Chuyện gì đã xảy ra?
Ngày 20/9/2022, Ủy ban Chứng khoán Hoa Kỳ (SEC) thông báo Morgan Stanley Smith Barney (MSSB) đồng ý nộp 35 triệu USD để giải quyết các phát hiện về việc vi phạm quy định bảo vệ và tiêu hủy thông tin khách hàng (Safeguards Rule và Disposal Rule thuộc Regulation S-P). MSSB không thừa nhận cũng không phủ nhận các phát hiện.
Theo SEC, từ khoảng năm 2015, MSSB thuê một công ty vận chuyển và lưu kho không có kinh nghiệm hủy dữ liệu để thanh lý hàng nghìn ổ cứng và máy chủ chứa thông tin nhận dạng cá nhân của khách hàng. MSSB không giám sát đầy đủ công việc này qua nhiều năm. Đơn vị này đã bán hàng nghìn thiết bị cho một bên thứ ba, một số được bán lại trên một trang đấu giá trực tuyến khi dữ liệu khách hàng vẫn còn bên trong. MSSB thu hồi được một phần có chứa hàng nghìn dữ liệu khách hàng chưa mã hóa, nhưng chưa thu hồi được phần lớn số còn lại.
SEC cũng nêu: trong một đợt nâng cấp phần cứng, việc đối chiếu hồ sơ phát hiện 42 máy chủ bị thất lạc có thể chứa dữ liệu chưa mã hóa. Các thiết bị tại chi nhánh vốn có khả năng mã hóa nhưng phần mềm mã hóa không được kích hoạt trong nhiều năm. Vụ việc ảnh hưởng khoảng 15 triệu khách hàng trong khoảng năm năm.
Bài học cho doanh nghiệp
- Vòng đời dữ liệu không kết thúc khi thiết bị ngừng sử dụng. Thanh lý, sửa chữa và thay thế thiết bị là điểm dữ liệu dễ thất thoát.
- Giao việc cho bên thứ ba không giao luôn trách nhiệm. Doanh nghiệp vẫn phải kiểm tra năng lực, giám sát và lấy bằng chứng hủy dữ liệu.
- Mã hóa chỉ có tác dụng khi được bật. Tính năng có sẵn nhưng không kích hoạt thì không bảo vệ được dữ liệu.
Cách tiếp cận lấy dữ liệu làm trung tâm
Khi tệp được mã hóa và gắn chính sách quyền sử dụng ngay từ lúc tạo, việc một thiết bị lưu trữ rơi ra ngoài tổ chức không nhất thiết đồng nghĩa với việc người nhặt được đọc được nội dung, vì khóa giải mã và quyền mở tệp nằm ở hệ thống quản lý, không nằm trên thiết bị. Doanh nghiệp vẫn cần quy trình kiểm kê tài sản và hủy dữ liệu có bằng chứng. Xem thêm Sản phẩm và DLP, DRM và mã hóa khác nhau thế nào.
Ba câu hỏi để tự kiểm tra
- Thiết bị cũ, ổ cứng hỏng và máy chủ thanh lý của bạn được xử lý bởi ai và có chứng nhận hủy dữ liệu không?
- Doanh nghiệp có danh mục thiết bị lưu trữ để phát hiện thiết bị bị thất lạc không?
- Dữ liệu trên máy trạm và chi nhánh đã được mã hóa mặc định chưa?
