Bảo vệ dữ liệu doanh nghiệp trên cloud

Mô hình trách nhiệm chung

AWS, Azure và Google Cloud đều công bố mô hình trách nhiệm chung. Nguyên tắc cốt lõi không thay đổi: nhà cung cấp chịu trách nhiệm bảo mật của cloud — hạ tầng vật lý và một phần các lớp kỹ thuật nền — còn bảo mật trong cloud thuộc về khách hàng. Ranh giới cụ thể phụ thuộc mô hình dịch vụ IaaS, PaaS hay SaaS. Những phần luôn do bạn chịu trách nhiệm gồm cấu hình dịch vụ, quản lý quyền truy cập, mã hóa dữ liệu ứng dụng và hành vi người dùng.

Trên thực tế, kho lưu trữ cấu hình sai, tài khoản dịch vụ được cấp quyền quá rộng hay thông tin đăng nhập bị lộ không phải trách nhiệm của nhà cung cấp. Đó là dữ liệu, cấu hình và mức phơi lộ của chính bạn. Sai cấu hình nằm trong nhóm nguyên nhân phổ biến nhất gây lộ dữ liệu cloud: vấn đề thường đến từ quản trị quyền, thiết lập và cách sử dụng chưa đầy đủ hơn là từ bản thân nhà cung cấp.

Các nguồn rủi ro thực tế

Ở nhiều tổ chức, sự cố cloud tập trung vào ba nhóm chính:

• Sai cấu hình — vô tình công khai kho lưu trữ, đặt quy tắc tường lửa quá rộng hoặc tắt nhật ký. Điều này thường xảy ra khi di chuyển gấp hoặc triển khai mà không rà soát bảo mật.
• Quyền truy cập chưa thu hồi — tài khoản của nhân viên cũ, token API bị quên, quyền của nhà cung cấp không bao giờ bị vô hiệu hóa. Nguyên tắc đặc quyền tối thiểu hiếm khi được doanh nghiệp vừa và nhỏ áp dụng nghiêm ngặt.
• Di động và BYOD — truy cập tài nguyên nội bộ từ Wi-Fi công cộng mà không có đường đi kiểm soát được sẽ mở rộng bề mặt tấn công: chiếm đoạt DNS, cổng captive, lộ siêu dữ liệu và truy cập thiếu chính sách đồng nhất. Vấn đề không chỉ là mã hóa nội dung — TLS đã bảo vệ một phần lưu lượng ứng dụng — mà còn là thiếu điểm thoát kiểm soát được và chính sách truy cập thống nhất.

Khuôn khổ quy định nói gì?

Quy định bảo vệ dữ liệu — như Điều 32 GDPR của châu Âu hoặc luật địa phương tương đương — yêu cầu các biện pháp kỹ thuật và tổ chức phù hợp để bảo đảm mức an toàn tương xứng với rủi ro. Mã hóa dữ liệu được nêu rõ trong nhóm biện pháp này. Nghĩa vụ áp dụng cho mọi dữ liệu cá nhân được lưu trữ hoặc xử lý trên cloud.

Chỉ thị NIS2: mở rộng nghĩa vụ an ninh mạng tới các tổ chức thiết yếu và quan trọng trong những ngành được xác định — quản lý rủi ro, duy trì hoạt động và báo cáo sự cố. NIS2 cũng đặt yêu cầu về an toàn chuỗi cung ứng: tổ chức liên quan phải quản lý rủi ro từ nhà cung cấp quan trọng, từ đó có thể chuyển nghĩa vụ bảo mật sang bên xử lý thông qua hợp đồng.

Chứng nhận cloud cấp quốc gia: tùy từng nước, chứng nhận chính thức có thể xác nhận nhà cung cấp bảo đảm nơi lưu trữ dữ liệu, khả năng chống yêu cầu pháp lý từ nước ngoài và thực hành bảo mật. Các chứng nhận này phù hợp với tổ chức xử lý dữ liệu nhạy cảm hoặc chịu nghĩa vụ chuyên ngành.

VPN bảo vệ phần nào — và không bảo vệ phần nào?

VPN cloud doanh nghiệp bảo vệ dữ liệu khi truyền: kết nối giữa thiết bị nhân viên với tài nguyên nội bộ được mã hóa, IP nguồn được che giấu và quyền truy cập có thể yêu cầu xác thực mạnh.

Với môi trường chủ yếu dùng SaaS — bộ công cụ văn phòng trực tuyến, nền tảng cộng tác, CRM cloud — VPN doanh nghiệp không phải lúc nào cũng là lớp kiểm soát ưu tiên. Tùy kiến trúc, truy cập có điều kiện, CASB, kiểm tra trạng thái thiết bị hoặc mô hình Zero Trust có thể quan trọng hơn. VPN vẫn phù hợp để truy cập tài nguyên nội bộ và môi trường lai, nhưng không đủ nếu phần lớn công việc diễn ra trên ứng dụng cloud của bên thứ ba. Vai trò của nó rất cụ thể: bắt buộc lưu lượng đi theo đường kiểm soát được, áp dụng chính sách đồng nhất và tạo phạm vi quản lý cho lưu lượng tới tài nguyên nội bộ. Đây là biện pháp cần thiết trong phạm vi đó, không phải đáp án cho mọi vấn đề. Về mạng, xem thêm cách bảo mật điểm truy cập mạng doanh nghiệp.

Những nhầm lẫn thường gặp

“Dữ liệu đặt ở nhà cung cấp lớn nên đã an toàn.” Hạ tầng có thể rất vững chắc nhưng không phản ánh chất lượng cấu hình, độ chặt của quyền truy cập hay hành vi người dùng. Đây là ba vấn đề khác nhau mà nhà cung cấp không giải quyết thay bạn.

“Mã hóa lưu trữ mặc định là đủ.” Nó bảo vệ dữ liệu lưu trữ trước hành vi truy cập vật lý trái phép vào ổ đĩa, nhưng không chống được tài khoản hợp lệ có quyền quá rộng, thông tin đăng nhập bị lộ hay quyền nhà cung cấp chưa thu hồi. Mã hóa dữ liệu lưu trữ không phải là chính sách truy cập.

“Chúng tôi chủ yếu dùng SaaS nên VPN là đủ.” Trong môi trường thiên về SaaS, đường hầm mạng không phải lớp kiểm soát chính. Trọng tâm là danh tính, trạng thái thiết bị và chính sách truy cập có điều kiện. Tài khoản bị xâm nhập, thiết bị không được quản lý hay quyền quá rộng đều tạo ra rủi ro mà VPN không giảm được.

Ưu tiên theo môi trường thực tế

Biện pháp phù hợp thay đổi theo kiến trúc thật của tổ chức.

Những biện pháp thực sự quan trọng

• Mã hóa khi truyền — tối thiểu TLS 1.2, dùng TLS 1.3 khi có thể, cùng VPN hoặc ZTNA cho truy cập từ xa vào tài nguyên nội bộ.
• Mã hóa khi lưu trữ — bật cơ chế mã hóa gốc của dịch vụ lưu trữ. Quản lý khóa riêng qua KMS hoặc HSM nếu độ nhạy cảm yêu cầu.
• IAM chặt chẽ — luôn áp dụng đặc quyền tối thiểu, rà soát quyền định kỳ, xóa tài khoản ngay khi nhân sự rời đi và bắt buộc MFA cho mọi tài khoản đặc quyền.
• Nhật ký và phát hiện — bật nhật ký truy cập, cấu hình và cảnh báo hành vi bất thường như kết nối từ khu vực hiếm gặp hoặc khối lượng dữ liệu khác thường.
• Sao lưu và khôi phục — lưu bản sao tách khỏi hệ thống chính, kiểm tra tính toàn vẹn và thực sự thử phục hồi. Bản sao lưu chưa thử chỉ là giả định, không phải bảo đảm.
• Kế hoạch ứng phó sự cố — xác định trước ai làm gì, trong thời hạn nào và theo quy trình thông báo nào, gồm nghĩa vụ pháp lý báo cáo vi phạm cho cơ quan quản lý đúng hạn.

Rủi ro lớn nhất của cloud không nằm ở bản thân việc thuê ngoài lưu trữ, mà ở niềm tin rằng một nhà cung cấp dù xuất sắc đến đâu cũng gánh thay trách nhiệm về quyền truy cập, cấu hình và quản trị. Ở nhiều tổ chức, sự cố thường bắt nguồn từ quyền quá rộng, cấu hình yếu hoặc quản trị chưa đầy đủ hơn là lỗi của nhà cung cấp.