4 Yêu cầu cốt lõi của giao dịch điện tử an toàn
- Authentication (Xác thực): Đảm bảo các bên tham gia (người mua, người bán, ngân hàng, gateway thanh toán) là chính họ – dùng SSL/TLS Cert (EV/OV), 3D Secure, OTP, FIDO2/WebAuthn.
- Confidentiality (Bảo mật): Mã hóa dữ liệu nhạy cảm (thẻ tín dụng, CVV, mật khẩu, PII) khi truyền (TLS 1.2/1.3) và khi lưu (AES-256, tokenization). Không lưu CVV, PIN, track data.
- Integrity (Toàn vẹn): Đảm bảo đơn hàng, số tiền, thông tin không bị thay đổi trong quá trình truyền/lưu – dùng Hash (SHA-256), Digital Signature, MAC (HMAC).
- Non-repudiation (Không thể chối cãi): Chữ ký số, log audit trail không thể sửa đổi (WORM storage, blockchain/immutable ledger) – chứng minh giao dịch đã xảy ra.
Các "Block" (Khối/Thành phần) bảo mật bắt buộc (PCI-DSS / Best Practice)
| Block (Domain) | Yêu cầu bắt buộc | Tiêu chuẩn tham chiếu |
|---|---|---|
| 1. Network Security (Mạng) | Firewall perimeter + internal segmentation (DMZ, Cardholder Data Environment - CDE). Block traffic không cần thiết. IDS/IPS. DDoS protection. VPN/MFA cho remote access. | PCI-DSS Req 1, 2, 10, 12 |
| 2. Application Security (Ứng dụng) | SDLC bảo mật (DevSecOps). WAF (Web Application Firewall). SAST/DAST/SCA/IAST định kỳ. Input validation, output encoding. CSP, HSTS, Secure Headers. Dependency scanning. | PCI-DSS Req 6, OWASP Top 10, ASVS |
| 3. Data Protection (Dữ liệu) | Tokenization PAN (Primary Account Number). Encryption at rest (AES-256, managed HSM/KMS). Key rotation. Data retention & secure disposal. PII minimization. | PCI-DSS Req 3, GDPR, CCPA |
| 4. Access Control (Kiểm soát truy cập) | Least privilege. MFA cho mọi admin, remote access, privileged account. RBAC/ABAC. PAM (Privileged Access Management). Session recording. Remove orphan account. | PCI-DSS Req 7, 8, NIST 800-53 AC |
| 5. Vulnerability Management (Quản trị lỗ hổng) | Scan nội bộ/ngoài định kỳ. ASV scan quý (PCI). Patch critical 72h. Pen test năm (và sau thay đổi lớn). Bug bounty / VDP. | PCI-DSS Req 11, 6.5.6 |
| 6. Monitoring & Incident Response (Giám sát & Đáp ứng) | SIEM + SOAR. Log retention ≥ 1 năm (PCI: 1 năm online, 3 năm offline). Alert real-time. IR plan test hàng năm. Threat intel feed. | PCI-DSS Req 10, 12.10 |
| 7. Physical Security (Vật lý) | Server room/DC: Access control, camera, environmental, visitor log. Media disposal. Hardware tamper-evident (HSM, POS device). | PCI-DSS Req 9 |
| 8. Policies & Training (Chính sách & Đào tạo) | Security policy phê duyệt C-level. Security awareness training hàng năm + phishing simulation. Vendor risk management. Incident response plan. | PCI-DSS Req 12 |
Các giải pháp công nghệ then chốt
- WAF (Web Application Firewall): Cloudflare, AWS WAF, Azure WAF, Imperva, F5, ModSecurity – chặn OWASP Top 10, bot, DDoS layer 7.
- Tokenization / Payment Gateway: Stripe, Braintree, Adyen, VNPAY, MoMo, OnePay – **không bao giờ tự xử lý/số thẻ thô**. SAQ A hoặc A-EP.
- SSL/TLS Cert: EV/OV Cert (DigiCert, GlobalSign, Sectigo) – hiển thị tên tổ chức trên thanh địa chỉ, tăng niềm tin.
- Bot Management: reCAPTCHA v3, hCaptcha, Cloudflare Bot Fight Mode, Kasada, PerimeterX – chống credential stuffing, scalping, scraping.
- CSPM / DSPM: Wiz, Orca, Lacework, Varonis – bảo mật cloud/SaaS data.
Checklist nhanh cho chủ Shop/Dev
- [ ] HTTPS everywhere (HSTS preload). TLS 1.2+ only.
- [ ] Không lưu CVV, PIN, magnetic stripe data.
- [ ] Dùng Payment Gateway uy tín (PCI DSS Level 1).
- [ ] WAF bật rule OWASP Core Rule Set.
- [ ] MFA cho admin panel, SSH, VPN, GitHub, Cloud Console.
- [ ] Backup DB hàng ngày, test restore hàng tháng, lưu offsite/immutable.
- [ ] Log mọi request/response/admin action → SIEM/CloudWatch/Splunk.
- [ ] Content Security Policy (CSP) strict: `script-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none';`.
- [ ] Dependency scanning (Dependabot, Snyk, Trivy) cho npm, pip, maven, composer, Go modules.
- [ ] Đăng ký PCI DSS SAQ (Self-Assessment Questionnaire) phù hợp: A, A-EP, B-IP, C, D-Merchant.
Kết luận
Không có một "block" đơn lẻ đủ. Bảo mật E-commerce là **hệ thống các khối chồng chéo (Layered Defense)** bao phủ Network, App, Data, Access, Vuln Mgmt, Monitoring, Physical, Policy. Tuân thủ **PCI-DSS** là baseline bắt buộc nếu xử lý thẻ thanh toán. Đầu tư bảo mật = Đầu tư uy tín & sự sống còn của doanh nghiệp.