Dự thảo tiêu chuẩn quốc gia về nền tảng tri thức mối đe dọa an ninh mạng (TIP) hiện đang ở giai đoạn lấy ý kiến, tạm mang số hiệu TCVN XXXXX:2026 với tên “An ninh mạng – Nền tảng tri thức mối đe dọa an ninh mạng (TIP) – Yêu cầu chung”. Dự thảo do Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao biên soạn, Bộ Công an đề nghị, Ủy ban Tiêu chuẩn Đo lường Chất lượng Quốc gia thẩm định và Bộ Khoa học và Công nghệ công bố. Nếu bài trước chúng tôi phân tích dự thảo tiêu chuẩn cho SIEM, thì đây là văn bản anh em của nó: tiêu chuẩn cho nền tảng tiếp nhận, xử lý và chia sẻ tri thức về mối đe dọa. Bài viết tóm tắt cấu trúc, phạm vi và các nhóm yêu cầu chính ở mức khái quát, không trích nguyên văn điều khoản và không nêu các ngưỡng định lượng trong dự thảo.
1. Dự thảo này là gì và đang ở đâu
Trước hết cần nói rõ: đây là dự thảo, số hiệu còn để trống và nội dung có thể thay đổi trong quá trình thẩm định và lấy ý kiến. Dự thảo chưa có hiệu lực và không được dùng làm căn cứ để khẳng định sản phẩm đã đạt chuẩn.
Lời nói đầu ghi rõ cơ quan biên soạn, cơ quan đề nghị, cơ quan thẩm định và cơ quan công bố theo khuôn mẫu của một TCVN. Lời giới thiệu nêu mục tiêu của tiêu chuẩn: bảo đảm chất lượng sản phẩm, phục vụ mục tiêu nâng cao năng lực giám sát, chia sẻ thông tin và chủ động bảo vệ hệ thống thông tin trước các mối đe dọa trên không gian mạng, đồng thời khuyến khích cơ quan, tổ chức chủ quản triển khai TIP đáp ứng đầy đủ yêu cầu và kết hợp với các biện pháp quản lý, kỹ thuật, vận hành khác.
Một chi tiết đáng chú ý: lời giới thiệu cho biết tiêu chuẩn được xây dựng trên cơ sở kế thừa, cập nhật và nâng cấp yêu cầu kỹ thuật cơ bản đối với sản phẩm nền tảng tri thức mối đe dọa an toàn thông tin đã ban hành tại Quyết định số 1517/QĐ-BTTTT ngày 06/10/2021 của Bộ trưởng Bộ Thông tin và Truyền thông. Nói cách khác, đây không phải một bộ yêu cầu hoàn toàn mới, mà là bước chuyển hoá một bộ yêu cầu kỹ thuật do bộ quản lý chuyên ngành ban hành trước đó lên thành tiêu chuẩn quốc gia.
2. Vì sao TIP được tách thành tiêu chuẩn riêng
Trong dự thảo tiêu chuẩn cho SIEM mà chúng tôi đã phân tích, phạm vi được giới hạn rõ: yêu cầu kỹ thuật đối với sản phẩm SOAR và sản phẩm TIP do tiêu chuẩn quốc gia riêng quy định. Dự thảo về TIP chính là mảnh ghép đó. Hai tiêu chuẩn cùng hướng tới mục tiêu nâng cao năng lực giám sát và chia sẻ thông tin, nhưng đối tượng sản phẩm khác nhau: SIEM tập trung vào nhật ký sự kiện sinh ra trong hệ thống thông tin của chính tổ chức, còn TIP tập trung vào tri thức về mối đe dọa đến từ đa nguồn, trong đó phần lớn là nguồn bên ngoài tổ chức.
Chính vì lấy dữ liệu từ bên ngoài, nhóm yêu cầu đặc thù của TIP xoay quanh chuẩn hoá và hợp nhất dữ liệu đa nguồn, quản lý vòng đời chỉ báo, kiểm soát quyền chia sẻ theo mức độ nhạy cảm và khả năng tích hợp trở lại các hệ thống phòng thủ như SIEM, SOAR, EDR hay WAF. Điểm giao nhau giữa hai tiêu chuẩn nằm ở khả năng tích hợp: bản dự thảo SIEM dành một mục riêng cho tích hợp với TIP, còn bản dự thảo TIP dành một mục riêng cho việc phân phối dữ liệu tình báo tới các hệ thống bảo mật khác.
3. Phạm vi và cấu trúc của dự thảo
Phạm vi áp dụng chỉ một câu: tiêu chuẩn quy định các yêu cầu chung về an ninh mạng đối với nền tảng tri thức mối đe dọa an ninh mạng. Dự thảo gọn hơn nhiều so với bản dự thảo SIEM: khoảng 16 trang với 5 điều và một phụ lục tham khảo. Điều 1 phạm vi áp dụng; Điều 2 tài liệu viện dẫn; Điều 3 thuật ngữ, định nghĩa và chữ viết tắt; Điều 4 yêu cầu chung về quản trị và an toàn của nền tảng; Điều 5 yêu cầu về chức năng nghiệp vụ của nền tảng; Phụ lục A là các chức năng mở rộng.
Có hai điểm về cấu trúc mà người làm hồ sơ nên nắm. Thứ nhất, Điều 2 ghi rõ trong tiêu chuẩn này không có tài liệu nào được viện dẫn, tức không có danh mục viện dẫn chuẩn tắc như thông lệ với nhiều TCVN khác; dù vậy phần nội dung vẫn nhắc tới các chuẩn trao đổi thông tin tình báo quốc tế như STIX/TAXII và các định dạng luật phát hiện như YARA, Sigma, Snort với cách diễn đạt “hoặc tương đương”. Thứ hai, ba trong số các yêu cầu cốt lõi (nhóm phân loại thông tin mối đe dọa, định dạng tệp nhập dữ liệu thủ công và định dạng tệp xuất báo cáo) được viết dưới dạng “tối thiểu hai trong các định dạng sau”, cho nhà sản xuất khoảng chọn linh hoạt mà vẫn có ngưỡng tối thiểu rõ ràng.
4. Thuật ngữ và chữ viết tắt
Điều 3 định nghĩa sáu thuật ngữ: an ninh mạng; nền tảng tri thức mối đe dọa an ninh mạng; thông tin tình báo mối đe dọa; chỉ báo xâm nhập (IoC); thời gian duy trì phiên kết nối; và xác thực đa nhân tố. Đáng chú ý là định nghĩa về TIP được viết theo hướng nhấn mạnh chức năng “từ đa nguồn”, còn định nghĩa về thông tin tình báo mối đe dọa nhấn mạnh khâu đã qua tổng hợp, phân tích, diễn giải hoặc làm phong phú để phục vụ ra quyết định, tức phân biệt dữ liệu thô với tri thức đã qua xử lý.
Danh mục chữ viết tắt gồm API, EDR, IoC, IP, SIEM, SOAR, STIX, TAXII, TIP, TLP và WAF. Sự xuất hiện của TLP trong danh mục này là điểm đáng lưu ý: giao thức đèn giao thông được đưa vào ngay từ phần thuật ngữ, báo hiệu rằng kiểm soát mức độ chia sẻ dữ liệu tình báo là một yêu cầu xuyên suốt chứ không chỉ là tuỳ chọn kỹ thuật.
5. Yêu cầu chung về quản trị và an toàn của nền tảng
Điều 4 gồm năm nhóm yêu cầu không phụ thuộc chức năng nghiệp vụ, đóng vai trò nền tảng để nền tảng có thể vận hành và được kiểm tra.
| Mục | Nhóm yêu cầu | Nội dung chính |
|---|---|---|
| 4.1 | Tài liệu | Tài liệu cài đặt, triển khai, thiết lập cấu hình; tài liệu tinh chỉnh để tối ưu thu thập, xử lý, chuẩn hóa, khử trùng lặp và giảm cảnh báo nhiễu; tài liệu về chức năng sử dụng, phân quyền quản trị và quy trình vận hành |
| 4.2 | Quản trị hệ thống | Quản lý vận hành, quản trị từ xa an toàn, quản lý xác thực và phân quyền người dùng |
| 4.3 | Kiểm soát lỗi | Bảo vệ cấu hình, bảo vệ dữ liệu nhật ký và dữ liệu ứng dụng, đồng bộ thời gian, sao lưu và phục hồi, cập nhật bản vá |
| 4.4 | Quản lý nhật ký | Nhật ký quản trị hệ thống, nhật ký cảnh báo, quản lý vòng đời lưu trữ nhật ký |
| 4.5 | Hiệu năng xử lý và khả năng mở rộng | Công bố ngưỡng thời gian phản hồi, công bố khối lượng dữ liệu tình báo lưu trữ và xử lý, mở rộng không gián đoạn |
Về quản trị hệ thống, dự thảo yêu cầu cấu hình được thời gian hệ thống và thời gian duy trì phiên kết nối, cho phép đăng xuất tài khoản đang có phiên hiệu lực và tìm kiếm dữ liệu bằng từ khoá để xem lại. Với quản trị từ xa, yêu cầu đáng chú ý là hỗ trợ xác thực đa nhân tố cho mọi kết nối quản trị từ xa, dùng giao thức mã hoá an toàn như TLS hoặc tương đương, tự động đăng xuất khi hết thời gian phiên, và cho phép giới hạn tham số kết nối như giới hạn địa chỉ IP hay số phiên đồng thời. Với quản lý xác thực và phân quyền, dự thảo yêu cầu hỗ trợ tài khoản mật khẩu với độ dài tối thiểu theo cấu hình mặc định và cho phép quản trị viên thiết lập, thay đổi độ phức tạp; thiết lập thời hạn yêu cầu đổi mật khẩu; phân nhóm tài khoản tối thiểu thành quản trị viên và người dùng thường; và hỗ trợ xác thực đa nhân tố.
Về kiểm soát lỗi, dự thảo đặt ra nguyên tắc chung: khi phải khởi động lại do lỗi phát sinh (trừ lỗi phần cứng), cấu hình hệ thống, cấu hình quản trị từ xa và cấu hình tài khoản và phân quyền đang áp dụng phải được giữ nguyên ở lần khởi động kế tiếp; dữ liệu đã lưu không bị thay đổi; và thời gian hệ thống tự đồng bộ về thời điểm hiện tại. Kèm theo là yêu cầu về lịch sao lưu định kỳ cho cấu hình và cơ sở dữ liệu, khả năng phục hồi từ tệp sao lưu, mã hoá bằng thuật toán mạnh chưa ghi nhận điểm yếu hay lỗ hổng bảo mật nghiêm trọng tại thời điểm áp dụng, và chức năng cập nhật bản vá cho chính nền tảng.
Về quản lý nhật ký, dự thảo liệt kê cụ thể các loại sự kiện phải ghi: đăng nhập, đăng xuất, thêm, sửa, xóa tài khoản và phân nhóm quyền; xác thực trước khi cho phép truy cập tài nguyên; áp dụng và hoàn tác thay đổi cấu hình; lệnh khởi động lại hoặc tắt hệ thống; mọi thao tác thêm, sửa, xóa đối với dữ liệu tình báo; và mọi thao tác xuất, phân phối, chia sẻ dữ liệu tình báo ra bên ngoài hệ thống. Trường thông tin của nhật ký quản trị gồm thời gian sinh nhật ký đầy đủ đến giây, địa chỉ IP hoặc định danh máy trạm, định danh tác nhân, hành vi thực hiện và kết quả thành công hay thất bại. Kiểm soát được hai mục cuối (thao tác với dữ liệu tình báo và thao tác chia sẻ ra ngoài) là điểm mạnh của dự thảo, vì đây là loại nhật ký mà các nền tảng nhập dữ liệu từ bên ngoài thường bỏ qua.
6. Hiệu năng xử lý và khả năng mở rộng
Mục 4.5 là phần gắn trực tiếp với nghiệm thu và đo kiểm. Cấu trúc của nhóm này gồm ba ý: nhà sản xuất phải công bố ngưỡng thời gian phản hồi tối đa cho việc tìm kiếm, truy vấn dữ liệu tình báo tương ứng với khối lượng dữ liệu và độ phức tạp truy vấn tối đa mà nền tảng công bố có thể xử lý trong cấu hình tối thiểu, và nền tảng phải đáp ứng đúng ngưỡng đã công bố khi được đánh giá; công bố số lượng bản ghi dữ liệu tình báo tối đa, tối thiểu có thể lưu trữ và xử lý; và nền tảng phải mở rộng được năng lực xử lý, lưu trữ mà không làm gián đoạn hoạt động.
Điểm mấu chốt về mặt kỹ thuật đánh giá nằm ở chữ “đã công bố”: yêu cầu không ấn định một con số chung cho mọi sản phẩm, mà buộc nhà sản xuất tự công bố ngưỡng của mình trong cấu hình tối thiểu, rồi phải chứng minh đúng ngưỡng đó. Cách viết này phù hợp với thực tế các TIP rất khác nhau về hướng tối ưu: có sản phẩm mạnh về khối lượng, có sản phẩm mạnh về độ phức tạp truy vấn; và cũng có nghĩa là khi kiểm tra, hồ sơ công bố của nhà sản xuất trở thành một phần của căn cứ đánh giá.
7. Năm nhóm chức năng nghiệp vụ của nền tảng
Điều 5 là phần trọng tâm, chia theo vòng đời của dữ liệu tình báo: thu thập, xử lý, quản lý vòng đời chỉ báo, chia sẻ và phân phối, cuối cùng là thống kê, cảnh báo và báo cáo.
| Mục | Nhóm chức năng | Trọng tâm |
|---|---|---|
| 5.1 | Thu thập và tiếp nhận dữ liệu tình báo | Đa nguồn, hai cách thức thu thập, chuẩn trao đổi quốc tế, chu kỳ thu thập theo từng nguồn, nhập tệp thủ công, các dạng dữ liệu có cấu trúc và phi cấu trúc |
| 5.2 | Xử lý dữ liệu tình báo | Chuẩn hóa về mô hình dữ liệu chung, quản lý các loại đối tượng, làm giàu, khử trùng lặp, phân loại theo nhóm, tìm kiếm và trực quan quan hệ |
| 5.3 | Quản lý vòng đời chỉ báo | Thời gian hiệu lực của chỉ báo, cơ chế tính điểm rủi ro, thu hồi hiệu lực trước hạn kèm lý do, trạng thái thẩm định và trao đổi nội bộ |
| 5.4 | Chia sẻ, phân phối, tích hợp và kiểm soát truy cập | API và Webhook, trao đổi theo chuẩn, xuất tệp, tích hợp tới SIEM, SOAR, EDR, WAF, ẩn danh hóa dữ liệu nhạy cảm, chia sẻ bộ luật phát hiện, kiểm soát theo TLP, nhận phản hồi đối sánh |
| 5.5 | Thống kê xu hướng, cảnh báo và báo cáo | Quản lý báo cáo theo mẫu, thống kê xu hướng mối đe dọa dạng biểu đồ, thiết lập và phân phối cảnh báo cho người dùng |
8. Thu thập và tiếp nhận dữ liệu tình báo
Yêu cầu đầu tiên là khả năng thu thập và lưu trữ thông tin mối đe dọa từ đa nguồn: nguồn tình báo mở, nguồn tình báo thương mại, nền tảng trao đổi tình báo, cộng đồng chia sẻ phi tập trung và nguồn dữ liệu nội bộ. Với mỗi mối đe dọa, dự thảo yêu cầu tối thiểu có mô tả tổng quan, mức độ nguy hiểm, mức độ tin cậy của dữ liệu, các phân nhóm được gán và các thuộc tính mô tả chi tiết.
Dự thảo cho phép cấu hình thu thập theo hai cách thức thủ công và tự động, hỗ trợ tiếp nhận theo chuẩn quốc tế STIX/TAXII, cho phép thiết lập và tuỳ chỉnh chu kỳ thời gian thu thập riêng cho từng nguồn cấp, cho phép nhập thủ công từ tệp tin với tối thiểu hai định dạng trong nhóm XML, JSON, CSV, TXT, XLSX, XLS, và yêu cầu thu thập được cả dữ liệu có cấu trúc, bán cấu trúc và phi cấu trúc. Chi tiết “chu kỳ thu thập riêng theo từng nguồn” đáng lưu ý trong thực tế: nguồn miễn phí thường cần tần suất khác nguồn thương mại có hạn mức truy vấn, và việc đặt chu kỳ chung cho tất cả các nguồn dễ dẫn tới vượt hạn mức hoặc dữ liệu cũ.
9. Xử lý dữ liệu tình báo
Đây là nhóm yêu cầu nặng nhất về kỹ thuật dữ liệu và cũng là phần quyết định chất lượng đầu ra của một TIP. Dự thảo yêu cầu chuẩn hoá toàn bộ dữ liệu đã lưu trữ về cùng một định dạng, tiêu chuẩn hoặc mô hình dữ liệu chung như STIX hoặc tương đương, một điểm quan trọng vì dữ liệu về cùng một mối đe dọa đến từ nhiều nguồn thường được mô tả theo cách khác nhau.
Về mô hình đối tượng, dự thảo yêu cầu quản lý tối thiểu các loại đối tượng: chỉ báo, dữ liệu quan sát, mã độc, mẫu hành vi tấn công, lỗ hổng bảo mật, tác nhân đe dọa, đối tượng mục tiêu, chiến dịch tấn công và mối quan hệ. Mỗi đối tượng cần có các trường như tên, mô tả, loại, thời gian tạo, nguồn cấp, mức độ tin cậy, thời gian phát hiện lần đầu và lần cuối, mức độ nghiêm trọng, nhãn đánh dấu kiểm soát dữ liệu và nạn nhân. Nền tảng phải có khả năng làm giàu dữ liệu tình báo và khử trùng lặp dữ liệu từ nhiều nguồn khác nhau, đồng thời bảo toàn bối cảnh và ngữ cảnh gốc của dữ liệu, một điều kiện dễ bị xem nhẹ khi triển khai nhưng lại quyết định chất lượng phân tích về sau.
Phần phân loại và tìm kiếm quy định tám nhóm gắn nhãn phục vụ mục đích tìm kiếm: điểm yếu, lỗ hổng bảo mật đã được công bố; họ mã độc; kỹ thuật tấn công; chiến dịch tấn công; mục đích tấn công; loại đối tượng, tổ chức bị tấn công; đối tượng, tổ chức thực hiện tấn công; và tên miền, địa chỉ IP của khách hàng có kết nối đến hạ tầng của đối tượng, tổ chức thực hiện tấn công. Nhóm cuối cùng là một yêu cầu khá đặc thù, cho thấy tiêu chuẩn hướng tới cả nhu cầu điều tra của cơ quan chức năng, không chỉ nhu cầu phòng thủ của doanh nghiệp. Kèm theo đó là yêu cầu tìm kiếm, lọc dữ liệu theo tối thiểu các tiêu chí: loại đối tượng dữ liệu, phân nhóm hoặc nhãn, tác nhân đe dọa, chiến dịch tấn công, khoảng thời gian, mức độ tin cậy và nhãn TLP.
Cuối cùng, dự thảo yêu cầu khả năng hiển thị trực quan mối quan hệ giữa các đối tượng có liên hệ với nhau dưới dạng sơ đồ liên kết, ví dụ giữa tác nhân đe dọa, chiến dịch tấn công, mã độc, chỉ báo và lỗ hổng bảo mật. Với phân tích viên, đây thường là chức năng được dùng nhiều nhất khi cần dựng bức tranh một chiến dịch tấn công từ các mảnh dữ liệu rời rạc.
10. Quản lý vòng đời chỉ báo
Chỉ báo xâm nhập là loại dữ liệu có tuổi thọ ngắn, nên dự thảo dành riêng một mục cho quản lý vòng đời. Bốn yêu cầu chính: cho phép thiết lập thời gian hiệu lực tĩnh cho chỉ báo và tự động chuyển sang trạng thái hết hiệu lực khi hết thời gian này; cho phép thiết lập cơ chế tính điểm rủi ro để phân loại, xếp thứ tự ưu tiên và từ đó xác định hành động xử lý phù hợp; cho phép quản trị viên hoặc phân tích viên chủ động thay đổi trạng thái hiệu lực của chỉ báo, bao gồm thu hồi hiệu lực trước hạn kèm theo lý do; và cho phép ghi chú, bình luận nội bộ cùng gán trạng thái thẩm định cho chỉ báo, ví dụ mới tiếp nhận, đang thẩm định, đã xác thực, đã công bố.
Hai chi tiết cuối cho thấy dự thảo coi TIP là công cụ làm việc nhóm chứ không chỉ là kho dữ liệu: trạng thái thẩm định và trao đổi nội bộ giữa các phân tích viên được quy định như một yêu cầu, và việc thu hồi hiệu lực bắt buộc kèm lý do giúp dựng lại được lịch sử quyết định khi cần rà soát.
11. Chia sẻ, phân phối, tích hợp và kiểm soát truy cập
Đây là mục quy định khả năng đưa tri thức về mối đe dọa tới nơi cần dùng và tới đúng đối tượng được phép nhận. Dự thảo yêu cầu cung cấp API và Webhook để chia sẻ dữ liệu tình báo; hỗ trợ chia sẻ, trao đổi luồng tình báo qua chuẩn STIX/TAXII; cho phép xuất, phân phối dữ liệu dưới dạng tệp tin tĩnh ở các định dạng CSV, JSON và STIX; cho phép tích hợp trực tiếp dữ liệu tình báo tới các giải pháp bảo mật khác như SIEM, SOAR, EDR, WAF; và cho phép chia sẻ dữ liệu nhật ký ứng dụng qua giao thức Syslog.
Ba yêu cầu tiếp theo thể hiện rõ định hướng quản trị dữ liệu. Thứ nhất, nền tảng phải cung cấp cơ chế ẩn danh hoá, làm sạch hoặc loại bỏ thông tin nhạy cảm, thông tin định danh cá nhân trước khi chia sẻ luồng tình báo ra hệ thống hoặc tổ chức bên ngoài, yêu cầu này gắn với trách nhiệm bảo vệ dữ liệu cá nhân khi chia sẻ thông tin. Thứ hai, nền tảng phải có khả năng chia sẻ và tích hợp các bộ quy tắc phát hiện tấn công như YARA, Sigma, Snort vào hệ thống giám sát để phục vụ phòng thủ, tức biến tri thức thành luật phát hiện cụ thể. Thứ ba, nền tảng phải hỗ trợ gán nhãn và kiểm soát truy cập dữ liệu tình báo theo giao thức TLP, cho phép giới hạn phạm vi người nhận theo mức độ nhạy cảm của dữ liệu.
Một chi tiết khép kín vòng lặp cũng được quy định: nền tảng phải tiếp nhận và ghi nhận thông tin phản hồi về kết quả đối sánh chỉ báo từ các giải pháp bảo mật đã tích hợp, ví dụ SIEM, SOAR hay EDR, làm cơ sở cập nhật mức độ ưu tiên hoặc điểm rủi ro của chỉ báo ở mục quản lý vòng đời. Nói cách khác, chỉ báo đối sánh trúng nhiều lần sẽ được đánh giá khác với chỉ báo chưa từng khớp, và hệ thống phải tự học được điều đó từ phản hồi thực tế.
12. Thống kê xu hướng, cảnh báo và báo cáo
Nhóm cuối của Điều 5 gồm ba khối chức năng trên giao diện đồ họa. Về quản lý báo cáo: cho phép tạo mới, xem lại, xóa báo cáo; tạo báo cáo theo mẫu đã định nghĩa trước; áp dụng các quy tắc tìm kiếm để thêm, lọc, tinh chỉnh nội dung báo cáo; chọn định dạng tệp xuất với tối thiểu hai định dạng trong nhóm DOCX, DOC, XLSX, XLS, PDF, HTML, XML; và tải về tệp báo cáo đã xuất.
Về thống kê xu hướng: cho phép thống kê các mối đe dọa trên thế giới dưới dạng biểu đồ và tìm kiếm dữ liệu xu hướng theo thời gian. Về cảnh báo: cho phép nhận cảnh báo theo các phân nhóm đã định nghĩa trước, thiết lập thời gian nhận cảnh báo, tải nội dung cảnh báo dưới dạng tệp tin, hiển thị nội dung cảnh báo trên giao diện quản lý cảnh báo, và nhận cảnh báo qua thư điện tử hoặc tin nhắn.
Nhóm này nhìn qua có vẻ là phần “phụ” so với các nhóm dữ liệu, nhưng trong thực tế vận hành nó lại quyết định sản phẩm có dùng được hằng ngày hay không: một TIP không đẩy được cảnh báo tới đúng người, đúng thời điểm và không xuất được báo cáo theo mẫu sẵn có thì thường chỉ dừng ở mức kho tra cứu.
13. Phụ lục A: các chức năng mở rộng
Phụ lục A mang tính tham khảo, nghĩa là không phải yêu cầu bắt buộc. Phụ lục liệt kê bảy nhóm chức năng mở rộng: giám sát và hiển thị danh sách tài khoản đăng nhập bị lộ lọt kèm tên người dùng, mật khẩu và nguồn phát tán; giám sát, thêm mới và quản lý thông tin rò rỉ từ mạng lưới web đen; quản lý và chia sẻ danh sách tên miền giả mạo, trang web hoặc mạng xã hội giả mạo, ứng dụng giả mạo; quản lý, giám sát và cảnh báo về tài liệu nội bộ, dữ liệu nhạy cảm của tổ chức bị lộ lọt trên không gian mạng; ứng dụng trí tuệ nhân tạo và học máy để hỗ trợ tự động xử lý, làm giàu dữ liệu, tóm tắt báo cáo tình báo hoặc hỗ trợ truy vấn; tự động hóa các tác vụ lặp lại trong quá trình thu thập, làm giàu và phân tích dữ liệu tình báo nội tại; và cung cấp hướng dẫn thiết lập kịch bản tự động hóa phục vụ phân tích, làm giàu dữ liệu.
Một giới hạn được ghi rõ trong phụ lục: phần tự động hóa chỉ áp dụng cho các tác vụ lặp lại trong nội bộ TIP, không bao gồm điều phối và tự động hóa quy trình ứng phó sự cố, lĩnh vực thuộc phạm vi của sản phẩm SOAR. Chi tiết này cho thấy ban soạn thảo phân định ranh giới giữa TIP và SOAR khá rõ ràng xuyên suốt văn bản, và người làm hồ sơ có thể dùng chính ranh giới đó để phân chia phạm vi đánh giá giữa hai sản phẩm.
14. Doanh nghiệp và tổ chức cần chuẩn bị gì
Với nhà sản xuất và đơn vị cung cấp giải pháp, việc cần làm trước tiên là rà soát sản phẩm theo ba lớp: bộ tài liệu (cài đặt, tinh chỉnh, chức năng và quy trình vận hành); nhóm yêu cầu quản trị và an toàn; và năm nhóm chức năng nghiệp vụ. Điểm dễ bị đánh trượt nhất theo kinh nghiệm là phần tài liệu: dự thảo yêu cầu tài liệu tinh chỉnh để tối ưu thu thập, xử lý, chuẩn hoá, khử trùng lặp và giảm cảnh báo nhiễu, một loại tài liệu mà nhiều nhà sản xuất chưa có sẵn. Bên cạnh đó là hồ sơ công bố ngưỡng hiệu năng theo mục 4.5, vì đây sẽ là căn cứ đánh giá.
Với tổ chức triển khai, dù là doanh nghiệp tự vận hành hay đơn vị cung cấp dịch vụ giám sát, nên chuẩn bị trước những nội dung mà tiêu chuẩn sẽ đòi: danh mục nguồn tình báo và chu kỳ thu thập cho từng nguồn; chính sách thời gian hiệu lực của chỉ báo và quy trình thu hồi kèm lý do; quy tắc gán nhãn TLP và đối tượng được phép nhận từng mức; quy trình ẩn danh hoá dữ liệu trước khi chia sẻ ra bên ngoài; và quy trình thẩm định chỉ báo với các trạng thái nội bộ.
Với phòng thử nghiệm và tổ chức đánh giá sự phù hợp, đây là cơ hội chuẩn bị năng lực đánh giá cho một loại sản phẩm mới bên cạnh các sản phẩm an ninh mạng đã quen thuộc, từ kiểm tra tài liệu, kiểm tra cấu hình tới đo kiểm hiệu năng theo ngưỡng công bố của nhà sản xuất. Với chủ hệ thống, cách dùng hợp lý nhất trong giai đoạn này là lấy dự thảo làm danh mục câu hỏi khi đánh giá nhà cung cấp, chứ chưa nên đưa các điều khoản của dự thảo vào hồ sơ mời thầu như một yêu cầu bắt buộc khi tiêu chuẩn chưa được ban hành.
15. Câu hỏi thường gặp
Dự thảo này đã có hiệu lực chưa?
Chưa. Dự thảo đang trong giai đoạn lấy ý kiến và thẩm định, tạm mang số hiệu TCVN XXXXX:2026, nội dung có thể thay đổi trước khi công bố.
Tiêu chuẩn này có bắt buộc không?
Tiêu chuẩn quốc gia áp dụng tự nguyện, chỉ trở thành bắt buộc khi được văn bản quy phạm pháp luật, quy chuẩn kỹ thuật, hợp đồng hoặc hồ sơ dự án viện dẫn.
Dự thảo TIP khác gì dự thảo về SIEM?
Hai tiêu chuẩn cho hai loại sản phẩm khác nhau và được ban soạn thảo tách ra để mỗi sản phẩm có bộ yêu cầu riêng. Dự thảo SIEM tập trung vào dữ liệu nhật ký sự kiện trong hệ thống của tổ chức; dự thảo TIP tập trung vào dữ liệu tình báo mối đe dọa đa nguồn, chuẩn hoá và chia sẻ theo mức độ nhạy cảm.
Có phải sản phẩm phải hỗ trợ mọi định dạng và mọi chuẩn được nhắc trong dự thảo?
Không. Với tệp nhập thủ công và tệp xuất báo cáo, dự thảo yêu cầu tối thiểu hai định dạng trong danh mục; với chuẩn trao đổi tình báo, dự thảo dùng cách diễn đạt STIX/TAXII hoặc mô hình dữ liệu chung tương đương.
Phụ lục A có phải yêu cầu bắt buộc?
Không. Phụ lục A ghi rõ là tham khảo, liệt kê các chức năng mở rộng như giám sát rò rỉ dữ liệu, quản lý tên miền giả mạo, ứng dụng trí tuệ nhân tạo và tự động hoá nội bộ.
16. Đọc kèm
- Dự thảo TCVN về SIEM: yêu cầu chung cho sản phẩm quản lý và phân tích sự kiện an ninh mạng
- Thông tư 125/2026/TT-BCA: camera giám sát vào danh mục rủi ro trung bình
- Luật 78/2025/QH15: nguyên tắc quản lý rủi ro, kiểm tra hàng nhập khẩu và công bố hợp quy
- Thông tư 14/2026/TT-BKHCN: 8 phương thức chứng nhận và cách chọn
- Chọn phòng thử nghiệm phù hợp để tuân thủ pháp luật Việt Nam
17. Tài liệu tham khảo
- Dự thảo TCVN XXXXX:2026 “An ninh mạng – Nền tảng tri thức mối đe dọa an ninh mạng (TIP) – Yêu cầu chung”, do Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao biên soạn, Bộ Công an đề nghị, Ủy ban Tiêu chuẩn Đo lường Chất lượng Quốc gia thẩm định, Bộ Khoa học và Công nghệ công bố. Dự thảo chưa có hiệu lực; bài viết chỉ tóm tắt cấu trúc, phạm vi và các nhóm yêu cầu.
- Quyết định số 1517/QĐ-BTTTT ngày 06/10/2021 của Bộ trưởng Bộ Thông tin và Truyền thông ban hành yêu cầu kỹ thuật cơ bản đối với sản phẩm nền tảng tri thức mối đe dọa an toàn thông tin, văn bản được dự thảo nêu là cơ sở kế thừa và nâng cấp.
- Tài liệu tham khảo được dự thảo liệt kê: NIST SP 800-150 về chia sẻ thông tin tình báo mối đe dọa mạng; báo cáo của ENISA về nền tảng tri thức mối đe dọa; hướng dẫn thị trường của Gartner năm 2024 về sản phẩm và dịch vụ tình báo mối đe dọa; báo cáo của Forrester quý I năm 2026 về các nhà cung cấp dịch vụ tình báo mối đe dọa bên ngoài.
18. Liên hệ
Nhà sản xuất nền tảng tri thức mối đe dọa, đơn vị cung cấp dịch vụ giám sát an ninh mạng và tổ chức đang chuẩn bị hồ sơ đánh giá nền tảng có thể gửi yêu cầu qua biểu mẫu dưới đây để trao đổi về phạm vi đánh giá và hồ sơ cần chuẩn bị trước khi tiêu chuẩn được ban hành.
Bài viết phân tích một dự thảo tiêu chuẩn chưa được ban hành, chỉ nhằm mục đích thông tin, không thay thế văn bản tiêu chuẩn và không phải tư vấn kỹ thuật hay pháp lý cho một trường hợp cụ thể. Nội dung dự thảo có thể thay đổi trước khi công bố; bài chỉ trình bày cấu trúc, phạm vi và các nhóm yêu cầu, không trích nguyên văn điều khoản và không nêu các ngưỡng định lượng trong dự thảo. Khi tiêu chuẩn được ban hành, đề nghị sử dụng văn bản chính thức cùng các văn bản quy phạm pháp luật hiện hành.
