Làm thế nào để ngăn chặn vi phạm dữ liệu với bảo mật dữ liệu

Bảo mật dữ liệu là một vấn đề quan tâm chính trong ngành dịch vụ tài chính vì nó liên quan đến chi phí tài chính và uy tín rất lớn. Tội phạm mạng nhắm vào các công ty tài chính đang gia tăng.

Theo đó, sự chú ý đến các vấn đề bảo mật dữ liệu không chỉ liên quan đến các thành viên của nhân viên công nghệ thông tin, mà còn liên quan đến quản lý rủi ro và nhân viên tuân thủ, cũng như các thành viên của các tổ chức kiểm soát và giám đốc tài chính. Hơn nữa, các chuyên gia quản lý tài chính trong các ngành công nghiệp khác cần phải cơ bản đối thoại với các chủ đề trong bảo mật dữ liệu, với các mức phơi nhiễm tài chính.

Tần suất và chi phí ngày càng tăng của các vi phạm an ninh dữ liệu lớn, ảnh hưởng đến ngân hàng, công ty đầu tư, bộ xử lý thanh toán điện tử, mạng thẻ tín dụng, thương nhân bán lẻ và những người khác, khiến đây là một lĩnh vực mà hầu như không thể đánh giá thấp những ngày này.

Vấn đề bảo mật dữ liệu:

Bảo mật dữ liệu cho các công ty chấp nhận thanh toán qua thẻ tín dụng và thẻ ghi nợ liên quan đến việc chăm sóc rất nhiều về việc lựa chọn bộ xử lý thanh toán điện tử. Có hàng trăm công ty trong ngành kinh doanh này, nhưng chỉ có một tập hợp con được Hội đồng Tiêu chuẩn Bảo mật Công nghiệp Thẻ Thanh toán xếp hạng Tuân thủ PCI. Các công ty phát hành thẻ tín dụng lớn (Visa, MasterCard, v.v.) thường cố gắng hướng các công ty theo hướng chỉ sử dụng bộ xử lý thanh toán tuân thủ PCI.

Bảo mật dữ liệu liên quan đến điểm bán thẻ tín dụng và xử lý thẻ ghi nợ, chẳng hạn như tại máy tính tiền, bơm xăng và ATM, ngày càng bị xâm phạm và phức tạp bởi các kế hoạch đánh cắp số thẻ và mã PIN. Nhiều trong số các chương trình này sử dụng vị trí bí mật của các chip RFID (chip nhận dạng tần số vô tuyến) của những kẻ trộm dữ liệu tại các thiết bị đầu cuối này để "đọc lướt" dữ liệu đó. Công ty bảo mật ADT là nhà cung cấp cung cấp phần mềm Anti-Skim, kích hoạt cảnh báo khi phát hiện vi phạm dữ liệu thuộc loại này.

Ngoài ra, Người xác định bảo mật đủ tiêu chuẩn (QSA) có thể được tham gia để thực hiện khảo sát mức độ nhạy cảm của công ty đối với các loại vi phạm bảo mật dữ liệu này.

Bảo mật dữ liệu thường phụ thuộc vào bảo mật vật lý tại các trung tâm dữ liệu. Điều này liên quan đến việc đảm bảo rằng nhân viên trái phép được giữ ngoài. Ngoài ra, nhân viên được ủy quyền không được phép xóa máy chủ, máy tính xách tay, ổ đĩa flash, đĩa, băng, bản in, v.v., có chứa thông tin nhạy cảm từ các địa điểm của công ty. Tương tự, các biện pháp kiểm soát nên được áp dụng để bảo vệ chống lại việc xem thông tin nhạy cảm của nhân viên trái phép không cần thiết trong việc thực hiện nhiệm vụ của họ.

Ngoài các giao thức và quy trình bảo mật trong khuôn viên của công ty bạn, các hoạt động của các nhà cung cấp bên ngoài về dịch vụ xử lý và truyền dữ liệu phải được xem xét kỹ lưỡng. Ví dụ: nếu một công ty bên thứ ba lưu trữ trang web của công ty bạn, bạn phải quan tâm đến các quy trình bảo mật dữ liệu của công ty. Chứng nhận SAS-70 là một tiêu chuẩn chung cho các quy trình bảo mật đầy đủ liên quan đến các mạng nội bộ, theo yêu cầu của Đạo luật Sarbanes-Oxley cho các công ty công nghệ thông tin được tổ chức công khai. Sử dụng các giao thức SSL là tiêu chuẩn để xử lý dữ liệu nhạy cảm trực tuyến một cách an toàn, chẳng hạn như đầu vào số thẻ tín dụng để thanh toán cho các giao dịch.

Thực tiễn tốt nhất về an ninh mạng:

Các khía cạnh chính của bảo mật mạng có ảnh hưởng đến bảo mật dữ liệu là bảo vệ chống lại tin tặc và làm ngập các trang web hoặc mạng. Cả nhóm công nghệ thông tin nội bộ và nhà cung cấp dịch vụ Internet (ISP) của bạn phải có biện pháp đối phó phù hợp. Đây cũng là một vấn đề quan tâm liên quan đến lưu trữ web và các công ty xử lý thanh toán. Tất cả các nhà cung cấp bên ngoài phải chứng minh những gì họ có bảo vệ.

Một lần nữa, các thực tiễn tốt nhất đặc trưng cho mạng dữ liệu, trung tâm dữ liệu và quản lý dữ liệu của chính công ty bạn là những cách tương tự mà bạn nên xác nhận được áp dụng tại tất cả các nhà cung cấp bên ngoài về xử lý dữ liệu, xử lý thanh toán, kết nối mạng và dịch vụ lưu trữ trang web. Trước khi ký kết bất kỳ hợp đồng nào với nhà cung cấp bên thứ ba, bạn nên xác nhận rằng họ có các chứng nhận tối thiểu phù hợp từ các cơ quan độc lập bên ngoài (như đã nêu ở trên) và tiến hành thẩm định của riêng bạn, do nhân viên công nghệ thông tin của công ty bạn cung cấp với các thông tin phù hợp hoặc bởi các chuyên gia tư vấn bên ngoài có trình độ.

Là một xem xét cuối cùng, có thể mua bảo hiểm đối với các chi phí liên quan đến vi phạm an ninh dữ liệu. Các chi phí này bao gồm tiền phạt và tiền phạt do các mạng thẻ tín dụng (như Visa và MasterCard) áp dụng cho các lỗi đó, cũng như các chi phí mà họ áp dụng cho các tổ chức phát hành thẻ (chủ yếu là ngân hàng, công đoàn tín dụng và công ty chứng khoán) để hủy thẻ tín dụng và thẻ ghi nợ, phát hành thẻ mới và làm cho toàn bộ thành viên thẻ do vi phạm do công ty của bạn gây ra, do đó chi phí mà họ sẽ cố gắng tính lại cho công ty của bạn.

Bảo hiểm như vậy đôi khi có thể được cung cấp bởi các công ty xử lý thanh toán, cũng như có sẵn từ các công ty bảo hiểm trực tiếp. Bản in đẹp trên các chính sách như vậy có thể được chi tiết, vì vậy mua bảo hiểm như vậy đòi hỏi rất nhiều sự chăm sóc.

_{Nguồn chính: "Tránh vi phạm dữ liệu" Forbes, 7/18/2011.}