Phân tách nhiệm vụ (SoD) và tầm quan trọng trong tuân thủ
Phân tách nhiệm vụ (Segregation/Separation of Duties - SoD) là nguyên tắc quy định rằng các tác vụ quan trọng phải được chia cho nhiều người thực hiện, và không một cá nhân nào được nắm toàn quyền kiểm soát tất cả các bước trong một quy trình nhạy cảm. Nguyên tắc này loại bỏ nguy cơ gian lận và tạo ra một hệ thống kiểm soát chéo (checks and balances) nhằm giới hạn thiệt hại mà một cá nhân có thể gây ra, bất kể ý định của họ là gì.
Dù bắt nguồn từ ngành tài chính, khái niệm này đã trở thành một trong những nguyên tắc quan trọng nhất trong quản trị và điều hành định danh (identity governance and administration - IGA) hiện đại. SoD giúp tổ chức ngăn chặn tình trạng lạm dụng quyền truy cập đặc quyền, triển khai các biện pháp kiểm soát nội bộ và duy trì tuân thủ các tiêu chuẩn quy định.
4 nhóm chức năng chính của SoD
SoD chia nhiệm vụ của một hoạt động thành 4 nhóm chức năng chính:
1. Ủy quyền phê duyệt (Authorization)
Người phê duyệt một giao dịch hoặc quy trình không được là người khởi tạo hoặc ghi nhận giao dịch đó. Chỉ một số cá nhân nhất định mới được phép phê duyệt chi tiêu, thanh toán cho nhà cung cấp hoặc ghi sổ kế toán.
2. Quản lý tài sản (Custody)
Người nắm quyền kiểm soát vật lý hoặc kỹ thuật số (physical or digital control) đối với tài sản - như tiền mặt, hàng tồn kho, mật khẩu hệ thống hoặc thông tin nhạy cảm - không được là người phê duyệt hoặc ghi nhận các giao dịch liên quan đến những tài sản đó.
3. Ghi chép sổ sách (Record keeping)
Người ghi các bút toán vào sổ cái hoặc hệ thống ERP không được đồng thời quản lý tài sản hay phê duyệt giao dịch. Việc tách riêng khâu ghi chép khỏi khâu phê duyệt và quản lý tài sản tạo ra một bản ghi độc lập, phản ánh đúng những gì đã xảy ra.
4. Đối soát (Reconciliation)
Hoạt động kiểm toán và đối soát phải do một người độc lập với những người đã phê duyệt, quản lý hoặc ghi nhận giao dịch thực hiện.
SoD trong kế toán và IGA
Trong kế toán, SoD có nghĩa là người nhập hóa đơn vào hệ thống thanh toán không được là người phê duyệt thanh toán cho chính hóa đơn đó. Nhân viên tạo tài khoản nhà cung cấp cũng không nên là người phê duyệt thanh toán cho nhà cung cấp đó. Sự tách biệt này nhằm ngăn chặn biển thủ và gian lận tài chính.
Trong IGA, cùng một logic đó được áp dụng ở lớp định danh (identity layer). Thay vì các giao dịch tài chính, mối quan tâm ở đây là các sự kiện trong vòng đời định danh (identity life cycle), áp dụng cho những người cấp phát tài khoản, phê duyệt yêu cầu truy cập, chỉnh sửa thành viên nhóm, rà soát quyền truy cập (entitlement) và quản lý audit log ghi lại tất cả các hoạt động trên. Trong các doanh nghiệp lớn quản lý hàng nghìn định danh trên Active Directory, Microsoft Entra ID và các ứng dụng doanh nghiệp, việc để một quản trị viên duy nhất nắm toàn quyền kiểm soát từ đầu đến cuối với bất kỳ chức năng nào trong số này cũng tương đương với việc một kế toán viên vừa lập vừa tự ký séc cho chính mình trong thế giới IGA.
Vì sao phân tách nhiệm vụ lại quan trọng?
Các đội IT nằm ở điểm giao giữa cấp phát quyền truy cập, quản lý vòng đời định danh và tuân thủ - điều này khiến họ vừa là đối tượng chịu rủi ro, vừa là bên chịu trách nhiệm xử lý những rủi ro đó.
Ngăn chặn các tổ hợp vai trò độc hại (toxic role combination) và lạm dụng đặc quyền
Trong môi trường IGA, các tổ hợp vai trò độc hại là những cặp quyền truy cập cụ thể không bao giờ nên cùng tồn tại trên một định danh duy nhất. Khi một kỹ thuật viên vừa có thể cấu hình chính sách truy cập, vừa có thể xác nhận việc tuân thủ chính chính sách đó, tính độc lập mà bước xác nhận này vốn được thiết kế để đảm bảo sẽ không còn tồn tại. SoD thiết lập ranh giới để ngăn những tổ hợp như vậy hình thành ngay từ đầu.
Quản lý rủi ro vòng đời định danh trong tự động hóa JML
Quy trình tự động hóa joiner-mover-leaver (JML) là nơi các vi phạm thường tích tụ nhiều nhất trong môi trường IT. Khi một người dùng gia nhập, họ được cấp quyền truy cập phù hợp với vai trò; khi họ chuyển sang phòng ban hoặc vị trí mới, quyền truy cập mới được thêm vào - nhưng quyền cũ lại hiếm khi bị thu hồi trong cùng thao tác đó. Theo thời gian, một định danh có thể tích lũy quyền dư thừa từ mọi vai trò mà họ từng đảm nhiệm, tạo ra những tổ hợp độc hại mà không một lần cấp quyền riêng lẻ nào cố ý tạo ra. Điều này dẫn đến tình trạng "phình quyền" (privilege creep) - hiện tượng phổ biến ở các tổ chức chưa có công cụ quản trị tự động.
Hỗ trợ sẵn sàng cho kiểm toán và tuân thủ quy định
Các quy định như SOX, HIPAA, GDPR hay PCI DSS đều yêu cầu tổ chức triển khai SoD. Các quy định này đòi hỏi phải chứng minh được sự tách biệt giữa các chức năng định danh quan trọng, kèm theo bằng chứng tài liệu cụ thể. Một đội IT không thể cho kiểm toán viên thấy nhiệm vụ được phân chia như thế nào trong các quy trình cấp phát, phê duyệt và rà soát thì đã ở trong tình trạng rủi ro, bất kể các biện pháp kiểm soát kỹ thuật bên dưới được cấu hình tốt đến đâu.
Cách triển khai phân tách nhiệm vụ
Việc thực thi SoD là một hoạt động quản trị liên tục, không phải một lần cấu hình là xong. Đồng thời, đòi hỏi các quyết định về kiến trúc vai trò (role architecture), thiết kế quy trình cấp phát, công cụ quản trị tự động và kỷ luật rà soát quyền truy cập được duy trì thường xuyên.
Lập sơ đồ quy trình định danh và xác định các tổ hợp vai trò rủi ro cao
Hãy bắt đầu bằng việc lập sơ đồ các quy trình trong vòng đời định danh để xác định những điểm mà việc một định danh nắm toàn quyền kiểm soát từ đầu đến cuối có thể tạo ra rủi ro. Các quy trình này bao gồm: cấp phát và thu hồi tài khoản người dùng; khởi tạo và phê duyệt yêu cầu truy cập; quản lý và cấp quyền thành viên nhóm; định nghĩa và gán vai trò; truy cập audit log và thực thi thay đổi; cấu hình định danh và xác nhận tuân thủ.
Với mỗi quy trình, hãy xác định những bước nào cần được tách riêng và những cặp vai trò cụ thể nào sẽ tạo thành một tổ hợp độc hại. Từ đó, xây dựng một SoD matrix - một bảng có cấu trúc đối chiếu các vai trò với nhau để phát hiện những cặp quyền truy cập không tương thích. Ma trận này vừa là tài liệu tham chiếu khi cấu hình vai trò, vừa là bằng chứng cho kiểm toán viên rằng chính sách SoD đã được xác định chính thức.
Xác định và ghi lại chính sách bằng văn bản
Một chính sách chính thức cần nêu rõ: những tổ hợp vai trò nào bị cấm ở lớp định danh; quy trình ghi nhận và quản lý các trường hợp ngoại lệ; các biện pháp kiểm soát bù trừ (compensating control) áp dụng khi việc tách biệt không khả thi; và cách phát hiện, báo cáo leo thang cũng như khắc phục các vi phạm.
Thực thi nguyên tắc đặc quyền tối thiểu (least privilege) và ủy quyền vai trò chi tiết
Kiểm soát truy cập dựa trên vai trò (role-based access control - RBAC) là nền tảng kỹ thuật của SoD trong hầu hết các môi trường. ADManager Plus xử lý trực tiếp vấn đề này thông qua mô hình ủy quyền dựa trên vai trò không xâm lấn (non-invasive) - thay vì nâng quyền gốc của kỹ thuật viên, công cụ này thực thi các vai trò được ủy quyền ngay trong chính ADManager Plus. Quyền được gán riêng theo từng vai trò và giới hạn theo OU, đảm bảo không định danh nào trong chuỗi ủy quyền có nhiều quyền hơn chức năng công việc đã được xác định.
Xây dựng quy trình phê duyệt nhiều cấp trong cấp phát quyền truy cập
Khi việc cấp phát diễn ra không chính thức hoặc được phê duyệt với khối lượng lớn, người gửi yêu cầu thực chất nắm quyền kiểm soát cả yêu cầu lẫn việc phê duyệt yêu cầu đó - đây là một vi phạm trực tiếp trong quy trình cấp phát. Tính năng workflow của ADManager Plus cho phép các đội cấu hình quy trình phê duyệt nhiều cấp, có cấu trúc rõ ràng, cho mọi tác vụ quan trọng. Các quy tắc gán điều kiện có thể định tuyến từng loại yêu cầu cụ thể đến đúng người phê duyệt dựa trên mức độ nhạy cảm của hành động, giúp đảm bảo trong chuỗi cấp phát, người yêu cầu và người phê duyệt luôn là hai định danh khác nhau.
Triển khai các đợt xác nhận quyền truy cập (access certification) định kỳ
Một đợt xác nhận quyền truy cập (access certification campaign) là quá trình yêu cầu quản lý, chủ sở hữu vai trò và người rà soát quyền truy cập xác nhận một cách có hệ thống xem quyền mà thành viên trong đội của họ đang nắm giữ có còn phù hợp với vai trò hiện tại hay không, đồng thời gắn cờ những tổ hợp gây xung đột. Tính năng access certification campaign của ADManager Plus cho phép các đội lên lịch và tự động hóa các đợt rà soát này trên Active Directory và Microsoft 365.
Tạo báo cáo kiểm toán sẵn sàng cho tuân thủ
ADManager Plus cung cấp hơn 200 báo cáo dựng sẵn, bao quát tài khoản người dùng, thành viên nhóm, quyền truy cập, tài khoản không hoạt động và mọi thao tác quản trị được thực hiện trong môi trường. Các báo cáo chuyên biệt cho tuân thủ được ánh xạ trực tiếp theo yêu cầu của SOX, HIPAA, GDPR và PCI DSS, có thể lên lịch, tự động tạo và xuất ra các định dạng PDF, CSV, XLSX, HTML để đáp ứng yêu cầu kiểm toán.
Duy trì phân tách nhiệm vụ xuyên suốt vòng đời định danh
SoD không phải là một biện pháp kiểm soát cấu hình một lần rồi bỏ đó. Mỗi sự kiện, mỗi lần thay đổi vai trò hay mỗi yêu cầu truy cập mới đều là cơ hội để tình trạng trôi dạt quyền (entitlement drift) tái tạo lại những tổ hợp độc hại mà mô hình quản trị của bạn vốn được thiết kế để ngăn chặn. Những tổ chức luôn đi trước tình trạng trôi dạt này là những tổ chức xem SoD như một quy trình quản trị liên tục, chứ không phải một thay đổi thực hiện một lần. ADManager Plus hỗ trợ điều này ở mọi lớp - từ ủy quyền vai trò chi tiết, quy trình phê duyệt nhiều cấp, đến xác nhận quyền truy cập tự động và báo cáo tuân thủ - để việc quản trị luôn được duy trì khi môi trường định danh của bạn phát triển, chứ không chỉ dừng lại ở lần cấu hình đầu tiên.
Câu hỏi thường gặp
1. Phân tách nhiệm vụ là gì?
Phân tách nhiệm vụ (SoD) là nguyên tắc quản trị đảm bảo không một định danh nào nắm giữ tổ hợp quyền truy cập cho phép họ kiểm soát toàn bộ một quy trình nhạy cảm - như cấp phát, phê duyệt, thực thi và giám sát - mà không qua rà soát độc lập. Nguyên tắc này được thực thi thông qua kiến trúc vai trò, thiết kế quy trình cấp phát, xác nhận quyền truy cập và các biện pháp kiểm soát kiểm toán.
2. Segregation of duties và separation of duties khác nhau như thế nào?
Hai thuật ngữ này mô tả cùng một nguyên tắc và được dùng thay thế cho nhau trong lĩnh vực IGA. "Segregation of duties" thường xuất hiện trong các nền tảng IGA và tài liệu tuân thủ, trong khi "separation of duties" được dùng phổ biến hơn ở các ngành khác.
3. Tổ hợp vai trò độc hại trong IGA là gì?
Tổ hợp vai trò độc hại là những cặp quyền truy cập cụ thể mà khi được nắm giữ bởi cùng một định danh, sẽ tạo ra quyền kiểm soát toàn bộ một quy trình nhạy cảm mà không có sự giám sát độc lập nào. Các ví dụ phổ biến bao gồm vừa nắm quyền cấp phát tài khoản vừa nắm quyền phê duyệt truy cập, hoặc kết hợp quyền định nghĩa vai trò với quyền gán vai trò.
4. Phân tách nhiệm vụ là biện pháp kiểm soát phòng ngừa hay phát hiện?
SoD chủ yếu là một biện pháp kiểm soát phòng ngừa, được tích hợp sẵn vào kiến trúc vai trò và quy trình cấp phát để ngăn các quyền xung đột cùng tồn tại. Các biện pháp kiểm soát mang tính phát hiện như đợt xác nhận quyền truy cập, rà soát audit log và giám sát quyền truy cập giúp phát hiện những vi phạm đã tích tụ theo thời gian.
5. Tự động hóa JML tạo ra vi phạm phân tách nhiệm vụ trong IGA như thế nào?
Khi người dùng thay đổi vai trò hoặc chức năng, quyền mới được thêm vào nhưng quyền cũ thường không bị thu hồi. Theo thời gian, một định danh sẽ tích lũy quyền từ nhiều vai trò trước đó, tạo ra những tổ hợp độc hại mà không một quyết định cấp phát riêng lẻ nào cố ý tạo ra. Xác nhận quyền truy cập tự động là cơ chế chính trong IGA để phát hiện và khắc phục tình trạng trôi dạt này.
6. Những quy định nào yêu cầu thực thi phân tách nhiệm vụ trong môi trường IGA?
SOX, HIPAA, GDPR, PCI DSS và nhiều quy định khác đều yêu cầu tổ chức triển khai SoD. Tất cả các khung quy định này không chỉ yêu cầu tồn tại các biện pháp kiểm soát nội bộ, mà còn yêu cầu tổ chức phải cung cấp được bằng chứng tài liệu cho thấy các biện pháp kiểm soát đó đang được duy trì và rà soát liên tục.
Tài liệu gốc: What is segregation of duties, and why is it so important for compliance?