ISO 27001 or NIST CSF: Which Is Right for Your Business?

NIST Draft Puts IoT Cybersecurity Into the Risk Management Process

NIST công bố bản nháp cập nhật SP 800-213 Rev.1, mở rộng hướng dẫn bảo mật IoT cho các cơ quan liên bang bằng cách chuyển trọng tâm từ thiết bị đơn lẻ sang toàn bộ "sản phẩm IoT" (bao gồm phần cứng, phần mềm, dịch vụ đám mây, firmware và phụ thuộc nhà cung cấp). Bản nháp tích hợp rủi ro IoT vào quy trình quản lý rủi ro tổ chức, yêu cầu đánh giá sản phẩm kết nối trước khi mua và triển khai.

Lập trình viên nên đọc để hiểu cách quản lý rủi ro trong hệ sinh thái IoT phức tạp, từ thiết kế sản phẩm đến phụ thuộc bên thứ ba, giúp họ xây dựng giải pháp an toàn và tuân thủ tiêu chuẩn hiệu quả trong các dự án phát triển.

Proposed US law would make AI risk reporting a legal obligation

Dự luật AI Incident Reporting Act của Mỹ đề xuất bắt buộc các nhà phát triển mô hình AI tiên tiến phải báo cáo sự cố an toàn, bảo mật nghiêm trọng (như vượt quyền kiểm soát, chống tắt, hỗ trợ tấn công mạng hay phát triển vũ khí hủy diệt) cho Bộ Thương mại trong vòng 7 ngày. Vi phạm có thể bị phạt tới 2 triệu USD, và báo cáo được miễn công khai. Việc triển khai phụ thuộc vào cách định nghĩa ngưỡng năng lực và điều kiện kích hoạt báo cáo.

Lập trình viên nên đọc để hiểu cách luật mới của Mỹ có thể ảnh hưởng đến quản lý rủi ro AI trong dự án của mình, từ đó giúp họ chuẩn bị sẵn sàng về quy trình báo cáo, đánh giá khả năng an toàn và tuân thủ pháp luật trước khi phát triển hoặc triển khai mô hình AI.

GDPR at 10: Landmark data protections, increasing business burden

Ten years after GDPR came into force, the regulation has achieved significant data protection milestones — 71% of German companies now comply, up from 7% in 2018, and total fines have exceeded €6 billion. However, business dissatisfaction is growing: 81% of companies say GDPR complicates their processes, and 97% rate compliance effort as high. The biggest emerging tension is with AI development, where 69% of companies say data protection makes it difficult to train AI models with sufficient data. Industry groups like Bitkom are calling for a risk-oriented reform that eases formal burdens while maintaining protections where real risks exist, warning that AI is being developed outside Europe while still being used there — offering neither data protection benefits nor competitive advantages for the EU.

GRC is broken. FedRAMP 20x might fix it

Traditional compliance frameworks like SOC 2 and ISO 27001 have become performative exercises in storytelling rather than genuine security assurance. FedRAMP 20x is pushing a fundamentally different model: machine-readable evidence, APIs, telemetry, and continuous operational visibility instead of point-in-time snapshots and curated screenshots. The author shares their firsthand experience navigating FedRAMP 20x, including entering the moderate pilot without completing the low pathway first, and argues that the discomfort of exposing full operational truth — including bypassed approvals, drift events, and identity lifecycle failures — is precisely the point. The broader GRC engineering movement mirrors this shift, treating compliance as an engineering discipline with telemetry pipelines and continuous assurance rather than annual documentation exercises. The future of trust, the author argues, will be queryable operational data rather than polished PDF certifications.

Why AI and Compliance Are Forcing A New Security Operating Model, with Rapid7's Corey Thomas & Sabeen Malik

Rapid7's Corey Thomas and Sabeen Malik discuss how frontier AI and evolving compliance requirements are forcing a new security operating model. AI is accelerating vulnerability discovery faster than existing standards and governance frameworks can handle, creating noise rather than safety unless paired with exploitability context. Compliance is shifting from annual snapshots to continuous evidence collection. The future model is AI-driven but human-led, connecting security operations, risk management, and compliance through live operational context rather than disconnected reports.

How to Build Enterprise Cloud Governance That Scales

A practical guide to building scalable enterprise cloud governance frameworks. Covers the three operating models (centralized, decentralized, federated), common governance challenges at scale such as drift, IAM gaps, and compliance failures, and a seven-step framework: auditing assets, defining policies, automating enforcement, continuous monitoring, breach response, shared accountability, and iterative review. Also covers regulatory drivers including GDPR, HIPAA, PCI DSS, and SOC 2, along with best practices around auditability, automation, and feedback loops. The post concludes with a walkthrough of how Spacelift supports governance through policy-as-code, drift detection, and IaC orchestration.

The EU CRA Doesn’t Change What Good Open Source Governance Looks Like. It Just Makes the Accountability Visible.

EU Cyber Resilience Act (CRA) chính thức hóa các nghĩa vụ quản trị phần mềm nguồn mở mà các tổ chức tốt đã thực hiện, nhưng chỉ khiến trách nhiệm trở nên minh bạch hơn. Đến hạn thi hành vào tháng 12/2027, CRA yêu cầu quy trình phê duyệt nguồn mở có tài liệu, SBOM liên tục, chuỗi nguồn gốc kiểm toán được và báo cáo lỗ hổng từ tháng 9/2026, trong khi phần lớn doanh nghiệp vẫn chưa sẵn sàng.

Lập trình viên nên đọc bài này để hiểu cách CRA EU không chỉ là một quy định mới mà là cơ hội để cải thiện quản lý mã nguồn mở hiện tại, từ việc giảm chi phí fork riêng sang việc hợp tác hiệu quả và đảm bảo tuân thủ một cách bền vững.