Câu trả lời được chấp nhận
Nguyễn Thu Hà, PMP
PM không cần trở thành chuyên gia an toàn thông tin, nhưng cần coi việc chọn công cụ đám mây là quyết định có rủi ro — đưa vào sổ rủi ro và có ý kiến của bộ phận bảo mật trước khi dùng.
Hiểu mô hình trách nhiệm chia sẻ Theo định nghĩa của NIST, có ba mô hình dịch vụ: SaaS, PaaS, IaaS. Với SaaS (hầu hết công cụ quản lý dự án), nhà cung cấp lo hạ tầng và ứng dụng; người dùng vẫn chịu trách nhiệm về: ai được cấp quyền, dữ liệu gì được đưa lên, cấu hình chia sẻ, và tài khoản bị lộ. Hướng dẫn bảo mật đám mây của NCSC (Anh) cũng nhấn mạnh mô hình trách nhiệm chia sẻ này.
Danh mục kiểm tra nhanh cho PM
| Câu hỏi | Vì sao quan trọng |
|---|---|
| Dữ liệu lưu ở quốc gia/khu vực nào? | Yêu cầu pháp lý, hợp đồng với khách hàng |
| Có đăng nhập một lần (SSO) và xác thực hai lớp (2SV/MFA)? | Phần lớn sự cố bắt đầu từ mật khẩu bị lộ |
| Phân quyền đến mức dự án/trang/tệp? | Nhà thầu chỉ thấy phần cần thấy |
| Có nhật ký truy cập (audit log)? | Điều tra khi có sự cố |
| Mã hoá khi truyền và khi lưu? | Yêu cầu cơ bản |
| Xuất toàn bộ dữ liệu khi kết thúc? Xoá dữ liệu thế nào? | Đóng dự án, hết hợp đồng |
| Nhà cung cấp có chứng nhận/đánh giá độc lập về bảo mật? | Bằng chứng thay cho lời hứa |
Thực hành trong dự án
- Phân loại dữ liệu: dữ liệu cá nhân, mật khẩu, thông tin khách hàng nhạy cảm không đưa vào thẻ công việc hay bình luận.
- Bật xác thực hai lớp cho mọi tài khoản, đặc biệt quản trị viên.
- Rà quyền truy cập khi có người rời dự án và ở mỗi mốc giai đoạn.
- Ghi các yêu cầu bảo mật của khách hàng vào kế hoạch quản lý dự án, không chỉ trong email.
Nguồn: