Tổng hợp kiến thức cơ bản về điện toán đám mây

1. Định nghĩa về bảo mật đám mây

Bảo mật đám mây là một quy tắc về an ninh mạng tập trung vào việc bảo vệ hệ thống đám mây và dữ liệu khỏi các mối đe dọa nội bộ và bên ngoài, bao gồm các biện pháp, chính sách cũng như công nghệ tốt nhất giúp công ty ngăn chặn truy nhập trái phép và rò rỉ dữ liệu. Khi phát triển chiến lược bảo mật đám mây, các công ty phải tính đến bốn loại môi trường điện toán đám mây:

Môi trường nền tảng điện toán đám mây công cộng

Do nhà cung cấp dịch vụ điện toán đám mây vận hành. Trong môi trường này, máy chủ được chia sẻ nhiều đối tượng thuê.

Môi trường nền tảng điện toán đám mây riêng tư

Có thể nằm trong trung tâm dữ liệu do khách hàng sở hữu hoặc do nhà cung cấp dịch vụ điện toán đám mây công cộng vận hành. Trong cả hai trường hợp, máy chủ là đối tượng thuê duy nhất và các tổ chức không phải chia sẻ không gian với các công ty khác.

Môi trường nền tảng điện toán đám mây kết hợp

Là sự kết hợp giữa các trung tâm dữ liệu tại chỗ và đám mây của bên thứ ba.

Môi trường đa đám mây

Bao gồm hai dịch vụ đám mây trở lên do các nhà cung cấp dịch vụ đám mây khác nhau điều hành.

Bất kể tổ chức sử dụng loại môi trường nào hay kết hợp môi trường nào thì bảo mật đám mây cũng nhằm bảo vệ các mạng vật lý, bao gồm bộ định tuyến và hệ thống điện, dữ liệu, lưu trữ dữ liệu, máy chủ dữ liệu, ứng dụng, phần mềm, hệ điều hành và phần cứng.

2. Tại sao bảo mật đám mây lại đóng vai trò quan trọng?

Đám mây đã trở thành một phần không thể thiếu trong cuộc sống trực tuyến. Đám mây làm cho việc giao tiếp kỹ thuật số và công việc thuận tiện hơn, đồng thời thúc đẩy đổi mới nhanh chóng cho các tổ chức. Tuy nhiên, khi bạn bè chia sẻ ảnh, đồng nghiệp cộng tác trên một sản phẩm mới hay chính phủ cung cấp dịch vụ trực tuyến không phải lúc nào cũng biết rõ vị trí dữ liệu được lưu trữ. Mọi người có thể vô tình di chuyển dữ liệu đến một vị trí ít an toàn hơn và với mọi thứ có thể truy nhập trên internet, tài sản có nguy cơ bị truy nhập trái phép cao hơn.

Quyền riêng tư của dữ liệu cũng ngày càng quan trọng đối với mọi người và chính phủ. Các quy định như Quy định chung về bảo vệ dữ liệu (GDPR) và Đạo luật về Trách nhiệm Giải trình và Cung cấp Thông tin Bảo hiểm Y tế (HIPAA) yêu cầu các tổ chức thu thập thông tin thực hiện một cách minh bạch và đưa ra các chính sách tại chỗ nhằm giúp ngăn chặn việc lấy cắp hoặc sử dụng sai dữ liệu. Nếu không tuân thủ có thể sẽ bị phạt nhiều tiền và tổn hại đến danh tiếng.

Để duy trì tính cạnh tranh, các tổ chức phải tiếp tục sử dụng đám mây để lặp lại nhanh chóng và giúp nhân viên cũng như khách hàng dễ dàng truy nhập vào dịch vụ, đồng thời bảo vệ dữ liệu và hệ thống khỏi các mối đe dọa sau:

• Tài khoản bị xâm phạm: Những kẻ tấn công thường sử dụng các chiến dịch lừa đảo qua mạng để lấy cắp mật khẩu của nhân viên và có được quyền truy nhập vào các hệ thống cũng như tài sản có giá trị của công ty.
• Lỗ hổng phần cứng và phần mềm: Cho dù tổ chức sử dụng nền tảng điện toán đám mây công cộng hay riêng tư thì điều quan trọng là phần cứng cũng như phần mềm phải được vá lỗi và cập nhật.
• Mối đe dọa nội bộ: Lỗi của con người là nguyên nhân lớn dẫn đến các vi phạm bảo mật. Cấu hình sai có thể tạo ra sơ hở cho những kẻ xấu và nhân viên thường bấm vào các liên kết không hợp lệ hoặc vô tình di chuyển dữ liệu đến các vị trí có mức độ bảo mật thấp hơn.

3. Bảo mật đám mây hoạt động như thế nào?

Bảo mật đám mây là trách nhiệm chung giữa các nhà cung cấp dịch vụ điện toán đám mây và khách hàng. Trách nhiệm giải trình khác nhau tùy thuộc vào loại dịch vụ được cung cấp:

Cơ sở hạ tầng dưới dạng dịch vụ

Trong mô hình này, các nhà cung cấp dịch vụ điện toán đám mây cung cấp các tài nguyên điện toán, mạng và lưu trữ theo yêu cầu. Nhà cung cấp chịu trách nhiệm bảo mật các dịch vụ điện toán cốt lõi. Ngoài hệ điều hành, khách hàng phải bảo mật mọi nội dung, bao gồm các ứng dụng, dữ liệu, thời gian chạy, phần mềm trung gian và chính hệ điều hành đó.

Nền tảng dưới dạng dịch vụ

Nhiều nhà cung cấp cũng cung cấp môi trường triển khai và phát triển hoàn chỉnh trong đám mây. Các nhà cung cấp này chịu trách nhiệm bảo vệ thời gian chạy, phần mềm trung gian và hệ điều hành ngoài các dịch vụ điện toán cốt lõi. Khách hàng phải bảo vệ ứng dụng, dữ liệu, quyền truy nhập người dùng, thiết bị người dùng cuối và mạng người dùng cuối của mình.

Phần mềm dưới dạng dịch vụ

Các tổ chức cũng có thể truy nhập phần mềm trên mô hình thanh toán theo mức sử dụng, chẳng hạn như Microsoft Office 365 hoặc Google Drive. Trong mô hình này, khách hàng vẫn cần cung cấp bảo mật cho dữ liệu, người dùng và thiết bị của mình.

Bất kể người nào chịu trách nhiệm thì vẫn có bốn khía cạnh chính đối với bảo mật đám mây:

• Giới hạn quyền truy nhập: Vì đám mây giúp có thể truy nhập mọi thứ trên internet nên việc đảm bảo chỉ những người phù hợp mới có quyền truy nhập vào các công cụ phù hợp trong khoảng thời gian phù hợp là cực kỳ quan trọng.
• Bảo vệ dữ liệu: Các tổ chức cần hiểu vị trí dữ liệu của mình và áp dụng các biện pháp kiểm soát thích hợp để bảo vệ cả cơ sở hạ tầng nơi lưu trữ dữ liệu và chính dữ liệu đó.
• Phục hồi dữ liệu: Kế hoạch khôi phục dữ liệu và giải pháp sao lưu hiệu quả là rất quan trọng trong trường hợp có vi phạm.
• Kế hoạch phản hồi: Khi một tổ chức bị tấn công, tổ chức đó cần có kế hoạch để giảm thiểu tác động và ngăn chặn các hệ thống khác bị xâm phạm.

4. Giải pháp bảo mật đám mây

Mặc dù đám mây gây ra rủi ro bảo mật mới nhưng các giải pháp, quy trình và chính sách bảo mật đám mây phù hợp có thể giúp bạn giảm đáng kể rủi ro của mình. Bắt đầu với các bước sau:

• Nhận dạng tất cả nhà cung cấp dịch vụ đám mây đang hoạt động trong tổ chức và làm quen với trách nhiệm của họ về bảo mật và quyền riêng tư.
• Đầu tư vào các công cụ như trình cung cấp bảo mật quyền truy nhập đám mây để nắm rõ các ứng dụng và dữ liệu mà tổ chức của bạn sử dụng.
• Triển khai khả năng quản lý vị thế bảo mật trên đám mây để giúp bạn xác định và khắc phục lỗi cấu hình.
• Triển khai nền tảng bảo vệ khối lượng công việc trên đám mây để xây dựng bảo mật trong quy trình phát triển.
• Thường xuyên vá phần mềm và đưa ra các chính sách để giữ cho các thiết bị của nhân viên luôn cập nhật.
• Thiết lập chương trình đào tạo để đảm bảo nhân viên nhận biết được các mối đe dọa và chiến thuật lừa đảo mới nhất.
• Triển khai chiến lược bảo mật Zero Trust và sử dụng tính năng quản lý danh tính và quyền truy nhập để quản lý và bảo vệ quyền truy nhập.

Tháng 3 này, Trainocate đã phối hợp cùng Microsoft tổ chức webinar: Microsoft Security, Compliance and Identity Fundamentals.

Sự kiện này nhằm giới thiệu về các khái niệm, giải pháp, khả năng bảo mật, tuân thủ và nhận dạng (SCI) của Microsoft. Thông qua đó, doanh nghiệp có thể bước đầu bảo vệ hệ thống đám mây Azure và dữ liệu khỏi các mối đe dọa nội bộ và bên ngoài, ngăn chặn truy cập trái phép và rò rỉ dữ liệu.

Chi tiết xem ngay tại: https://trainocate.com.vn/webinar-microsoft-security-compliance-identity-fundamentals-a70