Đưa hệ thống lên Cloud không tự động làm nó an toàn hơn — nó chỉ chuyển ranh giới trách nhiệm. Nhà cung cấp chịu trách nhiệm cho hạ tầng; cấu hình, phân quyền và dữ liệu vẫn là việc của doanh nghiệp. Phần lớn sự cố rò rỉ dữ liệu trên Cloud bắt nguồn từ cấu hình sai chứ không phải từ lỗ hổng của nhà cung cấp.
Dưới đây là năm nguyên tắc bảo mật dữ liệu trên Cloud nên áp dụng trước khi mở rộng hạ tầng, kèm checklist có thể kiểm tra được ngay.
Nguyên tắc 1: Phân quyền tối thiểu và có thời hạn
Mỗi tài khoản, mỗi dịch vụ chỉ nên có đúng quyền cần cho công việc của nó, trong đúng khoảng thời gian cần thiết.
- Không dùng tài khoản quản trị cho công việc hằng ngày; bật xác thực đa yếu tố cho mọi tài khoản có quyền ghi.
- Cấp quyền theo vai trò (role) thay vì theo từng người; quyền nâng cao phải có thời hạn tự hết.
- Dịch vụ gọi nhau bằng danh tính máy (service identity), không dùng khóa tĩnh dán trong mã nguồn.
- Rà soát định kỳ hằng quý: liệt kê tài khoản không hoạt động trên 90 ngày và thu hồi.
Nguyên tắc 2: Mã hóa ở mọi trạng thái
Dữ liệu cần được mã hóa khi lưu trữ, khi truyền và khi sao lưu. Điểm hay bị bỏ sót là khóa mã hóa:
- Quản lý khóa tập trung bằng dịch vụ quản lý khóa, bật xoay vòng khóa theo chu kỳ.
- Tách quyền quản trị khóa khỏi quyền truy cập dữ liệu — một người không nên nắm cả hai.
- Bắt buộc TLS cho mọi kết nối nội bộ, kể cả giữa các dịch vụ trong cùng một mạng riêng.
Nguyên tắc 3: Phân loại dữ liệu trước khi phân quyền
Không thể bảo vệ thứ chưa được đặt tên. Hãy chia dữ liệu thành các mức — công khai, nội bộ, bí mật, dữ liệu cá nhân — và gắn nhãn ngay từ tầng lưu trữ.
- Dữ liệu cá nhân cần được ẩn danh hoặc giả danh khi dùng cho môi trường kiểm thử.
- Quy định rõ dữ liệu nào không được phép rời khu vực lưu trữ hoặc không được đưa vào dịch vụ bên thứ ba.
- Đặt vòng đời lưu trữ: dữ liệu hết thời hạn phải được xóa tự động, không giữ “cho chắc”.
Nguyên tắc 4: Giám sát và cảnh báo theo hành vi
Nhật ký chỉ có giá trị khi có người hoặc hệ thống đọc nó.
- Bật nhật ký truy cập cho toàn bộ kho lưu trữ và cơ sở dữ liệu, gom về một nơi và khóa quyền sửa.
- Cảnh báo theo bất thường: đăng nhập từ vùng lạ, tải xuống khối lượng lớn bất thường, thay đổi quyền.
- Quét cấu hình sai tự động (kho lưu trữ công khai, cổng quản trị mở ra Internet) và chặn ngay trong pipeline triển khai.
Nguyên tắc 5: Sao lưu có kiểm chứng, không chỉ có lịch chạy
Bản sao lưu chưa từng được khôi phục thử thì chưa thể coi là bản sao lưu.
- Áp dụng nguyên tắc 3-2-1: ba bản sao, hai loại phương tiện, một bản tách biệt khỏi môi trường chính.
- Bật chế độ chống xóa/chống ghi đè cho bản sao quan trọng để chịu được tình huống mã độc tống tiền.
- Diễn tập khôi phục ít nhất mỗi quý, đo thời gian khôi phục thực tế và so với mục tiêu đã cam kết.
Checklist rút gọn trước khi mở rộng hạ tầng
- Đã bật xác thực đa yếu tố cho toàn bộ tài khoản quản trị.
- Không còn khóa truy cập tĩnh nằm trong mã nguồn hoặc biến môi trường không được quản lý.
- Toàn bộ kho lưu trữ ở chế độ riêng tư theo mặc định.
- Nhật ký được gom tập trung và giữ tối thiểu theo yêu cầu tuân thủ của ngành.
- Đã có ít nhất một lần khôi phục dữ liệu thành công trong 90 ngày gần nhất.
Kết luận
Bảo mật trên Cloud là công việc cấu hình và vận hành hằng ngày, không phải một hạng mục hoàn thành một lần. Năm nguyên tắc trên phủ được phần lớn rủi ro phổ biến với chi phí thấp — phần còn lại là kỷ luật rà soát định kỳ.
Cần rà soát hiện trạng hệ thống trước khi mở rộng? Trao đổi cùng SMARTIX.
Câu hỏi thường gặp
Trách nhiệm bảo mật trên Cloud thuộc về ai?
Theo mô hình trách nhiệm chia sẻ, nhà cung cấp lo phần hạ tầng vật lý và nền tảng, còn doanh nghiệp chịu trách nhiệm cấu hình, phân quyền, dữ liệu và ứng dụng của mình.
Bao lâu nên rà soát quyền truy cập một lần?
Tối thiểu mỗi quý, và bắt buộc rà soát ngay khi có nhân sự nghỉ việc, chuyển bộ phận hoặc khi kết thúc hợp tác với đối tác bên ngoài.
Mã hóa dữ liệu có làm chậm hệ thống không?
Với hạ tầng hiện đại, chi phí xử lý của mã hóa ở mức không đáng kể so với độ trễ mạng và truy vấn. Điểm cần chú ý là quản lý khóa, không phải hiệu năng.
