Bảo mật tài sản

1. Lý thuyết cốt lõi / Core theory

1.1. Phân loại tài sản (Asset classification)

Phân loại tài sản là nền tảng của mọi chương trình bảo mật — không thể áp dụng kiểm soát phù hợp nếu không biết tài sản nào quan trọng. Hai chiều đánh giá:

• Sensitivity (Độ nhạy cảm): Mức độ thiệt hại nếu thông tin bị lộ — liên quan đến Confidentiality.
• Criticality (Tầm quan trọng): Mức độ ảnh hưởng đến hoạt động kinh doanh nếu mất khả dụng — liên quan đến Availability.

Phân loại chính phủ Mỹ (từ cao đến thấp): Top Secret → Secret → Confidential → Unclassified. Dữ liệu chỉ được declassify bởi người có thẩm quyền.

Phân loại doanh nghiệp (phổ biến): Confidential/Restricted → Internal Use Only → Public. Một số tổ chức thêm "Sensitive" giữa Confidential và Internal.

1.2. Vai trò sở hữu dữ liệu (Data ownership roles)

CISSP định nghĩa 4 vai trò rõ ràng với trách nhiệm không chồng lấn:

• Data Owner: Thường là business unit manager/director. Chịu trách nhiệm phân loại dữ liệu, xác định yêu cầu bảo mật, và phê duyệt quyền truy cập. Chịu trách nhiệm cuối cùng (ultimate accountability).
• Data Custodian: Thường là IT/DBA team. Thực hiện bảo vệ kỹ thuật theo chỉ đạo của Owner: backup, encryption, access control implementation.
• Data User: Người sử dụng dữ liệu hàng ngày để thực hiện công việc. Phải sử dụng đúng mục đích được phê duyệt.
• Data Processor (GDPR context): Bên thứ ba xử lý dữ liệu thay mặt Controller (Owner). Ví dụ: cloud provider xử lý dữ liệu khách hàng của bạn là Processor; bạn là Controller.

1.3. Vòng đời dữ liệu (Data lifecycle)

Dữ liệu trải qua 6 giai đoạn, mỗi giai đoạn có yêu cầu bảo mật riêng:

1.4. Yêu cầu bảo vệ quyền riêng tư (Privacy protection — GDPR principles)

GDPR (hiệu lực 2018) đặt ra 7 nguyên tắc xử lý dữ liệu cá nhân, trong đó CISSP tập trung vào:

• Lawfulness, fairness, transparency: Phải có legal basis (consent/contract/legitimate interest). Người dùng phải biết dữ liệu của họ được dùng để làm gì.
• Purpose limitation: Chỉ thu thập cho mục đích đã tuyên bố — không thể dùng lại cho mục đích khác không tương thích.
• Data minimization: Chỉ thu thập dữ liệu tối thiểu cần thiết (adequate, relevant, limited).
• Storage limitation: Không lưu lâu hơn cần thiết. Phải có retention schedule và deletion policy.
• Integrity & Confidentiality: Bảo vệ bằng kỹ thuật và tổ chức phù hợp.

1.5. Hủy dữ liệu & DLP (Data destruction & DLP technologies)

NIST SP 800-88 Rev.1 định nghĩa 3 mức hủy dữ liệu theo độ nhạy cảm:

• Clear (Xóa logic): Overwrite bằng zeros/ones. Phù hợp thiết bị tái sử dụng trong nội bộ. Không chống được recovery phần cứng tiên tiến.
• Purge (Xóa mạnh): Cryptographic erase (nếu toàn bộ thiết bị mã hóa), degaussing (với HDD từ tính), hoặc secure erase theo ATA standard. Phù hợp tái phân phối ra ngoài tổ chức.
• Destroy (Hủy vật lý): Shredding, disintegrating, melting, incineration. Phù hợp dữ liệu Top Secret hoặc thiết bị hư hỏng.

DLP (Data Loss Prevention) — 3 loại triển khai:

• Network DLP: Giám sát và chặn dữ liệu nhạy cảm qua email, web upload, FTP. Thường là proxy/inline appliance.
• Endpoint DLP: Agent trên máy tính cá nhân — kiểm soát copy to USB, print, screenshot, clipboard.
• Cloud DLP (CASB): Cloud Access Security Broker giám sát dữ liệu tải lên cloud storage (OneDrive, Google Drive, Dropbox).

2. Bài thực hành / Hands-on labs

Lab 1 — DLP-style Audit: Kiểm soát tài sản nhạy cảm trên Windows (PowerShell)

OS: Windows 11 · Tool: PowerShell 7

1. Liệt kê file nhạy cảm, kiểm tra ACL, và phát hiện USB device được kết nối:

# === DLP AUDIT: Sensitive File Discovery ===
$SensitivePath = "C:\SensitiveData"

# 1. Tìm file nhạy cảm theo extension
Write-Host "=== Sensitive Files Inventory ===" -ForegroundColor Cyan
Get-ChildItem -Path $SensitivePath -Recurse -ErrorAction SilentlyContinue |
    Where-Object { $_.Extension -in '.pdf','.docx','.xlsx','.csv','.pem','.key' } |
    Select-Object Name, LastWriteTime,
        @{N='Size_KB';E={[math]::Round($_.Length/1KB,1)}},
        DirectoryName |
    Sort-Object LastWriteTime -Descending |
    Format-Table -AutoSize

# 2. Kiểm tra quyền truy cập thư mục nhạy cảm
Write-Host "`n=== Access Control List ===" -ForegroundColor Cyan
Get-Acl -Path $SensitivePath | Format-List Path, Owner, Group
(Get-Acl $SensitivePath).Access |
    Select-Object IdentityReference, FileSystemRights, AccessControlType |
    Format-Table -AutoSize

# 3. Phát hiện USB device được kết nối (Event ID 6416 = new device)
Write-Host "`n=== USB Device Connection Events (last 7 days) ===" -ForegroundColor Cyan
Get-WinEvent -FilterHashtable @{
    LogName   = 'Security'
    Id        = 6416
    StartTime = (Get-Date).AddDays(-7)
} -ErrorAction SilentlyContinue | Select-Object -First 10 |
    Select-Object TimeCreated,
        @{N='Device';E={$_.Properties[1].Value}} |
    Format-Table -AutoSize

# 4. Kiểm tra file đã copy ra USB gần đây (Removable Media via WMI)
Write-Host "`n=== Removable Drives Currently Connected ===" -ForegroundColor Cyan
Get-WmiObject Win32_LogicalDisk | Where-Object { $_.DriveType -eq 2 } |
    Select-Object DeviceID, VolumeName, Size, FreeSpace | Format-Table -AutoSize

Lab 2 — File Classification & Sensitive Data Discovery (Bash)

OS: Ubuntu 22.04 · Tool: Bash + grep + aureport

#!/bin/bash
# === SENSITIVE DATA DISCOVERY & FILE CLASSIFICATION ===

echo "=== 1. Search for sensitive keywords in text files ==="
grep -rn --include="*.txt" --include="*.csv" --include="*.conf" \
  -E "password|credit.card|ssn|social.security|api.key|secret" \
  /home /var/www 2>/dev/null | head -20

echo -e "\n=== 2. Find cryptographic key files (should not be world-readable) ==="
find / \( -name "*.pem" -o -name "*.key" -o -name "id_rsa" \
         -o -name "*.p12" -o -name "*.pfx" \) \
  -not -path "*/proc/*" 2>/dev/null | while read f; do
    perms=$(stat -c "%a %U %n" "$f")
    echo "  $perms"
done

echo -e "\n=== 3. Files modified in last 24 hours in sensitive dirs ==="
find /etc /root /home -newer /etc/passwd -type f 2>/dev/null | head -15

echo -e "\n=== 4. Audit log: access to /etc/shadow ==="
sudo aureport --file -- /etc/shadow 2>/dev/null | head -20

echo -e "\n=== 5. World-readable files containing 'password' ==="
find /etc /home -perm /o+r -type f 2>/dev/null | \
  xargs grep -l "password" 2>/dev/null | head -10

echo -e "\n=== 6. Data retention check: files older than 7 years ==="
find /var/data/archive -type f -mtime +2555 2>/dev/null | \
  wc -l | xargs -I{} echo "{} files older than 7 years — review retention policy"

3. Tình huống doanh nghiệp / Enterprise scenario

4. Tự kiểm tra / CISSP-style knowledge check

1. Giám đốc kinh doanh yêu cầu IT xóa toàn bộ dữ liệu khách hàng cũ trên server sắp thanh lý. Ai là người có thẩm quyền quyết định phương pháp hủy và mức độ xóa cần thiết?
2. Công ty cloud của bạn xử lý dữ liệu y tế cho bệnh viện. Theo GDPR, bạn là Controller hay Processor? Điều này ảnh hưởng gì đến nghĩa vụ pháp lý của bạn?
3. Nhân viên HR xuất danh sách lương nhân viên ra Excel và gửi cho đối tác ngoài. DLP network nên chặn hay alert-only? Giải thích lý do chọn mức độ kiểm soát phù hợp.
4. Ổ cứng chứa dữ liệu bí mật thương mại bị hỏng vật lý. Theo NIST 800-88, phương pháp nào phù hợp và tại sao không thể dùng Clear hay Purge?
5. GDPR "right to erasure" (right to be forgotten) xung đột với nghĩa vụ lưu trữ hồ sơ tài chính 7 năm theo SOX. Cách giải quyết xung đột này trong thực tế?