Access Control Matrix là gì - Ma trận kiểm soát truy cập là gì

1. Định nghĩa:

Access Control Matrix

là mô hình bảo mật trong đó quyền truy cập vào tài nguyên (tệp, hệ thống, ứng dụng...) được biểu diễn dưới dạng ma trận, trong đó các hàng là đối tượng (users, roles) và các cột là tài nguyên, còn ô giao nhau xác định quyền (read, write, execute...) mà đối tượng có đối với tài nguyên đó.

2. Mục đích sử dụng:
Quản lý quyền truy cập một cách minh bạch, có cấu trúc.
Giảm thiểu rủi ro truy cập trái phép, mất dữ liệu hoặc xung đột vai trò.
Hỗ trợ tuân thủ các yêu cầu bảo mật, kiểm toán và tiêu chuẩn quốc tế (ISO 27001, SOC 2...).
Là cơ sở kỹ thuật để thiết kế hệ thống phân quyền và kiểm tra truy cập.

3. Các bước áp dụng thực tế:
Xác định các đối tượng truy cập (users, roles, departments…).
Liệt kê các tài nguyên cần bảo vệ (dữ liệu, ứng dụng, server, dịch vụ…).
Xác định và gán quyền truy cập phù hợp cho từng đối tượng – tài nguyên.
Biểu diễn dưới dạng ma trận (bảng 2 chiều) hoặc công cụ IAM hỗ trợ trực quan.
Kiểm tra định kỳ, rà soát và cập nhật quyền truy cập khi có thay đổi nhân sự hoặc hệ thống.

4. Lưu ý thực tiễn:
Không nên cấp quyền theo người dùng cụ thể, mà nên theo vai trò (Role-Based Access Control – RBAC).
Tránh quyền quá rộng (over-privileged) – chỉ cấp đúng mức cần thiết theo nguyên tắc “least privilege”.
Cần kiểm soát các quyền đặc biệt (admin, root) và ghi log toàn bộ truy cập quan trọng.

5. Ví dụ minh họa:
Cơ bản: Trong ma trận truy cập hệ thống CRM, nhân viên bán hàng được “read” và “create” khách hàng, nhưng không có quyền “delete” hoặc “export”.
Nâng cao: Một ngân hàng sử dụng Access Control Matrix tích hợp trong hệ thống IAM để tự động hóa cấp quyền theo vị trí, phân quyền động theo thời gian làm việc hoặc tình huống khẩn cấp.

6. Case Study Mini:
Tình huống: Một công ty bị rò rỉ thông tin lương vì nhân viên phòng khác vô tình có quyền truy cập vào hệ thống HR.
Giải pháp: Rà soát và thiết kế lại Access Control Matrix theo vai trò, phân tách rõ dữ liệu nhạy cảm và hạn chế quyền truy cập bằng xác thực đa yếu tố.
Kết quả: Đảm bảo tuân thủ bảo mật, tránh rủi ro rò rỉ và tăng khả năng kiểm soát truy cập theo yêu cầu kiểm toán.

7. Câu hỏi kiểm tra nhanh (Quick Quiz):
Access Control Matrix là công cụ dùng để?
a. Quản lý lịch họp nội bộ.
b. Theo dõi hiệu suất nhân viên.
c. Kiểm soát quyền truy cập vào tài nguyên một cách có cấu trúc.
d. Đánh giá chi phí đầu tư.
Đáp án đúng: c

8. Câu hỏi tình huống (Scenario-Based Question):
Một tổ chức phi lợi nhuận có nhiều tình nguyện viên truy cập hệ thống quản lý dự án. Làm sao xây dựng Access Control Matrix để đảm bảo dữ liệu nhạy cảm chỉ hiển thị với nhân sự có thẩm quyền?

9. Liên kết thuật ngữ liên quan:
Role-Based Access Control (RBAC): Kiểm soát truy cập theo vai trò.
Identity and Access Management (IAM): Quản lý danh tính và truy cập.
Principle of Least Privilege: Nguyên tắc quyền truy cập tối thiểu.

10. Gợi ý hỗ trợ:
Gửi email: nexus@fmit.vn
Hỏi AI FMIT - Trợ lý AI chuyên gia về quản trị và ra quyết định