Theo Security Magazine, hơn 22 tỷ hồ sơ đã bị lộ trong hơn 4.000 vụ vi phạm dữ liệu được tiết lộ công khai vào năm ngoái. Tuy nhiên, con số thực tế thậm chí có thể còn cao hơn, vì nhiều vụ vi phạm dữ liệu đã không được báo cáo công khai.
Tầm quan trọng của việc thực hiện các biện pháp phòng ngừa để ngăn chặn vi phạm dữ liệu đã được rất nhiều tổ chức/doanh nghiệp, các chuyên gia an toàn thông tin thảo luận và đưa ra những khuyến nghị như tập trung vào việc sử dụng công nghệ VPN để ngăn chặn tội phạm mạng đánh cắp dữ liệu. Tuy nhiên, trên thực tế có rất nhiều giải pháp hiệu quả khác có thể giúp các tổ chức/doanh nghiệp ngăn ngừa vi phạm dữ liệu nhưng ít được chú ý.
Một chiến lược cũng được nhiều chuyên gia khuyến nghị sử dụng trong việc ngăn chặn vi phạm dữ liệu là sử dụng giải pháp phân chia nhiệm vụ (Separation of duties - SoD). Vậy SoD là gì và nó có vai trò quan trọng đối với các tổ chức/doanh nghiệp đang cố gắng bảo vệ dữ liệu của họ như thế nào?
SoD là một biện pháp bảo mật có thể giúp ngăn ngừa gian lận và giảm thiểu sai sót bằng cách đảm bảo rằng không có một cá nhân nào có quá nhiều quyền kiểm soát đối với một quy trình hoạt động.
Logic đằng sau giải pháp SoD là việc một người khó có thể hoàn thành tốt nhiệm vụ của mình nếu họ phải thực hiện kiêm nhiệm quá nhiều công việc, nhiệm vụ cùng một lúc. Ví dụ, trong một giao dịch tài chính, người thực hiện giao dịch không nên là người phê duyệt.
Bằng cách đảm bảo rằng những người khác nhau chịu trách nhiệm về các khía cạnh khác nhau của một quy trình, việc phân chia rõ ràng các nhiệm vụ cho từng người sẽ khiến một người nào đó khó thực hiện hành vi gian lận hoặc mắc lỗi mà không bị phát hiện.
Theo số liệu của Verizon, ít nhất 34% các vụ vi phạm dữ liệu là liên quan đến các tác nhân nội bộ, do đó, các biện pháp SoD có thể rất quan trọng đối với các tổ chức/doanh nghiệp.
Trong nhiều tổ chức, việc phân chia nhiệm vụ được thực hiện thông qua các biện pháp kiểm soát truy cập dựa trên vai trò, điều này sẽ đảm bảo rằng người dùng chỉ được truy cập vào lĩnh vực phù hợp với vai trò và nhiệm vụ của họ.
Ví dụ: một thủ quỹ có thể chỉ có thể thực hiện các giao dịch, trong khi một người quản lý sẽ có thể phê duyệt chúng.
Lợi ích của việc sử dụng SoD
SoD là một biện pháp an ninh quan trọng có thể giúp cải thiện tính chính xác và tính toàn vẹn của các quy trình trong tổ chức/doanh nghiệp. Có rất nhiều lợi ích khi triển khai SoD tại nơi làm việc. Dưới đây là một số lý do mà giao thức này hiệu quả trong việc ngăn chặn vi phạm và gian lận dữ liệu.
Ngăn ngừa gian lận
Có lẽ lợi ích quan trọng nhất của giải pháp này là nó có thể giúp ngăn ngừa sai sót và gian lận.
Gian lận có thể được thực hiện theo nhiều cách khác nhau. Nhân viên có thể cố tình đánh cắp và bán dữ liệu, điều này sẽ khiến công ty gặp nhiều rủi ro. Đặc biệt, đối với các vi phạm dữ liệu có chủ ý được thực hiện bởi chính những người nội bộ là một mối đe dọa lớn đối với các tổ chức/doanh nghiệp trong thời đại số.
Do đó, việc đảm bảo rằng mỗi người chịu trách nhiệm về các khía cạnh khác nhau của một quy trình, SoD khiến một người nào đó khó thực hiện hành vi gian lận hoặc mắc lỗi mà không bị phát hiện.
Nâng cao hiệu quả
Một lợi ích thiết yếu khác của SoD là nó có thể giúp cải thiện hiệu quả hoạt động của tổ chức. Khi những người khác nhau chịu trách nhiệm cho các nhiệm vụ khác nhau, phù hợp với trình độ chuyên môn của mỗi người và họ cũng có thể tập trung hơn cho nhiệm vụ đó thì hiệu quả hoạt động đạt được sẽ cao hơn. Điều này có thể dẫn đến những cải thiện tổng thể về hiệu quả của các quy trình hoạt động của tổ chức/doanh nghiệp.
Nâng cao trách nhiệm giải trình
SoD cũng có thể cải thiện trách nhiệm giải trình trong một tổ chức/doanh nghiệp. Khi những người khác nhau chịu trách nhiệm cho các phần khác của quy trình, việc xác định ai là người chịu trách nhiệm cho bất kỳ lỗi hoặc vấn đề nào sẽ dễ dàng hơn. Điều này sẽ giúp cải thiện và nâng cao trách nhiệm giải trình trong tổ chức.
Nâng cao tinh thần trách nhiệm
SoD cũng có thể giúp nâng cao tinh thần trách nhiệm của nhân viên. Với việc phân chia nhiệm vụ cho từng cá nhân cụ thể, phù hợp với năng lực và chuyên môn của họ sẽ khiến nhân viên cảm thấy có trách nhiệm hơn với công việc của mình, đồng thời cũng sẽ tạo cho họ động lực làm việc tích cực hơn. Đó là điều cực kỳ quan trọng và cần thiết đối với một tổ chức/doanh nghiệp.
Nâng cao sự an toàn
Cuối cùng, SoD có thể giúp tổ chức/doanh nghiệp tạo ra văn hóa an toàn tại nơi làm việc. Bằng cách đảm bảo rằng không có cá nhân nào có quá nhiều quyền kiểm soát một quy trình, SoD giúp tạo ra một môi trường bình đẳng và an toàn cho toàn bộ nhân viên, đồng thời cũng ngăn ngừa được tình trạng lạm quyền của bất kỳ một cá nhân nào đó.
Cách triển khai SoD trong tổ chức/doanh nghiệp
Để triển khai giải pháp SoD trong một tổ chức/doanh nghiệp, trước tiên, cần xác định các quy trình quan trọng mà tổ chức đó sẽ được hưởng lợi từ SoD. Đây thường là các quy trình liên quan đến các giao dịch tài chính hoặc dữ liệu nhạy cảm. Khi đã xác định được các quy trình quan trọng này, tổ chức/doanh nghiệp cần xác định những nhiệm vụ nào cần được tách biệt và ai sẽ chịu trách nhiệm cho từng công việc và nhiệm vụ đó.
Tiếp theo, tổ chức/doanh nghiệp phải đặt ra các quy trình cần thiết để đảm bảo việc phân chia nhiệm vụ đầy đủ và hợp lý. Điều này có thể liên quan đến việc triển khai các biện pháp kiểm soát truy cập dựa trên vai trò hoặc tạo các chính sách và thủ tục mới.
Cuối cùng, tổ chức cần đào tạo nhân viên của mình về các yêu cầu SoD mới và đảm bảo rằng họ hiểu cách tuân thủ các yêu cầu đó.
Việc triển khai SoD có thể gặp một chút khó khăn trong việc xác định và phân chia nhiệm vụ cho từng người một cách phù hợp nhất, nhưng đó là một giải pháp có thể mang lại hiệu quả trong việc ngăn ngừa sai sót và gian lận, đồng thời nâng cao hiệu quả hoạt động và trách nhiệm giải trình trong một tổ chức/doanh nghiệp.
Trần Thanh Tùng
(theo smartdatacollective)
16:00 | 19/07/2022
10:00 | 21/02/2023
15:00 | 03/06/2021
10:00 | 07/06/2021
17:00 | 08/12/2021
13:00 | 17/02/2021
14:00 | 09/12/2022
Phần mềm độc hại đã trở thành khái niệm không còn xa lạ đối với người dùng hiện nay. Tuy nhiên, chúng được phân loại và có cách thức hoạt động khác nhau. Bài viết này hướng dẫn người dùng cách loại bỏ những phần mềm độc hại thuộc dạng virus, trojan, worm.
11:00 | 12/07/2022
Xâm phạm thư điện tử doanh nghiệp (Business email compromise - BEC) là thuật ngữ chỉ các loại tấn công thông qua email không chứa phần mềm độc hại nói chung. Mặc dù có nhiều hình thức khác nhau, tuy nhiên có hai cơ chế chính mà qua đó, kẻ tấn công xâm nhập vào tổ chức bằng kỹ thuật BEC đó là tấn công giả mạo (spooting) và chiếm tài khoản (account take over).
10:00 | 11/07/2022
Trong thời đại phát triển công nghệ số, việc trao đổi thông tin, thư điện tử qua email không còn là điều mới mẻ. Trong đó, nổi bật là dịch vụ thư điện tử Gmail của Google đã trở thành dịch vụ email phổ biến nhất. Tuy nhiên, song song với sự phát triển này vẫn tồn tại nhiều nguy cơ và mối đe dọa hiện hữu như tấn công đánh cắp thông tin, bảo mật tài khoản người dùng. Chính vì vậy, bảo mật tài khoản email được xem là vấn đề quan trọng. Bài viết này sẽ gửi đến quý độc giả hướng dẫn thiết lập những tính năng cơ bản và cần thiết nhằm bảo vệ tài khoản Gmail được an toàn, bảo mật hơn.
17:00 | 10/06/2022
Để các hoạt động thanh toán trên ví điện tử được an toàn, VinID Pay đã triển khai nhiều biện pháp bảo mật trên ứng dụng. Tuy nhiên, để các biện pháp này thực sự hiệu quả, sự phối hợp của người dùng là rất quan trọng trong việc phát hiện sớm và ngăn chặn kịp thời các hoạt động bất hợp pháp của đối tượng xấu.
Do lưu giữ những thông tin quan trọng nên cơ sở dữ liệu thường nằm trong tầm ngắm của nhiều tin tặc. Ngày nay, các cuộc tấn công liên quan đến cơ sở dữ liệu để đánh cắp hay sửa đổi thông tin càng trở nên khó lường và tinh vi hơn, vì vậy việc quản lý cơ sở dữ liệu đặt ra những yêu cầu mới với các tổ chức, doanh nghiệp. Trong hệ thống phân tán, khi dữ liệu được phân mảnh và phân phối trên các vị trí khác nhau có thể dẫn đến khả năng mất toàn vẹn của dữ liệu. Thông qua sử dụng cây Merkle và công nghệ Blockchain ta có thể xác minh tính toàn vẹn của dữ liệu. Trong bài viết này, nhóm tác giả sẽ trình bày các nghiên cứu về ứng dụng cây Merkle và công nghệ Blockchain để bảo đảm tính toàn vẹn dữ liệu cho cơ sở dữ liệu phân tán, đồng thời đảm bảo hiệu năng của hệ thống.
18:00 | 22/09/2023
Dựa trên công bố của công ty quản lý định danh và truy cập Okta (Mỹ) vào ngày 20/10/2023 liên quan đến một vi phạm bảo mật gần đây, các nhà nghiên cứu đã xác định rằng các tác nhân đe dọa đã giành được quyền truy cập thành công vào hệ thống hỗ trợ khách hàng của Okta, kẻ tấn công có thể xem các tệp tải lên (upload) liên quan đến các trường hợp hỗ trợ mới bằng mã thông báo phiên hợp lệ, các tác nhân đe dọa sau đó đã có được quyền truy cập vào hệ thống của khách hàng. Trong bài viết này sẽ mô tả tác động của các hành vi vi phạm của nhà cung cấp danh tính (IdP) và cách các tổ chức có thể tự chủ động bảo vệ mình trước các cuộc tấn công này.
16:00 | 14/11/2023