Theo một bài viết trên trang Forbes, điện toán đám mây (ĐTĐM) đã “dân chủ hóa” nguồn tài nguyên tiên tiến mà trước đây chỉ dành cho các doanh nghiệp (DN) lớn. Các DN nhỏ hơn, và thậm chí cả các DN vừa và nhỏ (SMB), giờ đây có thể tận dụng các nguồn lực dựa trên đám mây để thực hiện bất cứ điều gì - mà không cần chi phí đầu tư lớn để xây dựng và duy trì cơ sở hạ tầng trung tâm dữ liệu lớn.
DN Việt vẫn e ngại vấn đề an toàn thông tin khi triển khai điện toán đám mây
Tại hội thảo chuyên đề “Phát triển hạ tầng số và thúc đẩy ứng dụng công nghệ số trong xây dựng và quản lý hạ tầng kinh tế, xã hội trong tiến trình công nghiệp hóa, hiện đại hóa đến năm 2030, tầm nhìn đến năm 2045” chiều ngày 16/11/2021, ông Phan Hồng Tâm, Giám đốc Hạ tầng của công ty FPT Smart Cloud cho biết nhu cầu CĐS, dịch chuyển cơ sở hạ tầng lên đám mây của các DN Việt Nam rất cao.
Theo ông Tâm, tại Việt Nam có khoảng 1 triệu DN vừa và nhỏ mong muốn dịch chuyển lên môi trường đám mây, song theo khảo sát chỉ có khoảng “vài chục” DN làm về đám mây ở Việt Nam có thể hỗ trợ CĐS cho các DN khác.
Một khó khăn hiện nay của các DN khi dịch chuyển lên đám mây là đội ngũ CNTT của DN còn thiếu hiểu biết về ĐTĐM, vì vậy DN đứng trước bài toán muốn lên đám mây thì chưa biết phải bắt đầu từ đâu và làm gì.
“Nhiều DN băn khoăn nếu chuyển lên đám mây thì hạ tầng cũ sẽ đi về đâu, vì có những hạ tầng chưa hết khấu hao, hoặc mới được DN đầu tư”, ông Tâm chia sẻ tại Hội thảo.
Ông Tâm cũng cho rằng DN không phải chuyển tất cả hạ tầng lên đám mây ngay một lúc, mà sẽ theo lộ trình, vì vậy, DN có thể xem xét mô hình hybrid, nghĩa là vẫn duy trì hạ tầng trước đó và dịch chuyển dần dần.
Một vấn đề quan trọng khác khiến DN gặp trở ngại khi lên đám mây là những lo lắng về chuyện bảo mật, an toàn an ninh dữ liệu. “Thật ra, đó là câu chuyện trước đây, khi DN chưa hiểu về dịch vụ đám mây nên còn lo ngại về vấn đề an ninh, bảo mật khi tiến hành dịch chuyển”, ông Tâm cho biết.
Đồng thời, ông Tâm cũng cho rằng chính vì những lo lắng này của DN mà các nhà cung cấp dịch vụ đám mây phải làm nhiệm vụ chứng minh quy trình vận hành của công ty mang tiêu chuẩn quốc tế, đảm bảo vấn đề an toàn bảo mật khi hỗ trợ khách hàng chuyển lên ĐTĐM. Các công ty làm về ĐTĐM đều phải có chuyên gia về bảo mật, sử dụng giải pháp của các nhà cung cấp toàn cầu.
Ông Phạm Anh Đức, Phó Tổng giám đốc Tổng công ty giải pháp DN Viettel cho biết trên thế giới, các nước đã có chiến lược rõ ràng về ĐTĐM, họ đã vượt qua nỗi sợ về an toàn thông tin (ATTT) và quyết định sử dụng hạ tầng chung, hạ tầng đám mây để mọi dịch vụ được triển khai tốt hơn.
Câu chuyện về lưu trữ dữ liệu trên đám mây được ông Phạm Anh Đức ví “tương tự như ngày xưa, chúng ta cất giữ tiền, vàng trong nhà nhưng ngày nay, chúng ta gửi trong ngân hàng sẽ an toàn hơn”.
Ông Phạm Anh Đức cũng chia sẻ hạ tầng an toàn thông tin là một phần của hạ tầng số của Viettel. “ATTT không đơn thuần là đảm bảo dữ liệu không bị mất mát, rò rỉ, mà ATTT còn là đảm bảo cho dịch vụ được sử dụng liên tục”. Ngoài ra, đại diện Viettel cũng cho rằng chúng ta nên học hỏi, tham khảo các mô hình công nghệ của thế giới, tham gia cùng cộng đồng thế giới, vì “các tiêu chuẩn không phải do một nước nào ban hành, mà do cả cộng đồng thế giới tạo nên”.
Trong bài viết trên tạp chí Forbes, Joe Finlinson, Giám đốc công nghệ của Astute Business Solutions, đã chỉ ra một số vấn đề về ATTT khi các DN dịch chuyển cơ sở hạ tầng, dịch vụ lên đám mây, trong đó, một lời khuyên được Joe Finlinson đưa ra là DN cần tính đến câu chuyện bảo mật, ATTT ngay từ khi triển khai quá trình dịch chuyển lên đám mây chứ không phải là ở cuối hành trình này.
Nguy cơ bề mặt tấn công tăng cao
Cuộc bùng nổ công nghệ đám mây không phải là không có thách thức. Di chuyển một ứng dụng phức tạp có thể đã ở trong trung tâm dữ liệu hàng thập kỷ không đơn giản như bạn nghĩ. Và từ góc độ an ninh mạng, mọi tài nguyên dịch chuyển lên đám mây cũng có nghĩa là nguy cơ bề mặt tấn công càng mở rộng. Bề mặt tấn công (attack surface) của một hệ thống là tập hợp đầy đủ các lỗ hổng tồn tại trong hệ thống đó. Nó là một phép ẩn dụ được sử dụng để đánh giá bảo mật trong hệ thống phần cứng và phần mềm. Càng có nhiều tài khoản (tức "bề mặt" càng rộng), thì càng khó để bảo vệ.
“Báo cáo điều tra vi phạm dữ liệu năm 2021” của Verizon đã xác định tổng cộng 5.258 vi phạm - tăng khoảng 1/3 so với năm 2020. Những vi phạm này đã xảy ra ở nhiều điểm khác nhau trên bề mặt tấn công, cả trên đám mây và tại chỗ. Và không ai có thể tránh khỏi các cuộc tấn công như vậy. Nghiên cứu cho thấy rằng các DN vừa và nhỏ bị ảnh hưởng bởi các cuộc tấn công ngày càng tăng.
Các cuộc tấn công bằng ransomware đã trở thành một phương tiện gây án ngày càng phổ biến với tội phạm mạng. Kết quả của một nghiên cứu cho thấy số lượng các cuộc tấn công ransomware cao hơn trong nửa đầu năm 2021 so với tất cả năm 2020. Tệ hơn nữa, trong nhiều trường hợp, những kẻ tấn công ransomware không chỉ khóa hệ thống mà còn lấy cắp dữ liệu và đe dọa đăng nó công khai nếu tiền chuộc không được trả.
Các DN rất lo ngại trước số vụ đánh cắp dữ liệu gia tăng, vì không có gì đảm bảo rằng một tổ chức sẽ không trở thành nạn nhân bị tống tiền trong tương lai nếu tội phạm quyết định đã đến lúc phải kiếm nhiều tiền hơn và tiến hành các vụ xâm phạm nhiều hơn. Mặc dù một chiến lược đám mây mạnh mẽ có thể giúp giảm thiểu nguy cơ hệ thống bị khóa, nhưng vẫn khiến hệ thống có khả năng bị xâm nhập. Do đó, việc bảo mật tài sản kỹ thuật số của tổ chức phải được đặt lên hàng đầu khi xem xét các sáng kiến di chuyển qua đám mây.
Một thách thức với việc triển khai đám mây là nhiều người cho rằng nhà cung cấp dịch vụ đám mây sẽ sở hữu tất cả tính bảo mật của các tài nguyên trên mây của bạn. Điều này không đúng. Bảo mật đám mây được chia sẻ giữa nhà cung cấp và khách hàng. Mặc dù nhà cung cấp dịch vụ đám mây cung cấp khả năng bảo vệ cho cơ sở hạ tầng và dịch vụ phần mềm dưới dạng dịch vụ (SaaS), cung cấp các mức dịch vụ bảo mật cho các ứng dụng được quản lý đầy đủ, các tổ chức có trách nhiệm phải bảo vệ mọi thứ khác - bao gồm dữ liệu của họ và bất kỳ ứng dụng nào họ xây dựng trên cơ sở hạ tầng đám mây. Mô hình bảo mật dùng chung cho đám mây yêu cầu một cách tiếp cận mới để triển khai các hệ thống.
Các phương án bảo mật cần được ưu tiên ngay từ đầu
Đối với các tổ chức dự định chuyển sang đám mây, bảo mật cần phải là một phần của cuộc trò chuyện ngay từ đầu - chứ không phải là thứ được giải quyết ở cuối quá trình. Cách kiến trúc di chuyển trên đám mây ảnh hưởng đáng kể đến vấn đề bảo mật trong và sau khi triển khai.
Khi lập kế hoạch di chuyển sang đám mây, DN phải đảm bảo đã sử dụng các nguồn lực thích hợp (cho dù là nguồn lực nội bộ hay thuê ngoài) để kiến trúc, triển khai và quản lý dấu vết đám mây một cách an toàn. Khi tìm kiếm các nhà cung cấp dịch vụ bên ngoài để hỗ trợ quá trình di chuyển lên đám mây, DN nên tìm kiếm các nhà cung cấp hiểu rõ về bảo mật và cam kết phát triển một kiến trúc an toàn. Hãy tìm hiểu về chứng chỉ bảo mật của nhà cung cấp dịch vụ và các giao dịch triển khai đám mây an toàn mà họ đã thực hiện trong quá khứ.
Một sai lầm mà nhiều tổ chức mắc phải khi áp dụng đám mây là cho rằng một cơ sở hạ tầng hoặc dịch vụ nền tảng sẽ chỉ chạy một cách an toàn và tự chủ sau khi triển khai. Nhưng hãy nhớ rằng hầu hết các nhà cung cấp đám mây chỉ đảm bảo cơ sở hạ tầng cơ bản và những chương trình phần mềm quản lý máy ảo…. Điều này có nghĩa là DN phải tính đến việc quản lý ứng dụng và bảo mật trong suốt thời gian triển khai. Như vậy, đội ngũ CNTT của DN cần duy trì kiến thức chuyên môn để thực hiện việc quản lý bảo mật hoặc DN phải thuê ngoài cho một bên thứ ba, thường được gọi là nhà cung cấp dịch vụ được quản lý (MSP).
Để các ứng dụng trên đám mây đảm bảo an toàn và bảo mật, DN phải cam kết duy trì các bản vá và cập nhật kịp thời, đảm bảo rằng các công cụ riêng trên đám mây được định cấu hình đúng cách và mạng được bảo mật đúng cách. DN triển khai dịch chuyển hạ tầng lên đám mây phải có khả năng quản lý, giám sát và ứng phó sự cố, quản lý mối đe dọa và lỗ hổng bảo mật. Nếu chuyển sang đám mây và không xem xét các điểm bảo trì và bảo mật này, nghĩa là DN đang thiết lập một hệ thống mà rất dễ khiến tổ chức của mình rơi vào một cuộc tấn công trong tương lai.
Nếu bộ phận CNTT, bảo mật nội bộ của DN không có kiến thức về cách bảo mật, quản lý và giám sát đám mây, DN nên khám phá các lựa chọn nhà cung cấp dịch vụ bảo mật để quản lý để bảo vệ tài sản đám mây của mình.
Di chuyển các ứng dụng sang đám mây là điều đúng đắn cần làm trong thị trường đang phát triển nhanh chóng hiện nay và điều quan trọng là khi di chuyển, bạn phải hiểu và lập kế hoạch cho cách các ứng dụng đám mây của mình sẽ được bảo mật, quản lý và giám sát. Theo lời khuyên của giám đốc công nghệ công ty giải pháp Astute Business Solutions, có rất nhiều tổ chức có thể giúp các DN thực hiện dự án “lên mây” và điều quan trọng là phải đánh giá năng lực của đối tác. Phương pháp tiếp cận có chủ ý, ưu tiên bảo mật đối với kiến trúc đám mây là điều rất quan trọng cho sự thành công chung của việc chuyển đổi trung tâm dữ liệu./.
