10 cách bảo vệ dữ liệu trong doanh nghiệp
Nhiều tổ chức tập trung vào việc bảo vệ chống lại các
tấn công bên ngoài nhưng lại bỏ qua những hiểm họa
thậm chí còn nguy hiểm hơn nhiều: mất cắp dữ liệu
bởi ai đó bên trong công ty. Đây là một góc nhìn quan
trọng cần phải đề cập đến trong vấn đề bảo mật.
Các hacker tấn công "bắn hạ" mạng thường nhận
được rất nhiều sự quan tâm, vì vậy các công ty cũng
thường quan tâm đến việc bảo vệ chống lại những
mối đe dọa này. Tuy nhiên nếu tổ chức của bạn chỉ
tập trung vào kiểu bảo mật này, việc đó tương tự với
kiểu đặt tất cả cố gắng vào việc ngăn chặn một kẻ
mang bom tấn công vào công ty nhưng lại quên đi sự
quan tâm đến kẻ trộm lẩn trốn ở cửa sau và “đánh
cắp” đi tất cả những tài sản quý giá.
Một cách đáng tiếc, những đề phòng bảo mật dùng
để ngăn chặn các tấn công DoS, virus, worm, và các
tấn công khác lại dường như không thể giải quyết
được đến vấn đề sảo quyệt hơn: trộm dữ liệu công ty
cho mục đích gián điệp hoặc các mục đích khác. Sự
phơi bày các bí mật thương mại trước một đối thủ
cạnh tranh hoặc phóng thích các thông tin riêng tư
của công ty cho giới truyền thông, trong một số
trường hợp, có thể gây ra mất mát rất nhiều so với
thời gian ngừng hoạt động của máy móc.
Trong bài này chúng tôi sẽ giới thiệu cho các bạn
những gì cần phải thực hiện để bảo mật dữ liệu cho
công ty bạn.
1. Thực hiện nguyên tắc đặc quyền tối thiểu và
thiết lập các chính sách cho việc ghi chép
Có hai triết lý đối ngược nhau mà từ đó bạn có thể
thiết lập các chính sách truy cập mạng. Đầu tiên,
chính sách “mở tất cả”, giả thiết rằng tất cả dữ liệu có
sẵn đối với mọi người trừ khi bạn cần phải hạn chế
sự truy cập. Thứ hai, chính sách “đặc quyền tối
thiểu”, hoạt động trên giả định rằng tất cả dữ liệu đều
được hạn chế ở mức tối đa trước mỗi người dùng trừ
khi họ được trao quyền truy cập. Sau đó giống như
chính sách “cần biết” của các trung tâm tình báo
chính phủ: Trừ khi người dùng có nhu cầu cấp thiết
cần phải truy cập vào một file cụ thể, bằng không họ
sẽ không thể truy cập được nó.
Cần phải làm rõ một điều rằng, các nhân viên không
được copy các thông tin quan trọng hay mang nó về
nhà, hoặc email ra ngoài mạng nội bộ mà không có
sự cho phép. Mặc dù vậy, trừ khi đặt ra các chính
sách như vậy trong các văn bản giấy tờ và có chữ ký
của nhân viên để xác nhận, bằng không khó có thể
bắt người dùng của bạn thực thi tốt các chính sách
đó. Các nguyên tắc không được viết ra sẽ rất khó có
hiệu lực.
Các chính sách cũng cần phải cụ thể và có ví dụ cho
những gì bị cấm. Các nhân viên có thể không hiểu
nếu họ không được giải thích một cách tường tận,
chẳng hạn như việc email một tài liệu công ty dưới
danh nghĩa đính kèm đến ai đó bên ngoài mạng
(hoặc thậm chí đến chính tài khoản của họ ở nhà) sẽ
vi phạm chính sách copy tài liệu đó vào USB và nói
chuyện về nó bên ngoài công ty của mình.
Thêm vào đó, việc diễn đạt chính sách cần phải rõ
ràng để thể hiện sự cấm đoán không chỉ có các ví dụ
mà bạn đưa ra.
2. Thiết lập các đặc quyền hạn chế và thẩm định
truy cập
Không thể chỉ phụ thuộc vào các chính sách để bảo
vệ dữ liệu của mình. Hãy nói với các nhân viên
những gì họ không nên thực hiện, cách thức này sẽ
tránh được việc ai đó trong số họ thực hiện những sai
trái do cẩu thả. Sự thi hành các chính sách mang tính
kỹ thuật sẽ tước bỏ lựa chọn về việc có tuân theo hay
không của họ. Do đó bước đầu tiên trong việc bảo vệ
dữ liệu là thiết lập các đặc quyền thích hợp cho file và
thư mục. Cũng cần phải nói thêm rằng, dữ liệu trên
các mạng Windows nên được lưu dưới các ổ đĩa có
định dạng NTFS để có thể sử dụng các đặc quyền
NTFS cùng với đặc quyền chia sẻ. Định dạng NTFS
của ổ đĩa sẽ có nhiều chi tiết hơn đặc quyền chia sẻ
và áp dụng cho người dùng truy cập dữ liệu trên máy
tính nội bộ cũng như qua mạng.
Trong khi thực thi nguyên tắc đặc quyền tối thiểu, cần
cho phép người dùng mức đặc quyền thấp nhất có
thể để họ có thể thực hiện các công việc của mình.
Cho ví dụ, cấp đặc quyền “Read Only” để tránh người
dùng có thể thay đổi các file dữ liệu quan trọng.
Ngoài ra bạn cũng có thể thiết lập hành động thẩm
định file hoặc thư mục có chứa dữ liệu nhạy cảm để
có thể biết ai đã truy cập vào nó và truy cập khi nào.
Về vấn đề này bạn có thể tìm hiểu thêm về cơ chế
thẩm định truy cập đối tượng trên Windows Server tại
đây.