Cloud & Security: checklist bảo mật khi đưa hệ thống lên cloud
Lên cloud không tự động an toàn hơn hay kém an toàn hơn. Checklist 6 nhóm việc cần làm về truy cập, dữ liệu, mạng, ứng dụng, giám sát và tuân thủ.
Đưa hệ thống lên cloud giúp doanh nghiệp linh hoạt hơn về hạ tầng, nhưng không tự động làm hệ thống an toàn hơn. Nhiều sự cố bảo mật trên cloud không đến từ lỗ hổng của nhà cung cấp mà đến từ cấu hình của chính người dùng: một kho lưu trữ để công khai, một tài khoản quản trị không bật xác thực hai lớp, một khoá truy cập để quên trong mã nguồn. Checklist dưới đây giúp bạn rà những điểm cơ bản nhất.
Hiểu mô hình trách nhiệm chia sẻ
Trên cloud, nhà cung cấp chịu trách nhiệm bảo mật hạ tầng vật lý và nền tảng. Doanh nghiệp chịu trách nhiệm cách mình cấu hình, ai được truy cập, dữ liệu được bảo vệ ra sao. Ranh giới cụ thể khác nhau giữa máy chủ ảo, nền tảng dịch vụ và phần mềm dịch vụ, nên cần đọc kỹ với từng dịch vụ bạn dùng.
Checklist 6 nhóm việc
1. Danh tính và truy cập
- Bật xác thực nhiều lớp cho mọi tài khoản, bắt buộc với tài khoản quản trị.
- Không dùng tài khoản gốc cho công việc hằng ngày; cất giữ thông tin đăng nhập của nó.
- Cấp quyền tối thiểu đủ dùng, theo vai trò thay vì theo từng người.
- Thu hồi quyền ngay khi nhân sự nghỉ việc hoặc đổi vai trò; rà soát quyền định kỳ.
2. Dữ liệu
- Phân loại dữ liệu theo mức độ nhạy cảm, đặc biệt dữ liệu cá nhân của khách hàng.
- Mã hoá dữ liệu khi lưu trữ và khi truyền đi.
- Kiểm tra không có kho lưu trữ nào vô tình để chế độ công khai.
- Sao lưu định kỳ, lưu bản sao tách biệt, và thử khôi phục thật chứ không chỉ sao lưu.
3. Mạng
- Không mở cổng quản trị và cơ sở dữ liệu trực tiếp ra internet.
- Dùng tường lửa và nhóm bảo mật theo nguyên tắc chỉ mở những gì cần.
- Tách môi trường phát triển, thử nghiệm và vận hành thật.
4. Ứng dụng và khoá bí mật
- Không để mật khẩu, khoá truy cập trong mã nguồn; dùng dịch vụ quản lý khoá bí mật.
- Cập nhật bản vá cho hệ điều hành, thư viện và phần mềm theo lịch.
- Rà soát bảo mật trước mỗi lần đưa tính năng quan trọng lên môi trường thật.
5. Giám sát và ứng cứu
- Bật nhật ký truy cập và thay đổi cấu hình, lưu đủ lâu để điều tra khi cần.
- Cài cảnh báo cho các hành vi bất thường: đăng nhập lạ, chi phí tăng đột biến, thay đổi quyền.
- Có kịch bản xử lý sự cố: ai được báo, ai quyết định, liên hệ nhà cung cấp thế nào.
6. Tuân thủ
- Đối chiếu với quy định pháp luật Việt Nam về bảo vệ dữ liệu cá nhân và yêu cầu riêng của ngành.
- Biết dữ liệu được lưu ở khu vực nào và điều đó có phù hợp với yêu cầu của bạn không.
- Ghi lại quy trình và bằng chứng để sẵn sàng khi khách hàng hoặc cơ quan quản lý hỏi.
Thứ tự ưu tiên trong 30 ngày đầu
| Thời gian | Việc nên làm |
|---|---|
| Tuần 1 | Bật xác thực nhiều lớp, khoá tài khoản gốc, rà danh sách người có quyền quản trị |
| Tuần 2 | Quét kho lưu trữ công khai, cổng mở ra internet, khoá bí mật trong mã nguồn |
| Tuần 3 | Thiết lập sao lưu và thử khôi phục một hệ thống quan trọng |
| Tuần 4 | Bật nhật ký, cảnh báo và viết kịch bản xử lý sự cố đầu tiên |
Bảo mật là việc liên tục chứ không phải dự án làm một lần. Sau 30 ngày đầu, hãy đặt lịch rà soát định kỳ cho từng nhóm việc trong checklist.
Nghe thêm tại TECH TO REVENUE 2026
Phiên Cloud & Security thuộc trụ cột SCALE, lúc 13:30 Thứ Năm 26/11/2026. Phiên tập trung vào các rủi ro thường gặp khi đưa hệ thống lên cloud và danh sách việc cần làm thiết thực cho doanh nghiệp vừa và lớn, theo tinh thần không báo giá, không bán hàng.
