Bảo mật đám mây là gì?

Mục lục

1. Bảo mật đám mây là gì và bảo vệ những gì?
2. Mô hình chia sẻ trách nhiệm: ai bảo vệ phần nào?
3. Những rủi ro đám mây hay gặp nhất là gì?
4. Các nhóm công cụ bảo mật đám mây: CSPM, CWPP, CASB, CIEM, CNAPP
5. Bảo mật đám mây khác gì bảo mật on-premise?
6. Doanh nghiệp Việt Nam nên bắt đầu từ đâu?
7. Dữ liệu cá nhân trên đám mây cần lưu ý gì?
8. Ưu điểm và hạn chế của bảo mật đám mây
9. Khi nào cần đầu tư công cụ chuyên dụng, khi nào chưa cần?
10. Câu hỏi thường gặp

Bảo mật đám mây là gì và bảo vệ những gì?

Theo cách Microsoft mô tả, bảo mật đám mây gồm công nghệ, chính sách, quy trình và biện pháp kiểm soát nhằm bảo vệ dữ liệu, ứng dụng và hạ tầng trong môi trường điện toán đám mây. Mục tiêu vẫn là ba thuộc tính quen thuộc: bí mật, toàn vẹn và sẵn sàng của tài nguyên. Điểm khác so với bảo mật máy chủ đặt trong phòng IT nằm ở chỗ ranh giới mạng không còn rõ ràng. Tài nguyên được tạo ra bằng vài cú nhấp chuột hoặc một dòng mã, địa chỉ truy cập nằm trên Internet, và quyền truy cập được điều khiển bởi danh tính chứ không phải bởi vị trí cắm dây mạng.

Vì vậy bảo mật đám mây không phải một sản phẩm. Nó là một tập hợp các lớp công việc:

• Danh tính và truy cập (IAM): ai, hoặc dịch vụ nào, được làm gì với tài nguyên nào.
• Cấu hình: kho lưu trữ có công khai không, cổng nào mở, nhật ký có được bật không.
• Dữ liệu: phân loại, mã hoá, sao lưu, nơi lưu và thời hạn lưu.
• Khối lượng công việc (workload): máy ảo, container, hàm serverless và lỗ hổng trong chúng.
• Mạng: phân đoạn, kiểm soát luồng vào ra, kết nối giữa đám mây và hệ thống nội bộ.
• Giám sát và ứng phó: thu thập nhật ký, phát hiện bất thường, quy trình xử lý sự cố.

Nếu bạn chưa nắm các loại hình triển khai, hãy đọc trước bài public cloud và private cloud để biết tài nguyên của mình đang nằm ở đâu.

Mô hình chia sẻ trách nhiệm: ai bảo vệ phần nào?

Đây là khái niệm quan trọng nhất của chủ đề. Trong mô hình chia sẻ trách nhiệm (shared responsibility model), nhà cung cấp chịu trách nhiệm bảo mật “của” đám mây (trung tâm dữ liệu, phần cứng, lớp ảo hoá), còn khách hàng chịu trách nhiệm bảo mật “trong” đám mây (cấu hình, dữ liệu, tài khoản). Càng lên các tầng dịch vụ cao, nhà cung cấp gánh càng nhiều, nhưng dữ liệu và danh tính luôn thuộc về bạn.

Ví dụ minh hoạ: một công ty thuê máy chủ ảo (IaaS) để chạy phần mềm bán hàng. Nhà cung cấp đảm bảo phần cứng và lớp ảo hoá. Nhưng việc vá hệ điều hành, đóng cổng quản trị RDP hoặc SSH khỏi Internet, và đặt mật khẩu mạnh cho tài khoản quản trị đều do công ty làm. Nếu dùng phần mềm kế toán dạng SaaS, công ty không vá gì, nhưng vẫn phải quyết định ai được xuất báo cáo và có bật xác thực đa yếu tố hay không.

Các tài liệu của Gartner thường được trích dẫn với nhận định rằng phần lớn sự cố bảo mật đám mây là lỗi phía khách hàng, chủ yếu do cấu hình sai (nhiều bài ghi mức 99% cho giai đoạn đến năm 2025). Hãy hiểu đây là một dự báo phân tích, không phải thống kê đếm từng vụ việc. Thông điệp thực tế vẫn rõ: rủi ro lớn nhất nằm ở phần bạn kiểm soát.

Những rủi ro đám mây hay gặp nhất là gì?

Cấu hình sai (misconfiguration)

Ví dụ điển hình: kho lưu trữ đối tượng (object storage bucket) để chế độ công khai, cơ sở dữ liệu mở cổng ra Internet không mật khẩu, nhật ký kiểm toán bị tắt nên khi có sự cố không còn dấu vết. Lỗi này phát sinh nhanh vì tài nguyên được tạo bằng tay hoặc bằng mã hạ tầng (Infrastructure as Code) mà không qua rà soát. Một mẫu cấu hình sai trong tệp Terraform sẽ được nhân bản sang mọi môi trường dùng chung mẫu đó.

Quyền truy cập quá rộng

Trong IAM, việc gán quyền dạng ký tự đại diện cho mọi tài nguyên rất tiện lúc triển khai và rất nguy hiểm về sau. Tài khoản dịch vụ, khoá API và token dùng chung thường tồn tại nhiều năm không ai xoay vòng. Một khoá bị đẩy nhầm lên kho mã nguồn công khai có thể cho kẻ xấu quyền ngang với chủ tài khoản. Về cơ chế này, bạn có thể xem thêm bài xác thực đa yếu tố và passkey, vì tài khoản quản trị đám mây không bật MFA là điểm yếu dễ khai thác nhất.

Giao diện quản trị và API bị lộ

Mọi thao tác trên đám mây đều đi qua API. Nếu bảng điều khiển hoặc API quản trị chấp nhận đăng nhập chỉ bằng mật khẩu từ bất kỳ địa chỉ nào, kẻ tấn công không cần xâm nhập mạng nội bộ. Khía cạnh bảo vệ API đã có bài riêng, bạn xem bảo mật API.

Shadow IT và SaaS ngoài tầm kiểm soát

Nhân viên tự đăng ký công cụ lưu trữ, ghi chú, họp trực tuyến hoặc AI bằng email công ty, rồi tải dữ liệu khách hàng lên. IT không có danh sách các dịch vụ này nên không thu hồi được quyền khi nhân viên nghỉ việc. Đây là bài toán mà nhóm công cụ CASB nhắm tới.

Dữ liệu không được mã hoá hoặc khoá quản lý lỏng lẻo

Mã hoá khi lưu (at rest) và khi truyền (in transit) hầu hết có sẵn trong dịch vụ đám mây, nhưng không phải lúc nào cũng được bật mặc định cho mọi loại tài nguyên. Câu hỏi quyết định là ai giữ khoá. Nguyên lý mã hoá đã được giải thích ở bài mã hoá dữ liệu; ở đây chỉ cần nhớ rằng khoá và dữ liệu nên được tách quyền quản trị.

Rủi ro từ nhà cung cấp và chuỗi cung ứng

Gián đoạn dịch vụ, thay đổi điều khoản, hoặc lỗ hổng ở một nhà cung cấp SaaS mà bạn tích hợp đều có thể ảnh hưởng đến bạn. Cam kết mức dịch vụ nằm ở hợp đồng, không phải ở thông cáo báo chí.

Các nhóm công cụ bảo mật đám mây: CSPM, CWPP, CASB, CIEM, CNAPP

Các từ viết tắt này do các hãng phân tích như Gartner đặt ra để phân loại sản phẩm theo vấn đề cần giải quyết. Hiểu đúng từng nhóm giúp bạn khỏi mua trùng chức năng.

Nhóm	Câu hỏi nó trả lời	Ví dụ phát hiện
CSPM (quản lý tư thế bảo mật đám mây)	Cấu hình của tôi có lệch chuẩn không?	Bucket công khai, tài khoản quản trị chưa bật MFA, nhật ký bị tắt
CWPP (bảo vệ workload)	Máy ảo, container đang chạy có an toàn không?	Image chứa lỗ hổng đã biết, tiến trình lạ trong container
CIEM (quản lý quyền hạn)	Danh tính nào có quyền vượt nhu cầu?	Vai trò có quyền xoá toàn bộ dữ liệu nhưng chưa dùng trong 90 ngày
CASB	Người dùng đang dùng dịch vụ đám mây nào, với dữ liệu gì?	Tải tệp hợp đồng lên dịch vụ lưu trữ cá nhân
CNAPP	Rủi ro nào của ứng dụng cloud-native cần xử lý trước?	Lỗ hổng trên workload đang mở ra Internet và có quyền đọc dữ liệu khách hàng

Theo mô tả của Gartner được nhiều nhà cung cấp trích lại, mục tiêu chính của CSPM là tự động hoá việc kiểm soát cấu hình và tuân thủ trên hạ tầng đám mây. Công cụ CSPM thường kết nối với API của nhà cung cấp đám mây nên không cần cài tác tử trên từng máy. Nó rà tài nguyên theo bộ quy tắc như CIS Benchmark rồi báo kết quả lệch chuẩn. Hãy nhớ rằng giá trị của CSPM không nằm ở số cảnh báo, mà ở việc xếp hạng cảnh báo nào kết hợp với phơi bày ra Internet, quyền truy cập và dữ liệu nhạy cảm để tạo thành rủi ro thật.

Các nền tảng đám mây lớn đều có công cụ sẵn ở mức cơ bản, ví dụ Microsoft Defender for Cloud ở Azure, có điểm Secure Score và khuyến nghị khắc phục. Với doanh nghiệp một đám mây, công cụ gốc thường là điểm khởi đầu hợp lý. Khi chạy nhiều đám mây, bạn mới cần cân nhắc nền tảng độc lập để nhìn thống nhất.

Bảo mật đám mây khác gì bảo mật on-premise?

Tiêu chí	On-premise	Đám mây
Ranh giới bảo vệ	Mạng nội bộ, tường lửa vành đai	Danh tính, API và cấu hình dịch vụ
Bảo mật vật lý, phần cứng	Doanh nghiệp tự làm	Nhà cung cấp làm
Tốc độ tạo tài nguyên	Chậm, qua mua sắm	Tức thì, dễ phát sinh tài nguyên bị lãng quên
Điểm sai phổ biến	Chậm vá lỗi, mạng phẳng	Cấu hình sai, quyền quá rộng
Khả năng quan sát	Tuỳ hạ tầng tự đầu tư	Nhật ký có sẵn nhưng phải bật và thu thập

Bạn không phải chọn một trong hai. Nhiều doanh nghiệp giữ hệ thống lõi tại chỗ và đưa email, cộng tác, một phần ứng dụng lên đám mây; xem bài zero trust và ZTNA để hiểu tư duy kiểm soát theo danh tính áp dụng cho cả hai phía.

Doanh nghiệp Việt Nam nên bắt đầu từ đâu?

Thay vì liệt kê chung chung, đây là danh sách kiểm tra theo thứ tự rủi ro, có thể thực hiện trong bảng điều khiển của hầu hết nhà cung cấp:

1. Tài khoản gốc (root/owner): bật MFA, không dùng cho công việc hằng ngày, lưu thông tin khôi phục ở nơi có kiểm soát.
2. Kiểm kê tài nguyên: liệt kê toàn bộ tài khoản đám mây, subscription và dự án. Tài khoản do một phòng ban tự mở thường là điểm mù.
3. Rà quyền truy cập công khai: kiểm tra bucket, cơ sở dữ liệu, cổng quản trị đang mở ra Internet. Đây thường là phát hiện có tác động lớn nhất trong lần rà soát đầu.
4. Nguyên tắc đặc quyền tối thiểu: thay quyền toàn diện bằng vai trò theo chức năng, đặt thời hạn cho khoá và token.
5. Bật nhật ký kiểm toán: lưu đủ lâu và ở tài khoản tách biệt, để kẻ xâm nhập không xoá được dấu vết.
6. Sao lưu tách biệt: bản sao lưu cần nằm ngoài phạm vi quyền của tài khoản vận hành, nhằm sống sót khi tài khoản đó bị chiếm.
7. Đưa nhật ký vào giám sát: chuyển nhật ký sang hệ thống tập trung; xem SIEM nếu bạn cần tương quan sự kiện.

Dữ liệu cá nhân trên đám mây cần lưu ý gì?

Khi cơ sở dữ liệu khách hàng hoặc hồ sơ nhân sự nằm trên đám mây, bạn cần xác định ngay vị trí lưu trữ (nước nào, vùng nào), ai là bên xử lý dữ liệu theo hợp đồng và ai được truy cập bản sao lưu. Điều này nên được ghi vào hợp đồng với nhà cung cấp và hồ sơ đánh giá tác động. Chi tiết nghĩa vụ nằm ở bài bảo vệ dữ liệu cá nhân, bài này không nhắc lại.

Ưu điểm và hạn chế của bảo mật đám mây

Ưu điểm

• Hạ tầng nền được đầu tư bởi nhà cung cấp có đội ngũ chuyên trách, mà một doanh nghiệp vừa khó tự dựng.
• Kiểm soát bằng chính sách và tự động hoá: một quy tắc có thể áp cho hàng trăm tài nguyên cùng lúc.
• Nhật ký và API sẵn có tạo điều kiện giám sát liên tục.

Hạn chế

• Dễ hiểu nhầm ranh giới trách nhiệm, dẫn đến khoảng trống không ai lo.
• Độ phức tạp tăng nhanh khi dùng nhiều đám mây, mỗi nơi một cách đặt tên quyền và cấu hình riêng.
• Phụ thuộc nhà cung cấp về tính sẵn sàng và điều khoản.
• Công cụ bảo mật tạo ra nhiều cảnh báo mức thấp, cần người ưu tiên.

Khi nào cần đầu tư công cụ chuyên dụng, khi nào chưa cần?

Chưa cần mua nền tảng riêng nếu bạn chỉ dùng vài dịch vụ SaaS và một tài khoản đám mây. Lúc đó, bật MFA, rà quyền chia sẻ, bật nhật ký kiểm toán và dùng công cụ gốc của nhà cung cấp đã xử lý phần lớn rủi ro. Công cụ chuyên dụng bắt đầu hợp lý khi có nhiều tài khoản đám mây hoặc nhiều đội cùng tạo tài nguyên, khi chạy container và pipeline CI/CD, hoặc khi phải chứng minh tuân thủ theo khung như ISO 27001. Ở doanh nghiệp nhỏ, bạn có thể đối chiếu với bài an ninh mạng cho doanh nghiệp nhỏ để ước lượng mức độ cần thiết.

Câu hỏi thường gặp

Bảo mật đám mây có an toàn hơn máy chủ đặt tại công ty không?

Không có câu trả lời chung. Hạ tầng vật lý ở nhà cung cấp lớn thường được đầu tư tốt hơn, nhưng độ an toàn cuối cùng phụ thuộc vào cấu hình và quản lý danh tính của bạn. Một hệ thống đặt trên đám mây với bucket công khai kém an toàn hơn một máy chủ nội bộ được cô lập tốt.

Nhà cung cấp đám mây có chịu trách nhiệm khi dữ liệu bị lộ không?

Chỉ với phần họ kiểm soát theo mô hình chia sẻ trách nhiệm và theo hợp đồng. Nếu dữ liệu lộ do bạn đặt quyền công khai hoặc để lộ khoá truy cập, nhà cung cấp thường không chịu trách nhiệm. Hãy đọc kỹ điều khoản và phụ lục bảo mật trước khi ký.

CSPM và CASB khác nhau thế nào?

CSPM kiểm tra cấu hình hạ tầng đám mây của bạn, như kho lưu trữ hay quy tắc mạng. CASB kiểm soát cách người dùng truy cập và dùng các dịch vụ đám mây, đặc biệt là SaaS, gồm cả dịch vụ nhân viên tự đăng ký.

Bảo mật đám mây có cần chuyên gia riêng không?

Với quy mô nhỏ, quản trị viên hệ thống được đào tạo về IAM và cấu hình thường đủ cho giai đoạn đầu. Khi hạ tầng lớn lên, vai trò phụ trách an toàn thông tin riêng sẽ cần thiết; xem bài CISO là gì để hiểu vị trí này.

Mã hoá có đủ để bảo vệ dữ liệu trên đám mây không?

Chưa đủ. Mã hoá bảo vệ dữ liệu khi bị đọc trực tiếp từ ổ đĩa, nhưng nếu kẻ tấn công chiếm được tài khoản có quyền giải mã thì dữ liệu vẫn bị đọc bình thường. Vì vậy mã hoá phải đi kèm quản lý khoá và kiểm soát quyền truy cập.

Đa đám mây có làm bảo mật khó hơn không?

Thường là có. Mỗi nhà cung cấp có mô hình quyền và công cụ riêng, nên dễ phát sinh điểm mù và chính sách không đồng nhất. Microsoft cũng nêu rõ nhu cầu về khả năng hiển thị và quản trị nhất quán trong môi trường nhiều đám mây. Bài hybrid cloud và multi-cloud giúp bạn so sánh các mô hình này.