10 cách bảo vệ dữ liệu trong doanh nghiệp

10 cách bảo vệ dữ liệu trong doanh nghiệpNhiều tổ chức tập trung vào việc bảo vệ chống lại các tấn công bên ngoài nhưng lại bỏ qua những hiểm họa thậm chí còn nguy hiểm hơn nhiều: mất cắp dữ liệu bởi ai đó bên trong công ty. Đây là một góc nhìn quan trọng cần phải đề cập đến trong vấn đề bảo mật.
Nội dung trích xuất từ tài liệu:
10 cách bảo vệ dữ liệu trong doanh nghiệp 10 cách bảo vệ dữ liệu trong doanh nghiệpNhiều tổ chức tập trung vào việc bảo vệ chống lại cáctấn công bên ngoài nhưng lại bỏ qua những hiểm họathậm chí còn nguy hiểm hơn nhiều: mất cắp dữ liệubởi ai đó bên trong công ty. Đây là một góc nhìn quantrọng cần phải đề cập đến trong vấn đề bảo mật.Các hacker tấn công bắn hạ mạng thường nhậnđược rất nhiều sự quan tâm, vì vậy các công ty cũngthường quan tâm đến việc bảo vệ chống lại nhữngmối đe dọa này. Tuy nhiên nếu tổ chức của bạn chỉtập trung vào kiểu bảo mật này, việc đó tương tự vớikiểu đặt tất cả cố gắng vào việc ngăn chặn một kẻmang bom tấn công vào công ty nhưng lại quên đi sựquan tâm đến kẻ trộm lẩn trốn ở cửa sau và “đánhcắp” đi tất cả những tài sản quý giá.Một cách đáng tiếc, những đề phòng bảo mật dùngđể ngăn chặn các tấn công DoS, virus, worm, và cáctấn công khác lại dường như không thể giải quyếtđược đến vấn đề sảo quyệt hơn: trộm dữ liệu công tycho mục đích gián điệp hoặc các mục đích khác. Sựphơi bày các bí mật thương mại trước một đối thủcạnh tranh hoặc phóng thích các thông tin riêng tưcủa công ty cho giới truyền thông, trong một sốtrường hợp, có thể gây ra mất mát rất nhiều so vớithời gian ngừng hoạt động của máy móc.Trong bài này chúng tôi sẽ giới thiệu cho các bạnnhững gì cần phải thực hiện để bảo mật dữ liệu chocông ty bạn.1. Thực hiện nguyên tắc đặc quyền tối thiểu vàthiết lập các chính sách cho việc ghi chépCó hai triết lý đối ngược nhau mà từ đó bạn có thểthiết lập các chính sách truy cập mạng. Đầu tiên,chính sách “mở tất cả”, giả thiết rằng tất cả dữ liệu cósẵn đối với mọi người trừ khi bạn cần phải hạn chếsự truy cập. Thứ hai, chính sách “đặc quyền tốithiểu”, hoạt động trên giả định rằng tất cả dữ liệu đềuđược hạn chế ở mức tối đa trước mỗi người dùng trừkhi họ được trao quyền truy cập. Sau đó giống nhưchính sách “cần biết” của các trung tâm tình báochính phủ: Trừ khi người dùng có nhu cầu cấp thiếtcần phải truy cập vào một file cụ thể, bằng không họsẽ không thể truy cập được nó.Cần phải làm rõ một điều rằng, các nhân viên khôngđược copy các thông tin quan trọng hay mang nó vềnhà, hoặc email ra ngoài mạng nội bộ mà không cósự cho phép. Mặc dù vậy, trừ khi đặt ra các chínhsách như vậy trong các văn bản giấy tờ và có chữ kýcủa nhân viên để xác nhận, bằng không khó có thểbắt người dùng của bạn thực thi tốt các chính sáchđó. Các nguyên tắc không được viết ra sẽ rất khó cóhiệu lực.Các chính sách cũng cần phải cụ thể và có ví dụ chonhững gì bị cấm. Các nhân viên có thể không hiểunếu họ không được giải thích một cách tường tận,chẳng hạn như việc email một tài liệu công ty dướidanh nghĩa đính kèm đến ai đó bên ngoài mạng(hoặc thậm chí đến chính tài khoản của họ ở nhà) sẽvi phạm chính sách copy tài liệu đó vào USB và nóichuyện về nó bên ngoài công ty của mình.Thêm vào đó, việc diễn đạt chính sách cần phải rõràng để thể hiện sự cấm đoán không chỉ có các ví dụmà bạn đưa ra.2. Thiết lập các đặc quyền hạn chế và thẩm địnhtruy cậpKhông thể chỉ phụ thuộc vào các chính sách để bảovệ dữ liệu của mình. Hãy nói với các nhân viênnhững gì họ không nên thực hiện, cách thức này sẽtránh được việc ai đó trong số họ thực hiện những saitrái do cẩu thả. Sự thi hành các chính sách mang tínhkỹ thuật sẽ tước bỏ lựa chọn về việc có tuân theo haykhông của họ. Do đó bước đầu tiên trong việc bảo vệdữ liệu là thiết lập các đặc quyền thích hợp cho file vàthư mục. Cũng cần phải nói thêm rằng, dữ liệu trêncác mạng Windows nên được lưu dưới các ổ đĩa cóđịnh dạng NTFS để có thể sử dụng các đặc quyềnNTFS cùng với đặc quyền chia sẻ. Định dạng NTFScủa ổ đĩa sẽ có nhiều chi tiết hơn đặc quyền chia sẻvà áp dụng cho người dùng truy cập dữ liệu trên máytính nội bộ cũng như qua mạng.Trong khi thực thi nguyên tắc đặc quyền tối thiểu, cầncho phép người dùng mức đặc quyền thấp nhất cóthể để họ có thể thực hiện các công việc của mình.Cho ví dụ, cấp đặc quyền “Read Only” để tránh ngườidùng có thể thay đổi các file dữ liệu quan trọng.Ngoài ra bạn cũng có thể thiết lập hành động thẩmđịnh file hoặc thư mục có chứa dữ liệu nhạy cảm đểcó thể biết ai đã truy cập vào nó và truy cập khi nào.Về vấn đề này bạn có thể tìm hiểu thêm về cơ chếthẩm định truy cập đối tượng trên Windows Server tạiđây.Ngoài ra còn có rất nhiều giải pháp thẩm định của cácbên thứ ba mà bạn có thể sử dụng để thẩm định truycập file trong các site lưu trữ:- NTP Software File Auditor- Blue Lance LT Auditor +- isdecisions FileAudit for Windows3. Sử dụng mã hóaMột thuận lợi khác cho việc lưu trữ dữ liệu trên cácthiết bị có định dạng NTFS là khả năng sử dụng mãhóa Encrypting File System (EFS). EFS được hỗ trợtrong Windows 2000 và các hệ điều hành gần đây, nócó thể chặn người dùng mở các file dữ liệu thậm chícó các đặc quyền NTFS. Trong Windows XP/2003 vàcác hệ điều hành gần đây, các thư mục mã hóa cóthể được chia sẻ với người dùng khác bằng cách gáncho họ các đặc quyền nào đó thông qua hộp thoại mãhóa.Tuy nhiên vẫn có một con đường mà ở đó dữ liệu cóthể bị mất cắp là mất toàn bộ máy tính, đặc biệt nếunó là các máy tính laptop. Trong các phiên bản Vistavà Windows 7 Enterprise, Ultimate, bạn có thể sửdụng chức năng mã hóa toàn bộ ổ đĩa để bảo vệ dữliệu trong trường hợp bị mất máy tính.Ngoài các tính năng đi kèm các hệ điều hành củaMicrosoft, bạn có thể lựa chọn các phần mềm thaythế khác từ các hãng thứ ba như:- PGP Whole Disk Encryption- Check Point Full Disk Encryption Software Blade4. Thực thi quản lý quyềnMột số hành vi trộm cắp dữ liệu có thể được ngănngừa bằng cách sử dụng các phương pháp trên đểgiữ cho những người không cần thiết không truy cậpvào dữ liệu đó. Tuy nhiên điều gì sẽ xảy ra nếu hànhvi trộm cắp đến từ những người mà bạn cần traoquyền truy cập? Bạn có thể sử dụng tính năngW indows Rights Management Services (RMS) vàInformation Rights Management (IRM) trong nhiều ...