Bảo mật doanh nghiệp là mối quan tâm đa mặt liên quan đến cả bí mật kinh doanh nội bộ/độc quyền của công ty và dữ liệu nhân viên/người dùng liên quan đến luật quyền riêng tư. Bảo mật doanh nghiệp tập trung vào trung tâm dữ liệu, mạng, và vận hành server mạng trong thực tế, nhưng về mặt kỹ thuật bắt đầu từ nhân sự.
Kỹ thuật xã hội (Social engineering) là nguyên nhân gốc rễ của tới hai phần ba các cuộc tấn công hack thành công theo một số nhà nghiên cứu bảo mật. Trong tấn công kỹ thuật xã hội, điểm yếu trong tâm lý con người, tính trung thực của nhân viên, hoặc sự ngây thơ cá nhân bị kẻ tấn công khai thác để获得 truy cập tài nguyên web hoặc dữ liệu.
Tấn công hack tự động là dựa trên script và nhắm vào tài nguyên trung tâm dữ liệu bao gồm web server và ứng dụng trực tuyến trên cơ sở liên tục qua các điểm nhập đầu vào bao gồm màn hình đăng nhập, form liên hệ, truy vấn tìm kiếm đến CSDL, và quy trình quản trị backend.
Ví dụ tấn công script bot: hack tiêm MySQL (MySQL injection) và khai thác cross-site scripting. Khả năng gửi chương trình đến server qua form không an toàn có thể dẫn đến mất toàn bộ CSDL bao gồm tất cả thông tin bảng, mật khẩu, và dữ liệu tài chính nhạy cảm của người dùng.
Tầm quan trọng của bảo mật doanh nghiệp có thể thấy ở tầm quan trọng của mã hóa trong giao tiếp web. Khi email được gửi, hoặc mật khẩu người dùng được nhập để đăng nhập trang web, dữ liệu được gửi point-to-point qua chuỗi kênh thứ ba nơi nó có thể bị chặn và đọc bởi người dùng độc ý với truy cập trái phép trừ khi được mã hóa.
Mối đe dọa bao gồm tác nhân trái phép dùng phần mềm nghe lén gói tin (packet sniffing) cài trên mạng viễn thông, ISP, hoặc kênh WIFI cục bộ. Giá trị thông tin gửi qua các kết nối này có thể thay đổi, không công ty doanh nghiệp hoặc tổ chức phức tạp nào sẵn sàng để bí mật kinh doanh, giao tiếp người dùng, và thảo luận nội bộ bị bên thứ ba với ý định độc hại trên kênh mở.
Vấn đề bảo mật CSDL doanh nghiệp
Có nhiều vấn đề bảo mật cho CSDL doanh nghiệp, nhiều hơn thị trường CNTT có thể thừa nhận. Những tiết lộ bảo mật này xuất phát từ các mối quan tâm kiến trúc sau:
- Nhiều điểm nhập (Multiple entry points): Khác với CSDL tập trung truyền thống, CSDL dựa trên web có nhiều điểm nhập. Bao gồm: web server, truy cập VPN, truy cập app server, và truy cập CSDL qua giao thức cổng internet. Khi đối mặt với hàng nghìn điểm nhập, cần sự cẩn trọng đặc biệt để đảm bảo virus độc hại không được nạp vào hệ thống.
- Vấn đề điểm yếu nhất (Weakest link problem): Sự công khai gần đây về lỗ hổng bảo mật doanh nghiệp nhấn mạnh vấn đề điểm yếu nhất. Khi đối mặt với nhiều điểm nhập và nền tảng, bảo mật toàn hệ thống chỉ an toàn như điểm yếu nhất trong liên bang.
- CSDL dựa trên Web (Web-based databases): CSDL được cấu hình cho phép giao tiếp bên ngoài từ nhiều cổng web đối mặt thách thức bảo mật dữ liệu vượt trội. Hacker luôn cố gắng hack vào cổng web, cuối cùng tìm thấy điểm yếu trong kiến trúc Web Services.