Có một câu hỏi tôi nghe đi nghe lại từ các anh chị IT Manager về an toàn dữ liệu: “Công ty tôi đã có firewall, có antivirus, có cả VPN rồi, vậy dữ liệu đã an toàn chưa?” Câu trả lời thật lòng là chưa, và lý do không nằm ở việc thiếu công cụ. Firewall, antivirus, VPN đều là những lớp bảo vệ vành đai, thiết kế để chặn kẻ lạ từ bên ngoài đi vào. Nhưng phần lớn sự cố mất dữ liệu ở doanh nghiệp Việt lại không đến từ hacker phá cửa. Nó đến từ một nhân viên copy danh sách khách hàng vào USB trước ngày nghỉ việc, từ một file báo giá được forward nhầm ra ngoài, từ một lỗ hổng trên web app tồn tại nhiều tháng mà không ai biết. Đó là ba loại rủi ro hoàn toàn khác nhau, và không có một sản phẩm đơn lẻ nào xử lý được cả ba.
Vì sao cần tư duy nhiều lớp thay vì một sản phẩm
Bảo vệ dữ liệu khác bảo vệ hệ thống. Một hệ thống bị tấn công thì có thể khôi phục từ backup, còn dữ liệu đã rò rỉ ra ngoài thì không có nút hoàn tác. Danh sách khách hàng đã nằm trong tay đối thủ, bản thiết kế đã bị chụp màn hình gửi đi, dữ liệu cá nhân của người dùng đã bị đăng lên diễn đàn – không có bản backup nào lấy lại được.
Vì vậy tư duy đúng không phải là “mua giải pháp gì để chặn hết”, mà là chia rủi ro thành từng nhóm và xử lý bằng đúng công cụ cho nhóm đó. Dữ liệu trong tầm kiểm soát của công ty cần một cơ chế giám sát và chặn. Dữ liệu buộc phải gửi ra ngoài cần một cơ chế bảo vệ đi theo file. Và toàn bộ hệ thống chứa dữ liệu cần được kiểm chứng định kỳ xem hàng rào có thật sự đứng vững không. Ba nhu cầu, ba lớp.
Lớp 1: DLP – chặn dữ liệu rò rỉ ngay trong nội bộ
DLP (Data Loss Prevention) là lớp nền. Nhiệm vụ của nó là giám sát dòng chảy dữ liệu trong doanh nghiệp và chặn lại khi có hành vi đưa dữ liệu nhạy cảm ra khỏi phạm vi cho phép.
Điểm mấu chốt khiến DLP khác hẳn firewall: firewall phân biệt trong và ngoài, còn DLP phân biệt dữ liệu nào được đi đâu. Một nhân viên kinh doanh có quyền truy cập CRM hợp lệ, đăng nhập hợp lệ, tải danh sách khách hàng hợp lệ. Firewall không có lý do gì để chặn. Nhưng khi người đó copy file sang USB cá nhân, gửi vào Gmail riêng, hay upload lên Google Drive cá nhân, DLP mới là thứ nhìn thấy và can thiệp theo thời gian thực.
Các kênh rò rỉ mà một hệ thống DLP tốt cần phủ: thiết bị lưu trữ ngoài (USB, ổ cứng di động), email, ứng dụng chat và truyền file, cloud storage, in ấn, và cả clipboard hay screen capture. Nếu chỉ chặn được USB mà bỏ ngỏ cloud, dữ liệu vẫn đi ra bằng cửa sau.
GTB DLP là một lựa chọn mà MVTech Cyber triển khai cho khách hàng ở lớp này. Hãng của Mỹ, thành lập 2004, được đánh giá cao nhất về khả năng data discovery và classification, hỗ trợ đa nền tảng Windows, Linux, macOS và cloud, kiểm soát theo thời gian thực trên nhiều kênh cùng lúc.
Một lưu ý quan trọng đã nói ở bài 8: DLP chỉ hiệu quả khi doanh nghiệp biết mình có dữ liệu gì và nó nằm ở đâu. Triển khai DLP mà bỏ qua bước data discovery và phân loại dữ liệu thì hệ thống sẽ hoặc chặn nhầm khiến nhân viên ức chế, hoặc bỏ lọt đúng thứ cần chặn.
Lớp 2: DRM – bảo vệ file kể cả khi đã rời khỏi công ty
DLP mạnh trong phạm vi doanh nghiệp kiểm soát được. Nhưng có những file bắt buộc phải gửi ra ngoài: báo giá cho khách, bản vẽ cho nhà thầu, hợp đồng cho đối tác, tài liệu cho đơn vị kiểm toán. Khi file đã ra khỏi vùng kiểm soát, DLP hết vai trò. Đó là chỗ DRM bước vào.
Khác biệt cốt lõi: DLP kiểm soát dòng chảy, DRM kiểm soát bản thân file. Với DRM, lớp bảo vệ được mã hóa và gắn dính vào file, đi theo file tới bất cứ đâu. Người nhận muốn mở được phải có quyền, và quyền đó do doanh nghiệp cấp và có thể thu hồi bất kỳ lúc nào.
Bốn nhóm kiểm soát mà DRM cho phép thiết lập trên từng file: quyền xem (ai được mở, mở trong bao lâu), quyền chỉnh sửa, quyền in, và chặn chụp màn hình. Ngoài ra còn watermark động hiển thị tên người đang mở file, nên nếu tài liệu bị chụp lại bằng điện thoại và lan ra ngoài, vẫn truy được nguồn.
Fasoo là giải pháp DRM mà MVTech Cyber phân phối: hãng Hàn Quốc thành lập năm 2000, đơn vị đầu tiên được cấp chứng nhận công nghệ DRM, hiện phục vụ hơn 2000 khách hàng tại hơn 50 quốc gia và được Gartner đánh giá cao trong nhóm bảo vệ dữ liệu tập trung vào tài liệu.
Kết hợp lại, DLP và DRM bù trừ cho nhau rất rõ: DLP lo dữ liệu không được phép ra ngoài, DRM lo dữ liệu buộc phải ra ngoài. Doanh nghiệp chỉ có DLP sẽ bị kẹt mỗi khi cần chia sẻ tài liệu hợp lệ; chỉ có DRM thì vẫn để hở toàn bộ dữ liệu trong cơ sở dữ liệu và hệ thống nội bộ.
Lớp 3: Pentest – kiểm chứng xem hai lớp kia có thật sự đứng vững
Hai lớp trên là phòng thủ. Lớp thứ ba trả lời một câu hỏi khác hẳn: những gì đã triển khai có thật sự hoạt động như kỳ vọng không?
Pentest (kiểm thử xâm nhập) là việc thuê chuyên gia bảo mật chủ động tìm cách xâm nhập hệ thống trong phạm vi và điều kiện đã thống nhất, rồi báo cáo lại họ vào được bằng đường nào. Đây là điểm khác biệt giữa “chúng tôi nghĩ hệ thống an toàn” và “chúng tôi đã kiểm chứng hệ thống an toàn tới mức nào”.
Pentest quan trọng với hai lớp DLP và DRM ở chỗ: cấu hình sai là chuyện rất thường gặp. Một policy DLP bị loại trừ nhầm cho một nhóm người dùng, một server chứa dữ liệu chưa được đưa vào phạm vi giám sát, một API nội bộ trả về dữ liệu khách hàng mà không kiểm tra phân quyền – tất cả đều là những khoảng trống mà chỉ có kiểm thử thực tế mới lộ ra.
Nhắc lại điểm pháp lý đã nói ở bài 9: cung cấp dịch vụ an toàn thông tin mạng tại Việt Nam là ngành nghề kinh doanh có điều kiện. Đơn vị thực hiện pentest cho doanh nghiệp bắt buộc phải có giấy phép tương ứng. Ngoài yếu tố tuân thủ, đây cũng là cách tự bảo vệ, vì trong quá trình pentest đơn vị thực hiện sẽ tiếp cận trực tiếp điểm yếu của hệ thống.
Về tần suất, thông lệ hợp lý với doanh nghiệp Việt là pentest định kỳ hàng năm, cộng thêm kiểm thử bổ sung mỗi khi hệ thống có thay đổi lớn: ra mắt ứng dụng mới, đổi kiến trúc hạ tầng, tích hợp thanh toán, hoặc mở thêm API cho đối tác. Và luôn có retest sau khi vá lỗi để xác nhận lỗ hổng đã đóng thật.
Lộ trình triển khai theo giai đoạn cho doanh nghiệp vừa và nhỏ
Nhìn đủ ba lớp cùng lúc dễ khiến doanh nghiệp SME thấy quá tải về ngân sách và nhân sự. Thực tế không cần làm hết trong một lần. Dưới đây là lộ trình MVTech Cyber thường tư vấn, chia theo mức độ ưu tiên.
Giai đoạn 1 (tháng 1-2): Nhìn rõ trước khi chi tiền. Chạy data discovery để biết dữ liệu nhạy cảm đang nằm ở đâu, phân loại theo 3-4 cấp thực dụng, rà soát ai đang có quyền truy cập vào cái gì. Giai đoạn này chi phí thấp nhất nhưng quyết định hiệu quả của tất cả các bước sau.
Giai đoạn 2 (tháng 3-4): Triển khai DLP theo chế độ giám sát trước, chặn sau. Bật monitor-only để thu thập dữ liệu thực tế về hành vi, tinh chỉnh policy cho khớp với quy trình làm việc, rồi mới chuyển sang chế độ chặn. Bỏ qua bước này là nguyên nhân phổ biến nhất khiến DLP bị nhân viên phản ứng và cuối cùng bị tắt.
Giai đoạn 3 (tháng 5-6): Bổ sung DRM cho nhóm tài liệu quan trọng nhất phải chia sẻ ra ngoài. Không cần áp cho toàn bộ tài liệu công ty ngay từ đầu; bắt đầu từ báo giá, hợp đồng, bản vẽ hoặc tài liệu R&D là đủ tạo giá trị rõ rệt.
Giai đoạn 4 (tháng 7 trở đi): Pentest để kiểm chứng, ưu tiên hệ thống có tiếp xúc internet và chứa dữ liệu khách hàng. Sau đó vá lỗi, retest, và đưa pentest vào lịch định kỳ hàng năm.
Song song cả bốn giai đoạn là phần thường bị xem nhẹ nhất: đào tạo nhân viên và ban hành quy định nội bộ rõ ràng về xử lý dữ liệu. Công nghệ chặn được hành vi, nhưng chỉ con người hiểu vì sao mới giảm được số lần phải chặn.
Với doanh nghiệp có xử lý dữ liệu cá nhân của khách hàng, lộ trình này cũng đồng thời phục vụ việc tuân thủ Nghị định 13/2023: kiểm kê và phân loại dữ liệu, kiểm soát truy cập, chống rò rỉ, bảo vệ dữ liệu khi chia sẻ, và có bằng chứng về biện pháp bảo vệ đã áp dụng.
MVTech Cyber, thuộc Công ty TNHH Thương mại và Công nghệ MVTech (thành lập 2016), chuyên các giải pháp bảo mật và an toàn thông tin gồm SOC, SIEM, EDR, PAM, DLP và DRM, phục vụ khách hàng khối Bộ ngành, Telco, BFSI và doanh nghiệp vừa và nhỏ. MVTech Cyber vừa được cấp phép cung cấp dịch vụ an toàn thông tin, trong đó có dịch vụ kiểm thử xâm nhập (pentest).
Điểm mạnh của MVTech Cyber ở chuỗi ba lớp này là có thể tư vấn và triển khai trọn vẹn cả phần phòng thủ (GTB DLP, Fasoo DRM) lẫn phần kiểm chứng (pentest), nên doanh nghiệp không phải ghép nhiều nhà cung cấp và tự lo phần kết nối giữa các lớp.
Nếu doanh nghiệp của anh chị đang muốn xây dựng lộ trình bảo vệ dữ liệu phù hợp với quy mô và ngân sách thực tế, hãy đặt lịch tư vấn tổng thể với MVTech Cyber. Buổi tư vấn sẽ rà soát hiện trạng, xác định lớp nào cần ưu tiên trước, và đề xuất lộ trình theo giai đoạn thay vì bán trọn gói ngay từ đầu.
