Quy tắc cài ứng dụng trên thiết bị chung

Vì vậy, các thành viên không nên thống nhất theo kiểu “ai cần thì cứ cài”. Quy tắc phù hợp hơn là chỉ cài ứng dụng có nhu cầu rõ ràng, từ nguồn được chấp nhận, với quyền tối thiểu cần thiết và theo một cơ chế phê duyệt đã thống nhất trước. Cách tiếp cận này phù hợp với nguyên tắc least privilege và application allowlisting được NIST, CISA và CIS sử dụng trong hướng dẫn kiểm soát phần mềm.

Trước hết phải thống nhất ai có quyền cài ứng dụng

Quyền sử dụng thiết bị và quyền thay đổi thiết bị không nên mặc nhiên giống nhau. Một thành viên có thể được sử dụng đầy đủ các ứng dụng phục vụ công việc hoặc sinh hoạt nhưng không nhất thiết phải có quyền quản trị để cài thêm phần mềm.

Cách đơn giản nhất là xác định ba mức trách nhiệm:

·         Người dùng thông thường được sử dụng các ứng dụng đã có nhưng không tự ý cấp quyền quản trị để cài phần mềm

·         Người đề xuất ứng dụng phải nêu rõ ứng dụng cần cho mục đích gì và những ai sẽ sử dụng

·         Một người hoặc một nhóm nhỏ giữ quyền quản trị để phê duyệt và thực hiện việc cài đặt

Nguyên tắc này làm giảm khả năng một thao tác thuận tiện của một người trở thành thay đổi mặc định đối với mọi người. CISA khuyến nghị áp dụng least privilege và hạn chế quyền của người dùng trong việc cài cũng như chạy ứng dụng; NIST cũng xem kiểm soát truy cập theo đặc quyền tối thiểu là một biện pháp quan trọng để giảm phạm vi tác động của quyền cao.

Điều quan trọng là không biến người giữ mật khẩu quản trị thành người có toàn quyền tùy ý. Quyền quản trị chỉ là cơ chế thực thi quy tắc mà cả nhóm đã thống nhất.

Chỉ cài ứng dụng khi có mục đích và nguồn cài đặt được chấp nhận

Một ứng dụng nên vượt qua hai câu hỏi trước khi được cài: có thực sự cần không và bản cài đến từ đâu.

Nhu cầu rõ ràng giúp tránh tình trạng thiết bị tích lũy hàng loạt ứng dụng dùng thử, phần mềm trùng chức năng hoặc công cụ chỉ một người sử dụng một lần. Với nguồn cài đặt, nhóm nên ưu tiên cửa hàng ứng dụng chính thức, trang của nhà phát triển hoặc nguồn phân phối đã được các thành viên chấp nhận. Không nên bỏ qua cảnh báo bảo mật hay hạ thấp cơ chế bảo vệ của hệ điều hành chỉ để cài một ứng dụng chưa xác minh.

Có thể hình thành một “danh sách được phép” đơn giản thay vì đánh giá lại từ đầu mỗi lần. NIST định nghĩa application allowlisting là việc xác định những ứng dụng hoặc thành phần ứng dụng được phép hiện diện hoặc hoạt động trên thiết bị; công nghệ allowlisting được dùng để kiểm soát ứng dụng nào được phép thực thi.

CISA cũng khuyến nghị software allowlisting để người dùng chỉ có thể cài phần mềm thuộc danh sách được phê duyệt. Với thiết bị gia đình hoặc nhóm nhỏ, không nhất thiết phải triển khai công cụ quản trị phức tạp; giá trị cốt lõi nằm ở nguyên tắc: phần mềm phải được chấp thuận trước khi trở thành một phần của môi trường dùng chung.

Quyền ứng dụng phải được đánh giá riêng, không chỉ nhìn vào việc cài đặt

Một ứng dụng hợp pháp vẫn có thể tạo rủi ro nếu được cấp nhiều quyền hơn nhu cầu thực tế. Vì vậy, quyết định “được cài” không đồng nghĩa với “được cấp mọi quyền ứng dụng yêu cầu”.

Trước khi chấp thuận, các thành viên nên xem ứng dụng yêu cầu truy cập những gì. Những quyền cần chú ý đặc biệt là camera, micro, vị trí, ảnh và tệp, danh bạ, thông báo, khả năng chạy nền hoặc những quyền có thể ảnh hưởng đến dữ liệu của thành viên khác.

Tiêu chí nên là quyền nào cần cho chức năng đang sử dụng thì mới cấp quyền đó. Ví dụ, một ứng dụng chỉ cần chỉnh sửa tài liệu không mặc nhiên cần danh bạ hoặc vị trí. Nếu một chức năng tùy chọn đòi hỏi quyền nhạy cảm mà cả nhóm không cần, có thể không bật chức năng đó.

Đây chính là cách đưa nguyên tắc least privilege xuống cấp ứng dụng: không chỉ giới hạn người nào được quyền thay đổi thiết bị mà còn giới hạn phạm vi tài nguyên mà phần mềm được phép tiếp cận. NIST nhấn mạnh việc sử dụng kiểm soát truy cập chi tiết để thực thi đặc quyền tối thiểu đối với dữ liệu và tài nguyên.

Một hiểu nhầm cần tránh là cho rằng ứng dụng có mặt trên cửa hàng chính thức thì mọi quyền nó yêu cầu đều có thể chấp nhận. Nguồn phân phối và phạm vi quyền là hai tiêu chí khác nhau và nên được kiểm tra độc lập.

Quy trình phê duyệt nên đủ rõ nhưng không biến việc cài ứng dụng thành thủ tục nặng nề

Thiết bị dùng chung thường không cần quy trình phức tạp như hệ thống doanh nghiệp. Tuy nhiên, nhóm vẫn cần một điểm kiểm soát thống nhất để tránh việc mỗi người áp dụng một tiêu chuẩn khác nhau.

Một quy trình thực tế có thể gồm:

1.    Xác định nhu cầu và người cần sử dụng

2.    Kiểm tra thiết bị đã có ứng dụng đáp ứng cùng chức năng hay chưa

3.    Xác minh nguồn phát hành

4.    Xem những quyền ứng dụng yêu cầu

5.    Xác định dữ liệu hoặc tài khoản nào ứng dụng có thể tiếp cận

6.    Người có quyền quản trị thực hiện cài đặt sau khi các điều kiện được chấp nhận

7.    Ghi nhận ứng dụng cần giữ lại để những lần sau không phải tranh luận lại từ đầu

Cơ chế này đặc biệt hữu ích khi một ứng dụng yêu cầu quyền quản trị, cài thành phần chạy nền hoặc truy cập dữ liệu chung. Ngược lại, đối với ứng dụng đã nằm trong danh sách được phép và không phát sinh quyền mới, nhóm có thể áp dụng thủ tục đơn giản hơn.

Mục tiêu không phải buộc tất cả quyết định phải được biểu quyết. Mục tiêu là làm cho tiêu chuẩn phê duyệt có thể dự đoán được: cùng một mức rủi ro thì được xử lý theo cùng một nguyên tắc, bất kể ai là người đề xuất.

Phải có quy tắc cho cập nhật, ứng dụng không còn dùng và các trường hợp ngoại lệ

Kiểm soát chỉ ở thời điểm cài đặt là chưa đủ. Phần mềm sau khi được cài có thể thay đổi qua các phiên bản mới, phát sinh quyền mới hoặc đơn giản là không còn cần thiết.

Nhóm nên thống nhất rằng ứng dụng không còn mục đích sử dụng sẽ được gỡ bỏ; ứng dụng còn sử dụng phải được cập nhật theo cơ chế đáng tin cậy; và khi bản cập nhật yêu cầu quyền mới đáng kể thì quyền đó cần được xem xét lại thay vì mặc nhiên chấp thuận.

Việc rà soát định kỳ cũng giúp phát hiện phần mềm mà không ai còn nhớ lý do cài đặt. Ở cấp độ kiểm soát tổ chức, CIS Controls v8.1 Safeguard 2.5 yêu cầu sử dụng biện pháp kỹ thuật để chỉ phần mềm được ủy quyền có thể chạy hoặc được truy cập và khuyến nghị đánh giá lại danh sách này mỗi sáu tháng hoặc thường xuyên hơn. Thiết bị dùng chung quy mô nhỏ có thể điều chỉnh tần suất theo mức sử dụng, nhưng nguyên tắc vẫn hữu ích: sự chấp thuận không nên được coi là vĩnh viễn.

Ngoại lệ cũng cần có giới hạn. Nếu phải cài tạm một ứng dụng chưa nằm trong danh sách thông thường, nhóm nên xác định người chịu trách nhiệm, mục đích, quyền được cấp và thời điểm gỡ bỏ. Ngoại lệ không nên trở thành cách vòng qua quy tắc.

Một bộ quy tắc dùng chung nên kiểm soát cả quyền, phần mềm và trách nhiệm

Khi ghép các nguyên tắc trên lại, một thỏa thuận hiệu quả không cần dài nhưng phải trả lời được những vấn đề cốt lõi sau:

·         Ai giữ quyền quản trị và ai được phép yêu cầu cài ứng dụng

·         Ứng dụng phải đáp ứng nhu cầu nào mới được cài

·         Những nguồn cài đặt nào được chấp nhận

·         Những quyền nhạy cảm nào phải được xem xét trước khi cấp

·         Khi nào cần sự đồng thuận của các thành viên bị ảnh hưởng

·         Ai chịu trách nhiệm cập nhật hoặc gỡ ứng dụng

·         Trường hợp ngoại lệ được xử lý và kết thúc thế nào

Cách này tạo ra ba lớp kiểm soát. Kiểm soát con người giới hạn ai được thay đổi thiết bị. Kiểm soát phần mềm giới hạn ứng dụng nào được chấp nhận. Kiểm soát quyền truy cập giới hạn ứng dụng được làm gì sau khi cài.

Ba lớp này bổ sung cho nhau. Chỉ giữ mật khẩu quản trị nhưng không có tiêu chí phê duyệt sẽ khiến quyết định phụ thuộc vào một người. Chỉ có danh sách ứng dụng nhưng cấp mọi quyền được yêu cầu vẫn để lại rủi ro. Và chỉ thảo luận về quyền mà ai cũng có thể tự cài phần mềm thì quy tắc khó được thực thi nhất quán.

NIST cho biết application allowlisting có thể ngăn việc thực thi phần mềm độc hại, phần mềm không được cấp phép và các phần mềm không được ủy quyền; CISA cũng sử dụng allowlisting cùng hạn chế đặc quyền cài đặt như các biện pháp giảm rủi ro trên thiết bị đầu cuối.

Các thành viên nên thống nhất rằng việc cài ứng dụng trên thiết bị dùng chung là một thay đổi đối với tài nguyên chung, không phải quyết định hoàn toàn cá nhân. Quy tắc hợp lý là giao quyền cài đặt cho số người cần thiết, chỉ chấp nhận ứng dụng có mục đích và nguồn rõ ràng, cấp quyền theo mức tối thiểu cần dùng, đồng thời có cơ chế cập nhật, rà soát và gỡ bỏ.

Như vậy, nhóm không cần cấm mọi ứng dụng mới. Điều cần kiểm soát là quá trình từ đề xuất → kiểm tra → phê duyệt → cấp quyền → duy trì hoặc gỡ bỏ, để sự tiện lợi của một thành viên không tự động chuyển thành rủi ro cho những người còn lại.