2쪽
MỤC LỤC ĐỀ MỤC TRANG 1. LỜI TỰA ........................................................................................................... 3 2. GIỚI THIỆU VỀ MÔ ĐUN MÔN HỌC................................................................ 5 3. SƠ ĐỒ QUAN HỆ THEO TRÌNH TỰ HỌC NGHỀ............................................. 6 4.CÁC HÌNH THỨC HỌC TẬP CHÍNH TRONG MÔ ĐUN/MÔN HỌC................... 8 5. BÀI 1: PHÂN TÍCH CÁC NGUYÊN NHÂN DẪN ĐẾN MẤT AN TOÀN TRONG HỆ THỐNG THÔNG TIN................................................................................... 9 6.BÀI 2: LƢU TRỮ HỆ THỐNG THÔNG TIN TRÊN CÁC THIẾT BỊ LƢU TRỮ .... 17 7.BÀI 3: VIRUS TIN HỌC VÀ CÁCH PHÒNG CHỐNG ......................................... 49 8.BÀI 4: MỘT SỐ BIỆN PHÁP AN TOÀN CHO CÁC HỆ THỐNG MÁY TÍNH ...... 58 9.BÀI 5: MỘT SỐ PHƢƠNG THỨC MÃ HOÁ VÀ GIẢI MÃ DỮ LIỆU................... 68 10.BÀI 6: XÂY DỰNG KẾ HOẠCH BẢO VỆ HỆ THỐNG THÔNG TIN TRÊN MÁY TÍNH ........................................................................................................ 80 11.TÀI LIỆU THAM KHẢO..................................................................................... 100 2 ThiNganHang.com
3쪽
BÀI 1 Tên bài: PHÂN TÍCH CÁC NGUYÊN NHÂN DẪN ĐẾN MẤT AN TOÀN TRONG HỆ THỐNG THÔNG TIN Giới thiệu : Khi nói đến an toàn thông tin (ATTT), điều đầu tiên ngƣời ta thƣờng nghĩ đến là xây dựng tƣờng lửa (Firewall) hoặc một cái gì đó tƣơng tự để ngăn chặn các cuộc tấn công và xâm nhập bất hợp pháp. Cách tiếp cận nhƣ vậy không hoàn toàn đúng vì bản chất ATTT không đơn thuần chỉ là sử dụng một số công cụ hoặc một vài giải pháp nào đó mà để đảm bảo ATTT cho một hệ thống cần có một cái nhìn tổng quát và khoa học hơn. Mục tiêu thực hiện: - Xác định tất cả những nguyên nhân dẫn đến dữ liệu trên máy tính bị mất - Phân tích những nguyên nhân đƣa đến việc rò rỉ thông tin Nội dung chính: 1.1Vai trò quan trọng của thông tin trong một đơn vị. Vậy an toàn thông tin là gì? Không thể đảm bảo an toàn 100%, nhƣng ta có thể giảm bớt các rủi ro không mong muốn dƣới tác động từ mọi phía của các lĩnh vực hoạt động kinh tế xã hội . Khi các tổ chức, đơn vị tiến hành đánh giá những rủi ro và cân nhắc kỹ những biện pháp đối phó về ATTT, họ luôn luôn đi đến kết luận: những giải pháp công nghệ (kỹ thuật) đơn lẻ không thể cung cấp đủ sự an toàn. Những sản phẩm Anti-virus, Firewalls và các công cụ khác không thể cung cấp sự an toàn cần thiết cho hầu hết các tổ chức. ATTT là một mắt xích liên kết hai yếu tố: yếu tố công nghệ và yếu tố con ngƣời. 1. Yếu tố công nghệ: bao gồm những sản phẩm nhƣ Firewall, phần mềm phòng chống virus, giải pháp mật mã, sản phẩm mạng, hệ điều hành và những ứng dụng nhƣ: trình duyệt Internet và phần mềm nhận Email từ máy trạm. 2. Yếu tố con ngƣời: Là những ngƣời sử dụng máy tính, những ngƣời làm việc với thông tin và sử dụng máy tính trong công việc của mình. Hai yếu tố trên đƣợc liên kết lại thông qua các chính sách về ATTT. Theo ISO 17799, An Toàn Thông Tin là khả năng bảo vệ đối với môi trƣờng thông tin kinh tế xã hội, đảm bảo cho việc hình thành, sử dụng và phát triển vì lợi ích của mọi công dân, mọi tổ chức và của quốc gia. Thông qua các chính sách về ATTT , lãnh đạo thể hiện ý chí và năng lực của mình trong việc quản lý hệ thống thông tin. ATTT đƣợc xây dựng trên nền tảng một hệ thống các chính sách, quy tắc, quy trình và các giải pháp kỹ thuật nhằm mục đích đảm bảo an toàn tài nguyên thông tin mà tổ chức đó sở hữu cũng nhƣ các tài nguyên thông tin của các đối tác, các khách hàng trong một môi trƣờng thông tin toàn cầu. Nhƣ vậy , với vị trí quan trọng của mình , có thể khẳng định vấn đề ATTT phải bắt đầu từ các chính sách trong đó con ngƣời là mắt xích quan trọng nhất. 3 ThiNganHang.com
4쪽
Con ngƣời – khâu yếu nhất trong toàn bộ quá trình đảm bảo an toàn thông tin . Hầu nhƣ phần lớn các phƣơng thức tấn công đƣợc hacker sử dụng là khai thác các điểm yếu của hệ thống thông tin và đa phần các điểm yếu đó rất tiếc lại do con ngƣời tạo ra. Việc nhận thức kém và không tuân thủ các chính sách về ATTT là nguyên nhân chính gây ra tình trạng trên. Đơn cử là vấn đề sử dụng mật khẩu đã đƣợc quy định rất rõ trong các chính sách về ATTT song việc tuân thủ các quy định lại không đƣợc thực hiện chặt chẽ. Việc đặt một mật khẩu kém chất lƣợng, không thay đổi mật khẩu định kỳ, quản lý mật khẩu lỏng lẻo là những khâu Phƣơng pháp đánh giá chất lƣợng hệ thống ATTT Có lẽ không một vị lãnh đạo nào dám khẳng định nội bộ công ty là thực sự an toàn và tin cậy. Trong bối cảnh nền kinh tế thị trƣờng nhƣ hiện nay, sự canh tranh diễn ra gay gắt thậm chí giữa các nhân viên trong nội bộ công ty: tranh dành khách hàng , mục đích thăng tiến hoặc các mục đích không lành mạnh khác. Ở một số tổ chức, lợi dụng sự lỏng lẻo trong quản lý về ATTT, nhân viên đã có những hành vi bất lƣơng nhƣ lấy cắp thông tin mật, chiếm đoạt tài khoản khách hàng , ăn cắp tiền thông qua hệ thống tín dụng… Theo thống kê, khoảng 70% các rủi ro về ATTT là xuất phát từ nội bộ trong tổ chức. Một trong những câu hỏi luôn đƣợc đặt ra trƣớc các nhà lãnh đạo và các nhà quản trị thông tin là: “Hệ thống thông tin của tổ chức an toàn đến mức độ nào?” Câu hỏi này là mối quan tâm lớn nhất và cũng là vấn đề nhạy cảm nhất trong các khâu quản lý hệ thống thông tin. Trả lời câu hỏi này thật không đơn giản nhƣng không phải là không có câu trả lời. Để giải đáp vấn đề trên, chủ yếu dựa vào hai phƣơng pháp đánh giá ATTT nhƣ sau: + Phƣơng pháp đánh giá theo chất lƣợng ATTT của hệ thống bằng cách cho điểm.Ví dụ: hệ thống đạt 60/100 điểm hoặc 60% + Phƣơng pháp đánh giá theo số lƣợng thiết bị - công nghệ bảo mật. Trong thực tế , phƣơng pháp đánh giá theo chất lƣợng là phƣơng pháp duy nhất để đánh giá mức độ an toàn của các tài nguyên trong hệ thống thông tin. Ở Việt Nam, việc đánh giá ATTT theo chất lƣợng là hoàn toàn mới. Ngƣời ta dễ ngộ nhận việc trang bị một công cụ ATTT nhƣ (Firewall, Anti-virus…) là đảm bảo đƣợc ATTT cho hệ thống. Chất lƣợng ATTT phải đƣợc đánh giá trên toàn bộ các yếu tố đảm bảo tính an toàn cho hệ thống từ tổ chức, con ngƣời, an ninh vật lý, quản lý tài nguyên … đến việc sử dụng các công cụ kỹ thuật. Nói cách khác, chất lƣợng ATTT đƣợc đánh giá trên cơ sở thực thi các chính sách về ATTT trong hệ thống. Các chính sách này đƣợc chuẩn hoá và đƣợc công nhận là các tiêu chuẩn về ATTT áp dụng trên phạm vi toàn thế giới. Phƣơng pháp đánh giá theo số lƣợng không đƣợc sử dụng. Tiêu chuẩn đánh giá về chất lƣợng ATTT. Việc đánh giá mức độ ATTT của các tổ chức thƣờng đƣợc tiến hành theo kinh nghiệm và dựa trên các quy định mang tính cảm tính , cục bộ của tổ chức đó mà không tính đến các tiêu chuẩn đã đƣợc thế giới công nhận . Vài năm trƣớc đây, Viện Tiêu chuẩn của Anh (BSI) cùng với một số tổ chức thƣơng mại khác nhƣ Shell, National Westminster Bank, Midland Bank… đã nghiên cứu và đề xuất một tiêu chuẩn về ATTT. Đến năm 1995, tiêu chuẩn này đƣợc công nhận là tiêu chuẩn quốc gia về quản lý ATTT - BS7799. Tiêu chuẩn này độc lập với mô hình hoạt động của các công ty. Lãnh đạo công ty, các CSO/CIO… đã dựa trên cơ sở các tiêu chuẩn này để thiết lập các chính sách ATTT cho đơn vị mình. Ngay sau khi ra đời, BS7799 đã đƣợc sử dụng ở 27 nƣớc bao gồm các nƣớc thuộc khối liên hiệp Anh cũng 4 ThiNganHang.com
5쪽
nhƣ một số quốc gia khác nhƣ Thụy Sỹ, Hà Lan... Đến năm 2000, Tổ chức tiêu chuẩn thế giới ISO trên cơ sở BS7799 đã xây dựng tiêu chuẩn ISO 17799 và tiêu chuẩn này trở thành tiêu chuẩn quốc tế về quản lý chất lƣợng ATTT (ISO/IEC 17799). Tính đến tháng 2/2005 đã có khoảng hơn 1000 tổ chức đã nhận chứng chỉ ISO 17799 trong đó có Hitachi, Nokia, Những phần cơ bản của ISO 17799: 1. Chính sách chung 2. An ninh nhân sự (Personel Security) 3. Xác định, phân cấp và quản lý tài nguyên (Asset Identification, Classification & Control). 4. An ninh vật lý (Physical Security). 5. An ninh tổ chức (Security Organization). 6. Quản trị IT và mạng (IT operations and network management). 7. Quản lý truy cập và các phƣơng pháp (Access control & methods). 8. Phát triển HT và bảo trì (System development & maintenance). 9. Tính liên tục trong kinh doanh và kế hoạch phục hồi sau sự cố (Bussiness Continuty & Disaster Recovery Planning) 10. Phù hợp hệ thống với các yếu tố về luật pháp, đạo đức (Low, Inestigation and Ethics). Hình 1.1 Những phần cơ bản của ISO 17799 Chính sách về an toàn thông tin đƣợc tổ chức theo mô hình kim tự tháp.Cách tổ chức này giúp cho các nhà lãnh đạo quản lý chất lƣợng an toàn thông tin một cách khoa học và hiệu quả. Trên đỉnh kim tự tháp mô tả các chính sách đƣợc áp dụng trong tổ chức .Tại sao ta phải thiết lập chính sách này ? Phạm vi và đối tƣợng tác động của chính sách? . Không có một chính sách áp dụng chung cho mọi đơn vị. Trong một tổ chức có nhiều bộ phận , từng bộ phận lại có chức năng nhiệm vụ khác nhau, tính chất và cách tổ chức thông tin cũng khác nhau .Bộ phận kinh doanh có mô hình thiết kế hệ thống riêng với cơ sở dữ liệu mang đặc thù kinh doanh , bộ phận sản xuất ,bộ phận nghiên cứu cũng có cấu trúc hệ thống và cơ sở dữ liệu của riêng mình .Trình độ nhận thức về an toàn thông tin cũng rất chênh lệch . Chính vì vậy khi thiết lập các chính sách ,nhà quản lý cần xác định rõ mục đích của chính sách đƣợc thiết lập , đối tƣợng thực thi , phạm vi tác động… Lớp thứ hai trên mô hình mô tả các quy tắc ,quy định thực thi các chính sách . Để thực hiện các chính sách ta phải làm gì ? Hệ thống các quy tắc ATTT đƣợc thể hiện trên 10 lĩnh vực lớn bao hàm các quy định từ tổ chức , con ngƣời , an ninh vật lý đến các công cụ kỹ thuật an toàn thông tin .Các quy tắc đƣợc xây dựng trên mô hình IT chuẩn của tổ chức và thể hiện 5 ThiNganHang.com
6쪽
đƣợc tính đặc thù của tổ chức đó.Thông qua việc thực thi các quy tắc , có thể đánh giá chất lƣợng an toàn thông tin của một tổ chức thông qua kiểm toán (Audit) . Lớp thứ ba là lớp cuối cùng của mô hình . Đây là các quy trình , các giải pháp hỗ trợ thực thi các quy tắc , quy định trên.Nó trả lời cho câu hỏi làm nhƣ thế nào để thực thi các quy định trên ? Các nhà quản trị an toàn thông tin (CSO) cùng các quản trị IT thiết lập các quy trình này và phổ biến đến mọi nhân viên trong tổ chức ,ví dụ “Quy trình thay đổi mật khẩu”,”Quy trình cài đặt các chƣơng trình diệt virut ,chống các chƣơng trình độc hại ” v.v.Các quy trình này có thể liên quan đến nhiều chính sách và đối tƣợng sử dụng khác nhau. Việc áp dụng ISO 17799 đem lại lợi ích gì cho tổ chức? Việc áp dụng các tiêu chuẩn về ATTT theo ISO 17799 làm tăng nhận thức cho đội ngũ cán bộ nhân viên về ATTT. Xây dựng một môi trƣờng an toàn, có khả năng miễn dịch trƣớc các rủi ro, giảm thiểu các nguy cơ do con ngƣời gây ra. Tiêu chuẩn ISO 17799 đề ra những nguyên tắc chung trong quá trình thiết kế , xây dựng hệ thống thông tin một cách khoa học, giúp cho việc quản lý hệ thống trở nên sáng sủa, an toàn, minh bạch hơn. Chúng ta xây dựng một “bức tƣờng ngƣời an toàn” (Secure People Wall) trong tổ chức. Một môi trƣờng thông tin an toàn, trong sạch sẽ có tác động không nhỏ đến việc giảm thiểu chi phí vật chất đầu tƣ cho ATTT vốn dĩ rất tốn kém. Về lâu dài, việc nhận đƣợc chứng chỉ ISO 17799 là một lời khẳng định thuyết phục với các đối tác, các khách hàng về một môi trƣờng thông tin an toàn và trong sạch . Tạo điều kiện thuận lợi cho sự hội nhập một môi trƣờng thông tin lành 1.1 Vấn đề đào tạo nguồn nhân lực Theo IDG vào khoảng năm 2006 sẽ bùng nổ một nghề mới trong lĩnh vực IT – nghề an toàn thông tin.Chức danh CSO (Chief Security Officer) trở nên quen thuộc trong lĩnh vực IT. Cập nhật và nâng cao kiến thức về ATTT và nhận thức về vai trò của nó trong hệ thống IT là một điều rất quan trọng và cấp bách vì xét cho cùng hành động của con ngƣời là yếu tố quyết định . Mặc dù ATTT đƣợc biết đến rộng rãi nhƣng yếu tố con ngƣời thƣờng ít đƣợc các tổ chức quan tâm đến. Đối với những nhà quản trị, họ cần một chính sách an toàn và một chƣơng trình nhận thức cũng nhƣ đánh giá chất lƣợng về ATTT nhƣng tiếc rằng hiện nay chƣa có nhiều giải pháp thực sự quan tâm vào vấn đề làm sao để tăng cƣờng sự vững chắc cho mối liên kết vốn dĩ rất yếu ớt này trong mắt xích ATTT Hiện nay, một số doanh nghiệp tại Việt Nam đã có sự chuyển biến tích cực trong vấn đề nhận thức về ATTT. Họ sẵn sàng đầu tƣ ngân sách đào tạo nguồn nhân lực nhằm tạo nền tảng vững chắc về nhận thức và kiến thức ATTT cho đội ngũ nhân viên của doanh nghiệp. Điển hình là nhƣ: Sở Khoa học và Công nghệ Đồng Nai, Công ty Bảo hiểm Bảo Minh, Fujitsu Vietnam, Ngân hàng Á Châu ... Bên cạnh đó vẫn còn nhiều doanh nghiệp nhất là các doanh nghiệp vừa và nhỏ vẫn chƣa tiếp cận và hiểu hết tầm quan trọng của việc thiết lập các chính sách về ATTT và quản lý tiêu chuẩn chất lƣợng ATTT theo ISO 17799 thực sự vẫn còn xa lạ và mới mẻ đối với họ. 1.2 Phân tích những nguyên nhân đƣa đến thông tin trên đĩa bị mất 6 ThiNganHang.com
7쪽
-RAID controller bị hỏng.( Redundant Array of Independent Disks) -Ngƣời dùng vô ý hoặc không lƣu ý thay ổ đĩa mới khi ổ đĩa đó bị hƣ,gây ra sự hƣ hỏng của ổ đĩa khác trong cùng một RAID. -Dữ liệu RAID registry trong bộ nhớ bị hỏng. -Tăng và tụt điện áp đột ngột, thảm họa tự nhiên. -Lỗi do ngƣời sử dụng, vô tình xóa thông tin hoặc lỗi phần mềm của đĩa cứng. -Ngƣời sử dụng reconfigure dung lƣợng đĩa cứng sai. -Virus tấn công hoặc ngƣời sử dụng vô tình định dạng sai một đĩa cứng trong hệ thống RAID. RAID là chữ viết tắt của Redundant Array of Independent Disks. Ban đầu, RAID đƣợc sử dụng nhƣ một giải pháp phòng hộ vì nó cho phép ghi dữ liệu lên nhiều đĩa cứng cùng lúc. Về sau, RAID đã có nhiều biến thể cho phép không chỉ đảm bảo an toàn dữ liệu mà còn giúp gia tăng đáng kể tốc độ truy xuất dữ liệu từ đĩa cứng. Tuy nhiên việc mất dữ liệu từ RAID không phải là chuyện không có, vì ngƣời sử dụng thƣờng cảm thấy chủ quan về RAID nên thiếu sự sao lƣu dữ liệu cần thiết. Các loại RAID: RAID 0: Còn đƣợc gọi là "Striped Volume", nó đƣợc sử dụng để gia tăng sự truy cập dữ liệu. Trong cấu hình RAID 0 này nó có thể hổ trợ từ 2 disks cho đến 32 physical disks, dữ liệu đƣợc chia đều ra trên các disks, và nó làm việc nhƣ là một logical khối (Volume). Mặc dù nó đƣợc gọi là RAID (Redundancy Array of Inexpesive Disk), nhƣng thật sự trong cấu hình này nó không có "Redundancy". Với cấu hình RAID này, nếu một trong hai disk của khối RAID này rớt thì sự truy cập dử liệu vào khối này sẽ bị mất hết. RAID 1: Cấu hình RAID này còn đƣợc gọi là cấu hình "Khối Phản Chiếu" (Mirrored Volume), trong cấu hình này dữ liệu đƣợc mirrored giữa hai physical disks cho mục đích redundancy. Với RAID 1 tất cả những dữ liệu đƣợc viết vô volume thứ nhất trong khối mirrored thì nó sẽ đƣợc viết vô volume thứ hai trong khối này bởi fault tolerant driver ftdisk.sys. Dữ liệu vì vậy đƣợc đảm bảo an toàn hơn Raid 0. RAID 1+0: Là sự kết hợp của Raid 0 và Raid 1 với sự hiện diện của Fault Tolerance đƣa ra một hệ thống hoàn hảo có ƣu điểm của cả hai loại Raid,sự nhanh nhạy của Raid 0 và sự an toàn của Raid 1.Tuy nhiên chi phí cho một hệ thống này khá đắt vì phải cần ít nhất 4 đĩa cứng để có thể thiết lập. RAID 5: RAID 5 thƣờng đƣợc biết nhƣ là "Stripe set with parity". Trong cấu hình RAID này, nó sử dụng ít nhất là 3 và nhiều nhất là 32 physical disks, không chỉ riêng dữ liệu đƣợc phân phối đều trên các disk mà những thông tin liên kết cũng đƣợc phân phối trên các disks, để chắc chắn rằng dử liệu sẽ đƣợc cấu thành lại nếu một trong những disk độc lập bị rớt. Nói đúng hơn là nếu bất kì disk nào trong khối này bị rớt thì bạn có thể thay đổi một disk mới và nó sẽ tự động cấu hình lại (Rebuild) tất cả những dử liệu đã bị mất. Các loại RAID khác: Ngoài các loại đã đƣợc đề cập ở trên, bạn còn có thể bắt gặp nhiều loại RAID khác nhƣng chúng không đƣợc sử dụng rộng rãi mà chỉ giới hạn trong các hệ thống máy tính phục vụ mục đích riêng, có thể kể nhƣ: Level 2 (Error-Correcting Coding), Level 3 (Bit-Interleaved Parity), Level 4 (Dedicated Parity Drive), Level 6 (Independent Data Disks with Double Parity), Level 10 (Stripe of Mirrors, ngƣợc lại với RAID 0+1), Level 7 (thƣơng hiệu của tập đoàn Storage Computer, cho phép thêm bộ đệm cho RAID 3 và 4), RAID S (phát minh của tập đoàn EMC và đƣợc sử dụng trong các hệ thống lƣu trữ Symmetrix của họ). Bên cạnh đó còn một số biến thể khác, ví dụ nhƣ Intel Matrix Storage cho phép chạy kiểu RAID 0+1 với chỉ 2 ổ cứng hoặc RAID 1.5 của DFI trên các hệ BMC 865, 875. Chúng tuy có nhiều điểm khác biệt nhƣng đa phần đều là bản cải tiến của các phƣơng thức RAID truyền thống. 1.3Phân tích những nguyên nhân đƣa đến rò rỉ thông tin trên máy tính 7 ThiNganHang.com
8쪽
Rò rỉ thông tin trong doanh nghiệp qua thẻ nhớ: Thông thƣờng, mọi ngƣời có thể dùng những thiết bị kiểu này tự do trong giờ làm việc mà không cần sự cho phép của cấp trên. Thẻ nhớ đƣợc nhân viên mang đi khắp phòng và cắm vào cổng USB để sao chép bài hát có sẵn trong máy tính của ngƣời khác. Tuy nhiên, sự lỏng lẻo này sẽ tiếp tay cho bất cứ ai cũng có thể lƣu toàn bộ thông tin trên máy tính nào đó vào trong thẻ nhớ dung lƣợng lớn một cách có chủ ý hết sức nhanh chóng. Rõ ràng, trong khi nhiều hãng đã tiêu tốn cả núi tiền để bảo vệ mình thoát khỏi nguy cơ từ virus, spyware, spam..., thì họ lại quên lời cảnh báo muôn thuở của các chuyên gia bảo mật rằng hiểm họa lớn nhất bao giờ cũng nằm chính bên trong mỗi công ty. Một số hãng đã thực hiện nhiều biện pháp để ngăn cản việc sao chép dữ liệu từ máy tính vào thẻ nhớ và máy nghe nhạc, nhƣng cấm dùng những thiết bị này là vô lý và sẽ không thể thực hiện đƣợc trên thực tế. Do đó, các công ty cần trang bị những công cụ, ứng dụng tinh vi có thể ghi lại hoạt động của ngƣời trong mạng nội bộ để tránh thất thoát dữ liệu, rò rỉ thông tin hoặc nhiễm virus Rò rỉ thông tin trong doanh nghiệp qua máy tính xách tay: Trong nhiều trƣờng hợp, nhân viên đã mang thông tin của công ty ra khỏi văn phòng bằng chiếc laptop. Tuy nhiên, họ không bảo vệ sự an toàn cho chúng và tỏ ra ngại ngần khi dùng các cơ chế mã hóa nhƣ cài password cho máy và các tập tin. Alan Paller, Giám đốc Học viện SANS chuyên nghiên cứu vấn đề bảo mật máy tính, giải thích lý do là nếu họ quên mật khẩu thì sẽ không mở đƣợc tập tin và các thao tác này có vẻ làm chậm công việc của họ. Điều này đã khiến các nhà sản xuất máy tính lƣu tâm và bắt đầu tích hợp cơ chế mã hóa vào sản phẩm. Ví dụ nhƣ hệ điều hành Windows Vista của Microsoft sẽ giúp ngƣời sử dụng dễ dàng mã hóa dữ liệu của mình hơn. Các công ty có lƣợng lớn nhân viên di động cũng bắt đầu quan tâm đến điều này. Ví dụ nhƣ hãng tƣ vấn tài chính Ernst & Young với 30.000 máy tính xách tay phục vụ cho công ty đang mã hóa tất cả nội dung trên máy sau vụ thông tin về 243.000 khách hàng của họ chứa trong một chiếc laptop bị đánh cắp, bao gồm tên, địa chỉ, thông tin thẻ tín dụng. 1.4Một số biện pháp khắc phục. Các chuyên gia đưa ra lời khuyên với các bước sau: 1. Phải kiểm soát dữ liệu Chắc chắn bạn không thể nào kiểm soát đƣợc thông tin nhạy cảm hay thông tin bản quyền trên mạng nếu ngay cả vị trí của chúng nằm ở đâu bạn cũng không biết. Dữ liệu nhạy cảm của một tổ chức thƣờng đƣợc phân phối rộng rãi qua mạng nội bộ. Dữ liệu quan trọng thƣờng không chỉ nằm trong cơ sở dữ liệu (CSDL) mà có khi cả trong thƣ điện tử, máy tính cá nhân và đôi khi đóng vai trò nhƣ kiểu đối tƣợng dữ liệu trong cổng Web. Thông tin nhạy cảm cũng có nhiều kiểu khác nhau, nhƣ mã số thẻ tín dụng, mã số bảo mật xã hội (CMT, thẻ sinh viên…). Các bí mật thƣơng mại có thể đƣợc tìm thấy trong nhiều loại file, văn bản khác nhau theo kiểu thông tin liên hệ khách hàng, hợp đồng, chi tiết kỹ thuật phát triển sản phẩm. Triển khai quy định kiểm soát cho tất cả các loại dữ liệu thƣờng không mang lại hiệu quả và không thực tế. Thay vào đó, hãy phân loại từng lớp dữ liệu và chọn ra quy định kiểm soát phù hợp nhất cho mỗi loại. Bạn cũng có thể sử dụng một số công cụ rà soát mạng tự động và xác định vị trí dữ liệu nhạy cảm. Nhiều hãng cung cấp các loại công cụ này nhƣ Reconnex, Tablus, Websense. Số lƣợng sản phẩm của các hãng ngày càng phong phú. Nhiều trong số đó có thể phân tách dữ liệu thành nhiều loại khác nhau, dựa trên quy định do công ty đặt ra. 2. Giám sát nội dung di động Khi các công ty sử dụng Website trong giao dịch thƣơng mại và liên kết với nhiều mạng 8 ThiNganHang.com
9쪽
thuộc về đối tác, nhà cung cấp hay khách hàng thì vấn đề sống còn là phải theo dõi đƣợc cái gì đang diễn ra, đang trôi nổi qua các mạng. Giám sát nội dung là “phần cơ sở” cốt lõi trong chiến lƣợc bảo vệ dữ liệu của nhiều công ty. Với quá nhiều “điểm ra” mạng cho dữ liệu, điều quan trọng nhất là phải giám sát đƣợc lƣu lƣợng mạng. Tất cả các hãng sản xuất nhƣ Vericept Corp., Vontu Inc., Oakley Networks Inc., Reconnex và Websense đều bán một loạt sản phẩm có chức năng kiểm tra, rà soát e-mail, trình tin nhắn tức thời (Instant Messaging), hệ thống chia sẻ file peer-to-peer, quá trình post Web và cả các website FTP nhằm phát hiện và tìm kiếm hoạt động xâm phạm dữ liệu hay vi phạm quy tắc đặt ra trong công ty. Các công cụ này đƣợc đặt gần cổng vào mạng và đƣợc thiết kế để đƣa ra cảnh báo khi phát hiện gói dữ liệu đáng ngờ. Nhiều sản phẩm có thể đƣợc dùng để thúc ép các hoạt động nhƣ loại bỏ hay mã hoá dữ liệu khi dữ liệu đƣợc truyền ra ngoài. Ví dụ, một trong số đó là các công cụ lọc nội dung, cho phép bạn thấy đƣợc tất cả những gì đang đến hoặc đang ra ngoài mạng. Nhƣ Bowers của công ty hàng đầu Wyeth nhận xét: “Chúng tôi giám sát được tất cả các cổng và tất cả giao thức truyền tải nội dung” khi hãng này triển khai công cụ lọc nội dung. 3. Hãy để mắt đến cơ sở dữ liệu có chứa những thông tin quý báu của công ty Đừng dừng lại ở việc biết ai đang truy cập cơ sở dữ liệu. Bạn còn cần phải phải biết khi nào, ở đâu, nhƣ thế nào và tại sao họ lại thực hiện truy cập này. Nhiều công cụ hỗ trợ đƣợc xây dựng, cho phép các công ty giám sát truy cập hay các hoạt động trên cơ sở dữ liệu. Bạn có thể dùng sản phẩm của Imperva Inc., Guardium Inc., Application Security Inc. và Lumigent Technologies Inc. Chúng đƣợc thiết kế nhằm mục đích giúp bạn biết ngƣời dùng hay admin nào đang làm việc trên cơ sở dữ liệu với đặc quyền truy cập, hay chỉnh sửa, copy, xoá, download số lƣợng lớn tập hợp các file, hoặc đƣa ra các cảnh báo khi ai đó cố gắng thực hiện một trong các hoạt động trên. Các sản phẩm này cũng cung cấp dấu vết kiểm tra khá rõ ràng theo dõi khi có ngƣời vi phạm quy định của doanh nghiệp. Mã hoá dữ liệu nhạy cảm trong cơ sở dữ liệu là một phƣơng pháp khác đáng xem xét. 4. Giới hạn đặc quyền ngƣời dùng Hầu hết các công ty đều cung cấp nhiều đặc quyền cho ngƣời dùng hơn so với cần thiết. Đó là nhận định của Amichai Shulman, giám đốc công nghệ của Imperva. Giám sát truy cập dữ liệu cực kỳ quan trọng của ngƣời dùng và theo dõi truy cập không xác định với dữ liệu ở mức nguy hiểm cao là những bƣớc không thể thiếu. Tạo quy định truy cập nhằm giới hạn đặc quyền mạng của ngƣời dùng một cách chặt chẽ. Chỉ cho phép truy cập lớp dữ liệu tƣơng ứng cần thiết cho công việc của từng kiểu ngƣời dùng, đồng thời thiết lập các điều khiển nhằm bắt buộc nhân viên trong công ty phải tuân thủ quy định nội bộ đã xây dựng. Ví dụ, đƣa ra cảnh báo khi ai đó vốn bình thƣờng chỉ làm việc với 10 tập tài liệu mỗi ngày, đột nhiên bắt đầu truy cập số với lƣợng lớn hơn. Việc đƣa ra quyết định điều khiển truy cập cho thành viên nội bộ và ngƣời ngoài là khá đơn giản, Matt Kesner - giám đốc công nghệ của Fenwick & West LLC, hãng luật có trụ sở tại Califoocnia (Mỹ) khẳng định. Nhƣng đôi khi ngƣời bên ngoài lại cần truy cập hợp pháp dữ liệu của doanh nghiệp với số lƣợng ngang bằng hoặc thậm chí lớn hơn nhu cầu của nhân viên nội bộ. Ví dụ, các mạng Extranet client của Fenwick & West đang đƣợc sử dụng thƣờng xuyên bởi khách hàng hợp tác với nhân viên uỷ quyền của hãng. Đôi khi, ngƣời dùng bên 9 ThiNganHang.com
앞 9페이지만 표시됩니다. 전체를 보려면 자료를 다운로드하세요.
댓글 (0)
댓글이 없습니다. 첫 댓글을 남겨보세요!