Nguyên tắc bảo vệ thông tin bí mật trong hệ thống

Về nguyên tắc, thông tin bí mật phải được bảo vệ tương ứng với mức độ nhạy cảm và rủi ro của nó. Quyền truy cập chỉ nên cấp cho đúng người, đúng mục đích và trong thời gian cần thiết; dữ liệu cần được bảo vệ trong toàn bộ vòng đời từ khi tạo ra đến khi tiêu hủy. Các biện pháp quản lý và kỹ thuật cũng phải phối hợp thành nhiều lớp thay vì phụ thuộc vào một cơ chế bảo mật duy nhất.

Xác định đúng thông tin nào cần được bảo vệ

Trước khi lựa chọn biện pháp bảo mật, tổ chức phải biết dữ liệu nào thực sự là thông tin bí mật. Nếu mọi dữ liệu đều được coi như nhau, hệ thống rất dễ rơi vào hai trạng thái: bảo vệ quá mức đối với thông tin thông thường hoặc bảo vệ không đủ đối với dữ liệu nhạy cảm.

Thông tin nên được phân loại theo mức độ bí mật, giá trị, hậu quả nếu bị lộ và phạm vi người được phép sử dụng. Tùy đặc điểm của tổ chức, dữ liệu cần bảo vệ có thể bao gồm thông tin nội bộ, hồ sơ khách hàng, dữ liệu cá nhân, bí mật kinh doanh, thông tin xác thực, khóa mật mã, mã nguồn, tài liệu kỹ thuật hoặc thông tin thuộc phạm vi bảo vệ đặc biệt theo pháp luật.

Việc phân loại tạo cơ sở để áp dụng biện pháp tương xứng. Dữ liệu càng nhạy cảm thì yêu cầu về xác thực, phân quyền, mã hóa, giám sát và kiểm soát sao chép càng phải chặt chẽ.

Một nguyên tắc quan trọng là không đánh giá độ bí mật chỉ dựa trên tên tài liệu. Cần xem xét cả nội dung, bối cảnh sử dụng và hậu quả nếu thông tin bị truy cập hoặc công bố trái phép.

Chỉ cho phép người có thẩm quyền tiếp cận thông tin

Cốt lõi của tính bí mật là thông tin chỉ được tiếp cận bởi người hoặc hệ thống đã được cấp quyền phù hợp. Vì vậy, bảo vệ thông tin bí mật trong hệ thống phải dựa trên nguyên tắc need-to-know và đặc quyền tối thiểu.

Need-to-know có nghĩa là một người chỉ được xem thông tin khi thực sự cần thông tin đó để hoàn thành nhiệm vụ. Đặc quyền tối thiểu có nghĩa là tài khoản chỉ được cấp những quyền tối thiểu cần thiết, thay vì được trao quyền rộng hơn để thuận tiện quản trị.

Ví dụ, nhân viên cần đọc một hồ sơ không đồng nghĩa với việc họ phải có quyền sửa, tải xuống, chia sẻ hoặc xóa hồ sơ đó. Tương tự, quyền quản trị hệ thống không nên tự động đồng nghĩa với quyền đọc mọi dữ liệu bí mật nếu nhiệm vụ quản trị không yêu cầu.

Các biện pháp nên được triển khai gồm:

·         Phân quyền theo vai trò, nhiệm vụ hoặc thuộc tính người dùng

·         Áp dụng xác thực đa yếu tố cho tài khoản có quyền truy cập dữ liệu quan trọng

·         Tách tài khoản quản trị khỏi tài khoản sử dụng thông thường

·         Định kỳ rà soát và thu hồi các quyền không còn cần thiết

·         Thu hồi quyền ngay khi nhân sự thay đổi nhiệm vụ hoặc rời tổ chức

·         Kiểm soát tài khoản đặc quyền và tài khoản dịch vụ

·         Hạn chế sử dụng tài khoản dùng chung khó xác định trách nhiệm

Nguyên tắc này giúp giảm cả rủi ro từ kẻ tấn công bên ngoài lẫn nguy cơ lạm dụng quyền từ bên trong tổ chức.

Bảo vệ thông tin trong toàn bộ vòng đời dữ liệu

Thông tin bí mật có thể bị lộ ở bất kỳ giai đoạn nào chứ không chỉ khi nằm trong cơ sở dữ liệu. Vì vậy, việc bảo vệ phải bao phủ toàn bộ vòng đời của thông tin.

Một vòng đời điển hình gồm:

·         Tạo hoặc thu thập thông tin

·         Phân loại thông tin

·         Lưu trữ

·         Truy cập và xử lý

·         Sao chép hoặc chia sẻ

·         Truyền nhận

·         Sao lưu

·         Lưu trữ dài hạn

·         Hủy bỏ khi hết nhu cầu sử dụng

Nếu dữ liệu được mã hóa tốt khi lưu trên máy chủ nhưng lại được gửi qua một kênh không an toàn, tính bí mật vẫn có thể bị phá vỡ. Tương tự, việc xóa một tệp khỏi giao diện người dùng chưa chắc đã loại bỏ dữ liệu khỏi bản sao lưu, thiết bị lưu trữ hoặc hệ thống khác đã đồng bộ trước đó.

Do đó, tổ chức cần xác định rõ thông tin được phép xuất hiện ở đâu, được truyền qua kênh nào, ai có quyền sao chép và thời gian phải lưu giữ trong bao lâu. Khi hết thời hạn cần thiết, dữ liệu phải được xóa hoặc tiêu hủy theo phương pháp phù hợp để hạn chế khả năng khôi phục trái phép.

Mã hóa thông tin khi lưu trữ và truyền nhận

Mã hóa là một trong những lớp bảo vệ quan trọng đối với thông tin bí mật. Mục đích của mã hóa là khiến dữ liệu không thể được đọc trực tiếp nếu một bên không được phép lấy được tệp, ổ lưu trữ hoặc lưu lượng truyền dẫn.

Thông tin nhạy cảm nên được xem xét bảo vệ ở hai trạng thái chính:

Dữ liệu đang lưu trữ

Dữ liệu trong cơ sở dữ liệu, máy chủ, thiết bị đầu cuối, bản sao lưu hoặc phương tiện lưu trữ cần có biện pháp bảo vệ phù hợp. Với dữ liệu có mức độ nhạy cảm cao, mã hóa giúp giảm nguy cơ lộ nội dung khi thiết bị hoặc bản sao dữ liệu bị truy cập trái phép.

Dữ liệu đang truyền

Thông tin bí mật truyền giữa người dùng, máy chủ, ứng dụng hoặc các địa điểm khác nhau cần đi qua kênh truyền được bảo vệ. Điều này làm giảm nguy cơ nghe lén hoặc thu thập dữ liệu trên đường truyền.

Tuy nhiên, mã hóa chỉ có ý nghĩa khi khóa mật mã cũng được quản lý an toàn. Nếu khóa được lưu ngay cạnh dữ liệu, chia sẻ tùy tiện hoặc một tài khoản có thể truy cập đồng thời cả dữ liệu lẫn mọi khóa bảo vệ, hiệu quả của lớp mã hóa sẽ giảm đáng kể.

Vì vậy, quản lý khóa, phân quyền sử dụng khóa, thay đổi khóa khi cần và bảo vệ thông tin xác thực phải được xem là một phần của chính sách bảo vệ dữ liệu chứ không phải hoạt động riêng biệt.

Áp dụng nhiều lớp bảo vệ thay vì phụ thuộc vào một biện pháp

Không có biện pháp bảo mật đơn lẻ nào có thể ngăn chặn mọi tình huống. Mật khẩu có thể bị lộ, thiết bị có thể bị nhiễm mã độc, tài khoản hợp lệ có thể bị chiếm quyền và phần mềm có thể xuất hiện lỗ hổng.

Do đó, hệ thống cần được bảo vệ theo chiều sâu. Khi một lớp phòng vệ bị vượt qua, lớp tiếp theo vẫn phải có khả năng hạn chế phạm vi tác động.

Một kiến trúc bảo vệ nhiều lớp có thể kết hợp:

·         Xác thực người dùng

·         Phân quyền truy cập

·         Phân đoạn mạng

·         Mã hóa dữ liệu

·         Bảo vệ thiết bị đầu cuối

·         Kiểm soát ứng dụng

·         Quản lý lỗ hổng và bản vá

·         Giám sát nhật ký

·         Phát hiện hành vi bất thường

·         Sao lưu và phục hồi

·         Quy trình ứng phó sự cố

Cùng với đó, các nhiệm vụ nhạy cảm nên được phân tách khi cần thiết. Một cá nhân không nên vừa có khả năng tạo yêu cầu, phê duyệt yêu cầu và xóa toàn bộ dấu vết của cùng một hoạt động quan trọng. Tách biệt nhiệm vụ làm giảm khả năng một tài khoản hoặc một người có thể tự mình vượt qua toàn bộ cơ chế kiểm soát.

Bảo vệ cả tính toàn vẹn và khả năng sử dụng của thông tin

Thông tin bí mật không chỉ cần tránh bị đọc trái phép. Nếu dữ liệu bị sửa đổi mà không được phát hiện hoặc không thể truy cập khi cần thiết, hệ thống vẫn không đáp ứng đầy đủ yêu cầu an toàn thông tin.

Vì vậy, bên cạnh tính bí mật, cần bảo vệ hai thuộc tính quan trọng khác.

Tính toàn vẹn yêu cầu dữ liệu không bị sửa đổi, xóa hoặc thay thế trái phép. Hệ thống phải kiểm soát quyền chỉnh sửa và có cơ chế giúp phát hiện những thay đổi không hợp lệ.

Tính sẵn sàng yêu cầu người được cấp quyền có thể sử dụng thông tin khi nhiệm vụ hợp pháp đòi hỏi. Bảo mật quá mức đến mức người có thẩm quyền không thể truy cập dữ liệu cần thiết cũng là một thiết kế không cân bằng.

Sao lưu, kiểm thử khả năng phục hồi, kiểm soát thay đổi và bảo vệ cơ sở hạ tầng vì thế là những thành phần liên quan trực tiếp đến việc bảo vệ thông tin bí mật.

Ghi nhật ký và giám sát mọi hoạt động quan trọng

Phân quyền quyết định ai được phép làm gì, còn nhật ký giúp xác định trên thực tế ai đã làm gì. Hai cơ chế này phải được triển khai cùng nhau.

Đối với thông tin nhạy cảm, hệ thống nên ghi nhận các hoạt động quan trọng như:

·         Đăng nhập và đăng nhập thất bại

·         Thay đổi quyền truy cập

·         Truy cập dữ liệu quan trọng

·         Tải xuống hoặc xuất dữ liệu

·         Thay đổi và xóa dữ liệu

·         Sử dụng tài khoản đặc quyền

·         Thay đổi cấu hình bảo mật

·         Các hành vi bất thường liên quan đến khối lượng hoặc thời điểm truy cập

Nhật ký cũng phải được bảo vệ khỏi việc sửa hoặc xóa trái phép. Nếu người thực hiện hành vi vi phạm có thể đồng thời xóa toàn bộ bằng chứng về hoạt động của chính mình, cơ chế giám sát sẽ mất giá trị.

Giám sát không chỉ phục vụ điều tra sau sự cố. Phân tích nhật ký và cảnh báo bất thường còn giúp phát hiện sớm tài khoản bị chiếm quyền, truy cập vượt phạm vi nhiệm vụ hoặc hành vi sao chép dữ liệu với số lượng bất thường.

Giảm tối đa việc sao chép và phát tán thông tin không cần thiết

Mỗi bản sao tạo thêm một vị trí cần bảo vệ. Vì vậy, một trong những nguyên tắc thực tế nhất là hạn chế số lượng nơi thông tin bí mật xuất hiện.

Không nên để dữ liệu nhạy cảm tồn tại không kiểm soát trong thư điện tử, máy tính cá nhân, thiết bị di động, thư mục chia sẻ hoặc dịch vụ lưu trữ ngoài hệ thống được quản lý.

Tùy mức độ rủi ro, tổ chức có thể áp dụng các biện pháp như:

·         Hạn chế tải xuống hoặc sao chép dữ liệu

·         Kiểm soát thiết bị lưu trữ di động

·         Hạn chế chuyển tiếp tài liệu

·         Kiểm soát in ấn

·         Phát hiện dữ liệu nhạy cảm được gửi ra ngoài

·         Sử dụng kho lưu trữ tập trung có phân quyền

·         Gắn nhãn hoặc đánh dấu mức độ bí mật của tài liệu

Mục tiêu không phải cấm mọi hình thức chia sẻ mà là bảo đảm việc chia sẻ luôn có người chịu trách nhiệm, có mục đích rõ ràng và có biện pháp bảo vệ tương ứng.

Thường xuyên rà soát quyền, lỗ hổng và hiệu quả của biện pháp bảo vệ

Một hệ thống an toàn tại thời điểm triển khai không có nghĩa sẽ tiếp tục an toàn về sau. Người dùng thay đổi, quyền truy cập tích lũy, phần mềm phát sinh lỗ hổng và cách thức tấn công cũng thay đổi.

Bảo vệ thông tin bí mật vì vậy phải là hoạt động liên tục.

Cần định kỳ kiểm tra:

·         Danh sách người đang có quyền truy cập

·         Tài khoản không còn sử dụng

·         Quyền đặc quyền

·         Cấu hình bảo mật

·         Phiên bản và bản vá phần mềm

·         Lỗ hổng của hệ thống

·         Hiệu quả của sao lưu và phục hồi

·         Nhật ký và cảnh báo an toàn

·         Việc tuân thủ quy trình xử lý dữ liệu bí mật

Khi phát hiện quyền thừa, cấu hình sai hoặc điểm yếu mới, biện pháp khắc phục cần được thực hiện theo mức độ rủi ro thay vì chờ đến khi sự cố xảy ra.

Chuẩn bị trước quy trình xử lý khi thông tin bị lộ

Không hệ thống nào có thể được coi là không có rủi ro. Vì vậy, ngoài phòng ngừa, tổ chức phải chuẩn bị khả năng phát hiện, cô lập và xử lý sự cố.

Khi nghi ngờ thông tin bí mật bị truy cập trái phép, quy trình xử lý thường phải trả lời được các câu hỏi: dữ liệu nào bị ảnh hưởng, tài khoản nào liên quan, sự cố bắt đầu từ đâu, phạm vi lan rộng đến mức nào và cần thực hiện biện pháp khẩn cấp nào.

Các hành động có thể bao gồm:

·         Cô lập tài khoản hoặc thiết bị bị xâm nhập

·         Thu hồi phiên đăng nhập và thông tin xác thực có nguy cơ bị lộ

·         Thay đổi khóa hoặc thông tin xác thực cần thiết

·         Ngăn chặn tiếp tục truyền hoặc sao chép dữ liệu

·         Bảo toàn nhật ký và bằng chứng

·         Xác định phạm vi thông tin bị ảnh hưởng

·         Khắc phục lỗ hổng hoặc nguyên nhân gốc

·         Khôi phục hệ thống từ nguồn dữ liệu đáng tin cậy

·         Thực hiện nghĩa vụ thông báo theo quy định áp dụng

Khả năng ứng phó tốt giúp giảm thời gian kẻ tấn công duy trì quyền truy cập và hạn chế hậu quả khi một lớp phòng vệ đã thất bại.

Con người và quy trình phải được bảo vệ cùng với công nghệ

Nhiều sự cố không bắt đầu từ việc phá vỡ thuật toán mã hóa mà từ tài khoản bị lừa lấy mật khẩu, gửi nhầm tài liệu, cấp sai quyền hoặc sử dụng thông tin không đúng quy trình.

Do đó, bảo vệ thông tin bí mật trong hệ thống phải xác định rõ trách nhiệm của chủ sở hữu dữ liệu, bộ phận vận hành, quản trị viên, người dùng và các bên thứ ba có quyền truy cập.

Nhân sự cần hiểu tối thiểu:

·         Thông tin nào được coi là bí mật

·         Ai được phép tiếp cận

·         Được phép chia sẻ qua kênh nào

·         Không được lưu trữ dữ liệu ở đâu

·         Phải làm gì khi gửi nhầm hoặc nghi ngờ bị lộ thông tin

·         Cách nhận biết hành vi lừa đảo và yêu cầu truy cập bất thường

Nếu một nhà cung cấp hoặc đối tác được phép xử lý dữ liệu bí mật, phạm vi quyền, trách nhiệm bảo vệ, phương thức trao đổi và cách xử lý khi chấm dứt hợp tác cũng cần được kiểm soát rõ ràng.

Áp dụng yêu cầu bảo vệ phù hợp với từng loại thông tin

Không phải mọi thông tin bí mật đều chịu cùng một chế độ quản lý. Bí mật kinh doanh, dữ liệu cá nhân, thông tin nội bộ và bí mật nhà nước có thể chịu những yêu cầu pháp lý hoặc nghiệp vụ khác nhau.

Vì vậy, chính sách nội bộ không được làm giảm nghĩa vụ bắt buộc đối với loại thông tin đang xử lý. Đặc biệt, nếu thông tin thuộc phạm vi bí mật nhà nước hoặc nhóm dữ liệu được pháp luật chuyên ngành bảo vệ, việc tạo lập, lưu trữ, truyền nhận, sao chép, cung cấp và tiêu hủy phải tuân thủ đúng chế độ pháp lý áp dụng cho loại thông tin đó.

Điều này cũng cho thấy một giới hạn quan trọng: mã hóa mạnh hoặc hệ thống kỹ thuật hiện đại không thể thay thế cho việc xác định đúng thẩm quyền và đúng mục đích sử dụng thông tin.

Bảo vệ thông tin bí mật trong hệ thống cần dựa trên một chuỗi kiểm soát thống nhất: phân loại đúng dữ liệu, chỉ cấp quyền khi cần thiết, bảo vệ thông tin trong toàn bộ vòng đời, mã hóa khi phù hợp, triển khai nhiều lớp phòng vệ, ghi nhật ký và giám sát, hạn chế sao chép, rà soát thường xuyên và chuẩn bị sẵn phương án xử lý sự cố.

Hiệu quả bảo mật không nằm ở số lượng công cụ được cài đặt mà ở khả năng duy trì nguyên tắc “đúng người, đúng quyền, đúng mục đích, đúng thời điểm” đối với mọi lần tiếp cận thông tin. Khi công nghệ, quy trình và trách nhiệm con người được kết hợp đồng bộ, nguy cơ thông tin bí mật bị truy cập, sửa đổi hoặc phát tán trái phép sẽ được kiểm soát tốt hơn.