Nội dung
Theo một cuộc khảo sát của eSentire vào năm 2019, 44% trong số doanh nghiệp được khảo sát đã gặp phải sự cố vi phạm dữ liệu nghiêm trọng do bên thứ ba gây ra. Điều này giải thích tại sao việc quản lý rủi ro của bên thứ ba là một phần quan trọng trong chiến lược quản lý rủi ro của bất cứ doanh nghiệp nào. Vậy làm thế nào để phòng tránh vi phạm dữ liệu do bên thứ ba? Hãy cùng SecurityBox tìm hiểu trong bài viết dưới đây.
1. Sự cố điển hình về vi phạm dữ liệu do bên thứ ba
Vào năm 2013, tin tặc đã lây nhiễm thành công mã độc Citadel vào nhà cung cấp HVAC của tập đoàn Target thông qua một chiến dịch tấn công phishing. Mã độc này cho phép tin tặc đánh cắp thông tin đăng nhập. Do đó, tin tặc có thể truy cập vào các dịch vụ web được lưu trữ trên Target dành riêng cho các nhà cung cấp. Vấn đề của tin tặc lúc này chỉ là tìm ra lỗ hổng có thể khai thác để tấn công hệ thống mạng của Target.
Sau sự cố, có tới 40 triệu tài khoản tín dụng của khách hàng và 110 triệu bộ thông tin cá nhân đã bị đánh cắp. Vụ vi phạm dữ liệu khiến Target thiệt hại 252 triệu đô la Mỹ và tổn thất danh tiếng nặng nề.
2. 5 cách ngăn chặn vi phạm dữ liệu do bên thứ ba
Tính bảo mật của doanh nghiệp phụ thuộc một phần vào khả năng bảo mật của nhà cung cấp. Doanh nghiệp không thể tham gia vào quá trình đảm bảo an ninh mạng của họ. Tuy nhiên, doanh nghiệp có thể ngăn chặn vi phạm dữ liệu do bên thứ ba bằng cách thực hiện các biện pháp dưới đây.
2.1. Đánh giá trước nhà cung cấp của bạn
Để phòng tránh vi phạm dữ liệu do bên thứ ba, bước đầu tiên doanh nghiệp cần làm là đánh giá trước tính bảo mật của nhà cung cấp. Doanh nghiệp có thể đánh giá các nhà cung cấp tiềm năng bằng cách sử dụng bảng câu hỏi đánh giá rủi ro hoặc đặt câu hỏi có mục đích xác định các điểm yếu tiềm ẩn của nhà cung cấp đó. Điều quan trọng là doanh nghiệp không nên cung cấp quyền truy cập vào dữ liệu mà không ước tính trước rủi ro mạng do các nhà cung cấp gây ra.
2.2. Giới hạn quyền truy cập vào hệ thống mạng và dữ liệu của doanh nghiệp
Đừng bao giờ phân toàn quyền truy cập dữ liệu của doanh nghiệp cho nhà cung cấp. Doanh nghiệp chỉ cấp quyền truy cập nâng cao cho những nhà cung cấp thực sự cần chúng và chỉ khi họ cần. Vì vai trò và trách nhiệm của nhà cung cấp có thể thay đổi theo thời gian nên doanh nghiệp phải xem xét các quyền truy cập của họ thường xuyên và sửa đổi chúng nếu cần.
Ngoài việc hạn chế quyền truy cập nâng cao, doanh nghiệp cũng có thể tự bảo vệ mình bằng cách mã hóa càng nhiều dữ liệu càng tốt. Bằng cách đó, thông tin nhạy cảm có thể được giữ bí mật ngay cả khi tin tặc xâm nhập thành công hệ thống mạng của doanh nghiệp.
2.3. Liên tục theo dõi và giám sát nhà cung cấp
Một sai lầm nhiều doanh nghiệp đang mắc phải đó là: họ không liên tục giám sát các nhà cung cấp của mình. Bởi bảng câu hỏi đánh giá rủi ro của nhà cung cấp cũng chỉ cung cấp tình trạng bảo mật của tổ chức đó trong một thời điểm nhất định. Trong khi đó, tin tặc ngày càng trở nên tinh vi hơn với các kỹ thuật tấn công mới. Vì vậy, doanh nghiệp cần chắc chắn rằng nhà cung cấp liên tục cập nhật các biện pháp kiểm soát an ninh để ngăn chặn tin tặc.
2.4. Ngừng làm việc cùng các nhà cung cấp khiến doanh nghiệp của bạn gặp rủi ro
Hãy cắt đứt quan hệ làm việc nếu một nhà cung cấp khiến doanh nghiệp của bạn gặp rủi ro bảo mật. Lúc này, doanh nghiệp cần xóa quyền truy cập của nhà cung cấp vào dữ liệu và hệ thống mạng của mình. Tiếp theo, hãy đảm bảo rằng mọi giao dịch và hoạt động giữa hai bên đã được hoàn tất. Cuối cùng, đừng quên thanh toán chi phí để tránh tranh chấp trong tương lai.
2.5. Chú ý đến các dấu hiệu ban đầu về vi phạm dữ liệu của bên thứ ba
Dù cố gắng đến đâu, doanh nghiệp cũng không thể đảm bảo 100% rằng mình an toàn trước các vi phạm dữ liệu của bên thứ ba. Tuy nhiên, đừng để thực tế này khiến doanh nghiệp nản lòng. Doanh nghiệp vẫn có thể kiểm soát tác động của vi phạm dữ liệu bằng cách chú ý đến các dấu hiệu ban đầu của nó và ngăn chặn ngay từ đầu.
Các dấu hiệu ban đầu thường gặp về vi phạm dữ liệu của bên thứ ba gồm có: thay đổi tệp bất thường, hoạt động bất thường của quản trị viên…
Doanh nghiệp hãy thực hiện năm biện pháp trên để phòng tránh và giảm thiểu tối đa rủi ro từ các vụ vi phạm dữ liệu do bên thứ ba gây ra cho mình.