(Dùng cho đánh giá An toàn thông tin – ATT)
1. Tổng quan nền tảng
SharePoint Online là dịch vụ quản lý nội dung & cộng tác thuộc Microsoft 365, được vận hành trên Microsoft Azure và tuân thủ các tiêu chuẩn ATTT quốc tế.
Vai trò chính của SharePoint:
-
Lưu trữ & quản lý tài liệu (Document Management)
-
Phân quyền truy cập chi tiết
-
Kiểm soát vòng đời dữ liệu
-
Audit – truy vết truy cập & thao tác
2. Mô hình bảo mật tổng thể (Security-in-Depth)
SharePoint áp dụng mô hình nhiều lớp bảo mật:
2.1 Bảo mật hạ tầng (Infrastructure Security)
-
Datacenter Azure đạt chuẩn ISO/IEC 27001, SOC 1/2/3, PCI DSS
-
Phân tách tenant – logical isolation
-
SLA cao, backup & DR theo vùng (geo-redundancy)
2.2 Bảo mật dữ liệu (Data Protection)
🔐 Mã hóa dữ liệu
-
Data at rest: AES-256
-
Data in transit: TLS 1.2+
-
Khóa mã hóa được quản lý bởi Microsoft (có thể mở rộng Customer Key)
📦 Sao lưu & khôi phục
-
Versioning
-
Recycle Bin (2 cấp)
-
Restore file/site theo mốc thời gian
3. Kiểm soát truy cập & phân quyền
3.1 Identity & Authentication
-
Xác thực qua **Microsoft Entra ID (Azure AD cũ)
-
Hỗ trợ:
-
MFA
-
Conditional Access
-
Device-based access
-
3.2 Authorization (RBAC)
-
Cấp quyền theo:
-
Site
-
Library
-
Folder
-
File
-
-
Các mức quyền:
-
Read
-
Contribute
-
Edit
-
Full Control
-
⚠️ Có thể chặn chia sẻ ngoài (External Sharing) theo tenant / site.
4. Phòng chống rò rỉ dữ liệu (DLP & Information Protection)
4.1 DLP – Data Loss Prevention
Thông qua Microsoft Purview:
-
Phát hiện dữ liệu nhạy cảm:
-
CMND/CCCD
-
Số tài khoản
-
Thông tin tài chính
-
-
Hành động:
-
Cảnh báo
-
Chặn download
-
Chặn chia sẻ ngoài
-
4.2 Sensitivity Labels
-
Public / Internal / Confidential / Highly Confidential
-
Tự động:
-
Gắn nhãn
-
Mã hóa
-
Giới hạn hành vi người dùng
-
5. Audit, Logging & Giám sát
5.1 Audit Log
-
Ghi nhận:
-
Đăng nhập
-
Upload / Download
-
Share / Unshare
-
Xóa / khôi phục
-
-
Lưu trữ tối thiểu 90–365 ngày (tùy license)
5.2 Giám sát & cảnh báo
-
Kết nối:
-
Microsoft Defender
-
SIEM (Splunk, Sentinel…)
-
-
Phát hiện:
-
Truy cập bất thường
-
Download hàng loạt
-
Chia sẻ ngoài trái phép
-
6. Tuân thủ & tiêu chuẩn (Compliance)
SharePoint Online tuân thủ:
-
ISO/IEC 27001
-
ISO/IEC 27018 (bảo vệ dữ liệu cá nhân cloud)
-
SOC 1 / SOC 2 / SOC 3
-
GDPR
-
CSA STAR
👉 Phù hợp cho ngân hàng, tài chính, doanh nghiệp lớn
7. Rủi ro thường gặp & biện pháp giảm thiểu (Cho ATT)
| Rủi ro | Biện pháp |
|---|---|
| Chia sẻ ngoài trái phép | Disable External Sharing / Approval |
| Người dùng tải dữ liệu nhạy cảm | DLP + Sensitivity Label |
| Truy cập từ thiết bị cá nhân | Conditional Access |
| Không truy vết được sự cố | Audit Log + SIEM |
| Lộ dữ liệu nội bộ | Encryption + Label + MFA |
8. Phạm vi trách nhiệm (Shared Responsibility Model)
| Hạng mục | Microsoft | Doanh nghiệp |
|---|---|---|
| Hạ tầng | ✅ | ❌ |
| Mã hóa | ✅ | ❌ |
| Phân quyền | ❌ | ✅ |
| DLP / Policy | ❌ | ✅ |
| Quản lý người dùng | ❌ | ✅ |
9. Kết luận cho team ATT
✔ SharePoint Online đáp ứng đầy đủ yêu cầu ATTT cấp doanh nghiệp
✔ Phù hợp triển khai cho:
-
Tài liệu nội bộ
-
Quy trình số
-
Hệ thống portal / intranet
✔ Mức độ an toàn phụ thuộc lớn vào cấu hình của doanh nghiệp
