Thực tiễn tốt nhất để bảo mật dữ liệu nhân viên của bạn

Các tổ chức có trách nhiệm bảo vệ dữ liệu cá nhân của nhân viên. Nhưng làm sao họ có thể thành công nếu bản thân nhân viên không được trang bị đầy đủ thông tin về các biện pháp bảo mật tốt nhất hoặc được cung cấp các công cụ cần thiết để bảo mật dữ liệu của họ?

Nhân viên có thể vô tình phân tán dữ liệu nhạy cảm của họ trên các ổ đĩa, thiết bị, email và tài liệu - thường ở những vị trí công khai nhất. Nếu thông tin này rơi vào tay kẻ xấu, nó có thể dẫn đến vi phạm dữ liệu nghiêm trọng. Chúng ta không chỉ phải lo lắng về những sự cố mà còn về những khoản tiền phạt có thể xảy ra sau đó. Ví dụ: GDPR không phân biệt giữa các vi phạm liên quan đến dữ liệu nhân viên và các vi phạm liên quan đến dữ liệu khách hàng.

Chúng tôi thực sự không thể đổ lỗi cho nhân viên vì không hiểu ý nghĩa của việc không lưu trữ dữ liệu cá nhân của họ một cách an toàn. Suy cho cùng, hầu hết chúng ta đều có rất nhiều thông tin bí mật cần lưu trữ - cho dù thông tin đó là thông tin đăng nhập, chi tiết ngân hàng, bản quét hộ chiếu, các bản ghi nhớ quan trọng, v.v. Không chỉ vậy, nhiều nhân viên còn đưa ra giả định tự nhiên rằng công ty đã triển khai các biện pháp kiểm soát bảo mật cần thiết để bảo vệ mạng khỏi tin tặc và những kẻ nội gián độc hại. Sự thật là, nhiều tổ chức vẫn đang gặp khó khăn trong việc theo dõi những tài sản nào họ lưu trữ, những tài sản đó nằm ở đâu và ai có quyền truy cập vào chúng.

Rất nhiều công ty không thực hiện được các biện pháp kiểm soát bảo mật cần thiết để thực thi quyền truy cập “đặc quyền tối thiểu”. Nếu bạn muốn kiểm tra nhanh xem bạn đang xử lý như thế nào về đặc quyền tối thiểu, hãy xem một chút xem bạn đã mở bao nhiêu thư mục cho mọi người trong tổ chức của mình. Tôi sẵn sàng cá là nó quá nhiều. Sau đó là vấn đề với BYOD - xu hướng ngày càng tăng khi nhân viên mang thiết bị của riêng họ vào nơi làm việc. Mặc dù BYOD có một số lợi thế, nhưng nếu nó không được quản lý chính xác, nó có thể khiến các tổ chức gặp khó khăn trong việc theo dõi cách truy cập dữ liệu nhạy cảm và liệu dữ liệu đó có được truy cập an toàn hay không.

Cách đảm bảo nhân viên có thể bảo mật đầy đủ PII của họ

Bước đầu tiên và rõ ràng nhất mà các tổ chức nên thực hiện là triển khai chương trình đào tạo nâng cao nhận thức về bảo mật một cách mạnh mẽ. Nhân viên phải nhận thức được những rủi ro liên quan đến việc lưu trữ Thông tin nhận dạng cá nhân (PII) theo cách không bảo mật. Ví dụ: hầu hết nhân viên đều không biết rằng những người dùng khác trên mạng có thể truy cập PII được lưu trữ trên thiết bị của họ.

Điều bắt buộc là các công ty phải biết chính xác dữ liệu nào họ lưu trữ và dữ liệu đó nằm ở đâu. Có sẵn các công cụ phát hiện và phân loại dữ liệu có thể tự động hóa quá trình xác định và phân loại dữ liệu nhạy cảm. Việc phân loại dữ liệu sẽ giúp các công ty dễ dàng ưu tiên và phân bổ nguồn lực hiệu quả hơn rất nhiều. Ngoài ra, mọi dữ liệu không còn cần thiết phải được xóa càng sớm càng tốt. Các tổ chức phải duy trì danh sách kiểm kê tất cả các thiết bị kết nối với mạng và sử dụng phần mềm Quản lý thiết bị di động để đảm bảo rằng mọi dữ liệu nhạy cảm đều được mã hóa hoặc xóa trong trường hợp thiết bị bị mất hoặc bị đánh cắp. Các biện pháp kiểm soát phải được thực hiện để đảm bảo rằng dữ liệu không bao giờ được gửi đến thiết bị không nằm trong danh sách thiết bị được ủy quyền và các công ty cũng phải có quyền kiểm tra các email liên quan đến công việc.

Nhân viên đương nhiên thích lưu trữ thông tin nhạy cảm của họ ở một nơi duy nhất và đây không hẳn là một điều xấu. Điều quan trọng là thông tin này được lưu trữ an toàn. Liên quan đến thông tin đăng nhập, có một số công cụ có sẵn để giúp chúng tôi ghi nhớ và bảo mật mật khẩu của mình. Ví dụ: hầu hết các trình duyệt hiện đại đều có hệ thống quản lý mật khẩu cơ bản được tích hợp sẵn và mật khẩu được lưu trữ có thể được truy cập trên nhiều thiết bị. Ngoài ra còn có nhiều tiện ích mở rộng trình duyệt khác nhau thực hiện công việc tương tự. Các công cụ thương mại khác bao gồm 1Password, Dashlane và LastPass.

Cuối cùng, các tổ chức phải có các giải pháp cần thiết để thực thi quyền truy cập tài khoản “ít đặc quyền nhất”. Nhân viên chỉ có quyền truy cập vào dữ liệu họ cần để thực hiện nhiệm vụ của mình. Mặc dù có thể thực hiện việc này một cách thủ công nhưng có một số giải pháp hợp lý có thể thực hiện công việc này dễ dàng hơn nhiều. Ví dụ: Nền tảng bảo mật dữ liệu Lepide cho phép các tổ chức xem xét các quyền truy cập hiện tại thông qua bảng điều khiển trực quan, bao gồm thông tin chi tiết về cách cấp quyền và thời điểm chúng được thay đổi. Các giải pháp như vậy có thể làm giảm đáng kể nguy cơ dữ liệu cá nhân của nhân viên bị tin tặc hoặc nội gián độc hại xâm phạm.