KA 5 · Bài 6

Data Security

Data Security (Bảo mật dữ liệu) là Vùng kiến thức thứ năm của DAMA-DMBOK2. Nó bao gồm việc lập kế hoạch, xây dựng và thực thi các chính sách & thủ tục bảo mật nhằm cung cấp xác thực (authentication), phân quyền (authorization), truy cập (access) và kiểm toán (audit) đúng đắn cho dữ liệu và tài sản thông tin. Mục tiêu là bảo vệ dữ liệu phù hợp với chính sách nội bộ, quy định pháp lý và nhu cầu của các bên liên quan — cân bằng giữa cho phép truy cập hợp lệ và ngăn chặn truy cập trái phép.

1. Định nghĩa & Mục tiêu

Data Security là gì

Định nghĩa (DMBOK2): Data Security bao gồm việc lập kế hoạch, phát triển và thực thi các chính sách, thủ tục bảo mật để cung cấp xác thực, phân quyền, truy cập và kiểm toán đúng cách cho dữ liệu và tài sản thông tin.

Bảo mật dữ liệu phải bắt nguồn từ hai phía: (1) yêu cầu nghiệp vụ & pháp lý (quy định, hợp đồng, chính sách nội bộ), và (2) quản lý rủi ro. Nguyên tắc chỉ đạo là cấp quyền truy cập ở mức vừa đủ để làm việc (least privilege) và không hơn.

Mục tiêu	Diễn giải
Cho phép truy cập phù hợp, ngăn truy cập trái phép	Đảm bảo đúng người có đúng quyền với đúng dữ liệu, đồng thời chặn mọi truy cập không hợp lệ.
Đáp ứng yêu cầu tuân thủ & quy định	Tuân thủ quyền riêng tư (privacy), bảo mật & confidentiality theo luật và hợp đồng.
Đáp ứng kỳ vọng của stakeholder về quyền riêng tư	Bảo vệ dữ liệu cá nhân theo mong đợi hợp lý của khách hàng, nhân viên, đối tác.

Bốn A của Data Security: DMBOK2 tóm gọn bảo mật dữ liệu bằng 4 A's — Authentication, Authorization, Access, Audit (một số tài liệu thêm Entitlement). Đây là khung tư duy cốt lõi của cả Vùng kiến thức này.

2. Business Drivers

Vì sao bảo mật dữ liệu là bắt buộc

Giảm thiểu rủi ro (Risk Reduction): giảm nguy cơ rò rỉ, mất mát, lạm dụng dữ liệu — vốn có thể gây thiệt hại tài chính & uy tín nghiêm trọng.
Tuân thủ quy định (Regulatory Compliance): luật ngày càng nghiêm (GDPR, HIPAA, PCI-DSS, SOX...) với chế tài nặng nếu vi phạm.
Bảo vệ danh tiếng & niềm tin: một vụ data breach làm mất niềm tin khách hàng lâu dài.
Bảo vệ tài sản trí tuệ & lợi thế cạnh tranh: dữ liệu bí mật kinh doanh cần được bảo vệ.
Tăng trưởng dữ liệu & mối đe doạ: khối lượng dữ liệu và số lượng mối đe doạ (đặc biệt insider threat) đều tăng.

3. Khái niệm cốt lõi

CIA Triad & 4 A's

CIA Triad — ba mục tiêu nền tảng của an toàn thông tin:

Yếu tố	Ý nghĩa
Confidentiality (Bảo mật)	Chỉ người được phép mới truy cập được dữ liệu. Ngăn tiết lộ trái phép (đạt bằng encryption, access control).
Integrity (Toàn vẹn)	Dữ liệu chính xác, đầy đủ, không bị thay đổi trái phép. Bảo vệ khỏi sửa đổi không hợp lệ.
Availability (Khả dụng)	Dữ liệu sẵn sàng cho người dùng hợp lệ khi cần. Bảo vệ khỏi tấn công gây gián đoạn (vd DoS).

Bốn A (4 A's) — khung thực thi bảo mật dữ liệu theo DMBOK2:

A	Câu hỏi trả lời	Diễn giải
Authentication	"Bạn là ai?"	Xác minh danh tính người dùng (mật khẩu, MFA, sinh trắc học, chứng chỉ).
Authorization	"Bạn được làm gì?"	Cấp/hạn chế quyền của danh tính đã xác thực đối với tài nguyên dữ liệu.
Access	"Kích hoạt kết nối"	Cho phép danh tính & quyền của họ thực sự kết nối & thao tác trên dữ liệu.
Audit	"Đã làm gì?"	Ghi lại & rà soát các truy cập/hoạt động để phát hiện bất thường, phục vụ kiểm toán tuân thủ.

Bổ sung — Entitlement: DMBOK2 còn nhắc tới Entitlement — tập hợp tất cả các phần tử dữ liệu mà một cá nhân được phép truy cập, và Data Security Requirements phân theo 4 nhóm: Meta (quy định), Confidentiality (mức nhạy cảm), Regulatory (loại quy định), và các yêu cầu hợp đồng.

4. Context Diagram

Inputs → Activities → Deliverables

Thành phần	Nội dung
Inputs (Đầu vào)	Chiến lược & mục tiêu nghiệp vụ; chính sách & tiêu chuẩn; yêu cầu quy định (GDPR, HIPAA...); yêu cầu doanh nghiệp; kiến trúc & mô hình dữ liệu; danh mục dữ liệu.
Activities (Hoạt động)	1. Identify Requirements (nhận diện yêu cầu bảo mật & riêng tư). 2. Define Data Security Policy (định nghĩa chính sách). 3. Define Data Security Standards (tiêu chuẩn, phân loại, kiểm soát). 4. Assess Current Security Risks. 5. Implement Controls & Procedures (assign access, quản lý user/password, giám sát, phân loại độ nhạy cảm).
Deliverables (Đầu ra)	Chính sách bảo mật dữ liệu; tiêu chuẩn & quy trình bảo mật; phân loại dữ liệu (data classification); ma trận phân quyền (roles/permissions); báo cáo đánh giá rủi ro; audit log & báo cáo tuân thủ.
Suppliers (Nhà cung cấp)	IT Security / CISO, Data Governance, Data Stewards, Compliance/Legal, cơ quan quản lý (regulators), kiểm toán viên.
Participants (Người tham gia)	Data Security Team, DBA, Data Stewards, IT Security admins, Data Architects, người dùng nghiệp vụ.
Consumers (Người tiêu dùng)	Tất cả người dùng dữ liệu, các ứng dụng, đơn vị kiểm toán, cơ quan quản lý.
Tools	Công cụ IAM, encryption, data masking, DLP, SIEM/monitoring, quản lý metadata & classification.
Techniques	Phân loại dữ liệu (CRUD/matrix), least privilege, RBAC, mã hoá, masking, giám sát & audit.

4b. Phân loại dữ liệu & Độ nhạy cảm

PII, PHI, Confidential...

Data Classification là bước then chốt: gán mức độ nhạy cảm cho dữ liệu để áp kiểm soát tương ứng. Các mức phổ biến (DMBOK2): Public → Internal Use Only → Confidential → Restricted/Highly Confidential.

Loại dữ liệu nhạy cảm	Mô tả
PII (Personally Identifiable Information)	Thông tin định danh cá nhân: tên, địa chỉ, số CMND/SSN, email. Được bảo vệ bởi GDPR, luật riêng tư.
PHI (Protected Health Information)	Thông tin sức khoẻ cá nhân. Được bảo vệ đặc biệt bởi HIPAA (Mỹ).
PCI / Cardholder Data	Dữ liệu thẻ thanh toán (số thẻ, CVV). Chịu chuẩn PCI-DSS.
Confidential / Proprietary	Bí mật kinh doanh, tài sản trí tuệ, dữ liệu chiến lược của tổ chức.
Financial / SOX-relevant	Dữ liệu tài chính ảnh hưởng báo cáo, chịu kiểm soát SOX.

Ghi nhớ: mức phân loại quyết định kiểm soát. Dữ liệu Restricted (vd PII/PHI) cần mã hoá, masking, audit chặt và least privilege; dữ liệu Public gần như không cần kiểm soát truy cập.

4c. Quy định pháp lý (Regulations)

GDPR · HIPAA · PCI-DSS · SOX

Quy định	Phạm vi	Bảo vệ dữ liệu gì
GDPR (General Data Protection Regulation)	Liên minh Châu Âu (EU) — dữ liệu công dân EU.	Dữ liệu cá nhân (PII); quyền được lãng quên, đồng thuận, thông báo vi phạm 72h; phạt tới 4% doanh thu toàn cầu.
HIPAA (Health Insurance Portability & Accountability Act)	Y tế tại Mỹ.	Thông tin sức khoẻ (PHI); quy định privacy & security cho tổ chức y tế.
PCI-DSS (Payment Card Industry Data Security Standard)	Toàn cầu — đơn vị xử lý thẻ thanh toán.	Dữ liệu thẻ (cardholder data); 12 yêu cầu bảo mật, mã hoá & kiểm soát truy cập.
SOX (Sarbanes-Oxley Act)	Công ty đại chúng tại Mỹ.	Tính toàn vẹn & kiểm soát nội bộ của dữ liệu tài chính; đảm bảo báo cáo tài chính đáng tin cậy.

Lưu ý tuân thủ: vi phạm quy định không chỉ bị phạt tiền lớn (GDPR tới 4% doanh thu) mà còn tổn hại uy tín. Data Security phải phối hợp với Legal/Compliance để lập bản đồ dữ liệu ↔ quy định áp dụng.

5. Vai trò

Ai chịu trách nhiệm bảo mật

Vai trò	Trách nhiệm
CISO (Chief Information Security Officer)	Lãnh đạo cao nhất về an toàn thông tin; định hướng chiến lược bảo mật toàn tổ chức.
Data Security Team	Xây dựng & vận hành chính sách, tiêu chuẩn, kiểm soát; giám sát, đánh giá rủi ro, xử lý sự cố.
Data Stewards	Phân loại độ nhạy cảm dữ liệu, xác định ai được truy cập gì trong phạm vi lĩnh vực của mình.
DBA / IT Security admins	Thực thi kiểm soát kỹ thuật: cấp quyền, mã hoá, cấu hình access, audit trên hệ thống.
Data Governance	Phê duyệt chính sách bảo mật, đảm bảo tuân thủ, gắn bảo mật với chiến lược dữ liệu.
Compliance / Legal / Auditors	Diễn giải quy định, kiểm tra tuân thủ, thực hiện kiểm toán độc lập.
Toàn bộ nhân viên	Tuân thủ chính sách; bảo mật là trách nhiệm của mọi người (security awareness).

6. Tools & Techniques (Kiểm soát bảo mật)

Encryption, Masking, RBAC, Least Privilege

Kiểm soát	Diễn giải
Encryption (Mã hoá)	Biến dữ liệu thành dạng không đọc được nếu không có khoá. Áp cho data at rest (lưu trữ) & data in transit (truyền). Bảo vệ Confidentiality.
Data Masking / Obfuscation	Che/thay thế dữ liệu thật bằng dữ liệu giả nhưng hợp lệ. Static masking (tạo bản sao đã che, dùng cho dev/test) & Dynamic masking (che khi truy vấn theo quyền người dùng).
RBAC (Role-Based Access Control)	Cấp quyền theo vai trò thay vì từng cá nhân — dễ quản lý & audit. Người dùng nhận quyền qua role được gán.
Least Privilege	Chỉ cấp quyền tối thiểu cần để hoàn thành công việc. Nguyên tắc nền tảng giảm bề mặt tấn công.
Segregation of Duties (SoD)	Tách nhiệm vụ để không một cá nhân nào kiểm soát toàn bộ quy trình nhạy cảm, giảm gian lận.
DLP (Data Loss Prevention)	Công cụ ngăn dữ liệu nhạy cảm rò rỉ ra ngoài (email, USB, cloud).
SIEM / Monitoring	Thu thập & phân tích log bảo mật để phát hiện & cảnh báo hoạt động bất thường theo thời gian thực.
IAM	Identity & Access Management — quản lý danh tính, xác thực (kể cả MFA) & vòng đời tài khoản.

Privacy vs Security: hai khái niệm liên quan nhưng khác nhau. Security = kiểm soát ai được truy cập dữ liệu (cơ chế bảo vệ). Privacy = quyền của cá nhân về cách dữ liệu của họ được thu thập, dùng, chia sẻ (đúng mục đích, có đồng thuận). Security là phương tiện để đạt Privacy, nhưng Privacy còn đòi hỏi tính hợp pháp về mục đích sử dụng.

6b. Mối đe doạ & Chính sách

Threats · Policy · Standards

Các mối đe doạ (Threats) đối với dữ liệu:

Mối đe doạ	Mô tả
Data Breach	Rò rỉ/truy cập trái phép dữ liệu nhạy cảm ra bên ngoài — hậu quả tài chính & uy tín nặng nề.
Insider Threat	Mối đe doạ từ bên trong: nhân viên/đối tác lạm dụng quyền hợp pháp (cố ý hoặc vô ý). Rất khó phát hiện.
Malware / Ransomware	Phần mềm độc hại đánh cắp, mã hoá hoặc phá huỷ dữ liệu.
Phishing / Social Engineering	Lừa người dùng tiết lộ thông tin đăng nhập.
Hacking / SQL Injection	Khai thác lỗ hổng kỹ thuật để truy cập trái phép.

Chính sách & tiêu chuẩn bảo mật: DMBOK2 phân biệt các tầng:

Enterprise Security Policy: chính sách bảo mật cấp doanh nghiệp (truy cập hệ thống, thiết bị...).
Data Security Policy: quy định về phân loại, quyền truy cập, xử lý dữ liệu nhạy cảm.
Data Security Standards: tiêu chuẩn cụ thể (mật khẩu, mã hoá, retention của log).
Audit & Monitoring: ghi log truy cập, rà soát định kỳ, kiểm toán tuân thủ để chứng minh & phát hiện vi phạm.

7. Metrics

Đo lường bảo mật dữ liệu

Nhóm metric	Ví dụ chỉ số
Security Implementation	% dữ liệu nhạy cảm được mã hoá; % hệ thống áp RBAC; tỉ lệ tuân thủ chính sách.
Incidents	Số vụ vi phạm/breach; số truy cập trái phép bị phát hiện; thời gian phát hiện & phản ứng (MTTD/MTTR).
Access Management	Số tài khoản có quyền vượt mức (excessive privilege); số tài khoản không hoạt động chưa bị vô hiệu; kết quả rà soát quyền định kỳ.
Compliance & Audit	% audit đạt; số phát hiện (findings) chưa khắc phục; tỉ lệ hoàn thành đào tạo security awareness.
Risk	Số lỗ hổng chưa vá; điểm rủi ro tổng thể; % dữ liệu đã được phân loại.

8. Best practices & Pitfalls

Thực hành tốt & sai lầm thường gặp

Best practices:

Least privilege mặc định: cấp tối thiểu, mở thêm khi có nhu cầu chính đáng.
Phân loại dữ liệu trước: biết dữ liệu nào nhạy cảm mới áp đúng kiểm soát.
Defense in depth: nhiều lớp bảo vệ (mạng, ứng dụng, CSDL, dữ liệu) — không dựa vào một lớp duy nhất.
Mã hoá dữ liệu nhạy cảm cả khi lưu trữ và khi truyền.
Rà soát quyền định kỳ (access recertification): thu hồi quyền không còn cần thiết.
Đào tạo nhận thức (security awareness): con người là mắt xích yếu nhất.
Audit & monitor liên tục: ghi log, cảnh báo bất thường, kiểm toán định kỳ.

Pitfalls (sai lầm cần tránh):

Cấp quyền quá rộng ("cho hết cho tiện") — vi phạm least privilege.
Không phân loại dữ liệu nên không biết cái gì cần bảo vệ.
Bỏ qua insider threat, chỉ lo phòng thủ bên ngoài.
Dùng dữ liệu PII/PHI thật trong dev/test không masking.
Coi bảo mật chỉ là việc của IT, không gắn với Governance & nghiệp vụ.
Không rà soát & thu hồi quyền khi nhân viên đổi vai trò/nghỉ việc.
Nhầm lẫn "đã tuân thủ (compliant)" là "đã an toàn (secure)" — tuân thủ là mức tối thiểu.

Liên hệ vùng khác: Data Security phối hợp chặt với KA4 (Storage & Operations — bảo vệ ở tầng lưu trữ), KA1 (Data Governance — chính sách), và Metadata (biết dữ liệu nào ở đâu & nhạy cảm ra sao). Bảo mật hiệu quả đòi hỏi cả kiểm soát kỹ thuật lẫn quản trị.