Bài 66. Quản lý tài sản (1): kiểm kê, quyền sở hữu, phân loại, enumeration

Khóa học CompTIA Security+ SY0-801 · Phần 4: Vận hành bảo mật · Bài 66 · 🎯 Objective 4.2 · ⏱️ Đọc khoảng 16 phút · 🧪 Không cần lab · 📝 5 câu bài tập cuối bài

🎯 Mục tiêu bài học

• Hiểu vì sao kiểm kê tài sản là nền móng của mọi biện pháp bảo mật: không biết mình có gì thì không bảo vệ được.
• Phân biệt các loại tài sản (phần cứng, phần mềm, dữ liệu, đám mây, danh tính) và công cụ ghi nhận như kho kiểm kê, CMDB, asset tag.
• Nắm vai trò của quyền sở hữu (ownership) và phân loại (classification) tài sản.
• Hiểu enumeration (liệt kê, khám phá tài sản), shadow IT và việc theo dõi tài sản định kỳ.

📎 Vị trí trong đề thi: Objective 4.2 nói về quản lý tài sản trong suốt vòng đời, gồm mua sắm, gán chủ, theo dõi, thanh lý. Bài này lo phần đầu (biết mình có gì, của ai, quan trọng đến đâu); Bài 67 lo phần cuối (thanh lý, xóa, hủy). Bài dùng lại phân loại dữ liệu ở Bài 50, vai trò dữ liệu ở Bài 51, MDM ở Bài 65 và thiết bị IoT ở Bài 43.

💡 Liên hệ thực tế: chiếc máy chủ không ai nhận

Sau một đợt rà soát mạng, Nam thấy trong dải IP của cửa hàng chị Lan có một máy chủ cũ vẫn đang chạy, cài phần mềm chưa vá nhiều năm, và không ai nhớ ai dựng lên. Nó không nằm trong bảng tính nào của chị Lan. Đây là tình huống minh họa, không phải vụ việc có thật.

Nam nói với chị Lan: lỗ hổng nguy hiểm nhất thường nằm ở thứ không ai biết mình đang có. Anh đề xuất bốn việc: tìm ra mọi thiết bị đang chạy, ghi vào một kho kiểm kê duy nhất, gán chủ cho từng tài sản, rồi phân loại theo mức quan trọng để biết bảo vệ cái nào trước.

🔎 Hình 66a. Bốn bước lặp lại định kỳ để bắt tài sản mới, tài sản bị bỏ quên và shadow IT.

📘 Kiến thức cốt lõi

🗂️ Tài sản là gì, và vì sao phải kiểm kê

Tài sản (asset) là mọi thứ có giá trị với tổ chức và cần được bảo vệ. Trong bảo mật, thường chia thành:

Kiểm kê (inventory) là danh sách đầy đủ, cập nhật các tài sản trên. Nó là nền móng vì hầu hết biện pháp khác đều dựa vào nó: không vá được máy chưa biết, không giám sát được dịch vụ chưa thấy, không đánh giá rủi ro được tài sản chưa liệt kê.

🏷️ Ghi nhận và theo dõi tài sản

• Asset tag (nhãn tài sản) là mã định danh duy nhất gắn lên thiết bị (nhãn dán, mã vạch, mã QR, thẻ RFID), khớp với bản ghi trong kho kiểm kê.
• Kho kiểm kê có thể là bảng tính ở tổ chức nhỏ, hoặc công cụ chuyên dụng ở tổ chức lớn.
• CMDB (Configuration Management Database) là cơ sở dữ liệu quản lý cấu hình: lưu các mục cấu hình (CI)như thiết bị, phần mềm, dịch vụ cùng mối quan hệ giữa chúng (máy chủ nào chạy ứng dụng nào, ứng dụng nào phụ thuộc CSDL nào). Mối quan hệ này giúp đánh giá tác động khi một thành phần gặp sự cố hoặc có lỗ hổng.
• Mỗi bản ghi thường có: mã tài sản, loại, nhà sản xuất và model, số serial, vị trí, chủ sở hữu, mức phân loại, phiên bản phần mềm và firmware, ngày mua và ngày hết bảo hành, trạng thái (đang dùng, kho, đã thanh lý).
• Theo dõi tài sản (asset tracking) là cập nhật liên tục: máy chuyển phòng, đổi người dùng, nâng cấp phần mềm. Kiểm kê chỉ có giá trị khi còn đúng; một danh sách lỗi thời nguy hiểm vì tạo cảm giác an toàn giả.

👤 Quyền sở hữu (ownership)

Mỗi tài sản cần một chủ sở hữu rõ ràng (một người hoặc một bộ phận), vì "của chung" thường là "của không ai". Chủ sở hữu thường:

• Chịu trách nhiệm về tài sản: quyết định mức phân loại, ai được truy cập, khi nào thanh lý.
• Là đầu mối liên hệ khi có sự cố hoặc lỗ hổng cần xử lý.
• Phê duyệt thay đổi và ngoại lệ liên quan.

Với dữ liệu, chủ sở hữu (data owner) quyết định phân loại và cách dùng, khác với người lưu giữ (custodian) là bên thực hiện biện pháp bảo vệ kỹ thuật (xem Bài 51). Tài sản không có chủ (như chiếc máy chủ của Nam) là tín hiệu rủi ro: không ai vá, không ai biết có nên giữ lại.

🏷️ Phân loại tài sản (classification)

Phân loại là gán mức độ quan trọng hoặc nhạy cảm cho tài sản, để áp mức bảo vệ tương xứng. Phổ biến nhất là phân loại dữ liệu (Bài 50), nhưng cũng áp dụng cho thiết bị và hệ thống (hệ thống nào là "tối quan trọng" với kinh doanh).

🏷️ Hình 66b. Tên mức và số mức khác nhau giữa các tổ chức, nhưng nguyên tắc giống nhau: càng nhạy cảm, càng chặt.

Mức phân loại quyết định nhiều thứ: có phải mã hóa không, ai được truy cập (nguyên tắc đặc quyền tối thiểu), sao lưu thế nào, giữ bao lâu, thanh lý thế nào (Bài 67). Thông thường chủ sở hữu là người phân loại; việc dán nhãn (labeling) cho tài liệu và hệ thống giúp mọi người biết cách xử lý đúng.

🔭 Enumeration: tìm ra tài sản

Enumeration ở đây là liệt kê, khám phá những gì đang tồn tại trên mạng và hệ thống, để đối chiếu với kho kiểm kê. Các cách làm:

⚠️ Cùng một chữ enumeration cũng xuất hiện ở bên tấn công (liệt kê tài khoản, chia sẻ, dịch vụ để chuẩn bị tấn công, ví dụ user enumeration ở Bài 32). Kỹ thuật tương tự, nhưng ở bài này là bên phòng thủ tự khám phá hạ tầng của mình có phép.

Kết quả enumeration được đối chiếu với kho kiểm kê:

• Có trong mạng nhưng không có trong kho → tài sản chưa được ghi nhận, có thể là shadow IT hoặc thiết bị lạ.
• Có trong kho nhưng không còn xuất hiện → có thể đã mất, đã thanh lý chưa cập nhật, hoặc ngừng hoạt động.

Shadow IT là phần cứng, phần mềm hoặc dịch vụ đám mây mà nhân viên tự dùng không qua IT duyệt (ví dụ dịch vụ lưu trữ cá nhân chứa dữ liệu công ty). Nó nằm ngoài tầm nhìn của bộ phận bảo mật nên không được vá, không được giám sát. Cách xử lý không chỉ là cấm mà còn là cung cấp công cụ chính thức đủ tiện và có quy trình đăng ký tài sản.

🧩 Kiểm kê phần mềm và các trường hợp đặc biệt

• Phần mềm: theo dõi phiên bản để biết bản nào dính lỗ hổng; theo dõi giấy phép để tránh vi phạm bản quyền. Với ứng dụng tự phát triển, SBOM (danh mục thành phần phần mềm, Bài 63) là một dạng kiểm kê thư viện bên trong.
• Đám mây: tài sản tạo và xóa liên tục (máy ảo, container), nên cần kiểm kê tự động qua API thay vì tay.
• Thiết bị IoT và OT: hay bị quên vì không phải máy tính thông thường (camera, máy in, cảm biến, Bài 43); cần được liệt kê và tách mạng.
• Thiết bị di động: MDM (Bài 65) là nguồn kiểm kê tự nhiên cho điện thoại và máy tính bảng.

🎯 Mẹo làm bài: "Không biết có gì thì không bảo vệ được" → kiểm kê tài sản. "Mã định danh duy nhất gắn lên thiết bị" → asset tag. "Cơ sở dữ liệu lưu mục cấu hình và quan hệ giữa chúng" → CMDB. "Một người chịu trách nhiệm về tài sản, quyết định phân loại" → chủ sở hữu (owner). "Gán mức quan trọng, nhạy cảm để chọn mức bảo vệ" → phân loại (classification). "Quét mạng, agent, API để khám phá tài sản đang có" → enumeration (khám phá). "Nhân viên tự dùng dịch vụ không qua IT" → shadow IT. "Thiết bị trong mạng nhưng không có trong kho kiểm kê" → tài sản chưa được ghi nhận.

🧠 Áp vào câu chuyện của Nam

📖 Thuật ngữ cần nhớ

📌 Tóm tắt nhanh

• Kiểm kê là nền móng: không biết mình có gì thì không vá, không giám sát, không đánh giá rủi ro được.
• Ghi nhận bằng asset tag và kho kiểm kê / CMDB; chỉ có giá trị khi luôn cập nhật.
• Mỗi tài sản cần một chủ sở hữu; chủ sở hữu quyết định phân loại và chịu trách nhiệm.
• Phân loại quyết định mã hóa, quyền truy cập, sao lưu, thời gian giữ và cách thanh lý.
• Enumeration (quét mạng, agent, API, log hạ tầng) khám phá tài sản thật để đối chiếu với kho; phát hiện tài sản chưa ghi nhận và shadow IT.

💬 Hỏi & Đáp nhanh

❓ Bảng tính Excel có đủ để kiểm kê không? Với cửa hàng nhỏ, bảng tính có thể đủ nếu được cập nhật đều và có người chịu trách nhiệm. Khi số tài sản lớn hoặc thay đổi nhanh (đám mây), nên dùng công cụ tự động khám phá, vì bảng tính nhập tay rất nhanh lỗi thời.

❓ Quét mạng để khám phá tài sản có gây gián đoạn không? Có thể, đặc biệt với thiết bị OT hoặc thiết bị cũ nhạy cảm. Nên lên lịch, thử trước, dùng chế độ quét nhẹ và luôn có sự cho phép của chủ hệ thống.

❓ Ai nên là chủ sở hữu của một máy chủ? Thường là người hoặc bộ phận sử dụng nghiệp vụ của hệ thống đó (người quyết định giá trị và rủi ro), chứ không mặc định là nhân viên IT. IT thường là bên quản trị (custodian) thực hiện biện pháp kỹ thuật.

📝 Bài tập đánh giá

Tự chọn đáp án cho từng câu, rồi đối chiếu với phần đáp án ở cuối bài.

Câu 1. Vì sao kiểm kê tài sản được coi là nền móng của bảo mật?

• A. Vì nó thay thế được firewall
• B. Vì nó giúp mã hóa dữ liệu tự động
• C. Vì không biết tổ chức có gì thì không thể vá, giám sát hay đánh giá rủi ro cho tài sản đó
• D. Vì nó chỉ cần làm một lần là đủ

Câu 2. Một mã định danh duy nhất gắn lên thiết bị, khớp với bản ghi trong kho kiểm kê, được gọi là gì?

• A. Asset tag
• B. Honeytoken
• C. Hash
• D. SSID

Câu 3. Cơ sở dữ liệu lưu các mục cấu hình cùng mối quan hệ giữa chúng (ví dụ máy chủ nào chạy ứng dụng nào) là gì?

• A. SIEM
• B. DLP
• C. NAC
• D. CMDB

Câu 4. Sau khi quét mạng, quản trị viên thấy một thiết bị đang hoạt động nhưng không có trong kho kiểm kê. Kết luận hợp lý nhất là gì?

• A. Thiết bị chắc chắn an toàn nên bỏ qua
• B. Đây là tài sản chưa được ghi nhận (có thể là shadow IT hoặc thiết bị lạ) cần điều tra và đưa vào quản lý
• C. Công cụ quét bị lỗi nên xóa kết quả
• D. Chỉ cần đổi mật khẩu Wi-Fi

Câu 5. Ai thường chịu trách nhiệm quyết định mức phân loại của một tài sản dữ liệu?

• A. Chủ sở hữu (owner) của tài sản
• B. Người dùng cuối bất kỳ
• C. Nhà cung cấp dịch vụ internet
• D. Kẻ tấn công

👉 Đáp án

Câu 1: C — Không biết có gì thì không thể vá, giám sát hay đánh giá rủi ro; kiểm kê cũng phải được cập nhật liên tục.

Câu 2: A — Asset tag là mã định danh duy nhất của tài sản, khớp với bản ghi trong kho.

Câu 3: D — CMDB lưu các mục cấu hình và quan hệ giữa chúng.

Câu 4: B — Tài sản không có trong kho là dấu hiệu shadow IT hoặc thiết bị lạ, cần điều tra và đưa vào quản lý hoặc loại bỏ.

Câu 5: A — Chủ sở hữu quyết định phân loại và chịu trách nhiệm về tài sản.

📚 Bài viết thuộc khóa học CompTIA Security+ của VNExperts

🧭 Điều hướng