Không phải firewall, không phải hệ thống SIEM. Tài liệu mới là thứ đầu tiên người kỹ sư giỏi cần nghĩ đến nếu muốn hệ thống an toàn, dễ vận hành và dễ bàn giao.
Trong thế giới quản trị mạng và an ninh, tài liệu không chỉ là thứ “viết cho có” – mà là kim chỉ nam giúp bạn:
Đảm bảo tính liên tục vận hành khi nhân sự thay đổi
Rút ngắn thời gian triển khai, troubleshoot, điều tra sự cố
Là bằng chứng tuân thủ và căn cứ đánh giá bảo mật
Là công cụ giao tiếp giữa đội IT, bảo mật, nhà cung cấp và ban giám đốc
Ví dụ thực tế:
Bạn triển khai Wi-Fi cho chuỗi 100 cửa hàng. Nếu mỗi nơi cấu hình một kiểu, không ai ghi lại IP, mật khẩu, VLAN,... bạn sẽ "đứt" khi có sự cố – dù cấu hình đúng chuẩn.
Tài liệu hệ thống: sơ đồ mạng, mô tả thiết kế, thông số kỹ thuật, hướng dẫn triển khai
Tài liệu quy trình: cài đặt/gỡ cài, backup, khôi phục, vá lỗi
Tài liệu sản phẩm: hướng dẫn sử dụng, giới thiệu tính năng
Tài liệu chính sách: bảo mật, AUP, quản lý thay đổi, BCP/DRP...
Lưu ý: Đừng chỉ mô tả. Hãy làm rõ:
Mục tiêu của từng chính sách
Ai chịu trách nhiệm cập nhật?
Cập nhật lần cuối khi nào?
Trong môi trường mạng liên tục thay đổi, sơ đồ mạng (network diagram) và sơ đồ hệ thống (process flowchart) cần được cập nhật ngay sau mỗi thay đổi. Nếu không:
Không nắm được các phụ thuộc hệ thống
Người mới vào dễ gây lỗi khi sửa hệ thống
Khi bị tấn công, đội phản ứng không xác định được luồng truy cập bất thường
Best Practice:
Mỗi sơ đồ phải có số phiên bản và người chỉnh sửa cuối
Dùng các công cụ như draw.io, Lucidchart, Netbox
Sơ đồ cần phân tách rõ:
Đường đi dữ liệu (dataflow)
Kết nối vật lý (physical)
Vùng bảo mật (security zones)
Chính sách (Policy) là “luật lệ” điều hành hệ thống CNTT
Quy trình (Procedure) là “cách thực hiện” để tuân thủ chính sách
Ví dụ:
Policy: Nhân viên không được dùng USB cá nhân
Procedure: Hệ thống chặn cổng USB, máy tự động log lại hành vi vi phạm
Tuy nhiên, nếu môi trường thay đổi mà tài liệu không được cập nhật, hậu quả sẽ rất nghiêm trọng.
Ví dụ thực tế:
Một hệ thống cũ dùng phần mềm quản lý mạng chạy Java. Chính sách mới yêu cầu xác thực 2 lớp (2FA), nhưng quy trình cài đặt không cập nhật → ứng dụng có quyền cao vẫn không có 2FA → lộ lỗ hổng nghiêm trọng.
Mỗi 3–6 tháng, review toàn bộ chính sách và quy trình
Mỗi khi có thay đổi kỹ thuật (nâng cấp OS, thay thiết bị):
Đánh giá lại chính sách liên quan
Cập nhật SOP tương ứng
Dù bạn là Sysadmin, DevOps hay Security Engineer, nếu hệ thống bạn “build” không có tài liệu, bạn chưa thực sự làm chủ nó.
Tài liệu không phải để “làm cho đủ compliance”, mà là để:
Bảo vệ công sức của chính bạn
Giảm áp lực khi troubleshoot
Tăng uy tín khi bàn giao
Viết – kiểm tra – cập nhật – chuẩn hóa – chia sẻ
Đó là kỹ năng sống còn giúp bạn khác biệt với số đông còn lại.
