Pháp lý, Rủi ro & Tuân thủ đám mây

1. Lý thuyết cốt lõi / Core theory

1.1. Khung pháp lý đám mây — GDPR, CLOUD Act, Luật VN (Cloud legal framework)

GDPR (General Data Protection Regulation) & Cloud:

• Art. 28 — Data Processor: CSP là "Data Processor," customer là "Data Controller." CSP phải ký Data Processing Agreement (DPA) với customer. DPA phải quy định: subject matter, duration, nature/purpose of processing, type of data, và security measures.
• Art. 46 — Transfers to third countries: Chuyển dữ liệu EU sang non-adequate countries cần Standard Contractual Clauses (SCCs) hoặc Binding Corporate Rules (BCRs). AWS, Azure, GCP đều có SCCs available. Schrems II (2020) invalidated EU-US Privacy Shield — SCCs là cơ chế chính hiện nay.
• Art. 33 — Breach notification: Data breach phải thông báo supervisory authority trong 72 giờ. CSP phải notify customer "without undue delay" khi phát hiện breach — điều khoản này phải có trong DPA.

CLOUD Act (Clarifying Lawful Overseas Use of Data Act, US 2018):

• Cho phép US law enforcement yêu cầu US-headquartered CSPs (AWS/Microsoft/Google) cung cấp dữ liệu dù lưu ở nước ngoài. Xung đột trực tiếp với GDPR — rủi ro cho dữ liệu EU/VN lưu trên các CSP Mỹ.
• CLOUD Act Executive Agreements: US có thể ký agreements với allies (UK, EU) cho reciprocal access — giảm xung đột pháp lý.
• Mitigation: HYOK encryption (key on-prem), Azure Confidential Computing, hoặc EU-based CSP (OVHcloud, Deutsche Telekom T-Systems).

Luật An ninh mạng VN 2018: Điều 26 yêu cầu các doanh nghiệp nước ngoài cung cấp dịch vụ tại VN phải: lưu trữ dữ liệu quan trọng của người dùng VN tại VN, và đặt văn phòng đại diện tại VN. Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân bổ sung thêm requirements. Ảnh hưởng: AWS/Azure phải có Vietnam Region hoặc customer phải dùng VN-based cloud (VNG Cloud, FPT Cloud, Viettel IDC).

1.2. Cloud Contracts & SLA Negotiation (Cloud SLA & contracts)

SLA (Service Level Agreement) với CSP phải được đàm phán kỹ — standard SLA của CSP thường có lợi cho CSP:

• Uptime SLA: AWS EC2: 99.99% per region (52 min downtime/year). Azure VMs: 99.95% (single instance with Premium SSD). SLA phải mapping với business RTO/RPO requirements. Availability ≠ 100% → cần multi-region HA architecture.
• MTTR (Mean Time To Restore): CSP cam kết response time cho incidents. Phân biệt response time (bắt đầu xử lý) và resolution time (fix xong). Doanh nghiệp cần specify acceptable MTTR trong contract.
• Penalty clauses: Standard AWS/Azure SLA chỉ offer service credits (%), không compensate actual business loss. Negotiate additional indemnification cho regulated data breach scenarios.
• Exit clause (Right to terminate): Điều khoản cho phép customer exit nếu CSP không meet SLA, bị acquired, hoặc thay đổi pricing đột ngột. Include data export timeline và format (raw data, không chỉ proprietary format) để tránh lock-in.
• Right to audit: Customer có quyền request audit reports (SOC 2, ISO 27001) hoặc conduct audit trực tiếp. CSP thường giới hạn bằng cách cung cấp third-party audit reports thay vì direct audit. FedRAMP cho phép government agencies audit directly.
• Data deletion clauses: Sau termination, CSP phải xóa customer data trong bao lâu? Theo GDPR, deletion phải được certify và customer phải nhận written confirmation. NIST guidelines: destruction method phù hợp với data sensitivity.

1.3. Cloud Compliance Frameworks (Compliance frameworks)

• FedRAMP (Federal Risk and Authorization Management Program): US government standard cho cloud services. Impact levels: Low, Moderate, High. CSP phải get FedRAMP authorization trước khi government agencies có thể dùng. AWS GovCloud và Azure Government là FedRAMP High authorized. Process: 3PAO (Third Party Assessment Organization) audit → JAB (Joint Authorization Board) review → ATO (Authority to Operate).
• ISO 27017: Code of practice cho cloud security controls — supplement cho ISO 27001. 37 additional controls đặc thù cho cloud. Phân chia responsibility giữa CSP và cloud customer cho từng control. CSP phải chứng minh compliance qua ISO 27017 certification.
• ISO 27018: Code of practice cho PII protection trong public cloud. Xây dựng dựa trên ISO 27001 + 27002 với cloud-specific privacy controls. Key requirements: PII không được dùng cho marketing/advertising, customer có quyền audit, transparent về sub-processors.
• PCI DSS Cloud Supplement: PCI SSC hướng dẫn áp dụng PCI DSS 12 requirements trong cloud. Responsibility matrix: CSP và merchant phải cùng cover toàn bộ 12 requirements. AWS/Azure/GCP đều có PCI DSS compliance attestation (AoC — Attestation of Compliance). Merchant vẫn phải maintain own PCI compliance — CSP compliance không tự động cover merchant.
• SOC 2 Type II: AICPA trust service criteria: Security, Availability, Processing Integrity, Confidentiality, Privacy. Type I = point-in-time; Type II = over a period (usually 6-12 months) — Type II đáng tin cậy hơn nhiều. Mọi enterprise CSP đều có SOC 2 Type II report. Request và review SOC 2 reports của CSP trước khi ký contract.

1.4. Cloud Risk Management & CSA STAR (Cloud risk & CSA STAR)

Cloud-specific risks (không có trong on-premises):

• Vendor lock-in: Sử dụng proprietary services (AWS Lambda, Azure Cosmos DB, GCP BigQuery) tạo dependency khó di chuyển. Mitigation: cloud-agnostic tools (Kubernetes, Terraform), open standards.
• Visibility loss: Trong cloud, customer không thể xem physical infrastructure. Audit logs là "eyes" thay thế — phải enable và protect.
• CSP insider threat: CSP employees có physical và logical access. Mitigated bởi: CSP background checks, dual control, Confidential Computing, và HYOK encryption.
• API dependency: Toàn bộ cloud management qua APIs — API outage = management plane outage. Mặc dù data plane (workloads) vẫn chạy, không thể scale/modify.
• Multi-tenancy risks: Noisy neighbor (performance), side-channel attacks, shared vulnerabilities trong CSP platform.

CSA STAR Registry (Security Trust Assurance and Risk):

• STAR Level 1: Self-Assessment — CSP tự đánh giá dựa trên CSA CCM và publish kết quả publicly trên STAR Registry. Free, không có third-party verification.
• STAR Level 2: Third-party audit — CSP phải có ISO 27001 + CCM audit by accredited auditor, hoặc SOC 2 + CCM. Đáng tin cậy hơn Level 1.
• STAR Level 3: Continuous monitoring — real-time compliance attestation bằng automation. Còn đang developing.

1.5. eDiscovery & Audit Rights trong Cloud (eDiscovery & audit)

eDiscovery (Electronic Discovery): Quy trình tìm kiếm, thu thập, review, và produce electronically stored information (ESI) để phục vụ legal proceedings. Trong cloud:

• Challenges: Dữ liệu trải rộng trên nhiều regions/services. Multi-tenancy khó phân tách evidence. CSP có thể không cooperate nếu không có legal order. Logs có thể bị overwrite nếu retention không configure đúng.
• Legal hold trong cloud: Azure Purview eDiscovery: tạo hold ngăn deletion/modification. AWS S3 Object Lock: WORM compliance mode. Microsoft 365 Compliance Center: in-place legal hold cho Exchange/SharePoint/Teams.
• Chain of custody: Document hash (SHA-256) của evidence tại thời điểm thu thập. Immutable audit trail. Khi thu thập CloudTrail logs: note timestamp, API call để download, hash của files. Court requirements có thể yêu cầu notarized statements từ CSP về authenticity.

Audit rights negotiation: Best case: direct audit by customer or customer-appointed auditor. Common case: CSP cung cấp audit reports (SOC 2, ISO 27001 cert, FedRAMP ATO letter). CSP thường không allow customer on-site audits vì multi-tenancy — would expose other customers' environments.

1.6. Cloud Forensics & Chain of Custody (Cloud digital forensics)

Cloud forensics khác biệt căn bản so với on-premises: môi trường ephemeral, shared infrastructure, và jurisdictional complexity đặt ra thách thức riêng:

• Cloud forensics challenges:
  • Ephemeral instances: Container/serverless functions tồn tại vài giây — evidence biến mất khi function terminate. Cần pre-configure logging trước khi incident xảy ra.
  • Shared infrastructure: Evidence của customer có thể nằm xen kẽ với data của customers khác trên physical storage — CSP không thể cho truy cập raw hardware.
  • Jurisdictional issues: Data lưu tại region nào thì tòa án nước đó có jurisdiction. Multi-region workloads có thể phải tuân thủ nhiều legal systems đồng thời.
  • Log availability: CloudTrail mặc định 90 ngày trong console — nếu không export ra S3 với Object Lock, evidence có thể bị mất trước khi điều tra bắt đầu.
• Evidence collection:
  • Snapshot EBS volumes của compromised instance → attach vào forensic workstation riêng (read-only) để phân tích mà không alter evidence.
  • Export CloudTrail logs với hash verification — aws s3 cp s3://cloudtrail-bucket/... ./evidence/ rồi tính SHA-256.
  • Preserve VPC Flow Logs: ghi lại tất cả network traffic metadata (src IP, dst IP, ports, bytes) — không có payload nhưng đủ để reconstruct network behavior.
  • Memory forensics trong cloud: AWS EC2 Hibernate dumps RAM to EBS — snapshot ngay sau hibernate để capture volatile state.
• Chain of custody trong cloud: Hash verification (SHA-256) của mọi evidence file tại thời điểm thu thập. Write-blocker equivalent: snapshot + read-only mount (không mount R/W vào forensic instance). Document đầy đủ: ai thu thập, thời điểm (UTC timestamp), tool/command sử dụng, và hash before/after. Court requirements có thể yêu cầu CSP cung cấp notarized statement về authenticity của logs.
• Legal hold (WORM): S3 Object Lock Compliance mode — không ai kể cả root account có thể delete object trước khi retention period hết. Azure Immutable Blob Storage với time-based retention + legal hold policy. Khi nhận litigation hold notice: apply immediately trước khi bất kỳ evidence nào bị overwrite theo routine retention policy.

AWS Forensics Lab — Evidence Preservation Steps:

# Bước 1: Tạo forensic snapshot của EBS volume nghi ngờ bị compromise
aws ec2 create-snapshot \
  --volume-id vol-0abc123def456789 \
  --description "forensic-hold-$(date +%Y%m%d-%H%M%S)" \
  --tag-specifications 'ResourceType=snapshot,Tags=[{Key=Purpose,Value=forensics},{Key=CaseId,Value=IR-2026-001}]' \
  --query "SnapshotId" --output text

# Bước 2: Apply S3 Object Lock legal hold lên evidence file (không thể delete khi locked)
aws s3api put-object-legal-hold \
  --bucket forensics-evidence-bucket \
  --key cloudtrail/2026/05/24/evidence.log.gz \
  --legal-hold '{"Status":"ON"}'

# Bước 3: Verify snapshot đã được tạo và metadata đúng
aws ec2 describe-snapshots \
  --snapshot-ids snap-0xyz789abc123def \
  --query "Snapshots[0].{Id:SnapshotId,State:State,VolumeId:VolumeId,StartTime:StartTime,Description:Description,Tags:Tags}" \
  -o json

# Hash verification — tính SHA-256 của evidence để chain of custody
# (sau khi download CloudTrail log về local)
sha256sum ./evidence/cloudtrail-2026-05-24.json.gz > ./evidence/SHA256SUMS.txt
cat ./evidence/SHA256SUMS.txt

2. Bài thực hành / Hands-on lab

Lab 1 — Azure Policy Compliance Audit & Defender Plans Review

OS: Any · Tool: Azure CLI.

1. Xem Microsoft Service Trust Portal programmatically và kiểm tra compliance plans:

# Microsoft Service Trust Portal - compliance docs available at:
# https://servicetrust.microsoft.com (SOC reports, ISO certs, PCI DSS, FedRAMP)
# Truy cập programmatically qua Microsoft Graph API (requires auth):
# GET https://graph.microsoft.com/v1.0/compliance/...

# Kiểm tra tất cả Azure Policy assignments trong subscription
az policy assignment list \
  --query "[].{Name:displayName,PolicyDef:policyDefinitionId,Scope:scope,Enforcement:enforcementMode}" \
  -o table | head -20

# Xem Regulatory Compliance standards đang được monitor
az policy assignment list \
  --query "[?contains(policyDefinitionId,'Regulatory') || contains(displayName,'CIS') || contains(displayName,'NIST') || contains(displayName,'PCI')].{Name:displayName,Id:id}" \
  -o table

# Kiểm tra Microsoft Defender plans đang bật (chi phí bảo mật)
az security pricing list \
  --query "[].{Service:name,PricingTier:pricingTier,FreeTrialExpiry:freeTrialRemainingTime}" \
  -o table

# Xem built-in policy definitions liên quan đến data residency
az policy definition list \
  --query "[?contains(displayName,'location') || contains(displayName,'region')].{Name:displayName,Category:metadata.category}" \
  -o table 2>/dev/null | grep -i "location\|region\|residency" | head -10

Lab 2 — AWS Evidence Preservation cho eDiscovery & Compliance Report

OS: Ubuntu 22.04 · Tool: AWS CLI.

#!/bin/bash
# Evidence preservation và compliance reporting script

echo "=== CloudTrail Health Check ==="
aws cloudtrail get-trail-status --name myTrail \
  --query "{IsLogging:IsLogging,LatestDelivery:LatestDeliveryTime,LatestCloudWatchLogs:LatestCloudWatchLogsDeliveryTime}" \
  -o json 2>/dev/null || echo "CloudTrail 'myTrail' not found. Check trail name."

echo ""
echo "=== eDiscovery: Last 1 hour of CloudTrail events ==="
START_TIME=$(date -d '1 hour ago' --iso-8601=seconds 2>/dev/null || date -v-1H +%Y-%m-%dT%H:%M:%S 2>/dev/null || echo "2026-05-24T10:00:00")
END_TIME=$(date --iso-8601=seconds 2>/dev/null || date +%Y-%m-%dT%H:%M:%S)

aws cloudtrail lookup-events \
  --start-time "$START_TIME" \
  --end-time "$END_TIME" \
  --query "Events[*].{User:Username,Action:EventName,Time:EventTime,Source:EventSource}" \
  --output table 2>/dev/null | head -30

echo ""
echo "=== AWS Config Compliance Report ==="
# Tìm non-compliant Config rules (compliance posture)
aws configservice describe-compliance-by-config-rule \
  --query "ComplianceByConfigRules[?Compliance.ComplianceType!='COMPLIANT'].{Rule:ConfigRuleName,Status:Compliance.ComplianceType}" \
  -o table 2>/dev/null | head -20

echo ""
echo "=== S3 Object Lock Status (WORM for legal hold) ==="
# Kiểm tra buckets có Object Lock (bắt buộc cho legal hold / compliance)
for bucket in $(aws s3api list-buckets --query "Buckets[].Name" --output text | tr '\t' '\n' | head -5); do
  LOCK=$(aws s3api get-object-lock-configuration --bucket "$bucket" \
    --query "ObjectLockConfiguration.ObjectLockEnabled" \
    --output text 2>/dev/null || echo "Disabled")
  echo "Bucket: $bucket | ObjectLock: $LOCK"
done

3. Tình huống doanh nghiệp / Real-world scenario

4. Tự kiểm tra / Knowledge check

1. Giải thích xung đột giữa CLOUD Act và GDPR. Một doanh nghiệp EU lưu dữ liệu trên AWS US-East-1 có thể bị ảnh hưởng như thế nào? Đâu là mitigation options khả thi nhất?
2. Phân biệt ISO 27017 và ISO 27018. Khi đánh giá CSP, bạn sẽ yêu cầu certification nào — và tại sao? Certification này có thay thế hoàn toàn customer's own compliance requirements không?
3. Giải thích CSA STAR Level 1 vs Level 2. Tại sao Level 2 đáng tin cậy hơn? Trong RFP (Request for Proposal) cho cloud migration, bạn sẽ yêu cầu CSP cung cấp gì?
4. Liệt kê 5 cloud-specific risks không có trong on-premises. Với mỗi risk, đề xuất ít nhất một contractual control và một technical control.
5. Một tòa án yêu cầu email records 2 năm trước nhưng company chỉ có retention policy 1 năm. Hậu quả pháp lý là gì? Làm sao prevent tình huống này trong tương lai với Azure/M365?
6. Right to audit trong cloud SLA thường bị CSP giới hạn bằng cách cung cấp third-party audit reports. Điều này có đủ để satisfy GDPR Art. 28(3)(h) không? Khi nào cần negotiate direct audit rights?