1. 13:16 12/08/2026
CẢNH BÁO THỰC TẾ
EDR, WAF, scanner, SIEM, SSO và backup đều có thể được bật nhưng cấu hình sai, thiếu license, thiếu log, rule không chạy hoặc alert không có người xử lý. Tổ chức thường phát hiện vấn đề này đúng lúc cần đến kiểm soát, khi thời gian xử lý đã bị thu hẹp đáng kể.
Thay vì chỉ kiểm tra trạng thái enabled, hãy xác minh theo kết quả:
1. Chọn các tình huống phòng thủ quan trọng như đăng nhập bị từ chối nhiều lần, nâng quyền bất thường, thay đổi policy cloud, upload file bị chặn, service gọi đích không được phép hoặc backup restore.
2. Xác định tín hiệu nào phải xuất hiện, ở công cụ nào, ai nhận alert, thời gian phản hồi mục tiêu và hành động kế tiếp.
3. Diễn tập có kiểm soát trong môi trường phù hợp; không gây ảnh hưởng production khi chưa có phê duyệt và kế hoạch rollback.
4. Theo dõi coverage: endpoint nào không có log, asset nào không được quản lý, account nào không áp MFA, nguồn dữ liệu nào bị ngắt.
5. Ghi nhận false positive/false negative, chỉnh rule và cập nhật runbook sau mỗi lần diễn tập.
Mục tiêu là bằng chứng kiểm soát hoạt động xuyên suốt con người, quy trình và công nghệ. Một dashboard xanh không phải bằng chứng nếu alert không đến được đúng người hoặc không có khả năng hành động.