Bối cảnh là một yếu tố cần thiết trong mọi thứ chúng tôi làm. Bối cảnh là thứ giúp chúng ta đưa ra quyết định. Hãy tưởng tượng bạn đang ngồi ăn trưa bên ngoài và nghe thấy tiếng ầm ầm. Bạn có thể tự hỏi mình, “Đó chỉ là một chiếc xe tải ồn ào chạy ngang qua hay một cơn bão đang đến gần?” Bạn nhìn lên và thấy những đám mây đen. Vẫn có thể là một chiếc xe tải. Sau đó, gió bắt đầu thổi và mưa bắt đầu và bạn biết đã đến lúc phải tìm nơi trú ẩn. Sự kết hợp của thông tin cung cấp bối cảnh cần thiết để đưa ra quyết định.
Trong kinh doanh cũng vậy. Giả sử một thiết bị đang cố gắng truy cập dữ liệu tài chính trên mạng của bạn. Bạn cần bối cảnh để biết đây là nhân viên hay mối đe dọa. Thiết bị thuộc về một nhân viên có trụ sở tại Hoa Kỳ, nhưng nó đang kết nối từ Nhật Bản. Kiểm soát xác thực và quản lý danh tính cung cấp thông tin để chứng minh rằng nhân viên đó là hợp pháp. Quản lý thiết bị xác nhận rằng máy tính xách tay mà nhân viên đang sử dụng có các bản cập nhật bảo mật mới nhất. Bảo mật dữ liệu cung cấp thông tin bổ sung về những người có thể truy cập các nguồn tài chính. Phân đoạn vi mô mạng giới hạn việc sử dụng của nhân viên này đối với các loại tài nguyên này.
Tất cả các nguyên tắc bảo mật này cung cấp thông tin khác nhau để (an toàn) kết nối nhân viên đó với dữ liệu họ cần để thực hiện công việc của mình. Vậy tại sao, với tất cả những lớp bảo vệ này, chúng ta vẫn gặp phải những vi phạm đắt giá?
Sự khác biệt giữa thông tin và ngữ cảnh
Về mặt cá nhân, mỗi bộ môn này cung cấp thông tin có giá trị về những gì đang xảy ra. Tuy nhiên, bản thân thông tin này không đủ để xác minh tính hợp pháp của yêu cầu này hoặc đưa ra quyết định liên quan đến quyền truy cập.
Điều quan trọng cần lưu ý ở đây là sự khác biệt giữa thông tin và ngữ cảnh. Mặc dù phụ thuộc vào nhau, nhưng thông tin và ngữ cảnh không đồng nghĩa với nhau. Thông tin cung cấp các điểm dữ liệu cần thiết cho việc ra quyết định, nhưng nếu không có ngữ cảnh thì thông tin về cơ bản là vô nghĩa. Bối cảnh là thước đo của bạn.
Hãy xem xét ví dụ của chúng tôi ở trên về nhân viên cố gắng truy cập dữ liệu tài chính trên mạng. Thông tin cung cấp chi tiết về thiết bị, người dùng và dữ liệu họ đang truy cập. Tuy nhiên, điều còn thiếu là liệu nhân viên đó có nên có quyền truy cập vào dữ liệu cụ thể đó từ thiết bị hoặc vị trí cụ thể đó hay không. Điều còn thiếu là ngữ cảnh. Nếu không có nó, chúng tôi có một bức tranh không đầy đủ về rủi ro, có nghĩa là các nhóm khác nhau có thể diễn giải và phản hồi yêu cầu này theo cách khác nhau.
Một lần nữa, xét riêng lẻ, nhiều thông tin cần thiết để thúc đẩy các quyết định đã có sẵn với các lĩnh vực khác nhau. Ví dụ: kiểm soát danh tính và bảo mật dữ liệu sẽ tính đến vai trò và vị trí của nhân viên trước khi cấp quyền truy cập. Quản lý thiết bị sẽ cung cấp bối cảnh về việc hệ thống của nhân viên đó có an toàn hay không. Nhóm an ninh mạng có thể đã tạo các phân đoạn nhỏ hoặc chu vi xung quanh dữ liệu cụ thể cho nhân viên. Tuy nhiên, các quy tắc về những gì được chấp nhận hoặc không được chấp nhận là khác nhau đối với mỗi nhóm.
Vì vậy, vấn đề không phải là thiếu thông tin; nó thiếu ngữ cảnh. Nói cách khác, thông tin từ các nguyên tắc bảo mật riêng lẻ cần được chia sẻ để tạo ra bối cảnh phù hợp cho việc đưa ra các quyết định quan trọng về người dùng, dữ liệu và tài nguyên nào nên được kết nối. Các kỷ luật an ninh hoạt động trong silo không phải là một khái niệm mới. Tuy nhiên, khi hoạt động kinh doanh phát triển – như chúng ta đang thấy để đối phó với đại dịch hiện nay – những thách thức về an ninh được bảo vệ bộc lộ theo những cách mới.
Một thách thức về bảo mật được đưa ra bởi doanh nghiệp hiện đại
Trong môi trường kinh doanh hiện nay, có nhiều loại người dùng với các mục tiêu và nhu cầu khác nhau để truy cập tài nguyên. Nhân viên đang đăng nhập từ máy tính xách tay nơi họ kiểm soát bản cập nhật bảo mật. Người dùng bên ngoài như nhà cung cấp và đối tác cần truy cập vào các tài nguyên của trang web như hệ thống dịch vụ thực phẩm, ứng dụng HVAC hoặc cơ sở dữ liệu hàng tồn kho. Ngay cả khách hàng và khách hàng yêu cầu một số cấp độ truy cập vào thông tin công ty.
Có rất nhiều tài nguyên để quản lý và nhiều kết nối để xác minh. Để làm cho nó phức tạp hơn nữa, việc chuyển sang cơ sở hạ tầng kết hợp, đa đám mây có nghĩa là các tài nguyên đó có thể được phân tán trong nhiều môi trường CNTT với các mức độ hiển thị và kiểm soát khác nhau.
Việc cố gắng sắp xếp thông tin cần thiết để kết nối an toàn tất cả những người dùng, dữ liệu và tài nguyên này là điều khó thực hiện tốt, điều này liên quan đến lý do tại sao nhiều tổ chức đang cân nhắc áp dụng chiến lược Zero Trust. Chiến lược Zero Trust có thể giúp các tổ chức quản lý rủi ro của môi trường kinh doanh bị ngắt kết nối này, cho phép người dùng truy cập vừa đủ vào các tài nguyên thích hợp. Mặc dù đây là một chiến lược tuyệt vời, nhưng việc áp dụng nó vào thực tế có nghĩa là các tổ chức cần phải rõ ràng về các điều kiện là gì và áp dụng chúng một cách nhất quán trong toàn bộ doanh nghiệp. Điều này đòi hỏi bối cảnh.
Bối cảnh là chìa khóa để đơn giản hóa Zero Trust
Chia sẻ bối cảnh giữa các silo bảo mật là nền tảng của việc triển khai Zero Trust thành công. Xác định ngữ cảnh – hay nói cách khác, thiết lập các chính sách dựa trên ngữ cảnh phù hợp với tất cả các lĩnh vực bảo mật – là bước quan trọng đầu tiên đối với chiến lược Zero Trust. Nếu không thiết lập đường cơ sở này để đưa ra quyết định, các quy tắc tương tự có thể được giải thích khác nhau bởi mỗi bộ phận an ninh trong doanh nghiệp. Sự sai lệch này có thể gây ra xích mích và mở ra cánh cửa rủi ro cho doanh nghiệp. Chưa kể, việc thiếu các quy tắc và ngữ cảnh rõ ràng có thể khiến việc tận dụng tự động hóa và trí tuệ nhân tạo (AI) để nâng cao chương trình bảo mật của bạn thậm chí còn khó khăn hơn – nhưng đó là chủ đề cho blog tiếp theo của tôi.
Bây giờ, tôi sẽ nói với bạn điều này: Chiến lược Zero Trust đưa ra một mô hình và kế hoạch để kết nối an toàn những người dùng phù hợp với đúng dữ liệu vào đúng thời điểm trong các điều kiện thích hợp. Nhưng bối cảnh là chìa khóa.
——————–
Vina Aspire là đơn vị tư vấn, cung cấp các giải pháp, dịch vụ CNTT, An ninh mạng, bảo mật & an toàn thông tin tại Việt Nam. Đội ngũ của Vina Aspire gồm những chuyên gia, cộng tác viên giỏi, có trình độ, kinh nghiệm và uy tín cùng các nhà đầu tư, đối tác lớn trong và ngoài nước chung tay xây dựng
Các Doanh nghiệp, tổ chức có nhu cầu liên hệ Công ty Vina Aspire theo thông tin sau:
Email: info@vina-aspire.com | Tel: +84 944 004 666 | Fax: +84 28 3535 0668 | Website: www.vina-aspire.com
Vina Aspire – Vững bảo mật, trọn niềm tin
