Sự ra đời của GDPR vào năm 2018 buộc các tổ chức phải nhìn nhận lại chính sách xóa dữ liệu của mình một cách nghiêm túc. GDPR không chỉ là 'quyền được quên'; nó cũng áp dụng cho việc ngăn chặn rò rỉ dữ liệu bởi tất cả các doanh nghiệp mà hoặc làm ăn trong Liên minh Châu Âu hoặc từ bên ngoài với công ty EU. Tuy nhiên, vẫn dường như có rất nhiều sự nhầm lẫn về các giao thức xóa dữ liệu đúng đắn, khiến các tổ chức mở cửa cho vi phạm dữ liệu. Trong bài viết này, chúng tôi khám phá cách bạn có thể đảm bảo doanh nghiệp của mình vẫn tuân thủ khi xóa dữ liệu từ môi trường hoạt động.
Điều 32
Trong Điều 32 của GDPR, quy định rằng các công ty phải có "thủ tục duy trì xem xét và đánh giá định kỳ hiệu quả của các biện pháp kỹ thuật và tổ chức để đảm bảo an toàn xử lý dữ liệu cá nhân trong công ty." Việc đảm bảo bạn đã triển khai thủ tục đúng đắn không chỉ áp dụng cho xử lý dữ liệu mà còn cả quá trình lựa chọn và mua sắm các giải pháp CNTT (cả phần mềm và phần cứng) đang sử dụng.
GDPR: Những gì nên đã làm?
Mọi người đại diện CNTT của công ty nên đã thực hiện tất cả biện pháp cần thiết để đảm bảo không dữ liệu cá nhân nào rò rỉ ra ngoài công ty. Một số bước nên thực hiện theo GDPR là:
- Giả danh và mã hóa dữ liệu cá nhân,
- khả năng đảm bảo tính bảo mật, toàn vẹn, sẵn sàng và khả năng phục hồi của các hệ thống và dịch vụ liên quan đến xử lý vĩnh viễn;
- khả năng khôi phục nhanh chóng sự sẵn sàng và quyền truy cập vào dữ liệu cá nhân trong sự kiện sự cố vật lý hoặc kỹ thuật;
- quy trình xem xét và đánh giá định kỳ hiệu quả của các biện pháp kỹ thuật và tổ chức để đảm bảo an toàn xử lý.
Một điểm quan trọng khác của Điều 32 là:
"Đặc biệt, các rủi ro liên quan đến xử lý – đặc biệt là phá hủy, mất mát hoặc thay đổi, dù vô tình hay trái pháp luật hoặc tiết lộ trái phép hoặc truy cập trái phép vào dữ liệu cá nhân được truyền, lưu trữ hoặc khác – phải được tính đến khi đánh giá mức độ bảo vệ phù hợp."
Tóm lại, Điều 32 yêu cầu các tổ chức tính đến tất cả rủi ro khi sử dụng bất kỳ công nghệ nào lưu trữ dữ liệu cá nhân. Trước khi bất kỳ tổ chức nào sử dụng phương tiện để giữ dữ liệu nhạy cảm, một nhân viên chịu trách nhiệm phải hoàn thành đánh giá tác động bảo vệ dữ liệu để xác định bất kỳ rủi ro nào đối với quyền (dữ liệu) của cá nhân.
Mọi rò rỉ dữ liệu xảy ra trong công ty phải được báo cáo trong 72 giờ kể từ khi rò rỉ xảy ra. Nếu không, mức phạt rất nặng và giống như với việc sử dụng trái phép dữ liệu cá nhân: phạt lên tới 20 triệu EUR hoặc 4% doanh thu năm toàn cầu (mức nào lớn hơn).
Xóa an toàn vẫn là vấn đề
Hai năm kể từ khi triển khai, một số doanh nghiệp tiếp tục bỏ qua hoặc quên xóa các tệp hiện có từ máy tính để bàn, laptop, ổ đĩa ngoài và dịch vụ. Điều này thường do hiểu lầm về phương pháp xóa dữ liệu đúng đắn, và thiếu quyền truy cập vào công cụ hiệu quả cho phép họ xóa dữ liệu trong môi trường CNTT hoạt động. Do đó, dữ liệu nhạy cảm của nhiều tổ chức đang bị đặt trong vị trí đe dọa và dễ bị vi phạm.
Đối với nhiều tổ chức, xóa dữ liệu vẫn chưa nằm ở đầu ưu tiên bảo mật của bộ phận CNTT; điều này không ngạc nhiên khi tấn công mạng đã trở thành thực tế đáng tiếc trong thế giới kết nối số ngày nay. Tuy nhiên, như đã thảo luận ở trên, GDPR làm cho nó trở thành yêu cầu pháp lý đối với các tổ chức để đảm bảo họ có thực hành tiêu hủy dữ liệu đúng đắn và an toàn.
Tuy nhiên, nhiều bộ phận CNTT thiếu kiến thức và giáo dục về sự khác biệt giữa 'xóa' (deletion) và 'xóa vĩnh viễn' (erasure). Trong một nghiên cứu do Blancco thực hiện - 'Delete vs Erase': How to wipe files in Active Environments, phát hiện rằng hơn một nửa (51%) trong 400 người trả lời cho rằng làm rỗng thùng rác là đủ để xóa dữ liệu vĩnh viễn từ máy tính để bàn/laptop. Tương tự đáng lo ngại, 51% khác cho rằng thực hiện định dạng nhanh hoặc định dạng lại toàn bộ ổ đĩa của máy tính là đủ để tiêu hủy dữ liệu của họ vĩnh viễn.
Nếu không có chuyên môn và kiến thức đúng đắn về xóa dữ liệu, các tổ chức đang đặt dữ liệu nhạy cảm của mình dưới rủi ro vi phạm dữ liệu tiềm ẩn.
Để giúp củng cố vệ sinh dữ liệu của tổ chức bạn và cải thiện thực hành quản lý và xóa dữ liệu tổng thể, chúng tôi đã tổng hợp các mẹo dưới đây để hỗ trợ bạn khi vệ sinh dữ liệu từ môi trường hoạt động.
1. Tự động hóa xóa an toàn đang hoạt động
Mỗi người dùng nên thực hiện điều này trên thùng rác khi đăng xuất khỏi hệ thống. Bằng cách tự động hóa quy trình này, tổ chức của bạn đang thực hiện các bước thận trọng cần thiết để xác nhận việc xóa vĩnh viễn và an toàn dữ liệu và tệp. Việc này sẽ giảm thiểu bất kỳ sự không chắc chắn hay rủi ro nào liên quan đến việc xóa an toàn dữ liệu từ laptop hoặc máy tính để bàn của người dùng.
2. Lên lịch thao tác "xóa không gian đĩa trống" (shred free disk space)
Mỗi laptop và máy tính để bàn do tổ chức bạn sở hữu và sử dụng nên bao gồm bước này khi có cửa sổ dịch vụ hoặc bản vá được lên lịch. Bằng cách thực hiện điều này, bạn sẽ liên tục nhắm vào dữ liệu ứng dụng còn sót lại (cũng như dữ liệu khác) đã bị xóa không đúng cách hoặc không hoàn chỉnh bởi người dùng của hệ thống.
3. Tự động xóa tệp tạm thời
Tự động hóa quy trình xóa sẽ đảm bảo nó được thực hiện thường xuyên, đảm bảo bảo mật tối ưu. Theo cách này, bạn có thể nhắm vào dữ liệu người dùng có thể đã tích lũy và vẫn còn trong hệ thống, chẳng hạn như bộ nhớ đệm trình duyệt, nơi thông tin nhạy cảm có thể được lưu trữ.
4. Xóa tệp người dùng tạo và lưu cục bộ
Xóa liên tục các tệp người dùng tạo cục bộ và khuyến khích nhân viên lưu trữ dữ liệu trong kho trung tâm có thể ngăn chặn vi phạm dữ liệu tiềm ẩn. Đây là cuộc đấu tranh quản lý dữ liệu liên tục đã khiến các nhóm CNTT trong nhiều tổ chức đau đầu lâu nay.
5. Ủy quyền "người dùng nâng cao" (power users) thực hiện xóa đang hoạt động
Một tài sản thường bị bỏ qua cho chính sách CNTT của bạn là lựa chọn và phân công một nhóm "người dùng nâng cao" trong tổ chức được ủy quyền thực hiện xóa hoạt động các tệp từ hệ thống. Họ có thể đóng vai trò then chốt trong bảo mật công ty, đặc biệt nếu cá nhân lưu trữ dữ liệu nhạy cảm ở vị trí sai. "Người dùng nâng cao" nên nhắm vào dữ liệu lưu trữ sai và xóa vĩnh viễn nó ngay lập tức.
6. Lấy chứng chỉ xác minh xóa tệp để đảm bảo tuân thủ quy định
Đảm bảo bạn có chứng chỉ và dấu vết kiểm toán chứng minh việc xóa an toàn và vĩnh viễn dữ liệu sẽ có nghĩa là tổ chức của bạn có thể chứng minh rằng nó tuân thủ chính sách lưu giữ dữ liệu và yêu cầu quy định. Dịch vụ Xác minh Xóa (Erasure Verification Services) có thể giúp tổ chức bạn xác minh chiến lược xóa dữ liệu.
Để biết thêm thông tin về xóa an toàn dữ liệu từ môi trường công ty, hãy liên hệ với một trong các chuyên gia tiêu hủy dữ liệu của chúng tôi.