Từ Chính phủ điện tử tới Chính phủ số - Bài cuối: Bảo vệ dữ liệu kết hợp với bảo mật mạng

* Mối quan hệ bảo mật dữ liệu - bảo mật mạng

Bộ Công an Việt Nam đã thu thập và đồng bộ hóa hệ thống cơ sở dữ liệu quốc gia về dân cư với hơn 102 triệu phiếu thu thập thông tin dân cư DC01; đã cấp đồng loạt gần 99 triệu số định danh cho công dân trên toàn quốc đang có trên hệ thống. Đây là cơ sở quan trọng để xác lập danh tính điện tử của công dân, góp phần thực hiện chuyển đổi số quốc gia.

Việc kết nối, chia sẻ dữ liệu giữa Cơ sở dữ liệu quốc gia về dân cư với cơ sở dữ liệu nghiệp vụ ngành được xác định độ bảo mật theo quyết định của Thủ tướng.

Hệ thống sử dụng giải pháp bảo mật do Ban Cơ yếu Chính phủ cung cấp gồm xác thực/ký số toàn vẹn dữ liệu và bảo mật kênh truyền; áp dụng giải pháp bảo mật mã hóa cơ sở dữ liệu của hệ quản trị cơ sở dữ liệu Oracle. Việc lưu trữ dữ liệu thông tin công dân trong hệ thống và các hồ sơ, tài liệu bản thiết kế chi tiết hệ thống được xác định thuộc chế độ “Mật”.

Bên cạnh đó, Bộ Công an chỉ đạo Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao xây dựng quy định về bảo đảm an ninh mạng đối với hệ thống, bảo đảm an ninh, an toàn khi triển khai kết nối cơ sở dữ liệu quốc gia về dân cư với các cơ sở dữ liệu khác. Việc bảo mật dữ liệu được quan tâm đầu tư với công nghệ hiện đại nhất.

Mặc dầu vậy, trong quá trình xây dựng, sử dụng và chia sẻ các nguồn dữ liệu quốc gia sẽ xuất hiện nhiều mối nguy cơ đối với việc bảo mật thông tin.

Theo Scott Nicholson, chuyên gia của Bridewell Consulting (tổ chức cung cấp tư vấn bảo mật không gian mạng có trụ sở ở Anh), việc bảo mật dữ liệu và bảo mật mạng có vẻ chồng chéo nhau nhưng thực ra lại là hai vấn đề khác nhau. Nếu chúng ta quá tập trung vào việc bảo mật dữ liệu thì thông tin vẫn có thể bị lộ lọt trong trường hợp khâu bảo mật mạng không được làm tốt. Nguy cơ mất an toàn cũng xảy ra nếu chúng ta làm ngược lại.

Bản chất của bảo vệ dữ liệu và bảo mật mạng là liên kết với nhau, nhưng chúng cũng trải dài theo hai hướng ngược nhau.

Để đạt được hiệu quả trong việc bảo mật dữ liệu thì cần có các điều kiện tiên quyết bao gồm: quản lý tốt thông tin; hiểu rõ tầm quan trọng của dữ liệu và sử dụng sơ đồ phân loại thông tin để xử lý dữ liệu một cách phù hợp.

Trong khi đó, an ninh mạng là một phần trong việc bảo vệ dữ liệu, nhưng đó cũng là cách bảo vệ hệ thống khỏi các mối đe dọa mạng khác nhau. Mọi tổ chức, doanh nghiệp không phải băn khoăn liệu họ có bị tin tặc tấn công hay không mà cần đặt câu hỏi rằng khi nào họ sẽ bị tấn công.

Theo ông Scott, cần có sự tinh tế trong sự tương tác giữa bảo mật dữ liệu và bảo mật mạng. Lấy việc mã hóa là một ví dụ - các tổ chức, doanh nghiệp có thể đã mã hóa dữ liệu của mình trong cơ sở dữ liệu. Tuy nhiên, nếu họ không sử dụng các biện pháp bảo mật mạng rộng hơn (quy trình xác thực mang tính đa yếu tố, khả năng xác định các liên kết lừa đảo, phát hiện các phần mềm độc hại…) thì những dữ liệu như danh tính người dùng và mật khẩu có thể bị xâm phạm. Từ đó kẻ tấn công có thể vượt qua tất cả các biện pháp bảo mật dữ liệu.

Bảo mật dữ liệu và bảo mật mạng có liên quan với nhau một cách rõ ràng, nhưng không phải tổ chức, doanh nghiệp nào cũng thực sự chú trọng vào cả hai vấn đề này như nhau. Bảo mật mạng thường mang tính kỹ thuật cao hơn và tập trung vào khả năng phục hồi, trong khi bảo mật dữ liệu liên quan đến các vấn đề như xử lý thông tin, luân chuyển, mã hóa.

Vì vậy, khâu an ninh mạng tập trung vào việc giảm thiểu các cuộc tấn công DDOS trên trang web của tổ chức, doanh nghiệp. Còn một trong số những biện pháp bảo mật dữ liệu là lưu giữ dữ liệu trên giấy.

Do đó, các tổ chức, doanh nghiệp cần có các biện pháp kiểm tra thâm nhập và giảm thiểu DDoS, mặt khác cần đào tạo cho nhân viên về các biện pháp xử lý thông tin một cách phù hợp.

* Dữ liệu của doanh nghiệp bị tấn công quyết liệt

Trên thực tế, không phải cơ quan nhà nước mà các doanh nghiệp, các tổ chức tài chính – ngân hàng trên toàn cầu đang phải đương đầu với những cuộc tấn công ồ ạt nhằm vào trung tâm dữ liệu.

Theo khảo sát của Công ty Dữ liệu Quốc tế (IDC) có trụ sở ở Mỹ, trong vòng một năm có hơn 1/3 số doanh nghiệp trên thế giới đã từng gặp phải một cuộc tấn công với mã độc tống tiền hay một lỗ hổng nhằm khóa quyền truy xuất vào các hệ thống hoặc dữ liệu.

Bị tấn công vào cơ sở dữ liệu là thảm họa đối với doanh nghiệp. Theo thông tin của Cục Lưu trữ và Hồ sơ quốc gia Mỹ, có tới 93% số công ty bị đánh cắp trung tâm dữ liệu từ 10 ngày trở lên đã phải nộp đơn xin phá sản trong vòng một năm. Còn 50% số doanh nghiệp phát hiện ra mình không quản lý được dữ liệu từ 10 ngày trở lên đã nộp đơn phá sản ngay lập tức.

Theo thông tin tại Diễn đàn Nam Á của Dell Technologies (công ty đa quốc gia của Mỹ chuyên về phần mềm, phần cứng máy tính, điện toán đám mây) được tổ chức tại Hà Nội vào ngày 9/9, sự gia tăng không ngừng của các dữ liệu nhạy cảm đã khiến gần 80% giới lãnh đạo các doanh nghiệp trên thế giới coi tấn công mạng là một trong những rủi ro quản lý hàng đầu. Còn nếu phải chịu bất kỳ một cuộc tấn công mạng nhắm vào dữ liệu thì có tới 69% số người đứng đầu công ty cảm thấy thiếu tự tin về khả năng phục hồi của doanh nghiệp.

Các cuộc tấn công mạng không chỉ nhằm đánh cắp thông tin mà còn được thiết kế với mục tiêu hủy hoại những dữ liệu quan trọng hoặc mã hóa dữ liệu của doanh nghiệp để tống tiền. Những chiến dịch này có khả năng vượt qua lớp bảo mật truyền thống, cho phép kẻ tấn công ẩn mình trong hệ thống mạng của nạn nhân nhiều tháng, thậm chí hằng năm mà không bị phát hiện.

Tin tặc nhận ra rằng chúng dễ đạt được mục tiêu tống tiền hay tiêu hủy dữ liệu nếu nạn nhân không còn bản sao lưu dữ liệu khả dụng. Điều này khiến các bản sao lưu hệ thống, dữ liệu thành mục tiêu hàng đầu để tấn công. Đáng tiếc là việc sao lưu thường được thiết kế để dễ tiếp cận và kém bảo mật.

Để giúp các doanh nghiệp bảo vệ cơ sở dữ liệu của mình, Dell Technologies đã đưa ra giải pháp Power Protect Cyber Recovery (PPCR).

PPCR ra đời với nhiệm vụ quan trọng là bảo vệ, biệt lập các dữ liệu quan trọng khỏi nguy cơ nhiễm mã độc tống tiền hay nguy cơ từ các cuộc tấn công mạng tinh vi. Hệ thống máy sẽ xác định hành vi đáng ngờ trên hệ thống để cảnh báo và tiến hành ngăn chặn, đồng thời cho phép doanh nghiệp chủ động phục hồi dữ liệu để tiếp tục hoạt động bình thường, tránh gián đoạn và giảm thiểu tối đa thiệt hại kinh tế, uy tín.

Quy trình bảo vệ, dự phòng của PPCR gồm 5 hành vi chính: tiến hành đồng bộ và khu biệt dữ liệu tại các “két an toàn”, sử dụng các lớp bảo mật và kiểm soát để bảo đảm sự an toàn của dữ liệu, tránh các mối đe dọa từ bên ngoài cũng như bên trong. Suốt quá trình bảo vệ, hệ thống sẽ tự sao chép dữ liệu dự phòng theo chu kỳ được cài đặt để bảo đảm cơ hội phụ hồi nếu xảy ra rủi ro. Ngoài ra, dữ liệu sẽ được khóa để ngăn các hành vi xóa có chủ đích hay vô tình thao tác nhầm.

Tiếp đó, tính năng CyberSense lập danh mục nội dung đầy đủ của các dữ liệu được bảo vệ tại két, phát cảnh báo khi phát hiện khả năng hư hỏng tiềm ẩn. Đáng chú ý hơn cả, hệ thống máy sẽ giúp bảo đảm khả năng phục hồi của các dữ liệu đó trong trường hợp rủi ro xảy ra.

Nhờ quy trình đa lớp của PowerProtect Cyber Recover mà doanh nghiệp có thể tự tin về khả năng phục hồi dữ liệu cũng như bảo đảm hoạt động dù đã trở thành mục tiêu của tin tặc.

Về vấn đề bảo mật dữ liệu, Microsoft (tập đoàn đa quốc gia của Mỹ đặt trụ sở chính tại Redmond, Washington; chuyên về bản quyền phần mềm và hỗ trợ các sản phẩm và dịch vụ liên quan đến máy tính) cũng chào hàng Microsoft 365 E5 Compliance. Đây là giải pháp tuân thủ và quản trị dữ liệu toàn diện giúp các tổ chức, doanh nghiệp quản lý được rủi ro, bảo vệ và quản trị dữ liệu nhạy cảm và phản hồi các yêu cầu theo quy định.

Microsoft 365 E5 có tính năng bảo vệ dữ liệu nhạy cảm trên các đám mây, ứng dụng và điểm cuối; xác định và khắc phục các rủi ro nghiêm trọng trong doanh nghiệp; điều tra và phản hồi các yêu cầu pháp lý với dữ liệu liên quan; đánh giá việc tuân thủ, phản hồi các yêu cầu quy định.

Giải pháp Microsoft InTune cung cấp các chính sách bảo mật nhằm bảo vệ thông tin khách hàng và nhà cung cấp trong nền tảng điện toán đám mây và tại cơ sở vào bất kỳ lúc nào. Các tổ chức, doanh nghiệp có thể thiết lập quyền dựa trên chứng danh đối với các tập dữ liệu khác nhau tùy thuộc vào vai trò của nhân viên. Giải pháp này quyết định các chính sách bảo mật và quy tắc truy nhập cho các thiết bị khác nhau, vì vậy nếu bất kỳ dữ liệu nào bị mất hoặc bị đánh cắp thì nhân viên kỹ thuật của doanh nghiệp cũng có thể dễ dàng xóa thông tin đó từ xa.

Giải pháp của Microsoft giúp doanh nghiệp duy trì hiệu suất và dễ dàng truy nhập các đơn hàng của khách hàng và tài liệu chuỗi cung cấp trên đường đi với phần mềm Azure Active Directory. Các doanh nghiệp có thể sử dụng tính năng xác thực đa yếu tố Azure để cho phép một số nhân viên truy nhập bên ngoài mạng doanh nghiệp. Với phần mềm Azure Information Protection thì doanh nghiệp có thể phân loại dữ liệu dựa trên thông tin nhạy cảm để đảm bảo dữ liệu được bảo vệ khỏi truy nhập trái phép.

Như vậy, các giải pháp của Microsoft giúp tổ chức, doanh nghiệp tránh để mất dữ liệu từ bất kỳ thiết bị nào, ở bất kỳ nơi đâu; quyết định các chính sách bảo mật dựa trên các mức cấp phép, vai trò và nhu cầu; đảm bảo dữ liệu được phân loại và bảo vệ cho việc tuân thủ bảo mật trong tương lai.