Checklist bảo mật website cho doanh nghiệp

Biết mình đang bảo vệ điều gì

Lập danh sách domain, subdomain, tài khoản quản trị, nhà cung cấp hosting, kho mã nguồn, cơ sở dữ liệu và dịch vụ bên thứ ba đang kết nối với website. Nhiều sự cố bắt đầu từ một tài sản cũ không còn ai quản lý nhưng vẫn truy cập được từ Internet.

Với mỗi tài sản, ghi người sở hữu, loại dữ liệu xử lý và mức độ ảnh hưởng nếu bị gián đoạn hoặc lộ thông tin. Cách làm này giúp doanh nghiệp ưu tiên đúng thay vì áp cùng một mức bảo vệ cho mọi thứ.

• ✓Xóa staging site, tài khoản thử nghiệm và DNS record không còn sử dụng.
• ✓Đảm bảo domain và hosting nằm trong tài khoản do doanh nghiệp kiểm soát.
• ✓Ghi lại nhà cung cấp và đầu mối hỗ trợ khi có sự cố.

Bảo mật tốt không bắt đầu từ một công cụ đắt tiền. Nó bắt đầu từ việc biết tài sản nào quan trọng và ai có thể chạm vào chúng.

Khóa chặt quyền quản trị

Bật xác thực đa yếu tố cho email, domain, hosting, CMS, kho mã nguồn và các nền tảng phân tích. Email đặc biệt quan trọng vì thường là đường khôi phục mật khẩu cho những hệ thống khác.

Mỗi người nên có tài khoản riêng và chỉ được cấp quyền cần thiết. Không chia sẻ một tài khoản admin chung qua chat hoặc bảng tính. Khi nhân sự hoặc nhà thầu kết thúc công việc, quyền truy cập cần được thu hồi theo checklist thay vì dựa vào trí nhớ.

• ✓MFA cho mọi tài khoản có thể thay đổi mã nguồn, DNS hoặc dữ liệu.
• ✓Không dùng lại mật khẩu và lưu trong password manager của tổ chức.
• ✓Xem lại danh sách admin theo quý.

Cập nhật và giảm bề mặt tấn công

Framework, CMS, plugin và thư viện cần có lịch cập nhật rõ ràng. Một bản vá quan trọng không nên chờ đến đợt redesign tiếp theo. Nếu website phụ thuộc vào plugin không còn được duy trì, hãy thay thế hoặc loại bỏ nó.

Mỗi thành phần bổ sung đều tạo thêm một bề mặt cần theo dõi. Vô hiệu hóa cổng quản trị công khai khi không cần, giới hạn upload file, tắt chức năng debug trên production và không để khóa bí mật trong mã nguồn hoặc frontend.

• ✓Theo dõi cảnh báo bảo mật từ framework và nhà cung cấp.
• ✓Kiểm kê dependency và plugin ít nhất hàng tháng.
• ✓Loại bỏ dịch vụ thay vì chỉ tắt giao diện của chúng.

Sao lưu, log và cảnh báo phải dùng được

Sao lưu chỉ có giá trị khi có thể khôi phục. Hãy thực hiện một lần restore thử sang môi trường riêng, đo thời gian và ghi lại người có quyền thực hiện. Ít nhất một bản sao nên tách khỏi hệ thống chính để tránh bị xóa cùng lúc.

Website cũng cần log cho đăng nhập quản trị, thay đổi quyền, deploy, lỗi máy chủ và hành vi bất thường. Cảnh báo nên dẫn đến một người chịu trách nhiệm, không phải một hộp thư chung không ai đọc.

• ✓Đặt mục tiêu thời gian khôi phục và mức dữ liệu có thể mất.
• ✓Cảnh báo khi có nhiều lần đăng nhập thất bại hoặc quyền admin thay đổi.
• ✓Giữ log đủ lâu để điều tra nhưng tránh ghi dữ liệu nhạy cảm không cần thiết.

Chuẩn bị cho kiểm thử và ứng phó sự cố

Quét tự động hữu ích cho việc tìm cấu hình phổ biến, nhưng không thay thế hoàn toàn việc kiểm thử có ngữ cảnh. Trước một đợt ra mắt lớn hoặc khi website xử lý dữ liệu quan trọng, một security assessment hoặc penetration test giúp kiểm tra cách các điểm yếu kết hợp thành rủi ro kinh doanh.

Doanh nghiệp nên có một trang hướng dẫn ngắn: ai quyết định đóng hệ thống, liên hệ nhà cung cấp nào, bảo toàn log ra sao, thông báo nội bộ thế nào và tiêu chí đưa dịch vụ hoạt động trở lại. Khi sự cố xảy ra, một quy trình đơn giản đã được tập trước có giá trị hơn một tài liệu dài chưa ai đọc.

• ✓Kiểm thử lại sau khi sửa để xác nhận lỗ hổng thực sự đã được đóng.
• ✓Diễn tập một tình huống nhỏ ít nhất mỗi năm.
• ✓Cập nhật checklist sau mỗi thay đổi lớn về hạ tầng hoặc nhà cung cấp.