Cách đảm bảo an toàn dữ liệu (Data Security) cho doanh nghiệp

Đảm bảo an toàn dữ liệu cho doanh nghiệp là giữ cho thông tin quan trọng luôn bí mật với người không có quyền, không bị sửa đổi trái phép và luôn sẵn sàng khi cần, ba thuộc tính thường gọi là CIA (Confidentiality, Integrity, Availability). Thực hiện được điều đó cần kết hợp chính sách, công nghệ và con người: biết mình có dữ liệu gì, ai được truy cập, bảo vệ nó thế nào khi lưu và khi truyền, và khôi phục ra sao khi có sự cố. Bài viết đưa ra một khung thực tế mà doanh nghiệp vừa và nhỏ có thể áp dụng dần.

Bước 1: Biết mình đang có dữ liệu gì

Không thể bảo vệ thứ mình không biết. Lập danh mục dữ liệu và phân loại theo mức độ nhạy cảm:

Xác định nơi dữ liệu nằm: máy chủ, phần mềm SaaS, email, máy tính cá nhân, điện thoại, ổ USB, nhóm chat. Dữ liệu cá nhân của khách hàng và nhân viên cần được đánh dấu riêng vì thuộc phạm vi điều chỉnh của quy định bảo vệ dữ liệu cá nhân tại Việt Nam.

Bước 2: Kiểm soát ai được truy cập

• Quyền tối thiểu: mỗi người chỉ có quyền cần thiết cho công việc. Nhân viên kinh doanh không cần xem bảng lương; kế toán không cần quyền quản trị máy chủ.
• Xác thực đa yếu tố cho email, VPN, phần mềm kế toán, ERP, mọi tài khoản quản trị.
• Tài khoản tập trung: dùng SSO để cấp và thu hồi quyền một chỗ; xem bài triển khai Single Sign-On cho doanh nghiệp.
• Rà soát định kỳ: mỗi quý kiểm tra danh sách người có quyền vào dữ liệu mật; khóa ngay tài khoản của người nghỉ việc.
• Tách tài khoản quản trị: quản trị viên dùng tài khoản thường cho công việc hằng ngày, tài khoản quản trị chỉ dùng khi cần.

Bước 3: Mã hóa khi lưu trữ và khi truyền

• Bật mã hóa ổ đĩa trên mọi laptop (BitLocker trên Windows, FileVault trên macOS). Laptop bị mất là một trong những nguồn rò rỉ phổ biến.
• Mọi kết nối web, API dùng HTTPS với TLS hiện hành; không gửi dữ liệu nhạy cảm qua giao thức không mã hóa.
• Database và bản sao lưu chứa dữ liệu mật nên được mã hóa; khóa mã hóa quản lý tách khỏi dữ liệu.
• Khi gửi file mật ra ngoài, dùng liên kết chia sẻ có thời hạn và giới hạn người nhận thay vì đính kèm email.

Bước 4: Sao lưu để sống sót qua sự cố

Mã độc tống tiền (ransomware) mã hóa dữ liệu và đòi tiền chuộc là mối đe dọa lớn với doanh nghiệp. Bản sao lưu tốt là tuyến phòng thủ cuối cùng. Quy tắc 3-2-1 được dùng rộng rãi:

• Ít nhất 3 bản dữ liệu (bản gốc và 2 bản sao).
• Trên ít nhất 2 loại phương tiện lưu trữ khác nhau.
• Ít nhất 1 bản ở ngoài cơ sở, tốt nhất là bản không thể sửa xóa (immutable) hoặc ngắt kết nối khỏi mạng.

Quan trọng không kém: thử khôi phục định kỳ. Bản sao lưu chưa từng được thử khôi phục chỉ là hy vọng. Xác định mục tiêu thời gian khôi phục (RTO) và lượng dữ liệu chấp nhận mất (RPO) cho từng hệ thống quan trọng.

Bước 5: Chống rò rỉ và giám sát

• Cập nhật bản vá hệ điều hành, phần mềm, thiết bị mạng thường xuyên; nhiều vụ tấn công khai thác lỗ hổng đã có bản vá từ lâu.
• Không mở trực tiếp dịch vụ quản trị (RDP, SSH, trang admin database) ra internet; dùng VPN hoặc truy cập có xác thực mạnh.
• Thu thập log đăng nhập, truy cập dữ liệu mật về một nơi và đặt cảnh báo cho hành vi bất thường; tham khảo bài xây dựng hệ thống monitoring.
• Kiểm soát chia sẻ file trên dịch vụ lưu trữ đám mây: hạn chế chia sẻ "bất kỳ ai có liên kết" cho thư mục mật.
• Dùng công cụ chống mã độc, lọc email để chặn tệp đính kèm và liên kết nguy hiểm.

Dữ liệu doanh nghiệp bị đánh cắp đôi khi xuất hiện công khai trên các diễn đàn mua bán, như được phân tích trong bài về tình trạng tài liệu doanh nghiệp bị rao bán trên mạng. Phát hiện sớm giúp doanh nghiệp đổi mật khẩu, thông báo cho người bị ảnh hưởng và giảm thiệt hại.

Bước 6: Con người là tuyến phòng thủ đầu tiên

Phần lớn sự cố bắt đầu từ một email lừa đảo, một mật khẩu dùng lại hoặc một file gửi nhầm người. Đào tạo nhân viên nên ngắn, thường xuyên và gắn với tình huống thật:

• Nhận diện email giả mạo: tên người gửi giống sếp nhưng địa chỉ lạ, yêu cầu chuyển tiền gấp, liên kết đăng nhập giả.
• Quy trình xác minh qua kênh thứ hai (gọi điện) trước khi chuyển tiền hoặc thay đổi số tài khoản đối tác.
• Dùng trình quản lý mật khẩu, không dùng lại mật khẩu công ty cho dịch vụ cá nhân.
• Báo ngay cho IT khi nghi ngờ, không sợ bị trách.

Bước 7: Kế hoạch ứng phó sự cố

Viết sẵn kế hoạch ngắn gọn trước khi cần dùng:

1. Ai là người quyết định, ai liên hệ nhà cung cấp, ai thông báo khách hàng.
2. Các bước cô lập: ngắt máy bị nhiễm khỏi mạng, khóa tài khoản bị chiếm, đổi khóa bí mật.
3. Thu thập bằng chứng trước khi xóa, cài lại.
4. Khôi phục từ bản sao lưu sạch, kiểm tra trước khi đưa vào sử dụng.
5. Thông báo cho cơ quan chức năng và người bị ảnh hưởng theo quy định.
6. Rút kinh nghiệm, cập nhật biện pháp.

Diễn tập kế hoạch này ít nhất mỗi năm một lần, kể cả chỉ bằng thảo luận tình huống trên giấy.

Bắt đầu từ đâu khi nguồn lực hạn chế

Nếu chỉ có thể làm năm việc trong tháng này: bật xác thực hai lớp cho email và tài khoản quản trị; thiết lập sao lưu theo quy tắc 3-2-1 và thử khôi phục; bật mã hóa ổ đĩa laptop; đóng các cổng quản trị mở ra internet; tổ chức một buổi đào tạo nhận diện lừa đảo. Những biện pháp này chi phí thấp nhưng chặn được phần lớn các kịch bản tấn công phổ biến.