Tại sao kiểm soát truy cập quan trọng?
- Hạn chế truy cập thông tin và hệ thống xử lý thông tin
- Ngăn chặn truy cập trái phép
- Giảm thiểu rủi ro vi phạm dữ liệu (data breach)
- Bảo vệ tài sản thông tin tổ chức
Kiểm soát truy cập bảo vệ dữ liệu như thế nào?
Tổ chức hạn chế truy cập kho dữ liệu. Chỉ người được ủy quyền mới truy cập dữ liệu nhạy cảm, ngăn chặn user bị xâm phạm (compromised) truy xuất dữ liệu.
Cơ chế kiểm soát truy cập
- Thông tin đăng nhập: username/password, PIN
- Sinh trắc học: vân tay, khuôn mặt, mống mắt
- Token bảo mật, smart card
- Đa yếu tố (MFA): kết hợp 2+ phương thức trên
3 mô hình kiểm soát truy cập phổ biến
| Mô hình | Mô tả |
|---|---|
| DAC (Discretionary Access Control) | Chủ sở hữu tài nguyên quyết định ai được truy cập (ACL) |
| RBAC (Role-Based Access Control) | Phân quyền theo vai trò công việc (nhân viên, manager, admin) |
| MAC (Mandatory Access Control) | Hệ thống quyết định dựa trên nhãn bảo mật (military, government) |
Kiểm soát truy cập mạng (Network Access Control - NAC)
Chặn user/thiết bị trái phép ra khỏi mạng riêng. Admin định nghĩa chính sách bảo mật: thiết bị nào đáp ứng yêu cầu (antivirus cập nhật, patch OS, cấu hình đúng) mới được vào mạng.
Ví dụ kiểm soát truy cập
- Đăng nhập username/password + OTP
- VPN truy cập mạng nội bộ
- Thẻ từ, key fob, khóa vật lý
- Bảo vệ, danh sách truy cập
- Biometrics, cảm biến chuyển động
Mục đích chính
Tối thiểu hóa rủi ro bảo mật từ truy cập trái phép vào hệ thống vật lý và logic.
Kiểm soát truy cập cơ sở dữ liệu
Đảm bảo dữ liệu nhạy cảm chỉ người được ủy quyền (database users) mới truy cập. Cần cả Authentication (xác thực danh tính) và Authorization (phân quyền).
Các phương pháp triển khai
- Chính sách whitelist tập trung
- Giải quyết script do user tạo
- Thu hồi quyền khi nhân viên nghỉ việc
- Điều chỉnh quyền truy cập định kỳ
- Whitelist ứng dụng cloud mới nhất quán