Bảo mật đám mây là một tập hợp các phương pháp, công nghệ và nguyên tắc nhằm bảo vệ môi trường điện toán đám mây tránh khỏi truy cập trái phép, vi phạm dữ liệu và các mối đe dọa an ninh mạng khác. Khi các TC/DN ngày càng dựa vào các dịch vụ đám mây để lưu trữ và quản lý dữ liệu nhạy cảm, điều quan trọng là phải hiểu các loại mối đe dọa bảo mật khác nhau liên quan đến dịch vụ này.
Bất chấp sự phổ biến ngày càng tăng của điện toán đám mây, vẫn còn một số lầm tưởng và quan điểm sai lầm về bảo mật trên môi trường đám mây. Một trong những lầm tưởng phổ biến nhất về bảo mật đám mây là nó không an toàn. Điều này là không chính xác. Các nhà cung cấp dịch vụ đám mây đầu tư mạnh vào các giải pháp bảo mật để bảo vệ dữ liệu của khách hàng. Họ có các nhóm chuyên gia bảo mật hỗ trợ mọi thời điểm, sử dụng nhiều giao thức bảo mật mạnh mẽ và công nghệ mã hóa tiên tiến để đảm bảo dữ liệu của khách hàng được an toàn tuyệt đối.
Một quan điểm sai lầm khá phổ biến khác là chỉ các nhà cung cấp dịch vụ đám mây mới phải chịu trách nhiệm về tất cả các khía cạnh của bảo mật đám mây. Mặc dù được cung cấp các tính năng và dịch vụ bảo mật, nhưng các TC/DN cũng phải chịu trách nhiệm bảo mật dữ liệu của họ trên đám mây. Điều này liên quan đến việc triển khai các biện pháp bảo mật nhiều tầng, kiểm tra bảo mật thường xuyên và đánh giá rủi ro, đồng thời đào tạo và nâng cao nhận thức của người dùng về các phương pháp bảo mật đám mây tốt nhất.
Một số TC/DN tin rằng bảo mật đám mây rất tốn kém và không đáng để đầu tư. Mặc dù việc triển khai các biện pháp bảo mật đám mây cần một số khoản đầu tư, tuy vậy chi phí có thể sẽ thấp hơn đáng kể so với tổn thất tài chính tiềm ẩn và thiệt hại về uy tín có thể xảy ra do vi phạm dữ liệu hoặc tấn công mạng.
Ngoài ra, một số TC/DN nhỏ quan niệm rằng bảo mật đám mây chỉ cần thiết cho các TC/DN lớn với nhu cầu xử lý và lưu trữ dữ liệu quan trọng hơn. Tuy nhiên trên thực tế, các tin tặc không loại trừ bất kỳ ai, các mối đe dọa vì thế cũng chính là sự thách thức đến việc bảo vệ dữ liệu của mọi TC/ DN. Do đó, công tác bảo mật đám mây cần phải được tăng cường và chú trọng nhằm bảo vệ thông tin được lưu trữ trong các TC/DN được an toàn. Mặt khác, nên nhớ rằng những tổn thất, thiệt hại do ảnh hưởng của các sự cố mạng có thể còn lớn hơn chi phí triển khai bảo mật đám mây. Chủ động phòng ngừa sẽ giúp giảm thiểu được những phát sinh tài chính có thể xảy ra.
Trong số các mối đe dọa an toàn đám mây, phổ biến nhất là vi phạm dữ liệu, nguyên nhân chính có thể do thiết lập mật khẩu yếu, lỗi thao tác hành vi hoặc đến từ những nỗ lực “bẻ khóa” của tin tặc. Các cuộc tấn công bằng phần mềm độc hại và mã độc tống tiền cũng là mối đe dọa cần lưu tâm vì chúng có thể lây nhiễm trên các máy chủ đám mây và gây hại nghiêm trọng cho các TC/DN. Các mối đe dọa khác bao gồm các cuộc tấn công nội bộ, liên quan đến nhân viên hoặc quản trị viên công nghệ thông tin trong hệ thống mạng nội bộ cố ý hoặc vô tình tiết lộ các thông tin, dữ liệu bí mật và các cuộc tấn công từ chối dịch vụ có thể vô hiệu hóa các dịch vụ đám mây dành cho người dùng.
Để đảm bảo an toàn, an ninh đám mây hiệu quả, các TC/DN cần phải triển khai một số chiến lược bảo mật cụ thể. Việc triển khai các chiến lược này cho phép giảm thiểu hiệu quả các mối đe dọa tiềm ẩn và đảm bảo tính bảo mật của dữ liệu có giá trị trên đám mây, bao gồm:
- Mã hóa dữ liệu và quản lý khóa: Mã hóa là một phần quan trọng của bảo mật đám mây vì nó cung cấp khả năng bảo vệ chống truy cập trái phép. Bằng cách mã hóa dữ liệu, các TC/DN có thể đảm bảo rằng ngay cả khi người lạ có quyền truy cập vào hệ thống lưu trữ đám mây, họ cũng không thể truy xuất hoặc sử dụng được dữ liệu. Quản lý khóa cũng rất quan trọng vì nó đảm bảo rằng chỉ những người được ủy quyền mới có thể truy cập dữ liệu được mã hóa.
- Quản lý danh tính và quyền truy cập (IAM): Việc xây dựng và triển khai các giải pháp IAM là một yếu tố quan trọng của bảo mật đám mây, giúp kiểm soát quyền truy cập vào tài nguyên đám mây. IAM cho phép TC/DN quản lý định danh và quyền của người dùng, đảm bảo rằng chỉ những người dùng được ủy quyền mới có quyền truy cập vào dữ liệu.
- An toàn hệ thống mạng: Đây là một khía cạnh quan trọng khác của bảo mật đám mây liên quan đến việc bảo vệ cơ sở hạ tầng mạng được sử dụng để truy cập các dịch vụ đám mây. Bằng cách triển khai tường lửa mạng, hệ thống phát hiện và ngăn chặn xâm nhập cũng như các biện pháp bảo mật hệ thống mạng khác, các TC/ DN có thể bảo vệ cơ sở hạ tầng đám mây của mình trước các mối đe dọa trên môi trường mạng.
- Yêu cầu tuân thủ và quy định: Tuân thủ chính sách và các quy định liên quan cũng là những yêu cầu quan trọng đối với bảo mật đám mây. Bên cạnh những chính sách an toàn đám mây trong phạm vi nội bộ, TC/DN cần phải đảm bảo tuân thủ các tiêu chuẩn và quy định quốc tế trên nhiều khía cạnh, ví dụ như Quy định chung về bảo mật dữ liệu (GDPR) của Liên minh châu Âu, hay Tiêu chuẩn Bảo mật Dữ liệu Thẻ thanh toán (PCI-DSS),… để bảo vệ dữ liệu nhạy cảm cũng như tránh các hình phạt pháp lý và tài chính.
Ngoài việc triển khai các chiến lược bảo mật đám mây quan trọng, các TC/DN cũng nên tuân theo các phương pháp thực tiễn tốt nhất để đảm bảo an toàn và bảo vệ hệ sinh thái đám mây của họ, bao gồm:
- Thường xuyên kiểm tra bảo mật và đánh giá rủi ro: Điều này có thể giúp các TC/DN xác định các điểm yếu và lỗ hổng bảo mật trong môi trường đám mây. Việc kiểm tra và đánh giá phải được thực hiện thường xuyên và định kỳ để phát hiện sớm các mối đe dọa bảo mật, từ đó tiến hành khắc phục kịp thời các rủi ro trong hệ thống mạng.
- Tổ chức các buổi đào tạo và nâng cao nhận thức cho người dùng: Người dùng cuối thường là mắt xích yếu nhất trong bảo mật đám mây của các TC/DN, vì không phải người dùng nào cũng có kiến thức và trang bị những kỹ năng cần thiết để đảm bảo an toàn trong việc sử dụng các tài nguyên trên môi trường đám mây. Do đó, điều quan trọng là phải đào tạo và nâng cao nhận thức người dùng thường xuyên về các phương pháp bảo mật đám mây tốt nhất để giúp họ xác định các mối đe dọa và cách thức phòng tránh.
- Khôi phục dữ liệu sau sự cố và lập kế hoạch duy trì liên tục: Các nhà cung cấp dịch vụ đám mây phải đảm bảo khả năng khôi phục dữ liệu và tính liên tục để cho phép các TC/DN nhanh chóng phục hồi dữ liệu sau các sự cố không mong muốn. Các TC/DN phải có một kế hoạch phục hồi dữ liệu và thường xuyên kiểm tra để đảm bảo tính hiệu quả của nó.
- Cộng tác với nhà cung cấp dịch vụ đám mây đáng tin cậy: Đây là một bước quan trọng trong việc đảm bảo an toàn, an ninh cho đám mây. Các nhà cung cấp dịch vụ đám mây cung cấp các tính năng và dịch vụ bảo mật khác nhau mà các TC/DN có thể sử dụng để cải thiện tình trạng bảo mật của họ.
- Chủ động phát hiện mối đe dọa: Phương pháp này liên quan đến việc giám sát liên tục trên môi trường đám mây. Các nhà cung cấp dịch vụ đám mây như Google Cloud cung cấp dịch vụ phát hiện mối đe dọa sử dụng công nghệ học máy. Bằng cách sử dụng các nền tảng này, các TC/DN có thể chủ động phát hiện và giảm thiểu các mối đe dọa bảo mật trước khi chúng có thể gây ra thiệt hại.
ThS. Hoàng Thu Phương (Viện Khoa học - Công nghệ mật mã)
17:00 | 30/11/2023
07:00 | 28/07/2023
16:00 | 19/09/2024
09:00 | 09/08/2024
10:00 | 21/02/2023
09:00 | 20/09/2024
13:00 | 10/08/2022
08:00 | 17/06/2024
10:00 | 28/08/2024
Kết quả đánh giá 63 cổng dịch vụ công năm 2024 cho thấy, các địa phương đã có một số cải thiện trong việc cung cấp dịch vụ công trực tuyến so với kết quả rà soát năm 2023, tuy nhiên cũng cần sự đầu tư, cải thiện về nhiều mặt để tăng mức độ thuận tiện, thân thiện, tính tiếp cận, đáp ứng nhu cầu của mọi người dùng.
09:00 | 21/12/2023
Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) đã công bố một chương trình thí điểm mới nhằm cung cấp các dịch vụ an ninh mạng miễn phí cho các thực thể cơ sở hạ tầng trọng yếu không thuộc chính quyền. Cơ quan này khuyến khích các tổ chức quan tâm liên hệ với cố vấn bảo mật tại văn phòng CISA trong khu vực của họ.
15:00 | 20/11/2023
Việc áp dụng và phát triển các công nghệ liên quan đến trí tuệ nhân tạo (AI) đã có những tiến bộ vượt bậc trong năm 2023. Một lĩnh vực dường như đã sẵn sàng được hưởng lợi từ AI là quản lý rủi ro của bên thứ ba, nghĩa là AI có thể cung cấp cho các tổ chức một cách tự động hóa hơn để quản lý rủi ro của nhà cung cấp bên thứ ba, đồng thời đảm bảo tuân thủ quy định phức tạp.
15:00 | 02/11/2021
Với việc đáp ứng đầy đủ nhất về quy trình đánh giá, tiêu chuẩn bắt buộc, hạ tầng dịch vụ của Bộ Thông tin và Truyền thông và quy định quốc tế, SAVIS đã chính thức được cấp phép cung cấp dịch vụ ký số từ xa Remote Signing đầu tiên tại Việt Nam theo giấy phép số 697/GP-BTTTT ngày 28/10/2021.
Trong thời đại ngày nay, cùng với sự phát triển của khoa học kỹ thuật có ngày càng nhiều những cuộc tấn công vào phần cứng và gây ra nhiều hậu quả nghiêm trọng. So với các loại tấn công khác, tấn công qua kênh kề đang được nghiên cứu do khả năng khôi phục lại khóa bí mật trong khi hệ thống vẫn hoạt động bình thường mà không hề làm thay đổi phần cứng. Bài báo này sẽ trình bày một cách sơ lược về những kết quả cuộc tấn công kênh kề lên mã hóa RSA cài đặt trên điện thoại thông minh sử dụng hệ điều hành Android tại Viện Khoa học - Công nghệ mật mã. Nhóm tác giả đã tấn công khôi phục được một phần khóa bí mật của mã hóa RSA cài đặt trên điện thoại thông minh và chứng minh khả năng rò rỉ thông tin qua kênh kề.
14:00 | 11/09/2024
Chiều 2/10, Thủ tướng Phạm Minh Chính, Chủ tịch Ủy ban Quốc gia về chuyển đổi số, chủ trì Hội nghị trực tuyến triển khai mở rộng thí điểm sổ sức khỏe điện tử và cấp phiếu lý lịch tư pháp qua ứng dụng VneID trên toàn quốc. Hội nghị được kết nối trực tuyến (4 cấp) từ trụ sở Chính phủ tới các bộ, ngành, các tỉnh, thành phố trực thuộc Trung ương, các địa phương cấp huyện, cấp xã.
15:00 | 03/10/2024