Minh chứng triển khai từ những môi trường phức tạp
Arkyi là một công ty còn trẻ, được hậu thuẫn bởi các lãnh đạo có kinh nghiệm đáng kể trong việc triển khai các nền tảng công nghệ bảo mật, được quản lý chặt chẽ và có độ phức tạp vận hành cao.
Các hồ sơ dưới đây cung cấp một góc nhìn ẩn danh về kinh nghiệm đó: vấn đề, môi trường triển khai, trách nhiệm và kết quả, mà không tiết lộ thông tin khách hàng được bảo vệ, kiến trúc nhạy cảm hay tài liệu dự án bảo mật.
Yêu cầu buổi trình bày riêng tưGhi nhận nguồn kinh nghiệm
Các hồ sơ này mô tả công việc do các thành viên trong đội ngũ lãnh đạo Arkyi thực hiện trong các vai trò chuyên môn trước đây hoặc đang đồng thời đảm nhận bên ngoài Arkyi Tech. Chúng không thể hiện rằng các tổ chức liên quan là khách hàng, đối tác, nhà tài trợ hay đơn vị bảo trợ của Arkyi. Các chi tiết nhận dạng đã được loại bỏ hoặc khái quát hóa để đáp ứng các nghĩa vụ bảo mật, an ninh và hợp đồng.
Nền tảng phân tích và nghiên cứu bảo mật
- Sector
- Chính phủ, y tế và nghiên cứu tại Úc
- Delivery environment
- Dữ liệu nhạy cảm, nghiên cứu được kiểm soát và dịch vụ đám mây được quản lý chặt chẽ
Tóm tắt
Các nhà nghiên cứu được ủy quyền có quyền truy cập được quản trị và có thể kiểm toán vào các không gian làm việc phân tích bảo mật, trải rộng trên nhiều cộng đồng khu vực công và nghiên cứu.
Thách thức
Một tổ chức khu vực công tại Úc cần một môi trường phân tích bảo mật, qua đó người dùng được ủy quyền từ chính phủ, y tế, đại học và nghiên cứu có thể làm việc với dữ liệu nhạy cảm.
Nền tảng cần hỗ trợ các dự án nghiên cứu và cộng đồng người dùng khác nhau mà không làm suy yếu kiểm soát truy cập, quản trị dữ liệu hay khả năng kiểm toán. Nó cũng cần cung cấp không gian làm việc phân tích mạnh mẽ trong khi vẫn duy trì kiểm soát luồng dữ liệu vào/ra và giám sát quản trị.
Phương pháp triển khai
Các thành viên trong đội ngũ lãnh đạo Arkyi đã đóng góp vào công tác quản lý chương trình và triển khai, kiến trúc nền tảng, quản trị bảo mật và thiết kế vận hành của môi trường này.
Nền tảng bao gồm:
- Không gian làm việc nghiên cứu ảo cá nhân và dùng chung an toàn
- Phân tách truy cập và tài nguyên theo từng dự án
- Phê duyệt dữ liệu và quản trị qua nhiều giai đoạn
- Kiểm soát truy cập theo vai trò và xác thực đa yếu tố
- Danh tính được quản lý và kết nối dịch vụ riêng tư
- Kiểm soát luồng dữ liệu vào và ra
- Ghi nhật ký, giám sát và hồ sơ kiểm toán tập trung
- Quy trình quét bảo mật và quản lý lỗ hổng
- Tự động mở rộng không gian làm việc và kiểm soát truy cập ngoài giờ
- Quy trình dịch vụ dành cho quản trị viên và người dùng
Kết quả
Công việc này đã thiết lập một lộ trình được quản trị để các nhà nghiên cứu và nhà phân tích được ủy quyền truy cập các năng lực phân tích trên nền tảng đám mây bảo mật, đồng thời duy trì khả năng giám sát người dùng, dự án, phê duyệt và luồng dữ liệu.
Mô hình vận hành sau đó đã hỗ trợ:
- Phân tách chặt chẽ hơn giữa các dự án nghiên cứu
- Các quyết định truy cập và quản trị nhất quán
- Hoạt động quản trị có thể truy vết
- Việc sử dụng thông tin nhạy cảm được kiểm soát chặt chẽ hơn
- Không gian làm việc nghiên cứu có thể mở rộng theo nhu cầu
- Sự hợp tác giữa nhiều cộng đồng khu vực công và nghiên cứu
Đóng góp của lãnh đạo
Kinh nghiệm lãnh đạo tại Arkyi bao gồm việc điều phối triển khai giữa các bên liên quan về kỹ thuật, bảo mật, quản trị và kinh doanh; chuyển hóa các yêu cầu chính sách thành các kiểm soát trên nền tảng; quản lý ưu tiên triển khai; và hỗ trợ nền tảng qua giai đoạn sẵn sàng vận hành và cải tiến liên tục.
Năng lực liên quan
- Nền tảng đám mây bảo mật
- Azure
- Môi trường nghiên cứu ảo
- Quản lý danh tính và truy cập
- Quản trị dữ liệu
- DevSecOps
- Quản lý triển khai chương trình
Nền tảng tự phục vụ đám mây đa cơ quan
- Sector
- Chính phủ Úc
- Delivery environment
- Đám mây đa khách thuê, nền tảng dữ liệu, dịch vụ AI và tự động hóa hạ tầng
Tóm tắt
Việc cấp phát thủ công, không nhất quán được thay thế bằng một nền tảng tự phục vụ có thể tái lặp cho các môi trường đám mây, dữ liệu và AI của chính phủ.
Thách thức
Một tổ chức công nghệ khu vực công cần hiện đại hóa cách thức yêu cầu, cấp phát, quản trị và hỗ trợ các môi trường đám mây và dịch vụ dữ liệu trên nhiều tổ chức khách hàng.
Phương pháp hiện tại đòi hỏi sự phối hợp thủ công đáng kể, các lộ trình triển khai không nhất quán và các bàn giao phức tạp giữa các đội khách hàng, nền tảng, bảo mật và triển khai.
Nền tảng mới cần cung cấp khả năng tự phục vụ tốt hơn trong khi vẫn duy trì sự phân tách giữa các khách thuê, giám sát bảo mật, khả năng hiển thị chi phí và quản trị tập trung.
Phương pháp triển khai
Các thành viên trong đội ngũ lãnh đạo Arkyi đã đóng góp vào lộ trình sản phẩm, quản lý triển khai, thiết kế nền tảng, tiếp nhận khách hàng và mô hình bảo mật. Giải pháp kết hợp một nền tảng web hướng đến khách hàng với các quy trình triển khai đám mây tự động.
Năng lực của giải pháp bao gồm:
- Tiếp nhận khách hàng và môi trường theo hình thức tự phục vụ
- Vai trò khách thuê, quản trị viên và người dùng được xác định rõ
- Triển khai hạ tầng tự động
- Mẫu môi trường có thể tái sử dụng
- Tích hợp danh tính và truy cập theo vai trò
- Phân tách tài nguyên riêng cho từng khách hàng
- Ghi nhật ký quản trị và kiểm toán
- Báo cáo chi phí và khả năng hiển thị mức sử dụng
- Dịch vụ lưu trữ dữ liệu và nền tảng phân tích
- Kiểm soát danh tính được quản lý và quản lý khóa
- Hỗ trợ khối lượng công việc kỹ thuật dữ liệu, phân tích và AI
- Kiểm soát việc ngừng sử dụng và thu hồi tài nguyên của khách hàng
Kết quả
Nền tảng này đã tạo ra một nền tảng nhất quán và có thể tái lặp hơn để thiết lập các môi trường đám mây của chính phủ.
Nền tảng được thiết kế để:
- Giảm sự phụ thuộc vào việc cấp phát thủ công
- Cải thiện tính nhất quán giữa các môi trường khách hàng
- Rút ngắn thời gian từ khi yêu cầu được phê duyệt đến khi nền tảng sẵn sàng sử dụng
- Cho khách hàng khả năng hiển thị và kiểm soát phù hợp hơn
- Tăng cường khả năng kiểm toán đối với các hoạt động quản trị
- Hỗ trợ dịch vụ dữ liệu, phân tích và AI thông qua một mô hình triển khai chung
- Giúp việc tiếp nhận khách hàng trong tương lai dễ mở rộng hơn
Đóng góp của lãnh đạo
Kinh nghiệm lãnh đạo tại Arkyi bao gồm việc phát triển lộ trình sản phẩm, quản lý nhiều yêu cầu của khách hàng, điều phối kiến trúc và triển khai kỹ thuật, xác định các quy trình vận hành, giám sát tích hợp bảo mật và dẫn dắt nền tảng từ ý tưởng đến giai đoạn khách hàng áp dụng theo từng bước.
Năng lực liên quan
- Tự động hóa đám mây
- Kỹ thuật nền tảng
- Hạ tầng dưới dạng mã
- Nền tảng dữ liệu
- Ứng dụng AI
- Quản lý danh tính và truy cập
- Quản lý sản phẩm và chương trình
Nâng cấp bảo mật và tuân thủ theo chuẩn ISO 27001
- Sector
- Công nghệ chính phủ và dịch vụ dữ liệu
- Delivery environment
- Nhiều nền tảng đám mây, sản phẩm, nhà cung cấp và đội vận hành
Tóm tắt
Các yêu cầu bảo mật được chuyển hóa thành các kiểm soát có thể đo lường, có thể kiểm toán và được gắn vào hoạt động triển khai hằng ngày, thay vì một đợt đánh giá tuân thủ đơn lẻ.
Thách thức
Một môi trường công nghệ khu vực công cần tăng cường các thực hành quản lý an toàn thông tin và thiết lập bằng chứng rõ ràng hơn theo các yêu cầu phù hợp với ISO 27001.
Các kiểm soát bảo mật tồn tại trên nhiều nền tảng và đội vận hành khác nhau, nhưng bằng chứng, quyền sở hữu, đo lường và quy trình xem xét cần trở nên nhất quán và bền vững hơn.
Mục tiêu không chỉ đơn thuần là tạo ra các chính sách. Đó là việc gắn trách nhiệm bảo mật vào hoạt động triển khai và vận hành công nghệ hằng ngày.
Phương pháp triển khai
Các thành viên trong đội ngũ lãnh đạo Arkyi đã đóng góp vào lộ trình nâng cấp bảo mật, triển khai kiểm soát, quản lý bằng chứng và điều phối giữa các bên liên quan về triển khai, nền tảng, bảo mật và quản trị.
Chương trình đã giải quyết các lĩnh vực bao gồm:
- Chính sách an toàn thông tin và quyền sở hữu kiểm soát
- Kiểm kê tài sản và dịch vụ
- Quản trị danh tính và truy cập đặc quyền
- Nhận diện và xử lý rủi ro
- Đảm bảo nhà cung cấp và bên thứ ba
- Quy trình quản lý lỗ hổng và vá lỗi
- Thực hành phát triển phần mềm bảo mật
- Ghi nhật ký, giám sát và quản lý sự kiện bảo mật
- Trách nhiệm quản lý sự cố
- Kế hoạch duy trì hoạt động và khôi phục
- Đo lường bảo mật và báo cáo quản lý
- Thu thập bằng chứng và xem xét kiểm soát
- Kế hoạch khắc phục và cải tiến liên tục
Kết quả
Công việc này đã giúp chuyển hóa các yêu cầu bảo mật thành các trách nhiệm vận hành rõ ràng hơn, các hoạt động có thể đo lường và bằng chứng có thể tái lặp.
Công việc này đã tạo nền tảng vững chắc hơn cho:
- Chứng minh việc vận hành kiểm soát
- Nhận diện và theo dõi các lỗ hổng bảo mật
- Phân công người chịu trách nhiệm kiểm soát
- Cải thiện mức độ sẵn sàng cho kiểm toán
- Tích hợp bảo mật vào các thực hành triển khai
- Đo lường hiệu suất bảo mật theo thời gian
- Duy trì cải tiến liên tục vượt ra ngoài một lần đánh giá
Đóng góp của lãnh đạo
Kinh nghiệm lãnh đạo tại Arkyi bao gồm việc chuyển hóa các yêu cầu phù hợp với ISO 27001 thành các hoạt động triển khai thực tế, điều phối bằng chứng giữa các đội kỹ thuật và kinh doanh, phát triển các chỉ số kiểm soát có thể đo lường và tích hợp công việc khắc phục vào các lộ trình sản phẩm và nền tảng đang hoạt động.
Năng lực liên quan
- Phù hợp ISO 27001
- Quản trị bảo mật
- Essential Eight
- Quản lý rủi ro
- DevSecOps
- Sẵn sàng kiểm toán
- Triển khai tuân thủ
Bằng chứng không cần phơi bày
Một số công việc công nghệ có giá trị nhất diễn ra trong những môi trường mà việc công khai thông tin bị hạn chế một cách hợp lý.
Arkyi sẽ không công bố kiến trúc nhạy cảm, thông tin được bảo vệ, tài liệu khách hàng hay các chi tiết có thể gây tổn hại đến bảo mật hoặc tính bảo mật của một tổ chức. Nghĩa vụ đó không ngăn cản chúng tôi trao đổi về cách đội ngũ lãnh đạo của chúng tôi tiếp cận việc triển khai phức tạp.
Tùy thuộc vào các yêu cầu bảo mật hiện hành, chúng tôi có thể sắp xếp một buổi trình bày riêng tư, ẩn danh, bao gồm:
- Phạm vi và giới hạn triển khai
- Nguyên tắc kiến trúc và quản trị
- Độ phức tạp của chương trình và các bên liên quan
- Các cân nhắc về bảo mật và tuân thủ
- Phương pháp triển khai và bài học kinh nghiệm
- Cách áp dụng kinh nghiệm này vào môi trường của bạn
Đánh giá từ lãnh đạo khách hàng
Hãy mang đến cho chúng tôi bài toán khó
Nếu bạn đang lên kế hoạch cho một nền tảng bảo mật, chuyển đổi lên đám mây, môi trường dữ liệu, năng lực AI hoặc nâng cấp tuân thủ, hãy bắt đầu bằng một buổi trao đổi bảo mật.
Chúng tôi sẽ chia sẻ những gì có thể chia sẻ một cách có trách nhiệm, và nói rõ những gì cần phải giữ bí mật.