1.
Đặt vấn đề
Cuối
tháng 04/2015, tôi có bài viết về 'Tiếp cận mô hình
mạng 7 lớp theo Mô hình Kết nối tương tác các Hệ
thống Mở - Mô hình OSI (Open Systems Interconnection Model) và
đề xuất cho Việt Nam về an toàn thông tin dữ liệu'
[1], trong đó có những phân tích về việc Việt Nam cho
tới nay chưa làm chủ được bất kỳ lớp mạng nào
trong số 7 lớp mạng theo mô hình OSI khi tạo, gửi và
nhận dữ liệu. Từ phân tích đó đã đề xuất cho Việt
Nam “dành ưu tiên cao nhất, cho chính các giải pháp
nguồn mở, với các dự án phần mềm nguồn mở (PMNM)
làm việc trực tiếp với vòng đời an toàn thông
tin - dữ liệu, bắt đầu từ việc tạo ra dữ
liệu (ví dụ như với LibreOffice, Thunderbird) và sau đó
ngay lập tức bảo vệ nó trước khi thực hiện bất kỳ
hành động nào khác”.
Vậy
vòng đời an toàn dữ liệu là gì? Có những pha nào trong
vòng đời an toàn dữ liệu? Những khuyến cáo bảo vệ
thông tin - dữ liệu nào tương ứng với các pha đó - là
trọng tâm của bài viết này.
2.
Quản lý vòng đời an toàn dữ liệu
Trong
tài liệu 'Chỉ dẫn về an toàn cho Các lĩnh vực Trọng
tâm Sống còn trong Điện toán Đám mây V2.1' do 'Liên minh
An toàn Đám mây' - CSA (Cloud Security Alliance) xuất bản vào
tháng 12 năm 2009 [2] có đề cập tới an toàn của đám
mây phụ thuộc vào kiến trúc và 12 lĩnh vực khác. Trong
số 12 lĩnh vực khác đó, có nhắc tới việc quản lý
vòng đời an toàn thông tin - dữ liệu.
Một
trong những mục tiêu ban đầu của an toàn thông tin là để
bảo vệ các dữ liệu cơ bản, trang bị cho các hệ thống
và ứng dụng của chúng ta. Khi chúng ta chuyển lên điện
toán đám mây (ĐTĐM) (hoặc chỉ đơn giản khi làm việc
trong môi trường Internet) thì các phương thức truyền
thống để đảm bảo an toàn cho các dữ liệu bị thách
thức với các kiến trúc hệ thống dựa trên đám mây
(hoặc Internet). Khả năng thay đổi mềm dẻo, nhiều người
thuê mướn sử dụng, các kiến trúc mới về vật lý và
logic, và việc kiểm soát ảo hóa đòi hỏi phải có các
chiến lược mới về an toàn dữ liệu. Với nhiều triển
khai đám mây, chúng ta cũng đang chuyển các dữ liệu ra
các môi trường bên ngoài – hoặc thậm chí là công
cộng, theo các cách thức mà có thể chưa từng được
nghĩ tới chỉ vài năm trước.
2.1
Các pha trong quản lý vòng đời an toàn thông tin - dữ
liệu
Vòng
đời an toàn thông tin là khác với quản lý vòng đời
thông tin, phản ánh những nhu cầu khác biệt về an toàn
của người sử dụng. Vòng đời an toàn thông tin có 6
pha như hình minh họa:
Những
thách thức chủ chốt về an toàn vòng đời của dữ liệu
trong đám mây là liên quan tới một loạt các khía cạnh
khác nhau như: an toàn dữ liệu, vị trí của dữ liệu,
sự bền lâu của dữ liệu, việc cách li dữ liệu của
các khách hàng khác nhau, việc sao lưu và phục hồi dữ
liệu, việc tiết lộ dữ liệu khi có yêu cầu của các
cơ quan chức năng, việc tập hợp và suy luận về dữ
liệu. Các khía cạnh này, cùng với các khuyến cáo về
chúng, có thể tham khảo trong tài liệu [2], phần 5, 'Quản
lý vòng đời của thông tin', trang 37-40. Ở đây, chúng ta
chỉ nêu các khuyến cáo và an toàn dữ liệu theo từng
pha đối với việc quản lý vòng đời thông tin - ILM
(Information Lifecycle Management).
Một
số khuyến cáo chung được liệt kê trong ngữ cảnh từng
pha của vòng đời. Lưu ý là, phụ thuộc vào mô hình
dịch vụ đám mây, phần mềm như một dịch vụ - SaaS
(Software as a Service), nền tảng như một dịch vụ - PaaS
(Platform as a Service), hoặc hạ tầng như một dịch vụ -
IaaS (Infrastructure as a Service), một số khuyến cáo cần
phải được khách hàng triển khai và một số
khác phải được nhà cung cấp đám mây triển khai.
Nói một cách khác, trách nhiệm đảm bảo an toàn cho dữ
liệu theo từng pha của vòng đời nằm ở cả phía các
khách hàng và phía các nhà cung cấp dịch vụ đảm mây,
chứ không phải chỉ nằm duy nhất ở phía các nhà cung
cấp dịch vụ đám mây.
Điều
này cũng có nghĩa là, trong môi trường sử dụng Internet,
thì trách nhiệm đảm bảo an toàn cho dữ liệu theo từng
pha của vòng đời nằm ở cả phía các khách hàng và nhà
cung cấp dịch vụ Internet.
2.2
Các khuyến cáo theo các pha của vòng đời an toàn thông
tin - dữ liệu
Pha
tạo dữ liệu
Xác
định các khả năng sẵn sàng của việc phân loại và
dán nhãn dữ liệu.
Quản
lý các quyền số - DRM (Digital Right Management) của tổ
chức có thể được lựa chọn.
Việc
gắn thẻ cho dữ liệu của người sử dụng đang trở
nên thông dụng trong các môi trường Web 2.0 và có thể
được thúc đẩy để giúp phân loại dữ liệu.
Đối
với các dữ liệu cần được bảo vệ, phải tiến hành
mã hóa ngay tại chỗ, ngay trên máy tạo ra dữ liệu đó,
ngay khi các dữ liệu đó được tạo ra, trước khi tiến
hành bất kỳ thao tác nào khác, bao gồm cả việc lưu
giữ lại các dữ liệu đó.
Một
trong các cách bảo vệ dữ liệu như được khuyến cáo
trong tài liệu nghiên cứu 'Báo cáo 2014 - Các mối đe
dọa không gian mạng đang nổi lên' của Viện Công nghệ
Georgia [3], là tạo ra viên nang đám mây (CloudCapsule) với
các dữ liệu đã được mã hóa trước khi lên mây, cho
phép người sử dụng chuyển sang chế độ an ninh bằng
việc sử dụng máy trạm chính xác y hệt và truy
cập các tệp được mã hóa được lưu trữ trong đám
mây.
Để
việc tạo ra dữ liệu sạch, cần tới môi trường tạo
ra dữ liệu sạch, vì thế khuyến cáo sử dụng các
thiết bị, môi trường nền tảng hệ điều hành, phần
mềm tạo dữ liệu là các PMNM, như hệ điều hành
GNU/Linux Ubuntu hoặc Fedora, bộ phần mềm các công cụ
văn phòng như OpenOffice hoặc LibreOffice, phần mềm tạo
và gửi - nhận thư điện tử Mozilla Thunderbird, như được
khuyến cáo sử dụng trong các cơ quan nhà nước theo
Thông tư số 20/2014/TT-BTTTT [4] ngày 05/12/2014 Quy định
về các sản phẩm phần mềm nguồn mở được ưu tiên
mua sắm, sử dụng trong cơ quan, tổ chức nhà nước.
Pha
lưu giữ dữ liệu
Xác
định các kiểm soát truy cập sẵn sàng trong hệ thống
tệp, hệ quản trị cơ sở dữ liệu, hệ quản trị tài
liệu, …
Các
giải pháp mã hóa, như đối với thư điện tử, truyền
dẫn mạng, cơ sở dữ liệu, các tệp và các hệ thống
tệp. Lưu ý: các dữ liệu được lưu giữ ở pha
này là các dữ liệu đã được mã hóa rồi từ pha
trước, pha tạo dữ liệu như được nêu ở phần trên.
Nếu việc mã hóa dữ liệu không được thực hiện ở
pha trước đó, mà chỉ được làm ở pha này, đặc biệt
khi mà người sử dụng chuyển các dữ liệu chưa được
mã hóa lên máy chủ trên Internet, thì các dữ liệu có
nguy cơ bị chặn lấy ở giữa đường, hoặc các nhà
cung cấp dịch vụ khai thác vì các mục đích khác ngay
trên các máy chủ lưu giữ các dữ liệu đó của người
sử dụng. Cách làm này cũng có khả năng bị rơi vào
cái bẫy dạng 'đục lỗ cho mèo chui qua, rồi nghĩ chuột,
bọ, gián không chui qua được', nghĩa là khi có lỗ thủng
trong hệ thống, thì không phải người có chủ ý nghĩ
ra việc để lại lỗ thủng đó có khả năng truy cập
được tới dữ liệu, mà bất kỳ ai có hiểu biết sâu
về hệ thống cũng có khả năng thực hiện được việc
tương tự.
Các
công cụ chống rò rỉ dữ liệu (thường là hoặc phòng
ngừa mất dữ liệu - DLP (Data Loss Prevention hoặc Data
Leak Prevention) có thể hỗ trợ trong việc xác định và
kiểm toán dữ liệu có đòi hỏi sự kiểm soát. Tương
tự như với việc mã hóa, việc chống rò rỉ dữ liệu,
cũng được khuyến cáo thực hiện ngay trên các máy tính
trạm sau khi tạo xong thông tin - dữ liệu của người sử
dụng, trước khi tiến hành bất kỳ hành động nào
khác. Các phần mềm chống rò rỉ dữ liệu thường được
cài đặt, thiết lập cấu hình và tích hợp ngay trên
máy trạm vào bộ phần mềm văn phòng và trình thư điện
tử máy trạm của người sử dụng.
Pha
sử dụng
Giám
sát và ép buộc các hoạt động tuân thủ các qui định
về bảo mật thông tin dữ liệu, thông qua các tệp ghi
lưu ký và/hoặc các công cụ dựa vào các đại lý.
Quản
lý việc phân quyền sử dụng thông tin - dữ liệu.
Logic
và an toàn các ứng dụng.
Các
kiểm soát mức đối tượng bên trong các giải pháp của
hệ thống quản trị dữ liệu (DBMS).
Pha
chia sẻ
Giám
sát và ép buộc các hoạt động tuân thủ các qui định
về bảo mật thông tin dữ liệu, thông qua các tệp ghi
lưu ký và/hoặc các công cụ dựa vào các đại lý.
Logic
và an toàn các ứng dụng.
Các
kiểm soát mức đối tượng bên trong các giải pháp của
hệ thống quản trị dữ liệu (DBMS).
Xác
định các kiểm soát truy cập sẵn sàng bên trong hệ
thống tệp, DBMS, và hệ thống quản trị tài liệu.
Mã
hóa, như đối với thư điện tử, truyền dẫn mạng, cơ
sở dữ liệu, các tệp và các hệ thống tệp. Việc mã
hóa được thực hiện từ pha tạo dữ liệu. Ở pha này
bổ sung thêm việc mã hóa trên đường truyền khi việc
chia sẻ dữ liệu được thực hiện qua mạng. Tham khảo
việc mã hóa toàn bộ web như được giới thiệu với
website Let's Encrypt (Hãy mã hóa) [5]; với Let's Encrypt, gốc
root của cơ quan chứng thực (CA) được cài đặt trong
phần mềm máy trạm [6], và cho phép giữ gốc root CA an
toàn không trực tuyến nhờ vào việc phát hành các chứng
thực số cho các thuê bao từ các CA trung gian của nó
[7].
Pha
lưu trữ
Mã
hóa, như đối với các băng sao lưu và các vật lưu trữ
dài hạn khác. Việc mã hóa được thực hiện từ pha
tạo dữ liệu, trước khi đưa vào các băng sao lưu và
các vật lưu trữ dài hạn khác. Xem xét khả năng tạo
các viên nang đám mây như được nêu ở phần trên.
Quản
lý và theo dõi tài sản.
Pha
phá hủy
Băm
nhỏ mật mã: phá hủy tất cả các tư liệu chủ chốt
có liên quan tới dữ liệu được mã hóa.
Xóa
có an toàn thông qua việc quét sạch đĩa và các kỹ
thuật liên quan.
Phá
hủy vật lý, như việc phá hủy các vật lưu trữ vật
lý.
3.
Đề xuất thay cho lời kết
Tiếp
tục mạch đề xuất từ bài trước 'Tiếp cận mô hình
mạng 7 lớp OSI và đề xuất cho Việt Nam về an toàn
thông tin dữ liệu' [1], bài này đề xuất một số công
cụ bảo vệ dữ liệu theo vòng đời an toàn của nó, khi
đối chiếu với danh sách 19 chủng loại các công cụ
nguồn mở bảo mật hệ thống thông tin [8] từng được
giới thiệu từ bài trước, nhiều sản phẩm, dự án và
chủng loại trong số đó có thể được sử dụng cho
việc bảo mật cho các pha của vòng đời an toàn dữ liệu
được nêu ở trên, như:
Bên
cạnh các công cụ làm việc trực tiếp với các pha của
vòng đời an toàn dữ liệu, nhiều chủng loại khác trong
số 19 chủng loại đó cũng có khả năng được sử dụng
bổ sung cho các khía cạnh bảo mật khác của hệ thống
thông tin.
Vì
các phần mềm trong các chủng loại được nêu ở trên
đều là các PMNM, các dự án PMNM hiện đang có sẵn trên
thế giới, nên chúng ta không cần phải tạo lại chiếc
bánh xe, mà hãy tham gia vào các cộng đồng dự án có sẵn
đó, tạo ra các cộng đồng PMNM Việt Nam theo từng dự
án đó để phát triển cùng và không tách rời khỏi các
cộng đồng thế giới của từng dự án đó, luôn nghĩ
tới việc ngược lên dòng trên về dự án gốc vì điều
này sẽ là vì sự phát triển bền vững của dự án, của
người/đơn vị phát triển và những người sử dụng nó
về lâu dài.
Một
gợi ý đề xuất nữa là hiện tại, Trung tâm Nghiên cứu
và Phát triển Quốc gia về Công nghệ Mở (RDOT), Bộ Khoa
học và Công nghệ đã và đang triển khai thí điểm các
khóa học huấn luyện huấn luyện viên nguồn mở với
các nội dung phi kỹ thuật của thế giới phần mềm tự
do nguồn mở [9]-[10], có khả năng là những nội dung kiến
thức bổ trợ rất hữu ích cho các cá nhân và/hoặc tổ
chức có mong muốn tham gia vào các cộng đồng các dự án
phát triển PMNM đúng theo mô hình phát triển của PMNM thế
giới như những dự án của một số công cụ bảo vệ
dữ liệu theo vòng đời an toàn dữ liệu được nêu ở
trên. Hãy tham gia vào các khóa học như vậy cùng chúng
tôi!
4.
Các thông tin tham khảo
Hà
Nội, thứ hai, ngày 22/06/2015
