Cơ sở hạ tầng và an ninh mạng
Hai yếu tố xây dựng cơ bản để đảm bảo rằng dữ liệu của bạn được bảo mật là cơ sở hạ tầng vật lý và bảo mật mạng. Hiểu và bảo vệ thông tin của bạn khỏi các mối đe dọa và lỗi của con người yêu cầu các giao thức bảo mật được phân lớp tỉ mỉ.
Cơ sở hạ tầng vật lý
Năm ngoái, British Airways đã hủy hơn 400 chuyến bay và khiến 75.000 hành khách bị mắc kẹt vì gặp phải lỗi công nghệ thông tin do một kỹ sư đã ngắt kết nối nguồn điện tại trung tâm dữ liệu gần sân bay Heathrow của Luân Đôn. Khi nói đến các trung tâm dữ liệu và mạng lưới, ngay cả những lỗi nhỏ của con người cũng có thể có tác động cực kỳ lớn đến các doanh nghiệp và khách hàng của họ.
Với chi phí cắt cổ và nguồn nhân lực cần thiết để duy trì hệ thống tại chỗ, các tổ chức nên tìm đến các công ty cung cấp dịch vụ điện toán đám mây công cộng có các nguồn lực cần thiết để quản lý và bảo mật các trung tâm dữ liệu của họ một cách chính xác.
Các công ty điện toán đám mây công cộng đầu tư vốn và chuyên môn vào hệ thống. Cơ sở hạ tầng vật lý và trung tâm dữ liệu của họ được bảo vệ tốt hơn nhiều so với những gì mà hầu hết các công ty có thể tự mình thực hiện. Ví dụ: Google tập trung vào bảo mật và bảo vệ dữ liệu được ăn sâu trong các giải pháp công nghệ và văn hóa của công ty họ. Với ý nghĩ đó, nó là tiêu chí thiết kế chính khi họ xây dựng trung tâm dữ liệu.
Google sử dụng mô hình bảo mật lớp bao gồm các biện pháp bảo vệ như thẻ truy cập điện tử được thiết kế tùy chỉnh, cảnh báo, rào cản truy cập xe, hàng rào chu vi, máy dò kim loại, sinh trắc học và phát hiện xâm nhập chùm tia laser trên tầng trung tâm dữ liệu. Các trung tâm dữ liệu cũng được giám sát 24/7 bằng camera với độ phân giải cao có thể phát hiện và theo dõi những kẻ xâm nhập. Các bản ghi truy cập, hồ sơ hoạt động và cảnh quay của camera luôn có sẵn trong trường hợp xảy ra sự cố. Hơn nữa, nó chỉ có thể truy cập vào tầng trung tâm dữ liệu bằng cách sử dụng một hành lang an ninh có tính năng kiểm soát truy cập đa yếu tố đòi hỏi một mã tổng hợp bảo mật và xác nhận sinh trắc học. Chỉ những nhân viên được cho phép và có vai trò cụ thể mới được cung cấp thông tin đăng nhập cần thiết để truy cập.
Bảo mật mạng
Nếu bạn nghĩ rằng tường lửa của bạn được an toàn, hãy suy nghĩ lại. Bảo mật vật lý là quan trọng nhưng bảo mật mạng của bạn cũng quan trọng. Nó giống như một cuộc chạy đua vũ trang giữa tường lửa phòng thủ và hệ thống an ninh và tin tặc. Gần một nửa (48%) các tổ chức bị một cuộc tấn công mạng xác định nguyên nhân gốc rễ của việc vi phạm dữ liệu của họ là từ một cuộc tấn công nguy hiểm.
Không chỉ tường lửa được xây dựng bên trong thường bị quản lý kém và dễ bị tấn công hơn, chúng cũng không thể cung cấp cho các tổ chức các cảnh báo nguy cơ cần thiết. Các công ty duy nhất thực sự có đủ nhân viên được đào tạo bài bản, đúng chuyên môn và các nguồn lực cần thiết để luôn đứng đầu về an ninh mạng là các công ty cung cấp dịch vụ điện toán đám mây công cộng.
Với rất nhiều lỗ hổng trên mạng, ví dụ như năm backdoors mà Cisco phát hiện năm nay với con sâu Conficker USB khét tiếng, bạn cần sự bảo vệ tốt nhất. Nếu không được bảo trì thường xuyên, tin tặc có thể và sẽ vượt qua tường lửa của bạn và các phần mềm bảo mật có sẵn khác. Chỉ có tường lửa là không đủ để đảm bảo rằng dữ liệu được đặt trong mạng bảo mật của công ty bạn là an toàn. Tuy nhiên, việc kiểm tra, bảo trì và nâng cấp liên tục là quá khắt khe đối với nhiều doanh nghiệp đang cố gắng tự thực hiện.
Mặt khác, một số công ty điện toán đám mây hàng đầu sử dụng hàng trăm chuyên gia bảo mật và quyền riêng tư trong các bộ phận kỹ thuật và hoạt động phần mềm của họ. Nhân viên của các công ty điện toán đám mây công cộng bao gồm một số chuyên gia hàng đầu thế giới về bảo mật dữ liệu, ứng dụng và an ninh mạng – xuất bản hàng trăm nghiên cứu về bảo mật thông tin và mật mã hàng năm. Đội ngũ chuyên môn cao của họ được chia thành các bộ phận nhanh nhẹn hơn dành riêng cho các lĩnh vực bao gồm bảo mật, quyền riêng tư, kiểm toán nội bộ và tuân thủ, và an ninh hoạt động. Mức chuyên môn này đảm bảo rằng nhu cầu bảo mật của khách hàng sẽ nhận được sự chú ý nhiều hơn nữa.
Nâng cấp phần mềm
Nhiều lỗ hổng mạng được mô tả trong phần trước đã nhanh chóng được các nhà cung cấp cố định sau khi chúng được phát hiênh, nhưng điều này là không đủ. Các công ty cũng cần phải cập nhật hệ điều hành, cơ sở dữ liệu và máy chủ web của họ để các bản vá được áp dụng. Nhiều người bỏ qua trách nhiệm này. Khi phần mềm không được cập nhật đúng cách để bảo vệ chống lại các mối đe dọa trên mạng mới nhất, toàn bộ công ty sẽ gặp rủi ro.
Khi nói đến việc bảo trì phần mềm, có nhiều điều hơn là nâng cấp và chi phí lắp đặt. Khả năng cập nhật ngăn xếp phần mềm của công ty cũng phụ thuộc vào khả năng của nhóm CNTT của công ty và từng cá nhân nhân viên sử dụng thiết bị cá nhân do công ty phát hành hoặc thiết bị cá nhân cho công việc. Việc cập nhật hệ thống và thiết bị mà không bị gián đoạn dịch vụ cũng là một thách thức. Nhiều phòng CNTT sẽ trì hoãn việc triển khai các bản cập nhật quan trọng để giảm thiểu tác động của gián đoạn.
Đây là một cạm bẫy phổ biến của các tổ chức sử dụng phần mềm ngoài ngày kết thúc chính thức của ngày hỗ trợ. Điều này đặt các tổ chức như vậy ở một nguy cơ rất lớn, đó là không thể vá lỗ hổng nghiêm trọng. Ví dụ, như trường hợp với WannaCry. Các bản vá lỗi cho phần mềm cũ không có sẵn khi kết thúc ngày hỗ trợ là vào năm 2014.
Các tác động của lỗ hổng phần mềm có thể nghiêm trọng như bất kỳ vi phạm bảo mật CNTT nào khác. Ví dụ, IHG phát hành dữ liệu cho thấy rằng tiền mặt đăng ký tại hơn 1.000 tài sản của nó đã bị tổn hại bởi phần mềm độc hại được thiết kế để hút dữ liệu thẻ ghi nợ và thẻ tín dụng của khách hàng.
Sử dụng quản lý lỗ hổng chuyên dụng, bằng cách phòng chống phần mềm độc hại và các nhóm giám sát, Google cung cấp cho khách hàng của mình một nền tảng kinh doanh an toàn. Chiến lược phòng chống phần mềm độc hại của Google sử dụng máy quét thủ công và tự động để quét chỉ mục tìm kiếm của họ cho các tên miền có thể là phương tiện cho phần mềm độc hại hoặc mưu đồ lừa đảo. Google cũng sử dụng nhiều công cụ chống vi-rút trong Gmail và Drive cũng như trên máy chủ và máy trạm của họ để giúp xác định phần mềm độc hại có thể bị các chương trình chống vi-rút khác bỏ qua.
Xác thực người dùng
Yêu cầu về xác thực người dùng phải đi một chặng đường dài để đảm bảo an ninh phù hợp cho tổ chức. Điều quan trọng là phải đảm bảo rằng những người đang truy cập dữ liệu của bạn là những người mà họ cho phép. Điều này có thể đạt được bằng mật khẩu mạnh, xác thực đa yếu tố và các khóa bảo mật vật lý; là tất cả những thứ mà các công ty điện toán đám mây công cộng đang đầu tư rất nhiều.
Ví dụ: Khóa bảo mật Titan của Google sử dụng xác thực đa yếu tố để bảo vệ người dùng khỏi các cuộc tấn công. Tin tặc có thể lấy cắp mật khẩu của bạn trong thế giới kỹ thuật số nhưng chúng sẽ gặp khó khăn hơn nhiều khi ăn cắp một khóa bảo mật vật lý. Với thực hành xác thực nhiều lớp, các tổ chức giảm nguy cơ giả mạo của người không được phép muốn thay thế thông tin của người dùng thực.
Chỉ cần nhìn vào những gì đã xảy ra vào năm 2017 đối với Deloitte, một khi được Gartner đặt tên là “nhà tư vấn bảo mật không dây tốt nhất trên thế giới”, đã thất bại trong việc sử dụng xác thực đa yếu tố. Tin tặc đã có thể truy cập mạng của Deloitte sau khi bẻ khóa mật khẩu của tài khoản quản trị viên không yêu cầu xác thực đa yếu tố. Điều này đã khiến cho các tội phạm mạng không bị giới hạn truy cập vào email và tệp đính kèm trong email của công ty. Bây giờ, Deloitte đã sử dụng xác thực đa yếu tố, tin tặc sẽ không có số nhận dạng phụ mà chúng cần để đăng nhập và chủ tài khoản sẽ được cảnh báo về việc sử dụng trái phép tài khoản của họ – những thứ có khả năng ngăn chặn vi phạm .
Tuy nhiên, nó không chỉ là về mật khẩu. Đó cũng là về việc có chính sách và thủ tục phù hợp. Giải pháp dịch vụ điện toán đám mây công khai cung cấp quyền tùy chỉnh và quy trình công việc tích hợp giúp cải thiện bảo mật và tăng năng suất. Các tổ chức có thể theo dõi ai đang cố gắng truy cập vào mạng của họ và chủ động chặn các thiết bị không xác định kết nối.
Cơ sở hạ tầng vật lý
Năm ngoái, British Airways đã hủy hơn 400 chuyến bay và khiến 75.000 hành khách bị mắc kẹt vì gặp phải lỗi công nghệ thông tin do một kỹ sư đã ngắt kết nối nguồn điện tại trung tâm dữ liệu gần sân bay Heathrow của Luân Đôn. Khi nói đến các trung tâm dữ liệu và mạng lưới, ngay cả những lỗi nhỏ của con người cũng có thể có tác động cực kỳ lớn đến các doanh nghiệp và khách hàng của họ.
Với chi phí cắt cổ và nguồn nhân lực cần thiết để duy trì hệ thống tại chỗ, các tổ chức nên tìm đến các công ty cung cấp dịch vụ điện toán đám mây công cộng có các nguồn lực cần thiết để quản lý và bảo mật các trung tâm dữ liệu của họ một cách chính xác.
Các công ty điện toán đám mây công cộng đầu tư vốn và chuyên môn vào hệ thống. Cơ sở hạ tầng vật lý và trung tâm dữ liệu của họ được bảo vệ tốt hơn nhiều so với những gì mà hầu hết các công ty có thể tự mình thực hiện. Ví dụ: Google tập trung vào bảo mật và bảo vệ dữ liệu được ăn sâu trong các giải pháp công nghệ và văn hóa của công ty họ. Với ý nghĩ đó, nó là tiêu chí thiết kế chính khi họ xây dựng trung tâm dữ liệu.
Google sử dụng mô hình bảo mật lớp bao gồm các biện pháp bảo vệ như thẻ truy cập điện tử được thiết kế tùy chỉnh, cảnh báo, rào cản truy cập xe, hàng rào chu vi, máy dò kim loại, sinh trắc học và phát hiện xâm nhập chùm tia laser trên tầng trung tâm dữ liệu. Các trung tâm dữ liệu cũng được giám sát 24/7 bằng camera với độ phân giải cao có thể phát hiện và theo dõi những kẻ xâm nhập. Các bản ghi truy cập, hồ sơ hoạt động và cảnh quay của camera luôn có sẵn trong trường hợp xảy ra sự cố. Hơn nữa, nó chỉ có thể truy cập vào tầng trung tâm dữ liệu bằng cách sử dụng một hành lang an ninh có tính năng kiểm soát truy cập đa yếu tố đòi hỏi một mã tổng hợp bảo mật và xác nhận sinh trắc học. Chỉ những nhân viên được cho phép và có vai trò cụ thể mới được cung cấp thông tin đăng nhập cần thiết để truy cập.
Bảo mật mạng
Nếu bạn nghĩ rằng tường lửa của bạn được an toàn, hãy suy nghĩ lại. Bảo mật vật lý là quan trọng nhưng bảo mật mạng của bạn cũng quan trọng. Nó giống như một cuộc chạy đua vũ trang giữa tường lửa phòng thủ và hệ thống an ninh và tin tặc. Gần một nửa (48%) các tổ chức bị một cuộc tấn công mạng xác định nguyên nhân gốc rễ của việc vi phạm dữ liệu của họ là từ một cuộc tấn công nguy hiểm.
Không chỉ tường lửa được xây dựng bên trong thường bị quản lý kém và dễ bị tấn công hơn, chúng cũng không thể cung cấp cho các tổ chức các cảnh báo nguy cơ cần thiết. Các công ty duy nhất thực sự có đủ nhân viên được đào tạo bài bản, đúng chuyên môn và các nguồn lực cần thiết để luôn đứng đầu về an ninh mạng là các công ty cung cấp dịch vụ điện toán đám mây công cộng.
Với rất nhiều lỗ hổng trên mạng, ví dụ như năm backdoors mà Cisco phát hiện năm nay với con sâu Conficker USB khét tiếng, bạn cần sự bảo vệ tốt nhất. Nếu không được bảo trì thường xuyên, tin tặc có thể và sẽ vượt qua tường lửa của bạn và các phần mềm bảo mật có sẵn khác. Chỉ có tường lửa là không đủ để đảm bảo rằng dữ liệu được đặt trong mạng bảo mật của công ty bạn là an toàn. Tuy nhiên, việc kiểm tra, bảo trì và nâng cấp liên tục là quá khắt khe đối với nhiều doanh nghiệp đang cố gắng tự thực hiện.
Mặt khác, một số công ty điện toán đám mây hàng đầu sử dụng hàng trăm chuyên gia bảo mật và quyền riêng tư trong các bộ phận kỹ thuật và hoạt động phần mềm của họ. Nhân viên của các công ty điện toán đám mây công cộng bao gồm một số chuyên gia hàng đầu thế giới về bảo mật dữ liệu, ứng dụng và an ninh mạng – xuất bản hàng trăm nghiên cứu về bảo mật thông tin và mật mã hàng năm. Đội ngũ chuyên môn cao của họ được chia thành các bộ phận nhanh nhẹn hơn dành riêng cho các lĩnh vực bao gồm bảo mật, quyền riêng tư, kiểm toán nội bộ và tuân thủ, và an ninh hoạt động. Mức chuyên môn này đảm bảo rằng nhu cầu bảo mật của khách hàng sẽ nhận được sự chú ý nhiều hơn nữa.
Nâng cấp phần mềm
Nhiều lỗ hổng mạng được mô tả trong phần trước đã nhanh chóng được các nhà cung cấp cố định sau khi chúng được phát hiênh, nhưng điều này là không đủ. Các công ty cũng cần phải cập nhật hệ điều hành, cơ sở dữ liệu và máy chủ web của họ để các bản vá được áp dụng. Nhiều người bỏ qua trách nhiệm này. Khi phần mềm không được cập nhật đúng cách để bảo vệ chống lại các mối đe dọa trên mạng mới nhất, toàn bộ công ty sẽ gặp rủi ro.
Khi nói đến việc bảo trì phần mềm, có nhiều điều hơn là nâng cấp và chi phí lắp đặt. Khả năng cập nhật ngăn xếp phần mềm của công ty cũng phụ thuộc vào khả năng của nhóm CNTT của công ty và từng cá nhân nhân viên sử dụng thiết bị cá nhân do công ty phát hành hoặc thiết bị cá nhân cho công việc. Việc cập nhật hệ thống và thiết bị mà không bị gián đoạn dịch vụ cũng là một thách thức. Nhiều phòng CNTT sẽ trì hoãn việc triển khai các bản cập nhật quan trọng để giảm thiểu tác động của gián đoạn.
Đây là một cạm bẫy phổ biến của các tổ chức sử dụng phần mềm ngoài ngày kết thúc chính thức của ngày hỗ trợ. Điều này đặt các tổ chức như vậy ở một nguy cơ rất lớn, đó là không thể vá lỗ hổng nghiêm trọng. Ví dụ, như trường hợp với WannaCry. Các bản vá lỗi cho phần mềm cũ không có sẵn khi kết thúc ngày hỗ trợ là vào năm 2014.
Các tác động của lỗ hổng phần mềm có thể nghiêm trọng như bất kỳ vi phạm bảo mật CNTT nào khác. Ví dụ, IHG phát hành dữ liệu cho thấy rằng tiền mặt đăng ký tại hơn 1.000 tài sản của nó đã bị tổn hại bởi phần mềm độc hại được thiết kế để hút dữ liệu thẻ ghi nợ và thẻ tín dụng của khách hàng.
Sử dụng quản lý lỗ hổng chuyên dụng, bằng cách phòng chống phần mềm độc hại và các nhóm giám sát, Google cung cấp cho khách hàng của mình một nền tảng kinh doanh an toàn. Chiến lược phòng chống phần mềm độc hại của Google sử dụng máy quét thủ công và tự động để quét chỉ mục tìm kiếm của họ cho các tên miền có thể là phương tiện cho phần mềm độc hại hoặc mưu đồ lừa đảo. Google cũng sử dụng nhiều công cụ chống vi-rút trong Gmail và Drive cũng như trên máy chủ và máy trạm của họ để giúp xác định phần mềm độc hại có thể bị các chương trình chống vi-rút khác bỏ qua.
Xác thực người dùng
Yêu cầu về xác thực người dùng phải đi một chặng đường dài để đảm bảo an ninh phù hợp cho tổ chức. Điều quan trọng là phải đảm bảo rằng những người đang truy cập dữ liệu của bạn là những người mà họ cho phép. Điều này có thể đạt được bằng mật khẩu mạnh, xác thực đa yếu tố và các khóa bảo mật vật lý; là tất cả những thứ mà các công ty điện toán đám mây công cộng đang đầu tư rất nhiều.
Ví dụ: Khóa bảo mật Titan của Google sử dụng xác thực đa yếu tố để bảo vệ người dùng khỏi các cuộc tấn công. Tin tặc có thể lấy cắp mật khẩu của bạn trong thế giới kỹ thuật số nhưng chúng sẽ gặp khó khăn hơn nhiều khi ăn cắp một khóa bảo mật vật lý. Với thực hành xác thực nhiều lớp, các tổ chức giảm nguy cơ giả mạo của người không được phép muốn thay thế thông tin của người dùng thực.
Chỉ cần nhìn vào những gì đã xảy ra vào năm 2017 đối với Deloitte, một khi được Gartner đặt tên là “nhà tư vấn bảo mật không dây tốt nhất trên thế giới”, đã thất bại trong việc sử dụng xác thực đa yếu tố. Tin tặc đã có thể truy cập mạng của Deloitte sau khi bẻ khóa mật khẩu của tài khoản quản trị viên không yêu cầu xác thực đa yếu tố. Điều này đã khiến cho các tội phạm mạng không bị giới hạn truy cập vào email và tệp đính kèm trong email của công ty. Bây giờ, Deloitte đã sử dụng xác thực đa yếu tố, tin tặc sẽ không có số nhận dạng phụ mà chúng cần để đăng nhập và chủ tài khoản sẽ được cảnh báo về việc sử dụng trái phép tài khoản của họ – những thứ có khả năng ngăn chặn vi phạm .
Tuy nhiên, nó không chỉ là về mật khẩu. Đó cũng là về việc có chính sách và thủ tục phù hợp. Giải pháp dịch vụ điện toán đám mây công khai cung cấp quyền tùy chỉnh và quy trình công việc tích hợp giúp cải thiện bảo mật và tăng năng suất. Các tổ chức có thể theo dõi ai đang cố gắng truy cập vào mạng của họ và chủ động chặn các thiết bị không xác định kết nối.
