Bảo mật thiết bị lưu trữ di động USB và ổ cứng ngoài

USB và ổ cứng ngoài là cách nhanh nhất để mang dữ liệu đi, và cũng là cách nhanh nhất để làm mất dữ liệu. Một thiết bị nhỏ bỏ quên trên taxi có thể chứa hợp đồng, danh sách khách hàng hay bản sao lưu cả hệ thống. Bảo mật thiết bị lưu trữ di động dựa trên ba trụ cột: mã hóa dữ liệu trên thiết bị, kiểm soát thiết bị nào được phép kết nối, và quy trình rõ ràng cho người dùng. Bài viết hướng dẫn cách triển khai cả ba ở quy mô doanh nghiệp vừa và nhỏ lẫn người dùng cá nhân.

Những rủi ro chính từ USB và ổ cứng ngoài

Mất hoặc bị đánh cắp thiết bị

Đây là rủi ro phổ biến nhất. Thiết bị nhỏ, dễ rơi, dễ để quên. Nếu dữ liệu không được mã hóa, bất kỳ ai nhặt được đều có thể đọc toàn bộ nội dung chỉ bằng cách cắm vào máy tính.

Lây lan mã độc

USB từng là đường lây nhiễm kinh điển của nhiều loại mã độc. Thiết bị cắm vào máy nhiễm rồi mang sang máy khác có thể mang theo mã độc. Ngoài ra, có những thiết bị được thiết kế giả làm USB nhưng thực chất hoạt động như bàn phím, tự gõ lệnh khi được cắm vào.

Rò rỉ dữ liệu có chủ đích

Nhân viên có thể sao chép dữ liệu ra ngoài khi nghỉ việc hoặc vì động cơ cá nhân. Không có kiểm soát cổng USB, việc này gần như không để lại dấu vết. Chủ đề rò rỉ từ bên trong được phân tích thêm trong bài phát hiện dấu hiệu rò rỉ thông tin nội bộ.

Hỏng hóc và mất dữ liệu vật lý

Ổ cứng ngoài bị rơi, USB hỏng chip nhớ, hết tuổi thọ. Nếu đó là bản sao duy nhất, dữ liệu mất vĩnh viễn.

Mã hóa: lớp bảo vệ quan trọng nhất

Mã hóa đảm bảo rằng dù thiết bị rơi vào tay người khác, dữ liệu vẫn không đọc được nếu không có mật khẩu hoặc khóa giải mã. Có hai hướng tiếp cận:

Với doanh nghiệp, nên bắt buộc mã hóa đối với mọi thiết bị di động chứa dữ liệu nội bộ, và quản lý khóa khôi phục tập trung để tránh mất dữ liệu khi nhân viên quên mật khẩu.

Chọn mật khẩu mã hóa đủ mạnh

Mã hóa chỉ an toàn khi mật khẩu đủ mạnh. Dùng cụm mật khẩu dài, không trùng với mật khẩu tài khoản khác, và lưu trong trình quản lý mật khẩu. Không ghi mật khẩu dán lên thiết bị.

Kiểm soát thiết bị kết nối vào máy tính công ty

Nhiều tổ chức áp dụng chính sách kiểm soát cổng USB thông qua các công cụ quản lý thiết bị đầu cuối hoặc chính sách nhóm của hệ điều hành. Các mức kiểm soát thường gặp:

1. Chặn hoàn toàn thiết bị lưu trữ USB: phù hợp với bộ phận xử lý dữ liệu rất nhạy cảm.
2. Chỉ cho phép thiết bị đã đăng ký: cho phép USB do công ty cấp, nhận diện qua mã thiết bị.
3. Chỉ cho phép đọc: nhân viên có thể mở file từ USB nhưng không ghi dữ liệu ra.
4. Cho phép có ghi nhật ký: mọi thao tác sao chép được ghi lại để kiểm tra khi cần.

Các hệ thống phòng chống thất thoát dữ liệu cũng có thể chặn sao chép file chứa thông tin nhạy cảm ra thiết bị ngoài. Xem thêm bài tìm hiểu hệ thống DLP.

Phòng chống mã độc từ thiết bị di động

• Tắt tính năng tự động chạy (AutoRun/AutoPlay) khi cắm thiết bị.
• Cài và cập nhật phần mềm chống mã độc, thiết lập tự động quét thiết bị lưu trữ khi kết nối.
• Không cắm USB không rõ nguồn gốc, kể cả USB nhặt được hay quà tặng tại sự kiện.
• Dùng máy tính riêng biệt, không kết nối mạng nội bộ, để kiểm tra thiết bị lạ nếu buộc phải mở.
• Cập nhật hệ điều hành thường xuyên để vá lỗ hổng.

Xây dựng chính sách sử dụng thiết bị lưu trữ di động

Công nghệ chỉ hiệu quả khi đi kèm quy định rõ ràng. Một chính sách tốt cần trả lời:

• Loại dữ liệu nào được phép lưu trên thiết bị di động, loại nào tuyệt đối không.
• Ai được cấp thiết bị, thiết bị nào được phép dùng.
• Yêu cầu mã hóa và mật khẩu.
• Thời gian lưu dữ liệu trên thiết bị, khi nào phải xóa.
• Quy trình báo cáo khi mất thiết bị.
• Cách thu hồi và xóa dữ liệu khi nhân viên nghỉ việc.

Chính sách này nên là một phần của bộ quy định bảo mật tổng thể, như trình bày trong bài xây dựng chính sách bảo mật nội bộ.

Cân nhắc giải pháp thay thế

Nhiều trường hợp dùng USB có thể thay bằng giải pháp an toàn hơn:

• Chia sẻ file qua dịch vụ lưu trữ đám mây doanh nghiệp với phân quyền, liên kết có thời hạn và ghi nhật ký truy cập.
• Truyền file qua mạng nội bộ có kiểm soát quyền.
• Truy cập từ xa qua VPN thay vì mang dữ liệu về nhà.

Giảm nhu cầu dùng thiết bị di động là cách giảm rủi ro hiệu quả nhất.

Ổ cứng ngoài dùng để sao lưu

Ổ cứng ngoài là công cụ sao lưu phổ biến. Để bản sao lưu thực sự hữu ích:

• Mã hóa ổ sao lưu.
• Ngắt kết nối sau khi sao lưu xong để tránh bị mã độc tống tiền mã hóa luôn bản sao lưu.
• Cất giữ ở nơi an toàn, tốt nhất có một bản ở địa điểm khác.
• Kiểm tra khôi phục định kỳ.
• Thay ổ theo chu kỳ vì ổ cứng có tuổi thọ.

Xử lý khi mất thiết bị

1. Báo cáo ngay cho bộ phận IT hoặc người phụ trách an toàn thông tin.
2. Xác định dữ liệu trên thiết bị: loại dữ liệu, có dữ liệu cá nhân của khách hàng hay không, thiết bị có được mã hóa không.
3. Đánh giá tác động: nếu thiết bị không mã hóa và chứa dữ liệu cá nhân, cần cân nhắc nghĩa vụ thông báo theo quy định pháp luật về bảo vệ dữ liệu cá nhân.
4. Thay đổi thông tin xác thực nếu thiết bị chứa mật khẩu, khóa truy cập.
5. Rút kinh nghiệm, cập nhật chính sách nếu cần.

Xóa dữ liệu an toàn trước khi thanh lý

Xóa file hay định dạng nhanh thường không xóa hẳn dữ liệu; công cụ khôi phục có thể lấy lại. Trước khi thanh lý hoặc tái sử dụng thiết bị, hãy dùng phương pháp xóa an toàn phù hợp với loại thiết bị, hoặc nếu thiết bị đã mã hóa từ đầu, xóa khóa mã hóa. Với thiết bị chứa dữ liệu rất nhạy cảm, hủy vật lý là phương án chắc chắn nhất.

Lời khuyên cho người dùng cá nhân

Không chỉ doanh nghiệp, người dùng cá nhân cũng nên mã hóa USB chứa giấy tờ tùy thân, ảnh cá nhân, tài liệu tài chính. Đừng dùng chung một USB cho cả máy ở nhà, máy công ty và máy tiệm in. Và luôn có ít nhất một bản sao lưu khác cho dữ liệu quan trọng.