Khi CNTT tiếp quản an ninh vật lý: Mọi thứ thay đổi như thế nào trong kỷ nguyên số?

Trong nhiều thập kỷ, các hệ thống an ninh vật lý thường tồn tại bên ngoài rìa của doanh nghiệp. Camera, đầu đọc thẻ và hệ thống báo động chống xâm nhập thường được triển khai và quản lý bởi đội ngũ cơ sở vật chất hoặc an ninh, hoạt động gần như độc lập với hạ tầng CNTT cốt lõi.

Tuy nhiên, ranh giới đó giờ đây đã không còn tồn tại.

Theo Greyhound Research, sự tham gia ngày càng sâu rộng của các đội ngũ CNTT vào an ninh vật lý không phải là kết quả của một sự chuyển dịch quyền lực chiến lược. Đây là một phản ứng bắt buộc trước mức độ kết nối sâu sắc của các hệ thống này với mạng lưới doanh nghiệp, nền tảng đám mây và các khung pháp lý về tuân thủ.

“Các CIO không đột nhiên có hứng thú với đầu đọc thẻ hay nguồn cấp dữ liệu camera”, Sanchit Vir Gogia, Chuyên gia phân tích trưởng tại Greyhound Research, nhận định. “Họ đã tiếp quản chúng vì sự cần thiết”.

Sự kết nối đã kéo an ninh vật lý vào quỹ đạo của CNTT

Theo Greyhound, bước ngoặt chính là sự kết nối. Những gì từng là các hệ thống tương tự, khép kín đã phát triển thành các nền tảng dựa trên IP, đặt trực tiếp trên mạng lưới công ty và ngày càng nhiều trên các môi trường đám mây công cộng.

Hệ thống giám sát video hiện được quản lý trên đám mây. Các nền tảng kiểm soát truy cập tích hợp với hệ thống quản lý danh tính và quyền truy cập (IAM). Dữ liệu an ninh vật lý được lưu trữ, xử lý và chia sẻ theo những cách thức khiến doanh nghiệp phải đối mặt với các rủi ro về quy định, quyền riêng tư và an ninh mạng tương tự như các hệ thống CNTT truyền thống.

Điều đó đã khiến các CIO không thể phớt lờ an ninh vật lý.

“Chúng tôi đang chứng kiến các trường hợp thực tế, nơi cảnh quay camera được lưu trữ ở nước ngoài, vi phạm luật cư trú dữ liệu”, Gogia cho biết. “Hoặc hệ thống thẻ vẫn hoạt động cho các cựu nhân viên vì chúng không được liên kết với quy trình thôi việc của HR. Đây không phải là những trường hợp cá biệt mà là những vấn đề phổ biến”.

Trong những kịch bản như vậy, an ninh vật lý trở thành một gánh nặng thay vì một lớp bảo vệ. Ban giám đốc và kiểm toán viên ngày càng kỳ vọng ban lãnh đạo CNTT sẽ chịu trách nhiệm về các rủi ro giám sát, quản lý truy cập và các vấn đề tuân thủ. Khi những câu hỏi đó được đặt ra, quyền sở hữu sẽ đi theo.

“Nếu bạn không thể trả lời những câu hỏi đó”, Gogia nói, “bạn không còn thực sự quản lý rủi ro doanh nghiệp nữa”.

Sự sụp đổ của ranh giới an ninh mạng – vật lý

Nghiên cứu của Greyhound cho thấy sự phân biệt giữa an ninh mạng và an ninh vật lý không còn mang ý nghĩa về mặt vận hành. Kẻ tấn công không phân biệt giữa các điểm xâm nhập kỹ thuật số và vật lý, và các nhà quản lý cũng vậy.

“Ranh giới hoạt động giữa an ninh mạng và vật lý đã sụp đổ”, Gogia khẳng định. “Kẻ tấn công không quan tâm chúng sử dụng cửa nào”.

Sự hội tụ này đã đẩy an ninh vật lý vào cùng các khung quản trị đã tồn tại cho các hệ thống CNTT. Các CIO đang phải chịu trách nhiệm về các rủi ro phát sinh từ camera, nền tảng kiểm soát truy cập và mạng lưới cảm biến, bất kể ai đã quản lý chúng trước đây.

Theo quan điểm của Greyhound, việc CNTT tiếp quản an ninh vật lý không phải là về kiểm soát, mà là về tự vệ.

“Đó không phải là một sự chiếm đoạt quyền lực”, Gogia nói. “Đó là một phản ứng trước sự phơi bày rủi ro”.

Một cách tiếp cận khác trong việc đánh giá các dự án an ninh

Khi CNTT tiếp quản, cách đánh giá các dự án an ninh vật lý sẽ thay đổi một cách cơ bản.

Theo Greyhound Research, cuộc đối thoại chuyển từ số lượng thiết bị và bản đồ phủ sóng sang kiến trúc, tích hợp và khả năng phục hồi. Các câu hỏi mà CIO đặt ra không còn là về vị trí đặt camera, mà là về cách dữ liệu di chuyển trong doanh nghiệp.

“Đội ngũ cơ sở vật chất nói về góc phủ sóng”, Gogia giải thích. “CNTT nói về giao thức xác thực”.
Sự thay đổi này có những tác động sâu rộng đối với các nhà cung cấp và nhà tích hợp hệ thống. Trong các triển khai do CNTT dẫn dắt, hiệu suất phần cứng cơ bản không còn đủ. Các hệ thống phải phù hợp với kiến trúc doanh nghiệp rộng lớn hơn.

Các API được công bố trở thành bắt buộc. Hệ thống kiểm soát truy cập phải tích hợp với Active Directory hoặc nền tảng IAM của doanh nghiệp. Các dịch vụ đám mây phải cung cấp khả năng chuyển đổi dự phòng và phục hồi sau thảm họa được ghi chép đầy đủ. Đội ngũ mua sắm kỳ vọng các thỏa thuận mức dịch vụ (SLA), không chỉ là bảo hành. Đội ngũ tuân thủ yêu cầu nhật ký kiểm toán (audit trail) thay vì chỉ dung lượng lưu trữ thô.

“Trong mô hình do CNTT dẫn dắt, bạn không thể chấp thuận một hệ thống không tích hợp”, Gogia nói. “Nếu nó không phù hợp với hệ sinh thái, nó sẽ không tồn tại”.

Tuân thủ và quản trị giờ đây định hướng quyết định mua sắm

Greyhound lưu ý rằng các yếu tố tuân thủ ngày càng vượt trội so với các thông số kỹ thuật phần cứng truyền thống trong các quyết định mua sắm. Các nhà cung cấp dẫn đầu về hiệu suất hình ảnh hoặc độ bền thiết bị có thể bị loại trừ nếu họ thiếu các quy trình quản trị an ninh trưởng thành.

Các cơ chế cập nhật firmware an toàn, chương trình tiết lộ lỗ hổng và các chứng nhận như SOC 2 đang trở thành tiêu chuẩn bắt buộc trong các môi trường do CNTT sở hữu.

Các nhà cung cấp an ninh vật lý đang được đánh giá song song với các nhà cung cấp phần mềm doanh nghiệp, chứ không chỉ so sánh với các đối thủ trong thị trường giám sát.

“Đây là nơi chúng tôi thấy sự mất kết nối”, Gogia nhận định. “Một nhà cung cấp có thể là tốt nhất trong phân khúc phần cứng, nhưng nếu họ không có quy trình cập nhật an toàn hoặc không thể chứng minh sự sẵn sàng tuân thủ, họ sẽ bị loại”.

Đối với các nhà tích hợp, điều này thay đổi cục diện cạnh tranh. Chiến thắng một dự án ngày càng phụ thuộc vào việc chứng minh năng lực kiến trúc và nhận thức về quản trị, không chỉ là chuyên môn lắp đặt.

Kỳ vọng hoạt động ngày càng cao

Việc CNTT tiếp quản cũng thay đổi cách các hệ thống được kỳ vọng hoạt động sau khi triển khai.
Các mô hình an ninh vật lý truyền thống dựa nhiều vào bảo trì tại chỗ và các cuộc gọi dịch vụ phản ứng. Ngược lại, các đội ngũ CNTT kỳ vọng khả năng hiển thị thời gian thực về tình trạng hệ thống, chẩn đoán từ xa và khắc phục nhanh chóng.

“Họ muốn bảng điều khiển, kiểm soát phiên bản và khả năng vá lỗ hổng trong vài giờ”, Gogia nói. “Không phải vài tuần”.

Kỳ vọng này buộc cả nhà cung cấp và nhà tích hợp phải thích nghi. Các nền tảng an ninh không còn là những cài đặt tĩnh. Chúng là các hệ thống vận hành đòi hỏi giám sát, điều chỉnh và quản lý vòng đời liên tục.

“Bạn không chỉ triển khai cơ sở hạ tầng nữa”, Gogia khẳng định. “Bạn đang đưa một hệ thống vào một hệ sinh thái với những sự phụ thuộc thực sự”.

Trong thực tế, điều này có nghĩa là các nhà tích hợp ngày càng được kỳ vọng sẽ hỗ trợ tối ưu hóa liên tục, không chỉ là khởi động ban đầu. Tinh chỉnh hiệu suất, cập nhật chính sách và bảo trì tích hợp trở thành một phần của mô hình dịch vụ.

Rủi ro mới xuất hiện cùng với hiệu quả mới

Mặc dù việc CNTT tiếp quản có thể cải thiện quản trị và khả năng hiển thị, Greyhound cảnh báo rằng nó cũng mang lại những rủi ro mới nếu không được quản lý cẩn thận.

Các hệ thống an ninh vật lý có những hậu quả trong thế giới thực khác với các tài sản CNTT truyền thống. Một tường lửa cấu hình sai có thể gây gián đoạn hoạt động. Một hệ thống kiểm soát truy cập cấu hình sai có thể khóa nhân viên hoặc ảnh hưởng đến an toàn.

Việc coi an ninh vật lý thuần túy là một nền tảng CNTT mà không hiểu rõ thực tế vận hành có thể tạo ra những điểm mù.

“Rủi ro là giả định rằng các phương pháp hay nhất của CNTT tự động chuyển đổi”, Gogia nói. “Chúng không phải lúc nào cũng vậy”.

Các triển khai thành công đòi hỏi sự cộng tác giữa các đội ngũ CNTT, an ninh và cơ sở vật chất. Nghiên cứu của Greyhound cho thấy các thất bại thường xảy ra khi chuyên môn an ninh vật lý bị gạt sang một bên thay vì được tích hợp vào mô hình quản trị mới.

Điều này có ý nghĩa gì đối với các nhà tích hợp hệ thống

Đối với các nhà tích hợp hệ thống, sự chuyển dịch sang việc CNTT tiếp quản vừa là một mối đe dọa vừa là một cơ hội.

Các nhà tích hợp tiếp tục định vị mình chủ yếu là nhà lắp đặt có nguy cơ bị gạt ra ngoài lề. Những người có thể chuyển đổi các yêu cầu vận hành thành kiến trúc kỹ thuật sẽ có được ảnh hưởng sớm hơn trong vòng đời dự án.

Greyhound lập luận rằng các nhà tích hợp phải phát triển trong ba lĩnh vực chính: hiểu biết về kiến trúc CNTT doanh nghiệp, tham gia vào thiết kế quy trình làm việc và chính sách, và hỗ trợ các hệ thống trong suốt vòng đời hoạt động của chúng.

“Nhà tích hợp chỉ biết camera sẽ gặp khó khăn”, Gogia nói. “Nhà tích hợp hiểu cách an ninh phù hợp với hoạt động doanh nghiệp sẽ chiến thắng”.

Sự phát triển này cũng ảnh hưởng đến các mô hình thương mại. Các dịch vụ quản lý, tối ưu hóa liên tục và vai trò tư vấn trở nên quan trọng hơn khi các dự án chuyển từ triển khai một lần sang các dịch vụ liên tục.

Một sự thay đổi cấu trúc, không phải một xu hướng thoáng qua

Greyhound Research không coi việc CNTT tiếp quản an ninh vật lý là một giai đoạn tạm thời. Các yếu tố thúc đẩy nó – sự kết nối, tuân thủ và hợp nhất rủi ro – là mang tính cấu trúc.

Khi các hệ thống vật lý tạo ra nhiều dữ liệu hơn và tích hợp sâu hơn với các nền tảng doanh nghiệp, sự tham gia của CIO sẽ tiếp tục tăng lên. Đối với các nhà cung cấp và nhà tích hợp, việc thích nghi với thực tế này không còn là tùy chọn.

“Sự thay đổi này không được lên kế hoạch”, Gogia nói. “Nhưng nó cũng không thể đảo ngược”.

Đối với ngành công nghiệp an ninh vật lý, câu hỏi không còn là liệu CNTT có tham gia hay không, mà là các bên liên quan thích nghi hiệu quả như thế nào trong một thế giới mà an ninh vật lý được quản lý, đánh giá và vận hành như bất kỳ hệ thống doanh nghiệp nào khác.