Bảo mật đám mây: Các nguyên tắc thiết yếu dành cho CTO

Bảo mật đám mây hiệu quả bắt đầu từ việc hiểu đúng mô hình trách nhiệm chia sẻ: nhà cung cấp bảo vệ hạ tầng, còn doanh nghiệp chịu trách nhiệm về danh tính, cấu hình, dữ liệu và ứng dụng. Với CTO, các nguyên tắc thiết yếu gồm coi danh tính là vành đai mới, mặc định khóa chặt cấu hình, mã hóa mọi nơi, ghi log đầy đủ, tự động hóa kiểm tra và quản trị nhiều tài khoản một cách có kỷ luật. Bài viết đi qua từng nguyên tắc với những quyết định cụ thể cần đưa ra.

Mô hình trách nhiệm chia sẻ

Ranh giới trách nhiệm thay đổi theo loại dịch vụ:

Hàng cuối cùng không bao giờ thay đổi: dữ liệu và ai được truy cập nó luôn là trách nhiệm của doanh nghiệp. Chuyển sang dịch vụ quản lý giúp giảm gánh nặng vá lỗi, nhưng không chuyển giao trách nhiệm cấu hình.

Nguyên tắc 1: Danh tính là vành đai mới

Trên đám mây, mọi thao tác đều là một lời gọi API được xác thực bằng danh tính. Kẻ tấn công có được thông tin đăng nhập hợp lệ có thể làm mọi thứ mà danh tính đó được phép, từ bất kỳ đâu. Vì vậy:

• Không dùng tài khoản gốc (root) cho công việc hằng ngày; bảo vệ nó bằng xác thực đa yếu tố phần cứng và cất khóa ở nơi an toàn.
• Liên kết đăng nhập đám mây với hệ thống danh tính trung tâm của doanh nghiệp, để nghỉ việc là mất quyền ngay.
• Bắt buộc MFA cho mọi người dùng có quyền truy cập bảng điều khiển.
• Ưu tiên thông tin đăng nhập tạm thời; hạn chế tối đa khóa truy cập dài hạn.
• Áp dụng quyền tối thiểu, dùng công cụ phân tích quyền để thu hẹp các chính sách quá rộng.

Đây là áp dụng trực tiếp của tư duy Zero Trust vào môi trường đám mây.

Nguyên tắc 2: Mặc định khóa, mở có chủ đích

Các sự cố lộ dữ liệu trên đám mây thường không đến từ kỹ thuật tấn công tinh vi mà từ cấu hình sai: kho lưu trữ đối tượng để công khai, cơ sở dữ liệu mở ra Internet, nhóm bảo mật cho phép mọi địa chỉ truy cập cổng quản trị. Để giảm rủi ro:

• Bật chặn truy cập công khai ở cấp tài khoản cho dịch vụ lưu trữ.
• Đặt cơ sở dữ liệu và máy chủ ứng dụng trong mạng riêng, chỉ lộ ra qua bộ cân bằng tải hoặc cổng API.
• Dùng chính sách tổ chức (guardrails) để cấm các cấu hình nguy hiểm ngay từ đầu, thay vì phát hiện rồi sửa.
• Quét cấu hình liên tục bằng công cụ CSPM, so với các bộ chuẩn như CIS Benchmarks.

Nguyên tắc 3: Hạ tầng dưới dạng mã

Khi hạ tầng được tạo bằng tay qua bảng điều khiển, không ai biết chính xác cấu hình hiện tại là gì và vì sao. Quản lý hạ tầng bằng mã (Terraform, CloudFormation, Bicep, Pulumi) cho phép rà soát thay đổi qua pull request, quét lỗi bảo mật trước khi triển khai và khôi phục nhanh khi có sự cố. Kết hợp với kiểm tra tự động trong CI/CD, các lỗi cấu hình bị chặn trước khi tới môi trường thật.

Nguyên tắc 4: Mã hóa mọi nơi, quản lý khóa nghiêm túc

Hầu hết dịch vụ đám mây hỗ trợ mã hóa khi lưu trữ, nhiều dịch vụ bật mặc định. Câu hỏi quan trọng hơn là ai quản lý khóa. Với dữ liệu nhạy cảm, dùng khóa do khách hàng quản lý trong dịch vụ quản lý khóa, phân tách quyền sử dụng khóa với quyền quản trị tài nguyên. Mọi kết nối phải dùng TLS. Bí mật như mật khẩu cơ sở dữ liệu, khóa API phải nằm trong kho bí mật chuyên dụng, không nằm trong mã nguồn hay biến môi trường lưu trong kho mã.

Nguyên tắc 5: Ghi log đầy đủ và giám sát

Không ghi log thì không điều tra được. Những log cần bật từ ngày đầu:

• Log hoạt động quản trị (ai gọi API nào, khi nào, từ đâu) cho mọi tài khoản và vùng.
• Log truy cập dữ liệu với kho chứa dữ liệu nhạy cảm.
• Log luồng mạng ở những phân đoạn quan trọng.
• Dịch vụ phát hiện mối đe dọa tích hợp của nhà cung cấp.

Log nên được gửi tới một tài khoản riêng chỉ đọc, để kẻ tấn công chiếm được tài khoản sản xuất cũng không xóa được dấu vết. Cảnh báo cần đi tới đội có người theo dõi, có thể là trung tâm SOC nội bộ hoặc dịch vụ thuê ngoài.

Nguyên tắc 6: Cấu trúc nhiều tài khoản

Đặt mọi thứ trong một tài khoản đám mây duy nhất khiến một sự cố có thể lan khắp nơi. Cấu trúc tốt tách riêng tài khoản cho môi trường sản xuất, thử nghiệm, phát triển, tài khoản log và bảo mật, tài khoản mạng dùng chung. Mỗi tài khoản là một ranh giới cô lập; chính sách tổ chức áp xuống từ trên. Các nhà cung cấp đều có hướng dẫn "landing zone" chuẩn để bắt đầu.

Nguyên tắc 7: Sẵn sàng cho sự cố

Cần có kịch bản ứng phó riêng cho đám mây: thu hồi khóa bị lộ, cô lập máy ảo bị xâm nhập, khôi phục tài nguyên bị xóa. Sao lưu phải nằm ở tài khoản tách biệt, có khóa không cho xóa. Kế hoạch khôi phục thảm họa cần được kiểm thử, xem thêm bài Disaster Recovery với giải pháp Cloud.

Danh sách việc cho CTO trong 90 ngày

1. Bảo vệ tài khoản gốc, bật MFA cho tất cả, liên kết với hệ thống danh tính.
2. Bật log quản trị cho mọi tài khoản, gửi về tài khoản log riêng.
3. Bật chặn truy cập công khai cho lưu trữ, rà soát tài nguyên đang lộ ra Internet.
4. Kiểm kê và loại bỏ khóa truy cập dài hạn không cần thiết.
5. Bật CSPM và dịch vụ phát hiện mối đe dọa, xử lý các cảnh báo nghiêm trọng.
6. Thiết lập cấu trúc nhiều tài khoản và guardrails cho dự án mới.
7. Đưa hạ tầng mới vào quản lý bằng mã, có quét bảo mật trong pipeline.

Bảo mật đám mây không phải là mua thêm sản phẩm, mà là kỷ luật vận hành. Khi các nguyên tắc trên được tự động hóa thành guardrails và quy trình, đội phát triển có thể đi nhanh mà không đánh đổi an toàn.