Mẹo giảm thiểu vi phạm dữ liệu khi sử dụng dịch vụ đám mây

Theo một báo cáo gần đây của McAfee, trung bình một nhân viên tích cực sử dụng 36 dịch vụ đám mây tại nơi làm việc và rất nhiều dữ liệu được lưu trữ bằng các dịch vụ này là nhạy cảm (18,1%). Dữ liệu đó bao gồm hồ sơ tài chính, kế hoạch kinh doanh, số An sinh xã hội, số thẻ tín dụng và thẻ ghi nợ, thông tin sức khỏe được bảo vệ, v.v. Những số liệu trên nêu bật tầm quan trọng của chiến lược bảo mật đám mây chặt chẽ. Dưới đây là một số mẹo giúp bạn bắt đầu:

Đào tạo nhận thức về bảo mật và thực thi chính sách

Theo một cuộc khảo sát gần đây do Oracle và KPMG thực hiện, 97% số người được hỏi cho biết họ yêu cầu các dịch vụ đám mây phải được nhóm CNTT/bảo mật phê duyệt và có tới 82% số người được hỏi lo ngại rằng nhân viên đang vi phạm các chính sách đó. Với suy nghĩ này, điều quan trọng là các tổ chức phải giới thiệu một chương trình đào tạo nâng cao nhận thức về bảo mật liên tục, trong đó giải thích rõ ràng các chính sách bảo mật của công ty và lý do tại sao việc tuân thủ chúng lại quan trọng.

Mã hóa và lưu trữ khóa

Không cần phải nói rằng nếu bạn định lưu trữ dữ liệu nhạy cảm trên đám mây thì dữ liệu đó phải được mã hóa, cả ở trạng thái nghỉ và khi truyền. Làm như vậy không chỉ là một biện pháp bảo mật tốt mà còn là yêu cầu pháp lý đối với hầu hết các tổ chức. Khi lưu trữ dữ liệu được mã hóa trên đám mây, các tổ chức phải có quyền kiểm soát các khóa mã hóa của mình. Mặc dù hầu hết các nhà cung cấp dịch vụ đám mây đều cung cấp một số giải pháp dễ sử dụng để mã hóa dữ liệu, nhưng vẫn không nên lưu trữ các khóa này ở cùng nơi lưu trữ dữ liệu được mã hóa.

Kiểm tra và báo cáo

Đương nhiên, việc kiểm tra và báo cáo những thay đổi quan trọng đối với mọi dữ liệu nhạy cảm mà chúng tôi lưu trữ trên đám mây là một ý tưởng hay. Theo khảo sát trên của Oracle và KPMG, 38% số người được hỏi cho biết họ gặp phải vấn đề phát hiện và ứng phó với các mối đe dọa trên đám mây. Mặc dù hầu hết các nhà cung cấp dịch vụ đám mây phổ biến sẽ cung cấp một số dạng khả năng kiểm tra gốc nhưng họ thường có chức năng hạn chế khi so sánh với các giải pháp DCAP (Kiểm tra & Bảo vệ lấy trung tâm dữ liệu) phức tạp. Không chỉ vậy, nhiều công ty còn sử dụng nhiều dịch vụ đám mây, điều này khiến việc giám sát và liên hệ các sự kiện trở nên phức tạp hơn.

Các Giải pháp kiểm tra đám mây như Nền tảng bảo mật dữ liệu Lepide, có thể tổng hợp dữ liệu nhật ký từ nhiều nguồn, chẳng hạn như AWS, Dropbox, Office365 và OneDrive, đồng thời hiển thị bản tóm tắt các sự kiện thông qua một bảng điều khiển trực quan duy nhất. Không chỉ vậy, họ còn cung cấp các cảnh báo theo thời gian thực và nhiều loại báo cáo tùy chỉnh, có thể được sử dụng để đáp ứng các yêu cầu tuân thủ quy định.

Mật khẩu và xác thực

Hầu hết các doanh nghiệp vẫn đang dựa vào các phương thức xác thực dựa trên mật khẩu tương tự đã được sử dụng kể từ buổi bình minh của hệ thống nhiều người dùng. Tuy nhiên, những hệ thống xác thực này - ngay cả những hệ thống yêu cầu mật khẩu cực mạnh - đôi khi vẫn bị vi phạm. Có nhiều phương pháp mã hóa khác nhau có thể được sử dụng để giúp ngăn chặn các cuộc tấn công mật khẩu bạo lực, chẳng hạn như sử dụng “băm muối”; tuy nhiên, có lẽ các tổ chức vẫn nên sử dụng các phương pháp xác thực nâng cao hơn khi sử dụng các dịch vụ dựa trên đám mây, chẳng hạn như xác thực đa yếu tố. Như mọi khi, các công ty phải tuân thủ “nguyên tắc đặc quyền tối thiểu” khi chỉ định quyền truy cập để đảm bảo rằng nhân viên chỉ có quyền truy cập vào dữ liệu họ cần để thực hiện đầy đủ nhiệm vụ của mình.