Tích hợp hạ tầng riêng: đừng để bảo mật chặn dự án

Dự án tích hợp hệ vận hành vào hạ tầng riêng của khách thường bị tắc ở cửa kiểm toán bảo mật, không phải ở kỹ thuật hay ngân sách. Đội an ninh thông tin của khách sẽ hỏi đối tác có chứng nhận gì. Họ cũng hỏi quy trình bảo vệ dữ liệu ra sao và ai chịu trách nhiệm khi có sự cố. Nếu không chuẩn bị trước, dự án có thể đứng yên nhiều tuần dù phần kỹ thuật đã xong.

Khi nào vấn đề bảo mật trở thành điều kiện tiên quyết

Không phải mọi tích hợp đều kéo theo yêu cầu kiểm toán nặng. Mức độ phụ thuộc vào hai câu hỏi cốt lõi: loại dữ liệu nào bị chạm tới, và hạ tầng đó nằm ở đâu.

• Dữ liệu khách hàng cuối, thông tin cá nhân, hồ sơ y tế hoặc giao dịch tài chính: yêu cầu chặt nhất, không thương lượng.
• Dữ liệu nội bộ vận hành nhưng không chứa thông tin cá nhân: yêu cầu vẫn có nhưng thường linh hoạt hơn.
• Công cụ đám mây độc lập, không kết nối hệ thống lõi: yêu cầu nhẹ nhất, nhưng vẫn cần kiểm tra điều khoản nhà cung cấp.

Ngành tài chính, y tế và các tổ chức đã triển khai hệ thống quản lý an ninh thông tin (information security management system) thường có đội an ninh riêng. Đội này có bộ tiêu chí riêng để đánh giá đối tác bên ngoài. Anh / Chị nên hỏi thẳng đội đó ngay khi bắt đầu thảo luận phạm vi dự án, không phải khi sắp triển khai.

Bốn thứ cần chuẩn bị trước khi tích hợp

• Thoả thuận xử lý dữ liệu (data processing agreement): văn bản ghi rõ mỗi bên được làm gì với dữ liệu, lưu ở đâu, xoá khi nào, và báo cáo sự cố trong bao lâu. Không có văn bản này khi dữ liệu cá nhân được xử lý là rủi ro pháp lý trực tiếp.
• Thẩm định đối tác (due diligence): tổ chức của Anh / Chị cần đánh giá năng lực bảo mật và tình trạng tuân thủ của bên tích hợp trước khi trao quyền truy cập. Việc này thường qua một bộ câu hỏi bảo mật, có tham chiếu báo cáo SOC 2 (báo cáo kiểm toán độc lập về kiểm soát an ninh dịch vụ) hoặc ISO 27001 (chuẩn quản lý an ninh thông tin quốc tế). Nếu chưa có chứng nhận, hai bên có thể ghi nhận rủi ro ở mức chấp nhận được.
• Ranh giới trách nhiệm hạ tầng: ai chịu phần máy chủ, ai chịu phần ứng dụng, ai bị gọi đầu tiên khi có sự cố. Không tách rõ ngay từ đầu, sau này đổ lỗi qua lại mất thời gian và quan hệ.
• Quyền kiểm toán và nghĩa vụ báo sự cố: hợp đồng cần ghi rõ tổ chức của Anh / Chị có quyền yêu cầu kiểm tra định kỳ hay không. Hợp đồng cũng cần nêu rõ bên tích hợp phải báo sự cố trong khung thời gian nào.

Lỗi thường gặp khiến dự án tắc giữa đường

• Để yêu cầu bảo mật sang giai đoạn triển khai mới bàn, khi đó đội an ninh của khách chặn lại và toàn bộ tiến độ dừng.
• Không ký thoả thuận xử lý dữ liệu vì nghĩ đây là thủ tục phụ, sau đó phát sinh vấn đề pháp lý khi dữ liệu cá nhân bị liên quan.
• Ranh giới hạ tầng không được ghi vào hợp đồng, chỉ thoả thuận miệng, dẫn đến tranh chấp trách nhiệm khi có lỗi hệ thống.
• Coi kiểm toán bảo mật là việc của đội kỹ thuật, không đưa vào bàn phạm vi ngay từ buổi họp khởi động dự án (kick-off).

Thẩm định đối tác trước, rồi mới trao quyền chạm hệ thống. Không phải nghi ngờ, mà là bảo vệ cả hai bên.

Nguyên tắc quản lý rủi ro bên thứ ba, Sprinto và Atlas Systems, SOC 2 Vendor Management

Khi nào nên tự nhận, khi nào nên giao ngoài

Nếu doanh nghiệp đã có đội kỹ thuật đủ năng lực tiếp nhận hệ thống, tự vận hành phần hạ tầng nhạy cảm thường là lựa chọn hợp lý vì dữ liệu ở lại trong tầm kiểm soát. Nếu chưa có, thuê một bên chuyên về hạ tầng và bảo mật đứng tên phần đó thường an toàn hơn là cố gánh bằng người kiêm nhiệm. Điều cần tránh là để phần nhạy cảm không thuộc về ai.

Ở ngành quản lý chặt như tài chính hoặc y tế, nên đánh giá năng lực nội bộ trước khi ký hợp đồng, không để đến giữa dự án mới phát hiện thiếu người tiếp nhận.

Bài viết là thông tin tham khảo. Phạm vi, giá và cam kết cụ thể của Sinh Vũ ghi trong hồ sơ đề xuất và hợp đồng đã ký.