Tích hợp hạ tầng riêng: đừng để bảo mật chặn dự án

Dự án tích hợp hệ vận hành vào hạ tầng riêng của khách thường bị tắc ở một chỗ không ai ngờ: không phải kỹ thuật, không phải ngân sách, mà là cửa kiểm toán bảo mật. Đội an ninh thông tin của khách hỏi đối tác có chứng nhận gì, quy trình bảo vệ dữ liệu ra sao, ai chịu trách nhiệm khi có sự cố. Nếu không chuẩn bị, dự án đứng yên nhiều tuần dù phần kỹ thuật đã xong.

Khi nào vấn đề bảo mật trở thành điều kiện tiên quyết

Không phải mọi tích hợp đều kéo theo yêu cầu kiểm toán nặng. Mức độ phụ thuộc vào hai câu hỏi cốt lõi: loại dữ liệu nào bị chạm tới, và hạ tầng đó nằm ở đâu.

• Dữ liệu khách hàng cuối, thông tin cá nhân, hồ sơ y tế hoặc giao dịch tài chính: yêu cầu chặt nhất, không thương lượng.
• Dữ liệu nội bộ vận hành nhưng không chứa thông tin cá nhân: yêu cầu vẫn có nhưng thường linh hoạt hơn.
• Công cụ đám mây độc lập, không kết nối hệ thống lõi: yêu cầu nhẹ nhất, nhưng vẫn cần kiểm tra điều khoản nhà cung cấp.

Ngành tài chính, y tế và các tổ chức đã triển khai hệ thống quản lý an ninh thông tin (information security management system) thường có đội an ninh riêng với bộ tiêu chí đánh giá đối tác bên ngoài. Sinh Vũ khuyến cáo Anh/Chị hỏi thẳng đội đó ngay khi bắt đầu thảo luận phạm vi dự án, không phải khi sắp triển khai.

Bốn thứ cần chuẩn bị trước khi tích hợp

• Thỏa thuận xử lý dữ liệu (data processing agreement): văn bản ghi rõ mỗi bên được làm gì với dữ liệu, lưu ở đâu, xóa khi nào, và báo cáo sự cố trong bao lâu. Không có văn bản này khi dữ liệu cá nhân được xử lý là rủi ro pháp lý trực tiếp.
• Thẩm định đối tác (due diligence): tổ chức của Anh/Chị cần đánh giá năng lực bảo mật và tình trạng tuân thủ của bên tích hợp trước khi trao quyền truy cập. Thường là bộ câu hỏi bảo mật, tham chiếu chứng nhận như SOC 2 (tiêu chuẩn kiểm soát an ninh dịch vụ) hoặc ISO 27001 (chuẩn quản lý an ninh thông tin quốc tế), hoặc ghi nhận rủi ro chấp nhận được.
• Ranh giới trách nhiệm hạ tầng: ai chịu phần máy chủ, ai chịu phần ứng dụng, ai bị gọi đầu tiên khi có sự cố. Không tách rõ ngay từ đầu, sau này đổ lỗi qua lại mất thời gian và quan hệ.
• Quyền kiểm toán và nghĩa vụ báo sự cố: hợp đồng cần ghi rõ tổ chức của Anh/Chị có quyền yêu cầu kiểm tra định kỳ không, và bên tích hợp phải báo sự cố trong khung thời gian nào.

Lỗi thường gặp khiến dự án tắc giữa đường

• Để yêu cầu bảo mật sang giai đoạn triển khai mới bàn, khi đó đội an ninh của khách chặn lại và toàn bộ tiến độ dừng.
• Không ký thỏa thuận xử lý dữ liệu vì nghĩ đây là thủ tục phụ, sau đó phát sinh vấn đề pháp lý khi dữ liệu cá nhân bị liên quan.
• Ranh giới hạ tầng không được ghi vào hợp đồng, chỉ thoả thuận miệng, dẫn đến tranh chấp trách nhiệm khi có lỗi hệ thống.
• Coi kiểm toán bảo mật là việc của đội kỹ thuật, không đưa vào bàn phạm vi ngay từ buổi kick-off (buổi họp khởi động dự án).

Thẩm định đối tác trước, rồi mới trao quyền chạm hệ thống. Không phải nghi ngờ, mà là bảo vệ cả hai bên.

Nguyên tắc quản lý rủi ro bên thứ ba, Sprinto và Atlas Systems, SOC 2 Vendor Management

Góc nhìn của Sinh Vũ

Sinh Vũ không phải nhà cung cấp hạ tầng kỹ thuật và không ôm trọn phần hạ tầng nhạy cảm ngoài năng lực của mình. Khi dự án cần cắm vào hệ thống nội bộ của Anh/Chị, Sinh Vũ làm rõ ngay từ giai đoạn phạm vi: phần nào Sinh Vũ xây và vận hành, phần nào đội kỹ thuật nội bộ của Anh/Chị tiếp nhận và chịu trách nhiệm.

Với các khách hàng đã có đội an ninh thông tin, Sinh Vũ chuẩn bị hồ sơ đáp ứng từ sớm và phối hợp trực tiếp với đội đó để rút ngắn thời gian thẩm định. Bàn giao luôn đi kèm đào tạo đội kỹ thuật nội bộ, vì mục tiêu là Anh/Chị tự vận hành được, không phụ thuộc mãi vào bên ngoài.

Với ngành quản lý chặt như tài chính hoặc y tế, nếu Anh/Chị chưa có đội kỹ thuật nội bộ đủ năng lực tiếp nhận, Sinh Vũ sẽ nói thẳng điều đó trước khi ký hợp đồng, không để phát hiện ra ở giữa dự án.