Kiểm Soát An Ninh Vật Lý Bằng CNTT: Chuyển Dịch Rủi Ro Hay Giải Pháp Toàn Diện?

Sự tham gia ngày càng sâu rộng của các nhóm CNTT vào lĩnh vực an ninh vật lý thường được xem là một động thái cải tiến tích cực. Quan điểm phổ biến cho rằng, khi các hệ thống camera, kiểm soát ra vào và chống đột nhập được đặt dưới sự quản lý của CNTT, những lỗ hổng bảo mật cố hữu sẽ được giải quyết triệt để.

Tuy nhiên, theo nghiên cứu của Greyhound Research, giả định này chỉ đúng một phần.

Sự hội tụ thực sự giúp thu hẹp một số lỗ hổng. Nhưng đồng thời, nó cũng tạo ra những lỗ hổng mới. Vấn đề thực sự không còn là liệu việc CNTT nắm quyền kiểm soát có cải thiện an ninh vật lý hay không, mà là liệu các tổ chức có hiểu rõ những rủi ro mới mà họ đang phải đối mặt khi thực hiện sự thay đổi này hay không.

“Hãy nói rõ ràng,” Sanchit Vir Gogia, Nhà phân tích trưởng tại Greyhound Research, cho biết. “Khi an ninh vật lý nằm ngoài CNTT, nó trở thành một điểm mù. Các thiết bị không được vá lỗi. Nhật ký truy cập không được đọc. Các thông tin xác thực vẫn hoạt động rất lâu sau khi nhân viên rời đi.”

Việc đưa các hệ thống này dưới sự quản lý của CNTT khắc phục được nhiều vấn đề đó. Nhưng nó cũng có nghĩa là an ninh vật lý thừa hưởng sự phức tạp, dễ vỡ và tính phụ thuộc lẫn nhau của các môi trường CNTT hiện đại.

“Bạn không loại bỏ rủi ro,” Gogia nói. “Bạn chỉ di chuyển nó mà thôi.”

Khi sự hội tụ tạo ra các chế độ lỗi mới

Nghiên cứu của Greyhound làm nổi bật một mô hình ngày càng phổ biến: các hệ thống an ninh vật lý gặp lỗi không phải do hỏng hóc phần cứng hoặc cài đặt kém, mà do những thay đổi CNTT định kỳ được thực hiện mà không hiểu rõ tác động vật lý.

Các hệ thống thẻ ra vào đã ngừng hoạt động trong quá trình cấu hình lại mạng vì không ai đưa chúng vào bảng định tuyến. Các nền tảng video quản lý đám mây trở nên không thể truy cập được trong quá trình cập nhật đăng nhập một lần (SSO), khiến người vận hành không có khả năng giám sát trong các sự cố trực tiếp. Các hệ thống kiểm soát ra vào đã bị cấu hình sai vì các nhóm CNTT cho rằng chúng hoạt động giống như tường lửa hoặc VPN.

“Đây không phải là những lỗi bất thường,” Gogia nhận định. “Chúng là các hoạt động CNTT bình thường va chạm với các hệ thống có hậu quả trong thế giới thực.”

Theo Greyhound, vấn đề không phải là bản thân sự hội tụ. Đó là giả định rằng việc đưa an ninh vật lý dưới sự kiểm soát của CNTT sẽ tự động mang lại sự kiểm soát mà không đòi hỏi các hình thức trách nhiệm mới.

“CNTT phải học ngôn ngữ của phản ứng vật lý,” Gogia nhấn mạnh. “Và các nhóm an ninh vật lý phải tin tưởng vào các quy trình CNTT. Nếu không có điều đó, bạn sẽ có những hệ thống dễ vỡ, trông tuyệt vời trên sơ đồ nhưng lại tan vỡ trong một sự cố thực tế.”

Nắm quyền sở hữu mà không có sự phối hợp không phải là khả năng phục hồi

Greyhound lập luận rằng việc CNTT nắm quyền sở hữu chỉ cải thiện kết quả khi được kết hợp với khả năng phục hồi kiến trúc và sự phối hợp giữa con người. Nếu thiếu các yếu tố đó, các tổ chức có nguy cơ thay thế những điểm yếu rõ ràng, dễ hiểu bằng sự dễ vỡ hệ thống ẩn.

Trong các môi trường an ninh vật lý truyền thống, các hệ thống thường thô sơ nhưng có thể dự đoán được. Trong các môi trường hội tụ, chúng có khả năng hơn nhưng cũng phụ thuộc nhiều hơn vào các dịch vụ thượng nguồn, hệ thống nhận dạng và tính sẵn sàng của mạng.

Chuỗi phụ thuộc đó rất quan trọng trong các sự cố.

“Nếu một camera ngừng hoạt động vì thay đổi mạng, đó không phải là vấn đề mạng hay vấn đề vật lý,” Gogia nói. “Đó là một vấn đề của tổ chức.”

Quan điểm của Greyhound là sự hội tụ phải được coi là một sự thay đổi về mặt kinh tế – xã hội, chứ không chỉ là một nâng cấp công nghệ. Các mô hình quản trị, lộ trình leo thang và cấu trúc sở hữu chung trở nên quan trọng như các tính năng của nền tảng.

Sự thay đổi đối với các nhà tích hợp

Không có nơi nào mà sự thay đổi này được cảm nhận rõ rệt hơn là trong số các nhà tích hợp hệ thống.
Theo Greyhound Research, các nhà tích hợp phải đối mặt với một lựa chọn nhị phân: tiến hóa hoặc biến mất.

“Thị trường không còn yêu cầu những người chỉ biết kéo cáp nữa,” Gogia nói. “Nó đang tìm kiếm những đối tác đáng tin cậy, những người hiểu về mô hình hóa mối đe dọa, liên kết danh tính và các cửa sổ vá lỗi.”

Greyhound đã quan sát thấy các doanh nghiệp chấm dứt mối quan hệ lâu dài với các nhà tích hợp giữa chừng dự án khi các đối tác đó không đáp ứng được kỳ vọng về an ninh CNTT. Trong một số trường hợp, các nhà tích hợp không thể cung cấp tài liệu đầy đủ. Trong những trường hợp khác, họ từ chối tham gia vào các chương trình tiết lộ lỗ hổng hoặc đánh giá an ninh định kỳ.

“Đó không còn là một yêu cầu đặc biệt nữa,” Gogia khẳng định. “Đó là điều kiện tiên quyết.”
Khi CNTT nắm quyền sở hữu lớn hơn, các nhà tích hợp ngày càng được đánh giá qua cùng một lăng kính như các nhà cung cấp dịch vụ quản lý, VAR đám mây và tư vấn CNTT. Năng lực kỹ thuật đơn thuần không còn đủ. Các nhà tích hợp phải chứng minh sự trưởng thành về quản trị.

Từ “cài đặt và bàn giao” đến “sở hữu trọn đời”

Phân tích của Greyhound cho thấy mô hình nhà tích hợp “cài đặt và bàn giao” truyền thống đang trở nên không bền vững về mặt thương mại trong các môi trường do CNTT dẫn dán.

Các nhà tích hợp đang giành được chỗ đứng ngày nay là những người cung cấp dịch vụ quản lý, tham gia vào các cuộc thảo luận về quản trị và duy trì cam kết trong toàn bộ vòng đời của nền tảng. Họ xuất hiện trong các cuộc kiểm toán. Họ giúp thu hẹp các lỗ hổng tuân thủ. Họ nói ngôn ngữ của mua sắm và rủi ro, không chỉ là danh mục vật liệu.
“Đó là nơi lợi nhuận bây giờ,” Gogia nói. “Đó là nơi giá trị lâu dài tồn tại.”

Sự tiến hóa này cũng định hình lại cách các nhà tích hợp được định vị trong các tổ chức khách hàng. Thay vì được tham gia muộn trong dự án để thực hiện các thiết kế được xác định trước, các nhà tích hợp thành công được tham gia sớm hơn, đóng góp vào các quyết định kiến trúc và lập kế hoạch vận hành.

Những người không thể thích nghi sẽ phải đối mặt với sự cạnh tranh ngày càng tăng từ các đối thủ tập trung vào CNTT.
“Nếu các nhà tích hợp không tiến lên,” Gogia nói, “họ sẽ mất các hợp đồng vào tay các MSP, VAR đám mây hoặc các nhóm CNTT nội bộ.”

An ninh vật lý có thực sự đang trở thành một nền tảng CNTT không?

Từ góc độ ngôn ngữ, câu trả lời dường như là có. Các doanh nghiệp ngày càng nói về các nền tảng giám sát, bảng điều khiển hợp nhất và tích hợp dữ liệu. Các yêu cầu đề xuất tham chiếu API, thu thập SIEM và căn chỉnh không tin cậy.

Nhưng Greyhound cảnh báo không nên giả định sự trưởng thành của nền tảng chỉ dựa trên thuật ngữ.

“Về lý thuyết, an ninh vật lý đang được coi là một nền tảng CNTT,” Gogia nói. “Trong thực tế, thì chưa.”

Thực tế trên mặt đất vẫn không đồng đều. Một số tổ chức đang triển khai các hệ thống kiểm soát ra vào gốc đám mây tích hợp trực tiếp với các ngăn xếp IAM. Những tổ chức khác tiếp tục vận hành các đầu ghi hình DVR đã có từ thập kỷ trước mà không có lịch sử vá lỗi và các tài khoản quản trị mà không ai nhớ đã tạo ra.

“Ý định thì có,” Gogia nói. “Các công cụ đang nổi lên. Nhưng việc thực hiện thì lộn xộn.”

Sự trưởng thành của nền tảng không chỉ là một giao diện web

Greyhound định nghĩa sự trưởng thành của nền tảng không phải bằng trải nghiệm người dùng, mà bằng các đặc điểm quản trị và vòng đời.

Một nền tảng thực sự, theo công ty, bao gồm các API tiêu chuẩn hóa, các quy trình cập nhật an toàn, kế thừa chính sách, khả năng kiểm toán và quản lý vòng đời. Nhiều hệ thống an ninh vật lý còn thiếu sót ở một số khía cạnh này.

“Trong nhiều trường hợp, những gì các tổ chức có là những silo được hiện đại hóa,” Gogia nói. “Chúng trông giống như các nền tảng, nhưng chúng không hoạt động như vậy.”

Sự sở hữu phân mảnh, ngân sách hạn chế và kỷ luật nhà cung cấp không nhất quán đều góp phần vào khoảng cách này. Kết quả là, các tổ chức có thể tin rằng họ có khả năng phục hồi cấp nền tảng trong khi thực tế không phải vậy.

Áp lực pháp lý đang thúc đẩy sự thay đổi

Bất chấp những thách thức này, Greyhound nhận thấy đà phát triển đang được xây dựng. Một trong những chỉ số mạnh nhất là bản chất thay đổi của các yêu cầu đề xuất (RFP).

Các yêu cầu từng là tùy chọn hoặc hiếm hoi giờ đây đang trở thành tiêu chuẩn. Việc tích hợp với các khuôn khổ kiến trúc doanh nghiệp, thu thập SIEM và căn chỉnh với các nguyên tắc không tin cậy ngày càng được mong đợi.

“Điều đó cho chúng ta biết rằng kỳ vọng đã thay đổi,” Gogia nói. “Bây giờ ngành công nghiệp phải bắt kịp.”

Các cơ quan quản lý cũng đang đóng một vai trò. Khi các hệ thống an ninh vật lý trở thành đối tượng của kiểm toán mạng và kiểm tra bảo vệ dữ liệu, các hội đồng quản trị đang yêu cầu khả năng hiển thị đầu cuối về rủi ro. Áp lực đó củng cố tư duy nền tảng, ngay cả khi việc thực hiện còn chậm trễ.

Di chuyển rủi ro không giống như giảm thiểu rủi ro

Thông điệp bao trùm của Greyhound là một lời cảnh báo. Hội tụ là cần thiết, nhưng nó không cố hữu ổn định. Nếu không có thiết kế có chủ đích và sự phối hợp đa chức năng, việc CNTT nắm quyền sở hữu có thể tạo ra các hình thức rủi ro hệ thống mới.

“Việc nắm quyền sở hữu cải thiện kết quả,” Gogia nói. “Nhưng chỉ khi nó được kết hợp với khả năng phục hồi kiến trúc và sự phối hợp giữa con người.”

Đối với các doanh nghiệp, điều đó có nghĩa là chống lại sự cám dỗ coi an ninh vật lý chỉ là một tài sản CNTT khác. Đối với các nhà tích hợp, điều đó có nghĩa là định nghĩa lại vai trò của họ trong một thị trường ngày càng coi trọng quản trị hơn phần cứng.

Và đối với toàn bộ ngành, điều đó có nghĩa là nhận ra rằng sự chuyển đổi sang an ninh vật lý do CNTT dẫn dắt không phải là kết thúc của cuộc trò chuyện về rủi ro. Đó là khởi đầu của một cuộc trò chuyện phức tạp hơn.