Khu vực công sử dụng đám mây tư nhân

1. Tổng quan

A. Định nghĩa

Khu vực công sử dụng đám mây tư nhân là phương thức mua sắm và vận hành trong đó chính phủ và các cơ quan công, thay vì tự xây dựng và vận hành phòng máy (on-premise), thuê dịch vụ đám mây tư nhân (công cộng hoặc chuyên dụng) đã được kiểm chứng do các nhà cung cấp thương mại cung cấp để xây dựng và vận hành hệ thống thông tin. Nó tận dụng các lợi ích vốn có của đám mây là tính linh hoạt và hiệu quả chi phí, nhưng khác biệt quyết định với việc doanh nghiệp tư nhân áp dụng đám mây ở chỗ, do tính đặc thù của khu vực công xử lý thông tin nhạy cảm của người dân và dịch vụ quốc gia, bắt buộc phải đồng thời đáp ứng yêu cầu về bảo mật và chủ quyền dữ liệu.

Lý do việc khu vực công sử dụng đám mây tư nhân trở nên đặc biệt nằm ở ràng buộc kép “phải đồng thời thỏa mãn hiệu quả với bảo mật và chủ quyền”. Khi doanh nghiệp tư nhân áp dụng đám mây, tiêu chí phán đoán thường là hiệu dụng kinh tế và kỹ thuật như tổng chi phí sở hữu (TCO), tốc độ ra thị trường và khả năng mở rộng. Nhưng khu vực công, ngoài những điều đó, còn phải cân nhắc cả việc bảo vệ thông tin cá nhân của người dân, ngăn chặn dữ liệu cốt lõi quốc gia bị chuyển ra nước ngoài, và tác động xã hội khi dịch vụ bị gián đoạn. Đám mây tư nhân mang lại những lợi ích rõ ràng như nhanh chóng có được tài nguyên, mở rộng co giãn, chuyển chi phí vốn (CAPEX) thành chi phí vận hành (OPEX), nhưng phần lớn dữ liệu công chứa thông tin nhạy cảm như số đăng ký cư trú, sức khỏe, thuế và thông tin liên quan đến an ninh quốc gia, nên không thể dùng bất kỳ đám mây nào.

Vì vậy khu vực công của Hàn Quốc phân cấp các đám mây có thể sử dụng theo mức độ quan trọng của dữ liệu (độ nhạy cảm, mức độ tác động), ưu tiên sử dụng các dịch vụ đã đạt CSAP (Chứng nhận bảo mật dịch vụ điện toán đám mây), và tuân thủ các yêu cầu kiểm soát như tách mạng logic, lưu trữ dữ liệu trong nước, mã hóa. Tức là mệnh đề cốt lõi của chủ đề này là sự cân bằng “tận dụng tính đổi mới và lợi thế kinh tế theo quy mô của tư nhân nhưng đặt dưới khung kiểm soát bảo mật của khu vực công”, và việc đặt điểm cân bằng này ở đâu trở thành tiêu chí phán đoán xuyên suốt mọi giai đoạn từ chính sách, thiết kế đến giám sát.

B. Bối cảnh ra đời và sự cần thiết

Bối cảnh khiến việc khu vực công sử dụng đám mây tư nhân được đẩy mạnh là sự chồng lấn của ba xu hướng. Thứ nhất là chính sách Chính phủ nền tảng số (DPG) và chuyển đổi cloud native. Chính phủ muốn tái cấu trúc các hệ thống thông tin bị chia cắt theo từng bộ ngành, cơ quan thành cấu trúc mở và liên kết dựa trên đám mây, và để làm được điều đó cần hạ tầng đám mây trưởng thành làm nơi chứa các công nghệ cloud native như microservice, container, serverless. Chỉ với hạ tầng tự xây dựng (IaaS) thì khó theo kịp các dịch vụ được quản lý mới nhất này (PaaS, SaaS).

Thứ hai là sự kém hiệu quả của việc tự xây dựng. Khi mỗi cơ quan xây phòng máy, mua máy chủ và vận hành, gánh nặng đầu tư ban đầu và bảo trì lớn, tỷ lệ sử dụng tài nguyên thấp, và khó ứng phó co giãn với nhu cầu tăng đột biến (lưu lượng bùng nổ khi đăng ký trợ cấp thiên tai, tiếp nhận hồ sơ tuyển sinh đại học v.v.). Thực tế, các trường hợp dịch vụ công bị tê liệt ngay đầu khi khai trương do lượng truy cập lớn đổ dồn lặp đi lặp lại, làm nổi bật nhu cầu về đám mây có khả năng mở rộng co giãn.

Thứ ba là sự trưởng thành của hệ thống kiểm chứng. Trước đây, vấn đề niềm tin “liệu đám mây có đáp ứng được mức bảo mật mà khu vực công yêu cầu hay không” là trở ngại, nhưng khi các nền tảng thể chế như chế độ chứng nhận CSAP, 「Luật Điện toán đám mây」 và 「Kế hoạch chuyển đổi và hợp nhất hệ thống thông tin của cơ quan công lên đám mây」 được hoàn thiện, căn cứ để sử dụng đám mây tư nhân đã được kiểm chứng đã được xác lập. Ba xu hướng này đan xen khiến định hướng chính sách dịch chuyển từ “ưu tiên tự xây dựng” sang “ưu tiên xem xét đám mây tư nhân (Cloud First)”.

2. Cấu trúc tổng thể và các loại hình sử dụng

Việc khu vực công sử dụng đám mây tư nhân không đơn giản là vấn đề thuê máy chủ, mà là vấn đề thiết kế bằng cách liên kết mức độ quan trọng của dữ liệu → đám mây có thể sử dụng → mức kiểm soát bảo mật thành một chuỗi. Sơ đồ khái niệm dưới đây thể hiện cấu trúc tổng thể đó, và sơ đồ tiếp theo thể hiện luồng chi tiết của quy trình sử dụng thực tế.

flowchart TB
  subgraph DATA["Phân cấp mức độ quan trọng của dữ liệu"]
    H["Cấp cao (nhạy cảm·an ninh)"]
    M["Cấp trung (nghiệp vụ nội bộ)"]
    L["Cấp thấp (công khai cho người dân)"]
  end
  subgraph CLOUD["Đám mây có thể sử dụng"]
    P["Đám mây chuyên dụng công/on-premise"]
    G["Vùng tư nhân dành riêng cho cơ quan công"]
    Pub["Đám mây công cộng tư nhân"]
  end
  subgraph CTRL["Kiểm soát bảo mật (CSAP)"]
    S1["Chứng nhận cấp cao"]
    S2["Chứng nhận cấp trung"]
    S3["Chứng nhận cấp thấp"]
  end
  H --> P --> S1
  M --> G --> S2
  L --> Pub --> S3
  style CTRL fill:#e8f0fe,stroke:#2f6fed,stroke-width:2px

Diễn giải ý nghĩa của cấu trúc này thành văn xuôi như sau. Trước hết, khu vực công phân cấp dữ liệu theo mức độ quan trọng mà hệ thống mục tiêu xử lý. Dữ liệu cấp “cao” có tác động lớn khi bị rò rỉ hoặc hư hại như an ninh quốc gia hay thông tin nhạy cảm của người dân được đặt trong môi trường có kiểm soát mạnh nhất (đám mây chuyên dụng công hoặc on-premise), cấp “trung” chủ yếu là nghiệp vụ hành chính nội bộ được đặt trong vùng chuyên dụng chỉ tiếp nhận cách ly các cơ quan công, và cấp “thấp” chủ yếu là thông tin đã công khai có thể đặt trên đám mây công cộng tư nhân thông thường. Điểm cốt lõi là không áp dụng cùng một mức kiểm soát cao nhất cho mọi dữ liệu. Làm như vậy thì an toàn nhưng mất cả chi phí lẫn tính linh hoạt. Ngược lại, nếu hạ kiểm soát một cách đồng loạt thì thông tin nhạy cảm bị phơi nhiễm rủi ro. Vì vậy “kiểm soát phân cấp tỷ lệ với mức độ quan trọng” trở thành giải pháp thực tế duy nhất đồng thời giữ được hiệu quả và an toàn.

Cơ chế bảo đảm thực chất của kiểm soát khi đó là CSAP (Chứng nhận bảo mật đám mây). CSAP là chế độ trong đó bên thứ ba đánh giá và chứng nhận xem dịch vụ đám mây cung cấp cho khu vực công có đáp ứng một tiêu chuẩn bảo mật nhất định (kiểm soát quản lý, vật lý, kỹ thuật) hay không, trải qua thủ tục đăng ký → đánh giá → chứng nhận theo từng loại dịch vụ (IaaS, PaaS, SaaS). Vì hệ thống cấp chứng nhận tương ứng với cấp mức độ quan trọng của dữ liệu, cơ quan có thể bảo đảm an toàn bằng quy tắc “với dữ liệu này chỉ dùng dịch vụ đạt chứng nhận từ cấp này trở lên”. Sử dụng dịch vụ đã được chứng nhận giúp giảm gánh nặng cơ quan phải tự thực hiện rà soát bảo mật riêng từ đầu mỗi lần, và cho phép so sánh khách quan mức bảo mật giữa các nhà cung cấp.

A. Góc nhìn đánh giá theo loại dịch vụ và chia sẻ trách nhiệm

Đám mây tư nhân được phân tầng thành IaaS, PaaS, SaaS, và tầng càng cao thì phạm vi nhà cung cấp (CSP) chịu trách nhiệm càng rộng, phạm vi cơ quan sử dụng trực tiếp kiểm soát càng hẹp. Nếu không hiểu chính xác Mô hình chia sẻ trách nhiệm (Shared Responsibility Model) này, sẽ phát sinh khoảng trống bảo mật do ảo tưởng “nhà cung cấp sẽ tự lo hết”.

Loại dịch vụ	Góc nhìn đánh giá chính	Trách nhiệm cơ quan sử dụng	Trách nhiệm CSP
IaaS	Bảo mật hạ tầng, cách ly·tách mạng	OS·Middleware·Ứng dụng·Dữ liệu	Thiết bị vật lý·Hypervisor·Mạng
PaaS	Bảo mật nền tảng, kiểm soát môi trường phát triển	Ứng dụng·Dữ liệu·Tài khoản	OS·Runtime·Nền tảng
SaaS	Bảo mật ứng dụng, bảo vệ dữ liệu·kiểm soát truy cập	Dữ liệu·Tài khoản·Cấu hình	Toàn bộ ứng dụng·Hạ tầng

Trong IaaS, cơ quan trực tiếp chịu trách nhiệm từ hệ điều hành trở lên (vá lỗi, tài khoản, quy tắc tường lửa, mã hóa dữ liệu), nên mức tự do kiểm soát cao nhưng gánh nặng quản lý lớn. Càng tiến tới SaaS thì nhà cung cấp chịu trách nhiệm phần lớn, nhưng không vì thế mà trách nhiệm của cơ quan biến mất. Trách nhiệm về quản lý tài khoản, quyền và cấu hình, và trên hết là về chính dữ liệu, trong bất kỳ loại hình nào cũng vẫn thuộc về cơ quan sử dụng. Việc phần lớn sự cố đám mây thực tế không bắt nguồn từ khiếm khuyết hạ tầng của nhà cung cấp mà từ lỗi cấu hình quyền truy cập của người dùng (ví dụ sơ suất đặt bucket lưu trữ ở chế độ công khai) cho thấy rõ tầm quan trọng của ranh giới trách nhiệm này.

3. Quy trình sử dụng và thiết kế cơ bản

Quá trình thực tế áp dụng đám mây tư nhân diễn ra theo vòng đời “ước tính nhu cầu·mức độ quan trọng → rà soát bảo mật → thiết kế cơ bản → xây dựng·triển khai → vận hành·giám sát”, trong đó mỗi giai đoạn nhận sản phẩm đầu ra của giai đoạn trước làm đầu vào và quy định giai đoạn tiếp theo.

flowchart LR
  A["Ước tính nhu cầu·Mức độ quan trọng"] --> B["Rà soát bảo mật (CSAP)"]
  B --> C["Thiết kế cơ bản (kiến trúc·tách mạng·DR)"]
  C --> D["Xây dựng·Triển khai (di chuyển)"]
  D --> E["Vận hành·Giám sát (SLA·Giám sát an ninh)"]
  E -.->|Phản hồi/Đánh giá lại| A
  style B fill:#e8f0fe,stroke:#2f6fed,stroke-width:2px

Ở giai đoạn ước tính nhu cầu và mức độ quan trọng, đánh giá hệ thống nào sẽ chuyển lên đám mây khi nào và bao nhiêu, và mức độ quan trọng của dữ liệu mà hệ thống đó xử lý thuộc cấp nào. Vì kết quả ước tính này là tiền đề cho mọi thiết kế tiếp theo, mấu chốt là nhận diện chính xác luồng dữ liệu và hiện trạng xử lý thông tin cá nhân. Nếu đánh giá cấp quá cao thì phải gánh kiểm soát đắt đỏ không cần thiết, còn đánh giá quá thấp thì thông tin nhạy cảm bị phơi nhiễm rủi ro.

Ở giai đoạn rà soát bảo mật, xác nhận dịch vụ có phải là dịch vụ đạt chứng nhận CSAP phù hợp với cấp mục tiêu hay không, và kiểm tra việc có thuộc đối tượng đánh giá tác động thông tin cá nhân (PIA) hay không, yêu cầu lưu trữ tại region trong nước, yêu cầu mã hóa và kiểm soát truy cập. Theo nguyên tắc ưu tiên dịch vụ được chứng nhận, khi có thể thì chọn trong danh mục dịch vụ đã được kiểm chứng (như hệ thống hỗ trợ sử dụng của Chế độ hợp đồng chuyên biệt dịch vụ số) để đồng thời hiệu quả hóa cả mua sắm lẫn rà soát.

Ở giai đoạn thiết kế cơ bản, xác định kiến trúc (cấu hình vùng khả dụng, region), tách mạng logic (tách mạng nghiệp vụ công và mạng Internet), chiến lược khôi phục thảm họa (DR) và sao lưu, phương thức di chuyển dữ liệu từ hệ thống hiện có. Đặc biệt, với khu vực công, tính liên tục của dịch vụ là nghĩa vụ xã hội, nên cần xem xét thiết kế nhiều vùng khả dụng, nhiều region để sự cố của một region không dẫn đến gián đoạn toàn bộ dịch vụ. Ở giai đoạn xây dựng và triển khai, thực hiện di chuyển thực tế và kiểm chứng tính nhất quán dữ liệu trước và sau di chuyển; ở giai đoạn vận hành và giám sát, liên tục kiểm tra việc tuân thủ SLA (tính sẵn sàng, hiệu năng), chi phí, giám sát an ninh, và định kỳ đánh giá lại cấp độ và kiểm soát.

A. Lựa chọn chiến lược di chuyển

Quyết định cốt lõi xuyên suốt giai đoạn thiết kế cơ bản và xây dựng, triển khai là “chuyển hệ thống hiện có lên đám mây theo cách nào”. Thông thường chiến lược di chuyển được chia thành nhiều loại (cái gọi là 6R — Rehost, Replatform, Refactor, Repurchase, Retire, Retain), áp dụng khác nhau tùy theo đặc tính hệ thống, ngân sách và thời hạn. Rehost (Lift & Shift) — chuyển nguyên trạng hệ thống cũ mà không cải tạo lớn — nhanh và rủi ro thấp, nhưng không tận hưởng trọn vẹn lợi ích co giãn và dịch vụ được quản lý của đám mây. Ngược lại, Refactor — thiết kế lại ứng dụng thành container, microservice — tối đa hóa lợi ích cloud native nhưng thời gian, chi phí và độ khó kỹ thuật cao.

Trong khu vực công, gián đoạn dịch vụ trực tiếp gây bất tiện cho người dân, nên cách tiếp cận an toàn là di chuyển từng bước bắt đầu từ các hệ thống có mức độ quan trọng thấp để tích lũy kinh nghiệm và năng lực vận hành, thay vì chuyển đổi đồng loạt một cách gượng ép. Ngoài ra, trong quá trình di chuyển, bắt buộc phải duy trì mã hóa và kiểm soát truy cập để thông tin cá nhân và dữ liệu cốt lõi không bị lộ trong kho tạm hoặc nhật ký, và đối chiếu số bản ghi, checksum trước và sau di chuyển để kiểm chứng tính nhất quán. Nếu lơ là việc kiểm chứng này, dữ liệu bị thiếu hoặc trùng lặp chỉ được phát hiện ở giai đoạn vận hành và quay trở lại với chi phí lớn hơn nhiều.

4. So sánh cấu trúc sử dụng và tình huống áp dụng

Cấu trúc sử dụng đám mây của khu vực công được chia lớn thành ba loại tùy theo “đặt dữ liệu ở đâu, cùng với ai”, và mỗi lựa chọn có sự đánh đổi rõ ràng.

Cấu trúc	Đặc điểm	Ưu điểm	Hạn chế
Đám mây chuyên dụng công	Hạ tầng cách ly chỉ khu vực công sử dụng (ví dụ G-Cloud của Cục Quản lý Tài nguyên Thông tin Quốc gia Hàn Quốc)	Bảo mật·Chủ quyền cao nhất	Hạn chế về khả năng mở rộng·dịch vụ mới nhất
Vùng chuyên dụng tư nhân (vùng công)	CSP tư nhân cách ly vật lý·logic dành riêng cho khu vực công	Tính đổi mới của tư nhân + Cách ly	Chi phí·Cần chứng nhận riêng
Công cộng tư nhân	Sử dụng đám mây thương mại thông thường	Dịch vụ mới nhất·Lợi thế quy mô	Không phù hợp với dữ liệu cấp cao

Lý do căn bản tạo ra sự khác biệt giữa ba cấu trúc này nằm ở chỗ “mức cách ly và tính đổi mới xung đột với nhau”. Đám mây chuyên dụng công được cách ly hoàn toàn là an toàn nhất về chủ quyền dữ liệu và bảo mật, nhưng khó dùng ngay các dịch vụ AI, dữ liệu được quản lý mới nhất mà tư nhân nhanh chóng tung ra, và cũng có giới hạn trong mở rộng tài nguyên. Ngược lại, công cộng tư nhân tận hưởng dịch vụ mới nhất và lợi thế quy mô nhưng dùng chung hạ tầng với khách hàng khác nên không phù hợp với dữ liệu cấp cao. Vì vậy trong thực tế, mô hình lai (hybrid) — đặt dịch vụ cho người dân có cấp thấp trên đám mây công cộng, còn hệ thống nội bộ nhạy cảm trong vùng chuyên dụng hoặc đám mây chuyên dụng — trở thành giải pháp dung hòa thực tế.

Làm ví dụ cụ thể, các dịch vụ cho người dân mà lưu lượng lớn đổ dồn một cách khó dự đoán (ví dụ đặt lịch tiêm chủng quốc gia, đăng ký trợ cấp thiên tai) nên đặt trên đám mây công cộng tư nhân có autoscaling để ứng phó với lượng truy cập bùng nổ lúc mới khai trương, điều này có lợi hơn tự xây dựng. Ngược lại, các hệ thống lấy thông tin nhạy cảm làm trung tâm như thuế, trợ cấp phúc lợi được đặt trong môi trường cách ly đáp ứng yêu cầu CSAP cấp cao để kiểm soát rủi ro rò rỉ. Ngoài ra, đối với SaaS cho nghiệp vụ tiêu chuẩn mà nhiều cơ quan cùng dùng (email, cộng tác, tài liệu), việc chuyển đổi theo hướng sử dụng chung thay vì xây dựng riêng lẻ để giảm đầu tư trùng lặp đang được tiến hành.

B. Thực tế về SLA và giám sát vận hành

Ở giai đoạn vận hành và giám sát, SLA (Thỏa thuận mức dịch vụ) không phải là tài liệu hình thức mà là cơ chế hợp đồng cưỡng chế chất lượng dịch vụ. Dịch vụ công văn bản hóa tính sẵn sàng (ví dụ từ 99.9% mỗi tháng trở lên), thời gian khôi phục sự cố và các chỉ số hiệu năng trong SLA, và đặt điều khoản bồi thường như giảm phí sử dụng khi không đạt để bảo đảm trách nhiệm của nhà cung cấp. Tuy nhiên, SLA chỉ bảo đảm tính sẵn sàng của tầng hạ tầng, không chịu trách nhiệm đến cả khiếm khuyết của ứng dụng chạy trên đó, nên cơ quan phải kết hợp hệ thống giám sát và theo dõi riêng để quan sát chất lượng toàn bộ dịch vụ. Ngoài ra, về mặt chi phí, do đặc tính tính phí theo mức sử dụng, nếu bỏ mặc thì chi phí đám mây có thể phình to như quả cầu tuyết, nên nên đưa quản trị chi phí (FinOps) — liên tục kiểm tra mức sử dụng và tài nguyên nhàn rỗi — vào như một phần của giám sát vận hành.

5. Chuyên sâu: Xu hướng mới nhất và thay đổi chính sách

Gần đây chính sách đám mây công đang tiến hóa theo một số hướng. Thứ nhất là việc định hình chế độ phân cấp CSAP. Khi CSAP trước đây là một tiêu chuẩn duy nhất được chia nhỏ thành các cấp cao, trung, thấp theo mức độ quan trọng của dữ liệu, ngưỡng tham gia của đám mây công cộng tư nhân đối với các hệ thống cấp thấp được hạ xuống, và điều này đang dẫn tới thảo luận về việc các nhà cung cấp toàn cầu tham gia có điều kiện vào thị trường đám mây của Hàn Quốc. Có thể hiểu đây là xu hướng điều chỉnh lại sự cân bằng chính sách giữa “bảo mật” và “thúc đẩy ngành, khuyến khích cạnh tranh”.

Thứ hai là sự kết hợp giữa Chính phủ nền tảng số và chuyển đổi cloud native. Mục tiêu đang được nâng lên theo hướng không chỉ dừng lại ở Lift & Shift — chuyển đơn thuần máy chủ lên đám mây — mà thiết kế lại chính cấu trúc ứng dụng bằng container, microservice, serverless để tận dụng trọn vẹn tính co giãn và liên kết mở của đám mây. Thứ ba là đổi mới mua sắm thông qua Chế độ hợp đồng chuyên biệt dịch vụ số, cho phép ký hợp đồng đám mây và SaaS nhanh chóng dựa trên danh mục thay vì thủ tục mua sắm công cứng nhắc trước đây. Tuy nhiên, các sự thật mới nhất (số liệu chi tiết của tiêu chí phân cấp, phạm vi tham gia của CSP toàn cầu, thời điểm sửa đổi chế độ) liên tục thay đổi, nên khi làm bài hoặc áp dụng thực tế, an toàn hơn là xác nhận các thông báo và hướng dẫn mới nhất và tránh trình bày mang tính khẳng định.

6. Các điểm cần cân nhắc và hàm ý

Áp dụng phân cấp dựa trên mức độ quan trọng của dữ liệu là nguyên tắc lớn. Áp dụng cùng một mức kiểm soát cho mọi hệ thống hoặc là kém hiệu quả (kiểm soát thừa) hoặc là nguy hiểm (kiểm soát thiếu). Thay đổi đám mây có thể sử dụng và mức kiểm soát tỷ lệ với cấp độ quan trọng và nhạy cảm là điểm cân bằng duy nhất đồng thời bảo đảm hiệu quả và an toàn.
Ưu tiên sử dụng dịch vụ đạt chứng nhận CSAP để đạt được cả tính bảo mật lẫn hiệu quả thủ tục. Sử dụng dịch vụ được chứng nhận giúp giảm gánh nặng rà soát bảo mật riêng, bảo đảm độ tin cậy và cho phép so sánh khách quan giữa các nhà cung cấp. Việc quy tắc hóa sự tương ứng giữa cấp chứng nhận và cấp dữ liệu là cốt lõi của thực tiễn.
Phải làm rõ mô hình chia sẻ trách nhiệm và có chiến lược Exit (chuyển đổi). Cần văn bản hóa ranh giới trách nhiệm giữa cơ quan sử dụng và CSP theo từng loại dịch vụ, đồng thời nhận thức rằng trách nhiệm về dữ liệu, tài khoản và cấu hình luôn thuộc về cơ quan. Đồng thời phải giảm thiểu phụ thuộc nhà cung cấp (Lock-in) bằng kế hoạch có thể hoàn trả và di chuyển dữ liệu trọn vẹn khi kết thúc hợp đồng hoặc chuyển đổi nhà cung cấp.
Quản lý đồng thời chủ quyền dữ liệu, khả năng tương tác và quản trị chi phí. Bảo đảm chủ quyền bằng lưu trữ tại region trong nước và mã hóa, nâng cao khả năng tương tác bằng tiêu chuẩn mở và đa đám mây, và giám sát tối ưu hóa liên tục chi phí dựa trên mức sử dụng theo góc nhìn FinOps (thu hồi tài nguyên không cần thiết, tận dụng đặt trước và cam kết) để lợi ích hiệu quả của việc áp dụng đám mây không bị triệt tiêu bởi chi phí buông lỏng.

Tài liệu tham khảo

Bộ Khoa học và CNTT-TT Hàn Quốc, hướng dẫn 「Chế độ chứng nhận bảo mật dịch vụ điện toán đám mây (CSAP)」
Bộ Nội vụ và An toàn Hàn Quốc·Ủy ban Chính phủ nền tảng số, tài liệu chính sách liên quan đến chuyển đổi đám mây khu vực công·Chính phủ nền tảng số

Tóm tắt một câu: Việc khu vực công sử dụng đám mây tư nhân diễn ra theo vòng đời ước tính nhu cầu·mức độ quan trọng → rà soát bảo mật CSAP → thiết kế cơ bản → xây dựng·triển khai → vận hành·giám sát, và cốt lõi là bảo đảm cân bằng giữa hiệu quả, tính đổi mới của tư nhân với bảo mật, chủ quyền dữ liệu của khu vực công thông qua kiểm soát phân cấp dựa trên mức độ quan trọng của dữ liệu, ưu tiên dịch vụ đạt chứng nhận CSAP, mô hình chia sẻ trách nhiệm và chiến lược Exit.