Mô hình Hybrid: Kết hợp IT Outsourcing với dịch vụ SOC thuê ngoài
- Evelyn Carter
- 10 thg 8
- 10 phút đọc
Doanh nghiệp không nhất thiết phải lựa chọn giữa việc duy trì đội ngũ IT nội bộ và thuê ngoài toàn bộ hoạt động an ninh mạng. Một hướng tiếp cận thực tế hơn là kết hợp IT Outsourcing và an ninh mạng theo mô hình hybrid: đội IT tiếp tục chịu trách nhiệm vận hành hệ thống, hỗ trợ người dùng và thực hiện thay đổi kỹ thuật, trong khi SOC thuê ngoài bổ sung năng lực giám sát, phát hiện và hỗ trợ ứng phó với các mối đe dọa.
Điểm quyết định hiệu quả của mô hình không phải là doanh nghiệp thuê ngoài bao nhiêu đầu việc. Quan trọng hơn là IT và SOC có được phân chia trách nhiệm rõ ràng, chia sẻ đủ bối cảnh và phối hợp đủ nhanh khi xuất hiện sự cố hay không.
Nếu được thiết kế đúng, SOC thuê ngoài không thay thế đội IT hiện hữu. Hai bên đảm nhiệm hai lớp năng lực khác nhau nhưng bổ trợ cho nhau: IT giữ hệ thống vận hành ổn định, SOC duy trì khả năng quan sát và phân tích rủi ro bảo mật.
1. Kết hợp IT Outsourcing và an ninh mạng giúp tối ưu bộ phận IT như thế nào?
Ở nhiều doanh nghiệp, bộ phận IT phải cùng lúc xử lý nhiều nhóm công việc: hỗ trợ người dùng, quản lý tài khoản, vận hành máy chủ, endpoint và mạng, triển khai phần mềm, xử lý lỗi, backup, cập nhật hệ thống và theo dõi các vấn đề bảo mật.
Khi quy mô hạ tầng tăng lên, IT còn phải đối mặt với log từ firewall, endpoint, identity, cloud, email và nhiều nền tảng khác. Nếu cùng một đội vừa phải đảm bảo hệ thống hoạt động liên tục, vừa phải giám sát và điều tra mọi cảnh báo an ninh mạng, nguồn lực dễ bị phân tán.
Đây là điểm mà mô hình hybrid tạo giá trị.
IT thường tập trung vào tính sẵn sàng của hệ thống và hiệu quả vận hành: hệ thống có hoạt động ổn định không, người dùng có làm việc được không và các thay đổi kỹ thuật có được triển khai đúng kế hoạch hay không.
SOC tập trung vào khả năng quan sát an ninh và phát hiện mối đe dọa: hành vi nào bất thường, cảnh báo nào thực sự đáng quan tâm, có dấu hiệu tài khoản bị xâm nhập hay không và sự kiện đó có thể ảnh hưởng đến doanh nghiệp như thế nào.
Do đó, kết hợp IT Outsourcing và an ninh mạng không có nghĩa là chuyển toàn bộ hệ thống cho một nhà cung cấp, mà là phân bổ từng nhóm trách nhiệm cho đúng năng lực.
Ngay cả khi đã có nhân sự IT nội bộ, doanh nghiệp cũng không bắt buộc phải tuyển thêm người cho tất cả đầu việc. Logic này tương tự bài toán đã có IT nội bộ nhưng vẫn sử dụng IT Helpdesk thuê ngoài: mục tiêu là bổ sung năng lực còn thiếu thay vì thay thế đội hiện hữu.
1.1 IT nội bộ hoặc IT Outsourcing nên giữ những trách nhiệm nào?
IT nên tiếp tục giữ quyền kiểm soát đối với những công việc đòi hỏi hiểu sâu về môi trường vận hành và nhu cầu kinh doanh của doanh nghiệp.
Các trách nhiệm thường gồm:
Quản trị máy chủ, endpoint, mạng và ứng dụng.
Quản lý tài khoản và quyền truy cập.
Hỗ trợ người dùng.
Quản lý cấu hình hệ thống.
Triển khai bản vá và thay đổi kỹ thuật.
Backup và phục hồi theo phạm vi được giao.
Cung cấp bối cảnh vận hành cho SOC.
Thực hiện remediation sau khi sự cố được xác minh.
1.2 SOC thuê ngoài nên đảm nhiệm những trách nhiệm nào?
SOC bổ sung lớp năng lực giám sát và phân tích an ninh mạng chuyên biệt mà một đội IT tổng quát không phải lúc nào cũng có điều kiện duy trì liên tục.
Tùy phạm vi dịch vụ, SOC có thể đảm nhiệm:
Thu thập và theo dõi security log.
Giám sát cảnh báo từ endpoint, firewall, identity và cloud.
Phân tích và phân loại alert.
Xác định mức độ nghiêm trọng.
Điều tra các hành vi đáng ngờ.
Tương quan dữ liệu từ nhiều nguồn.
Escalate sự cố đến đầu mối phù hợp.
Đề xuất containment và remediation.
Theo dõi trạng thái xử lý sự cố.
Báo cáo xu hướng và các rủi ro cần ưu tiên.
Với doanh nghiệp cần năng lực theo dõi liên tục nhưng chưa muốn tự xây dựng Security Operations Center hoàn chỉnh, dịch vụ SOC 24/7 có thể hoạt động như một lớp chuyên trách bên cạnh đội IT hiện hữu.
2. Quy trình phối hợp giữa IT và SOC nên được thiết kế như thế nào?
Một SOC thuê ngoài chỉ tạo ra giá trị thực sự khi cảnh báo có thể được chuyển thành hành động.
Nếu SOC phát hiện sự kiện đáng ngờ nhưng không biết phải liên hệ ai, IT nhận cảnh báo nhưng thiếu thông tin để xử lý, hoặc hai bên không thống nhất mức độ ưu tiên, doanh nghiệp vẫn có thể chậm phản ứng trong thời điểm quan trọng.
Vì vậy, quy trình phối hợp giữa IT và SOC cần được thiết kế rõ ràng trước khi mô hình chính thức đi vào vận hành.
2.1 Bước 1: Xác định phạm vi giám sát
Doanh nghiệp cần thống nhất những nguồn dữ liệu và hệ thống nào sẽ thuộc phạm vi SOC, ví dụ:
Endpoint.
Firewall.
Active Directory hoặc identity platform.
VPN.
Email security.
Server.
Cloud workload.
Ứng dụng quan trọng.
2.2 Bước 2: Thống nhất severity, SLA và đầu mối liên lạc
IT và SOC phải có cùng cách hiểu về mức độ nghiêm trọng.
Ví dụ:
Critical: Có dấu hiệu xâm nhập hoặc nguy cơ ảnh hưởng trực tiếp đến tài sản quan trọng và cần escalation ngay.
High: Có khả năng phát triển thành sự cố nghiêm trọng và yêu cầu kiểm tra trong thời gian ngắn.
Medium: Cần điều tra hoặc xử lý nhưng chưa có dấu hiệu ảnh hưởng tức thời.
Low: Có giá trị theo dõi hoặc tối ưu cấu hình nhưng chưa yêu cầu phản ứng khẩn cấp.
Mỗi mức severity cần đi cùng SLA, kênh liên lạc và người chịu trách nhiệm cụ thể.
Một cảnh báo được phát hiện đúng nhưng đến sai người vẫn có thể trở thành một sự cố được xử lý chậm.
2.3 Bước 3: SOC triage và xác minh cảnh báo
SOC không nên chuyển toàn bộ alert từ công cụ sang đội IT.
Cần có bước triage nhằm loại bỏ noise, bổ sung context và ưu tiên các trường hợp thực sự cần hành động.
Thay vì chỉ gửi:
“Phát hiện nhiều lần đăng nhập thất bại.”
Thông tin chuyển sang IT nên cho biết tài khoản liên quan, thời điểm, nguồn truy cập, pattern của sự kiện, các dấu hiệu đi kèm và lý do SOC đánh giá hoạt động đó là đáng chú ý.
Khi nhận được cảnh báo đã có context, đội IT có thể ra quyết định nhanh hơn.
2.4 Bước 4: IT bổ sung business context
IT xác nhận liệu hành vi được phát hiện có liên quan đến một hoạt động hợp lệ hay không.
Các câu hỏi thường cần kiểm tra gồm:
Người dùng có đang làm việc từ xa không?
Có thay đổi hệ thống được lên lịch không?
Thiết bị có vừa được thay thế không?
Tài khoản có thuộc ứng dụng tự động không?
Quyền truy cập mới có được cấp theo yêu cầu hợp lệ không?
Đây là bước giúp biến dữ liệu kỹ thuật thành quyết định phù hợp với bối cảnh doanh nghiệp.
2.5 Bước 5: Containment và remediation
Nếu sự cố được xác minh, quy trình phải quy định sẵn ai có quyền thực hiện hành động.
Một số hành động có thể bao gồm:
Khóa tài khoản.
Cô lập endpoint.
Thu hồi session.
Reset credential.
Chặn IP hoặc domain.
Thay đổi firewall rule.
Vá hệ thống.
Kiểm tra các tài sản có khả năng bị ảnh hưởng tương tự.
SOC có thể đề xuất biện pháp xử lý, trong khi IT thực hiện các thay đổi cần thiết trên hệ thống. Với một số mô hình, SOC có thể được ủy quyền trực tiếp thực hiện một số hành động cô lập hoặc ngăn chặn ban đầu đã được doanh nghiệp phê duyệt trước.
2.6 Bước 6: Review và cải thiện sau sự cố
Một workflow tốt không kết thúc khi alert được đóng.
IT và SOC nên cùng xem xét:
Điều gì đã xảy ra?
Tài sản nào bị ảnh hưởng?
Control nào chưa hoạt động như kỳ vọng?
Rule giám sát có cần cập nhật không?
Có cần thay đổi cấu hình hoặc policy không?
Sự cố tương tự có khả năng xuất hiện ở hệ thống khác không?
Nhờ đó, mỗi incident không chỉ được xử lý mà còn trở thành đầu vào để cải thiện khả năng phòng thủ.
3. Doanh nghiệp nên phân chia trách nhiệm an ninh mạng đến đâu?
3.1 Thuê ngoài SOC không đồng nghĩa với thuê ngoài toàn bộ trách nhiệm an ninh mạng
NIST Cybersecurity Framework 2.0 dành riêng nhóm nội dung Govern cho việc quản trị rủi ro và có các outcome yêu cầu tổ chức xác định, truyền đạt và phối hợp trách nhiệm cybersecurity với nhà cung cấp, khách hàng và đối tác. NIST còn đưa ra ví dụ về việc sử dụng responsibility matrix và thiết lập quy trình chia sẻ thông tin giữa tổ chức với bên thứ ba.
Nguyên tắc phù hợp với mô hình hybrid là:
Doanh nghiệp có thể giao hoạt động vận hành an ninh mạng cho đối tác, nhưng quyền sở hữu rủi ro và quyết định kinh doanh liên quan đến rủi ro vẫn phải được kiểm soát ở cấp doanh nghiệp.
3.2 Phân chia trách nhiệm bằng ma trận RACI
Một Responsibility Matrix giúp loại bỏ vùng xám giữa IT, SOC và lãnh đạo doanh nghiệp.
Hoạt động | IT nội bộ / IT Outsourcing | SOC thuê ngoài | Doanh nghiệp |
Vận hành hệ thống | Thực hiện | Theo dõi yếu tố bảo mật liên quan | Giám sát |
Tích hợp security log | Phối hợp | Chủ trì giám sát | Phê duyệt phạm vi |
Phân tích cảnh báo | Cung cấp context | Chủ trì | Được thông báo |
Xác minh sự cố | Phối hợp | Chủ trì phân tích | Được thông báo |
Khóa tài khoản | Thực hiện/phê duyệt | Đề xuất | Theo policy |
Cô lập thiết bị | Thực hiện hoặc cho phép | Đề xuất/thực hiện nếu được ủy quyền | Theo policy |
Thay đổi hệ thống | Chủ trì | Khuyến nghị | Phê duyệt khi cần |
Đánh giá business risk | Cung cấp dữ liệu | Cung cấp security context | Chịu trách nhiệm quyết định |
4. Khi nào doanh nghiệp nên áp dụng mô hình IT-SOC hybrid?
Mô hình này đặc biệt phù hợp với doanh nghiệp đã có khả năng vận hành IT nhưng chưa có đủ nguồn lực để tự xây dựng SOC chuyên biệt.
Một số dấu hiệu thường gặp gồm:
IT phải xử lý quá nhiều cảnh báo bảo mật.
Không có nhân sự security trực ngoài giờ.
Có nhiều công cụ nhưng thiếu người phân tích dữ liệu.
Khó tuyển hoặc duy trì chuyên gia cybersecurity.
Thời gian xác minh và xử lý incident còn dài.
Hạ tầng phân tán trên endpoint, identity, cloud và SaaS.
Ban lãnh đạo cần visibility tốt hơn về rủi ro an ninh mạng.
Theo NIST SP 1308, được công bố tháng 3/2026, cũng nhấn mạnh việc kết nối quản trị rủi ro cybersecurity với quyết định về workforce và phân bổ nguồn lực dựa trên thực tế rủi ro, thay vì xem cơ cấu nhân sự như một mô hình cố định.
Vì vậy, câu hỏi phù hợp không phải là:
“Nên tự làm hay thuê ngoài toàn bộ?”
Mà là:
“Năng lực nào doanh nghiệp cần giữ bên trong, và năng lực nào nên bổ sung từ một đơn vị chuyên trách bên ngoài?”
IPSIP Việt Nam cũng có case study triển khai hạ tầng IT kết hợp SOC 24/7 cho tập đoàn tài chính, phù hợp để tham khảo cách hai lớp vận hành IT và security có thể được tổ chức trong cùng một mô hình dịch vụ.
5. Doanh nghiệp có thể kết hợp đội IT nội bộ với SOC thuê ngoài như thế nào?
Doanh nghiệp có thể kết hợp đội IT nội bộ với SOC thuê ngoài bằng cách giữ IT phụ trách vận hành và quản trị hệ thống, trong khi SOC chịu trách nhiệm giám sát, phân tích và hỗ trợ ứng phó với các mối đe dọa an ninh mạng.
Để mô hình hoạt động hiệu quả, hai bên cần thống nhất ít nhất năm yếu tố ngay từ đầu:
Phạm vi: Hệ thống, tài sản và nguồn log nào thuộc SOC?
Trách nhiệm: IT và SOC chịu trách nhiệm cho những việc gì?
Severity và SLA: Sự cố nào phải escalation và trong bao lâu?
Quyền phản ứng: Ai có quyền khóa tài khoản, cô lập endpoint hoặc chặn kết nối?
Communication: Hai bên phối hợp qua ai và qua kênh nào khi có incident?
Đây là câu trả lời cốt lõi cho mô hình hybrid.
SOC không cần thực hiện nhiều đầu việc nhất. SOC cần đảm nhiệm đúng các đầu việc mà đội IT hiện tại khó thực hiện liên tục hoặc cần chuyên môn bảo mật sâu hơn.
Ngược lại, IT không cần trở thành security analyst. IT cần duy trì quyền kiểm soát môi trường và cung cấp business context đủ nhanh để SOC đưa ra đánh giá chính xác.
Khi hai vai trò kết nối với nhau bằng một workflow rõ ràng, kết hợp IT Outsourcing và an ninh mạng trở thành một mô hình vận hành thống nhất thay vì hai dịch vụ hoạt động song song.
Mô hình hybrid cho phép doanh nghiệp tận dụng thế mạnh của cả IT và SOC mà không phải lựa chọn giữa “tự làm tất cả” và “thuê ngoài tất cả”.
IT tiếp tục duy trì hoạt động công nghệ, hiểu hệ thống và xử lý các thay đổi kỹ thuật. SOC bổ sung khả năng giám sát, phát hiện, phân tích và hỗ trợ ứng phó chuyên sâu.
Nếu doanh nghiệp đã có IT nội bộ hoặc đang sử dụng IT Outsourcing và muốn bổ sung năng lực SOC mà không làm chồng chéo trách nhiệm, liên hệ IPSIP Việt Nam để trao đổi mô hình phối hợp IT–SOC phù hợp với hạ tầng, nguồn lực và mức độ rủi ro hiện tại.
🎉 Ưu đãi dành cho khách hàng mới: Giảm 15% chi phí khi đăng ký các dịch vụ an ninh mạng tại IPSIP Việt Nam trong thời gian diễn ra chương trình. Liên hệ để được tư vấn giải pháp phù hợp với nhu cầu bảo mật và tối ưu ngân sách đầu tư.
Nguồn tham khảo
Bình luận