Tư vấn chuyển đổi số hạ tầng ứng dụng bảo mật

Chuyển đổi số hạ tầng ứng dụng chỉ bền vững khi bảo mật được thiết kế ngay từ đầu, không phải lớp vá thêm sau khi hệ thống đã chạy. Một lộ trình hợp lý thường gồm: đánh giá hiện trạng và rủi ro, xác định kiến trúc đích theo nguyên tắc Zero Trust, di chuyển ứng dụng theo từng đợt, tự động hóa kiểm soát bảo mật trong quy trình phát triển, và vận hành có giám sát, sao lưu, ứng phó sự cố. Bài viết này đóng vai trò khung tư vấn để lãnh đạo và đội kỹ thuật cùng thống nhất cách làm.

Những dấu hiệu hạ tầng cần chuyển đổi

Nhiều doanh nghiệp bắt đầu chuyển đổi khi gặp một hoặc nhiều tình huống sau:

• Ứng dụng chạy trên máy chủ cũ, hệ điều hành hết hạn hỗ trợ, không còn bản vá bảo mật.
• Mỗi lần phát hành phiên bản mới mất nhiều ngày, phụ thuộc vào thao tác thủ công của một vài người.
• Tài khoản quản trị dùng chung, không rõ ai đã thay đổi cấu hình gì.
• Không có bản sao lưu được kiểm thử khôi phục, hoặc bản sao lưu nằm cùng mạng với hệ thống chính.
• Nhân viên làm việc từ xa nhưng truy cập hệ thống nội bộ qua VPN cấp quyền rộng.
• Khách hàng, đối tác bắt đầu yêu cầu chứng minh tuân thủ về bảo vệ dữ liệu.

Giai đoạn 1: Đánh giá hiện trạng

Không thể bảo vệ thứ mình không biết là đang có. Giai đoạn đánh giá cần tạo ra bốn sản phẩm:

1. Danh mục tài sản: máy chủ, ứng dụng, cơ sở dữ liệu, tên miền, tài khoản dịch vụ đám mây, thư viện phần mềm.
2. Bản đồ luồng dữ liệu: dữ liệu cá nhân và dữ liệu nhạy cảm đi từ đâu, lưu ở đâu, ai truy cập.
3. Đánh giá rủi ro: xếp hạng theo khả năng xảy ra và mức độ ảnh hưởng, dựa trên các khung tham chiếu như ISO/IEC 27001 hoặc NIST Cybersecurity Framework.
4. Khoảng cách tuân thủ: đối chiếu với quy định áp dụng, ví dụ Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân tại Việt Nam và các văn bản liên quan, cũng như yêu cầu của đối tác nước ngoài.

Giai đoạn 2: Thiết kế kiến trúc đích

Zero Trust thay cho mô hình vành đai

Mô hình cũ coi mọi thứ bên trong mạng nội bộ là đáng tin. Zero Trust, được NIST mô tả trong tài liệu SP 800-207, giả định không có vùng nào tin cậy mặc định: mỗi yêu cầu truy cập đều được xác thực, phân quyền theo nguyên tắc tối thiểu và đánh giá theo ngữ cảnh (thiết bị, vị trí, hành vi).

Danh tính là vành đai mới

Hợp nhất đăng nhập qua một hệ thống quản lý danh tính tập trung, bật xác thực đa yếu tố, ưu tiên khóa bảo mật hoặc passkey theo chuẩn FIDO2 cho tài khoản quản trị. Thu hồi quyền tự động khi nhân viên nghỉ việc.

Lựa chọn nền tảng

Công nghệ phi tập trung ở đâu trong bức tranh

Không phải doanh nghiệp nào cũng cần blockchain. Nhưng với các bài toán nhiều bên cùng cần tin vào một bản ghi, như nhật ký kiểm toán liên tổ chức, truy xuất nguồn gốc, chứng nhận số, sổ cái phân tán có thể là một thành phần trong kiến trúc. Cách cân nhắc được trình bày trong bài blockchain và bài toán bảo mật dữ liệu người dùng.

Giai đoạn 3: Di chuyển ứng dụng theo đợt

Ứng dụng nên được phân loại để chọn chiến lược phù hợp: giữ nguyên, chuyển nguyên trạng (rehost), tinh chỉnh nền tảng (replatform), viết lại (refactor), thay bằng phần mềm dịch vụ, hoặc loại bỏ. Bắt đầu từ ứng dụng ít rủi ro để đội ngũ tích lũy kinh nghiệm, ứng dụng lõi đi sau.

Trong mỗi đợt, các kiểm soát bảo mật cần được áp dụng ngay khi di chuyển: mã hóa dữ liệu khi lưu và khi truyền, quản lý bí mật tập trung thay vì để trong tệp cấu hình, phân đoạn mạng, ghi log về hệ thống tập trung.

Giai đoạn 4: DevSecOps và tự động hóa

• Hạ tầng dưới dạng mã: mọi thay đổi hạ tầng đi qua kho mã, được rà soát và có lịch sử.
• Kiểm tra tự động trong quy trình CI/CD: quét phụ thuộc, phân tích tĩnh, quét image container, kiểm tra cấu hình đám mây. Nội dung chi tiết có trong bài kiểm toán mã nguồn mở chống lỗ hổng kỹ thuật.
• Môi trường tách biệt: phát triển, thử nghiệm, vận hành dùng tài khoản và dữ liệu khác nhau; không dùng dữ liệu khách hàng thật để thử nghiệm.
• Phát hành có kiểm soát: triển khai từng phần, có khả năng quay lui nhanh.

Giai đoạn 5: Vận hành an toàn

Giám sát và phát hiện

Tập trung log từ ứng dụng, hạ tầng, hệ thống danh tính về một nơi; thiết lập cảnh báo cho các hành vi bất thường như đăng nhập từ vị trí lạ, tạo tài khoản quản trị mới, tắt ghi log.

Sao lưu theo nguyên tắc 3-2-1

Ít nhất ba bản sao dữ liệu, trên hai loại phương tiện, một bản ở nơi khác. Với nguy cơ mã độc tống tiền, cần thêm bản sao lưu bất biến hoặc ngoại tuyến, và định kỳ diễn tập khôi phục.

Ứng phó sự cố

Có kịch bản rõ ràng: ai quyết định cô lập hệ thống, ai liên hệ cơ quan chức năng và khách hàng, thời hạn thông báo theo quy định. Diễn tập ít nhất mỗi năm một lần.

Yếu tố con người và quản trị

Công nghệ chỉ là một nửa. Chuyển đổi thành công cần lãnh đạo bảo trợ, ngân sách cho bảo mật được tách bạch, người chịu trách nhiệm cho từng hệ thống, và chương trình đào tạo nhận thức định kỳ cho toàn bộ nhân viên. Với doanh nghiệp làm việc với tài sản số, các rủi ro đặc thù trong bài rủi ro bảo mật Web3 và crypto cũng nên đưa vào nội dung đào tạo.

Khi nào nên thuê tư vấn bên ngoài

Tư vấn độc lập hữu ích khi doanh nghiệp thiếu kinh nghiệm thiết kế kiến trúc đích, cần đánh giá khách quan trước khi trình hội đồng quản trị, hoặc cần chuẩn bị cho chứng nhận. Hãy yêu cầu đơn vị tư vấn chuyển giao kiến thức và tài liệu, để đội ngũ nội bộ đủ sức vận hành lâu dài thay vì phụ thuộc vào bên ngoài.