Cách cấu hình sao lưu dữ liệu đám mây an toàn

Sao lưu lên đám mây giúp dữ liệu sống sót khi máy tính hỏng, văn phòng gặp sự cố hay bị mã độc tống tiền tấn công. Nhưng một bản sao lưu đám mây cấu hình sai có thể bị xóa cùng lúc với dữ liệu gốc, bị lộ ra Internet hoặc không khôi phục được khi cần. Cấu hình an toàn gồm năm yếu tố: chiến lược nhiều bản sao, mã hóa, kiểm soát truy cập chặt chẽ, lưu phiên bản không thể sửa xóa, và kiểm tra khôi phục định kỳ.

Phân biệt đồng bộ và sao lưu

Nhiều người nghĩ dữ liệu trong thư mục đồng bộ của dịch vụ lưu trữ đám mây đã được sao lưu. Thực tế:

Nếu mã độc mã hóa file trong thư mục đồng bộ, bản mã hóa sẽ được đồng bộ lên đám mây. Tính năng lịch sử phiên bản có thể cứu bạn, nhưng không nên coi đồng bộ là giải pháp sao lưu duy nhất.

Nguyên tắc 3-2-1

Nguyên tắc sao lưu kinh điển:

• 3 bản sao dữ liệu (bản gốc và hai bản sao lưu).
• 2 loại phương tiện lưu trữ khác nhau.
• 1 bản ở địa điểm khác, ví dụ trên đám mây.

Nhiều tổ chức mở rộng thành 3-2-1-1-0: thêm một bản ngoại tuyến hoặc bất biến, và không có lỗi khi kiểm tra khôi phục. Đám mây đóng vai trò bản sao ngoài địa điểm, kết hợp với một bản sao lưu cục bộ để khôi phục nhanh.

Bước 1: Xác định dữ liệu cần sao lưu và mục tiêu khôi phục

Trước khi chọn công cụ, hãy trả lời:

• Dữ liệu nào quan trọng: cơ sở dữ liệu, file kế toán, tài liệu dự án, email, cấu hình hệ thống?
• RPO (mục tiêu điểm khôi phục): chấp nhận mất dữ liệu trong bao lâu? Một giờ, một ngày?
• RTO (mục tiêu thời gian khôi phục): cần khôi phục xong trong bao lâu?
• Thời gian lưu giữ: giữ bản sao lưu bao lâu, có yêu cầu pháp lý không?

Các con số này quyết định tần suất sao lưu, dung lượng và chi phí.

Bước 2: Mã hóa dữ liệu sao lưu

• Mã hóa khi truyền: đảm bảo kết nối tới dịch vụ đám mây dùng TLS.
• Mã hóa khi lưu trữ: phần lớn dịch vụ đám mây có mã hóa phía máy chủ. Với dữ liệu nhạy cảm, cân nhắc mã hóa phía máy khách trước khi tải lên, để nhà cung cấp không đọc được.
• Quản lý khóa: lưu khóa mã hóa ở nơi an toàn, tách biệt với dữ liệu, có bản dự phòng. Mất khóa là mất dữ liệu.

Nguyên tắc mã hóa và quản lý khóa được trình bày chi tiết trong bài mã hóa cơ sở dữ liệu và nguyên tắc cốt lõi.

Bước 3: Kiểm soát truy cập vào hệ thống sao lưu

Kẻ tấn công hiện đại thường tìm cách xóa bản sao lưu trước khi kích hoạt mã độc tống tiền. Vì vậy:

1. Tài khoản sao lưu riêng biệt: không dùng chung tài khoản quản trị hệ thống chính.
2. Xác thực đa yếu tố cho mọi tài khoản có quyền quản lý sao lưu.
3. Quyền tối thiểu: tài khoản dùng để ghi bản sao lưu không có quyền xóa.
4. Tách biệt tài khoản đám mây: với tổ chức lớn, đặt bản sao lưu trong tài khoản hoặc dự án đám mây riêng.
5. Không công khai: kiểm tra kho lưu trữ không bị đặt chế độ truy cập công khai, lỗi cấu hình phổ biến dẫn đến rò rỉ.

Bước 4: Bật lưu phiên bản và khóa bất biến

Nhiều dịch vụ lưu trữ đối tượng hỗ trợ:

• Lưu phiên bản (versioning): mỗi lần ghi đè tạo phiên bản mới, giữ phiên bản cũ.
• Khóa đối tượng (object lock) hoặc lưu trữ bất biến: dữ liệu không thể bị sửa hay xóa trong thời gian quy định, kể cả bởi quản trị viên.
• Chính sách vòng đời: tự động chuyển bản cũ sang lớp lưu trữ rẻ hơn và xóa sau thời gian lưu giữ.

Bản sao lưu bất biến là lớp phòng thủ quan trọng trước mã độc tống tiền. Bạn có thể đọc thêm về cách mã độc này hoạt động trong bài nhận diện và phòng tránh ransomware.

Bước 5: Lập lịch và giám sát

• Tự động hóa lịch sao lưu theo RPO đã xác định.
• Kết hợp sao lưu toàn phần định kỳ và sao lưu gia tăng giữa các lần.
• Bật cảnh báo khi sao lưu thất bại, và có người chịu trách nhiệm xử lý.
• Theo dõi dung lượng và chi phí để tránh bị dừng dịch vụ.
• Ghi nhật ký mọi thao tác quản trị sao lưu, đặc biệt thao tác xóa.

Bước 6: Kiểm tra khôi phục định kỳ

Bản sao lưu chưa từng được khôi phục thử là bản sao lưu chưa được chứng minh. Lịch kiểm tra gợi ý:

• Khôi phục ngẫu nhiên một vài file mỗi tháng.
• Khôi phục toàn bộ một hệ thống quan trọng vào môi trường thử nghiệm theo định kỳ.
• Đo thời gian khôi phục thực tế và so với RTO.
• Ghi lại quy trình khôi phục thành tài liệu, để người khác có thể làm khi người phụ trách vắng mặt.

Lựa chọn cho cá nhân và doanh nghiệp nhỏ

Người dùng cá nhân có thể kết hợp ổ cứng ngoài với một dịch vụ sao lưu đám mây có mã hóa và lịch sử phiên bản. Doanh nghiệp nhỏ nên chọn giải pháp sao lưu có quản lý tập trung, hỗ trợ cả máy trạm, máy chủ và dịch vụ SaaS như email, tài liệu trực tuyến. Lưu ý dữ liệu trên các dịch vụ SaaS cũng cần sao lưu: nhà cung cấp đảm bảo hạ tầng, nhưng việc người dùng xóa nhầm hay tài khoản bị chiếm quyền vẫn là trách nhiệm của bạn.

Với ổ cứng ngoài dùng làm bản sao cục bộ, xem thêm hướng dẫn bảo mật trong bài bảo mật USB và ổ cứng ngoài.

Danh sách kiểm tra nhanh

• Có ít nhất một bản sao lưu ngoài địa điểm.
• Dữ liệu sao lưu được mã hóa, khóa lưu riêng.
• Tài khoản quản trị sao lưu có MFA, tách biệt.
• Đã bật lưu phiên bản hoặc khóa bất biến.
• Có cảnh báo khi sao lưu lỗi.
• Đã khôi phục thử trong ba tháng gần nhất.