Air-gapped backup là gì? Lớp bảo vệ cuối cùng cho dữ liệu trọng yếu

Sáng thứ Hai, nhân viên IT mở máy chủ và chết lặng: toàn bộ dữ liệu đã bị mã hóa — kể cả bản backup trên NAS, vốn bị mã hóa từ đêm hôm trước. Kịch bản này không hề hiếm: theo báo cáo State of Ransomware của Sophos, 94% tổ chức bị tấn công cho biết kẻ tấn công đã cố tình phá hoại bản backup, và 57% trong số đó đã thành công.

Vậy air-gapped backup là gì mà được xem là "tuyến phòng thủ cuối cùng"? Nói ngắn gọn: đó là bản sao lưu được cách ly hoàn toàn khỏi mạng — không có bất kỳ đường kết nối nào từ hệ thống đang chạy tới nơi lưu bản backup. Kẻ tấn công dù chiếm được toàn bộ mạng của bạn cũng không thể "chạm" tới nó, vì đơn giản là không có đường đi.

Air gapped backup là gì: air-gapped backup là gì?

Air-gapped backup là bản sao lưu dữ liệu được lưu trữ trong trạng thái cách ly hoàn toàn khỏi mạng production — không LAN, không Internet, không đường truy cập từ xa nào tới được tại thời điểm lưu trữ. Từ "air gap" (khoảng cách không khí) bắt nguồn từ an ninh hạ tầng trọng yếu: giữa hai hệ thống chỉ có... không khí, không có dây mạng.

Điểm mấu chốt: air gap không phải một sản phẩm hay phần mềm cụ thể, mà là một trạng thái cách ly của bản backup. Cùng một ổ cứng, lúc cắm vào server để chép backup thì chưa phải air-gapped; rút dây ra, cất vào két sắt — lúc đó nó mới trở thành air-gapped backup.

Có hai dạng air gap:

Air gap vật lý (physical air gap): cách ly bằng hiện thực vật lý — băng từ (tape) cất trong kho, ổ cứng rời rút ra khỏi máy và khóa trong két. Không dây, không sóng — kẻ tấn công từ xa bó tay hoàn toàn.

Air gap logic (logical air gap): cách ly bằng cơ chế kỹ thuật — bản backup được bảo vệ bằng immutable (bất biến: không thể sửa/xóa trong một khoảng thời gian, công nghệ WORM — Write Once, Read Many) kết hợp ngắt kết nối theo lịch: chỉ mở đường truyền trong "cửa sổ backup" vài chục phút mỗi ngày.

Cả hai dạng đều phục vụ một mục đích: tại bất kỳ thời điểm nào, kẻ đang kiểm soát mạng production không có đường tới bản backup.

Air gapped backup là gì: vì sao backup online vẫn bị ransomware "ăn" cùng lúc?

Nhiều doanh nghiệp chủ quan: "đã có backup hàng ngày thì sợ gì ransomware". Thực tế, ransomware hiện đại là chiến dịch có chủ đích với giai đoạn dwell time (nằm vùng 30–90 ngày để do thám trước khi "ra tay") — và mục tiêu số một trong thời gian đó chính là hệ thống backup:

• Đánh cắp credential quản trị: chiếm tài khoản domain admin là đăng nhập được vào NAS/server backup, xóa toàn bộ bản sao lưu chỉ bằng vài cú nhấp chuột.
• Vô hiệu hóa cơ chế bảo vệ: tắt Volume Shadow Copy (VSS) trên Windows, xóa snapshot trên hypervisor, dừng service của phần mềm backup.
• Tấn công backup agent: agent chạy trên chính server production với quyền cao — mã độc lây qua đó để "leo" sang kho backup.
• Xóa backup trên cloud: lộ API key hoặc tài khoản object storage là kẻ tấn công xóa cả bucket backup như xóa file thường.

Đó là lý do con số 94% — gần như mọi vụ ransomware đều nhắm vào backup trước, và hơn một nửa thành công. Backup luôn online, "chung số phận" với hệ thống chính thì chỉ là bản sao chờ bị mã hóa, không phải phao cứu sinh.

Ví dụ (minh họa): công ty thương mại 40 nhân sự sao lưu ra NAS join cùng domain với máy trạm. Ransomware từ email phishing leo thang lên domain admin sau 3 tuần, xóa sạch NAS rồi mới mã hóa server — backup "đầy đủ" nhưng không khôi phục được byte nào.

Air gapped backup là gì: air gap vật lý và air gap logic: hiểu đúng để chọn đúng

Không có đáp án "loại nào tốt nhất cho mọi doanh nghiệp" — mỗi dạng có vị trí riêng.

Nguyên tắc thực tế: kết hợp cả hai. Dùng air gap logic (immutable) cho bản backup hàng ngày cần khôi phục nhanh, và air gap vật lý cho bản "vàng" hàng tuần/tháng của dữ liệu trọng yếu nhất. Kẻ tấn công phải vượt qua hai lớp cách ly hoàn toàn khác bản chất — điều gần như bất khả thi trong một chiến dịch.

4 cách triển khai air-gapped backup phổ biến

1. Băng từ (tape)

LTO tape là "ông tổ" của air-gapped backup và đến nay vẫn chưa lỗi thời. Một cuộn LTO-9 chứa tới 18 TB (45 TB khi nén), giá mỗi GB rẻ nhất trong các loại phương tiện, tuổi thọ lưu trữ tới 30 năm nếu bảo quản đúng.

Cách làm: backup ra tape theo lịch, rút băng khỏi drive, dán nhãn, cất kho chống cháy hoặc gửi kho offsite — muốn phá bản backup này, kẻ tấn công phải đột nhập vật lý. Hạn chế: đầu tư tape drive ban đầu cao (hàng chục đến hàng trăm triệu đồng), restore chậm. Phù hợp doanh nghiệp có dữ liệu hàng chục TB cần lưu dài hạn như tài chính, y tế.

2. Ổ cứng rời luân phiên

Phiên bản "bình dân" của tape, rất hợp SME Việt Nam. Chuẩn bị 4–5 ổ HDD/SSD gắn ngoài, đánh số và luân phiên: mỗi ngày (hoặc tuần) cắm một ổ vào chép backup, xong rút ra cất két chống cháy. Ổ nào không cắm thì mặc định... không tồn tại trên mạng.

Ưu điểm: chi phí thấp (vài triệu đồng mỗi ổ), dễ làm. Nhược điểm: phụ thuộc kỷ luật con người — quên rút ổ là air gap "thủng" ngay, nên giao 2 người chịu trách nhiệm chéo và ghi sổ nhật ký.

3. Immutable backup + ngắt kết nối theo lịch

Cách làm hiện đại nhất: đẩy backup lên object storage bật Object Lock (chế độ WORM — dữ liệu đã ghi không thể sửa/xóa đến hết thời gian khóa, kể cả với tài khoản admin), đồng thời cấu hình "cửa sổ backup": đường kết nối tới kho lưu trữ chỉ mở trong lúc chạy job, xong tự ngắt.

Điều kiện tiên quyết: tài khoản quản trị kho backup phải tách biệt hoàn toàn khỏi domain production, bật MFA, không dùng cho việc hàng ngày. Lộ credential này thì immutable cũng vô nghĩa.

4. Bản "vàng" tại vault offsite

Với dữ liệu trọng yếu bậc nhất (sổ cái kế toán, hợp đồng, mã nguồn), nhiều doanh nghiệp duy trì bản sao "vàng" (golden copy) tại địa điểm hoàn toàn tách biệt — két sắt chi nhánh khác, két ngân hàng, kho lưu trữ chuyên nghiệp. Bản này chỉ cập nhật hàng tháng/quý, chỉ mang về khi cần restore khẩn cấp. Cháy văn phòng, lũ lụt, ransomware đồng loạt — bản vàng vẫn còn.

Quy tắc 3-2-1-1-0: nâng cấp "vàng" cho chiến lược backup

Quy tắc 3-2-1 quen thuộc (3 bản sao, 2 loại phương tiện, 1 bản offsite) ra đời để chống cháy nổ, hỏng ổ cứng, xóa nhầm — những rủi ro "không biết tìm backup mà phá".

Ransomware đã thay đổi cuộc chơi: kẻ tấn công chủ động săn lùng backup. Vì vậy Veeam và cộng đồng bảo mật đã nâng cấp thành 3-2-1-1-0:

• 3 — Duy trì 3 bản sao dữ liệu: 1 bản gốc đang chạy + 2 bản backup độc lập.
• 2 — Lưu trên 2 loại phương tiện khác nhau: ví dụ ổ đĩa nội bộ + object storage cloud. Tránh "cùng chết" vì một lỗi công nghệ chung.
• 1 — Có 1 bản offsite: đặt ở địa điểm khác để sống sót khi văn phòng gặp sự cố vật lý.
• 1 — Có 1 bản air-gapped hoặc immutable: số "1" mới — bản sao mà kể cả tài khoản admin bị chiếm cũng không xóa/sửa được. Không có số này, 3-2-1 chỉ chống được thiên tai, không chống được kẻ thù có chủ đích.
• 0 — 0 lỗi khi kiểm tra khôi phục: backup chưa từng restore thử thành công thì chưa phải backup — chỉ là niềm tin. Định kỳ restore thử và đo RTO (thời gian khôi phục) thực tế.

Ví dụ (minh họa) cho công ty dịch vụ 30 nhân sự với 2 TB dữ liệu trọng yếu: (1) bản gốc chạy trên Cloud Server production; (2) backup hàng đêm ra NAS tại văn phòng — khôi phục nhanh file xóa nhầm; (3) bản sao hàng tuần lên object storage bật Object Lock 30 ngày (offsite + immutable) — chống ransomware xóa backup; (4) mỗi tháng chép full backup ra ổ cứng rời, rút ra cất két ở chi nhánh khác — lớp cuối cùng; (5) mỗi quý restore thử 1 máy chủ lên môi trường cách ly, ghi biên bản.

Tổng chi phí phần cứng cho mô hình này chỉ khoảng 15–25 triệu đồng (minh họa: NAS + 3 ổ cứng rời + két), cộng phí object storage vài trăm nghìn mỗi tháng — rẻ hơn rất nhiều so với một ngày hệ thống ngừng hoạt động.

Triển khai air-gapped backup tốn bao nhiêu?

Tin vui là air gap không đắt như nhiều người tưởng. Bảng dưới đây ước tính cho SME 20–50 nhân sự, dữ liệu trọng yếu khoảng 2–5 TB (số liệu minh họa theo giá thị trường 2026):

So với thiệt hại một vụ ransomware (minh họa): 5–7 ngày ngừng hoạt động của doanh nghiệp 30 nhân sự dễ "đốt" 200–500 triệu đồng — chưa kể tiền chuộc từ vài trăm triệu đến hàng tỷ đồng. Air gap là bảo hiểm rẻ nhất trong các loại bảo hiểm.

Lưu ý: chi phí lớn nhất không nằm ở phần cứng mà ở công vận hành — người luân chuyển ổ, kiểm tra log backup mỗi ngày, và đặc biệt là drill restore định kỳ. Một bản backup chưa từng restore thử thì giá trị của nó bằng... niềm tin.

Quy trình vận hành air-gapped backup chuẩn

Có phương tiện mà không có quy trình thì air gap chỉ tồn tại trên giấy. Một quy trình chuẩn gồm 5 bước lặp lại:

Bước 1: Backup theo lịch. Chạy backup tự động hàng ngày (incremental) và hàng tuần (full). Kiểm tra log mỗi sáng — job "xanh" mới yên tâm, job "đỏ" xử lý trong ngày.

Bước 2: Luân chuyển phương tiện. Người phụ trách rút ổ/tape kỳ trước ra, cắm ổ mới vào, cất ổ cũ vào két và ghi sổ nhật ký: ngày giờ, người thực hiện, mã ổ. Sổ này là bằng chứng air gap được duy trì.

Bước 3: Sơ đồ ông–bố–con (grandfather-father-son). Giữ bản hàng ngày trong 7 ngày (con), bản cuối tuần trong 4–5 tuần (bố), bản cuối tháng trong 6–12 tháng (ông). Cách này cân bằng dung lượng lưu trữ với khả năng quay ngược thời gian khi mã độc đã nằm vùng nhiều tuần.

Bước 4: Kiểm tra restore định kỳ. Mỗi quý, restore thử lên môi trường cách ly (máy ảo test, không nối mạng production): mở được file không? Database chạy được không? Đo RTO thực tế, ghi biên bản. Phát hiện backup hỏng lúc drill thì chỉ mất công; phát hiện lúc bị tấn công thật thì mất tất cả.

Bước 5: Rà soát khi hạ tầng thay đổi. Thêm server mới, triển khai ứng dụng mới, nhân sự IT thay đổi — cập nhật ngay danh sách backup và phân quyền. Rất nhiều vụ mất dữ liệu xảy ra vì "server mới chưa kịp đưa vào lịch backup".

Hai nguyên tắc xuyên suốt: tách bạch tài khoản (tài khoản backup không dùng cho việc khác, bật MFA) và nguyên tắc 2 người (mật khẩu két, vị trí kho — luôn có ít nhất 2 người biết để tránh "điểm chết" khi một người nghỉ việc).

5 sai lầm khiến air gap bị "thủng"

1. Cắm ổ backup "cho tiện" rồi quên rút. Sai lầm phổ biến nhất. Ổ vẫn cắm trên server thì dù dán nhãn "backup offline", nó vẫn là ổ online — ransomware mã hóa ngon lành. Quy định sắt: backup xong là rút, không có ngoại lệ "để mai rút".

2. Dùng chung credential giữa production và backup. Tài khoản domain admin mà đăng nhập được cả NAS backup thì air gap logic sụp đổ. Tách tài khoản, tách mật khẩu, bật MFA.

3. Không bao giờ test restore. Không ít doanh nghiệp backup đều đặn nhiều năm nhưng đến lúc cần mới phát hiện file backup lỗi, thiếu key giải mã. Số "0" trong 3-2-1-1-0 sinh ra là vì vậy.

4. Chỉ có đúng một bản air-gapped. Két chống cháy không chống được trộm đột nhập. Bản "vàng" nên có ít nhất 2 nơi, hoặc kết hợp air gap vật lý + immutable cloud.

5. Để key mã hóa chung chỗ với backup. Backup mã hóa là tốt, nhưng nếu file key nằm ngay cạnh ổ backup thì kẻ tấn công vừa xóa backup vừa "giữ hộ" key. Key phải lưu riêng — két khác, người khác giữ.

Checklist 30 ngày triển khai cho SME

Chia thành 4 tuần là vừa sức với team IT 1–2 người:

Tuần 1 — Kiểm kê và thiết kế: - [ ] Liệt kê dữ liệu trọng yếu: kế toán, hợp đồng, mã nguồn, dữ liệu khách hàng, email. - [ ] Đo tổng dung lượng và tốc độ tăng trưởng mỗi tháng. - [ ] Phân loại 3 mức: sống còn / quan trọng / thông thường. - [ ] Chốt phương án: ổ rời luân phiên + object storage immutable cho mức "sống còn".

Tuần 2 — Mua sắm và cài đặt: - [ ] Mua ổ cứng rời, két chống cháy; đăng ký object storage, bật Object Lock. - [ ] Cài phần mềm backup, tạo tài khoản backup riêng (MFA, tách khỏi domain production). - [ ] Cấu hình lịch backup + "cửa sổ kết nối" cho kho immutable.

Tuần 3 — Chạy thật và viết quy trình: - [ ] Chạy full backup đầu tiên, luân chuyển ổ đầu tiên, cất két, ghi sổ nhật ký. - [ ] Viết SOP 1 trang: ai làm gì, khi nào, liên hệ ai khi sự cố. - [ ] Brief cho ban lãnh đạo: vị trí két, người giữ key dự phòng (nguyên tắc 2 người).

Tuần 4 — Drill và bàn giao: - [ ] Restore thử 1 hệ thống lên môi trường cách ly, đo RTO, ghi biên bản. - [ ] Sửa lỗi phát hiện được trong drill. - [ ] Đưa lịch luân chuyển ổ + kiểm tra log vào checklist hàng tuần của IT.

Sau 30 ngày, doanh nghiệp đã có lớp bảo vệ cuối cùng hoạt động thật — không còn là "định làm".

Triển khai air-gapped backup trên cloud Việt Nam như thế nào?

Nhiều người nghĩ air gap là chuyện của "server vật lý để trong kho", nhưng trên cloud Việt Nam hiện nay triển khai rất thuận tiện:

• Kho immutable trong nước: dùng object storage của nhà cung cấp Việt Nam, bật Object Lock/WORM cho bản backup hàng tuần. Dữ liệu ở trong nước, độ trễ thấp, restore nhanh.
• Máy chủ backup staging: thuê một Cloud Server/VPS riêng làm "trạm trung chuyển" — nhận backup, kiểm tra tính toàn vẹn, rồi đẩy lên kho immutable và chép ra ổ rời. Máy này tách biệt khỏi production, chỉ bật trong cửa sổ backup (logical air gap).
• Bản vật lý cho dữ liệu trọng yếu nhất: với dữ liệu "sống còn", một ổ cứng rút ra cất két mỗi tháng vẫn là lớp bảo vệ rẻ và chắc nhất — không công nghệ nào thay thế được định luật vật lý "không có đường mạng".

Một lưu ý pháp lý: với dữ liệu cá nhân, Nghị định 13/2023/NĐ-CP yêu cầu doanh nghiệp áp dụng biện pháp bảo vệ phù hợp — và một chiến lược backup có air gap, có kiểm tra restore định kỳ chính là bằng chứng rõ ràng nhất cho thấy doanh nghiệp đã làm tròn trách nhiệm.

Các gói Cloud Server và VPS của SunCloud với hạ tầng Tier III tại Việt Nam, uptime cam kết 99,98% là nền tảng phù hợp để dựng "trạm" backup staging và kho lưu trữ immutable trong nước — dữ liệu không phải vòng ra nước ngoài, tốc độ restore nhanh khi cần kíp.

Kết luận

Air-gapped backup không phải công nghệ xa xỉ — đó là nguyên tắc đơn giản: luôn giữ ít nhất một bản sao lưu mà kẻ tấn công không thể chạm tới, dù chúng đã chiếm toàn bộ mạng của bạn. Với quy tắc 3-2-1-1-0, một lịch luân chuyển ổ cứng kỷ luật và một buổi drill restore mỗi quý, ngay cả SME 20–30 nhân sự cũng dựng được "lớp bảo vệ cuối cùng" trong 30 ngày với chi phí chỉ vài chục triệu đồng.

Ransomware sẽ không biến mất — nhưng doanh nghiệp có air-gapped backup thì không còn phải đàm phán với tội phạm mạng. Hãy bắt đầu từ checklist 30 ngày ở trên. Cần tư vấn hạ tầng backup, Cloud Server hay giải pháp lưu trữ trong nước, liên hệ SunCloud qua hotline 083 979 3434 hoặc truy cập suncloud.vn.

Câu hỏi thường gặp

Air-gapped backup khác gì so với backup thông thường?

Backup thông thường (NAS, cloud đồng bộ) vẫn nối mạng tới hệ thống chính nên kẻ chiếm được mạng là xóa/mã hóa được luôn. Air-gapped backup bị ngắt kết nối hoàn toàn sau khi chép xong, nên nằm ngoài tầm với của mọi cuộc tấn công từ xa.

Air gap logic có an toàn bằng air gap vật lý không?

Gần tương đương nếu cấu hình đúng: immutable (Object Lock/WORM) + tách tài khoản quản trị + MFA + ngắt kết nối ngoài cửa sổ backup. Điểm yếu của air gap logic nằm ở cấu hình sai; điểm yếu của air gap vật lý nằm ở con người quên rút ổ. Kết hợp cả hai là chắc chắn nhất.

Bao lâu nên tạo một bản air-gapped một lần?

Tùy mức độ quan trọng: dữ liệu "sống còn" nên có bản air-gapped hàng tuần; dữ liệu quan trọng có thể hàng tháng. Nguyên tắc: khoảng cách giữa hai bản air-gapped không nên dài hơn thời gian doanh nghiệp chấp nhận mất dữ liệu (RPO).

Doanh nghiệp nhỏ 10–20 người có cần air-gapped backup không?

Cần — ransomware thậm chí còn nhắm vào SME vì biết ít đầu tư bảo mật. Tin tốt là SME triển khai rẻ nhất: 3–4 ổ cứng luân phiên + két chống cháy, tổng chưa tới 20 triệu đồng (minh họa) là đã có lớp bảo vệ cuối cùng.

Băng từ (tape) đã lỗi thời chưa?

Chưa. Với dữ liệu hàng chục TB cần lưu nhiều năm, tape vẫn rẻ nhất tính trên mỗi GB và bền tới 30 năm. Tape chỉ "thừa" với SME vài TB dữ liệu — lúc đó ổ cứng rời kinh tế hơn nhiều.

Ransomware có mã hóa được bản air-gapped không?

Không — nếu quy trình đúng. Kẻ tấn công từ xa không có đường mạng nào tới ổ đã rút ra cất két. Nguy cơ duy nhất nằm ở "cửa sổ" ngắn lúc ổ đang cắm để chép backup, vì vậy backup xong phải rút ngay và không bao giờ để ổ cắm qua đêm.