4.0 Giới thiệu Phần 4: Bảo mật

Bảo mật, quyền riêng tư và niềm tin không phải là những tính năng bạn thêm vào cuối một dự án. Chúng là các thuộc tính của cách toàn bộ một hệ thống được thiết kế, xây dựng, vận hành và quản trị. Khi hàng nghìn kỹ sư phát hành mã qua hàng trăm dịch vụ, mắt xích yếu nhất quyết định mức thiệt hại mà bất kỳ sự cố nào có thể gây ra. Một thùng lưu trữ cấu hình sai, một phụ thuộc chưa vá, hay một tài khoản dịch vụ được cấp quá nhiều đặc quyền có thể phơi bày hàng triệu bản ghi. Phần này của cuốn hướng dẫn bao quát các thực hành ngăn điều đó xảy ra ở quy mô lớn, và cho phép bạn chứng minh với người khác rằng bạn đã làm công việc đó.

Với doanh nghiệp, rủi ro là về tài chính và danh tiếng: chi phí xâm phạm, tiền phạt quy định, khách hàng bỏ đi và định giá sụt giảm. Với chính phủ, chúng còn đi xa hơn nữa, đến an ninh quốc gia, tính liên tục của các dịch vụ thiết yếu, và niềm tin công chúng mà nhà nước dựa vào. Công dân không thể tìm một nhà cung cấp khác cho dữ liệu thuế, y tế hay trợ cấp của họ, nên chính phủ nợ họ một nghĩa vụ chăm sóc đặc biệt. Trong cả hai bối cảnh, chỉ riêng các biện pháp kiểm soát và cổng chặn sẽ không bao giờ đủ. Bảo mật và quyền riêng tư phải được nội tâm hóa bởi những người làm công việc, và được chứng minh với kiểm toán viên, cơ quan quản lý và công dân, những người bắt tổ chức phải chịu trách nhiệm.

Phần này coi bảo mật là một kỷ luật kỹ thuật trải rộng văn hóa, mã, hạ tầng, vận hành, dữ liệu cá nhân và nghĩa vụ chính thức. Mỗi chương xây trên các chương trước, đi từ tư duy đến cơ chế đến bằng chứng.

Các chương trong phần này

4.1 Nền tảng và văn hóa bảo mật. Thiết lập các mô hình tư duy và thực hành văn hóa làm nền cho mọi thứ khác: biến bảo mật thành việc của mọi người, mô hình hóa mối đe dọa, vòng đời phát triển an toàn, phòng thủ theo chiều sâu, không tin cậy, và ưu tiên công việc bảo mật theo rủi ro thay vì nỗi sợ hay mốt.
4.2 Bảo mật ứng dụng. Bao quát các thực hành giữ cho ứng dụng có khả năng chống chịu trước các lỗi đằng sau hầu hết các vụ xâm phạm: phòng thủ các lớp lỗ hổng phổ biến, xác thực đầu vào và mã hóa đầu ra, làm đúng xác thực và cấp quyền, quản lý bí mật, và bảo mật chuỗi cung ứng phần mềm.
4.3 Bảo mật hạ tầng và đám mây. Bảo mật nền tảng được định nghĩa bằng phần mềm mà ứng dụng chạy trên đó: quản lý danh tính và truy cập như chu vi mới, phân đoạn mạng, mã hóa và quản lý khóa, bảo mật container và serverless, và quản lý tư thế liên tục chống lại sự trôi cấu hình sai.
4.4 Vận hành bảo mật. Xử lý việc phát hiện mối đe dọa nhanh và phản ứng tốt khi phòng ngừa thất bại: tích hợp bảo mật vào đường ống phân phối (DevSecOps), quản lý lỗ hổng và vá lỗi, ứng phó sự cố và pháp y, phát hiện qua SIEM (quản lý thông tin và sự kiện bảo mật) và SOAR (điều phối, tự động hóa và ứng phó bảo mật), và xác thực qua đội đỏ và đội tím.
4.5 Quyền riêng tư và bảo vệ dữ liệu. Coi quyền riêng tư là một ràng buộc thiết kế khác với bảo mật: quyền riêng tư theo thiết kế, tối thiểu hóa và lưu giữ dữ liệu, phân loại và bảo vệ PII (thông tin nhận dạng cá nhân) và PHI (thông tin y tế được bảo vệ), sự đồng ý và cơ sở pháp lý, và yêu cầu về chuyển giao xuyên biên giới và nơi lưu trữ.
4.6 Tuân thủ và quản trị. Bao quát việc chứng minh các nghĩa vụ được đáp ứng và làm cho điều đó lặp lại được: các khung chính (GDPR, HIPAA, PCI-DSS, ISO 27001, SOC 2), các chế độ của chính phủ (FedRAMP, FISMA, NIST 800-53 và 800-171, CMMC), các yêu cầu bắt buộc về khả năng tiếp cận, và sự chuyển dịch từ kiểm toán định kỳ sang tuân thủ liên tục, dựa trên bằng chứng.
4.7 Quản lý danh tính và truy cập. Thiết lập ai được làm gì: xác thực so với cấp quyền, vòng đời gia nhập-chuyển đổi-rời đi, đăng nhập một lần và liên kết hiện đại (OAuth 2.0, OIDC, SAML), xác thực đa yếu tố chống lừa đảo và passkey, kiểm soát truy cập dựa trên vai trò và thuộc tính, đặc quyền tối thiểu, và danh tính máy như mặt phẳng điều khiển của không tin cậy.
4.8 Mật mã học và quản lý khóa. Bao quát việc dùng mật mã đúng cách mà không phát minh ra nó: tính bảo mật, toàn vẹn và xác thực từ các nguyên thủy đã được thẩm định, mã hóa khi truyền và khi lưu, và phần thực sự khó, vòng đời khóa, với dịch vụ quản lý khóa và mô-đun bảo mật phần cứng, PKI và tự động hóa chứng chỉ, tính linh hoạt mật mã, và quá trình chuyển đổi hậu lượng tử.
4.9 Vòng đời phát triển phần mềm an toàn. Xây dựng bảo mật vào mọi giai đoạn thay vì kiểm thử nó vào cuối: yêu cầu bảo mật và ca lạm dụng, mô hình hóa mối đe dọa và các cổng thiết kế an toàn, lập trình an toàn, công cụ bảo mật đường ống (SAST, DAST, SCA, quét bí mật và IaC), nhà vô địch bảo mật, và SLA khắc phục, được dẫn dắt bởi các khung như NIST SSDF và OWASP SAMM.
4.10 Kiểm thử xâm nhập và đội đỏ. Tìm điểm yếu theo cách kẻ tấn công sẽ làm, trải rộng từ quét lỗ hổng qua kiểm thử xâm nhập, đội đỏ và đội tím, với phạm vi và quy tắc tham gia rõ ràng, và đưa mọi phát hiện trở lại vào phát hiện và phòng thủ.

Các chương này liên hệ với nhau như thế nào

Các chương theo một sợi chỉ có chủ đích. Văn hóa thiết lập các điều kiện. Mã và hạ tầng cài đặt các biện pháp kiểm soát. Vận hành bắt những gì lọt qua. Quyền riêng tư điều chỉnh liệu dữ liệu có nên tồn tại hay không. Và tuân thủ chứng minh toàn hệ thống đáp ứng nghĩa vụ của nó. Chương 4.1 là gốc mà phần còn lại phụ thuộc vào: mô hình hóa mối đe dọa và vòng đời phát triển an toàn của nó định hình các phòng thủ ứng dụng ở chương 4.2 và các biện pháp kiểm soát lấy danh tính làm trung tâm ở chương 4.3. Chương 4.4 giả định các phòng thủ đó tồn tại và tập trung vào việc phát hiện và phản ứng khi chúng bị thử thách. Chương 4.5 nhìn cùng dữ liệu đó qua một lăng kính khác (những gì bạn được phép làm với nó, không chỉ những gì bạn có thể bảo vệ), và chương 4.6 biến tất cả thành bằng chứng có thể kiểm toán.

Những mối quan tâm này cũng vươn ra khắp cuốn hướng dẫn. Bảo mật chuỗi cung ứng ứng dụng ở chương 4.2 liên kết với giấy phép mã nguồn mở ở chương 10.3 và với danh mục vật liệu phần mềm (SBOM) cùng bảo đảm ở chương 10.2. Quyền riêng tư ở chương 4.5 phụ thuộc vào chiến lược và quản trị dữ liệu rộng hơn ở chương 7.1. Vận hành bảo mật chia sẻ công cụ và kỷ luật trực ca với các thực hành độ tin cậy và sự cố ở nơi khác trong hướng dẫn. Đọc cùng nhau, các chương này mô tả bảo mật và quyền riêng tư không phải như một ống khói chuyên biệt mà như một thuộc tính chung của cách một tổ chức lớn kỹ thuật hóa, vận hành và giành được niềm tin.