Cách phát hiện sớm dấu hiệu rò rỉ thông tin nội bộ

Rò rỉ thông tin nội bộ là khi dữ liệu bị đưa ra ngoài bởi người có quyền truy cập hợp pháp: nhân viên, cựu nhân viên, nhà thầu hay đối tác. Có trường hợp cố ý, có trường hợp do bất cẩn, và cũng có khi tài khoản của nhân viên bị kẻ bên ngoài chiếm quyền. Điểm chung là hành vi thường để lại dấu hiệu trước khi gây thiệt hại lớn: truy cập dữ liệu bất thường, tải xuống khối lượng lớn, gửi file ra địa chỉ cá nhân. Bài viết giúp doanh nghiệp nhận diện các tín hiệu này và xây dựng cơ chế phát hiện sớm theo cách hợp pháp, tôn trọng nhân viên.

Ba dạng rủi ro nội bộ

Hệ thống phát hiện tốt cần nhận ra cả ba dạng, vì từ góc độ dữ liệu, chúng thường trông giống nhau.

Tín hiệu kỹ thuật cần theo dõi

Truy cập bất thường

• Truy cập hệ thống, thư mục ngoài phạm vi công việc thường ngày.
• Đăng nhập vào giờ khác thường so với thói quen của người đó.
• Đăng nhập từ vị trí, thiết bị lạ.
• Truy cập số lượng lớn hồ sơ khách hàng trong thời gian ngắn.

Di chuyển dữ liệu

• Tải xuống hoặc xuất báo cáo khối lượng lớn đột ngột.
• Sao chép dữ liệu ra USB, ổ cứng ngoài.
• Gửi email có đính kèm tới địa chỉ cá nhân hoặc tên miền lạ.
• Tải lên dịch vụ lưu trữ đám mây cá nhân.
• In ấn số lượng lớn tài liệu nhạy cảm.

Thay đổi cấu hình, quyền

• Tự cấp thêm quyền hoặc yêu cầu quyền không liên quan công việc.
• Tạo liên kết chia sẻ công khai cho thư mục nhạy cảm.
• Tắt phần mềm bảo mật, xóa nhật ký.
• Cài công cụ nén, mã hóa, truyền file không được phép.

Tín hiệu ngữ cảnh

Dữ liệu kỹ thuật cần được đặt trong ngữ cảnh. Một số tình huống làm tăng rủi ro:

• Nhân viên vừa nộp đơn nghỉ việc hoặc sắp kết thúc hợp đồng: giai đoạn này nhiều tổ chức tăng mức theo dõi với hoạt động tải dữ liệu.
• Có tranh chấp, bất mãn đã được ghi nhận.
• Nhà thầu sắp kết thúc dự án.

Cần lưu ý: ngữ cảnh chỉ giúp ưu tiên xem xét, không phải bằng chứng. Phán xét dựa trên định kiến cá nhân vừa không công bằng vừa có thể vi phạm pháp luật lao động.

Công cụ hỗ trợ phát hiện

• Nhật ký tập trung: thu thập nhật ký từ email, lưu trữ đám mây, hệ thống nghiệp vụ, thiết bị đầu cuối về một nơi để phân tích.
• Phân tích hành vi người dùng (UEBA): học thói quen bình thường của từng người và cảnh báo khi có sai lệch đáng kể.
• Phòng chống thất thoát dữ liệu (DLP): phát hiện và chặn dữ liệu nhạy cảm rời khỏi tổ chức. Xem bài tìm hiểu hệ thống DLP.
• Cảnh báo tích hợp sẵn trong các bộ ứng dụng văn phòng đám mây: tải xuống hàng loạt, chia sẻ ra ngoài.
• Kiểm soát thiết bị lưu trữ di động.

Giám sát hợp pháp và minh bạch

Giám sát nhân viên đặt ra câu hỏi về quyền riêng tư. Để vừa bảo vệ dữ liệu vừa tôn trọng người lao động:

1. Có chính sách bằng văn bản nêu rõ phạm vi giám sát, mục đích, dữ liệu thu thập, thời gian lưu.
2. Thông báo cho nhân viên và đưa vào nội quy, hợp đồng lao động phù hợp quy định pháp luật.
3. Giám sát tài sản và hệ thống công ty, không xâm phạm thiết bị, tài khoản cá nhân.
4. Tương xứng: mức độ giám sát phù hợp với mức độ nhạy cảm của dữ liệu.
5. Hạn chế người xem dữ liệu giám sát, có quy trình kiểm soát.
6. Tham khảo tư vấn pháp lý về lao động và bảo vệ dữ liệu cá nhân.

Chính sách giám sát nên là một phần trong bộ chính sách bảo mật nội bộ; xem bài xây dựng chính sách bảo mật nội bộ.

Quy trình khi phát hiện dấu hiệu

1. Xác minh: nhiều cảnh báo có lý do chính đáng, ví dụ dự án mới cần truy cập nhiều dữ liệu. Kiểm tra với quản lý trực tiếp một cách kín đáo.
2. Bảo toàn bằng chứng: lưu nhật ký liên quan, không chỉnh sửa.
3. Hạn chế thiệt hại: nếu rủi ro cao, tạm thời giới hạn quyền truy cập.
4. Phối hợp nhân sự và pháp chế trước khi trao đổi với người liên quan.
5. Đánh giá nghĩa vụ thông báo nếu dữ liệu cá nhân bị rò rỉ.
6. Rút kinh nghiệm, điều chỉnh quyền và quy trình.

Một ví dụ tình huống

Giả sử hệ thống cảnh báo rằng một nhân viên kinh doanh đã xuất toàn bộ danh sách khách hàng từ phần mềm quản lý khách hàng vào tối thứ sáu, sau đó tải một file lớn lên dịch vụ lưu trữ cá nhân. Phản ứng tốt không phải là lập tức buộc tội. Trước hết, đội phụ trách kiểm tra ngữ cảnh: nhân viên này có đang chuẩn bị báo cáo theo yêu cầu của quản lý không, file tải lên có đúng là file vừa xuất không. Đồng thời, nhật ký liên quan được lưu lại.

Nếu không có lý do công việc hợp lý, bộ phận nhân sự và pháp chế được thông báo, quyền xuất dữ liệu của tài khoản có thể tạm thời bị giới hạn, và cuộc trao đổi với nhân viên được chuẩn bị cẩn thận. Nếu hóa ra tài khoản đã bị kẻ bên ngoài chiếm quyền, quy trình chuyển sang ứng phó sự cố bảo mật. Cách xử lý từng bước này giúp tránh vừa bỏ sót rủi ro thật, vừa làm tổn thương người vô tội.

Phòng ngừa từ gốc

Phát hiện quan trọng, nhưng phòng ngừa còn hiệu quả hơn:

• Phân quyền tối thiểu, rà soát định kỳ; xem bài quản lý quyền truy cập dữ liệu nhạy cảm.
• Quy trình nghỉ việc chặt chẽ: thu hồi tài khoản ngay ngày cuối, thu hồi thiết bị, nhắc lại nghĩa vụ bảo mật.
• Thỏa thuận bảo mật thông tin với nhân viên và đối tác.
• Văn hóa làm việc lành mạnh: nhân viên được lắng nghe ít có động cơ gây hại hơn.
• Cung cấp công cụ chính thức thuận tiện để nhân viên không phải dùng giải pháp cá nhân.