Thiết lập bảo mật cho Tài khoản Tổ chức trên ArcGIS Online
Trong 2018, ArcGIS Online cập nhật một số thay đổi về thiết lập bảo mật tương ứng cho tài khoản tổ chức trên ArcGIS Online. Các thiết lập này cho phép truy cập vào tổ chức thông qua HTTPS và các lệnh truy vấn theo chuẩn SQL.
Nhằm đảm bảo an toàn cho nền tảng tài nguyên được lưu trữ trong tổ chức của bạn, Esri đã thay đổi những thiết lập này này như lời cam kết vững chắc trong việc cung cấp một nền tảng bảo mật:
Nếu tổ chức của bạn đã kích hoạt những thiết lập này, bạn không cần phải để ý đến những mục này như lựa chọn tùy chỉnh trong phần thiết lập cho tổ chức.
Nếu một hoặc cả hai tùy chọn đều bị vô hiệu hóa, bạn sẽ thấy bảng Cảnh báo với đề xuất bật các tùy chọn này cho tổ chức của mình.
Để hỗ trợ các quản trị viên trong việc bảo vệ tài khoản tổ chức ArcGIS Online, Michael Young, giám đốc an ninh thông tin của Esri, đã cung cấp câu trả lời chi tiết về những cải tiến này.
HTTPS là gì?
HTTPS, viết tắt của Hypertext Transfer Protocol về vấn đề trao đổi thông tin an toàn, thường được biết đến với cụm từ Transport Layer Security (TLS) hoặc Secure Sockets Layer (SSL), cung cấp một lớp bảo mật để truyền dữ liệu qua Internet. Khi HTTPS được sử dụng, việc trao đổi thông tin qua lại giữa trình duyệt của bạn và máy chủ cung cấp lớp bảo mật sẽ được mã hóa. Điều này giúp bảo mật thông tin trong quá trình truyền tải để bất kỳ cá nhân nào không được cấp quyền sẽ không thể theo dõi được các thông tin này.
Một trong những nhược điểm chính của việc sử dụng HTTPS là nó không nhanh như HTTP. Tuy nhiên, những tiến bộ trong công nghệ web đã thu hẹp khoảng cách này thông qua với việc giới thiệu HTTP/2 [được xác định cho cả HTTP URIs và HTTPS URIs]. Trong nhiều trường hợp, HTTPS hiện nhanh hơn HTTP. HTTPS đã trở thành tiêu chuẩn Internet. Hầu hết các trang web phổ biến sử dụng HTTPS. Chúng tôi khuyến nghị việc sử dụng HTTPS cho tất cả các giao tiếp với Internet.
Tại sao HTTPS cần thiết cho tổ chức của bạn?
HTTPS giúp bảo mật tài sản trong tổ chức của bạn. Chẳng hạn, khi bạn xem dữ liệu (như một phần của lớp, bản đồ hoặc ứng dụng) hoặc thu thập dữ liệu (như một phần của khảo sát), HTTPS giúp đảm bảo việc không ai có thể nhìn thấy dữ liệu ngoài những người bạn chia sẻ dữ liệu đó. Nhiều cơ quan chính phủ, đặc biệt là ở cấp liên bang, các yêu cầu về bảo mật dữ liệu lại càng nghiêm ngặt.
Esri đã thực hiện một số lượng công việc đáng kể để đáp ứng các yêu cầu này, tuân theo các hướng dẫn từ Chương trình Quản lý Rủi ro và Ủy quyền (FedRAMP), Đạo luật Quản lý An toàn Thông tin Liên bang năm 2002 (FISMA), Quy định Bảo vệ Dữ liệu Chung (GDPR) và các cơ quan khác sẽ tiếp tục tăng cường việc bảo mật cho ArcGIS Online và nền tảng ArcGIS nói chung. Vào ArcGIS Trust Center (trust.arcgis.com) để biết thêm thông tin về việc tuân thủ quy định bảo vệ sáng kiến của Esri.
Mã hóa thông tin nhạy cảm là lý do chính để sử dụng HTTPS. HTTPS sử dụng các giao thức mã hóa TLS hoặc SSL hỗ trợ việc trao đổi thông tin an toàn trên các mạng network. Nền tảng ArcGIS sử dụng TLS, đây là một giao thức mã hóa an toàn và bảo mật hơn SSL. ArcGIS Online vẫn hỗ trợ SSL và bạn sẽ thường thấy SSL và TLS được sử dụng thay thế cho nhau trong nhiều tài liệu.
Khi bạn gửi thông tin qua Internet bằng HTTPS trong địa chỉ URL của mình, chỉ người nhận mới có thể hiểu thông tin. Mã hóa này rất quan trọng vì thông tin bạn gửi qua Internet thường được truyền qua lại giữa nhiều máy tính trước khi đến máy chủ đích. Bất kỳ máy tính nào giữa bạn và máy chủ đều có thể thấy thông tin nhạy cảm, chẳng hạn như mật khẩu, nếu thông tin không được mã hóa bằng chứng chỉ TLS hoặc SSL hợp lệ.
Với phần mềm dựa trên đám mây như một dịch vụ (SaaS), ví dụ ArcGIS Online, sử dụng HTTPS để trao đổi liên lạc qua Internet là một trong những bước quan trọng nhất bạn có thể thực hiện để bảo mật thông tin nhạy cảm. Khi cài đặt chỉ thiết lập HTTPS cho tổ chức của bạn, nghĩa là dữ liệu của bạn được lưu trữ trong ArcGIS Online chỉ có thể được truy cập qua HTTPS. HTTP sẽ hoàn toàn bị vô hiệu hóa. Mọi liên lạc giữa bạn (hoặc bất kỳ ai khác) và tổ chức ArcGIS Online của bạn chỉ sử dụng HTTPS, cho dù đó là thông qua trình duyệt, thiết bị hoặc ứng dụng máy tính để bàn.
Ngoài ra, Google Chrome, Mozilla Firefox, Microsoft Edge/Internet Explorer 11 và Apple Safari đang ngày càng nghiêm ngặt với lưu lượng HTTP. Các bản cập nhật trình duyệt thường giới thiệu các điều khoản kiểm soát chặt chẽ hơn, cảnh báo bạn về các vấn đề bảo mật với các trang web hoặc chặn bạn truy cập các trang web mà trình duyệt cho là không an toàn.
Làm cách nào để nâng cấp tổ chức của bạn chỉ sử dụng HTTPS
Để bật cài đặt chỉ dùng HTTPS cho tổ chức của bạn, hãy chuyển đến tab Cài đặt trong Tổ chức ArcGIS Online của bạn và chọn Bảo mật. Trong phần Chính sách, bạn sẽ thấy lựa chọn Chỉ cho phép truy cập vào tổ chức bằng HTTPS dưới bảng Cảnh báo. Nếu bạn không thấy tùy chọn này, tổ chức của bạn đã được kích hoạt chỉ cho phép truy cập qua HTTPS.
Dưới đây là một vài nội dung cần xem xét trước khi thiết lập chỉ sử dụng với HTTPS cho tổ chức của bạn:
Dữ liệu được lưu trữ trên ArcGIS Online cũng như được cung cấp bởi Esri, ví dụ các lớp dữ liệu chuyên đề hoặc dữ liệu nền trên thế giới trong ArcGIS Living Atlas đều hoàn toàn sử dụng HTTPS. Đối với nhiều tổ chức, việc chuyển đổi sang HTTPS rất dễ dàng.
Bạn có thể cập nhật các lớp trong bản đồ 2D hoặc 3D (scene) của mình để sử dụng HTTPS từ trang chi tiết mục.
Kiểm tra các ứng dụng Esri Story Maps của bạn để xem xét tính tương thích HTTPS bằng tiện ích Kiểm tra Câu chuyện tại trang web Story Maps.
Nếu bạn có trang web ArcGIS Hub, bạn có thể cấu hình trang web của mình để chỉ thực thi với HTTPS. HTTPS hiện không được hỗ trợ với các tên miền tùy chỉnh, tuy nhiên trong tương lai gần sẽ hỗ trợ HTTPS cho các tên miền tùy chỉnh này. Khi HTTPS được hỗ trợ cho các tên miền tùy chỉnh, Esri sẽ tự động cập nhật tên miền tùy chỉnh của bạn để hỗ trợ HTTPS (nếu bạn đã bật Enforce HTTPS).
Khi bạn chỉ kích hoạt HTTPS, hãy kiểm tra mọi ứng dụng, bản đồ hoặc nội dung quan trọng khác được lưu trữ trong ArcGIS Online. Nếu bạn chỉ kích hoạt HTTPS và tìm thấy sự cố, bạn có thể thiết lập lại cài đặt để cho phép truy cập HTTP. Khi vấn đề được giải quyết, bạn chỉ có thể kích hoạt lại HTTPS. Tùy chọn này sẽ vẫn được áp dụng và vô hiệu hóa trong 60 ngày. Sau 60 ngày trôi qua mà không bị vô hiệu hóa, tùy chọn sẽ không còn khả dụng trong cài đặt tổ chức của bạn.
Cho phép truy vấn theo chuẩn SQL
SQL là ngôn ngữ truy vấn mang tính cấu trúc thường được các nhà phát triển sử dụng khi làm việc với dữ liệu đối tượng được lưu trữ trong ArcGIS Online. SQL được tiêu chuẩn hóa là một phiên bản cụ thể của SQL thường an toàn hơn. Tất cả các ứng dụng ArcGIS đều hỗ trợ SQL chuẩn hóa. Esri khuyến nghị tổ chức ArcGIS Online của bạn chỉ cho phép các truy vấn SQL tiêu chuẩn. Nếu tùy chọn bảo mật này được bật, bạn sẽ không còn thấy nó như một tùy chọn cấu hình. Nếu tùy chọn không được bật, bạn sẽ thấy tùy chọn bên dưới bảng Cảnh báo trong phần Bảo mật của cài đặt tổ chức của bạn.
Vào ArcGIS Trust Center để biết thêm thông tin về cam kết bảo mật của Esri.
Nguồn: ArcUser - Winter 2019