compliance, tương ứng với quản trị, quản lý rủi ro và tuân thủ. Trong an toàn thông tin, GRC giúp doanh nghiệp xác định mục tiêu bảo vệ, nhận diện rủi ro, lựa chọn biện pháp kiểm soát phù hợp và theo dõi việc đáp ứng các yêu cầu pháp lý, tiêu chuẩn hoặc chính sách nội bộ.

mo-hinh-grc — *GRC là mô hình kết hợp ba yếu tố Governance - Risk - Compliance*

Ba thành phần chính gồm:

Governance - Quản trị: Xác định chính sách, trách nhiệm, thẩm quyền ra quyết định và mức độ rủi ro mà doanh nghiệp có thể chấp nhận.
Risk - Rủi ro: Nhận diện mối đe dọa, lỗ hổng, khả năng xảy ra và tác động đối với hoạt động kinh doanh.
Compliance - Tuân thủ: Theo dõi việc đáp ứng luật pháp, tiêu chuẩn, hợp đồng, chính sách nội bộ và yêu cầu của khách hàng.

GRC không phải một sản phẩm phần mềm hay một tiêu chuẩn duy nhất. Doanh nghiệp cũng không mặc nhiên bị pháp luật yêu cầu phải triển khai một “hệ thống GRC” cụ thể. Tuy nhiên, các hoạt động quản trị, đánh giá rủi ro và tuân thủ ngày càng cần thiết khi doanh nghiệp phải đáp ứng nhiều yêu cầu về an toàn thông tin cùng lúc.

Tại sao doanh nghiệp cần GRC an toàn thông tin?

Tổ chức đánh giá an toàn thông tin bắt buộc: 7 tiêu chí lựa chọn

Giá trị lớn nhất của GRC là giúp doanh nghiệp chuyển từ cách tiếp cận bảo mật mang tính phản ứng sang quản trị dựa trên rủi ro.

Nếu không có một cơ chế quản trị thống nhất, doanh nghiệp dễ gặp tình trạng bộ phận CNTT biết hệ thống đang có lỗ hổng nhưng ban lãnh đạo không hiểu mức độ ảnh hưởng đối với kinh doanh; bộ phận pháp chế biết có yêu cầu tuân thủ nhưng không biết biện pháp kỹ thuật nào đang được triển khai; hoặc doanh nghiệp sở hữu nhiều công cụ bảo mật nhưng không rõ chúng đang xử lý rủi ro nào.

GRC giúp tạo chuỗi liên kết rõ ràng:

Mục tiêu kinh doanh → Rủi ro → Yêu cầu → Biện pháp kiểm soát → Triển khai kỹ thuật → Giám sát → Cải tiến.

Cách tiếp cận này cũng phù hợp với NIST Cybersecurity Framework 2.0, trong đó NIST bổ sung riêng chức năng Govern nhằm nhấn mạnh vai trò của quản trị trong quản lý rủi ro an ninh mạng.

Khung GRC an toàn thông tin doanh nghiệp gồm những gì?

Một khung GRC an toàn thông tin doanh nghiệp không nhất thiết phải giống nhau ở mọi tổ chức. Cấu trúc cụ thể cần dựa trên quy mô, lĩnh vực hoạt động, hệ thống CNTT và yêu cầu tuân thủ.

Các thành phần phổ biến gồm:

Cơ cấu quản trị và phân công trách nhiệm.
Chính sách, quy định và quy trình an toàn thông tin.
Danh mục tài sản, hệ thống và dữ liệu.
Phương pháp đánh giá rủi ro.
Danh sách rủi ro cần theo dõi.
Danh mục yêu cầu pháp lý, tiêu chuẩn và hợp đồng.
Danh mục biện pháp kiểm soát bảo mật.
Kế hoạch xử lý rủi ro.
Phân công người chịu trách nhiệm cho từng biện pháp.
Theo dõi bằng chứng, kiểm toán và tình trạng thực thi.
Quản lý rủi ro nhà cung cấp.
Đánh giá và cải tiến định kỳ.

Điểm quan trọng không nằm ở số lượng tài liệu. Một chương trình GRC tốt phải giúp doanh nghiệp biết rõ rủi ro nào đang tồn tại, biện pháp nào đang xử lý rủi ro đó và ai chịu trách nhiệm.

Doanh nghiệp có thể tham khảo thêm về quản trị rủi ro an ninh mạng trong doanh nghiệp để xây dựng cách tiếp cận phù hợp với môi trường công nghệ hiện đại.

GRC liên kết với ISO 27001, NIST và COBIT như thế nào?

GRC không thay thế các tiêu chuẩn hay khung quản trị phổ biến. Thay vào đó, doanh nghiệp có thể sử dụng chúng làm nền tảng cho từng phần của chương trình GRC.

Khung/Tiêu chuẩn	Trọng tâm	Vai trò trong GRC
ISO/IEC 27001	Hệ thống quản lý an toàn thông tin	Chuẩn hóa quản lý chính sách, rủi ro và kiểm soát
NIST CSF 2.0	Quản lý rủi ro an ninh mạng	Cấu trúc hoạt động quản trị, bảo vệ, phát hiện và ứng phó
COBIT	Quản trị CNTT doanh nghiệp	Liên kết CNTT với mục tiêu và trách nhiệm quản trị
CIS Controls	Các biện pháp bảo mật ưu tiên	Hỗ trợ triển khai các kiểm soát kỹ thuật thực tế

Chẳng hạn, ISO/IEC 27001 cung cấp yêu cầu để xây dựng Hệ thống quản lý an toàn thông tin (ISMS), nhưng ISO 27001 không đồng nghĩa với GRC. Tương tự, NIST CSF 2.0 hỗ trợ tổ chức quản lý rủi ro an ninh mạng nhưng không phải một hệ thống GRC hoàn chỉnh.

Quản lý rủi ro và sự tuân thủ trong GRC được thực hiện thế nào?

Dịch vụ kiểm tra đánh giá an toàn thông tin | IPSIP

Quản lý rủi ro và sự tuân thủ nên bắt đầu từ hoạt động kinh doanh, không phải từ việc mua phần mềm GRC. Doanh nghiệp có thể thực hiện theo quy trình:

1. Xác định tài sản và phạm vi

Lập danh sách hệ thống, dữ liệu, ứng dụng, hạ tầng cloud và nhà cung cấp có liên quan.

2. Nhận diện và đánh giá rủi ro

Xác định mối đe dọa, lỗ hổng, khả năng xảy ra và mức độ ảnh hưởng. Ví dụ, tài khoản quản trị bị chiếm quyền có thể dẫn đến mất dữ liệu, gián đoạn hệ thống hoặc truy cập trái phép vào tài sản quan trọng.

3. Xác định yêu cầu cần đáp ứng

Các yêu cầu có thể đến từ pháp luật, ISO 27001, hợp đồng với khách hàng, quy định nội bộ hoặc tiêu chuẩn của tập đoàn.

4. Lựa chọn biện pháp kiểm soát

Mỗi rủi ro cần được gắn với biện pháp phù hợp, chẳng hạn MFA, PAM, XDR, sao lưu, giám sát SOC hoặc kiểm thử xâm nhập.

5. Phân công trách nhiệm và theo dõi

Doanh nghiệp cần xác định người chịu trách nhiệm, tình trạng triển khai, bằng chứng thực hiện và mức rủi ro còn lại.

Chuẩn hóa quy trình an toàn thông tin bằng GRC

Một lợi ích quan trọng khác của GRC là chuẩn hóa quy trình an toàn thông tin, hạn chế tình trạng mỗi bộ phận hoặc mỗi nhân sự thực hiện theo một cách khác nhau.

Ví dụ, quản lý lỗ hổng không nên dừng lại ở việc chạy công cụ quét. Quy trình hoàn chỉnh cần bao gồm:

Phát hiện → Đánh giá → Ưu tiên → Phân công xử lý → Khắc phục → Kiểm tra lại → Báo cáo.

Tương tự, kiểm soát quyền truy cập cần xác định rõ ai được cấp quyền, ai phê duyệt, thời điểm nào phải rà soát và bằng chứng nào chứng minh việc rà soát đã được thực hiện.

Một GRC hiệu quả giúp các hoạt động này trở nên có quy trình, có thể đo lường, kiểm tra và cải tiến, thay vì phụ thuộc hoàn toàn vào phản ứng của đội CNTT khi sự cố phát sinh.

Từ rủi ro đến biện pháp kiểm soát: GRC tạo ra giá trị thực tế như thế nào?

GRC chỉ thực sự hữu ích khi rủi ro được chuyển thành hành động cụ thể.

Rủi ro	Tác động	Biện pháp kiểm soát	Giải pháp kỹ thuật phù hợp
Tài khoản quản trị bị chiếm quyền	Mất quyền kiểm soát hệ thống	Kiểm soát truy cập đặc quyền	PAM, MFA
Ransomware	Gián đoạn vận hành, mất dữ liệu	Bảo vệ đầu cuối và phục hồi	XDR, SOC, sao lưu
Lỗ hổng ứng dụng	Rò rỉ dữ liệu	Quản lý lỗ hổng	Quét lỗ hổng, Pentest
Không phát hiện xâm nhập	Sự cố kéo dài	Giám sát an ninh	SOC, SIEM, MDR
Nhà cung cấp bị tấn công	Rủi ro chuỗi cung ứng	Quản lý bên thứ ba	Đánh giá nhà cung cấp, kiểm soát quyền truy cập

GRC nhờ đó giúp lãnh đạo nhìn thấy mối liên hệ giữa rủi ro kinh doanh và đầu tư an ninh mạng, thay vì đánh giá hiệu quả bảo mật chỉ dựa trên số lượng sản phẩm đang sử dụng.

GRC và MSSP có thể kết hợp như thế nào?

GRC và MSSP có vai trò khác nhau nhưng bổ trợ cho nhau.

GRC xác định doanh nghiệp cần quản trị rủi ro nào và biện pháp kiểm soát nào cần được duy trì. MSSP hỗ trợ triển khai hoặc vận hành một số biện pháp kỹ thuật đó.

Ví dụ, GRC xác định hệ thống quan trọng cần được giám sát liên tục. Doanh nghiệp có thể triển khai SOC hoặc MDR để đáp ứng nhu cầu phát hiện và xử lý sự kiện an ninh.

Nếu rủi ro liên quan đến tài khoản quản trị, PAM có thể hỗ trợ kiểm soát đặc quyền. Nếu rủi ro đến từ lỗ hổng hệ thống, doanh nghiệp có thể triển khai đánh giá lỗ hổng hoặc Pentest định kỳ.

Tuy nhiên, MSSP không thay thế trách nhiệm quản trị của doanh nghiệp. Quyết định chấp nhận rủi ro, chính sách nội bộ và trách nhiệm cuối cùng vẫn cần được xác định trong tổ chức.

Doanh nghiệp đang thiếu nguồn lực chuyên môn có thể tham khảo mô hình thuê ngoài an ninh mạng để xác định những hoạt động phù hợp để giao cho đối tác bên ngoài.

IPSIP Việt Nam đồng hành triển khai GRC an toàn thông tin và quản trị rủi ro doanh nghiệp

Một chương trình GRC an toàn thông tin chỉ mang lại giá trị khi các yêu cầu quản trị được chuyển thành biện pháp bảo mật có thể triển khai, vận hành và kiểm chứng trong hệ thống CNTT thực tế.

IPSIP Việt Nam có thể hỗ trợ doanh nghiệp đánh giá hiện trạng và triển khai các lớp bảo vệ phù hợp như Pentest, XDR, NDR, PAM, quản trị firewall, mã hóa dữ liệu và ứng cứu sự cố. Các giải pháp này có thể được kết nối với kế hoạch xử lý rủi ro trong chương trình GRC thay vì vận hành riêng lẻ.

ipsip-viet-nam — *IPSIP Việt Nam cung cấp dịch vụ an ninh mạng giúp hỗ trợ doanh nghiệp đánh giá hiện trang và triển khai các giải pháp bảo vệ tối ưu*

Doanh nghiệp xác định rủi ro không phát hiện kịp thời hành vi xâm nhập có thể cân nhắc SOC 24/7 của IPSIP, trong khi rủi ro từ tài khoản đặc quyền có thể được xử lý bằng các biện pháp kiểm soát truy cập phù hợp.

Liên hệ IPSIP Việt Nam để cùng đánh giá hiện trạng hạ tầng, xác định khoảng trống an toàn thông tin và xây dựng lộ trình triển khai các giải pháp phù hợp với chương trình GRC của doanh nghiệp. IPSIP có thể đồng hành từ đánh giá kỹ thuật đến vận hành các lớp bảo mật, giúp doanh nghiệp quản lý rủi ro và chuẩn hóa quy trình an toàn thông tin một cách bền vững.

Tham khảo: