Những thành phần của hệ thống công nghệ doanh nghiệp

Trong thực tế, doanh nghiệp còn cần tích hợp, giám sát, quản trị cấu hình, sao lưu và vận hành dịch vụ. Tuy nhiên, đây thường là các cơ chế kết nối hoặc quản trị xuyên suốt hệ thống hơn là một nhóm tài sản công nghệ hoàn toàn tách biệt. Cách phân chia thành bốn lớp giúp doanh nghiệp nhìn rõ hệ thống đang có gì, mỗi phần phụ thuộc vào đâu và sự cố tại một lớp có thể ảnh hưởng đến hoạt động kinh doanh như thế nào.

Hạ tầng công nghệ là nền tảng vận hành của toàn hệ thống

Hạ tầng công nghệ bao gồm các tài nguyên vật lý và số cần thiết để ứng dụng, dữ liệu và dịch vụ doanh nghiệp có thể hoạt động. Tùy mô hình triển khai, hạ tầng có thể nằm tại trung tâm dữ liệu của doanh nghiệp, trên nền tảng đám mây hoặc kết hợp hai môi trường.

Các nhóm tài nguyên phổ biến gồm:

·         Máy chủ vật lý, máy ảo và tài nguyên điện toán đám mây

·         Thiết bị người dùng như máy tính, thiết bị di động và máy trạm chuyên dụng

·         Mạng LAN, WAN, Wi-Fi, VPN và kết nối Internet

·         Thiết bị mạng như switch, router, gateway và load balancer

·         Hệ thống lưu trữ, sao lưu và phục hồi

·         Nền tảng ảo hóa, container và các dịch vụ điện toán nền tảng

Vai trò của hạ tầng không chỉ là cung cấp máy chủ. Hạ tầng quyết định ứng dụng chạy ở đâu, dữ liệu được lưu ở đâu, các thành phần giao tiếp bằng cách nào và hệ thống duy trì hoạt động ra sao khi tải tăng hoặc một tài nguyên gặp lỗi.

Ví dụ, một phần mềm ERP có thể được thiết kế tốt nhưng vẫn phản hồi chậm nếu máy chủ thiếu CPU hoặc bộ nhớ, cơ sở dữ liệu gặp giới hạn I/O hay đường truyền giữa các chi nhánh không đủ ổn định. Ngược lại, đầu tư máy chủ mạnh hơn cũng không giải quyết được vấn đề nếu điểm nghẽn nằm ở truy vấn dữ liệu hoặc kiến trúc ứng dụng.

Do đó, chất lượng hạ tầng cần được đánh giá bằng các chỉ số có thể đo lường như mức sử dụng CPU và bộ nhớ, dung lượng lưu trữ, độ trễ mạng, băng thông, tỷ lệ lỗi và thời gian khả dụng. Với các dịch vụ quan trọng, doanh nghiệp còn phải xác định yêu cầu phục hồi như RTO — thời gian tối đa chấp nhận được để khôi phục dịch vụ — và RPO — lượng dữ liệu tối đa có thể chấp nhận mất tính theo thời gian.

Hạ tầng phù hợp cũng không đồng nghĩa với việc phải sở hữu nhiều thiết bị. Một doanh nghiệp có thể sử dụng hạ tầng tại chỗ, cloud hoặc hybrid tùy yêu cầu về hiệu năng, chi phí, kiểm soát, khả năng mở rộng, vị trí dữ liệu và mức độ phụ thuộc vào nhà cung cấp.

Ứng dụng chuyển hạ tầng công nghệ thành năng lực nghiệp vụ

Nếu hạ tầng cung cấp tài nguyên thì ứng dụng là lớp trực tiếp hỗ trợ con người và quy trình kinh doanh. Đây là nơi các chức năng như bán hàng, kế toán, quản lý nhân sự, sản xuất, chăm sóc khách hàng hoặc cộng tác nội bộ được số hóa.

Hệ sinh thái ứng dụng của doanh nghiệp có thể gồm ERP, CRM, HRM, phần mềm kế toán, quản lý kho, thương mại điện tử, hệ thống quản lý tài liệu, cổng thông tin nội bộ, ứng dụng chuyên ngành và những phần mềm được phát triển riêng.

Một ứng dụng doanh nghiệp thường không tồn tại như một “ốc đảo”. CRM có thể cần lấy thông tin sản phẩm từ ERP; website bán hàng cần gửi đơn hàng sang hệ thống kho; phần mềm nhân sự có thể cung cấp dữ liệu tài khoản cho hệ thống quản lý danh tính. Vì vậy, API, middleware, message queue hoặc nền tảng tích hợp thường đóng vai trò kết nối các ứng dụng với nhau.

Điểm quan trọng là có đủ phần mềm chưa chắc đã tạo thành một hệ thống công nghệ tốt. Khi nhiều ứng dụng cùng xử lý một nghiệp vụ nhưng không thống nhất nguồn dữ liệu hoặc không có cơ chế tích hợp rõ ràng, doanh nghiệp có thể phải nhập liệu nhiều lần, xuất nhập Excel thủ công và đối chiếu số liệu giữa các bộ phận.

Chất lượng lớp ứng dụng vì thế cần được đánh giá không chỉ bằng số lượng tính năng mà còn qua khả năng đáp ứng nghiệp vụ, tốc độ phản hồi, tỷ lệ lỗi, mức độ tích hợp, khả năng bảo trì và mức độ phụ thuộc vào những thành phần đã lỗi thời.

Một nguyên tắc thực tế là mỗi ứng dụng quan trọng cần xác định được nghiệp vụ mà nó phục vụ, chủ sở hữu nghiệp vụ, dữ liệu mà nó sử dụng, các hệ thống phụ thuộc và phương án xử lý khi ứng dụng ngừng hoạt động. Khi các mối quan hệ này không được biết rõ, một thay đổi nhỏ cũng có thể tạo hiệu ứng dây chuyền ngoài dự kiến.

Dữ liệu là tài sản được tạo ra và trao đổi giữa các hệ thống

Dữ liệu là thành phần kết nối hoạt động nghiệp vụ với công nghệ. Một giao dịch bán hàng, hồ sơ khách hàng, thông tin nhân viên, chứng từ kế toán, dữ liệu thiết bị hay lịch sử tương tác đều có thể trở thành đầu vào cho vận hành và ra quyết định.

Dữ liệu doanh nghiệp thường tồn tại dưới nhiều dạng: dữ liệu giao dịch trong cơ sở dữ liệu, tài liệu và tệp tin, dữ liệu nhật ký, dữ liệu phân tích, dữ liệu chủ như khách hàng hoặc sản phẩm và dữ liệu được trao đổi với đối tác bên ngoài.

Thách thức lớn không nằm ở việc doanh nghiệp “có dữ liệu hay không”, mà ở việc dữ liệu có đúng, đủ, nhất quán, cập nhật và sử dụng được hay không.

Ví dụ, nếu CRM ghi khách hàng bằng một mã còn ERP sử dụng mã khác, hai ứng dụng vẫn có thể vận hành riêng nhưng doanh nghiệp khó tạo được một bức tranh khách hàng thống nhất. Nếu một báo cáo lấy dữ liệu lúc 8 giờ còn báo cáo khác cập nhật theo thời gian thực, các con số khác nhau chưa chắc do hệ thống sai mà có thể xuất phát từ thời điểm và quy tắc xử lý dữ liệu khác nhau.

Quản trị dữ liệu vì vậy cần làm rõ ít nhất bốn vấn đề: dữ liệu nào là nguồn chính thức, ai chịu trách nhiệm về dữ liệu, hệ thống nào được phép tạo hoặc thay đổi dữ liệu và dữ liệu được trao đổi giữa các hệ thống theo quy tắc nào.

Các chỉ số như tính đầy đủ, tính chính xác, mức độ trùng lặp, độ nhất quán và độ mới của dữ liệu giúp biến khái niệm “dữ liệu tốt” thành tiêu chí có thể kiểm tra. Đối với dữ liệu quan trọng, yêu cầu sao lưu và phục hồi cũng phải gắn với RPO, RTO và mức độ ảnh hưởng kinh doanh thay vì áp dụng cùng một chính sách cho mọi loại thông tin.

Dữ liệu cũng không đồng nghĩa với báo cáo hoặc BI. Báo cáo, dashboard và nền tảng phân tích là các công cụ khai thác dữ liệu; dữ liệu chính là tài sản thông tin được những công cụ đó sử dụng.

Bảo mật phải bao phủ hạ tầng, ứng dụng và dữ liệu

Bảo mật không nên được hiểu là một firewall đặt ở biên mạng. Trong hệ thống công nghệ doanh nghiệp, bảo mật là tập hợp các biện pháp nhằm kiểm soát ai hoặc thành phần nào được truy cập tài nguyên nào, trong điều kiện nào, hành động nào được phép và doanh nghiệp phản ứng ra sao khi xuất hiện sự cố.

Ở lớp hạ tầng, bảo mật liên quan đến phân đoạn mạng, cấu hình thiết bị, bản vá, bảo vệ endpoint và kiểm soát tài nguyên cloud. Ở lớp ứng dụng, doanh nghiệp phải quan tâm đến xác thực, phân quyền, quản lý lỗ hổng, bảo vệ API và nhật ký hoạt động. Với dữ liệu, các yêu cầu thường bao gồm phân loại, quyền truy cập, mã hóa, sao lưu, lưu giữ và kiểm soát việc chia sẻ.

Danh tính và quyền truy cập là một mắt xích đặc biệt quan trọng vì người dùng thường đi qua cùng một danh tính để truy cập nhiều ứng dụng và nguồn dữ liệu. Một tài khoản có quyền quá lớn có thể biến sự cố ở một điểm thành rủi ro cho nhiều thành phần khác. Các biện pháp như xác thực đa yếu tố, nguyên tắc đặc quyền tối thiểu và rà soát quyền định kỳ giúp giảm phạm vi ảnh hưởng khi thông tin xác thực bị lộ.

Bảo mật cũng phải bao gồm khả năng phát hiện, ứng phó và phục hồi, không chỉ phòng ngừa. Doanh nghiệp cần thu thập nhật ký phù hợp, theo dõi sự kiện bất thường, xác định quy trình xử lý sự cố và kiểm tra khả năng phục hồi dữ liệu. Cách tiếp cận này phù hợp với nguyên tắc quản trị rủi ro của những khung phổ biến như NIST Cybersecurity Framework và hệ thống quản lý an toàn thông tin theo ISO/IEC 27001.

Hiệu quả bảo mật có thể theo dõi bằng các chỉ số như tỷ lệ tài khoản được bảo vệ bằng MFA, tỷ lệ hệ thống còn lỗ hổng quá hạn xử lý, thời gian phát hiện sự cố, thời gian khôi phục và mức độ bao phủ của hệ thống ghi log. Không có một ngưỡng duy nhất phù hợp cho mọi doanh nghiệp; mục tiêu phải tương ứng với mức độ quan trọng của tài sản và mức rủi ro mà tổ chức chấp nhận.

Bốn thành phần phụ thuộc lẫn nhau như thế nào?

Hạ tầng, ứng dụng, dữ liệu và bảo mật tạo thành một chuỗi phụ thuộc thay vì bốn khối tách biệt.

Khi nhân viên đăng nhập vào CRM để xem thông tin khách hàng, hạ tầng phải cung cấp thiết bị, mạng và tài nguyên tính toán. Ứng dụng CRM xử lý yêu cầu nghiệp vụ. Cơ sở dữ liệu cung cấp hồ sơ khách hàng. Hệ thống danh tính xác thực người dùng, cơ chế phân quyền xác định dữ liệu được phép xem và hệ thống giám sát ghi nhận hoạt động.

Chỉ cần một mắt xích không đáp ứng yêu cầu, dịch vụ tổng thể có thể bị ảnh hưởng. Mạng mất kết nối khiến ứng dụng không truy cập được; ứng dụng lỗi có thể làm gián đoạn nghiệp vụ dù máy chủ vẫn khỏe; dữ liệu sai khiến kết quả xử lý sai dù phần mềm chạy đúng; kiểm soát truy cập yếu có thể khiến một hệ thống đang vận hành bình thường trở thành nguồn rủi ro.

Vì vậy, kiến trúc doanh nghiệp cần quản lý cả mối quan hệ phụ thuộc. Tích hợp, API, quản lý danh tính, giám sát, cấu hình, sao lưu và tự động hóa vận hành chính là những cơ chế giúp các lớp phối hợp. Chúng không thay thế bốn thành phần cốt lõi mà làm cho bốn thành phần hoạt động như một hệ thống thống nhất.

Một hệ thống công nghệ doanh nghiệp đầy đủ cần được đánh giá theo điều gì?

Không nên đánh giá mức độ hoàn thiện của hệ thống bằng số máy chủ, số phần mềm hay ngân sách công nghệ. Một hệ thống có nhiều công cụ vẫn có thể tồn tại các điểm đứt gãy nghiêm trọng giữa hạ tầng, ứng dụng, dữ liệu và bảo mật.

Doanh nghiệp có thể kiểm tra từng dịch vụ quan trọng bằng một chuỗi câu hỏi nhất quán:

·         Dịch vụ đang chạy trên hạ tầng nào và có điểm lỗi đơn nào đáng kể hay không

·         Ứng dụng nào trực tiếp hỗ trợ quy trình nghiệp vụ và phụ thuộc vào hệ thống nào khác

·         Dữ liệu chính nằm ở đâu, nguồn nào được xem là chính thức và ai chịu trách nhiệm

·         Ai có quyền truy cập, quyền được cấp theo nguyên tắc nào và hoạt động có được ghi nhận hay không

·         Dịch vụ được giám sát bằng chỉ số nào và dấu hiệu bất thường được phát hiện ra sao

·         Nếu hệ thống ngừng hoạt động hoặc dữ liệu bị mất, RTO và RPO cần đạt ở mức nào

·         Khi thay đổi một thành phần, những ứng dụng, nguồn dữ liệu hoặc quy trình nào khác có thể bị ảnh hưởng

Cách đánh giá theo chuỗi phụ thuộc này giúp phát hiện những khoảng trống mà kiểm kê tài sản đơn thuần khó chỉ ra. Chẳng hạn, doanh nghiệp có thể đã sao lưu cơ sở dữ liệu nhưng chưa kiểm thử phục hồi; đã mua công cụ bảo mật nhưng một ứng dụng cũ vẫn sử dụng tài khoản dùng chung; hoặc có nhiều hệ thống báo cáo nhưng không thống nhất nguồn dữ liệu chuẩn.

Một hệ thống công nghệ doanh nghiệp vì vậy không phải tập hợp rời rạc của phần cứng và phần mềm. Cốt lõi của hệ thống gồm hạ tầng cung cấp nền tảng vận hành, ứng dụng thực hiện chức năng nghiệp vụ, dữ liệu lưu giữ và truyền tải thông tin, còn bảo mật kiểm soát rủi ro xuyên suốt toàn bộ môi trường. Hiệu quả của hệ thống phụ thuộc không chỉ vào chất lượng từng thành phần mà còn vào cách chúng kết nối, chia sẻ dữ liệu, kiểm soát quyền và phục hồi khi xảy ra sự cố.

:::