Ngày nay cùng với sự phát triển của công nghệ ảo hóa, lưu trữ, điện toán đám mây ngày càng được ứng dụng rộng rãi trong nhiều doanh nghiệp. Đặc biệt trong lĩnh vực tài chính ngân hàng, yêu cầu cao về quản lý tập trung, tiết kiệm chi phí, tối ưu hóa hệ thống công nghệ được đầu tư đã thúc đẩy ứng dụng mạnh mẽ ảo hóa và điện toán đám mây. Những lợi ích điện toán đám mây mang lại là không thể phủ nhận. Tuy nhiên, một bài toán thường trực luôn đặt ra đối với các nhà lãnh đạo khi cân nhắc chuyển đổi mô hình công nghệ lên điện toán đám mây chính là quản lý và bảo mật thông tin. Làm thế nào để điện toán đám mây phục vụ tốt nhu cầu nhưng vẫn đảm bảo tính an toàn, bảo mật của cả hệ thống ?

Để cùng tìm ra câu trả lời cho bài toán trên, ông Phạm Anh Tuấn - Phó Tổng Giám đốc Vietinbank -  chia sẻ một số kinh nghiệm và thách thức mà Vietinbank đã gặp phải trong quá trình chuyển đổi sang ứng dụng điện toán đám mây

Xây dựng lộ trình chuyển đổi

Ông Phạm Anh Tuấn - Phó Tổng Giám đốc Vietinbank – nhận danh hiệu ngân hàng nổi bật nhất về an toàn thông tin

Công nghệ ảo hóa chính là cốt lõi của điện toán đám mây. Vietinbank đã bước đầu tiếp cận điện toán đám mây thông qua ứng dụng ảo hóa của VmWare vào hệ thống công nghệ (IaaS). Trên 90% hạ tầng (hơn 1000 máy chủ) của Vietinbank đã chuyển đổi để hoạt động trên nền ảo hóa, từ hệ thống máy chủ phục vụ các ứng dụng cho tới máy chủ cơ sở dữ liệu. Để thực hiện tốt giai đoạn ảo hóa này, trước hết Vietinbank đã xác định được thế mạnh của Vietinbank khi thực hiện ảo hóa là có đội ngũ cán bộ trẻ, năng động, có nền tảng và nhận thức tốt về công nghệ và an toàn bảo mật. Ngân hàng cũng có tiềm lực mạnh về đầu tư công nghệ.

Tuy nhiên, hệ thống công nghệ hiện có của Vietinbank quá phức tạp và cồng kềnh (hơn 1000 máy chủ ở chi nhánh, 300 máy chủ tại trung tâm dữ liệu, sử dụng hơn 200 ứng dụng và công cụ khác nhau trên khắp hệ thống). Nhân lực về CNTT chưa có nhiều kinh nghiệm trong lĩnh vực ảo hóa và điện toán đám mây. Do đó, nhiều nguy cơ và thách thức mà Vietinbank phải lường trước:Hệ thống bị lỗi, bị quá tải, hiệu năng không đáp ứng được yêu cầu kinh doanh; Mất an toàn thông tin và dữ liệu; Không kiểm soát được tài nguyên; Khó tích hợp được với các hệ thống dịch vụ bên trong và bên ngoài ngân hàng.

Với việc phân tích đánh giá hiện trạng và rủi ro một cách toàn diện, Vietinbank đã xây dựng lộ trình (roadmap) cụ thể cho quá trình triển khai chuyển đổi sang ảo hóa. Kế hoạch chuyển đổi chi tiết, chia làm nhiều giai đoạn, dễ làm trước, khó làm sau. Bước đầu, ngân hàng tập trung thực hiện chuyển đổi ảo hóa trước đối với các máy chủ ứng dụng, các máy chủ cơ sở dữ liệu sẽ thực hiện sau. Sau khi chuẩn bị tài nguyên ảo hóa đủ mạnh, sao lưu dữ liệu và kiểm thử, mới tiến hành chuyển CSDL lên chạy trên máy chủ ảo.

Đội triển khai đã thiết kế kiến trúc, quy hoạch và tài liệu hóa hệ thống một cách kỹ lưỡng. Ví dụ: đối với hệ thống mạng, khi chuyển đổi từ các máy chủ vật lý riêng biệt sang nhiều máy chủ ảo chạy trên máy chủ thật, phần kết nối mạng và địa chỉ IP của các máy ảo cần phải được quy hoạch lại một cách kỹ lưỡng. Vietinbank chuẩn bị sẵn các phương án sao lưu, phục hồi dữ liệu, phản ứng nếu có sự cố xảy ra trong quá trình chuyển đổi, luôn đảm bảo tính sẵn sàng và an toàn cho dữ liệu được chuyển đổi.

Chìa khóa quyết định thành công của việc chuyển đổi đó là phải làm chủ được công nghệ. Vietinbank đã xây dựng và đào tạo đội ngũ hỗ trợ kỹ thuật đủ mạnh trước khi tiến hành triển khai ảo hóa.

Kinh nghiệm thực tế trong triển khai ảo hóa

Thực tế, trong quá trình chuyển đổi sang ảo hóa Vietinbank đã gặp phải nhiều khó khăn thách thức.

- Bài toán về phân tải: Giai đoạn đầu, các máy chủ ảo thường có cấu hình và hiệu năng chưa cao, Vietinbank đã nghiên cứu và ứng dụng công nghệ phân tải (Server Load Balancer, Network Load Balancer) huy động nhiều máy chủ ảo và tài nguyên phục vụ cùng lúc, vừa đáp ứng người dùng, vừa đảm bảo tính mở. Có thể nói rằng phân tải và đảm bảo mở rộng hệ thống theo chiều ngang là bước đi quan trọng, nền tảng cho ứng dụng ảo hóa. Để làm được việc này, cần hiểu rõ hoạt động của ứng dụng, cần thiết sẽ phải tối ưu, hiệu chỉnh, tuy nhiên nhiều ứng dụng cũ, không thể hỗ trợ thì phải có phương án phù hợp hơn như áp dụng công nghệ lưu trữ phân tán.

- Phần mềm không tương thích: Một rào cản không nhỏ cho quá trình chuyển đổi lên ảo hóa đó là khả năng tương thích của các phần mềm/ứng dụng đối với nền tảng ảo hóa. Bản thân nhiều nhà sản xuất phần mềm không thể chắc chắn phần mềm của họ có thể chạy tốt trên máy ảo hay không. Để vượt qua trở ngại này, Vietinbank đã phối hợp chặt chẽ với các nhà sản xuất, thực hiện các bài kiểm tra, kiểm thử toàn diện đối với các phần mềm trước khi chuyển hệ thống sang chạy ảo hóa.

- Khó khăn trong quản lý tài nguyên: Máy ảo được tạo ra nhanh chóng và dễ dàng, nhưng đi kèm theo sự tiện dụng đó là sự phức tạp trong quản lý tài nguyên và máy ảo. Việc phân bổ tài nguyên và quy hoạch máy ảo nếu thực hiện không hợp lý sẽ dẫn đến việc cạn kiệt tài nguyên, ảnh hưởng đến hiệu năng hệ thống và chất lượng dịch vụ cung cấp. Vietinbank đã vận dụng linh hoạt các quy trình chuẩn từ ITIL như Quản lý thay đổi (Change Management), Quản lý sự cố (Incident Management) để áp dụng cho quản lý tài nguyên ảo hóa.

- Quản lý định danh và phân quyền: Mô hình công nghệ từ phân tán chuyển sang tập trung kéo theo các thay đổi về việc quản lý định danh và phân quyền. Việc cần thiết là phải xây dựng được ma trận định danh và phân quyền, xác định rõ vai trò và quyền hạn của từng cá nhân bộ phận trên hệ thống. Ngoài ra, Vietinbank cũng đã áp dụng các hệ thống công nghệ quản lý định danh tập trung như Oracle IDM, giúp tiết kiệm nhân lực và chi phí, thời gian cho quá trình quản lý và vận hành nói chung cũng như quản lý các hệ thống ảo hóa nói riêng.

“Lên mây” còn khó hơn

Từ kinh nghiệm thực tế về triển khai lên ảo hóa, Vietinbank nhận thấy quá trình chuyển đổi tiếp theo từ ảo hóa lên điện toán đám mây (SaaS, PaaS…) sẽ gặp không ít trở ngại, đặc biệt là các thách thức về an toàn bảo mật thông tin. Những thách thức lớn mà đơn vị triển khai sẽ phải đương đầu là:

Đảm bảo bảo mật dữ liệu: Một đặc điểm của ứng dụng ảo hóa và điện toán đám mây là kiến trúc phân tán, do đó lượng dữ liệu lưu chuyển (Data-in-transit) lớn hơn rất nhiều so với mô hình truyền thống. Ví dụ: dữ liệu được đồng bộ giữa các ảnh máy ảo, dữ liệu ảnh máy ảo được phân phối tới các máy chủ vật lý trong quá trình vận hành… Nếu đơn vị không có các biện pháp bảo vệ, mã hóa thích hợp thì các dữ liệu này có thể bị nghe trộm, sao chép (có thể dễ dàng khởi tạo một máy chủ từ ảnh của nó trên một hệ thống tương tự), sửa đổi trái phép trong quá trình truyền đi trên hệ thống mạng.

Lỗ hổng và mã độc tấn công: Công nghệ ảo hóa đã làm xóa nhòa ranh giới giữa phần cứng phần mềm. Ngoài những nguy cơ về an ninh bảo mật giống như hệ thống thông thường, hệ thống ảo hóa còn phải chịu thêm các nguy cơ đặc thù về an ninh bảo mật. Một trong những vấn đề băn khoăn lớn là độ an toàn của phần mềm ảo hóa (Hypervisor) sử dụng nền tảng của ảo hóa, như VmWare, Xen, KVM… Nếu các phần mềm này có lỗ hổng và bị khai thác tấn công thì hậu quả sẽ rất khôn lường vì mô hình ảo hóa đặt nhiều máy ảo trên cùng một máy chủ phần cứng. Tin tặc sẽ có thể xâm nhập tấn công giữa các máy ảo này khi đã phá vỡ được lớp bảo vệ của phần mềm ảo hóa. Mới đây, source code của VmWare ESX đã bị rò rỉ trên Internet, chúng ta không thể xem nhẹ những rủi ro như thế này. Một góc độ tấn công nữa rất nguy hiểm mà chúng ta có thể nhận thấy đó là phần  mềm quản lý máy ảo. Nếu tin tặc khai thác lỗ hổng và chiếm quyền điều khiển phần mềm này thì sẽ có khả năng kiểm soát toàn bộ các máy ảo, thiệt hại lúc đó sẽ lớn tới mức nào?

Phát sinh thêm chi phí cho bảo mật: Với mô hình truyền thống, các biện pháp bảo vệ như firewall, IPS, antivirus… đã phát huy được khá tốt các chức năng của mình. Nhưng với mô hình ảo hóa và điện toán đám mây dựa trên nền tảng chia sẻ tài nguyên, các biện pháp bảo vệ truyền thống này khó khả thi. Ví dụ đơn giản với mô hình nhiều máy ảo trên cùng một máy chủ vật lý, việc kiểm soát luồng dữ liệu vào bảo vệ các máy ảo này sẽ đòi hỏi các biện pháp kỹ thuật khác so với các biện pháp truyền thống. Nếu không có kế hoạch và sự nghiên cứu kỹ lưỡng về công nghệ bảo mật cho ảo hóa, việc phát sinh nhiều chi phí ngoài mong muốn mà vẫn không đạt được hiệu quả bảo vệ là điều khó tránh khỏi.

Khả năng phù hợp và tuân thủ với các quy trình, tiêu chuẩn và kiểm soát hiện có: với cách thức hoạt động và vận hành khác biệt của hệ thống ảo hóa và điện toán đám mây, liệu các chính sách, quy định, quy trình và các biện pháp quản lý hiện tại của tổ chức có còn phù hợp và hiệu quả? Suy rộng ra đối với các tiêu chuẩn quốc tế như PCI-DSS, ISO 27001, khi chúng ta chuyển đổi sang mô hình ảo hóa và điện toán đám mây thì sẽ phải làm thế nào để đảm bảo vẫn tuân thủ với các tiêu chuẩn này?

Mở rộng mô hình điện toán đám mây tư nhân sang mô hình đám mây công cộng (Public cloud), những thách thức đối với nhà cung cấp dịch vụ điện toán đám mây sẽ còn nặng nề hơn. Để doanh nghiệp trao dữ liệu, khách hàng và niềm tin của họ lên đám mây thì nhà cung cấp điện toán đám mây sẽ phải giải quyết triệt để được các thách thức và khó khăn đó, đặc biệt là các vấn đề về quản lý và bảo mật thông tin.

Vietinbank là ngân hàng đầu tiên triển khai thành công hệ thống mạng diện rộng (WAN) từ năm 1995 nên đã sớm đầu tư hệ thống bảo mật mạng với các thiết bị tường lửa và sau đó là các thiết bị chống và phát hiện thâm nhập, phần mềm chống vi-rút và ngăn chặn thư rác. Từ đó đến nay Vietinbank đã thực hiện nhiều biện pháp đồng bộ như:

Đào tạo cho cán bộ kỹ thuật theo định h­ướng dài hạn, xây dựng đội ngũ cán bộ chuyên môn sâu về CNTT; Thúc đẩy việc xây dựng các quy trình bảo mật theo chuẩn ISO 17799 và tăng cường giáo dục cho cán bộ nhân viên về sự cần thiết của bảo mật cũng như các biện pháp, quy định bảo mật của ngân hàng, thường xuyên kiểm tra, nhắc nhở về việc tuân thủ quy định; Rà soát và chỉnh sửa những quy trình nội bộ như lập trình, hỗ trợ kỹ thuật, sao lưu và phục hồi dữ liệu theo hướng chuẩn hóa, nâng cao tính bảo mật; Áp dụng các giải pháp bảo mật tiên tiến như PalmSecure, RSA OTP cho giao dịch, nâng cấp các POS, hệ thống thanh toán thẻ Visa/MasterCard để đảm bảo tương thích với chuẩn EMV (từ nhiều năm trước đây); Hoàn thiện và đưa vào hoạt động trung tâm dự phòng dữ liệu tại khu công nghệ cao Láng – Hòa Lạc để đảm bảo độ sẵn sàng của dữ liệu.

Ngoài việc áp dụng các công nghệ mới về bảo mật hệ thống và xác thực, Vietinbank đặc biệt chú trọng đến vấn đề hoàn thiện và kiểm soát việc thực hiện các quy trình, tăng cường kỹ năng lập trình bảo mật cho đội ngũ phát triển và dò soát, phát hiện các lỗ hổng trong ứng dụng.

Những điều kiện tối thiểu khi chuyển sang điện toán đám mây

Từ thực tiễn đã triển khai tại Vietinbank, các tổ chức, doanh nghiệp có thể dễ dàng rút ra những điều kiện tiên quyết khi chuyển đổi sang ứng dụng ảo hóa và điện toán đám mây.

- Trước hết, các tổ chức, doanh nghiệp cần hiểu rõ ứng dụng, để từ đó có phương án chuyển đổi phù hợp, trong đó, nhân tố con người là quan trọng.

- Các đơn vị cũng cần xác định lĩnh vực nào ứng dụng điện toán đám mây, loại đám mây sẽ ứng dụng, cách thức triển khai điện toán đám mây? Dịch vụ nội bộ hay khách hàng ra sao để các nhân viên kinh doanh, chăm sóc khách hàng, khách hàng của doanh nghiệp có thể làm việc mọi lúc mọi nơi trên nền tảng đám mây mà không sợ bị mất dữ liệu hay mất an toàn hệ thống.

- Phải phân tích kỹ mức tiêu thụ tài nguyên của các ứng dụng trước và trong quá trình chuyển đổi, từ đó xây dựng được chiến lược, kế hoạch phân phối, cấp phát, chuẩn bị  tài nguyên hợp lý.

- Phải xây dựng được chính sách an toàn thông tin phù hợp với lộ trình triển khai điện toán đám mây trong nội bộ các tổ chức, bám sát thông lệ và tiêu chuẩn quốc tế NIST800-144, 800-146, CSSK-CSA...

- Xây dựng các quy trình vận hành hệ thống, tổ chức bộ máy nhân sự đảm bảo kiểm soát và kiểm tra chéo.

- Cần thực hiện việc đánh giá rủi ro và bảo mật khi áp dụng điện toán đám mây một cách toàn diện, định kỳ và thực hiện quản trị rủi ro.

- Đồng thời, đơn vị triển khai càn yêu cầu đối với nhà cung cấp dịch vụ: Đảm bảo tính trong suốt (Transparancy) khi chuyển đổi và áp dụng dịch vụ; Đảm bảo tính riêng tư (Privacy) và bảo mật cho thông tin khách hàng, dữ liệu nhạy cảm; Đảm bảo tính sẵn sàng dịch vụ, cam kết SLA rõ ràng; Đảm bảo tuân thủ các quy định, chính sách của tổ chức và các cơ quan chức năng, các tiêu chuẩn của thế giới như PCI-DSS, ISMS…; Có chứng nhận an toàn bảo mật, đặc biệt các chứng nhận về an toàn bảo mật cho điện toán đám mây.

Các xu hướng công nghệ mới giúp tăng cường tính linh hoạt và hiệu suất vận hành cho hệ thống CNTT. Tuy nhiên, khi ứng dụng những tiến bộ công nghệ này, các đơn vị nên xây dựng chiến lược, đánh giá giải pháp và đi đến các quyết định đầu tư công nghệ một cách hiệu quả. Trong quá trình chuyển đổi, các tổ chức, doanh nghiệp triển khai thận trọng từng bước sẽ tránh được nhiều rủi ro để đạt được thành công như mong muốn.