Kiểm soát rủi ro để ngăn chặn vi phạm dữ liệu do bên thứ ba gây ra

17:00 | 08/12/2021 | MẬT MÃ DÂN SỰ

Khi công nghệ ngày càng phát triển và thế giới đang dần số hóa, thì việc xuất hiện nhiều cuộc tấn công mạng với mức độ phức tạp, tinh vi, gây thất thoát dữ liệu ngày càng phổ biến. Các dịch vụ của bên thứ ba và thông tin nhạy cảm bị tiết lộ đã gây tác động tiêu cực đến lòng tin của người dùng. Vi phạm dữ liệu của bên thứ ba xảy ra khi dữ liệu nhạy cảm bị đánh cắp hoặc khi hệ thống của họ được sử dụng để truy cập và lấy cắp thông tin được lưu trữ trên hệ thống.

Kiểm soát rủi ro để ngăn chặn vi phạm dữ liệu do bên thứ ba gây ra

Trong nền kinh tế số ngày nay thì việc thuê dịch vụ bên ngoài để quản lý các bộ phận quan trọng trong các tổ chức doanh nghiệp (TC/DN) đang ngày càng trở nên phổ biến, cho dù đó là thông qua nhà cung cấp SaaS (Software as a Service), nhà cung cấp dịch vụ bên thứ ba hoặc các nhà thầu. Họ thường cung cấp các dịch vụ quan trọng như thanh toán, lưu trữ dữ liệu,... và trở thành một phần không thể thiếu trong hoạt động mở rộng kinh doanh của TC/DN. Các bên thứ ba này thường không nằm dưới sự kiểm soát của TC/DN và thường không có khả năng cung cấp sự minh bạch hoàn toàn về các biện pháp kiểm soát bảo mật thông tin của họ. Một số nhà cung cấp có thể có các tiêu chuẩn bảo mật mạnh mẽ và thực hiện quản lý rủi ro tốt, tuy nhiên một số nhà cung cấp khác thì không. Điều này có nghĩa là mỗi nhà cung cấp, dù trực tiếp hay gián tiếp đều có ảnh hưởng đến vấn đề an ninh mạng của các TC/DN.

Mới đây nhất, công ty SecureLink (Công ty hàng đầu trong lĩnh vực bảo mật và cung cấp quyền truy cập từ xa an toàn của bên thứ ba tại Hoa Kỳ) và Viện Ponemon đã phát hành một báo cáo vào ngày 04/5/2021 có tiêu đề “Khủng hoảng về bảo mật truy cập từ xa của bên thứ ba” [4], tiết lộ sự mất kết nối đáng báo động giữa mối đe dọa truy cập bên thứ ba được nhận thấy của một tổ chức và các biện pháp bảo mật mà tổ chức đó thực hiện. Từ đó có thể thấy được tại sao quản lý rủi ro của bên thứ ba là một phần quan trọng trong chiến lược an ninh mạng của bất kỳ TC/DN nào. Dưới đây sẽ trình bày cụ thể những tác động tiêu cực mà việc rò rỉ, vi phạm dữ liệu của bên thứ ba đem lại và cách phòng tránh cũng như ngăn chặn vấn đề này.

NHỮNG HẬU QUẢ CỦA VI PHẠM DỮ LIỆU DO BÊN THỨ BA GÂY RA

Tác động tài chính: Vi phạm dữ liệu thường đem lại hậu quả lớn về kinh tế cho dù nguyên nhân là do bên nào đi chăng nữa. Theo báo cáo do Ponemon cung cấp vào năm 2020 [1] thì tổn thất do vi phạm dữ liệu trung bình là 3,92 triệu USD và chi phí trung bình cho mỗi bản ghi bị mất là 150 USD. Tuy nhiên, đó mới chỉ là mức trung bình, có những yếu tố khiến con số đó tăng cao và có thể lên tới hơn 4 triệu USD. Một trong những vấn đề khiến chi phí đó tăng cao là ai đã gây ra vi phạm. Nếu có sự tham gia của bên thứ ba thì thiệt hại kinh tế của các TC/DN phải gánh chịu thường sẽ cao hơn.

Những vấn đề về pháp lý: Bất kỳ TC/DN nào thu thập, lưu trữ và xử lý thông tin cá nhân giờ đây đều phải chịu trách nhiệm về việc bảo vệ dữ liệu đó, cũng như bảo vệ quyền riêng tư của khách hàng. Nếu không có sự bảo vệ nghiêm ngặt thì rất dễ bị tấn công mạng, dẫn đến các hình phạt tài chính nặng nề và ảnh hưởng xấu đến vị thế tốt của TC/DN. Ví dụ điển hình là vào năm 2019, cơ quan thu phí y tế Hoa Kỳ (AMCA), một cơ quan thanh toán đóng vai trò là nhà cung cấp bên thứ ba cho các nhà cung cấp dịch vụ chăm sóc sức khỏe lớn trên khắp Hoa Kỳ đã xảy ra vi phạm dữ liệu, khiến hàng triệu hồ sơ của bệnh nhân đã bị lộ. Việc vi phạm đã đặt AMCA và các khách hàng của họ vi phạm đạo luật HIPAA (Đạo luật về trách nhiệm giải trình và cung cấp bảo hiểm y tế liên bang). Khi đó AMCA đã mất đi một lượng lớn khách hàng và phải nộp đơn phá sản. Bên cạnh đó, AMCA cũng khiến các khách hàng mà họ cung cấp dịch vụ phải chịu các vụ kiên tập thể và điều tra cấp tiểu bang.

Tùy thuộc vào nơi hoạt động kinh doanh của TC/DN thì sẽ phải tuân theo pháp luật bao gồm bảo vệ dữ liệu và quyền riêng tư của dữ liệu. Các TC/DN bán sản phẩm và dịch vụ cho các quốc gia trong Liên minh Châu Âu phải tuân thủ Quy định chung về bảo vệ dữ liệu (GDPR) của Liên minh Châu Âu. Trong khi ở Việt Nam các hệ thống pháp luật đã ghi nhận vấn đề bảo vệ bí mật đời sống riêng tư và bí mật cá nhân từ bản Hiến pháp năm 1959, 1980, 1992. Đặc biệt, Hiến pháp năm 2013 cũng đã mở rộng một cách toàn diện phạm vi quy định quyền được bảo vệ bí mật đời sống riêng tư, bí mật cá nhân, bí mật gia đình. Mới đây nhất là Luật An toàn thông tin mạng năm 2015 đã quy định cụ thể về hoạt động an toàn thông tin mạng, quyền, trách nhiệm của cơ quan, tổ chức, cá nhân trong việc bảo đảm an toàn thông tin mạng.

Nguy cơ rò rỉ những thông tin độc quyền: Tội phạm mạng không chỉ nhắm đến tài chính hoặc thông tin của khách hàng mà còn có thể theo đuổi tài sản trí tuệ. Lấy ví dụ về hai nhóm tin tặc là DoppelPaymer và REvil, chúng đã từng khóa dữ liệu của một công ty và sau đó đe dọa bán dữ liệu nếu công ty đó không trả tiền chuộc. Trong đó, DoppelPaymer nhắm mục tiêu vào các nhà cung cấp trong ngành công nghiệp không gian và quốc phòng, đồng thời liệt kê dữ liệu độc quyền bị lộ trên trang web của mình để đe dọa các tổ chức đã không trả tiền. Đây là một vấn đề đáng lo ngại và sẽ gây tốn thất kinh tế cho bất kỳ TC/DN nào khi sảy ra vi phạm dữ liệu và có thể là đấu chấm hết cho các TC/DN đó.

Tiềm ẩn những nguy cơ cho các cuộc tấn công trong tương lai: Khi tội phạm mạng truy cập dữ liệu thông qua bên thứ ba, vi phạm đó có thể không phải là mục đích cuối cùng của chúng. Nó có thể đơn giản là phát súng mở đầu trong một chiến dịch tấn công và vi phạm lớn hơn. Thông tin bị đánh cắp có thể nhằm mục đích sử dụng cho các mưu đồ lừa đảo hoặc được sử dụng trong các cuộc tấn công sau này.

Ảnh hưởng đến danh tiếng của TC/DN: Khi nói đến vi phạm dữ liệu và rò rỉ thông tin thì không quan trọng là bên thứ ba có lỗi hay bản thân TC/DN có lỗi, mà vấn đề là sẽ làm cho khách hàng mất lòng tin vì thông tin cá nhân của họ đã bị lộ hoặc bị đánh cắp. Nếu vi phạm dữ liệu xảy ra nghiêm trọng, khách hàng có xu hướng sẽ suy nghĩ lại về việc hợp tác kinh doanh với TC/DN đó.

CÁCH NGĂN CHẶN VI PHẠM DỮ LIỆU DO BÊN THỨ BA GÂY RA

Đánh giá cẩn thận năng lực bảo mật của bên thứ ba trước khi thiết lập mối quan hệ: Không thể loại bỏ hoàn toàn tất cả rủi ro của bên thứ ba, nhưng TC/DN có thể quản lý nó bằng cách đánh giá tất cả các rủi ro an ninh mạng đi kèm với mỗi nhà cung cấp như một phần của quy trình thẩm định, điều đó giúp TC/DN lường trước được mức độ rủi ro sẽ phải chịu khi làm việc với một bên thứ ba cụ thể. Đánh giá rủi ro của bên thứ ba thường bao gồm các bước sau: - Lập danh sách các bên thứ ba cung cấp dịch vụ cho TC/DN của mình.

- Phân loại các nhà cung cấp từ rủi ro cao nhất đến rủi ro thấp nhất dựa trên hệ thống, mạng và dữ liệu mà bên thứ ba truy cập.

- Tính toán phân tích rủi ro an ninh mạng cho từng nhà cung cấp theo công thức: Rủi ro = Khả năng xảy ra vi phạm dữ liệu x Tác động của vi phạm dữ liệu / Chi phí [3]

Đặt ra các tiêu chuẩn về bảo mật vào các hợp đồng với bên thứ ba: Mặc dù điều này sẽ không ngăn chặn 100% việc vi phạm dữ liệu của bên thứ ba, nhưng nó sẽ giữ cho bên thứ ba luôn kiểm soát và buộc họ phải có trách nhiệm duy trì các biện pháp an ninh mạng nghiêm ngặt nếu không sẽ có nguy cơ bị chấm dứt hợp đồng. Để giúp ngăn ngừa bất kỳ rủi ro bảo mật kéo dài nào, hãy xem xét thêm các điều khoản và điều kiện vào hợp đồng, yêu cầu bên thứ ba thông báo cho TC/DN về các lỗ hổng khi chúng phát sinh và khắc phục các vấn đề bảo mật trong vòng 72 giờ để giúp giảm thiểu rủi ro tiềm ẩn.

Giới hạn quyền truy cập dữ liệu của bên thứ ba: Để tránh việc vi phạm dữ liệu của bên thứ ba, điều cần thiết là phải biết giới hạn truy cập dữ liệu của họ. Nếu dữ liệu của TC/DN có thể truy cập được cho mọi nhà cung cấp mà không có bất kỳ hạn chế nào, thì khả năng cao sẽ xảy ra vi phạm dữ liệu. Vì vậy, để giữ an toàn cho TC/DN thì việc giới hạn quyền truy cập dữ liệu đối với bên thứ ba là điều vô cùng cần thiết. Sau đó sẽ tùy thuộc vào tình trạng bảo mật của của bên thứ ba để cung cấp những quyền truy cập vào dữ liệu phù hợp.

Áp dụng mô hình dữ liệu và mạng Zero Trust: Các cuộc tấn công mạng không thể lấy cắp dữ liệu hoặc di chuyển ngang qua một môi trường khi không có độ tin cậy được thực hiện. Zero Trust là một khuôn khổ bảo mật thông tin quy định rằng các TC/DN không nên tin tưởng bất kỳ thực thể nào bên trong hoặc bên ngoài phạm vi của họ vào bất kỳ lúc nào. Nó cung cấp khả năng hiển thị và các kiểm soát công nghệ thông tin cần thiết để bảo mật, quản lý và giám sát mọi thiết bị, người dùng, ứng dụng và mạng đang được sử dụng để truy cập dữ liệu kinh doanh. Dữ liệu và thông tin liên lạc được mã hóa đảm bảo rằng chỉ những người phù hợp mới có quyền truy cập vào đúng thông tin vào đúng thời điểm. Nó cũng liên quan đến việc phát hiện trên thiết bị và khắc phục các mối đe dọa. Điều này đặc biệt hữu ích đối với rủi ro của bên thứ ba và để ngăn chặn các cuộc tấn công mạng.

KẾT LUẬN

Thực tế cho thấy nhiều vi phạm dữ liệu đã được tiết lộ trong 5 năm qua đều có liên quan đến các mối quan hệ với nhà cung cấp bên thứ ba. Hậu quả của những vi phạm này có thể có tác động tiêu cực đến các TC/DN. Từ việc giảm sự tin tưởng, lòng trung thành của khách hàng dẫn đến các vụ kiện tụng gây thiệt hại lớn. Để ngăn chặn những sự cố bảo mật này, các TC/DN phải hợp tác làm việc với các bên thứ ba cung cấp dịch vụ cho họ và hiểu các biện pháp bảo mật của họ từ trong ra ngoài, kết hợp quản lý rủi ro vào các hợp đồng của nhà cung cấp, áp dụng mô hình truy cập ít đặc quyền nhất và thường xuyên theo dõi cũng như khắc phục các lỗ hổng bảo mật và đảm bảo môi trường công nghệ thông tin an toàn, vững chắc.

Quốc Trường

‹ › ×

Tin liên quan

Người dùng cần khẩn trương cập nhật Chrome 104

09:00 | 09/08/2022

Google đã chính thức phát hành bản cập nhật Chrome 104 cho người dùng Windows, macOS, Android và iOS nhằm khắc phục 27 lỗ hổng bảo mật nguy hiểm.

Amazon bị kiện vì vi phạm luật chống độc quyền tại Mỹ

09:00 | 21/09/2022

Văn phòng Bộ trưởng Tư pháp bang California cáo buộc Amazon sử dụng các điều khoản hợp đồng để ngăn người bán hàng bên thứ ba và các nhà bán buôn chào giá sản phẩm thấp hơn giá trên trang Amazon.

Phát hiện sớm giúp giảm thiểu thiệt hại rủi ro vi phạm dữ liệu

10:00 | 01/09/2021

Trong bối cảnh an ninh mạng hiện nay, hầu hết các CISO đều hiểu rằng vi phạm dữ liệu là điều không thể tránh khỏi, tuy nhiên, với việc phát hiện và khắc phục sớm, các tổ chức có thể giảm thiểu đáng kể các tác động của của các cuộc tấn công vi phạm dữ liệu. Việc khôi phục vi phạm dữ liệu thành công chỉ tương đương với thời gian cần thiết để tìm và khắc phục sự cố.

Kho dữ liệu LastPass bị tấn công từ máy tính gia đình của kỹ sư DevOps

10:00 | 03/03/2023

Công ty phần mềm quản lý mật khẩu LastPass cho biết, máy tính cá nhân tại nhà của một trong bốn kỹ sư DevOps cấp cao của họ đã bị tin tặc tấn công và cài phần mềm độc hại theo dõi thao tác bàn phím nhằm lấy cắp dữ liệu của công ty từ tài nguyên lưu trữ đám mây.

Rủi ro bảo mật trong chuyển đổi kỹ thuật số

15:00 | 06/05/2022

Ngày nay, sự bùng nổ của cuộc cách mạng công nghiệp 4.0 đã thúc đẩy quá trình chuyển đổi kỹ thuật số gia tăng nhanh chóng, tuy nhiên, điều đó cũng kéo theo các vấn đề về rủi ro lộ lọt thông tin, an ninh mạng do chưa có sự chuẩn bị kỹ càng về cả kỹ thuật lẫn yếu tố con người. Bài báo dưới đây phân tích các nguy cơ và giới thiệu một số biện pháp giảm thiểu rủi ro trong quá trình chuyển đổi kỹ thuật số.

Ngành an ninh mạng cần phải có giải pháp bảo mật dữ liệu của bên thứ ba

15:00 | 22/04/2021

Theo phát biểu của các chuyên gia trong phiên hội thảo do Atakama (công ty an toàn thông tin có trụ sở tại New York, Mỹ) tổ chức, các tổ chức cần phải chịu trách nhiệm nhiều hơn về bảo mật từ các nhà cung cấp bên thứ ba truy cập vào dữ liệu của họ.

Người dùng hiếm khi thay đổi mật khẩu sau khi bị rò rỉ thông tin

14:00 | 09/06/2020

Theo nghiên cứu được trình bày vào đầu tháng 6/2020 bởi Viện Bảo mật và quyền riêng tư (CyLab) của trường Đại học Carnegie Mellon (Hoa Kỳ), hầu hết người dùng không thực sự quan tâm tới việc thay đổi mật khẩu sau khi bị rò rỉ thông tin. Chỉ 1/3 người dùng áp dụng những biện pháp đảm bảo an toàn thông tin sau khi được thông báo là bị rò rỉ thông tin.

SoD đóng vai trò quan trọng đối với bảo mật dữ liệu hiện đại

17:00 | 26/08/2022

Trong bối cảnh ngày nay, công nghệ đang phát triển mạnh mẽ, những vụ việc về vi phạm dữ liệu cũng đang theo chiều hướng gia tăng và ngày càng trở nên phổ biến. Một chiến lược cũng được nhiều chuyên gia đã khuyến nghị sử dụng trong việc ngăn chặn vi phạm dữ liệu là sử dụng giải pháp phân chia nhiệm vụ. Đây là một biện pháp an ninh quan trọng có thể giúp cải thiện tính chính xác và tính toàn vẹn của các quy trình trong tổ chức/doanh nghiệp.

Tin cùng chuyên mục

Giới thiệu tiêu chuẩn TCVN 13178-1:2020

15:00 | 20/09/2023

Xác thực các đối tác truyền thông là một trong những dịch vụ mật mã quan trọng nhất. Truyền thông được xác thực ẩn danh liên quan đến việc ẩn định danh của một thực thể được xác thực với đối tác truyền thông của nó và/hoặc với bên thứ ba, trong khi vẫn có tài sản mà người xác minh có thể sử dụng để xác định một cách đáng tin cậy đối tác truyền thông của họ. Các cơ chế xác thực thực thể ẩn danh được thiết kế để hỗ trợ các truyền thông ẩn danh đó. Các cơ chế này được định nghĩa là sự trao đổi thông tin giữa các thực thể và khi cần là sự trao đổi với bên thứ ba đáng tin cậy. Nội dung bài báo sẽ giới thiệu tổng quan về kỹ thuật xác thực thực thể ẩn danh và các nội dung chính của Tiêu chuẩn TCVN 13178-1:2020 Công nghệ thông tin – Các kỹ thuật an toàn – Xác thực thực thể ẩn danh.

Trường hè mật mã: nơi phát triển nguồn nhân lực trẻ, tương lai của mật mã

12:00 | 23/09/2022

Sự kiện Trường hè mật mã do Hiệp hội Quốc tế về Nghiên cứu mật mã (International Association for Cryptographic Research - IACR) phối hợp cùng Viện Nghiên cứu cao cấp về Toán (International Association for Cryptographic Research - VIASM) tổ chức thành công vào cuối tháng 8 vừa qua đã đem lại một môi trường học thuật đa dạng để khơi dậy việc đào tạo nguồn nhân lực chất lượng cao trong lĩnh vực mật mã. Từ đó góp phần xây dựng nền tảng kiến thức cho nhiều bạn trẻ đi theo các hướng nghiên cứu chủ chốt và hiện đại về mật mã của thế giới.

Phương pháp mới phát hiện bộ công cụ lừa đảo Man-in-the-Middle

08:00 | 18/01/2022

Không dưới 1.220 trang web lừa đảo Man-in-the-Middle (MITM) hiện nay đã bị phát hiện nhắm mục tiêu vào các dịch vụ trực tuyến phổ biến như Instagram, Google, PayPal, Apple, Twitter và LinkedIn nhằm mục đích đánh cắp thông tin đăng nhập của người dùng.

Mã hóa bảo toàn định dạng

16:00 | 03/09/2021

Bài viết giới thiệu về khái niệm thuật toán mã hóa có tính chất bảo toàn định dạng (Format Preserving Encryption - FPE), tức là bản mã có cùng định dạng với bản rõ, cũng như trình bày một ví dụ và quá trình chuẩn hóa kiểu thuật toán này.