Data khách hàng bị rò rỉ từ đâu?

Theo các chuyên gia, rất khó xác định nguồn rò rỉ nếu chưa có kết quả điều tra, bởi dữ liệu có thể thất thoát ở bất kỳ khâu nào trong vòng đời xử lý thông tin, từ thu thập, lưu trữ, sử dụng cho đến chia sẻ với bên thứ ba. Bởi trong nhiều vụ việc lừa đảo qua điện thoại, tin nhắn hoặc mạng xã hội, các đối tượng thường nắm được khá chính xác thông tin của nạn nhân như họ tên, số điện thoại, địa chỉ, lịch sử giao dịch hoặc một số thông tin liên quan đến công việc, học tập và khám chữa bệnh.

Những “điểm chạm”, dữ liệu có thể phát sinh rủi ro lộ lọt

Khi đăng ký thẻ thành viên tại một siêu thị, đặt lịch khám bệnh trực tuyến, mở tài khoản ngân hàng hay mua một sản phẩm trên sàn thương mại điện tử, thông tin khám sức khỏe toàn dân,… người dân thường cung cấp nhiều thông tin cá nhân để phục vụ công việc, yêu cầu, đề xuất hay giao dịch.

Sau khi được tiếp nhận, dữ liệu không chỉ nằm trong một tệp tin đơn lẻ mà sẽ đi qua nhiều công đoạn khác nhau: nhập liệu, lưu trữ trên hệ thống, phân quyền cho các bộ phận sử dụng, sao lưu dữ liệu, đồng bộ với các phần mềm quản trị khách hàng hoặc chia sẻ với đối tác cung cấp dịch vụ như giao hàng, thanh toán, chăm sóc khách hàng, tiếp thị... Vì qua nhiều khâu nên dữ liệu cũng đối mặt với nhiều nguy cơ lộ lọt ở bất cứ một mắt xích nào.

Theo các chuyên gia an toàn thông tin, trong không ít trường hợp, nguyên nhân dẫn đến lộ lọt dữ liệu không xuất phát từ một cuộc tấn công mạng quy mô lớn mà đến từ những sơ suất trong quản trị nội bộ, hoặc có thể thậm trí là việc mua bán dữ liệu khách hàng nhằm thu lợi.

Chẳng hạn, một tệp dữ liệu khách hàng được lưu trên máy tính cá nhân nhưng không mã hóa; tài khoản quản trị sử dụng mật khẩu đơn giản; nhân viên chia sẻ danh sách khách hàng qua ứng dụng nhắn tin hoặc thư điện tử mà không có biện pháp bảo vệ;... Mỗi thao tác tưởng như nhỏ đều có thể làm gia tăng nguy cơ mất an toàn thông tin.

Ở góc độ kỹ thuật, nhiều hệ thống còn phải đối mặt với các nguy cơ như phần mềm chưa được cập nhật bản vá bảo mật, cấu hình máy chủ chưa phù hợp, lỗ hổng trong ứng dụng hoặc bị tấn công bằng mã độc và các hình thức xâm nhập trái phép khác.

Tuy nhiên, không phải mọi vụ lộ dữ liệu đều xuất phát từ hệ thống của doanh nghiệp hay tổ chức đang lưu giữ thông tin. Trong một số trường hợp, nguyên nhân có thể đến từ chính thiết bị của người dùng khi điện thoại, máy tính bị cài phần mềm độc hại; tài khoản trực tuyến bị đánh cắp mật khẩu hoặc người dùng vô tình cung cấp thông tin cho các website giả mạo.

Điều này khiến việc xác định chính xác nguồn gốc của dữ liệu bị lộ trở nên phức tạp và cần có quá trình điều tra, xác minh của cơ quan chức năng.

Chuỗi Data ngày càng mở rộng nhưng con người vẫn là yếu tố quyết định

Cùng với quá trình chuyển đổi số, nhiều doanh nghiệp không còn tự thực hiện toàn bộ quy trình xử lý dữ liệu mà sử dụng dịch vụ của các đối tác công nghệ. Ví thể như: Một hệ thống bán lẻ có thể thuê đơn vị phát triển phần mềm quản lý khách hàng, sử dụng dịch vụ điện toán đám mây để lưu trữ dữ liệu, hợp tác với doanh nghiệp vận chuyển để giao hàng, kết nối với cổng thanh toán điện tử và triển khai chương trình chăm sóc khách hàng thông qua đơn vị tiếp thị.

Đối với doanh nghiệp điều này mang lại nhiều lợi ích về chi phí và hiệu quả vận hành nhưng cũng làm tăng số lượng đơn vị có thể tiếp cận dữ liệu. Nếu một mắt xích trong chuỗi không bảo đảm yêu cầu về an toàn thông tin, nguy cơ đối với toàn bộ hệ thống cũng tăng lên.

Đây là lý do nhiều quốc gia, trong đó có Việt Nam, yêu cầu các tổ chức kiểm soát dữ liệu phải đánh giá mức độ an toàn của đối tác trước khi chia sẻ thông tin và có cơ chế giám sát trong suốt quá trình hợp tác.

Các chuyên gia cũng lưu ý rằng, dữ liệu cá nhân không chỉ được lưu tại một nơi duy nhất. Để bảo đảm khả năng khôi phục khi xảy ra sự cố, nhiều tổ chức thiết lập hệ thống sao lưu ở nhiều máy chủ hoặc nhiều trung tâm dữ liệu khác nhau. Nếu không được quản lý chặt chẽ, các bản sao này cũng có thể trở thành điểm phát sinh rủi ro.

Bên cạnh đó, có những trường hợp khách hàng đã ngừng sử dụng dịch vụ từ nhiều năm nhưng thông tin vẫn được lưu trong hệ thống. Dữ liệu càng tồn tại lâu thì khả năng phát sinh rủi ro càng lớn nếu không có chính sách rà soát, cập nhật hoặc xóa bỏ khi không còn cần thiết.

Mặc dù vậy thì con người vẫn là yếu tố quyết định trong bảo vệ dữ liệu, nhiều nghiên cứu về an toàn thông tin cho thấy, yếu tố con người vẫn là một trong những nguyên nhân phổ biến dẫn đến các sự cố liên quan đến dữ liệu.

Không phải mọi hành vi đều xuất phát từ mục đích vụ lợi. Trong nhiều trường hợp, chỉ một thao tác thiếu cẩn trọng như gửi nhầm tệp dữ liệu, chia sẻ sai địa chỉ thư điện tử, cấp quyền truy cập không phù hợp hoặc sử dụng thiết bị cá nhân để xử lý dữ liệu công việc cũng có thể dẫn đến hậu quả ngoài mong muốn. Ngược lại, cũng có những trường hợp dữ liệu bị lợi dụng bởi cá nhân có quyền tiếp cận hệ thống. Những hành vi này, nếu xảy ra, không chỉ vi phạm quy định nội bộ mà còn có thể bị xử lý theo quy định của pháp luật.

Chính vì vậy, nhiều doanh nghiệp hiện nay không chỉ đầu tư cho công nghệ mà còn tăng cường đào tạo nhân viên về bảo vệ dữ liệu, áp dụng nguyên tắc “quyền truy cập tối thiểu”, ghi nhật ký truy cập hệ thống và kiểm tra định kỳ nhằm phát hiện sớm các dấu hiệu bất thường.

Theo các chuyên gia, trong kỷ nguyên dữ liệu, xây dựng văn hóa bảo mật trong tổ chức quan trọng không kém việc đầu tư thiết bị hay phần mềm. Không chỉ doanh nghiệp, người dân cũng cần chủ động bảo vệ thông tin của mình. Các chuyên gia cũng đưa ra khuyến nghị, không nên chia sẻ hình ảnh căn cước công dân, tài khoản ngân hàng, mã OTP hoặc các thông tin nhạy cảm qua các ứng dụng nhắn tin không bảo đảm an toàn; thường xuyên cập nhật phần mềm trên điện thoại, máy tính; sử dụng mật khẩu mạnh và kích hoạt xác thực đa yếu tố đối với các tài khoản quan trọng.

Trong trường hợp nhận được cuộc gọi hoặc tin nhắn có dấu hiệu bất thường nhưng người gọi lại biết khá rõ thông tin cá nhân, người dân cần giữ bình tĩnh, không vội tin tưởng chỉ vì đối phương nắm được một số dữ liệu của mình. Thay vào đó, cần chủ động xác minh thông tin thông qua các kênh chính thức của cơ quan, tổ chức có liên quan.

Khi dữ liệu cá nhân ngày càng trở thành “nguyên liệu” của nền kinh tế số, việc bảo vệ dữ liệu không chỉ là trách nhiệm của doanh nghiệp hay cơ quan quản lý mà còn là kỹ năng cần thiết đối với mỗi người dân trong môi trường số.

PV

Nguồn: thuongtruong.com.vn