Bài viết này được chia sẻ bởi Ron Arden trong buổi phỏng vấn với tạp chí Authority. Ron Arden hiện đang là Phó chủ tịch điều hành, giám đốc công nghệ và Giám đốc điều hành của Fasoo. Ông chịu trách nhiệm về hoạt động, công nghệ và triển khai các sản phẩm và dịch vụ khách hàng của Fasoo.
5 điều mọi công ty cần biết để thắt chặt cách tiếp cận dữ liệu nhạy cảm
1. Bảo vệ dữ liệu, không chỉ là bề mặt và vị trí của dữ liệu.
Bảo vệ dữ liệu và kiểm soát quyền truy cập của dữ liệu để thiết lập quyền riêng tư dữ liệu thực sự. Nhiều công ty có biện pháp hạn chế quyền truy cập vào dữ liệu. Nhưng hầu hết chỉ tập trung vào việc bảo vệ vị trí của dữ liệu. Ngay khi người dùng được ủy quyền sao chép sang vị trí khác, bảo mật ban đầu sẽ biến mất. Điều quan trọng là phải có khả năng hiển thị được chuyển động của dữ liệu theo lịch sử.
Ví dụ, nếu đăng nhập trên một ứng dụng HRM, chạy báo cáo chứa PII của nhân viên và tải thông tin đó xuống. Mọi dữ liệu gửi qua email bằng bản tính sẽ được đọc và sao chép bởi bất kỳ ai. Quyền truy cập có thể được theo dõi và kiểm soát bằng thông tin đăng nhập, còn dữ liệu như bảng tính thì không. Dữ liệu lúc này không bị giới hạn quyền, vì quyền chỉ bị giới hạn ở truy cập vào ứng dụng.
Nhưng nếu như bảng tính được mã hóa ngay khi tải xuống và giới hạn quyền truy cập của bản tính đó theo nhóm quyền. Điều này có thể duy trì quyền riêng tư dữ liệu cho hệ thống nhân viên tương tự như cách bạn bảo vệ quyền truy cập. Chỉ những người dùng được cấp quyền thực sự mới được vào tệp và xem được nội dung tệp ở bất kỳ đâu. Ngoài ra, có thể giới hạn khả năng chỉnh sửa hoặc sao chép dữ liệu của người dùng sang tệp hoặc ứng dụng khác
Cho dù dữ liệu của bạn có vô tình lọt vào tay người khác không được phép, họ cũng không thể đọc vì dữ liệu đã được mã hóa. Điều này đảm bảo quyền riêng tư dữ liệu mà không cần phải lo về vị trí của dữ liệu.
2. Xóa dữ liệu dư thừa
Hầu hết các tổ chức đều duy trì và xử lý dữ liệu tuân theo các quy định về quyền riêng tư như một phần trong hoạt động kinh doanh. Cho dù đó là thông tin nhân viên hay của khách hàng, đối tác. Theo thời gian, khi người dùng chạy báo cáo, tạo tài liệu và chia sẻ chúng, dữ liệu dư thừa và lỗi thời sẽ tăng lên. Điều này làm tăng thêm bề mặt tấn công và khiến khả năng ai đó cố ý hoặc vô tình chia sẻ dữ liệu mà thiếu sự kiểm soát.
Việc loại bỏ các bản sao trùng lặp bằng các kỹ thuật quản lý dữ liệu và kiểm soát truy cập tốt có thể giảm thiểu rủi ro cho công ty và cải thiện quyền riêng tư của bạn
3. Sao lưu dữ liệu nhạy cảm của bạn thường xuyên
Điều này có vẻ cơ bản, nhưng nó phải là một phần quan trọng của chiến lược bảo mật CNTT của bạn. Một thành phần chính là mã hóa các tài liệu nhạy cảm khi người dùng tạo chúng và tự động sao lưu chúng theo thời gian thực vào một vị trí đám mây hoặc tùy chọn khác. Với các bản sao lưu an toàn, bạn có thể vượt qua được các tình huống éo le như việc vô tình xóa tệp dữ liệu hoặc bị khóa bởi ransomware.
Bằng cách mã hóa tài liệu khi người dùng tạo ra chúng, đảm bảo tính bảo mật và quyền riêng tư dữ liệu nhạy cảm bằng hạn chế quyền truy cập. Tự động sao lưu dữ liệu nhạy cảm có nghĩa là bản đơn giản hóa tính bảo mật và khả dụng được thiết lập bạn đầu. Nếu các tệp nhạy cảm được sao lưu ngay khi chúng ta lưu chúng, bạn không phải dựa vào lịch trình và lo lắng rằng mình đã bỏ lỡ điều gì.
4. Hạn chế rủi ro từ các mối đe dọa nội bộ
Người dùng được ủy quyền của dữ liệu nhạy cảm gây ra rủi ro lớn nhất đối với bảo mật. Trong khi các mối đe dọa bên ngoài luôn được đưa tin, thực tế là những người trong cuộc mới là những người có khả năng gây tổn hại cho dữ liệu nhất. Các cuộc tấn công nội bộ có thể khó phát hiện và ngăn chặn. Đặc biệt là khi bạn nghĩ rằng những người trong cuộc mở rộng đến các đối tác, khách hàng và độ tin cậy của bạn.
Hành động có thể là cố tình hoặc vô tình, nhân viên bất mãn với công ty hoặc đối tác đưa ra các quyết định phá hoại tổ chức. Hoặc dữ liệu được coi như một tài sản có giá trị, có rất nhiều người mong muốn mua lại các dữ liệu thông tin người dùng. Việc này đa phần xuất phát từ nội bộ doanh nghiệp và có thể khiến doanh nghiệp mất danh tiếng.
Cách tốt nhất để giảm thiểu mối đe dọa nội bộ là chỉ định các chính sách quyền giới hạn những người dùng cụ thể có thể mở được các tài liệu nhạy cảm. Thiết lập các quyền sao chép, chia sẻ tài liệu ngay cả với những người dùng đáng tin cậy. Ngoài ra có thể thiết lập thêm hạn hiệu lực truy cập tài liệu hoặc ngay lập tức thu hồi quyền khi bạn nghi ngờ có vấn đề để giảm thiểu thiệt hại.
5. Tạo ra tư duy bảo mật và quyền riêng tư cho toàn công ty
Giáo dục nhân viên và chuỗi cung ứng của bạn về tầm quan trọng của bảo mật và quyền riêng tư dữ liệu để họ có thể bảo vệ thông tin kinh doanh và tránh mắc phải những lỗi vi phạm dữ liệu. Mọi người cần hiểu dữ liệu nào là nhạy cảm và phải xử lý cẩn thận. Không chỉ yêu cầu mọi người xem video đào tạo, bạn cần truyền đạt điều này vào văn hóa công ty cần tuân thủ.
Dữ liệu của bạn phải luôn nằm trong chính sách dữ liệu của công ty cần hạn chế quyền truy cập áp dụng quy tắc với bất kỳ người dùng nào. Tự động mã hóa tài liệu có dữ liệu nhạy cảm và chỉ định chính sách kiểm soát quyền truy cập ngăn chặn việc chia sẻ dữ liệu được quản lý với người dùng trái phép. Người dùng không phải làm gì ngoài công việc của họ và công nghệ thực thi chính sách.
Các công ty thường mắc phải những lỗi bảo mật dữ liệu phổ biến nào nhất?
Lỗi phổ biến là bảo vệ tất cả các vị trí của dữ liệu nhạy cảm mà không bảo vệ chính dữ liệu đó. Các công ty bảo mật tại chỗ bảo vệ dữ liệu máy chủ, mạng, endpoint, cloud hoặc bất kỳ đâu lưu trữ tệp. Nếu tôi sao chép tệp nhạy cảm từ một vị trí an toàn và gửi cho một ai khác qua email, hoặc usb, hoặc ứng dụng tin nhắn thì bảo vệ dữ liệu theo vị trí không còn nữa. Hoặc khi thay đổi vị trí của tệp sang một vị trí mới thì không có tính kế thừa chính sách bảo mật.
Một sai lầm lớn khác là dành nhiều thời gian để xác định và cố gắng triển khai phân loại phức tạp cho dữ liệu. Thường dữ liệu được chia thành 2 loại: Công khai và không công khai. Nếu mục tiêu là đảm bảo dữ liệu không bị rò rỉ ra ngoài công ty, hãy mã hóa tất cả các tệp và cấp cho người dùng nội dung họ được truy cập vào.Đối với trường hợp bạn cần chia sẻ dữ liệu công khai, bạn có thể giải mã dữ liệu. Có nhiều cách để thực hiện việc này với tác động tối thiểu đến người dùng. Đối với dữ liệu trong cơ sở dữ liệu, có nhiều giải pháp mã hóa đảm bảo tính bảo mật và quyền riêng tư của dữ liệu mà không ảnh hưởng đến năng suất của ứng dụng.
