Chuyện gì đã xảy ra?
Tháng 5/2023, tờ báo Đức Handelsblatt đưa tin đã có được hơn 23.000 tài liệu nội bộ của Tesla, dung lượng khoảng 100 GB, mà báo này gọi là "Tesla Files". Theo tường thuật, bộ dữ liệu có cả thông tin ngân hàng của khách hàng, bí mật sản xuất và các khiếu nại của khách hàng về tính năng lái tự động.
Tháng 8/2023, trong thông báo vi phạm dữ liệu gửi Tổng chưởng lý bang Maine (Hoa Kỳ), Tesla cho biết hai cựu nhân viên đã "chiếm dụng" thông tin và chia sẻ cho cơ quan báo chí. Thông tin cá nhân của 75.735 nhân viên hiện tại và trước đây bị ảnh hưởng, gồm họ tên, địa chỉ, số điện thoại, hồ sơ liên quan đến việc làm và số an sinh xã hội. Tesla cho biết đã khởi kiện hai người này, dẫn tới việc thu giữ thiết bị điện tử và lệnh tòa cấm họ tiếp tục sử dụng, truy cập hay phát tán dữ liệu.
Vì sao đây là bài học đáng chú ý?
- Người trong cuộc có sẵn quyền truy cập hợp lệ. Tường lửa và phần mềm chống mã độc không phát hiện được ai đó dùng đúng quyền của mình để lấy dữ liệu.
- Dữ liệu thuộc nhiều nhóm khác nhau. Cùng một vụ việc có cả dữ liệu cá nhân của nhân viên, thông tin khách hàng và bí mật sản xuất.
- Hậu quả kéo dài sau khi nhân viên rời đi. Việc đóng tài khoản chỉ có tác dụng với dữ liệu còn nằm trong hệ thống; bản sao đã mang ra ngoài thì không còn được kiểm soát.
Bài học cho doanh nghiệp
- Xác định ai thực sự cần truy cập dữ liệu nào và giới hạn theo vai trò, thay vì cấp quyền rộng cho cả nhóm.
- Ghi nhận nhật ký truy cập và sao chép tệp để khi có sự cố biết được ai đã mở, chép hay gửi tài liệu nào, vào lúc nào.
- Có quy trình thu hồi quyền khi nhân sự nghỉ việc, bao gồm cả tài liệu đã được lưu trên thiết bị cá nhân hoặc thiết bị di động.
Cách tiếp cận lấy dữ liệu làm trung tâm
Khi tài liệu được bảo vệ ngay trên tệp, quyền mở và sử dụng tệp gắn với người dùng, thiết bị và chính sách đã cấp, chứ không chỉ phụ thuộc vào việc tệp đang nằm ở đâu. Doanh nghiệp có thể thu hồi quyền khi nhân sự nghỉ việc và dùng nhật ký kiểm toán để truy vết. Cách làm này hỗ trợ giảm rủi ro, nhưng không thay thế quy trình nhân sự, hợp đồng bảo mật và quản trị quyền truy cập. Xem thêm Sản phẩm.
Ba câu hỏi để tự kiểm tra
- Khi một nhân viên nghỉ việc, bạn có biết họ đã mở hoặc sao chép những tài liệu nào trong 30 ngày cuối không?
- Tài liệu chứa dữ liệu cá nhân của nhân sự có được phân quyền riêng so với tài liệu thông thường không?
- Tài liệu đã mang ra khỏi hệ thống có còn bị kiểm soát quyền sử dụng không?
