Tuân thủ đám mây – Cloud Compliance là gì?
Tuân thủ đám mây – hoặc còn gọi là tuân thủ bảo mật đám mây, là nguyên tắc chung mà các hệ thống phân phối trên đám mây phải tuân thủ các tiêu chuẩn mà khách hàng của đám mây phải đối mặt. Các tổ chức/doanh nghiệp thường phải tuân theo nhiều tiêu chuẩn trên môi trường đám mây, và người làm việc về tuân thủ bảo mật phải cấu hình và sử dụng dịch vụ đám mây theo các hướng dẫn của Hiệp hội Bảo mật Đám mây (Cloud Security Alliance Cloud Controls Matrix – CSA CCM).
CSA CCM là một bộ khung làm việc mạnh mẽ có thể được sử dụng để đánh giá hệ thống đám mây và xác định các điều khiển bảo mật cần thiết. Các công ty trong các ngành có quy định nghiêm ngặt có thể sử dụng khung này để đảm bảo tuân thủ khi chuyển sang đám mây.
Tự động hóa tuân thủ đám mây rất cần thiết trong môi trường hiện đại, đặc biệt là trong các lĩnh vực có quy định nghiêm ngặt như chăm sóc sức khỏe, dịch vụ tài chính. Các công cụ tuân thủ đám mây có thể tự động phát hiện việc không tuân thủ và nhanh chóng khắc phục các vấn đề. Điều này giúp tiết kiệm thời gian và tiền bạc, đồng thời giảm nguy cơ vi phạm quy định.
Các quy chuẩn và tiêu chuẩn tuân thủ đám mây phổ biến
Từ các tiêu chuẩn tuân thủ cụ thể của từng khu vực / lãnh thổ đến các tiêu chuẩn được công nhận quốc gia ảnh hưởng đến nhiều ngành công nghiệp khác nhau, có rất nhiều khung làm việc quy định thành luật Hãy cùng xem xét một số tiêu chuẩn phổ biến mà việc thương mại hóa toàn cầu phải tuân theo:
Bộ Tiêu chuẩn CIS (Center for Information Security – CIS Benchmarks)
Bộ tiêu chuẩn này được tạo ra bởi Trung tâm An ninh Internet (CIS), một tổ chức phi lợi nhuận giúp các tổ chức cải thiện chương trình bảo mật và tuân thủ của họ. CIS đặt mục tiêu tạo ra các cơ sở cấu hình bảo mật do cộng đồng phát triển – hay còn gọi là CIS Benchmarks, cho các sản phẩm CNTT và Bảo mật. Các tiêu chuẩn này bao gồm ứng dụng, nền tảng điện toán đám mây, hệ điều hành, v.v.
Quy định chung về Bảo vệ Dữ liệu (GDPR)
Quy định chung về bảo vệ dữ liệu của Liên minh Châu Âu – EU (General Data Protection Regulation – GDPR) yêu cầu áp dụng việc bảo vệ dữ liệu cá nhân của công dân EU cho các tổ chức xử lý dữ liệu này, bất kể vị trí địa lý của tổ chức hoặc dữ liệu. Điều này bao gồm các đo lường về kỹ thuật và tổ chức phải được cập nhật thường xuyên để đảm bảo mức độ bảo mật phù hợp với mức độ rủi ro hiện tại.
Chương trình Quản lý Rủi ro và Cấp phép Liên bang (FedRAMP)
Chương trình Quản lý Rủi ro và Cấp phép Liên bang (FedRAMP) là một sáng kiến của chính phủ liên bang Hoa Kỳ, nó cung cấp một tiêu chuẩn để tiếp cận với các đánh giá bảo mật, cấp phép và giám sát liên tục cho các dịch vụ đám mây. Mục tiêu của FedRAMP là để các công ty tận dụng các giải pháp và công nghệ đám mây hiện đại một cách an toàn và bảo mật, đặc biệt là khi liên quan đến thông tin liên bang.
Báo cáo Kiểm soát Dịch vụ và Tổ chức (SOC) 2
Báo cáo SOC 2 (Service and Organization Controls 2) là một bộ tiêu chuẩn được phát triển bởi Viện Kế toán Công chứng Hoa Kỳ (AICPA). Nó định rõ các thông báo hướng dẫn một tổ chức quản lý dữ liệu của khách hàng cụ thể như thế nào. Báo cáo SOC 2 có thể sử dụng để giúp các tổ chức quản lý các nhà cung cấp, triển khai các quy trình quản lý rủi ro,… Báo cáo SOC 2 được viết bằng ngôn ngữ dễ hiểu và được chuẩn hóa, nhằm mục tiêu hướng đến một nhóm lớn các bên liên quan.
Đạo luật về Trách nhiệm giải trình và Cung cấp thông tin Bảo hiểm y tế (HIPAA)
Đạo luật về Trách nhiệm giải trình và Cung cấp thông tin Bảo hiểm y tế (HIPAA) yêu cầu các doanh nghiệp xử lý hồ sơ bệnh án và các thông tin sức khỏe cần được bảo vệ (Protected Health Information – PHI) khác rằng các dữ liệu này phải được giữ gìn có hiệu quả và chống lại các rò rỉ bảo mật. Quy tắc bảo mật HIPAA chi tiết các biện pháp kiểm soát hành chính, kỹ thuật và kiểm soát vật lý đối với các PHI điện tử (ePHI). Do tính chất nhạy cảm của dữ liệu này mà tiêu chuẩn này bao gồm, chính phủ Hoa Kỳ đã yêu cầu tuân thủ quy tắc bảo mật vào năm 2005.
Đặc biệt lưu ý, Phần 2 của HIPAA đã được ban hành vào năm 2022 và về cơ bản bảo vệ “hồ sơ về danh tính, chẩn đoán, tiên lượng hoặc điều trị của bất kỳ bệnh nhân nào được lưu giữ liên quan đến việc thực hiện bất kỳ chương trình hoặc hoạt động nào liên quan đến giáo dục, phòng ngừa, đào tạo, điều trị, phục hồi chức năng, hoặc nghiên cứu lạm dụng chất, được thực hiện, quản lý hoặc trực tiếp hoặc gián tiếp được hỗ trợ bởi bất kỳ bộ hoặc cơ quan nào của Hoa Kỳ.”
Tiêu chuẩn ISO/IEC 27001
Tiêu chuẩn ISO/IEC 27001 là một tiêu chuẩn chung về quản lý tuân thủ bảo mật đám mây được xuất bản bởi Tổ chức Tiêu chuẩn hóa Quốc tế (ISO) và Ủy ban Kỹ thuật điện Quốc tế (IEC). ISO/IEC 27001 quy định rõ các phương pháp tốt nhất về quản lý bảo mật và kiểm soát bảo mật toàn diện cho hệ thống quản lý bảo mật thông tin. Đây là một tiêu chuẩn bổ trợ mà một số tổ chức chọn để thực hiện mà khi đó, họ được hưởng lợi ở cả các phương pháp tốt nhất cũng như đảm bảo cho họ về một giải pháp quản lý rủi ro toàn diện với chỉ một giải pháp duy nhất của tiêu chuẩn này.
Để phát triển ý tưởng cuối cùng này hơn một chút, thông thường một tổ chức nên thực hiện chương trình tuân thủ vượt ra ngoài những gì được yêu cầu, áp dụng các biện pháp bổ sung cụ thể cho nhu cầu kinh doanh và môi trường độc đáo của họ. Việc xây dựng các loại hướng dẫn tùy chỉnh để phủ lên các chương trình tuân thủ hiện có là một biện pháp chủ động sẽ mang lại lợi ích vượt xa việc chỉ đơn giản tuân thủ các quy định được yêu cầu.
Thách thức của Tuân thủ đám mây
Trước đây, khi hoạt động trên đám mây còn mới mẻ và chưa ai hiểu rõ về tính phức tạp của việc điều chỉnh các hoạt động đó cho tổ chức cụ thể của họ hoặc tuân thủ các quy định hiện hành. Tuy nhiên, có một số sự phức tạp cần lưu ý đi kèm với nhiều lợi ích của việc chuyển sang việc vận hành trên nền tảng đám mây.
Số liệu hiển thị nghèo nàn
Khi một tổ chức trải qua “cuộc chuyển đổi lớn” bằng dịch chuyển sang hoạt động đám mây, một thách thức chính là thiếu khả năng hiển thị thống nhất trên tất cả các môi trường của tổ chức. Vấn đề này có thể và thực sự mở rộng đến cả phía người dùng, đó là việc kiểm tra xem ai có quyền truy cập vào dữ liệu, họ có thể truy cập dữ liệu ở đâu và họ thường xuyên truy cập như thế nào.
Nguy cơ bị xâm nhập cao hơn
Các lỗ hổng bảo mật đám mây thường do cấu hình sai. Gartner thậm chí còn lưu ý rằng 95% vi phạm an ninh mạng là do lỗi cấu hình đám mây. Một số lỗi do con người gây ra, một số khác xảy ra vì các giả định rằng là mặc định trong nền tảng sẽ khắc phục các vấn đề và một số khác lại xuất phát từ mong muốn làm sao dễ dàng hơn cho việc truy cập tài nguyên. Các tổ chức phải triển khai các biện pháp kiểm soát để ngăn chặn hoặc phát hiện và khắc phục các lỗi này để tránh vi phạm dữ liệu.
Chứng chỉ và chứng nhận
Thông thường, các tổ chức kiểm toán bên thứ ba phải xác nhận các biện pháp kiểm soát mà tổ chức đã áp dụng để giúp tổ chức đáp ứng một số tiêu chuẩn quy định nhất định. Khi được yêu cầu, các tổ chức phải cung cấp các lá thư xác nhận từ các bên thứ ba đó để xác nhận các hoạt động đám mây an toàn, cũng như các chứng nhận xác nhận rằng họ đáp ứng một số tiêu chuẩn quy định cụ thể cho từng lĩnh vực. Các chứng chỉ thường có giá trị trong vài năm, trong khi việc chứng nhận nói nhiều hơn về bản chất liên tục và tiến trình của việc tuân thủ.
Độ phức tạp của đám mây
Việc chuyển sang đám mây mà không đi kèm với sự thận trọng thường dẫn đến những phức tạp có thể gây hại nhiều hơn lợi ích. Môi trường đám mây thường xuyên biến đổi, trong khi các hệ thống truyền thống/tại chỗ (on-premise) lại ít thay đổi hơn. Khi một tổ chức chuyển sang đám mây một cách vội vã, họ thường không biết chính xác phải làm gì với các hệ thống cũ này, nhưng họ vẫn phải quản lý chúng.
Đây là lúc mọi thứ có thể trở nên khó khăn cho đội DevOps. Điều khiến mọi thứ trở nên phức tạp hơn là các ngoại lệ – một tài nguyên hoặc khối lượng công việc được miễn trừ khỏi một tiêu chuẩn nhất định. Việc thiếu cơ chế để miễn trừ tài nguyên có thể dẫn đến nhiều kết quả giả, có thể gây ra gián đoạn không mong muốn và tốn kém.
Đọc thêm: INSIGHTCLOUDSEC – Giải Pháp Loại Bỏ Rủi Ro Trên Cloud
Các Phương pháp tốt nhất để thực hiện Tuân thủ Đám mây
Bây giờ, hãy cùng xem xét một số phương pháp và tiêu chuẩn chung tốt nhất có thể dùng để khắc phục một số thách thức lớn trong việc tuân thủ các tiêu chuẩn quy định và duy trì tuân thủ trong đám mây như thế nào.
Mã hóa
Mã hóa biến đổi định dạng gốc của dữ liệu thành một dạng không đọc được. Các dịch vụ như Google Cloud Platform (GCP) luôn tự động mã hóa dữ liệu khách hàng sau khi nhận được, nhưng trước khi ghi vào ổ đĩa và thực sự được lưu trữ. Một ví dụ khác là mã hóa thông tin đăng nhập bởi các nhà cung cấp bảo mật đám mây; thường có một số lớp giải mã phải xảy ra trước khi thông tin đăng nhập có thể được sử dụng.
Nguyên tắc ít đặc quyền
Nói đến thông tin đăng nhập, nguyên tắc về việc cấp quyền truy cập tối thiểu (Least Privilege Access – LPA) đảm bảo rằng quyền truy cập chỉ được cấp cho những người hoặc chương trình thực sự cần thiết để làm việc trên một nhiệm vụ cụ thể trong đám mây. Các giải pháp sử dụng nguyên tắc LPA thường sử dụng tự động hóa để siết chặt hoặc nới lỏng quyền dựa trên vai trò của người dùng.
Zero Trust
Triển khai Zero Trust là một cách hữu ích để giữ cho môi trường đám mây cực kỳ an toàn. Mỗi người dùng, điểm cuối, thiết bị di động, máy chủ, thành phần mạng, kết nối mạng, khối lượng công việc ứng dụng, quy trình kinh doanh và luồng dữ liệu đều vốn dĩ không được tin cậy. Mỗi thành phần trong số đó phải được xác thực và ủy quyền liên tục khi mỗi giao dịch được thực hiện và tất cả các hành động phải được kiểm tra theo thời gian thực.
Khung kiến trúc tốt
Nguyên tắc của một khuôn khổ được thiết kế tốt trong hoạt động đám mây về cơ bản cho rằng nên có một phương pháp được thống nhất để các bên liên quan triển khai và đánh giá kiến trúc đám mây phù hợp nhất với nhu cầu và ưu tiên kinh doanh của họ. Khung được thiết kế tốt AWS Well-Architected có lẽ là ví dụ nổi tiếng nhất về nguyên tắc này và cho phép khách hàng xác định các vấn đề rủi ro cao.
Đọc thêm: Những nguyên tắc cơ bản về bảo mật đám mây
Kết luận
Nhìn chung, trong hành trình chuyển đổi đám mây đầy thách thức, việc áp dụng các thực hành tốt nhất như mã hóa, nguyên tắc ít đặc quyền, và triển khai zero trust là chìa khóa để đảm bảo một môi trường đám mây an toàn và tuân thủ. Chứng chỉ và chứng nhận từ bên thứ ba cung cấp sự đảm bảo và uy tín trong việc chứng minh tuân thủ, trong khi sự hiểu biết sâu sắc về tiêu chuẩn và quy định giúp xây dựng cơ sở vững chắc. Điều này không chỉ giúp tổ chức đối mặt với thách thức ngày càng lớn về bảo mật mà còn tạo ra một môi trường đám mây linh hoạt và có thể tin cậy.
