Bảo mật hệ thống doanh nghiệp cần bảo vệ những gì?

Ba mục tiêu nền tảng thường được dùng để đánh giá kết quả bảo vệ là tính bí mật, tính toàn vẹn và tính sẵn sàng của thông tin. ISO/IEC 27001:2022 cũng đặt Confidentiality, Integrity và Availability ở vị trí trung tâm của an toàn thông tin.

Có thể nhìn hệ thống doanh nghiệp theo bốn lớp tài sản cần được bảo vệ trực tiếp: dữ liệu, ứng dụng, hạ tầng và truy cập/danh tính. Các lớp này liên kết với nhau: người dùng sử dụng danh tính để truy cập ứng dụng; ứng dụng xử lý dữ liệu; ứng dụng và dữ liệu lại chạy trên hạ tầng. Vì vậy, một lớp yếu có thể trở thành điểm xuất phát để vượt qua những lớp còn lại.

Bảo mật dữ liệu bảo vệ giá trị cốt lõi mà hệ thống đang lưu trữ và xử lý

Dữ liệu thường là mục tiêu cuối cùng của một cuộc xâm nhập. Đó có thể là hồ sơ khách hàng, thông tin nhân sự, hợp đồng, dữ liệu tài chính, bí mật kinh doanh, mã nguồn, thông tin xác thực hoặc dữ liệu vận hành. Bảo vệ dữ liệu vì thế phải được thực hiện trong toàn bộ vòng đời, từ lúc dữ liệu được tạo, truyền, lưu trữ và sử dụng cho đến khi lưu trữ dài hạn hoặc tiêu hủy.

Lớp này cần giải quyết ba rủi ro khác nhau. Rò rỉ làm mất tính bí mật; sửa đổi hoặc xóa sai làm mất tính toàn vẹn; còn mất dữ liệu hoặc không thể truy cập khi cần làm mất tính sẵn sàng. Mã hóa chỉ giải quyết một phần của vấn đề: dữ liệu đã mã hóa vẫn có thể bị xóa, tài khoản hợp lệ vẫn có thể đọc dữ liệu nếu được cấp quyền quá rộng và bản sao lưu vẫn có thể vô dụng nếu chưa từng được kiểm thử khôi phục.

Doanh nghiệp vì vậy cần biết mình đang có dữ liệu nào, dữ liệu nào nhạy cảm, ai sở hữu và ai thực sự cần sử dụng. CIS Controls v8.1 dành riêng Control 3 cho Data Protection, trong đó yêu cầu quản lý độ nhạy, chủ sở hữu, cách xử lý, thời hạn lưu giữ và tiêu hủy dữ liệu; đồng thời duy trì danh mục dữ liệu nhạy cảm và thiết lập quyền truy cập theo nhu cầu công việc.

Ở góc độ vận hành, lớp dữ liệu thường kết hợp phân loại dữ liệu, quyền đọc/ghi, mã hóa khi lưu trữ và truyền tải, quản lý khóa, sao lưu, kiểm thử phục hồi, kiểm soát xuất dữ liệu và ghi nhận hoạt động trên các kho dữ liệu quan trọng. Giá trị của các biện pháp này không nằm ở số lượng công cụ mà ở khả năng duy trì bí mật, toàn vẹn và khả dụng của đúng loại dữ liệu cần bảo vệ.

Bảo mật ứng dụng ngăn phần mềm trở thành đường đi vào dữ liệu và tài nguyên doanh nghiệp

Ứng dụng là lớp trực tiếp nhận yêu cầu của người dùng và chuyển yêu cầu đó thành thao tác trên dữ liệu hoặc tài nguyên hệ thống. Website, ERP, CRM, ứng dụng nội bộ, API, ứng dụng di động và các dịch vụ backend đều có thể trở thành điểm xâm nhập nếu tồn tại lỗi lập trình, cấu hình yếu hoặc cơ chế xác thực không an toàn.

Rủi ro ở lớp này không chỉ xuất hiện trong mã nguồn do doanh nghiệp tự viết. Thư viện bên thứ ba, framework, package, API, thành phần mã nguồn mở và phần mềm mua ngoài đều tạo thêm phụ thuộc. Một ứng dụng có thể chạy trên máy chủ được cấu hình tốt nhưng vẫn bị khai thác nếu cho phép truy vấn không an toàn, kiểm tra quyền không đầy đủ hoặc sử dụng thành phần có lỗ hổng.

CIS Control 16 xác định Application Software Security là việc quản lý vòng đời bảo mật của phần mềm tự phát triển, được lưu trữ hoặc mua từ bên ngoài để phát hiện và xử lý điểm yếu trước khi chúng gây ảnh hưởng cho doanh nghiệp. CIS cũng lưu ý rằng ứng dụng trực tiếp quản lý dữ liệu nhạy cảm và quyền đối với tài nguyên hệ thống, nên kẻ tấn công có thể khai thác chính ứng dụng để tiếp cận dữ liệu thay vì phải phá vỡ toàn bộ hệ thống mạng.

Bảo vệ lớp ứng dụng vì vậy phải diễn ra từ quá trình phát triển đến vận hành: thiết kế xác thực và phân quyền đúng, kiểm tra dữ liệu đầu vào, bảo vệ API, quản lý secret, cập nhật dependency, kiểm thử bảo mật và xử lý lỗ hổng. Với phần mềm mua ngoài, doanh nghiệp vẫn cần kiểm soát phiên bản, cấu hình và vòng đời hỗ trợ thay vì mặc định trách nhiệm bảo mật thuộc hoàn toàn về nhà cung cấp.

Bảo mật hạ tầng bảo vệ nền tảng mà dữ liệu và ứng dụng đang vận hành

Hạ tầng gồm máy trạm, laptop, máy chủ, thiết bị mạng, thiết bị IoT, hệ điều hành, nền tảng ảo hóa, dịch vụ cloud và các thành phần kết nối chúng với nhau. Nếu lớp này bị kiểm soát, những cơ chế nằm phía trên có thể bị vô hiệu hóa hoặc vượt qua.

Một máy chủ còn dịch vụ không cần thiết, thiết bị mạng dùng cấu hình yếu, endpoint chưa vá lỗi hoặc mạng không được phân đoạn đều có thể tạo điều kiện để kẻ tấn công mở rộng quyền kiểm soát. Do đó, bảo mật hạ tầng không đồng nghĩa với đặt một firewall ở biên mạng. Nó phải bao gồm cấu hình an toàn, quản lý bản vá, kiểm soát tài sản, bảo vệ endpoint, phân đoạn mạng, quản trị thiết bị và giám sát các thay đổi bất thường.

CIS Controls v8.1 yêu cầu doanh nghiệp duy trì cấu hình an toàn cho cả tài sản và phần mềm. Riêng với kiến trúc mạng, CIS Safeguard 12.2 nêu tối thiểu ba yếu tố phải được xem xét là segmentation, least privilege và availability. Khung này cũng bao phủ tài sản vật lý, tài sản ảo, thiết bị từ xa và tài nguyên trong môi trường cloud, thay vì chỉ xem mạng tại văn phòng là phạm vi cần bảo vệ.

Phân đoạn có ý nghĩa đặc biệt khi một thiết bị đã bị xâm nhập. Thay vì để thiết bị đó giao tiếp tự do với nhiều máy chủ khác, phân đoạn và kiểm soát luồng kết nối có thể giới hạn phạm vi di chuyển ngang. Tuy nhiên, phân đoạn không thay thế quản lý danh tính hay bảo vệ ứng dụng; nó chủ yếu làm giảm khả năng một điểm bị xâm nhập nhanh chóng biến thành sự cố trên diện rộng.

Bảo mật truy cập quyết định ai được vào hệ thống và được phép làm gì

Một hệ thống có thể được vá đầy đủ và mã hóa dữ liệu nhưng vẫn gặp sự cố nếu tài khoản quản trị bị chiếm đoạt hoặc người dùng được cấp quyền vượt quá nhu cầu. Vì thế, danh tính và quyền truy cập là lớp kiểm soát nằm giữa người dùng, ứng dụng, dữ liệu và hạ tầng.

Lớp này phải trả lời bốn câu hỏi: Ai đang yêu cầu truy cập? Danh tính đó đã được xác thực đủ tin cậy chưa? Được phép truy cập tài nguyên nào? Và được thực hiện hành động gì trên tài nguyên đó? Sau đó quyền còn phải được thay đổi hoặc thu hồi khi nhân viên đổi vai trò, nghỉ việc, tài khoản dịch vụ thay đổi mục đích hoặc đặc quyền không còn cần thiết.

CIS Controls v8.1 tách Account Management và Access Control Management thành các nhóm kiểm soát riêng. Control 6 bao gồm việc tạo, cấp, quản lý và thu hồi thông tin xác thực cũng như đặc quyền cho tài khoản người dùng, quản trị viên và tài khoản dịch vụ.

MFA giúp giảm nguy cơ chỉ một mật khẩu bị lộ là đủ để đăng nhập, nhưng MFA không giải quyết tình trạng tài khoản có quá nhiều quyền. Nguyên tắc least privilege xử lý phần còn lại bằng cách chỉ cấp mức quyền cần thiết cho nhiệm vụ. NIST SP 800-207 về Zero Trust cũng nhấn mạnh rằng không nên mặc nhiên tin cậy một chủ thể chỉ vì đã ở trong mạng nội bộ; quyền đối với tài nguyên cần được đánh giá và giới hạn ở mức tối thiểu cần thiết.

Điều này đặc biệt quan trọng với tài khoản đặc quyền và tài khoản dịch vụ. Nếu một tài khoản quản trị có thể truy cập gần như mọi hệ thống, việc chiếm được tài khoản đó có thể biến một sự cố xác thực thành sự cố dữ liệu và hạ tầng cùng lúc.

Bốn lớp bảo mật phải phối hợp thay vì hoạt động như những hàng rào độc lập

Dữ liệu, ứng dụng, hạ tầng và truy cập là bốn phạm vi bảo vệ khác nhau nhưng không phải bốn hệ thống tách biệt. Một chuỗi tấn công thực tế có thể bắt đầu bằng thông tin đăng nhập bị đánh cắp, đi qua một ứng dụng, mở rộng sang máy chủ rồi kết thúc bằng việc lấy hoặc mã hóa dữ liệu. Chỉ bảo vệ một mắt xích sẽ để lại đường vòng qua những mắt xích khác.

Có thể thấy mối quan hệ này qua một số tình huống:

·         Dữ liệu được mã hóa nhưng tài khoản có quyền giải mã bị chiếm thì lớp dữ liệu vẫn có thể bị truy cập

·         Ứng dụng được viết an toàn nhưng chạy trên máy chủ chưa vá thì hạ tầng vẫn tạo đường xâm nhập

·         Hạ tầng được phân đoạn tốt nhưng ứng dụng cấp quyền sai thì người dùng hợp lệ vẫn có thể xem dữ liệu không thuộc phạm vi của mình

·         MFA được bật nhưng tài khoản quản trị được cấp quyền quá rộng thì hậu quả sau khi tài khoản bị chiếm vẫn rất lớn

Vì vậy, “nhiều lớp” không có nghĩa là mua nhiều sản phẩm bảo mật. Giá trị nằm ở việc các biện pháp bù trừ cho điểm yếu của nhau và cùng bao phủ một chuỗi rủi ro từ nhận diện tài sản đến phòng vệ, phát hiện và xử lý sự cố.

NIST Cybersecurity Framework 2.0 mô tả quản trị rủi ro an ninh mạng qua sáu chức năng Govern, Identify, Protect, Detect, Respond và Recover. Các chức năng này được thực hiện đồng thời và liên tục, cho thấy bảo mật doanh nghiệp không kết thúc sau khi dựng các biện pháp phòng thủ; tổ chức còn phải biết tài sản nào cần bảo vệ, phát hiện bất thường, ứng phó khi xảy ra sự cố và phục hồi hoạt động.

Trong phạm vi câu hỏi “cần bảo vệ những gì”, bốn lớp dữ liệu, ứng dụng, hạ tầng và truy cập tạo ra một cách phân chia thực tế để kiểm tra độ bao phủ. CIS Controls v8.1 hiện có 18 nhóm kiểm soát và phân bổ các yêu cầu tương ứng cho bảo vệ dữ liệu, cấu hình tài sản, quản lý tài khoản, quản lý truy cập, hạ tầng mạng và bảo mật phần mềm; điều này cũng cho thấy không một lớp đơn lẻ nào đại diện cho toàn bộ bảo mật doanh nghiệp.

Bảo mật hệ thống doanh nghiệp cần bảo vệ đồng thời dữ liệu, ứng dụng, hạ tầng và quyền truy cập. Dữ liệu là tài sản cần duy trì bí mật, toàn vẹn và sẵn sàng; ứng dụng kiểm soát cách tài sản đó được sử dụng; hạ tầng cung cấp môi trường vận hành; còn danh tính và quyền truy cập quyết định chủ thể nào được tiếp cận từng tài nguyên. Một chương trình bảo mật chỉ thực sự có độ bao phủ khi bốn lớp này hỗ trợ lẫn nhau và được đặt trong chu trình quản trị, phát hiện, ứng phó và phục hồi thay vì được vận hành như các biện pháp riêng lẻ.