22
07 - 2019
0

Làm thế nào ngăn chặn LỖI VI PHẠM BẢO MẬT DỮ LIỆU của người dùng.

Tác giả: Nguyen Huy

Một trong những nguyên nhân phổ biến nhất của LỖI VI PHẠM BẢO MẬT DỮ LIỆU là cấu hình sai của dịch vụ hệ thống mạng hoặc dịch vụ Cloud (Dịch vụ trên điện toán đám mây) do lỗi người dùng hoặc quản trị viên.

Các khái niệm được sử dụng trong điện toán đám mây không có gì mới - trên thực tế, ý tưởng thuê tài nguyên trên máy chủ từ nhà cung cấp bên ngoài có từ khá lâu (Ở Việt nam thường là thuê VPS, Delicate Server…). Có nhiều lợi ích khi lưu trữ dữ liệu, máy chủ và các tài nguyên khác trên đám mây, chủ yếu là nó cung cấp quyền truy cập dễ dàng vào các tài nguyên này từ khắp mọi nơi. Tuy nhiên, sự ra đời của các dịch vụ đám mây ngày càng rẻ đã giúp các doanh nghiệp ở mọi quy mô nhanh chóng tiếp cận, duy trì liên tục và luôn cho phép các tổ chức TỰ triển khai và QUẢN LÝ nhanh chóng công nghệ mới, mà đôi khi không có sự can thiệp của chuyên viên IT như mọi khi.

Cơ sở hạ tầng dịch vụ Cloud – “Điện toán đám mây” thường được triển khai mà KHÔNG CÓ CHUYÊN MÔN của các bộ phận CNTT (thường gọi là Bộ phận IT) hoặc Bảo mật và có thể không phù hợp cụ thể với các quy trình hoặc mục tiêu kinh doanh có khả năng dẫn đến cấu hình không phù hợp. Khi không được bảo mật đúng cách, khả năng truy cập đã làm cho nền tảng đám mây thành công cũng có thể dẫn đến NGUY CƠ vi phạm dữ liệu. Đối với những người không quen thuộc với hoạt động bên trong của Cloud – “điện toán đám mây”, bạn có thể nghĩ về hệ thống Cloud như một “Kho dịch vụ lưu trữ khổng lồ”. Bạn có thể thuê không gian trong một khu vực chung, nhưng đó là trách nhiệm của bạn để bảo đảm tài sản của bạn. Khi các tổ chức thiếu hiểu biết đầy đủ về ý nghĩa bảo mật của nền tảng đám mây, lỗi của con người thường phát sinh trong quá trình cấu hình; lỗi này của con người được xác định là nguyên nhân gốc rễ của gần 25% các vi phạm trong năm 2019 (Báo cáo chi phí vi phạm dữ liệu năm 2019 của IBM).

Vấn đề không chỉ giới hạn ở các doanh nghiệp vừa và nhỏ, những người thường được cho là ít quen thuộc với các khái niệm điện toán đám mây. Các doanh nghiệp thuộc mọi quy mô trở thành nạn nhân và các tổ chức lớn hơn thường được báo cáo nhiều hơn khi được phát hiện. Tại thời điểm viết, đã có ba trường hợp đáng kể về bảo mật đám mây không phù hợp dẫn đến việc phát hiện ra dữ liệu bị lộ công khai chỉ trong tháng đầu năm 2020. Bạn có thể nghĩ, nếu một số tổ chức lớn nhất trong công nghệ gặp khó khăn trong việc bảo vệ chống lại lỗi của người dùng, doanh nghiệp nhỏ hơn liệu có hy vọng gì? Thực tế của vấn đề là bạn có thể nhỏ, nhưng bạn (CEO) rất mạnh mẽ - thường dễ dàng hơn để truyền đạt sự thay đổi tại một doanh nghiệp và có khả năng dễ dàng hơn để thực thi các chính sách và giám sát sự tuân thủ.

Công ty của bạn có CHÍNH SÁCH CNTT chưa? Bạn có thể đưa ra chính sách sử dụng chấp nhận được cho tổ chức của mình trong vòng chưa đầy một phút không? Ai là người giúp bạn xây dựng, quản lý và cập nhật thay đổi các chính sách này? Nếu bạn nói không với bất kỳ câu hỏi nào trong số này, làm thế nào bạn có thể mong đợi nhân viên của mình biết trách nhiệm của họ trong việc bảo vệ cho tổ chức của bạn? Chính sách sử dụng tốt có thể chấp nhận được, không cần phải có gì đặc biệt, nhưng nó sẽ chi phối cách nhân viên ​​sẽ sử dụng thiết bị của họ như thế nào và cung cấp các biện pháp kiểm soát quan trọng để bảo vệ doanh nghiệp của bạn khỏi vi phạm dữ liệu. Điều này sẽ bao gồm một số thông báo cho nhân viên rằng phần mềm và dịch vụ được xác định bởi ban quản lý và người dùng cần có sự chấp thuận cho bất kỳ phần mềm hoặc dịch vụ nào đã được phê duyệt.

Bạn nên cố gắng biến nhân viên hoặc bộ phận CNTT của mình thành Bộ phận Giải pháp. Ngay cả với sự hướng dẫn từ ban quản lý, việc xem các hạn chế về công nghệ có thể rất hấp dẫn khi bộ phận CNTT thực thi kiểm soát chặt chẽ ngăn cản nhân viên làm việc hiệu quả. Khi một nhân viên đưa ra yêu cầu sử dụng phần mềm hoặc dịch vụ hiện chưa được phê duyệt, bộ phận CNTT nên thực hiện trách nhiệm của mình để xác định các lựa chọn thay thế phù hợp để đạt được kết quả cuối cùng bằng cách sử dụng các phần mềm và dịch vụ được phê duyệt trước. Ví dụ: nếu người dùng yêu cầu sử dụng Dropbox để gửi một File đến nhà cung cấp một cách an toàn, thì có thể có ích khi khám phá bằng cách sử dụng mã hóa thư Office365 hoặc các tính năng OneDrive. Trong kịch bản giả định này, nhân viên CNTT của bạn đã hỗ trợ môi trường Office365 và đã triển khai cụ thể các kiểm soát bảo mật dựa trên cách sử dụng hệ thống này, nói chung sẽ dễ dàng và dễ hỗ trợ hơn để triển khai một hệ thống mà bạn đã có thay vì cố gắng thực hiện một hệ thống khác để đạt được cùng mục tiêu.

Bằng cách thực hiện quản trị mạnh mẽ, duy trì tài liệu chi tiết và cung cấp dịch vụ khách hàng tuyệt vời cho nhân viên của bạn, bất kỳ tổ chức nào cũng có thể bắt đầu tự bảo vệ mình trước sự cố CNTT và cấu hình sai, hai nguyên nhân phổ biến của lỗ hổng dịch vụ đám mây. Mặc dù điều này không đảm bảo rằng các biện pháp bảo mật tốt nhất được tuân thủ (trừ khi chúng được ghi nhận lại đúng cách), nhưng nó đặt nền tảng cần thiết cho một chương trình bảo mật trưởng thành trong tổ chức của bạn.

Nguyễn Thế Thương

Chia sẻ: