Bài 2. Phân tích rủi ro và mục tiêu backup cho từng khu vực

1. Mục đích của phân tích rủi ro

Phân tích rủi ro trong bài này không nhằm liệt kê đầy đủ mọi kịch bản lý thuyết, mà tập trung vào:

• Những rủi ro có khả năng xảy ra cao trong mô hình đang vận hành

• Những rủi ro tác động lớn đến dịch vụ và dữ liệu

• Từ đó xác định:

  • Mục tiêu backup

  • RPO (Recovery Point Objective)

  • RTO (Recovery Time Objective)
    cho từng khu vực hệ thống.

Nguyên tắc xuyên suốt:

Không có một RPO/RTO chung cho toàn hệ thống.

2. Phân vùng rủi ro trong kiến trúc hệ thống

Dựa trên kiến trúc thực tế, hệ thống được chia thành 04 vùng rủi ro chính:

1. Trung tâm dữ liệu CMC (CMC1C – CMC2D)

2. Reverse Proxy PRX

3. Hệ thống nội bộ bệnh viện (BV1 – BV2)

4. Điểm backup độc lập (Desktop Windows + WSL)

Mỗi vùng có đặc điểm rủi ro, mức độ ảnh hưởng và yêu cầu backup khác nhau.

3. Rủi ro và mục tiêu backup tại trung tâm dữ liệu CMC

3.1. Rủi ro đặc thù tại CMC

Rủi ro hạ tầng:

• Mất điện, sự cố phần cứng

• Lỗi storage tại data center

• Sự cố mạng diện rộng

Rủi ro bảo mật:

• Tấn công từ Internet

• Khai thác lỗ hổng dịch vụ public

• Mã độc, ransomware

Rủi ro vận hành:

• Lỗi cấu hình khi deploy

• Xóa nhầm dữ liệu database

• Lỗi script tự động

3.2. Phân tích theo từng máy chủ

CMC1C – máy chủ chạy code

• Dữ liệu chính:

  • Source code

  • Cấu hình web server, PHP

  • Script vận hành

• Đặc điểm:

  • Code có thể phục hồi từ VCS

  • Cấu hình và script khó tái tạo nếu mất

Mục tiêu backup:

• Ưu tiên backup cấu hình và script

• Không phụ thuộc hoàn toàn vào Git

RPO dự kiến: vài giờ
RTO dự kiến: 1–2 giờ

CMC2D – máy chủ database

• Dữ liệu chính:

  • Database nghiệp vụ người bệnh

• Đặc điểm:

  • Dữ liệu thay đổi liên tục

  • Mất dữ liệu ảnh hưởng trực tiếp dịch vụ

Mục tiêu backup:

• Backup database theo lịch chặt chẽ

• Có nhiều điểm khôi phục

RPO dự kiến: ≤ 1 giờ
RTO dự kiến: 1–2 giờ

4. Rủi ro và mục tiêu backup tại Reverse Proxy (PRX)

4.1. Rủi ro chính

• Lỗi cấu hình routing

• Mất SSL/TLS certificate

• Lỗi firewall / policy truy cập

• PRX bị compromise do mở cổng Internet

4.2. Tác động khi xảy ra sự cố

• Toàn bộ hệ thống nội bộ:

  • Không truy cập được

  • Không failover được

• Dịch vụ vẫn tồn tại nhưng bị cô lập

4.3. Mục tiêu backup

• Backup đầy đủ:

  • Cấu hình reverse proxy

  • SSL/TLS

  • Firewall rules

• Có thể dựng lại PRX nhanh chóng

RPO dự kiến: 1 ngày
RTO dự kiến: ≤ 1 giờ

5. Rủi ro và mục tiêu backup tại hệ thống nội bộ bệnh viện (BV1 – BV2)

5.1. Rủi ro chung

• Lỗi phần cứng (ổ HDD 12TB)

• Lỗi hệ điều hành

• Lỗi cập nhật ứng dụng

• Lỗi thao tác của nhân viên CNTT

5.2. Rủi ro riêng của BV1 (Primary)

• Là nơi phát sinh dữ liệu

• Lưu trữ:

  • Code

  • Database nội bộ (nếu có)

  • Files dung lượng lớn

Mục tiêu backup:

• Backup thường xuyên dữ liệu files

• Có khả năng restore từng phần

• Không phụ thuộc hoàn toàn vào BV2

RPO dự kiến: vài giờ
RTO dự kiến: 1–4 giờ

5.3. Rủi ro riêng của BV2 (Standby)

• Đồng bộ lỗi từ BV1

• Nhận dữ liệu đã bị mã hóa (ransomware)

• Không phát hiện lỗi kịp thời

Mục tiêu backup:

• Không xem BV2 là bản backup duy nhất

• Backup độc lập ngoài cặp BV1–BV2

• Có điểm khôi phục “sạch”

RPO dự kiến: phụ thuộc nguồn backup
RTO dự kiến: phục vụ failover nhanh

6. Rủi ro do lỗi người vận hành

6.1. Các tình huống thường gặp

• Xóa nhầm thư mục files

• Import nhầm database

• Ghi đè cấu hình production

• Chạy nhầm script backup/cleanup

6.2. Mục tiêu backup

• Có version backup theo thời gian

• Có khả năng restore từng file / từng DB

• Không chỉ có “bản mới nhất”

Yêu cầu bắt buộc:

• Backup phải read-only

• Không cho ghi ngược từ hệ thống production

7. Rủi ro ransomware và mục tiêu bảo vệ

7.1. Kịch bản rủi ro

• CMC hoặc BV bị mã hóa

• Backup on-site bị mã hóa theo

• Replication lan truyền mã độc

7.2. Mục tiêu backup

• Có bản backup:

  • Ngoài hệ thống

  • Ngoài domain quản trị

• Backup không mount trực tiếp

• Có khả năng kiểm tra trước khi restore

Desktop Windows + WSL đóng vai trò:

• Điểm khôi phục cuối cùng

• Bản “1” trong 3-2-1

8. Tổng hợp mục tiêu RPO / RTO theo khu vực

Phân tích rủi ro cho thấy:

• Không thể dùng một chiến lược backup duy nhất cho toàn hệ thống

• Backup phải:

  • Phân lớp

  • Phân vùng

  • Gắn với RPO / RTO thực tế

Bài tiếp theo sẽ dựa trực tiếp vào kết quả này để:

Thiết kế chiến lược backup tổng thể cho toàn hệ thống (3-2-1, retention, phân vai backup).