Hoạt động bảo mật là gì?
Hoạt động bảo mật, hay SecOps, là công việc liên tục tìm kiếm, điều tra và ứng phó với các mối đe dọa mạng trong môi trường CNTT đang hoạt động . Nó kết hợp con người, công cụ bảo mật, thông tin tình báo về mối đe dọa và các quy trình ứng phó rõ ràng. Mục tiêu là phát hiện hoạt động gây hại từ sớm và hành động trước khi thiệt hại lan rộng.
SecOps không được định nghĩa bởi số lượng sản phẩm, quy mô nhóm hay sự hiện diện của trung tâm điều hành an ninh (SOC) chính thức. Câu hỏi quan trọng là liệu tổ chức có chủ động vận hành năng lực an ninh của mình hàng ngày hay không.
Một công ty có thể sở hữu tường lửa, phần mềm bảo vệ điểm cuối, công cụ bảo mật đám mây và nền tảng phát hiện và phản hồi mở rộng (XDR). Tuy nhiên, công ty đó vẫn có thể có hoạt động bảo mật yếu nếu các cảnh báo không được xem xét thường xuyên hoặc việc điều tra chỉ được thực hiện khi có đủ nguồn lực. Một công ty nhỏ hơn có thể duy trì hoạt động bảo mật hiệu quả thông qua một nhóm nội bộ chuyên trách, một dịch vụ được quản lý hoặc một mô hình kết hợp.
Nguyên tắc này được phản ánh trong tiêu chuẩn NIST SP 800-137 về Giám sát liên tục an ninh thông tin . NIST giải thích rằng giám sát liên tục sẽ cung cấp cho tổ chức đủ khả năng quan sát để hiểu rủi ro và phản ứng kịp thời.
Một ví dụ đơn giản về vận hành an ninh mạng (SecOps).
Việc lắp đặt camera và hệ thống báo động không tự tạo ra một hệ thống an ninh hoàn chỉnh. Hệ thống an ninh thực sự bắt đầu khi có người giám sát các hệ thống đó, kiểm tra các hoạt động đáng ngờ và phối hợp phản ứng. Công nghệ an ninh cũng hoạt động theo cách tương tự. Các công cụ tạo ra khả năng; còn hoạt động an ninh (SecOps) đưa khả năng đó vào thực tiễn.
Điều gì làm nên bản chất của "hoạt động an ninh"?
Từ "vận hành" là phần quan trọng nhất của thuật ngữ này. Nó đánh dấu sự khác biệt giữa việc sở hữu công nghệ bảo mật và việc vận hành một hệ thống phòng thủ chủ động.
Các công cụ bảo mật phải dẫn đến hành động.
Nhiều tổ chức sử dụng các công cụ bảo mật để thu thập và phân tích nhật ký từ toàn bộ môi trường của họ và tạo ra cảnh báo, nhưng không nhất quán trong việc chuyển đổi những cảnh báo đó thành các cuộc điều tra và hành động kịp thời. Nhóm vận hành bảo mật (SecOps) tạo ra một lộ trình đáng tin cậy từ phát hiện đến quyết định. Nhóm SecOps ưu tiên các tín hiệu liên quan, thu thập ngữ cảnh và phối hợp hành động khi xác nhận mối đe dọa.
Tự động hóa có thể xử lý các công việc thường ngày. Nó có thể làm phong phú thêm các cảnh báo, nhóm các sự kiện liên quan và lọc bỏ các cảnh báo sai đã biết. Nhưng con người vẫn cần phải đặt ra các ưu tiên và quyết định cách xử lý các sự cố nghiêm trọng hoặc không chắc chắn.
Tính liên tục quan trọng hơn quy mô đội nhóm.
Một đội ngũ bảo mật lớn không phải lúc nào cũng cung cấp khả năng vận hành bảo mật mạnh mẽ. Một số thành viên trong nhóm có thể tập trung vào tuân thủ quy định, kiến trúc hệ thống, nâng cao nhận thức hoặc quản lý lỗ hổng bảo mật. Những vai trò này mang lại giá trị, nhưng chúng không tự động cung cấp khả năng phát hiện và ứng phó liên tục.
Bài kiểm tra quan trọng hơn là liệu tổ chức có thể xác định, điều tra và ngăn chặn một mối đe dọa đáng tin cậy trong một khung thời gian chấp nhận được hay không. Công việc này có thể được thực hiện bởi các chuyên viên phân tích an ninh nội bộ, nhà cung cấp bên ngoài, hoặc cả hai.
SecOps nên tạo thành một vòng khép kín.
Hoạt động bảo mật hiệu quả không chỉ đơn thuần là đóng các cảnh báo. Nó còn học hỏi từ chúng. Một lỗi phát hiện sai cần dẫn đến việc cải thiện logic phát hiện. Phản hồi chậm cần dẫn đến việc sửa đổi quy trình xử lý sự cố. Một lỗi cảnh báo sai lặp đi lặp lại cần thúc đẩy việc tinh chỉnh quy tắc phát hiện liên quan.
Vòng phản hồi này giúp cải thiện hoạt động theo thời gian. Nếu không có nó, đội ngũ an ninh có thể bận rộn trong khi tổ chức vẫn tiếp tục đối mặt với những vấn đề tương tự.
So sánh SecOps với An ninh mạng, Trung tâm điều hành an ninh (SOC) và Vận hành CNTT.
Các thuật ngữ này có liên quan đến nhau, nhưng chúng không thể thay thế cho nhau.
SecOps so với an ninh mạng
An ninh mạng là một lĩnh vực rộng lớn hơn. Nó bao gồm quản trị, rủi ro, kiến trúc, tuân thủ, phòng ngừa, quản lý lỗ hổng và ứng phó sự cố.
SecOps là bộ phận chịu trách nhiệm bảo vệ môi trường hoạt động thực tế khỏi các mối đe dọa đang diễn ra và ngày càng gia tăng. Nó tập trung vào các hoạt động xảy ra trong môi trường đó, bao gồm lưu lượng mạng bất thường, tài khoản bị xâm phạm và truy cập đáng ngờ vào dữ liệu nhạy cảm.
An ninh mạng định hướng chiến lược an ninh tổng thể; vận hành an ninh (SecOps) thực hiện một phần của chiến lược đó hàng ngày.
So sánh giữa SecOps và trung tâm điều hành an ninh (SOC)
Trung tâm điều hành an ninh (SOC) là một cách để tổ chức các hoạt động an ninh. Nó có thể là một phòng làm việc vật lý, một nhóm làm việc ảo, một dịch vụ thuê ngoài, hoặc sự kết hợp của các mô hình này.
Microsoft mô tả SOC là một chức năng giám sát môi trường, phát hiện các mối đe dọa, ứng phó với sự cố và cải thiện an ninh.
Sự khác biệt rất rõ ràng: SecOps là năng lực, trong khi SOC là mô hình triển khai. Một tổ chức có thể vận hành SecOps mà không cần xây dựng SOC hoạt động 24/7 riêng. Điều quan trọng là khả năng bao phủ đáng tin cậy và lộ trình hành động rõ ràng.
So sánh giữa SecOps và vận hành CNTT
Hoạt động vận hành CNTT đảm bảo hệ thống luôn sẵn sàng và hoạt động ổn định. Hoạt động vận hành an ninh bảo vệ các hệ thống đó khỏi các hoạt động độc hại hoặc trái phép.
Hai nhóm thường phối hợp với nhau trong quá trình xảy ra sự cố. Nhóm bảo mật có thể yêu cầu nhóm CNTT cách ly thiết bị, vô hiệu hóa tài khoản hoặc khôi phục dịch vụ. Việc xác định rõ quyền quyết định là rất quan trọng vì hành động bảo mật nhanh chóng cũng có thể ảnh hưởng đến hoạt động kinh doanh.
Hoạt động bảo mật diễn ra như thế nào?
Quản trị an ninh mạng (SecOps) hoàn thiện kết nối bốn hoạt động, mỗi hoạt động đều hỗ trợ hoạt động tiếp theo.
Duy trì tính minh bạch và bối cảnh
Nhóm SecOps cần có cái nhìn rõ ràng về môi trường hoạt động thực tế. Các tín hiệu hữu ích có thể đến từ các thiết bị đầu cuối, lưu lượng mạng, danh tính, email, ứng dụng và dịch vụ đám mây.
Mục tiêu không phải là thu thập mọi sự kiện có thể xảy ra. Việc thu thập quá nhiều dữ liệu có giá trị thấp có thể làm tăng nhiễu hoạt động và chi phí lưu trữ. Mục tiêu là giữ lại đủ bằng chứng hữu ích để phát hiện các mối đe dọa và tái tạo lại những gì đã xảy ra.
Thông tin tình báo về mối đe dọa cung cấp bối cảnh bên ngoài. Nó có thể cho thấy các phương pháp tấn công, lỗ hổng hoặc chiến dịch nào đang hoạt động. Điều này giúp các nhóm bảo mật tập trung vào các mối đe dọa có liên quan đến hệ thống của chính họ.
Phát hiện và điều tra các mối đe dọa mạng
Một sự cố tiềm ẩn có thể bắt đầu từ phần mềm độc hại, đăng nhập bất thường hoặc thay đổi hành vi người dùng. Sau đó, các chuyên gia phân tích bảo mật sẽ quyết định xem tín hiệu đó là vô hại, cảnh báo sai hay mối đe dọa thực sự.
Một cuộc điều tra tốt phụ thuộc vào bối cảnh. Các nhà phân tích cần biết ai đã thực hiện hành động đó, hệ thống nào bị ảnh hưởng và liệu các dấu hiệu liên quan có xuất hiện ở những nơi khác hay không.
Các nền tảng hiện đại có thể kết nối các tín hiệu mà lẽ ra sẽ tách biệt nhau. Phát hiện và phản hồi mở rộng (XDR) có thể kết hợp bằng chứng từ các thiết bị đầu cuối, mạng, danh tính, email và dịch vụ đám mây. Điều này giúp các nhà phân tích nhìn thấy lộ trình tấn công rộng hơn thay vì chỉ xem xét từng cảnh báo riêng lẻ.
Công nghệ có thể đẩy nhanh quá trình điều tra, nhưng nó không loại bỏ được sự cần thiết của phán đoán con người. Nhóm SecOps vẫn phải đánh giá tác động đến hoạt động kinh doanh và quyết định thời điểm hành động.
Ngăn chặn, khắc phục và phục hồi
Khi sự cố được xác nhận, ưu tiên chuyển sang việc hạn chế thiệt hại. Biện pháp ứng phó có thể là cô lập thiết bị, chặn lưu lượng truy cập độc hại hoặc vô hiệu hóa tài khoản bị xâm phạm. Sau đó, nhóm sẽ loại bỏ quyền truy cập của kẻ tấn công và khôi phục các dịch vụ bị ảnh hưởng.
Những người ứng phó sự cố hiếm khi làm việc một mình. Nhân viên CNTT, nhóm điện toán đám mây, chủ sở hữu ứng dụng và các nhà lãnh đạo doanh nghiệp đều có thể đóng vai trò nhất định. SecOps cung cấp bằng chứng và sự phối hợp cần thiết để hỗ trợ việc ngăn chặn, khắc phục và phục hồi kịp thời.
Tiêu chuẩn NIST SP 800-61 Phiên bản 3 đặt công tác chuẩn bị, phát hiện, ứng phó và phục hồi trong khuôn khổ quản lý rủi ro mạng rộng hơn. Điều này phản ánh một điểm quan trọng: ứng phó sự cố không phải là một nhiệm vụ khẩn cấp riêng biệt, mà là một phần của mô hình hoạt động liên tục.
Học hỏi và cải thiện
Mỗi cuộc điều tra nên góp phần cải thiện khả năng phòng thủ trong tương lai. Nhóm có thể cập nhật thông tin phát hiện, khắc phục lỗ hổng giám sát hoặc thay đổi bước phản ứng. Nhóm cũng có thể tìm kiếm các hoạt động tương tự trước khi một cảnh báo khác xuất hiện.
Đây là lúc nhóm SecOps áp dụng cách tiếp cận chủ động. Nhóm sử dụng những gì thu được từ các cuộc điều tra và thông tin tình báo về mối đe dọa để tìm kiếm các hoạt động liên quan, khắc phục các lỗ hổng và chuẩn bị cho các mối đe dọa đang phát triển.
Mô hình hoạt động an ninh
Các tổ chức có thể triển khai SecOps theo nhiều cách khác nhau. Mô hình tốt nhất phụ thuộc vào rủi ro, kỹ năng nội bộ, phạm vi bao phủ cần thiết và mức độ kiểm soát mà tổ chức muốn duy trì.
SecOps tự vận hành
Trong mô hình tự vận hành, tổ chức sở hữu công nghệ, các nhà phân tích và các quyết định ứng phó. Các nhóm bảo mật nội bộ xây dựng các hệ thống phát hiện, liên tục giám sát môi trường và phối hợp hành động.
Mô hình này mang lại khả năng kiểm soát trực tiếp và bối cảnh kinh doanh mạnh mẽ. Nó cũng đòi hỏi sự đầu tư bền vững vào con người, đào tạo, tích hợp và phạm vi phủ sóng. Việc mua sắm công nghệ chỉ là bước đầu tiên; tổ chức cũng phải duy trì khả năng vận hành cần thiết để sử dụng nó một cách hiệu quả.
Dịch vụ SecOps được quản lý toàn diện
Trong mô hình quản lý toàn diện, nhà cung cấp bên ngoài sẽ đảm nhiệm phần lớn công việc giám sát, điều tra và ứng phó. Điều này thường được thực hiện thông qua dịch vụ phát hiện và ứng phó được quản lý (MDR).
Mô hình này có thể cung cấp các chuyên gia phân tích bảo mật giàu kinh nghiệm và phạm vi bao phủ rộng hơn mà không cần phải tự xây dựng toàn bộ chức năng. Khách hàng vẫn sở hữu các quyết định kinh doanh quan trọng và khả năng phục hồi. Nhà cung cấp thực hiện các nhiệm vụ bảo mật đã được xác định; họ không chịu trách nhiệm hoàn toàn.
Hybrid SecOps
Mô hình kết hợp phân chia công việc. Nhóm nội bộ có thể đảm nhiệm chiến lược và phản hồi hướng đến kinh doanh, trong khi nhà cung cấp bổ sung thêm việc giám sát, kỹ năng chuyên môn hoặc hỗ trợ ngoài giờ làm việc.
Mô hình này phù hợp với các tổ chức có đội ngũ nhân viên nội bộ giỏi nhưng không thể duy trì sự bao quát liên tục trên toàn bộ môi trường. Hiệu quả của nó phụ thuộc ít hơn vào tên gọi mà phụ thuộc nhiều hơn vào việc mô hình kết hợp này có cung cấp sự phân công trách nhiệm rõ ràng, sự bao quát nhất quán và hành động kịp thời hay không.
Tại sao SecOps lại quan trọng?
SecOps giúp giảm thời gian giữa hoạt động của kẻ tấn công và hành động phòng thủ hiệu quả. Khoảng thời gian đó rất quan trọng vì kẻ tấn công sử dụng nó để mở rộng quyền truy cập của chúng.
Kẻ tấn công cần thời gian
Sau khi giành được quyền truy cập, kẻ tấn công có thể khám phá hệ thống, đánh cắp thông tin đăng nhập hoặc truy cập dữ liệu nhạy cảm. Hoạt động này càng được che giấu lâu thì thiệt hại gây ra càng lớn.
Báo cáo M-Trends 2025 của Mandiant cho thấy thời gian tồn tại trung bình toàn cầu của các sự cố được điều tra trong năm 2024 là 11 ngày. Thời gian trung bình là 10 ngày khi các tổ chức nạn nhân tự phát hiện hoạt động độc hại, so với 26 ngày khi họ được một bên thứ ba thông báo.
Kết quả nghiên cứu nhấn mạnh tầm quan trọng của việc duy trì khả năng phát hiện đáng tin cậy, cho dù được vận hành nội bộ, thông qua nhà cung cấp MDR hay thông qua mô hình kết hợp. Các tổ chức có hoạt động bảo mật được thiết lập bài bản sẽ có vị thế tốt hơn để xác định và điều tra các mối đe dọa tiên tiến trước khi chúng phát triển thành một vụ vi phạm nghiêm trọng.
Các công cụ bảo mật chỉ tạo ra giá trị khi chúng dẫn đến hành động thực tế.
Các tổ chức thường đo lường mức độ bảo mật bằng cách đếm số thiết bị được bảo vệ hoặc nguồn dữ liệu được kết nối. Những con số này mô tả mức độ bảo mật tiềm năng, chứ không phải kết quả bảo mật thực tế.
SecOps biến việc thu thập thông tin thành hành động thực tế. Nó xác định những tín hiệu nào quan trọng, ý nghĩa của chúng và những việc cần làm tiếp theo. Một nền tảng chỉ tăng số lượng cảnh báo mà không cải thiện khả năng ưu tiên hoặc điều tra có thể làm tăng khối lượng công việc mà không cải thiện kết quả bảo mật.
Việc vận hành hiệu quả cũng giúp cải thiện các công cụ theo thời gian. Khả năng phát hiện trở nên chính xác hơn, tỷ lệ dương tính giả giảm xuống và tự động hóa có thể đảm nhận nhiều công việc thường nhật hơn.
SecOps tăng cường khả năng phục hồi
Phòng ngừa sẽ không ngăn chặn được mọi cuộc tấn công. Tài khoản có thể bị đánh cắp, lỗ hổng bảo mật có thể bị khai thác và các hệ thống đáng tin cậy có thể bị lạm dụng.
SecOps cung cấp cho tổ chức một phương pháp có thể lặp lại để ứng phó khi biện pháp phòng ngừa thất bại. Nó giúp mọi người hiểu rõ sự cố, hạn chế thiệt hại và khôi phục các dịch vụ quan trọng. Điều này biến SecOps thành một năng lực phục hồi kinh doanh cũng như một chức năng bảo mật.
Điều gì cản trở hoạt động hiệu quả của bộ phận vận hành an ninh mạng (SecOps)?
Trở ngại chính đối với hoạt động bảo mật hiệu quả thường không phải là thiếu công nghệ, mà là khó khăn trong việc vận hành công nghệ bảo mật như một khả năng nhất quán và liên tục.
Kỹ năng, năng lực và phạm vi phủ sóng hạn chế
Hoạt động bảo mật hiệu quả đòi hỏi đủ năng lực phân tích và chuyên môn để điều tra các mối đe dọa đáng tin cậy trong khung thời gian chấp nhận được. Việc giao trách nhiệm bảo mật cho nhân viên CNTT hiện có không tự động tạo ra khả năng vận hành bền vững.
Các nhóm nhỏ hơn có thể gặp khó khăn trong việc duy trì giám sát liên tục đồng thời xử lý sự cố, quản lý các công cụ bảo mật và hỗ trợ các nhu cầu kinh doanh rộng hơn. Những áp lực này có thể tạo ra những lỗ hổng trong phạm vi giám sát hoặc khiến nhân viên giàu kinh nghiệm không có đủ thời gian cho các cuộc điều tra phức tạp. Do đó, các tổ chức có thể cần kết hợp các nguồn lực nội bộ với tự động hóa, sắp xếp trực ca, dịch vụ MDR hoặc mô hình hoạt động kết hợp.
Khả năng hiển thị rời rạc và quy trình làm việc không liên kết
Thông tin bảo mật thường nằm rải rác trên các nền tảng điểm cuối, nhận dạng, mạng, đám mây và ứng dụng riêng biệt. Các nhà phân tích có thể cần phải chuyển đổi giữa nhiều bảng điều khiển và kết nối thủ công các sự kiện liên quan trước khi họ có thể hiểu được phạm vi của một sự cố.
Thách thức thường không nằm ở việc thiếu dữ liệu, mà là việc chuyển đổi các tín hiệu rời rạc thành một bức tranh rõ ràng về sự cố và một phản ứng phối hợp. Các công cụ bổ sung có thể làm trầm trọng thêm vấn đề khi chúng đưa ra thêm nhiều cảnh báo và quy trình làm việc mà không cải thiện quá trình điều tra.
Quyền sở hữu và thẩm quyền ra quyết định không rõ ràng.
SecOps phụ thuộc vào sự phối hợp giữa bộ phận an ninh, CNTT, chủ sở hữu ứng dụng và các nhà lãnh đạo doanh nghiệp. Sự chậm trễ phát sinh khi trách nhiệm xử lý cảnh báo không rõ ràng, quy trình leo thang được xác định kém hoặc người ứng phó thiếu thẩm quyền để ngăn chặn mối đe dọa đã được xác nhận.
Những sự chậm trễ này không phải lúc nào cũng là do quản trị yếu kém. Việc cô lập một hệ thống sản xuất, vô hiệu hóa một tài khoản quan trọng hoặc làm gián đoạn một quy trình kinh doanh có thể gây ra những hậu quả nghiêm trọng về mặt vận hành. Do đó, các tổ chức cần có quyền quyết định hỗ trợ việc ngăn chặn kịp thời đồng thời tính đến tác động đến hoạt động kinh doanh.
Áp lực vận hành cản trở sự cải tiến.
Các nhóm chịu áp lực vận hành liên tục thường tập trung vào cảnh báo hoặc sự cố ngay trước mắt. Việc tinh chỉnh hệ thống phát hiện, săn lùng mối đe dọa, xây dựng kế hoạch hành động, đào tạo và khắc phục nguyên nhân gốc rễ sau đó liên tục bị trì hoãn.
Điều này có thể tạo ra một vòng luẩn quẩn trong đó nhóm vẫn hoạt động nhưng liên tục gặp phải cùng một loại cảnh báo, thiếu sót về khả năng quan sát và các điểm yếu lặp đi lặp lại. Hoạt động bảo mật hiệu quả đòi hỏi không chỉ khả năng xử lý các mối đe dọa hiện tại mà còn phải cải thiện cách thức phát hiện và ứng phó với các mối đe dọa trong tương lai.
Làm thế nào các tổ chức có thể xây dựng hệ thống vận hành bảo mật (SecOps) hiệu quả?
Việc xây dựng hệ thống SecOps hiệu quả cần bắt đầu từ các kết quả bảo mật mà tổ chức cần đạt được và mô hình vận hành cần thiết để đạt được chúng. Công nghệ nên hỗ trợ mô hình đó chứ không phải định hình nó.
Xác định các kết quả cần đạt được và mô hình phạm vi bao phủ
Các tổ chức trước tiên nên xác định các hệ thống, danh tính, dữ liệu và dịch vụ kinh doanh quan trọng nhất. Sau đó, họ có thể xác định những mối đe dọa nào cần được phát hiện, thời gian bắt đầu điều tra và mức độ phản ứng cần thiết.
Những yêu cầu này cung cấp cơ sở rõ ràng hơn để quyết định cách thức triển khai SecOps. Một số tổ chức có thể cần một trung tâm điều hành an ninh (SOC) hoạt động 24/7 với đầy đủ nhân viên. Những tổ chức khác có thể kết hợp việc giám sát nội bộ với tự động hóa, nhân viên trực, nhà cung cấp dịch vụ xử lý sự cố (MDR) hoặc mô hình kết hợp. Mô hình phù hợp là mô hình có thể liên tục phát hiện và phản hồi các rủi ro đáng kể trong khung thời gian chấp nhận được.
Tích hợp quy trình làm việc về khả năng hiển thị và phản hồi
SIEM, XDR, bảo mật điểm cuối, giám sát mạng, tự động hóa và tình báo mối đe dọa đều có thể đóng góp vào SecOps. Những công cụ và quy trình này tạo ra giá trị lớn hơn khi chúng hỗ trợ một quy trình điều tra và phản hồi mạch lạc thay vì hoạt động thông qua các hệ thống rời rạc.
Việc tích hợp sẽ giúp giảm thiểu các cảnh báo trùng lặp, tìm kiếm thủ công và thao tác không cần thiết giữa các bảng điều khiển. Tự động hóa có thể làm phong phú thêm các tín hiệu, liên kết các hoạt động liên quan và thực hiện các bước phản hồi có thể dự đoán được. Nhờ đó, các nhà phân tích có thể tập trung vào công việc đòi hỏi sự phán đoán, bối cảnh kinh doanh và sự phối hợp.
Xác định rõ quyền sở hữu và quyền quyết định.
Tổ chức cần xác định rõ ai là người giám sát các tín hiệu an ninh, ai là người dẫn đầu các cuộc điều tra, ai là người điều phối phản ứng và ai có quyền phê duyệt biện pháp ngăn chặn. Các cảnh báo quan trọng cần có người chịu trách nhiệm rõ ràng, quy trình leo thang và khung thời gian phản hồi dự kiến.
Cần có sự thống nhất về thẩm quyền ra quyết định trước khi sự cố xảy ra. Các hành động có rủi ro thấp hơn có thể được tự động hóa hoặc được phê duyệt trước, trong khi các biện pháp gây gián đoạn có thể cần sự tham gia của chủ sở hữu hệ thống hoặc lãnh đạo doanh nghiệp. Điều này cho phép tổ chức hành động nhanh chóng mà không bỏ qua hậu quả về mặt vận hành của việc ngăn chặn sự cố.
Bảo vệ năng lực để cải tiến liên tục
Hoạt động bảo mật hiệu quả phải được cải thiện giữa các sự cố. Các tổ chức nên dành thời gian để tinh chỉnh các phương pháp phát hiện, giảm thiểu cảnh báo sai, cập nhật quy trình xử lý sự cố, tăng cường tích hợp, phát triển kỹ năng của các nhà phân tích và giải quyết các nguyên nhân lặp đi lặp lại của các sự kiện bảo mật.
Nếu không có dung lượng được bảo vệ dành riêng cho công việc này, các nhóm có thể vẫn phải bận rộn với các cảnh báo hàng ngày trong khi những lỗ hổng về khả năng hiển thị, quy trình làm việc kém hiệu quả và những điểm yếu lặp đi lặp lại vẫn tiếp diễn.
Đo lường kết quả, không phải hoạt động.
Số lượng cảnh báo, khối lượng vụ việc và khối lượng công việc của các nhà phân tích cho thấy mức độ hoạt động đang diễn ra, nhưng không cho biết liệu tổ chức có đang trở nên an toàn hơn hay không.
Các biện pháp hữu ích hơn đánh giá tốc độ phát hiện các mối đe dọa đáng tin cậy, hiệu quả điều tra, liệu việc ngăn chặn có hạn chế được tác động của chúng hay không, và liệu các điểm yếu được xác định trong quá trình xảy ra sự cố đã được giải quyết hay chưa. Các chỉ số cũng nên cho thấy sự chậm trễ giữa các giai đoạn. Phát hiện nhanh chóng có giá trị hạn chế nếu việc phê duyệt làm chậm quá trình ngăn chặn, trong khi việc nhanh chóng đóng vụ việc lại không có ý nghĩa nếu vấn đề cơ bản vẫn còn tồn tại.
Mục đích của việc đo lường là để đánh giá và cải thiện hiệu suất của toàn bộ hoạt động SecOps, chứ không chỉ đơn thuần là để chứng minh rằng nhóm đang bận rộn.
Kết luận: SecOps là một năng lực vận hành.
Hoạt động bảo mật không được định nghĩa bởi số lượng công cụ, quy mô nhóm hay một trung tâm điều hành an ninh (SOC) chính thức. Nó tồn tại khi con người, công nghệ và quy trình phối hợp với nhau tạo thành một năng lực bền vững để giám sát các mối đe dọa, đưa ra quyết định sáng suốt, phối hợp ứng phó và cải thiện khả năng phòng thủ theo thời gian. Đó là sự khác biệt giữa việc sở hữu công nghệ bảo mật và việc vận hành nó để bảo vệ tổ chức.
Câu hỏi thường gặp về Vận hành An ninh (SecOps)
Hoạt động bảo mật, hay SecOps, là chức năng thường trực chịu trách nhiệm phát hiện, điều tra và ứng phó với các mối đe dọa mạng trong môi trường CNTT đang hoạt động của một tổ chức. Nó tập hợp các chuyên gia bảo mật, công nghệ, thông tin tình báo về mối đe dọa và các quy trình ứng phó để biến các tín hiệu bảo mật thành hành động có căn cứ. SecOps hiệu quả cũng được cải thiện theo thời gian bằng cách tinh chỉnh các phương pháp phát hiện, cập nhật các quy trình ứng phó và khắc phục các điểm yếu được xác định trong quá trình điều tra.
Nhóm SecOps giám sát môi trường của tổ chức để phát hiện các hoạt động đáng ngờ, điều tra các mối đe dọa tiềm tàng và phối hợp ngăn chặn, khắc phục và phục hồi khi sự cố được xác nhận. Nhóm có thể phân tích hoạt động trên thiết bị đầu cuối, danh tính, mạng, email, ứng dụng và đám mây. Nhóm cũng cải thiện các quy tắc phát hiện, giảm thiểu cảnh báo sai, tiến hành săn lùng mối đe dọa, duy trì các kế hoạch ứng phó và làm việc với các nhóm CNTT và kinh doanh trong các sự cố bảo mật.
SecOps hoạt động như một chu trình liên tục. Các công cụ bảo mật thu thập và phân tích dữ liệu từ toàn bộ môi trường, sau đó xác định các hoạt động có thể cho thấy mối đe dọa. Các nhà phân tích bảo mật điều tra những tín hiệu đó, xác định phạm vi và tác động đến hoạt động kinh doanh, và phối hợp phản ứng thích hợp. Bài học từ mỗi cuộc điều tra sau đó được sử dụng để cải thiện khả năng hiển thị, độ chính xác phát hiện, quy trình phản hồi và các biện pháp kiểm soát bảo mật. Quy trình khép kín này phân biệt hoạt động bảo mật chủ động với việc chỉ đơn thuần sở hữu công nghệ bảo mật.
SecOps là năng lực vận hành an ninh, trong khi trung tâm vận hành an ninh (SOC) là một cách để tổ chức và triển khai năng lực đó. SOC có thể là một nhóm nội bộ, một chức năng ảo, một dịch vụ thuê ngoài hoặc một mô hình kết hợp. Do đó, một tổ chức có thể vận hành SecOps hiệu quả mà không cần duy trì SOC vật lý hoặc đầy đủ nhân viên của riêng mình. Điều quan trọng là phải giám sát liên tục, xác định rõ trách nhiệm và khả năng điều tra và phản hồi trong khung thời gian chấp nhận được.
SecOps tập trung vào việc bảo vệ môi trường hoạt động thực tế của tổ chức trước các mối đe dọa mạng hiện tại và mới nổi. DevSecOps tích hợp bảo mật vào quy trình phát triển và phân phối phần mềm để các lỗ hổng và rủi ro bảo mật được giải quyết sớm hơn trong vòng đời phần mềm. Hai chức năng này có sự chồng chéo nhưng phục vụ các mục đích khác nhau: DevSecOps giúp xây dựng và phát hành phần mềm một cách an toàn, trong khi SecOps giám sát và bảo vệ các hệ thống, ứng dụng, danh tính và dữ liệu sau khi chúng đi vào hoạt động.
Không phải tổ chức nào cũng cần một trung tâm điều hành an ninh mạng (SOC) nội bộ hoạt động 24/7. Mức độ phủ sóng cần thiết phụ thuộc vào rủi ro kinh doanh, giờ hoạt động, nghĩa vụ pháp lý và tốc độ phản hồi của tổ chức đối với các mối đe dọa. Một số tổ chức sử dụng SOC nội bộ toàn thời gian, trong khi những tổ chức khác kết hợp các nhóm nội bộ với tự động hóa, nhân viên trực, nhà cung cấp dịch vụ phát hiện và phản hồi được quản lý, hoặc mô hình kết hợp. Hoạt động an ninh mạng hiệu quả đòi hỏi sự phủ sóng đáng tin cậy và hành động kịp thời, không nhất thiết phải có nhân viên nội bộ trực 24/7.
