Nguyên nhân đơn lẻ lớn nhất gây vi phạm an ninh mạng
Thiếu kiến thức của người dùng là nguyên nhân hàng đầu theo nghiên cứu. Nhân viên thường quên mật khẩu truy cập hệ thống, hoặc cho người khác dùng. Điều này xâm phạm an ninh cả hai hệ thống.
Nguyên nhân thường gặp của vi phạm
Lỗi con người rất phổ biến gây vi phạm trong môi trường doanh nghiệp. Việc xử lý thiết bị lưu trữ điện tử chứa PHI/PII không đúng cách cũng thường gây vi phạm. Các hành động khác: đánh cắp, truy cập trái phép cố ý PHI/PII.
Malware chiếm đoạt máy tính người dùng?
Câu hỏi/Trả lời:
Token xác thực là: Thiết bị hiển thị mã truy cập
Ransomware là malware chiếm đoạt máy tính, yêu cầu tiền chuộc để trả lại quyền truy cập.
Tường lửa cho phép tổ chức: Thực thi chính sách an ninh trên dữ liệu trao đổi
Malware chiếm đoạt máy tính yêu cầu tiền chuộc
Ransomware ngăn người dùng truy cập file/hệ thống, yêu cầu tiền chuộc để cấp lại quyền truy cập.
Đe dọa đơn lẻ lớn nhất đối với an ninh mạng
Nhân viên là mối đe dọa chính. Đào tạo người dùng cực kỳ quan trọng. Cần nhận thức rõ nhân viên là mục tiêu tấn công chính.
Đám mây an toàn hơn mạng nội bộ không?
Khác biệt không lớn về an ninh. Đám mây phân tán tài nguyên trên nhiều server. Khó theo dõi hoạt động trái phép do phân tán toàn cầu, trở thành mục tiêu hấp dẫn cho hacker.
Khi hacker truy cập database thông tin cá nhân
Đánh cắp danh tính (Identity theft): hacker truy cập database đánh cắp thông tin cá nhân. Phá hoại (Vandalism): thay đổi/hủy diệt trang web cố ý.
Phân loại: kiểm soát đầu vào, xử lý, đầu ra
Điều khiển ứng dụng gồm: (1) kiểm soát đầu vào, (2) xử lý, (3) đầu ra. Kiểm soát đầu vào kiểm tra tính đúng đắn/đầy đủ khi dữ liệu vào hệ thống. Kiểm soát đặc biệt: ủy quyền đầu vào, chuyển đổi dữ liệu, chỉnh sửa, xử lý lỗi.
Phân loại phạt vi phạm luật y tế liên bang HIPAA
Vi phạm luật y tế thường bị phạt: hình sự, dân sự, và trừng phạt.
Mục tiêu cơ bản an ninh thông tin
Mục tiêu cơ bản an ninh thông tin y tế: bảo mật (confidentiality), toàn vẹn (integrity), sẵn sàng (availability). Luật HIPAA Security Rule áp đặt yêu cầu cho các thực thể được bao phủ và đối tác kinh doanh.
Vi phạm DoD rộng hơn vi phạm HIPAA?
Vi phạm hợp đồng DoD rộng hơn nhiều so với vi phạm HIPAA (HHS). Theo HIPAA Security Rule, thực thể được bao phủ phải duy trì truy cập an ninh (cửa khóa) nơi lưu trữ PHI.
Thực hành tốt nhất ngăn chặn vi phạm
- Thu thập, lưu trữ, truyền tải, xử lý thông tin nhận diện cá nhân (PII)
- Xác định khu vực dữ liệu nhạy cảm được lưu trữ/truyền tải/thu thập/xử lý
- Xác định người dùng truy cập dữ liệu nhạy cảm
- Xác định thiết bị truyền tải/thu thập/xử lý dữ liệu nhạy cảm
- Đánh giá rủi ro
Spyware ghi lại và truyền mọi thứ người dùng gõ
Keylogger (Trojan) ghi lại mọi phím người dùng gõ và truyền đi.
Chính sách, quy trình, biện pháp kỹ thuật ngăn truy cập trái phép
Chương trình an ninh = công nghệ, chính sách, quy trình đảm bảo hệ thống thông tin không bị truy cập, thay đổi, đánh cắp, hư hại vật lý trái phép. Internet thiết kế để các hệ thống máy tính khác nhau truy cập.
Khi hacker truy cập database thông tin cá nhân (ví dụ)
Đây là ví dụ của đánh cắp danh tính (Identity theft).
Chính sách, quy trình, biện pháp kỹ thuật ngăn truy cập trái phép (lặp lại)
Chương trình an ninh = công nghệ, chính sách, quy trình đảm bảo hệ thống thông tin không bị truy cập, thay đổi, đánh cắp, hư hại vật lý trái phép.
Tập trung chủ yếu vào vấn đề kỹ thuật duy trì hệ thống
Kế hoạch khôi phục thảm họa (Disaster recovery) thường tập trung vào khía cạnh kỹ thuật: xử lý file backup, duy trì hệ thống backup hoặc dịch vụ khôi phục thảm họa.