Hệ thống công nghệ doanh nghiệp là gì và gồm những gì?

Điểm quan trọng nằm ở chữ “hệ thống”. Một doanh nghiệp có hàng chục ứng dụng nhưng nếu mỗi ứng dụng vận hành độc lập, dữ liệu không nhất quán và quyền truy cập không được quản lý thống nhất thì đó chủ yếu là một tập hợp công nghệ. Chỉ khi các thành phần có quan hệ phụ thuộc, trao đổi dữ liệu và cùng phục vụ quy trình kinh doanh, chúng mới hình thành một hệ thống công nghệ doanh nghiệp theo nghĩa đầy đủ.

Hệ thống công nghệ doanh nghiệp là một hệ thống liên kết chứ không phải danh sách thiết bị và phần mềm

Ở mức cơ bản, hệ thống công nghệ doanh nghiệp gồm các tài nguyên kỹ thuật và phần mềm mà tổ chức sử dụng. Tuy nhiên, bản chất của hệ thống không nằm ở số lượng tài nguyên mà ở cách chúng phối hợp với nhau.

Một giao dịch bán hàng là ví dụ đơn giản. Nhân viên đăng nhập vào ứng dụng bán hàng, ứng dụng gọi dịch vụ nghiệp vụ, dịch vụ đọc thông tin khách hàng và hàng tồn kho từ dữ liệu, sau đó hệ thống có thể gửi thông tin sang kế toán, kho hoặc nền tảng báo cáo. Toàn bộ quá trình phụ thuộc đồng thời vào mạng, máy chủ hoặc dịch vụ đám mây, phần mềm, cơ sở dữ liệu, tài khoản và quyền của người sử dụng.

Nếu một mắt xích không hoạt động, quy trình nghiệp vụ có thể bị ảnh hưởng dù những thành phần còn lại vẫn bình thường. Vì vậy, khi đánh giá hệ thống công nghệ doanh nghiệp cần nhìn vào quan hệ phụ thuộc giữa các thành phần, không chỉ kiểm kê từng tài sản CNTT.

Cách nhìn này cũng tương đồng với tư duy kiến trúc doanh nghiệp trong TOGAF, nơi kiến trúc ứng dụng, dữ liệu và công nghệ được xem xét như các miền có quan hệ với nhau thay vì những hệ thống hoàn toàn tách biệt.

Hạ tầng tạo nền tảng để toàn bộ hệ thống có thể vận hành

Hạ tầng là lớp cung cấp tài nguyên tính toán, lưu trữ và kết nối cho các thành phần phía trên. Nó có thể bao gồm máy chủ vật lý, máy ảo, dịch vụ cloud, hệ điều hành, thiết bị lưu trữ, mạng LAN/WAN, Internet, DNS, cân bằng tải và các nền tảng container.

Vai trò của hạ tầng không chỉ là “chạy phần mềm”. Nó quyết định ứng dụng được đặt ở đâu, người dùng kết nối bằng cách nào, dữ liệu được lưu ở đâu và hệ thống có thể duy trì hoạt động khi một tài nguyên gặp sự cố hay không.

Ví dụ, một ứng dụng có thể được thiết kế tốt nhưng vẫn trở nên khó sử dụng nếu đường truyền thường xuyên nghẽn hoặc hạ tầng không đủ năng lực xử lý tải. Ngược lại, doanh nghiệp có hạ tầng mạnh nhưng kiến trúc ứng dụng và dữ liệu kém vẫn có thể gặp lỗi nghiệp vụ hoặc khó mở rộng.

Các chỉ số vận hành của lớp này thường có thể đo được, chẳng hạn:

·         Mức sử dụng CPU, bộ nhớ và lưu trữ

·         Độ trễ mạng

·         Thông lượng

·         Thời gian đáp ứng

·         Tỷ lệ sẵn sàng

·         Thời gian khôi phục dịch vụ

Mức sẵn sàng cũng cho thấy sự khác biệt giữa yêu cầu kỹ thuật và yêu cầu kinh doanh. Với một tháng 30 ngày, mức 99,9% tương đương khoảng 43 phút không sẵn sàng, trong khi 99,99% chỉ khoảng 4,3 phút. Vì thế doanh nghiệp không nên đặt một mục tiêu chung cho mọi hệ thống; mức yêu cầu phải phụ thuộc vào mức độ quan trọng của từng dịch vụ.

Ứng dụng biến tài nguyên công nghệ thành chức năng phục vụ nghiệp vụ

Ứng dụng là lớp mà người dùng nhìn thấy rõ nhất, nhưng phía sau một ứng dụng thường là nhiều dịch vụ và phụ thuộc kỹ thuật khác nhau.

Trong doanh nghiệp, lớp ứng dụng có thể gồm ERP, CRM, kế toán, quản trị nhân sự, quản lý kho, thương mại điện tử, hệ thống nội bộ, ứng dụng di động, công cụ cộng tác hoặc các dịch vụ chuyên biệt do doanh nghiệp tự phát triển.

Chức năng của ứng dụng là chuyển yêu cầu nghiệp vụ thành các thao tác có thể được hệ thống xử lý. Khi nhân viên lập đơn hàng, duyệt chi phí hay cập nhật hồ sơ khách hàng, ứng dụng tiếp nhận thao tác, áp dụng quy tắc nghiệp vụ rồi đọc hoặc ghi dữ liệu tương ứng.

Một ứng dụng vì vậy hiếm khi tồn tại độc lập. Nó thường phụ thuộc vào:

·         Dịch vụ xác thực người dùng

·         Cơ sở dữ liệu

·         API hoặc middleware

·         Hạ tầng tính toán

·         Mạng

·         Dịch vụ bên thứ ba

Quan hệ phụ thuộc này giải thích tại sao sự cố nhìn thấy ở một ứng dụng chưa chắc bắt nguồn từ chính ứng dụng đó. Lỗi đăng nhập có thể đến từ hệ thống nhận dạng; dữ liệu không cập nhật có thể do quá trình tích hợp; thời gian phản hồi chậm có thể xuất phát từ cơ sở dữ liệu hoặc mạng.

Dữ liệu là lớp thông tin được các ứng dụng cùng khai thác và trao đổi

Dữ liệu bao gồm thông tin khách hàng, sản phẩm, giao dịch, tài chính, nhân sự, vận hành và những tập dữ liệu khác mà doanh nghiệp tạo ra hoặc tiếp nhận.

Trong hệ thống công nghệ doanh nghiệp, vấn đề quan trọng không chỉ là nơi lưu dữ liệu. Doanh nghiệp còn phải xác định dữ liệu được tạo ở đâu, hệ thống nào là nguồn chính, ai được phép thay đổi, ứng dụng nào được sử dụng và dữ liệu được truyền giữa các hệ thống theo cách nào.

Nếu không xác định rõ những quan hệ này, cùng một đối tượng có thể xuất hiện với nhiều phiên bản khác nhau. Chẳng hạn, địa chỉ của một khách hàng có thể khác nhau giữa CRM, phần mềm kế toán và hệ thống giao hàng. Khi đó doanh nghiệp không chỉ có vấn đề về dữ liệu mà còn có vấn đề về kiến trúc hệ thống.

Dữ liệu vì thế cần được quản lý về cả:

·         Chất lượng

·         Tính nhất quán

·         Quyền sở hữu

·         Phân loại

·         Bảo mật

·         Sao lưu và khôi phục

·         Vòng đời lưu giữ

Đối với khả năng phục hồi, doanh nghiệp thường xác định RPO để mô tả lượng dữ liệu tối đa có thể chấp nhận mất theo thời gian và RTO để xác định thời gian mục tiêu cần khôi phục dịch vụ. Hai chỉ số này phải xuất phát từ nhu cầu nghiệp vụ thay vì được đặt giống nhau cho tất cả dữ liệu.

Người dùng là một thành phần của hệ thống chứ không đứng ngoài hệ thống

Người dùng không đơn thuần là người sử dụng phần mềm. Trong hệ thống công nghệ hiện đại, danh tính của người dùng quyết định họ có thể truy cập tài nguyên nào và được thực hiện hành động gì.

Lớp này thường bao gồm tài khoản, danh tính số, nhóm người dùng, vai trò, quyền truy cập, xác thực đa yếu tố và các chính sách kiểm soát truy cập.

Một nhân viên kế toán và một nhân viên bán hàng có thể sử dụng cùng một hệ thống nhưng được nhìn thấy những dữ liệu khác nhau. Người quản trị có thể được phép cấu hình ứng dụng nhưng không nhất thiết được phép phê duyệt giao dịch tài chính. Việc phân quyền vì thế phải phản ánh trách nhiệm nghiệp vụ chứ không chỉ vị trí kỹ thuật.

Đây cũng là lý do các mô hình bảo mật hiện đại không mặc định rằng người dùng đã ở trong mạng nội bộ thì đáng tin cậy. Danh tính, thiết bị, quyền và ngữ cảnh truy cập đều có thể được kiểm tra trước khi cấp quyền tới một tài nguyên.

Tích hợp giúp hạ tầng, ứng dụng và dữ liệu trở thành một hệ thống thống nhất

Khi doanh nghiệp sử dụng nhiều phần mềm, chúng phải trao đổi thông tin với nhau. Vai trò này được thực hiện thông qua API, middleware, message queue, nền tảng tích hợp, cơ chế đồng bộ dữ liệu hoặc các luồng xử lý tự động.

Ví dụ, khi hệ thống bán hàng tạo một đơn mới, dữ liệu có thể cần chuyển sang kho để chuẩn bị hàng, sang kế toán để ghi nhận giao dịch và sang hệ thống vận chuyển để tạo yêu cầu giao hàng.

Nếu từng ứng dụng phải kết nối trực tiếp với tất cả ứng dụng còn lại, số lượng phụ thuộc có thể tăng nhanh và trở nên khó kiểm soát. Kiến trúc tích hợp vì thế cần quy định rõ giao diện, định dạng dữ liệu, trách nhiệm của từng hệ thống và cách xử lý khi một dịch vụ tạm thời không phản hồi.

Tích hợp tốt không có nghĩa là mọi hệ thống phải chia sẻ mọi dữ liệu. Chỉ những thông tin cần thiết cho quy trình nghiệp vụ mới nên được trao đổi, theo đúng quyền và mục đích sử dụng.

Bảo mật và quản trị bao phủ toàn bộ hệ thống thay vì tồn tại như một lớp tách biệt

Bảo mật không chỉ là tường lửa hoặc phần mềm chống mã độc. Nó liên quan đến hạ tầng, ứng dụng, dữ liệu, người dùng và các kết nối giữa chúng.

Doanh nghiệp cần biết tài sản nào tồn tại, dữ liệu nào quan trọng, ai có quyền truy cập, sự kiện nào cần được ghi nhận và quy trình xử lý sẽ diễn ra thế nào khi phát hiện sự cố.

Những khung như NIST Cybersecurity Framework tổ chức quản trị an ninh mạng quanh các chức năng quản trị, nhận diện, bảo vệ, phát hiện, ứng phó và phục hồi. ISO/IEC 27001 tiếp cận vấn đề ở cấp hệ thống quản lý an toàn thông tin. Hai cách tiếp cận đều cho thấy bảo mật phải được gắn với quản trị và rủi ro của tổ chức thay vì chỉ phụ thuộc vào một sản phẩm kỹ thuật.

Quản trị còn xác định trách nhiệm đối với từng thành phần. Một hệ thống quan trọng cần có chủ sở hữu nghiệp vụ, đơn vị chịu trách nhiệm kỹ thuật, quy trình thay đổi, cơ chế giám sát và yêu cầu phục hồi rõ ràng. Nếu không có các yếu tố này, doanh nghiệp có thể sở hữu đầy đủ công nghệ nhưng vẫn vận hành thiếu kiểm soát.

Các thành phần liên kết với nhau theo một chuỗi xử lý

Có thể hình dung một giao dịch điển hình theo chuỗi sau:

1.    Người dùng xác thực danh tính và gửi yêu cầu

2.    Ứng dụng tiếp nhận yêu cầu và áp dụng logic nghiệp vụ

3.    Dịch vụ tích hợp chuyển yêu cầu tới các hệ thống liên quan khi cần

4.    Dữ liệu được đọc, cập nhật hoặc trao đổi

5.    Hạ tầng cung cấp tài nguyên tính toán, lưu trữ và kết nối cho toàn bộ quá trình

6.    Bảo mật và quản trị kiểm soát quyền, ghi nhận sự kiện và áp dụng chính sách xuyên suốt chuỗi

Chuỗi này cũng giúp phân tích sự cố hiệu quả hơn. Nếu người dùng không truy cập được dịch vụ, câu hỏi không chỉ là “ứng dụng có hỏng không?” mà còn phải kiểm tra danh tính, mạng, dịch vụ tích hợp, cơ sở dữ liệu và các phụ thuộc bên dưới.

Vì vậy, khả năng quan sát hệ thống cần theo dõi cả metric, log, sự kiện và mối quan hệ phụ thuộc. Một chỉ số đơn lẻ thường chỉ cho biết nơi xuất hiện triệu chứng chứ chưa chắc xác định được nguyên nhân gốc.

Không nên đồng nhất hệ thống công nghệ doanh nghiệp với hệ thống thông tin hoặc một phần mềm doanh nghiệp

Các khái niệm này có quan hệ nhưng phạm vi khác nhau.

Một phần mềm doanh nghiệp như ERP là một thành phần ứng dụng. ERP có thể rất quan trọng nhưng vẫn cần hạ tầng, dữ liệu, danh tính và tích hợp để hoạt động.

Hệ thống thông tin thường nhấn mạnh rộng hơn vào con người, quy trình và thông tin phục vụ hoạt động tổ chức. Hệ thống công nghệ doanh nghiệp tập trung vào nền tảng kỹ thuật và các quan hệ công nghệ cho phép những quy trình số đó vận hành.

Cũng không nên hiểu hệ thống công nghệ là danh sách tài sản CNTT. Hai doanh nghiệp có thể sở hữu số lượng máy chủ và phần mềm tương tự nhưng mức độ trưởng thành rất khác nhau nếu một bên đã quản lý rõ phụ thuộc, dữ liệu, quyền truy cập và trách nhiệm vận hành còn bên kia chưa làm được điều đó.

Muốn hiểu hệ thống công nghệ của một doanh nghiệp cần nhìn vào cả thành phần và quan hệ phụ thuộc

Một cách mô tả thực tế là bắt đầu từ dịch vụ hoặc quy trình kinh doanh, sau đó lần ngược các thành phần công nghệ hỗ trợ nó.

Ví dụ, đối với dịch vụ đặt hàng trực tuyến, doanh nghiệp cần xác định ứng dụng nào tiếp nhận đơn, dữ liệu nằm ở đâu, hệ thống thanh toán nào được gọi, dịch vụ kho nào nhận thông tin, người dùng và hệ thống được xác thực ra sao, tất cả đang chạy trên hạ tầng nào và khi một thành phần ngừng hoạt động thì những quy trình nào bị ảnh hưởng.

Cách tiếp cận này tạo ra bản đồ phụ thuộc thay vì một danh mục tài sản đơn thuần. Nó giúp doanh nghiệp xác định thành phần quan trọng, điểm lỗi đơn, yêu cầu dự phòng và mức dịch vụ cần thiết.

Các chỉ số như availability, latency, error rate, RTO, RPO và MTTR khi đó mới có ý nghĩa vì chúng được gắn với một dịch vụ kinh doanh cụ thể. Một hệ thống ít quan trọng có thể chấp nhận thời gian phục hồi dài hơn; một dịch vụ trực tiếp tạo doanh thu hoặc hỗ trợ hoạt động thiết yếu có thể cần yêu cầu nghiêm ngặt hơn.

Hệ thống công nghệ doanh nghiệp vì vậy nên được hiểu là một mạng lưới các thành phần công nghệ có quan hệ phụ thuộc, trong đó hạ tầng cung cấp năng lực vận hành, ứng dụng thực hiện nghiệp vụ, dữ liệu cung cấp và lưu giữ thông tin, người dùng tương tác thông qua danh tính và quyền truy cập, còn tích hợp, bảo mật và quản trị kết nối và kiểm soát toàn bộ hệ thống.

Điểm phân biệt quan trọng nhất là một hệ thống không được xác định chỉ bằng việc doanh nghiệp “có những công nghệ gì”, mà còn bằng việc các công nghệ đó kết nối ra sao, phụ thuộc vào nhau như thế nào và cùng hỗ trợ một dịch vụ hoặc quy trình kinh doanh nào. Khi nhìn theo cách này, doanh nghiệp có thể quản lý công nghệ dựa trên tác động thực tế tới hoạt động thay vì quản lý từng máy chủ, ứng dụng hay cơ sở dữ liệu như những tài sản tách biệt.