Khung mô hình CMMC phân các quy trình và thực tiễn tốt nhất về an ninh mạng thành một tập hợp các miền. Thực tiễn là các hoạt động được thực hiện ở mỗi cấp cho miền bao gồm: Kiểm soát truy cập (AC); Quản lý tài sản (AM); Nhận thức và đào tạo (AT); Kiểm toán và trách nhiệm (AU); Quản lý cấu hình (CM); Nhận dạng và xác thực (IA); Ứng phó sự cố (IR); Bảo trì (MA); Bảo vệ phương tiện (MP); An ninh nhân sự (PS); Tính toàn vẹn của hệ thống và thông tin (SI); Bảo vệ hệ thống và truyền thông (SC); Nhận thức tình huống (SA); Đánh giá an ninh (CA); Bảo vệ vật lý (PE); Quản lý rủi ro (RM) và Phục hồi (RE).
Bốn mức trưởng thành của quy trình an ninh
Cấp 1. Thực hiện: Một số thực hành được ghi lại khi cần thiết.
Cấp 2. Tài liệu hóa: Mỗi thực hành đều được ghi lại, bao gồm các thực hành Cấp 1 và một chính sách bao gồm tất cả các hoạt động.
Cấp 3. Được quản lý:
- Mỗi thực hành đều được ghi lại, bao gồm cả các cấp thấp hơn;
- Có một chính sách bao gồm tất cả các hoạt động;
- Có một kế hoạch và kế hoạch này được duy trì, được cung cấp nguồn lực, bao gồm tất cả các hoạt động.
Cấp 4. Được rà soát:
- Mỗi thực hành đều được ghi lại, bao gồm cả các cấp thấp hơn;
- Có một chính sách bao gồm tất cả các hoạt động;
- Có một kế hoạch bao gồm tất cả các hoạt động;
- Các hoạt động được xem xét và đo lường hiệu quả (kết quả đánh giá được chia sẻ với quản lý cấp cao hơn).
Cấp 5. Tối ưu hóa:
- Mỗi thực hành đều được ghi lại, bao gồm các cấp thấp hơn;
- Có một chính sách bao gồm tất cả các hoạt động;
- Có một kế hoạch bao gồm tất cả các hoạt động;
- Các hoạt động được xem xét và đo lường hiệu quả;
- Có một cách tiếp cận được chuẩn hóa, được tài liệu hóa trên tất cả các đơn vị tổ chức có thể áp dụng.
Các thực hành ở từng mức độ trưởng thành
Cấp 1. Làm sạch không gian mạng cơ bản (17 thực hành)
- Tương đương với tất cả các thông lệ trong Quy định mua sắm liên bang (FAR) 48 CFR 52.204-21.
Cấp 2. Làm sạch không gian mạng trung cấp (72 thực hành)
- Tuân thủ FAR;
- Bao gồm một tập hợp con gồm 48 thực hành từ NIST SP 800- 171 r1;
- Bao gồm 7 thực hành bổ sung để hỗ trợ làm sạch không gian mạng trung cấp.
Cấp 3. Làm sạch không gian mạng tốt (130 thực hành)
- Tuân thủ FAR;
- Bao gồm tất cả các thực hành từ NIST SP 800-171 r1;
- Bao gồm 20 thực hành bổ sung để hỗ trợ làm sạch không gian mạng tốt
Cấp 4. Làm sạch không gian mạng mức chủ động (156 thực hành)
- Tuân thủ FAR;
- Bao gồm tất cả các thực hành từ NIST SP 800-171 r1;
- Bao gồm một tập hợp con gồm 11 thực hành từ Dự thảo NIST SP 800-171B;
- Bao gồm 15 thực tiễn bổ sung để thể hiện chương trình an ninh mạng chủ động.
Cấp 5. Cao cấp/Tiến bộ (171 thực hành)
- Tuân thủ FAR;
- Bao gồm tất cả các thực hành từ NIST SP 800-171 r1;
- Bao gồm một tập hợp con gồm 4 thực hành từ Dự thảo NIST SP 800-171B;
- Bao gồm 11 thực tiễn bổ sung để chứng minh chương trình an ninh mạng tiên tiến.
Mô hình CMMC tận dụng nhiều nguồn và tài liệu tham khảo, bao gồm: CMMC Cấp 1 chỉ đề cập tới các thông lệ từ FAR 52.204-21; CMMC Cấp 3 bao gồm tất cả các thông lệ từ NIST SP 800-171r1 cũng như các loại khác; CMMC Cấp 4 và 5 kết hợp một tập hợp con của các thực tiễn từ Dự thảo NIST SP 800-171B cùng với các nguồn khác.
Các nguồn bổ sung, chẳng hạn như Mô hình trưởng thành an ninh mạng thiết yếu của Vương quốc Anh (UK Cyber Essentials) và Tám mô hình trưởng thành thiết yếu của Trung tâm an ninh mạng Úc (Australia Cyber Security Centre Essential Eight Maturity Model) cũng được xem xét và tham chiếu trong mô hình.
Ellen Lord, Thứ trưởng Bộ Quốc phòng Hoa Kỳ cho biết, đây là một triển khai phức tạp và là nền tảng quan trọng trong nỗ lực bảo đảm an ninh mạng nói chung của của Bộ Quốc phòng Hoa Kỳ. Bà cũng lưu ý rằng, các thế lực thù địch đều biết trong môi trường cạnh tranh quyền lực lớn hiện nay, thông tin và công nghệ là nền tảng chính của an ninh quốc gia và tấn công nhà cung cấp phụ sẽ dễ dàng hơn nhiều so với đối tượng chính.
Nguyễn Anh Tuấn
Security Magazine
08:00 | 24/01/2020
15:00 | 19/06/2020
17:00 | 07/12/2020
09:00 | 30/12/2019
11:00 | 14/02/2022
14:00 | 11/01/2019
22:00 | 01/01/2021
10:00 | 10/02/2022
09:00 | 26/03/2024
Những năm gần đây, Phần Lan cũng như nhiều quốc gia khác trên thế giới phải đứng trước thách thức ngày càng lớn từ các mối đe dọa an ninh mạng. Các cơ quan, doanh nghiệp Phần Lan đang trở thành mục tiêu nhắm đến của các cuộc tấn công mạng. Số lượng thông báo liên quan đến vi phạm bảo mật dữ liệu mà Cơ quan Giao thông và Truyền thông Phần Lan (Traficom) nhận được ngày càng gia tăng qua từng năm. Một phần của sự gia tăng này bị ảnh hưởng bởi sự quan tâm và nhận thức về an ninh mạng đã tăng lên, ngoài ra còn do tác động của những hoạt động tấn công mạng nhắm mục tiêu vào Phần Lan, từ khi quốc gia này trở thành thành viên mới của NATO.
08:00 | 11/01/2024
Hoa Kỳ là một trong những quốc gia dẫn đầu thế giới về chiến lược, quy định và triển khai các hoạt động cụ thể trong bảo vệ an ninh thông tin cơ sở hạ tầng quan trọng. Dưới thời Tổng thống Biden, hàng loạt biện pháp được áp dụng đã nâng cao hiệu quả bảo đảm an toàn và khả năng phục hồi của cơ sở hạ tầng quan trọng.
13:00 | 04/12/2023
Ngày 1/12 vừa qua, nhóm các nước công nghiệp phát triển (G7) đã công bố bộ quy tắc quốc tế toàn diện đầu tiên về hệ thống trí tuệ nhân tạo (AI) tiên tiến.
08:00 | 18/08/2023
Ngân hàng Trung ương Liên Bang Nga bắt đầu dự án phát triển đồng Ruble kỹ thuật số vào cuối năm 2020, dự kiến bắt đầu thử nghiệm đồng tiền này với khách hàng và tiền thật từ ngày 1/4/2023. Tuy nhiên, thời hạn này đã phải hoãn lại do chậm trễ trong việc thông qua các hành lang pháp lý cần thiết. Mặc dù vậy, dự luật về đồng Ruble kỹ thuật số cuối cùng đã được hạ viện của Quốc hội Liên bang Nga thông qua vào ngày 11/7, Hội đồng Liên bang phê duyệt vào ngày 19/7 và đến ngày 24/7 vừa qua đã được Tổng thống Liên bang Nga Putin ký ban hành với tên đầy đủ là: Luật Liên bang số 340-FZ ngày 24/7/2023 "Về sửa đổi một số đạo luật lập pháp của Liên bang Nga".
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
