Cuối năm 2013, tin tặc đánh cắp thông tin khoảng 40 triệu tài khoản thẻ và dữ liệu cá nhân của tới 70 triệu khách hàng Target. Báo cáo của Uỷ ban Thương mại Thượng viện Mỹ cho thấy điểm vào là tài khoản của một nhà thầu điều hoà, mạng không được phân tách và các cảnh báo không được hành động. Phân tích dưới góc nhìn rủi ro: nhận diện, đánh giá và ứng phó rủi ro từ bên thứ ba.
Một tài khoản nhà thầu bị lộ chỉ trở thành thảm hoạ khi từ đó đi được tới hệ thống thanh toán. Phân tích định tính (ma trận xác suất – tác động) đáng lẽ phải chỉ ra chuỗi sự kiện này; việc thiếu phân tách mạng khiến tác động của một sự kiện xác suất nhỏ phình to tới mức cao nhất.
Công cụ phát hiện hoạt động đúng nhưng cảnh báo không dẫn tới hành động. Trong quy trình Thực hiện ứng phó rủi ro (Implement Risk Responses) mỗi rủi ro cần một người chịu trách nhiệm (risk owner), tiêu chí kích hoạt (trigger) và thời hạn xử lý; khi không có, tín hiệu cảnh báo chỉ là nhiễu.
Nhà thầu dùng công cụ bảo vệ ở mức người tiêu dùng cho thấy hợp đồng không đặt tiêu chuẩn an ninh tối thiểu và không có kiểm toán định kỳ. Theo Kiểm soát mua sắm (Control Procurements), bên mua có thể đưa yêu cầu an ninh vào điều khoản và kiểm chứng việc tuân thủ.
Liệt kê toàn bộ nhà thầu có kết nối vào mạng, đánh giá mức nhạy cảm của dữ liệu và hệ thống họ chạm tới, và xếp hạng theo ma trận xác suất – tác động để quyết định biện pháp kiểm soát tương xứng.
Kết hợp giảm nhẹ, chuyển giao và chấp nhận có điều kiện cho từng nhóm rủi ro:
Nhà thầu chỉ truy cập một cổng riêng, không có đường đi tới hệ thống thanh toán; kiểm tra định kỳ việc phân tách (giảm nhẹ).
Bắt buộc xác thực hai yếu tố, bảo vệ máy trạm theo chuẩn doanh nghiệp và quyền kiểm tra của bên mua; bảo hiểm an ninh mạng cho phần rủi ro còn lại (chuyển giao).
Cảnh báo mức cao từ công cụ phát hiện xâm nhập phải có người nhận trong thời hạn thoả thuận và được leo thang nếu không xử lý; quá hạn thì cô lập khu vực liên quan.
Xác định ai nhận, ai quyết định, ai có quyền chặn; diễn tập định kỳ để biến cảnh báo thành hành động trong vài giờ, không phải vài tuần.
Đưa chỉ số như số tài khoản nhà thầu hoạt động, tỉ lệ cảnh báo đã xử lý đúng hạn vào báo cáo hiệu suất; kiểm toán độc lập kiểm tra chuỗi tấn công khả dĩ trước mùa cao điểm.
Rủi ro lớn nhất thường đến từ mắt xích bạn ít để ý: một nhà thầu phụ trợ với quyền truy cập "vô hại". Hãy liệt kê mọi bên thứ ba, phân tách quyền truy cập, đặt yêu cầu bảo mật vào hợp đồng và biến cảnh báo thành quy trình có chủ sở hữu — một hệ thống phát hiện tốt mà không ai hành động cũng như không có.
Nguồn: CBS News — Senate report details Target's missed chances to stop data breach (mở trong thẻ mới)
Bạn chọn phương án nào?