Shared Responsibility Model là gì? Hiểu rõ về mô hình trách nhiệm chia sẻ trong Cloud

Nhiều doanh nghiệp cho rằng khi đưa hệ thống lên nhà cung cấp đám mây (CSP), mọi vấn đề bảo mật đã được xử lý hoàn toàn. Thực tế, các CSP chịu trách nhiệm bảo vệ hạ tầng nền tảng; còn dữ liệu, ứng dụng, tài khoản truy cập và cấu hình bên trong môi trường Cloud vẫn cần được doanh nghiệp chủ động quản lý. Đây chính là nguyên tắc cốt lõi của Shared Responsibility Model.

Qua bài viết này, cùng VNPT Cloud hiểu rõ Shared Responsibility Model là gì và cách phân chia trách nhiệm bảo mật trên Cloud.

Shared Responsibility Model là gì?

Shared Responsibility Model (Mô hình trách nhiệm chia sẻ) là một khung bảo mật trong điện toán đám mây, quy định rõ trách nhiệm bảo mật giữa nhà cung cấp dịch vụ cloud và người dùng, nhằm đảm bảo tính minh bạch và trách nhiệm trong quá trình vận hành.

Khi doanh nghiệp tự vận hành hạ tầng CNTT tại chỗ, toàn bộ trách nhiệm bảo mật thường thuộc về chính doanh nghiệp. Đội ngũ IT phải tự quản lý từ phần cứng, mạng, hệ điều hành, ứng dụng cho đến dữ liệu. Tuy nhiên, khi chuyển sang Cloud, một phần trách nhiệm bảo mật sẽ được chuyển giao cho nhà cung cấp dịch vụ Cloud (CSP).

Điều quan trọng là không phải mọi trách nhiệm đều thuộc về nhà cung cấp. Người dùng cloud vẫn phải chịu trách nhiệm với những thành phần nằm trong phạm vi kiểm soát của mình, chẳng hạn như dữ liệu, tài khoản truy cập, cấu hình dịch vụ, ứng dụng và workload. 

Vì vậy, hiểu đúng Shared Responsibility Model là yếu tố quan trọng để tránh lỗ hổng bảo mật khi sử dụng cloud.

Các loại mô hình trách nhiệm chia sẻ

Loại mô hình dịch vụ cloud, bao gồm Infrastructure as a Service (IaaS), Platform as a Service (PaaS) và Software as a Service (SaaS), sẽ quyết định bên nào chịu trách nhiệm cho từng tác vụ bảo mật. Theo Hội đồng Khách hàng Tiêu chuẩn Đám mây (Cloud Standards Customer Council), trách nhiệm của người dùng thường tăng dần khi chuyển từ SaaS sang PaaS và IaaS.

Dưới đây là bảng phân chia chi tiết mức độ trách nhiệm giữa hai bên theo từng mô hình:

Ví dụ về Shared Responsibility Model của các nhà cung cấp lớn trên thế giới

Nguyên tắc cơ bản của mô hình trách nhiệm chia sẻ là: “Nếu thứ đó thuộc về bạn hoặc bạn có thể tác động đến nó, bạn chịu trách nhiệm với nó.” 

Tuy nhiên, ranh giới thực tế không phải lúc nào cũng rõ ràng và có thể khác nhau tùy mô hình cloud và nhà cung cấp. Dưới đây là các ví dụ thực tế:

Google Cloud

Google Cloud áp dụng Shared Responsibility Model để phân định trách nhiệm bảo mật theo từng mô hình dịch vụ như IaaS, PaaS và SaaS. Trong đó, Google chịu trách nhiệm bảo vệ hạ tầng nền tảng như trung tâm dữ liệu, phần cứng, mạng và lớp ảo hóa; còn doanh nghiệp chịu trách nhiệm với dữ liệu, quyền truy cập, ứng dụng và cấu hình trong môi trường cloud.

Điểm khác biệt của Google Cloud là mô hình Shared Fate. Thay vì chỉ chia rõ “phần của nhà cung cấp” và “phần của khách hàng”, Google Cloud hỗ trợ doanh nghiệp bằng cấu hình an toàn mặc định, tài liệu kiến trúc chuẩn và các công cụ như Security Command Center. Cách tiếp cận này giúp doanh nghiệp giảm rủi ro cấu hình sai và vận hành cloud an toàn hơn.

AWS

AWS mô tả mô hình trách nhiệm chia sẻ theo hướng AWS chịu trách nhiệm về “security of the cloud”, tức bảo mật của chính hạ tầng cloud. Phần này bao gồm các thành phần như compute, storage, network và cơ sở vật chất hỗ trợ dịch vụ AWS.

Người dùng AWS chịu trách nhiệm về “security in the cloud”, tức bảo mật những gì họ triển khai và quản lý bên trong môi trường cloud. Phần này bao gồm dữ liệu, hệ điều hành, ứng dụng, cấu hình mạng, tài khoản truy cập và các dịch vụ được sử dụng.

Ưu điểm của Shared Responsibility Model

• Giảm gánh nặng bảo mật hạ tầng: Nhà cung cấp cloud chịu trách nhiệm bảo vệ các thành phần nền tảng như trung tâm dữ liệu, phần cứng, mạng và lớp ảo hóa. Nhờ đó, doanh nghiệp không phải tự quản lý toàn bộ hạ tầng vật lý như mô hình on-premises.
• Tận dụng chuyên môn của nhà cung cấp cloud: Các CSP thường có đội ngũ chuyên gia, công nghệ và quy trình bảo mật chuyên sâu. Điều này giúp doanh nghiệp, đặc biệt là doanh nghiệp vừa và nhỏ, tiếp cận một nền tảng hạ tầng an toàn hơn mà không cần đầu tư quá lớn từ đầu.
• Phân định rõ trách nhiệm bảo mật: Shared Responsibility Model giúp doanh nghiệp hiểu rõ phần nào thuộc trách nhiệm của nhà cung cấp, phần nào cần tự quản lý. Điều này hạn chế tình trạng nhầm lẫn rằng “đưa hệ thống lên cloud là nhà cung cấp chịu trách nhiệm toàn bộ”.
• Tăng tính linh hoạt khi triển khai cloud: Tùy theo mô hình SaaS, PaaS hoặc IaaS, doanh nghiệp có thể lựa chọn mức độ kiểm soát phù hợp với năng lực vận hành và yêu cầu bảo mật của mình.

Nhược điểm của Shared Responsibility Model

• Dễ hiểu sai phạm vi trách nhiệm: Nếu doanh nghiệp không nắm rõ ranh giới trách nhiệm, có thể bỏ sót các phần quan trọng như dữ liệu, tài khoản truy cập, cấu hình firewall, IAM hoặc mã hóa.
• Yêu cầu kiến thức bảo mật Cloud từ phía người dùng: Người dùng vẫn cần hiểu cách cấu hình tài nguyên, phân quyền truy cập, bảo vệ dữ liệu, cập nhật hệ điều hành và kiểm soát ứng dụng. Nếu cấu hình sai, hệ thống vẫn có thể gặp rủi ro dù hạ tầng cloud an toàn.
• Ranh giới trách nhiệm thay đổi theo từng dịch vụ: Trách nhiệm bảo mật sẽ khác nhau giữa IaaS, PaaS, SaaS và giữa từng nhà cung cấp. Doanh nghiệp cần đọc kỹ tài liệu kỹ thuật, SLA và điều khoản dịch vụ để tránh hiểu nhầm.
• Doanh nghiệp vẫn chịu hậu quả nếu lỗi thuộc phần mình quản lý: Việc sử dụng cloud không miễn trừ trách nhiệm khi xảy ra rò rỉ dữ liệu do cấu hình sai, lộ tài khoản, phân quyền không hợp lý hoặc không mã hóa dữ liệu đúng cách.

Thực hành tốt nhất cho bảo mật đám mây theo mô hình trách nhiệm chung

Để sử dụng cloud an toàn hơn, doanh nghiệp cần chủ động thực hiện đúng phần trách nhiệm của mình thay vì phụ thuộc hoàn toàn vào nhà cung cấp.

Hiểu rõ SLA và tài liệu dịch vụ

Doanh nghiệp nên đọc kỹ SLA, điều khoản dịch vụ và tài liệu bảo mật của nhà cung cấp cloud. Mỗi dịch vụ có thể có phạm vi trách nhiệm khác nhau, đặc biệt là giữa IaaS, PaaS, SaaS và các dịch vụ managed service.

Việc hiểu rõ SLA giúp doanh nghiệp tránh nhầm lẫn, không bỏ sót trách nhiệm và xây dựng chính sách bảo mật phù hợp với từng tài nguyên.

Ưu tiên bảo vệ dữ liệu

Dữ liệu luôn là trách nhiệm cốt lõi của người dùng cloud. Doanh nghiệp nên phân loại dữ liệu, áp dụng mã hóa, kiểm soát quyền truy cập và thiết lập chính sách sao lưu phù hợp.

Với dữ liệu nhạy cảm, doanh nghiệp nên sử dụng các biện pháp bảo vệ mạnh hơn như mã hóa nâng cao, giới hạn truy cập theo vai trò, ghi log truy cập và giám sát bất thường.

Quản lý chặt chẽ IAM

IAM là một trong những yếu tố quan trọng nhất trong bảo mật cloud. Doanh nghiệp cần xác định rõ ai được truy cập tài nguyên nào, quyền hạn ra sao và trong bao lâu.

Nên áp dụng nguyên tắc phân quyền tối thiểu, bật xác thực đa yếu tố, sử dụng nhóm quyền thay vì cấp quyền riêng lẻ và thường xuyên rà soát các tài khoản không còn sử dụng.

Theo dõi thông báo từ nhà cung cấp

Nhà cung cấp cloud thường xuyên cập nhật dịch vụ, API, bản vá hoặc thay đổi chính sách. Một số thay đổi có thể ảnh hưởng trực tiếp đến cấu hình bảo mật của người dùng.

Doanh nghiệp nên theo dõi các thông báo này để kịp thời điều chỉnh cấu hình, cập nhật ứng dụng hoặc thay đổi quy trình vận hành nếu cần.

Áp dụng DevSecOps

DevSecOps viết tắt của Development, Security and Operations, là phương pháp tích hợp bảo mật liên tục trong toàn bộ vòng đời phát triển phần mềm hoặc ứng dụng. Mục tiêu là giảm thiểu lỗ hổng bảo mật, cải thiện khả năng tuân thủ mà không làm ảnh hưởng đến tốc độ phát hành sản phẩm.

Tư duy DevSecOps, hay còn gọi là shift left, là cách đưa hoạt động kiểm thử và bảo mật lên sớm hơn trong quy trình phát triển, thay vì chỉ kiểm tra ở giai đoạn cuối hoặc sau khi ứng dụng đã lên production. Cách tiếp cận này đặc biệt cần thiết với các tổ chức IT đang sử dụng container hoặc cloud, bởi hai mô hình này đòi hỏi những nguyên tắc, chính sách và hướng dẫn bảo mật mới.

Sử dụng công cụ quản lý và giám sát Cloud

Các công cụ quản lý cloud có thể giúp doanh nghiệp theo dõi cấu hình, phát hiện rủi ro và cảnh báo khi có thay đổi bất thường.

Ví dụ, nếu một storage instance bị đặt nhầm ở chế độ public, công cụ giám sát (VNPT APM Service) có thể phát hiện, gửi cảnh báo hoặc tự động điều chỉnh theo chính sách đã thiết lập. Điều này giúp giảm thiểu rủi ro do lỗi cấu hình thủ công.

Tóm lại, Shared Responsibility Model là nền tảng quan trọng trong bảo mật cloud, giúp phân định rõ trách nhiệm giữa nhà cung cấp dịch vụ và người dùng. Hiểu đúng mô hình này giúp doanh nghiệp tránh nhầm lẫn, giảm rủi ro bảo mật và sử dụng cloud an toàn hơn.