Cần tăng lớp bảo vệ cho tài sản số doanh nghiệp

Dữ liệu có thể rò từ quy trình vận hành

Một khách hàng vừa bước ra khỏi ngân hàng thì nhận được cuộc gọi. Người ở đầu dây bên kia biết khoản tiền khách vừa gửi, sau đó dựng lên câu chuyện số tiền liên quan đến vi phạm pháp luật và yêu cầu cung cấp mã OTP để chứng minh. Khi OTP được chuyển đi, toàn bộ số tiền rơi vào tay đối tượng.

Đại tá Lê Cao Tâm, Trưởng phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao Công an thành phố Đà Nẵng, dẫn chứng trường hợp này khi phân tích những nguy cơ đang phát sinh từ quá trình thu thập, lưu trữ và chia sẻ dữ liệu. Điểm đáng lưu ý là đối tượng lừa đảo không chỉ biết số điện thoại, mà còn nắm được thông tin đủ cụ thể về giao dịch để khiến nạn nhân tin tưởng.

Theo Đại tá Lê Cao Tâm, dữ liệu hiện không chỉ được sử dụng bên trong một doanh nghiệp. Trong quá trình hoạt động, thông tin có thể được chia sẻ với ngân hàng, bảo hiểm, cơ sở y tế, đơn vị marketing và nhiều đối tác cung cấp dịch vụ. Vì vậy, mỗi khâu từ thu thập, lưu trữ đến chuyển giao đều có thể trở thành điểm phát sinh rủi ro.

Lực lượng chức năng từng làm việc với hàng loạt ngân hàng và ghi nhận hơn 13 đơn vị có biểu hiện làm lộ, lọt dữ liệu cá nhân của khách hàng. Tình trạng này cũng được phát hiện tại trường học, cơ sở khám chữa bệnh và một số hệ thống khác. Đáng chú ý, lực lượng chức năng từng phát hiện một số website lớn có lỗ hổng, làm lộ hơn 1 triệu dữ liệu.

Sau khi phát hiện, vụ việc được báo cáo Cục An ninh mạng, đồng thời làm việc với doanh nghiệp để khắc phục các lỗ hổng của hệ thống. Những trường hợp này cho thấy bảo vệ dữ liệu cá nhân không thể chỉ trông chờ vào một phần mềm hoặc một thiết bị bảo mật. Rủi ro có thể xuất hiện khi hệ thống còn lỗ hổng, quyền truy cập được cấp quá rộng, nhân sự sử dụng dữ liệu không đúng cách hoặc doanh nghiệp chưa kiểm soát được những đơn vị bên ngoài cùng tham gia xử lý dữ liệu.

Theo Đại tá Lê Cao Tâm, vấn đề của doanh nghiệp hiện nay không đơn thuần là thiếu công nghệ bảo mật mà còn nằm ở việc chưa tạo được sự đồng bộ giữa pháp lý, quy trình, con người và công nghệ. Tại Đà Nẵng, lực lượng chức năng đã phát hiện trường hợp đơn vị có thu thập dữ liệu nhưng trong quá trình làm việc với đối tác bên ngoài, nhân viên trao đổi, bán dữ liệu ra ngoài. Vì vậy, khi chuyển giao dữ liệu cho đối tác, doanh nghiệp cần cân nhắc kỹ và có cơ chế pháp lý ràng buộc nhằm kiểm soát việc sử dụng thông tin.

Bắt đầu từ tài khoản, phân quyền và sao lưu

Từ những nguy cơ phát sinh ngay trong quá trình vận hành, câu hỏi đặt ra là doanh nghiệp nên bắt đầu bảo vệ hệ thống từ đâu. Thượng tá Trần Việt Cường, Phó Giám đốc Trung tâm 2, Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, cho rằng bước đầu tiên không phải mua thêm thiết bị mà là nhận diện doanh nghiệp đang có những tài sản số nào. Website, email, tài khoản quản trị, hệ thống kế toán, cơ sở dữ liệu khách hàng hay tài khoản mạng xã hội cần được đưa vào danh mục quản lý. Từ đó, doanh nghiệp xác định tài sản nào quan trọng, dữ liệu nào nhạy cảm, ai có quyền truy cập và hoạt động kinh doanh sẽ bị ảnh hưởng thế nào nếu hệ thống ngừng hoạt động. Khi đã xác định được các điểm cần ưu tiên, nhiều biện pháp có thể triển khai ngay mà không đòi hỏi đầu tư lớn.

Ông Cường lưu ý, những tài khoản email, quản trị quan trọng cần được tăng cường xác thực; quyền truy cập phải cấp theo đúng nhiệm vụ, không dùng chung tài khoản quản trị và phải thu hồi ngay khi nhân sự thay đổi vị trí hoặc nghỉ việc. Bên cạnh phòng ngừa, doanh nghiệp cũng cần chuẩn bị trước phương án xử lý sự cố, trong đó xác định rõ người ra quyết định, người phụ trách kỹ thuật, đầu mối liên hệ cơ quan chức năng, người làm việc với khách hàng và người cung cấp thông tin ra bên ngoài.

Ở góc độ quản trị, Đại tá, TS. Nguyễn Hồng Quân, Phó Cục trưởng Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an, cho rằng an ninh mạng không nên chỉ được xem là công việc riêng của bộ phận công nghệ. Người đứng đầu cần biết doanh nghiệp đang phụ thuộc vào hệ thống nào, dữ liệu nào quan trọng và ai chịu trách nhiệm khi xảy ra sự cố. Điều cần hướng tới không phải chỉ là có nhiều công cụ bảo mật mà là những công cụ, quy trình đó có thực sự phát huy tác dụng khi cần hay không.

Việc trang bị công cụ bảo mật phải đi cùng quá trình cập nhật, vận hành và kiểm tra thường xuyên. “Có công cụ nhưng công cụ đó phải được cập nhật. Có quy trình nhưng quy trình đó phải được thấu suốt đến từng nhân viên. Có sao lưu nhưng việc sao lưu đó phải có tác dụng. Chúng ta đã thử khôi phục lại dữ liệu lần nào chưa?”, ông Quân đặt vấn đề.

Với doanh nghiệp vừa và nhỏ, ông Quân nhận định an ninh mạng không nhất thiết phải bắt đầu bằng một khoản đầu tư lớn. Việc thu hồi quyền truy cập đúng lúc, tăng lớp xác thực cho tài khoản quan trọng hay duy trì một bản sao lưu có thể phục hồi đều là những biện pháp cơ bản nhưng có ý nghĩa trong vận hành hằng ngày.