Bảo mật là trách nhiệm chung giữa AWS và khách hàng khi “lên mây”. Khách hàng luôn có nhu cầu về bảo mật các bản sao lưu (backups) của họ trên AWS. Bài viết này sẽ hướng dẫn và cung cấp cho bạn 10 phương pháp hay nhất về bảo mật hàng đầu để bảo mật dữ liệu sao lưu và các hoạt động của doanh nghiệp trên AWS. Mặc dù bài đăng viết dưới đây chỉ tập trung vào dữ liệu sao lưu và hoạt động trong dịch vụ AWS Backup, các phương pháp bảo mật tốt nhất được đề xuất có thể được các tổ chức sử dụng các giải pháp sao lưu khác, chẳng hạn như các công cụ sao lưu từ AWS Marketplace.
Vì các phương pháp bảo mật liên tục phát triển để giảm thiểu rủi ro mới, điều quan trọng là bạn phải tiến hành đánh giá rủi ro thường xuyên để xác định khả năng áp dụng của các biện pháp kiểm soát bảo mật và triển khai nhiều lớp kiểm soát để giảm thiểu rủi ro cho dữ liệu của bạn.
# 1 - Thực hiện chiến lược dự phòng
Chiến lược sao lưu toàn diện là một phần thiết yếu trong kế hoạch bảo vệ dữ liệu của tổ chức để phục hồi và giảm bất kỳ tác động nào có thể duy trì do sự kiện bảo mật. Bạn nên tạo một chiến lược sao lưu mở rộng xác định dữ liệu nào phải được sao lưu, tần suất dữ liệu phải được sao lưu và theo dõi các tác vụ sao lưu và phục hồi. Khi bạn phát triển một chiến lược toàn diện để sao lưu và khôi phục dữ liệu, trước tiên bạn nên xác định những gián đoạn có thể xảy ra và tác động đến kinh doanh của chúng.
Mục tiêu của bạn nên là xây dựng một chiến lược khôi phục để back up khối lượng công việc của bạn hoặc tránh downtime trong suốt acceptable Recovery Time Objective (RTO) and Recovery Point Objective (RPO). RTO là độ trễ có thể chấp nhận được giữa thời điểm gián đoạn dịch vụ và khôi phục dịch vụ và RPO là khoảng thời gian có thể chấp nhận được kể từ điểm khôi phục dữ liệu cuối cùng. Bạn nên xem xét một chiến lược sao lưu chi tiết bao gồm tất cả các yếu tố sau: continuous backup cadence, Point-in-Time Recovery (PITR), file-level recovery, application data–level recovery, volume-level recovery, instance-level recovery,, v.v.
Một chiến lược sao lưu được thiết kế tốt nên bao gồm các hành động có thể bảo vệ và khôi phục tài nguyên của bạn khỏi ransomware (phần mềm tống tiền), với các yêu cầu khôi phục chi tiết cho các ứng dụng của bạn và các phụ thuộc dữ liệu của chúng. Ví dụ: trong khi bạn thiết lập các biện pháp kiểm soát phòng ngừa để giảm thiểu nguy cơ ransomware, bạn cũng nên thiết kế mức độ chi tiết phù hợp cho các mẫu sao chép và khôi phục giữa các vùng và / hoặc nhiều tài khoản, để đảm bảo rằng quản trị viên không khôi phục bản sao lưu dữ liệu bị hỏng trong trường hợp có sự kiện bảo mật.
Trong một số ngành, khi phát triển chiến lược sao lưu, bạn cũng phải xem xét các quy định về yêu cầu lưu giữ dữ liệu. Bạn nên đảm bảo rằng chiến lược sao lưu của mình được thiết kế với các yêu cầu lưu giữ cần thiết (theo cấp độ phân loại dữ liệu và / hoặc loại tài nguyên) đủ để đáp ứng nhu cầu quy định của bạn.
Tham khảo ý kiến các security compliance teams của bạn để xác thực xem liệu các tài nguyên và hoạt động sao lưu của bạn có nên được bao gồm hoặc phân đoạn khỏi phạm vi các chương trình tuân thủ của bạn hay không. Theo kinh nghiệm của tôi với tư cách là Chuyên gia đánh giá bảo mật đủ tiêu chuẩn PCI DSS (PCI DSS Qualified Security Assessor - QSA), tôi đã thấy những khách hàng thành công hơn bao gồm sao lưu và phục hồi như những phần quan trọng trong chương trình bảo mật của họ. Điều này giúp họ hiểu dữ liệu ở đâu trong môi trường của họ và xác định phạm vi tuân thủ một cách thích hợp.
Tham khảo Phương pháp tiếp cận sao lưu và phục hồi bằng AWS và Reliability Pillar of the AWS Well-Architected Framework để biết các phương pháp kiến trúc tốt nhất nhằm thiết kế và vận hành khối lượng công việc đáng tin cậy, an toàn, hiệu quả và tiết kiệm chi phí trên đám mây. Liên hệ với OSAM để được tư vấn và giải thích chi tiết, rõ ràng hơn về những vấn đề này.
# 2 - Kết hợp sao lưu trong DR và BCP
Khôi phục sau thảm họa (Disaster recovery - DR) là quá trình chuẩn bị, ứng phó và phục hồi sau thảm họa. Đây là một phần quan trọng trong chiến lược khả năng phục hồi của bạn và liên quan đến cách khối lượng công việc của bạn phản ứng khi thảm họa xảy ra. Một thảm họa có thể là sự cố kỹ thuật, hành động của con người hoặc sự kiện tự nhiên. Kế hoạch liên tục trong kinh doanh ( Business Continuity Plan - BCP) phác thảo cách một tổ chức dự định tiếp tục hoạt động kinh doanh bình thường trong thời gian gián đoạn ngoài kế hoạch.
Kế hoạch khôi phục sau thảm họa của bạn phải là một tập hợp con của kế hoạch liên tục kinh doanh (BCP) của doanh nghiệp và bạn nên kết hợp các quy trình AWS Backup trong kế hoạch liên tục kinh doanh của doanh nghiệp. Ví dụ: một sự kiện bảo mật ảnh hưởng đến dữ liệu sản xuất có thể yêu cầu bạn cần một kế hoạch khôi phục sau thảm họa không thể sao lưu dữ liệu từ AWS Region khác. Bạn nên đảm bảo rằng nhân viên của mình đã quen thuộc và đã thực hành sử dụng AWS Backup cùng với các quy trình tổ chức của bạn, để nếu thảm họa xảy ra, tổ chức của bạn có thể tiếp tục hoạt động bình thường mà ít hoặc không có gián đoạn dịch vụ.
# 3 - Tự động hóa các hoạt động sao lưu
Các tổ chức nên định cấu hình các kế hoạch sao lưu và phân công tài nguyên của họ để phản ánh các chính sách bảo vệ dữ liệu doanh nghiệp của họ. Tự động hóa và triển khai các chính sách sao lưu hoặc kế hoạch sao lưu trong toàn tổ c AWS Organizations để tự động hóa tập trung các chính sách sao lưu nhằm triển khai, định cấu hình, quản lý hoạt động sao lưu trên các tài nguyên AWS được hỗ trợ bằng cách lên lịch hoạt động sao lưu.
Bạn nên coi việc triển khai cơ sở hạ tầng dưới dạng mã (infrastructure as code - IaC) và kiến trúc hướng sự kiện (event-driven architecture) là những phần thiết yếu của chiến lược sao lưu và chuyển đổi kỹ thuật số của mình, để cải thiện năng suất và chi phối hoạt động cơ sở hạ tầng trên các môi trường đa tài khoản. Tự động hóa sao lưu cho phép bạn giảm chi phí thủ công do tốn thời gian cấu hình các bản sao lưu của bạn, giảm thiểu rủi ro có lỗi, cung cấp khả năng hiển thị khi phát hiện lỗi và tăng cường tuân thủ chính sách sao lưu trên nhiều khối lượng công việc hoặc tài khoản AWS.
Việc triển khai các chính sách sao lưu dưới dạng mã IaC có thể giúp bạn đáp ứng các quy định về bảo vệ dữ liệu, bằng cách định cấu hình các yêu cầu khác nhau cho các loại tài nguyên của bạn, mở rộng chiến lược bảo vệ dữ liệu doanh nghiệp của bạn và thực hiện các quy tắc vòng đời để chỉ định bao lâu trước khi điểm khôi phục chuyển sang lưu trữ lạnh hoặc bị xóa, có thể giúp tối ưu hóa chi phí của bạn.
Khi tự động hóa các hoạt động sao lưu của mình, bạn có thể mở rộng các tùy chọn phân công tài nguyên bằng cách sử dụng Thẻ AWS và ID tài nguyên để tự động xác định các tài nguyên AWS lưu trữ dữ liệu cho các ứng dụng quan trọng của doanh nghiệp và bảo vệ dữ liệu của bạn bằng cách sử dụng các bản sao lưu bất biến. Điều này có thể giúp bạn ưu tiên các biện pháp kiểm soát bảo mật, chẳng hạn như quyền truy cập và các kế hoạch hoặc chính sách sao lưu.
# 4 - Thực hiện các cơ chế kiểm soát truy cập
Khi nghĩ về bảo mật trên đám mây, chiến lược nền tảng của bạn nên bắt đầu với nền tảng nhận dạng mạnh mẽ để đảm bảo người dùng có quyền truy cập dữ liệu phù hợp. Xác thực và ủy quyền thích hợp có thể giảm thiểu rủi ro của các sự kiện bảo mật. Mô hình chia sẻ trách nhiệm yêu cầu khách hàng AWS thực hiện các chính sách kiểm soát truy cập. Bạn có thể sử dụng dịch vụ AWS Identity and Access Management (IAM) để tạo và quản lý các chính sách truy cập trên quy mô lớn.
Khi định cấu hình quyền truy cập, bạn nên thực hiện nguyên tắc ít đặc quyền nhất bằng cách đảm bảo mỗi người dùng hoặc hệ thống truy cập vào dữ liệu sao lưu của bạn hoặc Vault chỉ được cấp các quyền cần thiết để hoàn thành nhiệm vụ công việc của họ. Khi sử dụng AWS Backup, bạn nên triển khai các chính sách kiểm soát truy cập bằng cách thiết lập các chính sách truy cập trên các backup vaults để bảo vệ khối lượng công việc đám mây của mình.
Ví dụ: việc triển khai các chính sách kiểm soát truy cập cho phép bạn cấp cho người dùng quyền truy cập để tạo các kế hoạch dự phòng và sao lưu theo yêu cầu, nhưng vẫn giới hạn khả năng xóa các điểm khôi phục khi chúng đã được tạo. Sử dụng chính sách truy cập vault, bạn có thể chia sẻ kho dự phòng đích với Tài khoản AWS nguồn, người dùng hoặc vai trò IAM, theo yêu cầu của doanh nghiệp bạn. Chính sách truy cập cũng có thể cho phép bạn chia sẻ kho dự phòng với một hoặc nhiều tài khoản hoặc với toàn bộ tổ chức của bạn trong AWS Organizations.
Khi mở rộng quy mô khối lượng công việc của mình hoặc chuyển sang AWS, bạn có thể cần phải quản lý tập trung các quyền đối với các hoạt động và kho dự phòng của mình. Bạn nên sử dụng các chính sách kiểm soát dịch vụ ( service control policies - SCP) để thực hiện kiểm soát tập trung đối với các quyền tối đa hiện có cho tất cả các tài khoản trong tổ chức của bạn. Điều này cung cấp khả năng bảo vệ chuyên sâu và đảm bảo người dùng của bạn tuân thủ các nguyên tắc kiểm soát truy cập đã xác định. Để tìm hiểu thêm, hãy đọc cách bạn có thể bảo mật dữ liệu và hoạt động AWS Backup của mình bằng cách sử dụng các chính sách kiểm soát dịch vụ SCP.
Để giảm thiểu rủi ro bảo mật chẳng hạn như truy cập không mong muốn vào tài nguyên và dữ liệu sao lưu của bạn, hãy sử dụng AWS IAM Access Analyzer để xác định bất kỳ vai trò IAM AWS Backup nào được chia sẻ với một thực thể bên ngoài như tài khoản AWS, người dùng gốc, người dùng hoặc vai trò IAM, người dùng liên kết , dịch vụ AWS, người dùng ẩn danh hoặc thực thể khác mà bạn có thể sử dụng để tạo bộ lọc.
#5 - Mã hóa backup data và vault
Các tổ chức ngày càng cần cải thiện chiến lược bảo mật dữ liệu của mình và có thể được yêu cầu đáp ứng các quy định về bảo vệ dữ liệu khi chúng mở rộng quy mô trên đám mây. Việc triển khai đúng các phương pháp mã hóa có thể cung cấp một lớp bảo vệ bổ sung bên trên các cơ chế kiểm soát truy cập cơ bản, giúp giảm thiểu sự cố nếu các chính sách kiểm soát truy cập chính của bạn không thành công.
Ví dụ: nếu bạn định cấu hình các chính sách kiểm soát truy cập dễ dàng quá mức đối với dữ liệu Backup của mình, thì hệ thống hoặc quy trình quản lý khóa của bạn có thể giảm thiểu tác động tối đa của sự kiện bảo mật, vì có các cơ chế ủy quyền riêng biệt để truy cập vào dữ liệu và khóa mã hóa của bạn, nghĩa là sao lưu dữ liệu chỉ có thể xem dưới dạng văn bản mật mã (cipher text).
Để tận dụng tối đa tính năng mã hóa đám mây AWS, bạn nên mã hóa dữ liệu cả khi đang chuyển và ở trạng thái nghỉ. Để bảo vệ dữ liệu khi truyền dữ liệu, AWS sử dụng các lệnh gọi API đã xuất bản để truy cập AWS Backup thông qua mạng sử dụng giao thức Bảo mật tầng truyền tải ( Transport Layer Security - TLS) để cung cấp mã hóa giữa bạn, ứng dụng của bạn và dịch vụ Sao lưu. Để bảo vệ dữ liệu ở trạng thái rest, AWS cung cấp các tùy chọn gốc đám mây sử dụng Hệ thống quản lý khóa AWS ( AWS Key Managed System KMS) hoặc AWS CloudHSM, sử dụng Tiêu chuẩn mã hóa nâng cao (Advanced Encryption Standard - AES) với khóa 256 bit (AES-256), một thuật toán mạnh mẽ được ngành công nghiệp thông qua mã hóa dữ liệu. Bạn nên đánh giá các yêu cầu quy định và quản lý dữ liệu của mình, đồng thời chọn dịch vụ mã hóa thích hợp để mã hóa dữ liệu đám mây và kho dự phòng (backup vaults).
Cấu hình mã hóa khác nhau tùy thuộc vào loại tài nguyên và hoạt động sao lưu trên các tài khoản hoặc Regions. Một số loại tài nguyên nhất định hỗ trợ khả năng mã hóa các bản sao lưu của bạn bằng cách sử dụng khóa mã hóa riêng biệt từ khóa được sử dụng để mã hóa tài nguyên nguồn. Vì bạn chịu trách nhiệm quản lý các kiểm soát truy cập để xác định ai có thể truy cập dữ liệu Dự phòng hoặc khóa mã hóa vault của bạn và trong điều kiện nào, bạn nên sử dụng ngôn ngữ chính sách do AWS KMS cung cấp để xác định các kiểm soát truy cập trên các khóa. Bạn cũng có thể sử dụng AWS Backup Audit Manager để xác nhận rằng bản sao lưu của bạn được mã hóa đúng cách.
Để tìm hiểu thêm, hãy liên hệ với OSAM để nhận tài liệu tham khảo về mã hóa cho các bản sao lưu.
AWS KMS multi-Region keys KMS cho phép bạn sao chép các khóa từ Vùng này sang Vùng khác. Khóa Đa vùng (Multi-Region keys) được thiết kế để đơn giản hóa việc quản lý mã hóa khi dữ liệu mã hóa của bạn phải được sao chép vào các Vùng khác để phục hồi sau thảm họa. Bạn nên đánh giá nhu cầu triển khai các khóa KMS đa vùng như một phần của chiến lược sao lưu tổng thể của mình.