Hạ tầng cloud & bảo mật cho cơ quan nhà nước

Ở khu vực công, ràng buộc khó nhất thường không phải kỹ thuật. Nó là việc một lần gián đoạn ngoài kế hoạch phải được giải thích trước người dân, và một hồ sơ chưa đúng biểu mẫu có thể làm dừng cả đợt triển khai đã chuẩn bị xong về mặt hạ tầng.

Vì vậy trình tự làm việc ở đây ngược với dự án doanh nghiệp: phần tuân thủ đi trước và định hình phần thiết kế, không phải đi sau để hợp thức hoá thiết kế đã chọn.

Phân định cấp độ trước, vẽ mạng sau

Theo Nghị định 85/2016, hệ thống thông tin được phân định cấp độ từ 1 đến 5, và mỗi cấp độ kéo theo một bộ yêu cầu bảo đảm an toàn khác nhau. Điều này có một hệ quả rất thực tế mà nhiều thiết kế bỏ qua: cấp độ quyết định cách chia vùng mạng, không phải sở thích kiến trúc.

Nếu landing zone được dựng trước rồi mới xác định cấp độ, gần như chắc chắn phải chia lại vùng — lúc đó đã có hệ thống chạy trong đó. Chúng tôi làm ngược: lập hồ sơ đề xuất cấp độ, chốt danh mục hệ thống theo cấp, rồi mới thiết kế phân vùng và guardrail tương ứng.

• Landing zone chuẩn hoá: mạng, danh tính, ghi log tập trung, guardrail theo chính sách.
• Phân vùng theo cấp độ an toàn, với luồng cho phép giữa các vùng được khai báo tường minh.
• Bộ chính sách và quy chế tuân thủ Luật An ninh mạng và Luật An toàn thông tin mạng.
• Hồ sơ đề xuất cấp độ theo đúng biểu mẫu, phục vụ phối hợp thẩm định với cơ quan chức năng.

Di trú theo đợt, và điều kiện dừng được chốt trước

Không có cửa sổ gián đoạn rộng thì không thể làm một đợt lớn. Danh mục hệ thống nghiệp vụ được chia thành các đợt nhỏ, mỗi đợt tự bàn giao được, mỗi đợt có cửa sổ cutover riêng và một phương án quay lui đã chạy thử.

Điểm hay bị xem nhẹ là quan hệ phụ thuộc giữa các hệ thống. Một cổng dịch vụ công có thể phụ thuộc vào dịch vụ định danh, dịch vụ thanh toán và một hệ thống nội bộ khác — di trú nó trước khi làm rõ chuỗi phụ thuộc là cách nhanh nhất để tạo ra một sự cố không ai đoán trước.

Với khu vực công, một lần gián đoạn ngoài kế hoạch là điều phải giải thích trước người dân — nên mọi thay đổi đều đi kèm phương án quay lui.

Vận hành 24/7 gắn với nghĩa vụ báo cáo

Lớp vận hành ở đây có thêm một yêu cầu mà khối doanh nghiệp không có: quy trình ứng phó sự cố phải khớp với quy định về báo cáo sự cố an toàn thông tin. Nghĩa là ngoài việc khôi phục dịch vụ, còn phải ghi nhận đủ dữ liệu để lập báo cáo đúng thời hạn.

• Giám sát an toàn thông tin liên tục, với mốc thời gian và bằng chứng đủ để lập báo cáo.
• Quy trình ứng phó sự cố theo mức độ, khớp yêu cầu báo cáo của cơ quan quản lý.
• Duy trì hồ sơ tuân thủ và rà soát định kỳ, không chỉ làm một lần khi thẩm định.
• Đánh giá lại cấp độ khi hệ thống thay đổi phạm vi hoặc khi có văn bản pháp luật mới.

Kết quả

Nền tảng cloud nhất quán, có kiểm soát tuân thủ theo cấp độ; hệ thống nghiệp vụ di trú theo từng đợt với đường quay lui còn mở; và một lớp vận hành – bảo mật 24/7 giữ dịch vụ công sẵn sàng.

Chúng tôi không công bố chỉ số cụ thể của từng cơ quan trong bài viết. Số liệu kết quả chi tiết chỉ được đưa vào tài liệu có sự đồng ý của khách hàng.